Informativa sul trattamento dei dati personali
App “MRS Monitor”

1. Titolare del trattamento e ruoli

L'app MRS Monitor (di seguito “App”) è fornita da Bird Control Italy S.r.l., P. IVA 05605080489, con sede legale in Viale Calatafimi 58, 50137 Firenze (di seguito “Bird Control Italy”).

Contatti per la privacy: birdcontrol@birdcontrol.it — PEC birdcontrol@pec.birdcontrol.it.

L'App è parte del sistema MRS, che Bird Control Italy fornisce ai gestori aeroportuali e ai soggetti che operano per loro (di seguito “Aeroporto”); ogni Aeroporto ha un proprio server e propri dati. I ruoli sono i seguenti:

• per i dati operativi registrati con l'App per conto dell'Aeroporto presso cui l'utente lavora (ispezioni, segnalazioni, posizioni, fotografie, firme, verifiche dei tesserini), il titolare è l'Aeroporto e Bird Control Italy agisce come responsabile del trattamento (art. 28 GDPR) sulla base del contratto con l'Aeroporto. Per questi dati l'utente può rivolgersi anche direttamente all'Aeroporto, secondo l'informativa che questo fornisce al proprio personale;
• per i dati necessari a fornire, proteggere e mantenere l'App e il servizio (registrazione e identificazione dei dispositivi, aggiornamenti, sicurezza, diagnostica degli errori), il titolare è Bird Control Italy.

2. Quali dati raccoglie l'App

L'App è destinata esclusivamente al personale autorizzato: un utente può usarla solo se l'Aeroporto gli ha creato un'utenza, e solo su un dispositivo registrato e abilitato dall'Aeroporto.

2.1 Dati dell'utente

• nome, cognome, nome utente, gruppi di lavoro e qualifiche dell'utenza;
• password: non viene conservata in chiaro, ma solo in forma cifrata con una funzione di hash, sul server e sul dispositivo (per consentire l'accesso anche senza rete); in chiaro viaggia solo, su connessione cifrata, quando l'utente la cambia;
• per gli Aeroporti che usano l'accesso con l'account aziendale Microsoft: il nome dell'account Microsoft (indirizzo email aziendale), usato solo per riconoscere l'utente; l'App non legge altri dati dell'account;
• data e ora degli accessi e l'accettazione di questa informativa.

2.2 Dati del dispositivo

• identificativo del dispositivo assegnato da Android all'App (ANDROID_ID), usato per riconoscere il dispositivo, abilitarlo o bloccarlo e collegarlo alle registrazioni fatte; l'App non legge IMEI, numero di telefono, numero di serie né dati della SIM;
• versione dell'App;
• nome, cognome e email di chi chiede la registrazione di un nuovo dispositivo.

2.3 Dati delle attività

• ispezioni e checklist con risposte, note, descrizioni, interruzioni, aree non utilizzabili, data, ora, luogo e autore; segnalazioni di anomalie e loro commenti; rapporti di sicurezza (ASR); solleciti inviati ai gruppi di lavoro; conferme di lettura delle novità;
• fotografie scattate dall'utente con la fotocamera del dispositivo o scelte dalla sua galleria e allegate alle ispezioni; firme dell'operatore apposte sul dispositivo per sottoscrivere le ispezioni;
• messaggi di emergenza ricevuti dall'Aeroporto.

2.4 Verifica dei tesserini aeroportuali

Solo per gli Aeroporti che la attivano e solo per il personale addetto alla security, l'App può leggere tramite NFC (o con l'inserimento manuale del numero) il tesserino aeroportuale di una persona, per verificarne la validità. Il contenuto letto dal tesserino è inviato al server dell'Aeroporto, che restituisce i dati del titolare del tesserino (nome, cognome, fotografia, società, aree autorizzate, scadenza e stato; il server può inviare anche codice fiscale e data di nascita, che l'App non mostra). Questi dati sono solo visualizzati e non vengono salvati sul dispositivo. Per le persone il cui tesserino viene verificato il titolare del trattamento è l'Aeroporto che ha rilasciato il tesserino, secondo la propria informativa.

