Informativa sul trattamento dei dati personali

Ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del D.lgs. 196/2003 («Codice privacy»), come modificato dal D.lgs. 101/2018.

Ultimo aggiornamento: [GG/MM/AAAA]

1. Chi tratta i dati

ERP Synapse è un gestionale usato dalle aziende clienti («Aziende») per organizzare persone, clienti, progetti, timbrature, documenti e comunicazioni. I ruoli privacy sono due:

L’Azienda per cui lavori, o di cui sei cliente, è il titolare del trattamento dei dati che inserisce o raccoglie nel gestionale (dati di dipendenti, collaboratori, clienti e loro referenti). Per esercitare i tuoi diritti su questi dati rivolgiti prima di tutto all’Azienda, che può fornirti anche la propria informativa.
[RAGIONE SOCIALE DEL FORNITORE], che fornisce la piattaforma, tratta questi dati come responsabile del trattamento (art. 28 GDPR) per conto dell’Azienda, sulla base di un accordo sul trattamento dei dati. È invece titolare dei dati necessari a gestire la piattaforma stessa: account degli amministratori di piattaforma, rapporto contrattuale e fatturazione con le Aziende, richieste di assistenza indirizzate alla piattaforma, sicurezza e registri tecnici.

Fornitore della piattaforma: [RAGIONE SOCIALE], [INDIRIZZO SEDE LEGALE], P. IVA [PARTITA IVA]
Contatto privacy: [EMAIL PRIVACY] · PEC [PEC]
Responsabile della protezione dei dati (DPO): [NOME DPO E CONTATTO, oppure «Non nominato, in quanto non obbligatorio ai sensi dell’art. 37 GDPR»]

2. Quali dati trattiamo

Sono trattati soltanto i dati delle funzioni che l’Azienda ha attivato. A seconda dell’uso, possono essere:

Account e profilo: nome, cognome, email, telefono, indirizzo, data di nascita, titolo di studio, ruolo nell’Azienda, stato dell’account, impostazione dell’autenticazione a due fattori.
Lavoro e presenze: timbrature di inizio e fine, ore lavorate per progetto e fase, note, veicolo aziendale usato, sedi e chilometri per i rimborsi, promemoria di timbratura.
Posizione: solo per le persone che l’Azienda ha indicato come soggette a geolocalizzazione, la posizione rilevata al momento della timbratura (coordinate e indirizzo). Non è registrata una cronologia continua degli spostamenti.
Ferie, permessi e assenze: richieste e approvazioni, inclusi malattia e permessi ai sensi della Legge 104/1992. Questi ultimi possono rivelare dati relativi alla salute (categorie particolari, art. 9 GDPR).
Documenti: file caricati, con i dati di chi li ha aperti o scaricati e le prese visione.
Comunicazioni: messaggi e allegati delle stanze dell’ufficio virtuale, della chat per cliente e delle richieste di assistenza (inclusi gli screenshot); videochiamate dell’ufficio virtuale tramite Daily.co, [senza registrazione / con registrazione: indicare].
Clienti e progetti: anagrafiche e referenti dei clienti dell’Azienda, progetti, preventivi, non conformità, attività e domande di modifica.
Casella email personale (se collegata): indirizzo e credenziali IMAP/SMTP, salvate cifrate. Il contenuto dei messaggi non viene memorizzato dalla piattaforma.
Dispositivi: token per le notifiche push dell’app e nome del dispositivo.
Dati tecnici e di sicurezza: indirizzo IP, user agent, identificativo della richiesta, azioni svolte, esito e orario (registro di audit), cookie di sessione.

I dati sono forniti dall’Azienda o da te. Il conferimento dei dati necessari all’account e alle funzioni attivate è indispensabile per usare il gestionale; senza di essi non è possibile accedere al servizio.

3. Finalità e basi giuridiche

Finalità	Base giuridica
Fornire il gestionale all’Azienda e alle persone che lo usano (account, accesso, funzioni attivate)	Esecuzione del contratto con l’Azienda (art. 6.1.b); per i dati dei dipendenti, gli obblighi e i diritti dell’Azienda come datore di lavoro (art. 6.1.c, art. 9.2.b, art. 88 GDPR, D.lgs. 196/2003)
Rilevazione delle presenze e delle ore, gestione di ferie, permessi e rimborsi	Obblighi di legge e di contratto del datore di lavoro (art. 6.1.b e 6.1.c; art. 9.2.b per i dati sanitari)
Geolocalizzazione alla timbratura	Legittimo interesse dell’Azienda (art. 6.1.f), nei limiti dell’art. 4 della Legge 300/1970 (Statuto dei lavoratori): [indicare accordo sindacale o autorizzazione dell’Ispettorato, se richiesti]
Comunicazioni con colleghi e clienti (ufficio virtuale, chat per cliente, assistenza, email personale)	Esecuzione del contratto (art. 6.1.b) e legittimo interesse dell’Azienda all’organizzazione del lavoro (art. 6.1.f)
Notifiche via email e push (inviti, promemoria, aggiornamenti delle richieste)	Esecuzione del contratto (art. 6.1.b); le notifiche push si possono disattivare dalle impostazioni del dispositivo
Sicurezza, prevenzione degli abusi, registro di audit, assistenza tecnica	Legittimo interesse del fornitore e dell’Azienda alla sicurezza del servizio (art. 6.1.f) e obbligo di adottare misure adeguate (art. 32)
Fatturazione e gestione del rapporto con le Aziende	Esecuzione del contratto e obblighi fiscali (art. 6.1.b e 6.1.c)

I dati non sono usati per profilazione commerciale, pubblicità o decisioni automatizzate ai sensi dell’art. 22 GDPR.

