Informativa sul Trattamento dei Dati Personali — THOMAS by Bitsideas

Nota redazionale: questo documento è una traduzione della versione ufficiale in spagnolo (`politica-de-privacidad.md`); in caso di discrepanza, prevale la versione spagnola, poiché il diritto colombiano è il quadro base scelto di seguito. Questa informativa assume come quadro base la Legge 1581 del 2012 della Colombia (il relativo decreto attuativo, oggi compilato nel Titolo 25 del Decreto Unico Regolamentare 1074 del 2015, e la Circolare Esterna 002 del 2024 della SIC), in quanto regime più sviluppato in questo testo e paese di origine regolatoria del Servizio (vedi Termini e Condizioni, clausola 3.2). Bitsideas LLC fornisce il Servizio a Clienti in Colombia e in altri paesi dell'America Latina; la clausola 2A spiega come si applica il regime colombiano nei confronti degli interessati in Colombia e perché, per gli interessati in altri paesi, possa aggiungersi la legge locale sulla protezione dei dati applicabile — un aspetto da rivedere paese per paese man mano che Bitsideas acquisisce Clienti al di fuori della Colombia (Messico, Perù, Cile, Brasile e altri paesi della regione hanno ciascuno un proprio regime, distinto tra loro e da quello colombiano). La clausola 5 sviluppa il trasferimento internazionale implicato dal fatto che lo stesso Titolare sia domiciliato negli Stati Uniti. I dati identificativi di Bitsideas LLC sono stati ricavati dal suo registro pubblico presso la Florida Division of Corporations (Sunbiz.org, pratica L21000359862) — verificare che siano ancora attuali al momento della pubblicazione. Resta da verificare da parte del team Bitsideas se essa superi la soglia SIC per l'iscrizione obbligatoria nel RNBD (clausola 11). Si raccomanda una revisione finale da parte di un avvocato in ogni paese in cui Bitsideas abbia Clienti attivi prima della pubblicazione.

Ultimo aggiornamento: 1 novembre 2026 Titolare del trattamento: Bitsideas LLC, società a responsabilità limitata costituita secondo le leggi dello Stato della Florida, Stati Uniti d'America, EIN 61-2001549 (pratica statale L21000359862), con sede legale principale in 7630 NW 25 Street # 2B, Miami, FL 33122, Stati Uniti. Contatto per questioni relative ai dati personali: [email protected]

1. Oggetto

La presente informativa disciplina il trattamento dei dati personali che Bitsideas LLC ("Bitsideas", "noi") raccoglie tramite la piattaforma THOMAS by Bitsideas (il "Servizio"), fornito ad aziende Cliente in Colombia e in altri paesi dell'America Latina. Come quadro generale, questa informativa si struttura sul regime di protezione dei dati personali della Colombia — la Legge 1581 del 2012, il relativo decreto attuativo (compilato nel Titolo 25, Parte 2, Libro 2 del Decreto 1074 del 2015) e le circolari della Sovrintendenza per l'Industria e il Commercio (SIC) come autorità di controllo — in quanto paese di origine regolatoria del Servizio, fatta salva la normativa sulla protezione dei dati eventualmente applicabile nel paese di domicilio di ciascun Cliente ai sensi della clausola 2A.

2A. Ambito territoriale: Titolare domiciliato all'estero e Clienti in più paesi

Bitsideas LLC è una società costituita negli Stati Uniti, senza sede legale in alcun paese dell'America Latina. Il regime di protezione dei dati personali di ciascun paese in cui Bitsideas offre il Servizio si applica, in linea di principio, agli interessati situati in quel paese, poiché il trattamento avviene nel contesto dell'offerta di beni o servizi in quel territorio. Di conseguenza:

• Riguardo agli interessati in Colombia (aziende Cliente colombiane e i

loro lavoratori), Bitsideas assume gli obblighi della Legge 1581 del 2012 e dei relativi decreti attuativi negli stessi termini in cui li assumerebbe se avesse sede in Colombia.

• Riguardo agli interessati in altri paesi in cui Bitsideas abbia

Clienti attivi, può risultare parimenti applicabile la legge locale sulla protezione dei dati personali (ad esempio, la LFPDPPP in Messico, la Legge sulla Protezione dei Dati Personali in Perù, la Legge 19.628 in Cile, o la LGPD in Brasile, ciascuna con requisiti propri e distinti tra loro). Bitsideas valuterà e documenterà tale applicabilità paese per paese man mano che acquisisce Clienti in ciascuna giurisdizione, e potrà integrare la presente informativa con allegati locali ove necessario.

