Informativa sul trattamento dei dati personali

I Contitolari hanno sottoscritto in data [gg/mm/aaaa] un accordo ai sensi dell’art. 26 GDPR che definisce in modo trasparente le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal GDPR, con particolare riguardo all’esercizio dei diritti dell’interessato e alla comunicazione delle informazioni di cui agli artt. 13 e 14. Se ne riporta di seguito il contenuto essenziale, messo a disposizione dell’interessato ai sensi dell’art. 26, par. 2, GDPR.

L’ente capofila, Formalba S.r.l.:

1. a)funge da punto di contatto unico per gli interessati, riceve le istanze di esercizio dei diritti e ne coordina il riscontro entro i termini di legge;
2. b)cura la redazione, l’aggiornamento e la pubblicazione della presente informativa;
3. c)tiene il registro delle attività di trattamento comuni e coordina la gestione delle violazioni dei dati personali (data breach), ivi comprese le eventuali notifiche al Garante per la protezione dei dati personali;
4. d)stipula e gestisce, in nome e per conto di tutti i Contitolari, i contratti con i fornitori della Piattaforma designati responsabili del trattamento.

L’ente che organizza il corso (di seguito, «ente erogatore»):

1. a)raccoglie la documentazione relativa alle iscrizioni e ai docenti incaricati per i propri corsi;
2. b)gestisce i registri delle presenze, le verifiche, gli attestati e la rendicontazione nei confronti dell’ente finanziatore;
3. c)consegna la presente informativa al momento della raccolta dei dati, anche in formato cartaceo, e, nel caso di allievi minorenni, ne acquisisce la sottoscrizione da parte di chi esercita la responsabilità genitoriale.

Ciascun Contitolare si impegna a:

1. a)trattare i dati esclusivamente per le finalità indicate nella presente informativa, avvalendosi di personale autorizzato e debitamente istruito (art. 29 GDPR e art. 2-quaterdecies Codice privacy);
2. b)accedere ai soli dati necessari allo svolgimento del proprio ruolo; di norma ciascun ente consulta unicamente i dati degli iscritti e dei docenti dei propri corsi o degli elenchi condivisi;
3. c)trasmettere al capofila senza ingiustificato ritardo, e comunque entro 24 ore, ogni istanza degli interessati e ogni sospetta violazione dei dati personali.

Ferma restando l’individuazione di un punto di contatto unico, l’interessato può esercitare i propri diritti nei confronti di ciascuno dei Contitolari, ai sensi dell’art. 26, par. 3, GDPR. La richiesta è in ogni caso gestita in modo coordinato.

La contitolarità ha ad oggetto i trattamenti effettuati sulla Piattaforma comune: registrazione e gestione degli account, albo ed elenco dei docenti, catalogo dei corsi, candidature, iscrizioni, comunicazioni di servizio e sicurezza della Piattaforma.

Restano nella titolarità autonoma di ciascun ente i trattamenti svolti per finalità proprie, quali, a titolo esemplificativo, la stipula del contratto di incarico con il docente e la corresponsione del relativo compenso, la tenuta della contabilità, gli adempimenti fiscali e previdenziali, la tenuta dei registri obbligatori dell’ente accreditato ed eventuali ulteriori servizi offerti al di fuori della Piattaforma. Per tali trattamenti ciascun ente fornisce, ove necessario, una specifica informativa.

Non sono richiesti dati relativi alla salute, all’origine razziale o etnica, alle convinzioni religiose o filosofiche né altre categorie particolari di dati di cui all’art. 9 GDPR, salvo nei casi di seguito indicati e nei limiti di quanto strettamente necessario:

1. a)iscritti con disabilità o bisogni educativi speciali: informazioni necessarie a predisporre supporti, ausili o misure compensative, ovvero a verificare un requisito di accesso riservato. Tali dati sono trattati sulla base del consenso esplicito dell’interessato o, ove previsto dalla legge o dall’avviso, per adempiere a un obbligo di legge, e sono accessibili al solo personale che ne abbia necessità;
2. b)docenti impiegati in attività a contatto con minori: l’ente che conferisce l’incarico è tenuto per legge ad acquisire il certificato del casellario giudiziale (art. 25-bis D.P.R. 313/2002). La verifica è effettuata dal singolo ente e non tramite la Piattaforma; è annotato esclusivamente l’esito della verifica, senza conservazione di copia del certificato, salvo diverso obbligo.

I dati sono di norma forniti direttamente dall’interessato tramite la Piattaforma o i moduli dell’ente. In taluni casi possono essere acquisiti presso terzi ai sensi dell’art. 14 GDPR, e in particolare:

1. a)da Google, qualora l’interessato scelga di accedere con il proprio account Google (nome, cognome, indirizzo e-mail);
2. b)dall’azienda datrice di lavoro, qualora provveda all’iscrizione del dipendente a un corso;
3. c)dai Centri per l’impiego, dalla Regione o dai relativi sistemi informativi, nell’ambito dei programmi di politica attiva del lavoro (ad es. GOL), limitatamente ai dati necessari alla verifica dei requisiti e alla gestione del percorso;
4. d)da un altro ente dell’ATS, qualora l’interessato presenti candidatura o si iscriva per il tramite di tale ente e la candidatura sia condivisa sulla Piattaforma comune.

