Privacy.

1Titolare del trattamento

Titolare del trattamento ai sensi del Regolamento generale sulla protezione dei dati (GDPR) è:

Thomas Möbius
Geschwister-Scholl-Str. 4
04808 Wurzen
Germania

E-mail: info@theofac.com

Non è stato nominato un responsabile della protezione dei dati, poiché non ricorrono i presupposti di legge.

2L’essenziale in breve

OFAC salva calendario, turni, orari di lavoro, retribuzione e impostazioni in locale sul tuo dispositivo. Il fornitore non gestisce a tale scopo alcun account utente OFAC e non riceve questi contenuti.

Se colleghi Google Drive e avvii un backup, OFAC trasferisce al tuo account Google un file di backup già cifrato sul dispositivo. Una pianificazione attivata in aggiunta esegue automaticamente questo backup. In questo caso Google riceve anche metadati di connessione e di file. Il backup di sistema di Android resta disattivato indipendentemente da ciò.

Non esiste alcun SDK pubblicitario o di analisi dell’uso, né un servizio esterno attivo di segnalazione degli arresti anomali. Esportazioni e stampe le consegni tu alla destinazione che scegli. Sul sito web vengono generati dati tecnici di accesso; i dettagli sono nella sezione 3.

Importazione del calendario ICS: un file ICS che selezioni nella finestra di dialogo dei file di Android viene letto e verificato esclusivamente sul dispositivo. OFAC non carica il file su alcun server OFAC e a tale scopo non accede al calendario di sistema di Android.

3Utilizzo di questo sito web

Dati di accesso

Quando accedi a theofac.com, il server web tratta automaticamente i dati trasmessi dal tuo browser: indirizzo IP, data e ora dell’accesso, pagina richiesta, pagina visitata in precedenza, tipo e versione del browser e sistema operativo.

Questo trattamento è tecnicamente necessario per fornire la pagina e garantirne il funzionamento, ad esempio contro attacchi e sovraccarichi. La base giuridica è l’art. 6, par. 1, lett. f) GDPR; il legittimo interesse consiste nella messa a disposizione stabile e sicura del sito web. I dati non vengono combinati con altre fonti di dati né valutati per identificare singole persone. I log del server vengono cancellati al più tardi dopo 14 giorni.

Hosting

Il sito web funziona su un server virtuale dedicato, che il titolare del trattamento gestisce e configura in proprio. I log del server si trovano esclusivamente su questo server.

L’infrastruttura sottostante è fornita da

netcup GmbH
Emmy-Noether-Straße 10
76131 Karlsruhe

in qualità di responsabile del trattamento, sulla base di un contratto ai sensi dell’art. 28 GDPR. Il server si trova all’interno dell’Unione europea. Non avviene alcun trasferimento verso paesi terzi.

Cookie e misurazione dell’audience

Questo sito web non utilizza cookie di analisi, di marketing o di tracciamento e non integra caratteri tipografici, mappe, video o altri contenuti esterni di terze parti. Non è quindi necessaria alcuna richiesta di consenso.

Per la lingua del sito scelta espressamente viene salvato il cookie tecnicamente necessario ofac_language. Dopo la conferma dell’avviso sui cookie viene salvato inoltre ofac_cookie_notice. Entrambi contengono solo la rispettiva impostazione, valgono per l’intero sito, hanno una durata massima di dodici mesi e non vengono utilizzati per analisi, marketing o tracciamento.

Contatto

Se ci scrivi un’e-mail, trattiamo i tuoi dati esclusivamente per gestire la tua richiesta. La base giuridica è l’art. 6, par. 1, lett. b) GDPR se la richiesta riguarda un contratto, altrimenti l’art. 6, par. 1, lett. f) GDPR. Il tuo messaggio viene cancellato non appena non è più necessario e non vi ostano obblighi legali di conservazione.

