Informativa sulla Privacy

La presente Informativa sulla Privacy spiega come Medicalware S.r.l. ("Shortli", "noi") raccoglie, utilizza, condivide e protegge i dati personali quando si utilizza la nostra piattaforma SaaS per il recruiting. Ci impegniamo a proteggere la privacy degli utenti in conformità al Regolamento Generale sulla Protezione dei Dati (GDPR - Regolamento UE 2016/679) e alle leggi italiane applicabili in materia di protezione dei dati.

Il Titolare del Trattamento è: Medicalware S.r.l. Via della Ricerca Scientifica, Roma, Italia P.IVA: IT12651051000 Email: hello@shortli.ai Per i Dati dei Candidati caricati dagli Utenti, l'Utente è il Titolare del Trattamento e Shortli agisce come Responsabile del Trattamento.

Raccogliamo e trattiamo le seguenti categorie di dati personali: Dati dell'account: nome, indirizzo email, foto profilo (ottenuti tramite Google OAuth). Dati dei Candidati (caricati dagli Utenti): nome completo, email, numero di telefono, data di nascita, località, URL LinkedIn/GitHub, esperienza lavorativa, competenze, istruzione, lingue, informazioni retributive, disponibilità, preferenze lavorative, testo completo del CV e, se presenti al suo interno, codici identificativi come codice fiscale o IBAN. Dati dei Candidati derivati (generati dal Servizio): un Codice Candidato assegnato a ciascun CV all'interno dell'Organizzazione, una versione strutturata del CV ricostruita dall'intelligenza artificiale, Versioni Pseudonimizzate del file CV a due livelli (senza recapiti, foto e marchio della fonte; e in aggiunta senza il nome del candidato) e sintesi e valutazioni del candidato scritte dall'IA. Dati di fatturazione: tipo di soggetto fiscale, ragione sociale o nome e cognome, partita IVA, codice fiscale, codice SDI, PEC, indirizzo di fatturazione. I dati della carta di pagamento sono elaborati esclusivamente da Stripe e non vengono mai archiviati sui nostri server. Dati di utilizzo: operazioni API eseguite, utilizzo dei modelli IA (token consumati), query di ricerca, log di invio email (destinatario, oggetto, timestamp, stato), storico attività sui candidati. Dati tecnici: indirizzo IP, tipo di browser, informazioni sul dispositivo raccolte automaticamente durante l'accesso al Servizio.

Trattiamo i dati personali sulla base dei seguenti fondamenti giuridici: Esecuzione del contratto (Art. 6(1)(b) GDPR): trattamento necessario per fornire il Servizio, gestire l'account, elaborare i pagamenti e adempiere ai nostri obblighi contrattuali. Interesse legittimo (Art. 6(1)(f) GDPR): miglioramento del Servizio, prevenzione delle frodi, garanzia della sicurezza e invio di comunicazioni relative al servizio. Obbligo legale (Art. 6(1)(c) GDPR): conformità ai requisiti fiscali, contabili e di fatturazione ai sensi della legge italiana. Consenso (Art. 6(1)(a) GDPR): ove specificamente richiesto, come per i permessi email opzionali tramite OAuth.

Trattiamo i dati personali per le seguenti finalità: - Fornitura e mantenimento del Servizio - Autenticazione dell'utente e gestione dell'account - Analisi dei CV tramite intelligenza artificiale (estrazione metadati, identificazione competenze, matching candidati) - Generazione di Versioni Pseudonimizzate dei CV (rimozione di recapiti, foto e dati identificativi; sostituzione del nome con un Codice Candidato) per la condivisione con i clienti dell'Utente e altri destinatari esterni - Invio di email per conto degli Utenti ai candidati - Elaborazione dei pagamenti e gestione degli abbonamenti - Generazione e invio di fatture elettroniche (sistema SDI italiano) - Invio di notifiche di sistema (promemoria trial, avvisi di fatturazione, inviti al team) - Monitoraggio dell'utilizzo del servizio e applicazione dei limiti del piano - Miglioramento e sviluppo di nuove funzionalità

