Passa al contenuto principale

Autore: Valentina Trevisan

Il Registro dei Trattamenti di Dati Personali della web agency: tutto ciò che devi sapere

Scritto da Valentina Trevisan il . Pubblicato in Marketing e diritto, Privacy e data protection, Web e nuove tecnologie.

Se sei una web agency, un’agenzia di marketing automation, un professionista della comunicazione, una media company vedi moltissime informazioni del tuo cliente e degli utenti: devi quindi prestare molta attenzione al corretto trattamento dei dati ed adottare un registro dei trattamenti dei dati personali.

I dati personali dell’agenzia di marketing

In generale, per un’agenzia di marketing il tuo core business è rappresentato dalla fornitura di servizi per l’ideazione, la realizzazione e il monitoraggio di compagne pubblicitarie, promozionali e di fidelizzazione dell’utente finale. Per rendere questi servizi sono imprescindibili le attività di accesso, analisi, conservazione e strutturazione dei dati personali degli utenti intercettati dalle tue campagne marketing. 

Si tratta di trattamenti spesso altamente strutturati, oltre che in continua evoluzione, la cui tipica dinamicità potrebbe esporre la web agency al rischio di tralasciare alcuni aspetti inerenti alla corretta gestione dei trattamenti posti in essere, ove non adeguatamente monitorati.

Ecco, quindi, in questo articolo una panoramica sul registro dei trattamenti dell’agenzia di comunicazione, sia quando questa assume il ruolo di titolare del trattamento, che quando agisce in qualità di responsabile del trattamento (i.e. outsourcer) rispetto a propri clienti.

I dati personali della software house

Il registro dei trattamenti vale anche per le aziende che svolgono assistenza e manutenzione delle reti, forniscono software gestionali, sviluppano e tengono monitorata l’infrastruttura hardware.

Nell’ambito della consulenza legale che prestiamo ci rivolgiamo anche a queste strutture.

Peraltro per le software house, di deve aggiungere anche la qualifica di amministratori di sistema.

Tutto quello che apprenderai dalla lettura va poi correttamente implementato sulla base delle specificità della tua media company. Abbiamo creato delle check list complete per acquisire tutte le informazioni necessarie e svolgere un adeguamento privacy su misura.

richiedi un audit privacy completo

Cos’è il Registro dei Trattamenti di un’agenzia di comunicazione

Il registro dei trattamenti è uno dei principali strumenti documentali previsti dal GDPR (regolamento europeo 2016/679 per la protezione delle persone fisiche con riguardo al trattamento dei dati personali) per far sì che ogni soggetto che tratti dati personali in modo non occasionale provveda prioritariamente al censimento dei trattamenti svolti, così da assicurare la pianificazione e gestione delle attività di protezione delle persone con riguardo al trattamento dei dati personali delle stesse.

Il registro dei trattamenti è il documento atto a dimostrare il pieno rispetto delle prescrizioni del GDPR nell’ambito dei servizi di marketing e di assistenza software che svolgi.

Anche il Garante Privacy italiano, nelle proprie FAQ dedicate al registro delle attività di trattamento (consultabili sul sito dell’Autorità al seguente link ), ha ribadito che è obbligato alla redazione di tale documento qualunque titolare o responsabile che effettui trattamenti non occasionali.

Se sei un’impresa che lavora nei servizi digitali indubbiamente tratti in modo non occasionale dati personali, sia con riguardo ai tuoi dipendenti/collaboratori, che con riguardo agli utenti dei tuoi clienti. Rientri quindi a pieno titolo tra i soggetti obbligati ad avere un registro dei trattamenti di dati personali.

Vediamo quindi qual è il contenuto minimo e necessario del registro dei trattamenti dell’agenzia di comunicazione, sia quando tratta dati personali in qualità di titolare del trattamento che quando assume il ruolo di responsabile del trattamento.

Come costruire il registro dei trattamenti della tua impresa

Per avere un registro dei trattamenti che sia uno strumento idoneo a censire i vari passaggi di dati personali (comunicazione, diffusione, archiviazione..) e a provare la conformità degli stessi al GDPR è necessario svolgere alcune attività fondamentali.

Ecco le attività principali per redigere un registro dei trattamenti conferme a GDPR:

  1. DUE DILIGENCE PRIVACY dell’agenzia di comunicazione. Bisogna descrivere ogni trattamento, analizzare le finalità, prendere nota dei soggetti coinvolti. Come fare? Noi utilizziamo un questionario approfondito che ci aiuta a comprendere bene ogni profilo di trattamento dei dati personal dell’agenzia di marketing.
  2. ASSESSMENT PRIVACY della web agency. È fondamentale partire da quello che c’è già quindi riprendere la documentazione già adottata dall’agenzia di comunicazione per la conformità alla normativa relativa al trattamento dei dati personali. Anche qui, noi utilizziamo una checklist che inviamo all’agenzia: sarà compito del referente inviarci i documenti richiesti e farci sapere quello che invece non è stato implementato.
  3. GAP AND RISK ANALYSIS della media company. Dalle precedenti fasi potrebbero emergere criticità in relazione alle quali potrebbe essere necessario pianificare delle attività correttive e/o preventive. Serve un’analisi del rischio per comprendere in ragione a ciascun trattamento dati marketing quelli che sono maggiormente esposti.
  4. REDAZIONE DEL REGISTRO dei trattamenti sulla base delle informazioni e documentazioni raccolte nelle precedenti fasi;
  5. REFRESH PERIODICO del registro dei trattamenti. Nella formazione privacy per le agenzie di comunicazione ci teniamo a sottolineare che la documentazione non va tenuta in un cassetto; non si tratta di ricezione formale ma di concreta applicazione. Questo significa che quando c’è un trattamento che cambia (e si sa, è un settore in rapidissima evoluzione) serve un intervento.

Il Team Privacy di Legal for Creativity fornisce supporto legale per lo svolgimento delle diverse fasi con una partecipazione attiva dell’agenzia di comunicazione anche in omaggio al principio di trasparenza che connota la nostra attività.

contatta il team privacy di legal for creativity

A) Il registro dei trattamenti dell’agenzia di comunicazione come titolare del trattamento

L’agenzia di comunicazione è titolare del trattamento

Il titolare del trattamento è chi decide in via autonoma i mezzi e le finalità del trattamento di dati personali. Sono tipicamente titolari del trattamento: il datore di lavoro e il proprietario di un sito web. 

Se come agenzia di comunicazione ti avvali della collaborazione di dipendenti o altre figure esterne, ne tratti necessariamente i dati personali in modo sistematico e non occasionale: sei quindi il titolare di tali trattamenti di dati personali e devi dotarti del registro dei trattamenti con il contenuto descritto dall’art. 30, par. 1, del GDPR.

Il registro dei trattamenti del titolare

II tuo registro dei trattamenti in qualità di titolare del trattamento deve riportare almeno le seguenti informazioni:

  1. nome e dati di contatto dell’agenzia di comunicazione
  2. nome e dati di contatto, se presenti, di eventuali contitolari del trattamento, del rappresentante del titolare e del suo DPO (per approfondire il tema del DPO consulta https://legalforcreativity.it/chi-e-il-data-protection-officer/; 
  3. le finalità del trattamento (es. trattamento dei dati dei dipendenti per la gestione del rapporto di lavoro; trattamento dei dati di contatto dei fornitori per la gestione degli ordini);
  4. base giuridica del trattamento (pur non rientrando tra le informazioni indicate dal GDPR quale contenuto minimo del registro, il Garante Privacy italiano nelle citate FAQ ne evidenzia l’opportunità di inserire nel registro dei trattamenti anche tale informazione);
  5. una descrizione delle categorie di interessati (es.: clienti, fornitori, dipendenti)
  6. una descrizione delle categorie di dati oggetto del trattamento (es.: dati anagrafici, dati sanitari, dati biometrici, dati relativi a permessi e congedi, dati relativi al profilo formativo, dati bancari, ecc.);
  7. individuazione delle categorie di destinatari a cui sono o saranno comunicati i dati personali. Tra questi andranno censiti eventuali altri soggetti ai quali – in qualità di responsabili e sub-responsabili del trattamento – siano trasmessi i dati da parte dell’agenzia di comunicazione (es. soggetto esterno cui sia affidato dal titolare il servizio di elaborazione delle buste paga dei dipendenti; provider esterno di software gestionali e/o di applicativi per l’analisi e la strutturazione dei dati inerenti alle campagne marketing, software house, ecc.);
  8. ove applicabile, i trasferimenti dei dati personali trattati verso paesi terzi o organizzazioni internazionali; 
  9. ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati personali trattati (ad es. in caso di rapporto contrattuale, i dati potranno essere conservati per 10 anni dall’ultima registrazione – v. art. 2220 del codice civile);
  10. ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative adottate in base all’art. 32 del GDPR.

Una volta creato il registro dei trattamenti dell’agenzia di comunicazione come titolare del trattamento, lo stesso dovrà essere mantenuto aggiornato tempo per tempo. Ad esempio, sarà necessario provvedere al relativo aggiornamento quando subentrano nuovi soggetti a cui vengono comunicati i dati personali, oppure quando decidi di avvalerti di nuove app che implicano la conservazione dei dati personali fuori dallo Spazio Economico Europeo.

B) Il registro dei trattamenti dell’agenzia di comunicazione come responsabile del trattamento

L’agenzia di comunicazione è responsabile del trattamento

Il Responsabile del trattamento è chi tratta i dati personali per conto del Titolare del trattamento. Tra i Responsabili del trattamento rientrano indubbiamente le agenzie di comunicazione che, nel curare campagne di marketing per conto dei propri clienti, trattano i dati personali dei clienti-utenti del proprio committente.

Alcuni esempi:

  • il trattamento di dati personali nella gestione dei profili social per conto dell’azienda e in questo ambito l’attività di community management piuttosto che di brand ambassador dei lavoratori dipendenti;
  • il trattamento dei dati personali nella gestione di un sito internet con canale e-commerce e quindi tutti i dati degli utenti registrati e non registrati che eseguono acquisti;
  • il trattamento dei dati personali nell’invio delle newsletter e quindi tutta l’attività di funnel, di acquisizione dei contatti e invio delle comunicazioni commerciali.

Se hai dubbi sulla figura di responsabile del trattamento dell’agenzia di comunicazione ti rinviamo all’articolo dedicato al tema così puoi verificare, anche in autonomia, il tuo ruolo.

Il registro dei trattamenti del responsabile

L’agenzia di comunicazione quale responsabile del trattamento deve tenere un registro di tutte le categorie di attività relative al trattamento svolte per conto di un titolare, il cui contenuto minimo è determinato dall’art. 30, par. 2 del RGPD.

