Informativa privacy — app delle timbrature

Timbrature I.C.S. Impianti

Ultimo aggiornamento: 9 novembre 2026

In breve

L'app Timbrature I.C.S. Impianti serve a timbrare le ore e a mandare all'ufficio richieste e documenti. Il titolare dei dati è I.C.S. Impianti S.r.l., l'azienda per cui lavori.
Niente pubblicità, niente statistiche di navigazione o profilazione, nessuna vendita dei dati.
I dati stanno sul server dell'azienda. Ad alcuni fornitori tecnici passa solo quello che serve al loro lavoro (per esempio le notifiche sul telefono).
La posizione del telefono si usa solo nel momento della timbratura, per calcolare la distanza dal cantiere: le coordinate non si conservano.
Puoi chiedere in ogni momento di vedere, correggere o cancellare i tuoi dati: scrivi a info@icsimpiantisrl.com.

1. Chi è il titolare del trattamento

Il titolare, cioè chi decide come e perché si usano i dati, è:

Ragione sociale: I.C.S. Impianti S.r.l.
Sede: via Venezia, 372, Gela (CL), 93012
Partita IVA: 01968630853
Email per la privacy: info@icsimpiantisrl.com
PEC: icsimpiantisrl@pec.it
Telefono: 0933916019

Per ogni domanda su questa informativa o sui tuoi dati puoi scrivere a uno di questi indirizzi.

2. Di che cosa parla questa informativa

Riguarda l'app Timbrature I.C.S. Impianti per Android e iPhone (e la stessa pagina aperta dal browser): serve a chi lavora per l'azienda per timbrare entrata e uscita, chiedere ferie e permessi, comunicare le assenze, mandare i rimborsi spese e, a chi è abilitato, registrare i rifornimenti di carburante.

Non è un'app aperta al pubblico: si entra solo con l'invito che manda l'ufficio, nessuno può registrarsi da solo. L'app apre il Gestionale, che gira su un server dell'azienda.

Dentro l'app trovi anche l'informativa sulle presenze («Come registriamo le tue ore»), che spiega nel dettaglio timbratura e controlli e va letta al primo accesso. L'informativa completa sul Gestionale è alla pagina /privacy.

3. Quali dati usa l'app, e perché

Per ogni gruppo di dati: che cosa, a che cosa serve e su quale base di legge (gli articoli sono del GDPR).

Accesso e sicurezza

Che cosa. Nome ed email; per entrare con l'invito, un codice di sei cifre mandato per email (la password non c'è: l'accesso resta sul telefono); la presa visione dell'informativa sulle presenze (data, ora e versione del testo). Il registro delle operazioni annota chi ha creato, modificato o cancellato qualcosa (anche una timbratura), quando, e l'indirizzo di rete da cui è arrivata la richiesta. Alcune conferme (per esempio l'accettazione dell'informativa) registrano anche data, ora e indirizzo di rete.

Perché. Far entrare solo chi ne ha diritto, ciascuno nelle sezioni che gli servono; proteggere i dati; poter ricostruire chi ha fatto cosa.

Base giuridica. Contratto di lavoro o di collaborazione (art. 6.1.b del Regolamento UE 2016/679, «GDPR»); legittimo interesse dell'azienda alla sicurezza dei propri sistemi (art. 6.1.f e art. 32).

Presenze e timbrature

Che cosa.

L'ora di entrata e di uscita, e chi timbra.
Il cantiere: lo dice il codice QR del cartello o il codice di sei lettere.
Posizione. Se il telefono la concede, l'app legge la posizione solo nel momento in cui timbri, per calcolare quanti metri ci sono fra te e il cantiere; poi la scarta: le coordinate non si salvano, resta solo la distanza in metri. Senza posizione si timbra lo stesso, ma la timbratura resta da approvare. L'app non segue i tuoi spostamenti: non chiede la posizione prima o dopo la timbratura, né quando è chiusa. Fanno eccezione alcune timbrature registrate prima del 9 settembre 2026, quando le coordinate si salvavano ancora: restano in archivio finché l'azienda non le cancella.
Un codice casuale che l'app crea sul tuo telefono: non dice che telefono è né chi lo usa, serve solo ad accorgersi se lo stesso telefono timbra per due persone.
Le note dei controlli, la spiegazione che scrivi quando una timbratura resta da approvare, e chi la approva e quando.
Se timbri collegato alla rete dell'ufficio, l'indirizzo di rete serve a riconoscerla: sulla timbratura non si salva, ma resta nel registro delle operazioni.

