Accordo sul trattamento dei dati dei lavoratori

Versione 2026-10-15-2 · 15 ottobre 2026.

1. Parti, ruoli e oggetto

L’azienda o il professionista identificato nell’ordine, di seguito «Cliente», affida a Diego Parrillo, partita IVA IT18724851003, operante con il marchio ComplianceDesk, di seguito «Fornitore», le attività di trattamento descritte nel presente accordo e nei suoi allegati.

Il Cliente agisce come titolare dei dati dei propri dipendenti e collaboratori. Il Fornitore agisce come responsabile del trattamento per le attività svolte per conto del Cliente, ai sensi dell’articolo 28 del Regolamento (UE) 2016/679. L’accordo costituisce parte delle condizioni di servizio; per le istruzioni e gli obblighi relativi ai dati trattati per conto del Cliente prevale sulle disposizioni commerciali incompatibili.

Le attività svolte dal Fornitore come autonomo titolare, quali fatturazione, gestione dei propri contatti commerciali e tutela dei propri diritti, sono distinte e descritte nell’Informativa privacy. L’accordo non attribuisce al Fornitore le decisioni del datore di lavoro sull’impiego dei risultati formativi.

2. Istruzioni e finalità

Il Fornitore tratta i dati soltanto per erogare le funzionalità richieste e secondo le istruzioni documentate del Cliente, comprese quelle concernenti destinatari e trasferimenti. L’ordine, il presente accordo e le configurazioni effettuate dal referente autorizzato costituiscono le istruzioni iniziali nei limiti del servizio descritto.

Le istruzioni ulteriori sono trasmesse dal referente autorizzato a privacy@compliancedesk.it e conservate con il relativo riscontro. Il Fornitore verifica il potere del richiedente e informa il Cliente se una richiesta richiede una modifica del servizio o misure ulteriori; non estende autonomamente finalità o destinatari.

Se una norma impone un trattamento ulteriore, il Fornitore informa il Cliente prima di effettuarlo, salvo divieto previsto dalla legge. Segnala immediatamente le istruzioni che ritiene incompatibili con la normativa sulla protezione dei dati e ne chiede la rettifica; non esegue un’istruzione illecita per il solo fatto che sia stata richiesta dal Cliente.

I dati formativi non sono riutilizzati dal Fornitore per pubblicità, profilazione commerciale o decisioni sul personale del Cliente.

3. Obblighi del Cliente

Il Cliente individua finalità e basi giuridiche, fornisce ai lavoratori le informazioni necessarie e verifica pertinenza ed esattezza dei dati inseriti. Mantiene aggiornati i referenti autorizzati e protegge gli accessi.

Il Cliente valuta l’adeguatezza del percorso al proprio contesto e definisce l’eventuale impiego dei risultati. Un punteggio o un attestato non costituisce, da solo, una decisione sull’idoneità lavorativa o una garanzia di conformità dell’organizzazione.

Il Cliente non inserisce dati sanitari, informazioni su condanne o reati o altri dati non necessari. Un’esigenza diversa richiede una valutazione e un accordo prima dell’introduzione di tali dati.

4. Persone autorizzate e sicurezza

Il Fornitore limita l’accesso alle persone che ne hanno necessità per erogazione, assistenza e sicurezza e le vincola alla riservatezza. Gli accessi di assistenza sono circoscritti alle finalità del servizio e non autorizzano l’utilizzo autonomo dei dati dei lavoratori.

Il Fornitore adotta e mantiene misure tecniche e organizzative adeguate alla natura del trattamento e ai rischi, considerando l’evoluzione tecnica e il contesto. L’allegato B descrive le misure applicabili; il Fornitore ne verifica l’efficacia e le aggiorna quando necessario, senza ridurre il livello di protezione richiesto.

Il servizio non comprende una garanzia di disponibilità ininterrotta o una reperibilità continuativa 24 ore su 24. Ciò non limita gli obblighi di sicurezza, di assistenza e di comunicazione previsti dall’accordo e dalla legge.

5. Richieste degli interessati e assistenza

Il Fornitore inoltra senza ingiustificato ritardo al referente del Cliente le richieste ricevute che riguardano i dati trattati per suo conto. Non decide autonomamente l’accoglimento o il rigetto, salvo obblighi di legge, e risponde per conto del Cliente solo se autorizzato.

Tenuto conto della natura del trattamento e delle informazioni disponibili, assiste il Cliente nella ricerca, esportazione, rettifica, limitazione e cancellazione dei dati, nella gestione delle violazioni e nelle valutazioni d’impatto e consultazioni preventive pertinenti. Le parti concordano le modalità operative senza pregiudicare i termini e i diritti applicabili.

