Come trattiamo i tuoi dati

Se lavori in turno, il titolare dei tuoi dati è il tuo datore di lavoro (l'istituto o l'agenzia che ti ha assunto). Il consorzio Intrasecur tratta i dati per conto delle agenzie che lo hanno nominato responsabile, e come titolare per i propri utenti e per i rapporti con i committenti. Il fornitore della piattaforma tratta i dati solo per farla funzionare, su istruzione del titolare.

Quando il consorzio agisce per conto della tua agenzia, lo fa solo negli ambiti che l'agenzia gli ha affidato e confermato (ad esempio solo i turni, o solo i documenti). Ogni operazione fatta per conto dell'agenzia resta in un registro che non si modifica né si cancella: chi l'ha fatta, quando, su quale dato. L'agenzia lo consulta dal proprio portale e può ritirare il permesso in qualsiasi momento.

Se la tua agenzia non ha autorizzato il consorzio, il consorzio non vede il tuo nome né i tuoi dati: ti riconosce solo con un codice (ad esempio «OP-00042») che conosce la tua agenzia.

I contatti del titolare sono nell'informativa che ti ha consegnato il tuo datore di lavoro. Puoi anche scrivere all'ufficio del personale della tua agenzia.

• Turni, presenze e timbrature

  Dati: nome, turni assegnati, orari, timbrature.

  Perché: esecuzione del contratto di lavoro e obblighi di legge (art. 6.1.b e c GDPR; art. 88 GDPR).

• Assenze

  Dati: date e tipo di assenza; il motivo, se lo scrivi, e gli allegati (certificato medico, richiesta L. 104, giustificativi).

  Perché: obblighi in materia di lavoro (art. 9.2.b GDPR; art. 2-septies Codice privacy). Il tipo delle assenze per malattia, L. 104, infortunio e maternità, il motivo che scrivi e gli allegati li vedono solo l'ufficio del personale, la Direzione e chi svolge i controlli interni. Il supervisore sa che sei assente e quando; per queste quattro tipologie vede solo la dicitura «motivo riservato», senza sapere quale delle quattro sia né il perché. Il motivo che scrivi e gli allegati non li vede per nessun tipo di assenza.

• Documenti e requisiti del personale

  Dati: documento d'identità, attestati, decreti prefettizi, porto d'armi, idoneità sanitaria, autodichiarazione sui carichi pendenti.

  Perché: verifica dei requisiti richiesti dalla legge per il servizio (art. 9.2.b e art. 10 GDPR; art. 2-octies Codice privacy). Li vedono solo l'ufficio del personale e la Direzione, oltre a te.

• Provvedimenti disciplinari e dispositivi di protezione

  Dati: contestazioni e loro esito; dispositivi di protezione consegnati e restituiti.

  Perché: gestione del rapporto di lavoro e obblighi di sicurezza (art. 6.1.b e c GDPR; art. 7 L. 300/1970; D.Lgs. 81/2008). Le contestazioni le vedono solo l'ufficio del personale e la Direzione; tu le ricevi quando ti vengono notificate.

• Giornale di servizio

  Dati: eventi registrati durante il turno e il testo che scrivi.

  Perché: esecuzione del servizio presso il committente (art. 6.1.b e f GDPR).

• Ispezioni e valutazioni

  Dati: esito delle verifiche sul servizio e valutazioni della prestazione.

  Perché: organizzazione e qualità del servizio (art. 6.1.b e f GDPR). Le fa una persona: non ci sono decisioni automatiche. Le valutazioni ti vengono mostrate quando sono condivise con te.

• Messaggi con il tuo responsabile

  Dati: testo dei messaggi, data e ora.

  Perché: comunicazioni di servizio (art. 6.1.b e f GDPR). Non si modificano dopo l'invio; la Direzione li consulta solo indicando un motivo, che resta registrato.

• Account e sicurezza

  Dati: email, nome, ruolo, accessi, registro delle modifiche.

  Perché: sicurezza della piattaforma e dimostrazione di chi ha fatto cosa (art. 6.1.c e f GDPR; art. 32 GDPR).

• Avvisi

  Dati: email; se le attivi, notifiche sul telefono; il numero WhatsApp, se lo indichi nelle impostazioni (oggi l'invio via WhatsApp non è attivo).

