Informativa sul trattamento dei dati personali

NaNoShift · Versione 1.0 · 1 novembre 2026

1. Titolare del trattamento e contatti

Luigi Narvaez, persona fisica che gestisce il servizio NaNoShift, tratta come titolare autonomo i dati necessari alla gestione del sito pubblico, dei contatti e delle richieste commerciali, dell'assistenza rivolta direttamente al gestore e della sicurezza della piattaforma per le proprie finalità.

Per i dati del personale che una struttura sanitaria inserisce in NaNoShift per organizzare turni, disponibilità e attività lavorative, la struttura sanitaria determina finalità e mezzi del trattamento e opera come titolare; Luigi Narvaez, tramite NaNoShift, opera come responsabile del trattamento, nei limiti delle istruzioni documentate e dell'accordo previsto dall'art. 28 GDPR. L'utilizzo operativo da parte di una struttura presuppone la formalizzazione di tale accordo.

Contatto privacy: nanoshift01@gmail.com. Le richieste relative ai dati del personale gestiti per conto di una struttura possono essere inoltrate anche al referente privacy della struttura, che resta il titolare per tali trattamenti.

2. Gestione delle strutture

Ogni struttura richiede l'attivazione del proprio spazio NaNoShift. L'attivazione è subordinata all'approvazione dell'account Master (nanoshift01@gmail.com). Dopo l'approvazione, il coordinatore autorizzato gestisce gli operatori e le attività della propria struttura.

Gli spazi delle diverse strutture sono separati: ciascuna struttura può accedere solo alle informazioni del proprio spazio. Il Master svolge le attività amministrative necessarie all'attivazione delle strutture, ma non dispone di accesso operativo agli elenchi del personale, alle disponibilità, ai turni, ai recapiti o ai documenti delle singole strutture. Per la gestione degli account può consultare soltanto identificativi tecnici e metadati di stato (ruolo, data di registrazione, ultimo accesso e verifica dell'indirizzo email), senza nomi o indirizzi email. L'area dimostrativa riservata al Master utilizza esclusivamente dati fittizi. L'approvazione non equivale a un consenso privacy né attribuisce un accesso generale ai contenuti delle strutture.

Prima dell'utilizzo operativo con dati reali del personale, la struttura e il gestore formalizzano l'accordo sul trattamento dei dati e le istruzioni applicabili. L'approvazione tecnica dello spazio da parte del Master non sostituisce tale accordo.

3. Dati trattati

• Dati dell'account: nome, cognome, indirizzo email, credenziali gestite dal servizio di autenticazione e informazioni tecniche del profilo.
• Dati organizzativi e professionali: reparto/gruppo di appartenenza, ruolo, disponibilità, turni, richieste di cambio turno, notifiche e preferenze dell'applicazione.
• Documenti professionali: CV e attestati o certificazioni caricati volontariamente dall'utente, ad esempio BLSD, antincendio e iscrizione all'Ordine. Il CV è condiviso con altri utenti solo attraverso l'apposita funzione di condivisione.
• Dati tecnici: identificativi delle sessioni, informazioni necessarie al funzionamento e alla sicurezza e, se l'utente attiva le notifiche, dati tecnici della sottoscrizione push del dispositivo/browser.

NaNoShift non richiede né mette a disposizione funzioni per registrare date di idoneità, certificati sanitari, diagnosi, referti o anamnesi. Non caricare documenti che contengano dati relativi alla salute o informazioni cliniche di pazienti.

4. Finalità del trattamento

• creare e gestire l'account e consentire l'accesso;
• organizzare calendari, turni, disponibilità e gruppi di lavoro;
• gestire inviti, richieste di adesione, cambi turno e relative approvazioni;
• archiviare i documenti professionali caricati dall'utente e consentire le condivisioni espressamente attivate;
• mostrare promemoria relativi alle scadenze professionali e inviare notifiche in-app o push, se attivate;
• proteggere il servizio, prevenire abusi e gestire richieste di assistenza.

