Informativa privacy

1. I diversi ruoli

GLSTYLE DI GIUFFRIDA LAURA, con sede e contatti indicati sopra, è titolare del trattamento per la gestione degli account, dei rapporti con i clienti, dell’assistenza e della sicurezza del proprio servizio.

L’azienda o il datore di lavoro che utilizza Presenza è titolare del trattamento dei dati dei propri dipendenti: decide finalità, persone autorizzate, regole di rilevazione, dati da inserire e tempi di conservazione. Per questi dati il fornitore opera per conto dell’azienda, in qualità di responsabile del trattamento e secondo le sue istruzioni.

Il trattamento per conto dell’azienda deve essere disciplinato dall’accordo previsto dall’articolo 28 del GDPR. Questa informativa non sostituisce quell’accordo e non ne attesta la sottoscrizione. L’amministratore può contattare mindral@mindral.com per definire la documentazione e le istruzioni applicabili prima di affidare dati del personale al servizio.

2. Dati dell’account e finalità del fornitore

I dati possono provenire direttamente dall’amministratore, dall’accesso abilitato tramite ChatGPT, dalle richieste di assistenza e dalle conferme del sistema di pagamento.

Account e accesso

Nome, email, azienda, identificativi di accesso, credenziali protette e sessioni servono a creare e gestire l’account e fornire le funzioni richieste. La base giuridica è l’esecuzione del rapporto contrattuale o delle misure richieste prima della sua conclusione.

Assistenza

Recapiti, contenuto delle richieste e informazioni necessarie alla diagnosi dei problemi servono a rispondere al cliente e gestire il servizio, nell’ambito del rapporto contrattuale. Evita di inviare dati del personale non pertinenti alla richiesta.

Abbonamento e adempimenti

Identificativi del cliente, della transazione e dell’abbonamento, piano, importi e stato dei pagamenti servono a gestire gli accessi e gli obblighi connessi alla vendita. Le basi sono l’esecuzione del contratto e gli obblighi legali applicabili. I dati della carta vengono inseriti nel checkout Paddle.

Sicurezza e tutela dei diritti

Dati tecnici delle richieste, sessioni, tentativi di accesso e registrazioni delle operazioni servono a prevenire abusi, verificare anomalie e tutelare il servizio. La base è il legittimo interesse alla sicurezza e alla difesa dei diritti, da bilanciare con i diritti delle persone interessate; gli eventuali adempimenti imposti dalla legge hanno tale distinta base giuridica.

I dati essenziali per identificare l’account e autenticare l’accesso sono necessari per fornire il servizio. La mancata comunicazione impedisce l’uso delle funzioni che li richiedono.

3. Dati dei dipendenti e dell’organizzazione

Secondo le scelte dell’azienda, Presenza tratta anagrafiche del personale, codici ed email eventualmente inseriti, reparti, negozi autorizzati, QR e credenziali di timbratura, calendari, turni, entrate, uscite, pause, ore, ferie, permessi, note e correzioni. Conserva anche le informazioni necessarie a ricostruire le operazioni amministrative e le modifiche.

Questi dati sono inseriti dall’amministratore o generati durante l’uso delle funzioni di timbratura. L’azienda deve fornire la propria informativa ai dipendenti, individuare la base giuridica applicabile e verificare i requisiti della normativa sul lavoro. Presenza non richiede l’inserimento di diagnosi, certificati sanitari o contratti di lavoro: non inserirli nelle note.

I dati aziendali sono accessibili agli amministratori autorizzati della relativa organizzazione. Eventuali accessi tecnici del fornitore devono essere limitati alle esigenze di erogazione, sicurezza o assistenza e alle istruzioni applicabili.

4. Posizione del telefono

Per verificare una timbratura, il browser può richiedere il permesso di acquisire la posizione del telefono. Le coordinate, la precisione e il momento del rilevamento vengono inviati al servizio per controllare che il dipendente si trovi presso un negozio a cui è assegnato e che la posizione sia recente.

Il rifiuto del permesso o una posizione non valida possono impedire la timbratura da quel dispositivo. In tal caso occorre rivolgersi all’amministratore per la gestione della presenza. Il permesso tecnico del browser non stabilisce la base giuridica del trattamento nel rapporto di lavoro. La verifica della sede non produce valutazioni del rendimento, sanzioni o decisioni sul rapporto di lavoro.

5. Credenziali, cookie tecnici e funzioni AI

I link di conferma email e recupero password sono temporanei e monouso: durano rispettivamente 24 ore e 30 minuti. Nel database il servizio conserva soltanto il valore derivato tramite hash del token. Il reset della password revoca le precedenti sessioni di accesso tramite password e rinnova il codice di recupero.