6. Incidenti e violazioni dei dati personali

Quando viene a conoscenza di una violazione riguardante i dati trattati per conto del Cliente, il Fornitore ne informa il referente senza ingiustificato ritardo. Il punto di contatto è privacy@compliancedesk.it; il Cliente mantiene aggiornato il recapito a cui ricevere le comunicazioni.

La comunicazione descrive, per quanto noto, natura dell’evento, dati e persone coinvolti, conseguenze prevedibili, misure adottate o proposte e contatto per gli aggiornamenti. Se non tutte le informazioni sono disponibili, il Fornitore invia un primo avviso e integra le informazioni progressivamente senza ingiustificato ritardo.

Il Fornitore coopera al contenimento e alla ricostruzione dell’evento e assiste il Cliente nelle valutazioni e comunicazioni di sua competenza. Non sostituisce il Cliente nelle decisioni sulle notifiche all’autorità o agli interessati, salvo uno specifico obbligo o incarico.

7. Sub-responsabili

Il Cliente conferisce un’autorizzazione generale scritta al ricorso ai sub-responsabili descritti nell’allegato C per le attività indicate. Il Fornitore affida le attività soltanto sulla base di accordi che impongano gli obblighi di protezione applicabili e resta responsabile verso il Cliente dell’adempimento degli obblighi del sub-responsabile.

Per aggiunte o sostituzioni, il Fornitore informa il referente per iscritto con almeno 30 giorni di anticipo, indicando servizio, dati coinvolti, localizzazioni pertinenti e garanzie. Il Cliente può presentare un’obiezione motivata in materia di protezione dei dati entro tale termine. Prima del nuovo affidamento le parti ricercano una soluzione adeguata, anche mediante un’alternativa o la cessazione ordinata della funzionalità interessata con restituzione dei dati; non si considera l’obiezione automaticamente respinta.

Un intervento urgente di sicurezza non costituisce, da solo, un’autorizzazione a nuovi trasferimenti o destinatari. Se il preavviso non è compatibile con l’intervento, il Fornitore ricerca un’autorizzazione specifica prima di un nuovo affidamento o limita temporaneamente la funzionalità interessata, informando il Cliente secondo le circostanze.

Su richiesta, il Fornitore mette a disposizione le informazioni pertinenti sugli accordi con i sub-responsabili, proteggendo segreti commerciali, credenziali e dati di terzi senza impedire la verifica degli obblighi applicabili.

8. Trasferimenti internazionali

Il Fornitore effettua trasferimenti verso paesi terzi soltanto su istruzioni documentate o in presenza di un obbligo di legge, nel rispetto del capo V del GDPR. Verifica prima dell’affidamento il meccanismo applicabile e le eventuali misure supplementari necessarie; l’autorizzazione generale a un sub-responsabile non sostituisce tale verifica.

La configurazione applicativa utilizza anche infrastrutture negli Stati Uniti. La presenza di un database in una regione europea o la cifratura di un backup non implica che ogni trattamento, log o accesso di assistenza rimanga nello Spazio economico europeo. Il Fornitore rende disponibili al Cliente le informazioni pertinenti ai trasferimenti e alle relative garanzie.

9. Durata, restituzione e cancellazione

Il trattamento dura per l’erogazione delle funzionalità richieste e per le attività necessarie alla chiusura, secondo le istruzioni del Cliente. L’assenza di una scadenza automatica dell’account non autorizza la conservazione indefinita di ogni categoria di dati.

Alla cessazione, il Fornitore offre un’opportunità di esportazione e concorda con il referente autorizzato la restituzione o la cancellazione dei dati trattati per conto del Cliente. Il periodo operativo di gestione della chiusura è di 90 giorni, salvo istruzioni che richiedano una gestione anticipata, diritti degli interessati o obblighi applicabili. I dati sono utilizzati in questa fase solo per le attività di chiusura e le ulteriori esigenze giuridiche documentate.

Alla conclusione delle prestazioni, secondo la scelta del Cliente, il Fornitore restituisce o cancella i dati e cancella le copie esistenti, salvo conservazioni imposte dalla legge. Conferma le attività effettuate e comunica eventuali dati conservati, ragione e durata o criterio applicabile. Se mancano istruzioni, sollecita il referente e definisce la chiusura senza trasformare l’assenza di risposta in una conservazione indefinita.

