1. Titolare del trattamento

Il Titolare del trattamento è C&R Associates S.r.l., con sede legale in Piazza Aldo Moro n. 17, 35030 Cervarese Santa Croce (PD), C.F. e P.IVA 02027580675, REA PD-454663, codice destinatario SDI BA6ET11, sito www.cr-hse.it.

Per ogni questione relativa al trattamento dei dati: privacy@cr-hse.it. PEC: crassociates@pec.cr-hse.it. Tel. +39 348 460 3098.

2. Responsabile della protezione dei dati

Al momento della redazione il Titolare, tenuto conto di dimensioni e tipologia dei trattamenti, non ha nominato un Responsabile della protezione dei dati. Le richieste ai sensi degli articoli 15–22 GDPR vanno inviate a privacy@cr-hse.it o alla PEC societaria. Se verrà nominato un DPO, i recapiti saranno pubblicati in questa sezione.

3. Ambito di applicazione

La presente informativa si applica a:

• iscrizione, prenotazione e fruizione di corsi in aula, webinar, videoconferenza ed e-learning;
• creazione e gestione dell’account sulla piattaforma LMS;
• tracciamento del percorso formativo, test, attestati e registri;
• area riservata di aziende clienti, comprese anagrafiche dipendenti e scadenze formative;
• siti e sottodomini collegati alla formazione.

Non sostituisce l’informativa generale del sito istituzionale per consulenza engineering, privacy e IT compliance, che resta autonoma.

4. Categorie di interessati

• partecipanti ai corsi, inclusi lavoratori, preposti, dirigenti, RSPP e ASPP, RLS, addetti e professionisti;
• referenti aziendali che iscrivono il personale;
• docenti, tutor e collaboratori didattici;
• visitatori dei siti di formazione.

5. Dati trattati

5.1 Dati conferiti dall’interessato o dal datore di lavoro

• dati anagrafici: nome, cognome, codice fiscale, data e luogo di nascita, residenza o domicilio;
• contatti: e-mail, telefono e PEC;
• dati professionali: azienda, P.IVA o codice fiscale del datore, mansione, sede, inquadramento e settore ATECO;
• dati di iscrizione: corso, edizione, modalità ed eventuale finanziamento;
• dati di fatturazione e pagamento, incluso l’IBAN solo se necessario;
• firme cartacee o elettroniche su registri, verbali e questionari;
• fotografie o video d’aula soltanto con specifica informativa e consenso, o altra idonea base giuridica, mai in modo occulto.

5.2 Dati generati dalla piattaforma

• credenziali e log di accesso, compresi data, ora, indirizzo IP e user-agent;
• tracciamento LMS o SCORM: tempo di fruizione, avanzamento, moduli completati e pause;
• esiti dei test, tentativi e punteggi;
• presenze in aula o videoconferenza, ingresso, uscita e durata;
• attestati emessi e identificativo del documento.

Questi dati sono trattati perché la normativa sulla formazione in salute e sicurezza richiede identificazione del partecipante, tracciabilità e verifica dell’apprendimento. Costituiscono il registro digitale del corso.

5.3 Dati di navigazione e cookie

Possono essere trattati indirizzo IP, log tecnici e cookie indispensabili al login e alla sessione. Cookie analitici o di marketing sono attivati soltanto previo consenso tramite il banner e restano distinti dalla presente informativa. Consulta la Cookie Policy.

5.4 Categorie particolari

Di regola non sono richiesti dati sanitari. Eventuali informazioni su limitazioni alla partecipazione sono trattate soltanto se indispensabili, sulla base di un obbligo di legge o del consenso e secondo il principio di minimizzazione.

6. Finalità e basi giuridiche

Il conferimento dei dati obbligatori è necessario: in mancanza non è possibile iscrivere la persona, erogare il corso o rilasciare l’attestato.

7. Modalità del trattamento

Il trattamento avviene prevalentemente sulla piattaforma Moodle self-hosted e sui sistemi gestionali del Titolare, con misure tecniche e organizzative adeguate, tra cui accessi profilati, cifratura in transito, backup, tracciamento degli amministratori, minimizzazione e principio need-to-know. I docenti vedono soltanto le classi loro assegnate; i referenti aziendali soltanto i propri iscritti.

8. Destinatari e responsabili

I dati possono essere comunicati a, o trattati per conto del Titolare da:

• personale autorizzato del Titolare;
• fornitori della piattaforma LMS, hosting e videoconferenza nominati responsabili ai sensi dell’art. 28 GDPR;
• provider e-mail, firma elettronica, conservazione, pagamento;
• enti finanziatori o fondi interprofessionali;
• datore di lavoro committente, limitatamente a presenza, esito e attestato del dipendente;
• autorità pubbliche e organi di vigilanza, ove dovuto;
• consulenti vincolati alla riservatezza.

L’elenco aggiornato dei Responsabili è disponibile su richiesta a privacy@cr-hse.it.

9. Trasferimenti fuori dallo Spazio Economico Europeo

Se la piattaforma o un plugin trasferisce dati fuori dallo Spazio Economico Europeo, il Titolare adotta una garanzia prevista dall’articolo 46 GDPR, comprese le Clausole Contrattuali Standard e, ove necessario, misure supplementari. Il Titolare predilige fornitori con data center nello SEE; ogni trasferimento sarà coperto da una decisione di adeguatezza o da garanzie appropriate.

10. Conservazione

• dati di account e anagrafica corso: per la durata del rapporto e successivamente per i termini di legge;
• registri, tracciati, test e copie degli attestati: di regola 10 anni, salvo termini più lunghi applicabili;
• dati fiscali: 10 anni;
• log di sicurezza: 12–24 mesi, salvo incidenti;
• consensi marketing: fino alla revoca e comunque non oltre 24 mesi di inattività;
• candidature spontanee dei docenti: 24 mesi.

11. Diritti dell’interessato

L’interessato può chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opposizione ai sensi degli articoli 15–22 GDPR, nonché revocare il consenso senza pregiudicare i trattamenti precedenti. La cancellazione non è possibile quando sussiste un obbligo di conservazione.

È possibile proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma.

12. Processi decisionali automatizzati

Non sono previste decisioni automatizzate con effetti giuridici. I test a soglia idoneo o non idoneo sono regole didattiche predefinite e non costituiscono profilazione commerciale.

13. Minori

I corsi HSE sono di regola destinati a maggiorenni. L’eventuale iscrizione di minorenni, ad esempio studenti in PCTO, richiede i dati e, ove necessario, l’autorizzazione di chi esercita la responsabilità genitoriale.

14. Aggiornamenti

L’informativa può essere aggiornata in caso di nuova piattaforma, nuovi sottodomini o modifiche normative. La versione corrente è pubblicata sui siti di formazione e può essere proposta all’accettazione al primo accesso o al rinnovo delle condizioni.

15. Dichiarazione in piattaforma

In fase di registrazione o al primo accesso potrà essere richiesta la seguente dichiarazione:

“Dichiaro di avere letto l’Informativa privacy della piattaforma formativa CR-HSE e di essere consapevole che i miei dati, incluso il tracciamento della fruizione, sono trattati per erogare il corso, verificarne il completamento e rilasciare l’attestato, secondo gli obblighi di legge in materia di salute e sicurezza sul lavoro.”

L’eventuale consenso a comunicazioni su nuovi corsi e aggiornamenti formativi viene richiesto con una casella separata e non preselezionata.