Informativa sulla privacy del personale

Regolamento (UE) 2016/679 ("GDPR") — artt. 13 e 14 — utenti gestionali dell'app MiBuono Partner

La presente informativa descrive come vengono trattati i dati personali degli utenti gestionali dell'app MiBuono Partner (titolare del negozio, manager e personale). È resa, ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR"), in aggiunta all'informativa destinata ai clienti.

1. Titolare del trattamento

Il titolare del trattamento è il negozio che ha aperto l'account del personale (il "Negozio"). Ogni negozio della rete MiBuono è titolare autonomo dei dati del proprio personale. L'identità completa del Negozio è pubblicata sulla pagina dedicata del Negozio: https://<dominio-negozio>/staff-privacy.php.

2. Responsabile del trattamento

Il servizio software SparkLoyal / MiBuono è fornito da 北京厚土客盛科技有限公司 (Beijing Houtukesheng Technology Co., Ltd.) in qualità di responsabile del trattamento (art. 28 GDPR), agendo per conto del Negozio, sulla base di un contratto di servizio che regola riservatezza, sicurezza e sub-responsabili.

Denominazione: 北京厚土客盛科技有限公司 (Beijing Houtukesheng Technology Co., Ltd.)
Indirizzo: 北京市丰台区丰管路甲1号北楼二层202-1236室 (Room 202-1236, 2nd Floor, North Building, No. 1A, Fengguan Road, Fengtai District, Beijing, China)
Codice fiscale (Codice Unificato di Credito Sociale): 91110106MAKNWQLK7W
Contatto privacy: [email protected]

3. Quali dati trattiamo sul personale

Dati del conto: nome visualizzato, indirizzo e-mail, ruolo (manager / personale). La password è conservata solo in forma cifrata (hash) e non è mai leggibile dal Negozio né dal Responsabile;
Dati operativi: log di accesso, log di audit delle azioni gestionali (emissione buoni, modifiche prenotazioni, variazioni punti, eliminazioni), indirizzo IP, user agent, data e ora dell'azione;
Dati del dispositivo e di notifica (solo se attivi le notifiche sul tuo dispositivo): l'identificativo di notifica push del dispositivo (token push / cid), insieme alla piattaforma dell'app, utilizzato per consegnare notifiche operative (ad es. nuove prenotazioni, promemoria di scadenza).

Non trattiamo i dati di pagamento del personale (i pagamenti avvengono al di fuori delle app), né dati biometrici, dati sanitari o altre categorie particolari di dati personali (art. 9 GDPR).

4. Finalità e basi giuridiche

Finalità	Base giuridica
Creazione e gestione dell'account del personale, assegnazione dei ruoli e accesso alle funzioni gestionali	Esecuzione del contratto e sicurezza del servizio (art. 6, par. 1, lett. b e f — GDPR)
Sicurezza dell'app, prevenzione degli abusi, registrazione e audit delle azioni gestionali	Legittimo interesse (art. 6, par. 1, lett. f — GDPR)
Notifiche push operative (nuove prenotazioni, promemoria, comunicazioni del negozio)	Legittimo interesse ed esecuzione del contratto (art. 6, par. 1, lett. f e b — GDPR), revocabili disattivando le notifiche sul dispositivo
Adempimenti di obblighi legali, contabili e fiscali	Obbligo legale (art. 6, par. 1, lett. c — GDPR)

5. Modalità del trattamento e conservazione

I dati sono trattati con strumenti informatici su server ospitati nell'Unione Europea, con adeguate misure di sicurezza (hash delle password, HTTPS, controllo degli accessi basato sui ruoli, log di audit, backup).

I dati del conto sono conservati per tutta la durata dell'account del personale e cancellati o resi anonimi entro 30 giorni dalla disattivazione dell'account, salvo i dati la cui conservazione è imposta dalla legge;
i log di sicurezza e di audit sono conservati per il tempo strettamente necessario alle finalità di sicurezza e in ogni caso non oltre 12 mesi, salvo che siano necessari per accertare, esercitare o difendere un diritto in sede giudiziaria;
la documentazione contabile è conservata per 10 anni ai sensi della normativa italiana.

6. Comunicazione e trasferimento dei dati

I dati del personale non sono venduti né ceduti a terzi per finalità di marketing. Possono essere comunicati esclusivamente a:

fornitori di hosting e manutenzione tecnica, responsabili del trattamento — server situati nell'UE (data center in Germania);
provider di posta transazionale — invio di messaggi di conferma e codici di verifica;
provider push unificato (Getui, tramite il servizio di funzioni uniCloud) — il trattamento avviene su server situati in Cina, limitatamente all'identificativo push del dispositivo e al contenuto della notifica (che non contiene dati personali dei clienti);
canali push offline dei produttori di dispositivi e Google FCM — consegna offline delle notifiche; il trattamento può avvenire su server situati al di fuori dell'UE (inclusi gli Stati Uniti);
autorità pubbliche nei casi previsti dalla legge.

Eventuali trasferimenti fuori dal SEE avvengono ai sensi dell'art. 28 GDPR e con le garanzie degli artt. 44 e ss. GDPR (clausole contrattuali standard e le garanzie offerte dai fornitori).

7. I tuoi diritti

Puoi esercitare in qualsiasi momento i seguenti diritti scrivendo al Negozio (sezione 1) o al Responsabile (sezione 2):

Accesso ai tuoi dati (art. 15);
Rettifica dei dati inesatti (art. 16);
Cancellazione ("diritto all'oblio", art. 17);
Limitazione del trattamento (art. 18);
Portabilità (art. 20);
Opposizione al trattamento basato sul legittimo interesse (art. 21);
Revoca del consenso in qualunque momento, senza pregiudizio per la liceità del trattamento effettuato prima della revoca.

Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

8. Natura del conferimento

Il conferimento dei dati del conto è necessario per essere autorizzati a utilizzare l'app gestionale e le sue funzioni. L'attivazione delle notifiche push è facoltativa e revocabile in qualsiasi momento dalle impostazioni del dispositivo o dell'app, senza pregiudizio per l'uso delle altre funzioni.

9. Obblighi di riservatezza

Il personale che accede all'app è tenuto alla riservatezza sui dati personali dei clienti e dei colleghi trattati e può utilizzarli solo per le finalità strettamente connesse al proprio ruolo, nel rispetto delle istruzioni del Negozio.

10. Profilazione e decisioni automatizzate

Non vengono effettuate profilazioni automatizzate né decisioni individuali automatizzate sul personale (art. 22 GDPR).

11. Aggiornamenti dell'informativa

La presente informativa può essere aggiornata; le modifiche sostanziali saranno comunicate tramite l'app e, ove richiesto, con nuovo consenso.

12. Contatti

Negozio titolare (sezione 1) — contatto diretto presso il punto vendita;
Responsabile del trattamento (sezione 2) — [email protected]

Ultimo aggiornamento: 13/10/2026 — Versione 1.0