La presente informativa descrive come vengono trattati i dati personali nell'ambito di GRADO HR, la piattaforma cloud multi-tenant per la gestione delle risorse umane (anagrafiche dipendenti, timbrature, turni e assenze, buste paga digitali) operata da GRADO TECH Srls. È redatta ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 (GDPR) e integra l'informativa generale pubblicata sul sito web GRADO Tech.

Come funziona il servizio

GRADO HR è un software in modalità SaaS: l'azienda cliente gestisce i dati del proprio workspace. Il ruolo di GRADO TECH Srls varia a seconda del contesto:

• Dati di lavoratori e organizzazione (Parte A): l'azienda cliente è il titolare del trattamento; GRADO TECH Srls agisce come responsabile del trattamento ai sensi dell'art. 28 GDPR, limitatamente all'erogazione tecnica del servizio e all'hosting.
• Accesso ai dati da parte di GRADO Tech (Parte B): GRADO TECH Srls non accede liberamente ai contenuti del workspace; l'accesso è consentito solo nei casi e con le modalità ivi descritte.
• Dati contrattuali e amministrativi (Parte C): per registrazione, abbonamento, fatturazione e gestione degli account operativi della piattaforma, GRADO TECH Srls è titolare del trattamento.
• Integrazioni (Parte E): GRADO HR può collegarsi a GRADO Security (sincronizzazione anagrafiche) e all'accesso Google se l'utente lo collega dal profilo.
• Intelligenza artificiale (Parte E): GRADO HR può includere funzionalità assistite da sistemi di intelligenza artificiale generativa e di visione, attivabili dall'azienda titolare del trattamento. L'attivazione richiede una chiave API nel workspace, del titolare o fornita da GRADO TECH Srls (cfr. Chiavi API). Tali funzionalità sono utilizzate esclusivamente per gli scopi descritti nella presente informativa e non adottano autonomamente decisioni relative ad assunzione, cessazione del rapporto di lavoro, retribuzione, promozione, disciplina, valutazione professionale o classificazione dei lavoratori. Gli esiti prodotti dall'IA costituiscono, ove previsto, informazioni tecniche o di supporto soggette a supervisione umana. L'utilizzo delle funzionalità di IA avviene nel rispetto del Regolamento (UE) 2016/679 (GDPR), del Regolamento (UE) 2024/1689 (AI Act), della Legge 23 settembre 2025, n. 132 e della normativa nazionale applicabile al rapporto di lavoro.

Parte A — Dati inseriti dalle aziende clienti

Questa sezione si applica ai dati personali che l'azienda cliente (o un soggetto da essa autorizzato) inserisce, carica o genera su GRADO HR in relazione ai propri lavoratori e alla propria organizzazione. Tali dati restano sotto il controllo e la responsabilità del titolare; GRADO TECH Srls si limita a ospitarli, conservarli e renderli disponibili secondo il contratto e le istruzioni ricevute.

Ruoli nel trattamento

Per i dati descritti in questa Parte A:

• il titolare del trattamento è l'azienda cliente che gestisce il workspace e determina finalità e mezzi del trattamento in relazione ai propri lavoratori;
• GRADO TECH Srls (sede legale Corso Umberto I, 7 — 66050 San Salvo (CH), P.IVA IT02868240694) agisce come responsabile del trattamento, sulla base del contratto di servizio e dell'accordo ex art. 28 GDPR, per ospitare, conservare, organizzare tecnicamente e rendere disponibili i dati sulla piattaforma;
• eventuali consulenti, studi payroll o altri soggetti autorizzati dall'azienda possono agire come titolari autonomi, responsabili o incaricati del titolare: GRADO TECH Srls non ne determina le finalità.

Il titolare è tenuto a fornire ai lavoratori e agli interessati un'informativa privacy conforme al GDPR (artt. 13–14) e a disporre di un valido fondamento giuridico per ogni trattamento, inclusi quelli relativi al rapporto di lavoro, alle timbrature/geolocalizzazione e ai documenti retributivi.

Moduli della piattaforma

GRADO HR è organizzato in moduli attivabili dal titolare. A seconda della configurazione del workspace possono essere trattati dati relativi a:

• Anagrafiche e organizzazione: dipendenti, sedi, mansioni, contratti, clienti, aree, commesse e assegnazioni.
• Timbrature: rilevazione presenze via QR/NFC/manuale. Se attivata dal titolare, la geolocalizzazione viene acquisita solo nel momento della timbratura (entrata/uscita o inizio/fine servizio) per verificarne la coerenza con il luogo previsto: GRADO HR non effettua tracciamento continuo della posizione del lavoratore al di fuori di tali operazioni.
• Turni e assenze: pianificazione turni, richieste di assenza, saldi, scambi turno e allegati correlati. Per il personale autorizzato possono essere evidenziati scostamenti tra turni pianificati e timbrature effettive (es. entrata mancante, ritardo, uscita anticipata o non timbrata).
• Buste paga: caricamento, pubblicazione e consultazione di cedolini digitali cifrati a riposo, con importi netti cifrati, oscuramento in elenco, tracciamento di lettura/presa visione e notifiche. L'accesso è limitato al dipendente titolare della busta e al personale espressamente autorizzato nel workspace.
• Account, autenticazione e permessi: account locali (identificativo/email e password conservata esclusivamente come hash irreversibile), ruoli e permessi granulari, autenticazione a più fattori (MFA/TOTP) attivabile dall'utente, collegamento opzionale di un account Google già esistente (nessun account creato in automatico) e cookie tecnici di sessione, CSRF e MFA.
• Bridge GRADO Security: sincronizzazione di anagrafiche dipendenti, sedi e mansioni tra HR e Security, se collegati.
• RENTRI (modulo opzionale): credenziali operatore e documentazione/registri necessari all'interazione con il sistema pubblico di tracciabilità rifiuti, ove attivato.
• Controllo foto e intelligenza artificiale (moduli opzionali, attivati dal titolare): verifica tecnica di fotografie di evidenza di servizio; eventuale analisi, in amministrazione, di campioni di buste paga per configurare le regole di importazione; assistenza alla formulazione dei criteri fotografici.

