A chi si rivolge questa pagina

Questa pagina spiega come trattiamo i dati personali legati a Muffin Staff. Non tutti i lettori sono uguali, e conviene dirlo subito.

Se sei un cliente, o stai valutando il programma: leggi tutto. Qui trovi come trattiamo i tuoi dati e come funziona il rapporto fra te e noi sui dati dei tuoi dipendenti.
Se lavori in un locale che usa Muffin Staff: l'informativa sui tuoi dati te la deve dare il tuo datore di lavoro, perché il titolare del trattamento è lui, non noi. Qui trovi la sezione dedicata a te, più avanti, e la descrizione di cosa il programma registra sul tuo conto.

Chi tratta i dati

Muffin Staff è un programma di Muffin Suite, il nome con cui lavora Antonio Fuccillo, ditta individuale italiana.

Antonio Fuccillo, Via Molini 26, 36055 Nove (VI), Italia
P. IVA 04650850243
Email info@muffin-suite.com, telefono +39 352 012 5997
PEC antonio.fuccillo@pec.it
Assistenza dal lunedì al venerdì, dalle 9:00 alle 18:00

Chi pubblica questo sito, con tutti i dati che l'art. 7 del D.Lgs. 70/2003 impone di tenere accessibili, è indicato nelle note legali. Questa informativa vale per il sito e per il programma. È scritta come chiede l'art. 12 del GDPR: in modo che si capisca.

Due ruoli diversi, e conviene tenerli distinti

Sugli stessi dati non abbiamo sempre lo stesso ruolo. Dipende di quali dati parliamo.

Siamo titolari per i dati del sito, per quelli che ci lasci scrivendoci o chiamandoci, e per il contratto, l'abbonamento e le fatture. Qui decidiamo noi cosa trattare e perché, e rispondiamo noi.
Siamo responsabili del trattamento (art. 28 GDPR) per i dati che finiscono dentro il programma: il personale del tuo locale, i turni, le timbrature, le assenze. Lì il titolare sei tu.

In pratica, per essere chiari: dei dati dei tuoi dipendenti il titolare sei tu, perché sei tu il loro datore di lavoro. Decidi tu chi entra nel programma, quali informazioni inserire, quando cancellarle. Noi teniamo in piedi lo strumento e trattiamo quei dati solo su tua istruzione, come prevede l'art. 28, par. 3, lett. a) del GDPR: non li usiamo per finalità nostre. Insieme al contratto sottoscrivi anche un accordo sul trattamento dei dati, quello che l'art. 28 del GDPR chiede di mettere per iscritto fra titolare e responsabile.

Un chiarimento su cosa questa pagina non fa: descrive i ruoli, non ripartisce le responsabilità. La ripartizione sta nel contratto, nei termini e condizioni d'uso e nell'accordo ex art. 28, nei limiti che l'art. 1229 del Codice civile pone alle clausole che escludono la responsabilità. Restano comunque fermi gli obblighi che il GDPR mette in capo a noi come responsabili, agli artt. 28 e 32, e la nostra responsabilità ex art. 82, par. 2 quando non li rispettiamo o agiamo fuori dalle tue istruzioni. Nessuna riga di questa pagina ci solleva da quegli obblighi.

Non abbiamo un DPO

Non abbiamo nominato un responsabile della protezione dei dati (DPO). Abbiamo valutato i criteri dell'art. 37, par. 1 del GDPR, sia come titolari sia come responsabili, e la nomina non risulta obbligatoria; la rivalutiamo man mano che cresce il numero di locali e di persone gestite. Non c'è una casella intermedia: le richieste sui dati arrivano direttamente a info@muffin-suite.com e risponde Antonio Fuccillo.

Che cos'è Muffin Staff e cosa comporta

Muffin Staff è un gestionale di turni e presenze per le attività che lavorano col pubblico: ristoranti, pizzerie, bar, gelaterie, hotel, spa e altri settori. Serve a tenere le anagrafiche del personale, generare i turni rispettando ferie, riposi e ore di contratto, registrare le timbrature con un QR, segnare le assenze e le mance, e vedere ore e costi del personale.

Tutto questo vuol dire trattare dati personali di persone reali: chi lavora nel locale, e chi il locale lo gestisce. Ci sono tre livelli di accesso: amministratore Muffin Suite, titolare del locale, dipendente. Ognuno vede quello che serve al suo ruolo: un dipendente vede i propri turni, le proprie timbrature e le proprie assenze. Nella pianificazione condivisa vede anche i turni pubblicati dei colleghi, perché servono a sapere chi è in servizio; il motivo di un'assenza altrui no, e chi nel locale può vederlo lo decidi tu.

Una cosa va detta chiaramente, perché è il punto che conta di più: per poterti assistere, l'amministratore di Muffin Suite può entrare nella tua attività e vedere i dati che ci sono dentro. Lo fa quando serve per l'assistenza o per un intervento tecnico, non per altro, e il suo ingresso, come le operazioni che compie, resta scritto nel registro delle attività. Non ti diciamo il contrario, perché non sarebbe vero.

