• Titolare del trattamento: l'azienda cliente che utilizza Operia — [DA COMPILARE: ragione sociale dell'azienda cliente] — [DA COMPILARE: P.IVA dell'azienda cliente] (dati dell'account aziendale al momento dell'accettazione).

• Responsabile del trattamento: [DA COMPILARE: ragione sociale del titolare] — [DA COMPILARE: P.IVA/C.F.] — [DA COMPILARE: sede legale] — lbmultiservizi@info.it («Operia»).

Operia tratta i dati personali per conto del Titolare al solo fine di erogare il servizio di gestione di presenze, orari, turni, timbrature, ferie/permessi, rimborsi, stime retributive e documenti, secondo le istruzioni documentate del Titolare (configurazione e uso del servizio, Termini e presente accordo).

• Interessati: dipendenti, collaboratori, amministratori e manager del Titolare.

• Dati: identificativi e di contatto, dati di autenticazione, dati lavorativi (ore, turni, assenze, formazione), dati economici (tariffe, stime, rimborsi, ricevute), posizione GPS puntuale al momento della timbratura, dati tecnici del dispositivo.

• Eventuali categorie particolari (es. certificati di malattia caricati) solo se inserite dal Titolare, che ne garantisce la base giuridica.

L'accordo ha la stessa durata del rapporto tra Titolare e Operia (prova o abbonamento) e cessa con la cancellazione dei dati descritta all'art. 10.

• Trattare i dati solo su istruzione documentata del Titolare, informandolo se un'istruzione appare contraria alla normativa.

• Garantire la riservatezza: il personale autorizzato è vincolato da obblighi di riservatezza.

• Assistere il Titolare nel riscontro alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità) e negli adempimenti degli artt. 32–36 GDPR.

• Mettere a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consentire verifiche ragionevoli, con preavviso e a spese del Titolare [modalità da definire].

Cifratura delle comunicazioni (HTTPS/TLS), password conservate solo come hash, autenticazione a più fattori per gli account privilegiati, separazione logica dei dati per azienda (multi-tenant), controlli di accesso basati sui ruoli, limitazione dei tentativi di accesso, registrazione degli eventi di sicurezza e backup [dettagli tecnici da completare].

Il Titolare autorizza in via generale il ricorso ai seguenti sub-responsabili, vincolati da obblighi equivalenti a quelli del presente accordo:

• Hosting, database e archiviazione file: [DA COMPILARE: fornitore hosting/database e archiviazione file, sede e paese].

• Invio email transazionali: [DA COMPILARE: fornitore invio email transazionali, es. Resend].

• Stripe — elaborazione dei pagamenti (sito web).

• PayPal — elaborazione dei pagamenti (sito web).

• Cloudflare Turnstile — protezione anti-spam della registrazione (sito web).

Operia informa il Titolare delle modifiche all'elenco con un preavviso di [DA DEFINIRE] giorni; il Titolare può opporsi per motivi legittimi recedendo dal servizio.

Eventuali trasferimenti verso paesi terzi avvengono solo con garanzie adeguate (decisioni di adeguatezza, incluso l'EU-US Data Privacy Framework, o Clausole Contrattuali Standard) [elenco paesi da completare].

Operia notifica al Titolare senza ingiustificato ritardo, e comunque entro [DA DEFINIRE, es. 48] ore dalla scoperta, ogni violazione dei dati personali, fornendo le informazioni disponibili per consentirgli gli adempimenti degli artt. 33 e 34 GDPR.

Alla fine del rapporto Operia NON conserva i dati: li cancella definitivamente entro i tempi indicati nell'email di avviso, di norma pochi giorni dopo la fine del rapporto, con avvisi al Titolare prima della cancellazione (di norma a 7, 3 e 1 giorno); la cancellazione automatica avviene solo dopo l'invio effettivo dell'ultimo avviso. Fino ad allora (o all'eventuale archiviazione, se precedente) il Titolare può ottenerne la restituzione tramite l'esportazione completa (archivio ZIP) dal sito web.

Restano esclusi i soli dati che Operia conserva come titolare autonomo, indicati nell'Informativa sulla privacy (registro accettazioni, registro pseudonimizzato delle cancellazioni, hash anti-abuso, log di sicurezza minimi e dati di fatturazione).