Informativa sul trattamento dei dati personali

Chi tratta i tuoi dati

Go To Certifications s.r.l.s. (P.IVA IT18527461000) e' sempre titolare del trattamento: e' la societa' che possiede e gestisce la piattaforma GTL, ne detiene l'infrastruttura e gli archivi, e tratta i tuoi dati per farla funzionare.

Se il tuo account e' stato creato da un'organizzazione che ti ha iscritto a un corso, anche quell'organizzazione tratta i tuoi dati e decide su di essi: le due sono allora contitolari del trattamento ai sensi dell'art. 26 del Regolamento UE 2016/679 (GDPR). I nomi, le partite IVA e i recapiti esatti che valgono per te sono in fondo a questa informativa.

Cosa vuol dire «contitolari», in concreto

Vuol dire che le decisioni su perche' e come i tuoi dati vengono trattati non le prende uno solo dei due. L'art. 26 chiede che l'essenza di questo accordo ti sia resa nota: eccola.

• Go To Certifications s.r.l.s. possiede e gestisce la piattaforma. Decide quali dati questa raccolga per funzionare, quali fornitori terzi siano coinvolti, come i dati siano protetti, dove siano conservati e come siano fatte le copie di sicurezza. Il suo personale tecnico accede ai dati quando serve a far funzionare il servizio, a risolvere un guasto o a dare seguito a una tua richiesta.
• L'organizzazione che ti ha iscritto decide chi iscrivere e a quali corsi, quali dati chiederti oltre a nome, cognome ed email, quali attestati emettere, revocare o rinnovare, quanto a lungo conservare i dati entro i limiti consentiti, e a chi dei suoi dare accesso.
• Verso chi esercitare i tuoi diritti: verso ciascuno dei due, indifferentemente. Se ti rivolgi a uno, quello risponde; se la richiesta riguarda anche l'altro, se la passano fra loro. Non sei tenuto a capire chi dei due sia competente.
• Punto di contatto: per le richieste che riguardano i tuoi dati puoi scrivere a info@gotocert.eu oppure ai recapiti dell'organizzazione, riportati in fondo.

Se in fondo compare un Responsabile della protezione dei dati (DPO), e' un recapito a cui puoi rivolgerti per le questioni sui tuoi dati. Il DPO non gestisce la piattaforma e non e' titolare del trattamento: e' una figura di controllo e di contatto, e va letta cosi'.

Quali dati raccogliamo

• Dati identificativi: nome, cognome, indirizzo email. A seconda di come sono configurati i corsi, anche codice fiscale, data e luogo di nascita, telefono. Il codice fiscale e i dati di nascita servono a rendere l'attestato nominativo e verificabile.
• Credenziali di accesso: la password non e' conservata in chiaro, ma solo come impronta crittografica non reversibile.
• Dati sulla formazione: iscrizioni, avanzamento nelle lezioni, tempo effettivamente trascorso su ciascuna lezione, risposte e punteggi dei quiz, dati di tracciamento SCORM, presenza e durata di partecipazione agli incontri dal vivo.
• Segnali di presenza durante le lezioni: mentre segui una lezione il tuo browser manda al server, ogni pochi secondi, un segnale con il punto in cui sei arrivato, se la scheda e' in primo piano e il tuo indirizzo IP. Serve a calcolare il tempo effettivo di formazione, che e' cio' che l'attestato certifica. Sono dati a vita breve: si cancellano automaticamente dopo il periodo indicato piu' avanti.
• Attestati: codice, date di emissione e scadenza, il PDF e la sua impronta crittografica SHA-256.
• Messaggi scambiati dentro la piattaforma ed eventuali allegati.
• Questionario di gradimento, se il corso lo prevede: e' anonimo. Le risposte vengono salvate senza nome, email, indirizzo IP od orario (solo il giorno) e spedite per email a Go To Certifications a gruppi e in ordine casuale, poi cancellate dalla piattaforma. Della persona resta solo che la lezione «questionario» risulta completata, perche' e' un requisito per l'attestato.
• Dati tecnici: indirizzo IP, tipo di browser e data e ora delle operazioni, registrati nei log di sistema per sicurezza e per ricostruire cosa e' successo in caso di contestazione.
• Consensi che presti, con data, ora, indirizzo IP e versione del testo accettato.