Modulo di supporto e ticket di supporto

Se utilizzi il modulo di supporto su theofac.com, il server tratta i dati che inserisci per gestire la tua richiesta: nome, indirizzo e-mail, categoria, oggetto, messaggio e lingua del modulo scelta. Facoltativamente puoi allegare al massimo due screenshot in formato JPEG o PNG, di 5 MB al massimo ciascuno.

Nome e indirizzo e-mail vengono cifrati con una «sealed box» a chiave pubblica prima di essere scritti nel database di supporto. Il sito web pubblico possiede solo la chiave di cifratura e in seguito non può decifrare da solo questi valori. Per riconoscere l’indirizzo e-mail viene inoltre salvato un indice cieco HMAC non reversibile. Testo del messaggio, oggetto, categoria, stato del ticket e metadati tecnici degli allegati vengono salvati per la gestione della pratica. Gli allegati sono archiviati con nomi di file casuali e con diritti di accesso limitati, al di fuori della directory web accessibile al pubblico.

Come protezione dagli abusi, il sistema di supporto utilizza valori hash HMAC non reversibili dell’indirizzo IP del client e dello user agent abbreviato, nonché nonce del modulo di breve durata e limiti di frequenza. L’indirizzo IP non elaborato può, indipendentemente da ciò, essere contenuto nei log del server web descritti in questa sezione. I log degli errori dell’endpoint di supporto sono concepiti in modo da non registrare contenuti dei messaggi, indirizzi e-mail né indirizzi IP in chiaro.

Per la pagina di stato viene generato un token di accesso casuale. Sul server viene salvato solo il suo hash SHA-256; l’accesso tecnico scade dopo 365 giorni e, per una richiesta chiusa, già 30 giorni dopo la chiusura. Il link con il numero di richiesta e il token viene inviato all’indirizzo e-mail indicato e deve essere trattato in modo riservato. La scadenza del link non elimina il contenuto del ticket; una richiesta di supporto viene tuttavia eliminata automaticamente sei mesi dopo la sua chiusura, insieme a tutti i messaggi, alle note interne e agli allegati. Le richieste non chiuse restano memorizzate fino alla loro chiusura.

La base giuridica è l’art. 6, par. 1, lett. b) GDPR, nella misura in cui la richiesta riguardi l’utilizzo o la fornitura di OFAC, altrimenti l’art. 6, par. 1, lett. f) GDPR. Il legittimo interesse consiste nel rispondere alle richieste di supporto e nel funzionamento sicuro e resistente agli abusi del sistema di supporto.

Richieste di supporto via e-mail

Se scrivi direttamente a support@theofac.com, creiamo una richiesta anche a partire dal tuo messaggio e trattiamo i dati in esso contenuti come descritto sopra; nome e indirizzo e-mail vengono salvati cifrati nello stesso modo e le immagini in formato JPEG o PNG vengono acquisite come allegati. La base giuridica è l’art. 6, par. 1, lett. f) GDPR, per le richieste legate a un contratto l’art. 6, par. 1, lett. b) GDPR. Le risposte a un’e-mail di supporto vengono assegnate alla richiesta esistente in base al numero di richiesta. I messaggi che il nostro server di posta classifica come spam non diventano richieste; vengono conservati temporaneamente in forma cifrata, eliminati automaticamente al più tardi dopo 30 giorni ed elaborati ulteriormente solo se la classificazione si rivela errata. Anche le richieste nate da un’e-mail vengono eliminate sei mesi dopo la loro chiusura.

4Quali dati tratta l’app sul tuo dispositivo

Sei tu a decidere quali dati inserire in OFAC. A seconda delle funzioni utilizzate, possono essere:

Pianificazione di servizio e turni Turni, schemi di turno e rotazioni, orari di servizio, assegnazioni ai giorni del calendario.

Appuntamenti e voci di calendario Titolo, descrizione, note, luogo, data e ora, categorie e colori, orari dei promemoria.

Orari di lavoro e registrazione dell’orario Tempi di lavoro e di pausa registrati, confronti tra orario previsto ed effettivo, straordinari, correzioni di singoli giorni.

