Informativa sulla privacy
Traduzione di cortesia — fa fede soltanto il testo francese. Leggi il testo francese
1. Oggetto della presente informativa
La presente informativa spiega quali dati personali sono trattati quando Lei utilizza la piattaforma BySince e l'applicazione mobile Cartographe, perché, da chi, per quanto tempo e come esercitare i Suoi diritti. Essa si applica in conformità al regolamento (UE) 2016/679 (GDPR) e alla legge francese «Informatique et Libertés».
2. Chi è responsabile dei Suoi dati?
2.1. La Sua organizzazione è titolare del trattamento
La piattaforma è messa a Sua disposizione dalla Sua organizzazione (il Suo datore di lavoro, il Suo istituto, il Suo ente di formazione). È quest'ultima a decidere di crearLe un account e che cosa seguirvi: attività, percorsi, competenze, valutazioni, bilanci, badge. Essa è titolare del trattamento di tali dati. Essa Le deve la propria informativa, che integra la presente.
2.2. Since & Co è responsabile del trattamento
[da completare] («Since & Co»), editore della piattaforma, tratta tali dati per conto della Sua organizzazione e su sue istruzioni, in qualità di responsabile del trattamento ai sensi dell'articolo 28 del GDPR. I suoi impegni figurano nell'accordo sul trattamento dei dati.
2.3. I casi in cui Since & Co è titolare del trattamento
Since & Co decide da sola dei seguenti trattamenti e ne è titolare:
- la sicurezza della piattaforma: autenticazione, cronologia degli accessi, log tecnici, prevenzione degli abusi;
- la prova della Sua accettazione delle condizioni generali di utilizzo e del Suo consenso all'IA;
- il registro d'uso dell'IA e la conservazione cifrata delle chiavi API;
- la gestione del rapporto con le organizzazioni clienti e il trattamento delle richieste di assistenza.
Recapiti di Since & Co: si vedano le note legali.
3. Quali dati sono trattati?
| Categoria | Dati | Origine |
|---|---|---|
| Identità e account | Identificativo di accesso, cognome, nome, indirizzo e-mail (facoltativo a seconda delle organizzazioni), foto o avatar, lingua, organizzazione, reparto, gruppi, profili professionali, ruoli e diritti, stato dell'account. | La Sua organizzazione; Lei stesso. |
| Sicurezza | Password (sottoposta a hash), data della sua ultima modifica, impostazioni dell'autenticazione a due fattori (segreto dell'applicazione di autenticazione, codice temporaneo inviato via e-mail), dispositivi attendibili, date di accesso, indirizzo IP, browser. | Lei stesso; raccolta automatica. |
| Apprendimento e competenze | Iscrizioni ai percorsi, avanzamento, risorse consultate, schede stampate, apprendimenti convalidati, valutazioni e bilanci, libretto delle competenze, esperienze dichiarate, competenze proposte o riconosciute, dati di polivalenza, badge ottenuti. | Lei stesso; il Suo tutor; le persone autorizzate della Sua organizzazione. |
| Contenuti | Testi, documenti e immagini che Lei deposita; menzione della Sua qualità di autore o di revisore; commenti di revisione. | Lei stesso. |
| Acquisizioni sul campo (applicazione Cartographe) | Registrazioni sonore, fotografie e video realizzati in loco, con la relativa marcatura temporale; trascrizione delle registrazioni. Tali acquisizioni possono contenere la voce, l'immagine e le parole di persone, comprese persone che non hanno un account. | Il cartografo; le persone registrate. |
| Condizioni e consensi | Versione delle condizioni generali accettata, data e lingua di accettazione; consenso all'IA: data, versione delle condizioni, data dell'eventuale revoca; consenso prestato per il rilascio di un badge. | Lei stesso; il Suo tutor per il badge. |
| Intelligenza artificiale | Chiavi API che Lei registra (cifrate; ultimi quattro caratteri leggibili; etichetta; date di test e di ultimo utilizzo); registro d'uso (chi, quando, funzionalità, fornitore, modello, chiave utilizzata, esito positivo o negativo, volumi). | Lei stesso; raccolta automatica. |
| Assistenza | Contenuto delle Sue richieste di assistenza e scambi associati; informazioni tecniche sul Suo browser e sulla pagina interessata, allegate alla richiesta per consentire la diagnosi. | Lei stesso. |
| Registro di audit | Azioni di amministrazione sensibili compiute in un'organizzazione: autore, data, natura dell'azione. | Raccolta automatica. |
La piattaforma non è destinata a ricevere dati sensibili ai sensi dell'articolo 9 del GDPR (salute, opinioni, appartenenza sindacale…). Non li inserisca nei campi liberi.
