ai sensi degli artt. 13-14 del Regolamento UE 2016/679 (GDPR)
Ultimo aggiornamento: 9 novembre 2026
1. Titolare del trattamento
Starloom Srl, con sede in Via Gabriele D'Annunzio 35, 95128 Catania (CT) — P.IVA 06209440871 ("Titolare"), titolare del brand Talent for Learning.
Per qualsiasi richiesta relativa al trattamento dei dati personali, o per l'esercizio dei diritti descritti al punto 7, l'interessato può scrivere a: amministrazione@starloom.it. Risponde direttamente Starloom Srl; non è stato designato un Responsabile della Protezione dei Dati (DPO), non ricorrendo i presupposti di obbligatorietà di cui all'art. 37 GDPR.
2. Ambito di applicazione
La presente informativa riguarda il trattamento dei dati personali effettuato tramite l'intera piattaforma Talent for Learning: registrazione e profilo degli enti di formazione, registrazione e profilo dei docenti, formatori ed esperti, e il modulo "Bandi per Docenti", descritto in dettaglio al punto 4. È l'unica informativa privacy relativa al sito e alla piattaforma Talent for Learning, insieme alla Cookie Policy, pubblicata separatamente.
3. Categorie di dati trattati e finalità generali
| Dati | Finalità | Base giuridica |
|---|---|---|
| Dati di registrazione e profilo (nome, email, qualifiche, materie di insegnamento) | Erogazione del servizio, creazione del profilo, abbinamento con avvisi ed enti | Esecuzione del contratto / misure precontrattuali (art. 6.1.b GDPR) |
| Dati di registrazione dell'ente di formazione (ragione sociale, sede, email del referente) | Erogazione del servizio, creazione del profilo ente, pubblicazione di corsi e avvisi | Esecuzione del contratto / misure precontrattuali (art. 6.1.b GDPR) |
| CV caricato in fase di registrazione, fino a conferma dell'email | Attivazione dell'account; cancellato automaticamente se la registrazione non viene completata (si veda il punto 6) | Misure precontrattuali su richiesta dell'interessato (art. 6.1.b GDPR) |
| Indirizzo email del collaboratore invitato da un ente di formazione a operare sul profilo dell'ente | Invio dell'invito a collaborare al profilo dell'ente; attivazione dell'account del collaboratore se accetta | Legittimo interesse del Titolare e dell'ente invitante a gestire la collaborazione richiesta (art. 6.1.f GDPR); l'invitato riceve nell'email di invito un richiamo alla presente informativa |
| Dati di utilizzo della piattaforma | Funzionamento tecnico, sicurezza, prevenzione abusi | Legittimo interesse del Titolare (art. 6.1.f GDPR) |
Sicurezza delle credenziali. Quando l'utente sceglie o modifica la propria password, il Titolare verifica — tramite il servizio Have I Been Pwned — se tale password è comparsa in violazioni di dati pubblicamente note. La verifica avviene con tecnica di k-anonimato: viene inviato al servizio solo un breve prefisso dell'impronta crittografica (hash) della password, mai la password in chiaro né alcun dato personale dell'utente. Questa misura rientra tra le misure tecniche di sicurezza adottate ai sensi dell'art. 32 GDPR.
4. Modulo "Bandi per Docenti" — dettagli specifici
Il modulo raccoglie, tramite un programma automatico (TalentForLearningBot), avvisi di selezione di docenti, formatori ed esperti pubblicati su pagine pubbliche di enti di formazione inseriti in un elenco verificato ("whitelist"). Il funzionamento è descritto in modo integrale e pubblico alla pagina talentforlearning.it/bot.
Caratteristiche rilevanti ai fini privacy:
- Il bot legge solo pagine pubbliche, accessibili senza autenticazione, e rispetta il file robots.txt di ciascun sito.
- Il testo originale non viene mai conservato né pubblicato: titolo e descrizione dell'avviso sono generati esclusivamente a partire da informazioni essenziali estratte (materia, luogo, scadenza), non dal testo libero della pagina di origine.
- Non raccoglie intenzionalmente dati personali: titolo e descrizione pubblicati sono generati solo a partire da informazioni essenziali (materia, luogo, scadenza), non dal testo originale della pagina, che non viene conservato; eventuali nominativi presenti nel testo di origine non vengono riportati né conservati nei contenuti pubblicati.
- Ogni avviso rimanda sempre, tramite link, alla pagina originale dell'ente che lo ha pubblicato; dalla piattaforma non si inoltra alcuna candidatura.
