Versione in vigore dal 17 settembre 2026 · Grace Certified · Agora Intelligence
1. Titolare del trattamento
Il titolare del trattamento è Kaimakiweb, P.IVA 03945530123, Varese (IT), che opera con i brand "Agora Intelligence" e "Grace Certified". Per qualsiasi richiesta relativa ai dati: hello@gracecert.com.
2. Quali dati trattiamo
Dati dell'account: nome, email, password (conservata in forma cifrata irreversibile).
Dati di utilizzo: prompt inviati per la valutazione, punteggi, XP, badge, certificazioni, progressi, sfide e tornei.
Archivio anonimo dei prompt: i prompt valutati possono essere conservati in un archivio statistico dissociato dall'account (privo di nome, email o altri identificativi). I prompt che risultano contenere dati personali sono esclusi automaticamente da questo archivio.
Log di moderazione: i prompt che violano le regole della community vengono registrati con data, ora, contenuto e account (o identificativo tecnico per gli utenti anonimi) ai fini di sicurezza e moderazione.
Dati tecnici: indirizzo IP e user-agent. Per i limiti di utilizzo e le statistiche usiamo forme aggregate o hash; nei log di sicurezza (accessi, verifiche ed esportazioni del registro della formazione) l'IP è conservato in chiaro per 90 giorni ai fini di prevenzione abusi. Cookie tecnici e statistici (v. sezione 11).
Dispositivi registrati: per garantire che l'account resti personale (base giuridica: legittimo interesse alla sicurezza e prevenzione degli abusi), conserviamo per ciascun account fino a 2 dispositivi, identificati da un codice casuale generato dal browser e da un'etichetta scelta dall'utente. Il codice è privo di informazioni sul dispositivo (mai marca, modello o dati tecnici) e viene cancellato immediatamente quando l'utente rimuove il dispositivo dal profilo o elimina l'account.
Ordini di prodotti fisici (mazzi Prompt Battle): nome, indirizzo di spedizione ed email dell'acquirente, trattati per l'esecuzione del contratto (evasione dell'ordine, consegna, garanzia) e conservati per gli obblighi fiscali. I pagamenti sono gestiti da Stripe: i dati della carta restano su Stripe, sempre fuori dai nostri server.
Regali e codici crediti: se l'acquirente indica l'email di un destinatario, la usiamo unicamente per recapitare il codice regalo e l'eventuale messaggio (base giuridica: esecuzione del contratto di regalo). Il destinatario riceve quella singola comunicazione e la sua email resta esclusa da ogni uso ulteriore: niente newsletter, niente profilazione. Quell'indirizzo resta scritto nella registrazione del pagamento come riferimento della vendita, con i tempi di conservazione dei dati di pagamento indicati più avanti.
Dati di pagamento: gestiti interamente dal processore di pagamento (Stripe); la piattaforma riceve solo l'esito della transazione, mai i dati della carta.
Team aziendali: chi entra in un team con il link d'invito rende visibili al titolare del team livello, XP, punteggio medio, tentativi e certificazioni nel cruscotto; nel registro della formazione, che il titolare può esportare in CSV, compaiono nome, email, moduli completati con i titoli, quiz finale, minuti misurati, punteggio medio degli scenari, tentativi, certificazioni attive, attestato del percorso con URL di verifica, ultima attività e stato (attivo o uscito, con la data). Chi lascia il team resta nel registro con la data di uscita, finché il team esiste. Ogni esportazione lascia una riga nel log di sicurezza con l'IP di chi esporta, conservata 90 giorni. I dati del percorso restano per la durata dell'account e vengono resi anonimi con la sua cancellazione. Il titolare del team è responsabile di informare i propri membri di questo trattamento.
3. Finalità e basi giuridiche
Erogazione del Servizio (valutazioni, progressi, certificazioni), esecuzione del contratto (art. 6.1.b GDPR).
Sicurezza, moderazione dei contenuti e prevenzione abusi, legittimo interesse (art. 6.1.f).
