Informativa sul trattamento dei dati personali

1. Titolare del trattamento e contatti

Il titolare del trattamento è Equa Group Srl, con sede in Via Monsignor Giovanni Tommaso Perrone, 15, 88046 Lamezia Terme CZ, P.IVA in corso di attribuzione (società in fase di costituzione) (di seguito «Equa» o il «Titolare»).

• Email: info@equagroup.it
• PEC: equa@pec.equagroup.it
• Telefono: [DA ASSEGNARE]

La presente informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 («Codice privacy»). Riguarda il sito pubblico equagroup.it e le piattaforme riservate Equa Hub (area consulenti), Equa Control (area cliente) ed Equa Campus (formazione), raggiungibili su sottodomini di equagroup.it.

Equa non ha nominato un responsabile della protezione dei dati (DPO), non ricorrendone i presupposti ex art. 37 GDPR; ogni richiesta in materia di dati personali può essere rivolta ai recapiti sopra indicati.

2. Tipologie di dati trattati e fonti

In sintesi, Equa tratta le seguenti categorie di dati:

• Dati forniti direttamente dall’interessato: dati anagrafici e di contatto inseriti nei form del sito (contatti, richiesta di acquisto, AI Checker, prenotazione della call), credenziali e contenuti caricati sulle piattaforme riservate.
• Dati raccolti automaticamente: dati tecnici di navigazione (indirizzo IP, user-agent, log delle richieste) generati dall’infrastruttura di hosting.
• Dati ricevuti da terzi: dati dei dipendenti caricati sulle piattaforme dalle aziende clienti (in questo caso l’azienda cliente è titolare ed Equa agisce come responsabile del trattamento, si veda la sezione 9) ed esiti dei pagamenti comunicati da Stripe.

Equa non tratta, tramite il sito e le piattaforme, categorie particolari di dati ex art. 9 GDPR né dati relativi a condanne penali ex art. 10 GDPR, e chiede agli utenti di non inserirli nei campi a compilazione libera.

3. Navigazione sul sito e sulle piattaforme

Dati trattati. Dati tecnici generati automaticamente dall’uso dei protocolli internet: indirizzo IP, data e ora della richiesta, pagina richiesta, esito della richiesta, user-agent del browser.

Finalità. Consentire l’erogazione del sito e delle piattaforme, garantirne la sicurezza (prevenzione di abusi, attacchi e accessi non autorizzati) e diagnosticare eventuali malfunzionamenti.

Base giuridica. Legittimo interesse del Titolare alla sicurezza e alla continuità del servizio (art. 6, par. 1, lett. f GDPR).

Conservazione. I log tecnici sono conservati dall’infrastruttura di hosting per brevi periodi, di norma non superiori a 30 giorni, salvo necessità di accertamento di illeciti.

Destinatari. Vercel Inc. (hosting, responsabile del trattamento). Il sito pubblico non utilizza cookie né strumenti di analytics o profilazione: per il dettaglio si veda la Cookie policy.

4. Form di contatto

Dati trattati. Nome e cognome, email, azienda (facoltativa), contenuto del messaggio.

Finalità. Rispondere alla richiesta dell’interessato e gestire il successivo contatto commerciale o informativo.

Base giuridica. Esecuzione di misure precontrattuali adottate su richiesta dell’interessato (art. 6, par. 1, lett. b GDPR).

Modalità. Il messaggio genera una notifica interna al team Equa (registrata nel gestionale interno e inviata via email tramite Resend) e un’email di conferma all’interessato. L’invio del form è subordinato all’accettazione espressa dell’informativa privacy, della cookie policy e dei termini e condizioni (checkbox obbligatoria), verificata anche lato server.

Conservazione. 24 mesi dall’ultimo contatto utile, salvo instaurazione di un rapporto contrattuale (nel qual caso si applicano i termini della sezione 5).

Destinatari. Vercel (hosting), Neon (database), Resend (invio email) — tutti responsabili del trattamento (sezione 16).

