Informativa privacy

1. Titolare del trattamento

Se nominato, indicare anche il Responsabile della protezione dei dati (RPD/DPO), con i relativi recapiti: [NOME/CONTATTO DPO, se applicabile].

2. Quali dati vengono trattati

Il Portale OSS è un portale riservato destinato agli utenti autorizzati. In relazione alle funzionalità effettivamente utilizzate, possono essere trattati:

• dati identificativi e organizzativi dell'utente, quali nome, username, ruolo, classificazione come utente interno o esterno e l'eventuale indirizzo email inserito volontariamente nel profilo;
• dati necessari all'autenticazione; la password è memorizzata dal sistema in forma di hash e non in chiaro;
• dati relativi agli accessi e alle operazioni effettuate, inclusi gli eventi di audit e sicurezza;
• dati relativi alla lettura delle comunicazioni, inclusa la data e l'ora della prima lettura;
• dati relativi alle notifiche push, inclusi gli identificativi tecnici della subscription del browser/dispositivo e la relativa data di registrazione;
• eventuali contenuti e allegati inseriti nel portale nell'ambito delle comunicazioni e dei turni.
• richieste organizzative relative a ferie, permessi e turni oppure, per i collaboratori esterni, disponibilità facoltative a coprire turni e relativo stato organizzativo (disponibile, contattato, turno assegnato o non più disponibile).

Il portale deve essere utilizzato evitando di inserire dati personali eccedenti rispetto alle finalità operative. In particolare, non devono essere caricati dati sanitari o altre categorie particolari di dati se non strettamente necessari, autorizzati e gestiti secondo le procedure dell'ente.

3. Finalità del trattamento

• gestire l'autenticazione e l'accesso alle aree riservate;
• organizzare e comunicare turni, disposizioni e informazioni operative;
• distinguere gli utenti interni dagli utenti esterni, escludendo questi ultimi dalle raccolte ferie e permessi e consentendo al mittente di scegliere se una comunicazione è rivolta agli interni, a tutti gli account attivi oppure a persone selezionate;
• raccogliere separatamente le disponibilità facoltative dei collaboratori esterni e supportare il Coordinatore nella preparazione dei turni;
• registrare le letture delle comunicazioni per esigenze organizzative e di tracciabilità;
• gestire le notifiche push richieste dall'utente sul singolo dispositivo;
• inviare via email, quando selezionato dal mittente, una copia personale delle comunicazioni operative, un avviso protetto relativo alla pubblicazione e all'aggiornamento dei turni oppure un collegamento temporaneo richiesto dall’utente per recuperare la password;
• garantire sicurezza, prevenire abusi e verificare gli accessi e le operazioni amministrative;
• adempiere agli obblighi di legge e agli eventuali obblighi contrattuali applicabili.

4. Base giuridica

La base giuridica deve essere individuata dal Titolare in relazione al rapporto con gli utenti e alle singole finalità. Per un portale interno destinato a personale autorizzato possono rilevare, a seconda dei trattamenti, l'esecuzione del rapporto contrattuale, l'adempimento di obblighi di legge e il legittimo interesse del Titolare alla gestione organizzativa e alla sicurezza dei sistemi.

Per funzionalità opzionali, come le notifiche push e l'invio delle comunicazioni all'indirizzo email indicato dall'utente, il Titolare deve individuare la specifica base giuridica applicabile e le modalità di revoca. L'indirizzo email può essere rimosso in qualsiasi momento dalla pagina Profilo.

5. Modalità del trattamento e sicurezza

I dati sono trattati con strumenti informatici e mediante misure tecniche e organizzative adeguate al rischio, secondo i principi di minimizzazione, integrità, riservatezza, disponibilità e protezione dei dati fin dalla progettazione.

Il Portale utilizza autenticazione, sessioni protette, protezioni CSRF, controllo degli accessi per ruolo, password memorizzate tramite funzioni di hashing e registrazione degli eventi amministrativi e di sicurezza. Anche i collegamenti per il recupero della password sono memorizzati in forma non direttamente utilizzabile, hanno durata limitata e possono essere usati una sola volta.

6. Destinatari e fornitori

I dati possono essere accessibili, nei limiti delle rispettive funzioni, al personale autorizzato del Titolare e ai soggetti che svolgono attività tecniche o di manutenzione per conto del Titolare, ove nominati responsabili del trattamento ai sensi dell'art. 28 GDPR.

Per le notifiche web push, il browser/dispositivo può utilizzare infrastrutture di terzi (ad esempio servizi Apple o Google/FCM, a seconda del browser e della piattaforma). Gli identificativi tecnici necessari alla consegna delle notifiche sono gestiti dal portale e utilizzati esclusivamente per tale funzionalità.

Quando viene richiesto l'invio anche via email, il messaggio è trasmesso tramite il server di posta configurato dal Titolare. Ogni destinatario riceve un messaggio individuale e non può vedere gli indirizzi degli altri utenti.

7. Diritti dell'interessato

Nei casi previsti dagli artt. 15 e seguenti del GDPR, l'interessato può chiedere al Titolare l'accesso ai propri dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità ove applicabile e può opporsi ai trattamenti basati sul legittimo interesse. Può inoltre revocare un eventuale consenso senza pregiudicare la liceità del trattamento precedente alla revoca.

Le richieste possono essere rivolte a luca.lancerotto@promo-lavoro.it. Resta salvo il diritto di proporre reclamo al Garante per la protezione dei dati personali.

8. Aggiornamenti

La presente informativa può essere aggiornata in caso di modifiche al portale, ai trattamenti o alla normativa applicabile. La versione vigente è resa disponibile in questa pagina.

Ultimo aggiornamento: 21/08/2026