Informativa sulla privacy

1. Chi tratta i dati e come contattarci

MT Digital Services LLC, con sede a Sheridan, Wyoming, Stati Uniti, fornisce KlyraOS. Per privacy, esercizio dei diritti e cancellazione account: admin@mtdigitalservices.net. L’indirizzo postale completo è riportato nelle Note legali (/legal/mentions-legales).

2. Dati del servizio e dati dell’organizzazione

MT Digital Services LLC è titolare per la gestione commerciale del servizio, i contatti, la fatturazione e la sicurezza della piattaforma. Per i dati del personale e delle operazioni caricati o raccolti per conto di un cliente, l’organizzazione cliente è titolare e MT Digital Services LLC agisce come responsabile secondo le sue istruzioni e l’accordo di trattamento (/legal/dpa). Un dipendente invitato non è per questo parte del contratto commerciale con noi.

Il datore di lavoro determina finalità, accessi e tempi dei dati lavorativi e deve fornire la propria informativa, anche per gli strumenti di controllo; il modello /legal/worker-notice non sostituisce tale adempimento.

3. Categorie e provenienza dei dati

Account e contatti: nome, email, credenziali di autenticazione, profilo, lingua, organizzazione, sedi e autorizzazioni; informazioni fornite direttamente, da un amministratore, con un invito o con importazioni autorizzate. Le password sono gestite dal servizio di autenticazione, non conservate da KlyraOS in chiaro.

Personale: dati anagrafici, contrattuali e retributivi inseriti, turni, presenze, pause, ferie, assenze e allegati, richieste di correzione e documenti firmati. Eventuali documenti sanitari possono contenere dati particolari: il cliente deve limitarli allo stretto necessario e individuare una condizione dell’art. 9 GDPR; il consenso generale all’app non basta.

Operazioni: fornitori e clienti, fatture e documenti, ordini, stock, lotti, produzione, trasferimenti, vendite ed eventi, controlli HACCP e relativi autori, foto, firme, messaggi e allegati. Anche dati commerciali possono identificare persone.

Dati tecnici: IP, dispositivo, browser, sessioni, accessi, errori, operazioni registrate, identificativi di notifiche, consensi e preferenze; dati di abbonamento e transazione, non i dati completi della carta.

Foto e firma di timbratura possono essere trasmesse e conservate; la firma elettronica registra documento, eventi, IP, browser e tempi. L’estrazione di contratti può trattare anche indirizzo, data di nascita, nazionalità e identificativi previdenziali presenti nel file.

4. Finalità e basi giuridiche

Gestiamo richieste commerciali e contratti con persone fisiche sulla base delle misure precontrattuali e dell’esecuzione del contratto (art. 6(1)(b)); per i referenti di società, sulla base dell’interesse legittimo a gestire il rapporto professionale (art. 6(1)(f)). Fatturazione e adempimenti fiscali rispondono a obblighi di legge (art. 6(1)(c)).

Autenticazione, assistenza, continuità del servizio, prevenzione frodi, sicurezza e gestione delle contestazioni rispondono all’interesse legittimo a erogare e proteggere il servizio, con accessi limitati e minimizzazione. Puoi opporti per motivi connessi alla tua situazione.

La misurazione facoltativa richiede consenso (art. 6(1)(a)); eventuali comunicazioni promozionali richiedono la base applicabile e puoi revocare il consenso o opporti. La presa visione di un’informativa non costituisce consenso per tutti i trattamenti. Per i dati del personale, le basi giuridiche sono stabilite e comunicate dal datore di lavoro, non da noi.

5. Dati necessari e scelte facoltative

Email, dati di accesso e associazione all’organizzazione sono necessari per un account utilizzabile; i dati di fatturazione richiesti sono necessari per l’abbonamento. Se mancano, non possiamo fornire il relativo servizio.

Fotocamera, microfono, notifiche e misurazione dipendono dalle funzioni utilizzate e dai permessi. Rifiutare una funzione facoltativa non autorizza raccolte ulteriori; può impedirne l’uso, non la consultazione delle funzioni che non ne dipendono. L’organizzazione deve spiegare separatamente quali dati lavorativi sono obbligatori.

6. Fotocamera, audio, posizione e biometria

Fotocamera e file selezionati possono essere usati per scansioni, foto e allegati. Le immagini inviate possono essere conservate nei documenti e analizzate per estrarre dati. Il microfono, quando avvii una funzione vocale e concedi il permesso, può trasmettere audio al servizio di assistenza vocale. L’audio non viene registrato né conservato: è trasmesso in tempo reale solo per ottenere la risposta, e la funzione è attiva unicamente nelle sedi dove è abilitata. Non si tratta di raccolta continua in background.

