Informativa sulla privacy

1. Chi tratta i tuoi dati

FLOKO TECHNOLOGIES SRL (P. IVA IT03043870991) è il titolare del trattamento dei dati personali trattati tramite vitaesupply. Per qualsiasi questione relativa a questa informativa, comprese le richieste sui tuoi diritti, scrivi a privacy@vitaesupply.com.

2. Cosa raccogliamo

Solo ciò che serve al funzionamento del servizio:

• Dati dell'account. L'indirizzo email e il nome visualizzato, un identificativo interno e la lingua in cui usi il sito, così che le nostre email siano scritte in quella lingua. Se accedi con Google, è Google a fornirci indirizzo, nome e immagine del profilo; la tua password Google non la vediamo mai.
• Da dove ti sei registrato. Il Paese in cui si trovava la tua connessione quando hai creato l'account, come sigla di due lettere e nulla di più preciso. Lo ricava il nostro fornitore di hosting dal tuo indirizzo IP ai margini della sua rete; noi quell'indirizzo non lo riceviamo e non lo conserviamo. Lo teniamo per sapere in quali mercati viene usato il servizio.
• I tuoi dati professionali. Nome, ruolo, paese, città, telefono e indirizzo LinkedIn che ti chiediamo una volta dopo la registrazione, conservati perché i nuovi CV nascano già compilati.
• Il contenuto dei tuoi CV. Tutto quello che scrivi nell'editor: nome, contatti, esperienze, istruzione, lingue, competenze, ogni sezione che aggiungi e, se la scegli, una fotografia. Sono dati personali che decidi tu di fornire, e possono riguardare anche altre persone, per esempio un referente.
• Gli annunci di lavoro, sia che ne incolli il testo sia che ci dia un link, in quel caso scarichiamo quella pagina e ne conserviamo il testo dell'annuncio, tenuti accanto al CV, alla lettera o alla candidatura a cui appartengono.
• Le lettere di presentazione che hai scritto con noi, ciascuna con una copia congelata del CV da cui è nata.
• Le candidature che segui. Azienda, ruolo, luogo e fascia di retribuzione, l'annuncio, le tue note, lo stato e le date della candidatura.
• Il profilo LinkedIn che importi, sia incollandolo sia caricando il PDF che LinkedIn esporta.
• La tua preparazione ai colloqui. Le domande preparate dal tuo CV e, in un colloquio simulato, le risposte che scrivi e il riscontro del coach su di esse.
• Che cosa hai acquistato. Il piano, il suo stato e il periodo, e gli identificativi che Stripe ci dà per la tua anagrafica cliente e per l'abbonamento. Non la carta: vedi la sezione 3.
• Le email che ti abbiamo inviato. Quale (benvenuto, conferma d'ordine, rimborso, promemoria), in che lingua, a quale indirizzo e quando: non il testo, che si ricava dal modello.
• Note dell'assistenza. Se scrivi al supporto, chi ti risponde può lasciare una nota interna sul tuo account per ricordare cosa è stato fatto; la vede solo il team, e la cancelliamo con l'account. Puoi chiederne copia con una richiesta di accesso.
• Statistiche d'uso anonime tramite Plausible Analytics, che non usa cookie, non ti segue da un sito all'altro e non costruisce un profilo su di te.
• Misurazione, solo se la accetti. Se dici sì nel banner dei cookie, i tag di Google e OpenAI impostano cookie per attribuire le conversioni agli annunci da cui è partita la visita: Google Ads misura registrazioni e acquisti, OpenAI Ads misura gli acquisti, e Google Analytics ci dice anche quali pagine vengono visitate, da dove arrivano le visite e dove si fermano. Sono spenti finché non accetti, restano spenti se rifiuti, e puoi cambiare risposta in qualsiasi momento da Preferenze cookie nel footer.

