Accordo sul trattamento dei dati (DPA) per vivotempo

Premessa

Bergx2 GmbH, Hochriesstr. 46, 85560 Ebersberg, Germania (di seguito «responsabile del trattamento»), gestisce l'applicazione software as a service vivotempo per la gestione delle ferie, la rilevazione delle presenze, i certificati di malattia e altre attività del personale. Nell'ambito del suo utilizzo tratta dati personali per conto del cliente (di seguito «titolare del trattamento») ai sensi dell'art. 4, n. 8, e dell'art. 28 GDPR. Il presente accordo stabilisce gli obblighi e i diritti di entrambe le parti ai sensi dell'art. 28, par. 3, GDPR.

Art. 1 Oggetto e durata del trattamento

(1) Oggetto. Il responsabile del trattamento mette a disposizione del titolare vivotempo come software as a service. A tal fine tratta i dati personali descritti nell'allegato 1 esclusivamente secondo le istruzioni del titolare.

(2) Durata. L'accordo si applica dalla conclusione del contratto relativo a vivotempo (contratto principale secondo le condizioni generali) e termina con la cessazione di quest'ultimo. Gli obblighi di restituzione e cancellazione (art. 10) e di riservatezza (art. 5, comma 2) continuano ad applicarsi anche dopo.

Art. 2 Natura e finalità del trattamento

(1) Il responsabile del trattamento tratta i dati per le seguenti finalità:

• Messa a disposizione di vivotempo: gestione di ferie e assenze, rilevazione delle presenze nel browser e al terminale, certificati di malattia, premio salute, analisi ed esportazioni per le paghe
• Accesso e protezione degli account: password, secondo fattore, passkey e identificazione al terminale
• Invio di notifiche nell'app e via e-mail
• Gestione operativa, sicurezza, analisi degli errori e assistenza

(2) Non ha luogo alcun trattamento per finalità proprie del responsabile del trattamento, ad esempio per pubblicità, profilazione o vendita di dati.

Art. 3 Tipi di dati e categorie di interessati

(1) I dettagli sono riportati nell'allegato 1. Gli interessati sono i dipendenti del titolare, compresi gli ex dipendenti, nonché le altre persone a cui il titolare concede l'accesso a vivotempo.

(2) Categorie particolari di dati personali (art. 9 GDPR). A seconda delle funzioni utilizzate, vivotempo tratta dati relativi alla salute (certificati di malattia con il relativo periodo ed eventualmente attestati) e dati biometrici (una caratteristica del volto calcolata da un'immagine della fotocamera per l'identificazione al terminale, solo se il titolare attiva questa modalità; l'immagine stessa non viene salvata). Il titolare garantisce l'esistenza di una base giuridica; per il riconoscimento facciale è di norma necessario il consenso libero dei dipendenti. vivotempo limita l'accesso a questi dati ai ruoli autorizzati dal titolare.

Art. 4 Obblighi e diritti del titolare del trattamento

(1) Responsabilità e istruzioni. Il titolare è responsabile della liceità del trattamento (art. 24 GDPR). Valgono come istruzioni il presente accordo e le impostazioni che il titolare effettua in vivotempo, ad esempio ruoli, autorizzazioni, funzioni attivate e periodi di conservazione. Ulteriori istruzioni sono impartite in forma scritta, anche elettronica.

(2) Informazione dei dipendenti. Il titolare informa gli interessati sul trattamento ai sensi degli artt. 13 e 14 GDPR.

(3) Verifica. Il titolare verifica l'idoneità delle misure dell'allegato 2 per il proprio trattamento e comunica eventuali riserve al responsabile del trattamento.

Art. 5 Obblighi del responsabile del trattamento

(1) Istruzioni. Il responsabile del trattamento tratta i dati soltanto su istruzione documentata del titolare, salvo che lo richieda il diritto dell'Unione o di uno Stato membro; in tal caso informa il titolare di tale obbligo prima del trattamento, a meno che il diritto lo vieti. Se ritiene che un'istruzione sia illecita, ne informa immediatamente il titolare (art. 28, par. 3, GDPR).

(2) Riservatezza. Tutte le persone che hanno accesso ai dati si sono impegnate alla riservatezza prima di iniziare la propria attività (art. 28, par. 3, lett. b, GDPR).

(3) Sicurezza. Il responsabile del trattamento adotta le misure tecniche e organizzative dell'allegato 2 (art. 32 GDPR) e le adegua allo stato dell'arte senza ridurre il livello di protezione.