Ecco le informazioni fondamentali che deve riportare il registro dei trattamenti di una web agency come responsabile:

  1. nome e dati di contatto del/dei responsabile/i del trattamento (tu);
  2. nome e dati di contatto di ogni titolare del trattamento per conto del quale si agisce come responsabile (ogni tuo cliente)
  3. nome e dati di contatto del rappresentante del titolare o del responsabile e, ove presente, del DPO;
  4. categorie di trattamenti effettuati per conto di ogni titolare del trattamento;
  5. i trasferimenti dei dati personali trattati verso paesi terzi o organizzazioni internazionali; 
  6. una descrizione generale delle misure di sicurezza tecniche e organizzative adottate in base all’art. 32 del GDPR (ove possibile);

Come visto, il registro del responsabile del trattamento risulta essere in parte “semplificato” rispetto a quello del titolar del trattamento, essendo meno le informazioni che vi devono comparire all’interno.

Tuttavia, è molto probabile che l’agenzia di comunicazione agisca in qualità di responsabile del trattamento per conto di più clienti quali autonomi e distinti titolari: in tal caso le informazioni sopra elencate dovranno essere riportate nel registro con riferimento a ciascuno dei suddetti titolari. Si dovrà, pertanto, suddividere il registro in tante sezioni quanti sono i titolari per conto dei quali agisce.

Da dove partire per un registro dei trattamenti nel marketing digitale?

Come hai appena letto, la tua web agency può essere sia Titolare del trattamento sia Responsabile del trattamento. Questo implica che dovrai munirti di due tipologie di Registro dei trattamenti, quello per Titolare del trattamento e quello per Responsabile del trattamento.

Se vuoi assicurarti di redigere i Registri dei trattamenti senza tralasciare aspetti rilevanti per la normativa privacy vigente possiamo avviare assieme il relativo processo di redazione. In questo modo puoi dotare la tua agenzia di comunicazione di tutti i presidi idonei a dimostrare la sua compliance privacy.

impostiamo la privacy della tua agenzia

Photo by Anete Lusina

Employee retention nell’agenzia di comunicazione: come fidelizzare i dipendenti strategici?

Scritto da Valentina Trevisan il . Pubblicato in Contratti e preventivi, Gestione dei dipendenti.

In settori estremamente concorrenziali come quelli del marketing, della comunicazione, del software o comunque per tutte le imprese che lavorano nel digitale, le persone possono rappresentare un vero e proprio vantaggio competitivo per l’agenzia: diventa quindi fondamentale adottare strumenti per mantenere il team di lavoro

Ci sono diverse misure che una web agency può adottare per migliorare il benessere del personale, evitare il tourover, trattenere il know how acquisito. Ad esempio, può mettere in atto un piano di welfare aziendale o adottare delle strategie di employee retention.

Employee retention: cos’è e perchè è importante?

L’employee retention o Human resource retention è un insieme di strategie e strumenti che consentono digital agency di fidelizzare i dipendenti strategici e trattenere i migliori talenti, evitando che le risorse più promettenti o con maggiore specializzazione passino alla concorrenza.

Gli strumenti possono essere diversi ma tutti orientati alla finalità di mantenere il dipendente all’interno dell’azienda. Uno degli strumenti è il patto di retention.

Il patto di retention – conosciuto anche come patto di stabilità o clausola di durata minima garantita – rientra tra queste strategie e permette, allo stesso tempo, di tutelare il know how dell’agenzia di comunicazione.

Cos’è il patto di retention

Il patto di retention è l’accordo con cui il datore di lavoro e/o il lavoratore si impegnano a non recedere dal rapporto di lavoro per un certo periodo di tempo minimo stabilito.

L’accordo può essere inserito come clausola all’interno del contratto individuale di lavoro o come patto aggiuntivo da far sottoscrivere al dipendente al momento dell’assunzione; oppure può rappresentare una pattuizione da negoziare con il lavoratore in un secondo momento, quando questi ha raggiunto un livello di formazione e competenze tali da diventare strategico.

Il patto di retention può essere utilizzato non solo nel rapporto con lavoratori di più alto profilo professionale, ma l’agenzia può valutare di sottoporre un accordo di stabilità anche a dipendenti con minore esperienza o più giovani, sui quali intende investire particolarmente a livello formativo.

Si tratta di un patto a cui si può ricorrere solo nei rapporti a tempo indeterminato. 

La stabilità del lavoratore in agenzia

La stabilità può essere garantita nell’interesse del lavoratore, del datore di lavoro o di entrambe le parti:

  1. nell’interesse del datore di lavoro – è l’ipotesi più frequente ed è quella che prevede l’impegno del solo lavoratore a non risolvere volontariamente il rapporto per un certo periodo di tempo. L’esigenza per l’agenzia può essere quella di assicurarsi la stabilità del rapporto a fronte di un investimento formativo costoso oppure quella di non correre il rischio che un dipendente particolarmente meritevole passi alla concorrenza;
  2. nell’interesse del lavoratore – qui è l’agenzia che si impegna a non risolvere volontariamente il rapporto di lavoro per un certo periodo di tempo. E’ una formula utilizzabile soprattutto quando si vuole trattenere in azienda una determinata professionalità ed offrire una garanzia concreta dell’interesse alla prosecuzione ed al mantenimento della collaborazione;
  3. nell’interesse di entrambe le parti – è la situazione più bilanciata in cui sia il lavoratore che il datore di lavoro si obbligano, reciprocamente, a non risolvere volontariamente il rapporto in un arco di tempo determinato. Vi è una presenza, equilibrata, dei due interessi di cui sopra.

Come costruire un patto di stabilità in una software house

Il principale contenuto del patto di retention è l’obbligo di non recedere dal rapporto di lavoro (e, quindi, di non rassegnare le proprie dimissioni volontarie o di non licenziare volontariamente) per un certo periodo di tempo.

Deve trattarsi di un recesso volontario:

  • dimissioni volontarie (lato lavoratore)
  • licenziamento per giustificato motivo, soggettivo o oggettivo (lato datore)

Non ci sono particolari limiti di durata. L’impegno deve, però, avere un termine e nella sua determinazione si deve tener conto dell’interesse sotteso al patto e del profilo professionale del lavoratore a cui si propone.

Nel caso in cui il patto risponda ad un interesse dell’agenzia, occorre offrire una contropartita al lavoratore che può essere un compenso economico (per i lavoratori specializzati e di più alto profilo) o l’offerta di un percorso formativo non obbligatorio, come potrebbe essere un master o un corso di alta specializzazione o di qualificazione professionale (di durata pluriennale o con un costo particolarmente elevato).

Come in qualsiasi contratto, è bene verificare che il contenuto sia bilanciato e che gli impegni individuati siano proporzionati e non comportino un sacrificio eccessivo per una delle parti.

costruiamo un patto di stabilità bilanciato

Il problema del recesso anticipato

1) Se il lavoratore non rispetta il patto di l’employee retention

Se il recesso volontario anticipato durante il periodo di stabilità è ingiustificato e l’agenzia ha diritto al risarcimento del danno patito.

Per evitare contenziosi sulla prova e sulla quantificazione del danno, è possibile inserire nell’accordo una penale e prevedere che, in caso di dimissioni anticipate, il dipendente debba corrispondere all’agenzia una somma di denaro prestabilita. 

Accade spesso, soprattutto se la stabilità è individuata per più anni, che la penale venga fissata in importi decrescenti in relazione alla durata del rapporto: se, ad esempio, il patto di retention ha durata triennale, la penale sarà maggiore in caso di dimissioni entro il primo anno e minore in caso di dimissioni pervenute nel terzo anno.

Se, invece, il patto prevede l’investimento in formazione, la penale può essere commisurata ai costi sostenuti dall’agenzia per il corso di formazione e specializzazione.

Bisogna ricordare che, nel caso in cui dovesse sorgere un contenzioso tra le parti, la penale può essere ridotta in giudizio ed è quindi importante che, sin da subito e nella stesura del patto, si individui un importo che sia più equo possibile.

2) Se l’agenzia di comunicazione non rispetta la clausola di human resource retention

Se l’agenzia recede prima della durata stabilita contravvenendo all’obbligo assunto (in caso di patto rispondente all’interesse del lavoratore o di entrambe le parti), il dipendente ha diritto al risarcimento del danno parametrato alle retribuzioni che gli sarebbero spettate se il recesso non fosse intervenuto.

Le eccezioni al patto di stabilità

Con il patto di stabilità non si può vietare qualsiasi tipo di recesso.

Come abbiamo visto, infatti, l’accordo vieta le risoluzioni volontarie durante il periodo di validità del patto: dimissioni volontarie o licenziamenti per giustificato motivo oggettivo o soggettivo.

Pur in presenza del patto e durante la sua validità, però, è sempre possibile il recesso per giusta causa o per impossibilità sopravvenuta della prestazione.

In questi casi, il recesso è legittimo e non è dovuto alcun risarcimento del danno.

È quindi fondamentale che la clausola venga adottata in modo ragionato all’interno dell’impostazione di una strategia più ampia e sia collegata alle diverse iniziative dell’agenzia di comunicazione per mantenere stabile il capitale umano.

richiedi una employee strategy

Foto di Jess Bailey su Unsplash

Contratto di sviluppo software: cosa inserire nell’accordo

Scritto da Valentina Trevisan il . Pubblicato in Contratti e preventivi, Web e nuove tecnologie.

La progettazione del software, la declinazione delle funzionalità di un asset immateriale, la licenza d’uso di APP in abbonamento, l’aggiornamento di un applicativo pre-installato, la correzione dei bug di un sistema, la manutenzione ordinaria continuativa, la gestione da remoto del database (ecc..) sono tutte attività che devono essere regolate all’interno di uno o più contratti che la software house sottopone al proprio cliente prima di iniziare i lavori.

Come scrivere un contratto per APP

Premessa: all’interno di questo sito internet, in questa sezione, puoi trovare risorse informative utili per inquadrare bene le tue esigenze legali e comprendere quali sono le problematiche di maggiore rilevanza, da prevenire, con riguardo alla tua specifica attività. L’obiettivo quindi non è quello di farti diventare un avvocato ma di comunicarti cosa può essere importante implementare all’interno della tua realtà aziendale.