- Gli enti di formazione possono richiedere l'esclusione del proprio sito dalla raccolta in qualsiasi momento, con due modalità equivalenti: inserendo una direttiva
Disallownel proprio robots.txt per lo user-agentTalentForLearningBot, oppure scrivendo a segnalazione_bandi@talentforlearning.it — la lettura del sito viene sospesa e le segnalazioni già pubblicate rimosse non appena ricevuta la richiesta. - Chiunque individui un dato personale pubblicato per errore, o un contenuto da correggere, può segnalarlo allo stesso indirizzo.
5. Sub-responsabili del trattamento e fornitori terzi
Il Titolare si avvale dei seguenti sub-responsabili e fornitori per l'erogazione del servizio, ciascuno vincolato da apposito accordo contrattuale (art. 28 GDPR):
| Fornitore | Ruolo | Dati trattati | Localizzazione |
|---|---|---|---|
| Google Cloud (Vertex AI — Gemini 3.8 Flash) | Classificazione ed estrazione di fatti dagli avvisi, solo dopo il filtro dei dati personali | Testo pubblico dell'avviso, dopo la rimozione automatica di recapiti e nominativi; mai dati dei docenti iscritti | Unione Europea (endpoint multi-regionale UE, esclusivo) |
| Supabase | Database applicativo, autenticazione, archiviazione | Dati del profilo, avvisi pubblicati, preferenze e consensi, log tecnici | Unione Europea — Dublino (Irlanda) |
| Brevo | Invio delle email transazionali e di notifica (conferma registrazione, recupero password, inviti, notifiche di attività del profilo (es. comparsa in ricerche, sblocco del profilo da parte di un ente), notifiche di sicurezza) e SMTP per l'autenticazione; tracciamento anonimo delle aperture email | Indirizzo email, contenuto dell'email (salvataggio del contenuto disattivato), dato di apertura anonimizzato; log conservati dal fornitore per circa 6 mesi | Infrastruttura primaria nell'Unione Europea (OVH, Francia; Google Cloud, Belgio); alcuni sub-responsabili di Brevo possono effettuare trasferimenti verso paesi terzi, sulla base di Clausole Contrattuali Standard e del Data Privacy Framework UE-USA |
| Vercel | Hosting dell'applicazione web | Traffico HTTP verso le pagine dell'applicazione | Funzioni applicative in Unione Europea — Francoforte (Germania); i contenuti statici sono distribuiti anche tramite la rete globale del fornitore |
| Hetzner | Hosting del programma di raccolta avvisi | Nessun dato del docente; solo pagine pubbliche delle fonti e testi degli avvisi, quando attivato | Germania (Falkenstein) — non ancora attivo: il relativo accordo sul trattamento dei dati sarà accettato al momento dell'attivazione, prima di qualunque raccolta reale tramite questo fornitore |
| Google Analytics (Google LLC / Google Ireland) | Analisi statistica del traffico su sito e piattaforma | Dati di navigazione, identificativi tecnici (cookie); nessun dato del modulo Bandi | Sub-responsabile soggetto a Clausole Contrattuali Standard e Data Privacy Framework UE-USA per eventuali trasferimenti extra-SEE; attivato solo previo consenso tramite banner cookie (si veda la Cookie Policy) |
| PostHog (PostHog Inc. — Cloud EU) | Analisi del comportamento utente, registrazione delle sessioni e mappe di calore (heatmap), limitatamente alle pagine pubbliche (home, login, registrazione), per individuare criticità nel percorso di registrazione | Interazioni con la pagina (movimenti del puntatore, scroll, click); testo, immagini e campi di input integralmente mascherati per la registrazione delle sessioni; le mappe di calore registrano unicamente le coordinate delle interazioni e l'indirizzo della pagina, privato di parametri e identificativi, senza alcun contenuto visivo o testuale; nessun identificativo dell'utente, nessun log di rete o del browser; mai attivo nell'area autenticata, nelle schede profilo docenti o nel pannello di amministrazione | Unione Europea — Francoforte (Germania), infrastruttura AWS eu-central-1; eventuale accesso da parte del personale del fornitore situato negli Stati Uniti soggetto a Clausole Contrattuali Standard UE. Attivato solo previo consenso tramite banner cookie (si veda la Cookie Policy) |
| iubenda | Gestione del banner e del registro dei consensi cookie (Consent Management Platform) | Identificativo di consenso, indirizzo IP, scelte espresse sui cookie; nessun dato del modulo Bandi | Unione Europea — fornitore italiano, server confermati in UE (piano Essential); eventuali sub-responsabili di iubenda secondo la relativa documentazione, sulla base di Clausole Contrattuali Standard dove applicabile |
Trasferimenti verso paesi terzi: l'infrastruttura primaria di Brevo resta nell'Unione Europea; Brevo e Google Analytics possono comportare, tramite propri sub-responsabili, trasferimenti limitati verso paesi terzi (tipicamente Stati Uniti), sulla base del Data Privacy Framework UE-USA (decisione di adeguatezza della Commissione Europea del 10/07/2023) e di Clausole Contrattuali Standard — trasferimento lecito ai sensi degli artt. 45-46 GDPR. Il trattamento tramite Google Cloud/Vertex AI, descritto di seguito, non comporta invece, di per sé, trasferimenti extra-SEE.
