Accordo sul trattamento dei dati personali (art. 28 GDPR)
Ultimo aggiornamento:
Allegato ai Termini e Condizioni di fluxHR®. È accettato dal Cliente online, all'attivazione del Servizio, e ne costituisce parte integrante.
1. Parti e oggetto
Il presente Accordo è concluso tra il Cliente, in qualità di titolare del trattamento, e Logikamente s.r.l., Via Francesco Luigi Ferrari 31/E, 44122 Ferrara, P.IVA 01942790385, in qualità di responsabile del trattamento ("Responsabile"). Disciplina il trattamento dei dati personali effettuato dal Responsabile per conto del Cliente nell'erogazione del servizio fluxHR® ("Servizio"), ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR").
2. Descrizione del trattamento
| Elemento | Contenuto |
|---|---|
| Natura e finalità | Erogazione, assistenza e manutenzione del Servizio di gestione di presenze, assenze, note spese e documenti del personale e delle altre funzioni attivate dal Cliente |
| Categorie di interessati | Dipendenti e collaboratori del Cliente; visitatori e partecipanti a eventi registrati dal Cliente; candidati e altri soggetti i cui dati sono inseriti dal Cliente |
| Categorie di dati | Dati identificativi e di contatto; dati di presenza, sede di timbratura e, se la geolocalizzazione è attiva, posizione rilevata; dati su assenze, permessi e note spese; documenti di lavoro; altri dati anagrafici, amministrativi e organizzativi inseriti dal Cliente; dati tecnici di accesso |
| Categorie particolari | Tipologie di assenza che possono rivelare dati relativi alla salute o alla situazione familiare (art. 9 GDPR), limitatamente a tipologia e periodo; eventuali dati della stessa natura contenuti nei documenti che il Cliente sceglie di archiviare nel Servizio |
| Durata | Pari alla durata del contratto, salvo quanto previsto al punto 8 |
3. Obblighi del Cliente
Il Cliente garantisce di disporre di una base giuridica valida per i trattamenti affidati al Responsabile, di fornire agli interessati l'informativa prevista dagli artt. 13 e 14 GDPR e di valutare, ove necessario, l'impatto del trattamento (art. 35 GDPR) e la conformità all'art. 4 della Legge 300/1970. Le funzionalità attivate e le configurazioni impostate dal Cliente nel Servizio costituiscono istruzioni documentate al Responsabile.
4. Obblighi del Responsabile
Il Responsabile:
- tratta i dati soltanto su istruzione documentata del Cliente e informa immediatamente il Cliente qualora, a suo parere, un'istruzione violi il GDPR o altre norme in materia di protezione dei dati;
- garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza;
- adotta le misure tecniche e organizzative adeguate di cui all'art. 32 GDPR, tra cui accesso con credenziali personali e profili per ruolo, cifratura delle comunicazioni, separazione dei dati di ciascun Cliente, cancellazione allo scadere dei periodi di conservazione;
- tiene il registro delle attività di trattamento svolte per conto dei Clienti (art. 30, par. 2 GDPR);
- non utilizza i dati per finalità proprie.
5. Sub-responsabili
Il Cliente autorizza in via generale il Responsabile a ricorrere a sub-responsabili per l'hosting, l'invio delle email automatiche, la gestione dei pagamenti e la distribuzione di librerie e caratteri tipografici. L'elenco aggiornato è disponibile su richiesta. Il Responsabile comunica al Cliente ogni aggiunta o sostituzione di sub-responsabili con 30 giorni di preavviso; entro tale termine il Cliente può opporsi per motivi fondati relativi alla protezione dei dati e, in mancanza di una soluzione, recedere dal contratto. Ai sub-responsabili sono imposti, per contratto, obblighi equivalenti a quelli del presente Accordo; il Responsabile resta pienamente responsabile del loro operato.
I servizi di Google Maps Platform, utilizzati dall'App per convertire la posizione in indirizzo, sono prestati da Google Ireland Limited in qualità di titolare autonomo.
6. Assistenza al Cliente
Il Responsabile trasmette al Cliente senza ritardo le richieste ricevute direttamente dagli interessati. Su richiesta del Cliente, assiste quest'ultimo nel dare seguito all'esercizio dei diritti degli interessati (artt. 15-22 GDPR) e negli adempimenti di cui agli artt. 32-36 GDPR, inclusa la valutazione d'impatto. Le attività di assistenza sono a pagamento, secondo preventivo.
7. Violazione dei dati personali
Il Responsabile informa il Cliente senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali (art. 33, par. 2 GDPR), fornendo le informazioni disponibili sulla natura della violazione, sulle categorie e sul numero approssimativo di interessati e di dati coinvolti, sulle probabili conseguenze e sulle misure adottate o proposte.
8. Cessazione e cancellazione dei dati
Alla cessazione del contratto il Cliente dispone di 90 giorni per esportare i propri dati dal Servizio. Decorso tale termine il Responsabile cancella i dati, salvo che la legge ne imponga la conservazione; le copie di backup sono eliminate entro 12 mesi. Su richiesta, il Responsabile rilascia conferma scritta dell'avvenuta cancellazione.
9. Verifiche
Il Responsabile mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto del presente Accordo, in primo luogo tramite documentazione e risposte scritte. Ove tali informazioni non siano sufficienti, il Cliente, o un revisore da lui incaricato e vincolato alla riservatezza, può svolgere un'ispezione con preavviso scritto di almeno 30 giorni, in orario lavorativo e senza pregiudicare la sicurezza degli altri Clienti. I costi delle verifiche sono a carico del Cliente.
10. Trasferimenti fuori dall'Unione europea
I dati sono conservati su server situati nell'Unione europea. Eventuali trasferimenti al di fuori dello Spazio Economico Europeo avvengono solo nel rispetto degli artt. 44 e seguenti GDPR, sulla base di una decisione di adeguatezza o delle clausole contrattuali tipo approvate dalla Commissione europea.
11. Disposizioni finali
Il presente Accordo resta in vigore per tutta la durata del contratto e, oltre essa, fino alla cancellazione dei dati. In caso di contrasto con i Termini e Condizioni, prevale il presente Accordo per quanto riguarda la protezione dei dati personali. Si applicano la legge italiana e il foro previsto dai Termini e Condizioni.