E quindi, non ti fornirò un format di contratto generico, né alla fine del post potrai metterti a scrivere in via autonoma l’accordo, ma avrai degli strumenti da cui partire focalizzare le tue esigenze, da condividerci.

scrivici le tue esigenze

Le definizioni principali da inserire in un contratto di progettazione APP

La prima questione da affrontare è quella di individuare le definizioni. Ti sembrerà forse una banalità, ma a mio avviso, per evitare fraintendimenti tra te e il tuo cliente, che possono diventare vertenze e sfociare addirittura in contenziosi, è fondamentale che i primi articoli riportino cosa si intende per ciascuna delle attività, dei servizi, dei prodotti e di tutto quanto intendiamo regolamentare nel contratto.

Ad esempio:

  • Cosa si intende per “software”? Si tratta del file eseguibile che verrà messo a disposizione del cliente oppure si tratta del codice sorgente che viene sviluppato e sorregge l’eseguibile?
  • Cosa si intende per “sviluppo”? Include anche l’attività di progettazione oppure si tratta di declinazione di un prodotto esistente di proprietà dell’azienda IT?
  • Cosa si intende per “interfaccia”? Può essere utile definirla anche con riguardo poi all’eventuale richiesta da parte del cliente di non sviluppare qualcosa di simile per i competitor.

Ovviamente, questi sono solo tre esempi. Talvolta i contratti che il team di Legal for Creativity redige, possono contenere anche un foglio intero di definizioni. Questo unicamente perchè vogliamo chiarezza e assicurarci un’interpretazione più oggettiva possibile.

L’oggetto del contratto: le fasi di sviluppo del software

La seconda questione da affrontare è l’oggetto del contratto, ossia la prestazione principale che l’azienda IT si impegna a svolgere a favore del proprio cliente.

L’oggetto può essere descritto in modo sintetico, ma deve contenere, senza possibilità di diversa interpretazione esattamente cosa si impegna a svolgere l’azienda IT.

E quindi: progettazione, sviluppo, declinazione funzionale, messa a disposizione, aggiornamento, manutenzione continuativa, integrazione, progettazione dell’interfaccia utente, ideazione di meccanismi di facilitazione, ecc.

Per aiutarci a definire bene l’oggetto del contratto, basta che pensiamo alle fasi del lavoro. È fondamentale una pianificazione, anche dividendola, se previsto, per stati di avanzamento e determinando poi, per ciascuna fase, qual è il ruolo del cliente.

richiedi una check-list per il contratto di sviluppo software

La proprietà intellettuale del software e il know how della software house

È importante che il cliente comprenda cosa si intende per: codice sorgente, versione beta, eseguibile, interfaccia e tutto quanto necessario per poi comprendere a chi spettano i diritti su quanto realizzato.

Di norma, ma questo cambia in ragione all’attività della software house, distinguo tra:

  • “background IP”: tutto quanto c’era prima che il cliente conferisse l’incarico; il know how, i dati, le informazioni, le stringhe di codice e tutto quanto costituisce il “format” di base su cui poi l’azienda procede con le attività di progettazione, scrittura, definizione;

La background IP, oltre ad essere di esclusiva proprietà dell’azienda IT, non deve essere in alcun modo ceduta, ma nemmeno messa a disposizione in chiaro. Si tratta dell’avviamento della software house e quindi dell’asset immateriale più prezioso per il lavoro.

  • “foreground IP”: tutto quanto sviluppato, declinato, progettato e tradotto in codice, nel corso del contratto; il cliente ha quindi richiesto quell’APP e la software house, partendo dal proprio asset e quindi dalla background IP, procedere nello sviluppo di quanto richiesto.

La foreground IP, sotto il profilo dei diritti morali, è di titolarità della software house. Con riguardo invece ai diritti di utilizzazione economica, questo dipende dagli accordi assunti con il cliente finale. A mio avviso è sempre bene distinguere i due profili di proprietà intellettuale ma mantenere anche questo in capo esclusivo dell’azienda IT. Semplicemente, sarà messo a disposizione, in licenza o in cessione, l’eseguibile originato dalle implementazioni e dunque anche attraverso la foreground IP.

Questo chiaramente non consente alla software house, domani, di vendere esattamente lo stesso software a terzi, sviluppato per conto del cliente, acquisita la foreground IP.

In questo senso quindi, sono da prevedersi dei limiti e un bilanciamento delle posizioni delle parti.

Queste valutazioni vanno quindi compiute anche avuto riguardo:

  1. All’oggetto del contratto: declinazione di un funzionalità esistenti oppure odine di sviluppo di qualcosa di nuovo?
  2. Alla presenza di un’esclusiva o non concorrenza: richiesta di non commercializzazione di un prodotto simile con riguardo alle funzionalità o all’aspetto?
  3. Alla modalità di gestione dell’interfaccia grafica e della titolarità del design (potrebbe essere l’unico aspetto davvero rilevante per il cliente);

Il format di contratto e la gestione degli allegati

Come anticipato, non posso fornirti un modello di contratto che vale per tutte le software house che sviluppano applicativi per aziende. In questo articolo ho voluto condividerti solo alcuni dei principali punti che devono essere valutati per poi andarli a formalizzare in un documento contrattuale.

Quello che però posso dirti è che, non necessariamente poi devi dotarti di un contratto ad hoc per ogni cliente. Se sei verticale su un complesso di attività e si riesce a regolamentarle allo stesso modo, sarà sufficiente un accordo unico che poi potrai adattare anche autonomamente attraverso gli allegati.

richiedi una consulenza per un contratto di sviluppo applicativi aziendali

Foto di ThisisEngineering RAEng su Unsplash

Il grafico dipendente può avere clienti personali? La concorrenza sleale all’agenzia di comunicazione

Scritto da Valentina Trevisan il . Pubblicato in Contratti e preventivi, Gestione dei dipendenti.

Cosa può fare la web agency per tutelarsi da una possibile concorrenza del lavoratore dipendente e salvaguardare il proprio know how? In questo articolo parliamo di questo argomento.

La figura del lavoratore dipendente di un’agenzia

Il graphic designer, si sa, è una professione che può essere svolta come dipendente o come freelance e molto spesso collaborando attivamente con una o più agenzie.

Ai graphic designer, anche se dipendenti di un’agenzia, succede spesso di:

  • ricevere contatti da potenziali clienti diversi da quelli propri dell’agenzia per cui si opera e che potrebbero diventare dei clienti personali.

L’occasione può essere sicuramente interessante, anche per assicurarsi maggiore visibilità e un’ulteriore entrata. Addirittura si potrebbe valutare di risolvere il proprio rapporto di lavoro con l’agenzia per dedicarsi esclusivamente alla propria attività di freelance.

  • ricevere delle offerte di lavoro da un competitor dell’agenzia di comunicazione per la quale si lavora.

Anche in questo caso il contratto di lavoro dipendente può essere destinato a chiudersi a seguito di una proposta migliorativa.

Si tratta di situazioni molto frequenti nella realtà e che portano l’agenzia a chiedersi:

  1. Come evitare che i dipendenti svolgano attività in concorrenza, sia durante che alla fine del rapporto di lavoro?
  2. Quali tutele preventive e successive si possono attivare?

Abbiamo già trattato in questo articolo della possibilità di avere un “doppio lavoro” ossia di essere un lavoratore dipendente e di intraprendere contemporaneamente un secondo lavoro, individuandone le condizioni ed i limiti.

Ci soffermeremo, ora, su cosa può fare l’agenzia per tutelarsi da una possibile concorrenza e salvaguardare il proprio know how (per una panoramica sui vari strumenti di tutela del know-how dell’agenzia di comunicazione puoi leggere qui).

Chiaramente, tutto deve poi essere vagliato con riguardo alla specifica realtà aziendale.

CONTATTACI PER la tutela del lavoro in agenzia

L’obbligo di fedeltà del lavoratore di una web agency

Il grafico dipendente dell’agenzia è tenuto a rispettare l’obbligo di fedeltà. È un impegno previsto dal codice civile e assunto con la sottoscrizione del contratto di lavoro.

Cos’è l’obbligo di fedeltà?

Per l’intera durata del rapporto di lavoro, è vietato al dipendente trattare affari – per conto proprio o di terzi – in concorrenza con il proprio datore di lavoro.

E se il grafico dipendente svolge attività in concorrenza durante il rapporto di lavoro?

L’agenzia può:

  • avviare un procedimento disciplinare nei confronti del dipendente;
  • applicare la sanzione proporzionata alla gravità del fatto, potendo anche licenziare il dipendente;
  • chiedere ed agire per l’immediata cessazione della condotta concorrenziale;
  • agire per il risarcimento del danno.

Quanto dura l’obbligo di fedeltà?

Bisogna ricordare che l’obbligo di fedeltà nasce al momento dell’assunzione e termina con la risoluzione del rapporto di lavoro. 

Successivamente la concorrenza è libera e possibile purché non sia sleale.

Se hai dubbi in merito al contratto di lavoro dipendenti che sottoponi ai tuoi lavoratori è bene compiere un’analisi specialistica.

richiedi l’analisi dei contratti di lavoro

Il patto di non concorrenza

Il patto di non concorrenza è uno strumento che consente alla web agency di tutelarsi preventivamente dalla possibile concorrenza che potrebbe essere svolta dai propri dipendenti alla fine del rapporto di lavoro.

Si tratta di un accordo con cui l’agenzia ed il dipendente stabiliscono che, successivamente alla risoluzione del rapporto e per un periodo di tempo definito, il lavoratore è obbligato a non svolgere attività in concorrenza.

Il patto può essere stipulato in qualsiasi momento del rapporto: all’inizio, in corso o in occasione della sua cessazione. Essendo, però, necessario il consenso di entrambe le parti (e, quindi, anche del dipendente), è opportuno sottoporlo già al momento dell’assunzione: in una fase successiva, infatti, potrebbe essere più difficile ottenere l’accettazione del lavoratore.

Una volta sottoscritto, l’accordo può essere sciolto solo con il consenso di entrambe le parti.

Non esiste un format di patto di non concorrenza e ti suggeriamo di evitare di scaricare gli esempi da internet. Puoi invece avere il tuo modello di contratto di lavoro dipendente con accluso il patto di non concorrenza, realizzato specificatamente per la tua realtà aziendale e in base alle tue esigenze.

supporto per la redazione del patto di non concorrenza

Vogliamo fornirti qui alcune informazioni di base per iniziare a valutare anche autonomamente l’opportunità di adottare questo strumento a tutela dell’agenzia di comunicazione contro la concorrenza dei creativi in uscita.

I requisiti di base del divieto di concorrenza

L’obbligo di non concorrenza non può essere a tempo indeterminato, né eccessivamente ampio per non compromettere del tutto la possibilità del dipendente di spendere la professionalità che ha acquisito o di trovare una nuova occupazione.