Statistiche e miglioramento del Servizio, dati anonimi o aggregati, fuori dall'ambito del GDPR.
Comunicazioni di servizio (email transazionali: verifica account, notifiche), esecuzione del contratto. Comunicazioni promozionali: se e quando attive, con consenso revocabile (art. 6.1.a).
4. Trattamento tramite AI
I prompt inviati vengono analizzati da un motore di valutazione proprietario che si appoggia a fornitori terzi di modelli AI, selezionati con garanzie contrattuali adeguate: i dati inviati per la valutazione vengono usati per generare il feedback e i punteggi e i fornitori si impegnano a escluderli dall'addestramento dei propri modelli. Raccomandazione operativa, integrata anche nel prodotto: descrivi le situazioni in modo generico ed evita di inserire dati personali reali nei prompt, il sistema ti avvisa quando li rileva.
Corso Pro: le domande fatte a Grace con le sue risposte, l'avanzamento delle lezioni, l'acquisto (importo, data, riferimento del pagamento) e l'attestato rilasciato sono conservati per eseguire il contratto (art. 6.1.b GDPR). Rientrano nell'esportazione dei dati dal profilo e vengono cancellati o resi anonimi con l'account. Il testo delle pratiche valutate finisce nell'archivio anonimo delle valutazioni, senza legame con l'account.
5. Esame di certificazione
Chi sostiene l'esame di certificazione a pagamento ci affida anche questi dati, trattati per eseguire il contratto (art. 6.1.b GDPR):
Prompt d'esame: le cinque risposte, i punteggi per dimensione e il feedback, conservati insieme all'esito per documentare la certificazione. Alla cancellazione dell'account vengono azzerati o resi anonimi.
Registro eventi della sessione: cambi di scheda, perdite di focus, tentativi di incollare, orari di inizio e di invio. Conservato 90 giorni.
Scatti della webcam, solo per il livello Prompt Master: uno al minuto, salvati su un disco privato del server. Li vede solo l'amministrazione, per la revisione dell'esito. Cancellati dopo 90 giorni.
Certificazione pubblica: superato l'esame, la pagina di verifica mostra nome e cognome, livello, punteggio, data di emissione, scadenza e stato, per i 18 mesi di validità e, come "scaduta", anche dopo. Su richiesta a hello@gracecert.com il nome viene sostituito dalle iniziali oppure la certificazione viene revocata: il link risponde allora Certificazione non trovata, senza dati personali.
Identità: l'esame richiede la verifica in due passaggi. Il segreto dell'app di codici resta cifrato sui nostri server e i codici di recupero sono conservati come hash.
6. Assessment AI literacy
Chi ordina l'Assessment AI literacy per la propria azienda ci lascia questi dati, trattati per eseguire il contratto (art. 6.1.b GDPR):
Chi decide e chi esegue. L'azienda che acquista sceglie chi valutare, con quali scenari e che cosa farne degli esiti: verso le persone che valuta è lei il titolare del trattamento. Kaimakiweb tratta quei dati come responsabile, per suo conto e secondo le sue istruzioni (art. 28 GDPR). Kaimakiweb resta titolare per la sicurezza della piattaforma, la prevenzione degli abusi e il rapporto con l'azienda che compra. Per i dati dell'ordine qui sotto il titolare è Kaimakiweb.
Dati dell'ordine: nome dell'azienda, email di contatto, numero di persone da valutare, dichiarazione di maggiore età dell'acquirente, esito del pagamento e riferimento della sessione Stripe. Servono ad attivare i posti, a scriverti per fissare la settimana e a documentare la vendita.
Dati di fatturazione: partita IVA, ragione sociale e indirizzo sono raccolti nel modulo d'ordine oppure da Stripe sulla pagina di pagamento e vengono riportati sull'ordine e sulla ricevuta. La fattura elettronica via sistema di interscambio la piattaforma non la emette: chi ne ha bisogno la chiede a hello@gracecert.com. I dati della carta restano su Stripe, sempre fuori dai nostri server.
