La presente informativa descrive come vengono trattati i dati personali nell'ambito di GRADO Security, la piattaforma cloud per la gestione della sicurezza sul lavoro (HSE) operata da GRADO TECH Srls. È redatta ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 (GDPR), integra l'informativa generale pubblicata sul sito web GRADO Tech e chiarisce i ruoli privacy applicabili quando i dati dell'azienda cliente vengono ospitati sulla piattaforma nell'ambito di un contratto di servizio, consulenza, accordo commerciale o attivazione effettuata anche tramite partner autorizzati.

Come funziona il servizio

GRADO Security è un software in modalità SaaS: le aziende clienti inseriscono e gestiscono autonomamente i propri dati sulla piattaforma. Il ruolo di GRADO TECH Srls rispetto ai dati varia a seconda del contesto:

• Dati aziendali e dei lavoratori (Parte A): l'azienda cliente (o il consulente/partner da essa incaricato) è il titolare del trattamento; GRADO TECH Srls agisce come responsabile del trattamento ai sensi dell'art. 28 GDPR, limitatamente all'erogazione tecnica del servizio, all'hosting e alle attività strettamente necessarie all'esecuzione del rapporto contrattuale.
• Accesso ai dati da parte di GRADO Tech (Parte B): GRADO TECH Srls non accede liberamente ai contenuti caricati dalle aziende; l'accesso è consentito solo nei casi e con le modalità ivi descritte.
• Dati contrattuali e amministrativi (Parte C): per registrazione demo, abbonamento, fatturazione e gestione degli account operativi della piattaforma, GRADO TECH Srls è titolare del trattamento.

Parte A — Dati inseriti dalle aziende clienti

Questa sezione si applica ai dati personali che l'azienda cliente (o un consulente alla sicurezza, RSPP, medico competente, partner o altro soggetto da essa autorizzato) inserisce, carica o genera su GRADO Security in relazione alla propria attività e ai propri lavoratori. Tali dati restano di esclusiva disponibilità dell'azienda cliente quale titolare del trattamento, non sono ceduti a GRADO TECH Srls e rimangono sotto il controllo e la responsabilità del titolare; GRADO TECH Srls si limita a ospitarli, conservarli e renderli disponibili secondo il contratto e le istruzioni ricevute.

Ruoli nel trattamento

Per i dati descritti in questa Parte A:

• il titolare del trattamento è l'azienda cliente (o, ove applicabile, il soggetto che ha attivato il workspace e determina finalità e mezzi del trattamento in relazione ai propri lavoratori e alla propria organizzazione);
• GRADO TECH Srls (sede legale Corso Umberto I, 7 — 66050 San Salvo (CH), P.IVA IT02868240694) agisce esclusivamente come responsabile del trattamento, sulla base del contratto di servizio, consulenza o attivazione del workspace e dell'accordo ex art. 28 GDPR, per ospitare, conservare, organizzare tecnicamente e rendere disponibili i dati sulla piattaforma secondo le istruzioni documentate del titolare;
• eventuali consulenti esterni, medici competenti o altri soggetti autorizzati dall'azienda possono agire come titolari autonomi, responsabili o incaricati del titolare: GRADO TECH Srls non ne determina le finalità.

Il titolare è tenuto a fornire ai propri lavoratori e agli interessati un'informativa privacy conforme al GDPR (artt. 13–14) e a disporre di un valido fondamento giuridico per ogni trattamento, inclusi quelli relativi alla sicurezza sul lavoro (D.Lgs. 81/2008) e, ove applicabile, alle categorie particolari di dati (es. visite mediche).

