Informativa sul trattamento dei dati personali

Utenti della piattaforma Privacy Doodles

Ultimo aggiornamento: 21 settembre 2026

Questa informativa è rivolta alle persone che accedono alla piattaforma Privacy Doodles perché autorizzate dall'organizzazione per cui lavorano: referenti privacy, responsabili di funzione, dipendenti e collaboratori inseriti fra gli autorizzati al trattamento. Ti spiega quali dati personali che ti riguardano si trovano nella piattaforma, perché ci sono, chi può vederli, per quanto tempo restano e come puoi far valere i tuoi diritti.

1. Chi sono e con quale ruolo tratto i tuoi dati

Sono l'Avv. Massimo Bacci, con studio in Via Valentini 23/a, 59100 Prato (PO) (C.F. BCCMSM82R08A564P, P. IVA 06212440488). Mi occupo di consulenza in materia di protezione dei dati personali e di sicurezza delle informazioni per le aziende mie clienti e sono l'ideatore e il gestore della piattaforma Privacy Doodles.

Per tutto ciò che riguarda la piattaforma e i tuoi dati puoi scrivermi a info@privacydoodles.com; se preferisci la posta elettronica certificata, massimobacci@pec.avvocati.prato.it. Telefono +39 0574 870551.

Di regola non tratto i tuoi dati come titolare. Li tratto su istruzione dell'organizzazione per la quale lavori: è lei il titolare del trattamento, cioè il soggetto che decide quali dati inserire nella piattaforma, per quali scopi e per quanto tempo. Rispetto a quei dati io sono responsabile del trattamento ai sensi dell'art. 28 del GDPR: agisco soltanto secondo le istruzioni documentate del titolare, sulla base di un accordo scritto che disciplina il trattamento e mi vincola alla riservatezza e alla sicurezza dei dati.

Quando invece opero per la tua organizzazione anche come Data Protection Officer (DPO), il mio ruolo cambia: in quel caso determino insieme a lei alcune finalità del trattamento e decido le modalità con cui i dati sono trattati nella piattaforma. Sono quindi contitolare del trattamento insieme all'organizzazione, ai sensi dell'art. 26 del GDPR.

Contenuto essenziale dell'accordo di contitolarità (quando sono DPO)

L'organizzazione resta il punto di riferimento del rapporto con te: decide chi autorizzare, quali dati inserire e quali obblighi formativi assegnare, e risponde della loro esattezza. Io determino le modalità tecniche di funzionamento della piattaforma, i contenuti e le modalità di misurazione della formazione, curo la sicurezza del servizio e svolgo i compiti previsti dall'art. 39 del GDPR. Ciascuno risponde dei trattamenti che decide. Puoi esercitare i tuoi diritti indifferentemente nei confronti dell'organizzazione o nei miei confronti (art. 26, par. 3 GDPR): in ogni caso riceverai una risposta.

Chi è il titolare nel tuo caso. È l'organizzazione (azienda, studio o ente) che ti ha autorizzato ad accedere alla piattaforma. I suoi recapiti sono indicati nella homepage della piattaforma stessa e nell'informativa che ti ha consegnato come lavoratore o collaboratore; se ha nominato un DPO, vi trovi anche i suoi.

2. Quali dati personali sono trattati

Nome e cognome.
Indirizzo email: è lo stesso con cui accedi, perché l'ingresso nella piattaforma avviene tramite un link personale inviato a quell'indirizzo.
Ruolo all'interno dell'organizzazione: reparto, mansione, responsabilità, trattamenti e strumenti per i quali sei autorizzato ed eventuali incarichi particolari (per esempio la designazione ad amministratore di sistema).
Stato della formazione: corsi e pillole assegnati e frequentati, tempo di visione delle lezioni, esiti dei test, punti acquisiti, date di completamento e di scadenza, attestati generati.
Comunicazioni inviate dalla piattaforma: il registro delle email della formazione recapitate al tuo indirizzo (tipo di messaggio e data), che serve a non inviarti due volte lo stesso avviso e a dimostrare che l'informazione ti è stata data.
Dati della firma elettronica: quando firmi un documento nella piattaforma (per esempio la lettera di autorizzazione al trattamento) restano registrati il tuo nome, la data e l'ora, l'indirizzo IP e il tipo di dispositivo da cui hai firmato. Sono gli elementi che rendono la firma riferibile a te.

Non sono richiesti, e non devono essere inseriti nella piattaforma, dati appartenenti alle categorie particolari dell'art. 9 del GDPR (per esempio dati sulla salute) né dati relativi a condanne penali e reati.

3. Da dove arrivano

Il nome, l'indirizzo email e le informazioni sul tuo ruolo non li raccolgo da te: me li comunica, o li inserisce direttamente nella piattaforma, l'organizzazione per la quale lavori. I dati sulla formazione, invece, si generano mano a mano che usi la piattaforma.

4. Perché sono trattati (finalità)

Consentire al titolare di gestire autorizzazioni, ruoli e responsabilità del personale nell'ambito di un sistema di gestione della privacy e/o della sicurezza delle informazioni.
Garantire la formazione del personale in materia di protezione dei dati personali, cyber awareness e AI literacy.
Monitorare il livello di formazione del personale e verificare l'assolvimento degli obblighi formativi.

5. Su quali basi giuridiche

L'esecuzione del contratto di lavoro (art. 6, par. 1, lett. b del GDPR): l'attribuzione di ruoli, autorizzazioni e responsabilità fa parte del rapporto di lavoro, e mantenere un livello adeguato di formazione in queste materie — per chi tratta dati personali, utilizza strumenti informatici o sistemi di intelligenza artificiale — è parte integrante delle mansioni lavorative.
L'adempimento di obblighi di legge a cui è soggetta la tua organizzazione (art. 6, par. 1, lett. c del GDPR): gli artt. 29, 32 e 39 del GDPR, che impongono al titolare di istruire e formare chi agisce sotto la sua autorità; l'art. 4 del Regolamento (UE) 2024/1689 (AI Act), che impone un livello adeguato di alfabetizzazione in materia di intelligenza artificiale; e, se la tua organizzazione è un soggetto essenziale o importante, la direttiva NIS2 e il d.lgs. 4 settembre 2024, n. 138, che richiedono formazione in materia di sicurezza informatica.

6. Che cosa succede se i dati non ci sono

Questi dati sono necessari e non possono essere omessi: senza il nome e l'indirizzo email non è possibile creare il tuo accesso né inviarti il link con cui entri; senza le informazioni sul ruolo l'organizzazione non può attribuirti le autorizzazioni al trattamento né assegnarti la formazione adeguata alle tue mansioni; senza i dati sulla formazione non è possibile dimostrare l'assolvimento degli obblighi formativi previsti dalla legge.

La loro mancanza impedisce quindi l'utilizzo della piattaforma e può impedire all'organizzazione di affidarti compiti che comportano il trattamento di dati personali o l'uso di determinati strumenti informatici.

7. Chi può vedere i tuoi dati

Tu, in qualsiasi momento, accedendo alla piattaforma: vi trovi la tua scheda e lo stato della tua formazione.
Gli altri utenti della tua organizzazione no: ciascuno vede soltanto i propri dati. Anche quando l'organizzazione attiva la classifica della formazione, a ciascuno è mostrata solo la propria posizione, mai i punti o i risultati dei colleghi.
La tua organizzazione: le persone incaricate come referenti accedono ai dati di tutti gli autorizzati, compresi quelli sulla formazione, e possono esportarli. È il titolare del trattamento, e la piattaforma è lo strumento con cui gestisce il proprio sistema di gestione.
Io, in qualità di consulente e gestore della piattaforma, su istruzione dell'organizzazione, oppure in qualità di contitolare quando opero come suo DPO.
I fornitori tecnici di cui mi avvalgo, nominati responsabili (o sub-responsabili) del trattamento e vincolati da contratto: Hostinger, che ospita i server su cui gira la piattaforma, situati a Francoforte (Germania), e Qboxmail, che gestisce l'invio delle email, con server situati in Italia.

I dati di ciascuna organizzazione sono tenuti separati da quelli delle altre: chi accede per conto di un'altra organizzazione non può in alcun caso vedere i tuoi.

8. Trasferimenti fuori dall'Unione europea

Nessuno. I dati trattati dalla piattaforma Privacy Doodles restano all'interno dello Spazio economico europeo — i server sono in Germania e in Italia — e non vengono comunicati dalla piattaforma a destinatari situati in Paesi terzi.

9. Per quanto tempo restano nella piattaforma

I dati restano nella piattaforma per la durata del tuo rapporto con l'organizzazione e per la durata del contratto fra l'organizzazione e Privacy Doodles. Quando uno dei due viene meno, i dati vengono cancellati e non permangono nella piattaforma, se non nelle copie di sicurezza (backup) per un massimo di 30 giorni, dopodiché spariscono anche da lì.

Resta ferma la conservazione che l'organizzazione, in qualità di titolare, effettua per proprio conto e fuori dalla piattaforma — per esempio i documenti che ha scaricato: lettere di autorizzazione firmate, attestati di formazione — secondo i tempi indicati nella sua informativa.

10. Decisioni automatizzate e profilazione

La piattaforma non adotta decisioni automatizzate che producano effetti giuridici nei tuoi confronti o che incidano in modo analogamente significativo sulla tua persona, e non effettua profilazione. I punti e i livelli della formazione sono soltanto un modo per rappresentare lo stato di avanzamento dei corsi: non producono di per sé alcun effetto. Le valutazioni che l'organizzazione trae dallo stato della formazione, come per ogni altro aspetto del rapporto di lavoro, restano decisioni di persone.

