Informativa sul trattamento dei dati personali

1. Titolare del trattamento

B-Link S.r.l., con sede legale in Varese

Contatto per le richieste privacy: privacy@b-link.it

2. Quali dati sono trattati

Dati dei lavoratori pianificati. Nominativo, codice fiscale, luogo e data di nascita, qualifica, livello e tipo di contratto, ore settimanali, retribuzione oraria, sede e commessa di assegnazione, turni assegnati, assenze con la relativa causale (ferie, permesso, malattia, congedo, permesso ex L. 104) ed eventuali annotazioni organizzative.

Dati degli utenti dell'applicativo. Nome utente, nominativo, indirizzo email aziendale, impronta crittografica della password, ruolo, data dell'ultimo accesso.

Dati di accesso. Data e ora degli accessi riusciti e non riusciti, dei cambi password e delle uscite, con la sola rete di provenienza (i primi tre gruppi dell'indirizzo IP, il resto viene scartato prima della scrittura).

3. Categorie particolari di dati

La causale di un'assenza può rivelare lo stato di salute del lavoratore o la sua condizione familiare (malattia, congedo, permesso ex L. 104): sono dati dell'art. 9 GDPR, trattati esclusivamente per l'assolvimento degli obblighi in materia di diritto del lavoro (art. 9.2.b GDPR). Per questo la causale non compare nel foglio dei turni distribuito al personale, dove figura la sola dicitura «non in servizio», e non è visibile al profilo Coordinatore.

4. Finalità e basi giuridiche

• Organizzazione dei turni e gestione del rapporto di lavoro — esecuzione del contratto e obblighi di legge (artt. 6.1.b e 6.1.c GDPR).
• Rendicontazione delle prestazioni al committente e alla cooperativa capofila — esecuzione del contratto di appalto (art. 6.1.b GDPR).
• Sicurezza dell'applicativo (registro degli accessi) — legittimo interesse del titolare a proteggere dati altrui da accessi non autorizzati (art. 6.1.f GDPR, in attuazione dell'art. 32).

5. Chi può vedere che cosa

L'accesso è nominativo e differenziato per ruolo:

• Amministratore: tutti i dati, compresi retribuzioni, costi e rendicontazione.
• Coordinatore: solo il tabellone dei turni e le assenze. Non vede livelli contrattuali, tipo di contratto, codici fiscali, retribuzioni né alcun importo.

La restrizione è applicata dal server e non dalla sola interfaccia: una pagina preclusa resta preclusa anche digitandone l'indirizzo.

6. Destinatari e trasferimenti

I dati sono comunicati a:

• il committente e la cooperativa capofila dell'appalto, limitatamente ai turni e alle ore rendicontate, senza causali di assenza;
• il fornitore del servizio di hosting, in qualità di responsabile del trattamento ex art. 28 GDPR;
• il fornitore del servizio di intelligenza artificiale (GEMINI), quando l'assistente viene interrogato: alla richiesta è allegato il quadro della settimana, che contiene nominativi, turni e presenza o assenza delle persone pianificate. Non vengono trasmessi codici fiscali, retribuzioni né causali di assenza. Il fornitore può trovarsi fuori dallo Spazio Economico Europeo: il trasferimento avviene sulla base delle clausole contrattuali standard adottate dal fornitore stesso. L'assistente è facoltativo e può essere disattivato dalla pagina Configurazione: da quel momento nessun dato esce dall'applicativo per questa finalità.

I dati non sono diffusi né ceduti a terzi per finalità proprie.

7. Per quanto tempo

• Turni, assenze e rendicontazione: 60 mesi dalla chiusura dell'annualità contrattuale, salvo i termini più lunghi imposti dalla normativa fiscale e giuslavoristica o dalla difesa di un diritto in giudizio.
• Registro degli accessi: 180 giorni, poi cancellazione automatica.
• Utenze: per la durata dell'abilitazione; alla cessazione l'utenza viene disattivata e successivamente rimossa.

8. Come sono protetti

• accesso nominativo con password personale, mai conosciuta da altri: nel database è conservata solo un'impronta crittografica, dalla quale la password non è ricavabile;
• cambio obbligatorio della password al primo accesso e a ogni reimpostazione;
• blocco temporaneo dell'utenza dopo 5 tentativi non riusciti;
• chiusura automatica della sessione dopo 120 minuti di inattività e comunque dopo 12 ore;
• cookie di sessione non leggibile da script e non inviabile a siti terzi;
• minimizzazione: ogni ruolo vede il minimo indispensabile, i dati di provenienza sono troncati alla rete, le causali di assenza non escono dall'applicativo.

9. Nessuna decisione automatizzata, nessun controllo a distanza

L'assistente può proporre una distribuzione dei turni, ma nessuna proposta diventa effettiva senza che una persona la approvi: non esiste alcun processo decisionale automatizzato ai sensi dell'art. 22 GDPR. Il registro degli accessi annota chi entra e quando, non ciò che l'utente fa dentro l'applicativo, e non è utilizzabile per finalità di controllo a distanza dell'attività lavorativa (art. 4 L. 300/1970).

10. I tuoi diritti

Puoi chiedere in ogni momento l'accesso ai tuoi dati, la loro rettifica o cancellazione, la limitazione o l'opposizione al trattamento, e la portabilità dei dati trattati sulla base del contratto (artt. 15-22 GDPR). La richiesta va indirizzata a privacy@b-link.it e riceve riscontro entro un mese.

Se ritieni che il trattamento violi il Regolamento puoi proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o ricorso all'autorità giudiziaria.

11. Cookie

L'applicativo usa un solo cookie, GTBLINK, strettamente necessario a mantenere la sessione di lavoro: si cancella alla chiusura del browser e non richiede consenso (art. 122 D.lgs. 196/2003). Non sono presenti cookie di profilazione né strumenti di analisi statistica di terze parti. La preferenza di tema chiaro/scuro è salvata nel solo browser dell'utente e non raggiunge il server.