Informativa privacy della piattaforma

1. Titolare del trattamento

Sicurgarda snc di Fadenti Matteo e Pezzaioli Gloria, sede legale in Via Sirmione 9, 25015 Desenzano del Garda (BS), sede operativa in Via Commissario Luigi Calabresi 260, 25015 Desenzano del Garda (BS), P.IVA 03488030986. Contatto privacy: sicurgarda.privacy@gmail.com.

2. Ruoli: titolare e responsabile

Per i dati degli utenti che accedono alla piattaforma (nome, email, ruolo, log di accesso) Sicurgarda agisce come Titolare del trattamento.

Per i dati dei lavoratori delle aziende clienti (anagrafica, mansione, attestati di formazione, scadenze, giudizi di idoneità, nomine) il Titolare è l'azienda cliente (datore di lavoro); Sicurgarda tratta tali dati come Responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base del contratto di servizio e dell'accordo sul trattamento dei dati.

3. Dati trattati

Utenti della piattaforma: nome, cognome, email, ruolo, azienda di appartenenza, credenziali (password conservata solo in forma cifrata), indirizzo IP, data e ora di accesso e delle operazioni svolte.

Lavoratori: nome, cognome, codice fiscale, data di nascita, mansione, reparto, email, attestati e relative scadenze, giudizi di idoneità alla mansione, lettere di nomina e firme.

Non devono essere caricati documenti sanitari custoditi esclusivamente dal Medico Competente (cartelle sanitarie e di rischio, referti, esami).

Persone che scansionano il QR del tesserino: indirizzo IP, browser, data e ora della consultazione.

4. Finalità e basi giuridiche

Erogazione del servizio di gestione scadenze e documenti in materia di salute e sicurezza sul lavoro: esecuzione del contratto (art. 6.1.b GDPR).

Adempimento degli obblighi del datore di lavoro previsti dal D.Lgs. 81/08 (formazione, sorveglianza sanitaria, tesserino di riconoscimento negli appalti): obbligo legale del titolare (art. 6.1.c e art. 9.2.b GDPR per i giudizi di idoneità).

Sicurezza della piattaforma, registro degli accessi e prevenzione di abusi: legittimo interesse e obblighi di sicurezza (artt. 6.1.f e 32 GDPR).

Invio di email di servizio (promemoria scadenze, firme, notifiche account): esecuzione del contratto.

5. Modalità del trattamento e sicurezza

I dati sono trattati con strumenti elettronici, con accesso riservato a utenti autorizzati e separazione dei dati tra aziende clienti. Le password sono cifrate, le connessioni sono protette (HTTPS) e i dati sono cifrati a riposo presso il fornitore di hosting.

Ogni consultazione, esportazione, modifica e cancellazione dei dati dei lavoratori viene registrata (utente, data, ora, indirizzo IP, operazione).

La piattaforma utilizza un servizio di intelligenza artificiale solo per leggere automaticamente i dati dagli attestati caricati, su richiesta dell'utente; non vengono prese decisioni automatizzate che producono effetti giuridici sulle persone.

6. Destinatari e fornitori (responsabili / sub-responsabili)

Emergent Labs (sviluppo e hosting della piattaforma, database gestito, archivio file); Cloudflare (rete di distribuzione e sicurezza); MongoDB Atlas (database); Google (servizio di intelligenza artificiale Gemini per la lettura degli attestati); Resend (invio email).

I dati non vengono venduti né diffusi. Possono essere comunicati alle autorità competenti quando richiesto dalla legge (es. organi di vigilanza).

7. Trasferimenti fuori dall'Unione Europea

Alcuni fornitori trattano i dati negli Stati Uniti e in altri paesi extra UE (secondo le informazioni del fornitore di hosting, Stati Uniti e India). I trasferimenti avvengono sulla base della decisione di adeguatezza UE-USA (Data Privacy Framework) per i fornitori certificati e/o delle Clausole Contrattuali Standard approvate dalla Commissione Europea (art. 46 GDPR). Copia delle garanzie può essere richiesta scrivendo al contatto privacy.

8. Conservazione

Dati dei lavoratori: per la durata del rapporto con l'azienda cliente e fino alla richiesta di cancellazione del titolare. Quando un lavoratore viene eliminato dalla piattaforma, i suoi dati e i documenti collegati vengono cancellati definitivamente.

Account utenti: per la durata del contratto. Registro degli accessi: 24 mesi, poi cancellazione automatica.

9. Diritti degli interessati

Gli interessati possono esercitare i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (artt. 15-22 GDPR) scrivendo a sicurgarda.privacy@gmail.com. I lavoratori possono rivolgersi anche direttamente al proprio datore di lavoro, titolare dei loro dati. La piattaforma consente di esportare in un unico file tutti i dati di un lavoratore.

È possibile proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).