Informativa sulla protezione dei dati

Just Parity ApS è titolare del trattamento dei dati personali dei visitatori di justparity.ch, delle persone di contatto presso i nostri clienti e degli utenti della piattaforma (personale HR e quadri dirigenti).

Per i dati salariali e HR che i clienti caricano sulla piattaforma, Just Parity ApS agisce quale responsabile del trattamento ai sensi dell'art. 9 LPD. In questi casi il titolare del trattamento è l'azienda cliente, alla quale vanno indirizzate le richieste concernenti i dati dei collaboratori.

Diritto applicabile: la LPD si applica alle fattispecie che generano effetti in Svizzera, anche se si verificano all'estero (art. 3 cpv. 1 LPD). Poiché Just Parity ApS ha sede in Danimarca, il trattamento soggiace inoltre al Regolamento generale sulla protezione dei dati dell'UE (RGPD). Il RGPD non sostituisce la LPD nei confronti delle persone interessate in Svizzera: quando entrambe le normative si applicano, seguiamo lo standard più severo.

Rappresentanza in Svizzera: un titolare del trattamento privato con sede all'estero deve designare una rappresentanza in Svizzera soltanto se sono adempiute cumulativamente tutte le condizioni dell'art. 14 LPD. Se e non appena tali condizioni risultassero adempiute, designeremo una rappresentanza e ne pubblicheremo i dati su questa pagina. Fino ad allora il punto di contatto per le persone interessate in Svizzera è contact@justparity.com.

Consulente per la protezione dei dati: il diritto svizzero non impone ai titolari privati la nomina di un consulente per la protezione dei dati, poiché l'art. 10 LPD la configura come facoltativa. Just Parity ApS non ha nominato un consulente ai sensi dell'art. 10 LPD, né un responsabile della protezione dei dati ai sensi dell'art. 37 RGPD, non essendo adempiute le condizioni di quest'ultima disposizione. Le domande in materia di protezione dei dati vanno indirizzate a contact@justparity.com.

Trattiamo dati personali per le finalità seguenti:

• fornitura della piattaforma di conformità Justparity
• assistenza ai clienti e comunicazione
• fatturazione e contabilità
• esercizio, manutenzione e miglioramento del servizio
• marketing (unicamente con il consenso)
• adempimento degli obblighi legali
• invio di offerte nel settore B2B, compresa la misurazione dell'avvenuta apertura del messaggio da parte del destinatario (conferma di lettura mediante un'immagine-pixel 1x1)

Trattiamo le categorie di dati personali seguenti:

• Dati di contatto: nome, indirizzo e-mail, numero di telefono, azienda, funzione
• Dati di utilizzo: dati di log, indirizzo IP, informazioni sul browser, informazioni sul dispositivo
• Dati dei clienti (in qualità di responsabile del trattamento): dati salariali e HR caricati sulla piattaforma dai clienti

Dati salariali e dati degni di particolare protezione. I dati salariali non figurano nell'elenco esaustivo dell'art. 5 lett. c LPD e sono quindi trattati come dati personali ordinari. Il trattamento può tuttavia comprendere:

• il sesso, trattato ai fini dell'analisi del divario salariale. Il sesso non rientra nell'elenco dell'art. 5 lett. c LPD e non costituisce quindi, secondo il diritto svizzero, un dato degno di particolare protezione; lo trattiamo nondimeno con le misure rafforzate descritte al n. 8
• l'appartenenza e l'attività sindacali, che possono comparire indirettamente nei set di dati salariali importati. Si tratta di dati degni di particolare protezione ai sensi dell'art. 5 lett. c LPD

Il numero di registro civile danese (numero CPR) può essere ricevuto in modo transitorio dai sistemi salariali danesi collegati (p. es. Intect) e utilizzato esclusivamente per dedurre tecnicamente il sesso ai fini dell'analisi del divario salariale (ultima cifra). Il numero CPR non è memorizzato nella banca dati di Justparity: sono conservati unicamente il sesso e la data di nascita. La base giuridica della comunicazione è di competenza del titolare del trattamento.

Questi dati sono conservati in tabelle separate, con misure di protezione supplementari e un controllo degli accessi rigoroso.

