Privacy Policy

Ai sensi del Regolamento UE 2016/679 (GDPR) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018

1. Titolare del Trattamento

Il Titolare del trattamento dei dati personali è:
Eludia Events S.r.l. Società Benefit
Sede legale: Via Cassia, 699 - 00189 Roma (RM)
P.IVA: 18183241001
Email: info@eludiaevents.it
PEC: eludiaevents@legalmail.it

2. Tipologie di Dati Raccolti

La piattaforma raccoglie i seguenti dati personali:

• Dati di navigazione: indirizzo IP, tipo di browser, sistema operativo, pagine visitate
• Dati identificativi e di contatto: nome, cognome, email, telefono, indirizzo, codice fiscale, data e luogo di nascita, genere
• Dati professionali: professione, specializzazione, numero di iscrizione all'Ordine, provincia di iscrizione (necessari per l'accreditamento ECM)
• Dati di fatturazione: partita IVA, PEC, codice SDI, ragione sociale (per l'emissione di fatture elettroniche)
• Dati di geolocalizzazione: coordinate GPS al momento del check-in presenze ai corsi (previo consenso esplicito, per la verifica della presenza in sede)
• Dati di autenticazione: password (conservata in forma crittografata), codici 2FA, token di sessione
• Dati relativi ai consensi: tipo di consenso, versione, data, indirizzo IP e user agent al momento dell'accettazione
• Cookie: come specificato nella Cookie Policy

3. Finalità del Trattamento

I dati personali sono trattati per le seguenti finalità:

• Registrazione e gestione dell'account utente sulla piattaforma
• Gestione delle iscrizioni ai corsi ECM, congressi ed eventi medico-scientifici
• Accreditamento ECM e comunicazione dei crediti formativi ad Age.na.s
• Verifica della presenza ai corsi tramite check-in con geolocalizzazione
• Emissione di attestati, certificati di partecipazione e crediti ECM
• Emissione di fatture elettroniche e gestione dei pagamenti
• Invio di notifiche push relative a corsi, iscrizioni e scadenze (previo consenso)
• Adempiere agli obblighi contrattuali e di legge
• Inviare comunicazioni commerciali e promozionali (previo consenso)
• Migliorare i servizi offerti attraverso analisi statistiche
• Sicurezza: protezione anti-spam (Google reCAPTCHA), autenticazione a due fattori (2FA) e audit log delle operazioni

4. Base Giuridica del Trattamento

Il trattamento dei dati personali è basato su:

• Consenso dell'interessato (art. 6, par. 1, lett. a GDPR)
• Esecuzione di un contratto di cui l'interessato è parte (art. 6, par. 1, lett. b GDPR)
• Obbligo di legge (art. 6, par. 1, lett. c GDPR)
• Legittimo interesse del titolare (art. 6, par. 1, lett. f GDPR)

5. Modalità del Trattamento

I dati personali sono trattati con strumenti automatizzati e manuali, per il tempo strettamente necessario a conseguire gli scopi per cui sono stati raccolti. Specifiche misure di sicurezza sono osservate per prevenire la perdita dei dati, usi illeciti o non corretti ed accessi non autorizzati.

6. Periodo di Conservazione

I dati personali saranno conservati per il periodo necessario a:

• Fornire i servizi richiesti
• Adempiere agli obblighi di legge (es. obblighi fiscali e contabili: 10 anni)
• Gestire eventuali contenziosi (termini di prescrizione legale)
• Finalità di marketing: fino a revoca del consenso

7. Comunicazione e Diffusione dei Dati

I dati personali potranno essere comunicati a:

• Collaboratori e dipendenti della Società, in qualità di autorizzati al trattamento
• Società di servizi informatici e di hosting
• Professionisti e consulenti (commercialisti, avvocati, consulenti del lavoro)
• Autorità pubbliche per adempimenti di legge
• Age.na.s per la trasmissione dei crediti ECM
• Gateway di pagamento (PayPal, Stripe) per l'elaborazione delle transazioni
• Servizi di notifica push (Web Push Protocol) per l'invio di notifiche al dispositivo
• Google reCAPTCHA (Google LLC) per la verifica anti-spam
• Fornitore di servizi di intelligenza artificiale (Anthropic PBC, USA) per la generazione — su richiesta di un operatore interno — di una sintesi testuale delle esperienze professionali contenute nel curriculum dei docenti, ai fini della compilazione della documentazione di accreditamento (Age.na.s). L'elaborazione avviene tramite API commerciale; i dati non sono utilizzati per l'addestramento dei modelli, la loro conservazione è ridotta al minimo, e l'esito è sottoposto a revisione umana prima dell'utilizzo
• Fornitore di servizi di intelligenza artificiale (Anthropic PBC, USA) per la lettura assistita dei giustificativi di spesa (scontrini, ricevute, fatture di viaggio e ospitalità) caricati da relatori e ospiti nell'ambito delle note spese, al fine di proporre in automatico data, importo ed esercente e segnalare eventuali incongruenze. Il documento è inviato per la sola elaborazione della singola richiesta, tramite API commerciale; i dati non sono utilizzati per l'addestramento dei modelli, la conservazione è ridotta al minimo e ogni proposta è sottoposta a verifica umana prima di essere confermata. La funzione è attivabile e disattivabile dal Titolare; quando è disattivata nessun documento viene inviato a terzi
• OpenStreetMap Foundation (servizi Nominatim e OSRM, Unione Europea) per il calcolo della distanza chilometrica ai fini del rimborso per l'uso del mezzo proprio: vengono trasmesse esclusivamente le località di partenza e arrivo digitate dall'interessato, senza alcun dato identificativo. In assenza di risposta del servizio la distanza può essere inserita manualmente
• Partner commerciali per l'organizzazione di eventi specifici (previo consenso)

