GDPR e Centro per la Fiducia sui Dati

Data di entrata in vigore: 1° gennaio 2026

Ultimo aggiornamento: 5 settembre 2026

Questa Scheda su Fiducia e Dati è un complemento in linguaggio chiaro alla nostra Informativa sulla privacy e alla nostra Panoramica sulla sicurezza. Riepiloga, in un unico documento, il modo in cui Kompunik rispetta il Regolamento generale sulla protezione dei dati dell'UE (GDPR): le basi giuridiche su cui ci fondiamo, i dati che trattiamo, i sub-responsabili che utilizziamo, per quanto tempo conserviamo i tuoi dati e come puoi esercitare i tuoi diritti.

In caso di conflitto tra quanto qui indicato e l'Informativa sulla privacy, prevale l'Informativa sulla privacy in quanto documento giuridicamente vincolante.

1. Titolare del trattamento

Kompunik SAS 6 rue des Moulins, 13570 Barbentane, France

Contatto per la protezione dei dati: compliance@kompunik.org
Assistenza generale: contact@kompunik.org

Kompunik SAS è il titolare del trattamento dei dati personali trattati attraverso la piattaforma di apprendimento Kompunik. Determiniamo le finalità e i mezzi del trattamento dei tuoi dati personali e siamo responsabili della loro protezione in conformità al GDPR.

Per le organizzazioni (aziende, università) che iscrivono i propri membri, Kompunik agisce come responsabile del trattamento per conto dell'organizzazione in relazione ai dati di apprendimento generati all'interno del loro spazio, e come titolare per i dati relativi all'account e alla fatturazione.

1.1 I pagamenti hanno un titolare distinto

Gli abbonamenti personali sono venduti da Paddle.com Market Limited (Regno Unito) in qualità di Merchant of Record. Paddle è il venditore del tuo ordine, non un fornitore che agisce su nostre istruzioni.

Questo ha una conseguenza concreta per i tuoi dati: per quanto riguarda il pagamento, Paddle è un titolare del trattamento autonomo, non un nostro responsabile. Paddle determina autonomamente finalità e mezzi del trattamento dei tuoi dati di pagamento e fiscali per adempiere ai propri obblighi di venditore (autorizzazione del pagamento, controllo antifrode, determinazione e versamento dell'IVA, fatturazione e conservazione obbligatoria). Non possiamo impartire istruzioni a Paddle su tali finalità, e Paddle non tratta quei dati per nostro conto.

In pratica:

Per i tuoi dati di account e di apprendimento, il titolare è Kompunik. Rivolgi a noi queste richieste.
Per i tuoi dati di pagamento e fatturazione, il titolare è Paddle. A quel trattamento si applica l'informativa privacy di Paddle, e l'esercizio dei diritti sui dati di pagamento potrebbe dover essere rivolto a Paddle — vedi paddle.com/legal/privacy. Ti aiuteremo a indirizzare qualsiasi richiesta che arrivi prima a noi.

I contratti per organizzazioni (Enterprise e Academic) sono fatturati direttamente da Kompunik SAS e Paddle non è coinvolta; la sezione 6 chiarisce quale fornitore si applica in ciascun caso.

2. Basi giuridiche del trattamento

Ogni categoria di dati personali che trattiamo si fonda su una delle seguenti basi giuridiche previste dal GDPR (Articolo 6):

Attività di trattamento	Base giuridica
Creazione e gestione del tuo account	Esecuzione di un contratto (Art. 6(1)(b))
Erogazione dei corsi, monitoraggio dei progressi, rilascio dei certificati	Esecuzione di un contratto (Art. 6(1)(b))
Ricezione della conferma del tuo acquisto per attivare la licenza	Esecuzione di un contratto (Art. 6(1)(b))
Conservazione delle nostre registrazioni finanziarie e di regolamento	Obbligo legale ai sensi del diritto francese (Art. 6(1)(c))
Invio di email di servizio e di sicurezza (verifica, MFA, ricevute)	Esecuzione di un contratto (Art. 6(1)(b))
Analisi di prodotto calcolate a partire dalla tua stessa attività	Legittimo interesse (Art. 6(1)(f))
Funzionalità opzionali di community, profilo pubblico e confronto tra pari	Consenso (Art. 6(1)(a))
Approfondimenti assistiti dall'IA (Pulse per manager, traduzioni)	Legittimo interesse, con possibilità di opt-out (Art. 6(1)(f))
Email di marketing, ove applicabile	Consenso (Art. 6(1)(a))

Puoi revocare il consenso in qualsiasi momento laddove il consenso costituisca la base giuridica, senza pregiudicare il trattamento già avvenuto.

