Atto di Nomina a Responsabile del Trattamento

Ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (GDPR)

Nomina del Partner Rete Efficacia (RSPP, studio di consulenza o di formazione, laboratorio o struttura sanitaria) da parte della PMI cliente

Documento: DOC-06/bis — Nomina Responsabile Partner (template riutilizzabile) Versione: v1.3 — 9 novembre 2026 Data redazione: 26 giugno 2026 Autore tecnico: Smart Sinergie S.r.l.

TRA

[Ragione sociale della PMI cliente], con sede legale in [indirizzo], P.IVA/C.F. [____], in persona del legale rappresentante [Nome Cognome], in qualità di Titolare del trattamento (di seguito il “Titolare” o la “PMI”)

E

[Ragione sociale del Partner / nome del professionista], con sede in [indirizzo], P.IVA/C.F. [____], in persona del legale rappresentante [Nome Cognome], in qualità di Responsabile del trattamento (di seguito il “Responsabile” o il “Partner”)

di seguito congiuntamente le “Parti”.

Identificazione delle Parti: il testo dell’atto è unico per tutte le nomine (template invariato). Le Parti sono identificate dai dati registrati nella Piattaforma; il documento riepilogativo di cui all’art. 2.3 riporta la ragione sociale del Titolare e del Partner e, per ciascuna accettazione, l’indirizzo email dell’utente che l’ha effettuata. I moduli e i livelli di accesso sono quelli concessi dal Titolare nella Piattaforma (art. 4.1).

PREMESSE

• Il Titolare utilizza la piattaforma SaaS Smart Efficacia, gestita da Smart Sinergie S.r.l. (di seguito “Smart Sinergie”), per la gestione degli obblighi in materia di salute e sicurezza sul lavoro (D.Lgs. 81/2008). Il trattamento svolto da Smart Sinergie quale gestore della Piattaforma è disciplinato da un distinto Accordo sul Trattamento dei Dati (DPA) ex art. 28 GDPR sottoscritto tra il Titolare e Smart Sinergie;

• Il Titolare si avvale del Partner quale RSPP esterno, consulente o formatore in materia di sicurezza sul lavoro, oppure quale laboratorio o struttura sanitaria che collabora all’organizzazione delle visite della sorveglianza sanitaria, e intende consentirgli l’accesso, tramite la Piattaforma, ai dati necessari allo svolgimento di tale incarico, limitatamente ai moduli e ai livelli di accesso da esso concessi nella Piattaforma (di seguito le “Concessioni”);

• Il Titolare può avvalersi di più Partner; ciascun Partner che accede ai dati del Titolare è nominato con un proprio atto;

• Le Parti danno atto che Smart Sinergie e il Partner sono due Responsabili distinti e autonomi del medesimo Titolare, ciascuno per il proprio trattamento: Smart Sinergie per la gestione tecnica e l’hosting della Piattaforma; il Partner per l’utilizzo dei dati ai fini del proprio incarico. Il Partner non è sub-responsabile di Smart Sinergie, né Smart Sinergie è sub-responsabile del Partner;

• Con il presente atto il Titolare nomina il Partner Responsabile del trattamento ai sensi dell’art. 28 GDPR, e le Parti ne regolano i termini.

1. DEFINIZIONI

Si applicano le definizioni dell’art. 4 GDPR. In particolare: “Dati Personali” sono i dati trattati dal Responsabile per conto del Titolare nell’esecuzione del presente atto; “Piattaforma” è Smart Efficacia, accessibile su app.smartefficacia.it; “Interessati” sono i lavoratori e gli altri soggetti i cui dati sono gestiti tramite la Piattaforma; “Concessione” è l’abilitazione, disposta dal Titolare nella Piattaforma, che consente al Partner di accedere a un modulo in sola lettura o anche in scrittura; “Partner laboratorio” è il Partner di tipo laboratorio o struttura sanitaria, cui si applica anche la Sezione L.

2. OGGETTO E DURATA

2.1 Il Titolare nomina il Partner Responsabile del trattamento dei Dati Personali necessari allo svolgimento dell’incarico del Partner, trattati esclusivamente tramite la Piattaforma e limitatamente alle Concessioni in essere.

