Informativa sulla privacy

1. Informazioni che raccogliamo

Raccogliamo le seguenti categorie di dati:

• Informazioni sull'account: nome, indirizzo email, hash della password, ruolo (studente, recruiter, amministratore), foto del profilo se ne carichi una.
• Informazioni sulla richiesta e accademiche: informazioni che invii tramite i nostri moduli di richiesta e di registrazione, come nome, indirizzo email, numero di telefono, paese di origine, paesi di destinazione, livello di laurea preferito, interessi di programma, punteggi dei test (TOEFL/IELTS/GRE/GMAT, ecc.), media voti, istituto precedente, budget e periodo di ingresso. Puoi inviare una richiesta senza creare un account.
• Documenti che carichi: certificati di studio, lettere motivazionali, lettere di raccomandazione, copie del passaporto, documenti del visto e altri materiali per la domanda.
• Comunicazioni: messaggi che invii ai consulenti, ticket di assistenza, recensioni inviate.
• Informazioni sul referral: se aderisci al nostro programma di referral o recruiter, oppure ti registri utilizzando il codice o il link di referral di qualcun altro, registriamo il codice di referral e il collegamento risultante tra gli account al fine di amministrare il programma.
• Informazioni di pagamento: non conserviamo i numeri delle carte; i pagamenti sono elaborati da Stripe, che riceve i dati della carta direttamente dal tuo browser. Conserviamo l'identificativo di pagamento di Stripe, l'importo addebitato e lo stato dell'acquisto.
• Informazioni su utilizzo e dispositivo: indirizzo IP, stringa user-agent, percorso della richiesta e marca temporale registrati nei log lato server e presso il nostro provider edge (Cloudflare). Utilizzati solo per sicurezza, prevenzione degli abusi e debugging. Non eseguiamo strumenti di analisi lato client né tracker pubblicitari.
• Registri del consenso: quando invii una richiesta, ti registri o acconsenti alle email di marketing, conserviamo un record dell'autorizzazione concessa (quale casella, su quale pagina, la versione dell'informativa, il tuo IP e il tuo user-agent al momento) per poter dimostrare il consenso in caso di contestazione.
• Provider di autenticazione: se accedi con Google, riceviamo il tuo nome, l'email e l'immagine del profilo da Google in base al tuo consenso.

2. Perché trattiamo questi dati (basi giuridiche)

Per gli utenti in UE, Regno Unito e SEE, ci basiamo sulle seguenti basi giuridiche ai sensi del GDPR:

• Contratto (Art. 6(1)(b)): per creare e gestire il tuo account, rispondere alle tue richieste, presentare elenchi pertinenti di università e borse di studio, elaborare i pagamenti, fornire i servizi acquistati, offrire il supporto dei consulenti e amministrare il programma di referral.
• Interesse legittimo (Art. 6(1)(f)): per gestire e proteggere il Servizio, prevenire frodi e abusi, analizzare l'utilizzo aggregato per migliorare la qualità del prodotto e rispondere alle tue richieste.
• Obbligo legale (Art. 6(1)(c)): per adempiere agli obblighi fiscali, contabili e normativi.
• Consenso (Art. 6(1)(a)): per le comunicazioni di marketing facoltative.

3. Come condividiamo i tuoi dati

Non vendiamo i tuoi dati personali. Non condividiamo i tuoi dati personali con università o enti erogatori di borse di studio; gli elenchi sul Servizio sono selezionati da fonti pubbliche e non siamo agenti di reclutamento per alcun istituto. Condividiamo i dati con:

• Fornitori di servizi che ci aiutano a gestire il Servizio:
  • Stripe, Inc. (elaborazione dei pagamenti, USA), informativa sulla privacy.
  • Hetzner Online GmbH (hosting dei server, Germania), informativa sulla privacy.
  • Cloudflare, Inc. (DNS, CDN, TLS, sicurezza edge e archiviazione oggetti R2 per i documenti caricati come copie di passaporto e visto, USA), informativa sulla privacy.
  • Neon, Inc. (database Postgres gestito, regione: AWS Francoforte, Germania), informativa sulla privacy.
  • Resend, Inc. (email transazionali, USA), informativa sulla privacy.
  • Google LLC (accesso OAuth, USA), informativa sulla privacy.
  Questi fornitori sono contrattualmente tenuti a utilizzare i tuoi dati solo nella misura necessaria per fornirci i servizi.
• Autorità legali: quando richiesto dalla legge, da un mandato di comparizione, o per tutelare i nostri diritti e la nostra sicurezza.
• Trasferimenti aziendali: in connessione con una fusione, acquisizione o vendita di beni (con avviso a te).

