Accordo sul trattamento dei dati personali

Nomina a responsabile del trattamento ai sensi dell'art. 28 del Regolamento UE 2016/679

Versione 1.0 — del 10/10/2026 — in vigore dal 13/10/2026

Parti

Titolare del trattamento: il Cliente, come identificato nell'account Timecloud e nei dati di fatturazione (di seguito il Titolare).

Responsabile del trattamento: Mind the App S.r.l., sede legale in Via Marche 24, 73046 Matino (LE), partita IVA 04813770759, PEC mindtheappsrl@pec.it (di seguito il Responsabile).

Il presente accordo costituisce parte integrante delle Condizioni generali del servizio Timecloud. Si perfeziona con l'accettazione delle Condizioni generali e resta in vigore per tutta la durata del rapporto. In caso di contrasto, per quanto riguarda il trattamento dei dati personali prevale il presente accordo.

---

1. Premesse e ruoli

1.1 Il Titolare utilizza il servizio Timecloud per gestire presenze, fogli ore, assenze, note spese, buste paga, Certificazioni Uniche e dati connessi dei propri dipendenti e collaboratori. Il Titolare determina le finalità e i mezzi del trattamento e risponde della liceità dei trattamenti che esegue tramite il servizio.

1.2 Il Responsabile tratta i dati personali esclusivamente per conto del Titolare, nei limiti necessari a erogare il servizio e secondo le istruzioni documentate di cui all'art. 5.

1.3 Il Responsabile tratta in qualità di autonomo titolare i soli dati relativi al rapporto contrattuale con il Cliente — dati del referente e degli amministratori per la gestione dell'account, dati di fatturazione e di pagamento, log tecnici di sicurezza, comunicazioni di servizio e commerciali — secondo la propria Informativa privacy. Tali trattamenti sono esclusi dal presente accordo.

1.4 Lo Studio di consulenza eventualmente collegato dal Titolare tratta i dati per conto del Titolare e in forza della nomina che il Titolare stesso gli conferisce. Lo Studio non è sub-responsabile del Responsabile: il Responsabile mette a disposizione lo strumento di collegamento e di generazione della nomina, ma non è parte di quel rapporto e non risponde dell'attività dello Studio.

2. Oggetto, natura e finalità del trattamento

2.1 Oggetto: i dati personali inseriti nel servizio dal Titolare, dai suoi Utenti e dallo Studio di consulenza collegato, nonché i dati generati dal servizio nell'esecuzione delle sue funzioni (timbrature, calcoli, registri delle attività).

2.2 Natura delle operazioni: raccolta, registrazione, organizzazione, strutturazione, conservazione, estrazione, consultazione, uso, comunicazione mediante trasmissione, raffronto, limitazione, cancellazione e distruzione, nonché operazioni di supporto quali copia di sicurezza, ripristino e diagnosi.

2.3 Finalità: esclusivamente l'erogazione del servizio e delle sue funzioni, l'assistenza tecnica al Titolare, la sicurezza e la continuità del servizio e l'adempimento di obblighi di legge gravanti sul Responsabile. Il Responsabile non utilizza i dati del Titolare per finalità proprie.

2.4 Durata: per tutta la durata del rapporto contrattuale e, successivamente, per i termini indicati all'art. 12.

3. Categorie di dati trattati

3.2 Categorie particolari di dati (art. 9 del Regolamento). Il trattamento comprende dati relativi alla salute, limitatamente all'indicazione dell'assenza per malattia e alla sua durata, nonché ai dati connessi eventualmente presenti nelle buste paga e nei congedi (ad esempio congedo parentale, infortunio). Il servizio non richiede, non prevede e non deve ricevere diagnosi, certificati medici, dati genetici o biometrici. Il Titolare si impegna a non inserire nel servizio dati di tale natura al di fuori di quanto strettamente previsto dalle funzioni, in particolare a non allegare certificati medici e a non inserire diagnosi nei campi di testo libero. Il Responsabile tratta tali dati con le misure rafforzate di cui all'art. 7.4.

3.3 Dati di localizzazione: non trattati. Il servizio non rileva né registra la posizione geografica di chi effettua la timbratura, in nessun canale, e non conserva dati di localizzazione nei dati del servizio. (Permane il trattamento dell'indirizzo IP nei log tecnici di sicurezza, di cui all'art. 7.6.)

