Versione in vigore dal 10 ottobre 2026 · Grace Certified · Agora Intelligence
1. Titolare del trattamento
Il titolare del trattamento è Kaimakiweb, P.IVA 03945530123, Varese (IT), che opera con i brand "Agora Intelligence" e "Grace Certified". Per qualsiasi richiesta relativa ai dati: hello@gracecert.com.
2. Quali dati trattiamo
Dati dell'account: nome, email, password (conservata in forma cifrata irreversibile).
Dati di utilizzo: prompt inviati per la valutazione, punteggi, XP, badge, certificazioni, progressi, sfide e tornei.
Storico personale dei prompt: i prompt inviati restano legati all'account insieme a ciò che Grace ha risposto, così l'utente li ritrova nelle sezioni che conservano lo storico dei tentativi. Lo stesso vale per "Migliora il tuo prompt": il testo di partenza, le analisi, la stesura scritta da Grace, le richieste di ritocco e ogni versione successiva restano nello storico "I tuoi prompt", visibile solo al titolare dell'account e compreso nell'esportazione dei propri dati. Seguono la conservazione dei dati di utilizzo (sezione 8): durano quanto l'account e alla sua cancellazione i testi vengono eliminati.
Archivio anonimo dei prompt: i prompt valutati possono essere conservati in un archivio statistico dissociato dall'account (privo di nome, email o altri identificativi). I prompt che risultano contenere dati personali sono esclusi automaticamente da questo archivio.
Log di moderazione: i prompt che violano le regole della community vengono registrati con data, ora, contenuto e account (o identificativo tecnico per gli utenti anonimi) ai fini di sicurezza e moderazione.
Dati tecnici: indirizzo IP e user-agent. Per i limiti di utilizzo e le statistiche usiamo forme aggregate o hash; nei log di sicurezza (accessi, verifiche ed esportazioni del registro della formazione) l'IP è conservato in chiaro per 90 giorni ai fini di prevenzione abusi. Cookie tecnici e statistici (v. sezione 11).
Dispositivi registrati: per garantire che l'account resti personale (base giuridica: legittimo interesse alla sicurezza e prevenzione degli abusi), conserviamo per ciascun account fino a 2 dispositivi, identificati da un codice casuale generato dal browser e da un'etichetta scelta dall'utente. Il codice è privo di informazioni sul dispositivo (mai marca, modello o dati tecnici) e viene cancellato immediatamente quando l'utente rimuove il dispositivo dal profilo o elimina l'account.
Ordini di prodotti fisici (mazzi Prompt Battle): nome, indirizzo di spedizione ed email dell'acquirente, trattati per l'esecuzione del contratto (evasione dell'ordine, consegna, garanzia) e conservati per gli obblighi fiscali. I pagamenti sono gestiti da Stripe: i dati della carta restano su Stripe, sempre fuori dai nostri server.
Regali e codici crediti: se l'acquirente indica l'email di un destinatario, la usiamo unicamente per recapitare il codice regalo e l'eventuale messaggio (base giuridica: esecuzione del contratto di regalo). Il destinatario riceve quella singola comunicazione e la sua email resta esclusa da ogni uso ulteriore: niente newsletter, niente profilazione. Quell'indirizzo resta scritto nella registrazione del pagamento come riferimento della vendita, con i tempi di conservazione dei dati di pagamento indicati più avanti.
Registro dei crediti: il saldo dell'account, i lotti che lo compongono con la data del loro accredito e la loro validità, più una riga per ogni movimento (acquisto, regalo riscattato, bonus, spesa, rimborso, ritiro) con data, quantità, causale, saldo risultante e il riferimento dell'azione che lo ha generato. Serve a eseguire il contratto (art. 6.1.b GDPR), a rispondere a una contestazione sull'addebito e a documentare quello che è stato speso. Il registro rientra nell'esportazione dei propri dati dal profilo, lotti compresi.
Dati di pagamento: gestiti interamente dal processore di pagamento (Stripe); la piattaforma riceve solo l'esito della transazione, mai i dati della carta.