  Perché: comunicazioni di servizio (art. 6.1.b GDPR). Le notifiche sul telefono non contengono il testo dei messaggi.

Alcune persone non hanno un accesso ma i loro dati passano comunque dalla piattaforma (art. 14 GDPR):

• chi viene intervistato nelle verifiche di qualità presso un sito: nome, cognome, ruolo e firma, per documentare la verifica. Li vede il personale del consorzio che gestisce il servizio;
• chi è citato nel giornale di servizio: le guardie annotano gli eventi del turno e a volte il testo nomina persone presenti sul posto. Chi scrive è invitato a non riportare nomi o dati che non servono a descrivere l'evento;
• i referenti dei committenti: nome, ruolo e recapiti di lavoro, per organizzare il servizio presso il sito.

La base è l'interesse legittimo del titolare a documentare e organizzare il servizio (art. 6.1.f GDPR). Ci si può opporre e si possono esercitare gli altri diritti descritti più sotto, scrivendo al titolare.

La piattaforma è predisposta per rilevare la posizione in due soli momenti: quando timbri e quando registri un evento nel giornale di servizio. Entrambe le funzioni sono disattivate. Possono essere attivate solo dopo un accordo sindacale o un'autorizzazione dell'Ispettorato del lavoro (art. 4 della L. 300/1970) e dopo un'informativa specifica. Anche allora la posizione si legge una sola volta, in quel momento, e le coordinate si cancellano dopo il periodo stabilito dal titolare (oggi 30 giorni): resta solo l'esito.

Il database e i documenti sono in Unione Europea, a Francoforte. Le pagine sono servite da server a Francoforte. Trattano dati per conto del titolare, solo per far funzionare il servizio: Supabase (database, accessi, archivio documenti), Vercel (pubblicazione delle pagine), Resend (invio delle email), i servizi di notifica dei telefoni (Google, Apple, Mozilla, che ricevono avvisi cifrati senza contenuto). Alcune di queste società hanno sede negli Stati Uniti: i trasferimenti, quando avvengono, sono coperti dalle garanzie previste dal GDPR (decisione di adeguatezza UE-USA o clausole contrattuali tipo).

Per localizzare gli indirizzi dei siti dei committenti si usano Google e OpenStreetMap: ricevono indirizzi di luoghi di lavoro, non dati di persone. Quando apri la scheda di un sito con la mappa, il tuo browser scarica le immagini da OpenStreetMap (fondazione con sede nel Regno Unito, paese con decisione di adeguatezza), che per farlo riceve l'indirizzo IP del tuo dispositivo.

Il registro delle modifiche (chi ha creato, modificato o cancellato un dato, quando, da quale indirizzo IP e con quale dispositivo) serve a dimostrare la correttezza delle operazioni e a proteggere i dati: lo leggono solo Audit e Direzione. L'indirizzo IP e il dispositivo si cancellano dopo 12 mesi; la riga del registro si conserva 24 mesi. Le notifiche si conservano 12 mesi, le coordinate di posizione per il periodo stabilito dal titolare (oggi 30 giorni). Gli altri dati si conservano per il tempo del rapporto di lavoro e poi per i periodi che il titolare sta definendo in base agli obblighi di legge (ad esempio la documentazione delle presenze e delle retribuzioni, che la legge impone di tenere per alcuni anni). Quando saranno decisi, alla scadenza i dati verranno cancellati o resi anonimi.

Puoi chiedere di accedere ai tuoi dati e riceverne una copia, di correggerli, di cancellarli quando non servono più, di limitarne l'uso, e opporti ai trattamenti basati sull'interesse legittimo (artt. 15-22 GDPR). Se lavori in turno, dal tuo profilo nell'app puoi scaricare i tuoi dati in ogni momento. Per le altre richieste scrivi al titolare: risponde entro un mese. La cancellazione non riguarda i documenti che la legge impone di conservare (ad esempio quelli del rapporto di lavoro): restano fino alla scadenza del periodo di conservazione stabilito dal titolare.

Se ritieni che i tuoi dati siano trattati in modo non conforme puoi presentare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

La piattaforma usa solo cookie tecnici, necessari per tenerti collegato, e la memoria del browser per preferenze (tema chiaro o scuro) e per non perdere una timbratura se manca la rete. Nessuno strumento di statistica, profilazione o pubblicità: per questo non ti viene chiesto alcun consenso.