2.2 La nomina ha efficacia dall’accettazione di entrambe le Parti secondo l’art. 2.3; la prima Concessione diventa operativa solo dopo tale accettazione. La nomina permane per la durata dell’incarico e cessa automaticamente con la revoca di tutte le Concessioni, con la cessazione dell’incarico o con la cessazione del contratto di servizio del Titolare con Smart Sinergie.

2.3 Modalità di sottoscrizione. Il presente atto è sottoscritto esclusivamente in forma elettronica, nella Piattaforma:

• dal Titolare, mediante accettazione di un proprio utente abilitato (amministratore o datore di lavoro), che dichiara di avere i poteri per impegnare il Titolare, nel momento in cui dispone la Concessione a favore del Partner;
• dal Partner, mediante accettazione di un proprio utente amministratore, prima del primo accesso ai dati del Titolare.

A fini probatori, per ciascuna delle accettazioni di cui sopra la Piattaforma registra la versione dell’atto accettata e l’impronta (hash) del suo testo, la data e l’ora, l’identità dell’utente che accetta, l’indirizzo IP e l’identificativo del browser (user-agent) e, per il Titolare, la dichiarazione dei poteri, in un registro non modificabile dagli utenti; è reso disponibile un documento riepilogativo scaricabile.

2.4 Azienda inserita dal Partner. Quando la Piattaforma lo consente, il Partner può inserire nella Piattaforma un’azienda che segue per il proprio incarico e che non è ancora cliente di Smart Sinergie, e invitarla ad attivare il proprio account, anche con un periodo di utilizzo gratuito indicato nell’invito. Con l’attivazione il Titolare diventa titolare dei dati già inseriti dal Partner e conferma con il presente atto la nomina del Partner. Se al termine del periodo gratuito il Titolare non sottoscrive un Piano, il suo account è chiuso, i dati tornano in gestione al Partner e il presente atto cessa; prima della chiusura il Titolare può chiederne l’esportazione.

3. NATURA, FINALITÀ E CATEGORIE DI DATI

3.1 Finalità. Il trattamento è svolto al solo fine dell’incarico ricevuto dal Titolare:

• per il Partner RSPP, consulente o formatore: servizi di RSPP, consulenza e formazione in materia di sicurezza sul lavoro (a titolo esemplificativo: monitoraggio delle scadenze di nomine, formazione, DPI, manutenzioni e visite mediche; supporto alla compliance ex D.Lgs. 81/2008);
• per il Partner laboratorio: supporto al Titolare nella pianificazione delle visite della sorveglianza sanitaria di cui all’art. 41 D.Lgs. 81/2008 e nella tenuta delle relative scadenze e dei giudizi di idoneità (Sezione L).

3.2 Natura. Il trattamento consiste nella consultazione dei dati dei moduli concessi e, ove la Concessione lo preveda, nell’inserimento, nella modifica e, dove la Piattaforma lo consente, nella cancellazione dei dati di tali moduli. Ogni operazione è tracciata dalla Piattaforma con autore, data e valore precedente, ed è visibile al Titolare. Il Partner non ospita i dati, che risiedono nella Piattaforma. Le categorie di Interessati e di Dati sono indicate nell’Allegato 1.

3.3 Modulo F — Visite mediche; dati del giudizio nel modulo Lavoratori. Il Partner laboratorio accede al Modulo F alle condizioni della Sezione L. Il Partner diverso dal laboratorio al quale il Titolare concede il Modulo F vi accede in sola consultazione, con le scadenze e lo storico delle visite e i dati del giudizio di idoneità, compreso il documento del giudizio. Diagnosi, esami e cartella sanitaria e di rischio restano presso il Medico Competente e non sono nella Piattaforma. Il Partner al quale il Titolare concede il modulo Lavoratori vede, in sola consultazione, l’esito e le limitazioni del giudizio di idoneità con le relative date, senza le prescrizioni né il documento del giudizio.

4. ISTRUZIONI DEL TITOLARE

4.1 Il Responsabile tratta i Dati Personali esclusivamente sulla base delle istruzioni documentate del Titolare, costituite dal presente atto, dalle Concessioni impostate nella Piattaforma (aziende, moduli e livelli di accesso) e dalle eventuali istruzioni successive impartite per iscritto. Il Titolare può modificare o revocare le Concessioni in qualsiasi momento.

4.2 Qualora il Responsabile ritenga che un’istruzione violi la normativa sulla protezione dei dati, ne informa immediatamente il Titolare per iscritto.

