Informativa Privacy
Informativa sul trattamento dei dati personali
ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 — Versione 2.0 in vigore dal 25 settembre 2026
1. Titolare del trattamento
| Ragione sociale | CE4U S.r.l. – società a socio unico (brand commerciale RAVENG) |
| Sede legale | Via G. Rossini 29/2, 37012 Bussolengo (VR), Italia |
| C.F., P.IVA e Registro Imprese di Verona | 04731920239 – REA VR-444364 – Capitale sociale € 10.000,00 i.v. |
| Legale rappresentante | Amministratrice Unica pro tempore |
| PEC | posta@pec.ce4u.it |
| Contatto privacy | privacy@raveng.it |
CE4U non ha designato un Responsabile della protezione dei dati (DPO): la designazione è in corso di valutazione e, se effettuata, i dati di contatto saranno pubblicati qui.
2. Due ruoli diversi: CE4U titolare e CE4U responsabile
- CE4U è titolare dei dati degli utenti della piattaforma (account, fatturazione, sicurezza, assistenza).
- CE4U è responsabile del trattamento (art. 28 GDPR) per i dati che i clienti (datori di lavoro, RSPP, consulenti) inseriscono nella piattaforma per redigere e gestire i DVR e gli altri documenti: dati di lavoratori, preposti, dirigenti, medico competente, fornitori. Per questi dati il titolare è il cliente; il rapporto è regolato dall'accordo sul trattamento dei dati (DPA) incorporato nei Termini di servizio. I lavoratori ricevono l'informativa dal proprio datore di lavoro.
3. Dati trattati
- Dati dell'utente: nome, cognome, email, telefono, organizzazione, ruolo; credenziali (password conservata solo come hash) e dati di autenticazione, anche tramite SPID o SAML; log di accesso e di utilizzo (IP, data e ora, operazioni).
- Dati inseriti dai clienti (CE4U responsabile): anagrafiche e mansioni dei lavoratori, formazione, DPI, infortuni e near miss; dati relativi alla sorveglianza sanitaria (giudizi di idoneità, prescrizioni e limitazioni), che sono dati relativi alla salute (art. 9 GDPR) e vanno inseriti solo nella misura prevista dal D.Lgs. 81/2008, senza diagnosi né referti; documenti aziendali caricati.
- Dati di pagamento: trattati direttamente da Stripe (vedi § 6). CE4U non memorizza i dati delle carte.
4. Finalità, basi giuridiche e conservazione (dati di cui CE4U è titolare)
| Finalità | Base giuridica | Conservazione |
|---|---|---|
| Registrazione, erogazione del servizio, assistenza | Contratto (art. 6, par. 1, lett. b) | Durata del contratto; poi 12 mesi per eventuali contestazioni |
| Fatturazione e obblighi fiscali | Obbligo legale (lett. c) | 10 anni (art. 2220 c.c.) |
| Sicurezza, log, prevenzione degli abusi | Legittimo interesse (lett. f) | 12 mesi |
| Comunicazioni di servizio (scadenze, aggiornamenti) | Contratto (lett. b) | Durata del contratto |
| Tutela dei diritti in giudizio | Legittimo interesse (lett. f) | Fino alla prescrizione |
I dati inseriti dai clienti sono conservati per la durata del contratto e, alla cessazione, restituiti al cliente o cancellati entro 90 giorni, salvi gli obblighi di legge del titolare.
5. Funzioni di intelligenza artificiale
La piattaforma è un sistema di IA fornito da CE4U (art. 3, n. 3, Reg. UE 2024/1689). Le funzioni di IA (analisi dei documenti, proposta di rischi e misure, copilot, chat sul DVR, assistente vocale, radar normativo) usano modelli di terzi: OpenAI (GPT), Anthropic (Claude) e, se configurato, Google (Gemini). I contenuti necessari alla richiesta sono trasmessi al fornitore tramite API commerciali. Secondo i termini dei fornitori, i dati inviati tramite API non sono usati per addestrare i modelli. CE4U non addestra modelli con i dati dei clienti.
- Le proposte dell'IA sono bozze: la valutazione dei rischi resta un obbligo non delegabile del datore di lavoro (art. 17 D.Lgs. 81/2008), che la verifica e la approva.
- Non sono effettuate decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici sulle persone (art. 22 GDPR), né valutazioni di singoli lavoratori.
- Minimizzazione: non includere dati sanitari nominativi nei documenti da analizzare con l'IA. CE4U sta introducendo la pseudonimizzazione automatica dei dati identificativi prima dell'invio ai fornitori.
6. Destinatari e sub-responsabili
| Soggetto | Servizio | Sede |
|---|---|---|
| Aruba S.p.A. | Hosting e conservazione dei dati | Italia |
| OpenAI, L.L.C. / OpenAI Ireland Ltd | Modelli di IA (API) | USA / Irlanda |
| Anthropic PBC / Anthropic Ireland Ltd | Modelli di IA (API) | USA / Irlanda |
| Google Ireland Ltd / Google LLC | Modelli di IA Gemini (se attivati) | Irlanda / USA |
| Stripe Payments Europe Ltd / Stripe, Inc. | Pagamenti (titolare autonomo per i dati delle carte) | Irlanda / USA |
| Piattaforma di firma elettronica avanzata di CE4U (docusign.ce4u.it) | Firma dei documenti | Italia |
| Fornitore di invio email transazionali | Notifiche di servizio | UE |
Trasferimenti extra-UE: verso gli USA sulla base della decisione di adeguatezza sull'EU-US Data Privacy Framework (Decisione (UE) 2023/1795) per i fornitori aderenti e, in via sussidiaria, delle clausole contrattuali tipo (Decisione (UE) 2021/914). I dati non sono diffusi né venduti.
7. Sicurezza
Misure adottate: cifratura delle connessioni (TLS), hash delle password (bcrypt), controllo degli accessi per ruoli e permessi, separazione dei dati per organizzazione, backup periodici, log di sicurezza. CE4U gestisce le violazioni di dati secondo gli artt. 33-34 GDPR e informa senza ingiustificato ritardo i clienti titolari.
8. Diritti dell'interessato e reclamo
Puoi esercitare i diritti degli artt. 15-22 GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) scrivendo a privacy@raveng.it o via PEC. Per i dati inseriti dal tuo datore di lavoro rivolgiti a lui: CE4U gli trasmetterà senza ritardo le richieste ricevute. Puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
9. Conferimento e modifiche
I dati di registrazione sono necessari per usare la piattaforma. L'informativa può essere aggiornata: la versione in vigore è pubblicata in questa pagina. Versione precedente: 1.0 del 26 marzo 2026.