Informativa sul Trattamento dei Dati Personali

Art. 1 — Titolare del Trattamento

1.1. Il Titolare del trattamento dei dati personali è Zerolab Srl, con sede legale in Via Davide Galdi n. 62/64, 84129 Salerno (SA), C.F. e P.IVA 06350780653, Italia.

1.2. Recapiti del Titolare per l'esercizio dei diritti in materia di protezione dei dati:

• E-mail: info@formachiara.it
• PEC: zerolab25@pec.it

1.3. Il Titolare ha designato un referente per la privacy, contattabile all'indirizzo: info@formachiara.it.

Art. 2 — Ambito di Applicazione

2.1. La presente Informativa si applica al trattamento dei dati personali effettuato attraverso il sito web www.formachiara.it, i relativi sottodomini e la piattaforma LMS (Learning Management System) di FormaChiara.

2.2. La presente Informativa è rivolta alle seguenti categorie di interessati:

• Enti Partner: rappresentanti legali, referenti operativi e personale autorizzato degli enti di formazione che utilizzano la Piattaforma;
• Discenti: persone fisiche iscritte ai corsi di formazione attraverso la Piattaforma per conto degli Enti Partner. Per i dati trattati nell'ambito dei corsi il titolare è l'Ente Partner che li ha iscritti e Zerolab Srl agisce come responsabile per suo conto (art. 6): l'informativa di riferimento è l'Informativa privacy per i corsisti, e la presente descrive il funzionamento della Piattaforma;
• Visitatori del sito: utenti che navigano le pagine pubbliche del sito web senza autenticazione.

2.3. La presente Informativa non si applica a siti web di terze parti eventualmente raggiungibili tramite link presenti sulla Piattaforma, per i quali si rinvia alle rispettive informative privacy.

Art. 3 — Base Giuridica del Trattamento

Il trattamento dei dati personali si fonda sulle seguenti basi giuridiche, ai sensi dell'art. 6 del Regolamento (UE) 2016/679:

• Art. 6, par. 1, lett. b) — Esecuzione contrattuale: il trattamento è necessario per l'esecuzione del contratto di servizio tra il Fornitore e l'Ente Partner, nonché per l'erogazione dei servizi LMS ai Discenti iscritti dall'Ente Partner.
• Art. 6, par. 1, lett. c) — Obbligo legale: il trattamento è necessario per adempiere agli obblighi di legge in materia di: fatturazione elettronica (D.P.R. 633/1972, D.Lgs 127/2015), conservazione dei registri formativi (D.Lgs 81/2008, Accordo Stato-Regioni del 17 aprile 2025, rep. atti n. 59/CSR), documentazione amministrativa (D.P.R. 445/2000).
• Art. 6, par. 1, lett. f) — Legittimo interesse: il trattamento è necessario per il perseguimento del legittimo interesse del Titolare alla prevenzione delle frodi e alla sicurezza informatica della Piattaforma. L'accertamento dell'effettiva fruizione dei percorsi formativi da parte dei Discenti è svolto per conto dell'Ente Partner, sulla base degli obblighi di legge che gravano sull'Ente (lett. c).
• Art. 6, par. 1, lett. a) — Consenso: solo per le statistiche di visita del sito pubblico (Google Analytics), attivate dal banner dei cookie. La Piattaforma non invia newsletter né comunicazioni promozionali.

Art. 4 — Categorie di Dati Raccolti

La Piattaforma raccoglie e tratta le seguenti categorie di dati personali:

a) Dati Anagrafici e Identificativi

Nome, cognome, codice fiscale, data e luogo di nascita. Tali dati sono obbligatori per legge ai fini dell'emissione degli attestati formativi con valore legale (D.Lgs 81/2008, D.P.R. 445/2000).

b) Dati di Contatto

Indirizzo e-mail e, se comunicato dall'Ente Partner, numero di telefono. L'e-mail è l'identificativo dell'account: serve per l'accesso, per il recupero della password, per le comunicazioni di servizio (iscrizione a un corso, attestato disponibile, scadenza dell'attestato) e per le domande al docente. Per i Discenti sono inoltre trattati, se indicati dall'Ente Partner, residenza, provincia e mansione, e l'esito della verifica della comprensione della lingua italiana ove richiesta dalla normativa.

c) Dati Aziendali (Enti Partner)

