Registro dei trattamenti dell'articolo 30
Schede con finalità, base giuridica, categorie di interessati e di dati, conservazione, destinatari e misure. Esportabile in PDF e in foglio di calcolo, con data e numero di versione in testa.
Per studi professionali e PMI soggetti al GDPR
Registro dei trattamenti, informative e nomine in un posto solo
TrattamentiInRegola ti fa domande in italiano corrente su quello che lo studio fa davvero e scrive per te le schede dell'articolo 30, le informative dell'articolo 13 e le lettere di nomina dell'articolo 28. Quando qualcuno chiede di vedere le carte, esporti un fascicolo aggiornato invece di ricostruirlo a memoria.
- Registro articolo 30 sempre aggiornato
- Informative e nomine generate insieme
- Storico datato di ogni modifica
Il problema
Il registro esiste, ma è fermo alla consulenza di tre anni fa
Il lunedì mattina lo studio apre con tre pratiche urgenti e una mail che nessuno avrebbe voluto leggere: un cliente chiede copia dell'informativa che ha firmato quando ha aperto la posizione, quattro anni fa. La segreteria cerca nella cartella condivisa, trova due versioni del modulo e nessuna delle due porta una data. Il titolare sa che da qualche parte c'è anche un registro dei trattamenti, quello preparato con il consulente ai tempi del primo adeguamento, e sa altrettanto bene che da allora sono cambiati il gestionale, il servizio di posta elettronica, la piattaforma di firma digitale e almeno due collaboratori.
Nel frattempo lo studio ha continuato a lavorare, ed è proprio lavorando che ha creato trattamenti nuovi. Ha attivato la conservazione a norma con un fornitore esterno, ha iniziato a consegnare le buste paga su un portale, ha affidato il centralino a una società di servizi, ha messo una telecamera all'ingresso dopo il tentativo di furto dell'anno scorso, ha aperto una casella per le candidature spontanee. Nessuna di queste cose è passata dal registro, perché il registro è un foglio di calcolo con ventidue colonne che si apre una volta l'anno e si richiude quasi subito, con la sensazione precisa che rimetterlo a posto per intero costi mezza giornata che non c'è.
Poi arriva il momento in cui qualcuno chiede di vederlo. Può essere il DPO di un cliente grande che manda il suo questionario prima di firmare il contratto, può essere un ex dipendente che esercita il diritto di accesso ai propri dati, può essere una richiesta di informazioni del Garante nata da una segnalazione. In nessuno di questi casi allo studio viene chiesto di essere perfetto: gli viene chiesto di dimostrare che sa quali dati tratta, per quale finalità, con quale base giuridica, chi li tocca dentro e fuori e per quanto tempo restano. È esattamente la cosa che un file fermo a tre anni fa non riesce più a dire.
- Nessuno sa quale sia l'ultima versione dell'informativa consegnata ai clienti
- I fornitori che trattano dati per lo studio lavorano senza una nomina scritta ai sensi dell'articolo 28
- Il registro non nomina il gestionale, la posta elettronica e il servizio cloud usati ogni giorno
- Quando un collaboratore se ne va le sue utenze restano attive, perché l'elenco degli autorizzati non esiste
La soluzione
Un registro che si aggiorna quando cambia lo studio, non una volta l'anno
TrattamentiInRegola parte dal lavoro, non dal modulo vuoto. Rispondi a domande scritte in italiano corrente sulle attività dello studio (la contabilità dei clienti, l'elaborazione delle paghe, le pratiche telematiche, la videosorveglianza, il sito e le comunicazioni professionali) e il software costruisce le schede di trattamento con finalità, base giuridica, categorie di interessati e di dati, tempi di conservazione, destinatari e misure di sicurezza. Il registro previsto dall'articolo 30 non lo compili da zero: lo leggi già scritto e lo correggi dove la realtà del tuo studio è diversa.
Dalle stesse schede escono i documenti che di solito si scrivono a parte e poi divergono in silenzio: le informative dell'articolo 13 per clienti, dipendenti e candidati, le lettere di nomina a responsabile del trattamento per i fornitori esterni, gli atti di designazione degli autorizzati con le loro istruzioni, il registro delle violazioni. Se cambia un tempo di conservazione nella scheda, cambia anche nell'informativa. Ogni modifica resta a storico con data e autore, così quando qualcuno chiede conto di una scelta si mostra quando è stata presa e su quale valutazione si basava.
