Accordo sul Trattamento dei Dati (DPA)

Ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (GDPR) Smart Efficacia — Piattaforma SaaS per la gestione della compliance D.Lgs. 81/2008

Versione: v1.5 — 10 novembre 2026 · Autore: Smart Sinergie S.r.l.

TRA

Smart Sinergie S.r.l., con sede legale in Via General Espinasse 14/TER — 21052 Busto Arsizio (VA), P.IVA e Codice Fiscale 04078460120, in persona del legale rappresentante Francesco Iadonisi, in qualità di Responsabile del trattamento ai sensi dell’art. 28 GDPR (di seguito “Responsabile” o “Smart Sinergie”)

E

[Ragione sociale Cliente], con sede legale in [indirizzo], P.IVA [VAT], in persona del legale rappresentante [Nome Cognome], in qualità di Titolare del trattamento ai sensi dell’art. 24 GDPR (di seguito “Titolare” o “Cliente”) di seguito congiuntamente “Parti” e singolarmente “Parte”.

PREMESSE

• Il Titolare ha sottoscritto con il Responsabile un contratto di servizio (di seguito “Contratto Principale”) avente ad oggetto la fornitura della piattaforma software-as-a-service denominata Smart Efficacia, destinata alla gestione integrata degli obblighi normativi in materia di sicurezza sul lavoro (D.Lgs. 81/2008);
• Nell’esecuzione del Contratto Principale, il Responsabile tratta dati personali per conto del Titolare;
• Le Parti intendono regolare, mediante il presente accordo (di seguito “DPA”), gli aspetti relativi alla protezione dei dati personali in conformità all’art. 28 GDPR;
• Il presente DPA costituisce parte integrante e sostanziale del Contratto Principale; in caso di conflitto tra le previsioni del presente DPA e quelle del Contratto Principale in materia di protezione dei dati personali, prevalgono le previsioni del presente DPA.

1. DEFINIZIONI

Ai fini del presente DPA si applicano le definizioni di cui all’art. 4 GDPR. In particolare:

• “Dati Personali”: i dati personali, come definiti dall’art. 4(1) GDPR, trattati dal Responsabile per conto del Titolare nell’esecuzione del Contratto Principale.
• “Trattamento”: qualsiasi operazione applicata a Dati Personali, come definita dall’art. 4(2) GDPR.
• “Interessato”: la persona fisica identificata o identificabile cui si riferiscono i Dati Personali.
• “Violazione dei Dati Personali” (data breach): la violazione di sicurezza definita dall’art. 4(12) GDPR.
• “Sub-responsabile”: il soggetto incaricato dal Responsabile di trattare Dati Personali per conto del Titolare, ai sensi dell’art. 28(2) e (4) GDPR.
• “Piattaforma”: la piattaforma Smart Efficacia, accessibile tramite il dominio app.smartefficacia.it.

2. OGGETTO E DURATA DEL TRATTAMENTO

2.1 Oggetto

Il Responsabile tratta Dati Personali per conto del Titolare al solo fine di erogare il servizio Smart Efficacia, secondo le istruzioni documentate del Titolare e per le finalità descritte nell’Allegato 1 — Descrizione del trattamento.

2.2 Durata

Il trattamento ha durata per l’intero periodo di vigenza del Contratto Principale e, dopo la cessazione, per il tempo necessario all’eventuale restituzione dei dati richiesta dal Titolare e alla loro cancellazione secondo il § 2.3, e in ogni caso non oltre 120 (centoventi) giorni dalla cessazione del Contratto. 📌 Nota su retention estesa: il Titolare può richiedere, mediante appendice contrattuale scritta, una retention estesa dei dati fino a 10 (dieci) anni per la conservazione dei documenti relativi alla sicurezza sul lavoro, in conformità agli obblighi di conservazione previsti dal D.Lgs. 81/2008 e dalla normativa fiscale e giuslavoristica applicabile. La retention estesa comporta condizioni economiche aggiuntive da concordare separatamente.

