1. Titolare del trattamento
Titolare del trattamento dei dati personali raccolti tramite la Piattaforma Consultiverso è Focal SRL, con sede in Via Santa Lucia 135, 37059 Zevio (VR), P.IVA/C.F. 04908420237 (di seguito, il "Titolare").
Per qualsiasi comunicazione relativa alla presente informativa o all'esercizio dei diritti previsti dagli articoli 15-22 del Regolamento (UE) 2016/679 ("GDPR"), è possibile scrivere all'indirizzo info.focalsrl@gmail.com.
Il Titolare non è tenuto per legge alla nomina di un Data Protection Officer (DPO) ai sensi dell'art. 37 GDPR.
2. Ambito della presente informativa
La presente informativa descrive il trattamento dei dati personali effettuato dal Titolare nell'ambito del servizio Consultiverso, un motore di ricerca semantico che consente agli utenti di individuare consulenti professionali (di seguito, "Consulenti") in base a un'esigenza descritta in linguaggio naturale.
L'informativa è rivolta a due distinte categorie di interessati:
- gli utenti che accedono alla Piattaforma per effettuare ricerche ("Utenti");
- i Consulenti i cui profili sono indicizzati sulla Piattaforma, sia mediante iscrizione volontaria sia a partire da fonti pubbliche.
L'utilizzo della Piattaforma implica la presa visione della presente informativa.
3. Dati trattati — Utenti
In relazione agli Utenti che accedono alla Piattaforma, il Titolare tratta:
- il testo delle interrogazioni di ricerca inserite ("query") e i filtri applicati (ad esempio, la città);
- dati tecnici e di navigazione (indirizzo IP, user-agent, timestamp) trattati per finalità di sicurezza, analisi aggregata e prevenzione di abusi;
- in caso di invio del modulo di iscrizione come Consulente, i dati indicati al paragrafo successivo.
Il Titolare non richiede la creazione di un account né la registrazione per effettuare ricerche. L'utilizzo di identificatori (ad esempio, un identificativo di sessione) può avvenire per collegare una specifica interazione (ricerca + click) al fine di misurare la qualità del servizio, senza costruire profili identificativi dell'Utente.
4. Dati trattati — Consulenti
In relazione ai Consulenti, il Titolare tratta esclusivamente dati riferiti all'attività professionale, tra cui:
- nome e cognome (o denominazione dello studio);
- sede o città di riferimento;
- aree di competenza e tipologia di consulenza offerta;
- recapiti professionali (email, sito web, URL del profilo LinkedIn se fornito);
- descrizione del profilo o headline, quando comunicata o pubblicata su fonti pubbliche;
- rappresentazione vettoriale ("embedding") del testo estratto dal profilo, utilizzata per le funzionalità di ricerca semantica (cfr. paragrafo 7).
Il Titolare non tratta categorie particolari di dati personali ai sensi dell'art. 9 GDPR (dati relativi a salute, orientamento sessuale, opinioni politiche, ecc.) né dati relativi a condanne penali o reati.
I dati sono limitati a quanto strettamente necessario alla finalità del servizio, in coerenza con il principio di minimizzazione (art. 5, par. 1, lett. c, GDPR). In particolare, il Titolare non memorizza copie integrali dei siti dei Consulenti, ma solo un insieme minimo di metadati e la rappresentazione vettoriale del testo rilevante, unitamente al link alla fonte originale.
5. Modalità di raccolta
I dati dei Consulenti sono raccolti secondo due modalità distinte, chiaramente segnalate in ciascun profilo:
- Iscrizione volontaria ("opt-in"): il Consulente inserisce direttamente le proprie informazioni tramite il modulo pubblicato all'indirizzo /iscriviti. In questo caso i dati sono forniti dall'interessato.
- Indicizzazione da fonti pubbliche: il Titolare può indicizzare informazioni professionali pubblicamente disponibili (siti web dei singoli professionisti, albi professionali, elenchi telefonici pubblici). In questo caso i dati non sono raccolti direttamente presso l'interessato e si applica la disciplina di cui all'art. 14 GDPR (cfr. paragrafo 12).
Il sistema di indicizzazione rispetta le indicazioni tecniche contenute nei file robots.txt dei siti visitati, non aggira misure di protezione tecnica e limita la raccolta ai contenuti pubblicamente accessibili e strettamente pertinenti al servizio.
6. Finalità del trattamento e basi giuridiche
Il Titolare tratta i dati personali per le seguenti finalità e sulla base delle seguenti basi giuridiche:
- erogazione del servizio di ricerca semantica di Consulenti (esecuzione del servizio richiesto dall'Utente, art. 6, par. 1, lett. b, GDPR);
- indicizzazione dei profili dei Consulenti a partire da dati professionali pubblicamente disponibili, per costruire un registro pubblico consultabile (legittimo interesse del Titolare a offrire un motore di ricerca specializzato e a facilitare l'incontro tra domanda e offerta professionale, art. 6, par. 1, lett. f, GDPR);
- gestione delle iscrizioni volontarie da parte dei Consulenti (esecuzione del rapporto precontrattuale/contrattuale con il Consulente iscritto, art. 6, par. 1, lett. b, GDPR);
- gestione delle richieste di rimozione, rettifica o opposizione ricevute dagli interessati (adempimento a obblighi di legge, art. 6, par. 1, lett. c, GDPR, in combinato disposto con gli artt. 16, 17 e 21 GDPR);
- sicurezza del servizio, prevenzione degli abusi e diagnosi dei malfunzionamenti (legittimo interesse del Titolare alla tutela del proprio sistema informatico e alla protezione degli interessati, art. 6, par. 1, lett. f, GDPR);
- miglioramento del servizio mediante analisi aggregate e non identificanti delle interazioni con la Piattaforma (legittimo interesse del Titolare, art. 6, par. 1, lett. f, GDPR).
