Informativa sulla privacy

Il presente documento è una traduzione dell'originale in francese. In caso di discrepanza, prevale la versione francese.

Premessa

Skillee attribuisce un'importanza fondamentale alla protezione dei dati personali. La presente informativa sulla privacy descrive il modo in cui Skillee raccoglie, utilizza, condivide e protegge i dati personali dei visitatori dei propri siti internet e degli utenti professionali della piattaforma Studio. Essa si applica ai servizi accessibili da skillee.ai e studio.skillee.ai. Ai candidati utenti di Gabee (gabee.skillee.ai) si applica un'informativa sulla privacy distinta.

Articolo 1 — Titolare del trattamento

Il titolare del trattamento dei dati personali raccolti tramite skillee.ai e studio.skillee.ai è:

Skillee, società per azioni semplificata (société par actions simplifiée) con capitale sociale di 1.000 €, iscritta al Registro del commercio e delle società (RCS) di Versailles con il numero 999 363 237, con sede legale in 13 avenue de Villeneuve l'Étang, 78000 Versailles.

Per qualsiasi domanda relativa al trattamento dei Suoi dati personali, può contattare il responsabile della protezione dei dati (DPO) esterno di Skillee, DIPEEO SAS, all'indirizzo rgpd@skillee.ai (numero di designazione presso la CNIL, l'autorità francese per la protezione dei dati: DPO-169761).

Articolo 2 — Categorie di interessati e dati trattati

2.1 Visitatori del sito skillee.ai

Durante la Sua navigazione sul sito vetrina vengono raccolti i seguenti dati:

Dati tecnici di connessione (indirizzo IP, tipo di browser, sistema operativo, pagine consultate, date e orari di connessione)
Dati forniti tramite il modulo di contatto o la prenotazione di un appuntamento (cognome, nome, indirizzo e-mail professionale, fascia oraria dell'appuntamento, eventuale messaggio)

2.2 Utenti professionali dello Studio (recruiter, professionisti delle risorse umane)

Al momento della creazione e durante l'utilizzo di un account Studio vengono raccolti i seguenti dati:

Dati identificativi: indirizzo e-mail professionale, cognome, nome
Dati di autenticazione: password (conservata in forma di hash, mai in chiaro)
Dati relativi all'organizzazione: ragione sociale, descrizione dell'azienda inserita dall'utente nelle impostazioni del proprio account
Dati di navigazione e di utilizzo: log di connessione, azioni eseguite nella piattaforma, metadati tecnici

2.3 Candidati trattati tramite gli agenti Skillee — precisazione importante

I dati dei candidati trattati dagli agenti Charlee (colloquio vocale), Julee (WhatsApp) e dal filtraggio dei CV dello Studio sono raccolti dai clienti di Skillee (datori di lavoro e i loro ATS partner) nell'ambito dei propri processi di selezione. Per tali trattamenti, Skillee agisce in qualità di responsabile del trattamento ai sensi dell'articolo 28 del GDPR, e non di titolare del trattamento. I candidati devono fare riferimento all'informativa sulla privacy del datore di lavoro che li tratta per esercitare i propri diritti relativi a tali dati. Skillee assisterà il datore di lavoro nel rispondere alle richieste dei candidati conformemente agli obblighi contrattuali definiti nel DPA.

Articolo 3 — Finalità e basi giuridiche dei trattamenti

I dati personali sono trattati da Skillee per le seguenti finalità e sulla base delle seguenti basi giuridiche:

Fornitura della piattaforma Studio (creazione dell'account, autenticazione, funzionalità) — base giuridica: esecuzione del contratto di servizio sottoscritto (GDPR art. 6.1.b)
Comunicazione commerciale e dimostrazioni (modulo di contatto, prenotazione di appuntamenti tramite Calendly) — base giuridica: legittimo interesse di Skillee a rispondere alle richieste dei potenziali clienti (GDPR art. 6.1.f)
Sicurezza e prevenzione delle frodi (log tecnici, monitoraggio) — base giuridica: legittimo interesse di Skillee a garantire la sicurezza dei propri sistemi (GDPR art. 6.1.f)
Adempimento degli obblighi di legge (fatturazione, contabilità) — base giuridica: obbligo di legge (GDPR art. 6.1.c)
Miglioramento dei servizi (analisi anonimizzata degli utilizzi) — base giuridica: legittimo interesse di Skillee (GDPR art. 6.1.f). Nessun dato personale è utilizzato per addestrare i modelli di intelligenza artificiale di Skillee. Skillee garantisce contrattualmente tale impegno e ne impone il rispetto ai propri responsabili del trattamento IA.

