Politica sulla privacy

EASEC — European Accreditation of Soft Skills & Employability Competencies®  ·  Ultimo aggiornamento: ottobre 2026  ·  Applicabile a livello globale a tutti i servizi e le piattaforme EASEC

1. Introduzione

EASEC — European Accreditation of Soft Skills & Employability Competencies — è un'autorità di certificazione internazionale indipendente dedicata alla valutazione, certificazione e accreditamento di competenze trasversali e di occupabilità nel rispetto di standard internazionalmente riconosciuti, tra cui ESCO, EQF, Tuning, il Quadro del futuro del lavoro del Forum Economico Mondiale, UNESCO e O*NET.

La presente Informativa sulla Privacy spiega come i dati personali vengono raccolti, trattati, conservati, condivisi e protetti quando individui, istituzioni o organizzazioni interagiscono con qualsiasi servizio, piattaforma o ambiente digitale EASEC.

EASEC opera attraverso tre verticali — EASEC for Schools, EASEC for Higher Education ed EASEC for Work — strutturate commercialmente in quattro linee di servizio: Accreditamento dei Programmi; Valutazioni Diagnostiche e di Certificazione (Centro di Certificazione); Certificazioni Professionali del Profilo; e la Piattaforma di Talent Intelligence. La presente Informativa si applica uniformemente a tutte le verticali e linee di servizio, con disposizioni specifiche indicate ove applicabile.

EASEC offre inoltre dieci programmi di certificazione professionale delle competenze e gestisce la Skills-First Employer Network (skillsfirst.easec.eu) e il Programma di Cooperazione Internazionale EASEC, tutti coperti dalla presente Informativa.

Accedendo o utilizzando qualsiasi servizio EASEC, l'utente riconosce di aver letto e compreso la presente Informativa sulla Privacy. Qualora i servizi vengano fruiti tramite un'istituzione, un datore di lavoro o un Partner Autorizzato, si invita a consultare anche le informative sulla privacy di tale organizzazione.

2. Soggetti Giuridici che Operano ai sensi della presente Informativa

Entrambe le entità operano nell'ambito di un quadro unificato di governance della privacy. I riferimenti a «EASEC» nel resto della presente Informativa si applicano a entrambe le entità ove pertinente al contesto.

3. Quadro Normativo e Allineamento agli Standard

EASEC opera in conformità ai seguenti quadri normativi:

• Regolamento (UE) 2016/679 (GDPR) — Regolamento Generale sulla Protezione dei Dati
• Legge Organica Spagnola 3/2018 (LOPDGDD) — sulla Protezione dei Dati Personali e la Garanzia dei Diritti Digitali
• Regolamento (UE) 2024/1689 (Regolamento UE sull'IA) — Atto sull'Intelligenza Artificiale, applicabile all'impiego da parte di EASEC di sistemi di IA nei processi di valutazione, inclusi gli obblighi di trasparenza ai sensi dell'Articolo 50 e, ove applicabile, i requisiti di classificazione del rischio e conformità per i sistemi di IA utilizzati in contesti educativi e occupazionali
• Regolamento (UE) 910/2014 (eIDAS) — sull'identificazione elettronica e i servizi fiduciari, applicabile all'emissione e alla verifica delle credenziali digitali
• Europass Digital Credentials Infrastructure (EDCI) — principi di interoperabilità per i formati di credenziali digitali
• Texas Data Privacy and Security Act (TDPSA) e normativa federale statunitense applicabile in materia di privacy, qualora Innzpira LLC sia il soggetto responsabile del trattamento
• Standard Open Badge 3.0 (1EdTech) — che disciplina l'emissione e la portabilità dei badge digitali
• 1EdTech CASE (Competency and Academic Standards Exchange) — framework di metadati applicato alle credenziali emesse

EASEC detiene certificazioni ai sensi della ISO 9001 (Gestione della Qualità) e della ISO 27001 (Gestione della Sicurezza delle Informazioni) e mantiene una procedura formale di ricorsi e reclami allineata alla ISO/IEC 17024 (Valutazione della Conformità — Requisiti Generali per gli Organismi che Gestiscono la Certificazione di Persone).

4. Responsabile della Protezione dei Dati e Contatti

EASEC ha designato un Responsabile della Protezione dei Dati (RPD) incaricato di supervisionare il rispetto degli obblighi in materia di protezione dei dati e di fungere da punto di contatto principale per gli interessati e le autorità di controllo.

Tutte le richieste degli interessati, i reclami in materia di privacy o le richieste di informazioni relative alla presente Informativa devono essere indirizzati al RPD. EASEC si impegna a rispondere alle richieste verificate degli interessati entro trenta (30) giorni di calendario.

5. Ruolo di EASEC come Autorità di Certificazione

Indipendentemente dalla modalità di accesso ai servizi EASEC — direttamente, tramite un'istituzione, un datore di lavoro, un Partner Autorizzato o il Programma di Cooperazione Internazionale — EASEC agisce come emittente legale indipendente di tutte le certificazioni di competenze e credenziali digitali. In particolare, EASEC:

• Determina e applica tutte le metodologie di certificazione, le regole di punteggio e i quadri di competenze
• È l'unica autorità responsabile di decidere se una certificazione di competenze viene emessa, mantenuta o revocata
• Conserva tutti i registri di certificazione, le piste di audit e i sistemi di verifica
• È responsabile dell'autenticità, dell'integrità e della disponibilità permanente delle credenziali emesse
• Opera come infrastruttura fiduciaria che consente la tracciabilità delle credenziali e la verifica pubblica tramite cert.easec.eu/certificates/verify e, ove attivato, tramite un registro pubblico di credenziali basato su blockchain che consente a terzi di verificare l'autenticità e l'integrità delle credenziali in modo indipendente dai sistemi propri di EASEC
• Mantiene l'Assessment Integrity Framework (AIF) che disciplina l'integrità di tutti i processi di valutazione

Le credenziali co-branded includono il logo dell'istituzione o del datore di lavoro, ma ciò non altera il ruolo di EASEC come unica autorità legale emittente, né trasferisce alle istituzioni alcuna proprietà o responsabilità sui dati di certificazione detenuti da EASEC.

