Informativa privacy — App Sentinella in Ufficio

Questa informativa riguarda l'app Sentinella in Ufficio, lo strumento con cui il personale amministrativo degli istituti di vigilanza usa la piattaforma Sentinella dal telefono. Spiega quali dati passano dall'app, perché, per quanto tempo e a chi rivolgersi per i propri diritti. È resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("GDPR").

1. Di chi è l'app e chi decide sui dati

L'app è pubblicata da VIGIL PRO SRL — sede legale in Piazza Santo Stefano 6, 20122 Milano (MI), P.IVA e C.F. 13193690966, REA MI-2708121, PEC vigilpro@legalmail.it — che sviluppa e gestisce la piattaforma Sentinella.

Il titolare del trattamento è però l'istituto di vigilanza che ha fornito le credenziali: è lui che decide quali dati raccogliere e perché. VIGIL PRO SRL tratta quei dati per suo conto, come responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base di un contratto scritto.

In pratica: per una domanda sui dati o per esercitare un diritto ci si rivolge al proprio istituto. Se non si sa a chi scrivere, si può contattare assistenza@sentinellapro.com, che mette in contatto con chi di dovere.

2. Chi può usare l'app

L'app non è aperta al pubblico. Si entra solo con le credenziali fornite dal proprio istituto di vigilanza, aperte da un amministratore. Non è possibile registrarsi da soli, e l'app è destinata esclusivamente a lavoratori adulti.

È distinta da «Sentinella in Servizio», l'app degli operatori sul campo, che ha una sua informativa a sentinellapro.com/privacy-app. Le due app hanno pubblici diversi e non si sovrappongono: un operatore non ha accesso a questa, e il personale d'ufficio non ha accesso a quella.

3. Quali dati passano dall'app

Dati di chi usa l'app — nome, cognome, indirizzo email, permessi assegnati. Non li chiediamo alla persona: li inserisce l'istituto quando apre l'accesso. Servono a far entrare, a mostrare solo le sezioni di competenza e a firmare le decisioni prese (chi ha approvato una richiesta, e quando).

Dati del personale dell'istituto — anagrafiche, turni, timbrature, assenze, richieste di acconto e di rimborso, documenti di lavoro, segnalazioni e messaggi vocali arrivati dal campo. Sono i dati che l'ufficio già gestisce nel gestionale: l'app non ne crea di nuovi e non ne raccoglie dal telefono, li mostra e basta. Con la funzione Agevolazioni sul personale l'ufficio può caricare i flussi UniEmens mensili dell'istituto: Sentinella ne tiene soltanto i dati contributivi che servono a controllare le agevolazioni sulle assunzioni, scarta alla lettura quelli sanitari e sindacali, conserva il file cifrato per 90 giorni e segnala possibili agevolazioni, da verificare con il consulente del lavoro. Può caricare anche i documenti INAIL dell'istituto (dati dell'azienda e delle sue posizioni assicurative): i campi entrano nel calcolo solo dopo la conferma dell'ufficio, il quadro B del modello 20SM non si legge, il file del modello 20SM non si conserva e gli altri file cifrati si cancellano dopo 90 giorni.

Dati dei clienti dell'istituto — ragione sociale, indirizzi dei posti di servizio, importi contrattuali.

Elaborazione AI — alcune funzioni che l'ufficio usa anche da questa app passano da fornitori di elaborazione AI: la lettura dei documenti caricati (attestati, certificati, documenti d'identità, verbali di contestazione, e i documenti delle spese dell'auto: fatture, ricevute, lettere di franchigia, constatazioni amichevoli), lo smistamento dei cedolini, la riscrittura delle segnalazioni, l'assistente turni e l'analisi dell'andamento e il riassunto facoltativo delle segnalazioni sulle agevolazioni, con pseudonimi al posto dei nomi, e la lettura facoltativa dei documenti INAIL caricati, con la conferma dell'ufficio. Che cosa esce, verso chi e con quali garanzie è scritto al punto 8. L'elaborazione AI è inclusa in tutti i piani e non ha, oggi, un interruttore per istituto.

Dati tecnici — un codice di sessione che tiene collegati senza rifare l'accesso a ogni apertura, e, se si attivano le notifiche, l'identificativo che il sistema operativo del telefono assegna all'app (il "token" di notifica). Sono gli unici dati che l'app conserva sul dispositivo.

4. Le notifiche

L'app può avvisare quando arriva qualcosa che aspetta una persona in ufficio: una segnalazione dal campo, una richiesta di acconto o di rimborso, un certificato di malattia, un documento caricato da un operatore. Le notifiche sono facoltative: si attivano con un tocco e il telefono chiede il permesso; si possono spegnere in qualsiasi momento dall'app o dalle impostazioni del sistema.

