Informativa sulla privacy

Data di efficacia: 8 settembre 2026  |  Ultimo aggiornamento: 8 settembre 2026

La presente Informativa sulla privacy illustra le modalità con cui Zentrum24 LLC ("Zentrum24 Academy", "noi" o "nostro/a") raccoglie, utilizza, comunica e protegge i dati personali in relazione alla piattaforma di formazione in materia di compliance Zentrum24 Academy (il "Servizio") — un sistema SaaS multi-tenant di gestione dell'apprendimento destinato al personale delle aziende farmaceutiche e delle scienze della vita soggette a regolamentazione (GxP). Descrive inoltre i diritti riconosciuti alle persone fisiche dal Regolamento generale sulla protezione dei dati dell'Unione europea ("GDPR"), dal UK GDPR, dal California Consumer Privacy Act come modificato dal CPRA ("CCPA/CPRA") e da normative analoghe.

Si prega di leggere la presente Informativa unitamente alla nostra Cookie Policy, alla nostra pagina dedicata ai sub-responsabili del trattamento e — per i clienti — all'Addendum sul trattamento dei dati ("DPA") che costituisce parte integrante del nostro contratto con il cliente. In caso di conflitto tra una clausola del DPA e la presente Informativa con riguardo ai Dati di Formazione del Cliente (come definiti di seguito), prevale il DPA.

1. Chi siamo & i nostri ruoli (titolare del trattamento vs. responsabile del trattamento)

Zentrum24 LLC è il soggetto responsabile del Servizio.

• Soggetto giuridico registrato: Zentrum24 LLC
• Sede legale: 1621 Central Ave, Cheyenne, Wyoming 82001, USA
• Contatto privacy / DPO: contact@zentrum24.com
• Rappresentante UE / Regno Unito (ove applicabile ai sensi dell'Art. 27 GDPR): Attualmente non nominato.

Il nostro ruolo ai sensi della normativa sulla protezione dei dati dipende dalla categoria di dati:

• Zentrum24 Academy agisce in qualità di responsabile del trattamento (un "service provider" ai sensi del CCPA/CPRA) per i Dati di Formazione del Cliente. Quando un'organizzazione ("Cliente" — di norma un datore di lavoro) sottoscrive il Servizio e carica o genera dati di formazione relativi al proprio personale, il Cliente è il titolare del trattamento e determina le finalità e i mezzi del trattamento. Zentrum24 Academy tratta tali dati esclusivamente sulla base delle istruzioni documentate del Cliente, come stabilito nel contratto con il cliente e nel DPA. I "Dati di Formazione del Cliente" comprendono le identità dei discenti, le assegnazioni formative basate sul ruolo, i completamenti dei corsi, i punteggi dei quiz, le firme elettroniche ai sensi del 21 CFR Part 11, gli attestati di completamento e le relative registrazioni di audit a prova di manomissione.
• Zentrum24 Academy agisce in qualità di titolare del trattamento (una "business" ai sensi del CCPA/CPRA) per i Dati dell'Account e di Fatturazione e per i dati che utilizziamo per gestire, mettere in sicurezza e migliorare il Servizio. Ciò include le informazioni relative all'account e all'abbonamento del Cliente, i dati di contatto degli amministratori e degli altri referenti dell'account, i registri di fatturazione e i nostri log di sicurezza, operativi e diagnostici. Per tali dati, Zentrum24 Academy determina le finalità e i mezzi ed è direttamente responsabile nei confronti degli interessati.

Avviso per gli utenti finali (discenti): se utilizzi Zentrum24 Academy perché il tuo datore di lavoro o un'altra organizzazione ti ha fornito l'accesso, tale organizzazione — e non Zentrum24 Academy — è il titolare del trattamento dei tuoi registri formativi. Le domande sul modo in cui il tuo datore di lavoro utilizza i tuoi dati, così come la maggior parte delle richieste di accesso o di cancellazione dei registri formativi, devono essere rivolte a tale organizzazione. Si veda la Sezione 9 (I tuoi diritti).

2. Quali dati raccogliamo

2.1 Dati dell'account (Zentrum24 Academy in qualità di titolare del trattamento)

• Dati dell'organizzazione / del tenant: denominazione dell'organizzazione, piano e livello di abbonamento e impostazioni di configurazione.
• Dati degli amministratori e dei referenti dell'account: nome e cognome, indirizzo e-mail aziendale e ruolo.

