Privacy Policy

La presente informativa descrive come Actiwork S.r.l. tratta i dati personali raccolti tramite la piattaforma PASS (Payroll Advanced Support System) accessibile da https://www.myudp.it/pass/, ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del D.Lgs. 196/2003 e s.m.i.

1. Titolare del Trattamento

Actiwork S.r.l.
Sede legale: Piazza Palmiro Togliatti, 8 — 00047 Roma (RM)
P.IVA / C.F.: 06313621002
Telefono: 06 4549 5400
Email: postmaster@myudp.it
PEC e contatti per esercizio diritti: postmaster@myudp.it

Il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO), non essendone obbligato ai sensi dell'art. 37 GDPR. Per ogni richiesta privacy resta competente l'indirizzo sopra indicato.

2. Tipologie di dati trattati

La piattaforma tratta le seguenti categorie di dati, conferiti dall'utente o generati dall'uso del servizio:

• Dati anagrafici e di contatto: nome, cognome, email, telefono, qualifica, ruolo aziendale.
• Dati di accesso e di navigazione: indirizzo IP, user-agent, log di login, token di sessione, identificatore del dispositivo, data/ora delle azioni svolte sulla piattaforma.
• Dati anagrafici e lavorativi dei dipendenti delle aziende clienti dello Studio: codice fiscale, dati anagrafici di nascita, residenza/domicilio, dati del contratto di lavoro, qualifica, presenze.
• Informazioni di coordinamento sull'elaborazione paghe: stato di avanzamento del ciclo paga (note inserite, buste prodotte, scheda contabile, contributi versati, UniEmens trasmesso), note testuali e comunicazioni di servizio scambiate tra Studio e Azienda relative al periodo paga. La Piattaforma NON produce, NON elabora e NON distribuisce i cedolini in formato PDF, né elabora dichiarazioni fiscali (730/redditi, 770, CU) o F24; questi documenti sono gestiti dallo Studio con i propri software payroll/fiscali esterni a PASS.
• Dati relativi alla salute — categorie particolari ex art. 9 GDPR — qualora caricati nel modulo «Fascicolo HR» (es. certificati di malattia, esiti delle visite mediche del lavoro, attestati di idoneità). Rientra in questa categoria anche la condizione di lavoratore fragile (e la relativa tipologia) che l'azienda indica nel modulo Smart Working, quando ricorre alla priorità di accesso al lavoro agile prevista dalla legge. Tali dati sono accessibili soltanto allo Studio del datore di lavoro e all'azienda di appartenenza.
• Documenti aziendali raccolti nel «Fascicolo aziendale»: documentazione dell'impresa conservata dall'Azienda o dallo Studio per obbligo di legge o per l'esecuzione del mandato professionale — visura camerale, statuto e verbali societari, mandato professionale, matricola INPS e PAT INAIL, DURC, autoliquidazione INAIL, DVR e documentazione di sicurezza, polizze, deleghe, fondi di previdenza, registro dei trattamenti. Alcuni di questi documenti contengono dati personali di persone fisiche: il documento d'identità del legale rappresentante (con la relativa scadenza), i nominativi e i recapiti delle figure designate (RSPP, RLS, medico competente, eventuale DPO) e gli attestati di formazione di dirigenti e preposti. Il caricamento è a cura dell'Azienda o dello Studio, che ne restano titolari; la Piattaforma li conserva e ne segnala le scadenze.
• Dati relativi a richieste di assistenza: contenuto dei ticket, allegati, comunicazioni e relativi metadati.
• Dati della sottoscrizione online: quando un documento viene sottoscritto o confermato dalla Piattaforma (accordo di lavoro agile, informativa sui rischi, contratti, deleghe), vengono registrati nome del firmatario, data e ora, indirizzo IP, dispositivo utilizzato e impronta informatica (hash) del documento. Servono a provare chi ha firmato che cosa e quando, a tutela di entrambe le parti.
• Dati di recapito delle comunicazioni: per le email inviate dalla Piattaforma viene registrato l'esito della consegna (consegnata, aperta, non recapitabile). Serve a sapere se una comunicazione obbligatoria è arrivata al destinatario; non viene usato per profilare né per finalità commerciali.

