Accordo sul trattamento dei dati (DPA)

Questo accordo disciplina il trattamento dei dati personali che Vigil Pro S.r.l. effettua per conto del tuo istituto quando usi Sentinella (sentinellapro.com). È redatto ai sensi dell'art. 28 del Regolamento (UE) 2016/679 («GDPR») e si applica insieme ai Termini di servizio: accettando i Termini, accetti anche questo DPA. Sentinella è un servizio riservato a imprese e professionisti (B2B).

1. Definizioni e ruoli

• Titolare del trattamento: l'istituto di vigilanza cliente che attiva un account Sentinella (il «Cliente» o «tu»). Decidi finalità e mezzi del trattamento dei dati che carichi nel gestionale.
• Responsabile del trattamento: Vigil Pro S.r.l., sede legale in Piazza Santo Stefano 6, 20122 Milano, sede operativa in Via Mariani 1, Cernusco sul Naviglio (MI), P.IVA 13193690966, iscritta alla CCIAA di Milano (il «Fornitore» o «noi»). Trattiamo i dati solo per erogare il servizio, secondo le tue istruzioni.
• Sub-responsabile: un fornitore terzo di cui ci avvaliamo per erogare parti del servizio (vedi sezione 7).
• Interessati: le persone fisiche a cui si riferiscono i dati trattati per tuo conto.

Contatti privacy: assistenza@sentinellapro.com (prodotto) oppure info@vigilpro.it (società) — tel. 02 8219 7131. Non è nominato un DPO: il referente privacy è il titolare della società, raggiungibile agli indirizzi sopra. Per i dati che riguardano il tuo account e la fatturazione del servizio (anagrafica dell'istituto, contatti, pagamenti), Vigil Pro S.r.l. agisce invece come autonomo titolare, secondo la Privacy Policy del sito.

2. Oggetto, durata, natura e finalità del trattamento

Oggetto: il trattamento dei dati personali che tu e i tuoi utenti caricate o generate usando Sentinella.

Durata: coincide con la durata del contratto di abbonamento (inclusa la prova gratuita di 30 giorni). Alla cessazione si applica la sezione 12.

Natura e finalità: erogazione del gestionale per istituti di vigilanza — pianificazione turni, gestione anagrafiche di dipendenti e collaboratori, timbrature, certificazioni e scadenze, cedolini, segnalazioni dal campo, report e fatturazione dei servizi, notifiche, firma elettronica dei documenti da parte degli operatori (sezione 7-ter), e funzioni di assistenza basate su intelligenza artificiale (incluse in tutti i piani), e la segnalazione di possibili agevolazioni contributive e riduzioni del premio INAIL a partire dai flussi UniEmens e dai documenti INAIL che carichi (sezione 7-bis). Le operazioni comprendono raccolta, registrazione, conservazione, consultazione, organizzazione, comunicazione ai soggetti da te indicati, backup e cancellazione.

3. Categorie di interessati e di dati

Interessati

• Dipendenti e collaboratori del tuo istituto (guardie, operatori, personale d'ufficio).
• Referenti e contatti dei clienti e dei fornitori del tuo istituto.
• Terzi coinvolti in sinistri con le auto del tuo istituto: l'altro conducente, con i dati del suo veicolo e della sua assicurazione, come compaiono nella constatazione amichevole che carichi fra i documenti delle spese dell'auto.

Categorie di dati

• Dati anagrafici e di contatto (nome, codice fiscale, recapiti).
• Dati contrattuali e retributivi, inclusi i cedolini in formato PDF.
• Eventi di timbratura con le coordinate del punto di entrata/uscita dall'area di servizio (geofence). L'app non registra il percorso.
• Certificazioni, attestati e idoneità sanitarie: questi documenti possono contenere dati relativi alla salute, cioè categorie particolari di dati ai sensi dell'art. 9 GDPR.
• Foto e note delle segnalazioni dal campo.
• Messaggi vocali scambiati dagli operatori sul canale radio del servizio (walkie-talkie): registrazioni audio della voce, conservate 15 giorni e consultabili dal tuo ufficio, poi cancellate automaticamente.
• Anagrafiche di clienti e fornitori del tuo istituto.
• Documenti delle auto del tuo istituto: libretto di circolazione, certificato di assicurazione e contratto di noleggio o di leasing, con i dati dell'intestatario del veicolo e delle parti del contratto.
• Documenti delle spese delle auto del tuo istituto: fatture e ricevute di officine e gommisti, lettere di franchigia del noleggiatore o dell'assicurazione, constatazioni amichevoli (con i dati di chi guidava e dell'altra parte).
• Documenti firmati dagli operatori con la firma elettronica con codice monouso (sezione 7-ter), con le registrazioni del processo di firma: impronte dei file, date e ore, indirizzo email a cui parte il codice, indirizzo IP e dispositivo da cui arriva la conferma, esito dell'invio delle email.
• Dati contributivi estratti dai flussi UniEmens che carichi per la funzione Agevolazioni (sezione 7-bis), soltanto per le persone registrate come dipendenti nel gestionale: codice fiscale, mese, qualifica e tipo di lavoratore, tipo di contratto, orario e percentuale di part-time, imponibile e contributi, data e tipo di assunzione e di cessazione, codice del contratto collettivo, contrassegni di eliminazione o regolarizzazione della denuncia, codici e importi delle agevolazioni con il protocollo della domanda. I dati sanitari e sindacali presenti nel flusso sono scartati alla lettura e non vengono conservati; delle persone non registrate si conserva solo il numero.
• Dati dei documenti INAIL che carichi per la funzione Agevolazioni (sezione 7-bis): basi di calcolo del premio, comunicazione del tasso applicabile (modello 20SM), dichiarazione delle retribuzioni, DURC e provvedimento sulla riduzione per prevenzione. Sono dati della tua azienda e delle sue posizioni assicurative: voci di tariffa, tassi, retribuzioni complessive per posizione e voce, lavoratori-anno, numero degli eventi del triennio, date, protocolli ed esiti. Il quadro B del modello 20SM (nomi degli infortunati e dati sugli infortuni) non viene letto e non entra fra i dati estratti; del modello 20SM non conserviamo il file.
• Risposte alle domande per le agevolazioni sull'assunzione (sezione 7-bis), facoltative, che la persona dà a voce al tuo ufficio e che il tuo ufficio scrive nel gestionale, oppure che la persona dà da sola nell'app «Sentinella in Servizio», quando il tuo ufficio gliele manda: da quanto tempo non aveva un lavoro stabile, se aveva fatto la dichiarazione di disponibilità al lavoro, se aveva mai avuto un contratto a tempo indeterminato, se ha un diploma, se vive senza un altro adulto con persone a carico, se ha la residenza in una regione della ZES, se ha almeno tre figli minorenni, se riceve la NASpI, se nei 12 mesi prima dell'assunzione ha lavorato per il tuo istituto o per le aziende collegate; e le risposte del tuo ufficio (se la persona viene da un cambio d'appalto o è assunta per un altro obbligo, offerta pubblicata sul SIISL e, per chi lavora già, se il giorno dell'assunzione riceveva la NASpI e se aveva mai avuto un contratto a tempo indeterminato). Due domande riguardano la situazione familiare (vivere senza un altro adulto con persone a carico, avere almeno tre figli minorenni): si fanno solo quando nel catalogo c'è una misura che le usa: a chi è in assunzione, a uomini e donne allo stesso modo; a chi lavora già, solo quando quella misura è ancora ottenibile per la persona, e quindi, se la misura per legge riguarda solo le donne, soltanto a una donna (sezione 7-bis). «Preferisco non rispondere» non si registra come risposta: resta solo che la domanda è stata chiusa senza risposta, e il tuo ufficio lo vede. Per le domande mandate nell'app si registrano anche la data dell'invio e chi l'ha fatto, i codici delle domande mandate, la lingua scelta dalla persona, la data in cui le ha aperte e quella in cui le ha inviate, quante domande hanno una risposta e quali sono state saltate, i solleciti e l'esito tecnico della notifica. Quando una norma nuova chiede un fatto che queste domande non coprono, Sentinella può aggiungere una domanda dello stesso tipo, chiusa e facoltativa, sulla storia di lavoro, sul tempo senza lavoro, su programmi e liste per il lavoro, su studi e formazione, sulla residenza o sull'indennità di disoccupazione (sezione 7-bis); per ognuna si contano, senza nomi e senza valori, le prime risposte e quante sono «Non lo so» o «Preferisco non rispondere». Le domande non riguardano dati sanitari, invalidità, categorie protette, origine o cittadinanza, convinzioni o dati giudiziari, e quelle aggiunte da Sentinella non riguardano nemmeno la famiglia.