Perche' li trattiamo, e con quale base

• Erogare il servizio formativo - iscrizioni, lezioni, quiz, attestati: esecuzione del contratto o del rapporto in essere (art. 6.1.b).
• Tracciare la partecipazione e conservare la prova della formazione svolta: obbligo legale in materia di formazione (art. 6.1.c) e legittimo interesse a dimostrare l'adempimento (art. 6.1.f).
• Sicurezza della piattaforma - log di accesso, protezione da abusi, copie di sicurezza: legittimo interesse (art. 6.1.f).
• Comunicazioni di servizio - credenziali, avvisi sui corsi, attestato emesso: esecuzione del rapporto. Puoi disattivare i singoli avvisi non essenziali dalla pagina «Il mio profilo».
• Comunicazioni commerciali: solo con il tuo consenso, revocabile in qualsiasi momento (clausola separata).

A chi arrivano i tuoi dati

La piattaforma non vende i tuoi dati e non li usa per profilazione pubblicitaria. Alcune funzioni, quando sono attivate, comportano pero' che dei dati raggiungano soggetti terzi:

• Server di videoconferenza (lezioni e incontri nell'aula virtuale della piattaforma). Quando entri in un'aula, al server video arrivano il tuo nome (non la tua email), il tuo indirizzo IP e - per la durata del collegamento - l'audio, il video e l'eventuale schermo che condividi. L'aula esiste solo se chi gestisce la piattaforma ha configurato un server video; altrimenti non e' disponibile e le lezioni dal vivo si tengono sulle piattaforme indicate qui sotto. Non viene mai usato d'ufficio un servizio pubblico.
• Zoom, Microsoft Teams e Google Meet, solo per le lezioni e gli incontri che il docente organizza su una di queste piattaforme. In quel caso trovi qui il collegamento alla riunione e, aprendolo, entri direttamente nel servizio del fornitore (Zoom Communications, Inc.; Microsoft Ireland Operations Ltd.; Google Ireland Ltd.): cio' che vi condividi - il nome con cui entri, l'email se accedi con un tuo account, l'indirizzo IP, audio, video e chat - e' trattato dal fornitore secondo le sue condizioni e la sua informativa. Questa piattaforma non invia loro i tuoi dati: annota soltanto quando apri il collegamento e registra la presenza che il docente indica al termine dell'incontro.
• YouTube (Google Ireland Ltd.), solo se una lezione contiene un video ospitato su YouTube. La piattaforma non carica nulla da Google finche' non lo autorizzi: al posto del riproduttore trovi un riquadro che aspetta un tuo clic. Quando acconsenti, il tuo indirizzo IP e i dati tecnici del riproduttore raggiungono Google. Viene usata la modalita' «senza cookie» (youtube-nocookie.com), che riduce ma non elimina questa trasmissione.
• Archivio video esterno, se le lezioni video sono ospitate su uno spazio compatibile S3 (ad esempio MEGA S4, Mega Limited, con server nell'Unione Europea): quando guardi uno di quei video il tuo browser lo scarica direttamente da li', e quel fornitore riceve il tuo indirizzo IP e i dati tecnici della richiesta. Nient'altro: il collegamento e' temporaneo e non contiene il tuo nome.
• Rete OpenTimestamps e blockchain Bitcoin, se la notarizzazione e' attiva per un corso (i server di calendario usati sono quelli di OpenTimestamps e di Eternity Wall). Vedi il paragrafo dedicato: e' importante.
• mempool.space, solo se apri la sezione blockchain della pagina pubblica di verifica di un attestato: il tuo indirizzo IP raggiunge quel servizio.
• Server di posta elettronica usato per inviarti le email.
• Fornitore di hosting, che ospita la piattaforma e i suoi archivi in qualita' di responsabile del trattamento. L'elenco aggiornato dei responsabili e sub-responsabili e' disponibile su richiesta ai recapiti in fondo.