Articolo 4 — Destinatari e responsabili del trattamento

I dati personali sono destinati:

Ai team autorizzati di Skillee, nello stretto ambito delle loro mansioni
Ai responsabili del trattamento tecnici elencati di seguito, soggetti a rigorosi obblighi contrattuali (Data Processing Agreement, misure di sicurezza, riservatezza)
Alle autorità competenti in caso di obbligo di legge o giudiziario

Nessun dato è venduto, noleggiato o ceduto a terzi a fini commerciali, pubblicitari o di costituzione di banche dati.

I responsabili del trattamento a cui Skillee ricorre sono i seguenti:

Microsoft Azure — hosting dell'infrastruttura e archiviazione dei dati della piattaforma. Trattamento in Francia (regione France Central)
OVH — hosting e servizi di infrastruttura associati. Trattamento in Francia
Cloudflare — distribuzione di contenuti e protezione dagli attacchi; tratta dati tecnici di connessione. Trattamento nell'Unione europea e negli Stati Uniti
Google (Vertex AI / Gemini) — analisi e generazione di linguaggio naturale da parte degli agenti Skillee; tratta i contenuti che vengono loro sottoposti. Trattamento nell'Unione europea e negli Stati Uniti
Telnyx — instradamento delle comunicazioni telefoniche degli agenti vocali; tratta i numeri di telefono e i flussi di chiamata. Non ha accesso ad alcun dato proveniente dagli account Google o Microsoft collegati
Calendly — prenotazione di appuntamenti commerciali; tratta nome, indirizzo e-mail professionale e fascia oraria scelta. Trattamento negli Stati Uniti

Il presente elenco è inoltre pubblicato nel Trust Center (skillee.trust.dipeeo.fr) e mantenuto aggiornato. Qualsiasi modifica sostanziale è portata a conoscenza degli utenti conformemente all'articolo 12.

Skillee impone contrattualmente a tutti i propri responsabili del trattamento IA il divieto di utilizzare i dati trattati per addestrare, sviluppare o migliorare modelli di intelligenza artificiale generalizzati o non personalizzati.

Articolo 5 — Trasferimenti di dati al di fuori dell'Unione europea

L'hosting dei dati e il trattamento principale sono effettuati all'interno dell'Unione europea (Francia metropolitana per l'infrastruttura principale Microsoft Azure e OVH).

Alcuni responsabili del trattamento elencati all'articolo 4 possono trovarsi a trattare dati dagli Stati Uniti (in particolare il fornitore di modelli di IA Google, nonché Cloudflare e Calendly). Tali trasferimenti sono disciplinati dai meccanismi previsti dal GDPR:

Adesione al quadro EU-US Data Privacy Framework (DPF) per i responsabili del trattamento interessati
Clausole contrattuali tipo (CCT) della Commissione europea
Misure tecniche supplementari (cifratura in transito e a riposo)

Articolo 6 — Accesso ai dati del Suo account Google

Se sceglie di collegare il Suo account Google a Skillee, accediamo a un insieme limitato di dati di tale account, strettamente nei limiti delle autorizzazioni che concede nella schermata di consenso di Google. Non chiediamo mai più di quanto richiesto dalle nostre funzionalità.

gmail.readonly — Dati a cui accediamo: contenuto, intestazioni e metadati dei messaggi della Sua casella di posta. Perché ne abbiamo bisogno: per identificare le risposte dei candidati e allegarle automaticamente al fascicolo di candidatura corrispondente, in modo che i recruiter possano seguire lo scambio senza dover reinserire nulla.
gmail.send — Dati a cui accediamo: nessuno (nessuna lettura — solo invio). Perché ne abbiamo bisogno: per inviare conferme di colloquio, sintesi di prequalifica e messaggi di follow-up ai candidati dal Suo stesso indirizzo, in modo che i candidati ricevano comunicazioni dall'agenzia presso cui si sono candidati.
calendar.freebusy — Dati a cui accediamo: solo le fasce orarie libere/occupate — nessun titolo, nessun partecipante, nessun contenuto degli eventi. Perché ne abbiamo bisogno: per verificare la Sua disponibilità prima di proporre fasce orarie per i colloqui, senza leggere il contenuto dei Suoi eventi.
calendar.events.owned — Dati a cui accediamo: gli eventi dei calendari di cui è proprietario. Perché ne abbiamo bisogno: per creare gli appuntamenti di colloquio nel Suo calendario, invitare il candidato e generare il link della videochiamata.