4. Perché questi dati sono trattati?
| Finalità | Base giuridica | Titolare |
|---|---|---|
| Creare e gestire gli account, i ruoli e i diritti | Determinata dalla Sua organizzazione: in generale l'esecuzione del contratto di lavoro o di formazione, oppure il suo legittimo interesse a organizzare la formazione e la trasmissione dei saper fare. | La Sua organizzazione |
| Descrivere le attività, costruire i percorsi, seguire l'avanzamento, valutare gli apprendimenti, tenere il libretto delle competenze, redigere bilanci, gestire la polivalenza | Determinata dalla Sua organizzazione, come sopra; se del caso, i suoi obblighi di legge in materia di formazione e di sicurezza. | La Sua organizzazione |
| Raccogliere registrazioni, foto e video sul campo | Determinata dalla Sua organizzazione: legittimo interesse o consenso delle persone registrate, a seconda dei casi. | La Sua organizzazione |
| Rilasciare e pubblicare badge digitali | Consenso dello studente, raccolto prima del rilascio. | La Sua organizzazione |
| Utilizzare le funzionalità di IA | Consenso dell'utente che le attiva, revocabile; per il contenuto trattato, base determinata dalla Sua organizzazione. | La Sua organizzazione; l'intestatario della chiave API per il rapporto con il fornitore |
| Rendere sicura la piattaforma: autenticazione, autenticazione a due fattori, cronologia degli accessi, log, rilevamento degli abusi | Legittimo interesse di Since & Co e dei suoi clienti alla sicurezza del servizio; obbligo di sicurezza (articolo 32 del GDPR). | Since & Co |
| Conservare la prova dell'accettazione delle condizioni e del consenso all'IA | Legittimo interesse di Since & Co a provare l'opponibilità delle proprie condizioni, anche dopo l'eliminazione dell'account, per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria; obbligo di dimostrare il consenso (articolo 7 del GDPR). | Since & Co |
| Tenere il registro d'uso dell'IA | Legittimo interesse: sicurezza, assistenza, informazione dell'intestatario della chiave, fatturazione se del caso. | Since & Co |
| Inviare le e-mail di servizio: codice di accesso, reimpostazione della password, notifiche | Esecuzione del servizio richiesto dalla Sua organizzazione. | La Sua organizzazione; Since & Co per la sicurezza |
| Rispondere alle richieste di assistenza | Esecuzione del contratto concluso con la Sua organizzazione. | Since & Co |
| Eseguire il backup e il ripristino dei dati | Obbligo di sicurezza (articolo 32 del GDPR). | Since & Co, per conto della Sua organizzazione |
La piattaforma non utilizza i Suoi dati né per pubblicità, né per attività di prospezione commerciale, né per profilarla. Non comprende alcuno strumento di misurazione dell'audience di terzi. Non adotta alcuna decisione individuale automatizzata (si vedano le condizioni generali, articolo 18).
5. Chi ha accesso ai Suoi dati?
5.1. All'interno della Sua organizzazione
- gli amministratori della Sua organizzazione, che possono anche connettersi temporaneamente al Suo posto a fini di assistenza;
- il Suo o i Suoi tutor, per il Suo avanzamento e i Suoi apprendimenti;
- le persone che dispongono di diritti «risorse umane», per i bilanci, il libretto delle competenze e la polivalenza, nei limiti dei loro diritti;
- gli altri utenti, per i contenuti di cui Lei è autore;
- se del caso, la società madre o le filiali con le quali la Sua organizzazione condivide contenuti.
I dati di ciascuna organizzazione sono separati da quelli delle altre.
5.2. Presso Since & Co
Il personale autorizzato di Since & Co (esercizio, assistenza, sviluppo) può accedere ai dati quando ciò è necessario all'hosting, alla manutenzione, alla sicurezza o a una richiesta di assistenza. È tenuto alla riservatezza. Le Sue chiavi API personali non gli sono accessibili dall'interfaccia.
