Accordo sul trattamento dei dati
Versione 2, 1 novembre 2026. Aggiunge la registrazione in sito (visitatori, fornitori e consegne), la sincronizzazione delle directory e i pass di sito.
Il presente Accordo sul trattamento dei dati ("DPA") fa parte dell'accordo tra Timeclock.Kiwi Limited, 151 Belford Street, Waverley, Dunedin 9013, Nuova Zelanda ("noi", "il Responsabile del trattamento") e l'azienda che utilizza Timeclock.Kiwi ("tu", "il Titolare del trattamento"). Si applica quando trattiamo per tuo conto dati personali soggetti al Regolamento generale sulla protezione dei dati dell'UE (GDPR), al GDPR del Regno Unito o a una legge simile, e soddisfa l'articolo 28 del GDPR.
Un amministratore accetta questo DPA per la propria azienda spuntandolo nella lista di controllo GDPR nelle Impostazioni. Registriamo chi l'ha accettato e quando. Se questo DPA e gli altri nostri termini divergono sui dati personali, prevale questo DPA.
1. Cosa trattiamo
| Oggetto e finalità | Fornirti Timeclock.Kiwi: registrare orario di lavoro, turni, lavori, ferie e check-in di sicurezza, gestire ingresso e uscita dei visitatori nei tuoi siti e produrre report ed esportazioni paghe. |
|---|---|
| Durata | Per tutto il tempo in cui usi Timeclock.Kiwi e fino all'eliminazione dei dati ai sensi della sezione 9. |
| Persone a cui si riferiscono i dati | I tuoi dipendenti, fornitori e altri lavoratori, e i tuoi amministratori e manager. Se usi la registrazione in sito: visitatori, fornitori e corrieri che si registrano nei tuoi siti, persone che inviti o aggiungi alla lista di controllo e il personale di ogni directory che colleghi perché i visitatori scelgano chi vengono a trovare. |
| Tipi di dati personali | Nomi, indirizzi email, PIN; orari di entrata, uscita e pause; lavori, attività, note e materiali; chiosco usato, indirizzo IP e posizione GPS quando si timbra con l'app; turni, disponibilità, richieste di ferie e di scambio; competenze; check-in di sicurezza, avvisi e relative posizioni; notifiche inviate. |
| Dati di registrazione in sito | Per i visitatori: nome, azienda, cellulare, email, targa, tipo di visitatore, persona visitata, orari di ingresso e uscita, la lista di sicurezza e i video introduttivi accettati, la firma, una foto, i documenti dei fornitori (tipo, numero, ente emittente e scadenza, senza immagini), la risposta dell'ospitante e, per gli accessi dal proprio telefono, la distanza dal sito. Per le voci della lista di controllo: nome, cellulare, email, i siti interessati e il tuo motivo. Per il personale della directory: nome, email, cellulare, ruolo e ufficio. |
| Categorie particolari di dati | Non previsti. Timeclock.Kiwi non usa dati biometrici: le foto dei visitatori vengono mostrate solo a persone, perché il personale riconosca chi è presente, e non sono mai usate per il riconoscimento facciale. Non inserire dati sanitari o di altre categorie particolari in note, motivi di ferie o motivi della lista di controllo senza una base giuridica. |
2. Le tue istruzioni
Trattiamo i dati personali solo su tue istruzioni documentate, ossia questo DPA, i nostri termini e il modo in cui configuri e usi Timeclock.Kiwi, salvo diverso obbligo di legge (nel qual caso ti informiamo prima, a meno che la legge non lo vieti). Ti avvisiamo se riteniamo che un'istruzione violi la normativa sulla protezione dei dati.
3. Riservatezza
Tutte le persone di Timeclock.Kiwi che possono accedere ai tuoi dati sono vincolate alla riservatezza e vi accedono solo quando necessario per gestire o supportare il servizio.
4. Sicurezza
Adottiamo misure tecniche e organizzative adeguate ai sensi dell'articolo 32, tra cui:
- Crittografia dei dati in transito (HTTPS) e password con hash.
- I dati di ogni azienda sono tenuti separati e ogni richiesta viene verificata rispetto all'azienda e ai permessi della persona che ha effettuato l'accesso.
- I manager sono limitati alle persone dei gruppi che gestiscono e ai visitatori dei siti che gestiscono.
- I motivi della lista di controllo sono visibili solo ad amministratori e manager, mai sul chiosco. I link nelle email agli ospitanti sono firmati e valgono solo per quella visita.
- Le connessioni alle directory leggono solo i dati del personale. Le loro chiavi sono conservate sui nostri server e mai inviate ai chioschi.
- Registri di attività delle modifiche alle registrazioni orarie.
- Backup regolari e accesso ai server limitato a chi li gestisce.