(4) Assistenza. Il responsabile del trattamento assiste il titolare nell'adempimento degli obblighi di cui agli artt. da 32 a 36 GDPR, in particolare per i diritti degli interessati (art. 7), la notifica delle violazioni dei dati (art. 8) e una valutazione d'impatto sulla protezione dei dati.

(5) Responsabile della protezione dei dati. Il responsabile della protezione dei dati del responsabile del trattamento è Zsu Sernc-Urban, raggiungibile all'indirizzo sopra indicato o via e-mail a info@bergx2.de con oggetto «Datenschutz».

Art. 6 Sub-responsabili del trattamento

(1) Autorizzazione. Il titolare autorizza i sub-responsabili indicati nell'allegato 3 (art. 28, par. 2, GDPR).

(2) Modifiche. Il responsabile del trattamento informa il titolare per iscritto almeno 30 giorni prima dell'aggiunta o della sostituzione prevista di un sub-responsabile, agli indirizzi e-mail degli amministratori dell'account cliente.

(3) Opposizione. Il titolare può opporsi a una modifica entro tale termine per un motivo importante legato alla protezione dei dati. Se le parti non trovano una soluzione condivisa, il titolare può recedere dal contratto principale per giusta causa.

(4) Vincolo. Il responsabile del trattamento vincola contrattualmente ogni sub-responsabile agli obblighi del presente accordo (art. 28, par. 4, GDPR).

(5) Paesi terzi. Un trasferimento verso paesi al di fuori dell'UE o del SEE avviene solo se sono soddisfatte le condizioni degli artt. da 44 a 49 GDPR, in particolare sulla base di una decisione di adeguatezza, compreso il quadro UE-USA per la protezione dei dati (EU-US Data Privacy Framework), o delle clausole contrattuali tipo della Commissione europea.

Art. 7 Diritti degli interessati

(1) Il responsabile del trattamento assiste il titolare con misure tecniche e organizzative adeguate nell'adempimento dei diritti di cui al capo III GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). A tal fine vivotempo offre, tra l'altro, funzioni per modificare, esportare e cancellare i dati.

(2) Se gli interessati si rivolgono direttamente al responsabile del trattamento, questi inoltra immediatamente la richiesta al titolare e vi risponde solo su sua istruzione.

Art. 8 Notifica delle violazioni dei dati personali

(1) Il responsabile del trattamento informa il titolare senza ingiustificato ritardo, se possibile entro 24 ore dalla conoscenza, di ogni violazione dei dati personali nel proprio ambito di responsabilità o presso un sub-responsabile.

(2) La notifica avviene per iscritto agli amministratori dell'account cliente e contiene, per quanto noto, le informazioni di cui all'art. 33, par. 3, GDPR: natura e portata della violazione, numero di interessati, probabili conseguenze e misure adottate.

(3) Le notifiche all'autorità di controllo (art. 33 GDPR) e agli interessati (art. 34 GDPR) spettano al titolare; il responsabile del trattamento lo assiste fornendo tutte le informazioni necessarie.

Art. 9 Prove e controlli

(1) Su richiesta, il responsabile del trattamento mette a disposizione del titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi del presente accordo, in particolare la versione aggiornata degli allegati 2 e 3 nonché certificati e rapporti di audit dei gestori dei centri dati.

(2) Con un preavviso di almeno quattro settimane, il titolare può verificare il rispetto delle misure, anche in loco durante il normale orario di lavoro. I controlli non devono disturbare l'attività in modo sproporzionato e, in assenza di un motivo particolare, si svolgono al massimo una volta per anno solare. Gli auditor devono essere vincolati alla riservatezza.

Art. 10 Restituzione e cancellazione

(1) Durante la durata del contratto, il titolare può modificare e cancellare autonomamente i dati in vivotempo e impostare periodi di conservazione per le registrazioni orarie e i certificati di malattia.

(2) Al termine del contratto principale, il responsabile del trattamento restituisce i dati a scelta del titolare (esportazione in un formato comune e leggibile da macchina) oppure li cancella, al più tardi 30 giorni dopo la fine del contratto, salvo obblighi di legge di conservazione.

(3) I backup vengono sovrascritti nel normale ciclo di backup, al più tardi dopo 30 giorni. Su richiesta, il responsabile del trattamento conferma la cancellazione per iscritto.

