Privacy Policy — Gestione Turno

1Titolare e Responsabile della Protezione dei Dati

Titolare del Trattamento

Il titolare del trattamento dei dati relativi agli utenti della piattaforma Gestione Turno (www.gestioneturno.it) è:

Ragione Sociale	JeySoft
Email	privacy@gestioneturno.it

ℹ️ Nota importante: Per i dati dei dipendenti gestiti tramite la piattaforma, il Titolare del trattamento è l'Azienda cliente (struttura sanitaria) che utilizza il servizio. Gestione Turno agisce in qualità di Responsabile del Trattamento ai sensi dell'art. 28 GDPR.

2Ruoli nel trattamento — Architettura SaaS B2B

Gestione Turno opera come piattaforma SaaS (Software as a Service) multi-tenant. I ruoli nel trattamento dei dati sono così definiti:

Soggetto	Ruolo GDPR	Dati trattati
JeySoft	Titolare (per dati utenti piattaforma) Responsabile ex art.28 (per dati dipendenti)	Dati account, log di sistema, dati tecnici
Azienda Cliente (es. struttura sanitaria)	Titolare del trattamento	Dati anagrafici dipendenti, turni, presenze, dati sanitari
Dipendenti dell'Azienda Cliente	Interessati	Dati personali, turni di lavoro, informazioni sanitarie

⚠️ Data Processing Agreement (DPA): Per ogni Azienda cliente viene stipulato un contratto ex art. 28 GDPR che disciplina le responsabilità nel trattamento dei dati dei dipendenti. Il DPA è parte integrante delle condizioni contrattuali del servizio.

3Tipologie di dati trattati

3.1 Dati degli utenti della piattaforma (amministratori, coordinatori)

Nome, cognome, indirizzo email
Credenziali di accesso (password in formato hash bcrypt)
Indirizzo IP e User Agent del browser
Log di accesso e operazioni effettuate (audit trail)
Token OTP per autenticazione a due fattori

3.2 Dati dei dipendenti gestiti tramite la piattaforma

Anagrafici: nome, cognome, codice fiscale, data e luogo di nascita, indirizzo di residenza, matricola
Contatti: telefono, cellulare, email professionale
Lavorativi: reparto, dipartimento, profilo professionale, categoria contrattuale, data assunzione/cessazione, part-time
Turni e presenze: planning mensile, giustificativi, storico modifiche
Formazione: titoli di studio, crediti ECM
Indicatori organizzativi (sì/no): beneficiario L.104/92, presenza di prescrizioni del medico competente, assenza per malattia — senza alcun dato clinico di dettaglio (vedere sezione 5)

3.3 Dati raccolti automaticamente

Indirizzo IP di connessione
Data e ora degli accessi
Browser e sistema operativo (User Agent)
Cookie di sessione tecnici

4Finalità, base giuridica e conservazione

Finalità	Base giuridica	Conservazione
Erogazione del servizio di gestione turni	Art. 6(1)(b)Esecuzione contratto	Durata contratto + 10 anni
Autenticazione e sicurezza degli accessi	Art. 6(1)(f)Legittimo interesse	12 mesi (log accessi)
Gestione dati anagrafici dipendenti	Art. 6(1)(b)+(c)Contratto + obbligo legale	Durata rapporto + 10 anni
Indicatori sì/no correlati alla salute (L.104, prescrizioni medico competente, malattia)	Art. 9(2)(b)Obbligo legale lavoro	Durata rapporto + 10 anni
Audit trail e log operazioni	Art. 6(1)(f)Legittimo interesse	24 mesi
Accesso demo su invito	Art. 6(1)(a)Consenso	Scadenza token + 30 giorni
Invio comunicazioni tecniche e aggiornamenti	Art. 6(1)(f)Legittimo interesse	Durata contratto

5Indicatori correlati alla salute dei dipendenti

ℹ️ Precisazione importante: La piattaforma non tratta dati clinici, diagnosi, terapie o referti medici. Le informazioni registrate si limitano a tre indicatori booleani (sì/no) strettamente necessari all'organizzazione del lavoro.

I soli indicatori trattati sono:

Indicatore	Formato	Finalità organizzativa
Beneficiario Legge 104/92	Sì / No	Applicare i diritti di assistenza previsti dalla legge nella pianificazione dei turni
Presenza di prescrizioni del medico competente	Sì / No	Segnalare che esistono limitazioni operative; il contenuto delle prescrizioni rimane fuori dalla piattaforma
Assenza per malattia in corso	Sì / No	Gestione della copertura del turno; nessuna informazione sulla patologia viene registrata

⚠️ Natura dei dati: Anche i soli indicatori sì/no riferiti a Legge 104/92 e prescrizioni del medico competente rientrano nella definizione di dati relativi alla salute ai sensi dell'art. 4(15) GDPR, in quanto indirettamente collegabili allo stato di salute di un individuo. Il trattamento avviene pertanto nel rispetto dell'art. 9 GDPR.