2.3 Cessazione

Alla cessazione del Contratto Principale, per qualsiasi causa:

• restituzione: entro 30 (trenta) giorni dalla cessazione, termine estendibile di ulteriori 30 (trenta) giorni su richiesta scritta del Titolare e senza costi aggiuntivi, il Titolare può chiedere per iscritto la restituzione dei Dati Personali. Il Responsabile la mette a disposizione entro 15 (quindici) giorni dalla richiesta, in formato strutturato, di uso comune e leggibile da dispositivo automatico (CSV per i dati tabellari, compreso il registro delle operazioni; formato originale per gli allegati documentali), con modalità di consegna sicure comunicate al referente del Titolare, in coerenza con l’art. 13 del Contratto Principale;
• cancellazione: il Responsabile cancella tutti i Dati Personali, compresi il registro delle operazioni e le copie di backup, entro 120 (centoventi) giorni dalla cessazione. Il Titolare può chiedere per iscritto che la cancellazione avvenga prima di tale termine. Restano fatti salvi obblighi legali di conservazione che impongano al Responsabile la conservazione di determinati dati per periodi superiori, nei limiti di quanto strettamente necessario all’adempimento di tali obblighi.

3. NATURA, FINALITÀ E CATEGORIE DI DATI

3.1 Natura e finalità del trattamento

Il trattamento ha natura automatizzata ed è finalizzato all’erogazione delle funzionalità della Piattaforma, come descritte nel Contratto Principale e meglio dettagliate nell’Allegato 1.

3.2 Categorie di Interessati

Le categorie di Interessati i cui Dati Personali sono trattati comprendono:

• Lavoratori dipendenti del Titolare (compresi apprendisti, stagisti e collaboratori soggetti agli obblighi di cui al D.Lgs. 81/2008);
• Utenti della Piattaforma abilitati dal Titolare, con i profili da esso stabiliti, e utenti dei Partner abilitati ai sensi del § 7.5;
• Professionisti esterni nominati dal Titolare (RSPP esterno, Medico Competente);
• Eventuali ulteriori categorie strettamente funzionali al servizio.

3.3 Categorie di Dati Personali

Le categorie di Dati Personali trattati sono dettagliate nell’Allegato 1, sezione “Categorie di dati trattati”.

3.4 Dati relativi alla sorveglianza sanitaria

Per la sorveglianza sanitaria la Piattaforma conserva per conto del Titolare le scadenze e lo storico delle visite e i soli dati del giudizio di idoneità alla mansione rilasciato dal Medico Competente: l’esito, le eventuali prescrizioni e limitazioni con il relativo periodo e il documento del giudizio. Il giudizio è un dato relativo alla salute (art. 9 GDPR), trattato per conto del Titolare per gli adempimenti del D.Lgs. 81/2008. Diagnosi, esami, cartella sanitaria e di rischio e ogni altro dato clinico restano presso il Medico Competente e non sono nella Piattaforma. Il Titolare stabilisce quali utenti e quali Partner accedono ai dati del giudizio e ne risponde. Il Partner al quale il Titolare concede il modulo Lavoratori ne vede, in sola consultazione, l’esito e le limitazioni con le relative date, senza le prescrizioni né il documento del giudizio (§ 7.5). Il Partner diverso dal laboratorio al quale il Titolare concede il Modulo F in sola consultazione ne vede anche le prescrizioni e il documento del giudizio (§ 7.5). Il Titolare risponde inoltre del contenuto dei documenti che carica e si impegna a non caricare nella Piattaforma altri dati appartenenti alle categorie di cui all’art. 9 GDPR.

4. OBBLIGHI DEL TITOLARE

Il Titolare:

• È e resta Titolare del trattamento dei Dati Personali trattati attraverso la Piattaforma;
• Si impegna a fornire al Responsabile istruzioni documentate, lecite e specifiche per il trattamento (si veda art. 5 del presente DPA);
• Garantisce di aver acquisito idonea base giuridica (art. 6 GDPR) per il trattamento dei Dati Personali da esso conferiti alla Piattaforma, inclusi i Dati Personali dei propri dipendenti e degli altri Interessati;
• Garantisce di aver fornito agli Interessati idonea informativa ai sensi degli artt. 13 e 14 GDPR;
• Stabilisce per ciascun utente i moduli accessibili, il livello (consultazione o anche modifica) e, se vuole, le sedi e le aree, e ne risponde come autorizzazione dei propri incaricati, in coerenza con il principio di minimizzazione;
• Si impegna a non caricare nei campi a testo libero della Piattaforma (es. note operative) dati appartenenti alle categorie di cui all’art. 9 GDPR diversi dai dati del giudizio di idoneità nei campi a esso dedicati o ulteriori dati personali non necessari alle finalità del servizio.

5. ISTRUZIONI DEL TITOLARE

5.1 Istruzioni iniziali

Le istruzioni iniziali del Titolare sono costituite:

• Dal Contratto Principale e dai relativi allegati;
• Dal presente DPA e dai relativi allegati;
• Dalla documentazione tecnica e funzionale della Piattaforma resa disponibile al Titolare;
• Dalle configurazioni effettuate dal Titolare nella Piattaforma (profili degli utenti, Concessioni ai Partner, soglie degli avvisi, ecc.).