Dati relativi alla retribuzione Se utilizzi queste funzioni: tariffe orarie, maggiorazioni e regole di premio, nonché le analisi calcolate a partire da questi dati.

Assenze Informazioni su ferie, recupero ore o giorni di malattia, nella misura in cui li inserisci.

Impostazioni e sblocco Paese e regione scelti per il calcolo facoltativo dei giorni festivi, impostazioni di visualizzazione e di tema, lingua, impostazioni dei promemoria, stato dei passaggi di configurazione completati e stato di sblocco delle funzioni dell’app salvato in locale.

Avvertenza sui dati particolarmente sensibili

Le voci relative ai giorni di malattia e i testi liberi come «Visita medica» possono costituire dati relativi alla salute ai sensi dell’art. 9 GDPR. Questi dati vengono trattati in locale. Se crei un backup, possono essere contenuti nel contenuto cifrato del backup; in caso di esportazione o stampa possono essere emessi in chiaro. Tienine comunque conto quando crei e condividi backup o file di esportazione (vedi sezione 8).

Importazione ICS e dati tecnici di provenienza

Dopo un’importazione ICS confermata, OFAC salva nel database locale cifrato, oltre alle voci di calendario selezionate, informazioni tecniche di provenienza. Queste comprendono un identificativo dell’operazione di importazione con data e ora e contatore dei risultati, nonché identificativi tecnici di provenienza e impronte di verifica delle voci importate. Questi dati servono esclusivamente a riconoscere reimportazioni invariate, modifiche locali e voci di importazione eliminate in precedenza in locale. L’informazione di provenienza di una voce importata può rimanere dopo la sua eliminazione locale e viene rimossa solo insieme ai dati locali dell’app. Fa parte di un backup del database OFAC.

5Finalità e basi giuridiche dell’uso dell’app

Il trattamento sul tuo dispositivo serve esclusivamente a fornire le funzioni dell’app che hai richiesto: la pianificazione di turni e appuntamenti, la registrazione e l’analisi degli orari di lavoro e il promemoria degli eventi imminenti.

Nella misura in cui il trattamento rientra nell’ambito di applicazione del GDPR, si fonda sull’art. 6, par. 1, lett. b) GDPR (esecuzione del contratto di utilizzo relativo alla messa a disposizione dell’app). Se inserisci volontariamente dati ai sensi dell’art. 9 GDPR, ad esempio giorni di malattia, ciò avviene sulla base dell’art. 9, par. 2, lett. a) GDPR, mediante il tuo stesso inserimento.

Se utilizzi OFAC esclusivamente per scopi personali, per te come utente si applica di regola l’esenzione per attività a carattere esclusivamente personale o domestico di cui all’art. 2, par. 2, lett. c) GDPR. Se invece utilizzi l’app a titolo professionale per pianificare dati di altre persone, ad esempio come responsabile di un team, il titolare di tale trattamento ai fini della protezione dei dati sei tu.

6Conservazione, sicurezza e periodo di conservazione nell’app

I tuoi dati vengono archiviati in un database locale all’interno dell’area di memoria protetta propria dell’app sul tuo dispositivo. Per proteggere questi dati, OFAC adotta le seguenti misure:

• Database cifrato: il database è cifrato con SQLCipher mediante AES-256.
• Gestione delle chiavi: una chiave nell’Android Keystore protegge la passphrase del database, archiviata separatamente nella memoria privata dell’app. La protezione supportata dall’hardware dipende dal dispositivo. Il fornitore non riceve né la chiave né la passphrase.
• Sandbox dell’app: le altre app non possono accedere a quest’area di memoria.
• Nessun traffico di rete non cifrato: l’app è configurata in modo che le connessioni non cifrate siano bloccate dal sistema.

I dati restano salvati finché non li elimini tu. Hai a disposizione tre modi:

• eliminare singole voci nell’app,
• reimpostare completamente i dati locali con la funzione «Elimina dati locali» nelle impostazioni,
• disinstallare l’app o cancellare i dati dell’app nelle impostazioni di Android, alla voce «App → OFAC → Spazio di archiviazione».

Un ripristino da parte del fornitore non è né possibile né previsto.

7Autorizzazioni e accessi al dispositivo

OFAC richiede solo le autorizzazioni strettamente necessarie per la rispettiva funzione:

Notifiche (POST_NOTIFICATIONS) Necessaria per ricordarti turni e appuntamenti. Le notifiche vengono generate interamente in locale sul tuo dispositivo. Non avviene alcun invio tramite servizi push. Puoi revocare l’autorizzazione in qualsiasi momento nelle impostazioni di Android; i promemoria verranno quindi a mancare.

Sveglie esatte (USE_EXACT_ALARM, su Android 12 e 12L SCHEDULE_EXACT_ALARM) Necessaria affinché i promemoria vengano attivati all’orario desiderato e senza ritardo. Ciò è particolarmente importante per i promemoria di inizio turno. In questo caso non vengono trasmessi dati.

Ricezione dell’avvio del sistema (RECEIVE_BOOT_COMPLETED) Dopo il riavvio del dispositivo, le sveglie programmate vanno perse per motivi di sistema. OFAC utilizza questa autorizzazione esclusivamente per riprogrammare i promemoria che hai già attivato. In questo caso non vengono raccolti, letti né trasmessi dati.

Selezione dei file per importazione, backup, esportazione e stampa OFAC utilizza lo Storage Access Framework di Android. Per l’importazione ICS viene letto esclusivamente il file che hai selezionato nel selettore di sistema. Per backup, esportazione e stampa l’accesso riguarda solo il file o la cartella che indichi tu e solo nell’ambito della rispettiva operazione. Non viene richiesta un’autorizzazione generale di archiviazione.

OFAC non richiede l’accesso a posizione, contatti, fotocamera, microfono, stato del telefono o calendario di sistema.

Internet (INTERNET) L’autorizzazione tecnica è presente nel manifest e viene concessa senza finestra di dialogo a runtime. Consente in particolare il backup su Google Drive da te attivato. L’adattatore di configurazione OFAC predisposto non ha alcun chiamante produttivo; non è incluso alcun adattatore per la versione dei giorni festivi. Il calcolo dei giorni festivi avviene in locale.

8Importazione ICS, backup locale, esportazione e stampa

Importazione del calendario ICS

OFAC legge un file ICS solo dopo la tua scelta esplicita tramite il selettore di sistema di Android. Il file viene letto in locale entro i limiti di dimensione e di sicurezza implementati, verificato dal punto di vista strutturale ed elaborato come anteprima. URL esterni, allegati o altri contenuti richiamati dal file ICS non vengono caricati né eseguiti. Le informazioni che non possono essere rappresentate, come partecipanti, organizzatore, allegati e determinati campi di testo libero, non vengono acquisite in OFAC.

Solo dopo la tua conferma finale le voci di calendario selezionate e i dati tecnici di provenienza descritti nella sezione 4 vengono scritti nel database locale cifrato. Uscendo da un’importazione non ancora confermata, l’anteprima viene scartata; il file sorgente selezionato non viene salvato in OFAC come copia permanente. Non avviene alcun caricamento su OFAC.

Backup locale, esportazione e stampa

Un backup locale OFAC viene creato dapprima nella memoria privata dell’app. Con il download salvi una copia aggiuntiva nel luogo che scegli. Entrambi i file sono cifrati con la tua password di backup. La password di un backup locale manuale non viene salvata in modo permanente. Senza questa password il ripristino non è possibile.

Le esportazioni ICS, CSV e JSON e le stampe non sono protette dalla cifratura dei backup OFAC. Possono contenere dati personali in chiaro. Se scegli un altro servizio come destinazione di salvataggio o di condivisione, questo tratta i file consegnati secondo le proprie condizioni.