Può revocare in qualsiasi momento l'accesso di Skillee al Suo account Google da myaccount.google.com/permissions selezionando Skillee e facendo clic su «Rimuovi accesso», oppure scollegando l'account dalle Sue impostazioni Skillee. La revoca ha effetto immediato e impedisce qualsiasi ulteriore accesso. I dati ottenuti tramite queste autorizzazioni sono conservati per la durata dell'incarico per il quale sono stati raccolti e successivamente cancellati. I Suoi token OAuth sono cancellati immediatamente in caso di revoca o di chiusura dell'account.

Con chi condividiamo i dati utente di Google

I dati utente di Google ottenuti tramite le autorizzazioni sopra elencate sono comunicati esclusivamente ai fornitori di servizi strettamente necessari al funzionamento delle funzionalità che ha attivato. Non sono mai venduti, noleggiati o comunicati ad alcun altro soggetto. I destinatari sono:

Microsoft Azure — hosting e archiviazione della piattaforma Skillee. Riceve il contenuto e i metadati dei messaggi, gli eventi del calendario e i token OAuth (cifrati a riposo). Il trattamento avviene in Francia (regione France Central).
Google (Vertex AI / Gemini) — analisi del linguaggio naturale effettuata dagli agenti di Skillee. Riceve unicamente gli estratti dei messaggi relativi a un incarico di selezione attivo. Il trattamento avviene nell'Unione europea e negli Stati Uniti.

Ai dati utente di Google si applicano inoltre i seguenti impegni:

Minimizzazione dei dati. Skillee tratta soltanto quanto necessario per identificare e gestire le risposte dei candidati relative a un incarico di selezione attivo. I messaggi estranei a tale finalità non vengono analizzati, non danno luogo ad alcuna azione e non vengono sottoposti ad alcuno dei fornitori sopra elencati. Viene sottoposto ad analisi solo l'estratto pertinente di un messaggio rilevante — mai la casella di posta nel suo insieme.
Solo trattamento automatizzato. L'analisi sopra descritta è effettuata da agenti automatizzati. Il personale di Skillee non legge il contenuto dei Suoi messaggi, fatte salve le limitate eccezioni indicate nella sezione Uso limitato («Limited Use») riportata di seguito.
Nessun addestramento di modelli. Tutti i fornitori sopra elencati sono contrattualmente vincolati a non utilizzare i dati utente di Google per addestrare, sviluppare o migliorare modelli di intelligenza artificiale o di apprendimento automatico generalizzati o non personalizzati. Nemmeno Skillee utilizza tali dati per addestrare i propri modelli.
Nessun altro destinatario. Oltre ai fornitori sopra elencati, i dati utente di Google sono comunicati soltanto ove richiesto dalla legge applicabile o da un procedimento legale valido, oppure nell'ambito di una fusione o acquisizione che Le sia stata debitamente notificata in anticipo. Il fornitore di telefonia di Skillee e il suo fornitore di servizi di prenotazione degli appuntamenti non hanno accesso ai dati utente di Google.

Uso limitato dei dati utente di Google

L'uso e il trasferimento da parte di Skillee delle informazioni ricevute dalle API di Google rispettano le Norme relative ai dati utente dei servizi API di Google (Google API Services User Data Policy), compresi i requisiti di Uso limitato («Limited Use»).

In particolare, ci impegniamo a quanto segue:

Non trasferiamo a terzi i dati ottenuti tramite le autorizzazioni di Google, salvo quanto necessario per fornire o migliorare il servizio da Lei richiesto (si veda «Con chi condividiamo i dati utente di Google» sopra), per adempiere alla legge applicabile o nell'ambito di una fusione o acquisizione che Le sia stata debitamente notificata.
Non utilizziamo né trasferiamo tali dati a fini pubblicitari, di profilazione di marketing, di rivendita o di costituzione di banche dati commerciali.
Non utilizziamo tali dati per sviluppare, migliorare o addestrare modelli di intelligenza artificiale o di apprendimento automatico generalizzati o non personalizzati.
Non consentiamo a persone fisiche di leggere tali dati, salvo con il Suo previo consenso esplicito per messaggi specifici, ove necessario per finalità di sicurezza come l'indagine su un abuso o su un incidente di sicurezza, per adempiere alla legge applicabile, oppure ove i dati siano stati aggregati e anonimizzati per operazioni interne conformemente alla legge applicabile.