2.5 Posizione

La posizione precisa del dispositivo, solo mentre è aperta un'ispezione: vedi la sezione 3.

2.6 Dati tecnici e diagnostici

• indirizzo IP, data e ora delle richieste ai server (registri tecnici);
• in caso di errore dell'App, un rapporto di errore inviato al servizio Sentry (vedi sezione 5) con il dettaglio tecnico dell'errore, le ultime operazioni svolte dall'App, la versione dell'App, il modello del dispositivo e la versione di Android; se l'invio di un'ispezione al server non riesce, il rapporto può contenere anche i dati di quell'ispezione;
• se l'invio di un'ispezione al server non riesce, un registro delle operazioni svolte nell'App viene inviato al server dell'Aeroporto per analizzare il problema, e poi cancellato dal dispositivo;
• per gli aggiornamenti dell'App distribuiti dal sito www.birdcontrol.it: identificativo del dispositivo, Aeroporto, versione installata e data degli scaricamenti.

2.7 Dati che l'App non raccoglie

L'App non accede a contatti, calendario, SMS, registro chiamate, microfono, né a file o fotografie diversi da quelli che l'utente sceglie di allegare; non usa l'identificativo pubblicitario, non contiene pubblicità né strumenti di analisi o profilazione di terze parti.

3. Posizione del dispositivo

La posizione serve a ricostruire il percorso delle ispezioni previsto dalle procedure di sicurezza aeroportuale, a collocare sulla mappa le osservazioni e le segnalazioni, ad avvisare l'operatore quando si avvicina a una zona pericolosa (ad esempio la pista) e a far sapere all'Aeroporto dove si trova il personale in campo, anche per inviargli messaggi di emergenza.

• la posizione è rilevata solo dopo che l'utente ha concesso il permesso di Android alla posizione. Poiché un'ispezione dura a lungo e l'operatore usa il dispositivo con lo schermo spento o con altre app, l'App chiede anche il permesso “Consenti sempre” (posizione in background), necessario per continuare il rilevamento in queste condizioni;
• la posizione è rilevata solo mentre è aperta un'ispezione: per tutta la sua durata Android mostra una notifica permanente (“MRS Monitor — Monitoraggio in corso”); il rilevamento si ferma quando l'utente chiude l'ispezione o l'App. Le schermate con la mappa usano la posizione solo mentre sono aperte;
• durante un'ispezione la posizione è rilevata ogni pochi secondi e inviata al server dell'Aeroporto circa ogni 20 secondi, insieme all'utente e all'ora; il percorso completo dell'ispezione è inviato con l'ispezione stessa. Le posizioni sono visibili agli utenti dell'Aeroporto abilitati;
• il controllo di vicinanza alle zone pericolose avviene sul dispositivo e non trasmette dati;
• il permesso può essere revocato in qualsiasi momento dalle impostazioni di Android; senza di esso non è possibile eseguire ispezioni con l'App.

Il personale dipendente trova nell'informativa del proprio datore di lavoro le condizioni d'uso degli strumenti di lavoro che rilevano la posizione, stabilite nel rispetto della normativa sul lavoro applicabile (in Italia, art. 4 della Legge 300/1970).

4. Finalità e basi giuridiche

Il conferimento dei dati è necessario per usare l'App: senza utenza, registrazione del dispositivo e posizione l'App non può svolgere il servizio per cui è fornita. Non sono prese decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici sull'utente.