2.2 Dati personali degli utenti (in qualità di responsabile del trattamento per i Clienti; in qualità di titolare del trattamento per gli amministratori/referenti con cui interagiamo direttamente)

• Nome e cognome, indirizzo e-mail aziendale e, facoltativamente, matricola del dipendente.
• Ruolo RBAC assegnato (amministratore del tenant, autore, manager o discente) e relazioni gerarchiche di riporto con il manager.
• Dati di autenticazione: password sottoposte ad hashing (bcrypt), segreti e codici di backup dell'autenticazione a più fattori (TOTP) e, ove abilitati, identificativi SSO/SCIM. I segreti sono conservati mediante envelope encryption di tipo KMS; non conserviamo password in chiaro.

2.3 Registri formativi (Dati di Formazione del Cliente — Zentrum24 Academy in qualità di responsabile del trattamento)

• Assegnazioni di corsi e di percorsi formativi, scadenze e piani di ricertificazione.
• Avanzamento dei corsi SCORM, tentativi e punteggi dei quiz e stato di completamento.
• Firme elettroniche ai sensi del 21 CFR Part 11 (identità del firmatario, significato della firma, marca temporale) e attestati di completamento generati in formato PDF/A.

2.4 Dati di fatturazione (Zentrum24 Academy in qualità di titolare del trattamento)

• Piano di abbonamento, ciclo di fatturazione, fatture e stato dei pagamenti. I dati delle carte di pagamento sono raccolti e trattati direttamente da Stripe, Inc.; Zentrum24 Academy non conserva i numeri completi delle carte.

2.5 Dati di audit, di sicurezza e tecnici (Zentrum24 Academy in qualità di titolare del trattamento per la sicurezza e le operazioni; riportati nelle piste di audit del Cliente in qualità di responsabile del trattamento)

• Voci di log di audit a prova di manomissione, concatenate mediante hash, che registrano eventi rilevanti sotto il profilo della sicurezza e della compliance.
• Indirizzo IP, informazioni sullo user-agent/browser, marche temporali, attività di sessione e contatori di rate limiting.
• Dati diagnostici e di errore utilizzati per rilevare e risolvere gli errori della piattaforma.

Non raccogliamo intenzionalmente categorie particolari di dati personali (dati sensibili) attraverso il Servizio. Si prega di non caricare dati sanitari, biometrici o altri dati sensibili nei campi di testo libero, salvo espresso accordo scritto con noi.

3. Come e perché utilizziamo i dati e le nostre basi giuridiche

Laddove Zentrum24 Academy agisca in qualità di responsabile del trattamento, utilizziamo i Dati di Formazione del Cliente esclusivamente per fornire il Servizio secondo le istruzioni del Cliente; è il Cliente a essere tenuto a individuare la base giuridica del proprio trattamento (di norma il proprio legittimo interesse alla formazione del personale e i propri obblighi di legge e regolamentari nell'ambito dei quadri normativi GxP). Laddove Zentrum24 Academy agisca in qualità di titolare del trattamento, ci fondiamo sulle seguenti basi giuridiche ai sensi del GDPR/UK GDPR:

• Per fornire, amministrare e mettere in sicurezza il Servizio — ivi compresi autenticazione, RBAC, MFA, isolamento dei tenant, rate limiting e registrazione di audit. Base giuridica: esecuzione di un contratto (Art. 6(1)(b)) con il Cliente e nostro legittimo interesse (Art. 6(1)(f)) a gestire una piattaforma sicura e affidabile.
• Per gestire la fatturazione e gli abbonamenti — emissione delle fatture, riconciliazione dei pagamenti e applicazione dei limiti di piano tramite Stripe. Base giuridica: esecuzione di un contratto; adempimento di obblighi legali (Art. 6(1)(c)), ad esempio in materia fiscale e contabile; e legittimo interesse alla riscossione degli importi dovuti.
• Per mettere in sicurezza la piattaforma e prevenire gli abusi — monitoraggio, rilevamento delle intrusioni, blocco degli account e verifica dell'integrità della catena di audit. Base giuridica: legittimo interesse alla sicurezza e alla prevenzione delle frodi; adempimento di obblighi legali.
• Per fornire assistenza ai clienti e trasmettere comunicazioni di servizio — riscontro alle richieste e invio di avvisi operativi (ad esempio notifiche relative alla sicurezza o alla disponibilità). Base giuridica: esecuzione di un contratto; legittimo interesse.
• Per migliorare e mantenere il Servizio — diagnostica aggregata e risoluzione dei problemi. Base giuridica: legittimo interesse, bilanciato con i tuoi diritti; adottiamo la minimizzazione e, ove possibile, l'aggregazione o la deidentificazione.
• Per adempiere ai nostri obblighi legali, regolamentari e di compliance e per accertare, esercitare o difendere un diritto in sede giudiziaria. Base giuridica: obbligo legale; legittimo interesse.
• Cookie analitici facoltativi ed eventuali comunicazioni di marketing, ove applicabili. Base giuridica: consenso (Art. 6(1)(a)), che puoi revocare in qualsiasi momento.