GRADO HR non include moduli di valutazione delle prestazioni individuali, OKR o classifiche del personale.

Categorie di dati trattati sulla piattaforma

A seconda dei moduli attivati, sulla piattaforma possono essere trattati, tra gli altri, i seguenti dati inseriti o generati dal titolare:

• Anagrafica lavoratori: nome, cognome, codice fiscale, sesso, data e luogo di nascita, nazionalità, foto profilo.
• Documenti di identità: tipo, numero, scadenza e copie digitali (fronte/retro) caricate dal titolare.
• Contatti: email personale e/o lavorativa, cellulare, telefono, contatto di emergenza.
• Indirizzi: residenza e domicilio.
• Dati lavorativi e retributivi: matricola, date di assunzione/cessazione, tipo di contratto, livello, mansione, sede/collocazione, ore, IBAN, orari e note/campi personalizzati.
• Presenze, timbrature e geolocalizzazione: data e ora delle timbrature, tipo (entrata/uscita presenza o inizio/fine servizio), sorgente (QR/NFC/manuale), tag/area/commessa, indirizzo IP e user-agent. Se abilitata dal titolare, latitudine, longitudine e accuratezza vengono registrate esclusivamente al momento della timbratura, non in modo continuativo.
• Turni, assenze, saldi e scostamenti: pianificazioni, richieste, stati, note, allegati di assenza, scambi turno, export calendario e, per il personale autorizzato, segnalazioni di scostamento tra turni pianificati e timbrature (es. assenza di entrata/uscita, ritardi o uscite anticipate).
• Documenti paga: file PDF dei cedolini/versioni cifrati a riposo, importi netti cifrati nel database, date di pubblicazione, esiti di visualizzazione/presa visione e relativi metadati (es. IP di conferma). I file e gli importi vengono decifrati solo al momento di una richiesta da parte di un utente autenticato e autorizzato.
• Organizzazione e clienti: sedi, clienti (anche con CF/P.IVA e contatti), commesse, aree e assegnazioni dipendenti.
• Utenti e autenticazione: identificativo di accesso, email, password in hash irreversibile, ruoli e permessi, stato MFA, secret TOTP e codici di recupero conservati in forma cifrata (i codici di recupero come hash), eventuale identificativo Google e email Google se l'utente ha collegato l'account, log di login e tentativi di accesso, cookie tecnici di sessione/CSRF/MFA.
• Audit e log tecnici: registri delle operazioni, errori di timbratura, notifiche inviate e tracciamenti di sicurezza.
• Dati sincronizzati con GRADO Security: anagrafiche dipendenti, sedi e mansioni scambiate tramite bridge, ove il collegamento sia attivo.
• RENTRI (se attivato): dati e documenti necessari all'operatività verso il sistema pubblico (credenziali operatore, registri, FIR e allegati), nei limiti del modulo.
• Foto di servizio e esiti AI (se il titolare attiva il controllo foto): immagini di lavoro, esiti di conformità/rifacimento, presa visione dell'avviso informativo sull'IA in piattaforma (documentazione dell'informazione, non consenso), configurazione dei criteri fotografici e, se usata l'analisi template, testo campionato — previa minimizzazione — da PDF di buste di esempio.
• Credenziali dei servizi IA (se configurati): chiavi API o token verso i fornitori scelti dal titolare o forniti da GRADO TECH Srls, conservati cifrati a riposo; in interfaccia è visibile soltanto una maschera (ultime cifre), non il valore completo. Possono essere registrati metadati di utilizzo (fornitore, modello, funzione, quantità di token, stima di costo), senza il contenuto delle richieste né la chiave in chiaro.

Finalità del trattamento (per conto del titolare)

GRADO TECH Srls tratta i dati di cui alla Parte A esclusivamente per conto del titolare e limitatamente alle seguenti finalità tecniche:

• erogazione, hosting e manutenzione della piattaforma GRADO HR e dei moduli attivati (anagrafiche, timbrature, turni, buste paga, integrazioni, controllo foto AI, notifiche, export, ecc.);
• esecuzione delle istruzioni documentate del titolare, inclusa conservazione, backup, ripristino e cancellazione dei dati secondo quanto concordato;
• sicurezza informatica, prevenzione abusi, continuità operativa e adempimento di obblighi di legge applicabili al responsabile;
• assistenza tecnica nei limiti di cui alla Parte B. GRADO TECH Srls non utilizza i dati delle aziende clienti per proprie finalità di marketing, profilazione commerciale, rivendita o analisi indipendenti non strettamente necessarie all'erogazione del servizio.

Base giuridica

Per i dati dei lavoratori e dell'organizzazione trattati tramite GRADO HR, la determinazione delle finalità e della relativa base giuridica compete all'azienda cliente in qualità di titolare del trattamento.

