Informativa sulla privacy

A. Categorie di dati

a. Dati raccolti automaticamente. I sistemi dell'infrastruttura Microsoft Azure registrano i dati tecnici impliciti nell'uso dei protocolli Internet: indirizzo IP, risorsa richiesta, data e ora, codice di risposta, browser e sistema operativo. Per limitare gli abusi, il controllo dell'email e il reinvio del link personale contano i tentativi per indirizzo IP in forma di hash, in file temporanei del server che si svuotano da soli.

b. Dati dei questionari. Email di contatto, ragione sociale o nome del professionista, risposte alle domande (106 per il NIST, 40 per il voucher) e note libere facoltative. Per il voucher anche regione della sede, fasce di addetti e di fatturato, importi stimati per categoria, obiettivo del progetto e fornitore IT attuale.

c. Richiesta di offerta (solo voucher). Numero di telefono e nota, entrambi facoltativi, insieme ai dati della compilazione.

d. Risultati e report. Punteggi, semaforo dei requisiti, stima del contributo e, per il NIST, il report generato con l'intelligenza artificiale su richiesta del personale di AtWorkStudio (sezione E).

e. Cookie. Nessun cookie di profilazione, analitico o di terze parti: solo il cookie tecnico che ricorda la lingua e, per il personale, il cookie di autenticazione di Microsoft Entra ID. Per questo non c'è alcun banner.

f. Analytics e strumenti esterni. Nessun servizio di analisi, nessun plugin, pulsante social o font esterno: ogni risorsa è servita da assessment.atworkstudio.it.

B. Titolare del trattamento

Il Titolare del trattamento è AtWorkStudio S.r.l., con sede legale in Corso Giuseppe Garibaldi 14, 29121 Piacenza (PC), P.IVA IT01356200335. È possibile contattare il Titolare tramite il modulo di contatto.

C. Fonte dei dati personali

I dati sono raccolti direttamente presso l'interessato, durante la navigazione e la compilazione dei questionari.

D. Finalità e base giuridica

Dati di navigazione. Funzionamento tecnico e sicurezza del servizio. Base giuridica: legittimo interesse del Titolare (art. 6, par. 1, lett. f).

Questionari, link personale e risultati. Calcolo dei punteggi, pagina dei risultati, invio del link personale via email e sua modifica nel tempo. Base giuridica: consenso dell'interessato, espresso con la casella prima dell'invio (art. 6, par. 1, lett. a), ed esecuzione di misure precontrattuali adottate su sua richiesta (art. 6, par. 1, lett. b). Data e versione dell'informativa accettata vengono registrate insieme alla compilazione.

Verifica del voucher e richiesta di offerta. Valutazione dei requisiti, descrizione dello stato di partenza e stima del contributo; ogni nuova verifica genera una notifica interna al personale di AtWorkStudio. Se l'interessato chiede l'offerta, i suoi dati arrivano al personale che risponde per iscritto. Base giuridica: misure precontrattuali su richiesta dell'interessato (art. 6, par. 1, lett. b).

Report con intelligenza artificiale (solo NIST). Su richiesta del personale di AtWorkStudio, ragione sociale, risposte e note della compilazione vengono inviate ad Anthropic per generare il report di valutazione, con la stessa base giuridica del servizio. Le note libere non devono contenere dati personali.

I dati non sono usati per marketing o profilazione e non sono ceduti a terzi.

E. Destinatari dei dati

I dati possono essere trattati dal personale autorizzato di AtWorkStudio, tramite un pannello riservato protetto da Microsoft Entra ID, e da fornitori nominati Responsabili del trattamento ai sensi dell'art. 28 del GDPR:

• Microsoft Corporation: hosting dell'applicazione (Azure App Service) e del database (Azure Database for MySQL) nella regione Italy North, e Microsoft Entra ID per l'accesso del personale. Tratta i dati tecnici di navigazione nell'ambito dell'erogazione del servizio.
• Anthropic Ireland, Limited: modelli di intelligenza artificiale generativa Claude per il report NIST, solo quando il personale lo richiede. Riceve ragione sociale, risposte e note; i dati non sono usati per l'addestramento dei modelli, in conformità ai termini commerciali del fornitore.