5.2 Istruzioni successive

Eventuali istruzioni successive devono essere fornite per iscritto, anche mediante posta elettronica certificata o canali di assistenza ufficiali resi disponibili dal Responsabile.

5.3 Istruzioni illecite

Qualora il Responsabile ritenga che un’istruzione del Titolare violi il GDPR o altra normativa applicabile in materia di protezione dei dati personali, informa immediatamente il Titolare per iscritto e sospende l’esecuzione dell’istruzione fino a risoluzione del rilievo.

6. OBBLIGHI DEL RESPONSABILE

Il Responsabile si impegna a:

• Trattare i Dati Personali esclusivamente sulla base delle istruzioni documentate del Titolare, compresi i trasferimenti extra-UE, salvo che ciò sia richiesto dal diritto dell’Unione o dello Stato membro applicabile al Responsabile (in tal caso il Responsabile informa il Titolare prima del trattamento, a meno che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico);
• Garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
• Adottare tutte le misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, come descritte nell’Allegato 2;
• Rispettare le condizioni di cui all’art. 28(2) e (4) GDPR per il ricorso a Sub-responsabili (si veda art. 7 del presente DPA);
• Assistere il Titolare con misure tecniche e organizzative adeguate per soddisfare le richieste degli Interessati (art. 12-22 GDPR), nei limiti tecnologici della Piattaforma;
• Assistere il Titolare nel garantire il rispetto degli obblighi di cui agli artt. 32-36 GDPR (sicurezza, notifica di violazione, valutazione di impatto, consultazione preventiva), tenuto conto della natura del trattamento e delle informazioni a disposizione del Responsabile;
• Alla cessazione del trattamento, restituire i Dati Personali su richiesta del Titolare e cancellarli nei termini dell’art. 2.3;
• Mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all’art. 28 GDPR e consentire audit (si veda art. 11 del presente DPA).

7. SUB-RESPONSABILI

7.1 Autorizzazione generale

Il Titolare autorizza in via generale il Responsabile a ricorrere ai Sub-responsabili elencati nell’Allegato 3 — Elenco dei Sub-responsabili del presente DPA.

7.2 Modifiche all’elenco

Il Responsabile può aggiungere o sostituire Sub-responsabili. Ne informa il Titolare prima che la modifica abbia effetto, pubblicando l’elenco aggiornato con le modalità del § 15.2. Entro 10 (dieci) giorni dalla pubblicazione il Titolare può opporsi per iscritto, con motivazione; se le Parti non trovano una soluzione, il Titolare può recedere dal Contratto Principale ai sensi del suo art. 8.2.

7.3 Obblighi dei Sub-responsabili

Il Responsabile si impegna a vincolare ciascun Sub-responsabile, mediante accordo scritto, al rispetto di obblighi di protezione dei dati equivalenti a quelli previsti dal presente DPA, in particolare per quanto concerne le garanzie di adeguate misure tecniche e organizzative ai sensi dell’art. 28(4) GDPR.

7.4 Responsabilità del Responsabile

Il Responsabile risponde nei confronti del Titolare dell’operato dei Sub-responsabili in relazione al rispetto degli obblighi di protezione dei dati, ai sensi dell’art. 28(4) GDPR.

7.5 Partner della Rete Efficacia (Responsabile nominato direttamente dal Titolare)

Il Titolare può avvalersi di uno o più Partner della Rete Efficacia (ad esempio un RSPP esterno, uno studio di consulenza o di formazione, un laboratorio) e abilitarli, mediante le Concessioni della Piattaforma, ad accedere ai moduli che sceglie, in sola consultazione o anche in scrittura. In tal caso le Parti danno atto che:

• il Partner agisce quale Responsabile del trattamento nominato direttamente dal Titolare ai sensi dell’art. 28 GDPR, mediante apposito atto di nomina (Nomina del Responsabile Partner), distinto dal presente DPA;
• il Partner non è un Sub-responsabile del Responsabile ai sensi dell’art. 28(2) e (4) GDPR: il Responsabile (Smart Sinergie) e il Partner sono due Responsabili paralleli e distinti del medesimo Titolare, ciascuno per la propria sfera di trattamento;
• di conseguenza, il Responsabile non risponde dell’operato del Partner ai sensi dell’art. 28(4). La scelta dei moduli e dei livelli concessi al Partner, la nomina, le istruzioni e la vigilanza sul Partner restano in capo al Titolare; il Partner risponde dell’uso che fa dei dati;
• le operazioni svolte dal Partner nei limiti delle Concessioni costituiscono istruzioni documentate del Titolare ai sensi dell’art. 28(3)(a) GDPR;
• il Partner accede ai moduli che il Titolare gli concede, con le funzioni previste dalla Piattaforma per ciascuna Concessione; il modulo Lavoratori, se concesso, comprende in sola consultazione l’esito e le limitazioni del giudizio di idoneità con le relative date; il Modulo F (Visite mediche) è accessibile al Partner laboratorio alle condizioni del § 7.5.1 e può essere concesso in sola consultazione anche agli altri Partner, con le scadenze e lo storico delle visite e i dati del giudizio di idoneità, compreso il documento del giudizio;
• gli utenti dell’Area Partner sono abilitati dall’amministratore del Partner, che li autorizza, li istruisce e ne risponde; la nomina di un nuovo amministratore resta a Smart Sinergie;
• il Partner non determina finalità o modalità ulteriori del trattamento e opera esclusivamente nell’ambito dell’incarico ricevuto dal Titolare. Eventuali trattamenti che il Partner svolga quale professionista autonomo — ivi inclusi propri archivi e documentazione professionale tenuti al di fuori della Piattaforma — restano esclusi dalla presente previsione e dall’atto di nomina, e ricadono sotto la sua autonoma titolarità e responsabilità. Il Responsabile mette a disposizione le funzioni tecniche che consentono l’abilitazione del Partner, ma l’attivazione di tale accesso e la relativa nomina ex art. 28 sono atti del Titolare.

7.5.1 Partner laboratorio (supporto alla sorveglianza sanitaria)

Il Titolare può abilitare un Partner di tipo laboratorio o struttura sanitaria ad accedere al Modulo F per i propri Lavoratori. In tal caso, fermo quanto previsto al § 7.5:

• a) finalità: supportare il Titolare nell’organizzazione delle visite della sorveglianza sanitaria e nella tenuta delle scadenze e dei giudizi di idoneità (art. 41 D.Lgs. 81/2008);
• b) nomina: l’abilitazione presuppone la nomina del laboratorio a Responsabile del trattamento ai sensi dell’art. 28 GDPR, sottoscritta dal Titolare; senza la nomina l’accesso non è attivato;
• c) dati e operazioni: il laboratorio accede ai dati del Lavoratore necessari all’organizzazione delle visite e ai dati delle visite (scadenze, storico, appuntamenti, periodicità, Medico Competente nominato dal Titolare), compresi i giudizi di idoneità (§ 3.4), e svolge le operazioni previste dal livello di concessione che il Titolare sceglie per ciascuna azienda fra quelli offerti dalla Piattaforma. La periodicità è modificata solo su indicazione del Medico Competente nominato dal Titolare; la scadenza è calcolata dalla Piattaforma. Il laboratorio non modifica gli altri dati del Lavoratore e non registra dati clinici diversi dal giudizio di idoneità; può caricare e consultare documenti organizzativi relativi alle visite, come la lettera di convocazione, che non contengono referti, esami o altri dati clinici;
• d) tracciamento e responsabilità: ogni operazione del laboratorio è registrata nel registro delle operazioni consultabile dal Titolare; il laboratorio risponde della correttezza dei dati che registra;
• e) perimetro: l’accesso è riservato alla società che sottoscrive la nomina, senza comunicazione dei dati ad altre società del suo gruppo;
• f) revoca: il Titolare può revocare l’abilitazione in qualsiasi momento; i dati già registrati, compresi i giudizi, restano nella disponibilità del Titolare;
• g) informativa: resta a carico del Titolare informare i Lavoratori, ai sensi degli artt. 13 e 14 GDPR, della comunicazione dei dati al laboratorio.