A differenza del RGPD, la LPD non subordina ogni trattamento da parte di un privato all'esistenza di una base giuridica specifica. Il trattamento è lecito se rispetta i principi dell'art. 6 LPD: liceità, buona fede, proporzionalità, riconoscibilità, esattezza e sicurezza dei dati. Un motivo giustificativo ai sensi dell'art. 31 LPD (consenso, interesse preponderante privato o pubblico, oppure legge) è necessario soltanto quando il trattamento costituisce una lesione illecita della personalità ai sensi dell'art. 30 LPD.

Su questa base trattiamo i dati personali come segue:

• Esecuzione del contratto: per fornire le nostre prestazioni e adempiere il contratto concluso con il cliente
• Obblighi legali: contabilità, tenuta dei libri e obblighi fiscali. Just Parity ApS ha sede in Danimarca: tali obblighi discendono dal diritto danese e non da quello svizzero
• Interesse preponderante (art. 31 LPD): esercizio, sicurezza, prevenzione degli abusi, miglioramento del prodotto e misurazione dell'avvenuta apertura di un'offerta B2B da noi inviata (conferma di lettura). Abbiamo ponderato che, nel quadro di una trattativa commerciale in corso, tale misurazione corrisponde alle aspettative ragionevoli del destinatario e che l'ingerenza è minima (registriamo il momento dell'apertura, l'indirizzo IP e il tipo di browser). Può opporsi in qualsiasi momento a questo trattamento scrivendo a contact@justparity.com
• Consenso (art. 31 LPD): marketing, newsletter e cookie non necessari

Clienti soggetti al RGPD: se il cliente, in qualità di titolare del trattamento, ha sede nello Spazio economico europeo, il trattamento dei dati dei suoi collaboratori soggiace in via aggiuntiva agli art. 6 e 9 RGPD. In tal caso agiamo su istruzione del titolare, cui compete la base giuridica.

Clienti svizzeri, analisi della parità salariale: la direttiva (UE) 2023/970 sulla trasparenza salariale non è applicabile in Svizzera. Per i datori di lavoro in Svizzera l'obbligo pertinente discende dalla Legge federale sulla parità dei sessi (LPar): chi impiega almeno 100 lavoratori deve svolgere un'analisi della parità salariale e farla verificare da un organo indipendente (art. 13a e 13d LPar), ripetendo di regola l'operazione ogni quattro anni. La piattaforma sostiene i clienti nell'adempimento di tale obbligo, che incombe però al datore di lavoro quale titolare del trattamento.

Dati degni di particolare protezione: il trattamento di dati concernenti l'appartenenza sindacale che dovessero figurare nei set di dati salariali importati avviene esclusivamente nel quadro dell'analisi della parità salariale e nei limiti delle istruzioni del titolare del trattamento.

Numero CPR: non costituisce un dato degno di particolare protezione ai sensi dell'art. 5 lett. c LPD. Può essere ricevuto in modo transitorio dai sistemi salariali danesi e utilizzato unicamente per dedurre tecnicamente il sesso (ultima cifra); non viene memorizzato. La base giuridica di un'eventuale comunicazione è di competenza del titolare del trattamento.

Possiamo comunicare dati personali a:

Sub-responsabili del trattamento:

Autorità: nella misura in cui la legge lo prescrive.

La comunicazione di dati personali all'estero è retta dagli art. 16 e 17 LPD. I dati sono trattati in via principale nell'Unione europea: la Danimarca e gli altri Stati dell'UE e dello SEE figurano nell'elenco degli Stati con una protezione adeguata dei dati stabilito dal Consiglio federale (allegato 1 dell'ordinanza sulla protezione dei dati, OPDa, RS 235.11), per cui non sono necessarie garanzie supplementari. Verso gli Stati Uniti la comunicazione avviene soltanto a favore di imprese certificate secondo lo Swiss-U.S. Data Privacy Framework, riconosciuto dal Consiglio federale, oppure sulla base di clausole tipo di protezione dei dati riconosciute dall'IFPDT (art. 16 cpv. 2 lett. d LPD).