6. Piattaforme e Domini coperti dalla presente Informativa

7. Rapporto con Istituzioni, Datori di Lavoro, Partner e Consumatori Diretti

Istituzioni e Centri di Certificazione

Quando università, scuole o gruppi educativi operano come Centri di Certificazione EASEC, l'istituzione agisce come Titolare del Trattamento indipendente per i dati dei partecipanti che raccoglie e introduce nella piattaforma EASEC. EASEC agisce come Titolare del Trattamento indipendente per i registri di certificazione, l'emissione di credenziali e i dati di verifica. Ai limitati fini dell'amministrazione delle valutazioni e della generazione di analisi di coorte, EASEC può agire come Responsabile del Trattamento seguendo le istruzioni istituzionali.

Datori di Lavoro e Clienti EASEC for Work

Quando datori di lavoro o società di consulenza accedono ai servizi EASEC for Work, il datore di lavoro o la società di consulenza è il Titolare del Trattamento per i dati di dipendenti o candidati introdotti nella piattaforma. EASEC agisce come Responsabile del Trattamento per l'amministrazione delle valutazioni e la generazione di report, e come Titolare del Trattamento indipendente per l'emissione di credenziali e i conti individuali EASEC Wallet.

Consumatori Diretti Individuali (B2C)

Quando gli individui acquistano servizi di valutazione o certificazione direttamente tramite www.easec.eu, EASEC agisce come unico Titolare del Trattamento per tutti i dati raccolti in relazione a tale acquisto e alla valutazione e all'emissione di credenziali che ne derivano. Nessun intermediario istituzionale partecipa alle transazioni B2C. Si applicano gli stessi standard di certificazione e le stesse condizioni di validità delle credenziali previsti negli accordi istituzionali B2B.

Partner Autorizzati

EASEC gestisce una Rete di Partner Autorizzati che comprende tre categorie: Rappresentanti Autorizzati, Rivenditori Autorizzati e Partner di Referral Autorizzati. I Partner Autorizzati possono presentare clienti ai servizi EASEC e, in alcuni casi, facilitare l'onboarding e l'amministrazione. I Partner non accedono ai dati personali degli individui valutati salvo espressa autorizzazione nell'ambito del relativo Accordo con Partner EASEC. I diritti, gli obblighi e le condizioni di trattamento dei dati applicabili a ciascuna categoria di partner sono disciplinati dal relativo Accordo con Partner.

Partecipanti al Programma di Cooperazione Internazionale

Le istituzioni che accedono ai servizi EASEC tramite il Programma di Cooperazione Internazionale EASEC sono soggette alla presente Informativa sulla Privacy e alle condizioni di protezione dei dati stabilite nel relativo accordo di cooperazione o memorandum d'intesa. EASEC agisce come Titolare del Trattamento indipendente per tutti i registri di certificazione e l'emissione di credenziali derivanti dai servizi erogati nell'ambito del Programma.

8. Categorie di Dati Personali Trattati

Dati di Identità e Contatto

• Nome completo e cognome
• Indirizzo e-mail (istituzionale o personale)
• Paese o regione
• Affiliazione istituzionale o del datore di lavoro

Dati di Valutazione e Certificazione

• Risposte alla valutazione psicometrica (item dello strumento di autovalutazione)
• Risultati di punteggio e livelli di competenza
• Esiti di certificazione e livelli di competenza raggiunti (Emerging, Foundational, Intermediate, Advanced o Mastery)
• Identificatori delle credenziali, metadati, dati delle competenze secondo lo standard CASE e metadati di allineamento ai quadri (ESCO, EQF, Tuning, WEF, UNESCO, O*NET)
• Registri di emissione e verifica con marca temporale

Dati di Valutazione Situazionale Assistita da IA

Le seguenti categorie di dati vengono generate e trattate in relazione alla dimensione di valutazione situazionale del EASEC AI Engine, integrata come livello qualitativo complementare negli strumenti diagnostici e di certificazione di EASEC:

• Risposta situazionale in testo libero: il testo libero scritto dal partecipante in risposta a uno scenario situazionale generato da IA. Costituisce un dato comportamentale e potenzialmente psicologico e viene trattato con particolare cura.
• Analisi interpretativa generata da IA: l'output qualitativo strutturato (punti di forza identificati, opportunità di sviluppo, contesti di prestazione suggeriti e prossimi passi raccomandati) prodotto dal EASEC AI Engine dalla risposta in testo libero del partecipante. Tale analisi è accessibile esclusivamente al singolo partecipante tramite il proprio EASEC Wallet.
• Dati sul tempo di risposta: il tempo trascorso tra la visualizzazione dello scenario situazionale e l'invio della risposta del partecipante, registrato come metrica contestuale comportamentale.
• Indicatore interno di competenza: una classificazione interna derivata dall'AI Engine su una scala numerica da 1 a 5, utilizzata esclusivamente per la calibrazione dello strumento e il controllo della qualità. Tale indicatore non viene mostrato al partecipante, non viene comunicato ad alcuna istituzione o datore di lavoro e non fa parte del punteggio certificato della valutazione.

