Come trattiamo i vostri dati

Chi tratta i dati

Il titolare del trattamento è S.P.L. Consulenza S.r.l., con sede in Via Capri 5, 27100 Pavia, partita IVA 02691260182.

Per qualunque richiesta su questa informativa o sui vostri dati: info@splconsulenza.it.

Non abbiamo nominato un responsabile della protezione dei dati: per qualunque questione sui vostri dati risponde direttamente il titolare, all’indirizzo qui sopra.

Quali dati raccogliamo, e da dove

Solo quelli che scrivete voi, nei moduli del sito o alla cassa. Non compriamo elenchi e non raccogliamo dati da altre fonti.

Il modulo dei contatti non accetta allegati, ed è una scelta: i documenti si mandano per posta, dove passano dai filtri di un servizio di posta invece che dai nostri.

Come ogni sito, il server registra automaticamente gli accessi (indirizzo IP, data e ora, pagina richiesta). Servono a far funzionare e a difendere il sito, e non li usiamo per profilare nessuno.

Quando comprate un corso

Alla cassa chiediamo solo quello che serve a iscrivervi e a fatturare, e ogni cosa serve a qualcosa di preciso. Non ce n’è nessuna che raccogliamo «per sapere».

Il pagamento

Si può pagare in due modi: con bonifico bancario, oppure con carta, Apple Pay o Google Pay. In tutti e due i casi il sito non chiede e non conserva i dati della carta: numero, scadenza e codice si scrivono in finestre ospitate da Stripe e vanno direttamente a lui, senza passare da noi.

Chi paga con carta, Apple Pay o Google Pay usa il servizio di Stripe Payments Europe, Limited, che tratta i dati del pagamento per proprio conto — per incassare, prevenire le frodi e rispettare i propri obblighi — secondo la sua informativa. Del bonifico, invece, vediamo quello che vede la nostra banca: chi ha pagato, quanto e quando.

Dove vanno questi dati

• All’organismo che rilascia l’attestato. Per i corsi previsti dall’Accordo Stato-Regioni l’attestato non lo emettiamo noi: lo rilascia a proprio nome l’organismo paritetico con cui il corso è erogato — OPN EFEI Italia Lavoro oppure OPNASP di Conflavoro PMI, secondo il corso. A loro comunichiamo i dati del partecipante che servono a intestare l’attestato, e da quel momento li trattano per proprio conto, secondo le proprie informative.
• Alla piattaforma su cui si segue il corso. Nome, cognome ed email servono per aprire l’accesso e registrare l’avanzamento. Per i corsi che non rientrano nell’Accordo Stato-Regioni usiamo la piattaforma Infotel di Sicurweb, e in quel caso l’attestato lo emettiamo noi.
• Alla fattura elettronica. La fattura la emette direttamente S.P.L. Consulenza, e per legge passa dal Sistema di Interscambio dell’Agenzia delle Entrate, che ve la recapita. È il modo in cui in Italia si emette una fattura, e non è una scelta nostra.
• A chi le conserva, e al commercialista. Le fatture sono conservate a norma in cloud da Fatture in Cloud. Il nostro commercialista, lo Studio Associato Rovescala Subinaghi, può trattarne i dati quando cura gli adempimenti contabili.
• A chi incassa il pagamento. Chi paga con carta, Apple Pay o Google Pay affida i dati del pagamento a Stripe Payments Europe, Limited, che li tratta per proprio conto secondo la sua informativa. Chi paga con bonifico non passa da nessun servizio di questo tipo.
• Alla protezione anti-frode del pagamento. Per accettare le carte Stripe usa un controllo anti-frode, hCaptcha (di Intuition Machines, Inc.): al momento del pagamento hCaptcha riceve l’indirizzo IP e i dati tecnici della navigazione e li usa, per proprio conto, per stabilire se il pagamento è genuino. Vale solo alla cassa e solo se si paga con carta; col bonifico non interviene.

Il nome sull’attestato

L’attestato è un documento che dimostra una formazione fatta, e vale per la persona che l’ha seguita: nome, cognome e codice fiscale del partecipante restano scritti lì e nei nostri registri del corso. Se chi paga e chi partecipa sono due persone diverse, i dati del partecipante ce li state dando voi: avvisate la persona che l’avete fatto e fatele leggere questa pagina — è una cosa che tocca a chi iscrive, e questa informativa serve anche a ricordarlo.

