Merge pull request #29 from javaxman/feat/piano-formazione-codice-etico

Piano formazione Codice Etico (90 giorni + annuale)

src/data/allegati-codice-etico.ts

@@ -37,7 +37,7 @@ const allegatiByLocale: Record<SupportedLocale, AllegatiLocale> = {
   it: {
     page: {
       title: 'Allegati al Codice Etico — NexStudio',
-      description: 'Template operativi allegati al Codice Etico NexStudio: adesione, NDA, checklist pre-release, DPIA, informativa privacy, SBOM, retention, AI impact.',
+      description: 'Template operativi allegati al Codice Etico NexStudio: adesione, NDA, checklist, DPIA, privacy, SBOM, retention, AI impact, piano formazione.',
       heading: 'Allegati e moduli operativi',
       lead: 'Documenti complementari al Codice Etico. Ciascun allegato è un template da personalizzare e adottare secondo le esigenze operative.',
       backLabel: '← Torna al Codice Etico',
@@ -479,12 +479,116 @@ const allegatiByLocale: Record<SupportedLocale, AllegatiLocale> = {
           },
         ],
       },
+      {
+        id: 'piano-formazione',
+        heading: 'Piano di formazione — onboarding 90 giorni e formazione annuale',
+        description: 'Curriculum obbligatorio per collaboratori: moduli, tempistiche, ruoli critici e registro di completamento.',
+        intro:
+          'Documento operativo collegato alla sezione 13 del Codice Etico. HR è owner; CISO, DPO e Legal forniscono i contenuti di dominio. Conservare le evidenze di completamento nel fascicolo personale.',
+        sections: [
+          {
+            title: '1. Obiettivi',
+            content: [
+              'Assicurare che ogni collaboratore conosca Codice Etico, obblighi di sicurezza e privacy, e limiti del proprio ruolo sui dati (piattaforma, Legal Tech, Health Tech).',
+              'Ridurre il rischio operativo e regolatorio nei primi 90 giorni e mantenere competenze aggiornate con refresh annuale.',
+              'Produrre evidenze documentali (attestati, quiz, registro) per audit e KPI di formazione completata.',
+            ],
+          },
+          {
+            title: '2. Destinatari e responsabilità',
+            content: [
+              { label: 'Tutti i collaboratori', fields: ['Fondatori, dipendenti, consulenti e appaltatori con accesso a sistemi o dati NexStudio.'] },
+              { label: 'Owner del piano', fields: ['HR (calendario, registro, reminder).'] },
+              { label: 'Owner contenuti', fields: ['CISO (sicurezza), DPO (privacy), Legal (Codice Etico / compliance), CTO (coding sicuro / AI).'] },
+              { label: 'Manager di linea', fields: ['Verificano completamento entro le scadenze e segnalano ritardi a HR.'] },
+            ],
+          },
+          {
+            title: '3. Moduli obbligatori (core)',
+            content: [
+              { label: 'M1 — Codice Etico e condotta', fields: ['Durata: 1,5 h. Contenuti: valori, conflitti di interesse, segnalazioni, sanzioni. Output: dichiarazione di adesione firmata.'] },
+              { label: 'M2 — Sicurezza informatica', fields: ['Durata: 2 h. Contenuti: phishing, password/MFA, classificazione dati, gestione dispositivi, incident reporting. Output: quiz ≥ 80%.'] },
+              { label: 'M3 — Privacy PDPA e GDPR', fields: ['Durata: 2 h. Contenuti: basi giuridiche, diritti interessati, trasferimenti, breach notification 72h, ruoli titolare/responsabile. Output: quiz ≥ 80%.'] },
+              { label: 'M4 — Dati sensibili e perimetri prodotto', fields: ['Durata: 1,5 h. Contenuti: LexAura (segreto professionale), MediAura (dati sanitari), minimizzazione, accessi privilegiati. Output: checklist di comprensione firmata.'] },
