Politica sulla privacy

1. Introduzione

Benvenuto su preparAItor ("Servizio"), gestito da CHW-Services ("Società", "noi", "ci" o "nostro"). Ci impegniamo a proteggere i tuoi dati personali e il tuo diritto alla riservatezza, in conformità con la Legge federale svizzera sulla protezione dei dati (LPD), il Regolamento Generale sulla Protezione dei Dati dell’UE (GDPR) e il Regolamento (UE) 2024/1689 sull’intelligenza artificiale.

La presente Politica sulla privacy spiega come raccogliamo, utilizziamo, divulghiamo e proteggiamo i tuoi dati quando utilizzi il nostro Servizio. Se non accetti questa politica, non utilizzare il Servizio.

Titolare del trattamento: CHW-Services è titolare del trattamento di tutti i dati personali trattati tramite il Servizio preparAItor. Ciò significa che determiniamo le finalità e i mezzi del trattamento dei tuoi dati personali. I nostri sub-responsabili del trattamento (elencati in Sub-responsabili) operano come responsabili del trattamento per nostro conto, trattando i dati esclusivamente secondo le nostre istruzioni documentate.

2. Dati che raccogliamo

2.1 Dati personali che ci fornisci

Registrazione dell’account:

• Indirizzo e-mail (obbligatorio)
• Password (crittografata)
• Nome visualizzato
• Nome e cognome
• Preferenze di lingua e fuso orario
• Conferma dell’età
• Accettazione dei Termini di servizio

Dati di profilo:

• Riepilogo professionale
• Recapiti (telefono, LinkedIn, GitHub, URL del portfolio)
• Informazioni sulla posizione (città, paese, CAP)

Preferenze utente:

• Tema (chiaro/scuro)
• Lingua dell’interfaccia e di generazione dei documenti (IT, DE, EN, FR)
• Tono preferito per i documenti (formale, sicuro, amichevole)
• Ortografia svizzera (ss invece di ß)
• Periodi di conservazione (storico delle generazioni: 1, 7 o 30 giorni; sessioni di colloquio: 30, 90 o 180 giorni; le voci del tracker delle candidature vengono conservate per 365 giorni)
• Preferenze per notifiche via e-mail e in-app
• Preferenze di formato per i download in blocco (PDF, documenti Word modificabili, file di testo)

Dati del CV:

• Esperienze professionali (aziende, posizioni, date, descrizioni)
• Formazione (istituti, titoli, settori di studio, date)
• Competenze (hard e soft skill)
• Progetti e risultati
• Lingue e livello di conoscenza
• Referenze (se fornite)
• Testo grezzo estratto dall’analisi del CV
• Metadati del file (nome, tipo, dimensione, data di caricamento, versione dell’analizzatore)

Dati di candidatura:

• Titoli e descrizioni delle posizioni
• Informazioni sull’azienda
• Requisiti della candidatura
• Scadenze di candidatura

Dati relativi alla simulazione di colloqui:

• Trascrizioni delle sessioni di colloquio (cifrate a riposo)
• Domande di colloquio generate dall’IA e risposte del candidato
• Audio dei colloqui vocali (transitorio): quando utilizzi la funzione di colloquio vocale, l’audio del microfono viene trasmesso in tempo reale a Google Vertex AI per il riconoscimento vocale e non viene conservato — viene mantenuta solo la trascrizione cifrata risultante
• Metadati e tempistiche delle sessioni

Informazioni di pagamento:

• ID cliente Stripe
• Dettagli dell’abbonamento
• Storico delle transazioni
• Indirizzo di fatturazione (se fornito)
• Nota: non memorizziamo direttamente numeri di carta di credito o dati bancari

Preferenze di sincronizzazione cloud:

• Stato della connessione a Google Drive e token OAuth (crittografati)
• Stato della connessione a OneDrive e token OAuth (crittografati)

2.2 Dati raccolti automaticamente

Informazioni sul dispositivo e sul browser:

• Indirizzo IP, tipo e versione del browser, risoluzione dello schermo, sistema operativo
• Preferenze linguistiche, fuso orario, stato dei cookie e di JavaScript
• Fingerprint del browser/dispositivo (un identificatore di visitatore hashato che combina segnali di canvas, audio, font, fuso orario e altre API del browser) — calcolato localmente nel tuo browser tramite la libreria open-source FingerprintJS e utilizzato esclusivamente per rilevare l’abuso tramite creazione di account multipli al momento della registrazione
• Supporto WebGL — per la verifica della compatibilità
• Capacità touch — per l’ottimizzazione dell’interfaccia

Base giuridica: interesse legittimo (art. 6, par. 1, lett. f, GDPR / art. 31, cpv. 1, lett. c, LPD) a prevenire le frodi, l’abuso dei crediti gratuiti e garantire la compatibilità del servizio. Il fingerprint del dispositivo è calcolato interamente nel tuo browser e non viene trasmesso a terzi — solo l’identificatore di visitatore hashato risultante viene inviato ai nostri server, dove serve a rilevare la creazione di più account dallo stesso browser.

Informazioni sull’utilizzo:

• Pagine visitate, funzionalità utilizzate, storico delle generazioni
• Schemi di clic, tempistiche di interazione con i moduli, durata della sessione
• Log degli errori

Autenticazione e sicurezza:

• Timestamp di accesso, ultima attività, eventi di sicurezza
• Valutazioni reCAPTCHA, token App Check

Conferma dell’avviso sui cookie:

• Versione dell’avviso, timestamp di conferma e ID (UUID)
• Archiviato esclusivamente nel localStorage del browser per non riproporre l’avviso a ogni visita

2.3 Dati forniti da terzi

Provider OAuth (Google): Indirizzo e-mail, nome visualizzato, URL della foto profilo.

Provider OAuth (Microsoft): Indirizzo e-mail, nome visualizzato, autorizzazioni di accesso a OneDrive.

Processore di pagamento (Stripe): Conferma di pagamento, stato dell’abbonamento, dettagli della transazione.

3. Come utilizziamo i tuoi dati

3.1 Erogazione del servizio (base giuridica: esecuzione del contratto)

• Creare e gestire il tuo account
• Trattare i dati del CV e delle posizioni tramite sistemi di IA
• Generare documenti di candidatura personalizzati con l’IA
• Memorizzare i tuoi documenti e modelli
• Tenere traccia dell’utilizzo e dei crediti
• Effettuare ricerche web per arricchire le informazioni aziendali
• Condurre sessioni di simulazione di colloquio con domande generate dall’IA

3.2 Miglioramento del servizio (base giuridica: interesse legittimo)

• Analizzare i modelli di utilizzo
• Migliorare l’accuratezza dei modelli di IA (solo con dati anonimizzati)
• Sviluppare nuove funzionalità, correggere bug, ottimizzare le prestazioni

3.3 Trattamento tramite IA

Utilizziamo l’intelligenza artificiale (modelli Google Gemini tramite Vertex AI su Google Cloud) per:

• Trattare e analizzare CV e descrizioni delle posizioni
• Generare documenti di candidatura personalizzati
• Effettuare ricerche web per arricchire le informazioni aziendali
• Estrarre informazioni rilevanti dalle offerte di lavoro
• Generare domande di colloquio adattate ai requisiti della posizione
• Analizzare le risposte dei candidati durante le sessioni di simulazione

Importante: Il trattamento con IA comporta una generazione automatizzata di contenuti. Hai il diritto di richiedere una revisione umana dei contenuti generati dall’IA (vedi la sezione 12.3). Google non utilizza i dati inviati tramite Vertex AI per addestrare i propri modelli di fondazione, come confermato nell’Addendum di Google Cloud sul trattamento dei dati.