A seconda delle funzionalità utilizzate e del contesto concreto, il titolare potrà fondare il trattamento, tra l'altro, sull'esecuzione del rapporto di lavoro, sull'adempimento di obblighi legali, sull'esercizio di diritti e obblighi in materia di diritto del lavoro o, ove ne ricorrano effettivamente i presupposti, su un legittimo interesse.

Il consenso del lavoratore non costituisce la base ordinaria dei trattamenti necessari alla gestione del rapporto di lavoro ed è utilizzato soltanto nei casi in cui possa essere effettivamente libero, specifico, informato e revocabile senza conseguenze negative per l'interessato.

GRADO TECH Srls, per i trattamenti effettuati per conto dell'azienda cliente, opera quale responsabile del trattamento ai sensi dell'art. 28 GDPR e tratta i dati esclusivamente sulla base delle istruzioni documentate del titolare, del contratto di servizio e dell'accordo sul trattamento dei dati. Gli eventuali trattamenti effettuati da GRADO TECH Srls per proprie autonome finalità, quali sicurezza della propria infrastruttura, gestione contrattuale, fatturazione o tutela dei propri diritti, sono invece disciplinati separatamente nella Parte C della presente informativa e sono fondati sulla base giuridica di volta in volta applicabile.

Conservazione

I tempi di conservazione dei dati di cui alla Parte A sono determinati dal titolare, nel rispetto della normativa lavoristica, previdenziale, fiscale e di sicurezza applicabile. GRADO TECH Srls conserva i dati per la durata del contratto e, successivamente, per il periodo strettamente necessario alla cessazione ordinata del servizio, al ripristino su richiesta del titolare o agli obblighi di legge. Al termine del rapporto, i dati vengono restituiti o cancellati secondo il contratto e l'accordo art. 28, salvo diversa istruzione documentata o obblighi di conservazione legali.

• Timbrature e presenze: secondo le scelte del titolare e gli obblighi di legge applicabili al rapporto di lavoro.
• Turni, assenze e documenti correlati: per il tempo necessario alla gestione del rapporto di lavoro e agli adempimenti previsti.
• Buste paga e documenti retributivi: secondo gli obblighi fiscali, previdenziali e di legge individuati dal titolare.
• Foto di servizio, esiti AI e log correlati (se attivati): per un periodo definito dal titolare, coerente con la finalità e con quanto eventualmente configurato nel workspace.
• Log di assistenza tecnica: di norma non oltre 12 mesi, salvo contestazioni o obblighi di legge (cfr. Parte B).
• Chiavi API dei servizi IA e metadati di consumo: fino a rimozione da parte del titolare o cessazione del workspace; i metadati di utilizzo restano per il tempo necessario al controllo dei consumi e alla fatturazione, secondo le scelte del titolare e il contratto.

Parte B — Accesso ai dati da parte di GRADO TECH Srls

GRADO TECH Srls non accede, consulta o utilizza liberamente i contenuti del workspace HR in assenza di una base lecita e documentata. L'accesso del personale autorizzato è consentito solo nei seguenti casi:

• Delega o autorizzazione esplicita del titolare: su richiesta scritta, email, ticket o comunicazione ufficiale documentabile;
• Assistenza tecnica strettamente necessaria: interventi limitati al tempo e alla portata indispensabili per diagnosticare malfunzionamenti, configurare moduli, ripristinare il servizio o rispondere a segnalazioni;
• Obblighi di legge: ordini dell'autorità giudiziaria o obblighi legali inderogabili, con informazione al titolare ove consentito;
• Sicurezza della piattaforma: monitoraggio aggregato o su metadati tecnici senza finalità di consultazione del contenuto sostanziale, salvo quanto strettamente necessario per gestire incidenti di sicurezza.

Ogni accesso è limitato al personale autorizzato, soggetto a riservatezza, tracciato ove tecnicamente possibile e circoscritto alla durata dell'intervento. GRADO TECH Srls non vende i dati e non li cede a terzi per finalità proprie di marketing o profilazione.

Registrazione degli accessi

La piattaforma registra le operazioni rilevanti (audit log, accessi utente, modifiche, errori di timbratura) per consentire al titolare il controllo sulle attività. I log di assistenza tecnica sono conservati per il tempo necessario al rapporto contrattuale, alla sicurezza e alla tracciabilità, di norma non oltre 12 mesi salvo contestazioni o obblighi di legge.

Parte C — Dati per cui GRADO TECH Srls è titolare

Questa sezione si applica ai dati personali raccolti direttamente da GRADO TECH Srls in relazione alla registrazione, all'abbonamento, alla fatturazione, alle comunicazioni commerciali e contrattuali e alla gestione degli account amministrativi della piattaforma.

Titolare del trattamento

Il titolare del trattamento per i dati di cui alla Parte C è GRADO TECH Srls, sede legale Corso Umberto I, 7 — 66050 San Salvo (CH), Italia. P.IVA IT02868240694. Email: info@gradotech.it — Tel. +39 378 421 3717.

Categorie di dati

• Dati identificativi e di contatto: nome, cognome, email, telefono, ragione sociale, P.IVA dell'azienda richiedente.
• Dati contrattuali e di fatturazione: piano sottoscritto, pagamenti, fatture, storico ordini.
• Credenziali e accesso: username/identificativo, password (in hash irreversibile), eventuale MFA (stato e secret TOTP cifrati), eventuale collegamento Google (identificativo e email Google), ruoli di piattaforma, log di accesso, cookie tecnici.
• Comunicazioni: richieste di informazioni, assistenza commerciale, supporto e newsletter ove sottoscritte.

