Il Suo registro dei trattamenti GDPR si compila automaticamente dai moduli che utilizza già, invece di partire da una pagina bianca. DoliPlus Le offre cinque strumenti concreti:

• un registro precompilato: DoliPlus analizza la Sua installazione e propone una scheda per ogni trattamento rilevato;
• un sportello per le richieste: accesso, rettifica, cancellazione, portabilità, con il termine di un mese monitorato automaticamente;
• un registro delle violazioni con il suo countdown di 72 ore;
• una pulizia automatica dei dati troppo vecchi, che può testare prima di attivarla;
• un log sigillato: ogni cancellazione effettivamente eseguita lascia una traccia che nessuno può modificare di nascosto.

In altre parole, il Suo software gestionale non si limita più a memorizzare dati: La aiuta a dimostrare che li tratta correttamente. Questi strumenti si attivano su richiesta sul Suo DoliPlus — dicaLe che desidera utilizzarli, e noi li attiveremo sulla Sua installazione.

 

La Sua conformità a colpo d’occhio

Menu «Home page», poi «Conformità RGPD» nel menu a sinistra: quattro riquadri riassumono a che punto è.

• «Registro dei trattamenti»: il numero di trattamenti e quelli ancora da validare, con «Apri il registro»;
• «Richieste di diritti»: le richieste aperte e quelle in ritardo, con «Apri le richieste»;
• «Violazioni dei dati»: le violazioni in corso, con «Apri il registro delle violazioni»;
• «Conservazione dei dati»: pulizia attiva o no e data del suo ultimo passaggio, con «Simulare ed attivare la pulizia» e «Configurare le durate» (riservati all’amministratore).

Il menu a sinistra porta anche al «Registro dei trattamenti», alle «Richieste di diritti», alle «Violazioni dei dati» e al «Registro sigillato».

 

Il registro dei trattamenti GDPR che non deve scrivere

Ogni azienda che tratta dati personali deve tenere un registro dei propri trattamenti. In pratica, riguarda quasi tutte le PMI: non appena emette fatture, fa prospecting, gestisce dipendenti o installa una telecamera, è coinvolta.

È proprio qui che l’esercizio si blocca. Davanti a un foglio di calcolo vuoto, nessuno sa da dove iniziare.

DoliPlus affronta il problema dall’altro lato. Poiché sa quali moduli utilizza, sa anche quali dati tratta. Un pulsante Analizza la mia installazione esamina quindi i moduli attivi e crea una scheda per ogni trattamento rilevato: gestione clienti, prospecting, paghe, campagne email, videoconferenze, supporto…

Ogni scheda arriva precompilata con la sua finalità, base legale, persone coinvolte, dati trattati, destinatari e una durata di conservazione conforme alle raccomandazioni abituali. Ha lo stato “da validare”: La rivede, la adatta alla Sua pratica effettiva, poi La convalida.

Poi, aggiunga manualmente i trattamenti che vivono al di fuori del software — videosorveglianza, paghe esterne, badge. Senza di essi, il Suo registro sarebbe incompleto.

Infine, un pulsante esporta il registro dei trattamenti GDPR in formato foglio di calcolo, con le sezioni richieste dal Garante della Privacy. È questo documento che presenta in caso di controllo.

Aggiungere un trattamento svolto al di fuori del gestionale, passo dopo passo

1. Menu «Home page» › «Conformità RGPD», poi «Registro dei trattamenti» nel menu a sinistra, e «Aggiungi un trattamento».
2. Gli dia un nome chiaro, ad esempio «Videosorveglianza del magazzino»: è l’unico campo obbligatorio.
3. «Finalità»: a cosa serve questo trattamento. «Base legale»: ciò che La autorizza a svolgerlo (contratto, obbligo di legge, interesse legittimo, consenso). Indichi poi chi è interessato, quali dati vengono trattati e chi li riceve.
4. Indichi la «Durata di conservazione» reale (ad esempio 30 giorni per le immagini di videosorveglianza), le misure di sicurezza e i fornitori esterni (responsabili del trattamento) che intervengono.
5. Lo stato: lasci «Da validare» se qualcuno deve rileggere la scheda, scelga «Convalidato» se è corretta, «Obsoleto» per un trattamento cessato, che resta tracciato.
6. Clicchi «Salva». La scheda indica «Inserito manualmente» come origine: «Analizza la mia installazione» non la toccherà mai. «Modifica» permette di correggerla, e la scheda compare nell’esportazione del registro.

