Privacy Policy

1. Titolare del Trattamento

Il titolare del trattamento è Jobli Srls (in costituzione), con sede a Milano, Italia.
Email di contatto: info@jobli.it

Il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO), non obbligatorio in base alla natura, all'ambito e alle finalità del trattamento svolto attualmente (art. 37 GDPR).

2. Dati Raccolti

Tramite il modulo di contatto raccogliamo:

• Nome e cognome
• Indirizzo email
• Testo del messaggio
• Eventuale curriculum vitae in formato PDF allegato (facoltativo)

Se crei un account raccogliamo inoltre:

• Indirizzo email e password (la password è gestita dal nostro fornitore di autenticazione, Supabase, e non è mai visibile a noi in chiaro)
• In alternativa alla password, se scegli di accedere con Google: il tuo indirizzo email e il tuo nome, comunicati a noi da Google al termine dell'autenticazione. Non riceviamo né la tua password Google né altri dati del tuo account Google, e non abbiamo accesso a nulla che vi sia contenuto
• Data di creazione dell'account
• Saldo crediti e storico delle transazioni (es. "download PDF", "adattamento annuncio", con data)
• La foto del profilo, se scegli di caricarne una dalle impostazioni dell'account. Il file viene salvato sullo spazio di archiviazione di Supabase in una cartella intestata al tuo account. Va sottolineato che questo spazio è configurato come pubblico: chi conosce (o indovina) l'indirizzo del file può aprirlo senza effettuare l'accesso, esattamente come accade per la foto del profilo di gran parte dei servizi online. Puoi sostituirla o rimuoverla in qualsiasi momento dalle impostazioni

Quando carichi un CV tramite il generatore di profili raccogliamo:

• Il contenuto del CV caricato (esperienze, formazione, competenze, progetti, ecc.), estratto ed elaborato tramite intelligenza artificiale per costruire il tuo profilo
• Nome del file PDF caricato, utilizzato per generare l'indirizzo web della tua pagina profilo (modificabile in qualsiasi momento dal tuo account)
• Email e numero di telefono reali (non oscurati), utilizzati esclusivamente per il PDF scaricabile privatamente (la pagina web pubblica mostra sempre versioni oscurate di questi dati per limitare la raccolta automatizzata da parte di terzi)
• Eventuali link a profili social (es. LinkedIn) se forniti

Se utilizzi la funzione di adattamento del CV a un annuncio di lavoro, il testo dell'annuncio (incollato o recuperato da un link fornito) viene inviato al nostro fornitore di intelligenza artificiale per generare la versione adattata del CV, ma non viene conservato da noi oltre il tempo necessario a completare l'elaborazione.

Le altre funzioni che elaborano i tuoi dati, e cosa comportano:

• Lettera di presentazione: il tuo CV e il testo dell'annuncio vengono inviati al fornitore di intelligenza artificiale; la lettera generata viene salvata nel tuo account, così da non doverla rigenerare (e ripagare) per lo stesso annuncio
• Traduzione: il CV (o la lettera) viene inviato al fornitore di intelligenza artificiale e la versione tradotta viene salvata nel tuo account come un CV aggiuntivo
• Documento Word (.docx): generato sul momento dai dati del CV già presenti nel tuo account, senza inviare nulla a fornitori ulteriori rispetto a quelli elencati al punto 5
• Preparazione al colloquio: il testo dell'annuncio viene inviato al fornitore di intelligenza artificiale, che per rispondere consulta fonti pubbliche sul web in tempo reale tramite i propri strumenti di ricerca e di lettura delle pagine. Le ricerche riguardano l'azienda che assume, non te: questa funzione, per scelta progettuale, non accede al tuo CV. La scheda risultante viene salvata nel tuo account
• Chat per completare il CV: le domande dell'AI e le tue risposte vengono conservate nel tuo account per la durata della conversazione e per poterla riprendere; al termine, le informazioni che hai fornito vengono integrate nel tuo CV

Per ogni elaborazione svolta tramite intelligenza artificiale registriamo inoltre, su un nostro registro tecnico interno, il tipo di operazione (es. "analisi CV", "adattamento annuncio"), il modello utilizzato, il numero di token consumati, il costo corrispondente, la data e l'identificativo interno del tuo account. Questo registro non contiene il contenuto del tuo CV né il testo scambiato con l'intelligenza artificiale: serve unicamente a sapere quanto costa erogare il servizio e a dimensionare il modello a crediti.