Articolo 7 — Periodi di conservazione

I dati sono conservati per i seguenti periodi:

Account Studio (utente professionale): per tutta la durata del contratto di servizio, quindi cancellazione entro un termine massimo di 30 giorni dalla cessazione del contratto, salvo obblighi legali di conservazione (fatturazione: 10 anni ai sensi del Codice di commercio francese, Code de commerce)
Dati provenienti dal modulo di contatto / dalla prenotazione di appuntamenti: 3 anni dall'ultimo contatto in assenza di un rapporto commerciale attivo
Dati provenienti dagli account Google e Microsoft collegati: per la durata dell'incarico per il quale sono stati raccolti, quindi cancellazione. I token OAuth sono cancellati immediatamente in caso di revoca dell'accesso o di chiusura dell'account
Log tecnici di connessione: 30 giorni
Log dei sistemi di IA ad alto rischio: 12 mesi (conformemente all'articolo 26.6 dell'AI Act, il Regolamento sull'IA)
Dati di fatturazione: 10 anni (Codice di commercio francese art. L.123-22)

Articolo 8 — Diritti degli interessati

Conformemente al GDPR e alla Legge francese sull'informatica e le libertà, come modificata, Lei dispone dei seguenti diritti sui Suoi dati personali:

Diritto di accesso (GDPR art. 15) — ottenere la conferma che i Suoi dati sono trattati e ottenerne una copia
Diritto di rettifica (GDPR art. 16) — ottenere la correzione di dati inesatti o incompleti
Diritto alla cancellazione (GDPR art. 17) — chiedere la cancellazione dei Suoi dati nei casi previsti dalla legge
Diritto di limitazione del trattamento (GDPR art. 18)
Diritto alla portabilità (GDPR art. 20) — ricevere i Suoi dati in un formato strutturato
Diritto di opposizione (GDPR art. 21) — opporsi al trattamento dei Suoi dati per motivi legittimi
Diritto di definire direttive relative alla sorte dei Suoi dati dopo il Suo decesso (Legge francese sull'informatica e le libertà art. 85)
Diritto di revocare il Suo consenso in qualsiasi momento qualora il trattamento sia fondato sul consenso, senza pregiudicare la liceità dei trattamenti precedenti

Per esercitare i Suoi diritti, può contattare il DPO di Skillee all'indirizzo rgpd@skillee.ai, oppure per posta all'indirizzo della sede legale. Skillee risponderà alla Sua richiesta entro un mese (prorogabile a tre mesi in funzione della complessità della richiesta, conformemente al GDPR).

Articolo 9 — Decisione automatizzata e profilazione

Per gli utenti professionali dello Studio (responsabili delle risorse umane, recruiter), nessuna decisione che produca effetti giuridici o che incida in modo significativo su di loro è adottata sulla base unicamente di un trattamento automatizzato.

Per i candidati trattati tramite gli agenti Skillee (Charlee, Julee, filtraggio dei CV dello Studio), intervengono trattamenti automatizzati nell'ambito del processo di selezione del datore di lavoro. Tali trattamenti sono descritti nell'informativa sulla privacy di ciascun datore di lavoro. Conformemente all'articolo 22 del GDPR, il candidato può chiedere al datore di lavoro l'intervento umano nell'adozione della decisione finale. Skillee ha predisposto fin dalla progettazione un meccanismo di supervisione umana obbligatoria (il datore di lavoro convalida le domande e i criteri prima di ogni colloquio e può modificare i punteggi prodotti dagli agenti IA), conformemente all'articolo 14 dell'AI Act.

Articolo 10 — Sicurezza

Skillee adotta misure tecniche e organizzative adeguate per garantire la sicurezza dei dati personali: cifratura dei dati in transito (almeno TLS 1.2) e a riposo (AES-256), autenticazione rafforzata per gli accessi degli amministratori, backup continui con ripristino automatico, monitoraggio degli accessi, gestione rigorosa dei diritti per profilo utente. L'elenco dettagliato delle misure di sicurezza è disponibile su richiesta nel Trust Center.

Articolo 11 — Reclami presso la CNIL

Se, dopo aver contattato Skillee, ritiene che i Suoi diritti sui Suoi dati personali non siano rispettati, può proporre reclamo alla Commission Nationale de l'Informatique et des Libertés (CNIL), l'autorità francese per la protezione dei dati:

Sito: www.cnil.fr/fr/plaintes
Indirizzo postale: 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

Articolo 12 — Modifiche dell'informativa

Skillee si riserva il diritto di modificare la presente informativa sulla privacy in qualsiasi momento per riflettere l'evoluzione dei propri servizi, dei responsabili del trattamento utilizzati o della normativa applicabile. Qualsiasi modifica sostanziale sarà portata a conoscenza degli utenti mediante notifica nello Studio o via e-mail con un preavviso ragionevole. La data dell'ultimo aggiornamento è indicata di seguito.

Ultimo aggiornamento: 9 settembre 2026