I locali restano separati fra loro. Quasi tutte le tabelle del database portano l'identificativo dell'azienda e ogni ricerca filtra su quello: due locali non si vedono e non si scambiano niente.

Due modalità, e cambiano tutto

In cloud, su muffin-staff.it. I dati stanno sul nostro server. Vale tutto quello che leggi qui sotto.
Installato sul PC della tua azienda. Il programma parte dal tuo computer e scrive su un database che resta sul tuo computer. In questo caso i dati dei tuoi dipendenti non passano da noi: non ne abbiamo copia e non vi accediamo. Un'eccezione però esiste, ed è meglio scriverla che scoprirla: se ci chiedi un'assistenza che richiede di guardare i tuoi dati, quell'accesso avviene solo su tua autorizzazione scritta, caso per caso, limitatamente all'intervento e per il tempo necessario, e in quel momento li trattiamo come responsabili, su tua istruzione. Anche questo caso rientra nell'accordo ex art. 28 che sottoscrivi insieme al contratto. Il computer su cui gira il programma e i suoi backup restano nella tua disponibilità materiale, non nella nostra. Per il resto, di questa informativa ti riguardano le parti sul sito, sul contratto e sulla fatturazione.

Quali dati raccogliamo

Chi visita il sito e chi ci scrive

Se ti limiti a leggere il sito, non ti chiediamo niente. Non ci sono strumenti di analisi di terzi, e i caratteri e le immagini sono ospitati sul nostro dominio: mentre navighi non parte nessuna richiesta verso server altrui. Una richiesta verso l'esterno parte solo se sei tu a farla partire, aprendo il collegamento a WhatsApp.

L'unica cosa che il sito salva sul tuo dispositivo è la conferma che hai chiuso l'avviso in fondo alla pagina. Non è un cookie: sta nella memoria locale del browser e resta finché non svuoti i dati del sito. Non serve il tuo consenso, e la ragione è precisa: l'art. 122, comma 1, del Codice privacy (D.Lgs. 196/2003) riguarda sia i cookie sia la memoria locale, e non chiede il consenso per gli strumenti strettamente necessari a fornire un servizio che hai chiesto tu. I dettagli sono nella pagina sui cookie.

Sul sito c'è un modulo di contatto, in fondo alla pagina di Muffin Staff. Quello che ci scrivi lì — nome, recapito e messaggio — arriva al nostro server e poi nella nostra casella, e lo teniamo solo per risponderti. Non lo usiamo per mandarti pubblicità e non lo diamo a nessuno.

Puoi comunque parlarci con i tuoi strumenti, senza passare dal modulo: WhatsApp, il telefono al 352 012 5997 o l'email a info@muffin-suite.com. In quel caso quello che scrivi arriva direttamente nella nostra casella o sul nostro telefono, insieme al recapito da cui ci hai contattato.

Se ci scrivi su WhatsApp al +39 352 012 5997, leggiamo il tuo messaggio per risponderti. WhatsApp è rimasto come canale di contatto, non come funzione del programma: Muffin Staff non invia più i turni via WhatsApp. Resta però, nella pagina Assistenza del programma, un pulsante che se lo premi tu apre WhatsApp con un messaggio già scritto, con il tuo nome e il nome del locale. Finché non lo premi non parte niente. Da quel momento vale anche l'informativa di WhatsApp, che è gestito da Meta Platforms Ireland.

Il server web tiene i normali registri di funzionamento: indirizzo IP, data e ora, pagina richiesta, esito, pagina di provenienza e tipo di browser. L'indirizzo IP è un dato personale, quindi lo diciamo invece di chiamarli "dati tecnici": servono a far funzionare il servizio, a capire i malfunzionamenti e a difenderlo dagli abusi. Per quanto li teniamo, guarda più avanti fra i tempi di conservazione.

Il cliente e la sua attività

Quando apri una prova o attivi un abbonamento trattiamo, come titolari:

nome del locale, indirizzo, città, tipo di attività
partita IVA, PEC
cellulare e telefono fisso
note sull'attività
canone concordato, aliquota IVA applicata, periodicità (mensile), scadenze e stato dell'abbonamento
i dati dell'account del titolare e di quello dell'amministratore Muffin Suite: email, impronta cifrata della password, data e ora dell'ultimo accesso

Il canone si concorda per locale: per fatturarti non ti chiediamo nessun dato in più sui tuoi dipendenti.

