Informativa sul trattamento dei dati personali

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è BS Direct S.r.l., con sede legale in Corso Giacomo Matteotti 1, 20121 Milano (MI), P.IVA 14409610962, parte del Gruppo Bruno Sforni SpA.

Contatto per la privacy: privacy@bsdirect.it

2. Dati raccolti

Il sito raccoglie le seguenti categorie di dati:

• Email — fornita volontariamente dall'utente per l'accesso al simulatore o per comunicazioni
• Hash IP pseudonimizzato — l'indirizzo IP è sottoposto ad hashing e utilizzato esclusivamente per finalità statistiche aggregate e di limitazione degli abusi (rate limiting); è un dato pseudonimizzato, non direttamente riconducibile alla persona
• User agent — informazioni tecniche sul browser e dispositivo utilizzato
• Segnali tecnici antifrode — indirizzo IP, impronta TLS, user agent, chiave pubblica del sito e origine associata, trattati da Cloudflare Turnstile quando viene richiesto un codice di accesso per distinguere il traffico umano da quello automatizzato
• Dati di navigazione e provenienza — referrer, parametri UTM, identificativi di campagna pubblicitaria (es. gclid, fbclid, msclkid) e landing page di ingresso, raccolti al primo accesso e conservati per attribuire la sorgente di traffico, misurare l'efficacia delle campagne e per finalità statistiche aggregate
• Eventi di utilizzo del servizio — azioni d'uso in forma pseudonima (ad esempio: apertura del sito, avvio e completamento di una simulazione, apertura del modulo email), associate a un identificativo casuale generato e conservato nel browser dell'utente, senza contenuti liberi né dati identificativi diretti. La raccolta si fonda sul legittimo interesse del Titolare al miglioramento del servizio (art. 6, par. 1, lett. f GDPR); l'utente può opporsi in qualsiasi momento disattivando la 'Misurazione statistica di prima parte' dal pannello 'Gestisci cookie' in footer
• Profilo professionale (facoltativo) — informazioni dichiarate volontariamente dall'utente per personalizzare il percorso di studio e i contenuti: stato di iscrizione al RUI, sezione di interesse, contesto lavorativo, provincia, data d'esame prevista. Il conferimento è libero: la mancata compilazione non limita in alcun modo l'accesso al servizio
• Esito dell'esame dichiarato (facoltativo) — l'esito della prova d'idoneità comunicato volontariamente dall'utente dopo la sessione d'esame, utilizzato per adattare i contenuti e i suggerimenti di studio
• Feedback — segnalazioni di bug e richieste di funzionalità inviate volontariamente
• Storico quiz — risultati delle simulazioni salvati localmente nel browser (localStorage) e, per gli utenti autenticati, sincronizzati con il database
• Ricevute di presa visione e consenso — versione dell'informativa, data e ora registrate dal server, contesto tecnico del dispositivo e, se prestato, consenso marketing separato

3. Finalità del trattamento

3.1 Finalità connesse al servizio

• Erogazione e gestione del servizio di simulazione esame RUI
• Comunicazioni informative relative al servizio
• Gestione e risposta ai feedback degli utenti
• Prevenzione delle richieste automatizzate abusive e protezione dell'invio dei codici di accesso
• Analisi statistiche aggregate e anonimizzate sull'utilizzo del servizio
• Personalizzazione del percorso di studio e dei contenuti sulla base delle informazioni dichiarate dall'utente (es. data d'esame, materie da rafforzare, profilo professionale)
• Miglioramento del prodotto tramite l'analisi in forma pseudonima degli eventi di utilizzo del servizio

3.2 Finalità di marketing (solo con il tuo consenso facoltativo)

Esclusivamente se presti uno specifico e separato consenso, i tuoi dati di contatto (email, nome) potranno essere trattati anche per le seguenti finalità distinte:

• Marketing diretto — invio via email di comunicazioni promozionali e di consigli di studio relativi a prodotti e servizi di BS Direct S.r.l. e delle società del Gruppo Bruno Sforni
• Analisi delle preferenze (profilazione connessa al marketing) — analisi delle tue preferenze e del tuo utilizzo del servizio (es. moduli svolti, interessi manifestati) al fine di rendere le comunicazioni di cui sopra più pertinenti
• Comunicazione alle società del Gruppo Bruno Sforni — comunicazione dei tuoi dati di contatto alle società del Gruppo (tra cui Bruno Sforni SpA) affinché possano perseguire le medesime finalità di marketing diretto sopra descritte

Il consenso a tali finalità è facoltativo, separato e liberamente revocabile in qualsiasi momento, tramite il link di disiscrizione presente in ogni email promozionale oppure scrivendo a privacy@bsdirect.it. Il mancato conferimento o la revoca del consenso non limitano in alcun modo l'accesso al servizio e non comportano alcuna conseguenza negativa. La revoca non pregiudica la liceità dei trattamenti effettuati prima della revoca stessa.