Per questo motivo, il patto deve osservare dei requisiti formali ben precisi, pena la sua nullità:

  • la forma deve essere scritta
  • il vincolo di non concorrenza deve essere contenuto entro limiti di oggetto, tempo, luogo
  • deve essere previsto un corrispettivo in favore del lavoratore

Il contenuto della clausola di non concorrenza all’agenzia di comunicazione

Nell’individuare il contenuto occorre bilanciare correttamente gli interessi di entrambe le parti e tenere presente alcun elementi fondamentali.

L’oggetto dell’obbligo dell’ex-dipendente creativo

Il grafico ex lavoratore dipendente, ora freelance, può impegnarsi sotto diversi profili nei confronti della media company per la quale ha lavorato per un tempo più o meno lungo.

L’obbligo è più o meno specifico o ampio anche in base al ruolo del lavoratore dipendente: PM, responsabile area e-commerce, responsabile eventi, ecc. Conosciamo bene la struttura delle piccole o grandi agenzie di comunicazione, sarà quindi nostra premura suggerirti in ragione alla specificità delle mansioni.

In generale l’oggetto può riguardare qualsiasi attività lavorativa (autonoma, dipendente, occasionale o svolta con altre forme) che si ponga in concorrenza con quella dell’agenzia, dovendo essere comunque assicurato un residuo margine di operatività per il dipendente.

Non possono essere inserite attività estranee al settore specifico in cui opera l’agenzia.

La durata dell’obbligo di non concorrenza

La durata massima del patto è di 3 anni per i lavoratori dipendenti e 5 anni per i dirigenti.

Il compenso per la non concorrenza

Il corrispettivo deve essere congro cioè proporzionato all’obbligo imposto al lavoratore.

La legge non prevede né la misura né le modalità di pagamento del corrispettivo: l’individuazione varia in base al singolo caso concreto. Si può prevedere il pagamento del corrispettivo durante il rapporto di lavoro o alla fine o successivamente; la somma può essere stabilita in misura fissa o come percentuale sulla retribuzione complessiva. 

Altri elementi della clausola

E’ possibile, poi, aggiungere all’accordo degli obblighi di informativa che impongano al dipendente di comunicare all’agenzia le successive posizioni lavorative per consentirle di verificare il rispetto del vincolo di non concorrenza.

Se hai intenzione di elaborare un documento da sottoporre ai tuoi nuovi dipendenti per il tempo successivo alla chiusura del rapporto, ti suggeriamo di iniziare dai vari profili qui indicati ma poi di farti dare supporto specialistico.

assistenza per l’elaborazione di un patto di non concorrenza

La violazione degli obblighi di non concorrenza

Se il dipendente viola il patto di non concorrenza l’agenzia può chiedere la restituzione dei corrispettivi già pagati, l’immediata cessazione dell’attività concorrenziale ed il risarcimento del danno subito. 

Può essere utile, per ridurre le problematiche legate alla prova del danno, inserire nel patto di non concorrenza una penale che il lavoratore è tenuto a pagare in caso di inadempimento.

Come sciogliere un patto di non concorrenza

Se il lavoratore vuole liberarsi dal patto di non concorrenza non può farlo autonomamente.

Accade, di solito, infatti che il lavoratore sottoscriva il patto di non concorrenza al momento dell’assunzione e voglia poi successivamente liberarsene quando valuta di lasciare l’agenzia.

Se non vi è il consenso dell’agenzia allo scioglimento del patto, il vincolo rimane e l’unico rimedio possibile è quello di valutare – ed eventualmente contestare – la legittimità formale dell’accordo raggiunto: è, dunque, essenziale impostare già correttamente dall’inizio il patto di non concorrenza, anche avvalendosi di un supporto legale.

Che tu sia dalla parte del lavoratore dipendente o della web agency è fondamentale valutare bene tutti gli aspetti qui richiamati.

informazioni sul patto di non concorrenza

Foto di Sargent Seal su Unsplash

Perchè un contratto di sviluppo software? Le problematiche principali e le ipotesi di soluzione. Con esempi pratici.

Scritto da Valentina Trevisan il . Pubblicato in Contratti e preventivi, Web e nuove tecnologie.

Se ti occupi di sviluppare software, piattaforme e gestionali, ti sarai sicuramente posto già molti quesiti che riguardano gli aspetti legali. In questo articolo voglio condividerti alcune soluzioni, tratte dalla mia esperienza di consulente legale per aziende IT.

Licenza o vendita del software?

Prima di addentrarmi su casi e questioni, facciamo una distinzione:

  • si parla di cessione quando viene trasferita la proprietà del software, con codice sorgente, interfaccia, funzionalità e tutto quanto costituisce il know how dell’azienda IT.
  • si parla di licenza quando invece viene messo a disposizione un software senza il trasferimento della titolarità, ma dietro pagamento di un canone annuale o mensile (ad esempio).

Di fatto, traducendo la situazione in qualcosa di tangibile, nel primo caso è come se stessimo acquistando una vettura, nel secondo caso è come se la prendessimo in affitto. Purtroppo però, abbiamo a che fare con beni immateriali (software, gestionali, piattaforme, ecc..), che discendono da una pluralità di attività (progettazione, sviluppo, declinazione, ecc..), che richiedono necessariamente un’adeguata protezione, altrimenti, le problematiche sono notevoli e talvolta di difficile soluzione.

Dotarsi di un contratto ben scritto, di un preventivo completo e prima ancora gestire in modo oculato le trattative, sin dal primo contatto, è fondamentale. Sappi che gestiamo anche vari percorsi formativi volti a trasmettere le conoscenze di base per la gestione, sotto il profilo legale, delle trattative con i clienti.

Le principali problematiche legali nello sviluppo software: esempi pratici

Nel corso della mia esperienza, sono stata incaricata a redigere varie tipologie di accordi aventi ad oggetto il software. Alcune volte però il cliente è arrivato a contattarmi “troppo tardi” e quindi abbiamo dovuto intervenire a tutela successiva cercando di dare una soluzione alle problematiche insorte.

1) Il problema della proprietà del codice sorgente

Il servizio di sviluppo e progettazione software dovrebbe prendere la consegna di un file eseguibile o direttamente embeddato nel luogo di destinazione, senza quindi la messa a disposizione delle stringhe che hanno consentito di raggiungere il risultato.

In assenza di contratto, con un preventivo poco chiaro e con una fattura altrettanto interpretabile, talvolta non è scontato. In alcuni casi si è arrivati alla situazione in cui il cliente pretendeva di vietare all’azienda IT di utilizzare il proprio know how (codice sorgente dunque) per altre situazioni, perchè appunto, era stato acquisito.

Come evitare questo problema? È fondamentale definire bene sin dalla fase delle trattative, cosa viene consegnato al cliente, in quali termini, limiti, modalità.

2) Il problema della partnership con il cliente della software house

Talvolta si crea una sorta di partnership tra l’azienda IT che sviluppa un nuovo software, innovativo e il cliente finale che intende concedere in uso ai propri clienti il software. In questi casi, è fondamentale quantificare il lavoro svolto nella fase di sviluppo, definire le % rispetto agli introiti, ma sopratutto anche l’impegno del cliente nella promozione del prodotto.

In questo caso, in assenza di un’adeguata regolamentazione, si rischia di perdere alcune voci. Può essere opportuno quindi tenere a mente, con riguardo ai prezzi:

  • il corrispettivo per la fase di sviluppo del software per conto del cliente;
  • i canoni per le attività di aggiornamento del software sulla base delle richieste del cliente:
  • la percentuale di introiti derivanti dalla messa a disposizione del software agli utenti;
  • i compensi per le attività di manutenzione, magari diretta, presso gli utenti.

Come evitare problematiche? È fondamentale partire da un audit approfondito e completo perchè non è detto che tutto debba essere regolamentato all’interno di un unico contratto.

richiedi un audit di prima parte

3) Il problema del divieto di concorrenza: i competitor del cliente

Il cliente può imporre alla software house il divieto di commercializzare software simili, dal punto di vista delle funzionalità, nei confronti di soggetti in concorrenza.

Il problema può sorgere qui laddove l’accordo sia generico. E in questi casi, sorgono contenziosi.

La soluzione è quindi quella di stabilire un accordo iniziando da questi quesiti:

  • Qual è l’attività vietata? La commercializzazione del medesimo software dal punto di vista dell’interfaccia o di un software, anche visivamente molto diverso, ma con le stesse funzionalità?
  • Qual è la durata? Di norma, le clausole che limitano la facoltà di commercializzare con terzi, sono fissate entro limiti temporali e in questo caso si consideri che il software comunque è soggetto sempre a nuovi aggiornamenti che limitano anche la vita utile.
  • Qual è il compenso? La limitazione alla facoltà di riutilizzare il know how acquisito per lo sviluppo di quell’applicativo, come viene ricompensata?
richiedi un accordo per lo sviluppo software

4) Il problema della declinazione funzionale

Altro punto fondamentale è comprendere qual è effettivamente l’attività che la software house si impegna a svolgere verso il cliente. Io parlo di declinazione funzionale in tutti i casi in cui lo standard di base sia esistente e a questo vengano (i) aggiunte le funzionalità richieste dal cliente sulla base di un listino messo a disposizione (ii) progettate altre funzionalità non previste nello standard.

Il problema quindi qui può porsi qualora le attività svolte non siano state adeguatamente descritte, anche con riguardo alla proprietà intellettuale del prodotto originario e dei nuovi elementi.

5) Il problema dei malfunzionamenti del software

Nei contratti, di appalto o di vendita, è prevista una responsabilità in caso di vizi e difetti, che deve essere fatta valere entro determinati limiti temporali e che ci consente di identificare cosa si intende per “vizi” e per “difetti”.

Intuisci che con riguardo al software le questioni sono più delicate:

  • Il software può essere integrato all’interno del gestionale del cliente e i problemi possono sorgere perchè i due prodotti “non riescono a parlarsi”;
  • Il software “non gira” sul luogo di destinazione per ragioni che dipendono dal cliente, il quale ha omesso di fornire informazioni rilevanti;
  • Ci sono dei malfunzionamenti che non dipendono da chi ha sviluppato l’APP;

Come risolvere le problematiche? Ci sono varie modalità, in questo caso. Faccio un grande uso degli allegati ai contratti per definire bene il prodotto, le attività, i servizi. In questi casi potrebbe essere utile:

  • Allegato 1 : Elenco delle funzionalità del software sulla base delle richieste del cliente;
  • Allegato 2: Attività che verranno svolte autonomamente dal cliente (o da terzi) con riguardo al complesso della piattaforma con caratteristiche della stessa;
  • Allegato 3: Elenco delle attività di manutenzione con distinguo;

Come scrivere un contratto di sviluppo software: da dove partire

In questo caso (in altri casi fornisco una checklist), ti suggerisco di iniziare dalle problematiche che hai ravvisato sino ad ora nella tua attività di sviluppatore. Mettile nero su bianco e magari, se riesci, individua la ragione da cui è disceso la questione e come, in quel caso, è stata data la soluzione.