Finalità

• Gestione della registrazione e del rapporto contrattuale.
• Fatturazione, incasso e adempimenti fiscali e amministrativi.
• Comunicazioni di servizio, aggiornamenti sulla piattaforma e, previo consenso ove richiesto, comunicazioni commerciali.
• Sicurezza, prevenzione frodi e gestione di reclami o contenziosi.

Base giuridica

Esecuzione del contratto o misure precontrattuali (art. 6, par. 1, lett. b) GDPR); adempimento di obblighi legali (art. 6, par. 1, lett. c) GDPR); legittimo interesse alla sicurezza e gestione del rapporto (art. 6, par. 1, lett. f) GDPR); consenso per attività di marketing facoltative (art. 6, par. 1, lett. a) GDPR), revocabile in qualsiasi momento.

Parte D — Diritti dei lavoratori e degli interessati

I dati dei lavoratori e di altri soggetti inseriti dall'azienda su GRADO HR sono trattati dal titolare del trattamento (l'azienda cliente). Di conseguenza:

• gli interessati devono esercitare i diritti ex artt. 15–22 GDPR prevalentemente nei confronti del proprio datore di lavoro / titolare indicato nell'informativa aziendale;
• possono scrivere a info@gradotech.it per richieste relative ai dati ospitati sulla piattaforma: GRADO TECH Srls, in qualità di responsabile, inoltrerà la richiesta al titolare o risponderà nei limiti del proprio ruolo;
• resta sempre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Il titolare è responsabile di rendere disponibile ai lavoratori un'informativa privacy completa e aggiornata sul trattamento effettuato tramite GRADO HR, inclusa l'eventuale geolocalizzazione delle timbrature e, se attivato, il controllo foto con intelligenza artificiale.

Diritti connessi ai trattamenti automatizzati e all'intelligenza artificiale

Il lavoratore può rivolgersi al proprio datore di lavoro, quale titolare del trattamento, per ottenere informazioni sui trattamenti di dati personali effettuati mediante funzionalità di intelligenza artificiale e per esercitare i diritti previsti dagli artt. 15–22 GDPR.

Qualora un risultato prodotto da una funzione di intelligenza artificiale sia stato utilizzato nell'ambito di una valutazione umana, il lavoratore può chiedere al titolare informazioni sul trattamento dei propri dati e, nei limiti previsti dalla normativa applicabile, la rettifica dei dati inesatti e la verifica dell'esito.

GRADO HR non prevede, per le funzionalità descritte nella presente informativa, decisioni esclusivamente automatizzate aventi effetti giuridici o analogamente significativi sul lavoratore.

Parte E — Integrazioni, intelligenza artificiale, sub-responsabili e trasferimenti

Integrazioni con altri servizi GRADO e sistemi terzi

GRADO HR può interagire con i seguenti servizi, solo se attivati o utilizzati dal titolare:

• Autenticazione locale e MFA: login con credenziali del workspace (password in hash irreversibile, non accessibile in chiaro). L'utente può abilitare l'autenticazione a più fattori (MFA) tramite app TOTP (es. Google Authenticator, Authy). Il secret TOTP è conservato cifrato; i codici di recupero sono conservati come hash. È possibile richiedere il codice a ogni accesso oppure ricordare il dispositivo per 1, 7, 30 o 90 giorni tramite cookie tecnico mfa_remember.
• Accesso con Google (opzionale, attivato dall'utente): l'utente già autenticato può collegare un account Google dal profilo (ambiti openid, email, profile). Successivamente «Accedi con Google» apre quello stesso account. Un account Google non collegato non può accedere e non crea un utente nuovo. Vengono conservati l'identificativo Google e l'email associata; l'utente può scollegare Google in qualsiasi momento. Google LLC tratta i dati dell'accesso secondo la propria informativa, sul dominio Google.
• GRADO Security (bridge): sincronizzazione di anagrafiche dipendenti, sedi e mansioni tra i workspace collegati, nei limiti della configurazione impostata dal titolare.
• Posta elettronica e controlli di sicurezza password: invio di notifiche di servizio e, ove abilitato, verifica delle password compromesse tramite servizi di controllo a k-anonymity (senza trasmissione della password in chiaro).
• Modelli di intelligenza artificiale (opzionali, attivati dal titolare): richiedono una chiave API nel workspace, che può essere del titolare oppure fornita da GRADO TECH Srls (cfr. Chiavi API). I fornitori supportati includono OpenAI, Anthropic (Claude), Google Gemini / Vertex AI e Amazon Bedrock, per il controllo foto di servizio e, in amministrazione, per l'analisi opzionale dei campioni di buste e l'assistenza alla formulazione dei criteri. I dati trasmessi ai modelli sono limitati allo stretto necessario, con minimizzazione prima dell'invio. Le foto di evidenza, in produzione e staging con policy UE rigorosa, sono conservate su storage object AWS in regione UE con cifratura KMS. Localizzazione, conservazione e addestramento presso il fornitore IA dipendono da chi fornisce la chiave.

Accesso, Google e autenticazione a più fattori (MFA)

L'accesso a GRADO HR è nominativo e avviene solo per account già creati dal titolare nel workspace. In sintesi:

• Credenziali locali: identificativo (di regola il codice fiscale per i dipendenti) e password, conservata esclusivamente come hash irreversibile. È disponibile il recupero password via email, senza enumeration degli account.
• Google: l'utente autenticato può collegare un account Google dal profilo. «Accedi con Google» apre quello stesso utente. Un Google non collegato non entra e non genera un account. L'utente può scollegare Google in qualsiasi momento.
• MFA (TOTP): l'utente scansiona un QR con un'app autenticatore (Google Authenticator, Authy o analoga), conferma un codice a 6 cifre e riceve 8 codici di recupero da conservare. Il secret è cifrato. La MFA, se attiva, è richiesta anche dopo l'accesso con Google.
• Permessi: ruoli e permessi granulari per modulo (es. buste paga personali vs. buste del personale). Chi non è autorizzato non vede i dati, anche se autenticato nello stesso workspace.