Sei tu, come titolare, a garantire che il caricamento di questi dati in Sentinella avvenga su una base giuridica valida e con le informative dovute ai tuoi interessati.

4. Istruzioni documentate del titolare

Trattiamo i dati soltanto su tua istruzione documentata. Le istruzioni sono costituite da questo DPA, dai Termini di servizio e dall'uso che fai delle funzioni del gestionale (ogni configurazione, caricamento o comando in Sentinella vale come istruzione). Se un obbligo di legge dell'Unione o italiana ci impone un trattamento diverso, ti informiamo prima, salvo che la legge lo vieti. Se riteniamo che una tua istruzione violi il GDPR, te lo segnaliamo.

Nessun trattamento per finalità nostre. Non usiamo i dati trattati per tuo conto per finalità proprie, commerciali o promozionali; non li vendiamo né li cediamo; non li usiamo per addestrare o migliorare modelli di intelligenza artificiale, nostri o di terzi; non li usiamo per fare concorrenza al tuo istituto né per contattare i tuoi clienti, fornitori o dipendenti. L'unica elaborazione a nostro beneficio è statistica, aggregata e anonima, e non consente di risalire al tuo istituto né alle persone (Termini di servizio, sezione 15.1).

5. Riservatezza delle persone autorizzate

Le persone che autorizziamo a trattare i dati (personale e collaboratori di Vigil Pro S.r.l.) sono vincolate a obblighi di riservatezza contrattuali e ricevono istruzioni sul corretto trattamento. L'accesso ai dati è limitato a quanto necessario per assistenza e manutenzione del servizio.

6. Misure di sicurezza

Adottiamo le misure tecniche e organizzative descritte nell'Allegato A, tenendo conto dello stato dell'arte e dei rischi del trattamento (art. 32 GDPR). Possiamo aggiornarle nel tempo, senza ridurne il livello complessivo di protezione.

Modalità Cassaforte. Se attivi la modalità Cassaforte (Termini di servizio, sezione 21), i dati riservati indicati in quella sezione sono conservati da noi soltanto cifrati (AES-256-GCM) con una chiave che custodisci tu, sul tuo server: non possiamo leggerli, non ne conserviamo copie in chiaro e non possiamo restituirli in chiaro (sezione 12). Quando un tuo utente usa una funzione dell'Assistente AI che ne ha bisogno, i dati riservati necessari vengono decifrati per il solo tempo della richiesta e inviati al fornitore di intelligenza artificiale indicato qui sotto (Termini di servizio, sezioni 7 e 21). Mentre si scrive un indirizzo il testo passa dal servizio di suggerimenti, e quando lo si salva dal servizio di geocodifica; i fornitori delle mappe e della foto aerea delle prove di presenza ricevono la zona mostrata o la posizione del posto; per i km e per i tempi di viaggio fra due turni, dei servizi escono verso il servizio di percorsi soltanto le posizioni arrotondate a circa 1 km; per i km escono anche le basi di partenza degli operatori, che non sono dati riservati (Termini di servizio, sezione 21; i fornitori sono nella sezione 7). La copia in chiaro è quella che tieni sul tuo server, sotto la tua esclusiva responsabilità di titolare. Le email che Sentinella spedisce per conto del tuo istituto partono invece leggibili, come ogni email, con destinatario, oggetto, contenuto e allegati: il servizio di invio le conserva come indicato nella sezione 11.