3. Finalità e basi giuridiche del trattamento

Finalità	Base giuridica (art. 6 GDPR)
Erogazione del servizio (login, ticket, gestione cedolini, fascicolo HR)	Esecuzione di un contratto di cui l'interessato è parte (art. 6.1.b)
Adempimenti fiscali, previdenziali, di sicurezza sul lavoro e archiviazione obbligatoria	Obbligo di legge (art. 6.1.c)
Trattamento di dati relativi alla salute nel Fascicolo HR	Adempimenti in materia di lavoro e protezione sociale (art. 9.2.b GDPR)
Gestione del lavoro agile (accordi individuali, informativa sui rischi, comunicazioni obbligatorie), deleghe, dichiarativi e rilevazione delle presenze	Esecuzione del contratto (art. 6.1.b) e obblighi di legge in materia di lavoro (art. 6.1.c); per la condizione di lavoratore fragile, art. 9.2.b GDPR
Prova della sottoscrizione e della consegna dei documenti (data, ora, IP, hash)	Obbligo di legge (art. 6.1.c) e legittimo interesse a poter dimostrare l'avvenuta consegna o sottoscrizione (art. 6.1.f)
Conservazione e controllo delle scadenze dei documenti aziendali (Fascicolo aziendale)	Esecuzione del contratto (art. 6.1.b) e obbligo di legge in capo all'Azienda, in particolare in materia di sicurezza sul lavoro e di regolarità contributiva (art. 6.1.c)
Sicurezza informatica della piattaforma, log di audit, prevenzione frodi	Legittimo interesse del Titolare (art. 6.1.f)
Comunicazioni di servizio (notifiche tecniche, conferme, scadenze)	Esecuzione del contratto (art. 6.1.b)

Il Titolare può proporre all'interno della Piattaforma l'attivazione di moduli o servizi aggiuntivi facoltativi (es. Smart Working compliance, Fascicolo HR, modulo Presenze): tale proposta avviene esclusivamente nel contesto del rapporto contrattuale in essere e non costituisce attività di marketing diretto. Il Titolare non effettua profilazione automatizzata che produca effetti giuridici sull'interessato (art. 22 GDPR) e non invia comunicazioni promozionali a soggetti non clienti senza il loro previo consenso. Per i clienti già attivi è ammessa, ai sensi dell'art. 130 c. 4 D.Lgs. 196/2003, la promozione di servizi analoghi a quelli già acquistati, sempre con possibilità per l'interessato di opporsi in qualsiasi momento (opt-out) scrivendo a postmaster@myudp.it.

4. Modalità di trattamento e misure di sicurezza

I dati sono trattati con strumenti elettronici protetti da: cifratura del traffico in transito (HTTPS/TLS), controllo degli accessi tramite credenziali individuali, segregazione dei dati per tenant (multi-tenant), profili autorizzativi per ruolo, log di audit delle operazioni significative, backup periodici crittografati. L'accesso fisico ai server è gestito dal fornitore di hosting (Aruba S.p.A.) presso datacenter certificati ISO/IEC 27001 ubicati in Italia.

5. Periodo di conservazione

Categoria di dato	Conservazione
Note e stati di lavorazione paghe (periodi paga, note di servizio, flag di stato)	5 anni dalla chiusura del periodo paga
Documenti accessori caricati nel cassetto documenti (allegati PDF, comunicazioni, circolari)	Per il tempo deciso dallo Studio o dall'Azienda titolare; cancellabili in qualsiasi momento dalle stesse
Documenti del Fascicolo HR (contratti, UniLav, attestati)	Per la durata del rapporto + 10 anni dalla cessazione
Certificati medici e visite del Medico Competente	Conservati esclusivamente per il periodo previsto dal D.Lgs. 81/2008 e relative tabelle del Medico Competente
Documenti del Fascicolo aziendale (visure, mandati, DURC, DVR, nomine, polizze, attestati)	Per il tempo deciso dall'Azienda o dallo Studio titolare, nei termini di legge previsti per ciascun documento; cancellabili in qualsiasi momento dagli stessi
Ticket di assistenza chiusi	2 anni dalla data di chiusura
Dati della sottoscrizione online (firmatario, data, ora, IP, hash del documento)	Per la durata del documento sottoscritto e nei termini di prescrizione dei relativi diritti
Log di accesso e di sicurezza	6 mesi (Provv. Garante 27/11/2008 amministratori di sistema)
Log applicativi (audit di operazioni)	24 mesi
Dati di account utente	Per la durata del rapporto contrattuale; cancellazione su richiesta entro 30 giorni
Registro consensi cookie	5 anni (onere della prova art. 7 GDPR)