Come si sarebbe potuto prevenire il problema?

Quale avrebbe potuto essere la soluzione migliore?

Il problema ha provocato danni economici o all’immagine dell’azienda?

In seconda battuta, prendi nota delle fasi di sviluppo del software, con riguardo alle richieste e al ruolo del cliente.

Il cliente fornisce un elenco di funzionalità di cui ha necessità?

L’azienda IT invia un report delle richieste che deve essere confermato?

Legal for Creativity si occupa di fornire consulenza legale per la redazione di contratti per lo sviluppo di software, gestionali, piattaforme, in base alle esigenze dell’azienda e alle specificità del prodotto e degli accordi con il cliente. Si occupa anche di fornire un’adeguata formazione con riguardo alla gestione di tutti gli aspetti problematici, alcuni dei quali qui esposti, per prevenire le questioni o comunque raggiungere una soluzione.

richiedi una consulenza per un contratto di sviluppo applicativi aziendali

    Foto di Markus Spiske su Unsplash

    Software House: il ruolo di Amministratore di Sistema. Gli aspetti privacy

    Scritto da Valentina Trevisan il . Pubblicato in Privacy e data protection, Web e nuove tecnologie.

    Se sei una software house gestisci sistemi informatici delle aziende, fornisci manutenzione, sviluppi tool proprietari, dai supporto e assistenza anche da remoto. Chiaramente, questo comporta l’accesso a tutte le informazioni presenti nei sistemi informatici delle agenzie clienti, e tra queste anche dati personali. Come definire gli aspetti privacy?

    L’inquadramento del rapporto deve essere gestito in modo puntuale perchè implica risvolti privacy importanti: deve quindi essere tenuto in considerazione al momento della redazione del contratto di servizi, ad esempio di assistenza e manutenzione. Questo, sia che tu sia dalla parte della software house, sia che tu sia l’azienda cliente, sia che tu sia l’agenzia di comunicazione che esternalizza una parte dei servizi oggetto dell’incarico con il cliente finale (in questo caso, ti suggeriamo anche di vedere il contratto di servizi di comunicazione).

    In questo articolo vediamo quindi: chi è l’Amministratore di Sistema, quali sono le funzioni e i principali adempimenti privacy da gestire nel rapporto software house – cliente.

    Tutto quindi parte da una corretta regolamentazione delle attività che l’azienda IT si impegna a svolgere. Come sempre, il nostro modus operandi è partire da un’analisi approfondita dei tuoi servizi.

    step uno: definire l’oggetto dell’attività

    Chi è l’Amministratore di Sistema?

    L’Amministratore di Sistema è una figura professionale a cui società e agenzie di comunicazione ricorrono in outsourcing per avvalersi di servizi informatici specialistici che rivestono, nella maggior parte dei casi, un particolare ruolo sul piano operativo. 

    Come evidenziato dal Garante Privacy nel proprio provvedimento del 27 novembre 2008 sugli amministratori di sistema (come successivamente modificato il 25 giugno 2009), con la definizione di “Amministratore di Sistema” si individua “una figura professionale dedicata alla gestione e alla manutenzione di impianti di elaborazione con cui vengano effettuati trattamenti di dati personali, compresi i sistemi di gestione delle basi di dati, i sistemi software complessi quali i sistemi ERP (Enterprise resource planning) utilizzati in grandi aziende e organizzazioni, le reti locali e gli apparati di sicurezza, nella misura in cui consentano di intervenire sui dati personali”. Inoltre, vengono considerati Amministratori di Sistema anche i seguenti tecnici IT:

    • amministratori di reti, addetti alla configurazione e gestione delle reti aziendali, compresi firewall, router e switch, al fine di garantire la stabilità e sicurezza delle reti e il corretto accesso alle risorse condivise;
    • amministratori di server, ivi inclusi i server di posta elettronica, i server web e i server di database specifici, affinché gli stessi siano sempre disponibili, sicuri e performanti;
    • amministratori di software complessi, si pensi ai sistemi ERP – Enterprise resource planning o CRM – Customer Relationship Management.

    L’Amministratore di Sistema di occupa quindi di ogni tipologia di rete informatica, a prescindere che la stessa sia accessibile via web o meno, come nel caso delle reti intranet. Può essere incaricato della definizione e gestione delle procedure di autenticazione alla rete, dell’implementazione di idonei sistemi di backup e disaster recovery, dell’impostazione e aggiornamento dei livelli di autorizzazione all’accesso da parte degli utenti ai diversi database, oltre che dell’implementazione delle più adeguate misure di sicurezza disponibili in considerazione del processo specifico e dello stato dell’arte.

    Ti identifichi in queste attività? Alcuni dei tuoi servizi rientrano in quelli descritti (anche solo in parte)? Ecco, allora sei qualificabile come amministratore di sistema.

    ti aiutiamo a descrivere le attività

    Quando la Software House è Amministratore di Sistema?

    La software house, l’azienda di consulenza informatica, il sistemista anche autonomo, incaricati di servizi di monitoraggio, assistenza, aggiornamento e/o manutenzione di sistemi informatici, o singole componenti degli stessi, assume il ruolo di Amministratore di Sistema ogni qual volta è concretamente responsabile di specifiche fasi che presentano profili di criticità rispetto alla protezione dei dati detenuti dalla società cliente, tra i quali anche dati personali. 

    Ad esempio:

    • La software house che ha sviluppato il gestionale sulla base delle richieste dell’azienda cliente e che presta attività di manutenzione e assistenza da remoto. Ha accesso ai dati immessi dall’azienda e ai vari database. Questa non è la sede, ma qui bisogna fare attenzione anche alle informazioni confidenziali e optare per un NDA.
    • Il sistemista informatico che si occupa delle reti aziendali e che assicura il funzionamento del wifi e di tutte le connessioni, vpn incluse. Anche in questo caso, ha accesso a dati e informazioni.
    • L’IT manager che si occupa di fornire consulenza informatica, gestire gli aspetti digitali dell’organizzazione, backup, server, posta elettronica, ecc. Anche qui, una notevole mole di dati personali.

    Un’azienda e tanti amministratori di sistema

    L’Amministratore di Sistema non necessariamente è un soggetto unico: qualora in un’ottica di maggior efficienza operativa si ricorra a più software house incaricate di diversi servizi informatici, l’azienda deve valutare attentamente la necessità di individuare più Amministratori di Sistema, specificando per ciascuno di essi l’ambito operativo. 

    Quando la software house non è amministratore di sistema

    Attenzione però: non possono essere considerati Amministratori di Sistema tutti quei soggetti che intervengono sui sistemi occasionalmente, ad esempio in seguito a guasti e manutenzioni.

    Questo però non implica che gli stessi soggetti non ricoprano ugualmente un ruolo specifico dal punto di vista privacy, quale quello del responsabile esterno del trattamento. Si tratta, in questo caso, di valutare analiticamente tanto la tipologia di attività svolta quanto la potenziale accessibilità dei dati personali presenti nel sistema informatico oggetto di manutenzione.

    Possiamo aiutarti quindi a definire bene il tuo ruolo, sia per evitare di fare errori nella qualificazione, sia per assumerti responsabilità e rischi che non ti riguardano.

    ti aiutiamo a definire il ruolo privacy

    Rapporto contrattuale e ruolo privacy di software house e agenzia di comunicazione

    Il ruolo di Legal for Creativity è quello di fornire assistenza e consulenza legale ad agenzie di comunicazione, software house e aziende che lavorano online.

    Ecco quindi che il rapporto agenzia di comunicazione – software house per noi è particolarmente importante. Da questo, con riguardo al ruolo privacy possono accadere due situazioni.

    1) Software house come amministratore di sistema dell’agenzia di comunicazione

    La software house incaricata direttamente dall’agenzia di comunicazione per supporto interno all’agenzia stessa.

    Ad esempio: servizi di implementazione e aggiornamento di software che potrebbero comportare l’accesso da remoto ai database dell’agenzia di comunicazione, in cui risiedono i dati personali dei soggetti target delle attività di marketing di cui l’agenzia di comunicazione è incaricata.

    2) Software house come sub-responsabile del trattamento per un cliente finale

    Qui invece la software house viene si incaricata dall’agenzia di comunicazione ma per svolgere un’attività per il cliente finale dell’agenzia stessa.

    Ad esempio: sviluppo, da parte della software house, di un software che viene poi embeddato all’interno di un sito che è stato realizzato dall’agenzia di comunicazione per il cliente finale.

    Oppure attività di analisi di dati dell’agenzia di comunicazione impliciti e prodromici alla corretta esecuzione delle attività di assistenza IT (anche occasionali e on demand).

    Chiaramente in questi casi non escludiamo il ruolo di amministratore di sistema. Possiamo anche valutare la qualifica di sub-responsabile.

    Torniamo quindi a dirti che: è fondamentale individuare le attività, i ruoli, gli obblighi, le responsabilità e dotarsi, di conseguenza, della documentazione adeguata.

    I documenti privacy dell’azienda informatica

    La nomina a responsabile del trattamento

    La software house nello svolgimento di servizi informatici quali servizi di monitoraggio, assistenza e aggiornamento che comportano l’accesso remoto ai dati dell’agenzia di comunicazione cliente, si trova a dover trattare dati personali di titolarità del cliente assumendo il ruolo tipico di responsabile del trattamento. 

    Se non sai di cosa stiamo parlando, ti rinviamo all’articolo dedicato alla figura di responsabile del trattamento con riguardo all’agenzia di comunicazione, a parte gli esempi, puoi comunque fare riferimento a quanto abbiamo riportato.

    L’incarico ad amministratore di sistema

    Inoltre, per quanto il Regolamento europeo sulla protezione dei dati personali (GDPR) non prevede espressamente la figura dell’Amministratore di Sistema, nondimeno nella prassi si ritiene che l’Amministratore di Sistema sia implicitamente richiamato in diverse disposizioni del GDPR, date le specifiche competenze di tale figura IT che ben si ricollegano al dovere del titolare e/o del responsabile del trattamento (i.e. l’agenzia di comunicazione) di adottare e mantenere aggiornate misure di sicurezza anche tecniche adeguate al rischio.  Ad esempio, se si guarda più dettagliatamente alle prescrizioni del legislatore europeo di cui all’art. 32 del GDPR, vi si trova un elenco di misure di sicurezza che implicano l’intervento di un soggetto inquadrabile come Amministratore di Sistema:

    • pseudonimizzazione e cifratura dei dati personali;
    • capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;
    • la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico;
    • una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.

