Informativa sul trattamento dei dati personali

Ultimo aggiornamento: 16 ottobre 2026

Questa informativa spiega come l’Ente Nazionale Bilaterale per la Formazione tratta i dati personali raccolti attraverso il sito enbiform.it, ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del D.Lgs. 196/2003. Per i cookie e le tecnologie simili si rinvia alla Cookie Policy.

1. Titolare del trattamento

Ente Nazionale Bilaterale per la Formazione (E.N.Bi.Form.)
Piazza del Popolo, 18 – 00187 Roma
Codice fiscale 97851920583 – Partita IVA 13461031000
Telefono 06 9896 0363 – PEC: enbiform@pec.it
E-mail per le questioni relative ai dati personali: privacy@enbiform.it

L’Ente non è tenuto a designare un Responsabile della protezione dei dati (DPO). Per qualsiasi richiesta si può scrivere all’indirizzo indicato sopra.

2. Chi tratta i dati per conto dell’Ente

L’Ente opera sul territorio attraverso gli Organismi Paritetici Interregionali (O.P.I. E.N.Bi.Form. Nord e O.P.I. E.N.Bi.Form. Centro-Sud) e le strutture territoriali E.N.Bi.Form. (organismi regionali, provinciali e territoriali). Questi organismi gestiscono le adesioni, le prestazioni, il Servizio RLST e i corsi delle imprese e dei lavoratori che fanno loro riferimento, e accedono ai relativi dati solo per queste finalità.

I dati sono trattati inoltre da persone autorizzate dall’Ente (art. 29 GDPR e art. 2-quaterdecies D.Lgs. 196/2003), tenute alla riservatezza.

3. Quali dati trattiamo, per quali finalità e su quale base giuridica

3.1 Navigazione del sito

I sistemi che fanno funzionare il sito registrano alcuni dati tecnici della navigazione: indirizzo IP, data e ora della richiesta, pagina richiesta, tipo di browser e di dispositivo, esito della richiesta. Servono a far funzionare il sito, a proteggerlo da abusi e attacchi e a individuare malfunzionamenti.
Base giuridica: legittimo interesse dell’Ente alla sicurezza e al corretto funzionamento del sito (art. 6, par. 1, lett. f).
Conservazione: per il tempo tecnico previsto dai fornitori di hosting e di sicurezza, salvo la necessità di accertare responsabilità in caso di illeciti.

Per le statistiche di visita il sito usa Cloudflare Web Analytics, che misura le visite in forma aggregata senza installare cookie né identificare il visitatore (legittimo interesse), e Google Analytics 4, che si attiva solo con il consenso espresso nel banner dei cookie (art. 6, par. 1, lett. a). Il consenso si può revocare in qualsiasi momento dal pulsante delle preferenze sui cookie.
Cookie. Il sito usa cookie tecnici necessari al funzionamento (tra cui enbi_ref ed enbi_terr, descritti ai punti seguenti), per i quali il consenso non è richiesto; i cookie statistici di Google Analytics 4 si attivano solo dopo il consenso espresso dal banner («Accetta», «Nega», «Visualizza le preferenze») e la scelta si può modificare in ogni momento da «Gestisci consenso». Dettagli nella Cookie Policy.

3.2 Area riservata per aziende e lavoratori

Per accedere all’area riservata si crea un account con nome, cognome, indirizzo e-mail e password (conservata cifrata). L’account serve a presentare e seguire le richieste descritte ai punti seguenti. Il personale dell’Ente e degli O.P.I. accede ai dati solo per le pratiche di propria competenza. I dati dell’account si aggiornano dal profilo o scrivendo a privacy@enbiform.it; l’account si cancella su richiesta.
Base giuridica: esecuzione del servizio richiesto dall’interessato (art. 6, par. 1, lett. b).
Conservazione: finché l’account resta attivo; dopo la cancellazione restano i dati legati a pratiche e adesioni, per i tempi indicati nei rispettivi punti.

3.3 Adesione all’Ente e Servizio RLST

Con il modulo di adesione l’impresa comunica: ragione sociale, codice fiscale e partita IVA, codici REA e ATECO, CCNL applicato, posizioni INPS e INAIL, numero di dipendenti, sede, recapiti; i dati del legale rappresentante (nome, cognome, codice fiscale, data e luogo di nascita, copia del documento d’identità); la visura camerale; la parte datoriale e la struttura territoriale di riferimento; le contabili dei versamenti; la firma. Per il Servizio RLST (Rappresentante dei Lavoratori per la Sicurezza Territoriale) si trattano inoltre la tipologia di servizio scelta, le scadenze di rinnovo e il nominativo dell’RLST attribuito.
Finalità: gestire l’adesione e i servizi collegati, attribuire l’RLST, inviare gli avvisi di scadenza e rinnovo, riconoscere i contributi e ripartirli tra gli organismi dell’Ente, adempiere agli obblighi amministrativi, contabili e fiscali.
Base giuridica: esecuzione del rapporto di adesione (art. 6, par. 1, lett. b) e obblighi di legge (art. 6, par. 1, lett. c) per la parte contabile e fiscale.
Conservazione: per tutta la durata dell’adesione e per 10 anni dalla sua cessazione (art. 2220 c.c.).