Trasferimenti fuori dall'Unione Europea

La piattaforma, i suoi archivi e le sue copie di sicurezza stanno su server situati nell'Unione Europea. Alcune funzioni possono pero' portare dei dati fuori:

• L'aula video, solo se chi gestisce la piattaforma sceglie espressamente un server video situato fuori dall'Unione Europea: in quel caso nome, indirizzo IP, audio e video sono trattati da quel fornitore sulla base delle clausole contrattuali tipo della Commissione europea e, ove applicabile, del EU-U.S. Data Privacy Framework. Il nome del server e' quello che vedi nell'indirizzo dell'aula. Se non ti sta bene, non entrare nell'aula: le lezioni registrate o testuali restano accessibili.
• Zoom, Microsoft Teams e Google Meet, se partecipi a un incontro su una di queste piattaforme: i fornitori o le loro capogruppo hanno sede negli Stati Uniti e possono trattare i dati della riunione fuori dall'Unione Europea, sulla base delle clausole contrattuali tipo della Commissione europea e, ove applicabile, del EU-U.S. Data Privacy Framework. Se non ti sta bene, chiedi a chi organizza il corso un'alternativa.
• YouTube, solo se acconsenti a caricare un video, e solo per quel video.

La rete OpenTimestamps e' distribuita su nodi in tutto il mondo, ma cio' che le viene inviato e' esclusivamente un'impronta crittografica di 32 byte: nessun dato personale in chiaro, nessun nome, nessun documento.

Notarizzazione su blockchain: cosa comporta davvero

Se la notarizzazione e' attiva per un corso, al momento dell'emissione dell'attestato viene calcolata l'impronta crittografica SHA-256 del file PDF e quella impronta - non il documento, non il tuo nome, non i tuoi dati - viene inviata alla rete OpenTimestamps e finisce scritta nella blockchain Bitcoin.

Serve a dimostrare che quell'attestato esisteva gia' a una certa data e non e' stato alterato. Va pero' detto con chiarezza:

• l'impronta e' pubblica e consultabile da chiunque;
• e' permanente e non cancellabile: nessuno, nemmeno chi tratta i tuoi dati, puo' rimuoverla o modificarla;
• da sola non permette di risalire ai tuoi dati, perche' un'impronta non e' reversibile. Chi possiede gia' una copia identica del tuo PDF puo' pero' usarla per dimostrare che quel documento e' stato notarizzato.

Questo e' un limite tecnico insuperabile al diritto di cancellazione, e per questo te lo diciamo prima.

La pagina pubblica di verifica

Ogni attestato ha un codice e un QR che portano a una pagina consultabile da chiunque ne sia in possesso. Quella pagina mostra il corso, le date, la validita' e il nominativo mascherato (la prima lettera del nome e le prime due del cognome), mai il codice fiscale, l'email o altri tuoi dati.

Di chi apre quella pagina viene registrato l'indirizzo IP, per impedire che qualcuno provi codici a caso finche' ne indovina uno. E' una registrazione tecnica, a vita breve, e vale anche per chi non ha un account su questa piattaforma.

Copie di sicurezza

Della piattaforma vengono fatte copie di sicurezza periodiche, che contengono anche i tuoi dati (non pero' i fascicoli di esportazione, che restano fuori). Sono conservate sul server in una cartella chiusa all'accesso dal web - la piattaforma lo verifica da sola, provando a scaricarne un file - con un nome non prevedibile, accessibili solo al personale tecnico di Go To Certifications, e ruotate automaticamente: le piu' vecchie si cancellano da sole. Quante copie si tengono e per quanti giorni e' scritto nella tabella in fondo.

Una richiesta di cancellazione viene applicata agli archivi in uso subito; le copie di sicurezza gia' fatte si esauriscono con la rotazione. La piattaforma tiene un registro delle cancellazioni fuori dalle copie: se una copia precedente viene ripristinata, le cancellazioni vengono ri-applicate automaticamente.