Dati delle persone valutate: sono quelli del team aziendale descritti nella sezione 2. Ogni persona vede il dettaglio delle proprie valutazioni; il titolare del team vede nel cruscotto punteggio medio, tentativi, minuti misurati, livello, certificazioni e ultima attività di ciascun membro ed esporta il registro della formazione in CSV. L'azienda che acquista è responsabile di informare le persone che valuta prima dell'inizio dell'assessment.
Base giuridica verso la persona valutata. Non è il consenso: un codice d'invito che arriva dentro un rapporto di lavoro non fonda un consenso libero, perché chi lo riceve non è in condizione di rifiutare senza conseguenze. L'azienda titolare si regge sull'esecuzione del rapporto di lavoro e sugli obblighi che ne derivano (art. 6.1.b e 6.1.c GDPR) e sul proprio legittimo interesse a una formazione documentata sull'uso dell'AI (art. 6.1.f) e deve consegnare alle persone la propria informativa prima di cominciare.
Cruscotto e articolo 4 dello Statuto dei lavoratori. Il cruscotto mostra al datore di lavoro punteggi, tentativi, minuti misurati e ultima attività di ogni dipendente: sono dati da cui deriva un controllo a distanza dell'attività lavorativa. L'articolo 4 della legge 300/1970 ammette gli strumenti da cui quel controllo deriva previo accordo con le rappresentanze sindacali oppure previa autorizzazione dell'Ispettorato del lavoro. Resta comunque la condizione che ai lavoratori sia data informazione adeguata sulle modalità d'uso e sull'effettuazione dei controlli. Verificare e soddisfare queste condizioni spetta all'azienda che acquista.
Punteggio automatico e revisione umana. Ogni prompt riceve un punteggio da 0 a 100 da un modello di intelligenza artificiale, senza che una persona lo legga prima. L'azienda si impegna nei nostri Termini a non prendere decisioni sul personale o sul rapporto di lavoro sul solo punteggio automatico. La persona valutata può chiedere che una persona riveda la propria valutazione, esprimere il proprio punto di vista e contestare l'esito, scrivendo a hello@gracecert.com oppure alla propria azienda.
Conservazione: la riga dell'ordine con nome dell'azienda, email di contatto e importo resta 10 anni per gli obblighi fiscali, come ogni altro pagamento. La sintesi preparata per il debrief resta nella nostra corrispondenza con l'azienda e si cancella su richiesta.
Acquisto senza account: chi ordina da ospite non ha l'esportazione dei dati dal profilo. Per accedere ai propri dati o chiederne la cancellazione scrive a hello@gracecert.com dall'indirizzo usato nell'ordine e rispondiamo entro 30 giorni.
7. Candidati di una selezione
Chi affronta una prova di selezione con un codice offerta lo fa per un'azienda che assume, senza creare un account su Grace. Questa sezione descrive quel trattamento.
Chi decide e chi esegue. L'azienda che apre la selezione sceglie il ruolo, gli scenari, chi invitare e che cosa farne dell'esito: di quei dati è lei il titolare del trattamento. Kaimakiweb li tratta come responsabile, per suo conto e secondo le sue istruzioni (art. 28 GDPR). Kaimakiweb resta titolare per la sicurezza della piattaforma e la prevenzione degli abusi. Il nome dell'azienda compare sulla schermata di accesso alla prova, prima del consenso.
Classificazione secondo l'AI Act. Il modulo che gestisce la prova è un sistema di intelligenza artificiale ad alto rischio: rientra nell'Allegato III, punto 4, lettera a) del Regolamento (UE) 2024/1689, che comprende i sistemi usati per valutare i candidati nel corso di procedure di selezione. Kaimakiweb ne è il fornitore e l'azienda che apre la selezione ne è il deployer. La schermata di accesso alla prova lo dice al candidato prima del consenso. Gli obblighi che ne derivano per l'azienda, informazione ai rappresentanti dei lavoratori compresa, stanno nei Termini, paragrafo 8.