4.3 Il Partner non determina finalità o modalità ulteriori del trattamento e opera esclusivamente nell’ambito dell’incarico ricevuto dal Titolare. Eventuali trattamenti che il Partner svolga quale professionista o struttura autonoma — ivi inclusi propri archivi e documentazione professionale o sanitaria tenuti al di fuori della Piattaforma — restano esclusi dalla presente nomina e ricadono sotto la sua autonoma titolarità e responsabilità.

5. OBBLIGHI DEL RESPONSABILE (ART. 28(3) GDPR)

Il Responsabile si impegna a:

• trattare i Dati Personali solo su istruzione documentata del Titolare (art. 4), inclusi i trasferimenti, salvo obblighi di legge;

• garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza;

• adottare le misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, come descritte nell’Allegato 2, avvalendosi delle misure tecniche fornite dalla Piattaforma e integrandole con proprie misure organizzative e di controllo degli accessi;

• rispettare le condizioni per il ricorso a eventuali Sub-responsabili (art. 6);

• assistere il Titolare, con misure adeguate, nel dare seguito alle richieste degli Interessati (artt. 12–22 GDPR), nei limiti del proprio ruolo;

• assistere il Titolare nel garantire il rispetto degli artt. 32–36 GDPR (sicurezza, notifica di violazione, valutazione d’impatto), tenuto conto della natura del trattamento e delle informazioni disponibili;

• garantire la correttezza dei dati che inserisce o modifica nella Piattaforma in forza delle Concessioni in scrittura;

• alla cessazione, cessare ogni accesso ai Dati Personali del Titolare e non conservarne copie al di fuori della Piattaforma, salvo obblighi di legge (art. 9);

• mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi e consentire audit (art. 8).

6. SUB-RESPONSABILI

6.1 Il Responsabile non ricorre a Sub-responsabili per il trattamento oggetto del presente atto, salvo previa autorizzazione scritta del Titolare.

6.2 Resta inteso che Smart Sinergie non è Sub-responsabile del Partner: opera come Responsabile autonomo del Titolare in forza del DPA distinto.

7. MISURE DI SICUREZZA

7.1 Il Responsabile si avvale delle misure tecniche della Piattaforma (cifratura in transito e a riposo, autenticazione individuale, isolamento per azienda, tracciamento delle modifiche) e adotta proprie misure organizzative: accessi nominativi e non condivisi, revoca tempestiva degli accessi del personale cessato, divieto di estrazione o copia dei dati al di fuori delle finalità dell’incarico, formazione dei propri addetti. Il Partner abilita nella Piattaforma i propri utenti, li autorizza, li istruisce e ne risponde.

7.2 Le misure di dettaglio sono descritte nell’Allegato 2.

8. ASSISTENZA, VIOLAZIONI E AUDIT

8.1 Richieste degli Interessati. Il Responsabile inoltra senza ritardo al Titolare ogni richiesta ricevuta dagli Interessati e collabora al riscontro.

8.2 Violazione dei dati (data breach). Il Responsabile notifica al Titolare senza ingiustificato ritardo ogni violazione di Dati Personali di cui venga a conoscenza nell’ambito del proprio trattamento, con le informazioni utili al Titolare per gli adempimenti ex artt. 33–34 GDPR. Le violazioni relative all’infrastruttura della Piattaforma sono gestite da Smart Sinergie secondo il DPA distinto.

8.3 Audit. Il Responsabile consente al Titolare, con ragionevole preavviso, verifiche sul rispetto del presente atto.

9. CESSAZIONE

9.1 Alla cessazione dell’incarico o della nomina, il Responsabile cessa immediatamente ogni accesso ai dati del Titolare tramite la Piattaforma e non ne conserva copie, fatti salvi obblighi di legge.

9.2 I Dati Personali del Titolare, compresi quelli inseriti o modificati dal Partner, permangono nella Piattaforma nella disponibilità del Titolare; la loro restituzione/cancellazione complessiva è regolata dal DPA e dai T&C tra il Titolare e Smart Sinergie.

10. TRASFERIMENTI EXTRA-UE

Il trattamento avviene nell’ambito dell’Unione Europea tramite la Piattaforma (datacenter UE — Frankfurt). Il Responsabile non effettua autonomi trasferimenti extra-UE dei Dati Personali del Titolare.