Mappa lo studio con un'intervista guidata
Rispondi a domande sulle attività, sui software usati, sui fornitori e su chi tocca i dati. In fondo hai l'elenco completo dei trattamenti, compresi quelli che si dimenticano sempre come candidature, videosorveglianza e recupero crediti.
Genera registro, informative e nomine
Dalle schede escono il registro dell'articolo 30, le informative dell'articolo 13 differenziate per destinatario e le lettere di nomina dell'articolo 28 per ogni fornitore. Li rileggi, li correggi e li firmi: restano documenti tuoi.
Tieni il fascicolo vivo e pronto da mostrare
Quando entra un nuovo software o esce un collaboratore aggiorni una scheda e tutto il resto si allinea. Un comando raccoglie registro, informative, nomine e storico in un fascicolo indicizzato e datato, pronto da consegnare.
Funzionalità
Che cosa fa lo strumento, nel dettaglio
Ogni funzione nasce da un passaggio reale del mestiere, non da un elenco di caselle da spuntare.
Sezione titolare e sezione responsabile
Lo studio che elabora paghe o tiene la contabilità per i clienti compila anche il registro dei trattamenti svolti per conto altrui, previsto dal secondo paragrafo dell'articolo 30, tenuto separato dal proprio.
Informative dell'articolo 13 sempre allineate
Un testo per i clienti, uno per i dipendenti, uno per i candidati e uno per il sito, generati dalle stesse schede del registro. Se cambia la conservazione nella scheda, l'informativa lo dice subito.
Nomine dei responsabili esterni
Elenco dei fornitori che trattano dati per conto dello studio con lettera di nomina ai sensi dell'articolo 28, istruzioni, misure richieste, eventuali sub responsabili e data di riesame.
Autorizzati e istruzioni scritte
Chi tratta quali dati, con quale profilo e da quando. Ogni designazione porta le sue istruzioni operative e resta agli atti con la data di revoca quando la persona lascia lo studio.
Registro delle violazioni con il termine sotto controllo
Apri l'evento, rispondi alle domande sulla gravità e il sistema tiene il conto delle settantadue ore, conserva la traccia delle decisioni e prepara la bozza di notifica al Garante.
Valutazione del rischio e DPIA quando serve
Un questionario indica se il trattamento richiede la valutazione d'impatto dell'articolo 35 e, in caso affermativo, guida la compilazione tenendo conto dell'elenco pubblicato dal Garante.
Fascicolo pronto per il controllo
Un solo comando raccoglie registro, informative, nomine, designazioni, valutazioni e storico delle revisioni in un fascicolo ordinato con indice e date, da consegnare a un cliente o a un'autorità.
Risultati
Che cosa cambia nelle giornate di lavoro
Rispondi in un pomeriggio, non in due settimane
Quando il DPO di un cliente manda il suo questionario di verifica o un interessato esercita il diritto di accesso, le informazioni sono già scritte e datate. Non si riapre il cantiere ogni volta che qualcuno fa una domanda.
I documenti smettono di contraddirsi
Registro, informative e nomine nascono dalle stesse schede. Sparisce il caso classico dell'informativa che promette dieci anni di conservazione mentre il registro ne dichiara cinque e il gestionale non cancella mai.
La conformità non dipende più da una persona sola
Chi entra nello studio trova le istruzioni scritte, i profili di accesso e la storia delle decisioni. Se il referente privacy cambia, il lavoro fatto resta dov'è invece di uscire dalla porta con lui.
Puoi dimostrare la diligenza, non solo dichiararla
Il principio di responsabilizzazione chiede di provare le scelte fatte. Le date di revisione, lo storico delle versioni e le nomine rinnovate sono esattamente il tipo di prova che un'autorità o un cliente si aspetta di vedere.
Prova sociale
Come lo raccontano le persone che fanno questo lavoro
Scenari d'uso rappresentativi del profilo dei nostri utenti target.