Le persone che lavorano nel locale

Qui il titolare sei tu, noi siamo responsabili. Il programma può contenere, per ogni persona:

Anagrafica: nome, cognome, email, telefono, codice fiscale, data di nascita
Stato dell'account: ruolo (titolare o dipendente), scheda attiva o disattivata, e se la persona rientra nei turni o è un titolare che non lavora in sala
Accesso: l'impronta cifrata della password (la password in chiaro non la conserva nessuno, nemmeno noi), l'obbligo di cambiarla al primo ingresso, il contatore che revoca le sessioni, data e ora dell'ultimo accesso
Contratto e inquadramento: mansione e mansioni secondarie, tipo di contratto (indeterminato, determinato, apprendistato, intermittente, stagionale, tirocinio), livello CCNL, codice CCNL CNEL, scatti di anzianità riconosciuti, fine del periodo di prova, ore settimanali, costo orario, data di assunzione, data di fine contratto
Ferie e permessi: giorni e ore annui, saldi iniziali
Preferenze e limiti per la generazione dei turni: disponibilità agli straordinari e tetto di ore di straordinario, massimo di giorni consecutivi, di turni a settimana e di ore al giorno, giorno di riposo preferito, lavoro nei festivi, fascia preferita (pranzo, cena o indifferente), priorità di assegnazione
Note libere che il titolare scrive sulla persona
Timbrature: data e ora esatte, se è entrata o uscita, con quale metodo (QR o inserita a mano), da quale postazione, l'indirizzo IP da cui è arrivata, eventuali note e, se è stata corretta dal titolare, l'orario originale e chi l'ha corretta
Assenze: ferie, permessi, impegni personali, malattia e infortunio, con le date e un campo note libero che chi chiede l'assenza può compilare
Turni assegnati e disponibilità dichiarate, comprese le richieste di scambio turno fra colleghi con l'eventuale motivo scritto da chi le fa
Mance e le quote ripartite fra le persone
Ticket di assistenza: l'oggetto e il testo dei messaggi che ci mandi dal programma, con il nome di chi scrive e il locale di appartenenza. Li aprono sia i titolari sia i dipendenti, e questi li leggiamo noi, perché servono a risponderti: è l'unico testo scritto dai tuoi dipendenti che arriva sotto i nostri occhi
Registro delle attività: chi ha fatto cosa e quando dentro il programma (creazione e modifica di turni, assenze, anagrafiche), per poter ricostruire un errore
Statistiche che si ricavano da questi dati, come ore lavorate e costo del personale

Non raccogliamo categorie di dati diverse da queste.

Sulla posizione, la formulazione esatta è questa: il programma non usa il GPS e non chiede al browser dove sei. Il QR della timbratura è un codice firmato che cambia da solo ogni 30 secondi, non contiene dati personali e non contiene coordinate. Registra però l'indirizzo IP da cui arriva la timbratura, come fa qualunque sito, e il nome della postazione che hai scelto tu. Non raccogliamo dati biometrici: niente impronte, niente riconoscimento del volto.

Una cosa importante da dire ai tuoi dipendenti: le note sulla persona e le note sull'assenza sono campi di testo libero, e quello che ci si scrive dentro diventa un dato personale come gli altri. Vanno usati per l'organizzazione del lavoro, non per giudizi o informazioni che non c'entrano.

Malattia e infortunio sono dati sulla salute

Quando registri un'assenza per malattia o per infortunio, stai trattando un dato relativo alla salute. È una categoria particolare di dati, quella dell'art. 9 del GDPR, e va trattata con più attenzione delle altre. Preferiamo dirlo chiaramente invece di nasconderlo in fondo a un elenco.

Il programma registra il tipo di assenza, le date e un campo note libero che chi chiede l'assenza può compilare. Non esiste nessun campo "diagnosi". Non si caricano certificati medici né allegati sanitari: nessuna parte del programma accetta file.

Da qui un'avvertenza operativa che vale per te e per i tuoi dipendenti: quel campo note non va usato per la diagnosi o per dettagli clinici. Basta sapere che si tratta di malattia o di infortunio e quanto dura. Non è solo buon senso: l'art. 5 dello Statuto dei lavoratori (L. 300/1970) vieta al datore di lavoro gli accertamenti sulle infermità e gli consente di conoscere la sola prognosi, cioè la durata, non di che cosa si tratti. È la ragione per cui in Muffin Staff un campo diagnosi non c'è e non ci deve essere.

Di questo trattamento risponde il datore di lavoro, cioè tu. La base giuridica è l'art. 9, par. 2, lett. b) del GDPR: il trattamento è necessario per assolvere gli obblighi in materia di diritto del lavoro e sicurezza sociale. Va letto insieme all'art. 88 del GDPR, che lascia agli Stati regole più precise sul rapporto di lavoro, e all'art. 2-septies del Codice privacy (D.Lgs. 196/2003), che non detta lui le misure ma demanda al Garante l'adozione delle misure di garanzia per i dati sulla salute, e al comma 8 vieta comunque di diffonderli. In parole semplici: non serve il consenso del dipendente, perché la malattia la devi gestire per legge, ma proprio per questo non puoi usare quel dato per altro.