+              { label: 'M5 — Uso responsabile di AI/ML', fields: ['Durata: 1,5 h. Contenuti: bias, supervisione umana, limiti del modello, divieto di usi incompatibili. Output: quiz ≥ 80%.'] },
+              { label: 'M6 — Coding sicuro e release (ruoli tecnici)', fields: ['Durata: 2 h. Contenuti: OWASP top risks, secret management, checklist pre-release, SBOM. Obbligatorio per sviluppatori, DevOps, QA. Output: quiz ≥ 80% + esercizio su checklist.'] },
+            ],
+          },
+          {
+            title: '4. Calendario onboarding 90 giorni',
+            content: [
+              { label: 'Giorno 0–7 (settimana 1)', fields: ['M1 Codice Etico + firma adesione e NDA se applicabile. Accesso sistemi solo dopo MFA e briefing sicurezza base (estratto M2).'] },
+              { label: 'Giorno 8–30 (mese 1)', fields: ['M2 Sicurezza completo + M3 Privacy. Nessun accesso a dati di produzione senza M2/M3 completati.'] },
+              { label: 'Giorno 31–60 (mese 2)', fields: ['M4 Perimetri prodotto (LexAura/MediAura secondo ruolo) + M5 AI. Ruoli tecnici: avvio M6.'] },
+              { label: 'Giorno 61–90 (mese 3)', fields: ['Completamento M6 (se dovuto). Review con manager: gap, formazione aggiuntiva, conferma registro. Checkpoint HR: 100% moduli obbligatori del ruolo.'] },
+            ],
+            note: 'Scadenze hard: adesione entro 7 giorni; core M2–M5 entro 60 giorni; M6 entro 90 giorni per i ruoli tecnici. Ritardi > 14 giorni: escalation a HR e manager, possibile limitazione accessi.',
+          },
+          {
+            title: '5. Formazione annuale ricorrente',
+            content: [
+              'Refresh obbligatorio entro 12 mesi dal completamento precedente (o dalla data di onboarding).',
+              'Durata minima aggregata: 3 ore (M1 aggiornato + M2/M3 delta normativi + richiamo AI).',
+              'Trigger aggiuntivi: cambio normativo rilevante, incidente grave, nuovo perimetro prodotto, cambio ruolo critico.',
+              'Formato ammesso: sessione live, e-learning asincrono con quiz, o workshop interno documentato.',
+            ],
+          },
+          {
+            title: '6. Formazione aggiuntiva per ruoli critici',
+            content: [
+              { label: 'CISO / security', fields: ['Incident response playbook, tabletop annuale, threat modeling.'] },
+              { label: 'DPO / privacy', fields: ['DPIA workshop, diritti interessati, trasferimenti internazionali.'] },
+              { label: 'Legal & compliance', fields: ['Aggiornamenti regolatori LexAura/MediAura, contratti sub-processori.'] },
+              { label: 'Sviluppo / DevOps', fields: ['Secure SDLC avanzato, review SBOM, penetration test findings walkthrough.'] },
+              { label: 'Supporto / customer success', fields: ['Accesso minimo ai dati cliente, script di escalation, divieto di uso fuori ticket.'] },
+            ],
+          },
+          {
+            title: '7. Modalità di erogazione e materiali',
+            content: [
+              'Lingue: italiano, inglese, thailandese (allineate al sito e al Codice Etico).',
+              'Materiali: slide/video interni, Codice Etico vigente, allegati operativi (checklist, DPIA, AI impact).',
+              'Valutazione: quiz a risposta multipla (soglia 80%) o attestato di presenza + exercise per workshop.',
+              'Ripetizione: in caso di quiz insufficiente, ritentativo entro 14 giorni con tutoring del owner di dominio.',
+            ],
+          },
+          {
+            title: '8. Registro formazione (template riga)',
+            content: [
+              {
+                label: 'Campi obbligatori per ogni record',
+                fields: [
+                  'Nome collaboratore',
+                  'Ruolo',
+                  'Modulo (M1–M6 / annuale / critico)',