Team aziendali: chi entra in un team con il link d'invito rende visibili al titolare del team livello, XP, punteggio medio, tentativi e certificazioni nel cruscotto; nel registro della formazione, che il titolare può esportare in CSV, compaiono nome, email, moduli completati con i titoli, quiz finale, minuti misurati, punteggio medio degli scenari, tentativi, certificazioni attive, attestato del percorso con URL di verifica, ultima attività e stato (attivo o uscito, con la data). Chi lascia il team resta nel registro con la data di uscita, finché il team esiste, e può chiedere in qualsiasi momento di essere tolto dal registro: la richiesta si fa dal proprio account oppure scrivendo a hello@gracecert.com, e la riga sparisce con nome, email e punteggi. Nell'esportazione dei propri dati compaiono anche i team da cui si è usciti, così si sa sempre quale registro contiene ancora la propria riga. Dentro una finestra di Assessment AI literacy il posto già speso resta speso anche dopo la cancellazione: sparisce il nome, resta il conto dei posti usati. Ogni esportazione lascia una riga nel log di sicurezza con l'IP di chi esporta, conservata 90 giorni. I dati del percorso restano per la durata dell'account e vengono resi anonimi con la sua cancellazione. Il titolare del team è responsabile di informare i propri membri di questo trattamento.
3. Finalità e basi giuridiche
Erogazione del Servizio (valutazioni, progressi, certificazioni), esecuzione del contratto (art. 6.1.b GDPR).
Sicurezza, moderazione dei contenuti e prevenzione abusi, legittimo interesse (art. 6.1.f).
Statistiche e miglioramento del Servizio, dati anonimi o aggregati, fuori dall'ambito del GDPR.
Comunicazioni di servizio (email transazionali: verifica account, notifiche), esecuzione del contratto. Comunicazioni promozionali: se e quando attive, con consenso revocabile (art. 6.1.a).
4. Trattamento tramite AI
I prompt inviati vengono analizzati da un motore di valutazione proprietario che si appoggia a fornitori terzi di modelli AI, selezionati con garanzie contrattuali adeguate: i dati inviati per la valutazione vengono usati per generare il feedback e i punteggi e i fornitori si impegnano a escluderli dall'addestramento dei propri modelli. Raccomandazione operativa, integrata anche nel prodotto: descrivi le situazioni in modo generico ed evita di inserire dati personali reali nei prompt, il sistema ti avvisa quando li rileva.
Corso Pro: le domande fatte a Grace con le sue risposte, l'avanzamento delle lezioni, l'acquisto (importo, data, riferimento del pagamento) e l'attestato rilasciato sono conservati per eseguire il contratto (art. 6.1.b GDPR). Rientrano nell'esportazione dei dati dal profilo e vengono cancellati o resi anonimi con l'account. Il testo delle pratiche valutate finisce nell'archivio anonimo delle valutazioni, senza legame con l'account.
5. Esame di certificazione
Chi sostiene l'esame di certificazione a pagamento ci affida anche questi dati, trattati per eseguire il contratto (art. 6.1.b GDPR):
Prompt d'esame: le cinque risposte, i punteggi per dimensione e il feedback, conservati insieme all'esito per documentare la certificazione. Alla cancellazione dell'account vengono azzerati o resi anonimi.
Registro eventi della sessione: cambi di scheda, perdite di focus, tentativi di incollare, orari di inizio e di invio. Conservato 90 giorni.
Scatti della webcam, solo per il livello Prompt Master: uno al minuto, salvati su un disco privato del server. Li vede solo l'amministrazione, per la revisione dell'esito. Cancellati dopo 90 giorni.
Certificazione pubblica: superato l'esame, la pagina di verifica mostra nome e cognome, livello, punteggio, data di emissione, scadenza e stato, per i 18 mesi di validità e, come "scaduta", anche dopo. Su richiesta a hello@gracecert.com il nome viene sostituito dalle iniziali oppure la certificazione viene revocata: il link risponde allora Certificazione non trovata, senza dati personali.
Identità: l'esame richiede la verifica in due passaggi. Il segreto dell'app di codici resta cifrato sui nostri server e i codici di recupero sono conservati come hash.
6. Assessment AI literacy
Chi ordina l'Assessment AI literacy per la propria azienda ci lascia questi dati, trattati per eseguire il contratto (art. 6.1.b GDPR):
Chi decide e chi esegue. L'azienda che acquista sceglie chi valutare, con quali scenari e che cosa farne degli esiti: verso le persone che valuta è lei il titolare del trattamento. Kaimakiweb tratta quei dati come responsabile, per suo conto e secondo le sue istruzioni (art. 28 GDPR). Kaimakiweb resta titolare per la sicurezza della piattaforma, la prevenzione degli abusi e il rapporto con l'azienda che compra. Per i dati dell'ordine qui sotto il titolare è Kaimakiweb.
Dati dell'ordine: nome dell'azienda, email di contatto, numero di persone da valutare, dichiarazione di maggiore età dell'acquirente, esito del pagamento e riferimento della sessione Stripe. Servono ad attivare i posti, a scriverti per fissare la settimana e a documentare la vendita.
Dati di fatturazione: partita IVA, ragione sociale e indirizzo sono raccolti nel modulo d'ordine oppure da Stripe sulla pagina di pagamento e vengono riportati sull'ordine e sulla ricevuta. La fattura elettronica via sistema di interscambio la piattaforma non la emette: chi ne ha bisogno la chiede a hello@gracecert.com. I dati della carta restano su Stripe, sempre fuori dai nostri server.
Dati delle persone valutate: sono quelli del team aziendale descritti nella sezione 2. Ogni persona vede il dettaglio delle proprie valutazioni; il titolare del team vede nel cruscotto punteggio medio, tentativi, minuti misurati, livello, certificazioni e ultima attività di ciascun membro ed esporta il registro della formazione in CSV. L'azienda che acquista è responsabile di informare le persone che valuta prima dell'inizio dell'assessment.
Base giuridica verso la persona valutata. Non è il consenso: un codice d'invito che arriva dentro un rapporto di lavoro non fonda un consenso libero, perché chi lo riceve non è in condizione di rifiutare senza conseguenze. L'azienda titolare si regge sull'esecuzione del rapporto di lavoro e sugli obblighi che ne derivano (art. 6.1.b e 6.1.c GDPR) e sul proprio legittimo interesse a una formazione documentata sull'uso dell'AI (art. 6.1.f) e deve consegnare alle persone la propria informativa prima di cominciare.
Cruscotto e articolo 4 dello Statuto dei lavoratori. Il cruscotto mostra al datore di lavoro punteggi, tentativi, minuti misurati e ultima attività di ogni dipendente: sono dati da cui deriva un controllo a distanza dell'attività lavorativa. L'articolo 4 della legge 300/1970 ammette gli strumenti da cui quel controllo deriva previo accordo con le rappresentanze sindacali oppure previa autorizzazione dell'Ispettorato del lavoro. Resta comunque la condizione che ai lavoratori sia data informazione adeguata sulle modalità d'uso e sull'effettuazione dei controlli. Verificare e soddisfare queste condizioni spetta all'azienda che acquista.
Punteggio automatico e revisione umana. Ogni prompt riceve un punteggio da 0 a 100 da un modello di intelligenza artificiale, senza che una persona lo legga prima. L'azienda si impegna nei nostri Termini a non prendere decisioni sul personale o sul rapporto di lavoro sul solo punteggio automatico. La persona valutata può chiedere che una persona riveda la propria valutazione, esprimere il proprio punto di vista e contestare l'esito, scrivendo a hello@gracecert.com oppure alla propria azienda.
Conservazione: la riga dell'ordine con nome dell'azienda, email di contatto e importo resta 10 anni per gli obblighi fiscali, come ogni altro pagamento. La sintesi preparata per il debrief resta nella nostra corrispondenza con l'azienda e si cancella su richiesta.
Acquisto senza account: chi ordina da ospite non ha l'esportazione dei dati dal profilo. Per accedere ai propri dati o chiederne la cancellazione scrive a hello@gracecert.com dall'indirizzo usato nell'ordine e rispondiamo entro 30 giorni.
7. Candidati di una selezione
Chi affronta una prova di selezione con un codice offerta lo fa per un'azienda che assume, senza creare un account su Grace. Questa sezione descrive quel trattamento.
Chi decide e chi esegue. L'azienda che apre la selezione sceglie il ruolo, gli scenari, chi invitare e che cosa farne dell'esito: di quei dati è lei il titolare del trattamento. Kaimakiweb li tratta come responsabile, per suo conto e secondo le sue istruzioni (art. 28 GDPR). Kaimakiweb resta titolare per la sicurezza della piattaforma e la prevenzione degli abusi. Il nome dell'azienda compare sulla schermata di accesso alla prova, prima del consenso.
Classificazione secondo l'AI Act. Il modulo che gestisce la prova è un sistema di intelligenza artificiale ad alto rischio: rientra nell'Allegato III, punto 4, lettera a) del Regolamento (UE) 2024/1689, che comprende i sistemi usati per valutare i candidati nel corso di procedure di selezione. Kaimakiweb ne è il fornitore e l'azienda che apre la selezione ne è il deployer. La schermata di accesso alla prova lo dice al candidato prima del consenso. Gli obblighi che ne derivano per l'azienda, informazione ai rappresentanti dei lavoratori compresa, stanno nei Termini, paragrafo 8.
Che cosa raccogliamo. Nome, cognome, email e lingua scelta; il testo di ogni risposta; il punteggio di ogni scenario con i punteggi per dimensione e il riscontro scritto; il tempo impiegato su ogni scenario; i cinque segnali di integrità elencati qui sotto; il codice dell'offerta e un identificativo casuale della prova, che è anche la chiave con cui il candidato ritrova i propri dati. Insieme alle risposte non salviamo indirizzo IP né user-agent: restano però i due trattamenti che valgono su tutto il sito, cioè il limitatore di frequenza delle rotte, che conta le richieste per indirizzo di rete, insieme a Google Analytics 4, che riceve indirizzo e browser come su ogni altra pagina (sezioni 9 e 11).
I cinque segnali di integrità. Tempo per scenario, misurato dal server; eventi di incolla; uscite dalla finestra durante la prova; caratteri tipografici tipici del testo generato da un'AI (trattini lunghi, virgolette curve, spazi speciali); velocità di battitura, ricavata dividendo le parole della risposta per i secondi impiegati. Tutti e cinque finiscono nella scheda che l'azienda legge. Il segnale sulla tipografia è un indizio debole: la punteggiatura automatica di iOS produce da sola virgolette e apostrofi curvi, quindi un conteggio alto non prova nulla da solo.
Conferma dell'indirizzo. Dopo l'iscrizione mandiamo un link di conferma all'indirizzo indicato e la prova comincia da lì. Finché quel link resta chiuso la candidatura non esiste per l'azienda e i dati raccolti si fermano al nome, al cognome e all'indirizzo, cancellati con la selezione. L'invio serve a evitare che qualcuno candidi un'altra persona a sua insaputa (legittimo interesse, art. 6.1.f GDPR).
Basi giuridiche. Il consenso del candidato per la condivisione dei suoi dati e del suo esito con l'azienda (art. 6.1.a GDPR), raccolto con una casella non precompilata prima dell'inizio; l'esecuzione di misure precontrattuali prese su richiesta dell'interessato per la prova in sé (art. 6.1.b); il legittimo interesse dell'azienda a una prova genuina per i segnali di integrità (art. 6.1.f).
Destinatari. L'azienda che ha aperto la selezione riceve nome, cognome, esito, segnali e testo delle risposte; l'email resta nascosta finché l'azienda non la sblocca dal proprio pannello. Le risposte vengono valutate da un fornitore di modelli AI esterno alla piattaforma, scelto con le garanzie contrattuali descritte nella sezione 4, che si impegna a escluderle dall'addestramento dei propri modelli. Restano poi i fornitori tecnici della sezione 9: hosting nell'Unione Europea, CDN e provider email.
Punteggio automatico e classifica. Ogni risposta riceve un punteggio da 0 a 100 da un modello di intelligenza artificiale, senza che una persona la legga prima. La media di quei punteggi ordina il candidato in una classifica che l'azienda vede già ordinata. La decisione su chi incontrare e chi assumere resta dell'azienda, che si impegna nei nostri Termini a non scartare nessuno sul solo punteggio. Il candidato può chiedere che una persona riveda la sua valutazione, esprimere il proprio punto di vista e contestare l'esito, scrivendo a hello@gracecert.com oppure dalla pagina dei propri dati.
Spiegazione della singola decisione. Chi subisce una decisione fondata sull'esito della prova, quando quella decisione produce effetti giuridici oppure lo tocca in modo significativo, ha diritto a una spiegazione chiara del ruolo che il sistema ha avuto in quella decisione e degli elementi principali su cui la decisione si è formata. La spiegazione la chiede all'azienda che ha aperto la selezione, che risponde direttamente; sul dettaglio tecnico della valutazione rispondiamo noi a hello@gracecert.com.
Registro degli eventi della prova. Di ogni prova resta il registro che la documenta: orari di inizio e di invio, tempo per scenario, testo delle risposte, punteggi per dimensione, riscontro scritto e i cinque segnali. Serve a documentare la decisione dell'azienda e a difendere il candidato che la contesta. Il registro vive quanto i dati del candidato, quindi finché la selezione è aperta e per i 90 giorni successivi alla chiusura; l'azienda che deve conservarlo più a lungo lo esporta prima della cancellazione e da quel momento ne risponde lei.
Conservazione. I dati del candidato restano finché la selezione è aperta e vengono cancellati in automatico 90 giorni dopo che l'azienda la chiude. Chi vuole uscire prima chiede la cancellazione e la eseguiamo senza attendere la chiusura.
Vedere i propri dati, ritirare il consenso, chiedere la cancellazione. La pagina dei propri dati si apre da ogni schermata della prova, anche a prova lasciata a metà, sul browser da cui il candidato è entrato e finché il codice della prova resta lì: è una scorciatoia, non l'unico modo di esercitare questi diritti. Dentro trova il riepilogo di quello che è stato raccolto e tre collegamenti che aprono il suo programma di posta con la richiesta già scritta e il codice della prova dentro: revisione umana della valutazione, ritiro del consenso, cancellazione dei dati. La richiesta arriva a hello@gracecert.com, la registriamo a mano e rispondiamo entro 30 giorni. Chi ha cambiato dispositivo scrive allo stesso indirizzo dalla casella usata nella prova, indicando il codice dell'offerta. Il ritiro del consenso vale da quel momento in avanti e lascia valido quello che l'azienda ha già visto.
8. Conservazione
Dati dell'account e di utilizzo: per tutta la durata dell'account. Alla cancellazione, i dati personali vengono eliminati o resi anonimi tramite processo automatico periodico.
Log di moderazione: per il tempo necessario a documentare le violazioni e le sospensioni.
Archivio anonimo dei prompt: senza limite, trattandosi di dati privi di identificativi.
Registro dei crediti: saldo, lotti e movimenti restano per tutta la durata dell'account e si cancellano o si rendono anonimi con la sua cancellazione, insieme agli altri dati dell'account. Le righe che documentano un acquisto o un suo rimborso restano legate alla registrazione del pagamento e seguono i 10 anni degli obblighi fiscali, in forma contabile e senza i dati dell'account cancellato.
Pagamenti: ricevute e importi degli acquisti sono conservati per 10 anni, per gli obblighi fiscali. Stripe conserva la scheda cliente (email, metodo di pagamento e storico) secondo la propria informativa.
9. Destinatari e trasferimenti
I dati sono trattati su infrastruttura nell'Unione Europea (hosting DigitalOcean, Francoforte) con CDN e protezione Cloudflare. Fornitori esterni: provider di modelli AI (v. sezione 4), Google Analytics 4 per le statistiche di navigazione, Stripe per i pagamenti, provider email per le comunicazioni. Il trasferimento fuori dall'Unione non è un'ipotesi: ogni risposta mandata in valutazione parte verso Anthropic PBC, negli Stati Uniti, che è il fornitore del modello che la valuta. Partono verso gli Stati Uniti anche i dati di navigazione raccolti da Google e i dati di pagamento trattati da Stripe. Questi trasferimenti avvengono con le garanzie previste dal capo V del GDPR, cioè le clausole contrattuali standard della Commissione insieme alle misure supplementari concordate con ciascun fornitore.
Operazioni societarie: in caso di fusione, acquisizione, conferimento o cessione d'azienda o di ramo d'azienda, i dati potranno essere trasferiti all'entità risultante o acquirente, che subentrerà come titolare del trattamento con le medesime finalità e garanzie. Gli utenti registrati ne riceveranno comunicazione.
10. I tuoi diritti
Puoi esercitare in qualsiasi momento i diritti previsti dagli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Scrivi a hello@gracecert.com e rispondiamo entro 30 giorni. Hai inoltre il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (gpdp.it).
11. Cookie
La piattaforma usa cookie e storage tecnici (sessione, preferenze, progressi locali) necessari al funzionamento e Google Analytics 4 per statistiche aggregate di navigazione. Alla prima visita un riquadro chiede di scegliere fra Accetta e Rifiuta prima di proseguire: i cookie statistici si attivano solo con l'accettazione, e la scelta si cambia in ogni momento da "Preferenze cookie" in fondo alla pagina. Zero cookie di profilazione pubblicitaria.
12. Minori
La registrazione richiede almeno 14 anni; per i più giovani serve il consenso di chi esercita la responsabilità genitoriale, che può scriverci a hello@gracecert.com. I contenuti educativi pubblici, come la Scuola AI, sono pensati anche per i più giovani e si consultano liberamente: la lettura richiede zero registrazione e zero dati.
13. Modifiche
Eventuali modifiche sostanziali a questa informativa vengono comunicate sulla piattaforma e, per gli utenti registrati, via email. La versione corrente è sempre disponibile a questa pagina.