3. Dati personali che trattiamo

Identità e account: nome, indirizzo email, password sottoposta ad hashing, lingua preferita, ruolo e appartenenza all'organizzazione.
Autenticazione: timestamp di accesso, impostazioni MFA e identificatori SSO di Google Workspace o Microsoft Entra ID (se utilizzati).
Dati di apprendimento: progressi nei corsi, risposte ai quiz e alle autovalutazioni, risultati diagnostici, tattiche, playlist e certificati.
Dati della community (opt-in): post, commenti, reazioni e dettagli del profilo pubblico che scegli di condividere.
Dati di pagamento: nome per la fatturazione, registrazioni delle transazioni e stato dell'abbonamento. Non riceviamo né conserviamo mai i numeri completi delle carte o i codici CVV. Per gli abbonamenti personali questi dati vanno direttamente a Paddle in qualità di Merchant of Record; per la fatturazione alle organizzazioni, direttamente a Stripe. Ciò che arriva a noi si limita agli identificativi necessari ad attivare e mantenere la tua licenza: un riferimento cliente e transazione, l'importo e la valuta addebitati e la data di rinnovo.
Dati tecnici: identificatore di sessione anonimo, informazioni approssimative sul dispositivo/browser e analisi delle pagine di prima parte utilizzate per migliorare il prodotto.

Non vendiamo dati personali, non utilizziamo cookie pubblicitari di terze parti e non eseguiamo tracker di terze parti come Google Analytics.

4. I tuoi diritti ai sensi del GDPR

Ai sensi del GDPR hai il diritto di:

Accesso — ottenere una copia dei dati personali che deteniamo su di te.
Rettifica — correggere dati inesatti o incompleti.
Cancellazione ("diritto all'oblio") — richiedere la cancellazione del tuo account e dei tuoi dati.
Limitazione — chiederci di limitare il trattamento in determinate circostanze.
Portabilità — ricevere i tuoi dati in un formato strutturato e leggibile da dispositivo automatico.
Opposizione — opporti al trattamento basato sul legittimo interesse.
Revoca del consenso — per qualsiasi trattamento basato sul consenso.

Come esercitarli:

Self-service: dalle impostazioni del tuo account puoi esportare i tuoi dati personali in qualsiasi momento ed eliminare direttamente il tuo account.
Via email: scrivi a compliance@kompunik.org. Rispondiamo a tutte le richieste entro 30 giorni, come previsto dal GDPR.

Hai inoltre il diritto di presentare un reclamo all'autorità di controllo competente a livello locale. In Francia, si tratta della CNIL (Commission Nationale de l'Informatique et des Libertés — cnil.fr).

5. Conservazione dei dati

Categoria di dati	Periodo di conservazione
Dati dell'account e di apprendimento	Per tutta la durata del tuo account
Dati di account eliminati	Cancellati entro 30 giorni dalla richiesta di eliminazione
Registrazioni finanziarie e di fatturazione	7 anni (obbligo legale ai sensi del diritto francese)
Risultati diagnostici	90 giorni (scadenza automatica)
Cronologia degli approfondimenti generati dall'IA	90 giorni (scadenza automatica)
Analisi anonime delle pagine	Aggregate; nessun identificatore personale a lungo termine
Log di audit	Conservati per motivi di sicurezza e conformità, quindi ruotati

Al termine di un periodo di conservazione, i dati vengono eliminati o anonimizzati in modo irreversibile.

6. Sub-responsabili

Ci avvaliamo di un numero ristretto di sub-responsabili accuratamente selezionati per gestire la piattaforma. Ciascuno tratta i dati personali su nostra istruzione, è vincolato da un Accordo sul trattamento dei dati (DPA) ai sensi dell'art. 28 GDPR e applica garanzie appropriate. I dati sono ospitati nell'UE (Frankfurt, Germania) ovunque il fornitore offra un hosting regionale.

