Data Processing Agreement (DPA) – SafetyPilot PRO
Versione 1.5 – efficace dal 23 settembre 2026
Il presente DPA integra i Termini e Condizioni di SafetyPilot PRO e disciplina i trattamenti effettuati per conto del Cliente ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (“GDPR”).
1. Parti e ruoli
Il Cliente, impresa, professionista o altro soggetto che determina finalità e mezzi essenziali dei trattamenti relativi ai dati inseriti nella piattaforma, opera quale Titolare del trattamento.
FM Tech Lab – SafetyPilot PRO, Partita IVA 05810550284 (REA PD 494157), con sede in Via Minio 30 bis, Padova, Italia, email info@safetypilotpro.com, opera quale Responsabile del trattamento limitatamente ai dati personali trattati per conto del Cliente mediante SafetyPilot PRO.
SafetyPilot PRO opera invece quale Titolare autonomo per account, sicurezza, amministrazione contrattuale, billing, assistenza, prevenzione frodi e altri trattamenti descritti nella Privacy Policy.
2. Oggetto, natura e finalità
Il trattamento riguarda le operazioni tecnicamente necessarie a consentire al Cliente di utilizzare SafetyPilot PRO per la gestione organizzativa della salute e sicurezza sul lavoro, comprese aziende, lavoratori, formazione, scadenze, documentazione, checklist, sopralluoghi, near miss, azioni correttive, report, esportazione, backup e SafetyPilot AI.
Le operazioni possono comprendere raccolta, registrazione, organizzazione, conservazione, consultazione, estrazione, aggiornamento, trasmissione tecnica, backup, recupero, limitazione e cancellazione.
3. Durata
Il trattamento viene effettuato per la durata del rapporto contrattuale e, successivamente, per il tempo strettamente necessario all'esecuzione delle istruzioni di restituzione o cancellazione, all'adempimento di obblighi di legge e al completamento dei normali cicli tecnici di backup.
Il Cliente è tenuto a utilizzare le funzioni di esportazione disponibili prima della cessazione quando necessita di conservare una copia dei dati. Salvo diversa previsione contrattuale espressa, SafetyPilot PRO non garantisce una specifica finestra temporale di recuperabilità dopo la cessazione.
4. Istruzioni documentate
SafetyPilot PRO tratta i dati personali esclusivamente sulla base delle istruzioni documentate del Cliente, salvo obblighi di legge.
Le configurazioni, i comandi, gli upload e le operazioni effettuate dagli utenti autorizzati costituiscono istruzioni documentate nei limiti del servizio, dei Termini e del presente DPA.
Se un'istruzione appare in violazione del GDPR o di altra normativa applicabile, SafetyPilot PRO può sospenderne l'esecuzione e informare il Cliente salvo divieti di legge.
5. Obblighi del Cliente
Il Cliente garantisce e resta responsabile:
- della liceità della raccolta e dell'inserimento dei dati;
- delle basi giuridiche applicabili;
- delle informative agli interessati;
- della correttezza, pertinenza e minimizzazione;
- della determinazione dei tempi di conservazione;
- dell'autorizzazione, formazione e revoca degli utenti;
- degli eventuali obblighi lavoristici, sindacali, DPIA o consultazione preventiva;
- delle misure di sicurezza di propria competenza;
- del rispetto della normativa applicabile in materia di controllo a distanza e monitoraggio dei lavoratori.
Il Cliente non deve utilizzare SafetyPilot PRO per controllo occulto, profilazione o sorveglianza illecita dei lavoratori.
6. Categorie di interessati e dati
Gli interessati possono includere lavoratori, dipendenti, collaboratori, referenti aziendali, utenti autorizzati, RSPP, figure della sicurezza e altri soggetti i cui dati siano lecitamente inseriti.
Le categorie di dati possono includere dati identificativi e professionali, mansione, sede, ruolo di sicurezza, formazione, attestati, scadenze, informazioni organizzative relative a checklist, sopralluoghi, near miss, azioni correttive, documenti e metadati tecnici.
7. Categorie particolari e dati sanitari
SafetyPilot PRO non è destinato all'archiviazione di cartelle sanitarie o dati sanitari dettagliati. Il Cliente non deve caricare diagnosi, anamnesi, referti, prescrizioni, esami clinici, informazioni cliniche dettagliate o certificati contenenti dati sanitari eccedenti.
Le funzionalità relative al Medico Competente devono essere utilizzate per informazioni amministrative strettamente necessarie alla gestione della sicurezza. Qualora sia registrato un esito amministrativo relativo all'idoneità, il Cliente deve minimizzare il contenuto ed evitare motivazioni, diagnosi o dettagli clinici.
Il Cliente resta responsabile dell'eventuale base giuridica richiesta dagli artt. 6, 9 e 10 GDPR per categorie particolari o dati giudiziari che risultassero eccezionalmente necessari.
8. Riservatezza e persone autorizzate
SafetyPilot PRO assicura che le persone eventualmente autorizzate a trattare dati per suo conto siano vincolate da obblighi di riservatezza e accedano ai dati nella misura necessaria.
Gli accessi amministrativi devono rispettare il principio del minimo privilegio.
9. Misure tecniche e organizzative
SafetyPilot PRO adotta misure tecniche e organizzative proporzionate al rischio, comprendenti controlli applicativi e misure infrastrutturali fornite da Base44 e dagli altri fornitori.
Tra le misure applicative rientrano, ove pertinenti:
- autenticazione individuale e ruoli;
- separazione logica dei dati per azienda;
- controlli di accesso a livello di record;
- backend protetto per operazioni critiche;
- verifica delle firme dei webhook Stripe;
- logging e Audit Trail;
- protezione dei segreti lato backend;
- strumenti di esportazione e backup;
- gestione degli incidenti.
Secondo la documentazione Base44 vigente, l'infrastruttura utilizza TLS 1.2+ per i dati in transito e AES-256 per i dati a riposo, inclusi i backup, e dichiara SOC 2 Type II, ISO/IEC 27001, scansioni di sicurezza, penetration test, sicurezza a livello di riga e gestione dei segreti tramite KMS.
Le certificazioni dei fornitori non costituiscono certificazioni autonome di SafetyPilot PRO.
10. Sub-responsabili: autorizzazione generale
Il Cliente autorizza in via generale l'impiego dei sub-responsabili necessari all'erogazione del servizio ai sensi dell'art. 28, par. 2 GDPR.
SafetyPilot PRO mantiene una pagina Sub-responsabili e fornitori. Per la catena Base44 si applicano anche le procedure previste dal DPA Base44, inclusa la possibilità di ricevere notifiche relative all'aggiunta o sostituzione di sub-responsabili secondo le modalità previste da Base44.
Il Cliente può presentare a SafetyPilot PRO un'obiezione motivata per ragioni di protezione dei dati rispetto a un nuovo sub-responsabile. SafetyPilot PRO valuterà l'obiezione tenendo conto delle possibilità tecniche e contrattuali disponibili nella catena di fornitura. Se non è ragionevolmente possibile evitare il fornitore contestato, le parti valuteranno misure alternative o la cessazione della funzionalità/servizio interessato, fatti salvi gli importi già maturati e gli obblighi inderogabili.
11. Base44 quale sub-responsabile infrastrutturale
SafetyPilot PRO utilizza Base44 quale piattaforma principale per database, autenticazione, file, backend e servizi integrati. Nei trattamenti svolti per conto del Cliente, Base44 opera normalmente nella catena quale sub-responsabile.
Il DPA Base44 prevede obblighi relativi a riservatezza, sicurezza, assistenza agli interessati, incidenti, audit e sub-processing.
12. Data residency
SafetyPilot PRO non garantisce che tutti i dati siano conservati o trattati esclusivamente in Italia o nel SEE.
Secondo la documentazione Base44 vigente:
- i dati delle app sono archiviati negli Stati Uniti per impostazione predefinita;
- i workspace con piani Elite ed Enterprise possono scegliere altre regioni di archiviazione;
- la configurazione effettiva dipende dal piano e dalle impostazioni del workspace.
13. Trasferimenti internazionali
I trasferimenti extra SEE devono avvenire utilizzando meccanismi previsti dal Capo V GDPR.
Il DPA Base44 dichiara l'utilizzo, secondo i casi, di decisioni di adeguatezza, EU-US Data Privacy Framework, Clausole Contrattuali Standard approvate dalla Commissione europea, moduli 2 o 3 a seconda del ruolo, o altri meccanismi validi.
14. SafetyPilot AI
Quando il Cliente utilizza SafetyPilot AI, le informazioni necessarie alla richiesta possono essere trasmesse ai servizi AI messi a disposizione tramite Base44 e alla relativa catena di fornitori.
SafetyPilot PRO non sviluppa né addestra autonomamente propri modelli AI sui dati dei Clienti. Le condizioni Base44 applicabili possono tuttavia prevedere l'utilizzo dei Customer Data per mantenere, fornire e migliorare la piattaforma, inclusa la possibilità di addestrare strumenti software e modelli AI/ML. Base44 rende disponibili specifiche opzioni di esclusione dal training per determinati ambienti Enterprise. La configurazione effettiva dipende dal piano e dagli accordi applicabili.
Il Cliente deve applicare il principio di minimizzazione e non deve inviare dati sanitari dettagliati, giudiziari, password, credenziali o categorie particolari non necessarie.
SafetyPilot AI non deve essere utilizzata per decisioni automatizzate o valutazioni individuali dei lavoratori relative a rendimento, affidabilità, produttività, merito, idoneità, sanzioni o condizioni occupazionali. Gli output devono essere sottoposti a verifica umana competente.
15. Assistenza per i diritti degli interessati
Tenendo conto della natura del trattamento, SafetyPilot PRO assiste il Cliente, per quanto possibile, nel dare seguito alle richieste degli interessati ai sensi degli artt. 15-22 GDPR.