Categorie di dati trattati sulla piattaforma

A seconda delle funzionalità attivate dall'azienda, sulla piattaforma possono essere trattati, tra gli altri, i seguenti dati inseriti o generati dal titolare:

• Dati anagrafici e identificativi dell'azienda: ragione sociale, partita IVA, codice ATECO, sedi, indirizzi, recapiti, referenti, logo e documentazione societaria.
• Dati dei lavoratori/dipendenti: nome, cognome, codice fiscale, data e luogo di nascita, residenza, ruolo/mansione, email, telefono, date di assunzione e cessazione, foto profilo, allegati.
• Documenti di identità: tipo, numero, scadenza e copie digitali dei documenti caricati dal titolare.
• Formazione e attestati: corsi, scadenze, crediti formativi, attestati, certificazioni, storico adempimenti e allegati; per gli attestati la piattaforma può conservare il PDF, la data di rilascio, la data di scadenza e l'associazione al lavoratore interessato.
• Sorveglianza sanitaria e idoneità: limitatamente a quanto caricato dal titolare, la piattaforma può conservare copia del giudizio di idoneità consegnato al lavoratore, la data di rilascio, la data di scadenza, il lavoratore associato, l'esito del giudizio (ad esempio idoneo/non idoneo) ed eventuali limitazioni o prescrizioni esplicitamente riportate nel documento, senza essere destinata alla raccolta o gestione di cartelle cliniche o dati sanitari eccedenti.
• Sicurezza sul lavoro e DVR: mansionario, valutazione dei rischi, DPI, prescrizioni operative, sostanze, macchinari, procedure, aree di lavoro, organigramma della sicurezza (RLS, RSPP, addetti antincendio e primo soccorso, ecc.), incidenti, piano di emergenza, planimetrie, nonché informazioni sui DPI associabili a una mansione, a un lavoratore in relazione alla mansione svolta, a un macchinario o a una specifica area di lavoro.
• Mezzi e attrezzature: anagrafica mezzi aziendali, revisioni, assicurazioni e scadenze correlate.
• Utenti della piattaforma (operatori, consulenti, amministratori aziendali): credenziali di accesso, ruoli, permessi, log di autenticazione.
• Comunicazioni e documenti: messaggi di assistenza, ticket, invii PEC relativi al DVR, file e allegati caricati dall'azienda.
• Log tecnici e di audit: registri delle operazioni sulla piattaforma, tracciamento modifiche, log di sistema necessari alla sicurezza e al funzionamento del servizio.

Finalità del trattamento (per conto del titolare)

GRADO TECH Srls tratta i dati di cui alla Parte A esclusivamente per conto del titolare e limitatamente alle seguenti finalità tecniche:

• erogazione, hosting e manutenzione della piattaforma GRADO Security e delle sue funzionalità (scadenziario, formazione, DVR, notifiche, report, API, ecc.);
• esecuzione delle istruzioni documentate del titolare, inclusa conservazione, backup, ripristino e cancellazione dei dati secondo quanto concordato;
• sicurezza informatica, prevenzione abusi, continuità operativa e adempimento di obblighi di legge applicabili al responsabile;
• assistenza tecnica nei limiti di cui alla Parte B, inclusi controlli di coerenza, gestione documentale, scadenziari e funzionalità opzionali di automazione o AI attivate dal titolare. GRADO TECH Srls non utilizza i dati delle aziende clienti per proprie finalità di marketing, profilazione commerciale, rivendita o analisi indipendenti non strettamente necessarie all'erogazione del servizio.

Base giuridica

La base giuridica del trattamento da parte del titolare (finalità, liceità, informazione agli interessati) è determinata dal titolare stesso. Il trattamento da parte di GRADO TECH Srls come responsabile si fonda sull'esecuzione del contratto di servizio e sull'accordo ex art. 28 GDPR (art. 6, par. 1, lett. b) GDPR), nonché, ove necessario, sul legittimo interesse alla sicurezza della piattaforma (art. 6, par. 1, lett. f) GDPR) e sul adempimento di obblighi di legge (art. 6, par. 1, lett. c) GDPR).

Conservazione

I tempi di conservazione dei dati di cui alla Parte A sono determinati dal titolare del trattamento, nel rispetto della normativa applicabile (inclusi gli obblighi in materia di sicurezza sul lavoro e documentazione formativa). GRADO TECH Srls conserva i dati per la durata del contratto e, successivamente, per il periodo strettamente necessario alla cessazione ordinata del servizio, al ripristino su richiesta del titolare o agli obblighi di legge. Al termine del rapporto contrattuale, i dati vengono restituiti o cancellati secondo quanto previsto dal contratto e dall'accordo art. 28, salvo diversa istruzione documentata del titolare o obblighi di conservazione legali.

