Informativa sulla privacy, StepsConnect
Sito web, piattaforma ATS e servizi correlati
Versione 2.0, ultimo aggiornamento: 25/01/2025
La presente informativa spiega come STEPS SRL, che opera come StepsConnect ("StepsConnect", "noi"), tratta i dati personali quando utilizzi:
hire.stepsconnect.com può ospitare pagine di carriera e flussi di candidatura dei clienti. L'informativa rivolta ai candidati è resa da ciascuna azienda cliente, in qualità di Titolare del trattamento.
app.stepsconnect.com è l'ambiente utilizzato dai candidati per la gestione della candidatura e per le comunicazioni correlate, ove abilitato dal cliente.
Importante per i candidati. Quando ti candidi a una posizione pubblicata da un'azienda che utilizza StepsConnect, il Titolare del trattamento è l'azienda cliente che gestisce la selezione. StepsConnect tratta i dati dei candidati come Responsabile del trattamento, per conto di tale azienda e sulla base delle sue istruzioni.
Come leggere questa informativa
- Se visiti il sito o ci contatti: punti 3.1, 5, 14 e 15.1.
- Se sei un'azienda cliente o un utente della piattaforma: punti 2.1, 3.2, 5, 6, 11 e 15.1.
- Se sei un candidato: punti 2.2, 3.3, 7, 8, 13 e 15.2.
1. Titolare del trattamento e contatti
2. Ambito e ruoli privacy
2.1 Trattamenti in cui StepsConnect è Titolare
StepsConnect agisce come Titolare del trattamento quando tratta dati personali per:
- la navigazione e la sicurezza del sito web e dei portali;
- la gestione delle richieste di demo, di contatto e delle comunicazioni precontrattuali e commerciali;
- la stipula e l'esecuzione del contratto con l'azienda cliente;
- la creazione e la gestione degli account e degli accessi degli utenti abilitati dal cliente, per finalità di registrazione, sicurezza, supporto e amministrazione del servizio.
Rientrano in questo ambito i dati del legale rappresentante e dei referenti commerciali, amministrativi e tecnici del cliente, nonché i dati degli utenti che il cliente abilita all'uso della piattaforma.
2.2 Trattamenti in cui StepsConnect è Responsabile
Quando un candidato si candida a una posizione gestita tramite la piattaforma StepsConnect, StepsConnect tratta i dati del candidato come Responsabile del trattamento, per conto dell'azienda cliente, Titolare del trattamento. Finalità, basi giuridiche e tempi di conservazione dei dati dei candidati sono determinati dall'azienda cliente, che rende ai candidati la propria informativa attraverso il modulo di candidatura o la pagina carriera.
3. Categorie di dati personali trattati
3.1 Visitatori del sito e contatti commerciali
- dati identificativi e di contatto: nome, email, numero di telefono, azienda e ruolo;
- contenuto delle richieste inviate tramite moduli o email;
- dati tecnici: indirizzo IP, dispositivo e browser, log e dati di sicurezza;
- preferenze sui cookie, con le scelte granulari espresse.
3.2 Clienti e utenti della piattaforma
- dati identificativi e di contatto dei referenti del cliente;
- dati dell'account: nome, email, credenziali gestite dal sistema di autenticazione, ruolo applicativo e permessi assegnati dal cliente;
- log di accesso e di utilizzo, quale traccia di audit e degli eventi di sicurezza;
- dati di supporto: contenuto dei ticket e delle comunicazioni operative;
- dati amministrativi e contabili riferiti al cliente e ai suoi referenti.
3.3 Candidati, per conto del cliente
- dati inseriti nel modulo di candidatura: dati di contatto e informazioni professionali;
- CV, allegati e risposte ai questionari configurati dal cliente.
StepsConnect non richiede la raccolta di categorie particolari di dati ai sensi dell'art. 9 GDPR. I campi e le informazioni richiesti ai candidati sono definiti e gestiti dal cliente, nel rispetto della normativa applicabile.
4. Fonti dei dati personali
- Direttamente dall'interessato, quando compili un modulo sul sito, ci contatti, utilizzi la piattaforma come utente del cliente o, come candidato, invii informazioni e allegati tramite il modulo di candidatura di un cliente.
- Dal cliente, quando crea o gestisce gli account degli utenti abilitati e quando configura flussi di lavoro, moduli e campi del processo di selezione.