7. Sub-responsabili

Ci autorizzi in via generale a ricorrere ai sub-responsabili elencati di seguito. Restiamo pienamente responsabili verso di te dell'operato dei nostri sub-responsabili, ai quali imponiamo obblighi di protezione dei dati equivalenti a quelli di questo DPA. Le funzioni dell'Assistente AI sono incluse in tutti i piani dal 26 luglio 2026, entro un tetto mensile di consumo (in precedenza erano un modulo facoltativo); i fornitori di elaborazione AI che le eseguono sono quelli della tabella, che è la stessa pubblicata su sentinellapro.com/privacy e si aggiorna con le regole della sezione 11.

Google Maps Platform (Google Ireland Limited e Google LLC): mentre il tuo ufficio scrive un indirizzo (di un cliente, di un fornitore, di un servizio, di un impianto, della sede del tuo istituto o della base di partenza di un operatore) il testo scritto fin lì viene inviato a Google per proporre gli indirizzi esistenti; nelle prove di presenza la foto aerea del posto si chiede a Google indicando la posizione del servizio e quelle delle timbrature. Non inviamo nomi né altri dati. Per questi servizi Google agisce come titolare autonomo, secondo le «Google Maps Controller-Controller Data Protection Terms», e non come nostro sub-responsabile; i dati possono essere trattati negli Stati Uniti d'America, con le garanzie previste da quelle condizioni.

I pagamenti dell'abbonamento sono gestiti tramite Stripe Payments Europe Ltd (Irlanda, con trasferimenti a Stripe Inc., USA, su base EU-US Data Privacy Framework / clausole contrattuali standard). Per questi dati Vigil Pro S.r.l. agisce come titolare autonomo: si applica la Privacy Policy del sito, non questo DPA. I dati della carta sono raccolti e conservati solo da Stripe; Sentinella conserva solo l'identificativo cliente e le ultime 4 cifre.

Le notifiche push (PWA) usano chiavi VAPID nostre; la consegna tecnica passa dal servizio push del browser installato sul dispositivo dell'operatore (Google, Apple o Mozilla), secondo la piattaforma scelta dall'utente.

Previsioni e allerte meteo per gli avvisi agli operatori: il nostro server chiede le previsioni a MET Norway (Istituto meteorologico norvegese, Norvegia, Spazio Economico Europeo) indicando soltanto una posizione approssimata del posto di servizio, ricavata dalle sue coordinate o, se mancano, dal comune del suo indirizzo, e sempre arrotondata a una cella di circa 10 km condivisa da tutti i servizi che vi ricadono. Non trasmettiamo nomi, indirizzi, clienti né dati degli operatori. Le allerte della Protezione Civile si scaricano dal loro archivio pubblico, senza inviare alcun dato. Per gli istituti in modalità Cassaforte la funzione è spenta.

Modifiche all'elenco: prima di aggiungere o sostituire un sub-responsabile ti informiamo nel gestionale, con almeno 30 giorni di preavviso oppure con una nuova versione dei Termini di servizio che accetti in modo esplicito (sezione 17): in questo secondo caso la tua accettazione autorizza il nuovo sub-responsabile da subito. Puoi opporti per motivi legittimi e documentati; se non troviamo una soluzione ragionevole, puoi recedere dal contratto per la parte di servizio interessata, senza vincoli (la disdetta è comunque sempre libera a fine mese). Per i fornitori di elaborazione AI valgono inoltre le condizioni della sezione 11.

7-bis. Funzione «Agevolazioni sul personale»

Che cosa fa. Dalla voce «Agevolazioni» del gestionale il tuo istituto, o il consulente del lavoro che incarichi, può caricare i flussi UniEmens mensili (file XML nel formato pubblicato dall'INPS) che avete già preparato e inviato all'INPS. Sentinella li confronta con regole scritte, raccolte in un catalogo di agevolazioni contributive con norma, circolare, requisiti e data dell'ultimo controllo, e con i dati del personale che già tratta per tuo conto, e prepara un elenco di possibili agevolazioni, persona per persona, con quello che manca per esserne sicuri e una stima dell'importo. Sentinella segnala e prepara, non decide e non invia nulla: non accede ai sistemi dell'INPS o dell'Agenzia delle Entrate, non custodisce credenziali, non presenta domande. Ogni segnalazione è «possibile, da verificare»; la valutazione dei requisiti, la domanda e i conguagli restano al tuo istituto e al tuo consulente del lavoro (legge 12/1979). Il contatore «risparmiato grazie a Sentinella» somma soltanto importi letti dai flussi, per la parte INPS, e gli importi che il tuo ufficio scrive quando segna una domanda come presentata, per la parte INAIL: mai stime.

Documenti INAIL. Il flusso UniEmens non contiene dati sul premio INAIL, che l'INAIL calcola per l'azienda e le sue posizioni assicurative (PAT). Dalla stessa voce il tuo ufficio può caricare, in PDF o in foto, le basi di calcolo del premio, la comunicazione del tasso applicabile (modello 20SM), la dichiarazione delle retribuzioni già inviata, il DURC e il provvedimento sulla riduzione per prevenzione. I campi del documento li scrive il tuo ufficio o li propone la lettura automatica; nessun dato entra nel calcolo prima che il tuo ufficio lo abbia controllato e confermato. Del modello 20SM non si legge il quadro B, che elenca gli infortuni con i nomi delle persone: non entra fra i dati estratti e non va a sistemi di intelligenza artificiale. Non chiediamo il registro infortuni. Il file caricato è conservato solo cifrato, con una chiave diversa da quella dei flussi, e cancellato dopo 90 giorni; del modello 20SM il file non si conserva affatto. I dati confermati restano per la durata del contratto (sezione 12).