Dati di Valutazione per la Certificazione Professionale

Per i partecipanti che completano i programmi di certificazione professionale EASEC (incluse le dieci certificazioni professionali nei domini For Schools, For Higher Education e For Work), vengono trattate le stesse categorie di dati di valutazione psicometrica e di valutazione situazionale assistita da IA descritte sopra, unitamente a:

• Dati sul ruolo professionale e il contesto di dominio forniti durante la registrazione, ove applicabile
• Dati di allineamento al quadro di competenze specifico della certificazione professionale valutata

Dati di Accreditamento dei Programmi

• Documentazione dei programmi presentata dalle istituzioni
• Elenchi dei partecipanti (nome ed e-mail istituzionale) forniti per i sondaggi di qualità
• Risposte ai sondaggi di qualità e soddisfazione
• Registri di valutazione dell'allineamento del programma (dati di allineamento a ESCO, EQF, Tuning e quadro WEF Future of Jobs)

Dati di Monitoraggio dell'Integrità delle Valutazioni

Nell'ambito dell'Assessment Integrity Framework (AIF) di EASEC, EASEC può trattare le seguenti categorie di dati al fine di rilevare e prevenire le frodi nelle valutazioni:

• Dati di analisi degli schemi di risposta (rilevamento di anomalie in termini di tempistica, coerenza e indicatori comportamentali)
• Segnali di rilevamento di contenuti generati da IA
• Metadati di sessione (dispositivo, browser, indirizzo IP, schemi temporali)

Tale trattamento si basa sul legittimo interesse di EASEC a mantenere l'integrità e la credibilità del proprio standard di certificazione. I dati trattati a fini di monitoraggio dell'integrità sono conservati solo per il tempo necessario a completare la revisione dell'integrità e, qualora venga confermata una violazione, per il tempo necessario a supportare l'applicazione e i ricorsi.

Dati del Registro delle Credenziali su Blockchain

Quando una credenziale viene registrata nel registro pubblico delle credenziali su blockchain, EASEC tratta e pubblica i seguenti dati:

• Un hash crittografico della credenziale (una derivazione matematica unidirezionale che non consente la ricostruzione della credenziale né l'identificazione del suo titolare)
• La data di emissione

Nessun dato personale, nome di competenza, risultato di valutazione, identificatore di credenziale o altro contenuto della credenziale viene pubblicato sulla blockchain. Il trattamento di tali dati è descritto in dettaglio nella Sezione 13A.

Dati di Piattaforma e Tecnici

• Indirizzo IP e geolocalizzazione approssimativa
• Tipo di dispositivo, browser e sistema operativo
• Log di attività di sessione e dati di navigazione
• Eventi di sicurezza e log di accesso

Dati di Comunicazione

• Richieste di assistenza e corrispondenza
• Risposte a feedback e sondaggi
• Preferenze relative a newsletter e comunicazioni

Dati di Fatturazione e Commerciali

• Denominazione sociale, indirizzo di fatturazione e codice fiscale/partita IVA (B2B) o nome e indirizzo di fatturazione individuale (B2C)
• Riferimenti delle transazioni di pagamento (elaborati da Stripe — EASEC non conserva i dati delle carte)
• Registri di fatture e contratti
• Date di attivazione dei crediti e periodi di validità dei crediti

9. Finalità del Trattamento e Basi Giuridiche

10. Processo Decisionale Automatizzato ed Esiti di Certificazione

Il processo di certificazione delle competenze di EASEC comporta una valutazione automatizzata che può produrre un effetto giuridicamente rilevante o di analoga significatività — ovvero se una credenziale di competenza viene emessa o meno.

Il processo di certificazione automatizzato:

• Applica modelli psicometrici validati e regole di punteggio predefinite allineate a quadri di competenze internazionalmente riconosciuti (ESCO, EQF, Tuning, WEF, UNESCO, O*NET)
• È progettato per garantire coerenza, obiettività e comparabilità in tutte le valutazioni
• Non comporta giudizi umani soggettivi nel calcolo del punteggio
• Produce un risultato di livello di competenza (Emerging, Foundational, Intermediate, Advanced o Mastery) e determina se la soglia minima per la certificazione è raggiunta

Laddove i report o le analisi della piattaforma EASEC for Work vengano generati automaticamente sulla base dei dati di valutazione, questi costituiscono output informativi a supporto del processo decisionale dei datori di lavoro e non costituiscono di per sé decisioni automatizzate con effetti giuridici per i singoli individui.

10A. EASEC AI Engine — Dimensione di Valutazione Situazionale

10A.1 Natura e Finalità

Il EASEC AI Engine è un componente qualitativo di valutazione integrato negli strumenti di valutazione diagnostica e di certificazione di EASEC nelle tre verticali. Presenta al partecipante uno scenario situazionale contestualizzato generato da un modello linguistico di IA, calibrato in base alla competenza valutata del partecipante, al segmento, alla fascia d'età approssimativa e al contesto culturale. La risposta in testo libero del partecipante viene analizzata dall'AI Engine per produrre una lettura interpretativa.

Tale dimensione è di natura interpretativa e di sviluppo. Non costituisce, influenza né modifica il punteggio certificato di competenza del partecipante, determinato esclusivamente dallo strumento psicometrico validato e dal modello di punteggio automatizzato descritti nella Sezione 10. L'output dell'AI Engine non viene condiviso con alcuna istituzione, datore di lavoro, partner o terzo — è accessibile esclusivamente al singolo partecipante tramite il proprio account personale EASEC Wallet.

10A.2 Informativa sulla Trasparenza al Momento dell'Interazione

Prima di avviare la dimensione dell'AI Engine, i partecipanti vengono informati nell'interfaccia di valutazione di tutti i seguenti aspetti:

• (a) che lo scenario situazionale è stato generato da un sistema di intelligenza artificiale (il EASEC AI Engine), calibrato in base al loro profilo;
• (b) che la loro risposta in testo libero sarà elaborata da un sistema di IA per produrre un'analisi qualitativa interpretativa;
• (c) che tale analisi è interpretativa e di sviluppo e non fa parte del loro punteggio certificato di valutazione;
• (d) che la dimensione di IA opera con piena indipendenza metodologica rispetto al punteggio psicometrico;
• (e) che possono richiedere in qualsiasi momento la revisione dell'analisi interpretativa da parte di un valutatore qualificato EASEC, e che è disponibile una procedura formale di ricorsi e reclami allineata alla ISO/IEC 17024;
• (f) i riferimenti normativi applicabili: Regolamento UE sull'IA 2024/1689, Articolo 50; GDPR Articolo 22.