 

Rispondere a una richiesta, senza perdere tre ore a cercare

Una persona Le scrive per sapere quali dati possiede su di lei o per richiederne la cancellazione. Ha un mese di tempo per rispondere. La difficoltà non sta nella lettera di risposta, ma nel ritrovare le informazioni sparse tra preventivi, fatture, scambi di mail e ticket.

DoliPlus registra la richiesta, calcola la scadenza e trova automaticamente i record corrispondenti al richiedente. Vede subito quali dati possiede e le richiste in ritardo vengono evidenziate in cima alla lista.

Cosa verrà cancellato e cosa deve rimanere

Ecco la vera difficoltà di una richiesta di cancellazione: non può eliminare tutto. Il codice commerciale La obbliga a conservare le fatture per 10 anni, anche se la persona ne richiede la rimozione.

DoliPlus glielo indica chiaramente prima di agire, ad esempio «12 fatture — conservazione 10 anni (obbligo contabile)». Il resto dei dati viene poi anonimizzato definitivamente. Così può rispondere al richiedente con precisione, senza promettere l’impossibile.

Nessuno può agire al posto di un altro

Un modulo di cancellazione accessibile a tutti sarebbe pericoloso: chiunque potrebbe richiedere l’eliminazione dei dati di un cliente o fornitore. DoliPlus impone quindi un doppio controllo. Prima, per una richiesta arrivata dallo sportello pubblico, il richiedente conferma il suo indirizzo tramite un link ricevuto via email. Poi, un collaboratore attesta di aver verificato la sua identità, specificando come.

Finché questo doppio controllo non è completato, nessuna azione sui dati è possibile. Ogni passo viene registrato in un dossier di risposta con timestamp, da presentare in caso di contestazioni.

Accesso, portabilità, opposizione, rettifica: le altre richieste

Sulla scheda della richiesta, una volta attestata l’identità («Attestare la verifica dell’identità») e collegate le schede della persona, il pulsante proposto dipende dal tipo di richiesta:

• accesso o portabilità: «Esporta i dati della persona» scarica un documento (formato JSON) che riunisce, per ogni scheda collegata, i dati detenuti, i documenti e gli obblighi di conservazione. L’esportazione viene annotata nel registro sigillato. Trasmetta Lei stesso questo documento alla persona: non viene allegato alla risposta;
• opposizione: «Registra opposizione» esclude ogni scheda collegata dagli invii di massa (le selezioni dei destinatari delle campagne DoliPlus e Brevo d’ora in poi la scartano) e vi annota l’opposizione alla prospezione commerciale, con la data. L’azione parte al primo clic e viene annotata nel registro sigillato. Se la persona figura già in una lista su Brevo, la tolga anche da Brevo: l’opposizione non lo fa al posto Suo;
• rettifica: un pulsante «Correggi la scheda» per ogni scheda collegata apre in modifica la scheda del soggetto terzo o del contatto; corregga, poi salvi.

Per finire, «Chiudi la richiesta» chiede conferma, poi invia al richiedente la risposta redatta nelle impostazioni (o il testo predefinito).

 

Le 72 ore decisive in caso di perdita di dati

Una chiave USB smarrita, una mailbox violata, un file inviato al destinatario sbagliato: ha allora 72 ore per avvisare il Garante della Privacy, weekend inclusi. Il countdown parte dal momento in cui viene a conoscenza dell’incidente, non da quando è avvenuto.

