Informativa sul trattamento dei dati personali

1. Titolare del trattamento

Il Titolare del trattamento è il Comune di San Lorenzo del Vallo, con sede in Viale della Libertà 123, 87040 San Lorenzo del Vallo (CS), codice fiscale e partita IVA 01334140785.

• Telefono: 0981.953103
• E-mail: comune@sanlorenzodelvallo.eu
• PEC: sanlorenzodelvallo@asmepec.it

2. Responsabile della Protezione dei Dati (RPD/DPO)

I dati di contatto del Responsabile della Protezione dei Dati (RPD/DPO), come pubblicati sul sito istituzionale del Comune, sono: Indo s.r.l.s., sede legale in Via G. Mancini 156, Cosenza, e-mail dpo@indoconsulting.it. Il RPD può essere contattato anche tramite la PEC del Comune sanlorenzodelvallo@asmepec.it.

3. Interessati, categorie di dati e loro origine

Dipendenti del Comune (in servizio o cessati):

• dati identificativi: nome e cognome, area organizzativa di assegnazione (Amministrativa, Finanziaria, Tecnica, Polizia Municipale), stato di servizio (in servizio o in quiescenza);
• dati sulle assenze riportati nei prospetti mensili delle presenze: giorni od ore di ferie, malattia, permessi ai sensi della Legge 104/1992, congedi straordinari, congedi parentali, malattia dei figli, permessi per lutto, permessi orari, recuperi e altre causali.

Alcune di queste informazioni (ad esempio malattia, permessi ai sensi della Legge 104/1992, malattia dei figli) sono dati relativi alla salute e rientrano nelle categorie particolari di dati personali di cui all'art. 9 GDPR.

Utenti dell'applicazione (personale autorizzato): dati di navigazione e indirizzo IP da cui provengono tentativi di accesso non riusciti.

Origine dei dati. I dati dei dipendenti non sono raccolti presso l'interessato tramite l'applicazione: provengono dagli archivi del Comune relativi alla gestione del personale (prospetti mensili delle presenze predisposti dall'Ufficio e anagrafica del personale).

Minimizzazione. I prospetti mensili, caricati in formato PDF, sono elaborati sul server dell'applicazione (anche mediante riconoscimento ottico del testo, senza ricorso a servizi esterni) al solo scopo di calcolare i totali mensili per area e di consentirne la verifica da parte dell'operatore. L'applicazione non archivia i prospetti né i dati di assenza riferiti ai singoli dipendenti: nel database sono conservati soltanto i totali mensili aggregati per area (giorni di assenza e numero di dipendenti) e l'elenco del personale con la relativa area e stato di servizio.

4. Finalità e base giuridica del trattamento

I dati sono trattati per:

• calcolare i tassi mensili di assenza e di maggiore presenza del personale, distinti per area, e predisporre il relativo prospetto;
• pubblicare i tassi, esclusivamente in forma aggregata, nella sezione «Amministrazione trasparente» del sito istituzionale, ai sensi dell'art. 16, comma 3, del D.Lgs. 33/2013 (già art. 21, comma 1, della Legge 69/2009);
• gestire l'accesso riservato all'applicazione e garantirne la sicurezza.

Basi giuridiche:

• art. 6, par. 1, lett. c, GDPR: adempimento dell'obbligo di legge di rilevazione e pubblicazione dei tassi di assenza (art. 16, comma 3, D.Lgs. 33/2013);
• art. 6, par. 1, lett. e, GDPR: esecuzione di compiti di interesse pubblico connessi alla gestione del personale e all'organizzazione degli uffici (art. 2-ter del D.Lgs. 196/2003);
• per i dati relativi alla salute: art. 9, par. 2, lett. b (assolvimento di obblighi in materia di diritto del lavoro) e lett. g (motivi di interesse pubblico rilevante), GDPR, in relazione all'art. 88 GDPR e all'art. 2-sexies, comma 2, lett. dd, del D.Lgs. 196/2003 (gestione dei rapporti di lavoro).

5. Natura del conferimento

Il trattamento è necessario per adempiere agli obblighi di legge e ai compiti indicati; i dati non sono richiesti all'interessato tramite l'applicazione e il loro trattamento non si basa sul consenso.

6. Modalità del trattamento e misure di sicurezza

I dati sono trattati con strumenti informatici, esclusivamente da personale del Comune autorizzato e istruito (art. 29 GDPR e art. 2-quaterdecies del D.Lgs. 196/2003), nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione, esattezza e limitazione della conservazione (art. 5 GDPR).

Sono adottate misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), tra cui: accesso all'applicazione riservato e protetto da password, connessioni cifrate (HTTPS), limitazione dei tentativi di accesso, intestazioni di sicurezza HTTP ed esclusione delle pagine dall'indicizzazione dei motori di ricerca.

I dati di assenza riferiti ai singoli dipendenti sono trattati solo in memoria, per il tempo strettamente necessario all'elaborazione e alla verifica del prospetto, e non sono salvati nel database.

Non sono effettuati processi decisionali automatizzati, compresa la profilazione, di cui all'art. 22 GDPR.

7. Destinatari dei dati

I dati sono trattati dal personale dell'Ufficio Amministrativo e dagli altri dipendenti del Comune autorizzati all'utilizzo dell'applicazione.