L'azione esplicita del partecipante di procedere (cliccando il pulsante di avvio) costituisce riconoscimento informato di tali informative. Il partecipante può scegliere di non completare la dimensione dell'AI Engine senza che ciò incida sull'accesso alla valutazione psicometrica o alla certificazione.

10A.3 Sub-Responsabili IA

Entrambi i fornitori sono vincolati da accordi di trattamento dei dati (DPA) che: (a) vietano espressamente l'utilizzo dei dati dei partecipanti EASEC per l'addestramento, il fine-tuning o il miglioramento di modelli di IA; (b) garantiscono che i dati trasmessi tramite API non vengano conservati dal fornitore oltre il tempo necessario per generare la risposta dell'API; (c) richiedono la conformità alla normativa UE sulla protezione dei dati tramite Clausole Contrattuali Standard.

10A.4 Archiviazione dei Dati e Infrastruttura

Tutti i dati dell'AI Engine — incluse le risposte in testo libero, le analisi generate da IA, i dati sul tempo di risposta e gli indicatori interni di competenza — sono archiviati esclusivamente nell'infrastruttura cloud di EASEC situata all'interno dello Spazio Economico Europeo: Google Cloud Platform (regione UE) e DigitalOcean (regione UE). Nessun dato dell'AI Engine viene archiviato permanentemente al di fuori del SEE.

10A.5 Cosa Vedono e Cosa Non Vedono Istituzioni e Datori di Lavoro

I Centri di Certificazione istituzionali e i clienti datori di lavoro con accesso alla piattaforma EASEC ricevono:

• Risultati di certificazione psicometrica (livello di competenza e se la soglia di certificazione è stata raggiunta)
• La credenziale digitale emessa (diploma, Open Badge, Europass EDC) associata all'individuo
• Analisi di coorte derivate dai dati di valutazione certificati (aggregate o per singolo individuo, come concordato nell'accordo istituzionale)

I Centri di Certificazione istituzionali e i clienti datori di lavoro NON ricevono, e EASEC non condivide con loro:

• La risposta situazionale in testo libero scritta dal partecipante durante la dimensione dell'AI Engine
• L'analisi interpretativa generata da IA (punti di forza, opportunità, contesti di prestazione, prossimi passi)
• L'indicatore interno di competenza generato dall'AI Engine

10A.6 Protocollo di Revisione Umana

I partecipanti hanno il diritto di richiedere la revisione dell'analisi interpretativa del loro AI Engine da parte di un valutatore qualificato EASEC. Tale diritto viene presentato ai partecipanti nell'interfaccia di valutazione al termine della dimensione dell'AI Engine. Le richieste di revisione possono essere inviate in qualsiasi momento a [email protected]. EASEC si impegna a confermare il ricevimento delle richieste di revisione entro cinque (5) giorni lavorativi.

10A.7 Diritti in relazione al Trattamento da parte dell'IA

L'analisi interpretativa dell'AI Engine costituisce un trattamento automatizzato di dati personali per produrre un output che descrive le caratteristiche dell'individuo. Ai sensi dell'Articolo 22 del GDPR, i partecipanti hanno il diritto di: (a) ottenere una revisione umana dell'analisi dell'AI Engine; (b) esprimere il proprio punto di vista; (c) contestare l'analisi laddove ritengano che non li rappresenti accuratamente. Inoltre, i partecipanti possono presentare un ricorso formale tramite la procedura di ricorsi e reclami di EASEC allineata alla ISO/IEC 17024 (Policy P-APR-01). Per esercitare tali diritti, contattare [email protected] o [email protected].

11. Partecipazione di Minori

I servizi EASEC for Schools sono specificamente progettati per studenti delle scuole secondarie di età compresa tra i 15 e i 18 anni. I servizi EASEC for Higher Education ed EASEC for Work sono destinati a individui di età pari o superiore a 18 anni. Gli acquisti diretti B2C sono disponibili esclusivamente per individui di età pari o superiore a 18 anni.

Le istituzioni non devono iscrivere studenti di età inferiore a 15 anni a nessun servizio EASEC.

12. Account Personali EASEC Wallet

Al completamento della prima valutazione delle competenze EASEC — tramite un istituto scolastico, un datore di lavoro, un Partner Autorizzato, il Programma di Cooperazione Internazionale o tramite un acquisto diretto B2C — a ciascun individuo viene assegnato automaticamente un account personale EASEC Wallet. Tale account:

• Appartiene all'individuo ed è indipendente da qualsiasi rapporto contrattuale istituzionale, del datore di lavoro o del partner con EASEC
• Persiste a tempo indeterminato, per tutto il tempo in cui l'individuo sceglie di mantenerlo
• Conserva tutte le certificazioni di competenze e le certificazioni professionali emesse a quell'individuo, in modo permanente e senza scadenza del registro
• Conserva le analisi interpretative dell'AI Engine generate per quell'individuo, accessibili esclusivamente al singolo
• Consente all'individuo di scaricare, condividere e gestire le proprie credenziali in qualsiasi momento, inclusa la condivisione su LinkedIn e altre piattaforme professionali
• Non può essere chiuso o limitato da alcuna istituzione, datore di lavoro, partner o programma di cooperazione
• Consente all'individuo di configurare le proprie preferenze di trattamento dei dati e le impostazioni di autorizzazione direttamente nella piattaforma

Gli individui possono richiedere la chiusura del proprio account Wallet in qualsiasi momento contattando [email protected]. La chiusura dell'account Wallet non elimina i registri di emissione delle certificazioni conservati da EASEC a fini di verifica e audit.

