Informativa sulla Privacy

1. Chi è responsabile dei tuoi dati

Il titolare del trattamento è Square Software SH.P.K., società a responsabilità limitata iscritta presso il Centro Nazionale delle Imprese (QKB) dell’Albania con NIPT M51418039H, con sede legale in Rruga Millosh Shutku, Nd. 14, H. 3, Ap. 17, Njësia Administrative Nr. 1, 1004 Tiranë, Albania.

Per qualsiasi questione relativa a questa informativa scrivi a privacy@square.al. Quell’indirizzo raggiunge le persone che possono davvero dare seguito a una richiesta ed è l’indirizzo da usare per esercitare i diritti indicati nella sezione 8.

Non abbiamo nominato un responsabile della protezione dei dati. L’articolo 33 della legge 124/2024 lo impone soltanto alle autorità pubbliche, ai titolari la cui attività principale consiste nel monitoraggio regolare e sistematico su larga scala delle persone e ai titolari la cui attività principale comporta il trattamento su larga scala di dati sensibili o giudiziari. Nessuna di queste ipotesi ci riguarda: la nostra attività principale è sviluppare software su commessa e i trattamenti descritti qui sono accessori alla gestione di un sito. La casella indicata sopra è il punto di contatto.

Non abbiamo designato un rappresentante nell’Unione europea. Abbiamo valutato i nostri trattamenti rivolti all’UE alla luce dell’esenzione dell’articolo 27, paragrafo 2, del GDPR e riteniamo che si applichi, perché tali trattamenti si limitano a quanto descritto in questa informativa, non comportano il trattamento su larga scala di categorie particolari di dati e difficilmente presentano un rischio per i tuoi diritti e libertà. Puoi contattarci direttamente all’indirizzo indicato sopra e la sezione 9 spiega dove reclamare se preferisci non farlo.

2. Quale legge si applica

Siamo stabiliti in Albania, quindi la legge n. 124/2024 "Sulla protezione dei dati personali" si applica a tutto ciò che trattiamo, indipendentemente da dove avvenga il trattamento (articolo 4, comma 1, lettera a). Quella legge ha sostituito la legge n. 9887 del 10 marzo 2008, abrogata dall’articolo 99, comma 1, con l’entrata in vigore della nuova legge nel 2025. Ogni riferimento alla legge 9887/2008 che trovi in un nostro documento più vecchio va inteso come riferimento alla legge 124/2024.

Offriamo i nostri servizi anche a persone e imprese nell’Unione europea, quindi il GDPR si applica in parallelo ai sensi del suo articolo 3, paragrafo 2, per i visitatori che si trovano nell’UE. La legge 124/2024 dichiara nel proprio testo di essere pienamente allineata al GDPR, quindi in pratica i due impongono a noi gli stessi obblighi e questa unica informativa soddisfa entrambi. Se mai divergessero, applichiamo la disciplina che ti tutela di più.

3. Cosa trattiamo, perché e su quale base giuridica

a) Erogare il Sito e mantenerlo funzionante. Per consegnarti una pagina, i nostri server e la nostra rete di distribuzione dei contenuti trattano necessariamente il tuo indirizzo IP, l’indirizzo della pagina richiesta, l’ora della richiesta, lo stato della risposta e l’identificazione del tuo browser e sistema operativo. Li usiamo per erogare il Sito, diagnosticare guasti e fermare abusi come i flussi automatizzati. La base giuridica è il nostro legittimo interesse a gestire e difendere un sito funzionante (articolo 7, comma 1, lettera dh, della legge 124/2024 e articolo 6, paragrafo 1, lettera f, del GDPR). Non usiamo questi dati per costruire un quadro su di te e non li combiniamo con altro.

b) Contare le visite senza identificarti. Separatamente da qualsiasi prodotto di analisi, contiamo le visualizzazioni di pagina e un breve elenco fisso di interazioni sui nostri server, per ogni visitatore. Questa misurazione non usa cookie, non scrive nulla sul tuo dispositivo e non legge nulla da esso. Non crea alcun identificatore, nemmeno temporaneo o sotto forma di hash, e il tuo indirizzo IP non viene mai letto: il Paese è ricavato da un’intestazione che la nostra rete di distribuzione aggiunge prima che la richiesta ci raggiunga. Ciò che viene memorizzato è un totale giornaliero per pagina, evento, Paese, lingua e sito di provenienza. Non viene mai creata una registrazione di una singola visita, quindi nulla di ciò è riconducibile a te e non viene trattato alcun dato personale. Se il tuo browser invia un segnale Global Privacy Control o Do Not Track, la visita non viene conteggiata.

