Questo documento disciplina il trattamento di dati personali che Webbin24 svolge per conto del cliente quando quest'ultimo utilizza servizi in cui carica o genera dati riferiti a terzi: dipendenti, collaboratori, visitatori dei propri siti, propri clienti.
Si applica automaticamente all'attivazione di uno dei servizi elencati al punto 2 e forma parte integrante dei Termini e condizioni. Non è necessario firmarlo separatamente: l'accettazione avviene al momento della sottoscrizione del servizio e viene registrata con data e versione.
Se la tua organizzazione richiede un accordo firmato su carta intestata, possiamo fornirlo: scrivi tramite il modulo di contatto.
Titolare del trattamento è il cliente, cioè la persona fisica o giuridica che sottoscrive il servizio. Il titolare decide finalità e mezzi del trattamento, individua la base giuridica, rende l'informativa agli interessati e risponde della liceità dei dati che carica.
Responsabile del trattamento è OnlineTech Services di Varchi Valerio, P.IVA 17638631006, con sede in Piazza Vesuvio 2D, 00141 Roma (RM). Tratta i dati esclusivamente su istruzione documentata del titolare.
Rispetto ai dati dell'account del cliente (ragione sociale, contatti, dati di fatturazione, log di accesso) Webbin24 agisce invece come titolare autonomo: quel trattamento è descritto nella Privacy Policy.
Questo accordo si applica a:
Oggetto e natura. Conservazione, organizzazione, consultazione, estrazione, comunicazione al titolare e cancellazione dei dati, nella misura necessaria a erogare il servizio sottoscritto.
Finalità. Esclusivamente l'erogazione del servizio. I dati del titolare non vengono utilizzati per finalità proprie di Webbin24, non vengono ceduti a terzi a fini commerciali e non vengono impiegati per addestrare sistemi automatici.
Durata. Per tutta la vigenza del contratto, più il periodo di conservazione indicato al punto 9.
| Servizio | Interessati | Categorie di dati |
|---|---|---|
| Badge24 | Dipendenti e collaboratori del cliente | Nome, cognome, email, telefono, matricola, orari di entrata e uscita, ore lavorate e straordinari, ferie, permessi e assenze. Se il cliente attiva la funzione, luogo della singola timbratura. Dati relativi alla salute (art. 9 GDPR) quando il dipendente allega un certificato di malattia. |
| GDPR Manager | Visitatori dei siti del cliente | Identificativo del consenso, scelte espresse, data e ora, indirizzo IP troncato, tipo di dispositivo. |
| Hosting e email | Utenti e contatti del cliente | Qualsiasi dato il cliente scelga di caricare o ricevere. La determinazione delle categorie spetta interamente al titolare. |
Dati sanitari e geolocalizzazione. Su Badge24 due trattamenti richiedono attenzione particolare da parte del titolare.
I certificati di malattia sono dati relativi alla salute: rientrano nell'art. 9 GDPR e il titolare deve individuare una base di liceità idonea, di norma l'art. 9.2.b in materia di diritto del lavoro. Webbin24 li conserva in un'area non raggiungibile da indirizzi pubblici e li rende accessibili al solo interessato e agli amministratori dell'azienda titolare, registrando ogni accesso.
La geolocalizzazione delle timbrature è disattivata di default. Prima di attivarla il titolare deve disporre dell'accordo sindacale o dell'autorizzazione dell'Ispettorato Territoriale del Lavoro previsti dall'art. 4 della L. 300/1970 e rendere l'informativa ai lavoratori. All'attivazione viene richiesta una dichiarazione esplicita, registrata con nome dell'amministratore e data. La responsabilità del rispetto dell'art. 4 resta del titolare.
Il responsabile tratta i dati solo su istruzione documentata del titolare. Costituiscono istruzioni documentate: il presente accordo, i Termini e condizioni, la documentazione tecnica del servizio e le configurazioni che il titolare imposta dal proprio pannello.