Cosa facciamo noi per proteggerlo:

lo teniamo nello stesso perimetro degli altri dati, sul server in Francia; il backup resta su quella stessa macchina e non viene mandato a nessun servizio esterno
non lo leggiamo e non lo usiamo per conto nostro: ci accediamo solo se ce lo chiedi tu per un'assistenza, e solo per il tempo necessario
resta chiuso nel tuo locale: nessun altro cliente può vederlo, per il modo in cui il programma separa le aziende
il programma non lo manda a nessun servizio esterno, perché non chiama servizi esterni

Timbrature e controlli: cosa chiede la legge italiana

Un programma di presenze tocca una materia che in Italia ha regole sue, oltre al GDPR. Vale la pena dirle per intero, invece di cavarsela con un "non serve a controllare nessuno".

Muffin Staff è configurato come strumento di registrazione degli accessi e delle presenze. Per questi strumenti l'art. 4 comma 2 della L. 300/1970 non richiede né l'accordo sindacale né l'autorizzazione dell'Ispettorato. Ma l'esonero riguarda l'installazione, non l'uso: perché i dati raccolti siano utilizzabili a tutti i fini connessi al rapporto di lavoro, compreso quello disciplinare, l'art. 4 comma 3 chiede che tu dia ai lavoratori un'informativa sulle modalità d'uso dello strumento e su come vengono fatti i controlli, e che rispetti il Codice privacy, richiamato per il lavoro dall'art. 114 del D.Lgs. 196/2003. Senza quell'informativa i dati restano registrati, ma non li puoi usare.

Quello che tocca a te, quindi, non è solo "dare l'informativa privacy":

Informativa privacy ai dipendenti (artt. 13 e 14 GDPR), che devi dare tu come titolare del trattamento. Questa pagina non la sostituisce.
Informativa sulle modalità d'uso e di controllo (art. 4 comma 3 L. 300/1970), senza la quale timbrature e statistiche non sono utilizzabili a fini disciplinari.
Informativa sui sistemi decisionali o di monitoraggio automatizzati (art. 1-bis del D.Lgs. 152/1997, introdotto dal D.Lgs. 104/2022 e modificato dal D.L. 48/2023), da dare ai lavoratori e alle rappresentanze sindacali: la generazione automatica dei turni e la rilevazione delle presenze vi rientrano.
Valutazione d'impatto (art. 35 GDPR): il Garante la richiede per i trattamenti sul rapporto di lavoro fatti con sistemi tecnologici da cui possa derivare un controllo a distanza (provvedimento 11 ottobre 2018 n. 467), a maggior ragione dove ci sono dati sulla salute.
Limitare chi, nel locale, può vedere le assenze, e non usare quei dati per decisioni che con l'organizzazione del lavoro non c'entrano.

Su richiesta ti diamo le informazioni tecniche che ti servono per scrivere questi documenti: è l'assistenza che l'art. 28, par. 3, lett. f) del GDPR ci chiede di darti.

Perché trattiamo i dati e con quale base giuridica

Finalità	Dati	Base giuridica
Rispondere a chi ci scrive o ci chiama	Il tuo nome, il recapito da cui ci contatti e quello che ci scrivi o ci dici	Art. 6, par. 1, lett. f) GDPR: nostro legittimo interesse a dare seguito alle richieste che riceviamo e a coltivare il rapporto commerciale. Titolari noi. Puoi opporti in qualsiasi momento (art. 21)
Attivare la prova gratuita, gestire il contratto, l'abbonamento e l'assistenza, ticket compresi	Dati del locale, dati di contatto, account del titolare, testo dei ticket	Art. 6, par. 1, lett. b) GDPR: esecuzione del contratto e misure precontrattuali chieste da te. Titolari noi
Emettere le fatture, trasmetterle al Sistema di Interscambio e tenere le scritture contabili	Dati fiscali del cliente, importi, scadenze	Art. 6, par. 1, lett. c) GDPR: obblighi civilistici e fiscali, in particolare art. 2220 Codice civile, artt. 21 e 39 DPR 633/1972, D.Lgs. 127/2015 sulla fatturazione elettronica, art. 22 DPR 600/1973. Titolari noi
Tenere in piedi il sito e l'infrastruttura: registri del server web, diagnostica dei malfunzionamenti, difesa dagli abusi e dagli accessi non autorizzati	Indirizzo IP, data e ora, pagina richiesta, esito, provenienza, tipo di browser, dati di accesso agli account	Art. 6, par. 1, lett. f) GDPR: nostro legittimo interesse a mantenere sicuro e funzionante il servizio. Titolari noi
Backup e misure di sicurezza sui dati dentro il programma	I dati del personale del tuo locale	Qui non abbiamo una base giuridica nostra: li trattiamo come responsabili, su tua istruzione, per adempiere agli artt. 28 e 32 del GDPR. Il titolare sei tu
Far valere o difendere un diritto, per esempio recuperare un canone non pagato	Dati del contratto e dell'abbonamento, non quelli del personale	Art. 6, par. 1, lett. f) GDPR: nostro legittimo interesse a tutelare il credito. Titolari noi
Organizzare i turni, registrare presenze e assenze, calcolare ore, costi e mance	Tutti i dati del personale elencati sopra	Qui il titolare sei tu. Di norma art. 6, par. 1, lett. b) (il contratto di lavoro) e art. 6, par. 1, lett. c) (gli obblighi di legge sul lavoro). Noi trattiamo solo su tua istruzione, art. 28 GDPR
Registrare le assenze per malattia e per infortunio	Tipo di assenza, date ed eventuali note	Titolare sei tu: art. 9, par. 2, lett. b) GDPR, letto con l'art. 88 GDPR, con l'art. 2-septies del D.Lgs. 196/2003 e con l'art. 5 della L. 300/1970

