Bozza, non ancora in vigore. Il testo descrive i trattamenti che la piattaforma esegue davvero, ma i dati evidenziati in giallo devono essere forniti da Mosaica e l’insieme va validato da un legale prima della pubblicazione.

Informativa sulla privacy

Ultimo aggiornamento: 6 agosto 2026

Questa informativa spiega quali dati personali raccogliamo quando usi Empara, perché lo facciamo, a chi li affidiamo e per quanto tempo li conserviamo. È resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR).

Chi tratta i tuoi dati

Il titolare del trattamento è Mosaica S.r.l., con sede legale in Corso Vittorio Emanuele II 155, 83100 Avellino, P. IVA 03214350641.

Per qualsiasi richiesta relativa ai tuoi dati puoi scrivere a da fornire — indirizzo email per le richieste privacy.

Responsabile della protezione dei dati (DPO): da fornire — nominativo e contatti del DPO, oppure la dichiarazione che non è stato nominato.

Quali dati trattiamo

Dati che ci dai tu

Anagrafica: nome, cognome, indirizzo email, codice fiscale, data, luogo e provincia di nascita, numero di telefono. I dati di nascita servono perché finiscono sull’attestato e sul registro richiesto dal Ministero: senza, l’attestato non è valido.
Documento d’identità: il file che carichi in fase di primo accesso. È conservato in un’area di archiviazione privata, leggibile solo da te e dal personale di Mosaica, e non è mai raggiungibile da un indirizzo pubblico.
Dati di fatturazione (partita IVA, indirizzo, codice SDI, PEC): li raccoglie Stripe durante il pagamento e restano nei suoi sistemi. Noi non li archiviamo sulla piattaforma.

Dati generati dall’uso della piattaforma

Avanzamento nei video: a intervalli regolari, mentre guardi una lezione, registriamo a che punto sei arrivato. Serve a certificare le ore di formazione svolte.
Presenza alle dirette: orario di ingresso e di uscita da ogni lezione in streaming, e i minuti che ne risultano.
Esiti delle verifiche: risposte date, punteggio, superamento. Le risposte vengono salvate mentre si svolge la verifica, così un ricaricamento della pagina non le fa perdere: restano registrate anche se la verifica non viene poi consegnata.
Registro degli accessi: una riga al giorno per persona, con data, indirizzo IP, tipo di dispositivo e browser.
Attestati emessi e relativo codice di verifica pubblico.

Non usiamo strumenti di profilazione o di pubblicità, né nostri né di terzi, e non c’è alcuna decisione automatizzata che produca effetti giuridici su di te. Due strumenti tecnici però ci sono, e li diciamo per intero:

Un conteggio delle pagine viste (Vercel Web Analytics). Non scrive nulla sul tuo dispositivo — nessun cookie — e non costruisce un identificativo che ti segue da un giorno all’altro o da un sito all’altro: produce numeri aggregati, non un profilo.
La raccolta degli errori dell’applicazione (Sentry). Quando qualcosa si rompe registra cosa è successo, insieme all’indirizzo IP e al tipo di browser. Serve ad accorgersi dei guasti senza aspettare che qualcuno li segnali. Non registriamo lo schermo né quello che scrivi: la funzione che lo farebbe è disattivata di proposito.

Perché li trattiamo

Per eseguire il contratto (art. 6.1.b GDPR): Crearti l’account, darti accesso ai corsi, farti partecipare alle dirette, correggere le verifiche, emettere l’attestato, gestire i pagamenti.
Per adempiere a obblighi di legge (art. 6.1.c GDPR): Tenere il registro delle presenze e la documentazione della formazione svolta secondo le regole del Ministero dell’Istruzione e del Merito, ed emettere e conservare i documenti fiscali. Sono le finalità per cui i registri non possono essere cancellati su richiesta.
Per un nostro legittimo interesse (art. 6.1.f GDPR): Il registro degli accessi e i controlli tecnici che tengono la piattaforma sicura e impediscono che un account venga condiviso fra più persone.

A chi li affidiamo

Non vendiamo né cediamo i tuoi dati a nessuno. Ci appoggiamo però a fornitori che li trattano per nostro conto, nominati responsabili del trattamento:

Supabase — banca dati, autenticazione e archiviazione dei file. I dati risiedono su server nell’Unione Europea (Parigi).
Vercel — pubblicazione ed esecuzione del sito, e il conteggio aggregato delle pagine viste. Regione dei server: da fornire — regione di esecuzione configurata sul progetto Vercel.
Sentry — raccolta degli errori dell’applicazione. Regione dei server: da fornire — regione del progetto Sentry, da scegliere all’attivazione: l’Unione Europea è un’opzione e va preferita.
Stripe — pagamenti e dati di fatturazione.
Resend — invio delle email di servizio (collegamenti di accesso, promemoria, comunicazioni sull’iscrizione).
LiveKit — le lezioni in diretta.
VdoCipher — i video registrati e la loro protezione.
Trigger.dev — le elaborazioni che avvengono in differita (per esempio la pubblicazione della registrazione dopo una diretta).

Alcuni di questi fornitori possono trattare dati al di fuori dell’Unione Europea. In quel caso il trasferimento avviene sulla base di da fornire — garanzie applicabili per ciascun fornitore: clausole contrattuali standard, decisione di adeguatezza, elenco definitivo da confermare con il legale.

Per quanto tempo li conserviamo

Accesso al corso: Per la durata indicata sul corso al momento dell’iscrizione. Alla scadenza l’accesso ai contenuti viene revocato.
Account e anagrafica: Rimossi dopo un periodo dalla scadenza dell’iscrizione, oggi impostato a 30 giorni. Il margine serve a lasciarti il tempo di scaricare l’attestato prima che l’area sparisca.
Registri di formazione, presenze e accessi: Non vengono cancellati: vengono resi anonimi. Il collegamento con la tua identità viene rimosso e sostituito con un codice non riconducibile a te. La riga resta come prova che quella formazione è stata erogata — è quello che la normativa ci chiede di poter dimostrare — ma non dice più a chi. Periodo di conservazione: da fornire — anni di conservazione dei registri richiesti dal MIM.
Attestati emessi: Restano verificabili tramite il loro codice pubblico anche dopo la cancellazione dell’account: un attestato già consegnato deve poter essere controllato da chi lo riceve, altrimenti non varrebbe niente. La riga conservata non contiene il tuo nome.
Documenti fiscali: Dieci anni, come prescritto dall’articolo 2220 del Codice civile.

I tuoi diritti

Puoi chiederci in ogni momento di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in un formato leggibile da un altro servizio, e opporti al trattamento fondato sul legittimo interesse.

Due di questi diritti li eserciti da solo, senza chiedere niente a nessuno: dalla tua area Il mio account puoi scaricare tutti i tuoi dati in un file leggibile e puoi chiedere la cancellazione dell’account.

Quello che la cancellazione non elimina è scritto sopra: i registri vengono resi anonimi invece che rimossi, e gli attestati già emessi restano verificabili. Non è un limite tecnico, è l’obbligo di conservare la prova della formazione erogata.

Se ritieni che i tuoi dati siano trattati in modo scorretto puoi rivolgerti al Garante per la protezione dei dati personali.

Modifiche

Se cambieremo questa informativa aggiorneremo la data in cima alla pagina e, quando le modifiche sono rilevanti, te lo comunicheremo via email.