3.4 Trasparenza ai sensi del Regolamento UE sull’IA (Regolamento (UE) 2024/1689, articolo 50)

In conformità al Regolamento UE sull’intelligenza artificiale, rendiamo note le seguenti informazioni:

• Finalità del sistema di IA: preparAItor utilizza l’IA per generare documenti di candidatura (lettere di presentazione, e-mail, domande e risposte di colloquio, riepiloghi di offerte) e per condurre sessioni di simulazione di colloquio basate sui dati del CV e sulle descrizioni delle posizioni fornite dall’utente.
• Fornitore e modelli di IA: Utilizziamo i modelli Google Gemini accessibili tramite l’API Vertex AI (Google Cloud). L’elaborazione con IA avviene in europe-west3 (Francoforte, Germania).
• Contenuti generati dall’IA: Tutti i documenti generati dal nostro Servizio sono prodotti dall’IA e chiaramente contrassegnati come tali nell’interfaccia dell’applicazione. L’utente è responsabile di rivedere e modificare i contenuti generati prima di inviarli a potenziali datori di lavoro.
• Supervisione umana: Il nostro sistema di IA è uno strumento di supporto decisionale. Non prende decisioni di assunzione autonome e non sostituisce il giudizio umano. Mantieni il pieno controllo sull’uso, sulla modifica o sul rifiuto di qualsiasi output generato.
• Classificazione del rischio: preparAItor non è classificato come sistema di IA ad alto rischio ai sensi dell’Allegato III del Regolamento UE sull’IA. Si tratta di uno strumento di produttività rivolto agli utenti che assiste la stesura di documenti; non effettua selezione del personale, valutazione dei candidati o filtraggio automatizzato per conto dei datori di lavoro.
• Limitazioni: I contenuti generati dall’IA possono contenere inesattezze, errori di interpretazione del contesto o informazioni web obsolete. Vedi i nostri Termini di servizio sezione 10.1 per le clausole di esclusione complete.

3.5 Comunicazioni

• Invio di e-mail relative al servizio (conferma account, reimpostazione password, notifiche di documenti pronti)
• Notifiche sull’attività dell’account
• Assistenza clienti
• Notifiche di fatturazione
• Avvisi su problemi di sicurezza

3.6 Operazioni aziendali

• Elaborazione dei pagamenti, prevenzione di frodi e abusi
• Applicazione dei nostri Termini di servizio
• Adempimento degli obblighi di legge

3.7 Marketing (con consenso)

• Invio di e-mail promozionali, comunicazioni su nuove funzionalità
• Condivisione di consigli e buone pratiche, sondaggi tra gli utenti

4. Come condividiamo i tuoi dati

4.1 Fornitori di servizi

Firebase (Google): Autenticazione degli utenti, archiviazione in database (Firestore), archiviazione di file (Cloud Storage), App Check. preparAItor non utilizza Firebase Analytics né Firebase Performance Monitoring. Posizione: europe-west6 (Zurigo, Svizzera).

Google Vertex AI (Google Cloud): Generazione di documenti tramite modelli Google Gemini, analisi dei contenuti, ricerca web per l’arricchimento delle informazioni aziendali (grounding), generazione di domande di colloquio e analisi delle risposte. Posizione: europe-west3 (Francoforte, Germania). Google non utilizza i tuoi dati per addestrare i propri modelli di IA. In base all’Addendum di Google Cloud sul trattamento dei dati e ai Service Specific Terms di Vertex AI, i dati dei clienti inviati tramite l’API Vertex AI non vengono utilizzati da Google per migliorare o addestrare i propri modelli di fondazione. Gli identificatori personali (nome, e-mail, telefono, indirizzo) vengono rimossi o minimizzati prima dell’invio all’API di IA.

Google Cloud KMS: Crittografia a livello di campo dei dati personali sensibili (contenuto del CV, token OAuth). Posizione: europe-west6 (Zurigo, Svizzera).

Google Drive: Sincronizzazione cloud dei documenti generati (solo se esplicitamente abilitata dall’utente).

Microsoft OneDrive: Sincronizzazione cloud dei documenti generati (solo se esplicitamente abilitata dall’utente).