3.4 Dati biometrici: non trattati. Il Totem non effettua riprese audio o video, non acquisisce immagini della persona che timbra e non utilizza riconoscimento facciale o altre tecniche biometriche. La timbratura avviene mediante lettura di una tessera contactless o di un QR code.

4. Categorie di interessati

• dipendenti e collaboratori del Titolare, compresi quelli censiti senza accesso all'applicazione;
• amministratori e referenti del Titolare;
• personale dello Studio di consulenza collegato, limitatamente ai dati di accesso e ai registri delle attività;
• persone di riferimento dei clienti e dei fornitori del Titolare, quando inserite nelle anagrafiche delle attività;
• ex dipendenti, per il periodo di conservazione dei dati storici.

5. Istruzioni del Titolare

5.1 Costituiscono istruzioni documentate del Titolare: il presente accordo; le Condizioni generali del servizio; le configurazioni e le impostazioni che il Titolare adotta nell'applicazione (fra cui l'attivazione delle timbrature e delle modalità, le preferenze di pubblicazione dei documenti, il collegamento dello Studio di consulenza, la gestione dei profili e dei permessi); le richieste che il Titolare trasmette ai canali di assistenza indicati.

5.2 Il Responsabile non tratta i dati per finalità diverse da quelle indicate e non li comunica a terzi, salvo i sub-responsabili di cui all'art. 8 e gli obblighi di legge.

5.3 Il Responsabile informa senza ritardo il Titolare qualora ritenga che un'istruzione ricevuta violi il Regolamento o altre disposizioni in materia di protezione dei dati, e può sospenderne l'esecuzione fino al chiarimento.

5.4 Se il Responsabile è tenuto per legge a comunicare dati del Titolare all'autorità, ne informa preventivamente il Titolare, salvo che la comunicazione al Titolare sia vietata dalla norma applicabile.

5.5 Assenza di trattamenti con sistemi di intelligenza artificiale. Il Responsabile si impegna a non trattare i dati del Titolare con sistemi di intelligenza artificiale e a non utilizzarli per l'addestramento, l'affinamento o la valutazione di modelli, propri o di terzi. L'estrazione dei dati dai documenti caricati avviene mediante regole deterministiche di lettura del testo.

6. Riservatezza e personale autorizzato

6.1 Il Responsabile garantisce che l'accesso ai dati del Titolare è consentito soltanto alle persone autorizzate che ne abbiano necessità per l'erogazione del servizio e per l'assistenza.

6.2 Le persone autorizzate sono vincolate alla riservatezza per contratto o per legge, ricevono istruzioni scritte e formazione sul trattamento dei dati, e il loro accesso è revocato alla cessazione dell'incarico.

6.3 Il Responsabile mantiene l'elenco aggiornato delle persone autorizzate e lo rende disponibile al Titolare su richiesta.

6.4 Accesso per assistenza mediante assunzione dell'identità di un Utente. Per riprodurre le segnalazioni e prestare assistenza, il personale autorizzato del Responsabile può accedere al servizio assumendo l'identità di un Utente del Titolare, senza conoscerne la password. In tale modalità:

• la sessione ha durata massima di 60 minuti e non è rinnovabile;
• l'accesso è in sola lettura: non è possibile inserire, modificare o eliminare dati, effettuare pagamenti, accettare documenti per conto del Titolare o dei suoi Utenti, né registrare la presa visione di documenti;
• l'accesso è consentito al solo personale con profilo di amministratore di sistema del Responsabile, vincolato alla riservatezza ai sensi dell'art. 6.2, ed è limitato a quanto necessario per la richiesta di assistenza.

7. Misure di sicurezza (art. 32 del Regolamento)

Il Responsabile adotta le misure tecniche e organizzative di seguito descritte, commisurate al rischio e allo stato della tecnica. L'elenco è aggiornato nel tempo; eventuali modifiche non riducono il livello complessivo di protezione.

