Art. 28 GDPR
Nomina a responsabile del trattamento
Versione 1, in vigore dal 3 agosto 2026.
Perché serve
Quando la tua azienda carica su CertoFlow i dati dei propri lavoratori, resta lei il titolare del trattamento: è lei che ha l'obbligo formativo dell'art. 37 del D.Lgs. 81/2008 e che decide finalità e mezzi. CertoFlow li tratta per suo conto, ed è quindi responsabile del trattamento.
L'art. 28.3 del Regolamento non lascia questo rapporto ai buoni rapporti: pretende un atto scritto con un contenuto minimo. Questo documento è quell'atto, e accettandolo la tua azienda ci nomina formalmente.
Senza, è irregolare l'azienda cliente — non solo il fornitore.
Che cosa trattiamo per conto tuo
| Oggetto | Il trattamento dei dati personali dei lavoratori dell'azienda cliente, necessario a erogare la formazione obbligatoria in materia di salute e sicurezza sul lavoro e a documentarne l'assolvimento. |
| Durata | Per tutta la durata del contratto di servizio, e successivamente per il solo tempo necessario agli obblighi di legge che restano in capo al titolare. |
| Natura | Raccolta, registrazione, organizzazione, consultazione, uso, comunicazione al titolare e agli organi di vigilanza, conservazione. Il trattamento è svolto con strumenti elettronici. |
Finalità.
- Assolvere l'obbligo formativo del datore di lavoro e poterlo dimostrare: iscrizione ai corsi, registro delle presenze, verifica finale, attestato.
- Segnalare al referente chi non ha raggiunto le ore minime, così che possa organizzare il recupero.
- Raccogliere e trattare i mancati infortuni per prevenire quelli veri.
Categorie di interessati.
- I lavoratori che l'azienda cliente inserisce per farli formare.
- I referenti aziendali indicati dal cliente per ricevere gli avvisi.
- Chi invia una segnalazione di mancato infortunio o di condizione pericolosa.
Tipi di dati.
- nome e cognome
- codice fiscale oppure data e luogo di nascita
- email e cellulare, se forniti
- mansione, sede, reparto
- date di assunzione e cessazione
- livello di rischio della mansione
- incarichi in materia di sicurezza (preposto, RLS, addetto alle emergenze)
- corsi seguiti, ore frequentate, esiti delle verifiche, attestati
- email aziendale
- descrizione dell'evento
- luogo e data
- fotografie eventualmente allegate
- identità di chi segnala, salvo che la segnalazione sia anonima
Il servizio non è progettato per trattare dati sulla salute. Possono comparire in via indiretta nelle segnalazioni che riguardano un infortunio: in quel caso si applica l'art. 9.2.b GDPR, obblighi in materia di diritto del lavoro. ⚠️ Non vanno inseriti giudizi di idoneità, diagnosi o dati sanitari: CertoFlow non è il posto dove tenerli.
Che cosa ci impegniamo a fare
Sono gli obblighi che l'art. 28.3 mette a carico del responsabile, dalla lettera a) alla h). Accanto a ciascuno c'è come li rispettiamo: un elenco che ricopia la norma senza dire come non dimostra niente.
| a) | Tratta i dati personali soltanto su istruzione documentata del titolare. CertoFlow tratta i dati dei lavoratori solo per far funzionare i servizi che l'azienda attiva: iscrizioni, registro delle presenze, verifiche, attestati, avvisi di scadenza. Non li usa per finalità proprie, non li usa per statistiche commerciali e non li incrocia fra clienti diversi. |
| b) | Garantisce che chi è autorizzato al trattamento si sia impegnato alla riservatezza o abbia un obbligo legale di riservatezza. L'accesso ai dati di un cliente è limitato a chi ha un incarico su quel cliente. Il pannello di piattaforma mostra numeri e stato degli account, mai i nomi dei lavoratori. |
| c) | Adotta le misure di sicurezza richieste dall'art. 32. Password custodite come impronta scrypt, credenziali delle integrazioni cifrate con AES-256-GCM, attestati sigillati con HMAC-SHA256, sessioni a scadenza, freno sui tentativi di accesso, Content-Security-Policy chiusa. L'elenco aggiornato sta nell'informativa. |
| d) | Non ricorre a un altro responsabile senza autorizzazione del titolare, e gli impone per contratto gli stessi obblighi. I sub-responsabili sono elencati qui sotto e nell'informativa. Ogni variazione viene comunicata prima che avvenga, così che il cliente possa opporsi. |
| e) | Assiste il titolare nel dar seguito alle richieste degli interessati. Ogni persona può scaricare da sola i propri dati in formato leggibile da un computer (artt. 15 e 20). Per rettifiche e cancellazioni CertoFlow fornisce all'azienda gli strumenti e l'assistenza, ma la decisione resta del titolare. |
| f) | Assiste il titolare per gli obblighi degli artt. 32-36: sicurezza, violazioni, valutazione d'impatto. In caso di violazione dei dati CertoFlow avvisa il cliente senza ingiustificato ritardo e gli fornisce quanto serve per la notifica al Garante entro 72 ore (art. 33). Il registro delle violazioni è tenuto e consultabile. |
| g) | Alla fine del servizio cancella o restituisce i dati, a scelta del titolare. Alla chiusura del contratto l'azienda può scaricare tutto quello che ha caricato e i documenti prodotti. ⚠️ La cancellazione va chiesta espressamente e non è automatica: attestati e registri della formazione sono la prova di un adempimento di legge, e distruggerli d'ufficio farebbe un danno al cliente, non un favore. |
| h) | Mette a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi e consente le verifiche, comprese le ispezioni. Questo documento, l'informativa e il registro dei trattamenti sono pubblici e sempre consultabili. Su richiesta scritta CertoFlow risponde a questionari di audit e consente verifiche concordate. |
Chi altro tratta i dati per noi
Sub-responsabili ai sensi dell'art. 28.4. Ogni variazione viene comunicata prima che avvenga, così che tu possa opporti.
| Chi | Dove | Per che cosa |
|---|---|---|
| Fornitore dell'infrastruttura che ospita l'applicazione | Unione europea | Custodia dei dati: non vi accede, salvo che per la manutenzione dei sistemi. |
| Fornitore del servizio di posta elettronica | Unione europea | Recapito dei messaggi di servizio: inviti, recupero della password, avvisi. |
| Fornitore del servizio di incasso dei pagamenti | Unione europea | Incasso degli abbonamenti. CertoFlow non riceve né conserva i dati della carta. |
| Piattaforma di videoconferenza, quando il corso si svolge a distanza | Secondo le condizioni del fornitore scelto dal cliente | Collegamento dell'aula virtuale e registro dei partecipanti. |
I tuoi diritti come titolare
- Dare istruzioni sul trattamento, e vederle rispettate.
- Ricevere le informazioni necessarie a dimostrare la conformità, e svolgere verifiche concordate.
- Essere avvisato senza ingiustificato ritardo di ogni violazione dei dati.
- Alla fine del servizio, riavere i dati o chiederne la cancellazione.
- Opporti all'ingresso di un nuovo sub-responsabile.