5. Richiesta di acquisto e dati contrattuali

Dati trattati. Ragione sociale, partita IVA, sede legale, codice SDI o PEC, nome, cognome e ruolo del firmatario, email, telefono (facoltativo), numero di dipendenti e settore (facoltativi), eventuale esito dell’AI Checker allegato alla richiesta.

Finalità. Predisporre il contratto relativo al pacchetto richiesto, gestire la firma, l’attivazione del servizio, la fatturazione e i successivi adempimenti amministrativi e contabili.

Base giuridica. Esecuzione di misure precontrattuali e del contratto (art. 6, par. 1, lett. b GDPR); obblighi legali in materia fiscale e contabile (art. 6, par. 1, lett. c GDPR).

Modalità. I dati confluiscono nel gestionale interno di Equa (pipeline commerciale) e vengono utilizzati per compilare il contratto, inviato alla firma elettronica tramite YouTrust (sezione 14); il pagamento avviene tramite Stripe (sezione 13). L’invio della richiesta è subordinato all’accettazione espressa dell’informativa privacy, della cookie policy e dei termini e condizioni (checkbox obbligatoria): l’accettazione viene registrata, con data e ora, insieme alla richiesta nel gestionale interno.

Conservazione. 10 anni dalla cessazione del rapporto, in conformità agli obblighi civilistici e fiscali (art. 2220 c.c.); i dati delle richieste non seguite da contratto sono conservati per 24 mesi.

Destinatari. Vercel, Neon, Resend (responsabili); YouTrust per la firma; Stripe per i pagamenti con carta; Fatture in Cloud (TeamSystem) per la fatturazione elettronica; commercialista e consulenti amministrativi del Titolare, ove necessario.

6. AI Checker

Dati trattati. Nome, email, azienda e le risposte al questionario (tipo di realtà, numero di persone, uso dell’AI, strumenti, attività, tipologie di dati inseriti nei tool, regole esistenti, problema principale, preferenza di ricezione), oltre all’esito calcolato (livello di esposizione e pacchetto consigliato).

Finalità. Fornire all’interessato l’esito della valutazione preliminare, inviare il riepilogo in PDF (se richiesto via email) e consentire a Equa il successivo ricontatto commerciale sulla richiesta.

Base giuridica. Esecuzione di misure precontrattuali adottate su richiesta dell’interessato (art. 6, par. 1, lett. b GDPR).

Modalità. La compilazione richiede l’accettazione espressa dell’informativa privacy, della cookie policy e dei termini e condizioni (checkbox obbligatoria): il consenso espresso viene registrato con il relativo timestamp (data e ora dell’accettazione) insieme alle risposte. Le risposte vengono registrate su un foglio Google Sheets riservato al team Equa (Google Workspace), viene generato un PDF di riepilogo e vengono inviate, tramite Resend, un’email interna al team e un’email di esito all’interessato (con il PDF allegato solo se ha scelto la ricezione via email). L’esito è calcolato da regole predefinite a partire dalle risposte: l’AI Checker non utilizza modelli di intelligenza artificiale generativa e nessun dato viene inviato a fornitori di tali modelli. L’esito non produce effetti giuridici sull’interessato e non costituisce una decisione unicamente automatizzata ai sensi dell’art. 22 GDPR: è una valutazione informativa preliminare, sempre seguita da interlocuzione umana.

Conservazione. 24 mesi dalla compilazione, salvo instaurazione di un rapporto contrattuale.

Destinatari. Google (Google Sheets — Google Workspace), Resend (email), Vercel (hosting) — responsabili del trattamento. Nel browser dell’interessato l’esito è inoltre salvato temporaneamente in sessionStorage per precompilare il form di acquisto: si veda la Cookie policy.

7. Prenotazione della call (Check-up AI / call preliminare)

Dati trattati. Nome e cognome, email, azienda, telefono e note per la call (facoltativi), data e ora scelta per la videochiamata.

