Informativa sul trattamento dei dati personali dei referenti aziendali
ai sensi dell'art. 13 del Regolamento (UE) 2016/679 (“GDPR”) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 (“Codice Privacy”)
Versione 1.4 – Ultimo aggiornamento: 18 ottobre 2026
Premessa
La presente informativa è rivolta alle persone fisiche che utilizzano la piattaforma Orienta, accessibile all'indirizzo https://orientaedu.eu (di seguito “Piattaforma”), per conto di un'azienda: titolari, legali rappresentanti, responsabili delle risorse umane, recruiter e collaboratori invitati (di seguito “Referenti”).
I dati dell'azienda in quanto persona giuridica (ragione sociale, partita IVA, dati di fatturazione, sito web, sedi, canali social aziendali, descrizione, logo e immagine di copertina) non costituiscono dati personali ai sensi del GDPR, salvo il caso di ditte individuali o professionisti, per i quali la presente informativa si applica anche a tali dati.
Le regole relative al trattamento, da parte delle aziende, dei dati degli studenti consultati sulla Piattaforma sono descritte al punto 8 e nei Termini di servizio.
Se utilizzi la Piattaforma come studente, consulta l'Informativa per gli studenti.
1. Titolare del trattamento
Il titolare del trattamento è Noah Sala, persona fisica, con recapito in Bologna (Italia), che opera con la denominazione “Orienta” (di seguito “Titolare” o “Orienta”). In caso di costituzione di una società, la presente informativa sarà aggiornata con i relativi dati.
Per qualsiasi questione relativa al trattamento dei dati personali è possibile contattare il Titolare all'indirizzo email privacy@orientaedu.eu.
2. Responsabile della protezione dei dati (DPO)
Il Titolare, all'esito della valutazione prevista dall'art. 37 GDPR, non ha nominato un Responsabile della protezione dei dati. Le richieste possono essere rivolte al recapito indicato al punto 1.
3. Categorie di dati personali trattati
| Categoria | Dati | Fonte |
|---|---|---|
| Dati identificativi e di contatto | Nome, cognome, indirizzo email aziendale, ruolo in azienda (ad esempio Recruiter, HR Manager) | Referente; Orienta o collega che crea l'account o effettua l'invito |
| Dati dell'account | Credenziali di accesso (la password è impostata dal Referente tramite il link di attivazione ricevuto via email, è gestita dal fornitore del servizio di autenticazione e non è leggibile dal Titolare), azienda di appartenenza, ruolo nell'account aziendale (titolare dell'account o collaboratore), permessi di modifica del profilo aziendale e relative scadenze | Referente; azienda |
| Dati relativi all'attività sulla Piattaforma | Annunci pubblicati, ricerche di candidati, richieste di contatto inviate, messaggi scambiati con gli studenti (anche quelli inviati rispondendo alle email di notifica), proposte e conferme di colloquio con relativo link alla videochiamata, note e stato di avanzamento dei candidati, commenti interni tra colleghi sulla scheda del candidato, modelli di risposta, conversazioni con l'assistente virtuale | Referente |
| Dati contrattuali e di fatturazione | Nome, ruolo ed email del referente che sottoscrive il contratto o riceve le fatture; per ditte individuali e professionisti anche codice fiscale, partita IVA e indirizzo | Referente; azienda |
| Dati di utilizzo delle funzioni di intelligenza artificiale | Numero giornaliero di messaggi e quantità di elaborazione utilizzata da ciascun Referente | Elaborazione del Titolare |
| Dati tecnici e di navigazione | Indirizzo IP, tipo di dispositivo e di browser, data e ora di accesso, identificativi tecnici di sessione, log di errore | Dispositivo del Referente |
| Dati raccolti tramite cookie | Cookie tecnici e, previo consenso, cookie di analisi (Google Analytics), come descritto nella Cookie Policy | Dispositivo del Referente |
4. Finalità del trattamento e basi giuridiche
| Finalità | Base giuridica |
|---|---|