Per gli attestati e i dati di verifica, il Cliente documenta le esigenze probatorie e impartisce le relative istruzioni. La necessità è riesaminata almeno annualmente e alla cessazione, distinguendo identità e attestazione minima da risposte, checkpoint e dati ulteriori. Né un vincolo tecnico di integrità né l’esistenza di un QR giustificano autonomamente la conservazione. Le eventuali esigenze del Fornitore come titolare sono distinte, limitate e comunicate nell’Informativa.

I backup cifrati negli archivi GitHub seguono una finestra configurata di 30 giorni e non sono utilizzati per la consultazione ordinaria. Le disposizioni di cancellazione sono documentate; in caso di ripristino devono essere riapplicate prima di rendere nuovamente disponibili agli utenti i dati interessati. Il Fornitore verifica l’esecuzione delle attività di chiusura anche rispetto alle copie gestite per suo conto.

In caso di chiusura programmata del servizio, il Fornitore comunica con almeno 90 giorni di preavviso la data di cessazione e le modalità per richiedere l’esportazione, secondo le condizioni di servizio.

10. Informazioni e verifiche

Il Fornitore mette a disposizione le informazioni necessarie a dimostrare l’adempimento degli obblighi e consente le verifiche del Cliente o di un revisore da esso incaricato, secondo modalità proporzionate al rischio e coordinate per tutelare sicurezza, riservatezza e dati di altri clienti.

Le parti concordano normalmente oggetto, modalità e tempi della verifica. Questa organizzazione non impedisce verifiche urgenti giustificate, l’esercizio dei poteri dell’autorità o l’accesso alle informazioni necessarie. Il revisore è vincolato alla riservatezza e non riceve credenziali o accesso indiscriminato ai sistemi di altri clienti.

Allegato A — Descrizione dei trattamenti

La verifica pubblica tramite codice o QR mostra nome, CF parzialmente mascherato, genere se registrato, azienda e partita IVA, data, voto, durata, ambito, riferimento e dati di integrità. Non mostra il codice fiscale completo o le singole risposte del quiz. Chiunque riceva il codice o il collegamento, anche per inoltro, può consultare la medesima vista: il ruolo di ispettore, datore di lavoro o partecipante non è autenticato. Il Cliente informa i partecipanti e limita la condivisione ai destinatari previsti, verificando necessità e base del trattamento nel proprio contesto.

Allegato B — Misure di sicurezza

• Connessioni HTTPS e gestione protetta delle sessioni; password conservate come hash.
• Separazione degli accessi tra aziende; area amministrativa autenticata con limitazione per indirizzo IP.
• Autorizzazioni tecniche distinte in base alla funzione; accesso di sola lettura per l’esportazione dei backup.
• Protezioni dell’integrità e della tracciabilità delle registrazioni; conservazione dello storico delle rettifiche pertinenti.
• Gestione persistente delle notifiche con tentativi controllati e protezioni contro duplicazioni.
• Backup giornalieri cifrati e chiave privata di recupero custodita separatamente.
• Monitoraggio indipendente dell’esecuzione dei processi con avvisi all’operatore e gestione delle anomalie.
• Limitazione delle operazioni di manutenzione ai soggetti autorizzati, con verifiche prima di cancellazioni e ripristini e protezione dei dati non pertinenti.

Il processo ospitato di esportazione tratta i dati prima della cifratura del backup. Le misure descritte riducono i rischi, ma non costituiscono una certificazione o una garanzia di disponibilità assoluta del servizio.

Allegato C — Servizi infrastrutturali impiegati

I servizi sono indicati con le rispettive denominazioni commerciali. Le informazioni sulle entità contrattuali, sulle localizzazioni e sulle garanzie applicabili sono rese disponibili dal Fornitore su richiesta e in occasione delle modifiche rilevanti.

Cloudflare Turnstile tratta dati tecnici per la protezione dagli abusi. Upstash QStash avvia il processo programmato senza il contenuto delle comunicazioni o elenchi cliente; Healthchecks.io riceve segnali di esecuzione senza dati cliente. Eventuali richieste di assistenza inviate via email possono contenere dati dei lavoratori; il Cliente evita dati non necessari e il Fornitore utilizza le proprie caselle di assistenza, anche Gmail, limitatamente alla richiesta.

Stripe e i prestatori di servizi di fatturazione elettronica sono utilizzati rispettivamente per i pagamenti e la fatturazione del venditore e non sono incaricati, nell’ambito di tali funzionalità, della gestione dei quiz o degli attestati. L’elenco non autorizza nuovi impieghi dei dati, ulteriori destinatari o trasferimenti privi dei presupposti applicabili.