Ai sensi del CCPA/CPRA, le "finalità aziendali o commerciali" per le quali utilizziamo le informazioni personali corrispondono agli utilizzi sopra descritti. Zentrum24 Academy non "vende" informazioni personali e non le "condivide" a fini di pubblicità comportamentale cross-contestuale, secondo le definizioni di tali termini contenute nel CCPA/CPRA. Non utilizziamo informazioni personali sensibili per finalità che comportino un diritto di limitazione.

4. Cookie e tecnologie analoghe

Il Servizio utilizza un cookie di sessione essenziale, strettamente necessario — un JWT stateless memorizzato in un cookie httpOnly — per mantenerti autenticato, applicare il timeout di inattività e proteggere dagli attacchi di cross-site request forgery. Tale cookie è necessario al funzionamento del Servizio e non è utilizzato per finalità pubblicitarie.

Ove abilitati, possiamo utilizzare anche strumenti analitici facoltativi per comprendere l'utilizzo e migliorare il Servizio; essi sono attivati soltanto previo tuo consenso, ove richiesto. Puoi accettare o rifiutare i cookie non essenziali e revocare il consenso in qualsiasi momento tramite i nostri controlli sui cookie. Per l'elenco completo dei cookie, le relative finalità e durate e le modalità di gestione, si veda la nostra Cookie Policy.

5. Comunicazione dei dati e sub-responsabili del trattamento

Non vendiamo dati personali. Comunichiamo dati personali esclusivamente nei termini qui descritti:

• Al Cliente interessato (titolare del trattamento): i dati formativi di un discente sono accessibili agli amministratori e ai manager della sua stessa organizzazione all'interno del relativo tenant.
• Ai sub-responsabili del trattamento che ci assistono nella gestione del Servizio, sulla base di contratti scritti che impongono obblighi di protezione dei dati almeno equivalenti a quelli previsti dalla presente Informativa e dal nostro DPA. I nostri attuali sub-responsabili del trattamento sono:
  • Vercel Inc. — hosting applicativo e distribuzione dei contenuti; Stati Uniti.
  • Supabase — database PostgreSQL gestito e archiviazione di oggetti privata e cifrata; Stati Uniti.
  • Stripe, Inc. — elaborazione dei pagamenti e fatturazione degli abbonamenti; Stati Uniti.
  • Fornitore di e-mail / SMTP — recapito delle e-mail transazionali; il fornitore non è ancora stato selezionato e sarà indicato in questa sede prima del lancio.
  Per l'elenco aggiornato e ufficiale e per iscriverti alle notifiche di modifica, si veda la nostra pagina dedicata ai sub-responsabili del trattamento.
• Per ragioni legali e di sicurezza: ove necessario per adempiere alla legge, a un procedimento legale valido o a una richiesta di un'autorità di regolamentazione, ovvero per tutelare i diritti, l'incolumità e la sicurezza di Zentrum24 Academy, dei nostri Clienti o di terzi. Qualora siano coinvolti i dati di un Cliente, ne daremo comunicazione al Cliente ove giuridicamente consentito.
• Nell'ambito di operazioni societarie: in connessione con una fusione, un'acquisizione, un'operazione di finanziamento o una cessione di beni, nel rispetto della presente Informativa e della normativa applicabile.

6. Trasferimenti internazionali di dati

Il Servizio è ospitato su Vercel (hosting applicativo) e su Supabase (database PostgreSQL gestito e archiviazione di oggetti), con trattamento principale negli Stati Uniti (AWS us-east-1 (Northern Virginia, United States)). Se accedi al Servizio dallo Spazio economico europeo, dal Regno Unito o da un'altra giurisdizione che prevede regole sui trasferimenti transfrontalieri, i tuoi dati personali potrebbero essere trasferiti e trattati negli Stati Uniti o in altri Paesi le cui leggi possono differire da quelle della tua giurisdizione.