Parte B — Accesso ai dati da parte di GRADO TECH Srls

GRADO TECH Srls non accede, consulta o utilizza liberamente i contenuti inseriti dalle aziende clienti su GRADO Security in assenza di una base lecita e documentata. L'accesso ai dati del cliente da parte del personale autorizzato di GRADO TECH Srls è consentito solo nei casi sotto indicati, nel rispetto dei principi di necessità, minimizzazione e riservatezza:

• Delega o autorizzazione esplicita del titolare: su richiesta scritta, email, ticket di assistenza, comunicazione ufficiale o altro canale documentabile previsto dal contratto; in casi eccezionali l'autorizzazione può essere anche verbale, purché riferibile al titolare o a un suo referente autorizzato, fermo restando che sono sempre preferibili istruzioni scritte o comunque formalizzate;
• Assistenza tecnica strettamente necessaria: interventi limitati al tempo e alla portata indispensabili per diagnosticare malfunzionamenti, ripristinare il servizio, applicare aggiornamenti di sicurezza o rispondere a segnalazioni del cliente, nel rispetto del principio di minimizzazione;
• Obblighi di legge: ordini dell'autorità giudiziaria o obblighi legali inderogabili, con informazione al titolare ove consentito;
• Sicurezza della piattaforma: monitoraggio aggregato o su metadati tecnici (log di sistema, metriche infrastrutturali) senza finalità di consultazione del contenuto sostanziale dei dati del cliente, salvo quanto strettamente necessario per prevenire, rilevare, contenere o documentare incidenti di sicurezza.

Ogni accesso al contenuto dei dati del cliente da parte del personale GRADO è limitato al personale autorizzato, soggetto a obbligo di riservatezza, tracciato ove tecnicamente possibile e circoscritto alla durata dell'intervento. In assenza di istruzioni del titolare o di un obbligo di legge, GRADO TECH Srls non consulta i contenuti per finalità proprie, non vende i dati delle aziende clienti e non li cede a terzi per finalità di marketing, profilazione o sfruttamento commerciale autonomo.

Registrazione degli accessi

La piattaforma registra le operazioni rilevanti (log di audit, accessi utente, modifiche ai dati) per consentire al titolare il controllo sulle attività svolte dagli utenti da esso autorizzati. I log e le evidenze relativi agli interventi di assistenza tecnica di GRADO TECH Srls sono conservati per il tempo necessario alla gestione del rapporto contrattuale, alla sicurezza, alla tracciabilità degli interventi e alla tutela in caso di contestazioni, di norma non oltre 12 mesi salvo esigenze difensive o obblighi di legge.

Parte C — Dati per cui GRADO TECH Srls è titolare

Questa sezione si applica ai dati personali raccolti direttamente da GRADO TECH Srls in relazione alla registrazione, alla prova gratuita, all'abbonamento, alla fatturazione, alle comunicazioni commerciali e contrattuali e alla gestione degli account amministrativi della piattaforma, indipendentemente dai dati inseriti dall'azienda sui propri lavoratori.

Titolare del trattamento

Il titolare del trattamento per i dati di cui alla Parte C è GRADO TECH Srls, sede legale Corso Umberto I, 7 — 66050 San Salvo (CH), Italia. P.IVA IT02868240694. Email: info@gradotech.it — Tel. +39 378 421 3717.

Categorie di dati

• Dati identificativi e di contatto: nome, cognome, email, telefono, ragione sociale, P.IVA dell'azienda richiedente.
• Dati contrattuali e di fatturazione: piano sottoscritto, pagamenti, fatture, corrispettivi, storico ordini.
• Credenziali e accesso: username, password (in hash irreversibile), eventuale autenticazione a due fattori, log di accesso alla registrazione demo o all'area commerciale.
• Comunicazioni: richieste di informazioni, demo, assistenza commerciale, newsletter ove sottoscritte.

