• Titolare del trattamento: l'organizzazione cliente che sottoscrive Shukkin (il Cliente).
• Responsabile del trattamento: Antonino Dell'Albani, NIE Y0718688K, con sede in Carrer del Trencapinyons, 7, 07817 Sant Jordi de ses Salines, Illes Balears, Spagna (Shukkin).

Shukkin tratta i dati solo per erogare il servizio sottoscritto: registro delle presenze, orari, turni, assenze, documenti e notifiche. Il trattamento consiste nel raccogliere, registrare, conservare, consultare, modificare, esportare, comunicare al Cliente stesso e cancellare dati, con mezzi automatizzati, oltre all'assistenza tecnica.

Questo accordo dura quanto il servizio, più i periodi di esportazione e blocco della clausola 12.

Interessati: i dipendenti, capi reparto, amministratori e consulenti esterni (come il commercialista) che il Cliente aggiunge.

Dati: quelli elencati nell'informativa privacy, sezione «Dati che trattiamo per conto della tua azienda». Shukkin non ha bisogno di categorie particolari di dati. Se il Cliente le inserisce, per esempio in un certificato di malattia, risponde della liceità di quel trattamento.

Shukkin tratta i dati solo su istruzione documentata del Cliente. La configurazione e l'uso del servizio da parte del Cliente costituiscono tali istruzioni. Se Shukkin ritiene che un'istruzione violi la normativa sulla protezione dei dati, ne informa subito il Cliente.

Le persone autorizzate ad accedere ai dati si impegnano per iscritto alla riservatezza, anche dopo la fine del trattamento, e vi accedono solo quando serve per l'assistenza o la manutenzione del servizio.

Shukkin applica le misure tecniche e organizzative dell'articolo 32 GDPR descritte nell'allegato I e le rivede man mano che il servizio evolve.

Il Cliente autorizza in via generale Shukkin a ricorrere ai sub-responsabili dell'elenco dei sub-responsabili. Shukkin avviserà via email i proprietari dell'organizzazione almeno 15 giorni prima di aggiungerne o sostituirne uno. Se il Cliente si oppone per motivi ragionevoli di protezione dei dati e non si trova una soluzione, può recedere dal servizio senza penali. Shukkin impone a ogni sub-responsabile gli stessi obblighi di protezione dei dati di questo accordo e resta responsabile del loro rispetto.

Shukkin trasferisce dati fuori dallo Spazio economico europeo solo con le garanzie del capo V del GDPR, come le clausole contrattuali tipo della Commissione europea o il Data Privacy Framework UE-USA. Oggi l'unico sub-responsabile che conserva dati fuori dal SEE è Loops (Stati Uniti), con clausole contrattuali tipo; il traffico web passa per la rete globale di Cloudflare con le stesse garanzie.

Se un interessato si rivolge a Shukkin per esercitare i suoi diritti, Shukkin inoltra la richiesta al Cliente entro due giorni lavorativi e non risponde in autonomia. Shukkin aiuta il Cliente a gestirle con gli strumenti del servizio (consultazione, correzione ed esportazione dei dati) e, se serve, con assistenza diretta.

Shukkin notificherà al Cliente qualsiasi violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza. La notifica includerà le informazioni dell'articolo 33.3 GDPR disponibili, e Shukkin collaborerà con il Cliente per contenerla e, se necessario, comunicarla all'autorità e agli interessati.

Alla fine del servizio, il Cliente ha 90 giorni per chiedere l'esportazione completa dei suoi dati. Trascorso questo periodo, Shukkin li cancella, con un'eccezione: i registri delle presenze restano bloccati (art. 32 LOPDGDD) fino a quattro anni da ogni timbratura, il periodo dell'articolo 34.9 dello Statuto dei lavoratori spagnolo, solo per metterli a disposizione del Cliente, dell'Ispettorato del lavoro o dei tribunali. Poi vengono cancellati.

Il Cliente può chiedere per iscritto la cancellazione immediata di tutto, assumendosi la conservazione del registro delle presenze. I backup vengono cancellati 35 giorni dopo la rotazione.

Shukkin aiuta il Cliente a rispettare gli articoli da 32 a 36 GDPR, incluse le valutazioni d'impatto e le consultazioni preventive, e gli fornisce le informazioni necessarie a dimostrare il rispetto di questo accordo, per esempio rispondendo a questionari di sicurezza.

Il Cliente, o un revisore da lui nominato e vincolato alla riservatezza, può svolgere un audit con 30 giorni di preavviso, in orario lavorativo, a proprie spese e al massimo una volta l'anno, salvo che si sia verificata una violazione.

Shukkin tiene il registro delle categorie di attività di trattamento svolte per conto dei suoi clienti (art. 30.2 GDPR).

Questo accordo è regolato dalla legge spagnola e, per qualsiasi controversia, è competente il foro di Eivissa (Ibiza). In materia di protezione dei dati, prevale su qualsiasi altra condizione del servizio.

• Cifratura in transito (TLS) di tutto il traffico tra browser, kiosk e server.
• Server in data center in Germania, con una replica del database in un secondo data center per il ripristino in caso di disastro.
• Database raggiungibile solo dalla rete privata, mai da Internet.
• Backup giornalieri con incrementali orari, cifrati con AES-256 prima di lasciare il server e conservati sotto giurisdizione UE.
• Separazione dei dati tra organizzazioni in ogni interrogazione.
• Accesso per ruoli in ogni organizzazione, password e PIN salvati con hash, e kiosk associati esplicitamente da un amministratore.
• Registro di audit delle modifiche ai dati.
• Monitoraggio degli errori senza nomi né email, solo con identificativi interni.

L'elenco aggiornato è nella pagina dei sub-responsabili.