I dati personali non saranno in alcun modo oggetto di diffusione.

8. Trasferimento Dati Extra-UE

I dati personali sono trattati prevalentemente all'interno dell'Unione Europea. Alcuni fornitori hanno sede negli Stati Uniti — ad esempio Google LLC (reCAPTCHA), Anthropic PBC (elaborazione AI dei curriculum dei docenti, lettura assistita dei giustificativi di spesa e risposte del totem Eludie) ed ElevenLabs (voce del totem Eludie, vedi i punti 12 e 13): in tali casi il trasferimento extra-UE è assistito dalle garanzie previste dal GDPR, in particolare le Clausole Contrattuali Standard approvate dalla Commissione Europea (SCC) incluse negli accordi sul trattamento dei dati (DPA) con i rispettivi fornitori.

9. Diritti dell'Interessato

L'interessato ha diritto di:

• Accesso (art. 15 GDPR): ottenere conferma dell'esistenza dei propri dati e richiederne copia
• Rettifica (art. 16 GDPR): richiedere la correzione di dati inesatti
• Cancellazione (art. 17 GDPR): richiedere la cancellazione dei propri dati ("diritto all'oblio")
• Limitazione (art. 18 GDPR): richiedere la limitazione del trattamento
• Portabilità (art. 20 GDPR): ricevere i propri dati in formato strutturato
• Opposizione (art. 21 GDPR): opporsi al trattamento dei propri dati
• Revoca del consenso (art. 7 GDPR): revocare il consenso in qualsiasi momento
• Reclamo (art. 77 GDPR): proporre reclamo all'Autorità Garante

10. Come Esercitare i Diritti

Per esercitare i diritti di cui sopra, l'interessato può inviare una richiesta scritta a:
Email: info@eludiaevents.it
PEC: eludiaevents@legalmail.it
Indirizzo: Via Cassia, 699 - 00189 Roma (RM)

Chi ha un account può chiederne la cancellazione anche direttamente dall'app EludiApp (Profilo → Elimina account). Come funziona e quali dati conserviamo per obbligo di legge è spiegato alla pagina Elimina il tuo account.

11. Autorità di Controllo

Garante per la Protezione dei Dati Personali
Piazza Venezia, 11 - 00187 Roma
Telefono: (+39) 06.696771
Email: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Sito web: www.garanteprivacy.it

12. Riconoscimento in sede (facoltativo)

Cosa fa. In alcune sedi dei corsi Eludia ci sono dispositivi di riconoscimento, come Eludie, il robot all'ingresso. Riconoscono il telefono del partecipante che ha attivato il riconoscimento nell'app, lo salutano per nome e registrano l'entrata o l'uscita che il partecipante conferma mostrando il proprio QR personale e toccando Entrata o Uscita.

Dati trattati. Un codice trasmesso via Bluetooth dall'app, che cambia ogni 5 minuti e da solo non identifica nessuno; nome, cognome e genere, per il saluto; la foto del profilo, se caricata, solo da mostrare; l'iscrizione al corso del giorno; orari di entrata e uscita e minuti di presenza della giornata. La camera del dispositivo vede se c'è qualcuno davanti e legge il QR: nessuna immagine del viso è usata per riconoscere il partecipante e non si trattano dati biometrici.

Finalità. Registrare la presenza al corso senza attese.

Base giuridica. Consenso dell'interessato (art. 6, par. 1, lett. a GDPR), dato nell'app; si registrano la versione di questa informativa e la data. Il consenso è facoltativo: senza, la presenza si registra in segreteria. Se l'informativa cambia, il consenso viene chiesto di nuovo.

