La fregatura dei buoni pasto

Un percorso tra i buoni pasto e welfare aziendale fino ad approdare alle App per la loro gestione digitale. La disamina permetterà di scoprire tutto quello che non ti è stato detto.

Prefazione

Si parte dall’inderogabile diritto al pasto quotidiano fino all’alternativa digitale alla mensa aziendale. Nella seconda parte si passerà ad approfondire le applicazioni di Ticket Restaurant attraverso l’analisi informatica e, per finire, al caso studio di un’App in particolare.

Si dimostrerà come le App raccolgono innumerevoli dati tra Consenso Informato e Tracciamento Digitale. Il lettore sarà in grado di riprodurre i Test in modo da poter analizzare la propria applicazione.

Per finire, verranno suggerite delle soluzioni per migliorare la Privacy e circoscrivere l’Invadenza Informatica.

Lavoro ad un certo momento dovrò pure mangiare

[PRIMA PARTE] – tante normative e tanto bla bla bla.

E’ normato il Diritto del Lavoratore alla pausa pranzo che in assenza di una mensa aziendale (non obbligatoria per il datore di lavoro), sostituibile con un servizio alternativo. Per le aziende con un numero superiore a 30 dipendenti dovrà essere fornito uno spazio debito a refettorio ovvero un ambiente in cui i lavoratori potranno consumare i pasti in modo confortevole e sicuro, con presenza quindi di tavoli, sedie, illuminazione, riscaldamento e pulizia degli ambienti a cura del datore di lavoro.

Non è certo obiettivo dell’articolo approfondire questioni di Diritto del Lavoro ci si concentrerà sulla consumazione del pasto quotidiano nel caso in cui il datore di lavoro abbia optato ai Buoni Pasto denominati anche Ticket Restaurant.

La fregatura sta nella denominazione Buono Pasto, che non ha niente a che fare con il concreto ristoro del lavoratore commisurato all’effettivo costo che sosterrà.

Il mio pasto è più costoso del valore facciale del ticket

Altra fregatura, i datori di lavoro sono frenati ad erogare ticket di importo superiore al valore minimo della soglia di esenzione fiscale € 4 per i buoni cartacei e € 8 per quelli digitali se si eccede dovranno essere tassati [^1].

Devi fare dieta, o rimettere di tasca propria per poter mangiare un pasto decente.

In un mondo distopico avremo il nutrizionista che metterà in lista le cose da poter comprare/mangiare e riceverà un compenso percentuale pari alla differenza tra valore facciale del buono pasto e valore effettivo di spesa in regime alimentare controllato volutamente al ribasso.

Differenza tra indennità sostitutiva di mensa e buono pasto

La differenza sta nella tassabilità: l’indennità sostitutiva concorre al reddito del lavoratore sia fiscale che contributivo.

Corriamo dietro ai Fringe Benefit

Tutti in trepidante attesa all’assistenzialismo del Fringe Benefit, legge di Bilancio 2025 tetto per il prossimo anno (ancora temporaneo) dovrebbe essere di € 1.500 euro per i dipendenti con rischio di snaturare lo stesso Welfare Aziendale.

I consulenti commerciali non possono fare altro che consigliare perché la pressione fiscale ha raggiunto limiti insopportabili divenendo inconsapevoli promotori di un sistema cervellotico.

Complicazioni non semplificazioni.

Ticket Restaurant

[SECONDA PARTE] – probabilmente non sai che le App installate raccolgono i dati e che le aziende lucrano con la loro vendita.

In questa parte si cercherà di individuare se nelle App di Ticket Restaurant sono presenti Tracker per poi analizzare un’App in modo più approfondito.

I test sono ripetibili da parte dei lettori.

Cosa sono i Tracker

I Tracker sono elementi traccianti presenti nelle App, nei siti web, nei dispositivi digitali ed in combinazione con altre tecnologie hanno lo scopo di profilare in modo dettagliato i dati che provengono dai sensori ed dal comportamento digitale dello stesso utilizzatore.