I dati di chi partecipa al corso

Chi compra un corso indica chi lo frequenterà: spesso sono persone diverse. Questi dati li chiediamo nella pagina che si apre dal link nella mail dell’ordine, e servono tutti a qualcosa di preciso.

Se il corso si tiene in aula virtuale

Per farvi entrare in aula, nome, cognome e indirizzo email vengono registrati sulla piattaforma di videoconferenza (Zoom): è così che il collegamento diventa personale e che il sistema riconosce chi è entrato.

Da quella registrazione ricaviamo quanto tempo ciascuno è rimasto collegato, lezione per lezione. Non è una curiosità: è il registro che l’organismo paritetico richiede, ed è ciò su cui si decide se l’attestato può essere emesso — la frequenza minima è stabilita dalla norma, non da noi. Le stesse ore le potete vedere in ogni momento dalla vostra pagina personale.

Perché possiamo trattarli

• Per rispondere a una vostra richiesta — moduli contatti e report della diagnosi: il trattamento serve a dare seguito a quello che ci avete chiesto, ed è la base prevista dall’art. 6.1.b del Regolamento.
• Per l’acquisto di un corso — l’esecuzione del contratto che avete concluso con noi (art. 6.1.b): iscrivervi, aprirvi l’accesso, emettere l’attestato.
• Per la fattura e la contabilità — un obbligo di legge a cui non possiamo sottrarci (art. 6.1.c). È l’unico caso in cui, se ci chiedete di cancellare qualcosa, non possiamo farlo del tutto.
• Per la newsletter — il vostro consenso, che date spuntando la casella e che potete togliere quando volete con il collegamento in fondo a ogni messaggio (art. 6.1.a).
• Per i registri del server e la sicurezza — il nostro legittimo interesse a tenere in piedi il sito e a difenderlo (art. 6.1.f).

Dare i dati non è obbligatorio, ma senza non possiamo rispondervi né mandarvi quello che avete chiesto. Per un corso non è una formula: senza codice fiscale la fattura non si emette e l’iscrizione non parte.

Per quanto tempo li teniamo

Finché non ci chiedete di cancellarli. Non c’è una scadenza automatica: una richiesta di consulenza può tornare utile a distanza di anni, e un contatto che non si è più fatto sentire non è un contatto da buttare.

• Newsletter: restate iscritti finché non vi cancellate. Il collegamento è in fondo a ogni messaggio e la cancellazione è immediata.
• Richieste dai moduli e report della diagnosi: li teniamo finché non ci chiedete di cancellarli. Dove la legge imponga comunque un termine, il limite è cinque anni dall’ultimo contatto.
• Ordini e fatture: dieci anni, e su questo non abbiamo voce in capitolo — lo impone l’art. 2220 del Codice civile a chiunque emetta una fattura. Vale anche se ci chiedete di cancellare tutto il resto.
• Attestato e dati del corso: dieci anni. Così se lo perdete possiamo rimandarvelo senza farvi rifare il corso, anche a distanza di tempo.

Per farli cancellare basta scriverci: non serve un modulo e non serve spiegare perché. L’unica cosa che non possiamo cancellare sono le fatture, per la ragione qui sopra.

Chi altro li vede

I vostri dati non si vendono e non si cedono a nessuno. Ci sono però due gruppi di soggetti che li vedono, e la differenza fra i due riguarda anche voi.

Chi li tratta per conto nostro

Sono nostri responsabili del trattamento: agiscono secondo le nostre istruzioni e solo per quello che serve.

• SiteGround Spain S.L., che ospita il sito e da cui passa la posta dei moduli.
• Brevo, il servizio con cui mandiamo la newsletter, che conserva l’indirizzo di chi si è iscritto. Il servizio è sottoscritto con la sua società europea.
• Sicurweb (piattaforma Infotel), dove si seguono i corsi che non rientrano nell’Accordo Stato-Regioni e per i quali l’attestato lo emettiamo noi.
• Fatture in Cloud, dove le fatture sono conservate a norma.
• Zoom Communications, Inc., la piattaforma con cui si tengono le lezioni in aula virtuale. Riceve nome, cognome e indirizzo email di chi partecipa, per creare il collegamento personale, e produce il registro dei collegamenti da cui ricaviamo le presenze.

