Informativa sulla Privacy

La presente Informativa sulla Privacy descrive le modalità con cui Safepiens, NIPT M21704029F, con sede in Rruga Ferit Xhajko, Tiranë, Albania ("noi", "ci" o "nostro") raccoglie, utilizza, conserva e protegge i dati personali dell'utente quando utilizza la piattaforma e il sito web Safepiens (il "Servizio"). Ci impegniamo a proteggere la privacy dell'utente e a trattare i suoi dati in conformità con la normativa applicabile in materia di protezione dei dati, incluso il Regolamento Generale sulla Protezione dei Dati (UE) 2016/679 ("GDPR") ove applicabile.

1. Titolare del Trattamento

Il titolare del trattamento responsabile del trattamento dei dati personali dell'utente è:

• Nome: Safepiens
• Indirizzo: Rruga Ferit Xhajko, Tiranë, Albania
• NIPT: M21704029F
• Email: [email protected]

Per i clienti che utilizzano il Servizio per gestire i dati dei dipendenti, il Cliente agisce in qualità di titolare del trattamento e Safepiens agisce in qualità di responsabile del trattamento.

2. Categorie di Dati Personali Raccolti

Possiamo raccogliere e trattare le seguenti categorie di dati personali:

2.1 Dati forniti direttamente dall'utente

• Informazioni sull'account: nome, indirizzo email, password (sottoposta a hashing), nome dell'azienda.
• Informazioni di contatto: indirizzo email inviato tramite i moduli del nostro sito web.
• Dati di comunicazione: messaggi e corrispondenza inviati a noi.

2.2 Dati trattati per conto dei Clienti (in qualità di responsabile del trattamento)

• Registri dei dipendenti: nomi, dati anagrafici, informazioni sull'impiego, dati organizzativi.
• Dati sulle presenze: registrazioni di ingresso/uscita, turni, richieste di ferie e, dove il Cliente lo attiva, la posizione di ingressi, uscite e check-in, con i relativi indirizzi.
• Dati sulle attività lavorative: tracciamento delle attività, assegnazione dei progetti, registri delle attività.
• Dati organizzativi: strutture dipartimentali, gerarchie di reporting, dettagli retributivi.
• Conversazioni con l'assistente AI: le domande che i manager pongono all'assistente AI, le sue risposte e, per 30 giorni, i dati che ha consultato per scriverle.

2.3 Dati raccolti automaticamente

• Dati tecnici: indirizzo IP, tipo e versione del browser, informazioni sul dispositivo, sistema operativo.
• Dati di utilizzo: pagine visitate, funzionalità utilizzate, marcature temporali, fonti di riferimento.
• Dati sui cookie: consultare la nostra Politica sui Cookie per i dettagli.

3. Finalità e Basi Giuridiche del Trattamento

Trattiamo i dati personali dell'utente per le seguenti finalità e sulla base delle seguenti basi giuridiche:

Finalità	Base Giuridica (GDPR Art. 6)
Fornitura e gestione del Servizio	Esecuzione del contratto (Art. 6(1)(b))
Creazione dell'account e autenticazione	Esecuzione del contratto (Art. 6(1)(b))
Trattamento dei dati dei dipendenti per conto dei Clienti	Esecuzione del contratto (Art. 6(1)(b))
Risposta a richieste di informazioni e di supporto	Interesse legittimo (Art. 6(1)(f))
Invio di aggiornamenti e notifiche sul servizio	Interesse legittimo (Art. 6(1)(f))
Analisi e miglioramento del servizio	Interesse legittimo (Art. 6(1)(f))
Comunicazioni di marketing (newsletter)	Consenso (Art. 6(1)(a))
Adempimento degli obblighi di legge e prevenzione delle frodi	Obbligo legale (Art. 6(1)(c))

4. Condivisione dei Dati e Terze Parti

Non vendiamo i dati personali dell'utente. Possiamo condividere i dati con le seguenti categorie di destinatari solo quando necessario:

• Fornitori di hosting e infrastruttura: per archiviare e servire i dati in modo sicuro.
• Pagamenti e fatturazione (Merchant of Record): Paddle.com Market Limited agisce come nostro Merchant of Record e gestisce tutti i pagamenti degli abbonamenti, le fatture, le imposte sulle vendite e i rimborsi per nostro conto. Al momento dell'abbonamento, Paddle raccoglie nome, email, indirizzo di fatturazione e dettagli del metodo di pagamento direttamente tramite il proprio checkout sicuro. Safepiens non riceve né conserva il numero completo della carta. Consulta l'informativa sulla privacy di Paddle su paddle.com/legal/privacy.
• Servizi di analisi: per comprendere i modelli di utilizzo e migliorare il Servizio (ad es. Google Analytics).
• Pubblicità (Meta): solo se consenti i cookie di Marketing sul nostro sito, il Meta Pixel invia a Meta Platforms Ireland Limited le pagine che visiti, il tuo indirizzo IP e i dati del browser, così possiamo misurare i nostri annunci su Facebook e Instagram.
• Fornitore dell'assistente AI: quando un manager pone una domanda all'assistente AI, la domanda e i Dati del Cliente necessari per rispondere vengono inviati a OpenAI, che scrive la risposta. Vengono inviati solo i dati che il manager può già vedere nel Servizio. I file dei documenti e il loro contenuto, le coordinate GPS, gli indirizzi di residenza, i numeri di telefono, le date di nascita e gli stipendi non vengono mai inviati, e gli indirizzi email solo quando il manager li richiede. OpenAI non utilizza questi dati per addestrare i propri modelli.
• Fornitori di servizi email: per inviare comunicazioni transazionali e di marketing.
• Autorità legali e regolatorie: quando richiesto dalla legge o per tutelare i nostri diritti.

Tutti i responsabili del trattamento terzi sono vincolati da accordi per il trattamento dei dati e sono tenuti ad implementare misure di sicurezza adeguate in conformità con la normativa applicabile in materia di protezione dei dati.

4.1 Sub-responsabili del trattamento

I seguenti sub-responsabili possono trattare i dati personali per nostro conto:

Sub-responsabile	Finalità	Sede
Paddle.com Market Limited	Merchant of Record: fatturazione abbonamenti, imposte e rimborsi	Regno Unito & Stati Uniti
Google LLC (Analytics)	Analisi anonima dell'utilizzo del sito	Stati Uniti
OpenAI, L.L.C.	Assistente AI: risposte alle domande dei manager	Stati Uniti
Fornitore di hosting	Hosting dell'applicazione e dei dati	Unione Europea

5. Trasferimenti Internazionali di Dati

I dati dell'utente possono essere trattati in paesi al di fuori del suo paese di residenza. In caso di trasferimento di dati personali al di fuori dello Spazio Economico Europeo (SEE), garantiamo l'adozione di garanzie adeguate, quali:

• Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea (incluse le SCC UE del 2021) — utilizzate per i trasferimenti al nostro fornitore di pagamenti Paddle, a Google Analytics e al nostro fornitore dell'assistente AI OpenAI.
• Decisioni di adeguatezza della Commissione Europea (ad esempio, la decisione di adeguatezza per il Regno Unito applicabile a Paddle.com Market Limited).
• Altri meccanismi di trasferimento legalmente riconosciuti.

Copie delle SCC applicabili e delle valutazioni d'impatto sui trasferimenti sono disponibili su richiesta a [email protected].

6. Conservazione dei Dati

Conserviamo i dati personali dell'utente solo per il tempo necessario al conseguimento delle finalità per le quali sono stati raccolti:

• Dati dell'account: conservati per la durata dell'account e fino a 30 giorni dopo la sua chiusura.
• Dati del Cliente (registri dei dipendenti): conservati per la durata dell'abbonamento del Cliente e fino a 30 giorni dopo la sua risoluzione, salvo che il Cliente ne richieda la cancellazione anticipata.
• Comunicazioni inviate tramite modulo di contatto: conservate fino a 24 mesi.
• Dati analitici: conservati in forma aggregata fino a 26 mesi.
• Registri per conformità legale: conservati come richiesto dalla normativa applicabile.