- Da terze parti scelte dal cliente, tramite le integrazioni abilitate, ad esempio i portali di annunci dai quali StepsConnect riceve le candidature.
5. Finalità, basi giuridiche e conservazione
La tabella riguarda i trattamenti in cui StepsConnect è Titolare. Per i dati dei candidati, trattati in qualità di Responsabile, finalità, basi giuridiche e conservazione sono determinate dall'azienda cliente.
| Finalità |
Base giuridica |
Conservazione |
| Gestione delle richieste di demo, di contatto e delle comunicazioni precontrattuali |
Art. 6.1.b, misure precontrattuali |
24 mesi dalla chiusura della richiesta, salvo instaurazione del rapporto contrattuale |
| Gestione delle relazioni commerciali e organizzazione dei contatti nel CRM |
Art. 6.1.f, legittimo interesse all'attività commerciale |
24 mesi dall'ultimo contatto utile, salvo instaurazione del rapporto contrattuale |
| Stipula ed esecuzione del contratto con il cliente e comunicazioni operative |
Art. 6.1.b, esecuzione del contratto |
Durata del contratto, poi secondo i termini di legge |
| Creazione e gestione degli account, controllo degli accessi e dei permessi |
Art. 6.1.b, esecuzione del contratto, e art. 6.1.f, sicurezza |
Durata del contratto e fino a 24 mesi dalla cessazione |
| Assistenza tecnica e gestione dei ticket |
Art. 6.1.b, esecuzione del contratto |
24 mesi dalla chiusura del ticket |
| Sicurezza dei sistemi, prevenzione di frodi e abusi, gestione degli incidenti, log tecnici |
Art. 6.1.c e art. 6.1.f, obbligo legale e legittimo interesse alla sicurezza |
Audit log applicativi 180 giorni. Backup cifrati con retention 30 giorni |
| Contabilità, adempimenti fiscali, gestione dei contratti e del contenzioso |
Art. 6.1.c, obbligo legale, e art. 6.1.f, tutela dei diritti |
10 anni ai sensi dell'art. 2220 c.c. |
| Gestione delle candidature tramite la piattaforma ATS |
Determinata dal Titolare, cioè dall'azienda cliente |
Determinata dall'azienda cliente e configurabile. Copie tecniche limitate, ad esempio i backup, secondo la policy di servizio |
Al termine dei periodi indicati i dati sono cancellati o resi anonimi, salvo che la conservazione sia richiesta da un obbligo di legge o dalla necessità di accertare, esercitare o difendere un diritto in sede giudiziaria.
6. Natura del conferimento
Il conferimento dei dati indicati come necessari per la stipula del contratto, per l'abilitazione degli account e per l'erogazione del servizio è requisito contrattuale: il rifiuto rende impossibile attivare il rapporto o consentire l'accesso alla piattaforma. Il conferimento dei dati per finalità commerciali facoltative è libero e il rifiuto non produce conseguenze sull'esecuzione del contratto.
7. Funzionalità basate sull'intelligenza artificiale
La piattaforma offre funzionalità di supporto basate sull'intelligenza artificiale, ad esempio la ricerca semantica dei candidati, la classificazione delle candidature, la sintesi dell'esperienza pregressa e la generazione di bozze di annuncio. Sono strumenti assistivi, sempre affiancati da una funzionalità equivalente non basata sull'AI, disattivabili dal cliente in qualsiasi momento.
- Provider unico e localizzazione. Tutte le funzioni AI sono erogate tramite Google Vertex AI in region europe-west1 (Belgio). Non vi sono trasferimenti dei dati dei candidati al di fuori dello Spazio economico europeo per queste finalità.
- Nessun addestramento. I dati inviati al provider non sono utilizzati per addestrare né per adattare modelli. La garanzia è contrattuale e vincolante.
- Minimizzazione. Prima di qualsiasi invio al provider, il testo del CV è sottoposto a rimozione tecnica dei dati identificativi diretti, quali nome, email, telefono, codice fiscale e indirizzo.
- Nessuna decisione automatizzata. Gli output AI hanno natura assistiva e non vincolante. Nessuna azione sul processo di selezione consegue automaticamente a un output AI senza una valutazione del recruiter.
8. Canale WhatsApp, funzionalità opzionale
StepsConnect può fornire una funzionalità basata su WhatsApp, tramite l'infrastruttura Meta, per supportare parti del processo di selezione, ad esempio le comunicazioni relative alla candidatura, le domande di screening e la pianificazione dei colloqui. La funzionalità è disattivata per impostazione predefinita e deve essere espressamente abilitata dall'azienda cliente.