12A. Controllo Individuale dei Dati e Gestione delle Autorizzazioni

Ciascun individuo titolare di un account personale EASEC Wallet ha pieno controllo sulle autorizzazioni di accesso ai dati concesse alle istituzioni e ai datori di lavoro che hanno somministrato valutazioni EASEC. Tramite le impostazioni del proprio account Wallet, gli individui possono:

• (a) Verificare quali istituzioni e datori di lavoro abbiano attualmente accesso ai propri risultati di valutazione, ai registri delle credenziali e ai dati del profilo;
• (b) Revocare in qualsiasi momento, con effetto immediato, le autorizzazioni di accesso concesse a specifiche istituzioni o datori di lavoro;
• (c) Configurare se EASEC possa utilizzare i propri dati individuali (al di là di quanto necessario per l'integrità della certificazione) a fini di ricerca e miglioramento interno;
• (d) Esercitare tutti i diritti applicabili degli interessati ai sensi del GDPR direttamente tramite l'interfaccia della piattaforma.

Effetti della Revoca dell'Accesso Istituzionale

• L'istituzione o il datore di lavoro perde immediatamente tutta la visibilità sui dati identificativi dell'individuo, inclusi nome, cognome, indirizzo e-mail, risultati delle valutazioni, registri delle credenziali e dati storici di prestazione.
• I dati dell'individuo vengono anonimizzati dal punto di vista dell'istituzione. I dati aggregati e di benchmarking possono rimanere disponibili per l'istituzione esclusivamente in forma non identificabile.
• EASEC continua a conservare i registri di certificazione dell'individuo e i dati personali del Wallet in conformità alla presente Informativa.
• Gli obblighi di EASEC in qualità di emittente della certificazione sono indipendenti da qualsiasi rapporto istituzionale.
• Le credenziali emesse rimangono permanentemente verificabili tramite l'infrastruttura di verifica pubblica di EASEC, in quanto l'integrità del registro di certificazione è una funzione fondamentale del ruolo di EASEC come autorità di certificazione indipendente e non può essere compromessa dalla revoca dell'accesso istituzionale.

Effetti della Revoca o Limitazione del Trattamento da parte di EASEC

• I registri di emissione delle certificazioni e i metadati delle credenziali non possono essere eliminati dal registro di certificazione di EASEC, in quanto la loro conservazione è necessaria per preservare l'integrità del sistema di verifica su cui fanno affidamento le parti fiduciarie (datori di lavoro, istituzioni, organismi di regolamentazione in tutto il mondo).
• I dati dell'AI Engine (risposta in testo libero, analisi interpretativa, indicatore interno) possono essere eliminati a seguito di una valida richiesta di cancellazione, nel rispetto del periodo di conservazione di 24 mesi stabilito nella Sezione 18, qualora non vi sia un prevalente legittimo interesse.
• Tutte le altre categorie di dati personali sono soggette ai diritti di cancellazione o limitazione indicati nella Sezione 20.

13. Credenziali Digitali e Verifica Pubblica

EASEC emette credenziali nei seguenti formati:

• Diploma digitale co-branded — PDF recante i loghi di EASEC e dell'istituzione o del datore di lavoro, con codice di verifica univoco e QR code
• Credenziale digitale verificabile — condivisibile direttamente su LinkedIn e altre piattaforme professionali
• Open Badge 3.0 — compatibile con qualsiasi portafoglio digitale o piattaforma di badge conforme agli standard
• Europass Digital Credential (EDC) — compatibile con l'infrastruttura e il portfolio Europass
• Credenziale ancorata su blockchain — un ulteriore livello di integrità e verifica basato sull'Ethereum Attestation Service (EAS) distribuito sulla rete Base, come descritto nella Sezione 13A

I metadati delle credenziali includono dati di allineamento ai quadri mappati su ESCO, EQF, Tuning, WEF Future of Jobs, UNESCO e O*NET ove applicabile.

Ciascuna credenziale ha una validità dichiarata di tre (3) anni dall'emissione. Il registro delle credenziali non viene mai eliminato dal registro di certificazione di EASEC. Le credenziali sono verificabili pubblicamente all'indirizzo https://cert.easec.eu/certificates/verify. Il servizio di verifica non espone i dati delle risposte alle valutazioni né gli output dell'AI Engine.

13A. Registro Pubblico delle Credenziali su Blockchain

13A.1 Cosa Facciamo

Quando EASEC emette una credenziale digitale (Open Badge), può registrare una prova della sua esistenza in un registro pubblico basato sulla tecnologia blockchain: la rete Base, tramite l'Ethereum Attestation Service (EAS). Tale registrazione consente a qualsiasi soggetto di verificare che una credenziale sia stata emessa da EASEC, in quale data, che non sia stata alterata e se sia stata revocata, senza dover consultare direttamente EASEC.

13A.2 Quali Dati vengono Pubblicati

I seguenti dati — e soltanto questi — vengono pubblicati sulla blockchain per ciascuna credenziale registrata:

• Un hash crittografico della credenziale: un codice matematico unidirezionale calcolato dalla credenziale. L'hash consente a qualsiasi soggetto in possesso della credenziale di verificarne l'autenticità e l'integrità calcolando l'hash in modo indipendente e confrontandolo con il registro pubblicato. L'hash non consente di ricostruire la credenziale né di identificarne il titolare.
• La data di emissione.