5. Sub-responsabili
Ci autorizzi a utilizzare i sub-responsabili indicati di seguito. A ciascuno imponiamo condizioni di protezione dei dati almeno equivalenti a questo DPA e restiamo responsabili del loro operato. Aggiorneremo questo elenco almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile; se ti opponi per ragionevoli motivi di protezione dei dati, puoi smettere di usare Timeclock.Kiwi e ti rimborseremo il periodo prepagato non utilizzato.
| Sub-responsabile | A cosa serve | Dati | Sede |
|---|---|---|---|
| Postmark (ActiveCampaign, LLC) | Invio di email come inviti, reimpostazioni password, turni e link di esportazione dati | Nome, indirizzo email, contenuto dell'email | Stati Uniti |
| Google Firebase Cloud Messaging (Google LLC) | Notifiche push all'app mobile | Token del dispositivo, testo della notifica | Stati Uniti |
| OpenStreetMap Foundation (Nominatim) | Conversione della posizione GPS di un check-in di sicurezza in un indirizzo | Solo coordinate GPS, nessun nome | Regno Unito |
| Stripe, Inc. | Fatturazione alla tua azienda | Nome ed email dell'amministratore, dati di fatturazione (nessun dato dei lavoratori) | Stati Uniti |
Le app di paghe e contabilità che colleghi (come Xero o QuickBooks) non sono nostri sub-responsabili: scegli tu di inviare loro i dati in base al tuo accordo con esse.
Lo stesso vale per la directory che colleghi per la registrazione in sito (Microsoft Entra ID, Google Workspace o un altro servizio con SCIM): ne leggiamo solo l'elenco del personale, secondo le tue istruzioni. I video introduttivi vengono prelevati da dove li ospiti, senza inviare dati personali. I video di YouTube vengono riprodotti sul chiosco con il player di YouTube, quindi YouTube vede l'indirizzo internet del chiosco ma non chi guarda.
6. Dove sono conservati i dati
I tuoi dati sono conservati in Nuova Zelanda. La Commissione europea ha stabilito che la Nuova Zelanda offre una protezione adeguata (Decisione 2013/65/UE), così come il Regno Unito. Quando un sub-responsabile al di fuori di Nuova Zelanda, UE o Regno Unito riceve dati personali, ci basiamo su una decisione di adeguatezza o sulle clausole contrattuali tipo della Commissione europea.
7. Aiutarti con i diritti delle persone
Timeclock.Kiwi ti permette di rispondere direttamente alle richieste: i lavoratori possono vedere e scaricare i propri dati e segnalare orari errati nell'app, e gli amministratori possono esportare i dati di qualsiasi persona e correggere o eliminare le registrazioni. Amministratori e manager possono trovare le visite di un visitatore nella pagina Visitatori ed esportarle, e gli amministratori possono eliminare una visita o tutto ciò che riguarda un visitatore. Se un lavoratore o un visitatore ci contatta direttamente, ti inoltriamo la richiesta e non rispondiamo noi, salvo tua richiesta.
Ti aiutiamo inoltre, per quanto ragionevole, con sicurezza, notifica delle violazioni, valutazioni d'impatto e consultazione della tua autorità di controllo (articoli da 32 a 36).
8. Violazioni dei dati
Se veniamo a conoscenza di una violazione dei dati personali che riguarda i tuoi dati, te lo comunichiamo senza ingiustificato ritardo, indicando ciò che sappiamo dell'accaduto, i dati e le persone coinvolti, le probabili conseguenze e cosa stiamo facendo, così puoi rispettare il tuo obbligo di notifica entro 72 ore.
9. Eliminazione dei dati
- Mentre usi Timeclock.Kiwi, scegli per quanto tempo conservare le registrazioni orarie con l'impostazione di conservazione dei dati; le registrazioni più vecchie vengono eliminate automaticamente.
- Visite, inviti e documenti dei fornitori seguono la stessa impostazione di conservazione. Le foto dei visitatori vengono eliminate 30 giorni dopo la visita, indipendentemente dall'impostazione.
- Le voci della lista di controllo restano finché un amministratore non le rimuove, e vengono poi eliminate. Il personale della directory viene aggiornato a ogni sincronizzazione, rimosso quando esce dalla directory ed eliminato del tutto quando scolleghi la directory.
- Un amministratore può chiudere il tuo account nelle Impostazioni. La fatturazione e i chioschi si fermano e solo gli amministratori possono ancora accedere. Tutto viene eliminato definitivamente 90 giorni dopo; ogni amministratore riceve un'email alla chiusura dell'account e di nuovo 14 giorni prima dell'eliminazione. Fino ad allora puoi esportare le registrazioni o riaprire l'account.
- Conserviamo i nostri documenti di fatturazione (fatture e pagamenti) per il tempo richiesto dalla normativa fiscale. Non contengono dati dei tuoi lavoratori.
- I dati eliminati scompaiono dai nostri backup man mano che questi vengono sostituiti.
10. Audit
Mettiamo a disposizione le informazioni ragionevolmente necessarie per dimostrare il rispetto dell'articolo 28 e rispondiamo a domande scritte ragionevoli. Se non basta, puoi sottoporci ad audit (o farlo fare a un revisore indipendente) una volta l'anno a tue spese, con 30 giorni di preavviso e senza esporre i dati di altri clienti.
11. Contatti
Domande su questo DPA o sui tuoi dati: [email protected].