Finalità

• Gestione della registrazione, della prova gratuita e del rapporto contrattuale.
• Fatturazione, incasso e adempimenti fiscali e amministrativi.
• Comunicazioni di servizio, aggiornamenti sulla piattaforma e, previo consenso ove richiesto, comunicazioni commerciali.
• Sicurezza, prevenzione frodi e gestione di reclami o contenziosi.

Base giuridica

Esecuzione del contratto o misure precontrattuali (art. 6, par. 1, lett. b) GDPR); adempimento di obblighi legali (art. 6, par. 1, lett. c) GDPR); legittimo interesse alla sicurezza e gestione del rapporto (art. 6, par. 1, lett. f) GDPR); consenso per attività di marketing facoltative (art. 6, par. 1, lett. a) GDPR), revocabile in qualsiasi momento.

Parte D — Diritti dei lavoratori e degli interessati

I dati dei lavoratori e di altri soggetti inseriti dall'azienda su GRADO Security sono trattati dal titolare del trattamento (l'azienda cliente o il soggetto che gestisce il workspace). Di conseguenza:

• gli interessati (lavoratori, collaboratori, consulenti) devono esercitare i diritti ex artt. 15–22 GDPR (accesso, rettifica, cancellazione, limitazione, opposizione, portabilità) prevalentemente nei confronti del proprio datore di lavoro o del titolare indicato nell'informativa privacy aziendale;
• possono scrivere a info@gradotech.it per richieste relative ai dati ospitati sulla piattaforma: GRADO TECH Srls, in qualità di responsabile, inoltrerà la richiesta al titolare o risponderà nei limiti del proprio ruolo;
• resta sempre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Il titolare è responsabile di rendere disponibile ai propri lavoratori un'informativa privacy completa e aggiornata sul trattamento effettuato tramite GRADO Security.

Parte E — Categorie particolari, intelligenza artificiale e sub-responsabili

Categorie particolari di dati

L'uso ordinario di GRADO Security riguarda prevalentemente dati anagrafici, organizzativi e documentali relativi alla sicurezza sul lavoro. In taluni casi, tuttavia, la piattaforma può ospitare dati riconducibili alle categorie particolari di cui all'art. 9 GDPR, in particolare quando il titolare carica copie dei giudizi di idoneità alla mansione o documenti di sorveglianza sanitaria già trasmessi al lavoratore. La piattaforma non è destinata alla raccolta sistematica di cartelle cliniche o dati sanitari eccedenti: il titolare deve limitarsi ai dati pertinenti e necessari. Il titolare resta l'unico soggetto responsabile della liceità di tali trattamenti, dell'adozione delle misure di sicurezza aggiuntive e dell'informativa agli interessati; GRADO TECH Srls tratta tali dati esclusivamente per conto del titolare e secondo le sue istruzioni documentate.

Funzionalità di intelligenza artificiale

GRADO Security può offrire funzionalità assistite da intelligenza artificiale generativa e di automazione, ad esempio per verificare attestati e relative scadenze, suggerire rischi e DPI coerenti con cicli di lavoro, mansioni, impieghi, macchinari o aree di lavoro, nonché per evidenziare incoerenze documentali o operative. L'utilizzo di tali funzionalità è attivato dal titolare e i contenuti inviati ai motori AI sono trattati esclusivamente per erogare la funzione richiesta. Per tali servizi GRADO TECH Srls può avvalersi, nei limiti strettamente necessari, dei seguenti fornitori terzi, che operano quali sub-responsabili o fornitori di servizi tecnici secondo la configurazione contrattuale applicabile: OpenAI OpCo, LLC / OpenAI Ireland Ltd (privacy: openai.com/privacy; enterprise: openai.com/enterprise-privacy); Anthropic, PBC (privacy: anthropic.com/privacy); Google LLC (privacy: policies.google.com/privacy). I dati del cliente non sono rivenduti e non vengono utilizzati da GRADO TECH Srls per addestrare modelli propri o per finalità autonome; eventuali trattamenti da parte dei provider AI avvengono secondo i rispettivi termini business/enterprise e DPA applicabili e, ove previsto, con esclusione dell'uso dei contenuti per l'addestramento dei loro modelli.