7.5.2 Aziende gestite dal Partner

Quando la Piattaforma lo consente, il Titolare che è un Partner della Rete Efficacia (ad esempio un laboratorio, uno studio di consulenza o di formazione, chi segue le manutenzioni) può inserire nella Piattaforma le aziende che segue per il proprio incarico e che non sono clienti di Smart Sinergie, con i dati e i documenti necessari a tale incarico, compresi, per il laboratorio, i dati della sorveglianza sanitaria, i giudizi di idoneità e i documenti organizzativi delle visite, come la lettera di convocazione. I documenti caricati non contengono referti, esami o altri dati clinici. Per tali dati il Titolare tratta in base all’incarico ricevuto dall’azienda e Smart Sinergie agisce come suo sub-responsabile, alle condizioni del presente Accordo. Quando l’azienda attiva il proprio account, anche su invito del Partner con un periodo di utilizzo gratuito, i dati inseriti dal Partner passano all’azienda, che ne diventa titolare, accetta le Condizioni di servizio e il presente Accordo e conferma la nomina del Partner a responsabile del trattamento. Se al termine del periodo gratuito l’azienda non sottoscrive un Piano, il suo account è chiuso e i dati tornano in gestione al Partner, come prima dell’attivazione; prima della chiusura l’azienda può chiederne l’esportazione.

7.6 Matrice sintetica delle responsabilità (Titolare / Smart Sinergie / Partner)

A fini di chiarezza operativa, le Parti riepilogano la ripartizione delle responsabilità tra il Titolare (PMI), il Responsabile (Smart Sinergie) e il Partner (Responsabile autonomo nominato dal Titolare):

La presente matrice ha natura riepilogativa e non deroga alle disposizioni di dettaglio del presente DPA e degli atti collegati.

8. TRASFERIMENTI EXTRA-UE

8.1 Localizzazione dei dati

Il Responsabile garantisce che, allo stato attuale, tutti i Dati Personali sono ospitati ed elaborati all’interno dell’Unione Europea (datacenter principali: Frankfurt — Germania, per database, autenticazione e storage; rete CDN distribuita all’interno dello SEE per il frontend applicativo).

8.2 Eventuali trasferimenti

Eventuali trasferimenti di Dati Personali verso Paesi terzi al di fuori dello SEE avvengono esclusivamente in presenza di una base giuridica adeguata ai sensi del Capo V GDPR, e in particolare:

• Decisione di adeguatezza della Commissione Europea (art. 45 GDPR);
• Clausole Contrattuali Standard (Standard Contractual Clauses — SCC) adottate dalla Commissione Europea (art. 46(2)(c) GDPR);
• Altre garanzie adeguate previste dal Capo V GDPR.

8.3 Sub-responsabili con sedi extra-UE

L’Allegato 3 indica, per ciascun Sub-responsabile, la sede del trattamento e l’eventuale base giuridica del trasferimento extra-UE. Nota su Stripe e Anthropic: tra i Sub-responsabili elencati in Allegato 3, Stripe opera dati di pagamento principalmente attraverso entità irlandesi (Stripe Technology Europe Ltd.) ma alcune operazioni di back-end possono coinvolgere infrastrutture USA. Anthropic è utilizzato esclusivamente come strumento di sviluppo da parte di Smart Sinergie e non ha alcun ruolo nel runtime di produzione: non riceve, non elabora e non ha alcun accesso ai Dati Personali dei Clienti. Si veda l’Allegato 3 per i dettagli.

9. SICUREZZA DEL TRATTAMENTO

9.1 Misure tecniche e organizzative

Il Responsabile adotta le misure tecniche e organizzative adeguate descritte nell’Allegato 2 — Misure di sicurezza del presente DPA, in conformità all’art. 32 GDPR.

9.2 Aggiornamento delle misure

Il Responsabile si riserva il diritto di aggiornare le misure di sicurezza, garantendo in ogni caso un livello di protezione non inferiore a quello descritto nell’Allegato 2.

10. VIOLAZIONE DEI DATI PERSONALI (DATA BREACH)

10.1 Notifica al Titolare

Il Responsabile notifica al Titolare, senza ingiustificato ritardo dalla scoperta, qualsiasi Violazione dei Dati Personali di cui sia venuto a conoscenza, ai sensi dell’art. 33(2) GDPR. La notifica avviene non appena il Responsabile abbia ragionevole consapevolezza dell’occorrenza dell’evento e disponga di un set minimo di informazioni utili al Titolare per valutare l’eventuale notifica all’Autorità di controllo ai sensi dell’art. 33(1) GDPR (termine di 72 ore a carico del Titolare).

10.2 Contenuto della notifica

La notifica contiene, nei limiti delle informazioni disponibili al momento, i contenuti previsti dall’art. 33(3) GDPR, e in particolare:

• Descrizione della natura della violazione, compresi, ove possibile, le categorie e il numero approssimativo di Interessati e di record di Dati Personali interessati;
• Nome e dati di contatto del punto di contatto presso il Responsabile;
• Descrizione delle probabili conseguenze della violazione;
• Descrizione delle misure adottate o di cui si propone l’adozione per porre rimedio alla violazione e attenuarne i possibili effetti negativi. Qualora non sia possibile fornire contestualmente tutte le informazioni, esse possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo.

10.3 Cooperazione

Il Responsabile coopera con il Titolare e gli fornisce tutto il supporto ragionevolmente necessario per consentirgli di adempiere ai propri obblighi di notifica all’Autorità di controllo (art. 33 GDPR) e di comunicazione agli Interessati (art. 34 GDPR), restando il Titolare il soggetto responsabile di tali adempimenti. Qualora una violazione coinvolga sia la sfera del Responsabile (infrastruttura della Piattaforma) sia quella di un Partner della Rete Efficacia (Responsabile autonomo del Titolare, § 7.5), il Responsabile e il Partner cooperano in buona fede e si scambiano senza ingiustificato ritardo le informazioni necessarie affinché il Titolare possa adempiere agli obblighi ex artt. 33-34 GDPR in modo coordinato. Ciascun Responsabile resta competente per la notifica al Titolare relativa alla violazione occorsa nella propria sfera.

11. AUDIT E ISPEZIONI

11.1 Diritto di audit

Il Titolare ha diritto di verificare il rispetto da parte del Responsabile degli obblighi del presente DPA, mediante:

• Richiesta scritta di informazioni e documentazione comprovante l’adozione delle misure di sicurezza e organizzative;
• Audit on-site presso le sedi del Responsabile, con preavviso di almeno 30 (trenta) giorni e secondo modalità da concordarsi tra le Parti, salvo casi di urgenza motivata.

11.2 Modalità dell’audit

Gli audit sono condotti:

• In orario lavorativo;
• In modo da non interferire indebitamente con l’operatività del Responsabile;
• Nel rispetto della riservatezza delle informazioni del Responsabile e dei suoi altri clienti;
• Da parte di personale del Titolare o di un terzo indipendente da esso designato e accettato dal Responsabile (l’accettazione non può essere irragionevolmente negata).

11.3 Frequenza

Gli audit possono essere richiesti al massimo una volta all’anno, salvo:

• Audit a seguito di una Violazione dei Dati Personali;
• Audit richiesti dall’Autorità di controllo;
• Audit motivati da gravi e documentati indizi di non conformità.

11.4 Audit di terze parti

In luogo di audit on-site, il Responsabile può fornire al Titolare certificazioni, rapporti di audit di terze parti indipendenti (es. SOC 2, ISO 27001 del fornitore cloud principale Supabase / Vercel) o equivalenti documentazioni, che il Titolare si impegna a valutare come elemento sostitutivo dell’audit on-site quando ragionevole.

11.5 Costi

I costi dell’audit sono a carico del Titolare. Sono a carico del Responsabile esclusivamente quando l’audit accerti gravi inadempimenti del Responsabile.

12. DIRITTI DEGLI INTERESSATI

12.1 Assistenza al Titolare

Il Responsabile assiste il Titolare, con misure tecniche e organizzative adeguate, nell’evasione delle richieste degli Interessati relative all’esercizio dei diritti di cui agli artt. 15-22 GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, decisioni automatizzate).

12.2 Inoltro delle richieste

Qualora il Responsabile riceva direttamente una richiesta da un Interessato relativa a Dati Personali trattati per conto del Titolare, il Responsabile:

• Non risponde direttamente all’Interessato, salvo diversa istruzione del Titolare;
• Inoltra senza ingiustificato ritardo la richiesta al Titolare, fornendo a quest’ultimo tutte le informazioni necessarie per evaderla.

12.3 Strumenti tecnici

La Piattaforma mette a disposizione del Titolare funzioni di consultazione, rettifica ed esportazione in formato tabellare dei dati (per esempio l’elenco dei lavoratori e gli scadenziari). La cessazione di un lavoratore ne conserva i dati e lo storico. Le richieste che tali funzioni non coprono, come la cancellazione dei dati di un Interessato, sono eseguite dal Responsabile su richiesta scritta del Titolare, secondo il § 12.1. Resta fermo il registro delle operazioni, conservato secondo l’Allegato 1, § 1.6.

13. VALUTAZIONE DI IMPATTO E CONSULTAZIONE PREVENTIVA

Su richiesta del Titolare, il Responsabile fornisce, nei limiti delle informazioni disponibili e tenuto conto della natura del trattamento, le informazioni e l’assistenza ragionevolmente necessari per consentire al Titolare di:

• Effettuare la valutazione di impatto sulla protezione dei dati (DPIA) ai sensi dell’art. 35 GDPR;
• Effettuare la consultazione preventiva dell’Autorità di controllo ai sensi dell’art. 36 GDPR. Eventuali oneri straordinari di assistenza eccedenti il normale supporto contrattuale possono essere oggetto di compenso aggiuntivo da concordarsi tra le Parti.

14. RESPONSABILITÀ E LIMITAZIONI

14.1 Ripartizione di responsabilità

Le Parti rispondono ciascuna per gli inadempimenti propri agli obblighi del GDPR e del presente DPA, ai sensi dell’art. 82 GDPR.

14.2 Limitazioni contrattuali

Le limitazioni di responsabilità previste dal Contratto Principale si applicano, per quanto compatibili, anche al presente DPA, fatti salvi i casi in cui la legge applicabile non consenta tali limitazioni (in particolare, in caso di dolo o colpa grave).

15. DURATA, MODIFICHE E RISOLUZIONE

15.1 Durata

Il presente DPA ha la stessa durata del Contratto Principale e cessa contestualmente alla cessazione di quest’ultimo, fatti salvi gli obblighi che per loro natura sopravvivono (es. obblighi di riservatezza, restituzione/cancellazione dei dati).

15.2 Modifiche

Il Responsabile può aggiornare il presente DPA, in particolare per adeguamenti a nuove normative, a linee guida dell’Autorità di controllo o del Comitato Europeo per la protezione dei dati, o all’evoluzione delle funzionalità della Piattaforma. La nuova versione è pubblicata sulla Piattaforma e portata a conoscenza del Titolare mediante un avviso visualizzato al primo accesso successivo alla pubblicazione; la Piattaforma registra la presa visione. Le modifiche sono efficaci dalla pubblicazione, fatto salvo quanto previsto per l’elenco dei Sub-responsabili (§ 7.2). Il Titolare che non intenda accettare le modifiche può recedere dal Contratto Principale secondo quanto ivi previsto. Il Titolare può a sua volta proporre modifiche per iscritto.

15.3 Risoluzione

Il presente DPA si risolve di diritto in caso di risoluzione del Contratto Principale. Restano fatti salvi gli effetti già prodotti e gli obblighi sopravvissuti alla cessazione (art. 2.3).

16. DISPOSIZIONI FINALI

16.1 Legge applicabile

Il presente DPA è regolato dalla legge italiana e, per quanto applicabile, dal diritto dell’Unione Europea.

16.2 Foro competente

Per ogni controversia relativa all’interpretazione, validità, esecuzione e risoluzione del presente DPA è competente in via esclusiva il Foro di Busto Arsizio, salva la competenza inderogabile prevista dalla legge.

16.3 Contatti

Per qualsiasi comunicazione relativa al presente DPA, le Parti possono utilizzare i seguenti recapiti: Per il Responsabile (Smart Sinergie S.r.l.): - Email: assistenza@smartsinergie.it - PEC: smart.sinergie@pec.it Per il Titolare: - Email e PEC (ove disponibile): come indicati in fase di registrazione o nel modulo di sottoscrizione.

Letto, approvato e sottoscritto. Luogo e data: ____________________, ____ / ____ / ________

ALLEGATO 1 — DESCRIZIONE DEL TRATTAMENTO

1.1 Oggetto del trattamento

Erogazione della piattaforma SaaS Smart Efficacia per la gestione integrata degli obblighi normativi in materia di sicurezza sul lavoro (D.Lgs. 81/2008), articolata in sei moduli funzionali:

• Modulo A — Organizzazione: anagrafica aziendale, sedi operative, aree omogenee, mansioni, nomine di sicurezza
• Modulo B — Lavoratori: anagrafica dei lavoratori, inquadramento contrattuale, documenti
• Modulo C — Formazione: catalogo corsi, fabbisogni formativi, edizioni, attestati, verifica efficacia
• Modulo D — DPI: catalogo dispositivi, regole di assegnazione, consegne, magazzino
• Modulo E — Manutenzioni: asset, piani di manutenzione, interventi, scadenze
• Modulo F — Visite mediche: scadenze e storico delle visite, dati del giudizio di idoneità (§ 3.4)

1.2 Finalità del trattamento

• Adempimento degli obblighi di legge in materia di salute e sicurezza sul lavoro (D.Lgs. 81/2008);
• Tracciabilità documentale ai fini di compliance normativa e di eventuali ispezioni delle autorità competenti;
• Gestione operativa della formazione obbligatoria, della dotazione DPI, della manutenzione asset, dello scadenziario delle visite mediche e dei giudizi di idoneità;
• Generazione di alert e notifiche operative agli utenti autorizzati;
• Reportistica e KPI di compliance.

1.3 Categorie di dati trattati

1.4 Categorie di Interessati

• Lavoratori dipendenti del Titolare (inclusi apprendisti, stagisti, collaboratori soggetti agli obblighi di sicurezza)
• Utenti della Piattaforma abilitati dal Titolare, con i profili da esso stabiliti, e utenti dei Partner abilitati ai sensi del § 7.5
• Professionisti esterni (RSPP esterno, Medico Competente)

1.5 Operazioni di trattamento

Le operazioni di trattamento includono: raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, uso, comunicazione mediante trasmissione, raffronto o interconnessione, limitazione, cancellazione o distruzione. Tutte le operazioni sono effettuate con strumenti automatizzati attraverso la Piattaforma.

1.6 Durata della conservazione

ALLEGATO 2 — MISURE DI SICUREZZA (ART. 32 GDPR)

Il Responsabile adotta misure tecniche e organizzative adeguate al rischio, che può aggiornare mantenendo un livello di protezione non inferiore. In particolare:

2.1 Misure tecniche

• Cifratura: comunicazioni cifrate in transito (HTTPS/TLS); dati del database e file cifrati a riposo; password conservate solo in forma cifrata non reversibile.
• Controllo degli accessi: credenziali individuali, sessioni a scadenza, limiti ai tentativi di accesso automatizzati.
• Segregazione per azienda: i dati di ciascuna azienda sono separati e accessibili solo agli utenti e ai Partner da essa abilitati, con controlli a livello di database e di applicazione; i file sono accessibili solo tramite la Piattaforma, con collegamenti temporanei.
• Sicurezza applicativa: validazione lato server dei dati ricevuti e aggiornamento delle componenti software.
• Tracciabilità: registro delle operazioni sui dati aziendali (utente, data e ora, valore precedente e nuovo) e degli scaricamenti del documento del giudizio, conservato per il periodo indicato nell’Allegato 1.
• Backup: copie periodiche del database, cifrate e conservate nell’Unione Europea per il periodo indicato nell’Allegato 1; ripristino in modalità best effort. Il Titolare effettua inoltre, con le funzioni di esportazione della Piattaforma, copie autonome dei propri dati (art. 9.5 del Contratto Principale).

2.2 Misure organizzative

• Personale: le persone autorizzate al trattamento sono vincolate alla riservatezza e accedono ai sistemi secondo il principio del minimo privilegio.
• Fornitori: i Sub-responsabili sono scelti fra fornitori che offrono garanzie adeguate e sono vincolati da accordi sul trattamento dei dati (Allegato 3).
• Incidenti: le violazioni dei dati sono gestite e notificate al Titolare secondo l’art. 10.
• Sviluppo: ambienti separati per sviluppo, prova e produzione; credenziali e chiavi gestite fuori dal codice sorgente.

ALLEGATO 3 — ELENCO DEI SUB-RESPONSABILI

Note sull’Allegato 3

Anthropic — chiarimento ruolo

Anthropic non è un Sub-responsabile in senso stretto ai sensi dell’art. 28 GDPR, in quanto non tratta Dati Personali per conto del Titolare. È riportato in elenco per piena trasparenza: lo strumento Claude di Anthropic è utilizzato dal personale di Smart Sinergie come ausilio nella scrittura del codice della Piattaforma. Nessun dato di produzione del Cliente è mai trasmesso ad Anthropic. Eventuali frammenti di codice condivisi con Claude durante lo sviluppo non contengono Dati Personali di Interessati del Cliente.

Trasparenza su sub-processor di terzo livello

Ciascuno dei Sub-responsabili elencati può a sua volta ricorrere a propri sub-fornitori (data center providers, servizi di monitoring, ecc.). Smart Sinergie ne dà conto al Titolare nei limiti delle informazioni rese pubbliche dai Sub-responsabili stessi e si impegna a vincolarli al rispetto di catene contrattuali coerenti con il GDPR.

Aggiornamento dell’elenco

L’elenco dei Sub-responsabili può essere modificato secondo la procedura di cui all’art. 7.2 del presente DPA.

Fine del documento. Smart Sinergie S.r.l. — DPA Smart Efficacia v1.5 — versione del 10 novembre 2026.