Privacy Policy

1. Titolare del trattamento

2. Responsabile della Protezione dei Dati (DPO)

2. Sedi operative

Il Titolare opera tramite le seguenti sedi:

• Elenco sedi in fase di caricamento…

3. Tipologie di dati raccolti

Nell'ambito dell'utilizzo della piattaforma Quintilian raccogliamo le seguenti categorie di dati personali (artt. 13-14 GDPR):

• Dati identificativi: nome, cognome, codice fiscale, data di nascita
• Dati di contatto: indirizzo email, numero di telefono, indirizzo di residenza
• Dati bancari: IBAN per il pagamento dei compensi (docenti)
• Dati professionali: titoli di studio, certificazioni, competenze dichiarate
• Dati di navigazione: indirizzo IP, tipo di browser, pagine visitate, timestamp di accesso
• Dati di utilizzo: azioni svolte sulla piattaforma (audit log)

Non trattiamo categorie particolari di dati (art. 9 GDPR) né dati relativi a condanne penali (art. 10 GDPR).

4. Finalità del trattamento e base giuridica

I dati sono trattati per le seguenti finalità, ciascuna fondata sulla rispettiva base giuridica ex art. 6 GDPR:

• Gestione contrattuale docenti e adempimenti correlati — Base: esecuzione di un contratto (art. 6(1)(b) GDPR)
• Adempimenti fiscali, previdenziali e contabili (ritenute d'acconto, notule, bollo virtuale) — Base: obbligo legale (art. 6(1)(c) GDPR; D.P.R. 600/1973; D.P.R. 642/1972)
• Sicurezza della piattaforma e prevenzione frodi — Base: legittimo interesse (art. 6(1)(f) GDPR)
• Comunicazioni operative (email di reset password, avvisi corsi, conferme di pagamento) — Base: esecuzione contratto / legittimo interesse
• Audit trail accessi e modifiche — Base: legittimo interesse (sicurezza informatica e accountability ex art. 5(2) GDPR)

Il conferimento dei dati indicati come obbligatori è necessario per la fruizione dei servizi; il mancato conferimento comporta l'impossibilità di instaurare o proseguire il rapporto contrattuale.

5. Modalità e periodo di conservazione

• Dati contrattuali e fiscali: 10 anni dalla cessazione del rapporto (art. 2220 c.c.; D.P.R. 600/1973)
• Dati di navigazione e audit log: 12 mesi dalla rilevazione (in linea con il Provv. Garante n. 232/2018)
• Dati per recupero password: eliminati entro 24 ore se il token non viene utilizzato
• Documenti allegati (CV, certificati): fino alla richiesta di cancellazione o cessazione rapporto

6. Destinatari e trasferimenti extra-UE

I dati possono essere comunicati ai seguenti destinatari nominati responsabili del trattamento ex art. 28 GDPR:

• Supabase Inc. (database hosting) — trasferimento USA con Standard Contractual Clauses ex Decisione UE 2021/914 e DPA firmato
• Vercel Inc. (hosting applicazione) — trasferimento USA con SCCs
• Resend Inc. (invio email transazionali) — trasferimento USA con SCCs
• Consulenti fiscali e commercialisti del Titolare (solo dati strettamente necessari)
• Pubbliche Amministrazioni e Autorità competenti, ove richiesto da obbligo legale

Non vendiamo né cediamo dati a terzi per finalità di marketing o profilazione. Non vengono effettuate decisioni unicamente automatizzate ex art. 22 GDPR.

7. Diritti dell'interessato (artt. 15-22 GDPR)

Puoi esercitare in qualsiasi momento i seguenti diritti:

• Art. 15 — Diritto di accesso: ottenere conferma e copia dei dati trattati
• Art. 16 — Diritto di rettifica: correggere dati inesatti o incompleti
• Art. 17 — Diritto alla cancellazione ("diritto all'oblio")
• Art. 18 — Diritto di limitazione del trattamento
• Art. 19 — Diritto di notifica delle rettifiche/cancellazioni
• Art. 20 — Diritto alla portabilità dei dati
• Art. 21 — Diritto di opposizione al trattamento
• Art. 22 — Diritto di non essere sottoposto a decisioni unicamente automatizzate

8. Modalità di esercizio dei diritti

Per esercitare i tuoi diritti, puoi:

• Inviare una email a privacy@lelligroup.it con oggetto "Richiesta diritti GDPR"
• Scrivere al Titolare al seguente recapito: Lelli Group S.r.l., [sede legale]

Risponderemo entro 30 giorni dalla ricezione della richiesta (art. 12(3) GDPR). In caso di complessità o numero elevato di richieste, il termine può essere esteso di ulteriori 60 giorni, previa comunicazione motivata.

Hai inoltre il diritto di proporre reclamo (art. 77 GDPR) all'Autorità Garante per la Protezione dei Dati Personali:

9. Sicurezza dei dati

Adottiamo misure tecniche e organizzative adeguate ex art. 32 GDPR per proteggere i dati personali, tra cui:

• Cifratura dei dati in transito (TLS 1.3) e at-rest per dati sensibili (IBAN, codice fiscale)
• Autenticazione con password robuste, token sicuri e meccanismi di reset password con scadenza
• Audit log completo degli accessi e delle modifiche (accountability ex art. 5(2) GDPR)
• Backup periodici con retention controllata e procedure documentate di disaster recovery
• Pseudonimizzazione/minimizzazione dove tecnicamente possibile

10. Cookie

Per informazioni sui cookie utilizzati dalla piattaforma, consulta la nostra Cookie Policy, redatta ai sensi dell'art. 122 D.Lgs. 196/2003 e del Provv. Garante n. 231/2021 ("Linee guida cookie e altri strumenti di tracciamento").

11. Riferimenti normativi

• Regolamento (UE) 2016/679 del 27 aprile 2016 (GDPR)
• D.Lgs. 30 giugno 2003, n. 196 ("Codice Privacy"), come modificato dal D.Lgs. 10 agosto 2018, n. 101
• Provv. Garante Privacy n. 232 del 27 novembre 2014 (linee guida amministratori di sistema, ove applicabile)
• Provv. Garante Privacy n. 231 del 10 giugno 2021 (cookie e altri strumenti di tracciamento)
• Decisione UE 2021/914 sulle Standard Contractual Clauses per trasferimenti extra-UE

12. Modifiche alla presente informativa

Il Titolare si riserva di aggiornare la presente informativa in caso di modifiche normative o di nuovi trattamenti. La data dell'ultimo aggiornamento è indicata in alto. Si invita l'interessato a verificare periodicamente la versione corrente.