| a) Creazione e gestione dell'account del Referente e del suo collegamento all'azienda | Esecuzione del contratto di cui il Referente è parte o di misure precontrattuali (art. 6.1.b GDPR), quando il Referente agisce in proprio o come rappresentante dell'azienda; legittimo interesse del Titolare e dell'azienda a consentire l'operatività dei propri incaricati (art. 6.1.f GDPR), negli altri casi |
| b) Invito di collaboratori, gestione dei ruoli e dei permessi all'interno dell'account aziendale, revoca degli accessi | Legittimo interesse dell'azienda e del Titolare all'organizzazione del servizio (art. 6.1.f GDPR) |
| c) Erogazione delle funzioni della Piattaforma: pubblicazione di annunci, ricerca dei candidati, richieste di contatto, messaggi, colloqui, gestione della selezione | Esecuzione del contratto (art. 6.1.b GDPR) |
| d) Organizzazione dei colloqui: proposta degli orari, conferma, link alla videochiamata e promemoria | Esecuzione del contratto (art. 6.1.b GDPR) |
| e) Funzioni basate su intelligenza artificiale a supporto della selezione (redazione degli annunci, spiegazione dell'affinità, analisi delle competenze, briefing prima del colloquio, assistente virtuale) | Esecuzione del contratto (art. 6.1.b GDPR) |
| f) Monitoraggio dell'utilizzo delle funzioni di intelligenza artificiale da parte dei membri del team, visibile all'interno dell'account aziendale | Legittimo interesse dell'azienda e del Titolare al controllo dei consumi e al corretto utilizzo del servizio (art. 6.1.f GDPR) |
| g) Invio di comunicazioni di servizio via email (attivazione dell'account, notifiche di messaggi, conferme e annullamenti di colloqui) e inoltro delle risposte inviate via email | Esecuzione del contratto (art. 6.1.b GDPR) |
| h) Sicurezza della Piattaforma, prevenzione di abusi, verifica del corretto utilizzo dei dati degli studenti, limitazione del numero di richieste | Legittimo interesse del Titolare alla sicurezza dei sistemi e alla tutela degli studenti (art. 6.1.f GDPR) |
| i) Statistiche aggregate sull'utilizzo della Piattaforma | Consenso (art. 6.1.a GDPR), raccolto tramite il banner cookie |
| j) Gestione del contratto con l'azienda, fatturazione e pagamenti | Esecuzione del contratto (art. 6.1.b GDPR) |
| k) Adempimenti amministrativi, contabili e fiscali | Obbligo legale (art. 6.1.c GDPR) |
| l) Accertamento, esercizio o difesa di un diritto in sede giudiziaria e adempimento di richieste delle autorità | Legittimo interesse (art. 6.1.f GDPR) e obbligo legale (art. 6.1.c GDPR) |
Il Titolare non utilizza i dati dei Referenti per finalità di marketing, non invia comunicazioni commerciali, non cede i dati a terzi a fini commerciali e non li vende. Qualora in futuro intenda inviare comunicazioni relative ai propri servizi, aggiornerà la presente informativa e garantirà la possibilità di opporsi in ogni momento.
5. Natura del conferimento
Il conferimento del nome, dell'indirizzo email e del collegamento all'azienda è obbligatorio per la creazione dell'account: in mancanza, non è possibile utilizzare la Piattaforma. Il conferimento del ruolo in azienda e degli altri dati è facoltativo. Il consenso ai cookie di analisi è facoltativo e il suo mancato rilascio non pregiudica l'utilizzo della Piattaforma.
6. Intelligenza artificiale
La Piattaforma mette a disposizione dei Referenti funzioni basate su modelli di intelligenza artificiale forniti da Google (modelli Gemini, tramite servizio a pagamento). Le richieste formulate dal Referente e i contenuti necessari all'elaborazione sono trasmessi al fornitore al solo fine di generare la risposta e non sono impiegati dal fornitore per addestrare i propri modelli. Tali funzioni non adottano decisioni automatizzate nei confronti del Referente ai sensi dell'art. 22 GDPR.
La spiegazione dell'affinità, disponibile prima del contatto, si basa su dati dello studente privi di elementi identificativi. L'analisi delle competenze e il briefing prima del colloquio sono disponibili solo dopo che lo studente ha accettato la richiesta di contatto.