Al termine del periodo di conservazione, i dati vengono cancellati in modo sicuro o anonimizzati.

7. Sicurezza dei Dati

Implementiamo misure tecniche e organizzative adeguate per proteggere i dati personali dell'utente, in linea con i principi della norma ISO 27001, tra cui:

• Crittografia dei dati in transito (TLS/SSL) e a riposo.
• Controlli di accesso e permessi basati sui ruoli.
• Valutazioni di sicurezza e monitoraggio periodici.
• Hashing sicuro delle password (bcrypt).
• Isolamento dei dati multi-tenant che garantisce la separazione logica dei dati di ciascun cliente.
• Backup regolari e procedure di disaster recovery.

Sebbene adottiamo precauzioni ragionevoli, nessun metodo di trasmissione o archiviazione è sicuro al 100%. Invitiamo l'utente a utilizzare password robuste e a mantenere riservate le proprie credenziali.

8. Diritti dell'Utente

Ai sensi della normativa applicabile in materia di protezione dei dati, incluso il GDPR, l'utente gode dei seguenti diritti:

• Diritto di accesso (Art. 15): ottenere conferma dell'esistenza di un trattamento dei propri dati e richiederne una copia.
• Diritto di rettifica (Art. 16): richiedere la correzione di dati inesatti o incompleti.
• Diritto alla cancellazione (Art. 17): richiedere la cancellazione dei propri dati a determinate condizioni.
• Diritto alla limitazione del trattamento (Art. 18): richiedere la limitazione del trattamento in determinate circostanze.
• Diritto alla portabilità dei dati (Art. 20): ricevere i propri dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
• Diritto di opposizione (Art. 21): opporsi al trattamento basato sull'interesse legittimo o al marketing diretto.
• Diritto di revoca del consenso (Art. 7(3)): revocare il consenso in qualsiasi momento qualora il trattamento sia basato sul consenso.
• Diritto di proporre reclamo: presentare un reclamo all'autorità di controllo competente.

Per esercitare uno qualsiasi di questi diritti, si prega di contattarci all'indirizzo [email protected]. Risponderemo alla richiesta entro 30 giorni.

Per i dipendenti i cui dati sono gestiti tramite il Servizio dal proprio datore di lavoro, si prega di rivolgere le richieste relative ai diritti dell'interessato al proprio datore di lavoro (il titolare del trattamento), il quale si coordinerà con noi secondo necessità.

9. Privacy dei Minori

Il Servizio non è destinato a persone di età inferiore ai 16 anni. Non raccogliamo consapevolmente dati personali di minori. Qualora si ritenga che abbiamo inavvertitamente raccolto dati di un minore, si prega di contattarci immediatamente affinché possiamo adottare le misure appropriate.

10. Processo Decisionale Automatizzato

Non utilizziamo processi decisionali automatizzati né profilazione che producano effetti giuridici o effetti analogamente significativi sulle persone fisiche. L'assistente AI risponde alle domande dei manager solo con dati e registrazioni del Servizio; non prende né raccomanda decisioni sulle persone.

11. Modifiche alla Presente Informativa sulla Privacy

Potremo aggiornare la presente Informativa sulla Privacy di tanto in tanto. Comunicheremo le modifiche sostanziali pubblicando l'informativa aggiornata sul nostro sito web e indicando la data di "Ultimo aggiornamento". Invitiamo l'utente a consultare periodicamente la presente informativa.

12. Contattaci

Per domande relative alla presente Informativa sulla Privacy o per esercitare i propri diritti in materia di protezione dei dati, si prega di contattarci:

• Email: [email protected]
• Indirizzo: Rruga Ferit Xhajko, Tiranë, Albania
• NIPT: M21704029F