Domande per le agevolazioni. Sentinella propone al tuo ufficio alcune domande chiuse e facoltative sulla persona, che servono solo a capire, con il consulente del lavoro, se un'assunzione può rientrare in un'agevolazione e con quale contratto; non servono a decidere chi assumere né a valutare il lavoro di nessuno. Le domande si fanno a chi è in assunzione (contratto che comincia adesso o un contratto a termine in scadenza) e, a chi lavora già, soltanto quelle la cui risposta può ancora cambiare l'esito di un'agevolazione ancora ottenibile per quella persona secondo il catalogo; quando nessuna risposta può cambiare niente, non si fa nessuna domanda. Il tuo ufficio può farle a voce e scriverne le risposte (nell'inserimento della persona, con un passo che si può saltare, o dopo, dalla sua scheda), oppure mandarle con un clic, una persona alla volta, nell'app «Sentinella in Servizio». In quel caso la persona riceve una notifica («Domande dal tuo ufficio»), sceglie la lingua (italiano, inglese, francese o arabo), legge l'informativa e risponde da sola; può saltare una domanda e tornarci dopo, o scegliere «Preferisco non rispondere», che chiude la domanda; alla fine invia le risposte, e dopo l'invio non le cambia più dall'app: per correggerle si rivolge al tuo ufficio. Non c'è nessun link né pagina pubblica: le domande si aprono solo con l'accesso personale all'app, e la persona vede soltanto le proprie, mai importi, nomi delle agevolazioni o esiti. Il tuo ufficio vede se la persona ha aperto le domande, in quale lingua, a quante ha risposto, quali ha saltato e a quali ha scelto «Preferisco non rispondere»; vede anche se la persona non ha ancora attivato l'app e se la notifica non è potuta partire, per decidere se chiamarla. Può rimandarle la notifica al massimo una volta ogni 24 ore, ritirare le domande e rispondere lui in qualsiasi momento (vale l'ultima risposta data, e resta scritto chi l'ha data e quando). Le domande non chiedono dati sanitari, invalidità o appartenenza a categorie protette, origine o cittadinanza, convinzioni, vicende giudiziarie, gravidanza o stato civile: quelle situazioni restano fra il tuo ufficio, il consulente e la persona, fuori da Sentinella. Chiediamo invece la situazione familiare in due casi, solo quando nel catalogo c'è una misura che la usa: se vive senza un altro adulto con persone a carico, e se ha almeno tre figli minorenni. A chi è in assunzione queste due domande si fanno a uomini e donne allo stesso modo, anche quando la misura, per legge, riguarda solo le donne: per gli altri la risposta non cambia niente. A chi lavora già si fanno solo quando una misura che le usa è ancora ottenibile per quella persona; alcune di queste misure, per legge, riguardano solo le donne (per esempio quella per le madri di almeno tre figli), e allora la domanda arriva a una donna e non a un uomo nella stessa situazione. Se la persona sceglie «Preferisco non rispondere» a una domanda sulla famiglia, o la lascia saltata, Sentinella non la tratta come un «no»: la misura resta da chiarire fra la persona e il consulente. Una domanda sulla famiglia ancora saltata quando la persona invia le risposte non si conta fra quelle che mancano e non si chiede di nuovo. Le risposte entrano nel confronto con le regole del catalogo come ogni altro dato, anche nel confronto fra contratto a termine e a tempo indeterminato, che resta una stima per te e per il consulente; restano «da verificare» e non sostituiscono la verifica del consulente. Prima delle domande la persona riceve l'informativa sulle domande, che Sentinella prepara con i dati del tuo istituto e che indica come base giuridica l'interesse legittimo del tuo istituto a usare le agevolazioni previste dalla legge (se ne usi un'altra, indicala nella tua informativa completa): nell'app la legge lei stessa prima della prima domanda, nella lingua che ha scelto, con l'indicazione che fa fede il testo italiano; a voce la dà il tuo ufficio, che lo segna con una spunta prima di salvare le risposte. Quando il tuo ufficio usa «Invia al consulente», le segnalazioni partono per email al consulente del lavoro indicato nei dati dell'azienda, con nome e codice fiscale delle persone e, dove servono a valutare una misura, anche le risposte (per esempio da quanti mesi la persona non aveva un lavoro stabile, o che viene da un cambio d'appalto): l'email passa dal servizio di invio della sezione 11 e resta anche nella casella del consulente. Se il consulente presenta la domanda di un'agevolazione, i dati necessari vanno all'INPS o all'INAIL: è un trattamento tuo e del consulente, fuori da Sentinella. Le risposte restano anche dopo la fine del rapporto, per sapere se la persona, tornando a lavorare per te, può rientrare in un'agevolazione (sezione 12); quando torna, le risposte di prima si mostrano «da confermare» e non entrano nel confronto con le regole finché la persona non le conferma, nell'app oppure al tuo ufficio, che gliele chiede di nuovo una per una.

Domande nuove scritte dal sistema. Ogni 15 giorni Sentinella legge le norme pubblicate dalle fonti ufficiali per tenere aggiornato il catalogo. Se una misura nuova chiede un fatto della persona che le domande di oggi non coprono, un sistema di intelligenza artificiale di Sentinella scrive una domanda nuova leggendo soltanto la frase pubblica della norma, senza ricevere nessun dato del tuo istituto o delle persone. La domanda è una sola per quel fatto, uguale per tutti gli istituti, sempre con le risposte Sì, No, Non lo so e Preferisco non rispondere, in italiano, inglese, francese e arabo, senza importi e senza il nome della misura. Prima di usarla la controllano un programma (un elenco di parole vietate nelle quattro lingue, che ferma salute, famiglia, origine, cittadinanza, giustizia, redditi e soldi, oltre a collegamenti e indirizzi email) e una seconda lettura automatica, fatta da un sistema che non ha visto la norma. Se passa tutti i controlli si attiva da sola per tutti gli istituti, senza che una persona di Sentinella la legga prima; se no resta ferma finché Sentinella non la guarda. Una domanda che si è attivata da sola non arriva mai da sola al telefono di una persona: il tuo ufficio la vede nella scheda della persona, con l'etichetta «Nuova», e decide se farla a voce o mandarla nell'app, una persona alla volta, anche quando la persona ha già altre domande aperte. Una domanda che una persona di Sentinella ha letto e acceso dal pannello entra invece anche nelle domande che il tuo ufficio ha già mandato a una persona e che sono ancora aperte nell'app, senza una notifica in più. Per ogni domanda nuova Sentinella conta, senza nomi e senza valori, quante prime risposte arrivano e quante sono «Non lo so» o «Preferisco non rispondere»: con 3 risposte incerte nelle prime 5 la domanda smette di partire nell'app. Sentinella può spegnere una domanda in ogni momento, per tutti gli istituti: le risposte già date restano conservate e non si usano finché la domanda non torna accesa.

