Informativa privacy e cookie ComplianceDesk
Versione 2026-10-15-2 · 15 ottobre 2026.
1. Titolare e ruoli
Diego Parrillo, partita IVA IT18724851003, operante con il marchio ComplianceDesk, è titolare del trattamento per la gestione dei contatti commerciali, degli account dei referenti, degli acquisti, della fatturazione, dell’assistenza e della sicurezza del proprio servizio. Per questioni relative ai dati personali è possibile scrivere a privacy@compliancedesk.it.
Per i dati dei lavoratori gestiti per conto dell’azienda cliente, il datore di lavoro è titolare e ComplianceDesk opera come responsabile secondo l’Accordo sul trattamento dei dati dei lavoratori. Il datore di lavoro informa i partecipanti sulle finalità, sulle basi giuridiche e sull’impiego dei risultati nel rapporto di lavoro. Questa informativa descrive il servizio e non sostituisce quella del datore di lavoro.
2. Dati trattati e provenienza
- Referenti e acquisti: dati identificativi e di contatto forniti dall’acquirente o dall’azienda, ragione sociale, partita IVA e codice fiscale, indirizzo, SDI o PEC, email, ordini, postazioni, importi e stato dei pagamenti. Gli esiti del pagamento provengono anche dal relativo prestatore.
- Accettazione dei documenti: per i nuovi ordini iniziali, email dichiarata del referente, dichiarazione di autorizzazione a impegnare l’azienda, data e ora dell’operazione, versioni dei documenti accettati o visionati e relative impronte digitali di integrità.
- Formazione: nome, cognome, codice fiscale, email, mansione e genere derivato quando registrato; inviti, iscrizioni, avanzamento, checkpoint temporali, risposte e punteggi del quiz, presa visione della policy, attestato e dati di integrità. I dati provengono dall’azienda e dal partecipante durante l’utilizzo. Le registrazioni temporali non dimostrano, da sole, identità o attenzione.
- Comunicazioni e continuità delle operazioni: destinatari e contenuti delle email di servizio, link, esiti e tentativi di invio; copie delle richieste di checkout con i dati necessari a riprendere o verificare la stessa operazione senza duplicarla.
- Fatturazione: dati necessari all’emissione della fattura e alla trasmissione attraverso il Sistema di Interscambio (SdI); numero, data, stato amministrativo, eventuale copia del documento e storico delle modifiche con autore e data.
- Sicurezza e navigazione: dati tecnici della richiesta e del dispositivo, indirizzo IP, informazioni anti-abuso, tentativi di accesso e registrazioni tecniche pertinenti. Le copie di backup possono contenere le categorie sopra descritte.
Non sono richiesti dati sanitari, informazioni su condanne o reati o altri dati non necessari. I campi obbligatori sono indicati nelle schermate pertinenti: senza tali informazioni può non essere possibile completare l’operazione. L’eventuale mancato consenso all’analytics non impedisce l’acquisto o l’utilizzo del servizio.
3. Finalità e basi giuridiche
Per i trattamenti svolti come titolare, ComplianceDesk utilizza i dati:
- per rispondere alle richieste e gestire l’acquisto e il servizio, sulla base delle misure precontrattuali o del contratto quando l’interessato è parte del rapporto;
- per gestire i contatti e le attività operative dei referenti di aziende e organizzazioni, sulla base dell’interesse legittimo a instaurare ed eseguire il rapporto con tali organizzazioni, tenendo conto dei diritti dei referenti;
- per adempiere agli obblighi fiscali, contabili e agli altri obblighi applicabili, sulla base della legge;
- per prevenire abusi, proteggere account e infrastruttura, gestire contestazioni e tutelare i propri diritti, sulla base dell’interesse legittimo alla sicurezza e alla tutela del servizio e nei limiti di necessità e proporzionalità;
- per l’analytics facoltativo sulle pagine pubbliche ammesse, sulla base del consenso revocabile.
Per i dati dei lavoratori trattati come responsabile, ComplianceDesk segue le istruzioni documentate del datore di lavoro, che individua le basi giuridiche e le finalità pertinenti. La partecipazione al quiz o la presa visione dell’informativa non costituisce un consenso generale a qualsiasi trattamento dei dati del lavoratore.
La piattaforma registra il risultato didattico del quiz; non adotta decisioni automatizzate su assunzioni, licenziamenti, retribuzioni o altri esiti lavorativi. L’eventuale utilizzo dei risultati da parte del datore di lavoro deve essere valutato e spiegato da quest’ultimo.