Bitsideas designa come punto di contatto per tutti questi effetti l'email indicata all'inizio della presente informativa.

2. Ruoli: Titolare vs. Responsabile del Trattamento

È importante distinguere due ruoli diversi, che coesistono nell'operatività del Servizio:

• Bitsideas LLC agisce come Titolare del Trattamento riguardo ai dati

delle persone di contatto dell'azienda cliente (nome, email, ruolo, telefono) raccolti durante la registrazione, il rapporto commerciale e la fatturazione, nonché riguardo ai dati di navigazione del sito pubblico di THOMAS.

• Bitsideas LLC agisce come Responsabile del Trattamento riguardo ai

dati che ciascuna azienda cliente (il "Cliente") inserisce sui propri lavoratori, appaltatori e terzi all'interno del Servizio (osservazioni di comportamento, incidenti, matrice dei rischi, idoneità medica, patenti di guida, documentazione degli appaltatori, ecc.). In questo secondo caso, il Cliente è il Titolare di tali dati e determina le finalità del loro trattamento; Bitsideas li elabora unicamente seguendo le istruzioni del Cliente, riflesse nell'uso normale delle funzionalità del Servizio, e nei termini dell'accordo di responsabile del trattamento costituito dalla presente informativa e dai Termini e Condizioni.

Di conseguenza, se lei è un lavoratore o appaltatore di un'azienda che utilizza THOMAS e ha domande sui propri dati, deve rivolgersi in primo luogo a tale azienda (il proprio datore di lavoro o committente), e non direttamente a Bitsideas — vedi sezione 6.

3. Dati raccolti

3.1. Dati dell'account e di fatturazione (Bitsideas come Titolare)

Nome dell'azienda, partita IVA/codice fiscale, nome, ruolo, email e telefono dell'amministratore dell'account e degli altri Utenti registrati dal Cliente, cronologia dell'abbonamento e dei pagamenti (il pagamento avviene in Bitsideas One, tramite Stripe, senza che Bitsideas memorizzi i numeri completi delle carte; THOMAS non incassa né riceve dati della carta), indirizzo IP e registri tecnici di accesso a fini di sicurezza e audit.

3.2. Dati operativi di SST (Bitsideas come Responsabile, su istruzione del Cliente)

A seconda dei moduli utilizzati dal Cliente, questi possono includere:

• Nome, documento d'identità, ruolo, sede operativa e dati di contatto dei

lavoratori e appaltatori del Cliente.

• Osservazioni di comportamento sicuro/insicuro, con o senza identificazione

dell'osservatore (il modulo consente segnalazioni anonime).

• Indagine su incidenti e infortuni sul lavoro, incluse analisi delle cause

radice e piani d'azione.

• Idoneità medica, categoria e validità della patente di guida (modulo di

Sicurezza Stradale).

• Documentazione di conformità delle aziende appaltatrici caricata tramite

il Portale di Autogestione degli Appaltatori: affiliazione assicurativa infortuni, contributi previdenziali, polizze, matrice DPI, certificati di induzione e competenze professionali.

• Evidenze fotografiche e documentali associate a osservazioni, incidenti o

ispezioni.

• Inventario delle sostanze chimiche e schede di sicurezza (SDS), e

registri di smaltimento dei rifiuti pericolosi, che possono includere i dati della persona che gestisce o certifica lo smaltimento.

Alcuni di questi dati — in particolare quelli relativi alla salute e all'idoneità medica — sono considerati dati sensibili ai sensi dell'articolo 5 della Legge 1581 del 2012 e ricevono una protezione rafforzata: vengono trattati solo quando necessari per la finalità del SG-SST del Cliente, il loro trattamento non è soggetto all'autorizzazione di Bitsideas ma a quella che il Cliente stesso ottiene dai propri lavoratori, e il Cliente è l'unico responsabile di disporre di tale autorizzazione prima di inserirli nella piattaforma.

3.3. Dati del Portale di Autogestione degli Appaltatori

Quando un'azienda appaltatrice del Cliente utilizza il Portale di Autogestione (accesso tramite link univoco, senza necessità di creare un account — vedi Termini e Condizioni, clausola 3.4), i dati ivi caricati sono inseriti direttamente da tale azienda appaltatrice e sono trattati secondo le stesse regole della sezione 3.2: il Cliente che ha ingaggiato tale azienda è il Titolare di tali dati, e Bitsideas agisce come Responsabile. L'accesso a tale portale è protetto mediante un token di possesso univoco e limiti di frequenza delle richieste (rate limiting) per ostacolare tentativi di accesso non autorizzato.

