Privacy Policy – UESE LMS

Ultimo aggiornamento: 26 luglio 2026

La presente informativa descrive i trattamenti di dati personali effettuati tramite la piattaforma SaaS UESE LMS, raggiungibile all’indirizzo https://lms.uese.eu, di proprietà di UESE ITALIA S.p.A.. È redatta ai sensi del Regolamento (UE) 2016/679 (“GDPR”), del D.Lgs. 30 giugno 2003, n. 196, come modificato, e della normativa applicabile in materia di protezione dei dati personali e sicurezza dei sistemi informativi.

1. Titolare e ruoli privacy

Per i trattamenti connessi alla gestione del sito pubblico, alla registrazione degli account, alla fatturazione, alla sicurezza della piattaforma, alla gestione commerciale e all’assistenza, UESE ITALIA S.p.A. opera, di regola, quale Titolare del trattamento. Per i dati di lavoratori, docenti, medici competenti, partecipanti e altri soggetti inseriti da un’azienda cliente nella propria area riservata, UESE può operare quale Responsabile del trattamento ai sensi dell’art. 28 GDPR, sulla base delle istruzioni documentate del cliente, che resta Titolare per le finalità connesse alla gestione del rapporto di lavoro, formazione e salute e sicurezza.

La qualificazione concreta dei ruoli dipende dal trattamento effettivamente svolto e prevale su qualsiasi formulazione generale della presente informativa. I dati di contatto societari e privacy sono quelli pubblicati sul sito istituzionale e/o configurati nella piattaforma.

2. Categorie di dati trattati

La piattaforma può trattare, a seconda dei moduli utilizzati: dati identificativi e di contatto; dati fiscali e societari; credenziali e informazioni di autenticazione; dati relativi a datore di lavoro, dirigenti, preposti, RSPP, ASPP, RLS, docenti e altri ruoli; mansioni, sedi, reparti e attrezzature; formazione, presenze, prove, attestati, scadenze e qualifiche; disponibilità dei formatori; log tecnici e audit trail; dati necessari alla sorveglianza sanitaria nei limiti consentiti.

La piattaforma deve essere configurata secondo il principio di minimizzazione. I dati sanitari di dettaglio, diagnosi, anamnesi o contenuti della cartella sanitaria e di rischio non devono essere resi liberamente disponibili al datore di lavoro o a utenti non autorizzati. Nell’area gestionale devono essere trattati esclusivamente i dati necessari alla gestione dell’idoneità, delle prescrizioni/limitazioni comunicabili e delle scadenze, nel rispetto degli artt. 9 GDPR e 41 D.Lgs. 81/2008.

3. Finalità e basi giuridiche

• Erogazione del servizio SaaS e gestione contrattuale: art. 6, par. 1, lett. b) GDPR e, per soggetti diversi dall’interessato, legittimo interesse e obblighi contrattuali del cliente.
• Adempimenti legali, amministrativi, fiscali e contabili: art. 6, par. 1, lett. c) GDPR.
• Sicurezza, prevenzione abusi, audit, continuità operativa e difesa dei diritti: art. 6, par. 1, lett. f) GDPR, salvo diversa base giuridica applicabile.
• Gestione della formazione e degli obblighi di salute e sicurezza: sulla base degli obblighi del Titolare cliente derivanti dal D.Lgs. 81/2008, dall’Accordo Stato-Regioni applicabile, dal rapporto di lavoro e dalle ulteriori norme di settore.
• Dati relativi alla salute: esclusivamente quando necessario e sulla base delle condizioni di liceità di cui all’art. 9 GDPR e alla normativa in materia di medicina del lavoro; l’accesso è soggetto a segregazione e profili autorizzativi.
• Comunicazioni promozionali: solo ove consentito dalla legge e, quando richiesto, sulla base del consenso.

4. Dati dei lavoratori e responsabilità del cliente

Il cliente deve inserire nella piattaforma esclusivamente dati pertinenti, esatti, aggiornati e necessari. È responsabilità del cliente definire ruoli e autorizzazioni, informare correttamente gli interessati, individuare la base giuridica, rispettare i limiti di accesso ai dati sanitari e verificare la liceità dell’eventuale caricamento di documenti contenenti dati personali.

UESE LMS fornisce strumenti di controllo e segregazione ma non sostituisce gli adempimenti organizzativi del Titolare né le valutazioni del DPO, del medico competente, del RSPP o dei consulenti incaricati.

5. Intelligenza artificiale e documenti

Quando il cliente abilita funzioni AI, documenti o informazioni selezionate possono essere trasmessi ai fornitori tecnologici configurati per effettuare estrazione, normalizzazione, classificazione o assistenza. L’AI non deve essere utilizzata per assumere decisioni esclusivamente automatizzate che producano effetti giuridici o analogamente significativi sull’interessato, salvo che ricorrano le condizioni dell’art. 22 GDPR. Gli output devono essere verificati da un operatore competente prima dell’utilizzo.

Il cliente deve evitare il caricamento di dati eccedenti e, in particolare, di dati sanitari di dettaglio o categorie particolari non necessarie alla specifica funzione richiesta.

6. Sicurezza del trattamento

Sono previste misure coerenti con un approccio basato sul rischio, quali segregazione multi-tenant, autenticazione, 2FA TOTP, gestione delle sessioni, controllo degli accessi per ruolo, audit log, cifratura dei segreti applicativi, backup e procedure di restore. Le misure devono essere periodicamente riesaminate in relazione all’evoluzione dei rischi e non costituiscono garanzia assoluta contro qualsiasi evento di sicurezza.

7. Conservazione

I dati sono conservati per il tempo necessario alle finalità contrattuali e legali, tenendo conto delle esigenze probatorie, dei termini di prescrizione, della disciplina in materia di formazione e salute e sicurezza e delle istruzioni del Titolare cliente. Backup e log possono avere tempi di conservazione separati. La cancellazione di un account non comporta necessariamente l’eliminazione immediata delle evidenze che debbano essere conservate per obbligo di legge o tutela di diritti.

8. Destinatari e fornitori

I dati possono essere trattati da personale autorizzato e da fornitori tecnici, hosting provider, servizi e-mail, manutentori, fornitori di servizi AI e professionisti vincolati da obblighi contrattuali e di riservatezza. Quando richiesto, i fornitori sono nominati responsabili/sub-responsabili del trattamento.

9. Trasferimenti internazionali

Qualora un fornitore comporti trasferimenti di dati verso Paesi terzi, essi devono avvenire nel rispetto del Capo V GDPR, mediante decisione di adeguatezza, clausole contrattuali standard, Data Privacy Framework ove applicabile o altra garanzia prevista dalla normativa.

10. Diritti degli interessati

Nei casi previsti, l’interessato può esercitare i diritti di accesso, rettifica, cancellazione, limitazione, opposizione, portabilità e revoca del consenso. Quando UESE opera come Responsabile, le richieste relative ai dati gestiti per conto del cliente possono essere inoltrate al Titolare cliente. Resta salvo il diritto di proporre reclamo al Garante per la protezione dei dati personali.

11. Data breach e incidenti

Eventi che comportino distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali vengono gestiti secondo una procedura di incident management. Quando UESE opera come Responsabile, informa il Titolare senza ingiustificato ritardo secondo gli accordi applicabili, affinché il Titolare possa valutare gli obblighi di notifica ai sensi degli artt. 33 e 34 GDPR.

12. Aggiornamenti

La presente informativa può essere aggiornata per evoluzioni normative, tecniche o organizzative. Le modifiche sostanziali saranno rese disponibili mediante la piattaforma o altri canali appropriati.