Informativa privacy — App Sentinella in Servizio

Questa informativa riguarda l'app Sentinella in Servizio, lo strumento di lavoro degli operatori degli istituti di vigilanza che usano la piattaforma Sentinella. Spiega quali dati passano dall'app, perché, per quanto tempo e a chi rivolgerti per i tuoi diritti. È resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("GDPR").

1. Di chi è l'app e chi decide sui tuoi dati

L'app è pubblicata da VIGIL PRO SRL — sede legale in Piazza Santo Stefano 6, 20122 Milano (MI), P.IVA e C.F. 13193690966, REA MI-2708121, PEC vigilpro@legalmail.it — che sviluppa e gestisce la piattaforma Sentinella.

Il titolare del trattamento dei tuoi dati è però il tuo datore di lavoro, cioè l'istituto di vigilanza che ti ha dato le credenziali per entrare. È lui che decide quali dati raccogliere e perché; VIGIL PRO SRL tratta quei dati per suo conto, come responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base di un contratto scritto.

In pratica: se hai una domanda sui tuoi dati o vuoi esercitare un diritto, rivolgiti al tuo datore di lavoro. Se non sai a chi scrivere, contattaci ad assistenza@sentinellapro.com e ti mettiamo in contatto con chi di dovere.

2. Chi può usare l'app

L'app non è aperta al pubblico. Si entra solo con le credenziali fornite dal proprio istituto di vigilanza, su invito dell'ufficio. Non è possibile registrarsi da soli, e l'app è destinata esclusivamente a lavoratori adulti.

3. Quali dati tratta l'app, e perché

Dati anagrafici e di contatto — nome, cognome, indirizzo email, numero di telefono. Non li chiediamo a te: li inserisce il tuo ufficio quando ti apre l'accesso. Servono a farti entrare e a raggiungerti.

Turni e orari di lavoro — dove sei atteso, quando, su quale servizio, con quali colleghi. Servono a farti sapere dove devi andare.

Timbrature di entrata e uscita — data e ora del tocco. Servono a documentare la presenza in servizio.

Indirizzo di partenza (la tua base) — l'indirizzo da cui parti per andare in servizio, di solito quello di casa, che scrivi tu nell'app o che scrive il tuo ufficio. Serve a metterlo sulla mappa e a calcolare i km su strada fino ai servizi quando il tuo ufficio cerca chi è più vicino.

Posizione geografica — viene rilevata soltanto nell'istante in cui tocchi il pulsante di timbratura, per verificare che la timbratura avvenga sul posto di servizio. L'app non traccia i tuoi spostamenti, non registra la posizione in sottofondo e non sa dove sei quando non stai timbrando. Se il telefono non riesce a determinare la posizione, la timbratura si registra comunque, con l'indicazione che il dato non era disponibile.

Audio del canale di servizio (walkie) — quando più operatori sono sullo stesso servizio si attiva un canale vocale. Il microfono si apre esclusivamente mentre tieni premuto il tasto per parlare: non c'è alcun ascolto continuo. Mentre il canale è acceso resta sempre visibile un avviso nella barra delle notifiche del telefono. I messaggi vocali sono cancellati automaticamente dopo 15 giorni.

Fotografie — solo quelle che alleghi volontariamente a una segnalazione (massimo 3 per segnalazione). Puoi scattarle sul momento oppure sceglierle fra quelle già sul telefono: l'app legge soltanto le immagini che selezioni tu, non sfoglia la galleria e non carica nulla per conto suo.

Documenti di lavoro — attestati, buste paga, cartellino delle ore, documenti del veicolo assegnato: quelli che il tuo ufficio mette a tua disposizione.