13A.3 Quali Dati NON vengono Pubblicati

Nessun dato personale viene pubblicato sulla blockchain. In particolare, il registro on-chain non include: il nome del titolare, l'indirizzo e-mail, l'identificatore della credenziale, la competenza valutata, l'esito della valutazione, il livello di competenza né alcun altro contenuto della credenziale. Dal solo hash crittografico non è possibile determinare a chi appartenga una credenziale: solo un soggetto che già possieda la credenziale può calcolarne l'hash e verificare la corrispondenza.

13A.4 Base Giuridica

Tale trattamento si basa sul legittimo interesse di EASEC e dei terzi che verificano le credenziali (datori di lavoro, istituzioni educative, organismi di regolamentazione, tra gli altri) nel garantire l'autenticità e l'integrità delle credenziali emesse e prevenirne la falsificazione [Art. 6(1)(f) GDPR]. EASEC ha limitato i dati pubblicati al minimo necessario a tal fine.

13A.5 Natura Permanente

Per la natura della tecnologia blockchain, le informazioni registrate sulla rete non possono essere modificate né eliminate una volta pubblicate, né da EASEC né da terzi. Qualora una credenziale venga revocata, EASEC contrassegna la corrispondente attestazione on-chain come revocata, ma l'hash crittografico e la data di emissione rimangono sulla rete.

13A.6 Revocabilità

Ciascuna attestazione on-chain è registrata come revocabile. Se EASEC revoca una credenziale nei propri sistemi, contrassegna anche la corrispondente attestazione blockchain come revocata.

13A.7 Architettura Tecnica

EASEC utilizza il contratto standard EAS già distribuito sulla rete Base e non distribuisce né mantiene smart contract proprietari. Ciò elimina la necessità di sviluppare, verificare o mantenere codice blockchain personalizzato.

13A.8 Destinatari e Trasferimenti Internazionali

Il registro blockchain è pubblico ed è replicato sui nodi della rete Base, gestiti da terzi in vari paesi, inclusi paesi situati al di fuori dello Spazio Economico Europeo. Per inviare attestazioni alla rete, EASEC si avvale di un fornitore di accesso all'infrastruttura blockchain che agisce come responsabile del trattamento ai sensi di un accordo di trattamento dei dati.

13A.9 Conservazione

L'hash crittografico e la data di emissione sono conservati sulla rete blockchain a tempo indeterminato per la natura immutabile della stessa. Nei sistemi di EASEC, il collegamento tra la credenziale di un individuo e il relativo registro blockchain è conservato per tutta la durata di vita della credenziale.

13A.10 Diritto di Opposizione

L'interessato può opporsi alla registrazione della propria credenziale nel registro pubblico su blockchain scrivendo a [email protected] o [email protected]:

• Prima dell'emissione: qualora l'opposizione venga presentata prima dell'emissione della credenziale, EASEC non la registrerà sulla blockchain.
• Dopo la registrazione: qualora la credenziale sia già stata registrata, EASEC contrassegnerà l'attestazione on-chain come revocata ed eliminerà dai propri sistemi il collegamento tra la credenziale e il registro blockchain, così che l'hash crittografico pubblicato non sia più associato all'interessato nei sistemi di EASEC. L'hash crittografico e la data di emissione rimarranno sulla blockchain per la natura immutabile della tecnologia; tuttavia, il solo hash non consente l'identificazione dell'interessato.

L'esercizio di tale diritto non incide sulla validità della credenziale né sull'accesso a qualsiasi altro servizio EASEC.

13A.11 Rapporto con la Verifica Primaria

Il registro pubblico delle credenziali su blockchain è un ulteriore livello di integrità e verifica. Non sostituisce né modifica il sistema primario di verifica delle credenziali disponibile all'indirizzo cert.easec.eu/certificates/verify. La registrazione blockchain non certifica di per sé l'identità del titolare né conferisce alla credenziale alcuna validità legale o riconoscimento ufficiale ulteriore rispetto a quello già detenuto.

13A.12 Europass Digital Credentials

Le Europass Digital Credentials (EDC) non sono incluse nel registro pubblico delle credenziali su blockchain in questa fase. Qualora EASEC decidesse di includerle in futuro, verrà registrato a tale scopo uno schema di attestazione separato. La registrazione di uno schema aggiuntivo non incide sulle attestazioni esistenti né sullo schema attuale.

14. Co-branding e Profili Istituzionali

Le credenziali emesse nell'ambito di un accordo istituzionale recano il co-branding sia di EASEC sia dell'istituzione o del datore di lavoro partecipante. Tale co-branding non trasferisce alcuna responsabilità di titolare del trattamento all'istituzione in relazione ai registri di certificazione di EASEC, né altera lo status di EASEC come unica autorità legale emittente.

Laddove un'istituzione operi come Centro di Certificazione EASEC o detenga lo status di Accreditamento del Programma, EASEC pubblica e mantiene un profilo istituzionale sul sito web EASEC per tutta la durata dell'accordo. Lo status di Accreditamento del Programma viene concesso qualora il programma di un'istituzione dimostri un allineamento di almeno l'80% ai quadri di competenze internazionali applicabili (ESCO, EQF, Tuning e WEF Future of Jobs). Tale profilo può includere il nome dell'istituzione, il logo, i dati di contatto, il numero di individui certificati, le aree di competenza e lo status di accreditamento. Le istituzioni possono configurare il proprio profilo tramite il proprio account amministrativo su cert.easec.eu.

15. Servizi di Terzi e Fornitori di Tecnologia

«CCS» si riferisce alle Clausole Contrattuali Standard UE ai sensi dell'Articolo 46 del GDPR.

EASEC non vende dati personali a terzi e non utilizza dati personali per pubblicità comportamentale indirizzata a singoli utenti sulla base del contenuto delle loro valutazioni o degli esiti di certificazione.