Cookie della piattaforma GRADO HR

La piattaforma hr.gradotech.it utilizza solo cookie tecnici di prima parte, necessari al funzionamento dell'accesso e della sicurezza. Non utilizza cookie di profilazione o di marketing. I cookie di Google (terza parte) compaiono solo se l'utente sceglie «Accedi con Google», e sono impostati sul dominio Google, non sul dominio HR.

La disattivazione dei cookie tecnici impedisce il login e l'uso della piattaforma. I cookie di Google si possono evitare non usando «Accedi con Google». Per le istruzioni dei browser si veda la Cookie Policy del sito GRADO Tech.

Funzionalità di intelligenza artificiale

GRADO HR può mettere a disposizione dell'azienda cliente funzionalità assistite da sistemi di intelligenza artificiale generativa e di visione. Tali funzionalità non sono attive finché nel workspace non è configurata almeno una chiave API (del titolare o fornita da GRADO TECH Srls) e vengono abilitate in funzione della configurazione scelta dall'azienda cliente.

L'intelligenza artificiale è utilizzata come strumento di supporto e non sostituisce le responsabilità e le valutazioni delle persone autorizzate dall'azienda.

Principi di utilizzo

Le funzionalità di intelligenza artificiale di GRADO HR sono progettate affinché:

• l'utente sia informato quando una determinata operazione utilizza un sistema di intelligenza artificiale;
• siano trattati soltanto i dati necessari allo svolgimento della funzione richiesta;
• gli output dell'IA possano essere verificati, ignorati o corretti da una persona autorizzata quando rilevante;
• l'IA non assuma autonomamente decisioni relative ad assunzione, licenziamento, promozione, retribuzione, disciplina o altre decisioni idonee a produrre effetti giuridici o analogamente significativi sul lavoratore;
• non siano creati ranking, punteggi di produttività o profili comportamentali dei lavoratori mediante le funzionalità descritte nella presente informativa;
• non vengano utilizzati sistemi di riconoscimento delle emozioni sul luogo di lavoro;
• non venga effettuata identificazione biometrica o riconoscimento facciale dei lavoratori attraverso le funzionalità descritte nella presente informativa;
• non siano inferite mediante IA categorie particolari di dati personali, caratteristiche sensibili, opinioni, condizioni di salute, orientamenti o altre caratteristiche personali non necessarie alla funzione richiesta.

Controllo delle foto di servizio

Ove attivata dall'azienda, la funzione di controllo foto consente di sottoporre una fotografia di evidenza del servizio a un modello di intelligenza artificiale al fine di effettuare verifiche tecniche o procedurali definite preventivamente.

A titolo esemplificativo, il sistema può verificare:

• che la fotografia sia sufficientemente nitida e illuminata;
• che sia visibile l'oggetto, l'area o l'attività richiesta;
• che siano presenti elementi espressamente richiesti dall'azienda, quali specifici dispositivi di protezione individuale;
• che l'immagine possa essere utilizzata come evidenza dell'attività richiesta.

Prima dell'elaborazione, l'immagine può essere ridimensionata e sottoposta a misure di minimizzazione dei dati.

Il controllo foto non effettua riconoscimento facciale, identificazione biometrica, emotion recognition, ranking o classifiche dei lavoratori, valutazione della produttività individuale né decisioni disciplinari automatiche. Verifica esclusivamente aspetti tecnici dell'immagine e degli elementi richiesti (ad esempio visibilità del soggetto, nitidezza, presenza di dispositivi di protezione ove configurati).

L'esito dell'IA riguarda esclusivamente la verifica richiesta sulla fotografia e può indicare, ad esempio, che l'immagine è utilizzabile o che deve essere ripetuta.

Laddove l'esito possa avere conseguenze ulteriori sul lavoratore, esso deve essere sottoposto a verifica da parte di una persona autorizzata dall'azienda e non può essere utilizzato come unica base automatizzata per una decisione avente effetti giuridici o analogamente significativi.

L'azienda cliente determina, sotto la propria responsabilità, se e con quali modalità gli esiti possano essere successivamente utilizzati nell'ambito del rapporto di lavoro, nel rispetto del GDPR, della normativa lavoristica e, ove applicabile, dell'art. 4 della Legge 20 maggio 1970, n. 300.

In sintesi, il controllo foto con IA serve a verificare l'usabilità tecnica dell'evidenza fotografica e non a valutare la persona, la sua produttività o il rapporto di lavoro.

Dati personali presenti nelle immagini

Le immagini possono contenere dati personali relativi al lavoratore o ad altre persone accidentalmente riprese.

GRADO HR applica misure di minimizzazione volte a ridurre i dati trasmessi al sistema di IA allo stretto necessario rispetto alla verifica richiesta. Ove tecnicamente possibile e compatibile con la finalità della funzione, informazioni non necessarie possono essere escluse, oscurate o ridotte prima dell'elaborazione.

Le fotografie non vengono utilizzate da GRADO TECH Srls per creare database biometrici, riconoscere l'identità delle persone o addestrare autonomamente modelli di riconoscimento facciale.