Stripe: Elaborazione dei pagamenti, gestione degli abbonamenti, accesso al portale clienti, registrazioni delle transazioni. Stripe agisce come titolare autonomo del trattamento per i dati di pagamento che tratta.

Brevo (ex Sendinblue): Invio di e-mail transazionali (conferma account, reimpostazione password, promemoria di fatturazione). E-mail di marketing solo con consenso esplicito. Nessun contenuto di CV o documento viene inviato tramite e-mail.

reCAPTCHA (Google): Rilevamento di bot e valutazione della sicurezza.

4.2 Obblighi di legge

Possiamo divulgare i tuoi dati se richiesto dalla legge, incluse ordinanze giudiziarie, richieste governative, esigenze delle forze dell’ordine e procedimenti legali.

4.3 Operazioni societarie

In caso di fusione, acquisizione o cessione di asset, i tuoi dati potrebbero essere trasferiti nell’ambito dell’operazione.

4.4 Informazioni aggregate

Possiamo condividere con terzi informazioni aggregate e anonimizzate che non consentono di identificarti per finalità di ricerca o miglioramento del servizio.

4.5 Il tuo consenso

Possiamo condividere i tuoi dati con il tuo consenso esplicito per finalità specifiche.

5. Sicurezza dei dati

5.1 Misure di sicurezza

• Crittografia HTTPS/TLS per tutte le trasmissioni di dati (HSTS applicato)
• Crittografia a livello di campo con AES-256-GCM per i dati personali sensibili (contenuto del CV, token OAuth), con chiavi gestite da Google Cloud KMS
• Firebase Authentication per la gestione sicura di password e sessioni
• Regole di sicurezza di Firebase con controllo degli accessi basato sui ruoli
• Protezione API tramite Firebase App Check con reCAPTCHA Enterprise
• Token OAuth crittografati a riposo (AES-256-GCM) con dati autenticati legati all’utente
• Content Security Policy rigorosa e header di sicurezza del browser, inclusa una lista di autorizzazione esplicita frame-ancestors e X-Content-Type-Options
• Audit di sicurezza regolari
• Restrizioni geografiche ai data center europei ove possibile
• Crittografia a riposo in tutti i data center
• Rate limiting e protezione anti-abuso su tutti gli endpoint API

5.2 Risposta alle violazioni dei dati

In caso di violazione dei dati:

• Informeremo gli utenti interessati entro 72 ore via e-mail
• Notificheremo all’IFPDT svizzero entro 72 ore
• Informeremo le autorità di controllo dell’UE competenti se sono coinvolti residenti dell’UE
• Documenteremo la violazione e adotteremo misure immediate per ridurre i danni

6. Conservazione dei dati

6.1 Conservazione configurabile dall’utente

• Storico delle generazioni (lettere di presentazione, e-mail, documenti generati): 1, 7 o 30 giorni — predefinito 30 giorni, massimo 30 giorni
• Sessioni di colloquio (trascrizioni, riepiloghi): 30, 90 o 180 giorni — predefinito 90 giorni, massimo 180 giorni
• Voci del tracker delle candidature: conservazione fissa di 365 giorni dall’importazione (non configurabile dall’utente)
• Dati di upload temporanei (PDF grezzi di CV/offerte): eliminati entro pochi minuti dall’elaborazione; in ogni caso rimossi entro 1 ora tramite uno sweep automatizzato ed entro 1 giorno tramite le regole del ciclo di vita dello storage
• Cancellazione automatica al termine del periodo configurato
• Puoi modificare la durata di conservazione dello storico delle generazioni e delle sessioni di colloquio in qualsiasi momento nelle impostazioni dell’account

6.2 Periodi di conservazione fissi

• Tracce di consenso: 3 anni (per la prova di consenso ai sensi di GDPR/LPD)
• Log di sicurezza: 180 giorni
• Log delle e-mail: 90 giorni
• Registri di audit di cancellazione: 30 giorni (senza contenuti personali; per finalità anti-abuso e conformità)
• Registri anti-abuso: 30 giorni
• Log degli errori: 30 giorni
• Sessioni di checkout pendenti: eliminate automaticamente dopo la scadenza
• Documentazione dei pagamenti: metadati delle transazioni conservati dal nostro processore di pagamento (Stripe) secondo le sue politiche