Base giuridica

Art. 9(2)(b) GDPR — obblighi in materia di diritto del lavoro (D.Lgs. 81/2008 sulla sicurezza nei luoghi di lavoro; L. 104/1992)
Art. 9(2)(h) GDPR — gestione della medicina del lavoro e della pianificazione del personale in conformità agli obblighi di legge

Accesso agli indicatori

La visualizzazione di questi indicatori è riservata esclusivamente al personale autorizzato dell'Azienda cliente (livelli 1–3 della piattaforma). Non sono mai visibili al dipendente stesso tramite la piattaforma né al personale con livello di accesso inferiore.

✅ Principio di minimizzazione: La piattaforma raccoglie il minimo indispensabile — esclusivamente l'indicatore sì/no — senza memorizzare diagnosi, certificati, codici ICD o qualsiasi altro dato clinico di dettaglio.

6Cookie e dati tecnici

✅ Nessun cookie di profilazione o tracciamento.
La piattaforma utilizza esclusivamente cookie tecnici strettamente necessari al funzionamento.

Cookie	Tipo	Finalità	Durata
`gt_sess`	Tecnico — sessione	Mantiene lo stato di autenticazione dell'utente durante la navigazione	Sessione (cancellato alla chiusura del browser)

Non vengono utilizzati cookie di terze parti, pixel di tracciamento, Google Analytics o altri strumenti di analisi comportamentale.

7Sicurezza dei dati

Adottiamo misure tecniche e organizzative adeguate per proteggere i dati personali, tra cui:

Crittografia: tutte le comunicazioni avvengono tramite HTTPS/TLS
Password: archiviate in formato hash bcrypt (costo 12)
Autenticazione: sistema OTP a due fattori disponibile
Anti-hijacking: controllo IP e User Agent per ogni sessione
Audit trail: registro completo di tutte le operazioni sensibili
Segregazione: ogni cliente opera su un database separato con prefisso dedicato
Controllo accessi: sistema di permessi granulare per livello utente
Hosting: server Aruba S.p.A., data center in Italia (UE)

⚠️ Data Breach: In caso di violazione dei dati personali che presenti un rischio per i diritti e le libertà degli interessati, il Titolare notificherà l'Autorità Garante entro 72 ore e, se necessario, gli interessati senza ingiustificato ritardo, ai sensi degli artt. 33-34 GDPR.

8Trasferimento dei dati

Tutti i dati sono conservati ed elaborati su server localizzati in Italia, gestiti da Aruba S.p.A. (Via San Clemente 53, 24036 Ponte San Pietro BG).

Non vengono effettuati trasferimenti di dati verso Paesi terzi extra-UE.

✅ Dati in Europa: Il trattamento avviene interamente nell'Unione Europea, nel rispetto del GDPR e della normativa italiana in materia di protezione dei dati.

9Diritti degli interessati

Ai sensi degli artt. 15-22 GDPR, ogni interessato ha diritto di:

Diritto	Descrizione
Accesso (art. 15)	Ottenere conferma del trattamento e copia dei dati personali
Rettifica (art. 16)	Correggere dati inesatti o incompleti
Cancellazione (art. 17)	Ottenere la cancellazione dei dati ("diritto all'oblio")
Limitazione (art. 18)	Ottenere la limitazione del trattamento in determinate circostanze
Portabilità (art. 20)	Ricevere i dati in formato strutturato e leggibile da macchina
Opposizione (art. 21)	Opporsi al trattamento basato sul legittimo interesse
Revoca consenso	Revocare in qualsiasi momento il consenso prestato (es. accesso demo)

Come esercitare i diritti

Le richieste possono essere inoltrate a: privacy@gestioneturno.it
Il titolare risponderà entro 30 giorni dalla ricezione della richiesta.

⚠️ Nota per i dipendenti: I dipendenti delle Aziende clienti devono indirizzare le richieste di esercizio dei diritti direttamente alla propria Azienda (Titolare del trattamento), non a Gestione Turno.

10Modifiche alla presente informativa

La presente informativa può essere aggiornata in qualsiasi momento per riflettere modifiche normative, tecnologiche o operative. La data di ultimo aggiornamento è indicata in cima alla pagina.

Le modifiche sostanziali saranno comunicate agli utenti registrati tramite email con almeno 15 giorni di preavviso.

11Contatti e reclami

Contatti Privacy

Email Privacy	privacy@gestioneturno.it
DPO	dpo@gestioneturno.it

Diritto di reclamo

Se ritieni che il trattamento dei tuoi dati personali violi il GDPR, hai il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali:

Garante per la Protezione dei Dati Personali
Piazza Venezia 11 — 00187 Roma
Web: www.garanteprivacy.it
Email: garante@garanteprivacy.it

🔒 Privacy Policy

📋 Indice