Il nostro registro era un foglio di calcolo che aggiornavo solo quando un cliente lo chiedeva. La differenza vera è la sezione dei trattamenti che facciamo per conto dei clienti: prima non l'avevamo proprio. Adesso quando arriva il questionario di un DPO rispondo allegando il fascicolo, senza dover ricostruire chi tocca cosa.
Avevamo tre informative diverse in giro, tutte senza data. Le abbiamo rifatte partendo dalle schede e ora so quale versione è stata consegnata e quando. Mi è servito soprattutto per i fornitori: le nomine dell'articolo 28 le avevamo solo per due su nove.
La videosorveglianza e il portale delle buste paga erano fuori dal registro da anni, semplicemente perché nessuno se n'era accorto. L'intervista guidata li ha tirati fuori in mezz'ora. Il conto alla rovescia delle settantadue ore è la funzione che spero di non usare mai, ma dormo meglio sapendo che c'è.
Prezzi
Tre piani, nessun vincolo di durata
Studio
24 euro al mese
per il professionista singolo o la piccola impresa con un'unica sede e pochi fornitori esterni
- Registro dei trattamenti come titolare, senza limite di schede
- Informative dell'articolo 13 per clienti, dipendenti e sito
- Fino a dieci nomine di responsabili esterni
- Elenco degli autorizzati con istruzioni scritte
- Assistenza via email in italiano
Associato
49 euro al mese
per lo studio associato e la PMI che tratta dati anche per conto dei propri clienti o committenti
- Registro del titolare e registro del responsabile, separati
- Nomine e sub responsabili senza limite di numero
- Registro delle violazioni con conto alla rovescia e bozza di notifica
- Questionario di valutazione e DPIA guidata
- Fascicolo del controllo esportabile con indice e date
Consulente
99 euro al mese
per DPO esterni e consulenti privacy che seguono più titolari e devono passare da un cliente all'altro
- Fino a venticinque organizzazioni gestite dallo stesso accesso
- Modelli di scheda riutilizzabili tra clienti dello stesso settore
- Cruscotto delle revisioni e delle nomine in scadenza
- Esportazione massiva dei fascicoli per la relazione annuale
- Affiancamento nel caricamento dei registri già esistenti
Prezzi al mese, IVA esclusa, senza vincolo di durata. Se disdici, registro, informative e nomine restano scaricabili in PDF e in foglio di calcolo per novanta giorni: i documenti sono tuoi, non nostri.
Domande frequenti
Le domande che ci arrivano più spesso
Usare TrattamentiInRegola basta per essere in regola con il GDPR?
No, e diffida di chi lo promette. Il Regolamento UE 2016/679 chiede al titolare scelte che nessun software può fare al posto suo: decidere le finalità, individuare la base giuridica corretta, valutare i rischi del proprio contesto. TrattamentiInRegola fa la parte documentale e organizzativa, cioè costruire le schede, tenere allineati i testi, ricordare le revisioni e conservare la prova di quello che avete deciso. Il giudizio giuridico resta vostro, eventualmente con il vostro consulente accanto.
Chi è obbligato a tenere il registro dei trattamenti?
L'articolo 30 del GDPR prevede una deroga per le organizzazioni con meno di duecentocinquanta dipendenti, ma la deroga cade in tre casi molto comuni: quando il trattamento può presentare un rischio per i diritti degli interessati, quando non è occasionale e quando riguarda categorie particolari di dati o dati relativi a condanne e reati. Uno studio professionale che tratta dati dei clienti in modo continuativo, o una PMI che gestisce dati sanitari dei dipendenti, rientra quasi sempre nell'obbligo. Il Garante ne raccomanda la tenuta anche quando l'obbligo formale non scatta, perché è il primo documento che viene chiesto in caso di verifica.
Il nostro studio deve nominare un DPO?
L'articolo 37 individua tre casi di nomina obbligatoria: autorità o organismi pubblici, attività principali che richiedono monitoraggio regolare e sistematico su larga scala, attività principali consistenti nel trattamento su larga scala di categorie particolari di dati o di dati giudiziari. Molti studi professionali di dimensione ordinaria non ricadono in queste ipotesi, ma la valutazione va fatta caso per caso e messa per iscritto. TrattamentiInRegola conserva la motivazione della scelta, che è quello che serve poter mostrare se qualcuno la contesta, e gestisce i dati di contatto del DPO quando invece la nomina c'è.