Il servizio non richiede né sollecita dati appartenenti a categorie particolari (art. 9 GDPR: origine razziale o etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, dati relativi alla salute, alla vita sessuale o all'orientamento sessuale). Se il tuo CV li contiene comunque (ad esempio perché citati in un'esperienza di volontariato o per spiegare un periodo di congedo), ti invitiamo a non includerli quando non necessari: non vengono richiesti, non sono utilizzati per generare punteggi o consigli, e puoi rimuoverli in autonomia modificando i dati del tuo profilo dal tuo account.

Il servizio assegna al CV un punteggio automatizzato su criteri oggettivi (risultati misurabili, chiarezza, struttura ATS, competenze specifiche) e suggerisce ruoli in linea con la tua esperienza: si tratta di un trattamento automatizzato che valuta aspetti professionali ai sensi dell'art. 4(4) GDPR, svolto su tua esplicita richiesta e a tuo esclusivo beneficio. Non costituisce una decisione automatizzata con effetti giuridici o significativamente analoghi ai sensi dell'art. 22 GDPR: il punteggio e i suggerimenti restano informazioni che leggi e utilizzi tu, non una decisione presa nei tuoi confronti da terzi (es. un datore di lavoro) sulla base di un processo automatizzato.

Se hai un account, ogni tanto (al massimo una volta ogni 21 giorni per la generazione del profilo e per l'adattamento a un annuncio, e mai se non hai effettuato l'accesso) ti mostriamo un breve popup facoltativo per valutare la funzione appena usata: se lo compili, raccogliamo un voto da 1 a 5 e un eventuale commento testuale, collegati al tuo account.

3. Finalità e Base Giuridica

I dati del modulo di contatto sono trattati sulla base dell'art. 6(1)(b) GDPR (misure precontrattuali adottate su richiesta dell'interessato) oppure, quando non ricorre un rapporto contrattuale, dell'art. 6(1)(f) GDPR (legittimo interesse a rispondere a una richiesta di informazioni volontariamente inviata dall'utente). I dati legati alla creazione e gestione dell'account, alla generazione del profilo e all'adattamento del CV sono trattati per l'esecuzione del servizio richiesto dall'utente (art. 6(1)(b) GDPR, esecuzione di un contratto/misure precontrattuali su richiesta dell'interessato).

Se hai un account, ti inviamo inoltre alcune comunicazioni di servizio via email (es. email di benvenuto, avviso quando i crediti sono esauriti, un promemoria se non hai ancora completato il tuo profilo), sulla base del legittimo interesse a mantenerti informato sull'uso del servizio che hai richiesto (art. 6(1)(f) GDPR). Puoi opporti in qualsiasi momento, senza alcuna conseguenza sul funzionamento del tuo account, tramite il link presente in calce a ciascuna di queste email o dalla sezione "Preferenze email" delle impostazioni del tuo account.

Alcuni moduli del sito (caricamento del CV, adattamento a un annuncio) limitano il numero di richieste consentite da uno stesso indirizzo IP in un dato intervallo di tempo, per prevenire abusi automatizzati. Questo trattamento dell'indirizzo IP, temporaneo e non collegato alla tua identità se non sei autenticato, si basa sul legittimo interesse alla sicurezza e all'integrità del servizio (art. 6(1)(f) GDPR).

Se ti registri con un'email che aveva già ricevuto in passato il credito di benvenuto (ad esempio perché l'account collegato era stato eliminato e poi ricreato), non riceverai un secondo bonus: per riconoscere questo caso conserviamo un'impronta crittografica (hash) della tua email, non l'email in chiaro, sulla base del legittimo interesse a prevenire un uso fraudolento del programma di benvenuto (art. 6(1)(f) GDPR).

Il voto e l'eventuale commento che lasci nel popup di valutazione facoltativo sono trattati sulla base del legittimo interesse a migliorare il servizio (art. 6(1)(f) GDPR): è una richiesta di opinione che scegli tu se compilare o ignorare, non necessaria per l'esecuzione del servizio.

Il registro tecnico dei consumi di intelligenza artificiale descritto al punto 2 (tipo di operazione, modello, token, costo, identificativo interno dell'account) è trattato sulla base del legittimo interesse alla sostenibilità economica e alla corretta contabilizzazione dei costi del servizio (art. 6(1)(f) GDPR). Il collegamento all'account è necessario per attribuire il costo a chi lo ha generato, condizione indispensabile per calibrare il modello a crediti ed individuare eventuali usi anomali.

4. Conservazione dei Dati

I dati del modulo di contatto vengono ricevuti via email e non sono archiviati in alcun database.

Un CV appena caricato ma non ancora collegato a un account ("anteprima") viene conservato per un massimo di 1 ora, trascorsa la quale viene eliminato automaticamente se non registri un account.

