Come trattiamo i dati personali

I due cappelli, prima di tutto il resto

CertoFlow tratta due insiemi di dati con due ruoli diversi, e la differenza cambia tutto.

• Sui dati di chi apre un account — l'azienda cliente, i suoi amministratori, il consulente — CertoFlow è titolare.
• Sui dati dei lavoratori caricati dall'azienda per essere formati, CertoFlow è responsabile del trattamento ai sensi dell'art. 28 GDPR: il titolare è il datore di lavoro, che ha l'obbligo formativo dell'art. 37 del D.Lgs. 81/2008 e decide finalità e mezzi.

La conseguenza pratica è netta: su quei dati CertoFlow non può decidere nulla per conto proprio. Non li usa per statistiche commerciali, non li incrocia fra aziende diverse, non li cede.

Chi apre un account: titolari d'azienda, amministratori, consulenti.

CertoFlow è titolare

Quali dati.

• nome e cognome
• email
• password (custodita come impronta scrypt, mai in chiaro)
• telefono
• ragione sociale, partita IVA e indirizzo dell'organizzazione

Perché. Aprire e gestire l'account, erogare il servizio, fatturare, dare assistenza.

In base a che cosa. Esecuzione del contratto (art. 6.1.b GDPR). Per i dati di fatturazione, obbligo di legge (art. 6.1.c GDPR).

Per quanto tempo. Per tutta la durata del rapporto e 10 anni dalla chiusura.
I documenti contabili vanno conservati dieci anni (art. 2220 codice civile e art. 39 D.P.R. 633/1972).

Chi altro li vede.

• fornitore di posta elettronica
• fornitore di incasso dei pagamenti
• consulente fiscale, per i soli dati di fatturazione

I lavoratori che l'azienda cliente inserisce per farli formare.

CertoFlow è responsabile — titolare è il datore di lavoro

Quali dati.

• nome e cognome
• codice fiscale oppure data e luogo di nascita
• email e cellulare, se forniti
• mansione, sede, reparto
• date di assunzione e cessazione
• livello di rischio della mansione
• incarichi in materia di sicurezza (preposto, RLS, addetto alle emergenze)
• corsi seguiti, ore frequentate, esiti delle verifiche, attestati

Perché. Assolvere l'obbligo formativo del datore di lavoro e poterlo dimostrare: iscrizione ai corsi, registro delle presenze, verifica finale, attestato.

In base a che cosa. Obbligo legale del datore di lavoro (art. 6.1.c GDPR) discendente dagli artt. 36 e 37 del D.Lgs. 81/2008 e dall'Accordo Stato-Regioni 17/04/2025.

Per quanto tempo. Per tutta la durata del rapporto di lavoro e per i 10 anni successivi.
Sono la prova che l'obbligo formativo è stato assolto. Il datore di lavoro deve poterla esibire in un'ispezione o in un procedimento anche molto tempo dopo, e per questo la cancellazione su richiesta non è possibile finché l'obbligo dura (art. 17.3.b GDPR).

Chi altro li vede.

• il datore di lavoro, che è il titolare del trattamento
• gli organi di vigilanza, in caso di ispezione
• il consulente eventualmente delegato dall'azienda

⚠️ Su questi dati CertoFlow è **responsabile**, non titolare: non li usa per nessuna finalità propria, non li cede, non li usa per statistiche commerciali.

I referenti aziendali indicati dal cliente per ricevere gli avvisi.

CertoFlow è responsabile — titolare è il datore di lavoro

Quali dati.

• nome e cognome
• email aziendale

Perché. Segnalare al referente chi non ha raggiunto le ore minime, così che possa organizzare il recupero.

In base a che cosa. Obbligo legale del datore di lavoro (art. 6.1.c GDPR). Il messaggio contiene i totali di frequenza, non il dettaglio di che cosa ha fatto ciascuno.

Per quanto tempo. Per tutta la durata del rapporto di lavoro e per i 10 anni successivi.
Sono la prova che l'obbligo formativo è stato assolto. Il datore di lavoro deve poterla esibire in un'ispezione o in un procedimento anche molto tempo dopo, e per questo la cancellazione su richiesta non è possibile finché l'obbligo dura (art. 17.3.b GDPR).

Chi altro li vede.

• il datore di lavoro

Chi invia una segnalazione di mancato infortunio o di condizione pericolosa.

CertoFlow è responsabile — titolare è il datore di lavoro

Quali dati.

• descrizione dell'evento
• luogo e data
• fotografie eventualmente allegate
• identità di chi segnala, salvo che la segnalazione sia anonima

Perché. Raccogliere e trattare i mancati infortuni per prevenire quelli veri.

In base a che cosa. Obbligo legale in materia di salute e sicurezza sul lavoro (art. 6.1.c GDPR). Quando la segnalazione riguarda un infortunio e contiene dati sulla salute, si applica l'art. 9.2.b GDPR (obblighi in materia di diritto del lavoro).

Per quanto tempo. 5 anni dalla chiusura della segnalazione.
Servono a dimostrare la valutazione dei rischi e le misure adottate.

Chi altro li vede.

• il datore di lavoro
• il RSPP e il medico competente, per quanto di competenza

La segnalazione può essere inviata in forma **anonima**: in quel caso il collegamento con chi l'ha scritta non viene proprio registrato.

Chiunque acceda all'applicazione.

CertoFlow è titolare

Quali dati.

• indirizzo IP
• tipo di browser
• data e ora dell'accesso
• azioni compiute sull'account

Perché. Proteggere gli account da accessi non autorizzati, ricostruire un incidente di sicurezza, rispettare l'obbligo di tenere il sistema sicuro.

In base a che cosa. Legittimo interesse alla sicurezza del servizio (art. 6.1.f GDPR) e obbligo di adottare misure adeguate (art. 32 GDPR).

Per quanto tempo. 12 mesi, poi cancellazione.
È il tempo utile a ricostruire un incidente di sicurezza. Oltre, non servirebbe più a niente e resterebbe solo un rischio in più.

Chi altro li vede.

• nessuno, salvo richiesta dell'autorità giudiziaria

Chi verifica l'autenticità di un attestato dalla pagina pubblica.

CertoFlow è titolare

Quali dati.

• codice dell'attestato verificato
• esito
• indirizzo IP
• data e ora

Perché. Dimostrare i controlli ricevuti e riconoscere tentativi di indovinare i codici a forza bruta.

In base a che cosa. Legittimo interesse (art. 6.1.f GDPR): integrità del sistema di verifica.

Per quanto tempo. 12 mesi per l'indirizzo IP, che poi viene rimosso; il resto resta in forma anonima come semplice conteggio.
Dopo un anno l'IP non aiuta più a riconoscere un abuso, mentre il conteggio dei controlli resta utile.

Chi altro li vede.

• nessuno

La pagina di verifica non richiede accesso e **non imposta alcun cookie**. Mostra il minimo indispensabile a dire se un attestato è autentico.

Il tempo trascorso sui corsi, e il controllo a distanza

CertoFlow misura sul server quanto tempo una persona resta su un modulo: è così che si dimostra la frequenza minima richiesta dalla legge, e senza quella misura l'attestato non potrebbe essere emesso.

È un dato dal quale può derivare un controllo dell'attività lavorativa, quindi va detto con precisione — lo impone l'art. 4, comma 3, della legge 300/1970, e senza questa informativa quei dati non sarebbero utilizzabili per nessuna finalità.

Che cosa viene misurato:

• l'apertura e la chiusura di ogni modulo, con data e ora prese dal server
• il tempo trascorso su ciascun modulo, sommato in ore di frequenza
• la presenza durante le lezioni in videoconferenza, rilevata a intervalli regolari
• le risposte date alla verifica finale e il punteggio

Che cosa NON viene misurato:

• che cosa fa il lavoratore quando non sta svolgendo il corso
• quali altri programmi o siti usa
• la posizione geografica
• immagini o suoni provenienti dalla postazione

A che cosa serve. Unicamente a dimostrare la frequenza minima richiesta dalla legge per l'emissione dell'attestato, e a ricostruire come si è svolto il corso in caso di controllo.