c) Analitica, solo con il tuo consenso. Se attivi la categoria Analitici nel banner cookie usiamo Google Analytics 4 per capire in forma aggregata come viene usato il Sito. Fino al tuo consenso, Google Consent Mode mantiene tutti e quattro i segnali di archiviazione su "negato" e nessun cookie analitico viene scritto. La base giuridica è il tuo consenso (articolo 7, comma 1, lettera a, della legge 124/2024 e articolo 6, paragrafo 1, lettera a, del GDPR), revocabile in qualsiasi momento da "Impostazioni cookie" nel footer.

d) Registrazione delle sessioni, solo con il tuo consenso. Se attivi gli Analitici carichiamo anche Microsoft Clarity, che registra clic, movimenti del mouse, scorrimento e una riproduzione della tua interazione con la pagina, per permetterci di trovare ciò che non funziona. Non riceve soltanto un segnale sulla tua scelta: non viene caricato affatto prima del consenso, quindi prima non viene registrato nulla. Il modulo di contatto e il modulo di candidatura sono mascherati integralmente, quindi ciò che vi digiti, compreso ogni file allegato, non viene mai registrato. Non lo usiamo per identificarti. La base giuridica è il tuo consenso.

e) Pubblicità, solo con il tuo consenso. Promuoviamo i nostri servizi tramite Google Ads. Se attivi la categoria Pubblicitari, sul tuo dispositivo possono essere memorizzati identificatori pubblicitari per misurare quale annuncio ha generato una richiesta e, ove applicabile, mostrarti i nostri annunci altrove. Se la lasci disattivata, non viene usata alcuna archiviazione pubblicitaria e gli identificatori di clic pubblicitari vengono rimossi dalle richieste in uscita. La base giuridica è il tuo consenso e può essere rifiutata da sola, senza rifiutare gli analitici.

f) Da dove è arrivata una richiesta, solo con il tuo consenso. Se attivi gli Analitici annotiamo nel tuo browser, per la durata della visita, la prima pagina vista, il sito che ti ha indirizzato ed eventuali parametri di campagna nell’indirizzo, e li alleghiamo a una richiesta se ce ne invii una, così sappiamo quali canali producono davvero lavoro. Se non attivi gli Analitici, non viene scritto nulla e l’informazione si perde appena esci. La base giuridica è il tuo consenso.

g) Il modulo di contatto. Quando ci invii una richiesta trattiamo il tuo nome, il tuo indirizzo email e il tuo messaggio, che sono obbligatori, oltre al numero di telefono, all’azienda e all’oggetto se li fornisci, all’eventuale richiesta di un NDA reciproco, alla lingua in cui hai scritto e all’informazione sull’origine della richiesta di cui alla lettera f) se hai prestato il consenso. Registriamo anche l’indirizzo IP da cui è arrivata la richiesta e l’identificazione del browser. La base giuridica per la gestione della richiesta è che il trattamento è necessario per eseguire, su tua domanda, misure precontrattuali (articolo 7, comma 1, lettera b, della legge 124/2024 e articolo 6, paragrafo 1, lettera b, del GDPR), oppure il nostro legittimo interesse a risponderti quando non è in prospettiva alcun contratto. La base giuridica per l’indirizzo IP e l’identificazione del browser è più circoscritta: il nostro legittimo interesse a prevenire e documentare abusi di un modulo pubblico, ragione per cui ne limitiamo anche la frequenza. Vengono cancellati molto prima della richiesta stessa, come indicato nella sezione 7.

h) Candidature. Se ti candidi a una posizione trattiamo nome e cognome, indirizzo email, la posizione per cui ti candidi e, se li fornisci, numero di telefono, indirizzi LinkedIn e portfolio, lettera di presentazione e file del CV. Registriamo anche l’indirizzo IP e l’identificazione del browser, per la stessa ragione antiabuso indicata sopra. La base giuridica è che il trattamento è necessario per eseguire, su tua domanda, misure precontrattuali in vista di un contratto di lavoro, oltre al nostro legittimo interesse a gestire un processo di selezione. Ti chiediamo di non inviarci dati che rivelino salute, religione, opinioni politiche, appartenenza sindacale, vita sessuale, origine etnica o informazioni biometriche o genetiche: non li chiediamo, non ci servono, l’articolo 9 della legge 124/2024 vieta di trattarli senza una base specifica e, se ce li invii comunque, li cancelleremo invece di usarli.

i) Risponderti in seguito. Dopo che ci hai scritto, trattiamo la corrispondenza successiva sul nostro server di posta, sulle stesse basi della richiesta o della candidatura a cui appartiene.