5.3. Responsabili del trattamento e fornitori
| Fornitore | Ruolo | Dati interessati | Quando |
|---|---|---|---|
| [da completare] | Hosting della piattaforma e della sua base di dati. Localizzazione: [da completare]. | Tutti i dati della piattaforma. | In permanenza. |
| Infomaniak Network SA (Svizzera) | Archiviazione remota dei backup, quando il backup esternalizzato è attivato. | Copia della base di dati e dei file depositati. | A ogni backup. |
| Anthropic | IA: conversione di una trascrizione in schede; revisioni e redazioni avviate in esercizio. | Testo delle trascrizioni e contenuto delle schede, che possono contenere dati personali. | Unicamente quando la funzionalità è utilizzata. |
| OpenAI | IA: trascrizione audio in mancanza di trascrizione locale; revisioni e redazioni a scelta dell'operatore. | File audio (voce e parole); contenuto delle schede. | Unicamente quando la funzionalità è utilizzata. |
| Google (Gemini) | IA: revisioni, redazioni e parole chiave, a scelta dell'operatore. | Contenuto delle schede, nomi delle attività. | Unicamente quando la funzionalità è utilizzata. |
| Stability AI | IA: generazione di immagini. | Descrizione testuale inserita. | Unicamente quando la funzionalità è utilizzata. |
| Banche di immagini: Wikimedia Commons, Pexels, Unsplash, Pixabay, Flickr | Ricerca e importazione di immagini illustrative, a seconda della configurazione. | Parole chiave di ricerca, trasmesse dal server della piattaforma. Le anteprime dei risultati sono caricate direttamente dalla banca di immagini: quest'ultima riceve quindi l'indirizzo IP e il browser della persona che effettua la ricerca. | In occasione di una ricerca di immagini. |
| MyMemory (Translated) | Traduzione automatica del titolo di un'immagine importata. | Titolo dell'immagine, proveniente dalla banca di immagini. Nessun dato personale. | In occasione dell'importazione di un'immagine. |
| DiceBear; Lorem Picsum | Avatar e immagini illustrative predefiniti. | Nessun dato personale. DiceBear riceve un valore casuale sottoposto a hash; né nome, né indirizzo e-mail. Le richieste partono dal server della piattaforma. | Alla creazione di un avatar o di un'immagine predefinita. |
| API «Recherche d'entreprises» (Stato francese) | Verifica del numero SIREN di un'entità collegata. | Numero SIREN dell'entità. Nessun dato personale. | Alla creazione di una filiale. |
| jsDelivr | Distribuzione di librerie di visualizzazione in alcune schermate di modifica e di amministrazione. | Indirizzo IP e browser della persona che apre tali schermate, ricevuti direttamente da tali servizi. | All'apertura di tali schermate. Si veda cookie e strumenti di tracciamento. |
Hugging Face serve unicamente al download di modelli eseguiti localmente: nessun dato degli utenti gli è trasmesso. Il dettaglio delle funzionalità di IA e dei dati trasmessi figura nelle condizioni generali, articolo 13.
Caso delle chiavi API. Quando una funzionalità di IA utilizza la Sua chiave personale o quella della Sua organizzazione, il fornitore tratta i dati sull'account dell'intestatario della chiave, secondo il contratto che tale intestatario ha concluso con lui. Quando Since & Co utilizza i propri mezzi in esercizio, il fornitore agisce come sub-responsabile del trattamento di Since & Co.
5.4. Il pubblico, per i badge
La pagina e i dati di verifica di un badge sono pubblici. Si veda la sezione 9.
5.5. Autorità
I dati possono essere comunicati alle autorità competenti, su richiesta formale e alle condizioni previste dalla legge.
6. Trasferimenti al di fuori dell'Unione europea
I dati della piattaforma sono ospitati nel luogo sopra indicato. I backup remoti sono archiviati in Svizzera, paese riconosciuto dalla Commissione europea come garante di un livello di protezione adeguato.
I fornitori di IA e alcuni fornitori tecnici (Anthropic, OpenAI, Google, Stability AI, jsDelivr, banche di immagini) sono stabiliti al di fuori dell'Unione europea, principalmente negli Stati Uniti, o possono trattarvi dati. L'utilizzo delle funzionalità corrispondenti può quindi comportare un trasferimento. Le garanzie applicabili (decisione di adeguatezza, clausole contrattuali tipo) dipendono dalle condizioni di ciascun fornitore e, per l'IA, dall'offerta sottoscritta dall'intestatario della chiave. La Sua organizzazione se ne accerta prima di autorizzare tali funzionalità. Lei può chiederne il dettaglio al contatto indicato alla sezione 12.
