Informativa privacy

Titolare del trattamento: [RAGIONE SOCIALE — da confermare], con sede legale in [SEDE LEGALE — da confermare], P.IVA [P.IVA — da confermare], C.F. [CODICE FISCALE — da confermare], REA [NUMERO REA — da confermare], capitale sociale [CAPITALE SOCIALE — da confermare], PEC [PEC — da confermare].

Contatti per esercitare i diritti e per ogni richiesta relativa ai dati personali: [EMAIL PRIVACY — da attivare].

Responsabile della protezione dei dati (DPO): [CONTATTO DPO — da nominare o dichiarare non obbligatorio]. Il titolare ha valutato la nomina ai sensi dell'art. 37 GDPR: le attività principali consistono nell'erogazione di un servizio software su istanza dell'interessato e non comportano, di regola, monitoraggio sistematico su larga scala né trattamento su larga scala di categorie particolari di dati.

Il servizio opera su mandato dell'utente (artt. 1703 e 1704 c.c.): le candidature sono trasmesse per conto del candidato, esclusivamente ai destinatari da lui determinati. Le aziende che ricevono la candidatura assumono la qualità di titolari autonomi dal momento della ricezione.

• Dati identificativi e di contatto: nome, cognome, indirizzo email, recapiti telefonici, eventuale link a profili professionali.
• Dati del curriculum e professionali: esperienze, titoli di studio, competenze, lingue, certificazioni, lettere di presentazione.
• Preferenze di ricerca: ruoli, settori, aree geografiche, modalità di lavoro, retribuzione attesa, canali abilitati.
• Dati di utilizzo e contabili: crediti acquistati e consumati, esiti degli invii, log tecnici, identificativi di transazione del fornitore di pagamenti.
• Dati del registro consensi: finalità, stato, versione dell'informativa, data e ora, impronta crittografica (hash) dell'indirizzo IP con salt, user agent.

Non sono richieste categorie particolari di dati (art. 9 GDPR). Se l'utente le inserisce spontaneamente nel testo del CV o nelle note, il trattamento avviene sulla base del consenso esplicito implicito nella richiesta di utilizzo del servizio e l'utente può rimuoverle in ogni momento.

Il conferimento dei dati contrattuali è necessario per erogare il servizio: senza di essi non è possibile creare l'account né inviare candidature. Il conferimento per finalità di marketing e misurazione è facoltativo e il rifiuto non impedisce l'uso del servizio.

Il servizio utilizza procedure automatizzate per adattare il testo del CV ai requisiti dell'annuncio e per calcolare un punteggio di compatibilità tra il profilo e l'offerta. Tali procedure producono un suggerimento, non una decisione che produce effetti giuridici: la candidatura è trasmessa solo per effetto di un invio disposto dall'utente o dal pilota automatico che l'utente ha attivato e può revocare.

Il punteggio di compatibilità non è condiviso con le aziende destinatarie e non è usato per determinare il prezzo del servizio. L'utente può in ogni momento: ottenere una spiegazione comprensibile della logica utilizzata, chiedere l'intervento umano, esprimere la propria opinione e contestare la proposta. La richiesta di intervento umano si esercita scrivendo a [EMAIL PRIVACY — da attivare] e viene gestita entro 30 giorni.

La descrizione estesa e aggiornata è nella pagina Processi automatizzati e trasparenza.

I dati sono comunicati solo a chi è necessario per erogare il servizio. I fornitori che trattano dati personali per conto del titolare sono nominati responsabili ai sensi dell'art. 28 GDPR mediante accordo scritto (il contratto di adesione del fornitore contiene le clausole sul trattamento dei dati). Elenco aggiornato e ruoli:

• Cloudflare — hosting, rete di distribuzione, database D1, archiviazione chiave-valore, oggetti durevoli. Ruolo: responsabile del trattamento.
• Stripe — pagamenti con carta e gestione degli abbonamenti. Ruolo: responsabile del trattamento (titolare autonomo per gli obblighi antiriciclaggio).
• Sentry (regione UE) — segnalazione degli errori applicativi. Ruolo: responsabile del trattamento. Attivo solo previo consenso alla categoria di misurazione.
• Fornitore di inferenza linguistica — elaborazione del testo del CV per l'adattamento. Ruolo: responsabile del trattamento; il contratto di servizio è conservato dal titolare tra i documenti di conformità.
• Google — accesso facoltativo con account Google e lettura dei messaggi e del calendario su richiesta dell'utente. Ruolo: titolare autonomo per il servizio di account; responsabile per la parte di integrazione.
• Aziende e piattaforme destinatarie delle candidature — titolari autonomi dal momento della ricezione.

L'elenco con i dettagli (dati trattati, paese, base del trasferimento, stato dell'accordo) è mantenuto nel documento interno dei sub-responsabili ed è fornito su richiesta. Non sono effettuate cessioni o vendite di dati personali a terzi.