Sub-responsabili e destinatari

I dati possono essere trattati da fornitori nominati responsabili o sub-responsabili del trattamento, vincolati da accordi ex art. 28 GDPR o da garanzie contrattuali equivalenti ove applicabili, tra cui: Aruba S.p.A. (Via San Clemente 53, 24036 Ponte San Pietro (BG), Italia — P.IVA 01573850516), quale fornitore dei servizi infrastrutturali connessi alla piattaforma — GDPR Aruba, Informativa privacy Aruba; servizi di posta elettronica e PEC; eventuali fornitori di servizi AI attivati dal titolare per specifiche funzionalità, nei limiti strettamente necessari all'erogazione della funzione richiesta: OpenAI OpCo, LLC / OpenAI Ireland Ltd (privacy), Anthropic, PBC (privacy), Google LLC (privacy); consulenti professionali o autorità nei casi previsti dalla legge. L'elenco aggiornato dei sub-responsabili rilevanti per il servizio è disponibile su richiesta a info@gradotech.it o allegato al contratto.

Trasferimenti extra-UE

I dati sono trattati prioritariamente all'interno dello Spazio Economico Europeo, anche tramite Aruba S.p.A. (Italia). Maggiori informazioni: aruba.it/gdpr. Qualora specifiche funzionalità opzionali di AI attivate dal titolare comportino il trattamento da parte di OpenAI, Anthropic o Google e, di conseguenza, trasferimenti verso Paesi terzi (ad esempio gli Stati Uniti), tali trasferimenti avvengono solo in presenza di garanzie adeguate previste dal GDPR, quali decisioni di adeguatezza (incluso, ove applicabile, il Data Privacy Framework EU-USA), Clausole Contrattuali Standard della Commissione Europea o altri strumenti leciti. Informazioni specifiche sui trasferimenti connessi ai servizi AI sono fornite nel contratto, nel DPA o su richiesta.

Misure di sicurezza

GRADO TECH Srls adotta misure tecniche e organizzative adeguate per proteggere i dati trattati su GRADO Security: segregazione multitenant tra aziende clienti, crittografia delle comunicazioni (TLS), hash irreversibile delle password, controllo degli accessi basato su ruoli e principio del minimo privilegio, backup, monitoraggio e conformità agli standard ISO/IEC 27001:2024. In caso di violazione dei dati personali che interessi dati trattati per conto del titolare, GRADO TECH Srls informerà il titolare senza ingiustificato ritardo, come previsto dall'art. 33 GDPR e dal contratto.

Responsabilità e obblighi del titolare

Il titolare garantisce che i dati inseriti su GRADO Security siano leciti, pertinenti, esatti e non eccedenti rispetto alle finalità perseguite; che disponga dei diritti, dei presupposti di liceità e delle autorizzazioni necessarie (inclusi i dati dei lavoratori, i documenti caricati e gli eventuali giudizi di idoneità); che configuri correttamente ruoli e permessi degli utenti; che adotti le misure organizzative richieste dalla normativa sulla sicurezza sul lavoro; e che carichi sulla piattaforma solo le informazioni strettamente necessarie. GRADO TECH Srls non è responsabile delle decisioni organizzative del titolare, delle valutazioni di rischio, della correttezza sostanziale o giuridica dei contenuti inseriti dal titolare, delle istruzioni impartite a GRADO TECH Srls, né dell'informativa privacy che il titolare deve fornire ai propri interessati. La presente informativa non costituisce consulenza legale.

Modifiche

La presente informativa può essere aggiornata per riflettere modifiche normative, contrattuali o al servizio. Eventuali modifiche saranno pubblicate su questa pagina con indicazione della data di ultimo aggiornamento.