I file salvati all’esterno non vengono eliminati dal ripristino o dalla disinstallazione di OFAC. Elimina le copie non più necessarie nel luogo in cui si trovano.

9Backup su Google Drive e backup di sistema Android

Backup facoltativo su Google Drive. Sei tu a collegare il tuo account Google e a concedere, tramite Google, l’autorizzazione per l’area dati privata dell’app (drive.appdata). In questo modo OFAC non ottiene alcun accesso generale agli altri tuoi file di Drive. Un backup manuale viene trasferito su tuo incarico; i backup automatici vengono eseguiti solo dopo un’ulteriore attivazione e secondo la tua pianificazione.

Il backup viene cifrato prima del trasferimento con AES-256-GCM e la tua password. Né il fornitore né il trasporto Drive ricevono la chiave di decifratura. Google tratta il contenitore cifrato e in particolare i metadati di account, di connessione e di file, tra cui la dimensione del file e il momento del backup. La cifratura del contenuto non nasconde questi metadati.

Per Drive, OFAC può salvare la password di backup su questo dispositivo, cifrata con una chiave dell’Android Keystore. Non viene trasmessa a Google né al fornitore. La password salvata può essere rimossa in OFAC; ciò disattiva l’automazione. La semplice disattivazione della pianificazione va distinta dalla rimozione della password.

OFAC mantiene un backup Drive aggiornato. Solo dopo il caricamento riuscito di un nuovo backup vengono rimossi gli oggetti di backup più vecchi. Se interrompi un’operazione, possono essere temporaneamente presenti più oggetti. Scollegare l’account, disattivare l’automazione, rimuovere la password o disinstallare non eliminano automaticamente il file Drive esistente. Puoi eliminare i dati dell’app OFAC tramite la gestione delle app collegate in Google Drive; le autorizzazioni di accesso le gestisci nel tuo account Google.

Il servizio Drive è fornito da Google; per gli utenti nello Spazio economico europeo il titolare del trattamento indicato nell’informativa sulla privacy di Google è Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda. La funzione di backup da te richiesta serve all’esecuzione del contratto ai sensi dell’art. 6, par. 1, lett. b) GDPR, nella misura in cui il fornitore tratti in tale ambito dati personali. Il trattamento da parte di Google è disciplinato dalla sua informativa sulla privacy. Un’autorizzazione dell’account in Android non equivale a un consenso generale ad altre finalità di trattamento.

Backup di sistema Android. Il backup automatico di Android e il trasferimento del dispositivo a livello di sistema sono disattivati per i dati persistenti di OFAC. Ciò non impedisce un backup OFAC su Drive da te attivato. In caso di cambio di dispositivo, ripristini tu un backup OFAC con la relativa password.

10Download dell’app tramite Google Play

OFAC viene distribuita tramite il Google Play Store. Durante il download e l’aggiornamento dell’app, Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda, tratta dati personali sotto la propria responsabilità, in particolare l’identificativo del tuo account Google, informazioni sul dispositivo e sull’installazione e la tua cronologia dei download.

Il fornitore dell’app non ha alcuna influenza su questo trattamento e a tale riguardo non riceve alcun dato personale. Nella Google Play Console vengono mostrate solo statistiche aggregate e anonimizzate su installazioni e arresti anomali, dalle quali non è possibile risalire a singole persone.

Nell’app non sono attive funzioni di acquisto o di pagamento. Non vengono quindi raccolti né trattati dati di pagamento.

Per i dettagli consulta l’informativa sulla privacy di Google: policies.google.com/privacy

11Destinatari e trattamento internazionale

I tuoi contenuti di calendario, turni, orari e retribuzione non vengono inviati a server OFAC. Il backup facoltativo su Drive trasferisce a Google il backup cifrato e metadati tecnici. Gli altri destinatari li determini tu durante l’esportazione, la stampa o il salvataggio.