7.1 Controllo degli accessi

• autenticazione individuale di ciascun Utente, con credenziali conservate in forma protetta mediante funzione di derivazione con sale;
• profili e permessi differenziati (dipendente, amministratore d'azienda, studio di consulenza, amministratore di sistema);
• codici di primo accesso e di reimpostazione della password a uso singolo e con scadenza (60 minuti per la reimpostazione, 7 giorni per il primo accesso), generati con generatore crittograficamente sicuro;
• sessioni a durata limitata con rinnovo controllato e limite al numero di sessioni attive per Utente;
• limitazione della frequenza delle richieste sugli endpoint esposti.

7.2 Separazione dei dati fra aziende

• ogni dato è associato all'azienda di appartenenza e ogni operazione verifica che il dato richiesto appartenga all'azienda dell'Utente richiedente;
• le verifiche sono centralizzate in un componente dedicato e applicate in modo uniforme a tutte le aree funzionali;
• la richiesta di un dato appartenente a un'altra azienda riceve la medesima risposta di un dato inesistente, in modo da non rivelarne l'esistenza.

7.3 Protezione dei documenti e degli allegati

• i file contenenti dati personali (buste paga, Certificazioni Uniche, allegati delle note spese, documenti dello Studio, fotografie del profilo, loghi usati nei report) sono conservati in un archivio privato non accessibile pubblicamente;
• il download avviene esclusivamente mediante collegamento temporaneo di sola lettura, generato dopo la verifica dei permessi, con validità di 15 minuti per gli allegati e di 12 ore per le immagini del profilo;
• i documenti senza dati personali (materiali formativi, loghi aziendali destinati alla visualizzazione) sono tenuti in un archivio distinto.

7.4 Misure rafforzate per i dati retributivi e per le categorie particolari

• gli importi retributivi estratti dal cedolino sono conservati in forma cifrata;
• le buste paga e le Certificazioni Uniche sono visibili esclusivamente all'interessato, agli amministratori dell'azienda e allo Studio di consulenza collegato; non sono accessibili agli altri dipendenti né al personale tecnico del Responsabile nell'ambito dell'ordinaria attività di sviluppo;
• il dato di assenza per malattia è registrato come tipologia di assenza e durata, senza diagnosi;
• i documenti caricati che risultano riferiti a persone non censite come dipendenti dell'azienda non vengono importati.

7.5 Sicurezza dello sviluppo e dell'infrastruttura

• cifratura dei dati in transito mediante protocolli TLS;
• cifratura dei dati inattivi (database e archivio dei file) fornita dalla piattaforma dell'infrastruttura, con chiavi gestite dal fornitore dell'infrastruttura;
• separazione degli ambienti di sviluppo, collaudo e produzione;
• credenziali di accesso ai sistemi riservate al personale autorizzato e sostituite in caso di sospetta compromissione;
• aggiornamento delle dipendenze e correzione delle vulnerabilità secondo un processo definito;
• protezione perimetrale e filtraggio del traffico tramite il servizio indicato nell'allegato B;
• revisione del codice per le modifiche che riguardano accessi e dati personali.

7.6 Registrazioni e monitoraggio

• registrazione delle operazioni di autenticazione e delle chiamate rilevanti, con indirizzo IP e identificativo dell'Utente in forma pseudonimizzata, su sistema di raccolta dei log distinto dall'applicazione;
• le registrazioni tecniche non contengono dati di localizzazione: le proprietà relative a coordinate, città, regione e fuso orario sono state rimosse;
• conservazione delle registrazioni tecniche per 12 mesi, salvo le esigenze di accertamento di un incidente in corso;
• registri funzionali delle attività, consultabili dal Titolare: registro delle attività dello Studio di consulenza sull'azienda e storico dei caricamenti dei documenti;
• monitoraggio dello stato del servizio e dei dispositivi Totem, con indicatori di disponibilità.

7.7 Continuità e copie di sicurezza

• copie di sicurezza automatiche del database, eseguite dalla piattaforma dell'infrastruttura e conservate nell'Unione europea, con possibilità di ripristino a un momento precedente;
• le copie di sicurezza hanno finalità di continuità del servizio e non costituiscono servizio di archiviazione o di conservazione a norma per conto del Titolare.

7.8 Misure organizzative

• designazione del responsabile della protezione dei dati, con i riferimenti indicati all'art. 15;
• registro dei trattamenti e delle categorie di attività svolte per conto dei titolari;
• procedura di gestione delle violazioni dei dati personali (art. 10);
• istruzioni e formazione del personale autorizzato;
• clausole di riservatezza e di protezione dei dati nei contratti con i sub-responsabili.

