Informativa sul trattamento dei dati personali degli studenti

Premessa

La presente informativa descrive in che modo vengono trattati i dati personali degli studenti che si registrano e utilizzano la piattaforma Orienta (di seguito “Piattaforma”), accessibile all'indirizzo https://orientaedu.eu. La Piattaforma mette in contatto studenti maggiorenni dell'ultimo anno degli istituti di istruzione secondaria superiore, diplomati e studenti universitari con aziende, per finalità di orientamento, stage, PCTO e opportunità professionali.

Se utilizzi la Piattaforma per conto di un'azienda, consulta l'Informativa per i referenti aziendali.

1. Titolare del trattamento

Il titolare del trattamento è Noah Sala, persona fisica, con recapito in Bologna (Italia), che opera con la denominazione “Orienta” (di seguito “Titolare” o “Orienta”). In caso di costituzione di una società, la presente informativa sarà aggiornata con i relativi dati.

Per qualsiasi questione relativa al trattamento dei dati personali è possibile contattare il Titolare all'indirizzo email privacy@orientaedu.eu.

2. Responsabile della protezione dei dati (DPO)

Il Titolare, all'esito della valutazione prevista dall'art. 37 GDPR, non ha nominato un Responsabile della protezione dei dati. Le richieste possono essere rivolte al recapito indicato al punto 1.

3. Categorie di dati personali trattati

Il Titolare tratta esclusivamente i dati necessari al funzionamento della Piattaforma, raccolti direttamente presso l'interessato, salvo ove diversamente indicato.

Il Titolare non richiede il conferimento di categorie particolari di dati personali ai sensi dell'art. 9 GDPR (ad esempio dati relativi alla salute, all'origine etnica, alle convinzioni religiose o politiche). Si invita l'interessato a non inserire tali dati nel profilo, nel curriculum o nei messaggi. Qualora vengano comunque inseriti spontaneamente, saranno trattati al solo fine di erogare il servizio richiesto e potranno essere rimossi su richiesta.

4. Finalità del trattamento e basi giuridiche

Ciascun trattamento si fonda su una specifica base giuridica ai sensi dell'art. 6 GDPR, come indicato nella tabella seguente.

Il Titolare non utilizza i dati personali per finalità di marketing, non li cede a terzi a fini commerciali e non li vende.

5. Natura del conferimento

Il conferimento dei dati di registrazione e della data di nascita è obbligatorio: in mancanza, non è possibile creare l'account. Qualora dalla data di nascita risulti un'età inferiore a 18 anni, la registrazione viene bloccata, l'eventuale account di accesso creato temporaneamente viene eliminato immediatamente e non viene salvato alcun profilo.

Dopo la registrazione con email e password, la Piattaforma invia all'indirizzo indicato un'email con un link di conferma. Finché l'indirizzo non è verificato, il profilo non è visibile alle aziende e non è possibile candidarsi agli annunci né inviare il curriculum, anche nell'ambito dell'Orienta Day. In caso di accesso con Google l'indirizzo risulta già verificato. Non sono ammessi indirizzi email temporanei o usa e getta.

Il conferimento dei dati del profilo, delle preferenze lavorative e del curriculum è facoltativo, ma necessario per essere individuati dalle aziende e per utilizzare le relative funzioni. Un profilo incompleto può ridurre la possibilità di ricevere richieste di contatto.

Il conferimento dei dati di contatto è facoltativo. Tali dati non sono visibili alle aziende fino all'accettazione di una richiesta di contatto. Fa eccezione l'indirizzo email, se l'interessato sceglie di renderlo visibile tramite l'apposita impostazione del profilo.

Il consenso ai cookie di analisi e il consenso alla partecipazione all'Orienta Day sono facoltativi; il loro mancato rilascio non pregiudica l'utilizzo delle altre funzioni della Piattaforma.