7. Trattamento degli embedding vettoriali
Al fine di consentire la ricerca semantica, il Titolare genera una rappresentazione numerica ("embedding") del testo estratto dal profilo di ciascun Consulente e del testo delle interrogazioni degli Utenti. L'embedding è un vettore di numeri in uno spazio a molte dimensioni che riflette il significato del testo di origine.
Il Titolare informa gli interessati che, sebbene l'embedding sia una rappresentazione matematica, esso è considerato un dato personale ai sensi dell'art. 4, punto 1, GDPR nella misura in cui:
- è associato, nella base dati del Titolare, all'identità del Consulente cui il testo di origine si riferisce;
- è utilizzato per identificare, recuperare e ordinare quel Consulente in risposta a un'interrogazione dell'Utente.
Il Titolare tratta l'embedding sulla base delle medesime basi giuridiche indicate al paragrafo 6, in particolare del legittimo interesse alla fornitura di un motore di ricerca semantico. La generazione dell'embedding può avvenire attraverso un modello di intelligenza artificiale fornito da un provider terzo (cfr. paragrafo 9).
Il testo di origine può essere conservato temporaneamente per finalità di controllo qualità e diagnostica e, in coerenza con il principio di minimizzazione, cancellato quando non più necessario. L'embedding continua ad essere trattato per la durata di conservazione del profilo del Consulente cui si riferisce.
8. Tempi di conservazione
Il Titolare conserva i dati personali per il tempo strettamente necessario alle finalità per cui sono stati raccolti, secondo i seguenti criteri:
- dati dei Consulenti (opt-in): fino alla richiesta di cancellazione o comunque fino al venir meno della finalità dell'indicizzazione;
- dati dei Consulenti (indicizzazione da fonti pubbliche): fino alla richiesta di rimozione, alla scomparsa della fonte originale, o all'accertamento che le informazioni non sono più pertinenti;
- URL oggetto di richieste di rimozione (blocklist): conservazione a tempo indeterminato, al solo fine di prevenire la reindicizzazione automatica dello stesso URL;
- query di ricerca e log di navigazione: 12 mesi in forma identificabile, poi anonimizzazione o cancellazione;
- dati tecnici di sicurezza (log di accesso e diagnostica): fino a 12 mesi, salvo esigenze di accertamento in relazione a incidenti di sicurezza.
Trascorsi i termini indicati, i dati sono cancellati o resi anonimi in modo irreversibile, salvi obblighi di conservazione imposti dalla legge.
9. Comunicazione a terzi e trasferimenti extra-UE
Il Titolare può comunicare i dati personali ai seguenti soggetti, agendo essi in qualità di responsabili del trattamento ai sensi dell'art. 28 GDPR:
- fornitori di infrastruttura cloud e database (in particolare Supabase, per l'ospitamento della base dati);
- fornitori di servizi di intelligenza artificiale (in particolare OpenAI, per la generazione degli embedding e per il servizio di elaborazione del linguaggio naturale utilizzato nelle ricerche);
- fornitori di servizi di ricerca web (in particolare Brave Search) utilizzati esclusivamente per l'individuazione delle fonti pubbliche;
- eventuali fornitori di servizi email transazionali, quando il Titolare invii comunicazioni relative all'iscrizione, alla rettifica o alla rimozione dei profili.
Alcuni di questi fornitori possono trattare i dati al di fuori dello Spazio Economico Europeo, in particolare negli Stati Uniti d'America. In tali casi il Titolare si avvale delle garanzie previste dagli articoli 45-46 GDPR, tra cui, in via non esclusiva:
- le decisioni di adeguatezza adottate dalla Commissione europea (ove applicabili, ad esempio il EU-U.S. Data Privacy Framework);
- le Clausole Contrattuali Tipo (Standard Contractual Clauses) approvate con Decisione di esecuzione (UE) 2021/914;
- misure supplementari tecniche e organizzative valutate caso per caso.
L'elenco aggiornato dei responsabili del trattamento e delle relative garanzie di trasferimento è disponibile su richiesta all'indirizzo {{CONTACT_EMAIL}}.