5. A chi sono comunicati i dati

• Aeroporto presso cui l'utente opera, e i suoi utenti abilitati al sistema MRS, per le finalità descritte;
• personale autorizzato di Bird Control Italy e dei fornitori tecnici che sviluppano e gestiscono il sistema, nominati responsabili del trattamento;
• fornitori di hosting: i server del sistema e il sito www.birdcontrol.it sono in data center situati nell'Unione Europea; alcuni Aeroporti ospitano il sistema su server propri o da loro scelti;
• Sentry (Functional Software, Inc., USA), per i soli rapporti di errore dell'App (vedi sezione 6);
• Google: le mappe dell'App sono fornite da Google Maps, che per mostrarle riceve l'indirizzo IP del dispositivo e l'area della mappa visualizzata, e la posizione è calcolata con i servizi di localizzazione di Google Play, secondo le norme sulla privacy di Google; se l'App è installata da Google Play, si applicano anche le condizioni di Google Play;
• Microsoft, solo per gli Aeroporti che usano l'accesso con l'account aziendale Microsoft: l'autenticazione avviene presso Microsoft secondo gli accordi tra l'Aeroporto e Microsoft;
• autorità competenti (ad es. ENAC, autorità giudiziaria) quando richiesto dalla legge.

I dati non sono venduti né ceduti a terzi per finalità di marketing.

6. Trasferimenti fuori dall'Unione Europea

I dati dell'App sono conservati su server nell'Unione Europea. Fanno eccezione i rapporti di errore inviati a Sentry e i dati tecnici ricevuti da Google e, dove usato, da Microsoft, che possono essere trattati negli Stati Uniti: il trasferimento avviene sulla base del EU-U.S. Data Privacy Framework, al quale questi fornitori aderiscono, o delle clausole contrattuali tipo approvate dalla Commissione europea.

7. Per quanto tempo sono conservati i dati

• dati delle attività e posizioni: per il periodo previsto dalla normativa sulla sicurezza aeroportuale e dal contratto con l'Aeroporto; alla cessazione del contratto sono restituiti all'Aeroporto o cancellati, salvo gli obblighi di conservazione di legge;
• utenza: finché l'utenza è attiva. Dopo la sua cancellazione, il nome dell'autore resta associato alle registrazioni operative che la normativa impone di conservare;
• dati dei dispositivi: finché il dispositivo è registrato;
• dati dei tesserini verificati: non sono conservati dall'App;
• registri tecnici: per il tempo necessario alla sicurezza del servizio; rapporti di errore: al massimo 90 giorni;
• sul dispositivo: i dati restano nella memoria riservata dell'App fino all'invio al server o fino alla disinstallazione; le fotografie scattate con la fotocamera dell'App restano anche nella galleria del dispositivo (cartella “Pictures/MRS”), da cui l'utente o l'Aeroporto possono cancellarle.

8. Sicurezza

• le comunicazioni tra l'App e i server sono cifrate (HTTPS/TLS);
• le password sono conservate solo in forma di hash;
• un dispositivo può essere usato solo dopo l'abilitazione da parte dell'Aeroporto, e può essere bloccato in qualsiasi momento;
• l'accesso ai dati è limitato, per ruolo e per aeroporto, alle persone autorizzate.

9. Diritti dell'utente e cancellazione dei dati

L'utente può in qualsiasi momento chiedere l'accesso ai propri dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità dei dati, e opporsi ai trattamenti basati sul legittimo interesse (articoli 15–22 GDPR).

Cancellazione dell'utenza e dei dati: per chiedere la cancellazione della propria utenza, della registrazione di un dispositivo e dei dati associati basta scrivere a birdcontrol@birdcontrol.it indicando nome, cognome, nome utente o email e aeroporto. La richiesta viene evasa entro 30 giorni, informando l'Aeroporto quando è titolare dei dati. Restano solo i dati che la normativa sulla sicurezza aeroportuale impone di conservare (vedi sezione 7), di cui l'utente viene informato.

Le stesse richieste possono essere rivolte all'Aeroporto per i dati di cui è titolare. L'utente ha inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali o all'autorità di controllo del Paese in cui vive o lavora.

10. Altre informazioni

• l'App è uno strumento di lavoro destinato a personale maggiorenne e non è rivolta ai minori;
• questa informativa può essere aggiornata, ad esempio per nuove funzioni dell'App: la versione in vigore è sempre pubblicata a questo indirizzo, con la data dell'ultimo aggiornamento.