La presenza nell'immagine di categorie particolari di dati personali non determina il loro utilizzo per dedurre o classificare caratteristiche sensibili della persona.

Analisi opzionale di campioni di buste paga

Gli amministratori autorizzati possono utilizzare una funzione opzionale per analizzare un numero limitato di documenti campione allo scopo di configurare le regole tecniche necessarie all'importazione dei cedolini. All'IA viene inviato solo testo campionato estratto dai PDF, non i file integrali.

Prima dell'invio al sistema di intelligenza artificiale, il titolare o l'amministratore autorizzato deve applicare misure di minimizzazione e redazione dei dati non necessari. In particolare, salvo stretta necessità tecnica, non devono essere trasmessi nominativi, codici fiscali, coordinate bancarie, informazioni sanitarie, informazioni relative all'appartenenza sindacale o altri dati non indispensabili a determinare la struttura del documento. La piattaforma può sostituire automaticamente gli importi monetari con segnaposto generici; la redazione di altri dati personali resta responsabilità del titolare.

La funzione non calcola la retribuzione, non stabilisce il contenuto del cedolino e non assume decisioni nei confronti del lavoratore.

L'utilizzo dell'IA è facoltativo per l'amministratore: la configurazione può essere effettuata anche mediante regole e preset manuali.

L'analisi AI sui campioni di buste paga è uno strumento di configurazione amministrativa e non comporta valutazioni retributive o decisioni sul rapporto di lavoro.

Assistenza alla configurazione

Gli amministratori possono utilizzare strumenti di intelligenza artificiale per migliorare o strutturare il testo dei criteri utilizzati nelle verifiche fotografiche.

Salvo che l'amministratore inserisca autonomamente informazioni personali non necessarie, tale funzione non richiede dati anagrafici, retributivi o altre informazioni personali relative ai lavoratori.

Decisioni automatizzate

Le funzionalità di intelligenza artificiale descritte nella presente informativa non sono destinate ad adottare decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici sul lavoratore o incidano in modo analogamente significativo sulla sua persona ai sensi dell'art. 22 GDPR.

Qualora in futuro vengano introdotte funzionalità aventi tali caratteristiche, esse saranno oggetto di una preventiva valutazione normativa e di impatto e non verranno attivate senza le informazioni, le garanzie e le basi giuridiche richieste dalla normativa applicabile, inclusi, ove previsti, il diritto all'intervento umano, alla contestazione e all'espressione del proprio punto di vista.

Informazione del lavoratore

Quando una funzione di intelligenza artificiale riguarda direttamente un lavoratore, l'interfaccia della piattaforma può mostrare un'informazione specifica prima dell'utilizzo della funzione.

L'eventuale presa visione o conferma di lettura registrata dalla piattaforma ha esclusivamente funzione di documentazione dell'avvenuta informazione e non costituisce consenso del lavoratore né sostituisce la base giuridica che il titolare deve individuare per il trattamento.

Restano a carico dell'azienda cliente gli ulteriori obblighi di informazione previsti dalla normativa in materia di lavoro e protezione dei dati personali.

Supervisione umana

L'azienda cliente deve individuare soggetti autorizzati in grado di comprendere la natura e i limiti degli output prodotti dalle funzionalità di IA.

Gli utenti autorizzati devono poter valutare criticamente gli esiti e, quando necessario, ignorarli, correggerli o sottoporli a ulteriore verifica.

Gli output dell'IA non devono essere considerati automaticamente corretti e devono essere interpretati in relazione al contesto nel quale sono stati prodotti.

Valutazione d'impatto e utilizzo nel rapporto di lavoro

Prima dell'attivazione di funzionalità di intelligenza artificiale che trattino dati dei lavoratori, e in particolare quando tali funzionalità possano comportare monitoraggio dell'attività lavorativa, valutazione di comportamenti, trattamento sistematico di immagini o altre operazioni suscettibili di presentare un rischio elevato per i diritti e le libertà delle persone, l'azienda cliente deve verificare la necessità e, ove prevista dalla normativa applicabile, effettuare preventivamente una valutazione d'impatto sulla protezione dei dati ai sensi dell'art. 35 GDPR.

L'azienda deve inoltre verificare preventivamente l'applicabilità della disciplina sui controlli a distanza dei lavoratori, compreso l'art. 4 della Legge 20 maggio 1970, n. 300, nonché degli ulteriori obblighi informativi previsti dalla normativa sul rapporto di lavoro.

L'attivazione tecnica della funzione da parte di GRADO HR non costituisce una valutazione della liceità del suo utilizzo nello specifico contesto organizzativo del cliente.

Chiavi API e configurazione dei servizi IA

Le funzionalità di intelligenza artificiale restano spente finché nel workspace non è configurata almeno una chiave API (o un gateway equivalente) verso un fornitore supportato: OpenAI, Anthropic (Claude), Google Gemini / Vertex AI o Amazon Bedrock.

L'azienda cliente può inserire proprie chiavi API relative ai propri account presso tali fornitori, oppure utilizzare chiavi fornite da GRADO TECH Srls quando il servizio è attivato o configurato dal personale autorizzato GRADO. In quest'ultimo caso la chiave può essere «bloccata» dall'amministratore e quindi modificabile o sostituita solo da quest'ultimo.

Le chiavi sono conservate cifrate a riposo. Dopo il salvataggio, l'interfaccia mostra soltanto una maschera (ultime cifre) e non il valore completo. GRADO TECH Srls non consulta, non copia e non utilizza le chiavi del cliente per finalità proprie, né per accedere ai contenuti del workspace al di fuori dei casi di cui alla Parte B. La piattaforma decifra la chiave solo in memoria, al momento della chiamata al fornitore, su istruzione del titolare.