Gli indici di affinità e le analisi relative agli studenti hanno carattere esclusivamente indicativo. Il Referente si impegna a non adottare decisioni sugli studenti basate unicamente sui risultati generati dall'intelligenza artificiale e a esercitare in ogni caso una valutazione umana.
7. Destinatari dei dati
I dati personali dei Referenti possono essere comunicati alle seguenti categorie di destinatari, nei limiti strettamente necessari alle finalità indicate.
Colleghi della stessa azienda abilitati sull'account aziendale, che visualizzano nome, email aziendale e ruolo di ciascun membro del team, le attività svolte (annunci, messaggi, note, commenti interni) e i dati di utilizzo delle funzioni di intelligenza artificiale.
Studenti con cui il Referente entra in contatto, che visualizzano il nome del Referente, l'azienda di appartenenza, i messaggi ricevuti e i dettagli dei colloqui proposti, incluso l'invito in calendario.
Fornitori che agiscono in qualità di responsabili del trattamento ai sensi dell'art. 28 GDPR, vincolati da apposito accordo:
| Fornitore | Servizio | Ubicazione dei dati |
|---|---|---|
| Google Ireland Limited / Google LLC – Firebase e Google Cloud | Database, archiviazione dei file, hosting dell'applicazione | Unione Europea (database: multi-regione europea; file: Belgio; applicazione: Paesi Bassi) |
| Google Ireland Limited / Google LLC – Firebase Authentication | Autenticazione e gestione degli accessi | Stati Uniti |
| Google Ireland Limited / Google LLC – Cloud Logging | Log tecnici e di errore | Infrastruttura di Google, anche al di fuori dell'UE |
| Google Ireland Limited / Google LLC – Gemini API | Funzioni di intelligenza artificiale descritte al punto 6 | Infrastruttura di Google, anche al di fuori dell'UE |
| Google Ireland Limited / Google LLC – reCAPTCHA Enterprise e Firebase App Check | Protezione da accessi automatizzati e abusi | Infrastruttura di Google, anche al di fuori dell'UE |
| Google Ireland Limited / Google LLC – Google Analytics | Statistiche di utilizzo, solo previo consenso | Infrastruttura di Google, anche al di fuori dell'UE |
| Mailgun Technologies, Inc. (gruppo Sinch) | Invio delle email di servizio e inoltro delle risposte inviate via email tramite indirizzo di risposta mascherato | Unione Europea (infrastruttura europea di Mailgun) |
| Upstash, Inc. | Limitazione del numero di richieste per finalità di sicurezza | Unione Europea (Belgio) |
| Whereby AS (Norvegia) | Videochiamate dei colloqui: creazione automatica della stanza e trasmissione di audio e video tra i partecipanti, senza registrazione | Spazio Economico Europeo |
Videochiamate. I colloqui con gli studenti si svolgono tramite stanze di videochiamata create automaticamente da Orienta presso Whereby al momento della conferma. Per partecipare non è necessario creare un account. Durante la videochiamata Whereby tratta audio, video, indirizzo IP, dati tecnici del dispositivo e l'eventuale nome inserito dal partecipante, al solo fine di erogare il servizio. Le videochiamate non vengono registrate. La stanza viene eliminata in caso di annullamento del colloquio e scade comunque automaticamente due ore dopo l'orario di fine previsto.
Calendario personale. Il pulsante “Aggiungi a Google Calendar” apre il calendario dell'account Google con cui il Referente è collegato nel proprio browser, con i dettagli del colloquio già compilati e l'indirizzo email dello studente proposto come invitato. Orienta non trasmette dati a Google Calendar: l'evento viene creato solo se il Referente decide di salvarlo, e da quel momento è trattato da Google nell'ambito dell'account del Referente o della sua azienda.
Sedi. Il comune delle sedi aziendali viene scelto da un elenco dei comuni italiani (fonte ISTAT) contenuto nella Piattaforma, senza trasmissione del testo digitato a servizi esterni.
Personale autorizzato del Titolare, nominato ai sensi dell'art. 29 GDPR e dell'art. 2-quaterdecies del Codice Privacy, per finalità di assistenza, manutenzione e sicurezza.
Consulenti fiscali e contabili e istituti bancari o di pagamento, per la gestione dei pagamenti e gli adempimenti di cui al punto 4, lettere j) e k).