Le funzioni di timbratura possono ricevere coordinate e precisione se il dispositivo le invia; nel modulo Flotta i localizzatori dei veicoli trasmettono posizione, velocità, accensione e chilometraggio, che riguardano anche il conducente associato al veicolo. Le finalità e le modalità specifiche devono essere comunicate dall’organizzazione prima dell’uso. Non dichiariamo che la piattaforma non tratta mai posizione.

Lo sblocco biometrico usa i servizi locali del sistema operativo: KlyraOS riceve l’esito dell’autenticazione, non impronte o modelli del volto. Le fotografie caricate nei moduli non sono per questo dati di sblocco biometrico.

7. Assistenza intelligente ed elaborazione documenti

Le funzioni IA possono elaborare richieste, cronologia pertinente, dati operativi accessibili, immagini, documenti e audio, non soltanto testo digitato. L’elaborazione può avvenire su richiesta oppure in flussi automatici abilitati, come estrazione documenti o avvisi.

Utilizziamo servizi Google Gemini e, quando necessario, OpenAI come alternativa o per funzioni specifiche. Inserisci solo dati necessari e che sei autorizzato a trattare; non caricare informazioni sanitarie o altri dati particolari nell’assistente salvo un uso specificamente autorizzato e adeguatamente disciplinato. Gli output possono essere errati: decisioni sul personale, pagamenti, sicurezza alimentare e registrazioni richiedono verifica umana. Questa informativa non garantisce un’esenzione dalla conservazione o dall’uso dei dati da parte dei fornitori: chiedi i termini applicabili al servizio utilizzato.

8. Decisioni automatizzate

La piattaforma offre suggerimenti, controlli e automazioni operative. Non è destinata a decidere autonomamente assunzioni, licenziamenti o altre decisioni con effetti giuridici o analogamente significativi sulle persone. La verifica e le decisioni spettano agli utenti autorizzati; il cliente deve valutare gli obblighi dell’art. 22 GDPR se configura un trattamento di quel tipo.

9. Destinatari e servizi esterni

I dati sono accessibili alle persone autorizzate dell’organizzazione secondo i loro accessi, e al personale autorizzato del fornitore quando necessario per assistenza e gestione del servizio. Alcuni contenuti pubblicati o condivisi, come immagini o collegamenti di verifica, possono essere accessibili ai destinatari del collegamento: non vi inserire dati riservati non necessari.

Supabase: autenticazione, database e file. Vercel: hosting, distribuzione e misurazione facoltativa. Google Firebase: notifiche mobili; le notifiche del browser passano dal servizio push del produttore del browser o del sistema. Resend: email di servizio, inviti, codici di firma e ricezione di documenti via email. Google Gemini e OpenAI: elaborazione IA. Google Maps Platform: mappe, ricerca di indirizzi e geocodifica nelle schermate che le mostrano; il dispositivo contatta Google direttamente. Gurtam UAB (flespi, Lituania): ricezione dei dati dei localizzatori installati sui veicoli, se il modulo Flotta è attivo. Stripe: abbonamenti e pagamenti. Google Play e Apple App Store distribuiscono le app secondo proprie condizioni. Alcuni fornitori possono agire come titolari autonomi per propri obblighi, sicurezza o gestione dei pagamenti.

Le integrazioni scelte dall’organizzazione, ad esempio casse Lightspeed, contabilità o messaggistica, ricevono i dati necessari al collegamento; l’organizzazione deve verificare i relativi termini. Autorità o consulenti possono ricevere dati quando richiesto dalla legge o necessario per tutelare diritti. Non vendiamo i dati personali.

10. Trattamenti internazionali

Il fornitore è stabilito negli Stati Uniti e i servizi esterni possono elaborare dati in più paesi, anche fuori dallo Spazio economico europeo. Una regione europea del database non significa che ogni trattamento avvenga in Europa.

I trasferimenti soggetti al GDPR richiedono un meccanismo valido secondo il capo V, come una decisione di adeguatezza applicabile o clausole contrattuali standard con le valutazioni e misure necessarie. Scrivendo ad admin@mtdigitalservices.net puoi chiedere paesi, destinatari e copia o descrizione delle garanzie relative al tuo trattamento. Non dichiariamo una certificazione o uno specifico accordo con ciascun fornitore senza verificarlo.