Quali dati devi darci per forza. Quelli necessari ad attivare e mantenere l'account e a emettere la fattura — nome del locale, indirizzo, partita IVA, un recapito, l'email dell'account — devi darceli: senza, non possiamo attivare né tenere in piedi il servizio, e non possiamo emettere i documenti fiscali che la legge ci impone. Puoi invece omettere senza conseguenze il telefono fisso, le note sull'attività e la PEC, se preferisci ricevere la fattura elettronica su un codice destinatario.

Non chiediamo il consenso per queste attività, perché il consenso non è la base giusta: quello che trattiamo serve a farti funzionare il programma, a fatturarti o a rispettare una legge. E non facciamo pubblicità né newsletter.

A chi comunichiamo i dati

Non vendiamo i dati e non li cediamo a nessuno per finalità commerciali. Non li usiamo per pubblicità, né nostra né di altri. Non li mettiamo in circolo per allenare sistemi automatici. Questi sono i destinatari, per categoria:

Chi	Cosa fa	A che titolo
OVH SAS	Ospita il server su cui gira Muffin Staff in cloud e quello del sito che stai leggendo, in Francia	Responsabile per i dati di cui siamo titolari, sub-responsabile per i dati del tuo personale
Meta Platforms Ireland (WhatsApp)	Recapita i messaggi che scegli di mandarci su WhatsApp	Titolare autonomo per il proprio servizio di messaggistica, con una sua informativa
Fornitori di posta elettronica e di PEC	Recapitano e conservano i messaggi che ci scambiamo, e recapitano le email automatiche che il programma manda ai tuoi dipendenti	Responsabili per i dati di cui siamo titolari, sub-responsabili per i dati del tuo personale
Stripe Payments Europe	Incassa il canone dell'abbonamento. Riceve i dati che servono al pagamento; non riceve i dati dei tuoi dipendenti	Responsabile per i dati di cui siamo titolari, e titolare autonomo per gli obblighi antiriciclaggio che gravano su di lui
Agenzia delle Entrate, Sistema di Interscambio, ed eventuale intermediario o conservatore	Ricevono, trasmettono e conservano le fatture elettroniche, obbligatorie per il D.Lgs. 127/2015	Titolari autonomi, per obbligo di legge
Avvocati e incaricati del recupero crediti, solo se ce n'è bisogno	Tutelano un credito rimasto insoluto	Titolari autonomi o responsabili, a seconda dell'incarico

Gli elenchi sono due, e conviene non confonderli. Questa tabella è l'elenco dei destinatari dei dati di cui siamo titolari, ed è quella che fa fede. I sub-responsabili per i dati dei tuoi dipendenti sono invece elencati nell'accordo ex art. 28 che sottoscrivi insieme al contratto, e ogni variazione ti viene comunicata con 30 giorni di preavviso.

Oltre a questi, comunichiamo dati solo se ce lo impone una legge o se ce li chiede l'autorità giudiziaria o di polizia con una richiesta fondata. In quel caso, se possiamo farlo, te lo diciamo.

Il programma parla con l'esterno in due casi, e sono questi:

Manda email automatiche ai tuoi dipendenti: la password iniziale a chi entra per la prima volta, i turni appena li pubblichi, il turno assegnato o cambiato o tolto, e l'esito di una richiesta di assenza o di cambio turno. Partono dalla nostra casella di posta e passano dal nostro fornitore, che per questi messaggi è un sub-responsabile. Se la posta non parte l'operazione va avanti lo stesso: l'avviso resta comunque visibile dentro il programma.
Incassa il canone con Stripe, se hai un abbonamento. A Stripe arrivano i dati che servono al pagamento; i dati dei tuoi dipendenti non li vede.

A parte questi due, non c'è nessun negozio di integrazioni che porti i tuoi dati altrove, e nessuna chiamata verso servizi di terzi. Il pulsante WhatsApp nella pagina Assistenza è un collegamento, e si apre solo se lo premi tu.

Se usi Muffin Staff installato sul tuo PC, niente di tutto questo tocca i dati dei tuoi dipendenti: non escono dal tuo computer.

