Informativa sulla Privacy

Versione 2.3 · In vigore dal 5 giugno 2026

La presente Informativa descrive come candidami tratta i dati personali degli utenti del servizio, in conformità al Regolamento UE 2016/679 (GDPR), al Codice in materia di protezione dei dati personali (D.Lgs. 196/2003 e successive modifiche) e alle Linee Guida del Garante per la protezione dei dati personali.

Sezione 01Titolare del trattamento

Il titolare del trattamento dei dati personali è:

Non è stato nominato un Responsabile della Protezione dei Dati (DPO), in quanto il trattamento svolto non rientra nelle categorie obbligatorie di cui all'art. 37 del GDPR. La nomina sarà valutata al raggiungimento di volumi di trattamento rilevanti.

Sezione 02Categorie di dati trattati

candidami tratta le seguenti categorie di dati personali, forniti direttamente dall'utente o raccolti automaticamente durante l'utilizzo del servizio:

a) Dati di registrazione e autenticazione

Nome, cognome, indirizzo email, password (memorizzata esclusivamente in forma di hash crittografico tramite algoritmo scrypt — la password in chiaro non è mai conservata né accessibile al titolare). Eventualmente, dati derivati da autenticazione OAuth tramite Google o Microsoft (nome, email, identificativo utente del provider).

b) Dati professionali e curriculari

Al caricamento del curriculum vitae, candidami estrae automaticamente — mediante sistemi di intelligenza artificiale (Claude di Anthropic) — un insieme di dati strutturati che vengono conservati nel database per la durata del rapporto contrattuale. Tali dati sono utilizzati per il matching con aziende compatibili e per migliorare l'accuratezza delle raccomandazioni. Nel dettaglio:

Il file CV originale (PDF, DOCX o immagine) viene conservato in memoria volatile per un massimo di 30 minuti dal caricamento, il tempo strettamente necessario all'estrazione del testo, dopodiché è cancellato. Il testo estratto e i dati strutturati di cui sopra sono invece conservati per la durata del rapporto contrattuale.

Esclusione di categorie particolari di dati (art. 9 GDPR). candidami non estrae, non conserva e non elabora dati appartenenti alle categorie particolari di cui all'art. 9 del GDPR, anche qualora tali dati fossero involontariamente presenti nel CV caricato dall'utente. In particolare, sono esclusi dal trattamento: origine etnica o razziale, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici o biometrici, dati relativi alla salute o alla vita sessuale e all'orientamento sessuale. Il sistema di intelligenza artificiale è istruito a ignorare e non riportare nel database tali categorie. È inoltre esclusa l'estrazione del codice fiscale, anche ove presente nel CV, in considerazione dell'elevata sensibilità di tale identificativo.

c) Credenziali per invio email di candidatura

Al fine di consentire l'invio di candidature dall'account email dell'utente, candidami memorizza, a seconda del provider collegato:

d) Dati di utilizzo del servizio

Aziende identificate come compatibili con il profilo dell'utente, candidature generate e inviate, email aperte dai destinatari, risposte ricevute, impostazioni di autopilot, preferenze di notifica.

e) Dati tecnici

Indirizzo IP dell'utente (trattato per finalità di sicurezza, rate limiting e prevenzione abusi), data e ora di accesso, tipo di browser e dispositivo, referer di provenienza. Tali dati sono conservati per un periodo massimo di 30 giorni nei log tecnici.

f) Dati di analytics aggregati

Utilizziamo Cloudflare Web Analytics, servizio di analisi privacy-friendly che non installa cookie né tracker nel browser dell'utente, anonimizza gli indirizzi IP lato server e non consente l'identificazione dei singoli utenti. I dati raccolti (numero di visite, pagine consultate, Paese di provenienza, referrer) sono esclusivamente aggregati e non personali. Per tale ragione, ai sensi dell'art. 122 del Codice Privacy, lo strumento non richiede consenso preventivo.

Previo consenso dell'utente alla categoria "analytics" del banner cookie, utilizziamo inoltre Microsoft Clarity, strumento fornito da Microsoft Corporation che raccoglie informazioni sull'interazione con il sito (pagine visitate, click, movimenti del cursore, scorrimento, durata della visita) e può registrare le sessioni di navigazione in forma pseudonimizzata, oltre a generare mappe di calore (heatmap). Tali dati ci aiutano a comprendere l'utilizzo del sito e a migliorarne l'esperienza. A differenza di Cloudflare Web Analytics, Clarity utilizza cookie e tecnologie di tracciamento e viene pertanto attivato esclusivamente previo consenso esplicito dell'utente, revocabile in qualsiasi momento dalle preferenze cookie. Le registrazioni applicano il mascheramento automatico dei contenuti sensibili (campi password, e dati personali quali quelli contenuti nei curriculum). Microsoft tratta tali dati in qualità di responsabile, secondo la propria informativa disponibile su privacy.microsoft.com.