Ragione sociale, partita IVA, codice fiscale aziendale, codice destinatario SDI, indirizzo PEC, sede legale, regime fiscale, dati del legale rappresentante. Tali dati sono necessari per la fatturazione elettronica e per l'esecuzione del contratto di servizio.

d) Dati di Navigazione

Indirizzo IP, tipo di browser, sistema operativo, risoluzione dello schermo, pagine visitate, data e ora di accesso, durata della sessione. Tali dati sono raccolti automaticamente dai sistemi informatici della Piattaforma.

e) Dati di Telemetria Didattica

Per le lezioni e-learning: i minuti di studio di ciascuna lezione, misurati dal server tramite segnali periodici inviati dal browser mentre la lezione è aperta (heartbeat), le aperture e chiusure dei collegamenti di studio con data, ora e indirizzo IP, l'avanzamento in ciascuna lezione e il suo completamento; per le video-lezioni, anche la porzione effettivamente vista. Per le lezioni in videoconferenza: gli orari di ingresso e di uscita dall'aula virtuale, che alimentano il registro delle presenze. Per le lezioni in aula: la presenza risultante dal registro firmato caricato dall'Ente Partner. Per le verifiche: i tentativi dei quiz, le risposte date, il punteggio e l'esito; per le prove in aula, l'esito registrato dal docente. Tali dati sono trattati in conformità ai requisiti dell'Accordo Stato-Regioni del 17 aprile 2025 per la formazione e-learning e in videoconferenza, e sono la prova su cui si fonda l'attestato.

f) Dati di Fatturazione

Storico delle transazioni economiche, importi, date di pagamento, metodi di pagamento utilizzati. Si precisa che il Fornitore non conserva i dati delle carte di credito/debito dell'Ente Partner: tali dati sono trattati esclusivamente dal gateway di pagamento Stripe (Stripe Payments Europe, Limited — Irlanda) in conformità agli standard PCI-DSS (Payment Card Industry Data Security Standard).

Art. 5 — Finalità del Trattamento

I dati personali sono raccolti e trattati per le seguenti finalità:

1. Erogazione del servizio LMS: gestione degli account, iscrizione ai corsi, erogazione dei contenuti didattici, generazione degli attestati formativi.
2. Tracciamento didattico e certificazione formativa: monitoraggio dell'effettiva fruizione dei contenuti formativi, verifica del superamento dei requisiti minimi (tempi di visione, superamento quiz), generazione di attestati con valore legale ai sensi del D.Lgs 81/2008 e dell'Accordo Stato-Regioni.
3. Fatturazione e adempimenti fiscali: registrazione degli acquisti dell'Ente Partner e generazione della relativa ricevuta nella Piattaforma; emissione della fattura elettronica da parte di Zerolab Srl tramite il proprio gestionale e il Sistema di Interscambio (SDI); conservazione dei documenti fiscali ai sensi del D.P.R. 633/1972 e del D.Lgs 127/2015.
4. Prevenzione delle frodi e sicurezza della Piattaforma: rilevamento di accessi non autorizzati, simulazioni di fruizione, utilizzo di bot o script automatizzati, protezione dell'integrità dei dati didattici e degli attestati rilasciati.
5. Comunicazioni di servizio e assistenza tecnica: invio di notifiche relative allo stato dei corsi, scadenze, aggiornamenti della Piattaforma, assistenza tecnica.
6. Statistiche di visita (previo consenso): conteggio aggregato delle visite al sito pubblico con Google Analytics, solo se il visitatore acconsente dal banner dei cookie; il consenso si revoca dalla pagina Preferenze cookie.

Art. 6 — Ruoli nel Trattamento dei Dati

6.1. Ai fini del trattamento dei dati personali dei Discenti, i ruoli delle parti sono così definiti:

• L'Ente Partner agisce in qualità di Titolare del Trattamento (art. 4, par. 7, GDPR) per i dati dei propri Discenti, in quanto determina le finalità e i mezzi del trattamento relativamente all'erogazione della formazione.
• Zerolab Srl agisce in qualità di Responsabile del Trattamento (art. 28 GDPR) in relazione ai dati dei Discenti trattati per conto dell'Ente Partner, limitatamente alle operazioni necessarie per l'erogazione del servizio LMS.