5. Basi giuridiche

Per i dati del personale trattati nell'ambito dell'organizzazione del lavoro, la struttura titolare individua e documenta la base giuridica ai sensi dell'art. 6 GDPR e, ove applicabile, le condizioni previste dall'art. 9 GDPR, informa il personale e impartisce a NaNoShift istruzioni documentate. Il consenso del dipendente non viene considerato automaticamente la base giuridica appropriata per l'organizzazione dei turni.

Per i trattamenti di cui Luigi Narvaez è titolare autonomo, le basi giuridiche sono individuate in relazione alla singola finalità: esecuzione di misure precontrattuali o del rapporto con il cliente, legittimo interesse alla sicurezza e al corretto funzionamento del servizio e adempimento di obblighi di legge, quando applicabili.

6. Destinatari, fornitori e infrastruttura tecnica

Per erogare NaNoShift vengono utilizzati fornitori esterni di infrastruttura tecnologica. I dati non sono conservati esclusivamente su dispositivi o server direttamente gestiti dal gestore del servizio: alcune operazioni sono affidate a fornitori specializzati, secondo le rispettive condizioni contrattuali e le istruzioni applicabili.

6.1 Supabase — backend, database e autenticazione

Supabase (supabase.com) fornisce i servizi backend utilizzati da NaNoShift, tra cui database PostgreSQL, autenticazione degli account, archiviazione dei documenti (Storage) e funzioni server. I dati inseriti nell'applicazione, gli identificativi degli account e i file caricati possono quindi essere trattati attraverso l'infrastruttura Supabase per consentire il funzionamento del servizio.

Il progetto Supabase di NaNoShift risulta configurato nella regione AWS eu-central-1 (Francoforte, Germania). La regione riguarda l'hosting primario del database e dei servizi di progetto indicati da Supabase (inclusi Auth e Storage); non costituisce una garanzia che ogni dato tecnico, attività di supporto, telemetria o contenuto distribuito tramite reti/CDN sia trattato esclusivamente in tale regione. Supabase dichiara che alcune attività operative e di supporto possono comportare trattamenti in altri Paesi e utilizza propri sub-responsabili. Le informazioni aggiornate sono disponibili nella documentazione sul trattamento (DPA) di Supabase, nella lista dei sub-responsabili e nelle informazioni su localizzazione e trasferimenti.

6.2 Cloudflare Pages — hosting e distribuzione del sito

Cloudflare (cloudflare.com) è utilizzato tramite Cloudflare Pages per ospitare e distribuire i file del sito e dell'interfaccia web NaNoShift. Quando un utente visita il sito, Cloudflare può trattare dati tecnici della richiesta e della connessione, quali indirizzo IP, informazioni sul browser/dispositivo, data e ora della richiesta, risorse richieste e dati di log e sicurezza, nei limiti previsti dal servizio e dalle relative impostazioni.

Cloudflare Pages distribuisce i file dell'interfaccia; il database applicativo e l'autenticazione sono invece forniti da Supabase. Le chiamate effettuate dall'applicazione verso il progetto Supabase sono dirette ai relativi servizi, salvo eventuali configurazioni tecniche future diverse. La distribuzione tramite rete globale Cloudflare può comportare il trattamento di metadati e richieste in data center situati in Paesi diversi da quello dell'utente. Non viene pertanto promessa, in questa informativa, una localizzazione esclusivamente nello Spazio economico europeo. Per informazioni si rinvia alla DPA di Cloudflare, alla Privacy Policy di Cloudflare e alla documentazione Cloudflare Pages.

6.3 Servizi di notifica push

Se l'utente attiva le notifiche push, NaNoShift memorizza in Supabase i dati tecnici della sottoscrizione del browser/dispositivo (ad esempio endpoint e chiavi tecniche necessari all'invio). La consegna della notifica avviene attraverso il servizio push associato al browser o al sistema operativo utilizzato, che può essere gestito da un fornitore terzo (ad esempio Apple, Google o Mozilla, a seconda del dispositivo e del browser). Il contenuto delle notifiche è progettato per essere generico e non includere dati sanitari o dettagli riservati sui turni.