(4) Restano salvi gli obblighi di conservazione previsti dalla legge per il responsabile del trattamento, ad esempio per la documentazione contabile ai sensi del § 257 del codice commerciale tedesco (HGB) e del § 147 del codice tributario tedesco (AO).

Art. 11 Responsabilità e disposizioni finali

(1) La responsabilità è disciplinata dalle disposizioni del contratto principale (condizioni generali) e dall'art. 82 GDPR.

(2) Le modifiche al presente accordo richiedono la forma scritta, anche elettronica. Il responsabile del trattamento annuncia le nuove versioni almeno 30 giorni prima della loro entrata in vigore (vedi «Efficacia»).

(3) In caso di contrasto tra il presente accordo e il contratto principale, per le questioni di protezione dei dati prevale il presente accordo.

(4) L'eventuale invalidità di singole disposizioni non pregiudica la validità delle restanti.

(5) Si applica il diritto tedesco, con esclusione della Convenzione delle Nazioni Unite sui contratti di compravendita internazionale di merci. Nei limiti consentiti dalla legge, il foro competente è quello della sede del responsabile del trattamento.

Allegato 1: Descrizione del trattamento

• Oggetto: messa a disposizione di vivotempo come software as a service, con hosting, archiviazione dei dati, accesso, notifiche e assistenza
• Durata: durata del contratto principale e al massimo 30 giorni successivi per la restituzione e la cancellazione
• Natura del trattamento: raccolta, registrazione, conservazione, organizzazione, adattamento, consultazione, analisi, messa a disposizione degli utenti autorizzati, cancellazione
• Interessati: dipendenti del titolare (compresi gli ex dipendenti), amministratori e altri utenti a cui il titolare concede l'accesso
• Dati anagrafici: nome, indirizzo e-mail, numero di matricola, reparto, ruolo, date di assunzione e di cessazione, paese di lavoro, fuso orario, foto del profilo
• Assenze: richieste di ferie e decisioni con commenti, saldo ferie e riporto, altre assenze
• Orario di lavoro: inizio, fine, pause, correzioni, ora e terminale di una timbratura, maggiorazioni e saldi
• Dati relativi alla salute (art. 9 GDPR): certificati di malattia con il relativo periodo e attestati caricati, giorni di malattia per il premio salute
• Dati di accesso: indirizzo e-mail, password (solo come hash), secondo fattore (indirizzo e-mail o ID Threema), chiavi pubbliche delle passkey
• Identificazione al terminale: PIN, ID della carta NFC, codice QR, ID del dispositivo Bluetooth; su richiesta del titolare, una caratteristica del volto come vettore (dati biometrici ai sensi dell'art. 9 GDPR)
• Registri: registro delle modifiche con ora e persona che agisce, registri tecnici dei server (indirizzo IP, ora, indirizzo richiamato)
• Notifiche: notifiche nell'app e via e-mail
• Luogo di archiviazione: database e archiviazione dei file presso Supabase nell'UE (centro dati di Parigi, Francia), funzioni server presso Vercel nell'UE (regione di Parigi)
• Paesi terzi: Vercel Inc. e Supabase Inc. hanno sede negli Stati Uniti; un accesso da lì, ad esempio per la gestione operativa e l'assistenza, è possibile ed è tutelato dal quadro UE-USA per la protezione dei dati e da clausole contrattuali tipo. Per Threema GmbH (Svizzera) esiste una decisione di adeguatezza della Commissione europea.

Allegato 2: Misure tecniche e organizzative (art. 32 GDPR)

Le seguenti misure si applicano a vivotempo. I dettagli di attuazione, ad esempio le configurazioni, non vengono descritti pubblicamente per motivi di sicurezza; il titolare li riceve su richiesta motivata nell'ambito dell'art. 9.

