Ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR). Parte integrante dei Termini di servizio della piattaforma EqualRisk Studio. Versione 0, del 04/08/2026.
Il presente accordo è stipulato tra Guido Pellizzari, titolare di partita IVA [in fase di apertura], esercente l'attività con il nome commerciale EqualRisk (di seguito, il Responsabile o EqualRisk), e il soggetto che si registra alla piattaforma EqualRisk Studio nell'ambito della propria attività professionale di consulenza in materia di salute e sicurezza sul lavoro (di seguito, lo Studio o il Titolare).
Lo Studio utilizza la piattaforma per la redazione di documenti di valutazione dei rischi relativi a molestie e violenze connesse al lavoro, inserendovi dati riferiti alle aziende proprie clienti (di seguito, i Clienti finali). Rispetto a tali dati lo Studio determina finalità e mezzi del trattamento nell'ambito del proprio incarico professionale e riveste il ruolo di titolare del trattamento; EqualRisk tratta i dati esclusivamente per conto dello Studio, in qualità di responsabile del trattamento ai sensi dell'art. 28 GDPR. Il presente accordo disciplina tale trattamento e costituisce parte integrante dei Termini di servizio, accettati contestualmente in fase di registrazione.
Qualora lo Studio operi a propria volta quale responsabile del trattamento per conto dei propri Clienti finali, lo Studio garantisce di essere autorizzato dai rispettivi titolari a ricorrere a EqualRisk quale ulteriore responsabile, e i riferimenti al Titolare contenuti nel presente accordo si intendono riferiti allo Studio nella sua qualità di responsabile che impartisce istruzioni a un sub-responsabile.
Il trattamento oggetto del presente accordo consiste nella raccolta, conservazione, organizzazione, elaborazione e cancellazione dei dati inseriti dallo Studio in piattaforma, al solo fine di erogare le funzionalità del servizio: gestione delle anagrafiche dei Clienti finali, compilazione delle checklist di valutazione, generazione assistita di bozze di analisi tramite servizi di intelligenza artificiale, produzione dei documenti in formato PDF, invio delle comunicazioni email di servizio. Il dettaglio delle categorie di dati e di interessati è riportato nell'Allegato A.
Nell'ambito dell'erogazione del servizio, EqualRisk può calcolare sui dati inseriti codici di controllo (impronte) che non ne riportano il contenuto, al solo fine di verificare il corretto utilizzo del servizio secondo gli articoli 4 e 10 dei Termini di servizio. Le impronte non consentono di ricostruire i dati, non sono comunicate a terzi e non sono utilizzate per altre finalità.
La durata del trattamento coincide con la durata del rapporto contrattuale tra le parti. Alla cessazione del rapporto si applica quanto previsto all'articolo 9.
EqualRisk tratta i dati soltanto su istruzione documentata dello Studio. Le funzionalità della piattaforma, così come descritte nella documentazione del servizio, e le azioni compiute dallo Studio tramite l'interfaccia costituiscono le istruzioni documentate ai sensi dell'art. 28, par. 3, lett. a) GDPR. EqualRisk informa immediatamente lo Studio qualora, a suo giudizio, un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati.
Nell'esecuzione del trattamento EqualRisk si impegna a quanto segue.
Lo Studio autorizza in via generale il ricorso da parte di EqualRisk a sub-responsabili per l'erogazione del servizio. L'elenco aggiornato dei sub-responsabili, con l'indicazione del ruolo e della sede del trattamento, è pubblicato nell'area riservata della piattaforma e riportato, alla data della presente versione, nell'Allegato C.
EqualRisk comunica allo Studio, tramite la piattaforma o via email, ogni intenzione di aggiungere o sostituire sub-responsabili con un preavviso di almeno 15 giorni. Entro tale termine lo Studio può opporsi per motivi legittimi e documentati; in caso di opposizione, le parti ricercano in buona fede una soluzione e, ove non sia possibile, lo Studio può recedere dal contratto limitatamente ai servizi interessati dalla modifica. EqualRisk impone a ciascun sub-responsabile, mediante contratto, obblighi in materia di protezione dei dati equivalenti a quelli del presente accordo e resta pienamente responsabile verso lo Studio dell'adempimento degli obblighi dei sub-responsabili.