Nessun trasferimento verso un fornitore di IA ha luogo se l'IA è disattivata per la Sua organizzazione, se Lei non ha prestato il Suo consenso o se non è disponibile alcuna chiave.
7. Per quanto tempo sono conservati i dati?
I periodi di conservazione dei dati operativi sono stabiliti dalla Sua organizzazione, titolare del trattamento. In mancanza di istruzioni, Since & Co applica le regole seguenti.
| Dati | Durata |
|---|---|
| Account, ruoli, avanzamento, apprendimenti, bilanci, libretto delle competenze | Finché l'account esiste; fino all'eliminazione dell'account da parte della Sua organizzazione o fino alla fine del contratto di quest'ultima. |
| Contenuti depositati e acquisizioni sul campo | Fino alla loro eliminazione da parte della Sua organizzazione o fino alla fine del contratto. Le acquisizioni sul campo trasmesse dall'applicazione Cartographe non sono oggetto di alcuna eliminazione automatica per impostazione predefinita: la loro durata di conservazione è decisa dalla Sua organizzazione. I contenuti che Lei ha redatto per la Sua organizzazione restano acquisiti a quest'ultima dopo l'eliminazione del Suo account. |
| Sessione di connessione | Per la durata della sessione. Dispositivo attendibile: 30 giorni, prorogati a ogni connessione. |
| Codice di accesso inviato via e-mail | Fino al suo utilizzo o alla sua sostituzione con un nuovo codice. |
| Cronologia degli accessi, registro di audit | Cronologia degli accessi: 12 mesi. Registro di audit: 3 anni. |
| Accettazione delle condizioni, consenso all'IA | Per la durata dell'account, poi per 5 anni dopo la sua eliminazione, al solo fine di prova. Dopo l'eliminazione dell'account, sono conservati in forma pseudonimizzata: un'impronta con chiave dell'identificativo di accesso, senza nome né indirizzo e-mail. |
| Chiavi API | Fino alla loro eliminazione da parte del loro intestatario. Chiavi personali: eliminate con l'account. Chiavi dell'organizzazione: eliminate con l'organizzazione. Mai esportate. |
| Registro d'uso dell'IA | 13 mesi. Se il Suo account è eliminato prima di tale termine, le Sue righe sono conservate senza alcun legame con Lei fino alla loro scadenza. |
| Proposte dell'IA (revisione IA), estratti di risposte dell'IA iscritti nel log tecnico | La richiesta indirizzata all'IA e la sua risposta sono cancellate 6 mesi dopo la revisione, una volta trattate tutte le sue proposte; finché una proposta resta in sospeso, sono conservate. Le proposte e il loro stato sono conservati per la durata dell'organizzazione. Estratti iscritti nel log tecnico: 30 giorni. |
| Log tecnici, log dell'applicazione mobile | Log tecnici: 30 giorni. Log trasmessi dall'applicazione mobile Cartographe: 90 giorni. |
| Badge rilasciati | In modo duraturo: sopravvivono all'eliminazione dell'account per restare verificabili, senza alcun legame con esso. Un badge revocato resta segnalato come revocato. |
| Backup | Giornalieri: 7 giorni. Settimanali: 4 settimane. Mensili: 12 mesi. Un dato eliminato può quindi permanere fino a 12 mesi nei backup, senza esservi utilizzato. |
| Dati dell'organizzazione a fine contratto | Eliminati dopo il periodo di reversibilità previsto dal contratto, dopo un'esportazione di sicurezza. |
Le eliminazioni automatiche sono eseguite una volta al giorno: le durate sopra indicate si intendono quindi con l'approssimazione di un giorno.
8. Come sono protetti i Suoi dati?
- connessione cifrata (HTTPS); cookie di sessione protetti;
- password sottoposte a hash; regole di complessità; rinnovo ogni due mesi;
- autenticazione a due fattori tramite applicazione o via e-mail, a scelta dell'utente;
- separazione dei dati per organizzazione, controllata a ogni accesso;
- diritti di accesso per ruolo; registro di audit delle azioni di amministrazione sensibili;
- chiavi API cifrate (AES-256-GCM), mai visualizzate di nuovo, mascherate nei log tecnici;
- cifratura delle acquisizioni dell'applicazione Cartographe sul dispositivo e durante il loro trasporto, quando l'organizzazione l'ha attivata (si vedano le condizioni generali, articolo 9.5);
- backup regolari, di cui una copia remota trasferita tramite connessione cifrata.