Che cosa raccogliamo. Nome, cognome, email e lingua scelta; il testo di ogni risposta; il punteggio di ogni scenario con i punteggi per dimensione e il riscontro scritto; il tempo impiegato su ogni scenario; i cinque segnali di integrità elencati qui sotto; il codice dell'offerta e un identificativo casuale della prova, che è anche la chiave con cui il candidato ritrova i propri dati. Insieme alle risposte non salviamo indirizzo IP né user-agent: restano però i due trattamenti che valgono su tutto il sito, cioè il limitatore di frequenza delle rotte, che conta le richieste per indirizzo di rete, insieme a Google Analytics 4, che riceve indirizzo e browser come su ogni altra pagina (sezioni 9 e 11).
I cinque segnali di integrità. Tempo per scenario, misurato dal server; eventi di incolla; uscite dalla finestra durante la prova; caratteri tipografici tipici del testo generato da un'AI (trattini lunghi, virgolette curve, spazi speciali); velocità di battitura, ricavata dividendo le parole della risposta per i secondi impiegati. Tutti e cinque finiscono nella scheda che l'azienda legge. Il segnale sulla tipografia è un indizio debole: la punteggiatura automatica di iOS produce da sola virgolette e apostrofi curvi, quindi un conteggio alto non prova nulla da solo.
Conferma dell'indirizzo. Dopo l'iscrizione mandiamo un link di conferma all'indirizzo indicato e la prova comincia da lì. Finché quel link resta chiuso la candidatura non esiste per l'azienda e i dati raccolti si fermano al nome, al cognome e all'indirizzo, cancellati con la selezione. L'invio serve a evitare che qualcuno candidi un'altra persona a sua insaputa (legittimo interesse, art. 6.1.f GDPR).
Basi giuridiche. Il consenso del candidato per la condivisione dei suoi dati e del suo esito con l'azienda (art. 6.1.a GDPR), raccolto con una casella non precompilata prima dell'inizio; l'esecuzione di misure precontrattuali prese su richiesta dell'interessato per la prova in sé (art. 6.1.b); il legittimo interesse dell'azienda a una prova genuina per i segnali di integrità (art. 6.1.f).
Destinatari. L'azienda che ha aperto la selezione riceve nome, cognome, esito, segnali e testo delle risposte; l'email resta nascosta finché l'azienda non la sblocca dal proprio pannello. Le risposte vengono valutate da un fornitore di modelli AI esterno alla piattaforma, scelto con le garanzie contrattuali descritte nella sezione 4, che si impegna a escluderle dall'addestramento dei propri modelli. Restano poi i fornitori tecnici della sezione 9: hosting nell'Unione Europea, CDN e provider email.
Punteggio automatico e classifica. Ogni risposta riceve un punteggio da 0 a 100 da un modello di intelligenza artificiale, senza che una persona la legga prima. La media di quei punteggi ordina il candidato in una classifica che l'azienda vede già ordinata. La decisione su chi incontrare e chi assumere resta dell'azienda, che si impegna nei nostri Termini a non scartare nessuno sul solo punteggio. Il candidato può chiedere che una persona riveda la sua valutazione, esprimere il proprio punto di vista e contestare l'esito, scrivendo a hello@gracecert.com oppure dalla pagina dei propri dati.
Spiegazione della singola decisione. Chi subisce una decisione fondata sull'esito della prova, quando quella decisione produce effetti giuridici oppure lo tocca in modo significativo, ha diritto a una spiegazione chiara del ruolo che il sistema ha avuto in quella decisione e degli elementi principali su cui la decisione si è formata. La spiegazione la chiede all'azienda che ha aperto la selezione, che risponde direttamente; sul dettaglio tecnico della valutazione rispondiamo noi a hello@gracecert.com.
Registro degli eventi della prova. Di ogni prova resta il registro che la documenta: orari di inizio e di invio, tempo per scenario, testo delle risposte, punteggi per dimensione, riscontro scritto e i cinque segnali. Serve a documentare la decisione dell'azienda e a difendere il candidato che la contesta. Il registro vive quanto i dati del candidato, quindi finché la selezione è aperta e per i 90 giorni successivi alla chiusura; l'azienda che deve conservarlo più a lungo lo esporta prima della cancellazione e da quel momento ne risponde lei.