Tracciamento e profilazione rappresentano un business molto ghiotto che porta ad introiti pubblicitari da capogiro.

I tracker non hanno la stessa funzione e possono presentare diversi livelli di intrusione della privacy[^2].

• Segnalatori di crash: questi tracker sono specializzati in segnalazioni di crash dell’applicazione. In altre parole, il loro obiettivo è quello di informare gli sviluppatori dell’applicazione che un’App ha riscontrato un problema. Pertanto, le informazioni raccolte nel momento in cui l’applicazione si è bloccata consentiranno allo sviluppatore di correggere il bug.
• Analisi (Analytics): questi tracker sono pensati per raccogliere l’utilizzo dei dati e consentire allo sviluppatore di conoscere meglio il proprio pubblico (ad esempio, per sapere quale pagina hai visitato, o per quanto tempo sei rimasto su una determinata area della pagina).
• Profilazione: l’obiettivo di questi tracker è di raccogliere quante più informazioni possibili sull’utente che utilizza una data applicazione, in modo tale da costruire un profilo virtuale dell’utente stesso. A questo scopo, il tracker si concentrerà ad esempio sulla cronologia di navigazione internet, sulla lista delle applicazioni installate, e così via.
• Identificazione: I tracker sono responsabili della determinazione della tua identità digitale. Questa identità può riferirsi a un’identità ufficiale oppure a un’identità astratta, fittizia (Nickname, Pseudonimi, ecc.). Lo scopo è, ad esempio, essere in grado di correlare le attività online dell’utente a quelle offline.
• Pubblicità (Ads Advertising): I tracker mirano a creare un profilo dell’utente in modo tale da mostrargli annunci pubblicitari mirati. Questo è possibile/rilevante solo se l’utente ha già un profilo digitale disponibile. Il fine ultimo del creatore del tracker è quello di monetizzare la sua applicazione guadagnando, ad esempio, tramite la pubblicità.
• Localizzazione: i tracker sono progettati per determinare la posizione geografica del dispositivo mobile. Per farlo, i tracker sfruttano diversi sensori: chip GPS, celle a cui si connette il cellulare, le reti Wi-Fi presenti nelle vicinanze, i dispositivi Bluetooth nelle vicinanze o persino suoni specifici trasmessi da altoparlanti.

Differenza tra Consenso Informato e Tracker

Il Consenso Informato sono tutte quelle opzioni che si presentano durante l’installazione per le quali si acconsente o meno alla raccolta dei propri dati, differentemente dai Tracker non si può esprimere nessun diniego, unica protezione è non installare l’App.

Come sono state scelte le App

Sono state scelte alcune App[^3] diffuse sulla base della “Gara a procedura aperta per la conclusione di un accordo quadro per l’affidamento del Servizio sostitutivo di mensa mediante buoni pasto per le PA (edizione 10)” clicca qui.

Breve descrizione delle Aziende

Day Up Il gruppo presente in 22 paesi, 1 milione di aziende, 1 milione di partner, 24 milioni di utilizzatori, 3.000 dipendenti, 8,5 miliardi di fatturato.

Oltre agli obiettivi di profitto, perseguiamo una o più finalità di beneficio comune, operando in modo responsabile, sostenibile e trasparente nei confronti di persone, comunità, territorio e ambiente clicca qui.

Edenred azienda francese quotata in borsa Edenred SA EDEN Euronext diffusa a livello mondiale con più di 150.000 aziende, più di 150.000 partner, più di 2.500.000 utilizzatori

Ultimi eventi finanziari significativi:

• Accordi per l’acquisto della piattaforma SaaS2 danese Spirii e della piattaforma brasiliana di benefici per i trasporti RB, fonte.
• Buoni pasto: sequestro da 20 milioni a Edenred Italia per truffa e turbativa d’asta il sole 24 ore.

EP S.p.A. 800 dipendenti. 15.000.000 buoni pasto emessi, 30.000.000 esercizi commerciali convenzionati.

