Informativa privacy

1. Introduzione

Questa informativa, redatta ai sensi dell’art. 13 del Regolamento (UE) 2016/679 («GDPR») e del D.lgs. 196/2003 come modificato dal D.lgs. 101/2018 («Codice Privacy»), descrive come raccogliamo, usiamo e proteggiamo i dati personali di chi usa Sillo: il sito sillo.it e le app per iOS e Android (di seguito, insieme, la «Piattaforma»).

2. Titolare del trattamento

Titolare del trattamento è DUEDITUTTO S.R.L., con sede legale in Via Monte Santo 1/3, 20124 Milano (MI), C.F./P.IVA 14522760967, in persona del legale rappresentante pro tempore (Giuseppe Varrasi). La stessa società gestisce Smart ECM.

Per qualsiasi richiesta sulla privacy scrivi a privacy@smart-ecm.it (o a staff@smart-ecm.it). Non è stato nominato un Responsabile della protezione dei dati (DPO), perché non obbligatorio ai sensi dell’art. 37 GDPR.

3. Quali dati raccogliamo

• Dati dell’account: email e password, oppure nome, cognome ed email che ricevi da Google o LinkedIn se accedi con loro; le tue scelte sul consenso alle comunicazioni commerciali.
• Dati del profilo: professione (e fino a tre professioni aggiuntive), specializzazione, condizione lavorativa, iscrizione nell’elenco speciale ad esaurimento, argomenti di interesse.
• Dati di fatturazione: nome e cognome, codice fiscale, indirizzo e, se li inserisci, Partita IVA, codice SDI e PEC.
• Dati di formazione: corsi a cui sei iscritto, avanzamento, tempi di fruizione, risposte a quiz, sondaggi e questionari, esiti dei test, attestati e crediti ECM, la tua situazione ECM (obblighi e crediti che registri), le richieste di assistenza nella ricerca dei corsi.
• Testi che scrivi nelle simulazioni: nelle attività di scrittura e di dialogo dei corsi le tue risposte vengono elaborate da un modello di intelligenza artificiale per darti un riscontro.
• Foto profilo (facoltativa): se ne carichi una, la conserviamo finché non la rimuovi o non elimini l’account, senza i metadati del file (posizione, dispositivo). Prima di pubblicarla la facciamo controllare in automatico da due servizi (OpenAI e Anthropic) per escludere contenuti vietati: una foto non ammessa non viene salvata; teniamo solo il numero di foto rifiutate (dopo 3 il caricamento si blocca). Se una foto fa sospettare materiale pedopornografico, l’account viene bloccato e, come impone la legge, conserviamo i dati dell’account e del caricamento con l’impronta digitale dell’immagine (non l’immagine) per segnalarli alla Polizia Postale.
• Dati di pagamento: gestiti direttamente da Stripe; non conserviamo i dati della tua carta.
• Dati di utilizzo: indirizzo IP, browser, sistema operativo, dispositivo, pagine e schermate visitate, ricerche, eventi (es. inizio e fine di una lezione), parametri di campagna (utm_*, gclid). I dettagli sui cookie sono nella sezione 9.
• Dati delle app: identificativi del dispositivo e dell’installazione, modello e sistema operativo, versione dell’app, token per le notifiche push. Le app accedono alle foto o alla fotocamera solo quando scegli una foto profilo; non accedono a rubrica o posizione.

4. Come usiamo i dati

• Erogare il servizio (account, corsi, avanzamento, attestati, ricerca dei corsi, assistenza): esecuzione del contratto (art. 6.1.b GDPR).
• Corsi ECM e adempimenti AGENAS/CoGeAPS: esecuzione del contratto e obbligo legale (art. 6.1.b e 6.1.c GDPR). Il conferimento dei dati è obbligatorio: senza, non è possibile riconoscere i crediti ECM.
• Acquisti e fatturazione: esecuzione del contratto e obblighi fiscali (art. 6.1.b e 6.1.c GDPR).
• Sfide «testa a testa»: altri corsisti possono vedere il tuo nome di battesimo, le risposte che hai dato in una verifica già fatta e il tempo che ci hai messo. Base giuridica: esecuzione del contratto (art. 6.1.b GDPR); puoi disattivarlo in qualsiasi momento dal Profilo.
• Notifiche push: consenso (art. 6.1.a GDPR), dato tramite l’autorizzazione del dispositivo e revocabile dal suo profilo.
• Comunicazioni commerciali su promozioni, sconti e nuovi corsi: consenso (art. 6.1.a GDPR), facoltativo e revocabile in qualsiasi momento dal Profilo.
• Statistiche e miglioramento della Piattaforma: legittimo interesse (art. 6.1.f GDPR) per i dati aggregati e di breve durata, consenso (art. 6.1.a GDPR) per i cookie analitici persistenti.
• Fonte di traffico: al momento della registrazione possiamo associare al tuo account la campagna o il link da cui sei arrivato, per rendicontazione contabile, prevenzione delle frodi e misura dell’efficacia delle campagne (art. 6.1.b e 6.1.f GDPR).
• Sicurezza e prevenzione delle frodi: legittimo interesse e obbligo legale (art. 6.1.f e 6.1.c GDPR).