6. Profilazione, intelligenza artificiale e processi decisionali automatizzati

La Piattaforma utilizza sistemi di intelligenza artificiale forniti da Google (modelli Gemini, tramite servizio a pagamento) per le seguenti attività:

• generare una rappresentazione numerica del profilo e calcolare un indice di affinità tra il profilo dello studente e gli annunci o le aziende;
• suggerire allo studente aziende e opportunità coerenti con il suo profilo;
• supportare lo studente nella redazione del curriculum e nell'importazione dei dati da un CV caricato;
• rispondere alle domande dello studente tramite l'assistente virtuale;
• fornire alle aziende una breve spiegazione dell'affinità tra il profilo e le loro esigenze. Per questa funzione, disponibile anche prima del contatto, al sistema di intelligenza artificiale vengono trasmessi solo competenze e percorso formativo, privi di nome, dati di contatto, data di nascita, fotografia, profili social e curriculum originale;
• fornire alle aziende analisi delle competenze e sintesi a supporto dei colloqui, esclusivamente dopo l'accettazione della richiesta di contatto da parte dello studente.

Tali attività costituiscono profilazione ai sensi dell'art. 4.4 GDPR. La logica utilizzata confronta le competenze, le esperienze, il percorso formativo, gli interessi, le preferenze lavorative e la localizzazione indicati nel profilo con i requisiti degli annunci e con le caratteristiche delle aziende. Le conseguenze per l'interessato consistono nell'ordine di presentazione dei profili e nei suggerimenti mostrati.

Nessuna decisione che produca effetti giuridici o incida in modo analogo significativamente sull'interessato viene adottata unicamente sulla base di un trattamento automatizzato ai sensi dell'art. 22 GDPR. L'indice di affinità ha carattere esclusivamente indicativo: ogni valutazione, contatto o esclusione è effettuata da una persona fisica appartenente all'azienda. Le aziende visualizzano le motivazioni del suggerimento. L'interessato ha diritto di ottenere informazioni sulla logica del sistema, di esprimere la propria opinione e di contestare le valutazioni scrivendo al recapito indicato al punto 1.

I dati trasmessi al fornitore dei servizi di intelligenza artificiale sono utilizzati esclusivamente per generare la risposta richiesta e non sono impiegati dal fornitore per addestrare i propri modelli. I contenuti generati dall'intelligenza artificiale sono identificati come tali all'interno della Piattaforma.

7. Destinatari dei dati

I dati personali possono essere comunicati alle seguenti categorie di destinatari, nei limiti strettamente necessari alle finalità indicate.

Aziende registrate sulla Piattaforma. Le aziende possono visualizzare il profilo dello studente, ad eccezione dei dati di contatto (telefono, profili social e, salvo diversa scelta dello studente, email), che vengono resi visibili alla sola azienda la cui richiesta di contatto sia stata accettata dallo studente. Il CV caricato è accessibile esclusivamente allo studente, salvo quanto previsto per l'Orienta Day. Le aziende trattano i dati ricevuti in qualità di titolari autonomi del trattamento per le proprie finalità di selezione e sono tenute a fornire all'interessato la propria informativa. Lo studente può in qualsiasi momento sospendere la visibilità del proprio profilo tramite la funzione “Pausa”; restano visibili i dati già condivisi con le aziende con cui è in corso un contatto accettato o una candidatura.

Aziende selezionate per l'Orienta Day. Qualora lo studente partecipi all'Orienta Day e presti il relativo consenso, nome, email, istituto e CV sono trasmessi alle sole aziende da lui selezionate.

Fornitori che agiscono in qualità di responsabili del trattamento ai sensi dell'art. 28 GDPR, vincolati da apposito accordo:

Videochiamate. I colloqui si svolgono tramite stanze di videochiamata create automaticamente da Orienta presso Whereby al momento della conferma. Per partecipare non è necessario creare un account. Durante la videochiamata Whereby tratta audio, video, indirizzo IP, dati tecnici del dispositivo e l'eventuale nome inserito dal partecipante, al solo fine di erogare il servizio. Le videochiamate non vengono registrate. La stanza viene eliminata in caso di annullamento del colloquio e scade comunque automaticamente due ore dopo l'orario di fine previsto.