Firma elettronica dei documenti — il tuo ufficio può chiederti di firmare nell'app alcuni documenti: oggi il contratto dell'auto che ti viene assegnata e il contratto di assunzione o il rinnovo. Apri il documento, premi «Firmo» e scrivi il codice che ti mandiamo per email, all'indirizzo che l'ufficio ha registrato nella tua scheda: il codice vale pochi minuti. Quando firmi, Sentinella registra l'impronta del documento (un codice calcolato dal file, che cambia se il file cambia), quando lo hai aperto, l'indirizzo email a cui è partito il codice e quando, quanti codici hai chiesto e quanti tentativi sbagliati ci sono stati, la data e l'ora della firma, l'indirizzo IP da cui è arrivata (quello che vede il server: può essere del tuo operatore telefonico o della rete a cui sei collegato), il dispositivo (il testo con cui l'app o il browser si presenta, per esempio il sistema del telefono e il browser) e la versione dell'app. Il codice non si conserva in chiaro, e alla firma non si registra la tua posizione. Questi dati sono scritti anche in una pagina di riepilogo in fondo al documento firmato, che ricevi per email e che resta al tuo istituto. Servono a dimostrare come hai firmato: se una firma viene contestata, il tuo istituto può chiedere a VIGIL PRO SRL un'attestazione sul processo di firma elettronica, che descrive come funziona il sistema e riporta questi dati, e usarla per far valere o difendere un diritto, anche davanti a un giudice. L'attestazione non contiene il testo del documento. Controlla che l'indirizzo email nella tua scheda sia tuo e corretto, e non far usare a nessun altro il tuo accesso all'app: se qualcosa non torna, dillo subito al tuo ufficio.

Lettura automatica dei documenti e delle segnalazioni (elaborazione AI) — quando carichi dall'app la foto o il PDF di un documento (per esempio un attestato, un certificato, la carta d'identità, il permesso di soggiorno o la patente), l'immagine viene inviata a un fornitore di elaborazione AI per leggerne i campi (tipo, date, numero, esito) e proporli al tuo ufficio, che li controlla e li conferma. Lo stesso vale per il testo delle segnalazioni che scrivi dal campo, che viene riscritto in italiano professionale prima dell'invio al cliente dell'istituto, e per i documenti delle spese dell'auto che carica il tuo ufficio (per esempio la constatazione amichevole di un incidente con l'auto dell'istituto, che contiene il tuo nome e i dati della tua patente): l'elaborazione ne propone i dati all'ufficio, che li controlla. L'elaborazione AI non aggiunge finalità: è un modo di eseguire i trattamenti descritti in questa pagina con l'aiuto di un sub-responsabile. Chi sono questi fornitori, in quale Paese si trovano e con quali garanzie è scritto al punto 6.

Agevolazioni contributive sulle assunzioni — il tuo istituto, o il suo consulente del lavoro, può caricare nel gestionale i flussi UniEmens mensili, cioè le denunce contributive che l'azienda invia all'INPS per tutti i dipendenti. Da quel file Sentinella tiene soltanto i dati che servono a controllare i requisiti delle agevolazioni contributive: codice fiscale, mese, qualifica e tipo di lavoratore, tipo di contratto, orario e part-time, imponibile e contributi, date di assunzione e di cessazione, contratto collettivo, contrassegni della denuncia, codici e importi delle agevolazioni già applicate; e li tiene solo se sei registrato come dipendente nel gestionale. Scarta subito, senza salvarli, i dati su malattia, maternità e paternità, infortunio, disabilità e permessi della legge 104, l'appartenenza sindacale, gli assegni familiari, la cittadinanza e i recapiti, la retribuzione teorica, le ore e i giorni lavorati. Con questi dati Sentinella segnala all'ufficio e al consulente del lavoro le agevolazioni che potrebbero essere possibili per l'azienda, da verificare: è un controllo sui costi dell'azienda, e le decisioni sul tuo rapporto di lavoro restano del tuo datore di lavoro con il suo consulente, perché Sentinella non ne prende nessuna in automatico. Il file caricato è conservato cifrato e cancellato dopo 90 giorni. Se l'ufficio chiede un riassunto in italiano semplice, all'elaborazione AI arriva l'elenco con uno pseudonimo al posto del tuo nome (punto 6). Il tuo istituto può caricare anche documenti INAIL, che riguardano l'azienda e non le singole persone: se nel modello 20SM c'è l'elenco degli infortuni (il quadro B), Sentinella non lo legge e non lo manda a sistemi di intelligenza artificiale, e il file del modello 20SM non si conserva. Il tuo ufficio può farti alcune domande per le agevolazioni: domande chiuse e facoltative (per esempio da quanto tempo non avevi un lavoro stabile, se ricevevi la NASpI, se avevi mai avuto un contratto a tempo indeterminato), che servono solo a capire, con il consulente del lavoro, se la tua assunzione può rientrare in un'agevolazione. Se lavori già per l'istituto, ti arrivano solo le domande la cui risposta può ancora servire a questo. Le due domande sulla famiglia (se vivi senza un altro adulto con persone a carico, se hai almeno tre figli minorenni) arrivano solo quando c'è un'agevolazione che le usa e, se lavori già, solo quando quell'agevolazione può ancora riguardarti. Te le può fare a voce, oppure mandartele in questa app: in quel caso ricevi una notifica («Domande dal tuo ufficio»), scegli la lingua (italiano, inglese, francese o arabo; la scelta resta anche sul telefono, per la volta dopo), leggi l'informativa sulle domande e rispondi tu. Puoi saltare una domanda e tornarci dopo, o scegliere «Preferisco non rispondere»; se non rispondi non cambia niente per il tuo lavoro. Dopo che hai inviato le risposte, per correggerle ti rivolgi all'ufficio. Il tuo ufficio vede se hai aperto le domande, in quale lingua, a quante hai risposto, quali hai saltato e a quali hai scelto «Preferisco non rispondere», per potertele ricordare; vede anche se non hai ancora attivato l'app e se la notifica non è potuta partire. Nell'app vedi soltanto le domande: mai importi, nomi delle agevolazioni o esiti. Le tue risposte restano nel gestionale solo cifrate, le vedono solo le persone dell'ufficio che seguono queste pratiche e il consulente del lavoro, al quale il tuo ufficio le può mandare per email attraverso il servizio di invio indicato al punto 6 (Resend, che conserva le email negli Stati Uniti per al massimo 30 giorni); non sono scritte nella notifica e non vanno mai a sistemi di intelligenza artificiale; si cancellano come indicato al punto 5.