Conservazione. Le presenze sono conservate come le altre presenze ai corsi. Il segreto da cui l'app ricava il codice è cancellato alla revoca del consenso, alla richiesta di cancellazione dell'account e all'unione di due profili; resta la registrazione del consenso dato e della revoca, come prova. Il server dei dispositivi tiene il nome del partecipante riconosciuto per 30 secondi, poi lo dimentica. Quando il dispositivo saluta a voce, come Eludie, ElevenLabs, che fa la voce, non registra l'audio e cancella la conversazione dopo un giorno.

Destinatari. Titolare è Eludia Events. Il server dei dispositivi è ospitato da Serverplan S.r.l., in Italia. Quando il dispositivo saluta a voce, come Eludie, il nome passa a ElevenLabs (la voce) e ad Anthropic (le risposte), negli Stati Uniti. Tutti e tre sono responsabili del trattamento. Il trasferimento negli Stati Uniti avviene con le clausole contrattuali standard della Commissione europea. Oggi l'unico dispositivo di riconoscimento è Eludie: se se ne aggiungono altri che usano servizi diversi, questa informativa cambia e il consenso viene chiesto di nuovo.

Revoca. In qualsiasi momento dall'app, con un tocco. Ha effetto immediato e non tocca le presenze già registrate.

Codice di questa sezione, registrato dall'app col consenso: 2026-11-v2.

13. Il totem Eludie

Cosa fa. Nelle sedi in cui è presente, Eludie è il robot all'ingresso: risponde a voce a chi gli parla, mostra programma e mappa e, se glielo chiedi, ti fa un selfie. Il riconoscimento per nome e la registrazione delle presenze sono facoltativi e sono descritti al punto 12 (Riconoscimento in sede).

La camera. Sul tablet del totem la camera vede se c'è qualcuno davanti, a che distanza e se sta parlando, per sapere quando ascoltare. Avviene solo sul tablet: nessuna immagine esce dal tablet, nulla viene registrato, i volti non vengono riconosciuti e non si trattano dati biometrici. La camera legge anche il QR personale di chi usa il riconoscimento in sede.

La voce. Quello che dici a Eludie è trascritto per risponderti. L'audio non è registrato. La trascrizione passa a ElevenLabs (voce e trascrizione) e ad Anthropic (le risposte), negli Stati Uniti. ElevenLabs cancella la conversazione dopo un giorno. Anthropic non la usa per addestrare i modelli e la cancella entro 30 giorni, come prevedono i suoi termini commerciali. Il server di Eludie non salva le conversazioni.

I selfie. Solo se lo chiedi. La foto è salvata sul server di Eludie, in Italia, con un indirizzo casuale. La ricevi con un QR che apre la pagina della foto, da cui puoi salvarla o condividerla. La vede solo chi ha quel link. Dopo 24 ore viene cancellata.

Sicurezza. Per proteggere il servizio, il server di Eludie tiene per 60 secondi l'ora delle richieste e per 10 minuti un'impronta dell'indirizzo IP dei tentativi di accesso sbagliati dello staff. Non si fanno statistiche né profili di chi passa davanti al totem.

Registro tecnico. Per capire i guasti, il tablet manda al server di Eludie un registro tecnico: quando il totem si attiva e perché, inizio e fine della voce, errori, quanti telefoni vede vicino via Bluetooth, fasi ed errori della registrazione delle presenze. Non contiene nomi, codici, QR, audio, immagini né quello che dici a Eludie, di cui si registra solo il numero di caratteri. Il registro è cancellato dopo 2 giorni.

Base giuridica. Per la conversazione, la camera e il registro tecnico, il legittimo interesse del titolare a offrire ai partecipanti un servizio di accoglienza e informazioni (art. 6, par. 1, lett. f GDPR): chi non vuole, non parla con Eludie. Per il selfie, il consenso, dato chiedendo la foto (art. 6, par. 1, lett. a).

Destinatari. Titolare è Eludia Events. Il server di Eludie è ospitato da Serverplan S.r.l., in Italia. ElevenLabs e Anthropic, negli Stati Uniti, sono responsabili del trattamento: Anthropic sia direttamente sia tramite ElevenLabs, che la usa per le risposte. Il trasferimento negli Stati Uniti avviene con le clausole contrattuali standard della Commissione europea.

Diritti. Puoi esercitarli come descritto ai punti 9 e 10, scrivendo a info@eludiaevents.it.

14. Modifiche alla Privacy Policy

La presente Privacy Policy può essere aggiornata periodicamente. Si invita a consultare regolarmente questa pagina per prendere visione di eventuali modifiche. La data di ultimo aggiornamento è indicata in fondo alla pagina.