j) Strumenti che tengono i tuoi dati sul tuo dispositivo. I calcolatori di stipendio, IVA, NIPT e fiscalizzazione, lo stimatore di progetto e il generatore di CV funzionano nel tuo browser. I calcolatori non ci inviano nulla. Lo stimatore di progetto conserva la stima nel tuo browser solo per la durata della visita, così il modulo di contatto può essere precompilato se scegli di inviarlo, e in quel momento si applica la lettera g). Il generatore di CV salva ciò che digiti, compresa un’eventuale fotografia, nella memoria del tuo browser e in nessun altro luogo: non ci viene mai trasmesso, non possiamo vederlo, e svuotare la memoria del browser o usare il comando di cancellazione dello strumento lo rimuove.

k) La chat dal vivo. Se apri la chat e invii un messaggio, trattiamo ciò che scrivi, la pagina da cui sei partito, il tuo Paese, l’identificazione del browser e, se scegli di fornirli, il tuo nome e il tuo indirizzo email. Non sei obbligato: la chat funziona senza di essi e non sapremo chi sei se non ce lo dici. Nel tuo browser viene memorizzato un token casuale che ci permette di mostrarti la tua conversazione se torni. La conversazione viene inoltrata al nostro spazio di lavoro Mattermost interno affinché ti risponda una persona e non un robot. La base giuridica è che il trattamento è necessario per eseguire, su tua domanda, misure precontrattuali, oppure il nostro legittimo interesse a risponderti. L’identificazione del browser è cancellata dopo 3 mesi e l’intera conversazione dopo 12.

4. Cookie e tecnologie simili

Per impostazione predefinita è attiva soltanto l’archiviazione strettamente necessaria. Analitici e Pubblicitari sono facoltativi, rifiutabili separatamente e non attivi se non li attivi tu. Puoi cambiare la tua scelta in qualsiasi momento da "Impostazioni cookie" nel footer, e revocare è esattamente tanto facile quanto acconsentire, come richiede l’articolo 8, comma 3, della legge 124/2024.

Quando effettui una scelta la registriamo nel tuo browser insieme alla data e alla versione delle categorie che ti sono state mostrate, perché l’articolo 8, comma 1, ci impone di essere in grado di dimostrare che hai acconsentito. Quella registrazione resta sul tuo dispositivo, non ci viene inviata e non è usata per tracciarti.

La nostra Cookie Policy elenca ogni cookie e ogni chiave di archiviazione usati dal Sito, a cosa serve ciascuno e quali richiedono il consenso.

5. Chi altro vede i tuoi dati

Non vendiamo dati personali, non li condividiamo per la pubblicità di altri e non facciamo parte di un gruppo societario all’interno del quale i dati circolano. Le seguenti sono le uniche categorie di destinatari e ciascuno è incaricato con un contratto scritto che lo vincola a trattare solo secondo le nostre istruzioni, come richiede l’articolo 26 della legge 124/2024.

• Hetzner Online GmbH (Germania), che fornisce i server in Finlandia su cui girano il Sito e la sua banca dati e ha quindi accesso tecnico a ciò che vi è memorizzato.
• Cloudflare, Inc., che si trova davanti al Sito come rete di distribuzione dei contenuti e livello di sicurezza e tratta quindi i dati di traffico della sezione 3, lettera a).
• Google Ireland Limited e le sue affiliate, per Google Analytics 4 e Google Ads, e solo per i visitatori che hanno acconsentito.
• Microsoft Ireland Operations Limited e le sue affiliate, per Microsoft Clarity, e solo per i visitatori che hanno acconsentito.
• I nostri sistemi che ospitiamo noi stessi invece di acquistarli: il server di posta che trasporta la notifica e la risposta, e lo spazio di lavoro Mattermost interno sul nostro dominio in cui viene pubblicata una nuova richiesta o candidatura perché la veda la persona giusta. Nessuno dei due è un servizio di terze parti.
• Consulenti professionali come avvocati e commercialisti, quando ci serve un parere su una questione che coinvolge i tuoi dati.
• Autorità pubbliche e tribunali, quando siamo tenuti per legge a fornire informazioni o dobbiamo difendere un diritto in giudizio.

Se un giorno cedessimo l’azienda, o parte di essa, i dati descritti qui potrebbero passare all’acquirente, che sarebbe vincolato a questa informativa finché non te ne comunicasse legittimamente una diversa.

6. Dove sono conservati i dati e trasferimenti all’estero

Il Sito e la sua banca dati girano su server situati a Helsinki, in Finlandia, all’interno dell’Unione europea. Richieste, candidature e CV sono quindi conservati nell’UE e non in Albania, sebbene vi accediamo dall’Albania, dove siamo stabiliti.