Le email (link personali, conferme, notifiche interne) sono inviate dai server di posta di AtWorkStudio. I dati non sono diffusi né ceduti a terzi.

F. Trasferimento verso paesi terzi

I dati dell'applicazione e del database restano nell'Unione Europea (regione Italy North). Microsoft Corporation aderisce all'EU-U.S. Data Privacy Framework (DPF) e il rapporto contrattuale è disciplinato dal Microsoft Products and Services Data Protection Addendum, comprensivo delle Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea.

Per il report con intelligenza artificiale i dati inviati ad Anthropic possono essere trattati negli Stati Uniti. Il trasferimento avviene nel rispetto del Capo V del GDPR, sulla base delle Clausole Contrattuali Standard (art. 46) previste dal Data Processing Addendum del fornitore.

G. Periodo di conservazione

• Compilazioni, risposte, risultati e report: 12 mesi dall'ultima modifica, poi cancellazione automatica. L'interessato può cancellare tutto in qualsiasi momento con la funzione presente nella pagina di conferma e nell'email con il link personale.
• Dati della richiesta di offerta e notifiche interne: per il tempo necessario a dare riscontro e, successivamente, nei limiti previsti dalla normativa applicabile o per esigenze di tutela legale.
• Log tecnici di navigazione: secondo le policy di retention standard di Microsoft Azure, al massimo 90 giorni. Backup del database: 7 giorni.

H. Diritti dell'interessato

L'interessato può esercitare in qualsiasi momento i diritti previsti dagli articoli 15 e seguenti del GDPR:

• Diritto di accesso ai propri dati personali
• Diritto di rettifica o cancellazione
• Diritto alla limitazione del trattamento
• Diritto alla portabilità dei dati
• Diritto di opposizione al trattamento
• Diritto di revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente
• Diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it)

Quando il trattamento si fonda sul legittimo interesse del Titolare, come per i dati tecnici di navigazione, l'interessato ha diritto di opporsi in qualsiasi momento; il Titolare si astiene dal trattare ulteriormente i dati, salvo motivi legittimi cogenti prevalenti.

Rettifica e cancellazione si esercitano direttamente con il link personale; per tutto il resto è possibile contattare il Titolare tramite il modulo di contatto.

I. Obbligatorietà del conferimento

Il conferimento dei dati di navigazione è necessario per il funzionamento del servizio. La compilazione dei questionari è facoltativa: senza email e ragione sociale non è possibile salvare le risposte né ricevere il link personale. Telefono e nota della richiesta di offerta sono facoltativi.

J. Modalità di trattamento e sicurezza

I dati sono trattati con strumenti informatici, con misure tecniche e organizzative adeguate al rischio ai sensi dell'art. 32 del GDPR: trasmissione su HTTPS/TLS, cifratura dei dati a riposo su Azure, pannello riservato con Microsoft Entra ID, accesso dell'interessato tramite token personale di 64 caratteri, validazione degli input e prepared statements, principio del minimo privilegio. Il sistema di gestione del Titolare è certificato UNI CEI EN ISO/IEC 27001:2024 e UNI EN ISO 9001:2015, con applicazione delle linee guida ISO/IEC 27017:2015 e ISO/IEC 27018:2025.

K. Processo decisionale automatizzato

Punteggi, semaforo dei requisiti e stima del contributo sono calcoli automatici a scopo informativo, senza effetti giuridici: l'ammissibilità al voucher la decide il Ministero in istruttoria e il report con intelligenza artificiale è un testo di supporto che il personale di AtWorkStudio legge prima di ogni proposta. Il Titolare non adotta decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione, ai sensi dell'art. 22 del GDPR.

L. Aggiornamenti

La presente informativa è resa per assessment.atworkstudio.it. Il Titolare si riserva di aggiornarla in caso di modifiche normative o tecniche; l'ultima versione è sempre disponibile su questa pagina, con data e numero di versione.