Per consegnarle, il telefono genera un identificativo tecnico dell'installazione — non del telefono e non della persona — che viene registrato sui nostri server insieme all'istituto e all'utente collegato, e passa ai servizi di notifica di Apple (APNs) o Google (FCM), che li recapitano. Il testo della notifica contiene solo quanto serve a capire di cosa si tratta.

L'identificativo viene cancellato dai nostri server quando si spengono le notifiche, quando si esce dall'app e quando il servizio del sistema operativo ci comunica che non è più valido (per esempio dopo la disinstallazione).

5. Quello che l'app NON fa

Oltre alle notifiche, l'app non chiede e non usa alcun altro permesso del telefono: nessuna posizione, nessuna fotocamera, nessun microfono, nessuna rubrica, nessun accesso ai file.

Non ci sono strumenti pubblicitari, non c'è profilazione, non c'è alcun tracciamento fra app o siti diversi, e nessun dato viene venduto o ceduto a terzi per finalità proprie.

6. Perché possiamo trattarli (basi giuridiche)

• Esecuzione del rapporto di lavoro (art. 6.1.b GDPR): l'accesso allo strumento di lavoro di chi opera in ufficio.
• Obblighi di legge (art. 6.1.c GDPR): documentazione dell'orario di lavoro del personale e adempimenti connessi, che l'ufficio consulta da qui.
• Legittimo interesse dell'istituto (art. 6.1.f GDPR) alla continuità e alla sicurezza del servizio: sapere se un posto è scoperto e chi è in servizio, ed essere avvisati quando qualcosa richiede una decisione.

7. Dove stanno i dati e per quanto

I dati risiedono su server nell'Unione Europea. I trasferimenti verso Paesi terzi sono sei, e tutti limitati: il testo degli indirizzi da mettere sulla mappa, che va alla Fondazione OpenStreetMap nel Regno Unito, Paese con decisione di adeguatezza della Commissione europea; le richieste delle tessere delle mappe, con la zona mostrata, che vanno a CARTO negli Stati Uniti; i suggerimenti degli indirizzi mentre si scrivono e la foto aerea delle prove di presenza, che passano da Google, titolare autonomo, anche negli Stati Uniti, con le garanzie indicate al punto 8; il recapito tecnico delle notifiche, che passa dai servizi di Apple e Google secondo le informative dei rispettivi fornitori del sistema operativo; le email di servizio, il cui contenuto con destinatari e registri di consegna resta conservato dal servizio di invio negli Stati Uniti per al massimo 30 giorni, con le garanzie indicate al punto 8; e le elaborazioni AI descritte al punto 3, verso i fornitori elencati al punto 8, per il tempo dell'elaborazione e con le garanzie lì indicate. I tempi di conservazione li decide l'istituto, entro i limiti di legge: le registrazioni dell'orario di lavoro seguono i termini previsti dalla normativa giuslavoristica; i messaggi vocali del canale di servizio sono cancellati automaticamente dopo 15 giorni.

8. A chi possono essere comunicati

A questi si aggiungono i fornitori di elaborazione AI, che ricevono soltanto i contenuti indicati qui sotto, per il tempo dell'elaborazione:

• Immagini e PDF dei documenti caricati (attestati, certificati e idoneità, documenti d'identità e permessi di soggiorno, patenti), dall'app dell'operatore o dall'ufficio — per leggere in automatico i campi del documento (tipo, date, numero, esito) e proporli all'ufficio, che li controlla e conferma.
• Il PDF dei cedolini caricato dall'ufficio, o il testo estratto da ciascun cedolino (nome, codice fiscale, netto) — per assegnare ogni cedolino al dipendente giusto; l'elaborazione AI interviene solo quando la lettura automatica del testo non basta.
• Il testo delle segnalazioni scritte dal campo (con il tipo di segnalazione) — per riscriverle in italiano professionale prima dell'invio al cliente dell'istituto.
• Il testo delle istruzioni operative di un posto di servizio, con la ragione sociale del cliente, il nome e il tipo del servizio, quando l'ufficio chiede di riscriverle — per riscriverle in italiano professionale prima di salvarle; la riscrittura è facoltativa, parte solo su richiesta e l'ufficio decide se tenerla.
• Le foto e i PDF dei verbali di contestazione (multe) caricati dall'ufficio — per ricavarne targa, data, importo e conducente da proporre all'ufficio.
• Le foto e i PDF dei documenti delle auto caricati dall'ufficio: libretto di circolazione, certificato di assicurazione e contratto di noleggio o di leasing, con i dati dell'intestatario del veicolo e delle parti del contratto — per riconoscere che documento è, la targa e la scadenza dell'assicurazione, per metterlo nella scheda dell'auto giusta.
• Le foto e i PDF dei documenti delle spese dell'auto caricati dall'ufficio: fatture e ricevute di officine e gommisti, lettere di franchigia del noleggiatore o dell'assicurazione e constatazioni amichevoli, che contengono i dati di chi guidava l'auto dell'istituto e anche quelli dell'altro conducente e del suo veicolo (dati di terzi) — per ricavarne tipo di spesa, date, importi, fornitore, targa e conducente da proporre all'ufficio, che li controlla e conferma prima di salvarli.
• Le domande scritte all'assistente turni («il Maresciallo»), con le risposte precedenti della stessa conversazione e il nome di chi scrive, e i dati dell'istituto che servono a rispondere: nomi di operatori, anche cessati, e di fornitori; qualifica (armato, non armato o ASC); comune di residenza e distanza in linea d'aria dal posto di servizio; date di assunzione e di fine contratto; turni, ore lavorate con la loro ripartizione e servizi abituali; giorni di ferie, di permesso e di non disponibilità, comprese le richieste in attesa, senza il motivo dell'assenza; tipo e data di scadenza dei documenti del personale (per esempio idoneità, porto d'armi, permesso di soggiorno); esclusioni da un servizio con la nota dell'ufficio; ritardi, uscite anticipate e servizi non coperti con il nome del responsabile; ragione sociale dei clienti, nome, luogo, periodo e orari dei servizi; regole e preferenze scritte dall'ufficio; e, solo per chi ha i relativi permessi, tariffe orarie dei clienti, costo orario di liberi professionisti e fornitori, costo mensile stimato di ciascun dipendente, fatturato, margine, costi del mese e fatturato perso — per rispondere alle domande dell'ufficio su turni, coperture, personale, assenze, documenti, clienti, servizi e numeri economici, e suggerire come coprire i turni scoperti; l'assistente legge i dati ma non li modifica, e le assegnazioni e le regole che prepara diventano effettive solo quando l'ufficio le conferma.
• Numeri aggregati dell'andamento economico dell'istituto (mai nomi di persone o di clienti) — per produrre stagionalità, previsioni e consigli.
• Dal foglio Excel o CSV dei clienti che l'ufficio carica per importarli: le prime righe e il nome del foglio, con ogni valore ridotto alla sua forma (ogni lettera sostituita da «a» o «A», ogni cifra da «9»), per cui restano in chiaro solo i segni e le parole comuni di un elenco fisso: i nomi delle colonne nella riga delle intestazioni e nelle righe del titolo sopra di essa (lì solo quelli che non sono anche nomi o cognomi), sempre solo in una cella fatta tutta di parole dell'elenco; in ogni riga forme societarie come Srl, parole come Via, PEC, Bonifico o Attivo, i nomi dei Paesi che non sono anche nomi o cognomi, le sigle delle province fra parentesi o dopo il CAP e le particelle minuscole come «di» (in una cella con una forma societaria, solo la forma societaria); fuori dai nomi delle colonne mai le parole che sono anche nomi o cognomi, e mai le iniziali, le lettere attaccate a una cifra o quello che sta prima della «@» di un'email. Mai ragioni sociali, nomi e cognomi, codici fiscali, partite IVA, indirizzi o recapiti dei clienti — per riconoscere in quale colonna del foglio sta ogni dato e proporre all'ufficio la corrispondenza con i campi del cliente, che l'ufficio controlla e può cambiare prima di importare; il riconoscimento è facoltativo (senza, le colonne si riconoscono dai nomi delle intestazioni) e i clienti li scrive un programma, non il modello.
• Dal foglio Excel o CSV degli impianti che l'ufficio carica per importarli: le prime righe e il nome del foglio, con ogni valore ridotto alla sua forma (ogni lettera sostituita da «a» o «A», ogni cifra da «9»), per cui restano in chiaro solo i segni e le parole comuni di un elenco fisso, in una cella fatta tutta di parole dell'elenco: nella riga delle intestazioni i nomi delle colonne; nelle righe del titolo (quelle sopra di essa o, se il foglio non ne ha, le prime righe) e nel nome del foglio i nomi delle colonne che non sono anche nomi o cognomi; in ogni riga i tipi di impianto e di dispositivo come TVCC, Telecamera o Sensore, le parole dei posti come Ingresso o Magazzino, risposte come Sì o No e le marche degli apparati di sicurezza come Hikvision o Ajax. In una cella con altre parole restano in chiaro solo forme societarie come Srl (fuori dalla riga delle intestazioni, in una cella con una forma societaria solo la forma societaria), parole come Via, Sig., PEC o Bonifico, i nomi dei Paesi che non sono anche nomi o cognomi, le sigle delle province fra parentesi o dopo il CAP e le particelle minuscole come «di». Fuori dalla riga delle intestazioni mai le parole che sono anche nomi o cognomi, salvo le parole dei dispositivi, dei posti e delle durate che lo sono, come Fumo, Canali, Lato o Mesi, accanto al loro tipo, al loro complemento o al loro numero («Rilevatore di fumo», «NVR 8 canali», «Lato nord», «24 mesi»), e mai le iniziali, le lettere attaccate a una cifra o quello che sta prima della «@» di un'email. Mai ragioni sociali, nomi e cognomi, codici fiscali, partite IVA, indirizzi o recapiti dei clienti, né seriali o indirizzi IP dei dispositivi — per riconoscere in quale colonna del foglio sta ogni dato (cliente, indirizzo dell'impianto, tipo, marca, modello e seriale dei dispositivi) e proporre all'ufficio la corrispondenza con i campi di Sentinella, che l'ufficio controlla e può cambiare prima di importare; il riconoscimento è facoltativo (senza, le colonne si riconoscono dai nomi delle intestazioni) e clienti, impianti e dispositivi li scrive un programma, non il modello.
• Per la funzione Agevolazioni sul personale, l'elenco delle segnalazioni già calcolato da Sentinella, con uno pseudonimo («Persona 1», «Persona 2»…) al posto di ogni dipendente e, al più, il nome e il codice della misura, lo stato della segnalazione, il mese di riferimento, il tipo di contratto, l'età in anni, il reparto (armato o non armato), i codici UniEmens e gli importi stimati o letti, le scadenze e che cosa manca per esserne sicuri. Mai nomi, cognomi, codici fiscali, date di nascita, retribuzioni, dati sanitari o sindacali — per scrivere un riassunto in italiano semplice per l'ufficio; è facoltativo, il confronto con le regole lo fa un programma e la valutazione finale resta al consulente del lavoro dell'istituto.
• Per la funzione Agevolazioni sul personale, i documenti INAIL dell'istituto che l'ufficio carica in PDF o in foto (basi di calcolo del premio, comunicazione del tasso applicabile, dichiarazione delle retribuzioni, DURC, provvedimento sulla riduzione per prevenzione): dati dell'azienda e delle sue posizioni assicurative, cioè voci di tariffa, tassi, retribuzioni complessive per posizione e voce, lavoratori-anno, numero degli eventi del triennio, date, protocolli ed esiti. Dal testo dei PDF si tolgono prima i codici fiscali di persone; del modello 20SM va al modello soltanto il testo, senza il quadro B (nomi degli infortunati e dati sugli infortuni), e mai una sua foto o scansione; un PDF che dal testo sembra un modello 20SM, caricato con un altro tipo, non va al modello. Le foto e le scansioni degli altri documenti vanno come sono, solo dopo che l'ufficio ha confermato che non sono un modello 20SM: per una ditta individuale possono contenere il codice fiscale del titolare — per proporre all'ufficio i campi del documento, che l'ufficio controlla e conferma prima che entrino nel calcolo; la lettura è facoltativa (i campi si possono scrivere a mano) e il confronto con le regole lo fa un programma.