L'eventuale futura implementazione di Google Analytics o di altri strumenti di analisi più invasivi sarà subordinata al consenso esplicito dell'utente, raccolto mediante il banner cookie granulare presente sul sito. L'utente può in qualsiasi momento modificare le proprie preferenze cliccando sul link "Preferenze cookie" nel footer di ogni pagina.

g) Numero di telefono cellulare (facoltativo)

L'utente può facoltativamente fornire il proprio numero di telefono cellulare tramite l'apposito campo presente sul sito, al fine di ricevere comunicazioni via SMS. Il numero è raccolto e conservato esclusivamente se l'utente lo fornisce volontariamente e seleziona attivamente la relativa casella di consenso (non preselezionata). I numeri di telefono eventualmente presenti nei CV caricati non sono utilizzati per l'invio di SMS in assenza di tale consenso esplicito. Il mancato conferimento del numero non pregiudica in alcun modo l'utilizzo del servizio.

Sezione 03Finalità e base giuridica del trattamento

I dati personali sono trattati per le seguenti finalità, in relazione a ciascuna delle quali è indicata la corrispondente base giuridica ai sensi dell'art. 6 del GDPR:

Finalità Base giuridica
Erogazione del servizio: analisi CV, matching aziende, generazione email di candidatura, invio candidature Esecuzione di un contratto di cui l'interessato è parte art. 6.1.b GDPR
Invio di email di sistema (benvenuto, reset password, notifiche di servizio essenziali) Esecuzione del contratto art. 6.1.b GDPR
Invio di report settimanali, suggerimenti, comunicazioni marketing non essenziali Consenso esplicito dell'interessato, revocabile in qualsiasi momento art. 6.1.a GDPR
Invio di SMS al numero di telefono fornito volontariamente: segnalazione di aziende compatibili e opportunità rilevanti, comunicazioni promozionali e novità del servizio Consenso esplicito dell'interessato, revocabile in qualsiasi momento art. 6.1.a GDPR · art. 130 Codice Privacy
Sicurezza informatica, prevenzione frodi, rate limiting, log tecnici, anti-abuso (rilevazione di account multipli e CV duplicati mediante fingerprinting crittografico) Legittimo interesse del titolare art. 6.1.f GDPR
Adempimento di obblighi di legge (fiscali, contabili, in risposta a richieste delle Autorità) Obbligo legale art. 6.1.c GDPR
Miglioramento del servizio mediante analisi di dati aggregati e anonimizzati Legittimo interesse del titolare art. 6.1.f GDPR

Il conferimento dei dati indicati nella Sezione 02, lettere a) e b), è necessario per l'erogazione del servizio. Il mancato conferimento rende impossibile l'utilizzo di candidami. Il conferimento dei dati di cui alla lettera c) è necessario esclusivamente per usufruire della funzione di invio candidature; il rifiuto non pregiudica l'utilizzo delle altre funzionalità del servizio.

Funzionalità che comportano trattamenti specifici

Ai sensi dell'art. 13.1.c e 13.2.f del GDPR, si forniscono di seguito informazioni specifiche sulle funzionalità del servizio che comportano elaborazioni particolari dei dati:

a) Ricerca approfondita on-demand ("Rescue Search"). Quando il matching iniziale del CV produce un numero limitato di aziende compatibili (inferiore a 5), il servizio invia automaticamente una richiesta a Apollo.io per scoprire aziende aggiuntive corrispondenti al ruolo e alla città dichiarati dall'Utente. Vengono trasmessi esclusivamente: ruolo professionale e città. Non vengono trasmessi CV, dati anagrafici dell'Utente né altri dati personali identificativi. La funzionalità si attiva una sola volta per analisi, è gratuita per l'Utente e i risultati sono salvati nel database aziende di candidami secondo i criteri descritti nella Sezione 07.

b) Invio automatizzato di candidature ("Autopilot"). Gli utenti che hanno acquistato il piano "Career Copilot" possono attivare l'invio automatico quotidiano di candidature email personalizzate. La selezione delle aziende è effettuata in modo automatizzato dall'AI sulla base del profilo dell'Utente; il testo di ciascuna email è generato da Claude di Anthropic e include in allegato il CV dell'Utente nel formato originale caricato. L'invio avviene dall'account email personale dell'Utente (Gmail/Outlook OAuth o SMTP configurato), entro la fascia oraria scelta dall'Utente, in numero variabile per giorno (range 2-12 a seconda del livello selezionato) per limitare comportamenti riconducibili a invio automatizzato di massa. L'Utente può sospendere o disattivare l'Autopilot in qualsiasi momento dalle impostazioni del proprio account.

c) Notifiche email periodiche ("Digest aziende"). Il servizio invia email periodiche con segnalazione di nuove aziende compatibili identificate dal cron notturno. L'Utente può disattivare in qualsiasi momento le notifiche dalle impostazioni del proprio account o cliccando sul link di disiscrizione presente nel footer di ciascuna email. La disattivazione è immediata e gratuita.

d) Decisioni automatizzate. Il matching tra CV e aziende, la classificazione AI delle aziende per settore e la generazione delle email di candidatura costituiscono trattamenti automatizzati. Tali elaborazioni non producono effetti giuridici significativi nei confronti dell'Utente e non costituiscono profilazione ai sensi dell'art. 22 GDPR: l'Utente mantiene piena facoltà di ignorare le raccomandazioni, modificare i testi prima dell'invio, contattare manualmente qualsiasi azienda fuori dal sistema. Maggiori dettagli nella Sezione 09.

e) Comunicazioni via SMS. Gli utenti che hanno fornito volontariamente il proprio numero di telefono e prestato il consenso esplicito di cui alla Sezione 02, lettera g), ricevono SMS contenenti segnalazioni di aziende compatibili con il proprio profilo, opportunità rilevanti e comunicazioni promozionali relative al servizio. Gli SMS sono inviati tramite il fornitore Skebby S.r.l. (Sezione 05) con mittente alfanumerico "Candidami". Il consenso è revocabile in qualsiasi momento, gratuitamente e con effetto immediato, dalle impostazioni dell'account, scrivendo a [email protected] o seguendo le istruzioni di disiscrizione contenute nel messaggio. La revoca comporta la cessazione degli invii e la cancellazione del numero di telefono, salvo che il numero sia necessario per altre finalità in corso (es. autenticazione amministrativa).

Sezione 04Sviluppi futuri del servizio

Il presente paragrafo informa l'interessato, ai sensi dell'art. 13 del GDPR, in merito a possibili evoluzioni future del servizio candidami che potrebbero comportare ulteriori trattamenti dei dati personali rispetto a quelli descritti nella Sezione 03.

In particolare, il Titolare valuta l'introduzione, in fasi successive di sviluppo del servizio, di una funzionalità riservata ad aziende dotate di Partita IVA verificata, che consenta a queste ultime di ricercare profili candidati all'interno del database di candidami sulla base di criteri quali competenze, settore di attività, area geografica, anni di esperienza, lingue conosciute, livello di formazione.

L'attivazione di tale funzionalità sarà subordinata, senza eccezioni, alle seguenti condizioni:

Al momento dell'effettiva introduzione di tale funzionalità, la presente Informativa sarà aggiornata con il dettaglio dei trattamenti aggiuntivi e l'interessato sarà avvisato via email all'indirizzo associato all'account, con almeno 30 giorni di preavviso rispetto all'entrata in vigore.

Sezione 05Destinatari dei dati

I dati personali possono essere comunicati ai seguenti soggetti, nominati Responsabili del trattamento ai sensi dell'art. 28 del GDPR, i quali li trattano esclusivamente per le finalità indicate e nel rispetto di specifici accordi contrattuali che garantiscono un adeguato livello di protezione:

Fornitore Finalità Sede
Cloudflare, Inc. Hosting frontend, CDN, servizi di sicurezza USA / CDN globale
Railway Corp. Hosting backend e API UE (Paesi Bassi)
Supabase Inc. Database PostgreSQL UE (Irlanda)
Upstash Inc. Cache Redis e code di lavoro UE
Anthropic PBC Analisi CV, classificazione aziende e generazione email tramite AI (Claude) USA
Apollo.io (ZoomInfo, Inc.) Discovery aziende compatibili e identificazione contatti HR aziendali (B2B contact database) USA
Google LLC API Places (geolocalizzazione aziende); OAuth Gmail per invio candidature USA
Microsoft Corporation OAuth Outlook/Hotmail per invio candidature; Microsoft Clarity per analisi comportamentale del sito (previo consenso) USA
Resend, Inc. Invio email transazionali di sistema (benvenuto, reset password, notifiche aziende) USA
Skebby S.r.l. Invio SMS per autenticazione a due fattori (pannello amministrativo) e SMS di segnalazione/promozionali agli utenti che hanno prestato consenso esplicito UE (Italia)
Hetzner Online GmbH Server proxy per invio SMTP UE (Germania)

I dati non sono comunicati a terzi per finalità commerciali proprie. Non sono oggetto di diffusione pubblica né di vendita. Eventuali futuri destinatari dei dati nell'ambito della funzionalità descritta nella Sezione 04 saranno comunicati all'interessato al momento della richiesta di consenso esplicito separato.