GRADO TECH Srls non consulta i contenuti inviati al modello (fotografie, testi, prompt) per finalità proprie, né per addestrare modelli. Vengono registrati metadati di utilizzo (fornitore, modello, funzione, quantità di token, stima di costo) per consentire al titolare il controllo dei consumi; tali metadati non includono il contenuto delle richieste né la chiave in chiaro. Eventuale accesso del personale GRADO ai contenuti del workspace resta limitato ai casi di cui alla Parte B.

Se il titolare usa chiavi proprie, i dati della funzione richiesta (ad esempio la foto di servizio o il testo campionato) sono trasmessi all'account del titolare presso quel fornitore. In questo caso il fornitore IA è scelto e contrattualizzato dal titolare: restano a suo carico le condizioni di conservazione, addestramento, localizzazione e gli eventuali trasferimenti extra-UE previsti da quell'account. GRADO TECH Srls si limita a inoltrare la richiesta tecnica.

Se la chiave è fornita e gestita da GRADO TECH Srls, il fornitore IA opera come sub-responsabile di GRADO TECH Srls nei limiti del contratto e del DPA. In tale ipotesi GRADO TECH Srls privilegia, ove disponibile, elaborazione nello Spazio Economico Europeo, limitazione della conservazione presso il fornitore e mancato utilizzo dei dati per l'addestramento generale dei modelli.

Fornitori di sistemi di intelligenza artificiale

I fornitori di modelli (OpenAI, Google, Anthropic, Amazon Web Services / Bedrock) ricevono i dati della singola richiesta in funzione della chiave e del modello configurati nel workspace, come descritto nella sezione «Chiavi API».

Tali soggetti trattano i dati nei limiti necessari all'erogazione della funzione richiesta e secondo gli accordi applicabili: con il titolare, se la chiave è propria del cliente; con GRADO TECH Srls, se la chiave è fornita da quest'ultima.

Quando la chiave è gestita da GRADO TECH Srls e ciò è tecnicamente e contrattualmente disponibile, si privilegiano configurazioni con elaborazione in regioni dello Spazio Economico Europeo, limitazione della conservazione presso il fornitore e mancato utilizzo dei dati del cliente per l'addestramento generale dei modelli.

GRADO TECH Srls non utilizza i dati dei clienti per addestrare propri modelli di intelligenza artificiale destinati a finalità autonome. L'elenco aggiornato dei sub-responsabili e le relative localizzazioni di trattamento sono disponibili secondo quanto indicato nella sezione «Sub-responsabili e destinatari».

Sub-responsabili e destinatari

I dati possono essere trattati da fornitori nominati responsabili o sub-responsabili del trattamento, vincolati da accordi ex art. 28 GDPR o da garanzie contrattuali equivalenti ove applicabili, tra cui: Aruba S.p.A. (Via San Clemente 53, 24036 Ponte San Pietro (BG), Italia — P.IVA 01573850516), quale fornitore dei servizi infrastrutturali connessi alla piattaforma — GDPR Aruba, Informativa privacy Aruba; servizi di posta elettronica; eventuali servizi tecnici di verifica password compromesse; Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA), limitatamente all'accesso Google se l'utente lo attiva (OAuth: identificativo e email) e, se il titolare attiva l'AI con chiave gestita da GRADO TECH Srls, a Gemini / Vertex AI — Informativa privacy Google; eventuali fornitori di servizi AI e di storage delle evidenze fotografiche, nei limiti strettamente necessari: OpenAI OpCo, LLC / OpenAI Ireland Ltd (privacy), Anthropic, PBC (privacy), Amazon Web Services EMEA SARL per Bedrock e storage object in regione UE (privacy); autorità nei casi previsti dalla legge o dalle istruzioni del titolare; consulenti professionali nei casi previsti dalla legge. Quando il titolare configura chiavi API proprie, i fornitori IA ricevono i dati su sua istruzione e in relazione al suo account: in tale configurazione non sono nominati da GRADO TECH Srls come propri sub-responsabili. Quando la chiave è fornita da GRADO TECH Srls, quei fornitori operano quali sub-responsabili di GRADO TECH Srls nei limiti del contratto e del DPA. L'elenco aggiornato dei sub-responsabili rilevanti è disponibile su richiesta a info@gradotech.it o allegato al contratto.

Trasferimenti extra-UE

I dati sono trattati prioritariamente all'interno dello Spazio Economico Europeo, anche tramite Aruba S.p.A. (Italia) e, per le evidenze fotografiche e i modelli AI in configurazione UE rigorosa, tramite endpoint e storage in regioni UE. Maggiori informazioni: aruba.it/gdpr. Se l'utente attiva «Accedi con Google», i dati dell'autenticazione (identificativo e email) sono trattati da Google LLC, che può trasferirli verso Paesi extra-UE sulla base delle garanzie previste dal GDPR (decisioni di adeguatezza, Data Privacy Framework UE-USA ove applicabile, Clausole Contrattuali Standard). Qualora le funzionalità AI comportino il trattamento da parte di OpenAI, Anthropic, Google o AWS e, di conseguenza, trasferimenti verso Paesi terzi (ad esempio gli Stati Uniti), tali trasferimenti avvengono solo in presenza di garanzie adeguate previste dal GDPR, quali decisioni di adeguatezza (incluso, ove applicabile, il Data Privacy Framework UE-USA), Clausole Contrattuali Standard della Commissione Europea o altri strumenti leciti. Se il titolare usa chiavi proprie, eventuali trasferimenti extra-UE dipendono dall'account e dalle impostazioni che il titolare ha presso il fornitore IA, non dalla configurazione predefinita di GRADO TECH Srls. Informazioni specifiche sui trasferimenti connessi ai servizi AI sono fornite nel contratto, nel DPA o su richiesta.