La schermata è progettata per essere compilata sotto pressione. Mostra il tempo rimanente — «Le restano 41 ore» — invece di una data da calcolare a mente. Sotto, elenca chiaramente cosa resta da fare: avvisare il Garante, informare le persone se il rischio è elevato, descrivere le misure adottate.

Se il termine è superato, DoliPlus chiede il motivo del ritardo. Non è un rimprovero: il Garante richiede questa spiegazione per ogni notifica tardiva.

 

Visualizzare cosa verrebbe cancellato dalla pulizia, prima di avviarla

Conservare dati troppo a lungo La espone a rischi. Ma una cancellazione automatica mal configurata elimina informazioni di cui avevate bisogno, ed è irreversibile.

DoliPlus risolve questo dilemma con una simulazione. Con un clic, ottenete il quadro esatto di ciò che verrebbe interessato: regola per regola, il numero di record coinvolti, distinguendo quelli che verrebbero anonimizzati da quelli che verrebbero eliminati.

Il pulsante di attivazione appare solo sotto questa tabella. È quindi impossibile avviare la cancellazione senza aver visto i numeri. Rimane disattivato finché non decidete, e la sua attivazione viene tracciata con il nome della persona che l’ha approvata.

Il vostro DoliPlus gestisce più società? Ognuna applica allora le proprie durate di conservazione, mai quelle di un’altra. Dalla società principale, la simulazione si legge società per società: il dettaglio di ognuna, poi il totale generale. Da una società secondaria, vedete solo la vostra. Infine, l’attivazione si pilota dalla società principale, poiché coinvolge tutte. Sapete quindi sempre su quale perimetro si riferiscono i numeri visualizzati.

Impostare le durate, lo sportello e i messaggi, passo dopo passo

1. Sulla pagina iniziale «Conformità RGPD», clicchi «Configurare le durate» (riservato all’amministratore).
2. «Apri lo sportello pubblico per le richieste di diritti»: se la casella è spuntata, una pagina pubblica permette a chiunque di richiedere l’accesso, la rettifica o la cancellazione dei propri dati; ogni richiesta arriva in «Richieste di diritti». Un numero massimo di richieste all’ora limita gli abusi.
3. L’oggetto e il messaggio della risposta al richiedente: se li lascia vuoti, DoliPlus usa il suo testo predefinito.
4. Per ogni tipo di soggetto terzo (cliente, potenziale cliente, fornitore…) e poi di contatto, la durata oltre la quale una scheda SENZA ALCUN evento, e non collegata ad alcun documento, viene anonimizzata dalla pulizia. «Mai» la conserva.
5. La riga «Né prospect/Né cliente» indica invece una durata di ELIMINAZIONE: queste schede senza alcun rapporto commerciale vengono cancellate, non solo anonimizzate. L’icona accanto calcola quante schede sarebbero interessate oggi.
6. Scheda «Configurazione dei messaggi»: il responsabile GDPR scelto in «Casella mail del responsabile GDPR» è il mittente delle richieste di consenso e delle conferme. Qui Lei redige il testo dei due collegamenti («Accetto» / «Ritiro il mio consenso») e tre messaggi: la richiesta, la conferma di accettazione, la conferma di rifiuto. Le variabili (__CIVILITY__, __LASTNAME__…) vengono sostituite con i dati della scheda del destinatario; ogni blocco si salva con il proprio pulsante.
7. Le durate si applicano solo se la pulizia automatica è attivata. Sulla pagina della pulizia, clicchi prima «Simula la rimozione»: calcola ciò che verrebbe fatto oggi, per società e per tipo di scheda, senza modificare nulla. Se un numero La sorprende, riveda le durate.
8. Solo dopo, «Abilita la pulizia» (previa conferma) la avvia ogni notte, in modo irreversibile: è una decisione del responsabile GDPR, annotata nel registro sigillato.