Un CV collegato a un account (registrandoti o accedendo dopo averlo caricato) viene invece conservato senza scadenza automatica, per tutta la durata del rapporto con il tuo account: il criterio di conservazione è la persistenza dell'account stesso, poiché il servizio è pensato per restare utilizzabile (riscaricare un PDF, ri-adattare un CV) in qualsiasi momento futuro, anche a distanza di mesi o anni. Puoi eliminare un singolo CV, o l'intero account (con tutti i CV, gli adattamenti, i crediti e le eventuali valutazioni lasciate nel popup di feedback) in qualsiasi momento, in piena autonomia, dalla pagina del tuo account: l'eliminazione è immediata e irreversibile, e non richiede di contattarci o attendere alcun intervento da parte nostra.

Per evitare di rielaborare (e farti ripagare) lo stesso identico file, conserviamo separatamente una copia dei dati estratti da un CV, indicizzata con un'impronta crittografica del PDF caricato. Questa copia scade 30 giorni dopo l'ultimo utilizzo (ogni nuovo caricamento dello stesso file fa ripartire il conteggio) e viene inoltre cancellata quando elimini il tuo account, per tutte le impronte collegate ai CV salvati nel tuo account. Va detto con precisione: le impronte non collegate ad alcun CV salvato (tipicamente quelle di un caricamento anonimo mai registrato) non possono essere ricondotte a un account in fase di eliminazione, e per queste vale soltanto la scadenza automatica a 30 giorni.

Fa eccezione un'impronta crittografica (hash) della tua email, generata solo per riconoscere se hai già ricevuto in passato il credito di benvenuto: non viene eliminata insieme all'account, proprio perché la sua funzione è impedire che lo stesso bonus venga richiesto più volte cancellando e ricreando l'account. Non consente di risalire alla tua email in chiaro, non è collegata a nessun altro dato personale, e non viene mai utilizzata per finalità diverse da questa.

Ogni volta che accetti una casella "ho letto e accetto" prima di un'azione che condivide tuoi dati con noi (creazione dell'account, caricamento del CV, adattamento a un annuncio, moduli di contatto e supporto), conserviamo una prova tecnica di quella scelta sui nostri server (data e ora, versione della policy accettata, il contesto dell'azione, e — quando disponibile — l'account collegato), a fini di dimostrabilità del consenso (art. 5(2) e 7(1) GDPR, "responsabilizzazione"). Conserviamo questo registro per 5 anni dalla data della scelta, in linea con gli ordinari termini di prescrizione. Non si tratta di un impegno generico: una procedura automatica in esecuzione ogni giorno cancella le registrazioni che hanno superato i 5 anni, sia per le scelte sui cookie sia per le accettazioni delle policy.

Copie di backup dell'infrastruttura (mantenute dai nostri fornitori di hosting e database per finalità di disaster recovery) e i log tecnici applicativi vengono conservati secondo i cicli di rotazione standard dei rispettivi fornitori e non sono accessibili per un uso diverso dal ripristino in caso di guasto.

5. Destinatari dei Dati

I dati non vengono ceduti né venduti a terzi. I soggetti che trattano i dati in qualità di responsabili del trattamento ai sensi dell'art. 28 GDPR sono:

• Aruba S.p.A., gestore della casella email del Titolare: ricezione messaggi dal modulo di contatto e invio delle comunicazioni di servizio relative al tuo account descritte al punto 3
• Vercel Inc., hosting dell'applicazione, conservazione temporanea delle anteprime non ancora collegate a un account, e limitazione del numero di richieste per indirizzo IP sui moduli più sensibili
• Supabase Inc., gestione degli account, autenticazione e conservazione permanente dei profili e dei dati dei CV collegati a un account
• Anthropic PBC, elaborazione del testo del CV per l'estrazione, il miglioramento e l'adattamento del profilo
• Cloudflare Inc., verifica anti-bot (Turnstile) sui moduli di caricamento CV e adattamento annuncio
• Google Ireland Limited, autenticazione tramite "Accedi con Google", se scegli questo metodo di accesso: Google verifica la tua identità e ci comunica email e nome. Questo trattamento è indipendente dal punto successivo e non dipende dal banner cookie, perché è parte del servizio che hai richiesto
• Google Ireland Limited, statistiche di navigazione aggregate e anonimizzate (Google Analytics 4), solo se hai dato il consenso alla categoria Statistiche nel banner cookie. Questa integrazione è predisposta ma non è attiva al momento: nessun identificativo di misurazione è configurato, quindi Google Analytics non viene caricato e nessun dato gli viene trasmesso, nemmeno se hai acconsentito alla categoria Statistiche. Questa voce verrà aggiornata se e quando lo attiveremo
• PostHog Inc., analisi di prodotto ed eventuale registrazione di sessione (session replay, con mascheramento del contenuto del CV e di tutti i campi di digitazione) — dati trattati ed ospitati nella regione UE, solo se hai dato il consenso alla categoria Statistiche nel banner cookie