+                  'Data',
+                  'Durata (h)',
+                  'Esito (superato / da ripetere)',
+                  'Evidenza (link quiz / PDF / firma)',
+                  'Owner verifica',
+                ],
+              },
+            ],
+            note: 'Retention del registro: allineata alla policy retention (record di formazione e dichiarazioni di adesione). Formato consigliato: foglio condiviso o HRIS con export per audit.',
+          },
+          {
+            title: '9. KPI e controllo',
+            content: [
+              '% onboarding con moduli obbligatori completati entro 90 giorni (target ≥ 95%).',
+              '% personale con refresh annuale in regola (target ≥ 95%).',
+              'Tempo medio di completamento M1–M5.',
+              'Numero ritardi > 14 giorni e azioni correttive.',
+            ],
+          },
+        ],
+        footer: 'Approvazione piano: HR _______ · CISO _______ · DPO _______ · Data _______',
+      },
     ],
   },
   en: {
     page: {
       title: 'Code of Ethics Annexes — NexStudio',
-      description: 'Operational templates annexed to the NexStudio Code of Ethics: adhesion, NDA, pre-release checklist, DPIA, privacy notice, SBOM, retention, AI impact.',
+      description: 'Operational templates annexed to the NexStudio Code of Ethics: adhesion, NDA, checklist, DPIA, privacy, SBOM, retention, AI impact, training plan.',
       heading: 'Annexes and operational forms',
       lead: 'Complementary documents to the Code of Ethics. Each annex is a template to be customized and adopted according to operational needs.',
       backLabel: '← Back to Code of Ethics',
@@ -926,12 +1030,116 @@ const allegatiByLocale: Record<SupportedLocale, AllegatiLocale> = {
           },
         ],
       },
+      {
+        id: 'piano-formazione',
+        heading: 'Training plan — 90-day onboarding and annual refresh',
+        description: 'Mandatory curriculum for collaborators: modules, timelines, critical roles and completion register.',
+        intro:
+          'Operational document linked to section 13 of the Code of Ethics. HR owns the plan; CISO, DPO and Legal provide domain content. Keep completion evidence in the personnel file.',
+        sections: [
+          {
+            title: '1. Objectives',
+            content: [
+              'Ensure every collaborator knows the Code of Ethics, security and privacy duties, and role limits on data (platform, Legal Tech, Health Tech).',
+              'Reduce operational and regulatory risk in the first 90 days and keep skills current with an annual refresh.',
+              'Produce documentary evidence (attestations, quizzes, register) for audits and training-completion KPIs.',
+            ],
+          },
+          {
+            title: '2. Audience and responsibilities',
+            content: [
+              { label: 'All collaborators', fields: ['Founders, employees, consultants and contractors with access to NexStudio systems or data.'] },
+              { label: 'Plan owner', fields: ['HR (calendar, register, reminders).'] },
+              { label: 'Content owners', fields: ['CISO (security), DPO (privacy), Legal (Code of Ethics / compliance), CTO (secure coding / AI).'] },
+              { label: 'Line managers', fields: ['Verify completion by deadlines and report delays to HR.'] },
+            ],
+          },
+          {
+            title: '3. Mandatory modules (core)',
+            content: [
+              { label: 'M1 — Code of Ethics and conduct', fields: ['Duration: 1.5 h. Contents: values, conflicts of interest, reporting, sanctions. Output: signed adhesion declaration.'] },