Se un'istruzione del titolare appare in contrasto con la normativa applicabile, il responsabile lo segnala senza ritardo e può sospendere l'esecuzione della sola istruzione contestata.
Il responsabile non trasferisce dati verso paesi terzi al di fuori di quanto indicato al punto 6.
Le persone autorizzate ad accedere ai dati sono vincolate alla riservatezza e ricevono istruzioni scritte. L'accesso ai dati del titolare è limitato a quanto strettamente necessario per assistenza tecnica, manutenzione e sicurezza, ed è tracciato.
Il titolare autorizza il ricorso ai sub-responsabili elencati qui sotto. Ciascuno è vincolato da obblighi di protezione dei dati non meno onerosi di quelli del presente accordo.
| Sub-responsabile | Attività | Ubicazione dei dati |
|---|---|---|
| 20i Ltd | Infrastruttura di hosting, database, posta elettronica | Regno Unito — paese con decisione di adeguatezza della Commissione europea |
| Stripe Payments Europe Ltd | Gestione dei pagamenti e degli abbonamenti | Irlanda (UE). Eventuali trasferimenti extra-UE avvengono con clausole contrattuali tipo. |
Stripe tratta i dati di fatturazione come titolare autonomo rispetto ai propri obblighi antiriciclaggio e contabili. I dati dei dipendenti gestiti tramite Badge24 non transitano da Stripe.
Le variazioni all'elenco vengono pubblicate su questa pagina con almeno 30 giorni di preavviso. Entro tale termine il titolare può opporsi per motivi legittimi e, se l'opposizione non è superabile, recedere dal servizio senza penali con rimborso della quota non goduta.
Il responsabile adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, fra cui:
Il responsabile assiste il titolare, con misure proporzionate alla natura del trattamento:
Se una richiesta di un interessato arriva direttamente al responsabile, questi non vi dà seguito autonomamente e la inoltra al titolare senza ritardo.
In caso di violazione dei dati personali il responsabile informa il titolare senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne viene a conoscenza, fornendo natura della violazione, categorie e numero approssimativo di interessati e di record coinvolti, conseguenze probabili e misure adottate.
La notifica all'autorità di controllo e agli interessati resta obbligo del titolare.
Alla cessazione del servizio il titolare può esportare i propri dati in formato leggibile da programma. I dati restano disponibili per 30 giorni dalla cessazione, poi vengono cancellati insieme alle copie, salvo obblighi di conservazione di legge.
Durante il rapporto, i dati eccedenti il periodo di conservazione impostato dal titolare (di norma 60 mesi, in ragione degli obblighi sui registri delle presenze) vengono cancellati automaticamente, allegati compresi.
Il titolare può chiedere le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28, tramite questionario scritto a cui il responsabile risponde entro 30 giorni. Verifiche in loco sono ammesse con preavviso di almeno 30 giorni, non più di una volta all'anno salvo violazioni accertate, senza pregiudizio per la riservatezza degli altri clienti e con oneri a carico del titolare richiedente.
Ciascuna parte risponde dei danni causati dal trattamento nei limiti dell'art. 82 GDPR. Si applicano il Regolamento (UE) 2016/679, il D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 e la legge italiana. Il foro competente è quello indicato nei Termini e condizioni.
Le richieste relative a questo accordo — esercizio dei diritti degli interessati, segnalazioni di violazioni, richieste di verifica — si inoltrano tramite il modulo di contatto, indicando «Protezione dei dati» come oggetto.
I clienti con un servizio attivo possono aprire una segnalazione dalla propria area riservata: la richiesta resta tracciata e associata al contratto.
Webbin24 non ha nominato un Responsabile della protezione dei dati (DPO), non ricorrendo i presupposti dell'art. 37 GDPR.
Versione 1.2 — in vigore dal 20 agosto 2026.
© 2026 OnlineTech Services di Varchi Valerio — Webbin24.