• Controllo dell'accesso fisico: i server si trovano nei centri dati dei fornitori (Amazon Web Services tramite Supabase, Vercel) con sicurezza fisica certificata, tra l'altro secondo ISO/IEC 27001 e SOC 2. I locali del responsabile del trattamento sono protetti contro accessi non autorizzati; i visitatori sono sempre accompagnati.
• Controllo dell'accesso ai sistemi: accesso con account personale e password, a scelta con secondo fattore (codice via e-mail, Threema, passkey) e blocco dopo cinque tentativi falliti; i terminali accedono con una propria chiave di dispositivo; solo poche persone autorizzate hanno accesso amministrativo ai fornitori.
• Controllo dell'accesso ai dati: separazione dei clienti a livello di database (row level security); ruoli differenziati (dipendente, responsabile di team, HR, amministratore) con autorizzazioni precise; dati relativi alla salute e caratteristiche di identificazione solo per i ruoli autorizzati; test automatizzati delle regole di accesso a ogni modifica.
• Controllo della separazione: i dati dei diversi clienti sono trattati in modo logicamente separato; ogni accesso è vincolato al rispettivo cliente.
• Cifratura: tutte le connessioni sono cifrate con TLS; il database e l'archiviazione dei file sono cifrati a riposo; le password sono salvate solo come hash.
• Controllo degli inserimenti: le modifiche ai dati dei dipendenti, alle richieste, alle registrazioni orarie e alle impostazioni sono registrate nel registro con ora e persona che agisce; le correzioni delle registrazioni orarie restano tracciabili.
• Controllo delle trasmissioni: i dati sono trasmessi solo in forma cifrata; esportazioni e analisi sono disponibili solo per i ruoli autorizzati; non avviene alcuna trasmissione senza base contrattuale.
• Controllo degli incarichi: accordi sul trattamento dei dati con tutti i sub-responsabili (allegato 3) e loro verifica periodica.
• Disponibilità e resilienza: gestione presso fornitori con infrastruttura ridondante e monitoraggio continuo; backup regolari del database; in caso di interruzione della connessione i terminali memorizzano le timbrature e le trasmettono successivamente.
• Ripristinabilità: i backup consentono di ripristinare i dati dopo un incidente.
• Verifica e valutazione: responsabile della protezione dei dati designato, procedura definita in caso di violazioni dei dati, test automatizzati prima di ogni rilascio, controlli di sicurezza periodici delle regole di accesso.
• Minimizzazione e cancellazione dei dati: periodi di conservazione configurabili per le registrazioni orarie e i certificati di malattia, restituzione e cancellazione dopo la fine del contratto secondo l'art. 10.

Allegato 3: Sub-responsabili del trattamento

Aggiornato al 14/10/2026

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA: hosting dell'applicazione e delle funzioni server (regione di Parigi, Francia) e distribuzione del sito web; tratta tutti i dati durante l'elaborazione delle richieste nonché i registri dei server. Base: accordo sul trattamento dei dati, quadro UE-USA per la protezione dei dati, clausole contrattuali tipo.
• Supabase Inc., USA: database, accesso e archiviazione dei file nel centro dati di Parigi (Francia, Amazon Web Services); tratta tutti i dati indicati nell'allegato 1. Base: accordo sul trattamento dei dati, quadro UE-USA per la protezione dei dati, clausole contrattuali tipo.
• Scaleway SAS, Parigi, Francia: invio di e-mail (notifiche, codici, link); tratta indirizzo e-mail, nome e contenuto del messaggio. Base: accordo sul trattamento dei dati.
• Threema GmbH, Churerstrasse 82, 8808 Pfäffikon SZ, Svizzera: invio di codici di accesso tramite Threema, solo se gli utenti scelgono Threema come secondo fattore; tratta ID Threema e codice. Base: decisione di adeguatezza della Commissione europea per la Svizzera.

Le e-mail passano inoltre attraverso un servizio di inoltro gestito dalla stessa Bergx2 GmbH. Altri fornitori senza accesso ai dati di vivotempo, ad esempio per il pagamento dell'account cliente (Mollie), per i dati sui giorni festivi o per la verifica della partita IVA (VIES), non sono sub-responsabili ai sensi del presente accordo.

Efficacia

Il presente accordo diventa parte del contratto con la conclusione del contratto principale (registrazione secondo le condizioni generali); è sufficiente la conclusione in formato elettronico (art. 28, par. 9, GDPR).

Inoltre, gli amministratori del cliente possono accettare espressamente l'accordo nell'account cliente. Vengono salvati la versione, la data e l'ora, la persona che accetta, il cliente e un checksum della versione accettata.

Il responsabile del trattamento annuncia le nuove versioni per iscritto almeno 30 giorni prima della loro entrata in vigore; nell'account cliente gli amministratori vengono invitati ad accettarle nuovamente.

Su richiesta del cliente, l'accordo può inoltre essere firmato a mano o con firma elettronica qualificata; l'accettazione elettronica resta valida.

Versioni

• Versione 1.0 del 14/10/2026: prima versione