Autorità pubbliche e giudiziarie, ove richiesto dalla legge.
L'elenco aggiornato dei responsabili del trattamento può essere richiesto al recapito indicato al punto 1.
8. Dati degli studenti consultati dai Referenti
Nell'utilizzo della Piattaforma, i Referenti accedono ai profili degli studenti, tutti maggiorenni. I dati di contatto degli studenti (telefono, profili social e, salvo diversa scelta dello studente, email) sono resi visibili solo dopo l'accettazione della richiesta di contatto da parte dello studente. Lo studente può sospendere in qualsiasi momento la visibilità del proprio profilo.
Nell'ambito dell'Orienta Day, il Titolare consegna all'azienda i curriculum e i dati (nome, email, istituto) dei soli studenti che hanno selezionato tale azienda e hanno prestato il relativo consenso.
L'azienda tratta i dati degli studenti ricevuti tramite la Piattaforma o nell'ambito dell'Orienta Day in qualità di titolare autonomo del trattamento ed è tenuta a:
- utilizzarli esclusivamente per finalità di selezione per stage, PCTO, orientamento e opportunità professionali;
- non comunicarli a terzi;
- non estrarli o copiarli in modo massivo dalla Piattaforma;
- conservarli per il tempo strettamente necessario alla selezione;
- fornire agli studenti contattati la propria informativa;
- rispettare le norme vigenti in materia di lavoro, stage e tirocini, incluso il divieto di indagini e trattamenti discriminatori.
Gli obblighi di dettaglio sono definiti nei Termini di servizio.
Le note e i commenti redatti dai Referenti sugli studenti sono visibili esclusivamente ai colleghi della stessa azienda e vengono cancellati in caso di cancellazione dell'account dello studente. Si raccomanda di redigerli in modo pertinente, oggettivo e rispettoso, evitando qualsiasi riferimento a categorie particolari di dati personali.
9. Trasferimento dei dati al di fuori dello Spazio Economico Europeo
Il Titolare conserva il database, i file e l'applicazione all'interno dell'Unione Europea. Alcuni fornitori indicati al punto 7 possono tuttavia trattare dati negli Stati Uniti. In tali casi il trasferimento avviene sulla base della decisione di adeguatezza della Commissione Europea relativa all'EU-U.S. Data Privacy Framework (art. 45 GDPR), per i fornitori che vi hanno aderito, oppure delle Clausole Contrattuali Standard approvate dalla Commissione Europea (art. 46.2.c GDPR), integrate da misure supplementari ove necessario.
Copia delle garanzie adottate può essere richiesta al recapito indicato al punto 1.
10. Periodo di conservazione
| Dati | Periodo di conservazione |
|---|---|
| Account del Referente | Fino alla cancellazione dell'account, alla rimozione del Referente da parte del titolare dell'account aziendale o alla cancellazione dell'account aziendale. In caso di inattività per 24 mesi consecutivi, il Titolare può cancellare l'account previo avviso al Referente via email, con un preavviso di almeno 30 giorni |
| Annunci, messaggi, colloqui, note, commenti interni e modelli di risposta | Fino alla cancellazione dell'account aziendale. Note e commenti relativi a uno studente sono cancellati anche in caso di cancellazione dell'account dello studente. In caso di cancellazione dell'account aziendale, i messaggi già scambiati restano consultabili dagli studenti interlocutori in sola lettura, privi dei dati personali dei Referenti. |
| Conversazioni con l'assistente virtuale e dati di utilizzo dell'intelligenza artificiale | Fino alla cancellazione dell'account aziendale |
| Contratti, fatture e documentazione contabile | 10 anni, ai sensi dell'art. 2220 del Codice Civile |
| Dati per la limitazione delle richieste | Fino a 1 ora |
| Log tecnici e di errore | 30 giorni |
| Dati di analisi statistica | 2 mesi |
Decorsi tali termini i dati vengono cancellati o resi anonimi, salvo che la loro ulteriore conservazione sia necessaria per adempiere a un obbligo di legge o per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.
