Come usiamo i tuoi dati, in chiaro.

Chi tratta i tuoi dati

Il titolare del trattamento è [Ragione sociale], che gestisce il marchio e il sito Pharos People.

Sede

[Sede legale]

Partita IVA

[P.IVA]

PEC

[PEC]

Email privacy

[email privacy]

DPO

[Nome e contatti del responsabile della protezione dei dati, se nominato]

[Da decidere: nomina del DPO. Con dati sulla salute trattati su larga scala come attività principale la nomina è probabilmente obbligatoria (art. 37 GDPR).]

Chi decide cosa: noi, i professionisti, le aziende

Pharos People mette in contatto le persone con professionisti indipendenti. Per questo i dati non sono tutti “nostri”.

• Pharos People decide come trattare i dati dell'account, del questionario, delle prenotazioni, dei pagamenti, delle recensioni e dell'assistenza. Qui siamo titolari.
• Il professionista che scegli (psicologo, avvocato, consulente del lavoro, coach, professionista HR, mentor) decide sui dati che raccoglie durante la prestazione: quello che racconti, le sue note, il consenso informato, i documenti che gli dai. Qui è lui il titolare, con il suo segreto professionale.
• Gli strumenti che usate insieme (videochiamata, messaggi, agenda, archivio dei documenti) li forniamo noi. Per i dati che passano da lì trattiamo per conto del professionista, come responsabile del trattamento.
• La tua azienda, se ti offre un servizio, è titolare dei dati che ha già su di te come datore di lavoro. Da noi riceve solo numeri complessivi: vedi la sezione Dipendenti.
• Partner, compagnie, banche e fondi sono titolari dei loro dati. Quello che ci scambiamo è scritto nelle sezioni Partner e Protezione Carriera.

[Da decidere con il legale: ruoli definitivi tra Pharos People, professionisti e aziende clienti. Per psicologi e avvocati: titolari autonomi per la prestazione e Pharos People responsabile (art. 28 GDPR) per gli strumenti, oppure un'altra soluzione. Per lo sportello e l'indagine sul benessere: Pharos People titolare autonomo o responsabile per l'azienda. Serve un accordo scritto con ogni professionista e con ogni azienda.]

Da dove arrivano i dati, e quali sono obbligatori

Quasi tutti i dati ce li dai tu, nei moduli e nella tua area. Alcuni arrivano da altri:

• dalla tua azienda, se ti offre un servizio: il codice azienda per entrare [e, se previsto dall'accordo, l'indirizzo per l'invito];
• dalla compagnia, banca o fondo che ti ha dato un codice di Protezione Carriera: i dati per verificare la copertura;
• da Google, LinkedIn o dal sistema di accesso della tua azienda, se entri con loro: nome, email [e foto del profilo];
• dai candidati manager, che ci indicano le loro referenze: nome, ruolo, azienda e contatto della referenza;
• da albi e registri pubblici, per verificare i professionisti.

Nei moduli i campi facoltativi sono segnati. Gli altri servono per darti il servizio o per obblighi di legge (per esempio il codice fiscale per la ricevuta): senza, non possiamo prenotare, rispondere o pagarti.

Se prenoti una seduta o un percorso

Vale per chi usa il sito come persona: questionario, prenotazioni, percorsi, mentoring, area riservata.

Account e accesso

Quali dati

Nome, cognome, email. Telefono e codice fiscale, se li aggiungi. Dati di accesso: data, ora, dispositivo.

Perché

Crearti l'area riservata, farti entrare con un link via email, proteggere l'account.

Base giuridica

Contratto (art. 6.1.b GDPR). Per la sicurezza, il nostro legittimo interesse (art. 6.1.f).

Per quanto

Finché hai l'account. Dopo la cancellazione, entro 30 giorni, salvo i documenti fiscali.

Questionario

Quali dati

La tua situazione (per esempio “ho perso il lavoro”), l'obiettivo, il settore, il ruolo, lo stato di pensione, le preferenze su lingua, orari e professionista.

Perché

Proporti i professionisti più adatti e preparare il primo incontro.

Base giuridica

Misure precontrattuali e contratto (art. 6.1.b). Se le risposte dicono qualcosa sulla tua salute, il tuo consenso esplicito: vedi Dati sulla salute.

Per quanto

[12 mesi] dall'ultima prestazione. Se premi “Salva e continua dopo”, le risposte restano anche nel tuo browser per 30 giorni: vedi l'informativa cookie.

Prenotazioni, pagamenti e documenti

Quali dati

Servizio, professionista, data e ora, importi. Codice fiscale per la ricevuta. Ragione sociale, partita IVA e codice SDI o PEC, se paga un'azienda. Recesso e rimborsi.

