Informativa Privacy

[DA COMPILARE: ragione sociale], P.IVA [DA COMPILARE], sede legale in [DA COMPILARE]. Contatto per questioni di privacy: [DA COMPILARE: email dedicata, es. privacy@myshift.it].

MyShift tratta due categorie di dati con un ruolo diverso in ciascun caso, e questa distinzione conta:

• Dati del tuo account (email con cui ti registri, password, eventuali dati di fatturazione futuri): qui MyShift è titolare del trattamento.
• Dati che inserisci sui tuoi dipendenti (anagrafica, contratti, disponibilità, presenze, ferie): qui MyShift è responsabile del trattamento (art. 28 GDPR) e tu — il locale che usa l'app — resti titolare verso i tuoi dipendenti. MyShift tratta quei dati solo per fornirti il servizio, secondo le tue istruzioni, non per finalità proprie. Se hai bisogno di un accordo formale di nomina a responsabile del trattamento, scrivi a [DA COMPILARE: email].

Non un elenco generico — questo è quello che il database di MyShift contiene davvero, voce per voce:

• Account: email, password (gestita da Supabase Auth, MyShift non la vede mai in chiaro).
• Azienda: ragione sociale del locale, sedi, reparti, ruoli.
• Dipendenti: nome e cognome, ruoli assegnati e livello di competenza, dati di contratto (ore settimanali, costo orario, ore massime al giorno), regole di disponibilità/vincoli.
• Accesso alla Stazione: un PIN a 4 cifre per dipendente, salvato solo come hash (impronta) — non è recuperabile nemmeno da chi gestisce il database.
• Presenze: data e ora di ogni timbratura di entrata/uscita.
• Ferie e assenze: tipo di assenza (ferie, malattia, permesso, altro), intervallo di date, una nota visibile a tutto il team (facoltativa) e un motivo riservato visibile solo al titolare/gestore (facoltativo).
• Statistiche del locale: coperti, incasso, note sull'andamento della giornata — dati dell'attività, non dati personali di una persona specifica.

Quando un'assenza viene segnata come "malattia", quel dato riguarda la salute di una persona — per il GDPR (art. 9) è una categoria particolare di dati, che richiede una base giuridica più solida di un generico consenso. In pratica: sei tu, come datore di lavoro, ad avere (o dover avere) una base giuridica per trattare quel dato verso il tuo dipendente — tipicamente obblighi connessi alla gestione del rapporto di lavoro. MyShift si limita a memorizzare quello che inserisci, con lo stesso livello di riservatezza di ogni altro dato di ferie/assenza.

Prima di lanciare l'app con clienti veri, questo punto va confermato con un consulente del lavoro o legale: non è una formalità, è un'area dove un errore ha conseguenze reali per i tuoi clienti.

• Fornire il servizio che hai richiesto: generare turni, registrare presenze, gestire ferie e sostituzioni (esecuzione del contratto, art. 6.1.b GDPR).
• Rispondere a richieste di assistenza, se ci scrivi.
• Nessun uso dei dati per pubblicità o profilazione a fini commerciali.

[DA COMPILARE: durata di conservazione — tipicamente per tutta la durata del contratto più il periodo richiesto dagli obblighi di legge sui documenti relativi ai rapporti di lavoro. Da definire con un legale/consulente del lavoro.]

I dati sono ospitati su Supabase, infrastruttura cloud con region Frankfurt (Unione Europea) — nessun trasferimento fuori dall'UE con la configurazione attuale.

• Supabase (hosting del database e dell'autenticazione) — sub-responsabile del trattamento.
• [DA COMPILARE quando attivati: provider di hosting dell'applicazione web, provider email per notifiche/recupero password, altri sub-responsabili]
• Nessuna vendita di dati a terzi, mai.

• Le password degli account non sono mai visibili a MyShift: la gestione è delegata a Supabase Auth.
• I PIN della Stazione sono salvati solo come hash, non in chiaro.
• Ogni azienda cliente vede solo i propri dati: l'isolamento è imposto a livello di database (Row Level Security), non solo dall'interfaccia.
• La nota riservata sulle assenze è visibile solo a titolare/gestore, mai al resto del team, per costruzione dello schema dati.

Accesso, rettifica, cancellazione, limitazione, portabilità e opposizione al trattamento dei tuoi dati personali (quelli del tuo account). Per i dati dei tuoi dipendenti, le richieste vanno rivolte a te come titolare — MyShift ti mette a disposizione gli strumenti per rispondere. Puoi anche proporre reclamo al Garante per la protezione dei dati personali.

I tuoi dati sono inseriti e gestiti dal tuo datore di lavoro, che resta il titolare del trattamento verso di te. Per esercitare i tuoi diritti, rivolgiti direttamente a lui.