Informativa sul trattamento dei dati personali
Sorveglianza audio/video durante gli esami di certificazione erogati in modalità telematica sulla piattaforma IsorsCert.
Resa ai sensi degli artt. 13-14 del Regolamento (UE) 2016/679 (GDPR). Versione v2 - 2026-06-08. In attesa di validazione legale
1. Titolare del trattamento
M. & F. srl a Socio Unico (di seguito "M&F" o "Titolare"), nella sua qualità di Organismo di Certificazione (OdC) accreditato Accredia che eroga gli schemi di certificazione IsorsCert.
- Sede legale: Via Mauro Macchi 8 - 20124 Milano (MI)
- P.IVA / C.F.: 03019680846
- Email titolare: mef2060srl@gmail.com
- PEC: mef2060srl@pec.it
2. Contatti per la protezione dei dati
Per ogni questione relativa al trattamento dei propri dati personali e per l'esercizio dei diritti di cui al punto 9, l'interessato può rivolgersi direttamente al Titolare ai recapiti indicati al punto 1 (e-mail mef2060srl@gmail.com).
3. Finalità del trattamento e dati raccolti
Durante l'esame online la piattaforma raccoglie e tratta i seguenti dati per le seguenti finalità:
| Finalità | Dati trattati |
|---|
| (a) Identificazione del candidato e verifica della corrispondenza con il documento di riconoscimento. |
Documento di riconoscimento (già acquisito in fase di iscrizione), codice fiscale, immagine del volto trasmessa via webcam. |
| (b) Sorveglianza in diretta dell'esame (proctoring): controllo della regolarità della prova, controllo ambientale, rilevazione di irregolarità. |
Flusso audio/video della webcam del candidato trasmesso in tempo reale all'esaminatore tramite WebRTC cifrato (DTLS-SRTP). Il flusso non viene registrato in modo permanente. |
| (c) Tracciamento eventi di sicurezza (apertura/chiusura della finestra del browser, tentativi di violazione delle regole, alert di tempistica). |
Eventi di sistema (timestamp, codice evento, attempt id) registrati senza contenuti audio/video. |
| (d) Esito dell'esame, verbale digitale e processo di delibera della certificazione. |
Risposte al quiz, punteggio, tempi per area, checklist esaminatore (P04), checklist commissione (P04), delibera. |
| (e) Adempimenti contrattuali, contabili e di accreditamento. |
Dati anagrafici, iscrizioni, pagamenti, comunicazioni con Accredia. |
4. Base giuridica
Le basi giuridiche, ai sensi dell'art. 6 del Regolamento (UE) 2016/679, sono le seguenti:
- Esecuzione del contratto di certificazione (art. 6 §1 lett. b GDPR): la sorveglianza audio/video, l'identificazione del candidato e il controllo della regolarità della prova sono necessari per erogare il servizio di certificazione richiesto dall'interessato e per garantire la validità del titolo rilasciato.
- Adempimento di un obbligo legale (art. 6 §1 lett. c GDPR) per quanto riguarda gli adempimenti fiscali e contabili.
- Legittimo interesse del Titolare (art. 6 §1 lett. f GDPR) alla tutela dei propri diritti, alla sicurezza informatica della piattaforma e al rispetto dei requisiti dello schema di accreditamento Accredia.
Il conferimento dei dati per le finalità (a)-(d) è obbligatorio per sostenere l'esame in modalità telematica: l'eventuale rifiuto comporta l'impossibilità di erogare la prova.
5. Modalità del trattamento e sicurezza (art. 32 GDPR)
- Il flusso audio/video del candidato è trasmesso peer-to-peer cifrato (WebRTC con DTLS-SRTP) dal browser del candidato al browser dell'esaminatore. Quando la connessione diretta non è possibile, viene utilizzato un relay TURN esterno (Cloudflare) limitato al territorio UE, anch'esso cifrato.
- Nessuna videoregistrazione permanente del flusso d'esame.
- Accesso ai dati su base ruolo (RBAC) e con autenticazione individuale; gli accessi a documenti personali sono tracciati nel registro di audit della piattaforma.
- I dati sono ospitati su server in territorio UE e non vengono diffusi.
- L'accettazione delle condizioni di sorveglianza A/V da parte del candidato è registrata lato server con versione, timestamp, IP e user-agent, a fini di prova dell'avvenuta informazione (principio di responsabilizzazione, art. 5 §2 GDPR).
6. Destinatari dei dati
I dati personali potranno essere comunicati a:
- Personale autorizzato del Titolare (esaminatori, commissione di delibera, amministratori del sistema).
- Personale ispettivo dell'Ente di accreditamento (Accredia) in qualità di osservatori e per la verifica del processo di certificazione (accesso in sola lettura).
- Fornitori di servizi IT (hosting in UE, connettività e relay TURN, posta elettronica transazionale) nominati Responsabili del trattamento ex art. 28 GDPR; l'elenco aggiornato dei Responsabili è disponibile su richiesta al Titolare.
- Autorità competenti, ove previsto dalla legge.
7. Trasferimenti di dati al di fuori dell'UE
I dati personali non sono trasferiti al di fuori del territorio dell'Unione Europea. Il TURN server è configurato sull'infrastruttura UE del fornitore.
8. Periodo di conservazione
- Dati di iscrizione/contratto/certificazione: per tutta la durata del rapporto e per ulteriori 10 anni dalla conclusione del rapporto contrattuale (ovvero 6 mesi qualora non sia stato concluso un contratto).
- Dati fiscali e contabili: 10 anni dall'ultimo adempimento.
- Log operativi della sessione meet (`esame_meet_log`): purgati dopo 90 giorni.
- Audit log degli accessi: 90 giorni.
- Prova dell'accettazione delle condizioni di sorveglianza (`esame_meet_consent`): conservata insieme al record d'esame per tutta la durata del trattamento.
9. Diritti dell'interessato (artt. 15-22 GDPR)
L'interessato ha il diritto di:
- chiedere l'accesso ai propri dati personali (art. 15);
- chiedere la rettifica di dati inesatti o incompleti (art. 16);
- chiedere la cancellazione dei dati nei limiti previsti (art. 17), tenuto conto degli obblighi di conservazione di legge;
- chiedere la limitazione del trattamento (art. 18);
- esercitare il diritto alla portabilità dei dati (art. 20);
- opporsi al trattamento basato sul legittimo interesse (art. 21);
- proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).
Per esercitare tali diritti, l'interessato può rivolgersi al Titolare ai recapiti indicati ai punti 1 e 2.
10. Processi decisionali automatizzati
Il sistema applica controlli automatici sulle tempistiche di risposta (es. annullamento automatico se un'area tematica è completata in meno di 3 minuti) come previsto dal Regolamento operativo dello schema di certificazione. Tale processo è basato su criteri oggettivi predefiniti; l'esito è sempre sottoposto al riesame umano dell'esaminatore e della commissione di delibera prima di produrre effetti definitivi sulla certificazione.