Informativa sul trattamento dei dati personali

1. Chi tratta i dati

CyberAcademy Italia (cyberacademyitalia.it) è una piattaforma di formazione online di P3 Consulting OÜ, società registrata in Estonia (registro 17485467, VAT EE102977772), sede operativa in Via Giosuè Carducci 2, 20852 Villasanta (MB). Contatto per ogni questione sui dati personali: [email protected].

Il ruolo di P3 Consulting cambia a seconda di chi sei:

• Visitatore del sito o persona che ci scrive: P3 Consulting OÜ è titolare del trattamento.
• Dipendente o collaboratore di un'organizzazione cliente che segue i corsi: titolare è l'organizzazione che ti ha iscritto; P3 Consulting tratta i dati per suo conto come responsabile del trattamento (art. 28 GDPR), secondo l'accordo con l'organizzazione.
• Referente o amministratore di un'organizzazione cliente: P3 Consulting OÜ è titolare dei dati necessari a gestire il contratto.
• Discente di un ente partner che segue un nostro corso sulla piattaforma dell'ente: l'ente è titolare della formazione che eroga; P3 Consulting OÜ tratta come titolare autonomo l'identificativo e il nome del discente ricevuti dall'ente, al solo scopo di contabilizzare le fruizioni e fatturare all'ente.

Se sei utente di un'organizzazione cliente, per esercitare i tuoi diritti puoi rivolgerti alla tua organizzazione oppure a noi: inoltriamo la richiesta.

2. Quali dati trattiamo

Visitatori del sito pubblico. Indirizzo IP, data e ora, pagina richiesta e browser, registrati nei log del server web per sicurezza e diagnosi. Il sito non usa cookie di profilazione, strumenti di analisi o pixel pubblicitari.

Chi ci scrive. Nome, indirizzo email e contenuto del messaggio.

Utenti della piattaforma.

• dati inseriti dall'organizzazione: nome, email, ruolo, percorso assegnato;
• se l'organizzazione finanzia la formazione con un fondo interprofessionale: codice fiscale e numero di cellulare, richiesti dai tracciati del fondo;
• password, conservata solo come hash non reversibile, che nemmeno noi possiamo leggere;
• dati di formazione: moduli aperti, slide viste con data e ora, tempo di fruizione, tentativi del quiz, punteggio, data di superamento, codice dell'attestato;
• punti e posizione nella classifica interna, visibili ai colleghi della stessa organizzazione;
• email di servizio inviate: inviti, recupero password, promemoria.

Domande all'assistente Cybì. Le domande non vengono salvate. Cybì risponde con i contenuti del corso e non usa servizi di intelligenza artificiale esterni.

Discenti degli enti partner. Identificativo e nome inviati dalla piattaforma dell'ente, corso aperto, primo e ultimo accesso, numero di aperture, voto migliore, data di superamento.

Referenti delle organizzazioni clienti. Nome, email e dati del contratto.

3. Perché e su quale base giuridica

• Erogare i corsi, tracciare la fruizione, rilasciare gli attestati e produrre il registro per l'organizzazione: esecuzione del contratto con l'organizzazione cliente, che a sua volta adempie a obblighi di formazione previsti dalla legge (ad esempio D.Lgs. 138/2024, artt. 29 e 32 GDPR, art. 4 del Regolamento UE 2024/1689).
• Tracciati per i fondi interprofessionali (codice fiscale, cellulare, registro degli accessi): obbligo di rendicontazione dell'organizzazione verso il fondo.
• Email di servizio (inviti, recupero password, promemoria di scadenza): esecuzione del servizio.
• Fatturazione agli enti partner in base ai discenti: esecuzione del contratto con l'ente e obblighi contabili.
• Sicurezza della piattaforma (log del server, blocco temporaneo degli indirizzi che tentano attacchi): legittimo interesse a proteggere il servizio e i dati degli utenti.
• Rispondere a chi ci scrive: misure precontrattuali adottate su richiesta dell'interessato.

4. Pagina pubblica di verifica degli attestati

Ogni attestato ha un codice univoco e una pagina di verifica pubblica, raggiungibile solo da chi conosce il codice. La pagina mostra il nome della persona, il modulo superato e la data; non mostra ruolo, azienda né altri dati. Chi condivide l'attestato, ad esempio su LinkedIn, rende visibile quella pagina a chi lo riceve. La pagina è esclusa dai motori di ricerca.

5. Cookie

La piattaforma usa solo cookie tecnici di sessione, necessari per restare collegati: durano al massimo 7 giorni, non sono leggibili da script e non servono a profilare. Per i cookie tecnici non serve il consenso (art. 122 del Codice privacy). Non usiamo cookie di terze parti per analisi o pubblicità.

6. Chi riceve i dati

I dati non vengono venduti né usati per pubblicità. Li trattano per nostro conto, come responsabili, solo i fornitori necessari al servizio:

• Cloudflare, Inc.: rete di distribuzione e protezione del traffico, che vede il traffico in transito compresi gli indirizzi IP. Il trasferimento verso gli Stati Uniti si basa sulla certificazione di Cloudflare al Data Privacy Framework UE-USA e, in subordine, sulle clausole contrattuali standard della Commissione europea.
• Register.it: invio delle email di servizio dalla casella [email protected].

I dati della piattaforma sono conservati su un server gestito da P3 Consulting in Italia. L'organizzazione cliente vede i dati di formazione dei propri utenti (registro, tracciati, attestati); l'ente partner vede sulla propria piattaforma il voto dei corsi che eroga.

7. Per quanto tempo

• Log del server web: 14 giorni, poi cancellati automaticamente.
• Blocco degli indirizzi IP sospetti: 24 ore.
• Collegamenti di invito e di recupero password: valgono una volta sola e scadono; vengono cancellati con l'utente.
• Account, dati di formazione e attestati: per la durata del contratto con l'organizzazione. Alla fine del contratto li consegniamo all'organizzazione in formato CSV e li cancelliamo entro 90 giorni, salvo diversa istruzione scritta dell'organizzazione titolare.
• Registro dei discenti degli enti partner: per il tempo necessario alla fatturazione e alla conservazione delle scritture contabili previsto dalla legge.
• Email ricevute: fino a 24 mesi dall'ultimo contatto, salvo che servano per un contratto in corso.

Quando un'organizzazione elimina un utente, la piattaforma cancella anche i suoi progressi, il tracciamento delle slide, gli inviti e i promemoria. Quando si chiude un'organizzazione, vengono cancellati tutti i suoi utenti con i relativi dati.

8. Sicurezza

Connessioni cifrate (TLS 1.2 o superiore), password conservate solo come hash, sessioni firmate che si chiudono al cambio della password, separazione dei dati tra organizzazioni, blocco automatico degli indirizzi che tentano attacchi. A ottobre 2026 la piattaforma è stata sottoposta a una verifica di sicurezza indipendente.

9. I tuoi diritti

Puoi chiedere l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento e la portabilità, e puoi opporti al trattamento basato sul legittimo interesse (artt. 15-22 GDPR), scrivendo a [email protected]. Se sei utente di un'organizzazione cliente, puoi rivolgerti anche alla tua organizzazione.

Puoi proporre reclamo all'autorità di controllo dello Stato in cui risiedi o lavori, in Italia il Garante per la protezione dei dati personali, oppure a quella dello Stato in cui ha sede il titolare, in Estonia l'Andmekaitse Inspektsioon (art. 77 GDPR).

10. Modifiche

Aggiorniamo questa informativa quando cambia il servizio; la data in alto indica l'ultima modifica.