Password e PIN non sono conservati come testo leggibile: il servizio memorizza valori derivati tramite hash. Il PIN iniziale viene comunicato per la consegna al dipendente; l’amministratore deve custodire e distribuire correttamente tale informazione. Le credenziali di recupero richiedono la stessa attenzione.

L’accesso usa un cookie tecnico di sessione, necessario a riconoscere l’utente autenticato, con durata massima attuale di sette giorni. La sessione può essere revocata prima della scadenza. Il checkout e i servizi di autenticazione esterni possono utilizzare propri strumenti tecnici, descritti nelle rispettive informative.

Non sono attive funzioni AI di analisi delle presenze, valutazione dei dipendenti o lettura di contratti. Le funzionalità presentate come “In arrivo” non sono disponibili. Un’eventuale introduzione richiederà informazioni aggiornate sulle relative finalità e modalità di trattamento.

6. Fornitori e destinatari

Il servizio utilizza le seguenti infrastrutture e servizi esterni:

• Sites / OpenAI per la piattaforma che ospita ed esegue il servizio e per l’autenticazione ChatGPT dove abilitata.
• Cloudflare D1 per l’archiviazione dei dati applicativi nel database.
• Resend per inviare le email di conferma dell’indirizzo e di recupero password. Le comunicazioni contengono il destinatario, il nome dell’account e il link temporaneo necessario alla richiesta. La relativa informativa privacy descrive il servizio di invio.
• Paddle per checkout, fatturazione, pagamenti e gestione dell’abbonamento come Merchant of Record. Per le proprie attività di pagamento Paddle tratta i dati secondo la sua informativa privacy, in cui sono individuati i relativi titolari.

I dati possono essere comunicati a professionisti o autorità quando necessario per obblighi di legge o tutela dei diritti. Le informazioni sui soggetti tecnici coinvolti, sui rispettivi ruoli e sugli accordi applicabili possono essere richieste a mindral@mindral.com. L’uso di una piattaforma di OpenAI non comporta, di per sé, l’attivazione delle future funzionalità AI descritte nei piani.

7. Trattamenti internazionali

L’utilizzo di fornitori internazionali può comportare trattamenti al di fuori dello Spazio economico europeo. Non viene dichiarata una conservazione esclusiva dei dati nell’Unione europea. Gli eventuali trasferimenti devono rispettare le condizioni previste dal capo V del GDPR.

Per conoscere le localizzazioni e le garanzie pertinenti alla fornitura, o richiedere la relativa documentazione, contatta mindral@mindral.com. Questa informativa non attesta l’esistenza di specifici accordi o garanzie che non siano stati effettivamente verificati e formalizzati.

8. Conservazione, archiviazione e cancellazione

I dati dell’account e dell’assistenza sono conservati per il tempo necessario alle rispettive finalità, considerando durata del rapporto, richieste aperte, obblighi di legge ed eventuali controversie. I dati tecnici di sicurezza seguono le esigenze di prevenzione e accertamento degli abusi. Per conoscere i criteri applicati a uno specifico dato puoi contattare il fornitore.

Per presenze e dati del personale, i tempi e le istruzioni di restituzione o cancellazione spettano all’azienda titolare, tenendo conto dei propri obblighi. Archiviare un dipendente o un negozio conserva lo storico; interrompere l’abbonamento non avvia una cancellazione automatica. L’amministratore può esportare lo storico e richiedere al fornitore la gestione della restituzione o cancellazione secondo le istruzioni applicabili, salvi obblighi di conservazione.

Le richieste relative a copie tecniche o dati conservati da fornitori esterni richiedono anche la verifica delle rispettive procedure. Non è promessa una cancellazione istantanea di tutte le copie attraverso il solo pulsante di archiviazione.

9. I tuoi diritti

Nei casi e alle condizioni previsti dal GDPR puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opporti al trattamento. Quando un trattamento si basa sul consenso puoi revocarlo, senza pregiudicare la liceità del trattamento precedente.

Per account, assistenza e attività di cui il fornitore è titolare scrivi a mindral@mindral.com. Per dati delle presenze e del rapporto di lavoro rivolgiti prima alla tua azienda o al datore di lavoro; il fornitore assiste il titolare secondo le istruzioni e gli obblighi applicabili. Può essere necessario verificare l’identità del richiedente per evitare comunicazioni non autorizzate.

Puoi rivolgerti al Garante per la protezione dei dati personali e presentare reclamo, oltre agli altri rimedi previsti dalla legge. Il riferimento normativo è il Regolamento (UE) 2016/679.

10. Aggiornamenti e contatti

Questa informativa descrive il servizio alla data riportata sopra. Cambiamenti delle finalità, dei fornitori o delle funzioni possono richiedere un aggiornamento e, quando necessario, una comunicazione agli interessati. Per chiarimenti o richieste sulla protezione dei dati: mindral@mindral.com.