Carta e wallet

I dati della carta li inserisci nei campi di Stripe: noi non vediamo il numero. Con PayPal, Apple Pay, Google Pay o Satispay confermi dal loro servizio.

Perché

Fissare la seduta, incassare e girare la parte al professionista, emettere i documenti, gestire disdette, recesso e rimborsi.

Base giuridica

Contratto (art. 6.1.b) e obblighi di legge, fiscali e del Codice del consumo (art. 6.1.c).

Per quanto

Fatture, ricevute e scritture contabili: 10 anni, come chiede la legge. Il resto: [24 mesi] dall'ultima prestazione.

Messaggi, recensioni e assistenza

Quali dati

Messaggi con il professionista e con noi, segnalazioni, recensioni e voti.

Perché

Assisterti. Pubblicare recensioni verificate: solo da chi ha fatto la seduta. Per psicologi e avvocati pubblichiamo solo voti medi, senza testo.

Base giuridica

Contratto (art. 6.1.b). La richiesta di recensione, 24 ore dopo la seduta, la mandiamo solo se non l'hai disattivata nella tua area.

Per quanto

Messaggi: [12 mesi] dall'ultima prestazione. Recensioni: finché il profilo del professionista è online, senza il tuo nome completo.

La lettera di Pharos People

Quali dati

Email e la data in cui hai detto sì.

Perché

Novità e contenuti, una volta al mese.

Base giuridica

Il tuo consenso (art. 6.1.a). È facoltativo e lo togli quando vuoi: dalla tua area o dal link in fondo a ogni email.

Per quanto

Finché non revochi il consenso.

Come scegliamo chi proporti. L'ordine dei professionisti segue regole pubbliche: come ordiniamo i professionisti. Non prendiamo decisioni solo automatiche che abbiano effetti giuridici su di te (art. 22 GDPR): il professionista lo scegli tu. Non usiamo i tuoi dati per pubblicità di altri e non li vendiamo.

Dati sulla salute e altri dati particolari

Alcune informazioni dicono qualcosa sulla tua salute: per esempio che cerchi uno psicologo, o la situazione che descrivi prima di un colloquio. Per la legge sono dati particolari (art. 9 GDPR). Li trattiamo solo con regole in più.

• Ti chiediamo un consenso esplicito, a parte (art. 9.2.a GDPR). Non è nascosto nei termini e non è mai già spuntato. Lo chiediamo prima delle domande sulla tua situazione e, se non l'hai già dato, prima di prenotare con uno psicologo. Se sei un dipendente, prima del tuo primo colloquio dello sportello psicologico.
• Puoi non darlo. Salti le domande sulla situazione e scegli tu il professionista dall'elenco. Senza consenso, però, non possiamo organizzare dal sito una seduta con lo psicologo.
• Puoi revocarlo quando vuoi, dalla sezione Privacy della tua area. La revoca vale da subito e non tocca quello che è già stato fatto.
• Chi lo vede: il sistema che ti propone i profili, il professionista che scegli e le poche persone del nostro team che organizzano le sedute. Chi si occupa di vendite non lo vede. Ogni accesso viene registrato.
• Cosa chiediamo: il tipo di situazione, non i dettagli. I dettagli li racconti solo al professionista.
• Per quanto: [12 mesi] dall'ultima prestazione, poi li cancelliamo.

Con lo psicologo

• Prima della prima prestazione lo psicologo ti chiede il consenso informato: è un obbligo della sua professione. I dati della seduta li tratta lui, per finalità di cura (art. 9.2.h GDPR), con il segreto professionale.
• Le sedute di supporto psicologico non vengono mai registrate. La chat della videochiamata si cancella a fine chiamata.
• Di norma lo psicologo comunica la spesa al Sistema Tessera Sanitaria con il tuo codice fiscale, per la dichiarazione precompilata. Al momento della prenotazione puoi opporti con una casella apposita.
• Nei promemoria e nei file per il calendario la seduta compare solo come “Appuntamento · Pharos People”, senza servizio né nome.

Consulenze legali. Quello che racconti all'avvocato è coperto dal segreto professionale. Noi vediamo solo i dati della prenotazione.

[Da verificare con il legale: base giuridica del trattamento della prenotazione con lo psicologo da parte di Pharos People (consenso esplicito, come impostato ora, oppure trattamento per conto dello psicologo) e valutazione d'impatto (DPIA, art. 35 GDPR), che per questi dati va fatta prima del lancio.]

Aziende clienti

Vale per i referenti delle aziende che chiedono l'analisi gratuita, firmano un incarico o attivano servizi per i dipendenti, e per chi usa l'area azienda.