6. Trasferimento Dati Extra-UE

La maggior parte dei fornitori sopra indicati ha sede negli Stati Uniti (l'infrastruttura dati di Supabase può essere configurata in diverse regioni, incluse quelle europee; PostHog Inc. tratta e ospita questi dati specifici nella regione UE, e Aruba S.p.A. ha sede in Italia, quindi nessuno di questi comporta un trasferimento extra-UE). Per i fornitori extra-UE, i trasferimenti sono effettuati nel rispetto delle garanzie previste dagli artt. 44–49 GDPR, tramite le Standard Contractual Clauses (SCC) adottate dalla Commissione Europea.

In particolare, l'utilizzo di Anthropic PBC per l'elaborazione del testo del CV è disciplinato da un Data Processing Addendum pubblico che incorpora le SCC (Decisione della Commissione UE 2021/914, Modulo Due e/o Modulo Tre) e prevede espressamente che i contenuti inviati tramite l'API non vengano utilizzati per addestrare i modelli, la cancellazione dei dati entro 30 giorni dalla cessazione del rapporto contrattuale, e la notifica di eventuali violazioni di sicurezza entro 48 ore dalla scoperta.

7. Diritti dell'Interessato

Ai sensi degli artt. 15–22 GDPR, l'interessato ha il diritto di:

• Accedere ai propri dati personali (art. 15)
• Rettificarli (art. 16), i dati anagrafici del tuo CV sono modificabili direttamente dalla pagina del tuo account
• Ottenerne la cancellazione (art. 17, "diritto all'oblio"), puoi eliminare un singolo CV o l'intero account autonomamente, senza bisogno di richiederlo a noi (con la sola eccezione, per finalità di prevenzione frodi, dell'impronta crittografica della tua email descritta al punto 4)
• Limitarne il trattamento (art. 18)
• Ricevere i propri dati in formato portabile (art. 20)
• Opporsi al trattamento (art. 21)
• Revocare il consenso in qualsiasi momento (art. 7(3))

Per esercitare i diritti non disponibili in autonomia dalla pagina del tuo account, scrivere a info@jobli.it. Il titolare risponderà entro 30 giorni dalla richiesta.

8. Reclamo all'Autorità di Controllo

L'interessato ha il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it) qualora ritenga che il trattamento violi il GDPR.

9. Cookie

Questo sito utilizza cookie strettamente necessari al funzionamento del servizio (es. mantenimento della sessione di accesso, verifica anti-bot), sempre attivi, e (solo previo tuo consenso esplicito) cookie di Statistiche per capire come viene usato il sito. L'unico strumento di statistica effettivamente attivo è PostHog, con eventuale registrazione di sessione; Google Analytics 4 è predisposto ma non è attivo al momento (vedi il punto 5). Puoi dare, rifiutare o revocare il consenso in qualsiasi momento dal banner cookie o dal link "Preferenze Cookie" in fondo al sito. Per maggiori informazioni consulta la nostra Cookie Policy.

10. Sicurezza

I dati sono cifrati sia a riposo (a livello di infrastruttura del database) sia in transito (connessioni HTTPS su tutto il sito). L'accesso ai tuoi dati da parte di altri utenti del servizio richiede sempre l'autenticazione ed è tecnicamente limitato ai soli dati di loro proprietà tramite regole di accesso a livello di database (Row Level Security), non solo lato applicazione. Le credenziali con accesso privilegiato ai dati sono usate esclusivamente lato server e non sono mai esposte al browser. I tuoi dati di contatto reali (email e telefono) non vengono mai pubblicati sulla pagina web pubblica generata dal servizio, e restano visibili solo a te, all'interno del tuo account protetto.

Per completezza: il personale autorizzato del Titolare può accedere ai dati degli account tramite strumenti amministrativi interni (protetti da credenziali dedicate e utilizzati esclusivamente lato server), per finalità di assistenza agli utenti, prevenzione degli abusi e gestione operativa del servizio, ad esempio per verificare il saldo crediti di chi scrive al supporto o per leggere le valutazioni lasciate nel popup di feedback. Queste operazioni non passano dalle regole di accesso a livello di database descritte sopra, che limitano gli utenti fra loro e non il Titolare: un servizio non potrebbe essere gestito altrimenti, e preferiamo dirlo esplicitamente piuttosto che lasciar intendere il contrario.