11. Come sono protetti e quali cookie sono usati

L'accesso avviene senza password, tramite un link personale, usa e getta e a tempo, inviato al tuo indirizzo email; chi ricopre il ruolo di referente può attivare in più la verifica in due passaggi. I dati di ciascuna organizzazione sono separati anche a livello di banca dati, i documenti allegati non sono mai raggiungibili da link pubblici e il traffico è cifrato.

La piattaforma usa soltanto cookie tecnici, necessari a tenere aperta la sessione e a ricordare le tue scelte di navigazione: non usa cookie di profilazione né strumenti di statistica di terze parti.

12. I tuoi diritti

Il GDPR (artt. 15-22) ti riconosce i diritti elencati qui sotto. Puoi esercitarli in qualsiasi momento, gratuitamente e senza particolari formalità.

Diritto di accesso

Hai il diritto di sapere se è in corso un trattamento di dati personali che ti riguardano e conoscere: l'origine dei dati; le categorie di dati trattati; i destinatari; le finalità del trattamento; l'esistenza di un processo decisionale automatizzato, compresa la profilazione; il periodo di conservazione dei dati.

Diritto di rettifica

Se i tuoi dati non sono corretti, aggiornati o completi, hai diritto a chiederne la rettifica e/o l'integrazione e puoi pretendere che il titolare lo comunichi ai destinatari a cui ha trasferito i dati, salvo che ciò sia impossibile o richieda uno sforzo sproporzionato.

Diritto di cancellazione

Hai diritto alla cancellazione dei tuoi dati nei casi previsti dall'art. 17 GDPR e comunque quando: non sono più necessari alla finalità per cui sono stati raccolti; hai revocato il consenso e non esiste un'altra valida base giuridica; ti sei opposto al trattamento e non esiste un interesse prevalente del titolare; i dati sono trattati illecitamente; la cancellazione è necessaria per adempiere ad un obbligo giuridico. Hai diritto a che il titolare lo comunichi ad eventuali destinatari, salvo che ciò sia impossibile o richieda uno sforzo sproporzionato.

Diritto alla limitazione dei trattamenti

Hai diritto di chiedere la limitazione del trattamento dei tuoi dati quando: ne contesti l'esattezza, per il periodo necessario alla verifica; se il trattamento è illecito ma non vuoi che i dati siano cancellati; quando il titolare non ne ha più bisogno ma tu vuoi conservarli per esercitare un diritto in giudizio; quando ti sei opposto al trattamento, in attesa della verifica della prevalenza dell'interesse del titolare. Hai diritto a che il titolare lo comunichi ad eventuali destinatari, salvo che ciò sia impossibile o richieda uno sforzo sproporzionato.

Diritto alla portabilità

Quando il trattamento dei dati si basa sul tuo consenso o è necessario per eseguire un contratto e viene effettuato con mezzi automatizzati, hai diritto a ricevere i tuoi dati in un formato strutturato di uso comune o chiedere che questi vengano trasmessi ad un altro titolare, se tecnicamente fattibile.

Diritto di opposizione

Puoi opporti ai trattamenti dei tuoi dati personali effettuati sulla base del legittimo interesse del titolare o di un interesse pubblico, per motivi connessi alla tua situazione particolare. Puoi opporti ai trattamenti effettuati per finalità di marketing senza necessità di motivare l'opposizione.

Revoca del consenso

Puoi revocare in qualsiasi momento il consenso prestato al trattamento dei tuoi dati.

Diritto di reclamo

In caso tu ritenga violati i tuoi diritti, puoi depositare un reclamo presso l'Autorità Garante per la Protezione dei Dati Personali.

13. Come esercitare i diritti

Per esercitare i tuoi diritti puoi rivolgerti direttamente all'organizzazione per la quale sei iscritto alla piattaforma, che è il titolare del trattamento; se opero per la tua organizzazione come Data Protection Officer, puoi rivolgerti anche a me.

In ogni caso puoi scrivere ai miei recapiti (info@privacydoodles.com): se la richiesta riguarda decisioni che spettano al titolare, la trasmetterò all'organizzazione.

La risposta arriva entro un mese dalla richiesta; in casi di particolare complessità il termine può essere prorogato di due mesi, dandotene comunicazione motivata.

Se ritieni che il trattamento dei tuoi dati violi il Regolamento, puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) oppure ricorrere all'autorità giudiziaria.

14. Aggiornamenti di questa informativa

Questa informativa può essere aggiornata nel tempo, per esempio se cambiano i fornitori tecnici o le funzioni della piattaforma. La versione in vigore è sempre disponibile a questo indirizzo, raggiungibile dalla pagina di accesso e dal menù della piattaforma; la data dell'ultimo aggiornamento è indicata in cima.

← Torna alla piattaforma