6.3 Eliminazione dell’account

Puoi eliminare il tuo account in qualsiasi momento dalle impostazioni dell’account. L’eliminazione richiede una conferma multilingue (digitando "DELETE", "LÖSCHEN", "ELIMINA" o "SUPPRIMER"). L’eliminazione è immediata e irreversibile: non esiste alcun periodo di tolleranza né finestra di ripristino. Al momento della conferma:

• Tutti i dati personali vengono immediatamente eliminati in modo permanente (account, CV, offerte analizzate, documenti generati, voci del tracker, sessioni di colloquio, riepiloghi, modelli personalizzati)
• Gli abbonamenti Stripe attivi vengono annullati nello stesso flusso, evitando ulteriori addebiti
• Viene inviata un’e-mail di conferma dell’eliminazione
• Un registro di audit dell’eliminazione (senza contenuti personali, solo l’indicazione che è avvenuta una cancellazione) viene conservato per 30 giorni per finalità anti-abuso e conformità
• I dati di fatturazione e i metadati delle transazioni conservati da Stripe sono mantenuti secondo le sue politiche e la normativa fiscale applicabile
• Dati di utilizzo anonimizzati e aggregati possono essere conservati per il miglioramento del servizio
• I file già sincronizzati sul tuo Google Drive o OneDrive restano nella tua archiviazione cloud; revoca il nostro accesso OAuth dal tuo account Google/Microsoft se desideri interrompere anche tale collegamento

Esporta tutto ciò che desideri conservare prima di confermare: nulla può essere recuperato dopo l’eliminazione.

7. I tuoi diritti sulla privacy

7.1 Accesso e portabilità

Hai il diritto di accedere ai tuoi dati personali, di scaricarli in un formato portabile, di visualizzare lo storico delle generazioni, di esportare le informazioni del CV e di richiedere una copia completa di tutti i tuoi dati scrivendo a admin@preparaitor.ch.

Nota: le richieste di accesso completo possono richiedere fino a 30 giorni di lavorazione.

7.2 Rettifica e aggiornamento

Puoi aggiornare le informazioni del profilo, correggere dati inesatti, modificare le preferenze e cambiare le impostazioni di notifica.

7.3 Cancellazione

Puoi richiedere la cancellazione di singoli documenti, di specifici dati o dell’intero account. Alcuni dati possono essere conservati per obblighi di legge.

7.4 Limitazione e opposizione

Puoi limitare il trattamento dei tuoi dati, opporti a determinati usi e annullare l’iscrizione alle comunicazioni di marketing. preparAItor non raccoglie dati analitici, quindi non c’è nulla da disattivare in questa categoria.

7.5 Revoca del consenso

Puoi revocare il consenso per le comunicazioni di marketing, i cookie non essenziali e le e-mail promozionali.

Non è possibile rinunciare a: Cookie essenziali, trattamento tramite IA (funzionalità principale del servizio), archiviazione dei dati delle offerte di lavoro pubbliche e tracciamento di base dell’utilizzo per finalità di sicurezza e fatturazione. Questi elementi sono indispensabili per fornire il Servizio.

8. Informativa sui cookie

Ambito: La presente informativa sui cookie si applica all’applicazione preparAItor disponibile all’indirizzo app.preparaitor.ch. La landing page pubblica preparaitor.ch non utilizza cookie né tecnologie di tracciamento.

preparAItor utilizza solo cookie e storage locale strettamente necessari per fornire il servizio che hai richiesto. Non utilizziamo Google Analytics, Firebase Analytics, Firebase Performance Monitoring, pixel pubblicitari o altri strumenti di tracciamento. Non c’è nulla da attivare o disattivare e nessun banner di consenso: perché nulla ti traccia.