16. Condivisione dei Dati

• Istituzioni e datori di lavoro partecipanti — per analisi di coorte, reportistica di qualità e gestione dei programmi, in conformità agli accordi istituzionali e alle impostazioni di autorizzazione dell'individuo nel proprio EASEC Wallet
• Partner Autorizzati — solo se espressamente autorizzati nell'ambito del relativo Accordo con Partner e limitatamente ai dati necessari per la funzione autorizzata del partner
• Fornitori di tecnologia e infrastruttura — elencati nella Sezione 15, per il funzionamento e la manutenzione delle piattaforme EASEC
• Sistemi e infrastrutture di verifica delle credenziali — incluse le integrazioni con Europass e LinkedIn, qualora gli individui scelgano di condividere le proprie credenziali tramite tali canali
• Fornitore di infrastruttura blockchain — qualora una credenziale venga registrata nel registro pubblico su blockchain, il fornitore di accesso all'infrastruttura blockchain riceve esclusivamente l'hash crittografico e la data di emissione ai fini dell'invio dell'attestazione alla rete Base. Gli individui possono esercitare il diritto di opposizione come descritto nella Sezione 13A.10.
• Rete blockchain pubblica — qualora una credenziale venga registrata, l'hash crittografico e la data di emissione vengono pubblicati sulla rete Base e sono accessibili a qualsiasi soggetto. Il registro on-chain non contiene dati personali.
• Autorità competenti e organismi di vigilanza — qualora richiesto dalla normativa applicabile, da un ordine del tribunale o da un'indagine regolamentare
• Innzpira LLC — qualora la fatturazione e l'erogazione dei servizi EASEC for Work denominati in USD richiedano uno scambio di dati tra le due entità del gruppo, disciplinato da un accordo intragrupo di trasferimento dei dati che incorpora le opportune garanzie

17. Trasferimenti Internazionali di Dati

• Clausole Contrattuali Standard UE (CCS) — applicate ai trasferimenti verso fornitori negli USA e in altri paesi non adeguati, ai sensi dell'Articolo 46(2)(c) del GDPR
• Decisioni di adeguatezza — utilizzate laddove la Commissione Europea abbia determinato che un paese destinatario garantisce un livello adeguato di protezione
• Accordo intragrupo — che disciplina i flussi di dati tra INNZPIRA ANALYTICS S.L. e Innzpira LLC, incorporando le CCS
• Rete blockchain pubblica — i dati dell'attestazione della credenziale (hash crittografico e data di emissione) vengono pubblicati sulla rete Base e replicati sui nodi gestiti da terzi in varie giurisdizioni, incluse giurisdizioni al di fuori del SEE. Poiché i dati pubblicati non costituiscono dati personali (il solo hash non consente l'identificazione), tale replica non costituisce un trasferimento di dati personali ai sensi del Capitolo V del GDPR. Il trasferimento da parte di EASEC al fornitore di accesso all'infrastruttura blockchain è disciplinato da un accordo di trattamento dei dati che incorpora le opportune garanzie.

17A. Conformità Normativa Globale

EASEC opera in oltre 64 paesi e si impegna a rispettare gli standard applicabili in materia di protezione dei dati in ciascuna giurisdizione in cui i propri servizi sono fruiti. Di seguito si illustra l'approccio di EASEC ai principali quadri normativi internazionali in aggiunta al GDPR dell'UE.

India — Digital Personal Data Protection Act 2023 (DPDP Act)

Per le valutazioni che coinvolgono partecipanti situati in India, EASEC agisce come Data Fiduciary ai sensi del DPDP Act. EASEC tratta i dati personali sulla base del consenso ottenuto tramite il meccanismo di consenso alla valutazione. I partecipanti in India hanno il diritto di accedere, correggere ed eliminare i propri dati personali e di ottenere rimedio tramite il RPD di EASEC. I trasferimenti transfrontalieri di dati personali indiani all'infrastruttura SEE di EASEC avvengono nell'ambito dei meccanismi di trasferimento leciti applicabili ai sensi del DPDP Act e delle relative norme di attuazione.

Brasile — Lei Geral de Proteção de Dados (LGPD)

Per i partecipanti brasiliani, EASEC tratta i dati personali sulla base dell'esecuzione del contratto e del legittimo interesse come previsto dalla LGPD. Ai sensi dell'Articolo 20 della LGPD, i partecipanti hanno il diritto di richiedere la revisione delle decisioni automatizzate. Tale diritto viene attuato tramite il Protocollo di Revisione Umana descritto nelle Sezioni 10 e 10A.6 e tramite la procedura di ricorsi allineata alla ISO/IEC 17024.

Colombia — Ley 1581 de 2012

Per i partecipanti colombiani, EASEC ottiene un'autorizzazione espressa per il trattamento di categorie di dati sensibili (incluse le risposte alle valutazioni psicometriche e situazionali, che possono riferirsi a caratteristiche psicologiche) in conformità ai requisiti della Ley 1581. Il meccanismo di consenso alla valutazione costituisce l'autorizzazione espressa richiesta.

Cile — Ley 21.096 e Ley 19.628

Per i partecipanti cileni, EASEC applica i principi di limitazione delle finalità, proporzionalità e diritti di habeas data in conformità alla normativa cilena applicabile in materia di protezione dei dati. I partecipanti possono esercitare i diritti di accesso, rettifica, cancellazione e opposizione tramite il RPD.

Singapore — Personal Data Protection Act 2012 (PDPA)

Per i partecipanti e i clienti istituzionali di Singapore, EASEC rispetta gli obblighi della PDPA, inclusi la limitazione delle finalità, l'accuratezza dei dati, la protezione e la limitazione della conservazione. I trasferimenti transfrontalieri avvengono nell'ambito delle disposizioni contrattuali richieste dalla PDPA.