+              { label: 'M2 — Information security', fields: ['Duration: 2 h. Contents: phishing, password/MFA, data classification, device handling, incident reporting. Output: quiz ≥ 80%.'] },
+              { label: 'M3 — Privacy PDPA and GDPR', fields: ['Duration: 2 h. Contents: legal bases, data subject rights, transfers, 72h breach notification, controller/processor roles. Output: quiz ≥ 80%.'] },
+              { label: 'M4 — Sensitive data and product perimeters', fields: ['Duration: 1.5 h. Contents: LexAura (professional secrecy), MediAura (health data), minimization, privileged access. Output: signed understanding checklist.'] },
+              { label: 'M5 — Responsible AI/ML use', fields: ['Duration: 1.5 h. Contents: bias, human oversight, model limits, prohibition of incompatible uses. Output: quiz ≥ 80%.'] },
+              { label: 'M6 — Secure coding and release (technical roles)', fields: ['Duration: 2 h. Contents: OWASP top risks, secret management, pre-release checklist, SBOM. Mandatory for developers, DevOps, QA. Output: quiz ≥ 80% + checklist exercise.'] },
+            ],
+          },
+          {
+            title: '4. 90-day onboarding calendar',
+            content: [
+              { label: 'Day 0–7 (week 1)', fields: ['M1 Code of Ethics + signed adhesion and NDA if applicable. System access only after MFA and basic security briefing (M2 excerpt).'] },
+              { label: 'Day 8–30 (month 1)', fields: ['Full M2 Security + M3 Privacy. No production data access without completed M2/M3.'] },
+              { label: 'Day 31–60 (month 2)', fields: ['M4 Product perimeters (LexAura/MediAura by role) + M5 AI. Technical roles: start M6.'] },
+              { label: 'Day 61–90 (month 3)', fields: ['Complete M6 (if required). Manager review: gaps, extra training, register confirmation. HR checkpoint: 100% role-mandatory modules.'] },
+            ],
+            note: 'Hard deadlines: adhesion within 7 days; core M2–M5 within 60 days; M6 within 90 days for technical roles. Delays > 14 days: escalate to HR and manager; access may be limited.',
+          },
+          {
+            title: '5. Annual recurring training',
+            content: [
+              'Mandatory refresh within 12 months of previous completion (or onboarding date).',
+              'Minimum aggregate duration: 3 hours (updated M1 + M2/M3 regulatory deltas + AI reminder).',
+              'Additional triggers: material regulatory change, major incident, new product perimeter, critical role change.',
+              'Allowed formats: live session, async e-learning with quiz, or documented internal workshop.',
+            ],
+          },
+          {
+            title: '6. Extra training for critical roles',
+            content: [
+              { label: 'CISO / security', fields: ['Incident response playbook, annual tabletop, threat modeling.'] },
+              { label: 'DPO / privacy', fields: ['DPIA workshop, data subject rights, international transfers.'] },
+              { label: 'Legal & compliance', fields: ['LexAura/MediAura regulatory updates, sub-processor contracts.'] },
+              { label: 'Engineering / DevOps', fields: ['Advanced secure SDLC, SBOM review, penetration test findings walkthrough.'] },
+              { label: 'Support / customer success', fields: ['Least privilege on customer data, escalation scripts, no use outside tickets.'] },
+            ],
+          },
+          {
+            title: '7. Delivery and materials',
+            content: [
+              'Languages: Italian, English, Thai (aligned with the site and Code of Ethics).',
+              'Materials: internal slides/videos, current Code of Ethics, operational annexes (checklist, DPIA, AI impact).',
+              'Assessment: multiple-choice quiz (80% threshold) or attendance attestation + exercise for workshops.',
+              'Retake: if quiz fails, retry within 14 days with domain-owner tutoring.',
+            ],
+          },
+          {
+            title: '8. Training register (row template)',
+            content: [
+              {
+                label: 'Mandatory fields per record',
+                fields: [
+                  'Collaborator name',
+                  'Role',
+                  'Module (M1–M6 / annual / critical)',
+                  'Date',
+                  'Duration (h)',
+                  'Result (passed / retake)',
+                  'Evidence (quiz link / PDF / signature)',
+                  'Verification owner',
+                ],
+              },
+            ],
+            note: 'Register retention: aligned with the retention policy (training records and adhesion declarations). Recommended format: shared sheet or HRIS with audit export.',
+          },
+          {
+            title: '9. KPIs and control',
+            content: [
+              '% onboarding with mandatory modules completed within 90 days (target ≥ 95%).',
+              '% staff with annual refresh in good standing (target ≥ 95%).',
+              'Average completion time for M1–M5.',
+              'Number of delays > 14 days and corrective actions.',
+            ],
+          },
+        ],
+        footer: 'Plan approval: HR _______ · CISO _______ · DPO _______ · Date _______',
+      },
     ],
   },
   th: {
     page: {
       title: 'ภาคผนวกประมวลจริยธรรม — NexStudio',
-      description: 'เทมเพลตปฏิบัติการแนบท้ายประมวลจริยธรรม NexStudio: การยอมรับ, NDA, เช็กลิสต์ก่อนปล่อย, DPIA, ประกาศความเป็นส่วนตัว, SBOM, การเก็บรักษา, การประเมินผลกระทบ AI',
+      description: 'เทมเพลตปฏิบัติการแนบท้ายประมวลจริยธรรม NexStudio: การยอมรับ, NDA, เช็กลิสต์, DPIA, ความเป็นส่วนตัว, SBOM, การเก็บรักษา, AI impact, แผนการฝึกอบรม',
       heading: 'ภาคผนวกและแบบฟอร์มปฏิบัติการ',
       lead: 'เอกสารเสริมประมวลจริยธรรม แต่ละภาคผนวกเป็นเทมเพลตที่ต้องปรับแต่งและนำไปใช้ตามความต้องการเชิงปฏิบัติการ',
       backLabel: '← กลับไปประมวลจริยธรรม',
@@ -1371,6 +1579,110 @@ const allegatiByLocale: Record<SupportedLocale, AllegatiLocale> = {
           },
         ],
       },
+      {
+        id: 'piano-formazione',
+        heading: 'แผนการฝึกอบรม — ปฐมนิเทศ 90 วัน และการทบทวนประจำปี',
+        description: 'หลักสูตรบังคับสำหรับผู้ร่วมงาน: โมดูล ระยะเวลา บทบาทวิกฤต และทะเบียนการสำเร็จ',
+        intro:
+          'เอกสารปฏิบัติการเชื่อมกับหมวด 13 ของประมวลจริยธรรม HR เป็นเจ้าของแผน CISO DPO และ Legal จัดเนื้อหาโดเมน เก็บหลักฐานการสำเร็จในแฟ้มบุคลากร',
+        sections: [
+          {
+            title: '1. วัตถุประสงค์',
+            content: [
+              'ให้ผู้ร่วมงานทุกคนรู้จักประมวลจริยธรรม หน้าที่ด้านความปลอดภัยและความเป็นส่วนตัว และขอบเขตบทบาทต่อข้อมูล (แพลตฟอร์ม Legal Tech Health Tech)',
+              'ลดความเสี่ยงเชิงปฏิบัติการและกฎระเบียบใน 90 วันแรก และรักษาทักษะด้วยการทบทวนประจำปี',
+              'สร้างหลักฐานเอกสาร (ใบรับรอง แบบทดสอบ ทะเบียน) สำหรับการตรวจสอบและ KPI การฝึกอบรมที่เสร็จ',
+            ],
+          },
+          {
+            title: '2. ผู้รับและหน้าที่',
+            content: [
+              { label: 'ผู้ร่วมงานทั้งหมด', fields: ['ผู้ก่อตั้ง พนักงาน ที่ปรึกษา และผู้รับเหมาที่มีสิทธิเข้าถึงระบบหรือข้อมูล NexStudio'] },
+              { label: 'เจ้าของแผน', fields: ['HR (ปฏิทิน ทะเบียน การเตือน)'] },
+              { label: 'เจ้าของเนื้อหา', fields: ['CISO (ความปลอดภัย) DPO (ความเป็นส่วนตัว) Legal (ประมวล/compliance) CTO (secure coding / AI)'] },
+              { label: 'ผู้จัดการสายงาน', fields: ['ตรวจสอบการสำเร็จตามกำหนด และรายงานความล่าช้าให้ HR'] },
+            ],
+          },
+          {
+            title: '3. โมดูลบังคับ (core)',
+            content: [
+              { label: 'M1 — ประมวลจริยธรรมและการประพฤติ', fields: ['ระยะเวลา: 1.5 ชม. เนื้อหา: คุณค่า ผลประโยชน์ทับซ้อน การรายงาน การลงโทษ ผลลัพธ์: ประกาศยอมรับลงนาม'] },
+              { label: 'M2 — ความปลอดภัยสารสนเทศ', fields: ['ระยะเวลา: 2 ชม. เนื้อหา: phishing รหัสผ่าน/MFA การจำแนกข้อมูล อุปกรณ์ การรายงานเหตุการณ์ ผลลัพธ์: แบบทดสอบ ≥ 80%'] },
+              { label: 'M3 — ความเป็นส่วนตัว PDPA และ GDPR', fields: ['ระยะเวลา: 2 ชม. เนื้อหา: ฐานทางกฎหมาย สิทธิเจ้าของข้อมูล การโอน การแจ้ง breach 72 ชม. บทบาทผู้ควบคุม/ผู้ประมวลผล ผลลัพธ์: แบบทดสอบ ≥ 80%'] },
+              { label: 'M4 — ข้อมูลอ่อนไหวและขอบเขตผลิตภัณฑ์', fields: ['ระยะเวลา: 1.5 ชม. เนื้อหา: LexAura (ความลับวิชาชีพ) MediAura (ข้อมูลสุขภาพ) การลดข้อมูล การเข้าถึงพิเศษ ผลลัพธ์: เช็กลิสต์ความเข้าใจลงนาม'] },
+              { label: 'M5 — การใช้ AI/ML อย่างรับผิดชอบ', fields: ['ระยะเวลา: 1.5 ชม. เนื้อหา: อคติ การกำกับโดยมนุษย์ ข้อจำกัดโมเดล ห้ามใช้ไม่สอดคล้อง ผลลัพธ์: แบบทดสอบ ≥ 80%'] },
+              { label: 'M6 — การเขียนโค้ดอย่างปลอดภัยและการปล่อย (บทบาทเทคนิค)', fields: ['ระยะเวลา: 2 ชม. เนื้อหา: OWASP ความเสี่ยงหลัก การจัดการความลับ เช็กลิสต์ก่อนปล่อย SBOM บังคับสำหรับนักพัฒนา DevOps QA ผลลัพธ์: แบบทดสอบ ≥ 80% + แบบฝึกเช็กลิสต์'] },
+            ],
+          },
+          {
+            title: '4. ปฏิทินปฐมนิเทศ 90 วัน',
+            content: [
+              { label: 'วัน 0–7 (สัปดาห์ 1)', fields: ['M1 ประมวลจริยธรรม + ลงนามยอมรับและ NDA หากใช้ได้ เข้าถึงระบบหลัง MFA และบรีฟความปลอดภัยพื้นฐาน (ส่วนของ M2)'] },
+              { label: 'วัน 8–30 (เดือน 1)', fields: ['M2 ความปลอดภัยครบ + M3 ความเป็นส่วนตัว ห้ามเข้าถึงข้อมูล production โดยไม่มี M2/M3 เสร็จ'] },
+              { label: 'วัน 31–60 (เดือน 2)', fields: ['M4 ขอบเขตผลิตภัณฑ์ (LexAura/MediAura ตามบทบาท) + M5 AI บทบาทเทคนิค: เริ่ม M6'] },
+              { label: 'วัน 61–90 (เดือน 3)', fields: ['ทำ M6 ให้เสร็จ (ถ้าต้อง) ทบทวนกับผู้จัดการ: ช่องว่าง การอบรมเพิ่ม ยืนยันทะเบียน จุดตรวจ HR: โมดูลบังคับของบทบาทครบ 100%'] },
+            ],
+            note: 'กำหนดตายตัว: ยอมรับภายใน 7 วัน core M2–M5 ภายใน 60 วัน M6 ภายใน 90 วันสำหรับบทบาทเทคนิค ล่าช้า > 14 วัน: escalate ไป HR และผู้จัดการ อาจจำกัดการเข้าถึง',
+          },
+          {
+            title: '5. การฝึกอบรมประจำปี',
+            content: [
+              'ทบทวนบังคับภายใน 12 เดือนนับจากการสำเร็จครั้งก่อน (หรือวันปฐมนิเทศ)',
+              'ระยะเวลารวมขั้นต่ำ: 3 ชั่วโมง (M1 อัปเดต + ส่วนต่างกฎ M2/M3 + ทบทวน AI)',
+              'ตัวกระตุ้นเพิ่ม: การเปลี่ยนกฎสำคัญ เหตุการณ์ร้ายแรง ขอบเขตผลิตภัณฑ์ใหม่ การเปลี่ยนบทบาทวิกฤต',
+              'รูปแบบที่ยอมรับ: เซสชันสด e-learning พร้อมแบบทดสอบ หรือเวิร์กช็อปภายในที่มีเอกสาร',
+            ],
+          },
+          {
+            title: '6. การฝึกอบรมเพิ่มสำหรับบทบาทวิกฤต',
+            content: [
+              { label: 'CISO / ความปลอดภัย', fields: ['playbook ตอบสนองเหตุการณ์ tabletop ประจำปี threat modeling'] },
+              { label: 'DPO / ความเป็นส่วนตัว', fields: ['เวิร์กช็อป DPIA สิทธิเจ้าของข้อมูล การโอนระหว่างประเทศ'] },
+              { label: 'Legal & compliance', fields: ['อัปเดตกฎ LexAura/MediAura สัญญาผู้ประมวลผลช่วง'] },
+              { label: 'วิศวกรรม / DevOps', fields: ['Secure SDLC ขั้นสูง ทบทวน SBOM walkthrough ผลการ penetration test'] },
+              { label: 'สนับสนุน / customer success', fields: ['สิทธิ์น้อยสุดบนข้อมูลลูกค้า สคริปต์ escalate ห้ามใช้ นอกตั๋ว'] },
+            ],
+          },
+          {
+            title: '7. รูปแบบการจัดและสื่อ',
+            content: [
+              'ภาษา: อิตาลี อังกฤษ ไทย (สอดคล้องกับเว็บไซต์และประมวลจริยธรรม)',
+              'สื่อ: สไลด์/วิดีโอภายใน ประมวลฉบับปัจจุบัน ภาคผนวกปฏิบัติการ (เช็กลิสต์ DPIA AI impact)',