8. Sub-responsabili

8.1 Il Titolare autorizza in via generale il Responsabile a ricorrere a sub-responsabili per l'erogazione del servizio. L'elenco aggiornato è contenuto nell'allegato B ed è pubblicato all'indirizzo www.timecloud.it/sub-responsabili.

8.2 Il Responsabile impone a ciascun sub-responsabile, mediante contratto, obblighi di protezione dei dati non meno onerosi di quelli previsti dal presente accordo, e risponde nei confronti del Titolare dell'inadempimento del sub-responsabile.

8.3 Modifiche all'elenco. Il Responsabile comunica al Titolare l'intenzione di aggiungere o sostituire un sub-responsabile con un preavviso di almeno 30 giorni, mediante email al referente o avviso nell'applicazione, nonché aggiornando la pagina di cui all'art. 8.1. Entro tale termine il Titolare può opporsi per motivi ragionevoli e documentati relativi alla protezione dei dati. In caso di opposizione le parti ricercano in buona fede una soluzione; se non la raggiungono, il Titolare può recedere dal contratto con effetto dalla data della modifica, con restituzione della quota di corrispettivo relativa al periodo residuo.

8.4 Le sostituzioni urgenti, imposte da ragioni di sicurezza o dalla cessazione di un fornitore, possono avvenire con comunicazione contestuale.

9. Trasferimenti verso Paesi terzi

9.1 L'infrastruttura del servizio (esecuzione, banca dati, archivio dei file e copie di sicurezza) si trova nell'Unione europea, in regioni Microsoft Azure situate in Italia e in Francia.

9.2 Alcuni sub-responsabili dell'allegato B appartengono a gruppi con sede negli Stati Uniti e possono trattare una parte limitata dei dati al di fuori dello Spazio economico europeo, come indicato nell'allegato per ciascuno di essi.

9.3 Ove un trasferimento verso un Paese terzo risulti necessario, esso avviene esclusivamente in presenza di: una decisione di adeguatezza della Commissione europea ai sensi dell'art. 45 del Regolamento, oppure clausole contrattuali tipo ai sensi dell'art. 46, integrate dalle misure supplementari eventualmente necessarie all'esito di una valutazione del trasferimento.

9.4 Il Responsabile indica nell'allegato B, per ciascun sub-responsabile, la sede, la regione di erogazione e lo strumento di legittimazione applicato.

10. Violazioni dei dati personali

10.1 Il Responsabile informa il Titolare di ogni violazione dei dati personali che riguardi i dati trattati per suo conto senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne ha acquisito conoscenza.

10.2 La comunicazione è inviata all'indirizzo email del referente del Titolare e, se disponibile, alla PEC, e contiene: la descrizione della natura della violazione; le categorie e il numero approssimativo di interessati e di registrazioni coinvolte; le probabili conseguenze; le misure adottate o che si propone di adottare per porvi rimedio e per attenuarne gli effetti; i riferimenti del contatto presso il Responsabile. Se le informazioni non sono disponibili contestualmente, sono fornite in fasi successive senza ulteriore ritardo.

10.3 Il Responsabile presta al Titolare l'assistenza necessaria per la notifica all'autorità di controllo e per l'eventuale comunicazione agli interessati, restando la valutazione e la notifica di competenza del Titolare.

10.4 Il Responsabile documenta le violazioni e le misure adottate e conserva tale documentazione a disposizione del Titolare.

10.5 Il Responsabile non effettua comunicazioni agli interessati del Titolare relative a una violazione senza il preventivo accordo del Titolare, salvo che vi sia tenuto per legge.

11. Diritti degli interessati e assistenza al Titolare

11.1 Il servizio mette a disposizione del Titolare le funzioni necessarie a dare seguito alle richieste degli interessati: consultazione, esportazione in formato strutturato, rettifica e cancellazione dei dati.

11.2 Se una richiesta di esercizio dei diritti è rivolta direttamente al Responsabile, questi non vi dà seguito autonomamente e la trasmette al Titolare senza ritardo, informandone l'interessato.