3. Cosa deliberatamente non raccogliamo

• I file che carichi. Il CV in PDF o Word che importi, e il PDF del tuo profilo LinkedIn, vengono aperti e letti dal tuo browser. I file non vengono mai caricati, e si salva soltanto il testo che poi scegli di tenere.
• La tua carta. Il pagamento avviene interamente sulle pagine di Stripe: il numero della carta non arriva mai a questo sito, non lo vediamo e non lo conserviamo. Di quell'operazione teniamo il piano che hai acquistato e gli identificativi con cui Stripe chiama la tua anagrafica.
• Tracciamento senza il tuo consenso. Sul tuo dispositivo non viene conservato nulla che serva a seguirti altrove, a meno che tu non abbia detto sì. Quello che il sito vi tiene da sé è strettamente necessario e nient’altro: la lingua che scegli dal footer, in un cookie con un codice di due lettere che non identifica nessuno; la tua risposta al banner dei cookie, in un secondo cookie, per non richiedertela; e, una volta effettuato l’accesso, la tua sessione nell’archivio del browser, che è ciò che ti tiene collegato passando da una pagina all’altra. Nessuno dei tre richiede il tuo consenso. Gli unici cookie che lo richiedono sono quelli di misurazione di Google Ads, Google Analytics e OpenAI Ads della sezione 2, e vengono impostati solo dopo che li hai accettati nel banner: mai prima, e mai se rifiuti.

4. Perché li trattiamo, e con quale base giuridica

• Per fornirti il servizio che hai chiesto: creare il tuo account, conservare e mostrare il tuo CV, adattarlo con l'AI, valutarlo per gli ATS, scrivere lettere di presentazione, preparare le domande di colloquio e tenere traccia delle tue candidature. Base giuridica: esecuzione di un contratto.
• Per incassare e tenere la contabilità: gestire il tuo abbonamento, inviarti la conferma d'ordine e conservare le scritture contabili che la legge richiede. Base giuridica: esecuzione di un contratto e, per le scritture, obbligo di legge.
• Per mantenere il servizio funzionante e sicuro: prevenire abusi, diagnosticare guasti e capire in forma aggregata quali pagine vengono usate. Base giuridica: il nostro legittimo interesse a gestire un servizio funzionante e non abusato.
• Per sapere se la nostra pubblicità funziona e come viene usato il sito: solo se lo accetti nel banner dei cookie: i cookie di Google Ads dicono a Google se una visita partita da un suo annuncio è diventata una registrazione o un acquisto, quelli di OpenAI Ads dicono a OpenAI se è diventata un acquisto, e quelli di Google Analytics ci mostrano quali pagine vengono visitate e da dove arrivano le visite. Base giuridica: il tuo consenso, che puoi revocare in qualsiasi momento da Preferenze cookie nel footer, con la stessa facilità con cui l’hai dato.
• Per adempiere alla legge, dove siamo obbligati. Base giuridica: obbligo legale.

5. Le categorie particolari che un CV può contenere

Un CV non è un documento come gli altri. Senza che nessuno lo chieda, finisce spesso per contenere i dati che il GDPR protegge più severamente: l'appartenenza a un sindacato, l'iscrizione a una categoria protetta, uno stato di salute o una disabilità, convinzioni religiose o filosofiche, e una fotografia, che può rivelare l'origine etnica.

Non te ne chiediamo nessuno, e il servizio non ne ha bisogno. Ma quello che scrivi noi lo conserviamo, lo mostriamo, lo congeliamo in copie e lo mandiamo al modello AI: se lo inserisci, lo trattiamo. Per farlo la legge chiede il tuo consenso esplicito, distinto dall'accettazione dei termini, ed è l'unica casella che ti mostriamo prima che il tuo primo CV venga salvato.

• Puoi rifiutare. Senza il consenso non funziona nulla di ciò che memorizza il contenuto di un CV, ma resti libero di leggere, esportare e cancellare tutto quello che hai già.
• Puoi revocarlo quando vuoi, cancellando i CV che contengono questi dati o l'intero account, dal tuo profilo. La revoca non rende illecito ciò che era lecito prima.
• La strada più semplice resta non scriverli. Un CV che non menziona nulla di tutto questo è un CV completo, e nella maggior parte dei paesi un datore di lavoro non ha diritto di chiederlo.

6. Dove sono conservati i tuoi dati

Tutto è ospitato su Amazon Web Services nella regione di Francoforte (eu-central-1), dentro l'Unione Europea. Le eccezioni sono due: il passaggio con l'AI, descritto nella sezione 7, e il pagamento, che avviene su Stripe.