3.4. Dati di navigazione del sito pubblico

Visitando il sito pubblico di THOMAS (prima di effettuare l'accesso), vengono raccolti dati tecnici di base sulla navigazione (indirizzo IP, tipo di browser, pagine visitate) a fini di sicurezza, prevenzione degli abusi (limiti di frequenza delle richieste) e analisi aggregata dell'uso del sito. Vedi anche la sezione 10 sui cookie.

4. Finalità del trattamento

• Fornire il Servizio sottoscritto (gestione del SG-SST, generazione di

indicatori, report normativi, notifiche a supervisori e amministratori).

• Elaborare i pagamenti e gestire l'abbonamento e la fatturazione.
• Inviare comunicazioni operative: promemoria di scadenza di licenze o

documenti, notifiche di incidenti o richieste in attesa di revisione, conferme di pagamento e avvisi di servizio.

• Prevenire frodi, abusi e accessi non autorizzati alla piattaforma.
• Migliorare e fornire supporto tecnico al Servizio.
• Adempiere agli obblighi legali e rispondere alle richieste delle autorità

competenti.

5. Responsabili del trattamento incaricati da Bitsideas

Per gestire il Servizio, Bitsideas si avvale dei seguenti fornitori, che agiscono come sub-responsabili del trattamento su istruzioni di Bitsideas e soggetti a obblighi contrattuali di riservatezza e sicurezza:

Tutti i fornitori sopra indicati operano, in tutto o in parte, al di fuori della Colombia. Inoltre, e in modo ancora più rilevante, la stessa Bitsideas — come Titolare e Responsabile del trattamento — è domiciliata negli Stati Uniti, per cui la semplice fornitura del Servizio implica, in pratica, un trasferimento e una trasmissione internazionale continua dei Dati del Cliente verso gli Stati Uniti, ai sensi dell'articolo 26 del Titolo 25 del Decreto 1074 del 2015. Bitsideas si assicura che tale trasferimento abbia una base giuridica valida — principalmente, l'esecuzione del contratto di fornitura di servizi tra il Cliente e Bitsideas, che richiede necessariamente il trattamento al di fuori della Colombia data la natura del Servizio — e applica ai dati, indipendentemente dal paese in cui vengono trattati, le stesse misure di sicurezza descritte nella clausola 9. Il Cliente, accettando i Termini e Condizioni e sottoscrivendo il Servizio, autorizza espressamente tale trasferimento e trasmissione internazionale come condizione intrinseca alla natura del Servizio sottoscritto.

5A. Assistenti di intelligenza artificiale collegati dal Cliente

Nei piani Professional ed Enterprise, un amministratore del Cliente può creare in THOMAS uno o più server MCP (Model Context Protocol) e collegarli a un assistente di intelligenza artificiale che il Cliente ha scelto e contrattato per proprio conto, come Claude (Anthropic, PBC), ChatGPT (OpenAI), Microsoft Copilot (Microsoft Corporation) o Gemini (Google LLC).

Come funziona e quali dati escono da THOMAS:

• Ogni persona autorizza il proprio collegamento: accede con il proprio account

Bitsideas One e accetta una schermata di autorizzazioni. L'assistente agisce con le autorizzazioni di quella persona e riceve solo informazioni dei moduli che l'amministratore ha abilitato sul server e che quella persona può vedere in base al suo piano, al suo ruolo e ai moduli che il Cliente le ha assegnato.

• L'assistente riceve le informazioni che THOMAS restituisce in risposta a ciò

che la persona chiede, ad esempio un elenco di incidenti, lo stato degli appaltatori o gli indicatori del cruscotto. Tali informazioni possono contenere dati personali di lavoratori, appaltatori e conducenti, come nomi, mansioni e numeri di identificazione. I numeri di identificazione sono mascherati (solo le ultime quattro cifre), salvo che l'amministratore disattivi questa opzione.

• I dati sanitari non vengono forniti agli assistenti: non c'è accesso

all'assenteismo; di un incidente non vengono forniti la persona coinvolta né l'inabilità, e la sua descrizione viene inviata senza i nomi e i numeri di identificazione registrati; di un conducente non vengono forniti l'idoneità medica, le limitazioni né il gruppo sanguigno.