Chi lo vede. Chi in azienda gestisce la formazione, e gli organi di vigilanza in caso di ispezione.

Chi altro tratta i dati per noi

Sono i responsabili del trattamento nominati ai sensi dell'art. 28.4 GDPR. Nessuno di essi usa i dati per finalità proprie.

I dati restano nell'Unione europea. Se un giorno un fornitore dovesse trattarli fuori dall'Unione, avverrebbe solo con le garanzie del Capo V del GDPR, e questa pagina lo direbbe.

Che cosa viene cancellato da solo, e che cosa no

Un termine di conservazione che nessuno applica è una dichiarazione falsa. Qui c'è la distinzione, senza giri di parole.

CertoFlow cancella da sola, ogni giorno:

Non cancella da sola:

• Dati dell'account e del contratto — No: il termine decorre dalla chiusura del rapporto, che è una decisione commerciale e non una data che il sistema conosce da sé.
• Formazione, presenze, verifiche, attestati — No, ed è voluto: cancellare da soli la prova di un adempimento di legge sarebbe il danno peggiore che questo prodotto possa fare a un cliente. La cancellazione la decide il datore di lavoro, che è il titolare.
• Segnalazioni e azioni correttive — No: la chiusura di una segnalazione può essere riaperta, e cinque anni di distanza sono troppi per cancellare senza che un umano guardi.

Sulla formazione, in particolare, è una scelta e non una mancanza: cancellare da soli la prova che un obbligo di legge è stato assolto sarebbe il danno peggiore che questo prodotto possa fare a un'azienda.

Come sono protetti

• Le password non sono conservate: se ne custodisce solo un'impronta calcolata con scrypt, dalla quale non si risale alla password.
• Gli attestati portano un sigillo crittografico (HMAC-SHA256): se anche un solo carattere venisse modificato, la verifica pubblica lo direbbe.
• Le credenziali delle integrazioni con i gestionali del cliente sono cifrate (AES-256-GCM), non in chiaro nel database.
• Gli accessi hanno un freno contro i tentativi ripetuti, e ogni sessione ha una scadenza.
• Le pagine hanno una Content-Security-Policy chiusa: il browser non carica nulla da domini terzi, quindi nessuno può osservare da fuori chi sta usando CertoFlow.

I tuoi diritti

Puoi chiedere in ogni momento di accedere ai tuoi dati (art. 15), di correggerli (art. 16), di limitarne il trattamento (art. 18), di riceverli in un formato leggibile da un computer (art. 20) e di opporti ai trattamenti fondati sul legittimo interesse (art. 21).

Sulla cancellazione serve essere chiari, perché qui c'è un limite vero: attestati, registri di presenza e verifiche sono la prova che un obbligo di legge è stato assolto. Finché quell'obbligo dura, non possono essere cancellati su richiesta — lo prevede l'art. 17.3.b del GDPR. È la stessa ragione per cui un datore di lavoro non può distruggere i registri della formazione il giorno in cui un dipendente se ne va.

Se i tuoi dati sono stati caricati dalla tua azienda, la richiesta va rivolta alla tua azienda, che ne è il titolare: noi la assistiamo, ma non possiamo decidere al suo posto. Se invece riguarda il tuo account su CertoFlow, scrivi all'indirizzo indicato in cima a questa pagina.

Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — garanteprivacy.it).

Se qualcosa va storto

In caso di violazione dei dati personali che comporti un rischio per i diritti delle persone, CertoFlow avvisa senza ingiustificato ritardo le aziende clienti titolari del trattamento, fornendo quanto serve loro per la notifica al Garante entro le 72 ore previste dall'art. 33 GDPR. Quando il rischio è elevato, l'informazione arriva anche agli interessati (art. 34).