Conservazione. I dati del candidato restano finché la selezione è aperta e vengono cancellati in automatico 90 giorni dopo che l'azienda la chiude. Chi vuole uscire prima chiede la cancellazione e la eseguiamo senza attendere la chiusura.
Vedere i propri dati, ritirare il consenso, chiedere la cancellazione. La pagina dei propri dati si apre da ogni schermata della prova, anche a prova lasciata a metà, sul browser da cui il candidato è entrato e finché il codice della prova resta lì: è una scorciatoia, non l'unico modo di esercitare questi diritti. Dentro trova il riepilogo di quello che è stato raccolto e tre collegamenti che aprono il suo programma di posta con la richiesta già scritta e il codice della prova dentro: revisione umana della valutazione, ritiro del consenso, cancellazione dei dati. La richiesta arriva a hello@gracecert.com, la registriamo a mano e rispondiamo entro 30 giorni. Chi ha cambiato dispositivo scrive allo stesso indirizzo dalla casella usata nella prova, indicando il codice dell'offerta. Il ritiro del consenso vale da quel momento in avanti e lascia valido quello che l'azienda ha già visto.
8. Conservazione
Dati dell'account e di utilizzo: per tutta la durata dell'account. Alla cancellazione, i dati personali vengono eliminati o resi anonimi tramite processo automatico periodico.
Log di moderazione: per il tempo necessario a documentare le violazioni e le sospensioni.
Archivio anonimo dei prompt: senza limite, trattandosi di dati privi di identificativi.
Pagamenti: ricevute e importi degli acquisti sono conservati per 10 anni, per gli obblighi fiscali. Stripe conserva la scheda cliente (email, metodo di pagamento e storico) secondo la propria informativa.
9. Destinatari e trasferimenti
I dati sono trattati su infrastruttura nell'Unione Europea (hosting DigitalOcean, Francoforte) con CDN e protezione Cloudflare. Fornitori esterni: provider di modelli AI (v. sezione 4), Google Analytics 4 per le statistiche di navigazione, Stripe per i pagamenti, provider email per le comunicazioni. Il trasferimento fuori dall'Unione non è un'ipotesi: ogni risposta mandata in valutazione parte verso Anthropic PBC, negli Stati Uniti, che è il fornitore del modello che la valuta. Partono verso gli Stati Uniti anche i dati di navigazione raccolti da Google e i dati di pagamento trattati da Stripe. Questi trasferimenti avvengono con le garanzie previste dal capo V del GDPR, cioè le clausole contrattuali standard della Commissione insieme alle misure supplementari concordate con ciascun fornitore.
Operazioni societarie: in caso di fusione, acquisizione, conferimento o cessione d'azienda o di ramo d'azienda, i dati potranno essere trasferiti all'entità risultante o acquirente, che subentrerà come titolare del trattamento con le medesime finalità e garanzie. Gli utenti registrati ne riceveranno comunicazione.
10. I tuoi diritti
Puoi esercitare in qualsiasi momento i diritti previsti dagli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Scrivi a hello@gracecert.com e rispondiamo entro 30 giorni. Hai inoltre il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (gpdp.it).
11. Cookie
La piattaforma usa cookie e storage tecnici (sessione, preferenze, progressi locali) necessari al funzionamento e Google Analytics 4 per statistiche aggregate di navigazione. Zero cookie di profilazione pubblicitaria.
12. Minori
La registrazione richiede almeno 14 anni; per i più giovani serve il consenso di chi esercita la responsabilità genitoriale, che può scriverci a hello@gracecert.com. I contenuti educativi pubblici, come la Scuola AI, sono pensati anche per i più giovani e si consultano liberamente: la lettura richiede zero registrazione e zero dati.
13. Modifiche
Eventuali modifiche sostanziali a questa informativa vengono comunicate sulla piattaforma e, per gli utenti registrati, via email. La versione corrente è sempre disponibile a questa pagina.