Google tratta dati anche su server distribuiti in tutto il mondo. Un trattamento esclusivamente all’interno dell’UE o del SEE non viene quindi qui garantito. Google descrive i meccanismi di trasferimento utilizzati, comprese le decisioni di adeguatezza e le clausole contrattuali tipo, nel proprio quadro per i trasferimenti di dati. La portata e le basi giuridiche del trattamento da parte di Google sono illustrate nell’informativa sulla privacy di Google.

OFAC non utilizza dati per pubblicità o profilazione. I giorni festivi vengono calcolati in locale; non è inclusa alcuna funzione per le vacanze scolastiche.

12Accesso alle informazioni sul tuo dispositivo

La memorizzazione di informazioni sul tuo dispositivo e l’accesso ad esse si limitano, sia su questo sito web sia nell’app, a ciò che è strettamente necessario per fornire le funzioni da te espressamente richieste. A tal fine non è necessario il consenso ai sensi del § 25, comma 2, n. 2 della legge tedesca TDDDG. In nessun momento vengono memorizzate o lette informazioni a fini di analisi, misurazione dell’audience o pubblicità.

13I tuoi diritti

In base al GDPR hai i seguenti diritti: accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione del trattamento (art. 18), portabilità dei dati (art. 20) e opposizione (art. 21).

Per l’app ciò significa in pratica: il fornitore non possiede alcuna copia dei tuoi contenuti locali di calendario e di orario di lavoro. Ne gestisci tu la modifica e la cancellazione nell’app; le copie salvate all’esterno le elimini presso il servizio scelto. I tuoi diritti di legge nei confronti del rispettivo titolare restano impregiudicati. Eserciti questi diritti direttamente tu:

• Accesso e consultazione: interamente tramite l’app sul tuo dispositivo
• Rettifica: modificando le voci corrispondenti nell’app
• Cancellazione: attraverso le modalità descritte nella sezione 6
• Portabilità dei dati: tramite le funzioni di backup ed esportazione dell’app

Per i dati di accesso al sito web e la corrispondenza e-mail, nonché per qualsiasi domanda sulla protezione dei dati, puoi contattare il fornitore all’indirizzo info@theofac.com.

Per i dati trasmessi tramite il sistema di supporto web, invece, il fornitore può trattare dati personali. Puoi far valere i diritti relativi a una richiesta di supporto indicando il numero di richiesta all’indirizzo info@theofac.com. Il database locale dell’app è separato da ciò e continua a non essere accessibile al fornitore.

14Diritto di proporre reclamo a un’autorità di controllo

Fatti salvi altri rimedi, hai il diritto di proporre reclamo a un’autorità di controllo per la protezione dei dati, in particolare nello Stato membro in cui risiedi, in cui lavori o in cui si è verificata la presunta violazione.

L’autorità competente per il fornitore è:

Sächsische Datenschutz- und Transparenzbeauftragte (Garante sassone per la protezione dei dati e la trasparenza)
Maternistraße 17
01067 Dresden

Indirizzo postale: Postfach 11 01 32, 01330 Dresden
E-mail: post@sdtb.sachsen.de
Web: www.datenschutz.sachsen.de

15Minori e giovani

OFAC si rivolge ad adulti che svolgono un’attività lavorativa e non è destinata all’uso da parte di minori. Non vengono raccolti dati di minori in modo mirato.

16Modifiche alla presente informativa sulla privacy

La presente informativa sulla privacy viene aggiornata non appena il sito web o le funzioni dell’app cambiano in modo rilevante ai fini della protezione dei dati, ad esempio con l’introduzione di account, sincronizzazione, condivisione del calendario, funzioni di acquisto o segnalazioni di arresti anomali. La versione in vigore è consultabile all’indirizzo https://theofac.com/it/privacy/, nella scheda del Google Play Store e nell’app alla voce «Informativa sulla privacy». La data dell’ultima modifica si trova all’inizio di questo documento.