4. Trasferimenti internazionali di dati

I nostri server e il database principale si trovano in Germania (UE). Alcuni dei nostri fornitori di servizi (Stripe, Resend, Cloudflare, Google) hanno sede negli Stati Uniti. Quando i dati vengono trasferiti al di fuori dell'UE/SEE, ci basiamo sulle Clausole Contrattuali Standard (SCC) approvate dalla Commissione europea e sulla certificazione di ciascun fornitore nell'ambito dei quadri applicabili (ad es. il Data Privacy Framework UE-USA).

5. Per quanto tempo conserviamo i tuoi dati

• Dati dell'account: per tutto il tempo in cui il tuo account è attivo e fino a 24 mesi dopo la cancellazione ai fini della prevenzione delle frodi.
• Documenti per la domanda (certificati, lettere motivazionali, raccomandazioni, punteggi dei test): conservati finché hai un servizio attivo con noi e altrimenti rimossi una volta raggiunta la nostra finestra di conservazione dopo il caricamento. I documenti sensibili di identità e finanziari (copie del passaporto, documenti finanziari) vengono conservati per un periodo più breve rispetto agli altri documenti. Puoi anche eliminare tu stesso qualsiasi documento dalla tua dashboard in qualsiasi momento. Vedi “Come eliminiamo i documenti” di seguito.
• Registri dei pagamenti: 7 anni per la conformità fiscale e contabile.
• Comunicazioni di assistenza: fino a 3 anni dopo la risoluzione.
• Log del server: fino a 90 giorni.

Come eliminiamo i documenti

Applichiamo un processo di conservazione dei dati ai documenti caricati affinché non li conserviamo più a lungo del necessario. Un documento diventa idoneo all'eliminazione quando non hai più un servizio attivo con noi ed è più vecchio della finestra di conservazione prevista per il suo tipo, oppure quando raggiunge un'età massima assoluta indipendentemente dall'attività. I documenti collegati a un servizio attivo non vengono mai eliminati da questo processo. Prima che un documento venga eliminato ti inviamo un'email e mostriamo un avviso sulla tua dashboard, e puoi contrassegnare un documento da conservare se ne hai ancora bisogno. I documenti idonei vengono prima nascosti e trattenuti per un periodo di tolleranza durante il quale possono essere ripristinati, e successivamente cancellati definitivamente dalla nostra archiviazione. Le finestre di conservazione esatte sono configurate dal nostro team e possono cambiare; puoi sempre richiedere l'eliminazione anticipata dei tuoi dati tramite il portale dei diritti descritto in “I tuoi diritti” di seguito.

6. I tuoi diritti

A seconda di dove vivi, potresti avere i seguenti diritti sui tuoi dati personali:

• Accesso: richiedere una copia dei dati che conserviamo su di te.
• Rettifica: chiederci di correggere i dati inesatti.
• Cancellazione: richiedere la cancellazione del tuo account e dei dati associati (fatti salvi gli obblighi legali di conservazione).
• Portabilità: ricevere una copia leggibile da una macchina dei tuoi dati.
• Opposizione e limitazione: opporti al trattamento o chiederci di limitarlo.
• Revoca del consenso: per qualsiasi trattamento basato sul consenso.
• Reclamo: presentare un reclamo alla tua autorità locale per la protezione dei dati.

Molti di questi diritti possono essere esercitati direttamente da te dalla pagina Privacy e dati all'interno del tuo account: puoi scaricare una copia leggibile da una macchina dei tuoi dati (portabilità), modificare il tuo profilo (rettifica), gestire il consenso al marketing e richiedere la cancellazione dell'account. Per qualsiasi cosa che non riesci a completare da lì, scrivici all'indirizzo [email protected]. Rispondiamo entro 30 giorni.

Residenti UE/Regno Unito (GDPR/UK GDPR): se ritieni che non abbiamo gestito correttamente i tuoi dati, hai il diritto di presentare un reclamo alla tua autorità nazionale per la protezione dei dati. Puoi trovare la tua autorità tramite il Comitato europeo per la protezione dei dati.

Residenti in California (CCPA/CPRA): oltre ai diritti sopra elencati, hai il diritto di sapere quali informazioni personali raccogliamo, di richiederne la cancellazione o la rettifica, di opporti alla vendita o condivisione delle informazioni personali e di limitare l'uso delle informazioni personali sensibili. Non vendiamo né condividiamo le informazioni personali nel senso in cui tali termini sono utilizzati nel CCPA/CPRA (non le scambiamo per un corrispettivo monetario o di altro valore e non le condividiamo per pubblicità comportamentale cross-context). Puoi inoltre designare un agente autorizzato a presentare una richiesta per tuo conto; verificheremo l'autorità dell'agente prima di agire. Non discriminiamo gli utenti che esercitano i propri diritti sulla privacy.