Perché. Contare le ore da pagare; sapere chi era in cantiere in caso di infortunio o di controllo; rispettare gli obblighi sulla registrazione delle presenze.

Base giuridica. Obblighi di legge del datore di lavoro (art. 6.1.c) ed esecuzione del contratto di lavoro (art. 6.1.b), nel rispetto dell'art. 4 della legge 300/1970 (Statuto dei lavoratori). Nessuna decisione è presa in automatico: una timbratura che non torna la guarda sempre una persona.

Ferie, permessi e assenze

Che cosa. Il tipo di assenza, le date o le ore, le note, l'esito della richiesta. Dati sulla salute: per la malattia, il numero di protocollo del certificato (PUC) o il giustificativo che mandi. Manda solo quello che serve: per la malattia basta il protocollo o l'attestato senza diagnosi.

Perché. Gestire ferie, permessi e assenze e pagare correttamente le ore.

Base giuridica. Contratto di lavoro (art. 6.1.b) e obblighi di legge (art. 6.1.c); per i dati sulla salute, gli obblighi del datore di lavoro in materia di lavoro e previdenza (art. 9.2.b).

Rimborsi spese e rifornimenti

Che cosa. Importi, date, descrizione e le foto di scontrini e ricevute che mandi. A chi è abilitato ai rifornimenti: il mezzo, i litri, i chilometri e le foto del contalitri e del contachilometri.

Perché. Rimborsare le spese e controllare i consumi di carburante dei mezzi e dei cantieri.

Base giuridica. Contratto di lavoro (art. 6.1.b); obblighi fiscali sui rimborsi (art. 6.1.c); legittimo interesse al controllo dei costi (art. 6.1.f).

Notifiche

Che cosa. Un identificativo del telefono che serve a mandargli le notifiche, e il testo delle notifiche (per esempio «la tua timbratura è stata approvata»).

Perché. Avvisarti di approvazioni, richieste e promemoria.

Base giuridica. Contratto di lavoro (art. 6.1.b). Le notifiche si possono spegnere dalle impostazioni del telefono.

4. Che cosa usano le app sul telefono e sul computer

Posizione: solo mentre usi l'app e solo quando timbri. Mai in background.
Fotocamera e foto: solo quando scegli di fotografare o allegare un documento (scontrini, certificati, contalitri, contachilometri).
Notifiche: per avvisarti; si possono spegnere dalle impostazioni del telefono o del computer.
File: quando scarichi, salvi o condividi un documento.

L'app delle timbrature non usa microfono, contatti né posizione in background. Quando l'app legge da sola il testo di uno scontrino o di un documento, lo legge il tuo dispositivo o il server dell'azienda, senza servizi esterni. Sul dispositivo l'app tiene la sessione, le preferenze (per esempio il tema) e, nell'app delle timbrature, le tue ultime timbrature (per mostrarle anche senza rete) e il codice casuale del telefono.

5. Dove stanno i dati e come li proteggiamo

Il Gestionale e il suo database stanno su un server di proprietà dell'azienda (un NAS Synology), nella sede. I nomi che finiscono in «synology.me» sono un servizio di Synology che indica la strada verso la sede: i dati non passano da Synology.
Il collegamento è cifrato (https). Ognuno vede solo le sezioni per cui ha il permesso; le password sono conservate solo come impronta cifrata; gli amministratori entrano con la verifica in due passaggi.
Ogni notte si fa una copia di sicurezza sul server dell'azienda: si tengono le ultime 14 e una al mese per 12 mesi. Una copia ridotta può arrivare per email alla casella aziendale dell'amministratore: senza i documenti allegati, senza i dati del personale e senza password e codici di accesso.
Oggi non si fanno copie del database fuori dal server dell'azienda. Su Cloudflare (servizio di archiviazione R2) restano, finché l'azienda non le cancella, le copie fatte fino al 6 novembre 2026, non cifrate, in uno spazio riservato all'azienda e protetto da chiavi di accesso.
Nessuno strumento di pubblicità, di statistica o di tracciamento di terze parti.