11.3 Il Responsabile presta al Titolare, tenuto conto della natura del trattamento e delle informazioni a sua disposizione, l'assistenza necessaria per: l'adempimento degli obblighi di cui agli artt. 32 a 36 del Regolamento; l'esecuzione di valutazioni d'impatto sulla protezione dei dati; l'eventuale consultazione preventiva dell'autorità di controllo.

11.4 L'assistenza è prestata gratuitamente nei limiti dell'ordinaria collaborazione. Per attività che richiedano impegno significativo e non imputabile a inadempimento del Responsabile, le parti concordano preventivamente i relativi costi.

12. Cessazione del trattamento, restituzione e cancellazione

12.1 Alla cessazione del contratto il Titolare dispone di 30 giorni per esportare i dati nei formati resi disponibili dal servizio. L'esportazione costituisce adempimento dell'obbligo di restituzione.

12.2 Decorso tale termine il Responsabile cancella i dati dai sistemi di produzione. I dati presenti nelle copie di sicurezza sono cancellati con la naturale rotazione delle stesse, entro il periodo di ritenzione indicato all'art. 7.7.

12.3 Il Responsabile conserva, in qualità di autonomo titolare e per i termini di legge, i soli dati che è obbligato a conservare, in particolare quelli contabili e fiscali, nonché quelli necessari alla difesa di un diritto in giudizio.

12.4 Per gli account in Prova non convertiti e per gli account in Piano Gratis inattivi si applicano i termini di conservazione indicati all'art. 23.3 delle Condizioni generali.

12.5 Su richiesta scritta del Titolare il Responsabile attesta per iscritto l'avvenuta cancellazione.

12.6 Il Titolare prende atto che l'esportazione e la conservazione dei dati che è obbligato a conservare per legge restano a suo carico e vanno eseguite prima della cessazione.

13. Verifiche e ispezioni

13.1 Il Responsabile mette a disposizione del Titolare, su richiesta, le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 del Regolamento: descrizione delle misure di sicurezza, elenco dei sub-responsabili, esiti delle verifiche interne e, se disponibili, relazioni di audit o certificazioni.

13.2 Il Titolare può eseguire verifiche o ispezioni, direttamente o tramite un soggetto incaricato non concorrente del Responsabile, con un preavviso scritto di almeno 30 giorni, durante l'orario di lavoro, con modalità tali da non compromettere la sicurezza e la continuità del servizio né la riservatezza dei dati di altri clienti.

13.3 Le verifiche sono ammesse una volta per anno contrattuale, salvo l'ipotesi di una violazione dei dati che abbia interessato il Titolare o di una specifica richiesta dell'autorità di controllo.

13.4 I costi della verifica sono a carico del Titolare, salvo che la verifica accerti un inadempimento rilevante del Responsabile.

13.5 Il soggetto incaricato della verifica sottoscrive un impegno di riservatezza.

14. Responsabilità

14.1 Ciascuna parte risponde ai sensi dell'art. 82 del Regolamento.

14.2 Nei rapporti interni fra le parti, e nei limiti consentiti dalla legge, la responsabilità del Responsabile verso il Titolare per violazioni del presente accordo è soggetta alle limitazioni di cui all'art. 21 delle Condizioni generali, salvo i casi di dolo e colpa grave e salvo le sanzioni irrogate al Titolare per fatto esclusivamente imputabile al Responsabile.

14.3 Il Titolare tiene indenne il Responsabile dalle conseguenze derivanti da istruzioni illecite, dall'inserimento nel servizio di dati per i quali non ha titolo o base giuridica, dalla mancata informativa agli interessati e dall'inosservanza degli obblighi previsti dall'art. 17 delle Condizioni generali, in particolare di quelli derivanti dall'art. 4 della legge 300/1970.

15. Contatti

16. Legge applicabile

Il presente accordo è regolato dalla legge italiana. Per ogni controversia è competente in via esclusiva il Tribunale di Lecce, fermi restando i diritti degli interessati di adire l'autorità di controllo e l'autorità giudiziaria secondo il Regolamento.

---

Allegato A — Riepilogo del trattamento

Allegato B — Elenco dei sub-responsabili

Non sono sub-responsabili: lo Studio di consulenza collegato dal Titolare (art. 1.4) e i soggetti ai quali il Titolare stesso trasmette i dati esportati dal servizio.

---

Storico delle versioni