11. Diritti dell'interessato
Ai sensi degli articoli da 15 a 22 GDPR, il Referente ha il diritto di:
- accesso (art. 15): ottenere conferma dell'esistenza di un trattamento e copia dei propri dati;
- rettifica (art. 16): ottenere la correzione dei dati inesatti o l'integrazione di quelli incompleti;
- cancellazione (art. 17): ottenere la cancellazione dei propri dati, nei casi previsti dalla legge;
- limitazione (art. 18): ottenere la limitazione del trattamento nei casi previsti dalla legge;
- portabilità (art. 20): ricevere i dati forniti in un formato strutturato, di uso comune e leggibile da dispositivo automatico;
- opposizione (art. 21): opporsi in qualsiasi momento, per motivi connessi alla propria situazione particolare, ai trattamenti fondati sul legittimo interesse;
- revoca del consenso (art. 7.3): revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceità del trattamento effettuato prima della revoca.
12. Modalità di esercizio dei diritti
Il Referente può modificare direttamente dalla Piattaforma i propri dati del profilo. Il titolare dell'account aziendale può rimuovere in qualsiasi momento i collaboratori dalla pagina Team. Il consenso ai cookie di analisi può essere modificato in qualsiasi momento tramite il pulsante “Gestisci preferenze cookie” presente in questa pagina e nella Cookie Policy.
Per l'esercizio di ogni altro diritto, inclusi l'accesso, la portabilità e la cancellazione del proprio account o dell'account aziendale, il Referente può inviare una richiesta all'indirizzo privacy@orientaedu.eu. Il Titolare risponde senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta, termine prorogabile di due mesi in caso di particolare complessità, previa comunicazione all'interessato (art. 12.3 GDPR). L'esercizio dei diritti è gratuito. Il Titolare può richiedere informazioni ulteriori necessarie a confermare l'identità del richiedente.
La rimozione o la cancellazione dell'account di un singolo Referente comporta l'eliminazione del suo account di accesso e del suo profilo personale. I contenuti creati per conto dell'azienda (annunci, messaggi inviati agli studenti, note e commenti) restano invece nella disponibilità dell'account aziendale, in quanto riferiti all'azienda e non al singolo Referente.
La cancellazione dell'account aziendale è effettuata da Orienta su richiesta scritta del titolare dell'account aziendale, inviata a privacy@orientaedu.eu. Comporta l'eliminazione degli account dei Referenti, degli annunci, delle candidature ricevute, delle richieste di contatto in sospeso, delle note, dei commenti interni e dei file caricati; restano solo le conversazioni con gli studenti, nei termini indicati al punto 10.
13. Reclamo all'autorità di controllo
Qualora ritenga che il trattamento dei propri dati violi il GDPR, il Referente ha diritto di proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, sito web www.garanteprivacy.it, ai sensi dell'art. 77 GDPR, oppure all'autorità di controllo dello Stato membro in cui risiede abitualmente, lavora o si è verificata la presunta violazione. Resta salvo il diritto di ricorrere all'autorità giudiziaria (art. 79 GDPR).
14. Misure di sicurezza
Il Titolare adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui: cifratura dei dati in transito e a riposo; conservazione del database e dei file nell'Unione Europea; ruoli e permessi verificati lato server; separazione dei dati tra aziende diverse; accesso ai dati di contatto degli studenti subordinato alla loro accettazione; verifica dell'autenticità delle email di risposta ricevute; limitazione del numero di richieste; protezione dagli accessi automatizzati. In caso di violazione dei dati personali, il Titolare provvede alla notifica al Garante entro 72 ore e, ove previsto, alla comunicazione agli interessati, ai sensi degli artt. 33 e 34 GDPR.
15. Cookie
Per informazioni sull'utilizzo di cookie e tecnologie analoghe si rinvia alla Cookie Policy, disponibile all'indirizzo https://orientaedu.eu/cookie-policy.
16. Modifiche alla presente informativa
Il Titolare può modificare la presente informativa in caso di variazioni dei trattamenti, dei fornitori o della normativa applicabile. Le modifiche sono pubblicate su questa pagina con l'indicazione della data e del numero di versione. In caso di modifiche sostanziali, il Referente ne viene informato tramite avviso nella Piattaforma o via email prima della loro applicazione.
Versione 1.4 – 18 ottobre 2026