10. Misure di sicurezza
Ai sensi dell'art. 32 GDPR, il Titolare adotta misure tecniche e organizzative appropriate al rischio, tra cui:
- cifratura dei dati in transito (TLS) e a riposo, ove supportata dal fornitore infrastrutturale;
- controllo degli accessi al database mediante credenziali dedicate e ruoli con privilegi minimi;
- protezione dell'area amministrativa mediante autenticazione HTTP Basic con password (soluzione provvisoria; l'area sarà progressivamente migrata a un meccanismo di autenticazione più robusto);
- registrazione degli accessi e delle operazioni di scrittura sulla base dati;
- backup periodici gestiti dal fornitore infrastrutturale;
- processi di aggiornamento della base dati e cancellazione dei dati non più necessari.
Il Titolare valuta periodicamente l'adeguatezza delle misure adottate rispetto all'evoluzione delle minacce e alle indicazioni delle autorità competenti.
11. Diritti degli interessati
Gli interessati, siano essi Utenti o Consulenti, possono esercitare in qualsiasi momento i diritti previsti dagli articoli 15-22 GDPR, tra cui:
- diritto di accesso ai propri dati personali (art. 15);
- diritto di rettifica dei dati inesatti o incompleti (art. 16);
- diritto alla cancellazione dei dati ("diritto all'oblio"), nei casi previsti dall'art. 17;
- diritto alla limitazione del trattamento (art. 18);
- diritto alla portabilità dei dati forniti dall'interessato (art. 20), ove applicabile;
- diritto di opposizione al trattamento fondato sul legittimo interesse (art. 21);
- diritto di non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o incida in modo analogo significativamente sulla persona (art. 22).
Le richieste possono essere inoltrate scrivendo a {{CONTACT_EMAIL}} o, per la sola cancellazione del profilo di un Consulente, utilizzando la procedura semplificata disponibile all'indirizzo /rimuovi.
Il Titolare risponde alle richieste degli interessati entro i termini previsti dall'art. 12, par. 3, GDPR (di norma un mese, prorogabile di ulteriori due in casi complessi).
12. Informativa ai Consulenti non iscritti volontariamente
Poiché una parte dei profili è costituita a partire da dati pubblicamente disponibili e non forniti direttamente dagli interessati, si applica l'art. 14 GDPR.
Il Titolare, valutata la circostanza che l'indicizzazione riguarda un numero elevato di Consulenti e che la fornitura di un'informativa individuale a ciascuno di essi richiederebbe uno sforzo sproporzionato, si avvale della deroga prevista dall'art. 14, par. 5, lett. b, GDPR. In luogo dell'informativa individuale, il Titolare rende pubblica la presente informativa, unitamente:
- a un chiaro indicatore, presente su ciascun profilo indicizzato, che segnala la provenienza da fonti pubbliche;
- a un link diretto alla procedura di rimozione (cfr. articolo 6 dei Termini e /rimuovi);
- alla possibilità di contattare il Titolare per l'esercizio dei diritti indicati al paragrafo 11.
Il ricorso alla deroga di cui all'art. 14, par. 5, lett. b, GDPR è oggetto di specifica documentazione interna, aggiornata periodicamente.
13. Uso di sistemi di intelligenza artificiale
La Piattaforma utilizza modelli di intelligenza artificiale per:
- generare gli embedding necessari alla ricerca semantica (paragrafo 7);
- interpretare in modo strutturato le interrogazioni degli Utenti (ad esempio individuando la città o il tipo di consulente richiesto);
- ordinare i risultati di ricerca sulla base di una combinazione di segnali testuali e semantici.
L'attività di raccomandazione svolta dalla Piattaforma non attribuisce punteggi ai Consulenti né elabora valutazioni reputazionali. Il ranking rispecchia esclusivamente la vicinanza semantica del profilo alla richiesta dell'Utente, integrata da segnali di corrispondenza testuale.
Il Titolare non assume decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o comparabilmente significativi nei confronti dei Consulenti. In particolare, la mancata comparsa di un Consulente tra i risultati di una specifica ricerca è conseguenza delle caratteristiche della richiesta dell'Utente e non incide sui diritti del Consulente al di fuori della singola interazione.
Il Titolare monitora, per quanto tecnicamente possibile, l'assenza di distorsioni sistematiche e valuta periodicamente l'evoluzione degli obblighi di trasparenza e governance previsti dal Regolamento (UE) 2024/1689 ("AI Act"), in coerenza con la natura del servizio erogato.
14. Reclamo all'autorità di controllo
Fermo restando ogni altro ricorso amministrativo o giurisdizionale, l'interessato che ritenga che il trattamento dei propri dati personali violi il GDPR ha il diritto di proporre reclamo all'autorità di controllo competente.
In Italia l'autorità di controllo è il Garante per la Protezione dei Dati Personali, con sede in Piazza Venezia 11, 00187 Roma. Modalità e recapiti per la presentazione dei reclami sono disponibili sul sito www.garanteprivacy.it.
16. Aggiornamenti della presente informativa
Il Titolare può aggiornare la presente informativa per adeguarla alle evoluzioni del servizio, alle indicazioni delle autorità o alle modifiche normative. La versione vigente è sempre disponibile all'indirizzo /privacy, unitamente alla data di ultimo aggiornamento.
In caso di modifiche sostanziali, il Titolare si impegna a fornire un'evidenza chiara della variazione, anche mediante un avviso sulla Piattaforma.