Informativa Privacy e Accordo sul Trattamento dei Dati

Chi è titolare e chi è responsabile

Per i dati dei dipendenti/collaboratori di un'azienda cliente, il Titolare del trattamento è l'azienda cliente stessa (decide perché e come formare il proprio personale sull'AI Act) — Venezia.tech è Responsabile del trattamento, tratta quei dati solo per conto ed eseguendo le istruzioni del Cliente (fornire il Servizio).

Per i dati che il Cliente fornisce come controparte contrattuale (dati di fatturazione, email dell'amministratore come referente), Venezia.tech è Titolare autonomo.

Per i dati di accesso al Servizio (data e ora di apertura del portale, vedi A.1) Venezia.tech è Titolare autonomo quanto all'uso per statistiche di utilizzo e assistenza; la visualizzazione dell'ultimo accesso alla persona interessata è una misura di sicurezza del suo account.

Per un libero professionista che usa il Servizio per sé stesso, i due ruoli coincidono nella stessa persona per i propri dati; resta comunque valido lo schema Titolare/Responsabile per il rapporto col Fornitore.

Parte A — Informativa Privacy (per chi usa il Servizio)

A.1 Dati raccolti e finalità

Nessuna categoria particolare di dati ai sensi dell'art. 9 GDPR (dati sanitari, opinioni politiche/religiose, ecc.) viene raccolta: le domande del questionario diagnostico riguardano l'uso professionale di strumenti di IA e policy aziendali, non la sfera privata della persona.

Dati di accesso, cosa si registra e chi li vede. Si registrano solo l'account, l'organizzazione e la data e l'ora in cui il portale viene aperto: non i contenuti consultati, né le pagine visitate, né la posizione. Chi entra vede, in alto, la data e l'ora del proprio accesso precedente: se non la riconosce, qualcuno potrebbe aver usato il suo account e può cambiare la password. L'amministratore del Cliente non vede gli accessi dei colleghi. Venezia.tech vede, nella propria console, solo numeri per organizzazione (quante volte, in quanti giorni diversi e da quante persone è stato aperto il portale) e non chi ha fatto gli accessi; li usa per capire se il Servizio viene utilizzato e per offrire assistenza. Nel registro degli accessi non si salvano indirizzo IP né informazioni sul dispositivo; l'infrastruttura di autenticazione (Supabase) può invece trattarli per gestire le sessioni di accesso.

A.2 Base giuridica

Il trattamento è effettuato dal Titolare sulla base del legittimo interesse a documentare le misure adottate in adempimento dell'obbligo di cui all'articolo 4 del Regolamento (UE) 2024/1689 (art. 6, par. 1, lett. f, GDPR), salva diversa base giuridica che il Titolare ritenga di individuare per la propria organizzazione, previa valutazione con un proprio consulente legale.

Per i dati di accesso la base è il legittimo interesse alla sicurezza degli account e a verificare l'utilizzo del Servizio (art. 6, par. 1, lett. f, GDPR).

A.3 Dove e da chi vengono trattati i dati

I dati sono trattati da Venezia.tech, che si avvale dei seguenti sub-responsabili (vedi Parte B, sezione B.5, per il dettaglio):

• Supabase (database, autenticazione, storage dei PDF) — infrastruttura nella regione EU di Francoforte.
• Brevo (invio email transazionali: inviti, promemoria).
• Stripe (gestione dei pagamenti per i piani a pagamento).
• Cloudflare (hosting ed erogazione dell'applicazione web statica).

A.4 Conservazione

I dati restano nel Servizio finché l'account/organizzazione resta attivo. Il Cliente può in ogni momento:

• rimuovere un singolo dipendente/collaboratore: l'account personale (nome, email, login) viene cancellato e la persona non è più identificabile; l'evidenza della formazione completata (attestato) resta associata all'azienda in forma anonima (un codice interno sostituisce il nome), a prova della formazione erogata anche dopo che la persona ha lasciato l'azienda; le date di accesso della persona non sono più riconducibili a lei;
• cancellare l'intera organizzazione: cancellazione totale e irreversibile di anagrafica, account di accesso, attestati e registri di audit — nessun dato residuo. Prima di procedere, il Servizio richiede il download del fascicolo di conformità aggregato, l'unica copia dei dati che il Fornitore può fornire dopo la cancellazione.

Dati di accesso: le date e gli orari di accesso si conservano per24 mesi e poi vengono cancellati automaticamente; se l'organizzazione viene cancellata, si cancellano con essa.