Finalità. Organizzare la videochiamata richiesta dall’interessato (call di approfondimento del Check-up AI oppure call preliminare conoscitiva) e gestirne conferme e spostamenti.

Base giuridica. Esecuzione di misure precontrattuali adottate su richiesta dell’interessato (art. 6, par. 1, lett. b GDPR).

Modalità. La prenotazione crea un evento su Google Calendar con invito Google Meet inviato all’interessato e ai referenti Equa (emanuele.vaccaro@equagroup.it e michele.muraca@equagroup.it), genera un lead nel gestionale interno di Equa e attiva un’email di conferma inviata tramite Resend. L’invio del form è subordinato all’accettazione espressa dell’informativa privacy, della cookie policy e dei termini e condizioni (checkbox obbligatoria): l’accettazione viene registrata, con data e ora, nel gestionale interno.

Conservazione. 24 mesi dalla richiesta, salvo instaurazione di un rapporto contrattuale (nel qual caso si applicano i termini della sezione 5).

Destinatari. Google (Google Calendar e Google Meet — Google Workspace), Vercel (hosting), Neon (database), Resend (email) — tutti responsabili del trattamento (sezione 16).

8. Account sulle piattaforme (Hub, Control, Campus)

Dati trattati. Nome, email, password (conservata esclusivamente in forma di hash non reversibile), impostazioni dell’autenticazione a due fattori (segreto TOTP o codici via email, codici di recupero in forma cifrata), dispositivi fidati, log di accesso e di sicurezza, dati di utilizzo della piattaforma.

Finalità. Creare e gestire gli account di accesso alle piattaforme riservate, autenticare gli utenti (inclusa l’autenticazione a due fattori), garantire la sicurezza degli accessi e la separazione dei dati per azienda (tenant).

Base giuridica. Esecuzione del contratto (art. 6, par. 1, lett. b GDPR); legittimo interesse alla sicurezza dei sistemi (art. 6, par. 1, lett. f GDPR) per i log di sicurezza.

Conservazione. Per la durata del contratto e fino a 12 mesi dalla sua cessazione, salvo i termini più lunghi della sezione 18; i log di accesso sono conservati fino a 12 mesi.

Destinatari. Vercel (hosting), Neon (database, regione AWS eu-central-1 — Francoforte), Resend (email di servizio) — responsabili del trattamento.

9. Dati dei dipendenti caricati dalle aziende clienti (Equa responsabile ex art. 28)

Le aziende clienti possono caricare sulle piattaforme i dati dei propri dipendenti e collaboratori (tipicamente: nome, cognome, email, reparto/ruolo) per attivare gli accessi a Equa Control ed Equa Campus, i questionari e i percorsi formativi.

I dipendenti interessati ricevono l’informativa dal proprio datore di lavoro; le richieste di esercizio dei diritti relative a questi dati vanno rivolte in prima battuta al datore di lavoro, e Equa presta la propria assistenza al titolare come previsto dal DPA. I dati sono conservati per la durata del contratto con il cliente e restituiti o cancellati alla sua cessazione, secondo quanto previsto dal DPA.

Sub-responsabili autorizzati: Vercel, Neon, Resend, Google, Stripe, YouTrust (elenco completo e condizioni nel DPA).

10. Questionari anonimi ai dipendenti

I questionari rivolti ai dipendenti delle aziende clienti (ad esempio sull’uso degli strumenti AI) sono anonimi per progettazione: le risposte non sono associate all’identità del rispondente e il datore di lavoro vede esclusivamente risultati aggregati per reparto, mai le risposte individuali.

Nei limiti in cui le risposte non siano riconducibili a una persona identificata o identificabile, esse non costituiscono dati personali ai sensi del GDPR. Equa invita comunque i rispondenti a non inserire dati identificativi nei campi a risposta libera; eventuali dati personali inseriti spontaneamente saranno trattati da Equa quale responsabile per conto dell’azienda cliente, come descritto alla sezione 9.