In caso di violazione dei dati, Since & Co informa l'organizzazione interessata alle condizioni dell'accordo sul trattamento dei dati.
9. Caso particolare dei badge
Un badge Open Badges è, per sua natura, verificabile pubblicamente. La sua pagina e i suoi dati di verifica sono accessibili a tutti su internet, senza connessione, e lo restano in modo duraturo. Il Suo indirizzo e-mail non vi figura mai in chiaro: è pubblicata soltanto un'impronta con salt. Il Suo nome non vi figura. Lei sceglie se condividere o meno il Suo badge.
Un badge è rilasciato soltanto con il Suo consenso. Per ottenerne il ritiro, ne chieda la revoca al Suo tutor o alla Sua organizzazione: i dati pubblici indicheranno che il badge è revocato. Il motivo della revoca è visualizzato pubblicamente.
10. Intelligenza artificiale e dati personali
- L'IA è facoltativa, soggetta al Suo consenso, revocabile in qualsiasi momento dal Suo profilo, e disattivabile dalla Sua organizzazione.
- Le funzionalità di IA non trasmettono né il Suo nome, né la Sua e-mail, né il Suo identificativo. Il contenuto trattato (trascrizioni, registrazioni, schede) può tuttavia contenere dati personali, compresi quelli di persone registrate sul campo.
- Il suggerimento di competenze e la trascrizione locale sono realizzati sui server della piattaforma, senza terzi.
- Since & Co non addestra alcun modello con i Suoi dati. L'uso che ne fa un fornitore terzo dipende dalle condizioni di quest'ultimo.
- Nessuna decisione che La riguardi è adottata da un'IA.
Il quadro completo figura agli articoli da 11 a 24 delle condizioni generali.
11. I Suoi diritti
Lei dispone dei seguenti diritti sui Suoi dati:
- accesso: sapere se sono trattati dati che La riguardano e ottenerne una copia;
- rettifica: far correggere dati inesatti; Lei può modificare da sé una parte del Suo profilo;
- cancellazione: ottenere l'eliminazione dei Suoi dati, nei limiti previsti dalla legge;
- limitazione: ottenere la sospensione temporanea di un trattamento;
- portabilità: ricevere, in un formato strutturato, i dati che Lei ha fornito, quando il trattamento si basa sul Suo consenso o su un contratto;
- opposizione: opporsi, per motivi connessi alla Sua situazione, a un trattamento fondato sul legittimo interesse;
- revoca del consenso: in qualsiasi momento, per l'IA (dal Suo profilo) e per i badge (mediante la revoca);
- direttive post mortem: definire la sorte dei Suoi dati dopo il Suo decesso.
Come esercitarli?
- Si rivolga anzitutto alla Sua organizzazione (al suo amministratore o al suo responsabile della protezione dei dati): essa è titolare della maggior parte dei trattamenti. Since & Co la assiste per risponderLe.
- Per i trattamenti di cui Since & Co è titolare (sezione 2.3), scriva a: [da completare].
Una risposta Le è fornita entro un mese, termine che può essere prorogato di due mesi se la richiesta è complessa. Un documento comprovante la Sua identità Le sarà richiesto soltanto in caso di ragionevole dubbio.
Reclamo
Se Lei ritiene, dopo averci contattati, che i Suoi diritti non siano rispettati, può presentare reclamo alla Commission nationale de l'informatique et des libertés (CNIL): 3, place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
12. Contatti
Contatto per la protezione dei dati presso Since & Co: [da completare].
Indirizzo postale: [da completare], [da completare].
13. Cookie
La piattaforma utilizza soltanto cookie e strumenti di tracciamento strettamente necessari al suo funzionamento o alla memorizzazione delle Sue preferenze di visualizzazione. Sono descritti in dettaglio nella pagina cookie e strumenti di tracciamento.
14. Evoluzione della presente informativa
La presente informativa è soggetta a versioni. Ogni versione reca un numero e una data di efficacia; le versioni precedenti restano consultabili. L'elenco dei responsabili del trattamento è aggiornato a ogni modifica.