Poiché ci fornisci i dati direttamente e siamo noi il titolare che li riceve, quella raccolta iniziale non costituisce un "trasferimento" ai fini del GDPR e non richiede alcuno strumento di trasferimento. Ciò che può costituire un trasferimento è il nostro successivo ricorso a fornitori fuori dall’Albania, disciplinato dall’articolo 39 e seguenti della legge 124/2024. Quando il destinatario si trova in un Paese che il Commissario ha riconosciuto come dotato di un livello di protezione adeguato ai sensi dell’articolo 40, quella è la base. In assenza di una simile decisione, la base sono le garanzie adeguate dell’articolo 41, in pratica le clausole contrattuali standard contenute nelle condizioni di trattamento dei nostri fornitori. I fornitori della sezione 5 sono contrattualizzati tramite le loro entità irlandesi o tedesche e alcuni di essi trattano dati negli Stati Uniti in base a tali clausole.

Hai diritto di sapere quali garanzie si applicano e di ottenerne una copia. Scrivi a privacy@square.al e ti indicheremo quali Paesi sono coinvolti inviandoti le clausole pertinenti.

7. Per quanto tempo li conserviamo

Conserviamo i dati personali solo per il tempo richiesto dalla finalità per cui sono stati raccolti e lo facciamo rispettare con un processo automatico programmato, non con le buone intenzioni. I termini decorrono dalla data in cui abbiamo ricevuto i dati.

• Richieste inviate tramite il modulo di contatto: 36 mesi, dopo i quali l’intera registrazione è cancellata. L’indirizzo IP, l’identificazione del browser e l’informazione sull’origine della richiesta sono cancellati prima, dopo 12 mesi, perché la finalità antiabuso che servono si esaurisce molto prima di quella commerciale.
• Candidature: il file del CV è cancellato dopo 12 mesi e il resto della candidatura dopo 24 mesi. Se ti assumiamo, la candidatura entra a far parte del tuo fascicolo di lavoro e si applicano le regole di conservazione di quel fascicolo.
• Corrispondenza email: conservata con la richiesta o la candidatura a cui appartiene e cancellata secondo lo stesso calendario.
• Conversazioni in chat: l’identificazione del browser è cancellata dopo 3 mesi e l’intera conversazione, compreso ciò che hai digitato e l’eventuale nome o email fornito, dopo 12 mesi.
• Dati di traffico e sicurezza della sezione 3, lettera a): da giorni a settimane, secondo la conservazione applicata dai nostri fornitori di infrastruttura, e mai usati oltre le finalità di quel paragrafo.
• Dati di Google Analytics 4 e Microsoft Clarity: conservati da Google e Microsoft secondo le impostazioni che i loro prodotti ci mettono a disposizione, e la nostra proprietà Analytics è impostata sulla conservazione più breve degli eventi che il prodotto consente.
• I nostri conteggi delle visite: conservati a tempo indeterminato, perché sono totali giornalieri e non contengono dati personali che possano scadere.
• La tua scelta sui cookie: resta nel tuo browser finché non la modifichi o non svuoti la memoria del browser.

Possiamo conservare qualcosa oltre i termini indicati soltanto quando siamo obbligati a farlo, per esempio mentre è pendente una controversia o una richiesta di un’autorità, e solo per la durata di quella.

8. I tuoi diritti

Gli articoli da 13 a 20 della legge 124/2024 e gli articoli corrispondenti del GDPR ti attribuiscono i seguenti diritti sui tuoi dati. Esercitarli è gratuito.

• Essere informato sul trattamento, che è la funzione di questo documento.
• Ottenere conferma se trattiamo dati che ti riguardano e una copia degli stessi, insieme alle informazioni previste dall’articolo 14.
• Far correggere dati inesatti e completare dati incompleti.
• Ottenere la cancellazione dei dati, compreso il diritto all’oblio dell’articolo 16, quando sussiste uno dei motivi previsti dalla legge.
• Ottenere la limitazione del trattamento mentre si risolve una contestazione sull’esattezza o sulla liceità.
• Ricevere i dati che ci hai fornito in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e farli trasmettere a un altro titolare quando è tecnicamente possibile.
• Opporti al trattamento basato sul nostro legittimo interesse. Quando trattiamo per marketing diretto l’opposizione è assoluta: l’articolo 46, comma 4, ti dà il diritto di opporti in qualsiasi momento e dobbiamo fermarci, senza bilanciare il nostro interesse con il tuo.
• Non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o analogamente significativi nei tuoi confronti.
• Revocare un consenso prestato, in qualsiasi momento, senza che ciò pregiudichi la liceità di quanto fatto prima della revoca.