Abbiamo già un registro in un foglio di calcolo: si può recuperare?
Sì, ed è la situazione più frequente. Il lavoro già fatto si importa come punto di partenza: ogni riga esistente diventa una scheda, l'intervista guidata mostra i campi rimasti vuoti e segnala i trattamenti tipici del vostro settore che non compaiono, come le candidature spontanee o la videosorveglianza. Non si riparte da zero e non si perde la storia. Nel piano Consulente l'affiancamento al caricamento dei registri esistenti è compreso.
I documenti che genera il software li possiamo modificare e firmare noi?
Sì, sono documenti vostri sotto ogni profilo. Registro, informative, nomine e designazioni escono in formato modificabile e in PDF, con la vostra intestazione e i vostri dati di titolare del trattamento. Potete cambiare qualsiasi frase prima di firmarli. Il software tiene traccia della versione consegnata e della data, perché in caso di contestazione la domanda non è mai solo che cosa avete scritto, ma anche da quando lo dite.
Lo studio è titolare o responsabile del trattamento verso i clienti?
Dipende dal servizio, e spesso è entrambe le cose nello stesso rapporto. Per la propria anagrafica clienti, la fatturazione e la gestione del contenzioso lo studio è titolare autonomo. Quando invece elabora le buste paga o tiene la contabilità dei dipendenti di un'azienda cliente, tratta dati altrui secondo istruzioni ricevute e si trova nella posizione di responsabile ai sensi dell'articolo 28. TrattamentiInRegola tiene due registri distinti e chiede, per ogni attività, in quale delle due vesti la state svolgendo.
Dove sono conservati i dati che carichiamo?
I dati restano su server situati nell'Unione europea e il rapporto è regolato da un accordo di nomina a responsabile del trattamento che vi consegniamo prima dell'attivazione, con l'elenco dei sub responsabili e le misure di sicurezza adottate. Non usiamo i vostri contenuti per finalità diverse dall'erogazione del servizio. L'esportazione completa è sempre disponibile, anche dopo la disdetta, nei termini indicati sotto la griglia dei prezzi.
In caso di violazione dei dati il software notifica al Garante al posto nostro?
No, la notifica è un atto del titolare e va inviata da chi ne ha la responsabilità. Quello che il software fa è tenere il tempo e la memoria: apre l'evento con data e ora della conoscenza del fatto, guida la valutazione del rischio per i diritti degli interessati, indica quando il termine di settantadue ore previsto dall'articolo 33 è rilevante e quando invece la violazione va solo annotata nel registro interno, prepara la bozza con i contenuti richiesti. La decisione finale e l'invio restano vostri.
Dal blog
Ultimi articoli
Come si compila il registro dei trattamenti dell'articolo 30 scheda per scheda senza copiare modelli?
Come si compila il registro dell'articolo 30 scheda per scheda: finalità, base giuridica, categorie di dati, conservazione e destinatari dello studio.
Quali contenuti deve avere l'atto di nomina a responsabile esterno previsto dall'articolo 28 del GDPR?
Che cosa deve contenere la nomina a responsabile esterno dell'articolo 28 e come si verificano le garanzie del fornitore prima di affidargli i dati.
Perché le informative dell'articolo 13 sbagliano sempre sugli stessi sette punti e come si correggono?
Perché le informative dell'articolo 13 ripetono gli stessi sette errori: come riconoscerli e correggerli senza riscrivere tutto il testo da capo.
Contatto
Raccontaci com'è messo il vostro registro
Scriveteci che tipo di studio o impresa siete, quanti collaboratori trattano dati e se avete già un registro dei trattamenti, anche vecchio o incompleto. Vi rispondiamo dicendo quali schede mancherebbero nel vostro caso e, se preferite, ve lo mostriamo dal vivo in una demo sulle vostre attività reali invece che su un esempio.
Preferisci scrivere direttamente? L'indirizzo è jimenezjulien42@gmail.com. Rispondiamo entro due giorni lavorativi.