Quando trasferiamo dati personali a livello internazionale, ci fondiamo su garanzie adeguate, tra cui le Clausole Contrattuali Standard (SCC) della Commissione europea e l'International Data Transfer Addendum del Regno Unito, unitamente a misure tecniche e organizzative supplementari (quali la cifratura in transito e a riposo). Una copia del pertinente meccanismo di trasferimento è disponibile su richiesta all'indirizzo contact@zentrum24.com. Il nostro DPA stabilisce le condizioni di trasferimento applicabili ai Dati di Formazione del Cliente.

7. Conservazione dei dati

Per i Dati di Formazione del Cliente, Zentrum24 Academy conserva i dati per tutta la durata dell'abbonamento del Cliente e secondo le istruzioni impartite dal Cliente, affinché il Cliente possa adempiere ai propri obblighi di tenuta dei registri GxP (i registri formativi, le firme elettroniche, gli attestati e le piste di audit devono spesso essere conservati per periodi prolungati ai sensi del 21 CFR Part 11, dell'EU Annex 11 e di requisiti correlati). Alla cessazione del rapporto, restituiamo o cancelliamo i Dati di Formazione del Cliente in conformità al DPA, fatti salvi eventuali obblighi di conservazione previsti dalla legge.

Per i dati relativi all'Account, alla Fatturazione e alla sicurezza rispetto ai quali siamo il titolare del trattamento, conserviamo i dati per la durata del rapporto con il cliente e, successivamente, soltanto per il tempo necessario alle finalità descritte nella presente Informativa — ad esempio per adempiere a obblighi fiscali, contabili, di revisione e di difesa in giudizio, nonché per preservare l'integrità della catena di audit a prova di manomissione. Periodi di conservazione specifici: registri fiscali e di fatturazione per sette (7) anni; log di sicurezza e di audit per 24 mesi; registri formativi e d'esame per tutto il tempo richiesto dagli obblighi di conservazione regolamentari propri del cliente.

8. Come proteggiamo i dati (misure di sicurezza)

Zentrum24 Academy applica misure tecniche e organizzative volte a proteggere i dati personali, tra cui:

• Isolamento rigoroso dei tenant mediante la row-level security (RLS) di PostgreSQL, applicata attraverso un ruolo applicativo non-superuser, affinché i dati di un Cliente non possano essere letti da un altro.
• Cifratura in transito (TLS) e a riposo, ivi compresi l'archiviazione di oggetti cifrata e un database PostgreSQL cifrato (Supabase).
• Autenticazione forte: autenticazione a più fattori (TOTP con codici di backup), hashing delle password con bcrypt e complessità configurabile, cronologia delle password e blocco dell'account in caso di ripetuti tentativi falliti.
• Protezione dei segreti: envelope encryption di tipo KMS per i segreti MFA e SSO conservati.
• Controllo degli accessi: controllo degli accessi basato sui ruoli (amministratore del tenant, autore, manager, discente) e, nei livelli di abbonamento idonei, SSO SAML con provisioning SCIM.
• Controlli su sessioni e abusi: sessioni JWT stateless in cookie httpOnly con timeout di inattività, oltre a rate limiting per tenant e per utente.
• Integrità e accountability: un log di audit a prova di manomissione e concatenato mediante hash e firme elettroniche conformi al 21 CFR Part 11.

Nessun sistema può essere garantito come perfettamente sicuro. Manteniamo procedure di risposta agli incidenti e notificheremo ai Clienti interessati e, ove richiesto, alle autorità di controllo e agli interessati, ogni violazione dei dati personali in conformità alla normativa applicabile e al DPA.

9. I tuoi diritti

Nei limiti previsti dalla normativa applicabile, le persone fisiche godono di diritti sui propri dati personali, che possono comprendere:

• Accesso — ottenere conferma dell'esistenza dei dati personali che ti riguardano e una copia degli stessi.
• Rettifica — far correggere dati inesatti o incompleti.
• Cancellazione ("diritto all'oblio") — ottenere la cancellazione dei dati in determinate circostanze.
• Portabilità — ricevere determinati dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
• Limitazione e opposizione — limitare determinati trattamenti od opporsi agli stessi, compresi i trattamenti fondati sul legittimo interesse.
• Revoca del consenso — ove il trattamento si fondi sul consenso (ad esempio per gli strumenti analitici facoltativi), in qualsiasi momento, senza pregiudicare i trattamenti già effettuati.
• Diritti ai sensi del CCPA/CPRA — conoscere, cancellare e correggere le informazioni personali e non subire discriminazioni per l'esercizio di tali diritti. Poiché non vendiamo né condividiamo informazioni personali a fini di pubblicità comportamentale cross-contestuale e non utilizziamo informazioni personali sensibili per finalità che lo richiederebbero, il diritto di opt-out dalla vendita/condivisione e il diritto di limitare l'uso dei dati sensibili non trovano applicazione; qualora ciò dovesse mutare, ogni richiesta in tal senso sarà onorata. Puoi avvalerti di un agente autorizzato e verificheremo le richieste secondo quanto previsto dalla legge.