Che cosa entra e che cosa si scarta. Il flusso viene controllato prima di essere salvato, senza copie in chiaro sul disco: contro lo schema INPS quando il programma di controllo è presente sul server e in ogni caso con il controllo strutturale di Sentinella (la pagina dice se lo schema non è stato verificato), coerenza con la matricola e il codice fiscale del tuo istituto, mese riconosciuto; un mese già presente si può solo sostituire, salvo i file frazionati dello stesso mese, che si integrano fra loro. Dal flusso conserviamo soltanto i dati che una regola del catalogo usa, e soltanto per le persone registrate come dipendenti nel gestionale: codice fiscale del lavoratore, mese, qualifica e tipo di lavoratore, tipo di contratto, orario e percentuale di part-time, imponibile e contributi, data e tipo di assunzione e di cessazione, codice del contratto collettivo, contrassegni di eliminazione o regolarizzazione della denuncia, codici e importi delle agevolazioni con il protocollo della domanda; dell'azienda, la sola forza aziendale del mese. Delle persone del flusso che non sono registrate nel gestionale conserviamo il numero, non i dati. Scartiamo alla lettura, senza salvarli né registrarli, i dati su malattia, maternità e paternità, infortunio, disabilità e permessi della legge 104/1992, tutti i codici evento, l'appartenenza e l'attività sindacale, gli assegni per il nucleo familiare, la cittadinanza e i recapiti, la retribuzione teorica, le ore e i giorni lavorati: non entrano in alcuna elaborazione. Nell'app dell'operatore il dipendente non vede mai costi, importi, nomi delle agevolazioni o esiti: vede soltanto, quando il tuo ufficio gliele manda, le domande facoltative descritte sopra, e le proprie risposte finché non le invia.

Cifratura e conservazione. Il file caricato è conservato solo cifrato (AES-256-GCM): con la chiave della modalità Cassaforte se il tuo istituto la ha attiva (sezione 6), altrimenti con una chiave del nostro server dedicata a questi file, diversa da quella degli altri segreti. Il file viene cancellato automaticamente dopo 90 giorni dal caricamento; i dati estratti secondo l'elenco qui sopra e le segnalazioni, con gli esiti che il tuo ufficio annota, restano per la durata del contratto (sezione 12).

Elaborazione AI. Il confronto con le regole lo fa un programma, non un modello di intelligenza artificiale. L'AI serve soltanto, entro il consumo incluso nel piano, a due cose facoltative: scrivere un riassunto in italiano semplice dell'elenco già calcolato, per il quale riceve le persone sotto pseudonimo («Persona 1», «Persona 2»…) e mai nomi, codici fiscali, date di nascita, retribuzioni, dati sanitari o sindacali; e, quando il tuo ufficio lo chiede, leggere un documento INAIL caricato per proporre i campi da confermare, per la quale riceve il testo del documento senza i codici fiscali di persone (del modello 20SM solo il testo senza il quadro B, mai una foto) oppure, per gli altri documenti, la foto o la scansione così com'è, solo dopo che il tuo ufficio ha confermato che non è un modello 20SM (un PDF che sembra un 20SM caricato con un altro tipo non va all'AI). Le risposte alle domande per le agevolazioni, date a voce o nell'app, non vanno mai a sistemi di intelligenza artificiale, nemmeno per il riassunto. L'AI di Sentinella legge anche i testi pubblici delle norme, per aggiornare il catalogo e scrivere le domande nuove descritte sopra: riceve soltanto quei testi, mai dati del tuo istituto o delle persone. Che cosa esce esattamente è scritto nell'Informativa Privacy (sezione 4); valgono la tabella della sezione 7 e la sezione 11.

Ruoli e separazione. Per questi dati tu resti titolare e noi responsabili (sezione 1); il caricamento vale come tua istruzione (sezione 4). L'informativa ai tuoi dipendenti prima del primo caricamento (art. 13, par. 3 GDPR) e l'eventuale valutazione d'impatto sono a tuo carico: un modello di informativa è disponibile su richiesta ad assistenza@sentinellapro.com. Vigil Pro S.r.l., che sviluppa Sentinella, è a sua volta un istituto di vigilanza: i flussi e le segnalazioni del tuo istituto non sono usati per altri istituti né per Vigil Pro, non alimentano confronti fra istituti, il catalogo delle regole o modelli di intelligenza artificiale, e il personale di Vigil Pro non li consulta se non per un intervento di assistenza che il tuo istituto ha chiesto per iscritto. Gli impegni della sezione 4 e della sezione 15 dei Termini valgono per intero, e i flussi di un istituto non sono mai visibili da un altro.

7-ter. Firma elettronica dei documenti

Che cosa fa. Con la firma elettronica con codice monouso (Termini di servizio, sezione 11-bis) i tuoi operatori firmano nell'app «Sentinella in Servizio» il contratto di assegnazione dell'auto e il contratto di assunzione o il rinnovo che il tuo ufficio allega nella loro scheda. Quando un documento parte per la firma, Sentinella lo fissa in un file PDF e ne calcola l'impronta (SHA-256); l'operatore lo apre nell'app con il suo accesso personale, chiede un codice che Sentinella manda all'indirizzo email registrato nella sua scheda e lo scrive per confermare. A conferma avvenuta, in fondo al PDF si aggiunge una pagina di riepilogo della firma, il file firmato si salva con la sua impronta, i contratti allegati nella scheda entrano fra i documenti della persona, e una copia del file firmato parte per email all'operatore. Per il contratto dell'auto si conserva anche il testo del contratto com'era quando è partito per la firma.

Dati trattati. Per ogni firma: nome del firmatario e, se sono nella sua scheda, codice fiscale e, per i liberi professionisti, partita IVA; titolo del documento; i due file, da firmare e firmato, con le loro impronte e il numero delle pagine; data dell'invio in firma e, se lo ha fatto una persona del tuo ufficio, il suo indirizzo email; data della prima apertura del documento nell'app; per il codice, l'indirizzo email a cui è partito, l'ora dell'invio e della scadenza, il numero dei codici mandati e dei tentativi sbagliati (del codice si conserva solo un'impronta calcolata con una chiave del server, mai il codice in chiaro); alla conferma, data e ora secondo l'orologio del server, indirizzo IP da cui è arrivata la conferma, come lo vede il server, dispositivo dichiarato (il testo con cui l'app o il browser si presenta) e versione dell'app; nel registro delle email, l'esito dell'invio del codice e della copia firmata; se il tuo ufficio toglie un documento dalla firma, la data e il motivo. Alla firma non si registra la posizione.