6. Chi riceve i dati

Le tue timbrature le vedi tu, sempre, dall'app; le vedono l'ufficio paghe e gli amministratori, e il capo cantiere solo per i cantieri che gestisce. Le richieste (ferie, assenze, rimborsi, rifornimenti) le vede chi in ufficio le deve decidere.

Fuori dall'azienda, quando serve e solo per quello che serve: i consulenti dell'azienda (consulente del lavoro, commercialista) e le banche, per paghe, contabilità e pagamenti; gli enti pubblici quando lo chiede la legge (per esempio INPS, INAIL, Agenzia delle Entrate, Cassa Edile, organi di controllo).

E i fornitori tecnici che fanno funzionare alcune parti del Gestionale e delle app, ciascuno solo per quello che è scritto qui:

Google (Firebase Cloud Messaging), per le notifiche sui telefoni Android, e Apple (Apple Push Notification service), per gli iPhone: ricevono l'identificativo del telefono e il testo della notifica.
I servizi di notifica dei browser (di Google, Mozilla, Apple o Microsoft, secondo il browser), se usi le timbrature dal browser: ricevono il testo cifrato, che non possono leggere.
Il server di posta elettronica dell'azienda, per il codice di conferma e gli avvisi per email.
WhatsApp: l'invito a entrare nell'app può arrivarti su WhatsApp, mandato dall'ufficio al tuo numero.
Cloudflare: se raggiungi il Gestionale da un indirizzo gestito da Cloudflare, il collegamento passa dai suoi server.
Cloudflare (servizio R2), che conserva le copie di sicurezza del database fatte fino al 6 novembre 2026, non cifrate.
Gli store (Google Play, App Store) distribuiscono l'app. L'app non manda loro dati su come la usi; lo store tratta i dati del tuo account e dello scaricamento secondo le proprie regole, e può dare all'azienda statistiche generali su installazioni e malfunzionamenti.

I dati non si vendono e non si danno a nessuno per pubblicità. L'elenco completo dei fornitori del Gestionale è nella pagina /privacy.

7. Dati fuori dall'Unione europea

Google, Apple e Cloudflare sono società con sede negli Stati Uniti o che vi appartengono: i dati che ricevono possono essere trattati fuori dall'Unione europea. Il trasferimento avviene con le garanzie previste dal GDPR (capo V): la decisione di adeguatezza della Commissione europea sul «Data Privacy Framework» UE-USA, per le società che vi aderiscono, oppure le clausole contrattuali tipo approvate dalla Commissione. Il Gestionale e il suo database stanno sul server dell'azienda, in Italia; su Cloudflare (servizio R2) restano, finché l'azienda non le cancella, le copie di sicurezza non cifrate fatte fino al 6 novembre 2026.

8. Per quanto tempo teniamo i dati

Timbrature: si cancellano da sole dopo 5 anni. Il codice casuale del telefono e le note dei controlli si cancellano prima, dopo 12 mesi. Le coordinate della posizione non si conservano (salvo le timbrature di prima del 9 settembre 2026 dette sopra).
Assenze, rimborsi e rifornimenti: per i tempi previsti dalle leggi su lavoro, contributi e fisco. Nell'app le richieste già chiuse spariscono dopo un periodo scelto dall'azienda; in ufficio restano.
Account: finché lavori o collabori con l'azienda; poi viene disattivato e non si può più entrare.
Inviti e codici: il link di invito vale 48 ore e una volta sola; i codici mandati per email valgono pochi minuti.
Identificativi per le notifiche: finché l'app resta installata e collegata; si cancellano quando esci dall'app o quando Google o Apple segnalano che non valgono più.
Copie di sicurezza: un dato cancellato può restare nelle copie notturne fino alla loro scadenza (al massimo circa 12 mesi), poi sparisce da solo.