Dove il canale è utilizzato:
- l'azienda cliente, in qualità di Titolare, è responsabile di rendere l'informativa ai candidati e di raccogliere l'opt-in prima di avviare le comunicazioni;
- il rapporto contrattuale è con Meta Platforms Ireland Ltd; i trasferimenti verso le società del gruppo Meta negli Stati Uniti avvengono sulla base delle Clausole Contrattuali Standard 2021/914, modulo responsabile a responsabile, previste dal WhatsApp Business Data Transfer Addendum, e Meta aderisce all'EU-US Data Privacy Framework;
- presso Meta i messaggi hanno una conservazione massima di 30 giorni, finalizzata alla consegna e alle ritrasmissioni. Una volta acquisiti, i messaggi sono archiviati nella piattaforma in UE;
- Meta non utilizza i contenuti dei messaggi per finalità di advertising o di profilazione e non applica ad essi funzionalità di intelligenza artificiale proprie.
9. Integrazioni con i portali di annunci
StepsConnect invia ai portali di annunci esclusivamente i dati dell'offerta di lavoro e riceve le candidature secondo le integrazioni abilitate dal cliente. I portali sono selezionati dal cliente, che ne è controparte contrattuale; StepsConnect opera come integratore tecnico all'interno del servizio ATS.
10. Destinatari e sub-responsabili
I dati sono trattati dal personale autorizzato di StepsConnect, istruito ai sensi dell'art. 29 GDPR, e possono essere comunicati ai soggetti che erogano i servizi necessari al funzionamento della piattaforma e alla gestione del rapporto.
| Destinatario |
Servizio |
Ruolo e localizzazione |
| Google Cloud EMEA Limited |
Infrastruttura cloud, database, inferenza AI, log, backup, autenticazione |
Responsabile ex art. 28. Database e servizi applicativi in UE, Firestore eur3 ed europe-west1. Firebase Authentication su infrastruttura USA |
| Elasticsearch B.V. |
Storage vettoriale degli indici di ricerca semantica |
Responsabile ex art. 28. Elastic Cloud su GCP europe-west1, UE |
| Vercel Inc. |
Hosting e distribuzione del frontend |
Responsabile ex art. 28. Region UE configurata, Francoforte. Società di diritto statunitense |
| Meta Platforms Ireland Ltd |
Canale di messaggistica WhatsApp, solo nei deployment che lo attivano |
Responsabile ex art. 28. Contratto UE, infrastruttura del gruppo negli USA |
| Fornitori di servizi CRM, di comunicazione e di assistenza |
Gestione dei contatti commerciali e dei ticket di supporto |
Responsabili ex art. 28 |
| Studio di consulenza contabile e del lavoro, consulenti legali |
Adempimenti amministrativi e fiscali, tutela dei diritti |
Responsabili o titolari autonomi in ragione del servizio reso |
| Autorità pubbliche e organi di controllo |
Adempimenti previsti dalla legge |
Titolari autonomi |
L'elenco aggiornato e nominativo dei sub-responsabili è disponibile su richiesta scrivendo a admin@stepsconnect.com o alla PEC indicata al punto 1. I dati non sono oggetto di diffusione e non sono ceduti a terzi per finalità di marketing di terzi.
11. Trasferimenti verso paesi terzi
Il trattamento avviene di regola all'interno dell'Unione europea. I dati dei candidati e tutte le elaborazioni delle funzionalità AI restano interamente in UE. Sono presenti i seguenti trasferimenti, coperti da garanzie adeguate:
| Componente |
Destinazione |
Categorie di dati |
Garanzie |
| Firebase Authentication (Google) |
USA |
Identificativi di account e credenziali gestite dal provider |
Clausole Contrattuali Standard 2021/914 incluse nel DPA Google Cloud e misure supplementari. Regionalizzazione del servizio in roadmap |
| Vercel Inc. |
UE, società di diritto statunitense |
Metadati tecnici di distribuzione del frontend |
Region UE configurata. Clausole Contrattuali Standard 2021/914 incluse nel DPA del fornitore |
| WhatsApp Business API (Meta), solo se il canale è attivo |
USA, gruppo Meta |
Numero di telefono, contenuto dei messaggi ed eventuali allegati |
Contratto con Meta Platforms Ireland. Clausole Contrattuali Standard 2021/914, modulo responsabile a responsabile, e adesione all'EU-US Data Privacy Framework |
Il trasferimento relativo all'autenticazione è strutturale e riguarda i soli dati di account, distinti dai dati dei candidati, che restano in UE.