3.4 Prestazioni per lavoratori e aziende

Per le prestazioni previste dal Regolamento dell’Ente si trattano i dati del richiedente (anagrafica, codice fiscale, recapiti, IBAN per l’accredito), del datore di lavoro, la busta paga o la visura camerale, la documentazione di spesa e, quando la prestazione riguarda un familiare, i dati del familiare (anche minore) e i documenti che provano il rapporto (stato di famiglia, estratto dell’atto di nascita, dichiarazioni sostitutive). Chi presenta la domanda per un familiare dichiara di avere titolo a comunicarne i dati e di averlo informato, mettendo a sua disposizione questa informativa (art. 14 GDPR).
Alcune prestazioni – ad esempio il sostegno alla disabilità o il contributo per lenti da vista – comportano il trattamento di dati relativi alla salute, che l’Ente tratta solo nella misura necessaria a verificare il diritto alla prestazione.
Base giuridica: esecuzione della richiesta di prestazione (art. 6, par. 1, lett. b); per i dati relativi alla salute, l’art. 9, par. 2, lett. b), in quanto prestazioni di welfare previste dalla contrattazione collettiva. Per la parte contabile e fiscale, obblighi di legge (art. 6, par. 1, lett. c).
Conservazione: 10 anni dalla liquidazione o dal rigetto della domanda.

3.5 Corsi di formazione: pre-iscrizione e iscrizione

Per partecipare ai corsi pubblicati nel calendario si trattano: nome, cognome, codice fiscale, recapiti, azienda di appartenenza e relativo codice ATECO, mansione, modalità di partecipazione (in aula o in videoconferenza), sede di collegamento e dichiarazione sull’idoneità della postazione per la videoconferenza. Al completamento dell’iscrizione si raccoglie anche la copia di un documento d’identità, necessaria per identificare il partecipante e rilasciare l’attestato. Durante il corso si registrano presenze ed esito delle verifiche.
Finalità: organizzare il corso, comunicare con i partecipanti, tenere registri e rilasciare gli attestati previsti dalla normativa sulla formazione in materia di salute e sicurezza, ripartire i costi del corso tra le strutture territoriali.
Base giuridica: esecuzione della richiesta di partecipazione (art. 6, par. 1, lett. b) e obblighi di legge sulla formazione obbligatoria (art. 6, par. 1, lett. c).
Conservazione: i dati della pre-iscrizione e dell’iscrizione per 12 mesi dalla fine del corso; registri, esiti e attestati per il tempo richiesto dalla normativa sulla formazione. I documenti d’identità sono conservati in forma cifrata, in un archivio ad accesso riservato non raggiungibile dal sito pubblico, e vengono cancellati automaticamente 12 mesi dopo la fine del corso.

Dati comunicati dall’impresa. L’impresa può pre-iscrivere i propri lavoratori con un’unica richiesta. In questo caso nome, cognome e codice fiscale del lavoratore (e, al completamento, mansione, comprensione della lingua italiana, luogo e data di nascita, documento d’identità e sede di collegamento) non sono raccolti presso il lavoratore ma comunicati dall’impresa, che li trasmette in adempimento dell’obbligo di formazione dei propri dipendenti (art. 37 D.Lgs. 81/2008) e dichiara di averli informati. L’Ente li tratta come titolare autonomo, per le finalità, sulle basi giuridiche e per i tempi indicati sopra; le comunicazioni sul corso sono inviate al referente indicato dall’impresa. Questa informativa è messa a disposizione del lavoratore anche tramite l’impresa e all’avvio del corso (art. 14 GDPR).

Link dei promotori. Le strutture territoriali possono diffondere un link personale. Chi arriva sul sito da quel link riceve un cookie tecnico (enbi_ref, durata 30 giorni) che contiene solo il codice della struttura; se la persona si pre-iscrive a un corso entro quel periodo, l’iscrizione viene attribuita alla struttura che l’ha segnalata. La struttura riceve per e-mail un avviso con il nominativo e i recapiti di ciascuna pre-iscrizione che le viene attribuita. Il trattamento si basa sul legittimo interesse dell’Ente a riconoscere l’attività delle strutture e a ripartire i costi dei corsi (art. 6, par. 1, lett. f).