8.1 Cosa viene memorizzato e perché

• Accesso (Firebase Auth, IndexedDB): ti mantiene autenticato tra le sessioni del browser. Viene eliminato al logout o alla cancellazione dell’account.
• Protezione anti-bot (reCAPTCHA tramite Firebase App Check): token a breve durata e cookie lato Google su google.com/recaptcha usati per bloccare abusi automatizzati. Necessari per il funzionamento dell’app.
• Segnale di logout tra schede (localStorage): un flag temporaneo che consente alle altre schede aperte di sapere che hai effettuato il logout in questa scheda.
• Pagamento (Stripe): Stripe.js imposta cookie propri (__stripe_mid, __stripe_sid), ma solo durante il flusso di checkout e solo sulle pagine in cui stai effettuando il pagamento.
• Tema, lingua dell’interfaccia e impostazioni utente (localStorage): affinché l’app ricordi tema chiaro/scuro, lingua dell’interfaccia e impostazioni tra una visita e l’altra. First-party, mai trasmessi.
• Conferma dell’avviso sui cookie (localStorage): per evitare di riproporre l’avviso a ogni visita.

Tutti gli elementi sopra rientrano nell’eccezione «strettamente necessari per un servizio richiesto dall’utente» prevista dalla direttiva ePrivacy, come interpretata da CNIL (Francia) e ICO (Regno Unito).

8.2 Accesso con Google

Se scegli di accedere con Google, Google imposta i propri cookie su accounts.google.com durante il flusso OAuth, secondo la propria informativa sulla privacy. preparAItor non controlla né può leggere tali cookie. Usare l’accesso tramite e-mail evita completamente questa situazione.

8.3 Consenso al trattamento tramite IA

Il trattamento del tuo CV, delle descrizioni delle posizioni e dei contenuti delle sessioni di pratica per colloqui da parte di Google Gemini (Vertex AI) richiede un consenso esplicito. Accettando la presente Informativa sulla privacy al momento della registrazione, fornisci tale consenso — non esiste un modale separato per il consenso all’IA e l’avviso sui cookie non lo copre. La portata completa del trattamento tramite IA (finalità, modelli, area geografica, trasparenza ai sensi del Regolamento europeo sull’IA, minimizzazione dei dati e impegno contrattuale di Google, ai sensi dei Vertex AI Service Specific Terms, a non utilizzare i tuoi dati per addestrare i propri modelli) è descritta nelle sezioni 3.3, 3.4 e 4.1 della presente Informativa. Puoi revocare il consenso in qualsiasi momento eliminando l’account; senza il trattamento tramite IA la funzionalità principale del servizio non può funzionare.

8.4 Come gestire

Puoi rileggere l’avviso sui cookie in qualsiasi momento da Impostazioni → Preferenze → Privacy → Mostra avviso sui cookie. Poiché nulla ti traccia, non c’è nulla da disattivare. Per rimuovere i dati memorizzati localmente, utilizza la funzione Cancella dati del sito del browser: eseguirà il logout e reimposterà le preferenze di tema e lingua.

9. Privacy dei minori

Il nostro Servizio non è destinato ai minori di 16 anni (in conformità all’articolo 8 del GDPR). Non raccogliamo consapevolmente dati personali da minori. Se veniamo a conoscenza che un minore di 16 anni ci ha fornito dati personali, li elimineremo immediatamente.

10. Trasferimenti internazionali di dati

10.1 Luoghi di trattamento

Data center principali:

• Servizi Firebase: europe-west6 (Zurigo, Svizzera)
• Elaborazione IA (Google Gemini / Vertex AI): europe-west3 (Francoforte, Germania)
• Generazione di documenti (Cloud Run): europe-west6 (Zurigo, Svizzera)
• Rate limiting e KMS: europe-west6 (Zurigo, Svizzera)

Trattamento da parte di terzi:

• Stripe: Data center europei (primari), con possibile trattamento negli Stati Uniti
• Google OAuth/reCAPTCHA: Infrastruttura globale, data center più vicino
• Microsoft OAuth (OneDrive): Data center europei (primari)
• Invio e-mail Brevo: Data center europei

10.2 Garanzie di trasferimento

Per qualsiasi trasferimento di dati personali al di fuori della Svizzera o dello SEE adottiamo le seguenti garanzie:

• Clausole contrattuali tipo (SCC): stipulate con tutti i responsabili e sub-responsabili del trattamento ove richiesto
• Transfer Impact Assessment (TIA): Abbiamo condotto una valutazione d’impatto sui trasferimenti in conformità alla sentenza Schrems II (CGUE C-311/18) per tutti i flussi di dati verso responsabili del trattamento che possono comportare attività di trattamento al di fuori dello SEE. La valutazione considera il quadro giuridico del paese destinatario, le misure tecniche supplementari (crittografia, pseudonimizzazione) e la probabilità pratica di accesso governativo ai dati trasferiti. La TIA viene rivista ogni anno.
• Crittografia in transito (TLS 1.3) e a riposo (AES-256)
• Conformità alle disposizioni di trasferimento di LPD e GDPR
• Localizzazione dei dati in data center europei (Zurigo, Francoforte) come impostazione predefinita
• Audit regolari di sicurezza e conformità

11. Diritti dei residenti in California (CCPA)

Se sei residente in California, hai il diritto di sapere quali dati personali vengono raccolti e se vengono venduti o divulgati, il diritto di opporti alla vendita, il diritto a un servizio e a prezzi equivalenti e il diritto di richiedere la cancellazione dei tuoi dati personali. Non vendiamo dati personali a terzi.

12. Diritti svizzeri ed europei sulla privacy (LPD/GDPR)

12.1 I tuoi diritti

Diritto di accesso, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati, opposizione al trattamento, revoca del consenso, diritto di non essere sottoposto a decisioni automatizzate e diritto di presentare un reclamo alle autorità di controllo.

12.2 Basi giuridiche del trattamento

• Esecuzione del contratto: Gestione dell’account, erogazione del servizio, generazione di documenti tramite IA
• Interesse legittimo: Sicurezza, prevenzione delle frodi, miglioramento del servizio
• Consenso: Comunicazioni di marketing, miglioramento dei modelli di IA (solo dati anonimizzati)
• Obbligo di legge: Documentazione fiscale, conformità

12.3 Processo decisionale automatizzato (art. 13(2)(f) / art. 22 GDPR)

Il nostro Servizio prevede un trattamento automatizzato nei seguenti modi:

• Generazione di documenti: L’IA genera automaticamente lettere di presentazione, e-mail e altri documenti di candidatura a partire dai dati del CV e dalle descrizioni delle posizioni. È la funzionalità principale del Servizio, basata sul tuo consenso esplicito e sull’esecuzione del contratto.
• Analisi del CV: L’IA estrae informazioni strutturate (competenze, esperienza, formazione) dai CV caricati.
• Simulazione di colloquio: L’IA genera domande di colloquio su misura e valuta le risposte su più dimensioni.
• Indicazioni di corrispondenza con la posizione: L’IA può evidenziare competenze rilevanti o lacune di esperienza rispetto ai requisiti della posizione. Si tratta di indicazioni informative e non costituiscono una decisione vincolante.

Nessuna decisione con effetti giuridici o similmente significativi: preparAItor non prende decisioni di assunzione, non effettua selezione dei candidati per conto dei datori di lavoro e non produce output che abbiano effetti giuridici o similmente significativi ai tuoi danni ai sensi dell’articolo 22(1) del GDPR. L’output dell’IA è una bozza destinata alla tua revisione.