Quali dati

Nome, ruolo, email di lavoro e telefono del referente. Le risposte dell'analisi: momento dell'azienda, numero di persone, figura cercata, tempi, settore, descrizione. Utenti dell'area azienda e loro permessi. Contratti, schede incarico, report, fatture, comunicazioni.

Perché

Organizzare l'analisi, scrivere il piano, gestire contratto, garanzia di sostituzione e fatture.

Base giuridica

Misure precontrattuali e contratto (art. 6.1.b). Obblighi fiscali (art. 6.1.c). Per ricontattarvi su un'analisi rimasta senza seguito, il nostro legittimo interesse (art. 6.1.f): potete opporvi quando volete.

Per quanto

Richieste senza seguito: [24 mesi]. Contratti e fatture: 10 anni dalla fine del rapporto.

Dipendenti delle aziende clienti

La tua azienda può offrirti alcuni servizi: lo sportello psicologico, un percorso di coaching o di mentoring, una giornata con il team, l'indagine sul benessere. Il tuo account è personale e l'azienda non lo gestisce.

Sportello psicologico

L'azienda vede solo il numero totale di colloqui del mese e quelli ancora disponibili, per la fattura. Non vede il tuo nome, se usi il servizio, le date, chi hai scelto, i temi, i voti. Niente dati per reparto.

Coaching e mentoring proposti dall'azienda

L'azienda vede che partecipi, l'obiettivo concordato e quanti incontri hai fatto. Non vede cosa dici negli incontri né le note del coach o del mentor.

Giornata con il team

Chi la organizza in azienda sa chi partecipa e le decisioni prese insieme dal gruppo.

Indagine sul benessere

Questionario facoltativo. L'azienda riceve solo risultati di gruppo, mai le risposte di una persona e nemmeno chi ha risposto, e solo per gruppi di almeno 10 persone.

Quali dati

Nome, email personale (ti scriviamo lì, con oggetto neutro), codice dell'azienda, prenotazioni, foto del profilo se la carichi. Per lo sportello valgono le regole dei dati sulla salute.

Base giuridica

Contratto tra noi e l'azienda e il tuo uso volontario del servizio (art. 6.1.b). Per lo sportello, il tuo consenso esplicito (art. 9.2.a), che ti chiediamo prima del primo colloquio.

Per quanto

Come per le persone. Se cancelli l'account, l'azienda non viene avvisata.

Non diamo all'azienda informazioni che servano a valutarti o a controllarti sul lavoro.

[Da verificare con il legale: regole sul controllo dei lavoratori (art. 4 e 8 della legge 300/1970, art. 113-114 Codice privacy), soglia minima di 10 persone, come rendere davvero anonime le risposte dell'indagine (oggi si compila dall'area personale) e base giuridica dei servizi assegnati dall'azienda.]

Candidati: professionisti e manager

Vale per chi si candida da Lavora con noi o alla rete dei manager.

Professionisti

Professione, nome, email, anni di esperienza, partita IVA, certificazioni, iscrizione all'albo, profilo LinkedIn e curriculum, se li aggiungi.

Manager

Nome, email, ruolo, anni di esperienza e con team o conto economico, disponibilità, regioni, stato di pensione, due referenze, partita IVA, LinkedIn e curriculum.

Verifica

Documento d'identità, titoli, iscrizione all'albo dove serve, polizza di responsabilità civile. Per i manager anche il caso pratico e il parere delle referenze.

Perché

Valutare la candidatura, verificare i requisiti, fare il colloquio e risponderti in ogni caso.

Base giuridica

Misure precontrattuali chieste da te (art. 6.1.b). Lo stato di pensione ci serve per non proporti incarichi che la legge non ti permette.

Per quanto

Se non entri: [12 mesi] dall'esito, poi cancelliamo. Se entri: vedi la sezione successiva.

Referenze. Se ci dai il nome di una referenza, informala che la contatteremo. Useremo i suoi dati solo per sentirla su di te e li cancelliamo con la tua candidatura.

Nel curriculum non serve indicare dati sulla salute, foto o altri dati particolari: se ci sono, non li usiamo.

Professionisti e manager nella rete

Quali dati

Dati della candidatura e della verifica. Profilo pubblico: nome, foto se la carichi, livello di esperienza, albo e numero di iscrizione, recensioni. Agenda, sedute, presenze e assenze. Dati fiscali e del conto per i pagamenti, gestiti con Stripe Connect.

Perché

Mostrarti ai clienti, organizzare sedute e incarichi, pagarti, applicare le regole scritte (puntualità, polizza valida).