16. Data breach
SafetyPilot PRO informa il Cliente senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali trattati per conto del Cliente e fornisce le informazioni ragionevolmente disponibili per gli adempimenti degli artt. 33 e 34 GDPR.
17. DPIA e consultazione preventiva
SafetyPilot PRO fornisce ragionevole assistenza al Cliente per gli obblighi relativi alla valutazione d'impatto ex art. 35 GDPR e all'eventuale consultazione preventiva ex art. 36 GDPR, tenendo conto delle informazioni disponibili.
La decisione sulla necessità della DPIA resta responsabilità del Cliente.
18. Audit e dimostrazione della conformità
SafetyPilot PRO mette a disposizione le informazioni ragionevolmente necessarie a dimostrare il rispetto degli obblighi dell'art. 28 GDPR.
Gli audit devono essere proporzionati, preceduti da ragionevole preavviso e organizzati in modo da non compromettere sicurezza, riservatezza, continuità del servizio o diritti di altri clienti. Quando adeguato, attestazioni e report dei fornitori possono soddisfare in tutto o in parte le esigenze di verifica.
19. Ordini delle autorità
Qualora SafetyPilot PRO riceva una richiesta vincolante di accesso ai dati da parte di un'autorità pubblica, informa il Cliente quando consentito dalla legge e limita la comunicazione a quanto legalmente necessario.
20. Restituzione, esportazione e cancellazione
Prima della cessazione del servizio il Cliente può utilizzare gli strumenti disponibili per esportare i dati di cui necessita.
Alla cessazione, SafetyPilot PRO cancella, restituisce o rende non disponibili dai sistemi attivi i dati trattati per conto del Cliente secondo le istruzioni applicabili e nei limiti tecnicamente disponibili, salvo obblighi normativi o dati che debbano restare disponibili a soggetti ancora legittimati nell'ambito della stessa organizzazione.
Le copie residue nei backup vengono eliminate o sovrascritte secondo i cicli tecnici dei fornitori e restano nel frattempo soggette alle misure di protezione applicabili.
21. Archiviazione documentale
Le funzionalità di storage e backup di SafetyPilot PRO non costituiscono servizio di conservazione digitale a norma. Il Cliente resta responsabile della conservazione degli originali e dell'adozione di eventuali sistemi di conservazione a norma richiesti.
22. Responsabilità
Ciascuna parte risponde degli obblighi direttamente attribuiti al proprio ruolo dal GDPR. Il Cliente resta responsabile delle finalità, delle basi giuridiche e delle istruzioni impartite. SafetyPilot PRO resta responsabile degli obblighi propri del Responsabile.
Le limitazioni dei Termini operano esclusivamente nei limiti consentiti dalla normativa e non riducono gli obblighi inderogabili previsti dall'art. 28 GDPR.
23. Prevalenza e modifiche
In caso di conflitto tra il presente DPA e i Termini, il DPA prevale limitatamente ai trattamenti svolti da SafetyPilot PRO quale Responsabile.
Il DPA può essere aggiornato quando cambiano normativa, infrastruttura o catena dei sub-responsabili. Le modifiche sostanziali saranno rese disponibili e, quando necessario, comunicate al Cliente.
Allegato I – Dettagli del trattamento
Interessati: lavoratori, dipendenti, collaboratori, referenti aziendali, utenti autorizzati, RSPP, figure della sicurezza e altri soggetti i cui dati siano lecitamente inseriti dal Cliente.
Categorie di dati: dati identificativi e professionali; mansione; sede; ruolo di sicurezza; formazione e attestati; scadenze; informazioni organizzative relative a checklist, sopralluoghi, near miss, azioni correttive e documenti; metadati tecnici necessari.
Dati normalmente esclusi: cartelle cliniche, diagnosi, referti, anamnesi, dati genetici, dati biometrici per identificazione, dati giudiziari e categorie di dati non necessarie.
Finalità: fornitura della piattaforma SaaS secondo le istruzioni del Cliente.
Durata: durata del rapporto e periodo tecnico strettamente necessario a restituzione, cancellazione, obblighi di legge e cicli di backup.
Allegato II – Principali misure tecniche e organizzative
- autenticazione individuale, ruoli e autorizzazioni;
- segregazione logica dei dati per azienda;
- minimo privilegio e backend protetto per operazioni sensibili;
- Audit Trail e registrazione di eventi rilevanti;
- gestione sicura dei segreti applicativi;
- verifica dei webhook di pagamento;
- funzioni di esportazione e backup;
- cifratura infrastrutturale dichiarata da Base44 TLS 1.2+ in transito e AES-256 a riposo;
- procedure di gestione degli incidenti;
- limitazioni all'uso dell'AI e divieto di dati sanitari dettagliati.
Allegato III – Sub-responsabili
L'elenco aggiornato dei principali sub-responsabili e fornitori è pubblicato nella pagina Sub-responsabili e fornitori di SafetyPilot PRO. Per la catena Base44 si rinvia anche alla documentazione e al DPA Base44 vigenti: https://base44.com/security – https://base44.com/dpa