Strumenti di marketing basati sul consenso: Google Analytics e Google Ads (statistiche e misurazione delle inserzioni), Meta Pixel (Meta Platforms Ireland Ltd., misurazione delle inserzioni) e LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company, misurazione delle inserzioni) sono impiegati unicamente con il suo consenso e non sono sub-responsabili per i dati personali della piattaforma. I dati possono essere comunicati negli Stati Uniti sulla base dello Swiss-U.S. Data Privacy Framework e di clausole tipo riconosciute dall'IFPDT. I singoli cookie, le loro finalità e la loro durata sono elencati nella nostra politica sui cookie, dove può anche modificare o revocare il suo consenso.

Limitazione della frequenza delle richieste: la protezione contro il sovraccarico avviene nella memoria della piattaforma stessa e non coinvolge alcun fornitore esterno.

Conserviamo i dati personali finché è necessario per le finalità per le quali sono stati raccolti:

• Dati dei clienti nella piattaforma: cancellati al più tardi 30 giorni dopo la fine del contratto
• Dati di contatto: 3 anni dalla fine della relazione con il cliente, corrispondenti al termine di prescrizione dei crediti contrattuali secondo il § 3 della legge danese sulla prescrizione
• Dati contabili: 5 anni (§ 12 della legge danese sulla contabilità)
• Offerte e dati di audit delle offerte: 5 anni dalla fine dell'esercizio cui si riferisce la documentazione, secondo il § 12 cpv. 1 della legge danese sulla contabilità. Trascorso tale termine i dati sono pseudonimizzati (i campi identificativi sono sostituiti da un hash; l'identificatore e la marca temporale dell'evento sono conservati a fini di revisione)
• Dati di marketing: fino alla revoca del consenso
• Dati di log: 90 giorni
• Conferme di lettura sulle offerte B2B: il momento dell'apertura, l'indirizzo IP e il tipo di browser sono conservati insieme all'offerta (5 anni) secondo la legge danese sulla contabilità e successivamente pseudonimizzati

I termini indicati discendono dal diritto danese, cui Just Parity ApS soggiace quale società con sede in Danimarca. I clienti in Svizzera restano soggetti ai propri obblighi di conservazione secondo il diritto svizzero, segnatamente in materia commerciale e fiscale, che si applicano a loro quali titolari del trattamento.

In quanto persona interessata, la LPD le riconosce segnatamente i diritti seguenti:

• diritto d'accesso (art. 25 LPD), nei limiti delle restrizioni previste dall'art. 26 LPD
• diritto di farsi consegnare i dati o di esigerne la trasmissione a terzi (art. 28 LPD)
• diritto di esigere la rettifica dei dati inesatti, in applicazione del principio di esattezza (art. 6 LPD)
• diritto di esigere la cancellazione o la distruzione dei dati personali (art. 32 LPD)
• diritto di esigere che sia proibito un determinato trattamento o una determinata comunicazione a terzi (art. 30 e 32 LPD)
• diritto di essere informata dell'esistenza di una decisione individuale automatizzata e di far valere il proprio punto di vista (art. 21 LPD)
• diritto di revocare in qualsiasi momento un consenso prestato; la revoca non pregiudica la liceità del trattamento effettuato prima di essa

Per i dati rispetto ai quali Justparity è responsabile del trattamento (dati dei collaboratori caricati sulla piattaforma), le richieste vanno indirizzate al titolare del trattamento, ossia all'azienda che ha caricato i dati. Per gli altri dati (dati di contatto, dati degli utenti) può esercitare i suoi diritti scrivendo a contact@justparity.com.

Forniamo le informazioni di regola entro 30 giorni dal ricevimento della domanda. Se ciò non è possibile, la informiamo entro tale termine e le comunichiamo quando riceverà la risposta (art. 18 OPDa).

Persone interessate nell'UE e nello SEE: i diritti del capitolo III del RGPD (art. 15 segg. RGPD) si applicano in via aggiuntiva. Per i dati caricati sulla piattaforma vanno esercitati nei confronti del cliente quale titolare del trattamento.