Chi li vede. Nel gestionale li vede il tuo ufficio, dalla scheda della persona e dalla funzione che ha chiesto la firma. L'operatore vede nell'app il documento da firmare e riceve per email il file firmato: la pagina di riepilogo in fondo al file riporta ora, indirizzo IP, dispositivo, impronte e cronologia, e chi riceve il file la legge. Le email del codice e della copia passano dal servizio di invio della sezione 11. Il personale di Vigil Pro S.r.l. accede a questi dati solo per l'assistenza che chiedi, per la manutenzione del servizio e per l'attestazione descritta alla sezione 8.

Conservazione. I file e le registrazioni della firma restano per la durata del contratto e poi secondo la sezione 12. Restano anche se il tuo ufficio toglie il documento dalla firma o dalla scheda, o elimina la scheda della persona: sono la prova di come la firma è stata raccolta e servono a far valere o difendere un diritto (art. 17, par. 3, lett. e GDPR). Si cancellano con la cancellazione totale dei dati del tuo istituto (sezione 12).

Che cosa non è. È una firma elettronica nel senso dell'articolo 3, numero 10, del Regolamento (UE) n. 910/2014, e il valore di prova di un documento firmato in questo modo lo valuta il giudice (Termini di servizio, sezione 11-bis). Sentinella custodisce i file firmati, ma non è un servizio di conservazione dei documenti informatici secondo le Linee guida dell'AgID; l'ora registrata è quella dell'orologio del server, non una marca temporale.

Ruoli. Per questi dati tu resti titolare e noi responsabili (sezione 1); mandare un documento in firma vale come tua istruzione (sezione 4). Ai tuoi operatori la firma è spiegata nell'informativa dell'app (sentinellapro.com/privacy-app); se dai loro un'informativa tua, indica anche questo trattamento.

8. Assistenza al titolare

Tenuto conto della natura del trattamento, ti assistiamo con misure tecniche e organizzative adeguate per:

• dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Molte operazioni le puoi fare in autonomia dal gestionale, incluso l'export dei dati, sempre disponibile;
• rispettare gli obblighi degli artt. 32–36 GDPR, incluse le valutazioni d'impatto (DPIA) e le eventuali consultazioni preventive con il Garante, fornendo le informazioni sull'infrastruttura e sulle misure di sicurezza in nostro possesso.

Se un interessato si rivolge direttamente a noi, ti inoltriamo la richiesta senza rispondere nel merito, salvo tua diversa istruzione o obbligo di legge.

Attestazione sul processo di firma. Ti assistiamo anche quando una firma raccolta in Sentinella viene contestata: su tua richiesta scritta rilasciamo un'«Attestazione sul processo di firma elettronica» per quella firma (Termini di servizio, sezione 11-bis). Per prepararla il nostro personale consulta soltanto i dati della firma elencati nella sezione 7-ter e rilegge i file solo per ricalcolarne l'impronta: il testo del documento non entra nell'attestazione. L'attestazione riporta nome, codice fiscale o partita IVA, indirizzo email, indirizzo IP e dispositivo del firmatario, l'indirizzo email dell'utente del tuo ufficio che ha mandato il documento in firma, le date, le impronte dei file, l'esito del loro controllo e l'esito dell'invio delle email; la consegniamo a te, e decidi tu a chi mostrarla, per esempio al tuo avvocato o al giudice. Se il tuo istituto è Vigil Pro S.r.l. stessa, l'attestazione lo dice. Senza una tua richiesta la rilasciamo soltanto quando lo impone un obbligo di legge o un ordine dell'autorità (sezione 4). Ogni rilascio prende un numero e resta nel nostro registro dei rilasci (numero, data, chi l'ha chiesta e perché, chi l'ha rilasciata, esito del controllo dei file e impronta del PDF; né il documento né l'attestazione stessa), che puoi chiederci. Il registro dei rilasci resta anche dopo la cancellazione totale dei dati del tuo istituto (sezione 12), perché è la prova di che cosa abbiamo rilasciato, a chi e perché: lo conserviamo per 10 anni dal rilascio, il termine ordinario di prescrizione. Di ogni rilascio restano i dati elencati qui sopra, compresi il nome o il ruolo di chi ha chiesto l'attestazione e il motivo, e gli identificativi interni della firma e del tuo istituto.

9. Violazioni di dati personali (data breach)

Se veniamo a conoscenza di una violazione di dati personali che riguarda i dati trattati per tuo conto, ti informiamo senza ingiustificato ritardo. La notifica include, per quanto disponibile: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolte, le probabili conseguenze e le misure adottate o proposte. Restano a tuo carico, come titolare, le eventuali notifiche al Garante (art. 33 GDPR) e le comunicazioni agli interessati (art. 34 GDPR); ti forniamo la collaborazione necessaria.

10. Verifiche e audit

Mettiamo a tua disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 GDPR. Puoi svolgere verifiche, anche tramite un revisore da te incaricato (non concorrente del Fornitore), alle seguenti condizioni: al massimo una volta l'anno, con preavviso scritto di 30 giorni, in orario lavorativo, senza interferire con l'operatività del servizio e a tue spese. Ove possibile, l'audit si svolge in prima battuta su base documentale (risposte scritte, descrizione delle misure, evidenze). Le informazioni ottenute sono riservate.