Sub-responsabile	Finalità	Ubicazione dei dati
MongoDB Atlas	Database principale (account, dati di apprendimento)	UE — Frankfurt
DigitalOcean Spaces	Archiviazione di contenuti multimediali, certificati e file	Regione UE, cifrati a riposo
Vercel	Hosting e distribuzione dell'applicazione	Regione delle funzioni UE (Frankfurt)
Upstash Redis	Limitazione della frequenza (rate limiting)	UE — Frankfurt
Stripe	Elaborazione dei pagamenti per la sola fatturazione alle organizzazioni (Enterprise e Academic) — PCI-DSS Level 1	UE/USA con CCS
Resend	Consegna di email transazionali	UE/USA con CCS
Google e Microsoft	Accesso SSO opzionale (OAuth)	UE/USA con CCS
OpenAI	Approfondimenti per manager assistiti dall'IA (opt-out disponibile)	USA con CCS
DeepL	Traduzione dei contenuti	UE (Germania)
Sentry	Monitoraggio degli errori	UE/USA con CCS

Manteniamo un elenco aggiornato dei sub-responsabili. Se aggiungiamo o sostituiamo un sub-responsabile in modo tale da incidere materialmente sul trattamento dei tuoi dati, aggiorneremo questa pagina.

6.1 Titolari autonomi (non sub-responsabili)

La parte indicata di seguito è deliberatamente fuori dalla tabella precedente, perché definirla un nostro sub-responsabile sarebbe inesatto:

Parte	Ruolo	Perché non è un sub-responsabile
Paddle.com Market Limited	Merchant of Record per gli abbonamenti personali	Paddle vende a te in nome proprio e determina finalità e mezzi del trattamento dei tuoi dati di pagamento e fiscali per adempiere ai propri obblighi di legge in qualità di venditore. È quindi un titolare autonomo ai sensi dell'art. 4(7) GDPR e non agisce su nostra istruzione.

Laddove tu e Paddle siate in rapporto diretto, a quel trattamento si applica l'informativa privacy di Paddle. Vedi la sezione 1.1.

7. Trasferimenti internazionali di dati

La nostra infrastruttura è progettata per mantenere i dati personali all'interno dell'Unione Europea ove possibile. Laddove un sub-responsabile tratti i dati al di fuori dell'UE (ad esempio, negli Stati Uniti), il trasferimento è protetto da Clausole Contrattuali Standard (CCS) approvate dalla Commissione Europea, unitamente a garanzie tecniche supplementari quali la cifratura in transito e a riposo.

I dati di pagamento degli abbonamenti personali raggiungono Paddle.com Market Limited nel Regno Unito. I trasferimenti verso il Regno Unito si fondano sulla decisione di adeguatezza della Commissione Europea per il Regno Unito finché è in vigore, e altrimenti sulle Clausole Contrattuali Standard. Poiché Paddle è un titolare autonomo e non un nostro responsabile (sezione 1.1), tale trasferimento avviene secondo i meccanismi di Paddle e non i nostri.

8. Misure di sicurezza (sintesi)

Una descrizione completa è disponibile nella nostra Panoramica sulla sicurezza. In sintesi:

Cifratura ovunque: TLS 1.2+ in transito; AES-256 a riposo.
Controllo degli accessi: autorizzazioni basate sui ruoli, MFA e account di servizio con privilegi minimi.
URL firmati: i contenuti multimediali vengono distribuiti tramite link firmati a tempo limitato (scadenza di 1 ora).
Privacy per impostazione predefinita: i profili sono privati salvo esplicito opt-in.
Isolamento dei tenant: i dati di ciascuna organizzazione sono rigorosamente segregati.
Applicazione rafforzata: validazione lato server, sanificazione dei contenuti, query parametrizzate, CSP e limitazione della frequenza.

9. Notifica delle violazioni dei dati

In caso di violazione dei dati personali che possa comportare un rischio per i tuoi diritti e le tue libertà, notificheremo l'autorità di controllo competente entro 72 ore dal momento in cui ne veniamo a conoscenza e informeremo gli utenti interessati senza ingiustificato ritardo, come previsto dagli Articoli 33 e 34 del GDPR. Il nostro obiettivo interno è avviare le attività di indagine e rimedio entro 48 ore dalla rilevazione.

10. Cookie e tracciamento

Kompunik utilizza esclusivamente i cookie e l'archiviazione locale strettamente necessari al funzionamento del servizio (sessione di autenticazione, sicurezza, preferenza linguistica), oltre ad analisi di prima parte rispettose della privacy. Non utilizziamo cookie pubblicitari né tracciamento tra siti. Un banner sui cookie viene mostrato ai nuovi visitatori e i dettagli sono disponibili nella nostra Informativa sulla privacy.

11. Dati dei minori

Kompunik non è rivolto ai minori di 16 anni. Non raccogliamo consapevolmente dati personali dei minori. Se ritieni che un minore ci abbia fornito dati personali, contatta compliance@kompunik.org e provvederemo a cancellarli.

12. Contatti

Per qualsiasi domanda relativa ai tuoi dati, a questa Scheda su Fiducia e Dati, o per esercitare i tuoi diritti ai sensi del GDPR: