Accordo sul trattamento dei dati (art. 28 GDPR)
Regola il trattamento dei CV dei candidati che un'agenzia carica su Passform. L'agenzia ne è titolare, Hyperion S.r.l. li tratta per suo conto come responsabile.
Parti
Titolare: la società indicata al momento dell'accettazione, intestataria dell'account Operatore (il "Cliente").
Responsabile: Hyperion S.r.l., con sede in Piazza Santo Stefano 6, 20122 Milano (MI), P. IVA 14450290961, REA MI - 2784883, PEC hyperionsrl@pecaruba.it.
L'accordo integra i Termini di servizio. Si conclude con l'accettazione elettronica dalla pagina Account, di cui conserviamo data, ora, account, società indicata e versione del testo.
Oggetto e durata
Il Responsabile tratta i dati solo per erogare Passform: estrarre il testo dal CV, strutturarlo in formato Europass, anonimizzarlo al livello scelto dal Cliente, generare i documenti, archiviarli e confrontarli con le posizioni aperte.
L'accordo dura quanto l'uso del servizio. Gli obblighi di riservatezza e cancellazione restano finché i dati non sono stati eliminati.
Dati e interessati
Interessati: i candidati i cui CV sono caricati dal Cliente, e i referenti del Cliente che usano l'account.
Dati: anagrafici e di contatto, titolo professionale, esperienze, istruzione, competenze, lingue e ogni altro dato presente nel CV. Il servizio non richiede categorie particolari di dati; possono comparire se il CV le contiene.
Conservazione: il file caricato è cancellato subito dopo la conversione; i documenti generati restano 180 giorni con un piano a pagamento e 30 giorni con il piano gratuito; resta poi una riga di registro senza nome né contatti; i backup ruotano dopo 30 giorni.
Obblighi del Cliente
Il Cliente garantisce di avere una base giuridica per ogni CV caricato e di aver informato i candidati, anche dell'uso di fornitori di servizi.
Carica solo i dati necessari alla selezione, sceglie il livello di anonimizzazione adatto all'uso del documento e gestisce in prima persona le richieste dei candidati.
Obblighi del Responsabile
Il Responsabile tratta i dati solo su istruzione documentata del Cliente: questo accordo, i Termini e le impostazioni scelte nel servizio. Se un'istruzione gli appare contraria al GDPR, lo segnala.
Non usa i dati per fini propri, non li vende e non li usa per addestrare modelli. I dati di un Cliente sono visibili solo dal suo account, salvo le segnalazioni di interesse che il Cliente decide di inviare.
Autorizza al trattamento solo persone vincolate alla riservatezza e tiene il registro previsto dall'art. 30.2 GDPR.
Sicurezza
Il Responsabile adotta misure adeguate al rischio (art. 32 GDPR), tra cui: solo HTTPS; dati su Microsoft Azure nell'Unione Europea con cifratura a riposo; accesso con Google, Microsoft o email verificata e sessioni firmate; token API conservati solo come impronta; separazione tra account verificata da test automatici; cancellazione automatica; limiti d'uso; backup notturni verificati.
Le misure possono essere aggiornate purché la protezione complessiva non diminuisca.
Sub-responsabili
Il Cliente autorizza: Anthropic PBC (Stati Uniti), che struttura il testo del CV con il modello Claude; Microsoft Ireland Operations Ltd (Azure, Unione Europea), che ospita applicazione e dati e, per i referenti che lo scelgono, fornisce l'accesso con account Microsoft; Google Ireland Ltd, per l'accesso con account Google dei referenti del Cliente; Supabase Inc. (Stati Uniti, dati nell'Unione Europea), che gestisce l'accesso dei referenti del Cliente e ne riceve solo email e nome.
Ogni modifica è comunicata per email almeno 30 giorni prima. Il Cliente può opporsi per motivi legati alla protezione dei dati e, se non si trova una soluzione, recedere senza penali con rimborso della quota non goduta.
Ogni sub-responsabile è vincolato a obblighi equivalenti; il Responsabile risponde del loro operato verso il Cliente.
Trasferimenti fuori dall'UE
L'unico trasferimento fuori dallo Spazio Economico Europeo è l'invio del testo del CV ad Anthropic negli Stati Uniti. Si basa sull'EU–US Data Privacy Framework o, in sua assenza, sulle Clausole Contrattuali Standard della Commissione europea. Supabase conserva i dati di accesso nell'Unione Europea; un eventuale accesso dagli Stati Uniti da parte della società è coperto dalle Clausole Contrattuali Standard.
Anthropic non usa i dati ricevuti tramite API per addestrare i propri modelli.
Richieste dei candidati
Il Cliente può cancellare da solo un CV con i relativi documenti, e scaricarne i dati, dall'archivio.
Se un candidato scrive al Responsabile, la richiesta viene inoltrata al Cliente entro 5 giorni lavorativi. Per ciò che il Cliente non può fare da solo, il Responsabile lo assiste entro 10 giorni lavorativi.
Violazioni dei dati
Il Responsabile notifica al Cliente ogni violazione che riguardi i suoi dati entro 36 ore da quando ne viene a conoscenza, con le informazioni disponibili, e lo assiste nelle notifiche previste dagli artt. 33 e 34 GDPR.
Valutazione d'impatto e verifiche
Su richiesta il Responsabile fornisce le informazioni utili a una valutazione d'impatto. I punteggi di compatibilità sono un aiuto all'ordinamento, non una decisione automatizzata ai sensi dell'art. 22 GDPR.
Il Cliente può chiedere la documentazione delle misure adottate e svolgere una verifica all'anno, con preavviso di 30 giorni, senza accesso ai dati di altri clienti.
Fine del rapporto
Alla chiusura dell'account il Cliente ha 30 giorni per scaricare i propri documenti; poi il Responsabile cancella tutti i dati, salvo quelli che la legge impone di conservare. Le copie nei backup si cancellano alla rotazione, entro 30 giorni.
Su richiesta il Responsabile conferma per iscritto la cancellazione.
Disposizioni finali
Ciascuna parte risponde dei danni causati dalla violazione dei propri obblighi, ai sensi dell'art. 82 GDPR. Sulla protezione dei dati questo accordo prevale sui Termini.
Si applica la legge italiana. Foro competente: Milano.