La Piattaforma si compone dei seguenti strumenti, ciascuno dei quali svolge una funzione specifica:

1. a)applicazione Aspasia e database Directus: gestiscono account, profili dei docenti, catalogo dei corsi, candidature e iscrizioni e costituiscono l’archivio principale della Piattaforma. I dati risiedono su server cloud Oracle ubicati nell’Unione europea (Italia, Milano);
2. b)copie di backup (Backblaze): conserva le copie di sicurezza cifrate dell’archivio della Piattaforma, per consentirne il ripristino in caso di guasto o incidente. I dati sono conservati su server ubicati nell’Unione europea; il fornitore ha sede negli Stati Uniti (cfr. sezione 7);
3. c)motore di ricerca interno: indicizza corsi e profili per consentire la ricerca per parole chiave e filtri; opera sui medesimi server della Piattaforma ubicati nell’Unione europea;
4. d)Zoho CRM: gestisce la relazione con docenti e iscritti (anagrafiche, stato delle candidature e delle iscrizioni, comunicazioni, documenti). I dati sono conservati in data center Zoho ubicati nell’Unione europea;
5. e)servizio di invio e-mail (Resend): provvede all’invio delle e-mail di servizio (conferme, recupero password, notifiche). I dati sono trattati su server ubicati nell’Unione europea; il fornitore ha sede negli Stati Uniti e può accedervi da tale Paese (cfr. sezione 7);
6. f)sistema anti-bot (Cloudflare Turnstile): verifica che i moduli siano compilati da una persona fisica e non da un programma automatico. I dati sono trattati su server ubicati nell’Unione europea; il fornitore ha sede negli Stati Uniti e può accedervi da tale Paese (cfr. sezione 7);
7. g)servizi di accesso (Google, LinkedIn): consentono l’accesso facoltativo mediante il proprio account Google o LinkedIn. I fornitori, Google Ireland Ltd. e LinkedIn Ireland Unlimited Company, agiscono come titolari autonomi del proprio servizio di autenticazione e trasmettono alla Piattaforma i soli dati indicati alla sez. 3.2.

La Piattaforma organizza i dati in base a competenze, disponibilità e requisiti, al fine di agevolare gli enti nell’individuazione del docente idoneo a un corso o nella verifica dei requisiti di un iscritto. Si tratta di filtri e ordinamenti fondati su criteri dichiarati (ad es. materia, sede, titolo di studio), che non comportano la valutazione di aspetti personali dell’interessato.

Non è adottata alcuna decisione basata unicamente su un trattamento automatizzato ai sensi dell’art. 22 GDPR: la scelta del docente e l’ammissione dell’iscritto sono sempre rimesse alla valutazione di un operatore dell’ente. Qualora in futuro siano introdotti sistemi di punteggio o di intelligenza artificiale a supporto della selezione, la presente informativa sarà aggiornata prima del loro impiego.

Tra le principali misure adottate si segnalano:

1. a)cifratura delle connessioni (protocollo HTTPS) e conservazione delle password in forma cifrata (hash);
2. b)profili di accesso differenziati per ruolo, in modo che ciascun ente e ciascun operatore acceda ai soli dati necessari alla propria funzione;
3. c)registrazione degli accessi degli amministratori di sistema, in conformità alle prescrizioni del Garante per la protezione dei dati personali;
4. d)copie di backup cifrate e procedure per la gestione delle violazioni dei dati personali, presso fornitore distinto dall’infrastruttura principale;
5. e)contratti con i fornitori che li vincolano al rispetto del GDPR ai sensi dell’art. 28.
6. f)autenticazione a due fattori (TOTP) obbligatoria per gli operatori degli enti, imposta lato server.
7. g)limitazione dei tentativi di accesso e del recupero password (rate limiting e blocco dopo n tentativi falliti), con verifica anti-bot su registrazione e recupero password.
8. h)separazione dei dati tra enti tramite controlli di autorizzazione su server dedicato.
9. i)minimizzazione dei dati.
10. j)Controllo di integrità formale, normalizzazione e validazione delle stringhe in fase di data entry.
11. k)intestazioni di sicurezza HTTP e divieto di memorizzazione nella cache del browser per le risposte che contengono dati personali.
12. l)credenziali di servizio separate dal codice sorgente, procedura documentata per ruotarle e componenti software a versione bloccata.
13. m)verifiche di sicurezza periodiche della piattaforma, con correzione delle vulnerabilità rilevate.

I seguenti fornitori trattano i dati per conto dei Contitolari in qualità di responsabili del trattamento ai sensi dell’art. 28 GDPR:

L’elenco aggiornato dei responsabili del trattamento è disponibile su richiesta rivolta al punto di contatto.

I dati possono essere comunicati, nei limiti di quanto necessario, ai seguenti soggetti, che li trattano in qualità di titolari autonomi:

1. a)Regione Lazio, Ministero del Lavoro e delle Politiche Sociali e Centri per l’impiego, per la gestione, il monitoraggio e la rendicontazione dei corsi finanziati e dei programmi di politica attiva del lavoro (ad es. GOL – PNRR, FSE+);
2. b)fondi interprofessionali e altri enti finanziatori, per i corsi da essi finanziati;
3. c)organismi di controllo e audit nazionali ed europei, enti di certificazione e di accreditamento;
4. d)aziende ospitanti di stage e tirocini, limitatamente ai dati necessari;
5. e)aziende che iscrivono i propri dipendenti, limitatamente alla frequenza e all’esito del corso;
6. f)autorità pubbliche e giudiziarie, nei casi previsti dalla legge.