Giappone — Act on the Protection of Personal Information (APPI)

Per i partecipanti giapponesi, EASEC tratta i dati personali in conformità ai requisiti dell'APPI relativi alla specificazione delle finalità, alla limitazione dell'utilizzo e alle restrizioni sulla divulgazione a terzi. I trasferimenti transfrontalieri di dati rispettano le regole dell'APPI.

Argentina — Ley 25.326 de Protección de Datos Personales

Per i partecipanti argentini, EASEC tratta i dati personali in conformità alla Ley 25.326, applicando i principi di qualità, finalità, consenso e sicurezza. I dati sensibili (inclusi i dati psicometrici) vengono trattati solo con il consenso espresso dell'interessato.

Messico — Ley Federal de Protección de Datos Personales en Posesión de los Particulares

Per i partecipanti messicani, EASEC agisce come Responsable del tratamiento e rispetta la LFPDPPP, incluso l'obbligo di rendere disponibile un Aviso de Privacidad e di garantire i diritti ARCO (Acceso, Rectificación, Cancelación, Oposición).

Altre Giurisdizioni

Per i partecipanti e i clienti nelle giurisdizioni non specificamente elencate sopra, il quadro di trattamento conforme al GDPR di EASEC garantisce un livello di protezione che soddisfa o supera i requisiti della maggior parte delle normative nazionali applicabili in materia di protezione dei dati. Gli individui in qualsiasi giurisdizione possono esercitare i propri diritti tramite i recapiti del RPD indicati nella Sezione 4.

18. Conservazione dei Dati

19. Misure di Sicurezza

EASEC adotta misure di sicurezza tecniche e organizzative in conformità alla propria certificazione ISO 27001, tra cui:

• Cifratura dei dati in transito (TLS/HTTPS) e a riposo
• Controlli di accesso basati sui ruoli che limitano l'accesso ai dati al solo personale autorizzato
• Monitoraggio continuo, rilevamento delle intrusioni e registrazione degli eventi di sicurezza
• Ambienti di hosting cloud sicuri (Google Cloud Platform, DigitalOcean) con ridondanza geografica all'interno del SEE
• Backup automatici periodici e procedure di ripristino testate
• Revisioni periodiche della sicurezza e valutazioni delle vulnerabilità
• Procedure di risposta agli incidenti allineate ai requisiti di notifica delle violazioni entro 72 ore previsti dal GDPR
• Valutazione della sicurezza dei fornitori per tutti i fornitori terzi con accesso a dati personali, inclusi i sub-responsabili IA
• Formazione interna in materia di protezione dei dati per tutto il personale EASEC
• Misure di monitoraggio dell'integrità delle valutazioni nell'ambito dell'AIF, progettate e gestite in conformità ai principi di minimizzazione dei dati e limitazione delle finalità
• Laddove le credenziali ancorate su blockchain siano attivate, la pubblicazione di hash crittografici su un registro distribuito immutabile fornisce un ulteriore livello di prova dell'integrità che consente la verifica indipendente dell'integrità delle credenziali senza dipendere dall'infrastruttura propria di EASEC

In caso di violazione dei dati personali che possa comportare un rischio elevato per i diritti e le libertà degli individui, EASEC notificherà gli interessati senza ingiustificato ritardo e notificherà il Garante per la protezione dei dati personali competente entro 72 ore. Per i trattamenti soggetti alla giurisdizione spagnola, l'autorità di riferimento è l'Agencia Española de Protección de Datos (AEPD).

20. Diritti degli Interessati

Le richieste possono essere inviate a [email protected] o direttamente al RPD all'indirizzo [email protected]. EASEC verificherà l'identità del richiedente prima di procedere e risponderà entro trenta (30) giorni di calendario.

21. Cookie

EASEC utilizza cookie e tecnologie di tracciamento simili su www.easec.eu. Il consenso ai cookie è gestito tramite CookieYes, una Piattaforma di Gestione del Consenso conforme al GDPR.

Le preferenze possono essere gestite in qualsiasi momento tramite il pannello delle impostazioni cookie disponibile nel footer del sito web.

Solo i cookie strettamente necessari vengono attivati senza il consenso dell'utente. Tutte le altre categorie — Analitici, Marketing e Funzionali — richiedono il consenso esplicito prima di essere attivate. Per informazioni complete, consultare la Cookie Policy di EASEC.

22. Ricerca, Benchmarking e Sviluppo degli Standard

• Miglioramento e validazione degli strumenti di valutazione psicometrica e del EASEC AI Engine
• Sviluppo di benchmark internazionali delle competenze e profili di competenza allineati a ESCO, EQF, Tuning, WEF, UNESCO e O*NET
• Produzione di report anonimizzati settoriali o regionali sulle tendenze delle competenze
• Avanzamento della ricerca sulle competenze di occupabilità in collaborazione con partner accademici o istituzionali
• Supporto all'evoluzione dello standard di certificazione EASEC
• Pubblicazioni accademiche, contributi a conferenze e progetti di ricerca collaborativa

EASEC non vende dati personali. EASEC non utilizza dati personali per pubblicità comportamentale. I risultati delle ricerche non includono alcuna informazione individualmente identificabile. Gli individui possono configurare le proprie preferenze di trattamento per la ricerca tramite le impostazioni del proprio account EASEC Wallet.

23. Modifiche alla presente Informativa

EASEC può aggiornare la presente Informativa sulla Privacy per riflettere modifiche alla normativa applicabile, alle pratiche operative o ai servizi offerti. Le modifiche sostanziali saranno comunicate aggiornando la data di «Ultimo aggiornamento» in cima alla presente Informativa e, ove opportuno, tramite notifica diretta agli utenti registrati, ai Partner Autorizzati o alle istituzioni.

Il continuo utilizzo dei servizi EASEC a seguito della pubblicazione di un'Informativa aggiornata costituisce accettazione dei termini rivisti. Le versioni precedenti possono essere richieste contattando [email protected].

24. Contatti