11. Conservazione e chiusura del servizio

I dati account restano per il tempo necessario a gestire accesso e rapporto; fatturazione e documenti fiscali per i termini legali applicabili. I dati operativi e del personale seguono le istruzioni del cliente, gli obblighi del paese e le esigenze documentate di contestazione, non un unico termine universale.

Le procedure previste distinguono registri email e push (12 mesi), audit (24 mesi) e tentativi di accesso alle postazioni (30 giorni). Le singole occorrenze di errore hanno una procedura dedicata a 14 giorni; i raggruppamenti diagnostici sono distinti. L’esecuzione effettiva e le copie devono essere verificate: questi criteri non garantiscono la cancellazione presso ogni servizio esterno. Eccezioni richiedono incidenti, obblighi o controversie documentati.

Alla fine del rapporto il cliente può richiedere restituzione o cancellazione secondo l’accordo. Backup e copie dei fornitori seguono i rispettivi cicli e non scompaiono necessariamente nello stesso momento dei dati attivi. Chiedi il periodo applicabile al tuo documento o account; non conserviamo dati identificabili soltanto perché potrebbero essere utili in futuro.

12. Cancellazione account ed esportazione

La richiesta non attiva un’eliminazione automatica di tutte le copie nei servizi IA o di notifica. I dati già trasmessi richiedono verifica dei termini, dei tempi e delle procedure del destinatario, e richieste ulteriori quando applicabili.

Nelle impostazioni del profilo puoi scaricare una copia dei dati personali disponibili e chiedere la cancellazione dell’account con «Elimina account». Senza accedere all’app segui /legal/account-deletion o scrivi ad admin@mtdigitalservices.net indicando l’email dell’account e l’organizzazione; non inviare password o documenti di identità senza richiesta motivata. Verifichiamo l’identità in modo proporzionato e rispondiamo entro un mese, prorogabile nei casi previsti dalla legge.

Eliminare l’app o disattivare l’accesso non cancella i dati. La cancellazione di una persona non comporta quella dell’organizzazione né dei dati degli altri utenti. Per i dati lavorativi coinvolgiamo il titolare competente; registri soggetti a obbligo o necessari a una controversia possono essere conservati con accesso limitato. La sola rimozione del nome non rende automaticamente anonimo un documento o un messaggio; gli allegati e i dati residui devono essere valutati.

13. Diritti e reclami

Nei casi previsti dagli artt. 15–22 GDPR puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità dei dati trattati automaticamente su consenso o contratto, e opposizione ai trattamenti fondati sull’interesse legittimo. Puoi opporti al marketing e ritirare il consenso in ogni momento, senza effetto retroattivo.

Scrivi ad admin@mtdigitalservices.net; per i dati lavorativi puoi rivolgerti anche al datore di lavoro. Rispondiamo senza ingiustificato ritardo, normalmente entro un mese; per richieste complesse sono possibili altri due mesi con comunicazione del motivo entro il primo mese. Le limitazioni e l’eventuale rifiuto sono motivati.

Puoi presentare reclamo all’autorità competente del luogo di residenza abituale, lavoro o presunta violazione, ad esempio Garante in Italia, CNIL in Francia o AEPD in Spagna, e ricorrere al giudice.

14. Protezione, contenuti condivisi e dispositivi

Il servizio usa connessioni cifrate, autenticazione, accessi per organizzazione e sede e registrazione di operazioni sensibili. Nessun sistema è privo di rischi. Le autorizzazioni e la riservatezza dei file caricati devono essere gestite dal cliente; alcune immagini pubblicate possono essere raggiungibili tramite URL.

Report scaricati, allegati condivisi e copie locali sul telefono o nelle cache rimangono sotto il controllo di chi li riceve; proteggi il dispositivo e le destinazioni di condivisione. Non pubblichiamo password o segreti nei collegamenti.

15. Cookie, notifiche e aggiornamenti

La policy /legal/cookies descrive cookie, memoria locale e misurazione. La scelta sulla misurazione si gestisce da «Gestisci cookie»; le notifiche si gestiscono anche dalle preferenze e dalle impostazioni del dispositivo. Non tutte le notifiche di servizio hanno la stessa base del marketing.

Questa versione aggiorna e sostituisce la precedente. Per cambiamenti di finalità o trattamenti valutiamo l’informazione necessaria e raccogliamo un nuovo consenso quando richiesto. L’accettazione dei termini non elimina i diritti sulla protezione dei dati.