Dove stanno i dati

Muffin Staff in cloud gira su un server virtuale di OVH SAS, in un datacenter in Francia (zona Gravelines e Dunkerque, Hauts-de-France). Anche il sito che stai leggendo è ospitato da OVH, in Francia: stesso fornitore e stesso paese, dentro l'Unione Europea.

Nessun dato esce dall'Unione Europea. L'unico fornitore che tratta dati personali per conto nostro è OVH: anagrafiche, turni, timbrature, assenze, mance e ticket stanno su quel server, e lì resta il backup. Non c'è nessun trasferimento verso paesi terzi da dichiararti ai sensi dell'art. 13, par. 1, lett. f) del GDPR. Con OVH vale l'accordo sul trattamento dei dati ai sensi dell'art. 28 del GDPR che OVH allega al contratto e mette a disposizione dei clienti su richiesta, e che comprende le clausole contrattuali standard della Decisione di esecuzione (UE) 2021/914 per gli eventuali trasferimenti.

Una precisazione, per non dire più di quello che è vero: se sei tu a scegliere WhatsApp per scriverci, dal sito, dal tuo telefono o dal pulsante nella pagina Assistenza, quel messaggio passa dal servizio di Meta Platforms Ireland, che di quel servizio è titolare autonomo, con la sua informativa e le sue garanzie. Succede solo se premi tu quel pulsante, e da quel momento vale la sua informativa, non la nostra.

Per quanto tempo teniamo i dati

Messaggi e richieste di contatto, per email, WhatsApp o telefono: se dalla tua richiesta non nasce un rapporto, li cancelliamo entro 24 mesi.
Iscrizioni fatte dal sito e non ancora confermate: chi apre un account da muffin-staff.it/registrazione ci lascia i dati del locale e i suoi, ma finché non conferma il locale non esiste: la richiesta resta in una tabella a parte, non entra nell'elenco dei clienti e non la usiamo per altro. Il link di conferma vale 24 ore e la richiesta si cancella entro 7 giorni dalla scadenza. Se invece la conferma arriva, la richiesta resta 30 giorni — il tempo di poter dire a chi riapre il link che l'ha già usato — e poi si cancella: da lì in avanti valgono i tempi del locale, qui sopra. L'indirizzo IP di chi compila il modulo non entra nel database: serve solo in memoria, per un'ora, a fermare i robot.
Registri del server: 90 giorni, poi vengono cancellati. Vale sia per i registri del server web sia per quelli del programma.
Dati del locale, del contratto e dell'abbonamento: per tutta la durata del rapporto, e poi secondo la regola dei 90 giorni qui sotto, fatti salvi i termini fiscali.
Dati del personale dentro il programma: finché dura il contratto con noi. Ma il tempo lo decidi tu, perché il titolare sei tu: puoi cancellare una persona quando vuoi.
Dopo la fine del contratto, o se il canone resta insoluto: l'accesso al programma si chiude, per te e per i tuoi dipendenti. I dati però restano conservati 90 giorni dalla cessazione: entro quel termine puoi chiederci copia dei dati del tuo locale scrivendo a info@muffin-suite.com, e te la mandiamo. Passati i 90 giorni li cancelliamo. Vale allo stesso modo se hai usato solo la prova gratuita senza mai abbonarti. È quello che chiede l'art. 28, par. 3, lett. g) del GDPR: alla fine del servizio i dati ti vengono restituiti oppure cancellati, secondo quello che scegli tu.
Backup: ogni notte alle 4:30 il server rifà l'archivio principale, dopo averlo verificato, e ne conserva inoltre le ultime sette copie datate. Un dato cancellato sparisce quindi dall'archivio principale con la prima notte utile, e dalle copie datate entro sette giorni.
Copia di salvataggio delle attività eliminate: quando si elimina un'intera attività, prima di cancellare il programma salva sul server un file con tutti i suoi dati. Serve a rimediare a una cancellazione sbagliata, ed entra nel backup notturno, quindi anche nelle sette copie datate. Si conserva 90 giorni, poi viene cancellata.
Registro delle attività: 90 giorni, poi viene cancellato.
Fatture e scritture contabili: 10 anni, per gli obblighi civilistici e fiscali (art. 2220 Codice civile). Il termine può allungarsi se è pendente un accertamento o un contenzioso, perché l'art. 22 del DPR 600/1973 impone di conservare fino alla loro definizione.
Misure tecniche del server (uso di processore, memoria, disco): 30 giorni. Allarmi: 365 giorni. Sono numeri della macchina, non dicono niente su di te o sui tuoi dipendenti.
Installazione sul tuo PC: noi non conserviamo niente, perché non abbiamo niente.