11. DISPOSIZIONI FINALI

11.1 Il presente atto integra il rapporto professionale tra Titolare e Partner ai soli fini della protezione dei dati. In caso di conflitto con altri accordi in materia di protezione dati, prevale il presente atto.

11.2 Costituiscono parte integrante: la Sezione L (per il Partner laboratorio), l’Allegato 1 (Descrizione del trattamento) e l’Allegato 2 (Misure di sicurezza).

SEZIONE L — PARTNER LABORATORIO

L.1 Ambito. La presente Sezione si applica quando il Partner è un laboratorio o una struttura sanitaria. Per quanto non previsto, si applica il resto dell’atto.

L.2 Dati e operazioni. Il Partner laboratorio accede ai dati del lavoratore necessari all’organizzazione delle visite e ai dati delle visite (scadenze, storico, appuntamenti, periodicità, Medico Competente nominato dal Titolare), compresi i giudizi di idoneità, e svolge le operazioni previste dal livello di Concessione che il Titolare sceglie per ciascuna azienda fra quelli offerti dalla Piattaforma. La periodicità è modificata solo su indicazione del Medico Competente nominato dal Titolare; la scadenza è calcolata dalla Piattaforma.

L.3 Esclusioni. Il Partner laboratorio non modifica gli altri dati del lavoratore e non registra dati clinici diversi dal giudizio di idoneità.

L.4 Tracciamento. Ogni inserimento o modifica è tracciato dalla Piattaforma con indicazione dell’autore, della data e del valore precedente, ed è consultabile dagli amministratori del Titolare nel registro delle operazioni.

L.5 Perimetro soggettivo. L’accesso è riservato alla società che sottoscrive il presente atto; le utenze sono intestate esclusivamente a persone di tale società. È esclusa la comunicazione dei dati ad altre società del gruppo di cui il Partner laboratorio faccia parte, ed è escluso ogni uso dei dati per finalità proprie del Partner laboratorio, incluse finalità promozionali verso i lavoratori.

L.6 Informativa. Resta a carico del Titolare informare i lavoratori, ai sensi degli artt. 13 e 14 GDPR, della comunicazione dei dati al laboratorio da esso scelto.

Accettazione registrata nella Piattaforma (art. 2.3):

ALLEGATO 1 — DESCRIZIONE DEL TRATTAMENTO

Oggetto: consultazione e, ove concesso, inserimento, modifica e cancellazione, tramite la Piattaforma Smart Efficacia, dei dati di compliance HSE del Titolare, ai fini dell’incarico del Partner.

Durata: per la durata dell’incarico e delle Concessioni nella Piattaforma.

Categorie di Interessati: lavoratori del Titolare soggetti agli obblighi D.Lgs. 81/2008; eventuali altri soggetti funzionali alla compliance.

Categorie di Dati (nei limiti dei moduli concessi):

Dati del giudizio di idoneità (art. 9 GDPR): La Piattaforma non contiene dati clinici, salvo i dati del giudizio di idoneità alla mansione, allegati alle visite. Il Partner li tratta solo se è un laboratorio con Concessione sul modulo Visite mediche oppure, limitatamente all’esito e alle limitazioni con le relative date, se ha la Concessione sul modulo Lavoratori, oppure, in sola consultazione, se ha la Concessione sul modulo Visite mediche. Il Titolare decide quali moduli concedere al Partner e risponde del contenuto dei documenti che carica nella Piattaforma.

ALLEGATO 2 — MISURE DI SICUREZZA

Misure tecniche (fornite dalla Piattaforma — Smart Sinergie): cifratura in transito (TLS) e a riposo; autenticazione individuale; isolamento dei dati per azienda (company_id); tracciamento delle operazioni nel log di audit, non modificabile dagli utenti; datacenter UE.

Misure organizzative (a carico del Partner): - accessi nominativi individuali, non condivisi; - revoca tempestiva degli accessi del personale cessato; - principio di minimizzazione: accesso ai soli dati necessari all’incarico; - divieto di estrazione, copia o trasferimento dei dati al di fuori delle finalità e degli strumenti consentiti; - impegno di riservatezza del personale autorizzato; - sensibilizzazione/formazione degli addetti sul corretto trattamento.

Documento DOC-06/bis — Atto di Nomina a Responsabile del Partner, v1.3 (template riutilizzabile). Smart Sinergie S.r.l. — versione del 9 novembre 2026.