4. Accessi e verifica degli attestati
I referenti aziendali autorizzati possono consultare le informazioni della propria organizzazione disponibili nella dashboard. Il Fornitore e gli incaricati autorizzati accedono nei limiti necessari all’assistenza, alla gestione amministrativa, alla manutenzione e alla sicurezza.
La verifica di un attestato mediante codice o QR è accessibile senza autenticazione aziendale. Il risultato comprende nome del partecipante, codice fiscale parzialmente mascherato, genere se registrato, azienda e partita IVA, data, punteggio, durata, ambito e riferimento dell’attestato, oltre ai dati di integrità. Non espone il codice fiscale completo o le singole risposte del quiz.
Chi possiede il codice o il collegamento può consultare questi dati, anche se li ha ricevuti per inoltro. La pagina non verifica che il visitatore sia un ispettore, il datore di lavoro o il partecipante. L’azienda informa i partecipanti e condivide attestati e codici soltanto con i destinatari previsti.
5. Fornitori e destinatari
Il servizio utilizza i seguenti strumenti per le finalità indicate:
| Servizio | Utilizzo |
|---|---|
| Vercel | Hosting dell’applicazione e analytics facoltativo sulle pagine pubbliche ammesse. |
| Neon | Database di account, ordini, formazione, documenti e operazioni del servizio. |
| Resend | Invio delle email operative e gestione degli esiti di consegna. |
| GitHub Actions e archivi privati | Esecuzione del backup giornaliero e conservazione delle copie cifrate. Il processo di esportazione tratta i dati prima della cifratura; la chiave privata di recupero è custodita separatamente. |
| Cloudflare Turnstile | Protezione dagli abusi mediante verifica tecnica del browser e della richiesta. |
| Stripe | Gestione dei pagamenti con carta e relativi esiti. |
| Prestatori di servizi di fatturazione elettronica | Gestione dei documenti fiscali e trasmissione attraverso il Sistema di Interscambio (SdI) per conto del venditore. |
| Upstash QStash | Avvio programmato del processo tecnico delle notifiche; la richiesta programmata non contiene l’elenco dei clienti o il corpo delle email. |
| Healthchecks.io | Monitoraggio dei segnali tecnici di esecuzione e avvisi all’operatore; i segnali non contengono i dati dei clienti. |
| Caselle email utilizzate dal Fornitore | Assistenza, comunicazioni amministrative e avvisi operativi, anche tramite Gmail. |
I ruoli dei destinatari dipendono dall’attività svolta e dai rispettivi accordi; i prestatori di pagamento o fiscali non sono per questo incaricati di trattare i dati formativi dei lavoratori. Dati pertinenti possono essere comunicati a consulenti incaricati o autorità quando ciò sia necessario per gli obblighi applicabili o per la tutela dei diritti.
6. Trattamenti fuori dallo Spazio economico europeo
L’infrastruttura può comportare trattamenti fuori dallo Spazio economico europeo. L’applicazione utilizza infrastrutture Vercel nell’area di Washington, D.C., negli Stati Uniti, e un database Neon in una regione europea. Ulteriori trattamenti, copie, log e accessi di assistenza possono avvenire nelle localizzazioni utilizzate dai rispettivi fornitori.
I trasferimenti devono rispettare le condizioni previste dal capo V del GDPR, comprese, ove applicabili, decisioni di adeguatezza o garanzie appropriate. Per informazioni sui destinatari, sulle garanzie applicabili e sulle modalità per ottenerne copia è possibile contattare privacy@compliancedesk.it. La presenza di un fornitore nell’elenco non significa che ogni sua attività avvenga esclusivamente nell’Unione europea.
7. Conservazione
L’assenza di una scadenza automatica del pacchetto non comporta la conservazione indefinita di ogni dato. Si applicano i seguenti criteri, distinguendo l’erogazione del servizio dalle esigenze fiscali e dalla documentazione delle attività formative.