Cosa resta quando cancelli una persona

Conviene essere precisi, perché "cancellato" non vuol dire sempre "sparito del tutto". Quando cancelli una persona spariscono la sua scheda, le sue timbrature, le sue assenze e le sue disponibilità. Restano, senza più la scheda collegata: il suo nome nelle ripartizioni delle mance già chiuse, il suo nome nei ticket di assistenza che aveva aperto, e la traccia dell'operazione nel registro delle attività, con nome ed email. Servono a non rendere illeggibili documenti e conversazioni già chiusi. I turni che aveva assegnati non spariscono: restano, ma senza nome, come turni scoperti.

Cancellando invece un'intera attività, tutte le schede del personale collegate si cancellano a cascata, e resta la copia di salvataggio di cui si parla sopra.

Nessuna decisione automatica sulle persone

Questa è la domanda che un dipendente si fa quando scopre che i turni li propone un programma, e la risposta è meglio darla prima che la faccia.

Non ci sono decisioni basate unicamente sul trattamento automatizzato, quelle che l'art. 22 del GDPR limita quando producono effetti giuridici o incidono in modo significativo sulla persona. Il motivo è concreto, non una formula: la generazione dei turni produce una proposta, e il titolare la vede, la modifica e la approva prima che diventi qualcosa. L'intervento umano è effettivo, non un timbro: chi approva può cambiare qualunque riga, e la responsabilità resta sua. Nessun turno, nessuna assegnazione e nessuna conseguenza sul rapporto di lavoro nasce da un calcolo lasciato a sé stesso.

Il programma elabora però dati riferiti a persone, per organizzare il lavoro: legge le regole che hai impostato tu, cioè ferie, riposi, ore di contratto, disponibilità, priorità di assegnazione, tetti di ore e fascia preferita, e produce statistiche su ore lavorate e costo del personale. È un'elaborazione automatica, e non facciamo finta che non lo sia. Quello che non fa è attribuire punteggi, valutazioni, classificazioni o giudizi alle persone: nessuno viene valutato per il rendimento, per l'affidabilità o per il comportamento, e da queste elaborazioni non esce nessuna graduatoria.

Resta comunque l'obbligo di cui si parla sopra: l'informativa ai lavoratori e alle rappresentanze sindacali sui sistemi automatizzati, ex art. 1-bis del D.Lgs. 152/1997, va data anche quando non ci sono decisioni ai sensi dell'art. 22.

Come proteggiamo i dati

Sono misure tecniche, ma si possono dire in italiano:

Le password non sono salvate in chiaro. Ne conserviamo solo un'impronta calcolata con scrypt e un sale, e il confronto avviene a tempo costante, così non si può indovinare la password misurando quanto ci mette il server a rispondere. Ci sono requisiti minimi di robustezza. La password iniziale, quando la generiamo noi, è casuale e va cambiata al primo accesso; chi apre l'account da solo dal sito la sceglie lui, e resta quella finché non decide di cambiarla.
Se cambi la password, tutte le sessioni aperte cadono. Le sessioni sono firmate e legate all'impronta della password: se la cambi, chi era entrato con la vecchia viene buttato fuori.
Il pulsante "Esci" esce davvero. C'è un contatore di revoca per ogni utente: uscendo si invalidano anche i cookie eventualmente copiati su un altro dispositivo, non solo quello del browser che stai usando.
Il QR della timbratura è firmato e vale 30 secondi. Non si può fotografare per timbrare da casa il giorno dopo.
In cloud si naviga solo in HTTPS, e i cookie del programma sono tutti tecnici: sono HttpOnly, quindi non leggibili dagli script della pagina, e viaggiano solo su connessione cifrata. Nomi, scopo, durata e attributi di ciascuno stanno nella pagina sui cookie: è lì che li trovi elencati uno per uno. Fra questi ci sono i cookie usa-e-getta che servono a mostrare una sola volta una password appena generata: quella password viaggia lì perché la devi poter leggere una volta; nel database resta solo l'impronta cifrata, mai la password in chiaro.
I locali sono isolati, sia nel modo in cui il programma interroga il database, sia nelle regole del database stesso, che cancellano a cascata i dati collegati a un'azienda eliminata.
Il sito ha una Content-Security-Policy restrittiva: caratteri, fogli di stile e programmi delle pagine possono arrivare solo dal nostro dominio, più le immagini incorporate nella pagina stessa. Non ci sono destinazioni esterne autorizzate: l'unico indirizzo previsto oltre al sito è api.muffin-suite.com, che è nostro e oggi non è usato.
Manutenzione notturna alle 4:30: un'attività programmata del server fa pulizia, esegue il backup e lo verifica, poi riavvia la macchina. L'interruzione dura qualche decina di secondi. Se il backup non riesce, il riavvio non viene fatto e la copia della notte prima resta intatta.
Dove sta il backup: sulla stessa macchina del programma, in Francia, leggibile solo dall'amministratore; accanto all'archivio principale stanno le ultime sette copie datate. Non viene mandato a nessun servizio esterno. Riduce i punti di esposizione, ma va detto anche il rovescio: se si perde la macchina si perde anche il backup, e chi ottenesse quell'accesso avrebbe tutto. È il motivo per cui l'accesso al server è ristretto.
Accesso al server: sulla macchina c'è un solo account amministrativo, ed è di Antonio Fuccillo. Nessun altro ha le credenziali. Oltre a lui, l'accesso fisico alle macchine è di OVH, come per qualunque fornitore di hosting.
Il programma non chiama servizi esterni: meno strade verso l'esterno, meno modi per perdere dati.