Le condizioni che abbiamo sottoscritto con loro comprendono l’accordo sul trattamento dei dati previsto dall’art. 28 del Regolamento.

Chi li tratta per proprio conto

A questi soggetti i dati vengono comunicati, e da lì in poi ne rispondono loro, ciascuno con la propria informativa.

• OPN EFEI Italia Lavoro e OPNASP di Conflavoro PMI, gli organismi paritetici con cui eroghiamo i corsi previsti dall’Accordo Stato-Regioni: l’attestato lo rilasciano a proprio nome, e per farlo ricevono i dati del partecipante. Con entrambi abbiamo accordi in essere.
• Studio Associato Rovescala Subinaghi, il nostro commercialista: può trattare alcuni di questi dati quando cura gli adempimenti contabili — il bilancio, per esempio — nell’esercizio della propria attività professionale.
• L’Agenzia delle Entrate, a cui la fattura elettronica arriva attraverso il Sistema di Interscambio. Non gliela mandiamo per scelta — in Italia è il modo in cui una fattura si emette.

Un trasferimento fuori dall’Unione europea c’è, ed è uno solo. Gli organismi paritetici, lo studio commercialista e i servizi italiani sono in Italia; SiteGround e Brevo sono sottoscritti con le loro società europee. Zoom Communications, Inc. è invece una società statunitense: quando si tiene una lezione in aula virtuale, nome, cognome e indirizzo email di chi partecipa sono trattati anche da lei.

Quel trasferimento avviene sulla base delle clausole contrattuali standard approvate dalla Commissione europea, che fanno parte dell’accordo sul trattamento dei dati compreso nelle condizioni del servizio. L’elenco aggiornato dei fornitori di cui Zoom si avvale a sua volta è pubblicato su explore.zoom.us/en/subprocessors.

La mappa nella pagina contatti è un caso a parte: è un contenuto di Google incorporato nella pagina, e quando si carica Google riceve il vostro indirizzo IP. Non è un dato che passiamo noi, ed è spiegato per esteso nell’informativa cookie.

Cookie e statistiche: tre, e solo nel carrello

Navigando il sito non si installa nessun cookie. Se mettete un corso nel carrello ne compaiono tre, tutti nostri e tutti tecnici: servono a non farvi svuotare il carrello fra una pagina e l’altra, e sono elencati con nome e durata nell’informativa cookie.

Non usiamo Google Analytics né altri strumenti che seguano le persone. Non è una dichiarazione di principio: è stato misurato, e la misura è riportata nell’informativa cookie con la data.

Per capire come va il sito usiamo i dati aggregati e anonimi che Google Search Console ci dà sulle nostre stesse pagine, e il conteggio delle richieste che arrivano dai moduli.

Se in futuro misureremo anche la lettura delle pagine, lo faremo con uno strumento senza cookie, con l’indirizzo IP reso anonimo e ospitato su un nostro server: dati aggregati, nessun profilo e nessuna condivisione con terzi. Questa informativa lo dirà con la sua data.

I vostri diritti

Potete in qualsiasi momento chiederci di:

• vedere quali vostri dati abbiamo;
• correggerli se sono sbagliati o incompleti;
• cancellarli;
• limitarne l’uso, o opporvi al trattamento;
• riceverli in un formato leggibile da un altro sistema;
• togliere il consenso alla newsletter, senza che questo tocchi quello che è stato fatto prima.

C’è un limite, e ve lo diciamo prima: le fatture e i documenti contabili non possiamo cancellarli, nemmeno se ce lo chiedete. La legge ci obbliga a tenerli dieci anni. Tutto il resto sì.

Basta scrivere a info@splconsulenza.it. Rispondiamo entro un mese.

Se pensate che qualcosa non vada, potete rivolgervi al Garante per la protezione dei dati personali — garanteprivacy.it.

Se questa informativa cambierà

La data in cima dice quando è stata rivista l’ultima volta. Se cambia qualcosa di sostanziale — un servizio nuovo, un dato in più che chiediamo — questa pagina si aggiorna e la data lo dice.

Norme di riferimento: Regolamento UE 2016/679 (GDPR) e, per quanto compatibile, il D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.