5. Con chi condividiamo i dati

• Enti istituzionali (AGENAS, CoGeAPS, Ministero della Salute, Ordini professionali): per la convalida dei crediti dei corsi ECM.
• Organizzatori dei corsi: i corsi di altri organizzatori che trovi in Cerca si aprono sulla loro pagina; aprirla non comporta la trasmissione dei tuoi dati. Se ti iscrivi lì, l’organizzatore tratta i tuoi dati come titolare autonomo.
• Fornitori tecnici (responsabili del trattamento ex art. 28 GDPR): Supabase Inc. (database e autenticazione, server nell’UE); Vercel Inc. (hosting); Stripe Payments Europe Ltd (pagamenti); Qonto (emissione delle fatture elettroniche); PostHog Inc. (statistiche di utilizzo, server nell’UE); Anthropic PBC (riscontri alle simulazioni dei corsi, controllo delle foto profilo); OpenAI (ricerca per significato: solo il testo delle ricerche e dei corsi, nessun dato che ti identifica; controllo delle foto profilo, senza dati che ti identificano); Expo – 650 Industries Inc. (recapito delle notifiche push); Apple Inc. e Google LLC (distribuzione delle app e notifiche); fornitori di posta transazionale e di assistenza.
• Google, LinkedIn: solo se scegli di accedere con il loro account.
• Consulenti e legali per la gestione amministrativa, fiscale e legale, e autorità pubbliche quando lo richiede la legge.

6. Trasferimento dei dati fuori dall’UE

I dati sono trattati soprattutto su server nell’Unione Europea. Alcuni fornitori (tra cui Vercel, Stripe, PostHog, Anthropic, OpenAI, Expo, Apple e Google) hanno sede negli Stati Uniti: il trasferimento avviene sulla base dell’EU-US Data Privacy Framework (decisione di adeguatezza UE 2023/1795) e/o delle Clausole contrattuali standard approvate dalla Commissione Europea.

7. Per quanto tempo li conserviamo

• Account e profilo: per la durata del rapporto e fino a 10 anni dalla cessazione, per finalità fiscali e di prova.
• Dati ECM (crediti, attestati): secondo le tempistiche AGENAS/CoGeAPS (almeno 10 anni).
• Ordini e fatture: 10 anni (art. 2220 c.c.).
• Foto profilo: finché non la rimuovi o non elimini l’account (i file vengono cancellati subito). Le foto rifiutate non vengono conservate.
• Cookie analitici: al massimo 13 mesi; cookie di marketing: al massimo 90 giorni.
• Token per le notifiche push: finché l’app è installata o fino alla revoca del consenso.
• Log di sicurezza: al massimo 12 mesi.

8. I tuoi diritti

In qualsiasi momento puoi esercitare i diritti previsti dagli artt. 15-22 GDPR:

• accesso, rettifica e cancellazione dei tuoi dati («diritto all’oblio»);
• limitazione del trattamento (art. 18) e portabilità dei dati (art. 20);
• opposizione al trattamento basato sul legittimo interesse e al marketing diretto (art. 21);
• revoca del consenso, senza pregiudizio per la liceità del trattamento già effettuato (art. 7.3): per le comunicazioni commerciali dal Profilo, per i cookie dalle preferenze cookie;
• reclamo all’Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it).

Puoi eliminare l’account e i dati collegati dal Profilo, fatti salvi i dati che la legge ci impone di conservare. Non usiamo processi decisionali automatizzati né profilazione ai sensi dell’art. 22 GDPR. Le richieste vanno inviate a privacy@smart-ecm.it e ricevono risposta entro 30 giorni (art. 12.3 GDPR).

10. Minori

La Piattaforma è destinata a professionisti maggiorenni. Non raccogliamo intenzionalmente dati di minori: se scopriamo di averne raccolti, li cancelliamo tempestivamente.

11. Modifiche

Potremmo aggiornare questa informativa. Ti informeremo delle modifiche significative con un avviso sulla Piattaforma e aggiornando la data in apertura.