6.2. I rapporti tra Titolare e Responsabile del Trattamento sono regolati da un apposito Accordo per il Trattamento dei Dati (Data Processing Agreement — DPA), che le parti sottoscrivono ai sensi dell'art. 28 del GDPR prima dell'inizio del trattamento, il quale disciplina:

• Natura, durata e finalità del trattamento;
• Tipologie di dati personali trattati e categorie di interessati;
• Obblighi e diritti del Titolare del Trattamento;
• Misure tecniche e organizzative di sicurezza adottate;
• Procedure di notifica in caso di violazione dei dati (data breach) ai sensi degli artt. 33 e 34 del GDPR;
• Modalità di restituzione o cancellazione dei dati al termine del rapporto contrattuale;
• Condizioni per il ricorso a sub-responsabili del trattamento.

6.3. Per i dati relativi alla gestione della Piattaforma, alla fatturazione e al rapporto contrattuale con gli Enti Partner, Zerolab Srl agisce in qualità di Titolare autonomo del trattamento.

Art. 7 — Destinatari e Comunicazione dei Dati

I dati personali possono essere comunicati alle seguenti categorie di destinatari, esclusivamente per le finalità sopra indicate e nel rispetto del principio di minimizzazione:

• Ente Partner di riferimento: i dati didattici dei Discenti (avanzamento corsi, risultati quiz, attestati rilasciati) sono accessibili all'Ente Partner che ha provveduto alla loro iscrizione, in qualità di Titolare del Trattamento.
• Fornitori di servizi tecnici: hosting dell'applicazione web (Vercel Inc., Stati Uniti); database e archivio dei file — contenuti dei corsi, registri, attestati, documenti dei docenti — (Supabase Inc., con server nell'Unione Europea, a Francoforte, su infrastruttura Amazon Web Services); server della videoconferenza meet.formachiara.it (Hetzner Online GmbH, Germania); gateway di pagamento (Stripe Payments Europe, Limited — Irlanda, con possibile trasferimento verso gli Stati Uniti sulla base delle garanzie di cui all'Art. 8); servizio di posta elettronica per le comunicazioni di servizio (Hostinger); statistiche di visita (Google Ireland Limited, solo previo consenso, vedi Cookie Policy). Tali fornitori agiscono in qualità di sub-responsabili del trattamento e sono vincolati da specifici accordi contrattuali ai sensi dell'art. 28 del GDPR.
• Chiunque verifichi un attestato: ogni attestato riporta un numero e un codice QR; chi li possiede può consultare, sulla pagina pubblica di verifica della Piattaforma, nome e cognome e codice fiscale in forma abbreviata (prime sei lettere e ultime due) dell'intestatario, il corso, la data di emissione, la scadenza, le ore frequentate e l'esito, oppure l'indicazione che l'attestato è stato annullato. Serve a chi riceve il documento (datore di lavoro, organo di vigilanza) per accertarne l'autenticità; la ricerca per codice fiscale non è consentita.
• Professionisti e consulenti: commercialista e consulente fiscale per gli adempimenti in materia di fatturazione e contabilità, vincolati dal segreto professionale.
• Autorità competenti: ove previsto dalla legge o su richiesta delle autorità giudiziarie, amministrative o di vigilanza (es. Ispettorato del Lavoro, Guardia di Finanza, Garante per la Protezione dei Dati Personali).

I dati personali non sono in alcun caso venduti, ceduti o comunicati a terzi per finalità di marketing, profilazione commerciale o per scopi diversi da quelli sopra indicati.

Art. 8 — Trasferimento dei Dati al di Fuori dell'Unione Europea

8.1. Alcuni dei fornitori di servizi tecnici utilizzati dalla Piattaforma (in particolare i servizi di hosting e infrastruttura cloud) possono avere sede o operare tramite server situati al di fuori dello Spazio Economico Europeo (SEE), in particolare negli Stati Uniti d'America.

8.2. In tali casi, il trasferimento dei dati personali avviene in conformità al Capo V del GDPR (artt. 44-49) e sulla base delle seguenti garanzie:

• Decisioni di adeguatezza: ove il Paese destinatario sia stato oggetto di una decisione di adeguatezza da parte della Commissione Europea (es. EU-US Data Privacy Framework per gli Stati Uniti), il trasferimento avviene sulla base di tale decisione ai sensi dell'art. 45 del GDPR.
• Clausole Contrattuali Standard (SCCs): in assenza di una decisione di adeguatezza, il trasferimento è garantito mediante la sottoscrizione delle Clausole Contrattuali Tipo adottate dalla Commissione Europea ai sensi dell'art. 46, par. 2, lett. c) del GDPR, integrate da una valutazione d'impatto sul trasferimento (Transfer Impact Assessment — TIA).