Calendario personale. Il pulsante “Aggiungi a Google Calendar” apre il calendario dell'account Google con cui l'interessato è collegato nel proprio browser, con i dettagli del colloquio già compilati. Orienta non trasmette dati a Google Calendar: l'evento viene creato solo se l'interessato decide di salvarlo, e da quel momento è trattato da Google nell'ambito dell'account personale dell'interessato. Se il referente aziendale salva l'evento nel proprio calendario, l'indirizzo email dello studente è proposto come invitato e Google può inviargli l'invito.

Localizzazione. Il comune viene scelto da un elenco dei comuni italiani (fonte ISTAT) contenuto nella Piattaforma: il testo digitato non viene trasmesso a servizi esterni e non viene richiesto l'indirizzo di residenza. Se l'interessato sceglie di utilizzare la posizione del dispositivo, previa autorizzazione del browser, le coordinate vengono convertite direttamente nel browser nel comune più vicino e non vengono conservate: viene salvato solo il comune, con le coordinate del suo centro, utilizzate per calcolare la distanza dalle aziende e dagli annunci.

Personale autorizzato del Titolare, nominato ai sensi dell'art. 29 GDPR e dell'art. 2-quaterdecies del Codice Privacy, che accede ai dati esclusivamente per finalità di assistenza, manutenzione e sicurezza.

Autorità pubbliche e giudiziarie, ove richiesto dalla legge.

L'elenco aggiornato dei responsabili del trattamento può essere richiesto al recapito indicato al punto 1.

8. Trasferimento dei dati al di fuori dello Spazio Economico Europeo

Il Titolare conserva il database, i file e l'applicazione all'interno dell'Unione Europea. Alcuni fornitori indicati al punto 7 possono tuttavia trattare dati negli Stati Uniti. In tali casi il trasferimento avviene sulla base della decisione di adeguatezza della Commissione Europea relativa all'EU-U.S. Data Privacy Framework (art. 45 GDPR), per i fornitori che vi hanno aderito, oppure delle Clausole Contrattuali Standard approvate dalla Commissione Europea (art. 46.2.c GDPR), integrate da misure supplementari ove necessario.

Copia delle garanzie adottate può essere richiesta al recapito indicato al punto 1.

9. Periodo di conservazione

I dati personali sono conservati per il tempo strettamente necessario al conseguimento delle finalità per cui sono trattati, secondo i criteri seguenti.

Decorsi tali termini i dati vengono cancellati o resi anonimi, salvo che la loro ulteriore conservazione sia necessaria per adempiere a un obbligo di legge o per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

10. Diritti dell'interessato

Ai sensi degli articoli da 15 a 22 GDPR, l'interessato ha il diritto di:

• accesso (art. 15): ottenere conferma dell'esistenza di un trattamento e copia dei propri dati;
• rettifica (art. 16): ottenere la correzione dei dati inesatti o l'integrazione di quelli incompleti;
• cancellazione (art. 17): ottenere la cancellazione dei propri dati, nei casi previsti dalla legge;
• limitazione (art. 18): ottenere la limitazione del trattamento nei casi previsti dalla legge;
• portabilità (art. 20): ricevere i dati forniti in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli a un altro titolare;
• opposizione (art. 21): opporsi in qualsiasi momento, per motivi connessi alla propria situazione particolare, ai trattamenti fondati sul legittimo interesse;
• non essere sottoposto a decisioni basate unicamente su un trattamento automatizzato (art. 22), nei termini descritti al punto 6;
• revoca del consenso (art. 7.3): revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceità del trattamento effettuato prima della revoca.