• Il tuo CV e i dati dell'account sono conservati cifrati a riposo.
• Le fotografie stanno in uno spazio di archiviazione privato, chiuso alla rete pubblica. Quando il CV viene mostrato, il sito riceve un link firmato temporaneo che scade dopo poche ore.
• Il sito è distribuito da Vercel, che serve le pagine; non riceve il contenuto dei tuoi CV.
• Le nostre email, il messaggio di benvenuto quando crei l'account, la conferma d'ordine, l'avviso di rimborso, il promemoria per ricontattare un'azienda, partono da Amazon SES, nella stessa regione europea.
• I pagamenti sono trattati da Stripe sulla propria infrastruttura, in parte fuori dall'Unione Europea; quel trasferimento è coperto dalle clausole contrattuali standard dell'accordo sul trattamento dei dati di Stripe.

7. L'AI che scrive con te

Diverse parti del servizio inviano testo ad Anthropic, l'azienda dei modelli Claude: adattare un CV a un annuncio, riscrivere una sezione o l'intero CV, scrivere e rivedere una lettera di presentazione, riscrivere un profilo LinkedIn, preparare le domande di un colloquio, condurre un colloquio simulato e leggere un annuncio dal link che ci dai. Ogni volta viene inviato il testo che serve a quel lavoro: il CV o la parte che riguarda, l'annuncio e, in un colloquio simulato, le risposte che scrivi. È l'unico momento in cui qualcosa che hai scritto lascia i nostri server.

Anthropic esegue la richiesta sulla propria infrastruttura, che può trovarsi fuori dall'Unione Europea; il trasferimento è coperto dalle clausole contrattuali standard previste dai termini commerciali di Anthropic. In base a quei termini quanto invii non viene usato per addestrare i modelli, e Anthropic lo conserva solo per il breve periodo necessario ai controlli di sicurezza.

Quello che torna ti viene mostrato come una proposta, e sei tu a decidere se tenerla. Nulla viene pubblicato da nessuna parte, e nessun datore di lavoro riceve niente da noi.

Il punteggio, e ciò che non è. Due numeri del prodotto sono calcolati automaticamente da quello che hai scritto: il punteggio ATS di un CV e quello di un profilo LinkedIn. Sono regole fisse applicate al tuo testo, non un parere del modello AI, e costituiscono una valutazione di un aspetto professionale che ti riguarda: perciò lo diciamo apertamente.

Nessuna decisione su di te viene presa automaticamente. I punteggi sono un consiglio, ogni risposta dell'AI è una proposta che accetti o rifiuti scheda per scheda, e nulla di ciò che produciamo viene inviato a un datore di lavoro o a chiunque altro. Non esiste una decisione automatizzata che produca effetti giuridici o incida in modo analogamente significativo su di te, quindi il diritto dell'articolo 22 a ottenere l'intervento umano non ricorre, ma se non sei d'accordo con qualcosa che il prodotto ha concluso, scrivi a privacy@vitaesupply.com e ti risponde una persona.

8. Per quanto tempo li conserviamo

• Il tuo account e tutto ciò che contiene: finché non lo elimini. Eliminare un CV cancella anche la sua fotografia; Elimina il mio account, nella pagina profilo, cancella l'account stesso, ogni CV, lettera, candidatura, colloquio e bozza LinkedIn, ogni fotografia conservata, i dati di fatturazione e la tua identità di accesso, subito e per sempre.
• Le richieste all'AI: ognuna di esse, un adattamento, una lettera, la riscrittura di un profilo LinkedIn, una serie di domande di colloquio, viene cancellata automaticamente 24 ore dopo essere stata eseguita.
• Le registrazioni che impediscono di elaborare due volte lo stesso pagamento: trenta giorni.
• I dati di fatturazione: il piano e gli identificativi Stripe restano finché resta il tuo account. Le registrazioni del pagamento e le fatture sono conservate da Stripe, che le tiene per i dieci anni richiesti dalla normativa fiscale e contabile.
• La bozza nell'editor è tenuta nel tuo browser perché un aggiornamento della pagina non ti faccia perdere il lavoro. Resta sul tuo dispositivo e sparisce quando cancelli i dati del sito.
• La lingua che scegli resta in un cookie sul tuo dispositivo per un anno, e puoi cambiarla dal footer quando vuoi.
• La tua risposta al banner dei cookie resta in un cookie sul tuo dispositivo per sei mesi, dopo i quali te la chiediamo di nuovo. I cookie di Google Ads, se li hai accettati, durano novanta giorni; quelli di Google Analytics due anni, e i dati che raccolgono restano presso Google quattordici mesi. Il pixel OpenAI Ads conserva il riferimento del clic per trenta giorni e un identificativo casuale del browser per un anno; OpenAI non pubblica un termine fisso per i dati di conversione, che tratta secondo i suoi Conversion Terms.
• La tua sessione resta nell'archivio del tuo browser finché sei collegato, e viene cancellata quando esci o quando cancelli i dati del sito. I token che contiene scadono da soli dopo un'ora e vengono rinnovati per un massimo di trenta giorni.