Brasile (LGPD): gli interessati in Brasile hanno diritti equivalenti di accesso, rettifica, anonimizzazione, portabilità, cancellazione, informazione sulla condivisione e revoca del consenso. Il nostro contatto sopra indicato funge anche da canale per le richieste LGPD.

Canada (PIPEDA): gli utenti canadesi possono richiedere l'accesso e la rettifica delle proprie informazioni personali e possono revocare il consenso (fatte salve restrizioni legali o contrattuali) contattandoci all'indirizzo email sopra indicato.

Corea del Sud (PIPA): gli utenti nella Repubblica di Corea hanno il diritto di essere informati sul trattamento delle proprie informazioni personali e di accedervi, rettificarle, cancellarle e sospenderne il trattamento, nonché di revocare qualsiasi consenso precedentemente fornito. Raccogliamo le informazioni personali solo con il tuo consenso o un'altra base giuridica, le utilizziamo esclusivamente per le finalità descritte nella presente informativa e non le trasferiamo a terzi se non come qui indicato. Per esercitare questi diritti, o per sollevare qualsiasi preoccupazione su come vengono trattate le tue informazioni personali, contattaci all'indirizzo [email protected]. Puoi inoltre segnalare una preoccupazione alla Personal Information Protection Commission (PIPC) o alla Korea Internet & Security Agency (KISA).

7. Sicurezza

Utilizziamo misure standard del settore per proteggere i tuoi dati in transito (TLS 1.3) e a riposo (AES-256 sul nostro database e archiviazione file). Le password vengono sottoposte ad hashing con bcrypt. L'accesso è limitato al personale autorizzato in base al principio della necessità di conoscere. Nonostante queste misure, nessun sistema è completamente sicuro; se scopriamo una violazione che incide materialmente sui tuoi dati, ti informeremo e, ove richiesto, informeremo le autorità competenti senza indebito ritardo.

8. Cookie e analisi

Non utilizziamo strumenti di analisi di terze parti, pubblicità o tracciamento cross-site. Registriamo metadati di base delle richieste lato server (indirizzo IP, user-agent, percorso della richiesta e marca temporale) per sicurezza, prevenzione degli abusi e debugging. Questi log vengono conservati per un massimo di 90 giorni.

Utilizziamo un piccolo numero di cookie di prima parte e una voce di localStorage, tutti strettamente necessari o basati sulle preferenze (nessun consenso richiesto ai sensi delle norme ePrivacy dell'UE):

• Sessione di autenticazione (cookie impostato da NextAuth, HTTP-only, scade quando esci o dopo la durata della sessione): ti mantiene connesso tra le pagine.
• gp_ref (TTL di 90 giorni): registra il codice di referral da un URL ?ref=CODE così da poter attribuire la tua registrazione al recruiter o all'utente referente corretto.
• gp-theme (memorizzato nel localStorage del browser, non come cookie HTTP): ricorda la tua preferenza chiaro/scuro/alto contrasto.

Puoi cancellarli in qualsiasi momento dai controlli dei dati del sito del tuo browser. La cancellazione del cookie di autenticazione ti disconnette; la cancellazione degli altri ripristina i valori predefiniti e rimuove l'attribuzione del referral.

9. Minori

GlobalPath non è rivolto ai minori di 16 anni. Non raccogliamo consapevolmente informazioni personali da chiunque abbia meno di 16 anni. Se veniamo a conoscenza di aver raccolto tali informazioni, le eliminiamo. Se ritieni che un minore di 16 anni ci abbia fornito dati personali, contattaci all'indirizzo [email protected].

10. Modifiche alla presente informativa

Potremmo aggiornare la presente informativa di tanto in tanto. Le modifiche sostanziali saranno annunciate via email e su questa pagina, con la data di entrata in vigore rivista indicata sopra. L'uso continuato del Servizio dopo che le modifiche entrano in vigore costituisce accettazione dell'informativa aggiornata.

11. Contattaci

Per domande specifiche sulla privacy o per esercitare i tuoi diritti sui dati, contatta il nostro team privacy all'indirizzo [email protected]. Per tutte le altre domande sul Servizio, contattaci all'indirizzo [email protected].