Dati tecnici del dispositivo — un identificativo per l'invio delle notifiche e un codice di sessione che ti tiene collegato senza rifare l'accesso ogni volta. Del codice di sessione si registra l'ultima volta che è stato usato: serve a tenerti collegato.

4. Perché possiamo trattarli (basi giuridiche)

• Esecuzione del rapporto di lavoro (art. 6.1.b GDPR): turni, presenze, documenti.
• Obblighi di legge (art. 6.1.c GDPR): documentazione dell'orario di lavoro e adempimenti connessi.
• Legittimo interesse (art. 6.1.f GDPR) del datore di lavoro alla sicurezza del servizio e degli operatori: canale di comunicazione e segnalazioni dal campo.
• Rilevazione della posizione alla timbratura: rientra tra gli strumenti da cui può derivare un controllo a distanza dell'attività lavorativa ai sensi dell'art. 4 dello Statuto dei Lavoratori (L. 300/1970). Gli adempimenti previsti da quella norma (accordo sindacale o autorizzazione dell'Ispettorato del Lavoro) sono a carico del datore di lavoro, che li assolve prima di attivare la funzione per i propri operatori.
• Firma elettronica dei documenti: firmare i documenti del rapporto con il tuo istituto, compreso il contratto dell'auto che ti viene assegnata, fa parte dell'esecuzione del rapporto (art. 6.1.b GDPR); la conservazione delle prove della firma (ora, indirizzo IP, dispositivo, indirizzo email del codice) si basa sul legittimo interesse del datore di lavoro a dimostrare come la firma è stata raccolta e a far valere o difendere un diritto (art. 6.1.f GDPR).
• Riconoscimento di agevolazioni contributive (art. 6.1.f GDPR): legittimo interesse del datore di lavoro a verificare le agevolazioni sulle assunzioni previste dalla legge. Il Garante per la protezione dei dati personali (provvedimento n. 146 del 5 giugno 2019, punto 1.3, lettera a) indica il riconoscimento di agevolazioni fra le finalità del datore di lavoro in materia di lavoro e sicurezza sociale. I dati sulla salute e sindacali presenti nel flusso non vengono trattati per questa finalità.