9. Chi altro è coinvolto

Non vendiamo dati personali. Google e OpenAI ricevono soltanto ciò che i loro strumenti pubblicitari misurano con il tuo consenso, descritto qui sotto. Ci affidiamo a un piccolo numero di fornitori. Per ciascuno: cosa fa per noi, dove tratta e, quando è fuori dallo Spazio economico europeo, cosa rende lecito il trasferimento.

• Amazon Web Services: hosting, accesso, banca dati, archiviazione dei file e le nostre email. Tratta nell'Unione europea (Francoforte). Nessun trasferimento.
• Anthropic: i modelli Claude, come descritto nella sezione 7. Tratta negli Stati Uniti: il trasferimento è coperto dalle clausole contrattuali standard nei termini commerciali di Anthropic.
• Stripe: pagamenti e abbonamenti. Tratta nell'Unione europea e negli Stati Uniti: il trasferimento è coperto dalle clausole contrattuali standard nell'accordo sul trattamento dei dati di Stripe.
• Vercel: consegna delle pagine di questo sito. È una società statunitense, che serve il sito da nodi periferici anche europei; non riceve mai il contenuto del tuo CV. Il trasferimento è coperto dalle clausole contrattuali standard nell'accordo sul trattamento dei dati di Vercel.
• Plausible Analytics: statistiche d'uso anonime e senza cookie. Tratta nell'Unione europea (Estonia). Nessun trasferimento.
• Google Ads e Google Analytics: misurare se la nostra pubblicità funziona e come viene usato il sito, solo se ne accetti i cookie nel banner. Google Ireland Limited tratta nell’Unione europea e negli Stati Uniti: Google LLC è certificata nel Data Privacy Framework UE-USA, e il trasferimento è coperto anche dalle clausole contrattuali standard nei termini di trattamento dei dati di Google Ads e di Google Analytics. Analytics è configurato senza Google Signals e senza condivisione dei dati con altri prodotti Google: nessuna profilazione, nessun pubblico pubblicitario.
• OpenAI Ads: attribuire un acquisto a un annuncio visto su ChatGPT, solo se ne accetti i cookie nel banner. Il pixel riceve indirizzo IP, pagina e referrer, riferimento del clic, identificativo casuale del browser e, all’acquisto, importo, valuta, piano e identificativo della sessione Checkout; non gli inviamo nome, email o identificativo dell’account. OpenAI Ireland Ltd tratta nell’Unione europea, negli Stati Uniti e nei paesi dei sub-responsabili elencati da OpenAI; l’evento porta `opt_out`, quindi nell’SEE è trattamento limitato per nostro conto secondo l’Ad Tools DPA, con clausole contrattuali standard per i trasferimenti.
• Google: solo se scegli di accedere con un account Google, e solo per quell'accesso. Per esso Google agisce come titolare autonomo, negli Stati Uniti e altrove, secondo la propria informativa.

10. I tuoi diritti

In base al GDPR puoi chiederci una copia dei tuoi dati, correggerli, cancellarli, esportarli in un formato portabile, limitarne l'uso oppure opporti al trattamento fondato sul nostro legittimo interesse. Due di questi li fai da solo, subito, dalla pagina profilo: Scarica i miei dati ti consegna tutto quello che abbiamo in un unico file, e Elimina il mio account lo cancella. I dati del CV li correggi dall'editor. Per tutto il resto scrivi a privacy@vitaesupply.com e ti rispondiamo entro un mese.

Se ritieni che abbiamo trattato male i tuoi dati puoi rivolgerti al Garante per la protezione dei dati personali, o all'autorità di controllo del tuo paese di residenza.

11. Modifiche a questa informativa

Se il servizio cambia in un modo che riguarda i tuoi dati, aggiorneremo questa pagina e la data in alto. Le modifiche rilevanti verranno annunciate nell'applicazione stessa.