12. Misure di sicurezza
StepsConnect adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui:
- cifratura in transito con TLS 1.2 o superiore e cifratura dei dati a riposo sull'intera infrastruttura cloud;
- controlli di accesso basati su ruoli e autenticazione a più fattori sugli accessi amministrativi e privilegiati;
- segregazione logica multi-tenant dei dati per cliente;
- audit log applicativi con conservazione di 180 giorni e backup cifrati con retention di 30 giorni;
- gestione delle vulnerabilità con tempi di rimedio definiti, 15 giorni per le criticità alte e critiche, 45 giorni per le medie, 90 giorni per le basse;
- penetration test eseguito da provider terzo indipendente;
- percorso di certificazione ISO/IEC 27001 in corso.
In caso di violazione dei dati personali che interessi trattamenti svolti in qualità di Responsabile, StepsConnect informa l'azienda cliente secondo i termini e le procedure previsti contrattualmente.
13. Processi decisionali automatizzati
I dati trattati da StepsConnect in qualità di Titolare non sono sottoposti a processi decisionali automatizzati, compresa la profilazione, che producano effetti giuridici o incidano in modo analogamente significativo sugli interessati ai sensi dell'art. 22 GDPR.
Con riferimento ai candidati, le funzionalità AI della piattaforma sono assistive: non escludono automaticamente candidati, non producono punteggi di idoneità e non determinano l'avanzamento nel processo di selezione, che resta sempre una decisione del recruiter dell'azienda cliente.
14. Cookie e tecnologie simili
Il sito utilizza cookie tecnici, strettamente necessari al funzionamento e alla sicurezza, e cookie analytics o di marketing, attivati esclusivamente previo consenso espresso tramite il banner. Rifiutando i cookie non essenziali restano attivi soltanto i cookie tecnici, di sicurezza e funzionali. Le scelte sono modificabili in qualsiasi momento dal link "Impostazioni cookie" presente sul sito, dove sono consultabili anche categorie, durate e fornitori.
15. Diritti degli interessati
15.1 Visitatori del sito, contatti commerciali, clienti e utenti della piattaforma
Puoi esercitare in qualsiasi momento i diritti previsti dagli artt. 15 e seguenti del GDPR: accesso, rettifica, cancellazione, limitazione del trattamento, portabilità ove applicabile, opposizione ai trattamenti fondati sul legittimo interesse e revoca del consenso, ove il trattamento sia basato sul consenso, senza pregiudizio per la liceità del trattamento svolto in precedenza.
Le richieste vanno inviate a admin@stepsconnect.com o alla PEC steps.edu@legalmail.it. Rispondiamo entro un mese dal ricevimento, termine prorogabile di due mesi in caso di richieste complesse o numerose, dandone comunicazione all'interessato. Può essere richiesta la verifica dell'identità del richiedente prima di dare seguito alla richiesta.
15.2 Candidati
Se ti sei candidato a una posizione gestita tramite un'azienda che utilizza StepsConnect, i tuoi diritti vanno esercitati nei confronti di tale azienda, Titolare del trattamento. Le richieste ricevute direttamente da StepsConnect sono inoltrate all'azienda cliente e gestite nei limiti del ruolo di Responsabile.
16. Reclamo all'autorità di controllo
Se ritieni che il trattamento dei tuoi dati personali violi la normativa applicabile puoi proporre reclamo all'autorità di controllo competente. In Italia: Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, garante@gpdp.it, PEC protocollo@pec.gpdp.it. Resta impregiudicata la facoltà di ricorso all'autorità giudiziaria.
17. Aggiornamenti e versione
La presente informativa può essere aggiornata per riflettere modifiche normative, organizzative o dei servizi. La versione più recente è sempre disponibile su questa pagina, con l'indicazione del numero di versione e della data di ultimo aggiornamento.
L'informativa è resa disponibile all'utente in fase di registrazione alla piattaforma, quale condizione per l'attivazione dell'account. StepsConnect conserva evidenza dell'avvenuta presa visione, con identificativo dell'utente, data e ora e versione dell'informativa. Le modifiche sostanziali sono comunicate ai referenti dell'azienda cliente ai recapiti indicati nel contratto.