5. Per quanto teniamo i dati

• Messaggi vocali del canale: 15 giorni, poi cancellazione automatica.
• Timbrature, turni e documenti di lavoro: per la durata del rapporto di lavoro e successivamente per i termini previsti dalla legge, secondo le politiche di conservazione del tuo datore di lavoro.
• Posizione delle timbrature: conservata insieme alla timbratura, senza una scadenza prefissata, perché costituisce la prova di quanto lavorato in caso di contestazioni o vertenze di lavoro.
• Dati di accesso: finché il tuo account resta attivo. Alla cessazione del rapporto l'ufficio disattiva l'accesso.
• Documenti firmati nell'app e registrazioni della firma: come i documenti di lavoro, per la durata del rapporto e poi secondo le politiche di conservazione del tuo datore di lavoro; restano anche se la tua scheda viene eliminata, perché sono la prova della firma.
• File dei flussi UniEmens e dei documenti INAIL caricati dall'istituto per le agevolazioni: cifrati e cancellati automaticamente dopo 90 giorni (del modello 20SM il file non si conserva); i dati estratti e le segnalazioni restano nel gestionale dell'istituto per la durata del rapporto e poi secondo le sue politiche di conservazione.
• Risposte alle domande per le agevolazioni: cifrate; restano mentre lavori per l'istituto e anche dopo la fine del rapporto (o se l'assunzione non va avanti), senza una scadenza automatica, per sapere, se torni a lavorare per l'istituto, se la nuova assunzione può rientrare in un'agevolazione; se torni, le risposte di prima si usano solo dopo che le hai confermate; non contengono dati sulla salute; si cancellano quando lo chiedi all'ufficio, o quando l'ufficio le cancella o elimina la tua scheda. Se hai ricevuto l'informativa sulle domande precedente (fino alla versione 3) e non hai ancora letto la nuova, valgono i termini di allora: 30 giorni se l'assunzione non va avanti, 12 mesi senza agevolazioni in uso, 5 anni dalla fine dell'agevolazione o del rapporto. L'elenco delle domande che ti sono state mandate nell'app (date, lingua, quante risposte e quali saltate, mai le risposte) si cancella 24 mesi dopo la chiusura dell'invio; un invio rimasto aperto, al più tardi quando la tua scheda viene eliminata.

6. A chi vengono comunicati

I dati non vengono venduti né ceduti a terzi per finalità commerciali. Sono accessibili:

• all'ufficio del tuo istituto, secondo i permessi che l'istituto stesso assegna ai propri addetti;
• al committente del servizio (il cliente presso cui presti servizio), se e quando il tuo istituto decide di inviargli la «prova di presenza»: un documento con le timbrature di una giornata, l'orario e la posizione su mappa del punto in cui sono state fatte, per dimostrargli che il servizio è stato svolto. Non è un invio automatico: lo decide l'ufficio caso per caso, e riguarda una sola giornata e un solo servizio per volta;
• a VIGIL PRO SRL, come responsabile del trattamento, per la gestione tecnica della piattaforma e, quando il tuo istituto lo chiede per iscritto, per preparare l'attestazione sul processo di firma descritta al punto 3;
• a chi il tuo istituto deve mostrare un documento firmato o l'attestazione sul processo di firma per far valere o difendere un diritto (per esempio il suo avvocato, un consulente tecnico o il giudice), solo se la firma viene contestata;
• ai fornitori tecnici strettamente necessari, indicati qui sotto.

I fornitori tecnici sono:

Ai fornitori tecnici qui sopra si aggiungono i fornitori di elaborazione AI, che ricevono soltanto i contenuti indicati al punto 3, per il tempo dell'elaborazione:

• Immagini e PDF dei documenti caricati (attestati, certificati e idoneità, documenti d'identità e permessi di soggiorno, patenti), dall'app dell'operatore o dall'ufficio — per leggere in automatico i campi del documento (tipo, date, numero, esito) e proporli all'ufficio, che li controlla e conferma.
• Il testo delle segnalazioni scritte dal campo (con il tipo di segnalazione) — per riscriverle in italiano professionale prima dell'invio al cliente dell'istituto.
• Le foto e i PDF dei documenti delle spese dell'auto caricati dall'ufficio: fatture e ricevute di officine e gommisti, lettere di franchigia del noleggiatore o dell'assicurazione e constatazioni amichevoli, che contengono i dati di chi guidava l'auto dell'istituto e anche quelli dell'altro conducente e del suo veicolo (dati di terzi) — per ricavarne tipo di spesa, date, importi, fornitore, targa e conducente da proporre all'ufficio, che li controlla e conferma prima di salvarli.
• Le domande scritte all'assistente turni («il Maresciallo»), con le risposte precedenti della stessa conversazione e il nome di chi scrive, e i dati dell'istituto che servono a rispondere: nomi di operatori, anche cessati, e di fornitori; qualifica (armato, non armato o ASC); comune di residenza e distanza in linea d'aria dal posto di servizio; date di assunzione e di fine contratto; turni, ore lavorate con la loro ripartizione e servizi abituali; giorni di ferie, di permesso e di non disponibilità, comprese le richieste in attesa, senza il motivo dell'assenza; tipo e data di scadenza dei documenti del personale (per esempio idoneità, porto d'armi, permesso di soggiorno); esclusioni da un servizio con la nota dell'ufficio; ritardi, uscite anticipate e servizi non coperti con il nome del responsabile; ragione sociale dei clienti, nome, luogo, periodo e orari dei servizi; regole e preferenze scritte dall'ufficio; e, solo per chi ha i relativi permessi, tariffe orarie dei clienti, costo orario di liberi professionisti e fornitori, costo mensile stimato di ciascun dipendente, fatturato, margine, costi del mese e fatturato perso — per rispondere alle domande dell'ufficio su turni, coperture, personale, assenze, documenti, clienti, servizi e numeri economici, e suggerire come coprire i turni scoperti; l'assistente legge i dati ma non li modifica, e le assegnazioni e le regole che prepara diventano effettive solo quando l'ufficio le conferma.
• Per la funzione Agevolazioni sul personale, l'elenco delle segnalazioni già calcolato da Sentinella, con uno pseudonimo («Persona 1», «Persona 2»…) al posto di ogni dipendente e, al più, il nome e il codice della misura, lo stato della segnalazione, il mese di riferimento, il tipo di contratto, l'età in anni, il reparto (armato o non armato), i codici UniEmens e gli importi stimati o letti, le scadenze e che cosa manca per esserne sicuri. Mai nomi, cognomi, codici fiscali, date di nascita, retribuzioni, dati sanitari o sindacali — per scrivere un riassunto in italiano semplice per l'ufficio; è facoltativo, il confronto con le regole lo fa un programma e la valutazione finale resta al consulente del lavoro dell'istituto.

L'elenco aggiornato dei fornitori di elaborazione AI, con Paese, base del trasferimento e data di inizio, è sempre consultabile su sentinellapro.com/privacy: se un fornitore cambia o se ne aggiunge un altro, l'elenco viene aggiornato lì, con la data.

Le email di servizio (inviti e avvisi) partono dall'indirizzo della piattaforma, con il nome del tuo istituto come mittente, attraverso il servizio di invio indicato nella tabella (Resend): nessun fornitore terzo di marketing riceve il tuo indirizzo.

I dati sono conservati su server situati nell'Unione Europea. Fanno eccezione sei casi. L'indirizzo della tua base: per metterlo sulla mappa se ne invia il testo alla Fondazione OpenStreetMap, nel Regno Unito, Paese con decisione di adeguatezza della Commissione europea. Le mappe: la zona della tua base e delle tue timbrature, quando il tuo ufficio la guarda, passa da CARTO, negli Stati Uniti. La foto aerea della prova di presenza: la posizione delle tue timbrature va a Google, anche negli Stati Uniti, con le garanzie indicate nella tabella. Le notifiche: titolo e testo di una notifica passano dal servizio di notifica del telefono (per Android, Google), come indicato nella tabella. Le email di servizio: il servizio di invio ne conserva contenuto, destinatari e registri di consegna negli Stati Uniti per al massimo 30 giorni, con le garanzie indicate nella tabella. E le elaborazioni AI descritte al punto 3: i contenuti indicati vengono trasmessi, per il tempo dell'elaborazione, ai fornitori di elaborazione AI elencati qui sopra, anche in Paesi fuori dall'Unione Europea, con le garanzie indicate nella tabella; i risultati restano in Sentinella.

7. I tuoi diritti

Puoi chiedere in qualsiasi momento di accedere ai tuoi dati, di correggerli, di limitarne il trattamento, di opporti al trattamento fondato sul legittimo interesse, e di ricevere i dati che ci hai fornito in un formato leggibile. Puoi inoltre proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

La richiesta va rivolta al tuo datore di lavoro, che è il titolare. Non è possibile cancellare autonomamente dati la cui conservazione è imposta dalla legge o necessaria al rapporto di lavoro (per esempio le registrazioni delle presenze).

8. Cancellazione dell'account

L'account non lo crei tu: te lo apre l'ufficio. Per la stessa ragione non può essere cancellato dall'app: la richiesta va fatta al tuo datore di lavoro, che provvede alla disattivazione. Disinstallare l'app non cancella i dati, perché restano nel gestionale del tuo istituto.

9. Modifiche

Ogni modifica sostanziale a questa informativa sarà comunicata attraverso l'app. La versione in vigore è sempre pubblicata a questo indirizzo, con la data di ultimo aggiornamento in alto.