A.5 Diritti dell'interessato

Chi è coinvolto nel trattamento può esercitare i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione previsti dagli articoli 15-22 GDPR, rivolgendosi in primo luogo al proprio datore di lavoro/Titolare (il canale corretto per i dati trattati nell'ambito del rapporto di lavoro), oppure a Venezia.tech per i dati di cui quest'ultima è Titolare autonoma (sezione precedente). Contatti: ai_act@venezia.tech.

A.6 Trasferimenti extra-UE

Supabase (dati principali) opera nella regione UE di Francoforte. Stripe e Cloudflare sono società con sede anche fuori dall'UE: eventuali trasferimenti extra-UE avvengono nell'ambito delle garanzie previste dai rispettivi programmi di conformità (tipicamente Clausole Contrattuali Standard).

Parte B — Accordo sul Trattamento dei Dati (DPA), ex art. 28 GDPR

Tra Venezia.tech di Rizzo Paolo ("Responsabile") e il Cliente che sottoscrive il Servizio ("Titolare").

B.1 Oggetto e durata

Il presente Accordo disciplina il trattamento dei dati personali che il Responsabile effettua per conto del Titolare nell'erogazione del Servizio, per l'intera durata del contratto di fornitura del Servizio.

B.2 Natura, finalità e durata del trattamento

Il trattamento consiste nella memorizzazione, organizzazione ed elaborazione dei dati necessari a erogare percorsi formativi, verificarne il completamento ed emettere attestati, secondo le finalità descritte alla Parte A. Il trattamento dura quanto il rapporto contrattuale, salvo richiesta di cancellazione anticipata secondo le modalità di cui alla sezione A.4.

B.3 Tipologia di dati e categorie di interessati

Dati identificativi, organizzativi, formativi e di accesso (data e ora di apertura del portale, vedi A.1) relativi a: dipendenti/collaboratori del Titolare, amministratori, referenti privacy, formatori. Nessuna categoria particolare di dati ex art. 9 GDPR.

B.4 Obblighi del Responsabile (Venezia.tech)

Il Responsabile si impegna a:

• trattare i dati personali solo su istruzione documentata del Titolare (fornire il Servizio secondo la configurazione scelta dal Titolare stesso), salvo obbligo di legge contrario;
• garantire che il personale autorizzato al trattamento sia vincolato a un obbligo di riservatezza;
• adottare le misure di sicurezza tecniche e organizzative di cui alla sezione B.6;
• assistere il Titolare, nei limiti delle informazioni disponibili, nel dare seguito a richieste di esercizio dei diritti degli interessati;
• notificare al Titolare, senza ingiustificato ritardo e comunque entro 24-48 ore dal momento in cui ne viene a conoscenza, ogni violazione di dati personali (data breach) che riguardi i dati trattati per suo conto;
• su richiesta del Titolare al termine del rapporto, cancellare o restituire tutti i dati personali trattati, salvo obblighi di conservazione previsti dalla legge;
• mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi di cui al presente Accordo, e consentire verifiche/audit tramite questionario di sicurezza annuale.

B.5 Sub-responsabili autorizzati

Il Titolare autorizza in via generale il ricorso ai seguenti sub-responsabili, con impegno del Responsabile a notificare il Titolare prima di introdurne di nuovi (dandogli la possibilità di opporsi):

B.6 Misure di sicurezza tecniche e organizzative

Elenco delle misure realmente in uso, verificate nel codice:

• Isolamento tra organizzazioni clienti applicato a livello di database (Row Level Security su ogni tabella contenente dati di più aziende), non solo nell'interfaccia: un cliente non può leggere o scrivere dati di un'altra organizzazione nemmeno interrogando direttamente le API.
• Operazioni sensibili (creazione inviti con privilegi, cambio ruolo, cancellazione account, emissione attestati) eseguite solo da funzioni server-side dedicate, mai con scrittura diretta dal client.
• Cifratura in transito (TLS) su tutte le comunicazioni, gestita dall'infrastruttura Supabase/Cloudflare.
• Limitazione delle richieste (rate limiting) sull'endpoint pubblico di verifica attestato, contro abuso/enumerazione.
• Registro di audit immutabile (nessuna policy di modifica/cancellazione lato applicativo) per le operazioni amministrative rilevanti.
• Cancellazione verificabile: le funzioni di cancellazione account/dipendente sono state testate end-to-end prima del rilascio.

B.7 Responsabilità e legge applicabile

Rimanda alle clausole generali di responsabilità e legge applicabile dei Termini di Servizio sezioni 10 e 12, salvo quanto eventualmente derogato in modo specifico per il trattamento dati secondo valutazione del legale.