11. Trasferimenti extra-UE e autorizzazione generale per i fornitori di elaborazione AI

I dati sono ospitati in datacenter dell'Unione Europea. I trasferimenti verso paesi terzi dei dati trattati per tuo conto sono sei:

• le email che Sentinella spedisce per conto del tuo istituto: le invia Resend (Plus Five Five, Inc., Stati Uniti d'America) dall'Unione Europea, ma contenuto dei messaggi, destinatari e registri di consegna sono conservati negli Stati Uniti per al massimo 30 giorni, sulla base delle clausole contrattuali standard della Commissione Europea (decisione 2021/914) incorporate nel Data Processing Addendum del fornitore, che dichiara anche l'adesione all'EU-US Data Privacy Framework. Una volta consegnata, un'email è conservata anche dal servizio di posta di chi la riceve, secondo le regole di quel servizio;
• le funzioni dell'Assistente AI, incluse in tutti i piani, verso i fornitori di elaborazione AI elencati nella tabella della sezione 7, che è la stessa tabella pubblicata su sentinellapro.com/privacy;
• il recapito delle notifiche: titolo e testo di una notifica passano dal servizio di notifica di Apple o di Google per le app, o dal servizio push del browser (Google, Apple o Mozilla) per le notifiche dal browser, secondo il dispositivo di chi la riceve e le condizioni del rispettivo fornitore (sezione 7);
• la posizione sulla mappa degli indirizzi: il testo dell'indirizzo da mettere sulla mappa va alla Fondazione OpenStreetMap (Regno Unito), sulla base della decisione di adeguatezza della Commissione europea per il Regno Unito (sezione 7);
• le tessere delle mappe: le richieste delle tessere, con la zona mostrata, vanno a CARTO (CartoDB Inc., Stati Uniti d'America), che ne conserva i registri per 30 giorni, sulla base delle clausole contrattuali standard della Commissione europea e dell'EU-US Data Privacy Framework (sezione 7);
• i suggerimenti degli indirizzi e la foto aerea delle prove di presenza: il testo scritto fin lì e le posizioni del posto vanno a Google, che li tratta come titolare autonomo, anche negli Stati Uniti d'America, con le garanzie delle «Google Maps Controller-Controller Data Protection Terms» (sezione 7).

Non effettuiamo altri trasferimenti extra-UE dei dati trattati per tuo conto.

Autorizzazione generale (art. 28, par. 2 GDPR). Ci autorizzi in via generale a ricorrere, per l'elaborazione AI, a fornitori con sede o trattamento in qualunque Paese, dell'Unione Europea o terzo, alle condizioni che seguono, che ci impegniamo a rispettare:

• ogni fornitore è inserito nella tabella prima del primo uso, con denominazione, Paese, attività svolta, base del trasferimento e data di inizio; un fornitore che cessa resta nella tabella con la data di fine, così sai chi ha trattato i dati e fino a quando;
• ogni trasferimento fuori dallo Spazio Economico Europeo avviene sulla base delle clausole contrattuali standard della Commissione Europea oppure di un'altra garanzia del capo V del GDPR (decisione di adeguatezza, norme vincolanti d'impresa), indicata nella riga del fornitore;
• al fornitore imponiamo per contratto obblighi equivalenti a quelli di questo DPA, compreso il divieto di usare i tuoi dati per addestrare i propri modelli;
• ti comunichiamo ogni aggiunta o sostituzione con almeno 30 giorni di preavviso, agli indirizzi del tuo istituto, e in quei 30 giorni puoi opporti per motivi legittimi e documentati: se non troviamo una soluzione ragionevole, puoi recedere dal contratto senza vincoli (la disdetta è comunque sempre libera a fine mese).

12. Restituzione e cancellazione dei dati

Alcuni contenuti hanno una conservazione più breve, indipendente dalla durata del contratto: i messaggi vocali del canale radio sono cancellati automaticamente dopo 15 giorni dall'invio; i file dei flussi UniEmens e dei documenti INAIL caricati per la funzione Agevolazioni sono cancellati automaticamente dopo 90 giorni dal caricamento, e del modello 20SM il file non si conserva affatto (sezione 7-bis), mentre i dati estratti e le segnalazioni seguono la regola generale; le risposte alle domande per le agevolazioni sull'assunzione restano finché la persona lavora nel tuo istituto e anche dopo la fine del rapporto, o se l'assunzione non va avanti, senza una scadenza automatica: servono a sapere, se la persona torna a lavorare per te, se la nuova assunzione può rientrare in un'agevolazione, anche in una prevista più avanti; se la persona torna, le risposte di prima si mostrano «da confermare» e non si usano finché la persona non le conferma, nell'app oppure al tuo ufficio, che gliele chiede di nuovo una per una; non contengono dati sulla salute né altri dati delle categorie particolari (art. 9 GDPR); si cancellano quando il tuo ufficio usa «Cancella le risposte», anche su richiesta della persona (sezione 8), o elimina la scheda della persona, e con loro si cancellano anche i testi delle segnalazioni che le riportavano; per chi ha ricevuto un'informativa sulle domande precedente alla versione 4 e non ha ancora letto la nuova (nell'app, o dal tuo ufficio prima di altre risposte) valgono i termini di quella informativa: 30 giorni dopo che il tuo ufficio toglie la persona dal gestionale, se non viene assunta; se non risulta in uso nessuna agevolazione, 12 mesi dopo l'inizio del contratto o dopo l'ultimo aggiornamento delle risposte, quale delle due date viene più tardi; altrimenti 5 anni dopo la fine dell'agevolazione o l'uscita della persona, se viene prima; l'elenco delle domande mandate nell'app (date, lingua, numero delle risposte e delle domande saltate, mai le risposte) si cancella 24 mesi dopo la chiusura dell'invio, e subito se il tuo ufficio elimina la scheda della persona; un invio rimasto aperto, per esempio a una persona che ha lasciato il tuo istituto, si cancella al più tardi insieme alla sua scheda (sezione 7-bis).

Puoi esportare i tuoi dati in qualsiasi momento dal gestionale, anche durante il periodo di tolleranza o dopo il blocco dell'accesso per mancato rinnovo (su richiesta ad assistenza@sentinellapro.com). Alla cessazione del contratto, a tua scelta: restituiamo i dati tramite export oppure li cancelliamo.

In assenza di una tua richiesta, i dati NON vengono cancellati: restano conservati per 10 anni dalla cessazione del contratto, e in quel periodo non sono trattati per alcuna finalità diversa dalla loro custodia. La ragione è il tuo interesse: turni, timbrature e documenti del personale sono la prova dell'attività lavorativa svolta e servono a difendere una posizione in giudizio (art. 17, par. 3, lett. e GDPR), entro il termine ordinario di prescrizione decennale. Restano fermi i termini più brevi indicati sopra per singole categorie (per esempio i messaggi vocali, 15 giorni).

I documenti firmati con la firma elettronica e le registrazioni del processo di firma (sezione 7-ter) seguono la regola generale di questa sezione, e restano anche se il tuo ufficio toglie il documento dalla firma o dalla scheda, o elimina la scheda della persona: sono la prova di come la firma è stata raccolta.

La cancellazione totale si ottiene su richiesta scritta ad assistenza@sentinellapro.com, dall'indirizzo con cui è stato registrato l'istituto: la eseguiamo entro 30 giorni dalla verifica, incluse le copie di backup secondo i cicli di rotazione, salvo obblighi di legge che ne impongano la conservazione e salvo il registro dei rilasci delle attestazioni sul processo di firma (sezione 8). È un'operazione irreversibile: i dati non sono più recuperabili, da nessuna delle parti. Il dettaglio della procedura è su sentinellapro.com/eliminazione-account.

13. Responsabilità

La responsabilità delle parti per i danni derivanti dal trattamento è regolata dall'art. 82 GDPR: il Fornitore risponde solo se non ha adempiuto agli obblighi che il GDPR pone specificamente a carico dei responsabili del trattamento, o se ha agito in modo difforme o contrario alle tue legittime istruzioni. Restano ferme le limitazioni di responsabilità previste dai Termini di servizio, nei limiti consentiti dalla legge nei rapporti tra imprese.

Nota importante: geolocalizzazione e adempimenti giuslavoristici

La funzione di timbratura registra esclusivamente l'evento di entrata e uscita dall'area di servizio (geofence), mai il percorso, ed è preceduta da un consenso informato raccolto in app al primo accesso dell'operatore. Questo è lo strumento, progettato secondo il principio di minimizzazione. Gli adempimenti previsti dall'art. 4 dello Statuto dei Lavoratori (L. 300/1970) e dalla Nota INL 1511/2026 — accordo sindacale oppure autorizzazione dell'Ispettorato Nazionale del Lavoro — sono a carico del tuo istituto, in quanto titolare del trattamento e datore di lavoro. Verifica di averli completati prima di attivare la funzione per i tuoi operatori.

Allegato A — Misure tecniche e organizzative

• Cifratura in transito: TLS su tutte le connessioni.
• Cifratura dei segreti applicativi con AES-256-GCM.
• Password degli utenti protette con hash scrypt (mai in chiaro).
• Isolamento logico dei dati per istituto (architettura multi-tenant): ogni istituto accede solo ai propri dati.
• Copie di sicurezza automatiche, cifrate prima di lasciare il server, con rotazione.
• Modalità Cassaforte, su richiesta: dati riservati cifrati con AES-256-GCM e chiave custodita sul server del Cliente, mai conservata dal Fornitore.
• Flussi UniEmens della funzione Agevolazioni: controllo del file prima del salvataggio (contro lo schema INPS quando il programma di controllo è presente sul server, e in ogni caso con il controllo strutturale di Sentinella, che segnala se lo schema non è stato verificato), senza copie in chiaro sul disco; scarto alla lettura dei dati sanitari e sindacali; file conservato solo cifrato (AES-256-GCM, con la chiave della Cassaforte o con una chiave del server dedicata) e cancellato dopo 90 giorni.
• Documenti INAIL della funzione Agevolazioni: nessun dato salvato prima della conferma del tuo ufficio; campi controllati da un programma prima del salvataggio; quadro B del modello 20SM saltato alla lettura; file conservato solo cifrato (AES-256-GCM, con la chiave della Cassaforte o con una chiave del server dedicata, diversa da quella dei flussi) e cancellato dopo 90 giorni; del modello 20SM il file non si conserva, restano solo i dati confermati.
• Domande per le agevolazioni della funzione Agevolazioni: le risposte le scrive il tuo ufficio oppure, solo quando il tuo ufficio gliele manda, la persona stessa nell'app «Sentinella in Servizio», con il suo accesso personale e dopo aver letto l'informativa; nessun link e nessuna pagina pubblica; nell'app la persona vede e scrive soltanto le proprie domande, fra le risposte previste, al massimo 120 volte in un'ora, mai importi, nomi delle agevolazioni o esiti, e dopo l'invio non può più cambiarle dall'app; la notifica sul telefono dice soltanto che ci sono domande dal suo ufficio, mai le risposte né la parola «agevolazioni»; risposte chiuse e facoltative, conservate solo cifrate (AES-256-GCM, con la chiave della Cassaforte o con una chiave del server dedicata): nelle segnalazioni salvate non si scrive il valore delle risposte, che si legge solo aprendo le risposte cifrate; in chiaro restano soltanto lo stato dell'invio, le date, la lingua, i codici delle domande mandate e il numero delle risposte e delle domande saltate; nel gestionale le vedono solo gli utenti del tuo ufficio con la voce «Agevolazioni»; escono da Sentinella solo nell'email al consulente del lavoro, quando il tuo ufficio usa «Invia al consulente» (sezione 7-bis); mai inviate a sistemi di intelligenza artificiale.
• Firma elettronica dei documenti: il documento si fissa in PDF con la sua impronta (SHA-256) quando parte per la firma; si firma solo dall'app, con l'accesso personale dell'operatore e un codice monouso mandato all'indirizzo email della sua scheda, valido pochi minuti, con un numero limitato di tentativi e di codici, conservato solo come impronta calcolata con una chiave del server; il file firmato ha la sua impronta, che si può confrontare in ogni momento con quella registrata; l'attestazione sul processo di firma si rilascia solo dal pannello di Vigil Pro, con un numero progressivo e una riga nel registro degli interventi.
• Infrastruttura in datacenter dell'Unione Europea (OVHcloud).
• Hardening degli accessi al server: SSH con sole chiavi crittografiche, protezione automatica contro tentativi di intrusione (fail2ban).
• Blocco progressivo del login per account dopo tentativi falliti.
• Registrazione degli eventi rilevanti del sistema.
• Dati delle carte di pagamento mai memorizzati sui nostri sistemi: raccolti e conservati esclusivamente da Stripe.