L'elenco aggiornato dei fornitori di elaborazione AI, con Paese, base del trasferimento e data di inizio, è sempre consultabile su sentinellapro.com/privacy: se un fornitore cambia o se ne aggiunge un altro, l'elenco viene aggiornato lì, con la data.

Le email di servizio partono dall'indirizzo della piattaforma attraverso il servizio di invio indicato nella tabella (Resend): nessun fornitore terzo di marketing riceve l'indirizzo.

9. I diritti

Si può chiedere in qualsiasi momento di accedere ai propri dati, di correggerli, di limitarne il trattamento, di opporsi al trattamento fondato sul legittimo interesse, e di ricevere i dati forniti in un formato leggibile. È inoltre possibile proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

La richiesta va rivolta al proprio istituto, che è il titolare.

10. Cancellazione dell'account

L'account non lo crea chi lo usa: lo apre un amministratore dell'istituto. Per la stessa ragione non può essere cancellato dall'app: la richiesta va fatta all'istituto, che provvede alla disattivazione. Disinstallare l'app non cancella i dati, perché restano nel gestionale dell'istituto.

11. Sicurezza

L'accesso avviene su connessione cifrata (HTTPS). Le credenziali sono personali e non vanno condivise. I dati sono protetti da misure tecniche e organizzative adeguate al rischio, e ogni istituto vede esclusivamente i propri.

12. Modifiche

Ogni modifica sostanziale a questa informativa sarà comunicata attraverso l'app. La versione in vigore è sempre pubblicata a questo indirizzo, con la data di ultimo aggiornamento in alto.