Base giuridica

Contratto (art. 6.1.b). Obblighi di legge (art. 6.1.c): fiscali e comunicazione annuale DAC7 dei compensi all'Agenzia delle Entrate (d.lgs. 32/2023).

Per quanto

Per la durata del rapporto. Dopo: dati contabili e DAC7 per 10 anni, il resto entro [12 mesi].

Puoi scaricare una copia dei tuoi dati o chiedere la chiusura del profilo dalla tua area, con 30 giorni di preavviso. Cosa vedi tu dei dati dei clienti e cosa vediamo noi è scritto nei termini per professionisti e manager.

Partner per le PMI e partner assicurativi

Partner per le PMI

Ragione sociale, area, sito, nome, ruolo, email e telefono del referente, zone servite, offerta. Li usiamo per valutare la candidatura e gestire l'accordo. All'azienda che chiede il contatto passiamo il referente e il bisogno scritto. Tra noi e il partner solo numeri complessivi: mai dati dei dipendenti.

Compagnie, banche e fondi

Per Protezione Carriera: ente, tipo, prodotto, numero indicativo di assicurati ed email di lavoro di chi chiede il pilota. Poi i dati dei referenti dell'accordo.

Base giuridica

Misure precontrattuali e contratto (art. 6.1.b). Per i referenti, il legittimo interesse a gestire il rapporto con il loro ente (art. 6.1.f).

Per quanto

Richieste senza seguito: [24 mesi]. Accordi: 10 anni dalla fine.

Se attivi Protezione Carriera

Hai un codice dalla tua compagnia, banca o fondo? Per attivarlo ci dai il codice e il codice fiscale o l'email che hai dato al partner. Li usiamo solo per verificare la copertura con il partner che ti ha dato il codice.

• Dopo l'attivazione valgono le regole delle persone e dei dati sulla salute.
• Il partner vede solo numeri complessivi: quante persone attivano e completano il percorso. Sotto le 10 persone il dato non si mostra.
• Non vede chi sei, cosa racconti, quali professionisti scegli né il contenuto delle sedute.

[Da decidere con il legale e con ogni partner: quali dati il partner ci passa per la verifica (elenco dei codici, codici fiscali) e l'accordo tra titolari (art. 26 GDPR) o di responsabilità.]

Nella tua area: calendario, promemoria, foto e accesso

Calendario e promemoria

Sedute, scadenze e impegni compaiono da soli nel calendario della tua area. Scegli tu quando ricevere i promemoria e come: email, notifica nell'area o SMS al numero che ci dai. Base giuridica: contratto (art. 6.1.b). Nel prototipo le scelte restano solo nel tuo browser e i promemoria non partono.

Avvisi del browser

Solo se li attivi tu e il browser te lo chiede. Funzionano mentre il calendario è aperto e valgono solo su quel dispositivo.

Nel tuo calendario

Con il file .ics o il link a Google Calendar i dati dell'impegno passano al calendario che scegli tu (per esempio Google, Apple, Microsoft), con le sue regole. Lo fai tu: noi non mandiamo nulla a quei servizi. Le sedute con lo psicologo compaiono solo come “Appuntamento · Pharos People”.

Foto del profilo

Facoltativa. La carichi tu e la togli quando vuoi. La vedono [le persone con cui fai sedute o incarichi]. Base giuridica: il tuo consenso (art. 6.1.a), che revochi togliendo la foto. Nel prototipo resta solo su questo dispositivo.

Accesso con Google, LinkedIn o l'account aziendale

Se scegli questa strada, ci arrivano da loro nome ed email [e foto]. A loro non diamo nulla delle tue sedute. Per il loro servizio di accesso sono titolari autonomi.

[Da completare prima del lancio: fornitori di email, SMS e notifiche; chi vede la foto del profilo; per lo sportello, promemoria sempre con oggetto neutro.]

Navigazione, cookie e videochiamate

• Navigazione. Il server registra dati tecnici delle visite (indirizzo IP, browser, pagine, orario) per sicurezza e per far funzionare il sito. Li teniamo [30 giorni], salvo indagini su un attacco.
• Cookie e dati nel browser. Usiamo solo strumenti tecnici; quelli statistici solo con il tuo consenso, e oggi non sono attivi. I caratteri del sito li serviamo noi: il tuo browser non contatta Google. Dettagli nell'informativa cookie.
• Videochiamate. Si fanno dal browser, cifrate, su server nell'Unione europea. Videocamera e microfono servono solo durante la chiamata. Nessuna chiamata viene registrata. La chat si cancella a fine chiamata. Le note private del professionista le legge solo lui. [Fornitore della videochiamata e tipo di cifratura.]