• Un assistente può solo proporre nuovi record o modifiche (ad esempio,

un'osservazione, un incidente o un'attività) quando il server e il ruolo della persona lo consentono. Nulla viene salvato finché la persona non conferma, e il record resta contrassegnato come creato con un assistente di intelligenza artificiale, con il nome di chi lo ha confermato. Un assistente non approva, non elimina né modifica mai utenti o ruoli.

• L'amministratore può sospendere o eliminare un server e revocare l'accesso a

qualsiasi persona collegata in qualsiasi momento.

Chi risponde di questi dati. I fornitori degli assistenti non sono responsabili né sub-responsabili del trattamento di Bitsideas: Bitsideas non li sceglie, non li incarica di questa funzione né impartisce loro istruzioni. È il Cliente a decidere di collegarli, e la consegna delle informazioni all'assistente avviene su istruzione del Cliente, in qualità di titolare del trattamento. Ciò che il fornitore dell'assistente fa con tali informazioni —dove le conserva, per quanto tempo e se le utilizza per addestrare i propri modelli— è disciplinato dal contratto e dalle condizioni tra il Cliente (o i suoi utenti) e tale fornitore, che può operare al di fuori della Colombia. Spetta al Cliente verificare di disporre di una base giuridica per tale trasmissione, informarne gli interessati quando richiesto e scegliere un servizio che offra garanzie adeguate.

Ciò che Bitsideas tratta per fornire questa funzione: i dati di ogni collegamento (server, persona, assistente e date) e un registro di attività che indica quale strumento è stato usato, da chi e con quale esito, senza conservare ciò che è stato chiesto né ciò che è stato risposto. Tale registro è conservato per centottanta (180) giorni. Le credenziali di accesso consegnate all'assistente sono conservate come impronta crittografica, mai in chiaro.

6. Diritti degli interessati

Ogni interessato ha diritto a: conoscere, aggiornare e rettificare i propri dati personali; richiedere prova dell'autorizzazione concessa per il loro trattamento; essere informato sull'uso dato ai propri dati; presentare reclami alla Sovrintendenza per l'Industria e il Commercio (SIC) della Colombia per violazioni della legge; revocare l'autorizzazione e/o richiedere la cancellazione del dato quando non sussista un obbligo legale o contrattuale che lo impedisca; e accedere gratuitamente ai propri dati personali.

Se lei è un lavoratore, appaltatore o terzo i cui dati sono stati inseriti da un'azienda che utilizza THOMAS, la richiesta per esercitare tali diritti deve essere rivolta in primo luogo a tale azienda (il proprio datore di lavoro o committente), che è il Titolare di tali dati ai sensi della sezione 2. Bitsideas collaborerà con il Cliente, nella sua qualità di Responsabile, per gestire la richiesta entro i termini legali applicabili (quindici giorni lavorativi per le richieste e quindici giorni lavorativi per i reclami, prorogabili ai sensi di legge).

Se la sua richiesta riguarda dati di cui Bitsideas è Titolare diretto (sezione 3.1: dati di account, fatturazione o navigazione), può esercitare i propri diritti scrivendo a [email protected].

7. Autorizzazione

Il trattamento dei dati personali da parte di Bitsideas si fonda sull'autorizzazione previa, espressa e informata dell'interessato, ottenuta:

• Direttamente da Bitsideas, riguardo ai dati della sezione 3.1, mediante

l'accettazione della presente informativa durante la registrazione al Servizio; e

• Dal Cliente, riguardo ai dati delle sezioni 3.2 e 3.3, in qualità di

Titolare di tali dati nei confronti dei propri lavoratori e appaltatori — il Cliente dichiara e garantisce a Bitsideas, nei Termini e Condizioni, di disporre di tale autorizzazione prima di inserire le informazioni nel Servizio, in particolare quando si tratti di dati sensibili ai sensi della sezione 3.2.

8. Periodo di conservazione

I dati saranno conservati per la durata del rapporto contrattuale con il Cliente e per il tempo aggiuntivo necessario ad adempiere obblighi legali, contabili, fiscali o di difesa legale. In particolare:

• I Dati del Cliente sono conservati per la durata dell'abbonamento e fino

a trenta (30) giorni dopo la sua cessazione, periodo entro il quale il Cliente può richiederne l'esportazione (Termini e Condizioni, clausola 11). Trascorso tale periodo, vengono eliminati dai sistemi di produzione, fatta salva la loro permanenza temporanea in copie di backup criptate secondo la politica di rotazione dei backup di Bitsideas.

