Informativa privacy dell'app

Versione 1.0 — Ultimo aggiornamento: marzo 2026

1. Premessa

La presente informativa descrive le modalità con cui BE Care Srl, in qualità di Responsabile del trattamento ai sensi dell'art. 28 del GDPR, tratta i dati personali degli utenti nell'ambito dell'applicazione Timbr.it.

Il Titolare del trattamento dei tuoi dati personali è il tuo datore di lavoro (l'azienda che ha sottoscritto il servizio Timbr.it). Per l'informativa completa sulle finalità e le modalità del trattamento, nonché per l'esercizio dei tuoi diritti, ti invitiamo a rivolgerti al tuo datore di lavoro.

2. Responsabile del trattamento

BE Care Srl
Via di Pancole 133, 50022 Greve in Chianti (FI)
P.IVA 06317530480
Email: info@becare.it
Tel. 055 642199

BE Care Srl fornisce e gestisce la piattaforma Timbr.it, trattando i dati personali esclusivamente per conto e su istruzione del Titolare del trattamento (il tuo datore di lavoro), nel rispetto del contratto di trattamento dati (DPA) sottoscritto tra le parti.

3. Dati personali trattati

Dati anagrafici e di contatto

• nome e cognome;
• indirizzo email aziendale;
• email personale (se fornita);
• numero di telefono (se fornito);
• indirizzo di residenza (se fornito).

Dati professionali

• matricola dipendente;
• qualifica professionale;
• tipologia contrattuale;
• date di inizio e fine contratto;
• categoria (operaio, impiegato, quadro, dirigente).

Dati di timbratura

• data e ora di ogni timbratura (entrata/uscita);
• metodo utilizzato (GPS, QR code, NFC);
• esito dei controlli (timbratura valida/non valida).

Dati di geolocalizzazione (previo consenso esplicito)

• coordinate GPS (latitudine e longitudine) al momento della timbratura;
• distanza dal punto di timbratura autorizzato.

Dati di utilizzo del sistema

• indirizzo IP;
• identificativo del browser o dispositivo (user-agent);
• data e ora di accesso al sistema;
• operazioni effettuate (registro di audit).

Dati relativi a richieste

• richieste di ferie, permessi, assenze;
• stato di approvazione;
• allegati (se caricati dall'utente).

4. Finalità e base giuridica

I dati sono trattati da BE Care Srl, per conto del Titolare, per le seguenti finalità:

• registrazione e gestione delle presenze lavorative — esecuzione del contratto di lavoro (art. 6.1.b);
• controlli delle timbrature rispetto ai punti autorizzati — legittimo interesse del datore di lavoro (art. 6.1.f);
• geolocalizzazione GPS al momento della timbratura — consenso esplicito dell'interessato (art. 6.1.a);
• gestione di richieste di ferie, permessi e assenze — esecuzione del contratto di lavoro (art. 6.1.b);
• generazione di report presenze ed esportazione dei dati — adempimento di obblighi di legge (art. 6.1.c);
• sicurezza del sistema e audit delle operazioni — legittimo interesse (art. 6.1.f);
• invio di notifiche operative — esecuzione del contratto di lavoro (art. 6.1.b).

5. Tempi di conservazione

BE Care Srl conserva i dati per i seguenti periodi, salvo diverse istruzioni del Titolare:

Al termine del periodo di conservazione, i dati vengono cancellati o anonimizzati in modo irreversibile.

6. Geolocalizzazione — informativa specifica

L'applicazione Timbr.it può raccogliere dati di geolocalizzazione GPS, esclusivamente previo consenso esplicito dell'utente.

• Frequenza — le coordinate GPS vengono rilevate esclusivamente al momento di ciascuna timbratura (entrata/uscita), mai in modo continuativo;
• dati raccolti — latitudine, longitudine, distanza dal punto di timbratura autorizzato;
• finalità — verificare la presenza sul luogo di lavoro rispetto ai punti di timbratura autorizzati;
• chi accede — il datore di lavoro e il personale da lui autorizzato alla gestione delle presenze;
• conservazione — le coordinate GPS vengono cancellate al blocco delle rilevazioni del periodo di paga (tipicamente alla chiusura del mese); il dato di esito dei controlli è conservato per il periodo previsto dalla normativa sul lavoro;
• alternative — sono sempre disponibili metodi di timbratura senza geolocalizzazione: QR code, tag NFC, timbratura manuale.

Consenso e revoca

• il consenso alla geolocalizzazione è libero, specifico, informato e revocabile in qualsiasi momento;
• il rifiuto del consenso non pregiudica la possibilità di timbrare (vengono utilizzati metodi alternativi);
• puoi revocare il consenso in qualsiasi momento dalla sezione Impostazioni → Privacy dell'applicazione;
• la revoca non pregiudica la liceità del trattamento effettuato prima della revoca stessa.

7. Misure di sicurezza

• Cifratura in transito — tutte le comunicazioni sono protette da TLS/HTTPS con HSTS;
• protezione delle credenziali — password cifrate con algoritmo bcrypt, token di sessione memorizzati come hash SHA-256;
• controllo degli accessi — ruoli a più livelli con isolamento dei dati per azienda;
• protezione dagli attacchi — rate limiting sugli endpoint di autenticazione, Content-Security-Policy, sanitizzazione degli input;
• audit trail — registrazione delle operazioni con IP, user-agent e data/ora;
• infrastruttura — container con utente non privilegiato, immagini con versioni fissate;
• sessioni — invalidazione automatica dopo 30 giorni e al cambio della password.

8. Destinatari dei dati

• il Titolare del trattamento (il tuo datore di lavoro) e il personale da lui autorizzato;
• sub-responsabili tecnici di BE Care Srl per la gestione dell'infrastruttura (hosting, database), operanti nel territorio UE;
• autorità competenti, nei casi previsti dalla legge.

I dati non vengono trasferiti al di fuori dello Spazio Economico Europeo.

9. Diritti dell'interessato

Ai sensi degli artt. 15-22 del GDPR, hai diritto di: accesso, rettifica, cancellazione, limitazione, portabilità e opposizione.

Come esercitare i diritti

Poiché il Titolare del trattamento è il tuo datore di lavoro, i diritti sopra elencati vanno esercitati rivolgendoti direttamente ad esso.

Per questioni relative al trattamento tecnico dei dati da parte di BE Care Srl puoi contattare: info@becare.it.

Hai inoltre il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali (garanteprivacy.it).

10. Dati memorizzati sul dispositivo (app mobile)

Il token di sessione è memorizzato tramite il sistema di archiviazione protetta del dispositivo (Keychain/Keystore). Tutti i dati locali vengono cancellati al logout.

11. Notifiche push

L'applicazione può inviare notifiche push per promemoria di timbratura, esito delle richieste di ferie e permessi e comunicazioni operative. L'attivazione delle notifiche richiede il tuo consenso esplicito, richiesto al primo accesso. Puoi disattivarle in qualsiasi momento dalle impostazioni del dispositivo.

12. Modifiche all'informativa

BE Care Srl si riserva di aggiornare la presente informativa. In caso di modifiche significative, gli utenti saranno informati tramite l'applicazione. La versione aggiornata è sempre disponibile nell'app, nella sezione Impostazioni → Privacy, e su questa pagina.