Tra i sub-responsabili figura il fornitore del servizio di intelligenza artificiale utilizzato per la generazione delle bozze di analisi. A tale fornitore vengono trasmessi esclusivamente i dati necessari alla contestualizzazione dell'analisi (ragione sociale, settore ATECO, dimensione aziendale, sedi, dati aggregati sull'organico, punteggi delle checklist ed eventuali note di contesto), con esclusione di partita IVA, codice fiscale, recapiti e nominativi delle figure di prevenzione. La piattaforma non prevede campi per dati di singoli lavoratori; il contenuto dei campi di testo libero è determinato dallo Studio, che si impegna a non inserirvi dati personali non necessari alla valutazione. Il fornitore garantisce contrattualmente che i dati trasmessi tramite API non vengono utilizzati per l'addestramento dei modelli di intelligenza artificiale. I contenuti generati costituiscono bozze di supporto soggette alla revisione e all'approvazione professionale dello Studio secondo quanto previsto dai Termini di servizio.
I dati sono conservati su infrastrutture situate nell'Unione Europea. Qualora l'erogazione del servizio comporti trasferimenti di dati verso paesi terzi, in particolare in relazione al servizio di intelligenza artificiale, tali trasferimenti avvengono nel rispetto del capo V del GDPR, sulla base di una decisione di adeguatezza della Commissione europea o delle clausole contrattuali standard incorporate nei termini del sub-responsabile interessato, come indicato nell'Allegato C.
EqualRisk mette a disposizione dello Studio, su richiesta scritta, la documentazione idonea a dimostrare il rispetto del presente accordo, incluse le certificazioni e le relazioni di sicurezza rese disponibili dai sub-responsabili. Eventuali attività di revisione ulteriori, incluse le ispezioni, sono condotte previo accordo sulle modalità e sui tempi, con preavviso ragionevole, durante il normale orario di lavoro, senza interferire in modo sproporzionato con l'operatività del servizio e nel rispetto della riservatezza dei dati delle altre organizzazioni presenti in piattaforma.
Alla cessazione del rapporto contrattuale, lo Studio può esportare i propri dati e i documenti prodotti nei formati resi disponibili dalla piattaforma entro 30 giorni dalla cessazione. Decorso tale termine, EqualRisk cancella i dati trattati per conto dello Studio, salvo gli obblighi di conservazione previsti dalla legge, e ne attesta la cancellazione su richiesta. Restano esclusi dalla cancellazione i dati di cui EqualRisk è autonomo titolare (dati contrattuali, contabili e fiscali), trattati secondo la propria informativa privacy.
Ciascuna parte risponde dei danni cagionati dal trattamento secondo quanto previsto dall'art. 82 GDPR. Lo Studio garantisce che i dati inseriti in piattaforma sono trattati nel rispetto della normativa applicabile, di avere titolo per il loro inserimento e di avere adempiuto agli obblighi informativi verso i propri Clienti finali e verso gli interessati. Il presente accordo è regolato dalla legge italiana. Per quanto non previsto si applicano i Termini di servizio e la normativa in materia di protezione dei dati personali.
Categorie di interessati: figure di prevenzione designate dai Clienti finali (datore di lavoro, RSPP, medico competente, RLS); referenti e utenti dello Studio.
Categorie di dati: dati identificativi delle organizzazioni Clienti finali (ragione sociale, partita IVA, sede, settore ATECO); nominativi e ruoli delle figure di prevenzione; dati aggregati sull'organico (composizione numerica, anche per genere); punteggi delle checklist di valutazione; note di contesto sulle sedi inserite dallo Studio; documenti generati.
Operazioni di trattamento: raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione (inclusa la generazione assistita di testi), estrazione, cancellazione.
Cifratura delle comunicazioni in transito (TLS); autenticazione degli utenti con credenziali individuali e procedure di reset sicure; isolamento logico dei dati tra organizzazioni (multi-tenancy con segregazione a livello applicativo e di database); controllo degli accessi basato sui ruoli (titolare dello Studio, collaboratori, amministratori di piattaforma); accesso del personale di EqualRisk ai dati dello Studio solo previo consenso esplicito nell'ambito del sistema di assistenza; backup periodici su infrastruttura UE; registrazione degli eventi rilevanti di sicurezza; aggiornamento delle componenti software. [Da completare e verificare in sede di revisione con l'effettiva configurazione tecnica.]
Alla data della presente versione: Supabase (hosting del database, Unione Europea, regione di Francoforte); Render (hosting dell'applicazione); Anthropic (servizio di intelligenza artificiale tramite API, con garanzie per i trasferimenti extra UE ai sensi del capo V GDPR secondo i termini del fornitore); Brevo (invio di email transazionali e newsletter); Cloudflare (risoluzione DNS del dominio, servizi di proxy e protezione del traffico, instradamento email, con clausole contrattuali standard per i trasferimenti extra UE). L'elenco aggiornato è pubblicato nell'area riservata della piattaforma e prevale, in caso di difformità, sulla presente versione statica.