• Determinati registri del SG-SST possono essere soggetti a periodi minimi

di conservazione propri della normativa settoriale applicabile al Cliente (ad esempio, quelli relativi alle cartelle sanitarie occupazionali ai sensi della Risoluzione 1995 del 1999 colombiana e sue modifiche). Il rispetto di tali periodi minimi è responsabilità del Cliente in qualità di Titolare di tali dati; il Cliente deve esportare le informazioni rilevanti prima di richiederne la cancellazione se ha necessità di conservarle più a lungo di quanto descritto nel paragrafo precedente.

• I dati di fatturazione sono conservati per il periodo richiesto dalla

normativa contabile e fiscale colombiana.

9. Sicurezza delle informazioni

Bitsideas implementa misure tecniche e organizzative ragionevoli per proteggere i dati personali trattati nel Servizio, tra cui:

• Isolamento dei dati per azienda mediante Sicurezza a Livello di Riga

(Row-Level Security) nel motore del database PostgreSQL, in modo che nessun Cliente possa accedere ai dati di un altro.

• Crittografia a riposo del disco su cui risiede il database (AES a 256 bit,

gestita da Microsoft Azure) e crittografia in transito tramite TLS/HTTPS tra il browser e il server.

• Accesso esclusivamente tramite Bitsideas One (OpenID Connect), con secondo

fattore obbligatorio. THOMAS non memorizza password. Sessioni firmate crittograficamente.

• Registro di audit (audit trail) delle operazioni di modifica sui dati, e

rotazione automatizzata delle copie di backup.

• Limiti di frequenza delle richieste (rate limiting) sui punti di accesso

pubblici, incluso il Portale di Autogestione degli Appaltatori.

Nessuna misura di sicurezza è infallibile; in caso di qualsiasi incidente di sicurezza che comprometta dati personali, Bitsideas lo comunicherà ai Clienti interessati e, ove previsto dalla legge, alla SIC, senza ingiustificato ritardo.

10. Cookie e tecnologie simili

Il sito di THOMAS utilizza cookie tecnici strettamente necessari al funzionamento del Servizio, in particolare per mantenere attiva la sessione degli Utenti autenticati. Tali cookie non sono utilizzati per finalità pubblicitarie né di tracciamento tra siti diversi. Se in futuro verranno incorporati cookie analitici o di terze parti, la presente informativa sarà aggiornata per informare sulla loro finalità e offrire al visitatore la possibilità di gestirli.

11. Registro Nazionale delle Banche Dati (RNBD)

Ai sensi della Legge 1581 del 2012 e del Decreto 90 del 2018 (Colombia), i Titolari del Trattamento le cui banche dati superino le soglie fissate dalla SIC devono iscriverle nel Registro Nazionale delle Banche Dati (RNBD). Azione in sospeso: verificare, prima di trattare dati reali, se Bitsideas LLC superi tali soglie alla data di pubblicazione e, in caso affermativo, completare la relativa iscrizione presso la SIC. Si tratta di una determinazione fattuale sul volume di dati di Bitsideas che nessun testo contrattuale può risolvere da solo.

12. Minori

Il Servizio è destinato esclusivamente ad aziende e a persone fisiche maggiorenni che agiscono in loro rappresentanza o come loro lavoratori. THOMAS non è destinato a minori e non raccoglie intenzionalmente dati di minori; qualora il Cliente inserisse dati di un minore nel contesto di un rapporto di lavoro eccezionalmente consentito dalla legge, tale trattamento è soggetto alle garanzie rafforzate dell'articolo 7 della Legge 1581 del 2012, sotto la responsabilità del Cliente.

13. Modifiche alla presente informativa

Bitsideas potrà aggiornare la presente informativa per riflettere modifiche normative o al Servizio. Le modifiche sostanziali saranno notificate agli amministratori dell'account via email con almeno quindici (15) giorni di calendario di anticipo rispetto alla loro entrata in vigore.

14. Autorità di controllo e contatti

Gli interessati possono presentare reclami relativi al trattamento dei propri dati personali alla Sovrintendenza per l'Industria e il Commercio (SIC), quale autorità di controllo in materia di protezione dei dati in Colombia, una volta esaurita la procedura di richiesta o reclamo diretto presso il Titolare corrispondente (Bitsideas o il Cliente, ai sensi della sezione 6). Per contattare Bitsideas riguardo a questioni relative ai dati personali: [email protected].