Per ogni CV caricato da un Utente, il Servizio genera automaticamente Versioni Pseudonimizzate destinate alla condivisione con destinatari esterni. Il testo del CV è elaborato dai modelli Anthropic Claude, che lo ricostruiscono in forma strutturata e individuano i recapiti; regole deterministiche rimuovono poi indirizzi email, numeri di telefono, indirizzi postali, data e luogo di nascita, link a profili social, codici identificativi, la foto, i metadati del documento e il marchio della fonte originale. Al livello superiore, anche il nome del candidato è sostituito dal Codice Candidato. I testi scritti dall'IA sul candidato (sintesi, punti di forza, classificazioni) sono filtrati con le stesse regole prima di essere salvati. Queste versioni sono pseudonimizzate, non anonimizzate: l'Utente conserva il collegamento tra il Codice Candidato e l'identità del candidato, quindi restano dati personali e sono protette allo stesso modo del CV originale. Il processo è automatizzato e best-effort: possono rimanere elementi identificativi residui, e l'Utente verifica il risultato prima di condividerlo. L'Utente decide, per ogni shortlist, quale livello comunicare a quale destinatario. Shortli non comunica mai i Dati dei Candidati a terzi di propria iniziativa. Le Versioni Pseudonimizzate e la versione strutturata ricostruita sono conservate insieme al CV originale, rigenerate quando vengono modificati il nome o i recapiti del candidato ed eliminate insieme al CV.

Condividiamo dati personali con i seguenti responsabili del trattamento terzi, ciascuno vincolato da accordi sul trattamento dei dati: Anthropic, LLC (USA): analisi del testo dei CV, classificazione candidati, elaborazione del linguaggio naturale, ricostruzione strutturata dei CV e rilevazione dei recapiti ai fini della pseudonimizzazione tramite modelli Claude AI. Google Cloud Platform (USA): archiviazione sicura dei file CV caricati e delle loro Versioni Pseudonimizzate; autenticazione tramite Google OAuth; invio email tramite Gmail API. Stripe, Inc. (USA): elaborazione pagamenti e gestione abbonamenti. Stripe è certificato PCI-DSS. Resend, Inc. (USA): consegna di email transazionali di sistema. MongoDB, Inc. (USA/UE): hosting del database tramite MongoDB Atlas. Vercel Inc. (USA): hosting del Servizio e del sito pubblico; misurazione delle visite e delle prestazioni del sito pubblico senza cookie (Vercel Web Analytics e Speed Insights), basata su dati aggregati che non identificano i singoli visitatori. Sentry (Functional Software, Inc., USA; dati conservati nell’UE): monitoraggio degli errori dell’applicazione. Le segnalazioni contengono solo dati tecnici (traccia dell’errore, pagina, browser), senza il contenuto delle richieste, i cookie o i dati dell’account.

The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements. Shortli requests only the https://www.googleapis.com/auth/gmail.send scope, which is send-only and grants no access to read, retrieve, or store Gmail messages or other Google user data. It is used solely to send emails on the user's behalf. Shortli does not use, transfer, or sell Google user data — raw, aggregated, or derived — to create, train, or improve foundational or generalized machine learning or artificial intelligence models. No Google user data is transferred to our third-party AI provider. Our AI features operate exclusively on recruiting data (job descriptions and candidate CVs) provided directly by users within Shortli.

Alcuni dei nostri responsabili del trattamento terzi sono situati negli Stati Uniti. Per questi trasferimenti, ci affidiamo a: - Clausole Contrattuali Standard (SCC) dell'UE approvate dalla Commissione Europea - Certificazione del responsabile del trattamento nell'ambito di framework riconosciuti - Misure tecniche e organizzative supplementari per garantire una protezione adeguata È possibile richiedere una copia delle garanzie di trasferimento applicabili contattandoci all'indirizzo hello@shortli.ai.