| Categoria | Periodo o criterio |
|---|---|
| Account, anagrafiche e avanzamento | Durante il rapporto per le funzionalità richieste; alla cessazione, gestione di esportazione e istruzioni del Cliente entro un periodo operativo di 90 giorni, salvi diritti degli interessati e obblighi applicabili. |
| Attestati e dati di verifica | Per il tempo necessario a documentare la formazione richiesta dal datore di lavoro, in base alle sue istruzioni e alle esigenze probatorie documentate. La necessità è riesaminata almeno annualmente e alla cessazione; la validità del corso o l’esistenza del codice QR non giustificano da sole ulteriore conservazione. |
| Ordini, fatture ed evidenze fiscali | Per i periodi previsti dagli obblighi applicabili alla specifica categoria e al venditore; ulteriormente solo in presenza di una distinta esigenza giuridica documentata. I termini fiscali non sono applicati automaticamente ai dati formativi. |
| Registri di accettazione | Per la durata necessaria a documentare il rapporto e gestire le relative contestazioni, con riesame della necessità alla cessazione e conservazione limitata alle evidenze pertinenti. |
| Contenuti delle email concluse e copie di checkout chiusi | Termine operativo di riferimento di 90 giorni dalla chiusura documentata, dopo la scadenza dei link e delle esigenze di recupero. La sola scadenza di un link o l’invio dell’email non elimina automaticamente le copie. |
| Operazioni dall’esito incerto | Riesame almeno ogni 30 giorni; nessuna cancellazione per la sola anzianità quando restano da chiarire pagamento, consegna o recupero. L’ulteriore conservazione richiede una necessità documentata. |
| Log ordinari e assistenza | Obiettivi operativi di 30 giorni per i log ordinari e 90 giorni dalla chiusura delle richieste di assistenza, salve impostazioni dei singoli fornitori e necessità documentate di sicurezza, obblighi o controversie. |
| Backup cifrati negli archivi GitHub | Finestra di conservazione configurata di 30 giorni. Le copie possono contenere dati eliminati dall’ambiente corrente fino alla scadenza della copia. |
I termini operativi sono attuati mediante procedure controllate; non è attualmente attivo un processo automatico generale di cancellazione di tutte le categorie alla loro scadenza. Le richieste di cancellazione vengono gestite e verificate; eventuali eccezioni devono essere limitate ai dati e al tempo necessari. Copie e log conservati dai fornitori seguono anche i relativi accordi e impostazioni. I vincoli tecnici di integrità non costituiscono, da soli, una ragione per trattenere dati non più necessari.
8. Cookie, memoria locale e analytics
I cookie tecnici gestiscono l’accesso e le sessioni. La memoria locale del browser conserva le preferenze e la bozza di acquisto. Alla riapertura del checkout vengono scartate le bozze prive di una data valida o non aggiornate da oltre 30 giorni; per rimuoverle prima è possibile cancellare i dati del sito dal browser.
Vercel Web Analytics si attiva solo dopo consenso sulle pagine pubbliche ammesse. Le pagine di accesso, acquisto, formazione, verifica e amministrazione sono escluse dalla raccolta prevista dall’applicazione; parametri e frammenti degli URL sono rimossi prima dell’invio degli eventi.
La funzione «Gestisci preferenze privacy e analytics» consente di rifiutare o revocare la scelta. La revoca impedisce nuovi eventi, ma non elimina automaticamente quelli già trasmessi. Il rifiuto non impedisce di acquistare o utilizzare il servizio.
9. Diritti e richieste
Nei casi previsti dal GDPR è possibile chiedere accesso, rettifica, cancellazione, limitazione e portabilità, nonché opporsi ai trattamenti basati sul legittimo interesse. Il consenso può essere revocato senza pregiudicare la liceità del trattamento precedente. Le richieste sono inviate a privacy@compliancedesk.it; può essere necessario verificare l’identità e il potere del richiedente.
Per i dati trattati per conto dell’azienda, ComplianceDesk trasmette la richiesta al titolare e lo assiste secondo le sue istruzioni, senza sostituirsi alle sue decisioni. L’interessato può rivolgersi anche direttamente al datore di lavoro.
Alle richieste si dà seguito entro i termini previsti dal GDPR, di regola entro un mese; eventuali proroghe ammesse sono comunicate con la relativa motivazione. È possibile proporre reclamo al Garante per la protezione dei dati personali, tramite www.garanteprivacy.it, e ricorrere agli altri rimedi previsti dalla legge.
10. Aggiornamenti
La versione e la data identificano il testo dell’informativa. Gli aggiornamenti rilevanti sono comunicati con modalità adeguate alla modifica; le copie collegate agli ordini restano identificabili. L’aggiornamento dell’informativa non costituisce, da solo, un nuovo consenso o una modifica retroattiva del contratto.