Terms & Conditions

1. Ruoli GDPR

Per i dati dell’admin che attiva la prova gratuita e gestisce il tenant (contatti, credenziali, fatturazione se presente): Devnut è Titolare.
Per i dati dei dipendenti/collaboratori inseriti nel tenant e per le timbrature: l’azienda cliente è normalmente Titolare, Devnut opera come Responsabile del trattamento (art. 28 GDPR) su istruzioni del cliente, inclusa la fase di prova gratuita (serve un DPA accettato in signup).

2. Dati trattati

A) Dati dell’admin/referenti (Titolare: Devnut)

Identificativi e contatto: nome, cognome, email, telefono, azienda, ruolo.
Account e sicurezza: email, password (hash), log accessi, IP, device/browser, audit log amministrativi.
Dati relativi alla prova gratuita: piano selezionato, data attivazione/scadenza, numero utenti creati (max 25).

B) Dati dei dipendenti e dati di timbratura (Titolare: Cliente; Devnut: Responsabile)

Anagrafica dipendente: nome, cognome, email/username, matricola o identificativi interni (se usati), ruolo.
Dati contrattuali/turni: schedulazioni, orari/turnazioni, regole presenze impostate dal cliente.
Timbrature: timestamp entrata/uscita, causali, anomalie/giustificativi se previsti dal cliente.
Identificativi tecnici: ID utente/app, identificativo pannello (NFC/QR), log tecnici.
Geolocalizzazione (app mobile): coordinate/accuratezza/timestamp del dispositivo al momento della timbratura (e solo per finalità di validazione/antifrode o regole di sede configurate dal cliente).
Permessi dispositivo:
- NFC: lettura NFC per timbrare su smartpanel.
- Camera: solo per inquadrare il QR code (alternativa all’NFC); nessuna registrazione foto/video.
- Notifiche: token push e invio notifiche operative (es. promemoria, eventi di servizio).

3. Finalità e basi giuridiche

Per admin (Devnut Titolare)

Attivazione prova gratuita, creazione tenant, gestione account: art. 6.1.b.
Adempimenti legali/amministrativi (se applicabili): art. 6.1.c.

Per dipendenti/timbrature (Cliente Titolare; Devnut Responsabile)

Erogazione del servizio presenze/timbrature e funzionalità antifrode configurate: basi giuridiche determinate dal Cliente; Devnut tratta solo su istruzioni (art. 28).

Nota critica sulla geolocalizzazione: se il cliente usa la posizione per controllare i lavoratori (anche indirettamente), entrano in gioco vincoli giuslavoristici (art. 4 Statuto) e orientamenti/sanzioni del Garante: non puoi “risolverla” solo con una privacy policy.

4. Dove sono trattati i dati (hosting)

Portale e backend in ambiente cloud Devnut su Google Cloud Platform (GCP).
Servizi mobile e notifiche su Firebase (es. invio push). Firebase mette a disposizione termini e SCC per trasferimenti.

5. Destinatari / sub-responsabili

Personale Devnut autorizzato.
Fornitori infrastrutturali e di piattaforma: Google Cloud / Firebase (sub-responsabili, ove applicabile).
Eventuali fornitori di invio email transazionali per credenziali e comunicazioni di servizio (se usati).
Elenco aggiornato dei sub-responsabili: disponibile su richiesta a info@devnut.it

6. Trasferimenti extra SEE

Se, per esigenze tecniche/organizzative dei fornitori (es. Wix, Firebase/Google), alcuni dati fossero trattati fuori SEE, Devnut adotta garanzie adeguate (es. SCC) e misure supplementari ove richieste.

7. Conservazione

Admin (Devnut Titolare)

Dati account/prova: durata prova + fino a 90 giorni dalla scadenza per consentire conversione/riattivazione, poi cancellazione o anonimizzazione salvo obblighi di legge o contenziosi.
Log sicurezza: 6–12 mesi.

Dipendenti e timbrature (Cliente Titolare)

Conservazione definita dal cliente; Devnut conserva per il tempo di erogazione + retention tecnica di backup limitata; cancellazione/restituzione secondo DPA.

8. Diritti e contatti

Admin: diritti ex GDPR verso Devnut (info@devnut.it).
Dipendenti: diritti verso il datore di lavoro/cliente (Titolare). Devnut supporta il cliente come Responsabile.