Dati dell'account attivo: conservati per la durata dell'account attivo e dell'Abbonamento. Dati cancellati: quando si eliminano elementi (CV, shortlist, descrizioni posizioni, clienti), vengono spostati nel cestino. I dati restano nel cestino fino a quando l'utente non li elimina definitivamente in modo manuale. Una volta eliminati definitivamente, i dati vengono rimossi dai nostri sistemi e non possono essere recuperati. Le Versioni Pseudonimizzate, il Codice Candidato e la versione strutturata ricostruita di un CV seguono il CV e vengono eliminati insieme a esso. Registri di fatturazione: conservati per 10 anni come richiesto dalla legge fiscale italiana. Log di utilizzo: conservati per 24 mesi per il miglioramento del servizio e la risoluzione di controversie. Prove finite senza abbonamento: i dati dell'organizzazione sono conservati 90 giorni dalla fine della prova e poi cancellati, con due avvisi via email al proprietario principale (14 e 3 giorni prima); gli account rimasti senza organizzazione vengono cancellati insieme. Puoi eliminare il tuo account dalle impostazioni dell'account o scrivendo a hello@shortli.ai. L'eliminazione avviene 7 giorni dopo la richiesta e fino ad allora si può annullare; dopo, tutti i dati personali associati vengono eliminati definitivamente, salvo dove la conservazione sia richiesta dalla legge (registri di fatturazione). Conserviamo un registro tecnico delle cancellazioni che contiene solo identificativi e, per 12 mesi, un'impronta con chiave (HMAC) dell'indirizzo email, usata solo per impedire una nuova prova gratuita con lo stesso indirizzo.

Ai sensi del GDPR, l'interessato ha i seguenti diritti riguardo ai propri dati personali: Diritto di accesso: ottenere conferma dell'esistenza del trattamento e riceverne una copia. Diritto di rettifica: correggere dati inesatti o incompleti. Diritto alla cancellazione: richiedere l'eliminazione dei dati personali quando non sono più necessari per le finalità per cui sono stati raccolti. Diritto alla portabilità: ricevere i propri dati in un formato strutturato e leggibile da dispositivo automatico. Diritto di limitazione: richiedere la limitazione del trattamento in determinate circostanze. Diritto di opposizione: opporsi al trattamento basato sull'interesse legittimo. Diritto di revoca del consenso: ove il trattamento sia basato sul consenso, revocarlo in qualsiasi momento senza pregiudicare il trattamento precedente. Diritto di reclamo: presentare un reclamo al Garante per la Protezione dei Dati Personali presso www.garanteprivacy.it. Per esercitare i propri diritti, contattarci all'indirizzo hello@shortli.ai. Risponderemo entro 30 giorni. Il diritto alla cancellazione si può esercitare anche direttamente, eliminando il proprio account dalle impostazioni dell'account.

Shortli utilizza esclusivamente cookie essenziali necessari per il funzionamento del Servizio: Cookie di sessione (next-auth.session-token): mantiene la sessione autenticata dell'utente. Si tratta di un cookie tecnico strettamente necessario per il Servizio. Cookie di lingua (NEXT_LOCALE): memorizza la preferenza linguistica dell'utente (inglese, italiano, tedesco, francese o spagnolo). Non utilizziamo cookie pubblicitari né cookie di tracciamento di terze parti. Sul sito pubblico misuriamo le visite e le prestazioni delle pagine con Vercel Web Analytics e Speed Insights, che non usano cookie e non identificano i singoli visitatori. Non è necessario alcun banner di consenso.

Implementiamo misure tecniche e organizzative adeguate per proteggere i dati personali, tra cui: - Crittografia dei dati in transito (TLS/HTTPS) - Autenticazione basata su OAuth (nessuna password memorizzata) - Sessioni basate su token JWT con scadenza e rotazione dei refresh token - Controlli di accesso e isolamento dei dati a livello di organizzazione - Verifica firmata dei webhook per l'elaborazione dei pagamenti - Monitoraggio regolare della sicurezza - Principio del privilegio minimo per gli account di servizio - Pseudonimizzazione dei CV condivisi con destinatari esterni (rimozione di recapiti, foto e, al livello superiore, del nome)

Il Servizio non è destinato all'uso da parte di persone di età inferiore a 16 anni. Non raccogliamo consapevolmente dati personali di minori. Se veniamo a conoscenza di aver raccolto dati di un minore di 16 anni, adotteremo provvedimenti per eliminarli tempestivamente.

Potremmo aggiornare la presente Informativa sulla Privacy di tanto in tanto. Le modifiche sostanziali saranno comunicate via email o tramite un avviso all'interno del Servizio almeno 30 giorni prima dell'entrata in vigore. La data di "Ultimo aggiornamento" in cima a questa pagina indica quando l'informativa è stata modificata l'ultima volta.

Per qualsiasi domanda o richiesta riguardante la presente Informativa sulla Privacy o i propri dati personali, contattarci a: Medicalware S.r.l. Via della Ricerca Scientifica, Roma, Italia P.IVA: IT12651051000 Email: hello@shortli.ai