Per esercitare uno di questi diritti scrivi a privacy@square.al indicando quale diritto stai esercitando. Risponderemo entro 30 giorni, come richiede l’articolo 14. Se la tua richiesta è particolarmente complessa potremmo aver bisogno di più tempo e in tal caso te ne spiegheremo il motivo entro quei 30 giorni. Se dalla richiesta non possiamo capire chi sei potremmo chiederti informazioni sufficienti per esserne certi, perché consegnare i tuoi dati alla persona sbagliata sarebbe un errore peggiore di una risposta lenta.

Non prendiamo decisioni automatizzate su di te e non ti profiliamo. Nulla sul Sito decide qualcosa che ti riguarda senza l’intervento di una persona.

9. Se vuoi presentare un reclamo

Preferiremmo che lo dicessi prima a noi, perché la maggior parte delle cose si risolve più rapidamente in via diretta. Ma non sei obbligato e puoi rivolgerti a un’autorità di controllo indipendentemente dal fatto che ne abbia parlato con noi.

In Albania l’autorità è il Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale: Rr. "Abdi Toptani", Nd. 5, 1001 Tiranë, Albania, telefono +355 42 237 200, email info@idp.al, idp.al.

Se ti trovi nell’Unione europea o nello Spazio economico europeo puoi invece rivolgerti all’autorità di protezione dei dati del Paese in cui vivi o lavori, o in cui si è verificato il problema. In Italia è il Garante per la protezione dei dati personali. Hai inoltre il diritto di adire l’autorità giudiziaria e di chiedere il risarcimento del danno causato da un trattamento illecito.

10. Minori

Il Sito è rivolto alle imprese e a chi cerca lavoro, non ai minori, e non raccogliamo consapevolmente dati di minori. Quando ci basiamo sul consenso per un servizio online, l’articolo 8, comma 6, della legge 124/2024 rende quel consenso valido solo a partire dai 16 anni; al di sotto di quell’età deve essere prestato o autorizzato da un genitore o dal tutore. Se ritieni che un minore ci abbia fornito dati personali, scrivici e li cancelleremo.

11. Sicurezza, e cosa accade se viene meno

Il traffico da e verso il Sito è cifrato in transito e il Sito è erogato solo su HTTPS, con HTTP Strict Transport Security. L’area amministrativa in cui vengono esaminate richieste, candidature e CV è protetta da autenticazione, un CV può essere scaricato solo da un amministratore autenticato e l’accesso è limitato alle persone che ne hanno bisogno. I moduli pubblici hanno un limite di frequenza e contengono un campo invisibile che intercetta gli invii automatizzati. Manteniamo aggiornate la piattaforma e le sue dipendenze. Nessuna misura rende un sistema perfettamente sicuro e non sosteniamo il contrario.

Se si verifica una violazione dei dati personali, l’articolo 29 della legge 124/2024 ci impone di notificarla al Commissario il più rapidamente possibile e non oltre 72 ore da quando ne siamo venuti a conoscenza, salvo che sia improbabile che presenti un rischio per i tuoi diritti e libertà, e di informarti direttamente quando il rischio per te è probabilmente elevato. Abbiamo una procedura scritta per farlo e documentiamo ogni violazione, come richiede l’articolo 29, comma 6.

12. Se sei obbligato a darci i tuoi dati

I dati della sezione 3, lettera a), sono inevitabili: è il modo in cui internet consegna una pagina e, se non potessero essere trattati, il Sito non potrebbe esserti mostrato. Tutto il resto è una tua scelta. Puoi leggere l’intero Sito senza acconsentire a nulla, senza compilare alcun modulo e senza dirci chi sei.

Se scegli di contattarci o di candidarti, i campi indicati come obbligatori lo sono davvero e l’unica conseguenza del non fornirli è che non potremo rispondere alla richiesta o valutare la candidatura. Non ne derivano altri svantaggi per te.

13. Modifiche a questa informativa

Se cambiamo il modo in cui trattiamo i dati personali aggiorneremo questa pagina e cambieremo la data in alto prima che la modifica abbia effetto. Quando una modifica ti riguarda in modo sostanziale faremo più che cambiare la data: lo segnaleremo sul Sito e, se la modifica richiede il tuo consenso, te lo chiederemo di nuovo invece di presumerlo.

Questa versione, del 7 settembre 2026, sostituisce integralmente la versione aggiornata ad agosto 2026. È stata riscritta perché il testo precedente si basava sulla legge 9887/2008, che è stata abrogata.