Se succede una violazione

Nessuna misura rende un sistema invulnerabile, e non ti promettiamo il contrario. Se dovesse succedere una violazione di dati personali, gli scenari sono due e non vanno confusi:

Dove siamo responsabili, cioè per i dati dentro il programma: te lo comunichiamo senza ingiustificato ritardo, come impone l'art. 33, par. 2 del GDPR, con quello che sappiamo. La valutazione se notificare al Garante spetta a te, che sei il titolare, e ti diamo le informazioni per farla.
Dove siamo titolari, cioè per sito, contatti, contratto, abbonamento, fatturazione e account: notifichiamo noi al Garante entro 72 ore, come chiede l'art. 33, par. 1, e se la violazione comporta un rischio elevato per i tuoi diritti la comunichiamo direttamente a te, come chiede l'art. 34.

I tuoi diritti

Il GDPR ti riconosce dei diritti, e si esercitano scrivendo, senza formule particolari:

Accesso (art. 15): sapere quali dati ci sono e chiederne copia
Rettifica (art. 16): correggere quello che è sbagliato o incompleto
Cancellazione (art. 17): farli cancellare, quando non c'è un obbligo che ci imponga di tenerli, come quello fiscale sulle fatture
Limitazione (art. 18): chiedere che restino fermi mentre si chiarisce una contestazione
Portabilità (art. 20): riavere in un formato leggibile i dati che ci hai dato, per portarli altrove. Vale solo per i dati che trattiamo con strumenti automatizzati sulla base del contratto o di una tua richiesta precontrattuale: non si estende alle fatture e alle scritture contabili, che conserviamo per obbligo di legge, né ai dati che trattiamo per legittimo interesse
Decisioni automatizzate (art. 22): qui non hai niente da chiedere, perché non ne prendiamo

Il tuo diritto di opporti

Questo lo scriviamo a parte, perché l'art. 21, par. 4 del GDPR chiede che ti sia portato all'attenzione in modo esplicito e separato dal resto.

Hai il diritto di opporti in qualsiasi momento al trattamento dei tuoi dati fondato sul nostro legittimo interesse (art. 6, par. 1, lett. f): nel nostro caso sono il rispondere a chi ci scrive, il tenere sicura l'infrastruttura e il tutelare un credito. Basta scriverci a info@muffin-suite.com, senza dover motivare. Se ti opponi smettiamo, a meno che non dimostriamo motivi legittimi cogenti che prevalgono sui tuoi interessi, o che il trattamento serva ad accertare o difendere un diritto in giudizio. Non facciamo marketing diretto; se un giorno lo facessimo, l'opposizione sarebbe assoluta e senza eccezioni.

Scrivi a info@muffin-suite.com. Rispondiamo entro un mese, come prevede l'art. 12, par. 3 del GDPR; se la richiesta è complicata possiamo prenderci più tempo, ma te lo diciamo prima.

Se lavori in un locale che usa Muffin Staff

Se sei un dipendente e vuoi vedere, correggere o cancellare i tuoi dati, la richiesta va fatta al tuo datore di lavoro, non a noi: il titolare è lui, e le decisioni su quei dati sono sue. Anche l'informativa sul trattamento dei tuoi dati la deve dare lui: questa pagina non la sostituisce. Non è un rimpallo, è come funziona l'art. 28 del GDPR.

Detto questo, non lasciamo nessuno a piedi. Se ci scrivi, giriamo la richiesta al titolare del tuo locale e lo aiutiamo a darti risposta: estrarre i dati, correggerli, cancellarli. Noi facciamo la parte tecnica, la decisione resta sua.

Reclamo al Garante

Se pensi che i tuoi dati siano trattati male, puoi presentare reclamo al Garante per la protezione dei dati personali: trovi moduli e istruzioni su garanteprivacy.it. È un diritto che hai sempre (art. 77 GDPR), anche senza averci scritto prima. In alternativa puoi rivolgerti al giudice ordinario.

Se questa informativa cambia

Se cambiamo qualcosa di sostanziale, per esempio un nuovo destinatario dei dati o una finalità diversa, aggiorniamo questa pagina e cambiamo la data qui sotto. Se sei cliente e la modifica ti riguarda davvero, te lo scriviamo per email: non ti tocca controllare il sito ogni mese per scoprirlo.

Se ti serve una versione precedente di questa pagina, chiedicela a info@muffin-suite.com: la conserviamo.

Ultimo aggiornamento: 30 luglio 2026

Privacy