Nomina a Responsabile del trattamento

Con l'accettazione dei Termini di Utilizzo, l'azienda cliente (di seguito “Titolare”) nomina Salvatore Vitale — Doc81 (di seguito “Responsabile”) responsabile del trattamento dei dati personali che il Titolare inserisce o fa inserire nella piattaforma Doc81.

Il Responsabile tratta tali dati esclusivamente per erogare i Servizi e solo su istruzione documentata del Titolare, senza determinarne autonomamente finalità o mezzi. Il presente atto integra le condizioni previste dall'art. 28 del Regolamento UE 2016/679.

• Natura e finalità: conservazione, organizzazione, consultazione, estrazione, aggiornamento e cancellazione dei dati, allo scopo di gestire la documentazione e le scadenze in materia di sicurezza sul lavoro (D.Lgs. 81/08).
• Durata: per l'intera durata del contratto di servizio, e per il periodo tecnico strettamente necessario alla restituzione o cancellazione dei dati alla sua cessazione.
• Categorie di interessati: dipendenti, soci lavoratori, collaboratori e titolari delle aziende clienti; referenti aziendali; eventuali soggetti indicati nei documenti caricati.
• Categorie di dati: dati identificativi e di contatto, dati relativi al rapporto di lavoro e al ruolo, attestati e posizioni formative, nomine, consegne DPI, macchine e attrezzature assegnate, date ed esiti di idoneità della sorveglianza sanitaria, documenti aziendali (DVR, DUVRI e simili).
• Categorie particolari: il trattamento può comportare dati relativi alla salute limitati all'esito di idoneità e alle scadenze; il caricamento di documentazione sanitaria di dettaglio non è previsto ed è a carico e responsabilità del Titolare evitarlo.

Costituiscono istruzioni documentate del Titolare: i Termini di Utilizzo, il presente atto, la configurazione della piattaforma effettuata dal Titolare (utenti, permessi, categorie documentali, attivazione del portale ospite) e le eventuali richieste inviate per iscritto a info@doc81.it.

Il Responsabile informa il Titolare qualora ritenga che una istruzione violi la normativa sulla protezione dei dati.

Il Responsabile garantisce che le persone autorizzate a trattare i dati siano vincolate a un obbligo di riservatezza e istruite sul trattamento. L'accesso ai dati dei clienti è limitato a quanto strettamente necessario per assistenza, manutenzione e sicurezza, ed è tracciato.

• cifratura in transito (HTTPS/TLS) e a riposo sull'infrastruttura cloud;
• isolamento logico dei dati per azienda a livello di database, con regole di accesso applicate lato server;
• autenticazione con password conservate solo come hash; nessun accesso anonimo o registrazione libera;
• gestione granulare dei permessi (modifica, solo aggiunta, sola lettura) e disattivazione immediata degli account;
• accesso ai documenti tramite URL firmati a scadenza breve;
• backup periodici, log degli accessi e monitoraggio degli errori;
• verifiche periodiche di sicurezza su applicazione e dipendenze.

Il Titolare autorizza il Responsabile ad avvalersi dei seguenti sub-responsabili per i servizi tecnici necessari al funzionamento della piattaforma:

• Lovable Labs Incorporated — piattaforma di sviluppo, hosting applicativo e infrastruttura di database sottostante. Il relativo Data Processing Agreement è pubblicamente disponibile su lovable.dev/data-processing-agreement.
• Lovable Labs Incorporated si avvale a propria volta di sub-responsabili tecnici (incluso il fornitore dell'infrastruttura di database), il cui elenco aggiornato è pubblicato su trust.lovable.dev/subprocessors. Tali soggetti sono sub-responsabili di Lovable e non hanno un rapporto contrattuale diretto con Doc81.

I dati sono fisicamente conservati su infrastruttura ubicata nell'Unione Europea (regione EU-West, Irlanda).

Poiché Lovable Labs Incorporated è una società con sede negli Stati Uniti, il trattamento effettuato tramite tale fornitore è disciplinato dalle Clausole Contrattuali Standard approvate dalla Commissione Europea, con le eventuali misure supplementari, fermo restando che l'archiviazione dei dati avviene nell'Unione Europea.

• supporto nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità), mettendo a disposizione le funzioni della piattaforma e, se necessario, assistenza diretta;
• supporto negli adempimenti di cui agli artt. 32-36 GDPR, comprese le valutazioni d'impatto e la consultazione preventiva, tenuto conto della natura del trattamento e delle informazioni disponibili;
• messa a disposizione delle informazioni necessarie a dimostrare il rispetto degli obblighi, con possibilità per il Titolare di richiedere un audit documentale con preavviso ragionevole e senza pregiudizio per la riservatezza degli altri clienti.

Il Responsabile notifica al Titolare ogni violazione dei dati personali entro 48 (quarantotto) ore dal momento in cui ne viene a conoscenza, fornendo natura della violazione, categorie e numero approssimativo di interessati e dati coinvolti, conseguenze probabili e misure adottate, così da consentire al Titolare la notifica al Garante entro 72 ore.

Alla cessazione del contratto il Titolare può esportare i propri dati e documenti. Trascorsi 30 giorni dalla cessazione, salvo diversa istruzione scritta, il Responsabile cancella i dati dai sistemi di produzione; le copie di backup vengono sovrascritte nel normale ciclo di rotazione, di norma entro 90 giorni.

Il Responsabile può conservare i soli dati la cui conservazione è imposta dalla legge (ad esempio documentazione fiscale), per il tempo e le finalità previste dalla norma.

• individuare la base giuridica del trattamento dei dati dei propri lavoratori e fornire loro l'informativa dovuta;
• inserire nella piattaforma solo dati pertinenti e non eccedenti, evitando documentazione sanitaria di dettaglio;
• configurare correttamente utenti, ruoli e permessi e revocarli tempestivamente alla cessazione di rapporti di lavoro o collaborazione;
• custodire le credenziali di accesso e vigilare sul loro uso all'interno della propria organizzazione.

Il presente atto ha efficacia dalla data di attivazione del servizio e resta valido per tutta la durata del contratto. Eventuali modifiche necessarie per adeguamenti normativi sono comunicate con almeno 15 giorni di preavviso. Si applica la legge italiana; per quanto non previsto si rinvia al GDPR e ai Termini di Utilizzo.