Misure di sicurezza

GRADO TECH Srls adotta misure tecniche e organizzative adeguate per proteggere i dati trattati su GRADO HR: segregazione multi-tenant, crittografia delle comunicazioni (TLS), hash irreversibile delle password, MFA attivabile con secret TOTP cifrato, controllo degli accessi basato su ruoli e permessi granulari, cifratura a riposo dei PDF delle buste paga e degli importi netti (decifrazione solo su richiesta di un utente autenticato e autorizzato), cifratura a riposo delle chiavi API dei servizi IA (il valore completo non è esposto in interfaccia dopo il salvataggio), ridimensionamento delle foto di servizio prima dell'invio ai modelli AI e, in produzione/staging con policy UE rigorosa, storage object in regione UE con cifratura KMS, cookie tecnici HttpOnly ove applicabile, backup, monitoraggio, audit log (inclusa la consultazione degli importi netti, la configurazione dei servizi IA e l'accettazione dell'informativa AI) e conformità agli standard ISO/IEC 27001:2024. In caso di violazione dei dati personali che interessi dati trattati per conto del titolare, GRADO TECH Srls informerà il titolare senza ingiustificato ritardo, come previsto dall'art. 33 GDPR e dal contratto.

Cifratura e accesso alle buste paga

I dati retributivi sono trattati con misure aggiuntive rispetto al resto del workspace. In particolare:

• Cifratura a riposo: i file PDF dei cedolini sono cifrati in archivio; gli importi netti sono cifrati nel database. Una copia del disco o un dump del database non espone i contenuti in chiaro.
• Decifrazione solo su richiesta autorizzata: l'applicazione decifra PDF e importi unicamente quando un utente autenticato, con il permesso pertinente, li richiede. Il traffico è protetto con TLS; le risposte PDF non vengono messe in cache pubblica.
• Chi può vedere cosa: il dipendente vede solo le proprie buste pubblicate. Il personale HR/admin vede le buste del personale solo con permessi espliciti (consultazione, caricamento, pubblicazione, eliminazione). Gli importi netti restano oscurati in elenco finché un utente autorizzato non li sblocca; ogni sblocco è registrato nell'audit log.
• GRADO TECH Srls non consulta i contenuti delle buste paga in assenza di una base lecita descritta nella Parte B (autorizzazione del titolare, assistenza strettamente necessaria, obblighi di legge). La cifratura a riposo riduce il rischio di lettura non autorizzata dello storage.

Responsabilità e obblighi del titolare

Il titolare garantisce che i dati inseriti su GRADO HR siano leciti, pertinenti, esatti e non eccedenti; che disponga dei diritti e delle autorizzazioni necessarie (inclusi i dati dei lavoratori, documenti, IBAN, geolocalizzazione delle timbrature, cedolini e, se attivate, foto di servizio e trattamenti AI); che configuri correttamente ruoli, moduli, permessi e eventuali deployment AI; e che fornisca ai lavoratori l'informativa dovuta.

Il titolare, prima di attivare funzionalità di intelligenza artificiale riguardanti i lavoratori, è responsabile di:

• individuare la finalità e la base giuridica del trattamento;
• verificare necessità, proporzionalità e minimizzazione dei dati;
• fornire ai lavoratori le informazioni richieste dal GDPR e dalla normativa lavoristica applicabile;
• effettuare, ove richiesta, una valutazione d'impatto sulla protezione dei dati;
• verificare l'applicabilità dell'art. 4 della Legge 20 maggio 1970, n. 300 e degli eventuali adempimenti sindacali o autorizzativi;
• definire tempi di conservazione appropriati per fotografie, esiti e log;
• individuare personale autorizzato alla supervisione degli output dell'IA;
• impedire che gli output dell'IA siano utilizzati per finalità incompatibili o per decisioni esclusivamente automatizzate non espressamente previste e legittimate;
• informare GRADO TECH Srls qualora intenda utilizzare una funzione per finalità sostanzialmente diverse da quelle previste dal servizio, affinché possa essere verificata la compatibilità tecnica e normativa della configurazione.
• se utilizza chiavi API proprie, verificare il contratto, la localizzazione, le politiche di conservazione e di addestramento e i trasferimenti extra-UE del fornitore IA prescelto, restando responsabile di tali condizioni nei confronti degli interessati.

GRADO TECH Srls mette a disposizione le funzionalità conformemente allo scopo previsto del prodotto e adotta le misure tecniche e organizzative di propria competenza; l'azienda cliente resta responsabile della liceità del concreto impiego del sistema nell'ambito della propria organizzazione e del rapporto con i propri lavoratori.

GRADO TECH Srls non è responsabile delle decisioni organizzative o retributive del titolare, della correttezza sostanziale o giuridica dei contenuti inseriti, né dell'informativa privacy che il titolare deve fornire agli interessati. La presente informativa non costituisce consulenza legale.

Modifiche

La presente informativa può essere aggiornata per riflettere modifiche normative, contrattuali o al servizio. Eventuali modifiche saranno pubblicate su questa pagina con indicazione della data di ultimo aggiornamento.