Pellegrini S.p.A. “Un obiettivo che abbiamo raggiunto perseguendo valori etici e sostenibili attraverso un approccio trasparente, dinamico e innovativo, che ci ha consentito la creazione di un rapporto di fiducia nei confronti di tutti gli stakeholder: Clienti, Utilizzatori ed Esercenti clicca qui.”

Sodexo Benefits & Rewards Services Italia S.r.l. cambia nome in Pluxee. 36 milioni di utilizzatori delle soluzioni Pluxee, 500 mila clienti, 1,7 milioni di partner, 4,4 milioni di transazioni giornaliere, quotata in borsa Pluxee NV PLX.

Analisi presenza di Tracker

I tracker presenti nelle App possono essere verificati dall’applicativo Exodus scaricabile da F-Droid, Exodus mostrerà per ogni applicazione installata i permessi che richiede e l’eventuale presenza di elementi traccianti.

Ogni rilascio software deve essere rivisto rispetto a possibili modifiche.

Cosa fanno i Tracker

Di seguito sono numerati e riportati i Tracker utilizzati dalle applicazioni con una breve descrizione delle loro funzionalità.

1. AltBeacon – Consente ai dispositivi Android di utilizzare i beacon proprio come per i dispositivi iOS. Un’App può richiedere di ricevere notifiche quando uno o più beacon appaiono o scompaiono. Un’App può anche richiedere di ottenere un aggiornamento di gamma da uno o più beacon. Consente inoltre ai dispositivi Android di inviare trasmissioni beacon, anche in background.
2. Google Analytics [analytics] pagina web del tracker.
3. Google Firebase Analytics [analytics] pagina web del tracker – Firebase offre funzionalità di analisi, database, messaggistica, crash report.
4. Google Tag Manager [analytics] pagina web del tracker.
5. Huawei Mobile Services (HMS) Core [location, advertisement, analytics] pagina web del tracker – HMS Core è una raccolta di strumenti realizzati per i partner e gli sviluppatori di app di Huawei. Include Ads Kit, Kit di Analytics, Kit di localizzazione e altro ancora. HMS Core offre una vasta gamma di funzionalità open device e cloud, che facilitano lo sviluppo efficiente, la crescita rapida e la monetizzazione flessibile. Ciò consente agli sviluppatori globali di perseguire innovazioni rivoluzionarie, offrire esperienze utente di livello superiore e rendere i contenuti e i servizi premium ampiamente accessibili.
6. Microsoft Visual Studio App Center Analytics [analytics] pagina web del tracker – Raccoglie analisi in tempo reale che evidenziano il comportamento degli utenti. Fornisce inoltre notifiche push ai dispositivi mobili.
7. Microsoft Visual Studio App Center Crashes [crash reporting] pagina web del tracker – Genera automaticamente un registro di arresto ogni volta che l’app si blocca. Il registro viene prima scritto nello spazio di archiviazione del dispositivo e quando l’utente avvia di nuovo l’app, il registro degli arresti anomali verrà inviato all’App Center.
8. Tealium [analytics] pagina web del tracker.
9. Google CrashLytics [crash reporting] pagina web del tracker.
10. Exponea [analytics] pagina web del tracker – Exponea fa la raccolta dei dati dei clienti, l’analisi incentrata sul cliente e la segmentazione utilizzando l’intelligenza artificiale.
11. Facebook Flipper [analytics] pagina web del tracker – L’app desktop Flipper e l’SDK nativa mobile stabiliscono una connessione che viene utilizzata per inviare dati da e verso il dispositivo. Flipper non fa alcuna restrizione sul tipo di dati che vengono inviati. Ciò consente molti casi d’uso diversi in cui si desidera comprendere meglio cosa sta succedendo all’interno della vostra app. Ad esempio, è possibile visualizzare lo stato delle cache locali, degli eventi che si verificano o attivare azioni sull’app dal desktop.

Conclusione

Il Lavoratore ha bisogno di informazioni basilari e di poche funzioni, non si comprende perché ci sono App con 0 fino a 8 tracker per finalità che sono identiche, perché?

Analisi dettagliata App

[TERZA PARTE] – su sistema operativo Android è analizzata l’app Ticket Restaurant® di Edenred.