Possono inoltre venire a conoscenza dei dati, nei limiti strettamente necessari alle rispettive attività, i seguenti soggetti esterni che forniscono servizi al Comune, designati, ove previsto, responsabili del trattamento ai sensi dell'art. 28 GDPR:

• Vercel Inc. (Stati Uniti): servizio di hosting ed esecuzione dell'applicazione;
• Turso: servizio di database gestito in cui sono archiviati i dati dell'applicazione;
• il fornitore incaricato dello sviluppo e della manutenzione dell'applicazione, per le sole attività di assistenza tecnica.

I tassi di assenza e di presenza sono pubblicati nella sezione «Amministrazione trasparente» del sito istituzionale esclusivamente in forma aggregata per area, senza alcun riferimento nominativo. I dati riferiti ai singoli dipendenti non sono diffusi.

I dati possono essere comunicati ad autorità pubbliche e organi di controllo nei soli casi previsti dalla legge. I dati personali non sono diffusi, salvo quanto eventualmente indicato in questa informativa.

8. Trasferimento dei dati verso Paesi terzi

L'applicazione è ospitata sull'infrastruttura di Vercel Inc. e le richieste sono elaborate su server situati negli Stati Uniti. Il trasferimento dei dati verso gli Stati Uniti avviene sulla base della decisione di adeguatezza della Commissione europea del 10 luglio 2023 relativa all'EU-U.S. Data Privacy Framework, al quale Vercel Inc. aderisce, nonché delle clausole contrattuali standard approvate dalla Commissione europea (Decisione di esecuzione (UE) 2021/914) previste dall'accordo sul trattamento dei dati del fornitore (artt. 45 e 46 GDPR).

Per gli altri fornitori indicati al punto precedente, eventuali trasferimenti di dati verso Paesi non appartenenti allo Spazio economico europeo avvengono soltanto in presenza delle garanzie previste dagli artt. 45 e 46 GDPR (decisione di adeguatezza o clausole contrattuali standard).

9. Periodo di conservazione

• Prospetti mensili caricati e dati di assenza riferiti ai singoli dipendenti: non sono conservati dall'applicazione e vengono eliminati al termine dell'elaborazione.
• Totali mensili aggregati per area e prospetti dei tassi: per il periodo di pubblicazione di cinque anni previsto dall'art. 8, comma 3, del D.Lgs. 33/2013 e, successivamente, secondo il piano di conservazione documentale dell'Ente.
• Elenco del personale (nome e cognome, area, stato di servizio): per la durata del rapporto di lavoro e, successivamente, per il tempo necessario al calcolo e alla verifica dei tassi relativi ai periodi di servizio; i nominativi non più necessari sono rimossi dall'Ufficio.
• Cookie di sessione: 12 ore dall'accesso, oppure fino all'uscita dall'applicazione.
• Indirizzi IP dei tentativi di accesso non riusciti: solo nella memoria temporanea del server, per il tempo necessario ad applicare il blocco dei tentativi ripetuti.

10. Cookie

L'applicazione utilizza esclusivamente cookie tecnici, necessari al suo funzionamento e per i quali non è richiesto il consenso (art. 122 del D.Lgs. 196/2003 e Linee guida del Garante del 10 giugno 2021). Non sono utilizzati cookie di profilazione né cookie analitici o di terze parti.

• presenze_sessione: cookie tecnico che identifica la sessione autenticata; non è accessibile agli script della pagina (HttpOnly) e scade dopo 12 ore.

11. Diritti dell'interessato

In qualità di interessato può esercitare in qualsiasi momento, nei limiti e alle condizioni previsti dalla normativa, i diritti di cui agli artt. 15-22 GDPR:

• accesso ai propri dati personali e alle informazioni sul trattamento (art. 15);
• rettifica dei dati inesatti e integrazione di quelli incompleti (art. 16);
• cancellazione dei dati, nei casi previsti dall'art. 17, salvo che il trattamento sia necessario per adempiere un obbligo di legge o per eseguire un compito di interesse pubblico (art. 17, par. 3, lett. b);
• limitazione del trattamento (art. 18);
• opposizione al trattamento per motivi connessi alla propria situazione particolare (art. 21).

Il diritto alla portabilità dei dati (art. 20) non si applica ai trattamenti necessari per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri (art. 20, par. 3, GDPR).

Le richieste possono essere inviate al Comune tramite PEC (sanlorenzodelvallo@asmepec.it) o e-mail (comune@sanlorenzodelvallo.eu), presentate all'Ufficio Protocollo, oppure rivolte al RPD (dpo@indoconsulting.it). Il Comune risponde senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta, termine prorogabile di due mesi nei casi previsti dall'art. 12, par. 3, GDPR.

I diritti relativi ai dati contenuti negli archivi del personale da cui provengono i prospetti possono essere esercitati anche presso l'ufficio del Comune competente per la gestione del personale.

12. Diritto di reclamo

Se ritiene che il trattamento dei Suoi dati personali avvenga in violazione del GDPR, ha il diritto di proporre reclamo al Garante per la protezione dei dati personali (art. 77 GDPR), Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, PEC protocollo@pec.gpdp.it, oppure di adire le competenti sedi giudiziarie (art. 79 GDPR).

13. Aggiornamenti dell'informativa

Il Titolare può modificare o aggiornare la presente informativa, anche in seguito a modifiche normative o organizzative. La versione vigente è sempre pubblicata in questa pagina, raggiungibile anche senza effettuare l'accesso.