Nomina a responsabile del trattamento
Accordo ai sensi dell'art. 28 del Regolamento UE 2016/679 (GDPR) per i dati personali che il Cliente inserisce in Wippo.
Versione 1.0 · in vigore dal 22 ottobre 2026
Titolare del trattamento: il Cliente, cioè l'azienda che usa Wippo, indicata nella richiesta di prova o nell'ordine.
Responsabile del trattamento: LU.MA.DA. IMMOBILIARE S.R.L., Via Garibaldi 7, Bergamo (BG), P.IVA IT09478010011 ("Wippo").
Questo accordo fa parte dei Termini di servizio e si accetta con essi.
1. Oggetto e durata
Wippo tratta i dati solo per fornire il servizio descritto nei Termini, per tutta la durata del contratto e per il tempo necessario alla restituzione e cancellazione dei dati (punto 9).
2. Dati e interessati
| Interessati | Dati trattati |
|---|---|
| Dipendenti e collaboratori del Cliente | Nome, cognome, email, telefono, matricola, codice fiscale (facoltativo), foto profilo (facoltativa), tipo di utente, date di assunzione e cessazione |
| Gli stessi, nell'attività di cantiere | Presenze e orari (entrata, uscita, pause), ore lavorate, interventi, assenze (solo tipo e date), utilizzi degli automezzi, multe e verbali, messaggi e allegati della chat, foto scattate |
| Gli stessi, se il Cliente attiva il controllo della posizione | Esito del controllo al momento della registrazione: dentro l'area, fuori area, posizione non disponibile. Le coordinate del dispositivo non vengono salvate |
| Subappaltatori | Ragione sociale, partita IVA, dati di contatto, presenze e interventi |
| Clienti del Cliente | Denominazione, dati fiscali e di contatto, indirizzo dei cantieri |
Il servizio non prevede categorie particolari di dati (art. 9 GDPR). Le assenze per malattia o infortunio sono registrate senza diagnosi; il Cliente istruisce i propri utenti a non inserire dati sanitari nelle note.
3. Obblighi di Wippo
- Tratta i dati solo su istruzione documentata del Cliente: questi documenti, la configurazione scelta nell'app e le richieste scritte.
- Garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza.
- Adotta le misure di sicurezza descritte al punto 10 (art. 32 GDPR).
- Assiste il Cliente nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità) e nelle valutazioni d'impatto, per quanto di sua competenza.
- Mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche, con preavviso di 30 giorni e a spese del Cliente, al massimo una volta l'anno.
4. Sub-responsabili
Il Cliente autorizza in via generale i sub-responsabili sotto. Wippo comunica con 30 giorni di anticipo ogni aggiunta o sostituzione; il Cliente può opporsi e, in mancanza di accordo, recedere.
| Fornitore | Servizio | Dove sono i dati |
|---|---|---|
| Supabase Inc. (USA) | Database, archivio di foto e allegati, autenticazione | Unione Europea, Francoforte |
| Vercel Inc. (USA) | Esecuzione dell'applicazione e distribuzione delle pagine | Elaborazione a Francoforte; rete di distribuzione globale |
| Aruba S.p.A. (Italia) | Invio delle email di servizio (credenziali, recupero password) | Italia |
| OpenStreetMap Foundation (Regno Unito) | Mappe e ricerca dell'indirizzo del cantiere | Riceve solo l'indirizzo cercato e le richieste di mappa |
5. Trasferimenti fuori dall'Unione Europea
I dati sono conservati nell'Unione Europea. Per i fornitori con sede negli USA, eventuali accessi o trasferimenti avvengono sulla base del Data Privacy Framework UE-USA, se il fornitore vi aderisce, o delle Clausole contrattuali tipo della Commissione europea. Per il Regno Unito vale la decisione di adeguatezza.
6. Violazione dei dati
Wippo informa il Cliente senza ingiustificato ritardo, e comunque entro 48 ore dalla scoperta, di ogni violazione dei dati personali. Comunica la natura della violazione, le categorie e il numero approssimativo di interessati, le conseguenze probabili e le misure adottate.
7. Istruzioni contrarie alla legge
Wippo avvisa subito il Cliente se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati.
8. Statistiche di servizio
Wippo può usare statistiche aggregate sull'uso del servizio (numero di accessi e di registrazioni per azienda, spazio occupato) per gestire capacità, assistenza e fatturazione. Non usa i dati del Cliente per altri scopi né li cede a terzi.
9. Fine del trattamento
Alla cessazione del contratto Wippo, a scelta del Cliente comunicata entro 30 giorni, restituisce i dati (esportazione) e poi li cancella, compresi foto e allegati. Le copie nei backup automatici scadono entro 7 giorni. Wippo conferma la cancellazione per iscritto su richiesta.
10. Misure di sicurezza
- Separazione tra clienti: ogni azienda vede solo i propri dati, con regole di accesso applicate direttamente dal database (Row Level Security).
- Permessi per ruolo: amministratore, ufficio, operaio e subappaltatore vedono e modificano solo quanto previsto dal proprio ruolo; gli operai vedono solo i cantieri assegnati.
- Credenziali: password cifrate con algoritmo di hash, mai salvate in chiaro; password temporanea da cambiare al primo accesso.
- Cifratura: connessioni sempre in HTTPS; dati e file cifrati sui dischi del fornitore.
- File privati: foto e allegati in un archivio non pubblico, accessibili solo con link temporanei firmati.
- Backup: copia giornaliera del database, conservata 7 giorni.
- Accessi amministrativi: riservati al personale Wippo autorizzato, con account nominativi.
- Minimizzazione: il controllo della posizione salva solo l'esito, non le coordinate; le foto vengono ridotte prima dell'invio.