Sezione 06Trasferimento di dati al di fuori dell'Unione Europea

Alcuni dei Responsabili del trattamento indicati nella Sezione 05 hanno sede negli Stati Uniti d'America (Anthropic, Apollo.io, Google, Microsoft, Resend, Cloudflare). Il trasferimento dei dati personali verso tali soggetti avviene in conformità agli articoli 45 e 46 del GDPR, attraverso una o più delle seguenti garanzie:

L'utente può richiedere copia delle garanzie contrattuali in essere scrivendo a [email protected].

Sezione 07Periodo di conservazione

I dati personali sono conservati per i seguenti periodi, commisurati alle finalità per cui sono trattati e ai termini previsti dalla normativa applicabile:

Sezione 08Diritti dell'interessato

In ogni momento, l'utente può esercitare i diritti previsti dagli articoli da 15 a 22 del GDPR, tra cui:

Le richieste possono essere inviate all'indirizzo [email protected]. Il titolare risponde entro 30 giorni dalla ricezione della richiesta, prorogabili di ulteriori 60 giorni in caso di particolare complessità, con informazione preventiva all'interessato. L'esercizio dei diritti è gratuito, salvo richieste manifestamente infondate o eccessive (art. 12.5 GDPR).

Cancellazione del CV dal database. Chiunque abbia caricato il proprio curriculum sul servizio — anche senza aver creato un account — può richiederne in qualsiasi momento la cancellazione completa dai nostri archivi. È sufficiente inoltrare la richiesta tramite la pagina Supporto oppure scrivendo a [email protected], indicando il nominativo e, se disponibile, l'indirizzo email utilizzato al momento del caricamento, così da consentirci di individuare e rimuovere i dati corrispondenti. La cancellazione viene eseguita senza costi e nel più breve tempo possibile.

Per semplificare l'esercizio di alcuni diritti, dalle Impostazioni dell'account l'utente può autonomamente: modificare i propri dati, cancellare l'account, disattivare le email non essenziali, scaricare una copia dei dati (funzione di portabilità).

Sezione 09Decisioni automatizzate e profilazione

candidami utilizza sistemi di intelligenza artificiale (in particolare Claude di Anthropic) per: analizzare il contenuto del CV, identificare settori professionali compatibili, generare email di candidatura personalizzate, stimare livelli retributivi di mercato.

Si tratta di trattamenti parzialmente automatizzati che producono effetti sulla valutazione del profilo dell'utente. Ai sensi dell'art. 22 del GDPR, l'utente ha diritto a:

In ogni caso, l'utente mantiene il pieno controllo delle azioni significative: può modificare ogni email generata dall'AI prima dell'invio, selezionare manualmente le aziende di interesse, attivare o disattivare la funzione autopilot. Nessuna decisione con effetti giuridici o significativi sull'utente è presa esclusivamente dal sistema automatizzato.

Sezione 10Misure di sicurezza

Il titolare adotta misure tecniche e organizzative adeguate al rischio, in conformità all'art. 32 del GDPR, tra cui:

Sezione 11Reclamo all'Autorità di controllo

Ferma restando la possibilità di ricorrere in via giurisdizionale, l'interessato che ritenga che il trattamento dei propri dati personali avvenga in violazione del GDPR ha il diritto di proporre reclamo all'Autorità di controllo competente, ai sensi dell'art. 77 del GDPR.

In Italia, l'Autorità di controllo è il Garante per la protezione dei dati personali:

Sezione 12Modifiche all'Informativa

La presente Informativa può essere aggiornata per adeguarla a modifiche normative, a evoluzioni del servizio o all'introduzione di nuovi strumenti di trattamento. Le modifiche saranno pubblicate su questa pagina con indicazione della data di ultimo aggiornamento. Le modifiche sostanziali saranno comunicate all'utente mediante email all'indirizzo associato all'account, con almeno 30 giorni di preavviso rispetto all'entrata in vigore.

In particolare, l'Informativa sarà aggiornata al momento dell'apertura della partita IVA e della costituzione della forma societaria di candidami, per integrare: codice fiscale, partita IVA, indirizzo sede legale, codice ATECO, eventuale designazione del Responsabile della Protezione dei Dati. Sarà inoltre aggiornata al momento dell'effettiva attivazione della funzionalità descritta nella Sezione 04.