Abbiamo adottato misure tecniche e organizzative adeguate per proteggere i dati personali, segnatamente:

• cifratura dei dati durante la trasmissione (TLS 1.3) e a riposo (AES-256)
• controllo degli accessi basato sui ruoli (RBAC) e autenticazione a più fattori
• registrazione e sorveglianza degli accessi ai dati personali
• scansioni periodiche delle vulnerabilità e aggiornamenti di sicurezza
• procedure di backup, ripristino e gestione degli incidenti
• obblighi di riservatezza e formazione periodica del personale in materia di sicurezza

Violazioni della sicurezza dei dati: notifichiamo all'IFPDT il più rapidamente possibile le violazioni della sicurezza dei dati che comportano presumibilmente un rischio elevato per la personalità o i diritti fondamentali della persona interessata (art. 24 LPD). Il diritto svizzero non prevede il termine fisso di 72 ore del RGPD; quando il RGPD si applica in via aggiuntiva, rispettiamo anche tale termine.

Le misure di sicurezza dettagliate sono descritte nel nostro accordo sul trattamento dei dati (/accordo-trattamento-dati).

L'autorità di controllo competente in Svizzera è l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Chi ritiene che un trattamento violi le disposizioni sulla protezione dei dati può presentare una denuncia: l'IFPDT apre un'inchiesta d'ufficio o su denuncia se sussistono indizi sufficienti di una violazione (art. 49 LPD).

La denuncia secondo il diritto svizzero non equivale al reclamo previsto dall'art. 77 RGPD. Il denunciante è informato del seguito dato alla denuncia e dell'esito di un'eventuale inchiesta (art. 49 cpv. 4 LPD), ma la LPD non gli conferisce la qualità di parte nel procedimento. Le pretese di diritto civile, segnatamente la cancellazione o la distruzione dei dati e il divieto di un determinato trattamento, vanno fatte valere davanti al giudice civile (art. 32 LPD, in relazione con gli art. 28 segg. del Codice civile).

Persone interessate nell'UE e nello SEE: resta impregiudicato il diritto di proporre reclamo all'autorità di controllo dello Stato di residenza abituale o del luogo di lavoro (art. 77 RGPD). Per Just Parity ApS, società con sede in Danimarca, l'autorità competente è il Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, Danimarca, dt@datatilsynet.dk, datatilsynet.dk.

La prima parte di questa sezione riguarda dati personali che non abbiamo raccolto presso di voi. Riguarda le persone di contatto presso aziende che stiamo valutando di contattare come potenziali clienti, e con cui non abbiamo necessariamente parlato. I dati si trovano nel nostro sistema di vendita interno, non nella piattaforma.

Da dove provengono i dati (art. 19 cpv. 3 LPD): dalle pagine web pubblicamente accessibili delle aziende stesse, dove i dipendenti sono indicati con nome, funzione e recapiti professionali. L'estrazione è automatizzata. Le aziende stesse le troviamo nel registro delle imprese danese (CVR); il CVR non è la fonte dei dati relativi alle singole persone.

Quali dati: nome, funzione, indirizzo e-mail di lavoro, numero di telefono di lavoro e datore di lavoro. Per questa finalità non raccogliamo né dati personali degni di particolare protezione ai sensi dell'art. 5 lett. c LPD né numeri identificativi nazionali.

Finalità e motivo giustificativo: valutare se l'azienda possa trarre beneficio dal nostro prodotto e poterci rivolgere alla persona giusta. Il trattamento si fonda sul nostro interesse preponderante a promuovere un servizio presso altre imprese (art. 31 LPD). Abbiamo bilanciato tale interesse con gli interessi della persona interessata; i dati si limitano al ruolo professionale.

Nessuna decisione individuale automatizzata: non adottiamo decisioni sulla singola persona basate esclusivamente su un trattamento automatizzato (art. 21 LPD), e non profiliamo le persone. La definizione delle priorità che effettuiamo riguarda l'azienda.

Destinatari: nessuno oltre ai responsabili del trattamento che gestiscono i nostri sistemi, si veda la sezione 5. I dati non sono venduti né comunicati a terzi per finalità pubblicitarie.

Per quanto tempo li conserviamo: una persona di contatto viene cancellata al più tardi 12 mesi dopo la raccolta dei dati, se in tale periodo non vi è stato alcun contatto tra noi e la persona o l'azienda. Se vi è stato un contatto, si applicano i termini della sezione 6.

I vostri diritti, e in particolare il diritto di opporvi: avete il diritto d'accesso (art. 25 LPD) nonché il diritto di far rettificare i dati, di opporvi al trattamento e di chiederne la cancellazione (art. 32 LPD). Se vi opponete al trattamento a fini pubblicitari, lo interrompiamo. Non è richiesta alcuna motivazione né una formulazione particolare. Scrivete a contact@justparity.com e cancelleremo i dati che vi riguardano.

Perché leggete questo: l'art. 19 cpv. 1 LPD ci obbliga a informarvi della raccolta, anche quando i dati non sono raccolti presso di voi. L'art. 20 cpv. 2 lett. b LPD fa decadere tale obbligo quando l'informazione richiede un onere sproporzionato. Non ci avvaliamo di questa eccezione: vi informiamo qui. Abbiamo scelto di non scrivere a persone che non hanno mai chiesto di sentirci, proprio per non trasformare un obbligo di informazione in un contatto commerciale.

Persone di contatto presso potenziali partner

Scriviamo ai fornitori di sistemi per le paghe e le risorse umane per poter recuperare dati dai loro sistemi per conto dei nostri clienti. La prima e-mail viene inviata solo a un indirizzo generico pubblicato dal fornitore stesso, mai a una persona nominativa. Riceviamo dati che vi riguardano solo quando voi o un collega rispondete o inoltrate la nostra e-mail.

Finalità: ottenere l'accesso all'API, al programma partner o all'ambiente di test del fornitore e condurre il dialogo su un'integrazione.

Quali dati: nome, indirizzo e-mail di lavoro, funzione o ruolo, datore di lavoro, un numero di telefono di lavoro se ce lo fornite, e la nostra corrispondenza con voi, compreso se avete risposto o rifiutato.

Da dove provengono i dati: l'indirizzo generico si trova sul sito web pubblicamente accessibile del fornitore stesso. Il resto proviene da voi o dai vostri colleghi quando ci scrivete. Se rispondete voi stessi alla nostra e-mail, raccogliamo i dati presso di voi. Se un collega vi inoltra la nostra e-mail o vi nomina in una risposta, non li raccogliamo presso di voi. L'obbligo di informare dell'art. 19 LPD vale in entrambi i casi.

Non siete obbligati a rispondere: rispondere o fornirci dati non è un obbligo né di legge né contrattuale, e non rispondere non ha alcuna conseguenza per voi.

Motivo giustificativo: il nostro interesse preponderante (art. 31 LPD) a poter recuperare i dati sulle paghe e sulle risorse umane dei nostri clienti dai sistemi che utilizzano. Esso prevale perché trattiamo solo dati relativi al vostro ruolo professionale, scriviamo solo a un indirizzo pubblicato dal fornitore stesso e perché potete opporvi in qualsiasi momento.

Destinatari: nessuno oltre ai responsabili del trattamento che gestiscono i nostri sistemi, si veda la sezione 5.

Per quanto tempo li conserviamo: 12 mesi dopo l'ultima corrispondenza, se non avviamo una collaborazione. Se la avviamo, conserviamo i dati di contatto per tutta la sua durata e per 3 anni dopo, lo stesso termine previsto per i dati di contatto nella sezione 6. Se rifiutate, conserviamo solo l'indirizzo generico a cui abbiamo scritto e la data, per non scrivere di nuovo a quell'indirizzo.

Il vostro diritto di opporvi (art. 32 LPD): potete opporvi in qualsiasi momento. Rispondete «no grazie» alla nostra e-mail oppure scrivete a integrations@justparity.com o contact@justparity.com. Interromperemo il trattamento, non vi scriveremo più e cancelleremo i dati che vi riguardano, tranne l'indirizzo generico e la data. Avete inoltre il diritto d'accesso (art. 25 LPD) e il diritto di far rettificare i dati (art. 32 LPD).

Perché avete ricevuto un'e-mail: qui vi scriviamo direttamente. Ogni nostra e-mail rimanda a questa pagina, quindi le informazioni previste dall'art. 19 LPD vi sono fornite al più tardi con la prima e-mail che ricevete da noi.

Se non siete soddisfatti del modo in cui trattiamo i vostri dati, potete rivolgervi all'IFPDT, si veda la sezione 9.

Ci riserviamo il diritto di aggiornare la presente informativa. In caso di modifiche sostanziali, le persone interessate sono informate per e-mail o al momento dell'accesso alla piattaforma. La versione più recente è sempre disponibile su questa pagina.