3.6 Docenti e responsabili del progetto formativo (RPF)

Per i docenti e i responsabili del progetto formativo (RPF) dei corsi si trattano: nome, cognome, codice fiscale, curriculum vitae, ruolo, struttura che li propone, esito e scadenza della verifica dei requisiti. I dati sono comunicati dalla struttura territoriale o dall’O.P.I. che propone il formatore, che dichiara di averlo informato; questa informativa è a disposizione del formatore anche tramite la struttura (art. 14 GDPR).
Finalità: verificare che docenti e RPF possiedano i requisiti previsti dalla normativa sulla formazione in materia di salute e sicurezza (D.I. 6 marzo 2013 e Accordo Stato-Regioni del 17 aprile 2025), assegnarli ai corsi e documentare la verifica. La validazione del CV vale 180 giorni; prima della scadenza la struttura riceve un promemoria per trasmettere un CV aggiornato.
Base giuridica: adempimento degli obblighi che gravano sull’Ente come soggetto formatore (art. 6, par. 1, lett. c) e legittimo interesse dell’Ente a verificare la qualificazione di chi insegna nei propri corsi (art. 6, par. 1, lett. f).
Conservazione: il CV è conservato in forma cifrata ed è accessibile solo agli O.P.I. Quando viene validato un CV aggiornato la versione precedente è cancellata; un CV non validato è cancellato insieme all’esito. Il CV di un formatore scaduto e non più assegnato a corsi è cancellato 12 mesi dopo la scadenza della validazione o, se successiva, dopo la fine dell’ultimo corso a cui è stato assegnato. Nome e ruolo restano nella documentazione dei corsi svolti, per i tempi indicati al punto 3.5.
Pubblicazione: i nomi di docenti e RPF non compaiono nelle pagine pubbliche del sito né nelle comunicazioni ai partecipanti.

Area riservata delle strutture territoriali. Le strutture accedono all’area riservata con un link personale inviato all’indirizzo e-mail registrato presso l’Ente. Aperto il link, un cookie tecnico (enbi_terr, durata massima 7 giorni) mantiene l’accesso sullo stesso browser; non contiene dati personali ma solo un codice di accesso.

3.7 Altre richieste e istanze

Con gli altri moduli del sito (manifestazioni d’interesse degli O.T.F., istanze di collaborazione alla formazione, istanze per controversie in materia di salute e sicurezza, checklist per i tirocini, richieste di informazioni) si trattano i dati del richiedente e dell’organizzazione che rappresenta e quelli indicati nella richiesta.
Base giuridica: esecuzione della richiesta (art. 6, par. 1, lett. b).
Conservazione: per il tempo necessario a gestire la richiesta e poi per 10 anni se ne deriva un rapporto o un obbligo contabile; le richieste senza seguito sono cancellate dopo 24 mesi.

3.8 Comunicazioni via e-mail

Il sito invia e-mail di servizio legate alle richieste (conferme, promemoria, avvisi di scadenza, comunicazioni sui corsi). L’Ente non svolge attività di marketing e non invia newsletter o comunicazioni promozionali.

4. Conferimento dei dati

Il conferimento dei dati indicati come obbligatori nei moduli è necessario per ottenere il servizio richiesto: senza quei dati la richiesta non può essere gestita. Il consenso ai cookie statistici è facoltativo e il rifiuto non limita l’uso del sito.

5. A chi possono essere comunicati i dati

• agli O.P.I. e alle strutture territoriali E.N.Bi.Form. competenti, per le finalità indicate al punto 2;
• ai fornitori che gestiscono per conto dell’Ente i servizi tecnici del sito, nominati responsabili del trattamento: Elementor Ltd. (hosting del sito, con server nell’Unione europea), Cloudflare Inc. (rete di distribuzione, sicurezza e statistiche aggregate), Brevo (Sendinblue SAS, invio delle e-mail del sito), Google Ireland Ltd. (Google Analytics 4, solo con consenso), IONOS SE (posta elettronica);
• ai docenti dei corsi, limitatamente ai dati necessari a svolgere le lezioni;
• a consulenti e professionisti che assistono l’Ente in materia amministrativa, contabile, fiscale e legale;
• a enti pubblici e autorità quando la comunicazione è prevista dalla legge.

I dati non sono diffusi né ceduti a terzi per finalità commerciali.

6. Trasferimenti fuori dall’Unione europea

Alcuni fornitori (Cloudflare, Google, Elementor) hanno sede o infrastrutture fuori dall’Unione europea. I trasferimenti avvengono verso Paesi con decisione di adeguatezza della Commissione europea (Israele; Stati Uniti per le società aderenti all’EU-U.S. Data Privacy Framework) oppure sulla base delle clausole contrattuali tipo approvate dalla Commissione.

7. Sicurezza

Il sito usa connessioni cifrate (HTTPS). L’accesso ai dati nell’area di gestione è limitato alle persone autorizzate e ai soli dati di loro competenza; i documenti d’identità dei partecipanti ai corsi e i curriculum dei formatori sono conservati in forma cifrata, in un’area protetta, e si scaricano solo dall’area di gestione.

8. I diritti dell’interessato

In ogni momento si può chiedere all’Ente l’accesso ai propri dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità dei dati forniti e trattati in modo automatizzato, e opporsi al trattamento basato sul legittimo interesse (artt. 15-22 GDPR). Il consenso eventualmente prestato si può revocare senza pregiudicare la liceità del trattamento precedente. Le richieste vanno inviate a privacy@enbiform.it; l’Ente risponde entro un mese.

Chi ritiene che il trattamento violi il GDPR può proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

9. Decisioni automatizzate

L’Ente non prende decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione.

10. Modifiche

L’informativa può essere aggiornata; la data dell’ultima versione è indicata in alto.