    Ne discende che nella definizione contrattuale del rapporto tra l’Agenzia di comunicazione e la software house debbano essere tenuti in considerazione non soltanto gli aspetti tipici del rapporto tra titolare e responsabile del trattamento, quanto anche le specifiche prescrizioni indicate dal Garante Privacy nel provvedimento del 27 novembre 2008 sugli Amministratori di Sistema ancora oggi in vigore, non potendosi quest’ultimo ritenere superato dal GDPR.

    Gli adempimenti privacy per le attività di consulenza e assistenza informatica

    Il contratto di servizi tra il cliente e la software house o tra l’agenzia di comunicazione e la software house dovrà prevedere diversi adempimenti obbligatori, posti ora in capo all’una ora all’altra parte contrattuale.

    1) Gli obblighi privacy dell’azienda cliente (anche agenzia di comunicazione)

    In particolare, tra i doveri posti in capo all’azienda o all’agenzia di comunicazione:

    1. Valutazione delle caratteristiche soggettive dell’Amministratore di Sistema: prima di conferire l’incarico dovranno essere adeguatamente valutati i profili di esperienza, capacità e affidabilità della software house, aspetti di cui dovrà essere dato atto nel contratto;
    2. Designazioni individuali: per quanto l’incarico IT venga conferito ad una software house nel suo complesso, la designazione quale Amministratore di Sistema deve essere in ogni caso individuale e recare l’elencazione analitica degli ambiti di operatività consentiti ai singoli preposti dalla software house, in base al profilo di autorizzazione assegnato.
    3. Tenuta dell’elenco degli Amministratori di Sistema: gli estremi identificativi delle persone fisiche Amministratori di Sistema, con l’elenco delle funzioni ad essi attribuite, devono essere riportati in un documento interno all’agenzia di comunicazione da mantenere aggiornato e disponibile in caso di accertamenti anche da parte del Garante;
    4. Verifica delle attività: l’azienda cliente che conferisce l’incarico alla software house ha l’obbligo di verificare formalmente, con cadenza almeno annuale, l’attività dei singoli Amministratori di Sistema designati.

    Se si tratta di attività che devi ancora integrare nel tuo flusso di lavoro è importante inserire questa “Procedura Privacy” all’interno della “Procedura Contratto“. Abbiamo parlato di procedure e di documentazione contrattuale qui.

    2) Gli obblighi privacy della software house (anche IT manager autonomo)

    Tra gli obblighi imposti alla software house, connessi al punto 4, i fondamentali:

    1. Registrazione degli accessi: devono essere adottati sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli Amministratori di Sistema designati. Le registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità da parte dell’agenzia di comunicazione che conferisce l’incarico;
    2. Conservazione delle registrazioni: Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell’evento che le ha generate e devono essere conservate per un congruo periodo, non inferiore a sei mesi.

    Privacy per le aziende IT: da dove iniziare?

    Come puoi intuire, la gestione di dati personali è molto delicata ma chiaramente non è un’attività che devi o puoi fare in autonomia. Semplicemente, il ruolo della software house deve essere oggetto di un’attenta analisi con un professionista e sotto molteplici profili, analisi da rispecchiare poi nell’assetto contrattuale disciplinante i servizi IT esternalizzati. 

    Ti suggeriamo quindi di procedere per step.

    Il primo è rispondere a queste domande: quali sono le attività che svolgi per i tuoi clienti? Quali sono gli asset aziendali su cui intervieni? A quali dati ed informazioni hai accesso?

    Il secondo è dotarsi della documentazione contrattuale completa, implementare procedure e misure, dotarsi degli allegati privacy per lavorare in modo corretto, rispettoso della normativa e a prevenzione dei rischi della propria attività.

    CONTATTACI PER LA GESTIONE PRIVACY LATO IT

    Foto di Christina @ wocintechchat.com su Unsplash

    La gestione della posta elettronica del dipendente dell’agenzia di comunicazione

    Scritto da Valentina Trevisan il . Pubblicato in Gestione dei dipendenti, Web e nuove tecnologie.

    Il tournover delle agenzie impone di essere sul pezzo per non perdersi delle e-mail importanti da parte dei clienti a seguito dell’uscita dall’azienda del dipendente. Mantenere gli accessi o fare un reindirizzamento, è lecito?

    E-mail personale vs e-mail aziendale

    Ti parlo di e-mail personale perchè può accadere che il dipendente carichi all’interno del computer aziendale il proprio account personale, su autorizzazione del datore. Trascorrendo molte ore in ufficio può essere comodo avere l’accesso e poter controllare, durante le pause, eventuali questioni personali. Ovviamente, il datore di lavoro non è obbligato a consentirlo.

    Ecco, l’e-mail personale, anche se l’account è caricato all’interno del device aziendale, non può mai essere oggetto di accesso ed il contenuto deve rimanere strettamente segreto.

    Quanto invece all’e-mail aziendale, e quindi tipicamente nome.cognome@nomeazienda.it la regola è diversa. Il datore di lavoro può accedere all’e-mail aziendale, per tutela del patrimonio aziendale (durante il corso del rapporto) ovvero per assicurare la continuità aziendale (dopo la cessazione) ma a certe regole.

    L’accesso all’e-mail aziendale del dipendente

    Dal punto di vista generale, l’accesso all’e-mail aziendale, costituisce un trattamento di dati personali oltre ad un controllo a distanza sull’attività del dipendente (possibile solo nel rispetto delle condizioni previste dallo Statuto dei Lavoratori – ne abbiamo parlato qui)

    Il trattamento dei dati personali del dipendente richiede, per quanto riguarda la privacy, il rispetto del GDPR e nello specifico, di alcuni principi:

    • Il principio di liceità e trasparenza ci impone di informare preventivamente il lavoratore del fatto che l’azienda può accedere all’e-mail aziendale;
    • Il principio di limitazione della conservazione ci impone di fissare un termine di conservazione dell’accesso che preveda la rimozione della casella, la disattivazione ed un messaggio automatico;
    • Il principio di responsabilizzazione impone all’azienda di effettuare delle scelte consapevoli in merito al trattamento e gestione di questo tipo di dati personali

    Il controllo dell’e-mail è poi possibile solo se vengono rispettati i principi di pertinenza e di non eccedenza: non è ammesso un accesso prolungato, costante ed indiscriminato a tutte le e-mail dell’account del dipendente (o ex dipendente) e non è possibile raccogliere a priori tutte le e-mail in vista di futuri contenziosi.

    Il reindirizzamento dall’e-mail aziendale dell’ex dipendente

    Il Garante non fa nessuna distinzione con riguardo al re-indirizzamento. Vero che il datore di lavoro non sta concretamente accedendo (e quindi magari non visualizza la posta inviata o le bozze) ma comunque esegue un trattamento dei dati, in quanto può dare lettura delle comunicazioni indirizzate all’ex dipendente.

    Quali sono i diritti del lavoratore e del datore

    Da una parte ci sono i diritti del lavoratore alla segretezza della corrispondenza e al lecito trattamento dei dati personali.

    Dall’altra, c’è il diritto del datore di lavoro al corretto adempimento della prestazione lavorativa (che passa anche attraverso il corretto uso degli strumenti informatici) nonchè alla tutela del patrimonio aziendale e all’iniziativa economica (che passa anche dall’assicurare continuità ai clienti nella risposta).

    I diritti devono quindi essere correttamente bilanciati con quelli del lavoratore assicurando la salvaguardia della libertà e dignità, nonchè il rispetto dei principi fissati dal GDPR.

    I problemi e i vantaggi nella gestione dell’e-mail aziendale

    Ti parlo di questo argomento perchè ci viene chiesto di frequente e perchè è bene conoscere i rischi a cui si incorre ma anche i vantaggi di cui si può beneficiare costruendo un impianto privacy adeguato.

    E infatti:

    • sotto il profilo negativo, se non hai informato preventivamente il lavoratore dell’accesso e lo fai, stai violando il diritto del lavoratore alla segretezza della corrispondenza, potrai quindi ricevere richiesta danni dal dipendente;
    • sempre sotto il profilo di rischio, l’accesso, il re-indirizzamento, la conservazione, è un trattamento che se non hai regolamentato in modo corretto è illecito, e puoi subire sanzione da parte del Garante;
    • in positivo, se hai informato il dipendente puoi effettivamente accedere e mantenere continuità aziendale nei confronti dei clienti che erano seguiti dall’ex dipendente;
    • se sei in regola con la normativa privacy e hai un Regolamento d’uso degli strumenti informatici, le informazioni raccolte dall’accesso all’e-mail possono essere utilizzate come prova in giudizio o nell’ambito di un procedimento disciplinare;;

    Cosa deve fare il datore di lavoro per l’e-mail aziendale

    Le 2 regole per accedere all’e-mail del dipendente

    1. Informare il lavoratore in modo completo e trasparente, delle modalità di trattamento, delle finalità di accesso, del periodo di conservazione. Deve quindi mettere a disposizione al momento dell’assunzione una completa, Informativa ex art 13 GDPR sul trattamento dei dati personali.
    2. Formare il lavoratore nel corretto uso degli strumenti informatici, non solo e-mail ma anche device, tablet, chiavette, software e accesso ad internet. Deve quindi creare una procedura ed un Regolamento d’uso degli strumenti informatici indicando anche le modalità con cui il controllo può essere effettuato.

    Dove si trovano questi documenti? Devono essere formati dopo un’attenta valutazione.

    I punti di partenza per evitare problemi con gli ex-dipendenti

    1. Fare una lista degli strumenti aziendali che metti a disposizione dei lavoratori
    2. Recuperare le procedure (se ci sono) relative alle modalità di utilizzo da parte dei dipendenti ed ex dipendenti
    3. Verificare se tra la documentazione che consegni al lavoratore al momento dell’assunzione c’è l’informativa che contiene delle informazioni relative all’uso della posta elettronica e il regolamento

    Il punto di arrivo per l’adeguamento

    Svolti i tre compiti sopra deve essere svolto un audit aziendale che consenta, a livello operativo di capire quali sono gli strumenti, da chi e come vengono utilizzati per poi eliminare i rischi, arginare le problematiche, adottare procedure, formare documentazione e adeguarsi.

    procediamo con l’audit aziendale

    Il contratto di manutenzione e assistenza di una software house

    Scritto da Valentina Trevisan il . Pubblicato in Contratti e preventivi, Web e nuove tecnologie.