 

Dimostrare, sei mesi dopo, che la cancellazione è avvenuta

Ecco la domanda che arriva sempre per ultima, e sempre nel momento sbagliato: «dimostratemi che avete davvero cancellato i miei dati». Una riga datata in una tabella non dimostra molto, poiché chi amministra il database può riscriverla.

DoliPlus registra quindi ogni azione realmente eseguita in un registro sigillato: una cancellazione, un’opposizione alla profilazione, un dossier di dati consegnato a qualcuno, l’attivazione della cancellazione, e il risultato di ogni suo passaggio.

Ogni riga porta un’impronta che dipende dalla riga precedente. Formano così una catena. Modificare una riga, eliminarne una o inserirne una nel mezzo rompe questa catena — e un pulsante Verifica integrità indica la prima riga coinvolta.

Ciò che questa sigillatura garantisce, e ciò che non garantisce

La chiave che sigilla il registro risiede al di fuori del database, in un file protetto del vostro server. Di conseguenza, una persona che accede al database non può ricalcolare una catena credibile: la sua modifica si vede.

Tuttavia, qualcuno con accesso completo al server potrebbe ancora farlo. Nessuna sigillatura locale protegge da ciò, da noi come altrove. Preferiamo dirlo: una prova che non si sa spiegare non vale nulla davanti a un controllo.

Due dettagli contano nel quotidiano. Innanzitutto, il registro sopravvive alla richiesta: eliminate la scheda della richiesta, la prova dell’azione rimane. Inoltre, un pulsante esporta l’intero registro in formato foglio di calcolo, pronto da allegare a un dossier.

Verificare ed esportare il registro sigillato, passo dopo passo

1. Menu «Home page» › «Conformità RGPD», poi «Registro sigillato» nel menu a sinistra.
2. Ogni riga è un’azione: la data, l’utente, l’azione (cancellazione, esportazione del fascicolo, pulizia…), la scheda interessata e il dettaglio. L’ultima colonna mostra l’inizio dell’impronta.
3. Clicchi «Verifica l’integrità»: DoliPlus rilegge l’intera catena, senza modificare nulla. Il messaggio «Catena intatta: … azione(i) verificata(i)» significa che tutte le azioni sono presenti, nell’ordine, senza ritocchi; altrimenti il riquadro diventa rosso e indica dove la catena si interrompe.
4. In caso di controllo, «Esporta il registro (CSV)» scarica l’intero registro, impronte complete comprese.

 

Ciò che DoliPlus fa, e ciò che non fa

Siamo chiari: nessun software può garantirLe la conformità al Suo posto. DoliPlus La fornisce di strumenti, ma non sostituisce né il Suo giudizio né il Suo responsabile dei dati.

Due aspetti rimangono volutamente esclusi dal software, poiché la CNIL li copre già gratuitamente e meglio di quanto potremmo fare noi:

• l’analisi d’impatto, obbligatoria solo per trattamenti ad alto rischio — rari in una PMI standard. La CNIL mette a disposizione un software libero e gratuito che applica il suo metodo, disponibile online o installabile sul Suo server;
• la gestione dei cookie del Suo sito vetrina, che riguarda il Suo sito web e non il Suo software di gestione.

Ciò che invece DoliPlus fa e nessuno strumento esterno può fare, è agire sui Suoi dati: anonimizza realmente, esporta realmente il fascicolo di una persona e ne conserva la prova. Uno strumento di conformità separato si limita a registrare la Sua richiesta — perché non ha accesso ai Suoi file.

 

Per approfondire

• Gestione predefinita dei contatti — i record direttamente interessati dai Suoi tempi di conservazione.
• Software di emailing con Brevo — il consenso e la cancellazione dalle Sue campagne.
• Archiviazione automatica delle email — gli scambi conservati nella cronologia dei Suoi clienti.
• Importare contatti nel CRM — l’origine dei dati che raccoglie.