I dati sono ospitati principalmente in Unione Europea (Cloudflare, rete globale con data center UE) e all'interno dell'Unione Europea. Quando un fornitore o un sub-fornitore tratta dati fuori dallo Spazio Economico Europeo, il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione europea (art. 45 GDPR) oppure delle clausole contrattuali standard approvate con decisione di esecuzione (UE) 2021/914 (art. 46 GDPR), integrate da una valutazione d'impatto del trasferimento e da misure supplementari tecniche e organizzative (cifratura in transito, minimizzazione, accesso limitato).

L'utente può ottenere copia delle garanzie adottate scrivendo a [EMAIL PRIVACY — da attivare].

• Dati dell'account e profilo: per tutta la durata del rapporto e fino a 12 mesi dall'ultima attività, salvo richiesta di cancellazione.
• CV, varianti e contenuti caricati: fino alla cancellazione da parte dell'utente; le varianti generate sono conservate finché l'utente non le elimina.
• Candidature inviate e relativi esiti: 36 mesi dall'ultimo invio, per consentire la consultazione dello storico e la gestione delle contestazioni.
• Dati tecnici dei job delle "mani" (payload con testo del CV): 30 giorni dalla chiusura del job, poi anonimizzazione automatica con procedura schedulata.
• Registro consensi: per tutto il periodo in cui il consenso è necessario e per i 5 anni successivi alla revoca, come prova dell'adempimento (art. 7 GDPR).
• Registro delle attività di trattamento: 12 mesi.
• Richieste degli interessati (export e cancellazione): 24 mesi dalla chiusura della richiesta.
• Documenti contabili e fiscali: 10 anni, per obbligo di legge.
• Log tecnici di sicurezza: 6 mesi.

I termini sono applicati anche da procedure automatiche di cancellazione e anonimizzazione eseguite periodicamente sul database; il loro esito è registrato nei log di servizio.

Il servizio è destinato a persone che hanno compiuto 14 anni. In Italia l'art. 2-quinquies del Codice Privacy (come modificato dal D.Lgs. 101/2018) fissa a 14 anni l'età a partire dalla quale il minore può prestare validamente il consenso in relazione ai servizi della società dell'informazione. Per i minori di 14 anni il consenso deve essere prestato da chi esercita la responsabilità genitoriale e il servizio non è utilizzabile in autonomia.

L'interessato può esercitare in ogni momento i seguenti diritti:

• accesso ai dati e alle informazioni sul trattamento (art. 15);
• rettifica dei dati inesatti e integrazione di quelli incompleti (art. 16);
• cancellazione dei dati, nei casi previsti (art. 17);
• limitazione del trattamento (art. 18);
• portabilità dei dati in formato strutturato e leggibile da dispositivo automatico (art. 20);
• opposizione al trattamento basato sul legittimo interesse (art. 21);
• revoca del consenso in ogni momento, senza pregiudizio per la liceità del trattamento svolto prima della revoca (art. 7, par. 3);
• non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici, e ottenere l'intervento umano (art. 22).

Le richieste di accesso e cancellazione possono essere esercitate direttamente dall'area personale del servizio e sono evase entro un mese dalla ricezione, prorogabile di due mesi in caso di particolare complessità, con comunicazione all'interessato. In alternativa si può scrivere a [EMAIL PRIVACY — da attivare].

Se ritiene che il trattamento dei propri dati violi la normativa, l'interessato può proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — protocollo.garanteprivacy.it) oppure ricorrere all'autorità giudiziaria. Resta ferma la possibilità di rivolgersi preventivamente al titolare per una soluzione bonaria.

I dati sono protetti con misure tecniche e organizzative: cifratura in transito, segregazione dei dati per proprietario a livello di query, autenticazione a token firmati, limiti di frequenza e di dimensione delle richieste sulle API, principio dei privilegi minimi per gli accessi amministrativi, registro delle attività e delle azioni amministrative. Gli indirizzi IP associati ai consensi e alle impronte dei link sono conservati solo come hash con salt.

In caso di violazione dei dati personali, il titolare notifica all'autorità di controllo entro 72 ore dalla presa di conoscenza, salvo che la violazione non presenti un rischio per i diritti e le libertà, e informa gli interessati quando il rischio è elevato (artt. 33 e 34).

Il titolare ha svolto una valutazione d'impatto sulla protezione dei dati per le funzioni di profilazione delle offerte e di adattamento del CV, che comportano un trattamento su larga scala di dati professionali con uso di procedure automatizzate. Esito sintetico: le misure adottate (minimizzazione, segregazione per proprietario, conservazione limitata nel tempo, intervento umano sempre disponibile, nessuna condivisione dei punteggi con le aziende) riducono il rischio residuo a livello non elevato. La valutazione ed il registro dei trattamenti sono conservati dal titolare e disponibili su richiesta all'autorità.

Le informazioni sull'uso dei cookie, con l'elenco per categoria e le modalità di revoca, sono nella cookie policy. Nessuno script non necessario parte prima di una scelta esplicita.

Ogni modifica sostanziale dell'informativa genera una nuova versione, indicata in testa a questa pagina e registrata nel motore di consenso. Il cambio di versione rende nuovamente necessaria la scelta sui cookie non necessari. Le modifiche non retroattive non incidono sulla liceità dei trattamenti già svolti.