Consenso Informato

Alzi la mano destra chi almeno una volta e senza pensarci troppo acconsente alla propria App funzioni opzionabili esplicitate nel banner informativo.

I consensi sono relativi a:

• Geolocalizzazione a fini promozionali
• Profilazione
• Notifiche promozionali

Ulteriori dettagli informativi è sull’Accesso alla tua posizione.

L’App Ticket Restaurant utilizza i dati relativi alla tua posizione, anche ad app chiusa o non in uso, per mostrarti gli esercenti vicini a te che accettano il servizio e per offrirti un’esperienza personalizzata ricevendo delle notifiche di testo che ti avviseranno ad esempio quando un esercente vicino a te attiverà delle promozioni dedicate a te.

Hai pensato che oltre a raccogliere i tuoi dati, sempre ed in ogni caso, l’App ti costa in energia e degrado precoce della batteria.

Non lamentarti che le prestazioni del cellulare in termini di processore e consumo batteria sono peggiorati nel tempo perché sono le app che governano il tuo sistema cellulare.

Analisi delle connessioni

Sono disponibili due applicazioni che permettono di analizzare il traffico dati (colloquio con i server: dominio ed indirizzo IP):

1. PCAPdroid – è un’App per la privacy che consente di monitorare e analizzare le connessioni effettuate dalle altre app del dispositivo.
2. Rethink: DNS + Firewall + VPN per la parte di monitoraggio, tiene sotto controllo il traffico Internet in entrata e in uscita.

TEST

Nessun consenso informato abilitato nel tempo ho analizzato il traffico Internet dell’applicativo e ho provveduto a bloccare tutto ciò che non riguarda il sito/dominio Edenred.

I server e gli indirizzi IP possono cambiare nel tempo per cui bisogna sempre controllare il traffico dati.

Al momento della stesura dell’articolo sono abilitati solo: tr-mobile.it.edenred.io (il server risponde dagli Stati Uniti) e sso.eu.edenred.io (il server risponde dagli Stati Uniti).

Il blocco del traffico internet[^4] riguarda n. 21 regole di dominio e n. 43 regole di IP.

MUMBLE, l’ultimo dominio che è stato bloccato si è palesato nel momento in cui ho cercato un esercizio convenzionato ed è partita la richiesta al server api.tripadvisor.com.

Conclusioni

Quello che si evince è una mancanza di protezione dei dati personali senza un via di uscita accettare di installare un App perchè fornisce un servizio fondamentale (come quello del Ticket Restaurant), senza dimenticare che sono attivate in un telefono il cui involucro di profilazione è nelle mani di Google e dal produttore dal telefonino queste considerazioni valgono anche per Apple.

La libertà di scelta per gli utilizzatori è affievolita ed in alcuni casi è persa e ne limita l’Autodeterminazione Digitale costrigendo senza alcuna alternativa a divulgare i propri dati, solo per poter usufruire del quotidiano sevizio di buono pasto.

Ottenere una maggiore protezione richiede una serie di conoscenze informatiche che non tutti hanno.

Poter installare e configurare sistema operativo Privacy Oriented sul proprio cellulare non è da tutti, ciò rende la protezione dei propri dati un privilegio che pochi possono implementare.

Si è costruito un’edificio inutile sottraendo tempi lavorativi per altre finalità con spreco risorse energetiche per una gestione del non senso perché i Ticket Restaurant non hanno senso di esistere. Soluzione, una semplice indennità di mensa detassata in busta paga, non è qualcosa di fantascientifico visto che si usa già per alcune tipologie di voci stipendiali.

[^1]: Se non si diffonde la consapevolezza del tracciamento e non si crea un momento di contrapposizione all’arroganza delle aziende di servizi, la raccolta dati continuerà senza fine.

[^2]: Fonte Exodus licenza CC-BY-NC.

[^3]: L’analisi è effettuata solo per le applicazioni Android, App Store di Google.

[^4]: I dati non sono da considerarsi definitivi possono variare nel tempo e con gli aggiornamenti dell’App.