    Il contratto di manutenzione e assistenza è il documento fondamentale per regolamentare in modo corretto i rapporti giuridici tra il fornitore di assistenza software e hardware e l’azienda cliente. In questo articolo, esploriamo gli elementi chiave del contratto, evidenziando i rischi e le maggiori responsabilità per la software house.

    Cos’è il contratto di manutenzione e assistenza

    Il contratto di manutenzione software e hardware è un accordo stipulato tra il fornitore (software house, azienda di hardware, ufficio IT esterno) e il cliente, per garantire la corretta operatività di APP e software, la manutenzione ordinaria e straordinaria dei sistemi informatici e telematici e la continuità nel lavoro dei dispositivi hardware.

    Dal punto di vista giuridico il contratto può essere qualificato come un contratto d’opera o un appalto di servizi, con taluni elementi del contratto di somministrazione. Si dice un contratto atipico perchè il nostro codice civile non contiene la regolamentazione specifica.

    Inoltre, il contratto di manutenzione e assistenza è un contratto ad effetti obbligatori (non prevede trasferimenti di proprietà) e a prestazioni corrispettive (il fornitore si impegna a fornire assistenza, il cliente paga).

    Cosa inserire nel contratto?

    Ci sono degli elementi essenziali, che devono necessariamente essere inseriti. Altri elementi, possono anche non esserci, ma se si decide di inserirli vanno a definire le caratteristiche e gli effetti dell’accordo stesso nonchè gli obblighi delle parti.

    Gli elementi essenziali di un contratto di assistenza e manutenzione

    1) Indicazione delle parti

    La prima attività fondamentale è individuare bene i soggetti, fornitore e cliente. Non è scontato quando ad esempio il fornitore è parte di un gruppo di lavoro più ampio, chi si occupa di IT, chi di sviluppo, chi di comunicazione, account…; e nemmeno quando il cliente è controllata da una capogruppo oppure incarica di gestire le reti delle varie aziende collegate.

    2) Descrizione dei Servizi

    Il contratto deve definire chiaramente i servizi di manutenzione e assistenza offerti, gli aggiornamenti del software, la sostituzione dell’hardware...

    È importante che sia correttamente descritto il servizio ed è altresì importante evitare di includere attività non concordate o diciture interpretabili. Ad esempio, ho letto in un contratto che il fornitore si impegnava “a compiere comunque tutto quanto ulteriormente necessario anche se non incluso nell’attività di cui sopra..” una descrizione così ampia può causare problematiche non indifferenti

    3) Termini e Condizioni di Pagamento

    È fondamentale specificare i dettagli relativi ai costi dei servizi di manutenzione, le modalità di pagamento, eventuali dilazioni.

    È possibile prevedere delle clausole penali in caso di ritardo nel pagamento o la facoltà di sospendere immediatamente le attività di assistenza con il divieto di continuare a fruire del software.

    Altre clausole importanti di un contratto di manutenzione continuativa

    4) Durata del contratto e recesso

    Il contratto potrebbe essere a durata determinata (ed esempio, tre mesi di assistenza dopo l’installazione del software), oppure a lunga durata (ad esempio annuale con rinnovo automatico in difetto di disdetta) oppure ancora a consumo (acquisto di X ore di assistenza da consumarsi nell’arco di tre anni).

    I contratti di durata poi prevedono la facoltà di recedere da parte delle parti. Chiaramente, in questo caso, il passaggio di consegne, la consegna delle credenziali, saranno attività molto delicate stante la tecnicità della materia.

    5) Proprietà intellettuale

    Laddove il contratto, accosti l’assistenza allo sviluppo, sarà fondamentale regolamentare la titolarità di quanto realizzato. Potrebbe automaticamente appartenere al cliente nella misura in cui ciò sia stato oggetto dell’incarico.

    Quali sono i rischi di un contratto di manutenzione software?

    Vi potrebbero essere delle problematiche da gestire a livello operativo, meglio se già citate contrattualmente, quali:

    • Guasti ai sistemi: è bene definire le modalità di intervento in caso di guasto stabilendo tempi di acquisizione del ticket, di evasione e di risoluzione;
    • Perdita di dati: è bene adottare misure per il corretto adeguamento a GDPR e di intervento in caso di perdita involontaria di dati o violazione alla sicurezza;
    • Obblighi del cliente: è bene indicare gli obblighi del cliente in fatto di collaborazione nel corso delle attività di assistenza (se necessario);

    Come evitare o limitare la responsabilità di una software house?

    Come abbiamo visto i rischi possono essere vari. è però possibile, entro certi termini, escludere o perlomeno limitare le responsabilità di una software house.

    È possibile elencare una serie di situazioni che limitano la responsabilità della software house. Ad esempio, per malfunzionamento delle reti, per bug del sistema, per fatto del cliente.

    In ogni caso, è possibile fissare un limite massimo alla responsabilità della software house per inadempimento, pari ad esempio al 50% del valore del contratto o al 100% dell’incassato. Si tratta però di una clausola vessatoria.

    I primi step per iniziare ad avere un contratto di manutenzione e assistenza

    Non esiste un format di contratto di assistenza e manutenzione.

    Puoi iniziare dal primo step, ossia dalla descrizione dei servizi che intendi fornire ai diversi clienti, stabilendo per “classi di clienti” le modalità, le tempistiche, i costi (o le modalità per determinarli).

    Il secondo step sarà quello di riportare questi dati essenziali e le altre importanti clausole all’interno di un documento denominato contratto di assistenza e manutenzione.

    Il filone Legal IT di Legal for Creativity si occupa dell’assistenza legale a software house e aziende che si occupano di varie attività nel settore dell’informativa technology.

    CONTATTAci per il tuo contratto di assistenza e manutenzione

    Foto di ThisisEngineering RAEng su Unsplash

    Strumenti informatici utilizzati per lavoro: perchè dare delle regole ai dipendenti

    Scritto da Valentina Trevisan il . Pubblicato in Gestione dei dipendenti, Privacy e data protection, Web e nuove tecnologie.

    Come usare un modulo di consegna per un device al proprio dipendente? Quali linee guida stabilire per l’uso dei software in licenza? Perchè è importante fissare delle regole per gli strumenti informatici aziendali?

    L’importanza degli strumenti informatici per una web agency o una software house

    La maggior parte delle attività svolte nelle agenzie di comunicazione e di marketing comporta l’uso di strumenti informatici sia hardware (computer, telefoni cellulari, tablet) che software (in cloud, in locale, in licenza, proprietari..).

    Sono strumenti che raccolgono enormi quantità di dati e dai quali possono essere ricavate informazioni attinenti all’attività lavorativa dei dipendenti. Si tratta di un vero e proprio patrimonio informativo aziendale che è opportuno gestire correttamente e tutelare.

    Inoltre, sono attrezzature che possono causare danni se utilizzati in modo non corretto e determinare responsabilità a carico del dipendente anche di natura penale con conseguente rischi concreti per l’azienda.

    Costituiscono poi un asset aziendale di valore notevole di cui deve essere tenuto conto anche nel momento in cui vengono consegnati mediante una procedura formale e coinvolgere gli esterni, come ad esempio i collaboratori continuativi.

    Il tema quindi è molto delicato e complesso: il primo passo è capire perché dotarsi di un regolamento sull’uso degli strumenti informatici aziendali.  

    In questo articolo vogliamo approfondire i profili relativi ai dipendenti con particolare rigida ai profili giuslavoristici e privacy.

    Cos’è il Regolamento sull’uso degli strumenti informatici

    Il Regolamento sull’uso degli strumenti informatici è il documento con il quale la web agency indica le regole di corretto utilizzo degli strumenti e dei programmi informatici che mette a disposizione dei dipendenti e che vengono quotidianamente impiegati per svolgere l’attività lavorativa.

    Lo scopo è quello di dettare delle procedure operative che consentono di gestire correttamente gli strumenti e le informazioni aziendali. 

    Comportamenti illeciti da parte dei dipendenti o usi impropri degli strumenti concessi in dotazione dall’agenzia possono causare gravi rischi alla sicurezza ed all’integrità dei sistemi aziendali, oltre che trattamenti illeciti di dati personali. 

    Simili situazioni possono arrecare danni all’agenzia ed avere rilevanza sul piano disciplinare e penale.

    Agire preventivamente consente non solo di adempiere agli obblighi imposti dalla normativa privacy e dallo Statuto dei Lavoratori ma assume particolare importanza sul piano concreto, in quanto permette di ridurre possibili rischi e danni.

    Perché è importante un regolamento sull’uso degli strumenti informatici

    Il controllo dei lavoratori tramite hardware o software

    L’art. 4 dello Statuto dei Lavoratori (L. n. 300/1970) prevede che gli strumenti impiegati dal lavoratore per rendere la propria prestazione lavorativa (e gli strumenti di registrazione degli accessi e delle presenze) possono essere utilizzati dal datore di lavoro per ottenere dati ed informazioni utilizzabili a tutti i fini connessi al rapporto di lavoro.

    MA ci sono delle condizioni da rispettare:

    1. deve essere data al lavoratore un’adeguata informazione circa le modalità d’uso degli strumenti e le modalità di effettuazione dei controlli;
    2. deve essere rispettata la normativa privacy

    Le regole al lavoratore per l’uso degli strumenti informatici

    L’informativa al lavoratore è resa proprio mediante la predisposizione e condivisione del Regolamento sugli strumenti informatici. All’interno è possibile, ad esempio:

    È importante quindi iniziare stabilendo a livello operativo l’uso dei sistemi per poi elaborare un regolamento adatto alla realtà aziendale.

    ti forniamo una checklist per iniziare

    L’informativa per il trattamento dei dati personali del dipendente

    All’interno del documento privacy che viene consegnato al lavoratore al momento dell’assunzione è fondamentale riportare il flusso di dati che riguarda il dipendente. Con specifico riferimento agli strumenti informatici, l’azienda dovrà chiedersi, ad esempio:

    • Le licenze software sono intestate unicamente all’azienda o hanno dei sotto abbonamenti intestati ai singoli lavoratori?
    • Il computer che viene consegnato è nominativo?
    • La scheda SIM è aziendale o riporta il riferimento del dipendente?
    • Come viene gestito l’accesso da remoto da parte dell’assistenza?
    • Ci sono dei programmi di tracciamento?
    • Per quanto vengono conservati i dati del lavoratore all’interno del sistema?

    Sulla base di queste iniziali domande è possibile tracciare il flusso di dati che riguardano il lavoratore con riferimento allo strumento informatico. Sarà poi doveroso riportare tutto all’interno del registro delle attività di trattamento ed elaborare la documentazione corretta mantenendola chiaramente aggiornata periodicamente.