6.4 Accessi da parte degli utenti e ruoli dei fornitori

Gli utenti autorizzati della stessa struttura possono visualizzare le informazioni organizzative pertinenti ai rispettivi ruoli; le scadenze mostrate alla coordinazione riguardano esclusivamente attestati professionali non sanitari. I fornitori sopra indicati possono agire, a seconda del servizio e della specifica attività, come responsabili del trattamento o titolari autonomi per trattamenti propri (ad esempio gestione degli account cliente, fatturazione, sicurezza e telemetria). La qualificazione giuridica definitiva deve essere verificata rispetto ai contratti e ai servizi effettivamente attivati.

Il gestore mantiene le condizioni contrattuali e gli accordi sul trattamento applicabili ai servizi effettivamente utilizzati. I sub-responsabili, i trasferimenti internazionali e le garanzie applicabili sono quelli indicati nella documentazione contrattuale aggiornata di Supabase e Cloudflare. Le strutture ricevono le informazioni necessarie sui fornitori e sui trattamenti affidati a NaNoShift nell'ambito dell'accordo sul trattamento dei dati. Le configurazioni e le condizioni dei fornitori possono cambiare; i relativi documenti ufficiali sono consultabili ai link sopra riportati.

7. Tempi di conservazione

I dati trattati per conto della struttura sono conservati per il tempo necessario alle finalità organizzative indicate dalla struttura e secondo le sue istruzioni documentate. Alla cessazione del servizio, i dati sono restituiti o cancellati secondo quanto stabilito nell'accordo sul trattamento, fatti salvi gli obblighi di legge e i tempi tecnici di eliminazione delle copie di sicurezza.

• Dati dell'account: per la durata dell'account e del rapporto con il servizio; successivamente sono cancellati o resi non identificabili quando non sussistono ulteriori finalità o obblighi di conservazione.
• Turni, disponibilità e richieste: secondo le istruzioni della struttura titolare e i tempi definiti nell'accordo sul trattamento.
• CV: per il tempo in cui l'account è attivo e l'utente mantiene attiva la condivisione; la condivisione può essere revocata dall'utente.
• Attestati professionali non sanitari: per il periodo in cui sono utili alla gestione professionale e secondo le istruzioni della struttura titolare.
• Dati tecnici e di sicurezza: per il tempo necessario alla sicurezza, alla diagnosi di malfunzionamenti e alla tutela dei diritti, in coerenza con le impostazioni e le politiche dei fornitori infrastrutturali.
• Notifiche push: i dati tecnici della sottoscrizione sono conservati finché la funzione resta attiva sul dispositivo o finché la sottoscrizione non risulta più valida.

Le copie di sicurezza e i log gestiti dai fornitori possono seguire cicli tecnici propri, descritti nella documentazione contrattuale dei rispettivi servizi.

8. Conferimento dei dati

Il conferimento dei dati necessari all'account e alle funzioni organizzative richieste è necessario per utilizzare il servizio. Il caricamento dei documenti professionali non sanitari e l'attivazione delle notifiche push sono facoltativi. La condivisione del CV richiede un'azione esplicita dell'utente. Non caricare certificati di idoneità sanitaria né altri documenti contenenti informazioni sulla salute.

9. Diritti degli interessati

Nei casi e nei limiti previsti dal GDPR, l'interessato può chiedere accesso, rettifica, cancellazione, limitazione, opposizione e, quando applicabile, portabilità dei dati, nonché revocare un eventuale consenso senza pregiudicare la liceità del trattamento precedente alla revoca. Le richieste possono essere inviate a nanoshift01@gmail.com.

Resta possibile proporre reclamo al Garante per la protezione dei dati personali.

10. Sicurezza e notifiche

NaNoShift adotta controlli tecnici quali autenticazione, regole di accesso ai dati e archiviazione privata dei documenti. Le notifiche push sono progettate per mostrare un messaggio generico e non riportare dettagli riservati nella schermata di blocco. Nessuna misura tecnica elimina completamente i rischi: le misure organizzative, i ruoli di accesso, la gestione degli incidenti e i tempi di conservazione devono essere mantenuti e verificati nel tempo.

11. Modifiche

La presente informativa è aggiornata alla data indicata in intestazione. Eventuali modifiche sostanziali saranno pubblicate su questa pagina e comunicate agli utenti con modalità adeguate, prima che si applichino ai trattamenti interessati.