Accordo sul trattamento dei dati

Questo accordo (art. 28 del Regolamento UE 2016/679, “GDPR”) è parte delle condizioni d’uso di Welfio. Lo accetta il centro che si iscrive online, con la casella del modulo di apertura: sul centro salviamo la data e la versione accettata (versione 2026-10-24).

1. Le parti

Il titolare del trattamento è il centro (CAF, patronato o società di servizi) che apre l’account. Il responsabile è Blagoweb S.r.l., che fornisce Welfio e tratta i dati dei cittadini solo per conto del centro.

2. Oggetto, natura e finalità

• Oggetto: i dati che servono a far funzionare il gestionale, WhatsApp col numero del centro, l’assistente AI e l’app per i cittadini.
• Natura: raccolta, registrazione, organizzazione, conservazione, consultazione, comunicazione ai soggetti indicati dal centro, cancellazione.
• Finalità: solo l’erogazione del servizio. Nessun uso per finalità di Blagoweb, nessuna vendita, nessun addestramento di modelli AI.
• Dati: anagrafici e di contatto, codice fiscale, dati reddituali, patrimoniali e fiscali, dati relativi alla salute (art. 9) quando servono a una pratica, messaggi e documenti caricati.
• Interessati: i clienti del centro e i loro familiari; gli operatori del centro.
• Durata: quella del rapporto con il centro, più il periodo di restituzione del punto 8.

3. Istruzioni

Blagoweb tratta i dati solo secondo le istruzioni del centro, comprese quelle date usando le funzioni del gestionale. Se ritiene che un’istruzione violi la legge, lo dice subito al centro.

4. Riservatezza

Chi lavora per Blagoweb e può accedere ai dati è vincolato alla riservatezza.

5. Misure di sicurezza (art. 32)

Quelle in funzione oggi:

• applicazione e database in data center dell’Unione Europea (Francoforte); collegamenti cifrati e dati cifrati a riposo dai fornitori;
• dati di ogni centro separati da quelli degli altri: ogni riga porta il suo centro, ogni lettura filtra per centro, e un controllo automatico cerca nel codice le letture che ne fanno a meno;
• password conservate solo come impronta (scrypt con sale), regole minime sulla password, freno ai tentativi di accesso sbagliati; cambiare la password chiude tutte le altre sessioni;
• permessi per area di pratiche per ogni operatore; gli avvocati esterni vedono solo i fascicoli che il centro gli affida;
• documenti in un archivio privato, scaricabili solo da chi è entrato col suo accesso o dal cittadino a cui appartengono, con link temporanei; la posizione del file non esce mai dal server;
• i cittadini entrano nell’app con un codice usa e getta mandato su WhatsApp;
• ogni uso dell’AI resta in un registro esportabile, con chi l’ha rivisto; l’AI riceve solo gli estratti che servono e non invia niente da sola.

Quelle che non ci sono ancora, e che non promettiamo finché non sono attive: il secondo fattore di accesso per gli operatori, un registro di chi ha consultato ogni singolo dato, la conservazione a norma AgID. Quando arrivano, aggiorniamo questa pagina.

6. Sub-responsabili

Il centro autorizza in via generale Blagoweb a servirsi dei fornitori elencati nella pagina dei sub-responsabili, ai quali sono imposti gli stessi obblighi di questo accordo. Ogni modifica dell’elenco viene comunicata via email con 15 giorni di preavviso: il centro può opporsi per motivi legittimi e, se non si trova una soluzione, recedere senza penali.

7. Assistenza al centro

Blagoweb aiuta il centro a rispondere alle richieste dei cittadini (estrazione, rettifica, cancellazione nei limiti degli obblighi di conservazione), nella valutazione d’impatto (DPIA) e nella sicurezza. In caso di violazione dei dati avvisa il centro senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, con le informazioni dell’art. 33; la notifica al Garante entro 72 ore resta a carico del centro.

8. Restituzione e cancellazione

Alla fine del rapporto il centro riprende i propri dati: clienti e pratiche li scarica in CSV dal gestionale, i documenti glieli consegna Blagoweb su richiesta. I dati restano disponibili per 90 giorni dalla fine del servizio; poi Blagoweb li cancella, o prima se il centro lo chiede per iscritto. Le copie di ripristino del database si sovrascrivono nei cicli successivi.

9. Trasferimenti fuori dall’UE

Per i fornitori con sede o server fuori dall'Unione europea il trasferimento avviene con il Data Privacy Framework UE-USA, dove il fornitore è certificato, o con le clausole contrattuali standard della Commissione europea.

10. Verifiche

Blagoweb mette a disposizione le informazioni che servono a dimostrare il rispetto di questo accordo. Il centro può svolgere una verifica, anche tramite terzi non concorrenti, con 30 giorni di preavviso, una volta l’anno salvo violazioni, a proprie spese.

11. Responsabilità e contatti

Ferma la responsabilità verso gli interessati (art. 82 GDPR), tra le parti ciascuna risponde secondo il proprio ruolo e i limiti delle condizioni d’uso, che non valgono per dolo o colpa grave. Per ogni richiesta: info@blagoweb.com · PEC blagoweb@pec.it.