6. Soggetti cui i dati possono essere comunicati

I dati sono accessibili al personale autorizzato del Titolare e dello Studio cliente di cui l'utente è dipendente o referente. Possono essere comunicati a:

• Enti previdenziali, fiscali, ispettivi (INPS, INAIL, Agenzia Entrate, Ispettorato del Lavoro) ove richiesto dalla legge.
• Consulenti del lavoro, commercialisti, legali del Titolare nell'ambito di obblighi normativi o difesa di un diritto.
• Autorità giudiziarie e di pubblica sicurezza su richiesta.

I dati non sono diffusi e non sono ceduti a terzi a fini commerciali.

7. Responsabili esterni del trattamento (art. 28 GDPR)

Il Titolare si avvale dei seguenti fornitori, designati Responsabili del trattamento ai sensi dell'art. 28 GDPR:

Fornitore	Servizio	Sede	Informativa
Aruba S.p.A.	Hosting, datacenter, backup	Italia (UE)	aruba.it
Zucchetti S.p.A.	Gestionale paghe (Paghe Web) utilizzato per l'elaborazione dei cedolini e gli adempimenti connessi	Italia (UE)	zucchetti.it
Sendinblue S.A.S. (Brevo)	Invio email transazionali (notifiche, conferme, ticket)	Francia (UE)	brevo.com
Google Ireland Ltd.	Google Fonts (caricamento font tipografici)	Irlanda (UE) — possibili trasferimenti USA	policies.google.com
Anthropic PBC	Servizi di intelligenza artificiale a supporto dello Studio (analisi di testi normativi, bozze di documenti). Non attivi sui dati dei lavoratori né sul contenuto dei ticket; una eventuale riattivazione sarà comunicata preventivamente	USA (con clausole contrattuali standard UE)	anthropic.com
Cloudflare Inc.	CDN per Tailwind CSS e Chart.js (cdn.tailwindcss.com, cdn.jsdelivr.net)	USA (con clausole contrattuali standard UE)	cloudflare.com

8. Trasferimenti extra-UE

Alcuni fornitori (Google, Cloudflare, Anthropic) possono trasferire dati negli Stati Uniti. Tali trasferimenti avvengono sulla base delle Clausole Contrattuali Standard approvate dalla Commissione Europea (Decisione 2021/914/UE) e, ove applicabile, dell'adesione al EU-U.S. Data Privacy Framework. È possibile richiedere copia delle garanzie scrivendo a postmaster@myudp.it.

9. Diritti dell'interessato

L'interessato può esercitare in ogni momento i diritti previsti dagli artt. 15-22 GDPR:

• Accesso ai propri dati e copia degli stessi
• Rettifica di dati inesatti o incompleti
• Cancellazione («diritto all'oblio»), nei limiti degli obblighi di conservazione di legge
• Limitazione del trattamento
• Portabilità dei dati forniti, in formato strutturato e leggibile
• Opposizione al trattamento basato su legittimo interesse
• Revoca del consenso in qualsiasi momento, ove il trattamento si fondi sul consenso, senza pregiudicare la liceità del trattamento già effettuato

Per esercitare i diritti è sufficiente scrivere a postmaster@myudp.it. Il Titolare risponde entro 30 giorni dalla richiesta.

10. Reclamo all'Autorità di controllo

L'interessato che ritenga che il trattamento dei propri dati violi il GDPR può proporre reclamo al Garante per la Protezione dei Dati Personali: Piazza Venezia, 11 — 00187 Roma — www.garanteprivacy.it — protocollo@gpdp.it

11. Cookie

Per le informazioni sui cookie e tecnologie analoghe utilizzate, si rinvia alla Cookie Policy e all'apposito banner. È possibile in ogni momento modificare le proprie preferenze cliccando il link «Le tue preferenze cookie».

12. Modifiche all'informativa

Il Titolare si riserva di aggiornare la presente informativa per adeguarla a sopravvenute modifiche normative o organizzative. La versione corrente e la data di ultimo aggiornamento sono indicate in apertura del documento. Le modifiche sostanziali sono comunicate agli utenti tramite la piattaforma.