Per quanto tempo li conserviamo

Come regola:

• i dati del tuo account restano finche' l'account esiste;
• i segnali di presenza raccolti durante le lezioni, le notifiche (lette o no), i messaggi con i loro allegati e i log tecnici vengono cancellati automaticamente dopo il periodo impostato;
• i log di accesso, che contengono indirizzi IP, sono conservati piu' a lungo degli altri perche' servono a ricostruire eventuali abusi, ma anche loro hanno una scadenza;
• i log di sicurezza e di errore servono a ricostruire incidenti e malfunzionamenti e si cancellano dopo 2 anni;
• i link di accesso e di reimpostazione della password si cancellano 30 giorni dopo la scadenza; l'indirizzo IP registrato sui tentativi dei quiz si toglie dopo un anno;
• gli attestati e i dati della formazione svolta sono conservati anche dopo la cancellazione dell'account, perche' costituiscono prova dell'adempimento formativo.

I periodi effettivamente applicati al tuo account, espressi in giorni, sono riportati nella tabella «Per quanto tempo, su questo account» in fondo a questa informativa: sono letti dalla configurazione in uso, non sono un esempio.

I tuoi diritti

Puoi chiedere di accedere ai tuoi dati, rettificarli, cancellarli, limitarne il trattamento, opporti a un trattamento fondato sul legittimo interesse, e ricevere copia dei tuoi dati in formato leggibile da un elaboratore (portabilita'). Dalla pagina «Il mio profilo» puoi scaricare l'esportazione dei tuoi dati e richiedere la cancellazione dell'account. Le richieste si possono rivolgere a ciascuno dei contitolari, come spiegato all'inizio.

Il fascicolo che la piattaforma prepara quando eserciti il diritto di accesso resta a tua disposizione per il tempo necessario a scaricarlo. Oltre a te, possono aprirlo gli amministratori dell'organizzazione che gestisce il tuo account e il personale tecnico di Go To Certifications: sono gli stessi che, in quanto contitolari, hanno gia' accesso ai dati che il fascicolo contiene. Ogni scaricamento viene registrato.

Sulla cancellazione, due limiti concreti, gia' spiegati sopra: gli attestati emessi e i dati della formazione svolta restano per obbligo di prova, e l'impronta eventualmente scritta su blockchain non e' rimovibile. Per il resto, alla cancellazione i tuoi dati identificativi vengono resi anonimi, gli indirizzi IP collegati al tuo account azzerati (anche quelli registrati con i consensi, che restano come prova di cosa era stato accettato), i link di accesso cancellati, le iscrizioni in corso chiuse e l'email tolta dai dati degli attestati; si cancellano anche le notifiche arrivate ad altri per i tuoi messaggi, che ne riportavano nome e anteprima.

Puoi revocare in ogni momento i consensi facoltativi che hai prestato, senza che questo pregiudichi la liceita' del trattamento svolto prima della revoca. Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Decisioni automatizzate

La piattaforma calcola automaticamente l'esito dei quiz e, al raggiungimento dei requisiti, emette l'attestato. Non vengono prese decisioni automatizzate che producano effetti giuridici ulteriori sulla tua persona, ne' profilazione.

Chi tratta i tuoi dati

Titolare del trattamento e gestore della piattaforma

Go To Certifications s.r.l.s.
P.IVA IT18527461000 - Italia
info@gotocert.eu

Possiede e gestisce la piattaforma GTL, ne detiene l'infrastruttura e gli archivi, e tratta i dati per erogare il servizio.

Per quanto tempo, su questo account

Questi sono i periodi in vigore adesso, letti dalla configurazione della piattaforma. Scaduto il periodo, i dati vengono cancellati da una procedura automatica che gira ogni giorno.

Non hanno una cancellazione automatica: gli attestati e i dati della formazione svolta, che sono la prova dell'adempimento formativo, e l'impronta eventualmente scritta su blockchain, che non e' rimovibile da nessuno.