11. Modalità di esercizio dei diritti

Alcuni diritti possono essere esercitati direttamente dalle Impostazioni dell'account:

• scaricare i propri dati (accesso e portabilità), in formato JSON, previa conferma dell'identità;
• cancellare definitivamente l'account, previa conferma dell'identità e della volontà di procedere;
• sospendere la visibilità del profilo alle aziende tramite la funzione “Pausa”;
• modificare o rettificare i dati del profilo.

Il consenso ai cookie di analisi può essere modificato in qualsiasi momento tramite il pulsante “Gestisci preferenze cookie” presente in questa pagina e nella Cookie Policy.

Per l'esercizio di ogni altro diritto, l'interessato può inviare una richiesta all'indirizzo privacy@orientaedu.eu. Il Titolare risponde senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta, termine prorogabile di due mesi in caso di particolare complessità, previa comunicazione all'interessato (art. 12.3 GDPR). L'esercizio dei diritti è gratuito. Il Titolare può richiedere informazioni ulteriori necessarie a confermare l'identità del richiedente.

La cancellazione dell'account comporta l'eliminazione del profilo, del curriculum, dei file caricati (inclusi quelli inviati per l'Orienta Day), delle candidature, delle richieste di contatto, delle conversazioni con l'assistente virtuale e delle note redatte dalle aziende. Restano visibili alle aziende interlocutrici i messaggi già scambiati, nei termini indicati al punto 9.

12. Reclamo all'autorità di controllo

Qualora ritenga che il trattamento dei propri dati violi il GDPR, l'interessato ha diritto di proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, sito web www.garanteprivacy.it, ai sensi dell'art. 77 GDPR, oppure all'autorità di controllo dello Stato membro in cui risiede abitualmente, lavora o si è verificata la presunta violazione. Resta salvo il diritto di ricorrere all'autorità giudiziaria (art. 79 GDPR).

13. Requisito di età

La Piattaforma è riservata a utenti che abbiano compiuto 18 anni. In fase di registrazione viene richiesta la data di nascita: qualora risulti un'età inferiore a 18 anni, la registrazione viene impedita e non viene conservato alcun dato.

La Piattaforma non è destinata a utenti minorenni. Gli eventi organizzati in collaborazione con gli istituti scolastici, come l'Orienta Day, sono riservati, per quanto riguarda l'utilizzo della Piattaforma, agli studenti che abbiano compiuto 18 anni alla data della registrazione.

Qualora il Titolare venga a conoscenza della registrazione di un minore di 18 anni, provvede alla cancellazione immediata dell'account e dei relativi dati.

14. Misure di sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui: cifratura dei dati in transito e a riposo; conservazione del database e dei file nell'Unione Europea; controllo degli accessi basato sui ruoli e verificato lato server; accesso ai dati di contatto subordinato all'accettazione dello studente; accesso al curriculum riservato al solo titolare dell'account; rimozione dei dati identificativi dai profili trasmessi ai sistemi di intelligenza artificiale prima del contatto; limitazione del numero di richieste; protezione dagli accessi automatizzati; verifica dell'indirizzo email e blocco degli indirizzi temporanei; conferma dell'identità per le operazioni di esportazione e di cancellazione. In caso di violazione dei dati personali, il Titolare provvede alla notifica al Garante entro 72 ore e, ove previsto, alla comunicazione agli interessati, ai sensi degli artt. 33 e 34 GDPR.

15. Cookie

Per informazioni sull'utilizzo di cookie e tecnologie analoghe si rinvia alla Cookie Policy, disponibile all'indirizzo https://orientaedu.eu/cookie-policy.

16. Modifiche alla presente informativa

Il Titolare può modificare la presente informativa in caso di variazioni dei trattamenti, dei fornitori o della normativa applicabile. Le modifiche sono pubblicate su questa pagina con l'indicazione della data e del numero di versione. In caso di modifiche sostanziali, l'interessato ne viene informato tramite avviso nella Piattaforma o via email prima della loro applicazione e, ove il trattamento si fondi sul consenso, ne viene richiesto uno nuovo.