11. Formazione, quiz e attestati (Equa Campus)

Dati trattati. Dati identificativi del partecipante (nome, email, azienda, reparto), progressi nei corsi, completamento dei moduli, esiti dei quiz, attestati generati.

Finalità. Erogare i percorsi formativi, tracciare i progressi ai fini del completamento, generare gli attestati di partecipazione e consentirne la verifica di autenticità.

Base giuridica. Esecuzione del contratto con l’azienda cliente; per i dati dei dipendenti Equa agisce come responsabile ex art. 28 GDPR (sezione 9).

Riservatezza dei quiz. Le risposte individuali ai quiz non sono visibili al datore di lavoro: il datore di lavoro vede lo stato di completamento della formazione, non il dettaglio delle risposte del singolo dipendente.

Attestati e verifica pubblica. Ogni attestato riporta un codice di verifica che consente, tramite una pagina pubblica di verifica, di confermarne l’autenticità. La pagina di verifica espone esclusivamente i dati minimi necessari (intestatario, corso, data e validità dell’attestato) e solo a chi dispone del relativo codice.

Conservazione. Progressi e quiz per la durata del contratto; gli attestati e i dati minimi di verifica fino a 10 anni dall’emissione, per garantirne la verificabilità.

Destinatari. Vercel (hosting e Vercel Blob per le immagini dei corsi), Neon (database), Resend (notifiche).

12. Chat di segnalazione e allegati

Dati trattati. Contenuto dei messaggi scambiati nelle chat di segnalazione tra cliente e team Equa, eventuali allegati caricati, dati identificativi dell’autore del messaggio, data e ora.

Finalità. Gestire segnalazioni, richieste e comunicazioni operative tra il cliente e il team Equa nell’ambito del servizio.

Base giuridica. Esecuzione del contratto (art. 6, par. 1, lett. b GDPR); per i dati dei dipendenti, Equa opera come responsabile ex art. 28 (sezione 9).

Modalità e sicurezza. Messaggi e allegati sono conservati nel database Postgres (Neon, Francoforte) e sono accessibili esclusivamente tramite route autenticate, nel perimetro dell’azienda di appartenenza (controllo accessi per tenant).

Conservazione. Per la durata del contratto e fino a 12 mesi dalla cessazione, salvo diversi obblighi di legge.

Destinatari. Vercel, Neon (responsabili del trattamento).

13. Pagamenti (Stripe)

Dati trattati. Dati necessari al pagamento: intestatario, email, importi, esito delle transazioni. I dati completi della carta o del metodo di pagamento sono raccolti e trattati direttamente da Stripe sulle proprie pagine sicure e non transitano mai sui sistemi di Equa.

Finalità. Incassare i corrispettivi contrattuali (pagamenti una tantum e canoni ricorrenti), gestire rinnovi, insoluti e rimborsi.

Base giuridica. Esecuzione del contratto (art. 6, par. 1, lett. b GDPR) e obblighi legali contabili e antiriciclaggio in capo al prestatore dei servizi di pagamento.

Ruolo di Stripe. Stripe Payments Europe Ltd (e le società del gruppo Stripe) opera come titolare autonomo del trattamento per i trattamenti connessi ai servizi di pagamento regolamentati. Informativa: stripe.com/it/privacy.

Bonifico bancario. Per i piani annuali il Cliente può scegliere il pagamento con bonifico: in tal caso Equa tratta soltanto i dati di fatturazione e l’evidenza dell’accredito, senza alcun intermediario di pagamento.

Fatturazione. Le fatture sono emesse in formato elettronico tramite il Sistema di Interscambio (SdI) con il software Fatture in Cloud (TeamSystem S.p.A., Italia), nominato responsabile del trattamento per i dati di fatturazione (ragione sociale, partita IVA, sede, codice destinatario o PEC, importi); la copia di cortesia in PDF viene inviata via email tramite Resend. Informativa: fattureincloud.it/privacy-policy.