9. I tuoi diritti

Puoi chiedere all'azienda, in qualsiasi momento e senza spese:

di sapere se tratta dati che ti riguardano e di averne una copia (art. 15 GDPR);
di correggerli o completarli (art. 16);
di cancellarli, quando non servono più o non c'è più una ragione per tenerli (art. 17): i dati che la legge obbliga a conservare restano fino alla scadenza;
di limitarne l'uso mentre si verifica una tua richiesta (art. 18);
di riceverli in un formato leggibile da un computer, per quelli che hai dato tu e che si usano per il contratto (art. 20);
di opporti a un uso basato sul legittimo interesse dell'azienda, spiegando il motivo (art. 21).

Scrivi a info@icsimpiantisrl.com o alla PEC icsimpiantisrl@pec.it, oppure chiedi all'ufficio. La risposta arriva entro un mese (art. 12). Le tue timbrature le vedi sempre nell'app, sotto «Le mie timbrature». Se pensi che i tuoi dati siano trattati in modo non corretto puoi presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

10. Chiudere l'account e cancellare i dati

Gli accessi all'app li crea l'azienda. Per chiudere il tuo account e chiedere la cancellazione dei tuoi dati scrivi a info@icsimpiantisrl.com dall'indirizzo che usi per entrare, oppure chiedi all'ufficio.

L'account viene disattivato: da quel momento non si può più entrare, né dall'app né dal sito. I dati che la legge obbliga a conservare (per esempio presenze e buste paga) restano per il tempo previsto e poi si cancellano; gli altri si cancellano su tua richiesta.

Disinstallando l'app dal telefono si cancellano anche la sessione e i dati che l'app teneva sul telefono (i file che hai scaricato restano dove li hai salvati).

12. Altre cose da sapere

Decisioni automatiche: nessuna (art. 22 GDPR). Timbrature che non tornano, assenze e rimborsi li decide sempre una persona.
Sei obbligato a dare i dati? Quelli che servono al rapporto di lavoro sì: senza, l'azienda non può pagarti o rispettare la legge. La posizione no: senza, si timbra lo stesso e la timbratura resta da approvare. Le notifiche sono facoltative.
Minori: le app sono strumenti di lavoro per il personale e i collaboratori dell'azienda, non sono rivolte ai bambini.
Modifiche: se cambia il modo in cui usiamo i dati aggiorniamo questa pagina e la data qui sotto; i cambiamenti importanti li diciamo anche nell'app.

Summary in English

App. Timbrature I.C.S. Impianti is the time-clock app for the staff of the company below: clock-in and clock-out, leave requests, sick-leave notices, expense claims and fuel records. It is not open to the public: access is by invitation from the company.

Controller. I.C.S. Impianti S.r.l., via Venezia, 372, Gela (CL), 93012, VAT no. 01968630853. Contact: info@icsimpiantisrl.com (certified e-mail: icsimpiantisrl@pec.it).

Data. Name and e-mail; clock-in/out time; site (from the QR code or a six-letter code); distance from the site, computed from the device location only at the moment of clocking in (coordinates are not stored); a random device code generated by the app; leave data, including the sick-leave certificate number (health data); expense claims and fuel records with photos of receipts and meters; notification token and notification text; log of operations with IP address.

Purposes and legal bases. Employment contract and legal obligations (GDPR art. 6(1)(b) and (c); art. 9(2)(b) for health data); legitimate interest in security and cost control (art. 6(1)(f)). No advertising, no analytics or tracking, no sale of data, no automated decisions.

Recipients. Authorised company staff (payroll office, administrators, site managers for their own sites); the company's labour consultant and public authorities when required by law; Google Firebase Cloud Messaging and Apple Push Notification service (device token and notification text); the company's e-mail server; WhatsApp for the invitation link; Cloudflare as network proxy for some addresses; Cloudflare R2 for the unencrypted backup copies of the database made until 6 November 2026, until the company deletes them; Google Play and the App Store for distribution. Some providers are based in the USA: transfers rely on the EU-US Data Privacy Framework or on Standard Contractual Clauses.

Retention. Attendance records: 5 years; device code and control notes 12 months; nightly backups up to about 12 months; other data for the periods required by employment, tax and accounting law.

Your rights. Access, rectification, erasure, restriction, portability and objection (GDPR arts. 15-21); complaint to the Italian Data Protection Authority (garanteprivacy.it). Account deletion: write to info@icsimpiantisrl.com; the account is disabled and data not subject to legal retention is deleted.

Last updated: November 9, 2026.