Le richieste degli utenti finali (discenti) sono di norma indirizzate al datore di lavoro/Cliente. Per i dati formativi, la tua organizzazione è il titolare del trattamento. Se sei un discente e desideri esercitare i tuoi diritti sui tuoi registri formativi, ti invitiamo a contattare l'amministratore della tua organizzazione; qualora tu contatti direttamente Zentrum24 Academy, indirizzeremo o inoltreremo la tua richiesta al Cliente interessato e lo assisteremo nel darvi riscontro, come previsto dai nostri obblighi di responsabile del trattamento. Non decidiamo l'esito di tali richieste per conto del Cliente.

10. Come esercitare i tuoi diritti (compresi l'esportazione e la cancellazione dall'applicazione)

Laddove Zentrum24 Academy sia il titolare del trattamento (dati dell'Account, di Fatturazione e degli amministratori/referenti), puoi esercitare i tuoi diritti scrivendoci all'indirizzo contact@zentrum24.com. Risponderemo entro i termini previsti dalla normativa applicabile (in genere un mese ai sensi del GDPR/UK GDPR e 45 giorni ai sensi del CCPA/CPRA, prorogabili ove consentito). Potremmo aver bisogno di verificare la tua identità prima di dare seguito alla richiesta e non ti discrimineremo per l'esercizio dei tuoi diritti.

Il Servizio mette inoltre a disposizione strumenti self-service che i Clienti e, ove abilitati, i loro utenti possono utilizzare direttamente:

• Esportazione dei dati dall'applicazione: gli amministratori del tenant possono esportare i registri formativi e i dati di audit (ad esempio tramite le funzionalità di esportazione dei dati e di evidence package del Servizio) in formati leggibili da dispositivo automatico, a supporto delle richieste di accesso e di portabilità.
• Cancellazione dell'account: gli amministratori possono disattivare o eliminare gli utenti e possono richiedere la cancellazione dei dati del tenant alla cessazione del rapporto, fatte salve le regole di conservazione di cui alla Sezione 7 e al DPA.

Se non sei soddisfatto del nostro riscontro, hai il diritto di proporre reclamo alla tua autorità di controllo locale (nel Regno Unito, l'Information Commissioner's Office; nell'Unione europea, l'autorità nazionale per la protezione dei dati) oppure, in California, di rivolgerti alla California Privacy Protection Agency o all'Attorney General. Ci farebbe piacere avere la possibilità di rispondere prima alle tue preoccupazioni.

11. Dati dei minori

Il Servizio è uno strumento di formazione in materia di compliance destinato al personale aziendale e concepito per essere utilizzato dalle organizzazioni e dal loro personale. Non è rivolto ai minori e non è destinato a chi ha meno di 16 anni. Non raccogliamo consapevolmente dati personali di minori. Se ritieni che un minore abbia fornito dati personali attraverso il Servizio, ti invitiamo a contattarci all'indirizzo contact@zentrum24.com: adotteremo le misure opportune, di concerto con il Cliente interessato, per cancellarli.

12. Modifiche alla presente Informativa

Potremmo aggiornare di volta in volta la presente Informativa per riflettere i cambiamenti nelle nostre prassi, nella tecnologia, nei requisiti di legge o nel Servizio. In caso di modifiche sostanziali, aggiorneremo la data di "Ultimo aggiornamento" sopra riportata e, ove opportuno, ne daremo comunicazione ai Clienti tramite il Servizio o via e-mail. L'uso continuato del Servizio dopo l'entrata in vigore di un aggiornamento costituisce accettazione dell'Informativa modificata, salvo i casi in cui la legge richieda un ulteriore consenso.

13. Contatti

Per qualsiasi domanda, richiesta o reclamo in merito alla presente Informativa o al nostro trattamento dei dati personali:

• Zentrum24 LLC
• Contatto privacy / protezione dei dati: contact@zentrum24.com
• Indirizzo postale: 1621 Central Ave, Cheyenne, Wyoming 82001, USA
• Legge applicabile: Stato del Wyoming, USA
• Rappresentante UE / Regno Unito (ove applicabile): Attualmente non nominato.

Promemoria: i segnaposto tra parentesi quadre devono essere completati e la presente Informativa deve essere esaminata da un legale qualificato prima della pubblicazione.