I tuoi diritti in relazione al trattamento automatizzato:

• Richiedere una revisione umana di qualsiasi contenuto generato dall’IA contattando admin@preparaitor.ch
• Esprimere il tuo punto di vista sugli output generati dall’IA
• Contestare qualsiasi output che ritieni inesatto o ingiusto
• Richiedere una spiegazione su come è stato generato un determinato output
• Ci impegniamo a rispondere alle richieste di revisione umana entro 5 giorni lavorativi

12.4 Autorità di controllo

Svizzera: Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, CH-3003 Berna — www.edoeb.admin.ch

UE: L’autorità nazionale per la protezione dei dati competente. Un elenco delle autorità di controllo dell’UE/SEE è tenuto dal Comitato europeo per la protezione dei dati (edpb.europa.eu/about-edpb/about-edpb/members_en).

12.5 Ambito geografico

preparAItor è progettato principalmente per il mercato del lavoro svizzero. Al momento della registrazione, gli utenti confermano di essere residenti in Svizzera o riconoscono che il Servizio è progettato principalmente per il mercato del lavoro svizzero. Estendiamo a tutti gli utenti, indipendentemente dalla loro posizione, tutele sulla privacy equivalenti a LPD e GDPR. Gli utenti al di fuori della Svizzera utilizzano il Servizio a loro discrezione e sono responsabili della conformità alle normative locali sulla protezione dei dati.

13. Collegamenti a terzi

Il nostro Servizio può contenere collegamenti a siti web di terzi. Non siamo responsabili delle loro pratiche sulla privacy e ti invitiamo a leggere le rispettive informative.

14. Modifiche alla presente informativa

Possiamo aggiornare la presente informativa di tanto in tanto. Ti informeremo pubblicando la nuova versione, aggiornando la data «Ultimo aggiornamento» e inviando una comunicazione via e-mail in caso di modifiche sostanziali.

15. Accordo sul trattamento dei dati (DPA)

I clienti business che necessitano di un DPA possono contattare admin@preparaitor.ch. Il nostro DPA standard include clausole di conformità LPD/GDPR, clausole contrattuali tipo, obblighi di sicurezza, diritti di audit e l’elenco dei sub-responsabili del trattamento.

16. Registro delle attività di trattamento

In conformità alla LPD e all’articolo 30 del GDPR, manteniamo un registro di tutte le attività di trattamento. Tali registri sono messi a disposizione delle autorità di controllo su richiesta.

17. Privacy by Design

• Minimizzazione dei dati nei prompt di IA: Rimuoviamo o pseudonimizziamo gli identificatori personali (nome completo, e-mail, numero di telefono, indirizzo) dai prompt di IA prima di inviarli all’API Vertex AI. Nelle richieste IA vengono inclusi solo i contenuti professionali del CV (competenze, descrizioni delle esperienze, dettagli di formazione) e il testo della descrizione della posizione.
• Crittografia predefinita (Cloud KMS per i campi sensibili, HTTPS per il trasporto)
• Valutazioni di impatto sulla privacy periodiche
• Valutazione d’impatto sulla protezione dei dati (DPIA): Condotta ai sensi dell’articolo 35 del GDPR per le nostre attività di trattamento del CV basate sull’IA, che comportano il trattamento su larga scala di dati personali e la profilazione automatizzata. La DPIA viene riesaminata annualmente o ogniqualvolta vengono apportate modifiche significative alla nostra pipeline di elaborazione con IA.
• Test di sicurezza e audit
• Separazione dei dati personali dai dati di addestramento dell’IA
• Anonimizzazione prima di qualsiasi addestramento dei modelli di IA

Una sintesi delle conclusioni della nostra DPIA è disponibile su richiesta per le autorità di controllo. La valutazione copre la necessità e la proporzionalità del trattamento con IA, i rischi per le persone interessate e le garanzie implementate (crittografia, minimizzazione dei dati, controllo della conservazione e diritto alla revisione umana).

18. Contatti

Se hai domande o dubbi sulla presente Politica sulla privacy, contattaci:

Per richieste di accesso ai dati: admin@preparaitor.ch (fino a 30 giorni di lavorazione)
Per richieste LPD/GDPR: admin@preparaitor.ch
Per richieste CCPA: admin@preparaitor.ch

Puoi inoltre inviare richieste relative ai tuoi dati dalle impostazioni dell’account.