8.3. L'elenco aggiornato dei sub-responsabili del trattamento e dei Paesi di destinazione dei dati è pubblicato nella pagina Sub-responsabili; per domande si può scrivere a info@formachiara.it.

Art. 9 — Periodo di Conservazione dei Dati

I dati personali sono conservati per il tempo strettamente necessario al perseguimento delle finalità per cui sono stati raccolti, nel rispetto del principio di limitazione della conservazione (art. 5, par. 1, lett. e) del GDPR). In particolare:

• Dati didattici e attestati formativi: per i corsi disciplinati dall'Accordo Stato-Regioni del 17 aprile 2025, conservati per 10 (dieci) anni dalla fine del corso, il periodo che l'Accordo prescrive per il fascicolo del corso (Parte I, punto 7). Per gli altri corsi, per il periodo stabilito dall'Ente Partner titolare in base alla disciplina applicabile e comunque non oltre 10 anni dalla fine del corso, salvo obblighi di legge più lunghi o la difesa di un diritto in un contenzioso in corso.
• Dati di fatturazione e documentazione fiscale: conservati per 10 (dieci) anni ai sensi degli obblighi di conservazione fiscale e tributaria previsti dalla normativa italiana (art. 2220 c.c., D.P.R. 633/1972).
• Dati di telemetria didattica: fanno parte della documentazione del corso (registri, tracciati di fruizione, tentativi di verifica) e seguono la stessa conservazione degli attestati, 10 (dieci) anni dalla fine del corso, perché sono la prova su cui l'attestato si regge (Accordo Stato-Regioni del 17 aprile 2025, Parte I, punto 7).
• Log tecnici dei fornitori di hosting (accessi ai server, indirizzi IP): conservati dai rispettivi fornitori per i periodi previsti dalle loro condizioni, di norma non superiori a 24 (ventiquattro) mesi, salvo esigenze di indagini su incidenti di sicurezza o frodi in corso.
• Account: l'account di un Discente che ha conseguito un attestato è conservato per tutta la durata di conservazione dell'attestato, perché ne è l'anagrafica; su richiesta può essere disattivato, così che non consenta più l'accesso. Gli account senza attestati e senza documentazione formativa da conservare possono essere cancellati su richiesta dell'Ente Partner o dell'interessato.
• Statistiche di visita: conservate da Google per un massimo di 24 mesi, e comunque cessano alla revoca del consenso.

Art. 10 — Diritti dell'Interessato

Ai sensi degli articoli 15-22 del Regolamento (UE) 2016/679, l'interessato ha il diritto di esercitare in qualsiasi momento i seguenti diritti:

• Diritto di accesso (Art. 15): ottenere la conferma dell'esistenza di dati personali che lo riguardano e riceverne copia in formato intelligibile.
• Diritto di rettifica (Art. 16): ottenere la correzione di dati personali inesatti o l'integrazione di dati incompleti.
• Diritto alla cancellazione — "diritto all'oblio" (Art. 17): ottenere la cancellazione dei dati personali, salvo che il trattamento sia necessario per l'adempimento di un obbligo legale o per la conservazione di registri formativi obbligatori ai sensi del D.Lgs 81/2008.
• Diritto di limitazione del trattamento (Art. 18): ottenere la limitazione del trattamento in caso di contestazione dell'esattezza dei dati, illiceità del trattamento, o opposizione alla cancellazione.
• Diritto alla portabilità dei dati (Art. 20): ricevere i dati personali in formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli ad altro titolare del trattamento senza impedimenti.
• Diritto di opposizione (Art. 21): opporsi al trattamento dei dati personali basato sul legittimo interesse.
• Diritto di revocare il consenso (Art. 7, par. 3): dove il trattamento si basa sul consenso (statistiche di visita), revocarlo in qualsiasi momento dalla pagina Preferenze cookie, senza pregiudicare quanto fatto prima della revoca.
• Decisioni automatizzate (Art. 22): la Piattaforma calcola in automatico tempi di studio e punteggi dei quiz e genera l'attestato quando i requisiti del corso sono soddisfatti. Le presenze in aula e l'esito delle prove svolte davanti al docente sono invece registrati dall'Ente, che è il titolare e può annullare un attestato. L'interessato può chiedere all'Ente il riesame del proprio caso da parte di una persona, esprimere la propria opinione e contestare l'esito.
• Diritto di reclamo all'autorità di controllo: proporre reclamo al Garante per la Protezione dei Dati Personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it), qualora ritenga che il trattamento dei propri dati violi il Regolamento (UE) 2016/679.

Modalità di esercizio dei diritti: i Discenti, per i dati trattati nell'ambito dei corsi, si rivolgono all'Ente Partner che li ha iscritti, titolare di quei dati; le richieste che arrivano a Zerolab Srl sono inoltrate senza ritardo all'Ente, che Zerolab assiste nella risposta. Per tutti gli altri trattamenti le richieste possono essere inoltrate al Titolare tramite:

• E-mail: info@formachiara.it
• PEC: zerolab25@pec.it

Il Titolare fornirà riscontro entro 30 (trenta) giorni dalla ricezione della richiesta, prorogabili di ulteriori 60 giorni nei casi di complessità o molteplicità delle richieste, previa comunicazione motivata all'interessato (art. 12, par. 3, GDPR).

Art. 11 — Misure di Sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio, ai sensi dell'art. 32 del GDPR, tra cui:

• Crittografia dei dati in transito (HTTPS/TLS) su tutte le pagine e le chiamate della Piattaforma;
• Crittografia dei dati a riposo (at-rest encryption) del database e dell'archivio dei file, garantita dal fornitore dell'infrastruttura;
• Password conservate solo in forma cifrata non reversibile (hash);
• Tre aree separate (amministratore, ente, discente) con controlli di accesso basati sul ruolo, applicati dal server a ogni richiesta;
• Archivio dei contenuti, dei registri e degli attestati non accessibile dall'esterno: i file sono serviti solo a chi ne ha diritto, tramite collegamenti a scadenza;
• Tracciatura dei collegamenti di studio (data, ora, indirizzo IP) e un solo collegamento attivo per volta per ciascun discente;
• Backup automatici del database a cura del fornitore dell'infrastruttura;
• Aula virtuale su server dedicato, con accesso alle stanze consentito solo tramite biglietto firmato dalla Piattaforma;
• Gestione delle violazioni dei dati secondo gli artt. 33 e 34 del GDPR (notifica al Garante entro 72 ore e agli interessati ove necessario).

Art. 12 — Informativa sui Cookie

L'utilizzo dei cookie e di altri strumenti di tracciamento da parte della Piattaforma è disciplinato dall'Informativa Cookie (Cookie Policy), consultabile alla pagina dedicata: /cookie-policy. Tale informativa è redatta in conformità al Provvedimento del Garante per la Protezione dei Dati Personali del 10 giugno 2021 ("Linee guida cookie e altri strumenti di tracciamento") e alla Direttiva 2002/58/CE (ePrivacy).

Art. 13 — Modifiche all'Informativa

13.1. Il Titolare si riserva il diritto di aggiornare e modificare la presente Informativa in qualsiasi momento, in ragione di modifiche normative, organizzative o tecnologiche.

13.2. Le modifiche saranno comunicate agli utenti registrati tramite apposita notifica nella Dashboard della Piattaforma e/o via e-mail. La versione aggiornata dell'Informativa sarà sempre disponibile alla pagina /privacy.

13.3. Si invitano gli utenti a consultare periodicamente la presente Informativa per verificare eventuali aggiornamenti.

Riferimenti Normativi

La presente Informativa è redatta in conformità alle seguenti disposizioni normative: Regolamento (UE) 2016/679 (GDPR) • D.Lgs 196/2003 (Codice in materia di protezione dei dati personali) • D.Lgs 101/2018 (adeguamento del Codice Privacy al GDPR) • D.Lgs 81/2008 (Testo Unico Sicurezza sul Lavoro) • Accordo Stato-Regioni del 17 aprile 2025 (rep. atti n. 59/CSR) • D.P.R. 445/2000 (Documentazione Amministrativa) • D.P.R. 633/1972 (IVA) • D.Lgs 127/2015 (Fatturazione Elettronica) • Provvedimento del Garante Privacy del 10/06/2021 (Linee guida cookie) • Direttiva 2002/58/CE (ePrivacy).