+              'การประเมิน: แบบทดสอบหลายตัวเลือก (เกณฑ์ 80%) หรือใบยืนยันการเข้าร่วม + แบบฝึกสำหรับเวิร์กช็อป',
+              'สอบใหม่: หากไม่ผ่าน สอบใหม่ภายใน 14 วันพร้อม mentoring จากเจ้าของโดเมน',
+            ],
+          },
+          {
+            title: '8. ทะเบียนการฝึกอบรม (เทมเพลตแถว)',
+            content: [
+              {
+                label: 'ฟิลด์บังคับต่อรายการ',
+                fields: [
+                  'ชื่อผู้ร่วมงาน',
+                  'บทบาท',
+                  'โมดูล (M1–M6 / ประจำปี / วิกฤต)',
+                  'วันที่',
+                  'ระยะเวลา (ชม.)',
+                  'ผล (ผ่าน / ต้องสอบใหม่)',
+                  'หลักฐาน (ลิงก์แบบทดสอบ / PDF / ลายเซ็น)',
+                  'ผู้ตรวจสอบ',
+                ],
+              },
+            ],
+            note: 'ระยะเวลาเก็บทะเบียน: ตามนโยบายการเก็บรักษา (บันทึกการฝึกอบรมและประกาศยอมรับ) รูปแบบแนะนำ: ชีตแชร์หรือ HRIS พร้อม export สำหรับ audit',
+          },
+          {
+            title: '9. KPI และการควบคุม',
+            content: [
+              '% ปฐมนิเทศที่โมดูลบังคับเสร็จภายใน 90 วัน (เป้า ≥ 95%)',
+              '% บุคลากรที่ทบทวนประจำปีครบ (เป้า ≥ 95%)',
+              'เวลาเฉลี่ยในการทำ M1–M5 ให้เสร็จ',
+              'จำนวนความล่าช้า > 14 วัน และการแก้ไข',
+            ],
+          },
+        ],
+        footer: 'การอนุมัติแผน: HR _______ · CISO _______ · DPO _______ · วันที่ _______',
+      },
     ],
   },
 };

src/data/codice-etico.ts

@@ -154,6 +154,7 @@ type CodiceEticoLocale = {
     item1Before: string;
     item1After: string;
     itemsRest: readonly string[];
+    planLinkLabel: string;
   };
   segnalazioni: {
     title: string;
@@ -553,9 +554,10 @@ const codiceEticoByLocale: Record<SupportedLocale, CodiceEticoLocale> = {
       item1After:
         '; estendere il curriculum quando l’elenco cresce), uso responsabile dell’AI, pratiche di coding sicuro.',
       itemsRest: [
-        'Formazione annuale obbligatoria e formazione aggiuntiva per ruoli critici.',
+        'Formazione annuale obbligatoria e formazione aggiuntiva per ruoli critici (vedi allegato Piano di formazione).',
-        'Registrazione e conservazione dei record di formazione.',
+        'Registrazione e conservazione dei record di formazione secondo il registro previsto nel piano.',
       ],
+      planLinkLabel: 'Apri il Piano di formazione (90 giorni + annuale) →',
     },
     segnalazioni: {
       title: '14. Segnalazioni, protezione del segnalante e investigazioni',
@@ -615,6 +617,7 @@ const codiceEticoByLocale: Record<SupportedLocale, CodiceEticoLocale> = {
         'Template SBOM.',
         'Policy di retention dei dati (tempi e giustificazioni).',
         'Template per valutazione d’impatto AI/ML.',
+        'Piano di formazione — onboarding 90 giorni e formazione annuale.',
       ],
     },
     approvazione: {
@@ -656,7 +659,7 @@ const codiceEticoByLocale: Record<SupportedLocale, CodiceEticoLocale> = {
       items: [
         'Personalizzare il documento con il nome ufficiale della società (se diverso dal marchio operativo), firme e riferimenti legali locali a Bangkok.',
         'Allegare i template elencati come documenti separati e implementare i canali tecnici per segnalazioni e bug bounty.',
-        'Predisporre un piano di formazione di 90 giorni per l’onboarding e formazione ricorrente annuale.',
+        'Applicare il Piano di formazione (allegato operativo): onboarding 90 giorni e refresh annuale; HR tiene il registro di completamento.',
       ],
     },
     notePraticheDPIA: [
@@ -1044,9 +1047,10 @@ const codiceEticoByLocale: Record<SupportedLocale, CodiceEticoLocale> = {
       item1After:
         '; extend the curriculum when the list grows), responsible AI use, secure coding practices.',
       itemsRest: [
-        'Mandatory annual training and additional training for critical roles.',
+        'Mandatory annual training and additional training for critical roles (see Training plan annex).',
-        'Recording and retention of training records.',
+        'Recording and retention of training records according to the register in the plan.',
       ],
+      planLinkLabel: 'Open the Training plan (90 days + annual) →',
     },
     segnalazioni: {
       title: '14. Reporting, whistleblower protection and investigations',
@@ -1106,6 +1110,7 @@ const codiceEticoByLocale: Record<SupportedLocale, CodiceEticoLocale> = {
         'SBOM template.',
         'Data retention policy (timelines and justifications).',
         'AI/ML impact assessment template.',
+        'Training plan — 90-day onboarding and annual refresh.',
       ],
     },
     approvazione: {
@@ -1147,7 +1152,7 @@ const codiceEticoByLocale: Record<SupportedLocale, CodiceEticoLocale> = {
       items: [
         'Customize the document with the official company name (if different from the operating brand), signatures and local legal references in Bangkok.',
         'Attach the listed templates as separate documents and implement technical channels for reporting and bug bounty.',
-        'Prepare a 90-day training plan for onboarding and recurring annual training.',
+        'Apply the Training plan (operational annex): 90-day onboarding and annual refresh; HR keeps the completion register.',
       ],
     },
     notePraticheDPIA: [
@@ -1535,9 +1540,10 @@ const codiceEticoByLocale: Record<SupportedLocale, CodiceEticoLocale> = {
       item1After:
         '; ขยายหลักสูตรเมื่อรายการเพิ่มขึ้น) การใช้ AI อย่างรับผิดชอบ แนวปฏิบัติการเขียนโค้ดอย่างปลอดภัย',
       itemsRest: [
-        'การฝึกอบรมประจำปีบังคับและการฝึกอบรมเพิ่มเติมสำหรับบทบาทวิกฤต',
+        'การฝึกอบรมประจำปีบังคับและการฝึกอบรมเพิ่มเติมสำหรับบทบาทวิกฤต (ดูภาคผนวกแผนการฝึกอบรม)',
-        'การบันทึกและการเก็บรักษาบันทึกการฝึกอบรม',
+        'การบันทึกและการเก็บรักษาบันทึกการฝึกอบรมตามทะเบียนในแผน',
       ],
+      planLinkLabel: 'เปิดแผนการฝึกอบรม (90 วัน + ประจำปี) →',
     },
     segnalazioni: {
       title: '14. การรายงาน การคุ้มครองผู้แจ้งเบาะแส และการสอบสวน',
@@ -1597,6 +1603,7 @@ const codiceEticoByLocale: Record<SupportedLocale, CodiceEticoLocale> = {
         'เทมเพลต SBOM',
         'นโยบายการเก็บรักษาข้อมูล (ระยะเวลาและเหตุผล)',
         'เทมเพลตการประเมินผลกระทบ AI/ML',
+        'แผนการฝึกอบรม — ปฐมนิเทศ 90 วัน และการทบทวนประจำปี',
       ],
     },
     approvazione: {
@@ -1638,7 +1645,7 @@ const codiceEticoByLocale: Record<SupportedLocale, CodiceEticoLocale> = {
       items: [
         'ปรับแต่งเอกสารด้วยชื่อบริษัทอย่างเป็นทางการ (หากต่างจากแบรนด์ปฏิบัติการ) ลายเซ็น และการอ้างอิงทางกฎหมายท้องถิ่นในกรุงเทพฯ',
         'แนบเทมเพลตที่ระบุเป็นเอกสารแยก และจัดทำช่องทางเทคนิคสำหรับการรายงานและ bug bounty',
-        'จัดทำแผนการฝึกอบรม 90 วันสำหรับการปฐมนิเทศและการฝึกอบรมประจำปี',
+        'ใช้แผนการฝึกอบรม (ภาคผนวกปฏิบัติการ): ปฐมนิเทศ 90 วัน และการทบทวนประจำปี; HR รักษาทะเบียนการสำเร็จ',
       ],
     },
     notePraticheDPIA: [

src/pages/codice-etico.astro

@@ -224,6 +224,14 @@ const isLabeled = (item: string | { label: string; text: string }): item is { la
       </li>
       {c.onboarding.itemsRest.map((item) => <li>{item}</li>)}
     </ul>
+    <p class="mt-3 text-sm">
+      <a
+        class={link}
+        href={`/${currentLocale === 'it' ? '' : currentLocale + '/'}allegati#piano-formazione`}
+      >
+        {c.onboarding.planLinkLabel}
+      </a>
+    </p>
 
     <h2 id="segnalazioni">{c.segnalazioni.title}</h2>
     <ul>