    I documenti da consegnare al lavoratore dipendente di una web agency

    Al momento dell’assunzione del lavoratore l’azienda dovrà consegnare:

    1. la lettera di assunzione;
    2. l’informativa per il trattamento dei dati personali;
    3. la nomina ad incaricato qualora il lavoratore tratti dati personali;
    4. gli strumenti informatici che intende mettere a disposizione del lavoratore unitamente al modulo di consegna e le chiavi di accesso (ad esempio badge) alla struttura aziendale unitamente al modulo di consegna;
    5. il regolamento d’uso degli strumenti informatici;

    L’elenco non è esaustivo in quanto molto dipende dalla struttura aziendale, dalle mansioni del lavoratore, dalle normative di settore applicabili.

    fissiamo un audit privacy dei dipendenti

    Usare i device dell’azienda senza regole: quali conseguenze?

    Avrai intuito, in generale, quanto è importante dare delle regole per il corretto utilizzo degli strumenti informatici. Nello specifico, in questo articolo abbiamo posto l’attenzione verso l’interno e dunque alla facoltà della web agency o dell’azienda di software di utilizzare i dati provenienti dalle attrezzature informatiche o la possibilità di controllare il lavoro del proprio dipendente.

    In mancanza del Regolamento, le eventuali informazioni risultanti dallo strumento informatico e di cui l’agenzia di comunicazione viene a conoscenza non possono essere utilizzate per avviare procedimenti disciplinari nei confronti dei lavoratori responsabili di comportamenti illeciti o utilizzi impropri delle dotazioni informatiche. Diventa quindi fondamentale dotarsi di regole per l’uso degli strumenti informatici all’interno di una media company.

    Nell’ambito di un contesto lavorativo altamente innovativo, anche l’aggiornamento è importante. Nel momento in cui viene implementato un nuovo software, si valuta una diversa configurazione, si decide di optare l’accesso a ciao@nomeazienda anche ad altro team interno, è necessario intervenire sul regolamento. Stabilire quindi, una revisione periodica del regolamento aziendale è un fattore fondamentale per mantenere le regole aderenti al contatto aziendale, agli sviluppi, ma anche a quanto imposto dalle normative applicabili.

    Avere quindi un dipartimento legale esterno per un’agenzia di marketing, una web agency o una software house, che abbia una conoscenza specialistica su questi aspetti è fondamentale.

    CONTATTAci per il regolamento d’uso strumenti informatici

    Foto di Unseen Studio su Unsplash

    Whistleblowing nelle web agency: obbligo dal 17 dicembre 2023

    Scritto da Valentina Trevisan il . Pubblicato in Gestione dei dipendenti, Privacy e data protection.

    Se sei un’agenzia di marketing, una web agency o una software house e hai più di 50 dipendenti oppure hai adottato un modello 231 hai tempo fino al 17 dicembre per adottare il tuo sistema interno di gestione delle segnalazioni di whistleblowing

    La normativa e le scadenze

    Il whistleblower è la persona che segnala violazioni del diritto, di cui è venuto a conoscenza nel contesto lavorativo.

    Dal 30 marzo 2023 è entrato in vigore il d.lgs. n. 24/2023 che fissa gli obblighi a carico delle società per tutelare, appunto, le persone che segnalano violazioni del diritto dell’Unione Europea e delle connesse normative italiane (cd. decreto Whistleblowing).

    Se sei un’agenzia di comunicazione e nell’ultimo anno hai impiegato un numero di dipendenti (siano essi a tempo determinato o a tempo indeterminato) tra le 50 e le 250 unità oppure hai adottato un modello organizzativo 231, hai ancora tempo fino al 17 dicembre per adottare il tuo sistema interno di gestione delle segnalazioni di whistleblowing.

    Se anche non hai un numero di dipendenti per i quali vige l’obbligo, puoi valutare di implementare un sistema di questo tipo, nell’ottica di adottare un approccio rivolto alla sostenibilità sociale.

    Le agenzie obbligate a conformarsi al Decreto Whistleblowing

    Quali sono le aziende obbligate ad adeguarsi

    Il decreto Whistleblowing si applica:

    • alle aziende che nell’ultimo anno abbiamo impiegato in media almeno 50 lavoratori subordinati con contratti di lavoro a tempo determinato o indeterminato.
      Se quindi hai un discreto organico, dovrai attivarti per compiere varie attività entro il 17 dicembre.
    • alle aziende che si sono dotate di un modello organizzativo ex d.lgs. 231/2001.
      In questo caso l’obbligo di predisporre un canale di segnalazione interna vige a prescindere dal numero di dipendenti in forza nell’anno precedente, e quindi anche per l’agenzia di comunicazione che abbia impiegato meno di 50 lavoratori dipendenti.

    Quali sono le segnalazioni che il dipendente può fare

    L’ambito di applicazione della disciplina è piuttosto complesso e muta in base all’oggetto della violazione, alle dimensioni dell’ente privato e all’applicabilità allo stesso della disciplina di cui al decreto legislativo 231/2001 relativo alla responsabilità amministrativa da reato degli enti.

    Ad esempio, oggetto di segnalazione possono essere presunte violazioni in cui al decreto legislativo 231/2001 e al relativo modello organizzativo o presunte violazioni in settori speciali quali (evidenziamo quelle di maggiore interesse per noi):

    • appalti pubblici
    • servizi finanziari
    • sicurezza dei prodotti
    • sicurezza dei trasporti
    • tutela dell’ambiente
    • sicurezza nucleare
    • sicurezza alimenti e mangimi e salute degli animali
    • salute pubblica
    • protezione dei consumatori
    • tutela della vita privata e protezione dei dati personali
    • sicurezza delle reti e sistemi informativi
    • illeciti finanziari a danno dell’UE
    • nonché illeciti in materia di mercato interno;

    Il canale di segnalazione interno per il whistleblowing in una software house

    Il Decreto Whistleblowing disciplina i canali per effettuare la segnalazione di una presunta violazione.

    Si distinguono tre fattispecie:

    1. la segnalazione attraverso un canale interno all’ente;
    2. la segnalazione mediante un canale esterno all’ente, istituito e gestito dall’ANAC;
    3. la divulgazione pubblica.

    Resta ferma, in ogni caso, la possibilità di effettuare denunce all’autorità giudiziaria e contabile, nei casi di loro competenza.

    Un’agenzia di comunicazione che soddisfi i criteri di cui al paragrafo precedente è quindi obbligata a predisporre un canale di segnalazione whistleblowing interno adeguato, ossia idoneo ad assicurare la riservatezza dell’identità del segnalante e delle persone coinvolte, del contenuto della segnalazione e della documentazione a essa relativa.

    Tale canale di segnalazione deve inoltre consentire di eseguire segnalazioni sia in forma scritta (analogica o con modalità informatiche), che in forma orale, attraverso linee telefoniche dedicate o sistemi di messaggistica vocale e, su richiesta del segnalante, attraverso un incontro diretto con il gestore della segnalazione, che deve essere fissato entro un tempo ragionevole.

    È quindi evidente che la predisposizione del canale di segnalazione interno richiede adeguate valutazioni preliminari, essendo stato più volte chiarito dalle autorità competenti l’inadeguatezza di strumenti come l’e-mail o la pec. 

    È quindi fondamentale utilizzare strumenti che presentano requisiti tecnici necessari a garantire la riservatezza dei segnalanti e dell’oggetto della segnalazione, nonché la corretta conservazione della documentazione di supporto.

    Per predisporre un canale adeguato, puoi contattarci:

    supporto diretto whistleblowing

    I documenti per il whistleblowing di un’agenzia pubblicitaria

    Il Decreto Whistleblowing stabilisce le modalità per effettuare la segnalazione di una presunta violazione.

    Infatti, dopo aver individuato la piattaforma di gestione della segnalazione interna, l’agenzia di comunicazione dovrà dotarsi di tutto il corredo documentale necessario. In base alla disciplina normativa, infatti, l’ente è tenuto ad adottare formalmente una procedura di gestione delle segnalazioni whistleblowing mediante un atto del proprio organo amministrativo.

    Tale procedura deve disciplinare, tra gli altri, i seguenti aspetti:

    • i soggetti legittimati a presentare le segnalazioni; 
    • l’ambito oggettivo delle segnalazioni ammesse e di quelle estranee all’ambito applicativo della disciplina whistleblowing, con le differenti conseguenze in termini di procedura di gestione e misure di tutela garantite; 
    • i presupposti per procedere alla segnalazione interna e le relative condizioni di ammissibilità; 
    • il soggetto, interno o esterno, al quale è affidata la gestione delle segnalazioni, i relativi poteri e gli obblighi, nonché l’eventuale budget a disposizione per attività di valutazione e gestione delle segnalazioni, con evidenza della sussistenza dei requisiti richiesti dalla normativa; 
    • la procedura che il soggetto gestore deve seguire per la gestione delle segnalazioni interne, con indicazione delle varie fasi dell’istruttoria e delle tempistiche di riferimento, in linea con quanto previsto dal Decreto Whistleblowing; 
    • le modalità e i termini di conservazione dei dati appropriati e proporzionati ai fini della procedura di whistleblowing; 
    • la previsione di un’informativa privacy dedicata ai soggetti segnalanti; 
    • i presupposti per ricorrere alla segnalazione esterna.

    Le fasi per definire la procedura entro la scadenza

    Come evidenziato, le attività necessarie ad adeguare l’agenzia di marketing al Decreto Whistleblowing sono molteplici e devono poi trovare adeguata espressone nella documentazione legale a tal fine adottata dall’agenzia.

    Ecco una checklist da cui partire ma chiaramente, i tempi sono stretti quindi ti suggeriamo di contattarci direttamente:

    1. La tua agenzia ha impiegato nell’ultimo anno più di 50 lavoratori dipendenti a tempo determinato o indeterminato?
    2. La tua azienda ha adottato un modello organizzativo 231?
    3. Quali sono i settori in cui possono esserci segnalazioni?
    4. Chi all’interno dell’azienda è il referente privacy?
    5. L’azienda ha adottato un impianto privacy che tiene aggiornato periodicamente?

    Attenzione: le attività sopra riportate non devono essere gestite autonomamente da parte dell’azienda. Come indicato, il soggetto che gestisce le segnalazioni può essere esterno.

    Legal for Creativity si occupa anche di privacy e di 231 attraverso bravi professionisti che possono svolgere il ruolo di gestore delle segnalazioni whistleblowing.

    CONTATTACI PER LA GESTIONE Whistleblowing

    Foto di Maksym Kaharlytskyi su Unsplash