Conservazione. Le evidenze contabili delle transazioni sono conservate da Equa per 10 anni.

14. Firma elettronica dei contratti (YouTrust)

Dati trattati. Dati del firmatario (nome, cognome, ruolo, email, numero di telefono per l’OTP), documento contrattuale, log e certificati di firma (data, ora, esito dell’autenticazione OTP).

Finalità. Sottoscrizione dei contratti mediante firma elettronica avanzata con autenticazione OTP e conservazione delle relative evidenze probatorie.

Base giuridica. Esecuzione di misure precontrattuali e del contratto (art. 6, par. 1, lett. b GDPR).

Ruolo del fornitore. Il servizio è erogato tramite YouTrust (già Yousign), che tratta i dati di firma come responsabile del trattamento per conto di Equa, salvo i trattamenti che svolge come titolare autonomo per i propri obblighi normativi di prestatore di servizi fiduciari (ad esempio la conservazione delle evidenze di firma). Informativa: yousign.com/privacy-policy.

Conservazione. I contratti firmati e i relativi certificati di firma sono conservati per 10 anni dalla cessazione del rapporto.

15. Email transazionali e preferenze di notifica

Dati trattati. Indirizzo email, contenuto delle comunicazioni di servizio (conferme, notifiche di piattaforma, credenziali e link di accesso, avvisi di sicurezza), preferenze di notifica impostate dall’utente.

Finalità. Inviare le comunicazioni necessarie all’erogazione del servizio e le notifiche richieste o attese dall’utente, nel rispetto delle preferenze impostate in piattaforma.

Base giuridica. Esecuzione del contratto (art. 6, par. 1, lett. b GDPR). Equa non invia newsletter promozionali massive tramite il sito; eventuali comunicazioni commerciali sono inviate solo nei limiti consentiti dalla normativa.

Destinatari. Resend Inc. (piattaforma di invio email transazionali, responsabile del trattamento).

Conservazione. I log di invio sono conservati per il tempo tecnico necessario; le preferenze di notifica per la durata dell’account.

16. Progetti di software su misura e assistenti AI

Per i progetti di software su misura (gestionali, portali interni e assistenti AI costruiti sui processi del Cliente) Equa opera come responsabile del trattamento per conto del Cliente, sulla base di un contratto e di un accordo sul trattamento dei dati dedicati, che definiscono categorie di dati, ruoli, misure di sicurezza e l’elenco dei sub-responsabili specifici del progetto.

L’assistente AI, quando previsto, lavora esclusivamente sui dati che l’utente che lo interroga è già autorizzato a vedere e non prende decisioni automatizzate: propone, riassume e ricerca. Il Cliente sceglie, prima dell’avvio, se il modello di intelligenza artificiale viene eseguito in cloud (tramite un fornitore terzo, con account intestato al Cliente e con l’accordo sul trattamento dei dati del fornitore allegato al contratto) oppure in sede su hardware del Cliente, senza trasmissione dei dati all’esterno. Le categorie di informazioni accessibili all’assistente sono messe per iscritto in fase di analisi; i dati particolari (art. 9 GDPR) restano esclusi salvo specifica istruzione del Cliente.

Prima della messa in produzione il software è sottoposto a test di sicurezza (penetration test) da parte di uno specialista indipendente, su ambienti di prova con dati sintetici.

17. Destinatari, responsabili del trattamento e servizi terzi

I dati sono trattati dal personale di Equa autorizzato ex art. 29 GDPR e dai fornitori di servizi elencati di seguito, nominati responsabili del trattamento ex art. 28 GDPR ove trattino dati per conto di Equa. I dati non sono mai venduti né ceduti a terzi per finalità di marketing.

Possono inoltre accedere ai dati, per le sole finalità di rispettiva competenza: consulenti amministrativi, fiscali e legali del Titolare; autorità pubbliche, quando l’accesso è previsto dalla legge.