Per quanto riguarda Google Cloud / Vertex AI: il servizio opera su un endpoint esclusivamente europeo; la registrazione (logging) delle richieste e delle risposte è disattivata e la memorizzazione nella cache dei prompt è disattivata a livello di progetto; i contenuti non sono utilizzati per l'addestramento dei modelli. Si segnala, per completezza e trasparenza, che Google può conservare, nella medesima regione europea, per un periodo massimo di 90 giorni, i soli contenuti che i propri sistemi automatici di prevenzione degli abusi individuano come potenzialmente problematici — questa eccezione automatica, parte integrante dei termini standard di Google Cloud, può essere esclusa integralmente sottoscrivendo un accordo quadro aggiuntivo (Cloud Master Agreement) con il fornitore. Il Data Processing Addendum di Google risulta accettato in data 13 ottobre 2026.
6. Tempi di conservazione
| Categoria di dati | Periodo di conservazione |
|---|---|
| Avvisi pubblicati, dopo la scadenza | 14 giorni dalla scadenza |
| Log tecnici di raccolta (crawling) | 12 mesi |
| Dati del profilo e consensi | Per tutta la durata dell'account, salva richiesta di cancellazione |
| Account non confermati (incluso il CV caricato in registrazione) | 7 giorni dalla registrazione; cancellazione automatica se l'email non viene confermata entro tale termine |
| Log delle email (Brevo) | Circa 6 mesi, secondo la politica di conservazione del fornitore |
| Registrazioni delle sessioni (PostHog) | 30 giorni dalla registrazione, eliminazione automatica |
| Mappe di calore (PostHog heatmaps) | Fino a 1 anno dalla raccolta (retention standard degli eventi del fornitore, piano Cloud EU Free) |
7. Diritti dell'interessato
Ai sensi degli artt. 15-22 GDPR, l'interessato ha diritto di accesso, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati e opposizione, nonché il diritto di revocare in ogni momento il consenso prestato, senza che ciò pregiudichi la liceità del trattamento basato sul consenso prestato prima della revoca. Tali diritti sono esercitabili scrivendo a amministrazione@starloom.it. L'interessato ha inoltre diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it).
8. Cookie, Google Analytics e PostHog
Il sito e la piattaforma utilizzano Google Analytics per l'analisi statistica del traffico e, sulle sole pagine pubbliche (home, login, registrazione), PostHog per l'analisi del comportamento di navigazione, la registrazione delle sessioni e le mappe di calore (heatmap), con mascheramento integrale di testo, immagini e campi di input per la registrazione delle sessioni e senza alcun identificativo dell'utente per entrambe le funzionalità, al fine di individuare criticità nel percorso di registrazione. Le mappe di calore sono limitate alle pagine home e registrazione (docenti ed enti) e registrano unicamente le coordinate delle interazioni (click, movimento del puntatore) e l'indirizzo della pagina, privato di parametri e identificativi; non comportano la cattura di contenuti visivi o testuali della pagina. I cookie non strettamente necessari, inclusi quelli di Google Analytics e PostHog, sono attivati solo previo consenso espresso dell'utente, raccolto tramite un banner dedicato gestito tramite iubenda (Consent Management Platform). Il dettaglio di cookie utilizzati, finalità, durata e modalità di gestione del consenso è descritto nella Cookie Policy, pubblicata separatamente e richiamata dal banner stesso. La presente informativa e la Cookie Policy si integrano reciprocamente e vanno lette congiuntamente.
9. Modifiche alla presente informativa
La presente informativa può essere aggiornata; le modifiche sostanziali saranno comunicate agli utenti registrati e la data di ultima revisione sarà sempre indicata in calce al documento pubblicato sul sito. Si veda anche i Termini di Servizio.
Ultimo aggiornamento: 9 novembre 2026