4. Per quanto tempo

Dati dell’Azienda (persone, clienti, progetti, timbrature, documenti, comunicazioni): per la durata del contratto con l’Azienda e, alla cessazione, per [N GIORNI] per consentirne l’esportazione; poi sono cancellati, salvo diversa istruzione dell’Azienda o obblighi di legge.
Chat per cliente: messaggi e allegati sono conservati senza limite di tempo finché esistono il cliente e l’Azienda nel gestionale. Eliminando il cliente o l’Azienda si elimina anche la chat. Un amministratore dell’Azienda può eliminare un singolo messaggio e, su richiesta, cancellare definitivamente i file allegati.
Timbrature, presenze e documenti del rapporto di lavoro: secondo i termini stabiliti dall’Azienda nel rispetto della normativa lavoristica e fiscale [es. 5 o 10 anni].
Credenziali della casella email: fino alla disconnessione della casella o all’uscita dall’Azienda.
Registro di audit e dati tecnici: [N MESI].
Cookie di sessione: fino alla scadenza della sessione o al logout.
Copie di backup: [N GIORNI], poi sovrascritte.

5. A chi comunichiamo i dati

All’interno dell’Azienda i dati sono visibili solo alle persone autorizzate in base al ruolo (amministratori, project manager, dipendenti, clienti), e ogni Azienda vede soltanto i propri dati. Il personale autorizzato del fornitore vi accede solo per assistenza, con visite in sola lettura, a tempo e registrate nell’audit dell’Azienda.

Il fornitore si avvale dei seguenti sub-responsabili:

Fornitore	Servizio	Luogo
[FORNITORE HOSTING]	Server dell’applicazione e database	[PAESE / REGIONE]
Amazon Web Services EMEA SARL	Archiviazione cifrata dei documenti e degli allegati (Amazon S3)	[REGIONE AWS, es. eu-south-1 Milano]
Daily.co, Inc.	Videochiamate dell’ufficio virtuale	Stati Uniti
Google Ireland Ltd / Google LLC (Firebase Cloud Messaging)	Notifiche push dell’app	UE / Stati Uniti
Mapbox, Inc.	Conversione degli indirizzi in coordinate (geocodifica)	Stati Uniti
[FORNITORE EMAIL TRANSAZIONALE]	Invio delle email del gestionale	[PAESE]
[FORNITORE IMMAGINI UFFICIO VIRTUALE, es. Supabase]	Immagini grafiche dell’ufficio virtuale (riceve indirizzo IP e browser)	[PAESE]

Se colleghi la tua casella email aziendale, i messaggi sono letti e inviati tramite il fornitore di posta della tua Azienda, che ne resta titolare o responsabile. I dati possono inoltre essere comunicati alle autorità quando richiesto dalla legge. I dati non sono diffusi né venduti.

6. Trasferimenti fuori dallo SEE

Alcuni sub-responsabili hanno sede negli Stati Uniti. I trasferimenti avvengono sulla base della decisione di adeguatezza della Commissione europea per l’EU-U.S. Data Privacy Framework, per i fornitori certificati, oppure delle Clausole contrattuali tipo approvate dalla Commissione (art. 46 GDPR), con le misure supplementari necessarie. [Verificare la certificazione DPF di ciascun fornitore]. Puoi chiedere copia delle garanzie scrivendo al contatto privacy.

7. Sicurezza

Tra le misure adottate:

separazione dei dati di ogni Azienda nel database, con un secondo livello di controllo (Row-Level Security);
connessioni cifrate (HTTPS), documenti cifrati a riposo, credenziali email cifrate con AES-256-GCM;
password di almeno 12 caratteri, autenticazione a due fattori disponibile, limiti ai tentativi di accesso;
registro di audit che non contiene password, cookie, token, né il testo dei messaggi o il contenuto dei file;
accessi del personale del fornitore solo in sola lettura, a tempo e registrati.

9. I tuoi diritti

Puoi esercitare in qualsiasi momento i diritti previsti dagli artt. 15-22 GDPR:

accesso ai tuoi dati e copia degli stessi;
rettifica dei dati inesatti o incompleti;
cancellazione, quando non esiste più un motivo per conservarli o un obbligo di legge;
limitazione del trattamento;
portabilità dei dati che hai fornito, in formato strutturato (l’Azienda può esportare i propri dati in CSV o JSON);
opposizione ai trattamenti basati sul legittimo interesse.

Per i dati gestiti dall’Azienda la richiesta va rivolta all’Azienda; se la invii al fornitore, la inoltreremo all’Azienda senza ritardo. Per i dati di cui il fornitore è titolare scrivi a [EMAIL PRIVACY]. Rispondiamo entro un mese, prorogabile di due mesi nei casi complessi (art. 12 GDPR).

Hai anche diritto di proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, o all’autorità del Paese in cui vivi o lavori.

10. Modifiche

Questa informativa può essere aggiornata, per esempio quando cambiano le funzioni o i fornitori. La data in alto indica l’ultima versione; le modifiche rilevanti sono comunicate agli amministratori delle Aziende.