18. Trasferimenti extra-UE

Il database principale risiede nell’Unione Europea (Neon su AWS, regione eu-central-1 — Francoforte); la fatturazione elettronica è gestita da un fornitore italiano (Fatture in Cloud, TeamSystem S.p.A.). Alcuni fornitori (Vercel, Resend, Google, Stripe) hanno sede o società del gruppo negli Stati Uniti o in altri Paesi terzi: in tali casi il trasferimento avviene sulla base di decisioni di adeguatezza della Commissione Europea (incluso l’EU-U.S. Data Privacy Framework, per i fornitori certificati) e/o delle Clausole Contrattuali Standard (SCC) di cui alla Decisione (UE) 2021/914, integrate ove necessario da misure supplementari.

Copia delle garanzie applicate può essere richiesta scrivendo a info@equagroup.it.

19. Tempi di conservazione (riepilogo)

20. Diritti dell’interessato e reclamo al Garante

Ai sensi degli artt. 15-22 GDPR, l’interessato ha diritto di:

• ottenere l’accesso ai propri dati personali e alle informazioni sul trattamento (art. 15);
• ottenere la rettifica dei dati inesatti o l’integrazione di quelli incompleti (art. 16);
• ottenere la cancellazione dei dati, nei casi previsti (art. 17);
• ottenere la limitazione del trattamento (art. 18);
• ricevere i dati in un formato strutturato e di uso comune (portabilità, art. 20);
• opporsi al trattamento fondato sul legittimo interesse (art. 21);
• non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici (art. 22) — trattamenti che Equa non effettua.

Ove il trattamento si basi sul consenso, l’interessato può revocarlo in qualsiasi momento, senza pregiudicare la liceità del trattamento anteriore alla revoca.

Le richieste possono essere inviate a info@equagroup.it o via PEC a equa@pec.equagroup.it; Equa risponde entro un mese, prorogabile di due mesi nei casi di particolare complessità (art. 12 GDPR).

Resta fermo il diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) o di ricorrere all’autorità giudiziaria.

Per i dati trattati da Equa quale responsabile per conto delle aziende clienti (sezione 9), le richieste vanno rivolte al datore di lavoro titolare; se ricevute da Equa, saranno inoltrate senza ritardo al titolare competente.

21. Minori

I servizi Equa sono rivolti esclusivamente a imprese e professionisti (B2B) e non sono destinati a persone di età inferiore ai 18 anni. Equa non raccoglie consapevolmente dati personali di minori; qualora venisse a conoscenza di un simile trattamento, provvederà alla cancellazione dei dati nel più breve tempo possibile.

22. Pagine social e insights

Equa è presente sui seguenti canali social:

• Instagram: instagram.com/equagroupitalia
• Facebook: facebook.com/equagroupitalia
• LinkedIn: linkedin.com/company/equa-group-italia

Interagendo con queste pagine (follow, like, commenti, messaggi), i dati dell’utente sono trattati anche dai gestori delle piattaforme secondo le rispettive informative. Per le statistiche aggregate delle pagine (insights), Equa e il gestore della piattaforma operano come contitolari del trattamento ex art. 26 GDPR, nei termini degli accordi di contitolarità resi disponibili da Meta e LinkedIn. Equa riceve solo dati aggregati e anonimi, mai i profili individuali.

• Meta (Instagram): privacycenter.instagram.com/policy
• Meta (Facebook): facebook.com/privacy/policy
• LinkedIn: linkedin.com/legal/privacy-policy

23. Modifiche alla presente informativa

Equa può aggiornare la presente informativa per riflettere modifiche normative, organizzative o dei servizi utilizzati. La versione vigente è sempre pubblicata su questa pagina, con l’indicazione della data di ultimo aggiornamento; in caso di modifiche sostanziali che riguardino gli utenti delle piattaforme, Equa ne darà notizia tramite i canali di contatto disponibili.