A chi passiamo i dati

Non vendiamo dati e non li usiamo per pubblicità di altri. Li passiamo solo a chi serve per il servizio:

• al professionista o manager che scegli o che vi proponiamo;
• ai fornitori che lavorano per noi, con un contratto che li obbliga a trattare i dati solo come diciamo noi (responsabili del trattamento): hosting del sito ([Vercel]), [database e archivio], [videochiamata], [invio di email, SMS e notifiche], [assistenza];
• a chi gestisce i pagamenti: Stripe, e PayPal, Apple Pay, Google Pay o Satispay se li scegli. Per antifrode e obblighi di legge sono titolari autonomi;
• a enti pubblici quando la legge lo chiede: Agenzia delle Entrate (fatture, DAC7), Sistema Tessera Sanitaria (per le spese con lo psicologo, salvo opposizione), autorità giudiziarie;
• a consulenti vincolati al segreto: commercialista, avvocati, revisori.

L'elenco aggiornato dei fornitori lo chiedi a [email privacy].

Dati fuori dall'Unione europea

Preferiamo fornitori con server nell'Unione europea. Alcuni hanno sede negli Stati Uniti (per esempio [Vercel] e Stripe). In quel caso i dati passano solo con le garanzie del GDPR (art. 44-49):

• decisione di adeguatezza della Commissione europea del 10 luglio 2023, per le aziende iscritte al Data Privacy Framework UE-USA;
• oppure clausole contrattuali tipo approvate dalla Commissione, con misure in più dove servono.

Puoi chiedere una copia delle garanzie a [email privacy].

[Da completare: elenco dei fornitori extra UE, regione dei server e garanzia usata per ognuno. Per i dati sulla salute preferire server e fornitori nell'UE.]

Per quanto teniamo i dati, in sintesi

Account

Finché lo tieni. Lo cancelli dalla tua area: il resto sparisce entro 30 giorni.

Dati sulla salute

[12 mesi] dall'ultima prestazione, o prima se revochi il consenso.

Fatture e pagamenti

10 anni (art. 2220 codice civile).

Candidature non accolte

[12 mesi] dall'esito.

Richieste di aziende e partner

[24 mesi], se non diventano un contratto.

Dati tecnici di navigazione

[30 giorni].

Contestazioni

Se c'è una contestazione aperta, teniamo i dati che servono fino alla sua chiusura.

I tuoi diritti

Puoi chiederci in ogni momento di (art. 15-22 GDPR):

• vedere i dati che abbiamo su di te e averne una copia;
• correggerli o completarli;
• cancellarli, salvo quelli che la legge ci obbliga a tenere;
• limitarne l'uso mentre verifichiamo una tua richiesta;
• riceverli in un formato leggibile da un computer, per portarli altrove;
• opporti ai trattamenti basati sul nostro legittimo interesse;
• revocare un consenso, senza conseguenze su quello che è già stato fatto.

Come: dalla sezione Privacy della tua area (“Scarica i miei dati”, “Cancella l'account”, i tuoi consensi) oppure scrivendo a [email privacy]. Ti rispondiamo entro un mese. Se la richiesta è complessa possiamo arrivare a tre mesi, ma te lo diciamo entro il primo.

Reclamo. Se pensi che trattiamo male i tuoi dati puoi fare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it), o all'autorità del paese europeo in cui vivi o lavori. Puoi anche rivolgerti a un giudice.

Per i dati che tratta il professionista come titolare (per esempio le note dello psicologo) puoi rivolgerti a lui. Se scrivi a noi, giriamo la richiesta.

Come proteggiamo i dati

• Accesso con un link via email, senza password da ricordare. Verifica in due passaggi obbligatoria per professionisti, manager, aziende, partner e per il nostro team.
• Ognuno vede solo quello che gli serve. Gli accessi del nostro team ai dati sulla salute vengono registrati e controllati.
• Connessione cifrata su tutto il sito. [Cifratura dei dati archiviati, backup, test di sicurezza.]
• Se succede una violazione dei dati la segnaliamo al Garante entro 72 ore e, se c'è un rischio alto per te, ti avvisiamo.

Minori

Il servizio è solo per maggiorenni. Non raccogliamo apposta dati di minori. Se scopriamo un account di un minore lo chiudiamo e cancelliamo i dati.

Modifiche a questa informativa

Quando cambiamo qualcosa aggiorniamo la data in cima. Se la modifica è importante, per esempio una nuova finalità, te lo diciamo prima, per email o nella tua area. Se serve un nuovo consenso, te lo chiediamo.

Vedi anche: Informativa cookie · Termini e condizioni.