4. Base giuridica

Il trattamento dei dati personali si fonda sul consenso esplicito dell'interessato (art. 6, par. 1, lett. a del Regolamento UE 2016/679 — GDPR), espresso al momento della registrazione dell'email o dell'invio di feedback.

Per la sicurezza del servizio, la prevenzione degli abusi e la protezione delle richieste dei codici di accesso, la base giuridica è il legittimo interesse del Titolare a proteggere il servizio e i suoi utenti (art. 6, par. 1, lett. f GDPR). I segnali trattati tramite Cloudflare Turnstile sono limitati a quanto necessario per distinguere il traffico umano da quello automatizzato.

Per la misurazione statistica di prima parte in forma pseudonima (eventi di utilizzo), la base giuridica è il legittimo interesse del Titolare al miglioramento del servizio (art. 6, par. 1, lett. f GDPR), bilanciato dalla pseudonimizzazione dei dati, dall'assenza di contenuti liberi e dal diritto di opposizione esercitabile in ogni momento tramite il pannello 'Gestisci cookie'

Per le finalità di marketing, analisi delle preferenze e comunicazione alle società del Gruppo di cui al punto 3.2, la base giuridica è il consenso facoltativo e separato dell'interessato (art. 6, par. 1, lett. a GDPR), raccolto tramite apposita casella di spunta non preselezionata. Ciascuna di tali finalità si fonda su un consenso autonomo rispetto a quello richiesto per l'erogazione del servizio.

5. Cookie e strumenti di misurazione

Il sito quiz.bsdirect.it utilizza:

• Cookie e storage tecnici: localStorage per memorizzare lo stato del simulatore (storico quiz, preferenze). Questi dati restano sul dispositivo dell'utente, non sono trasmessi a BS Direct e non richiedono consenso (cookie tecnici, art. 122 Codice Privacy).
• Cookie di sessione Supabase: cookie tecnici di autenticazione impostati da Supabase per mantenere la sessione di accesso degli utenti registrati. Sono strettamente necessari all'erogazione del servizio richiesto e non richiedono consenso (art. 122 Codice Privacy).
• Storage delle preferenze cookie (consent storage): localStorage utilizzato per registrare e conservare le scelte espresse dall'utente nel cookie banner, così da non ripresentare la richiesta ad ogni visita. Cookie tecnico, non soggetto a consenso.
• Cloudflare Turnstile: strumento tecnico di sicurezza fornito da Cloudflare, Inc. che protegge la richiesta del codice di accesso dai bot. Quando il modulo di accesso viene aperto, Turnstile valuta segnali del browser e della connessione per distinguere il traffico umano da quello automatizzato; tali segnali non sono utilizzati da BS Direct per pubblicità o profilazione commerciale. Lo strumento è strettamente necessario alla sicurezza del servizio e non richiede consenso. Ulteriori informazioni sono disponibili nell' informativa privacy Turnstile di Cloudflare.
• Misurazione statistica di prima parte — BS Direct raccoglie direttamente, senza intermediari terzi, eventi di utilizzo del servizio in forma pseudonima (v. §2), memorizzando nel browser un identificativo casuale. La raccolta è attiva di default sulla base del legittimo interesse del Titolare ed è disattivabile in qualsiasi momento dal pannello 'Gestisci cookie' in footer (diritto di opposizione, art. 21 GDPR); alla disattivazione la raccolta cessa
• Vercel Web Analytics: strumento di misurazione statistica aggregata fornito da Vercel Inc. (USA). Raccoglie pagine visitate, data/ora, browser, paese di provenienza, tramite un hash IP non riconducibile alla persona. Soggetto al medesimo regime del cookie analitico ai sensi delle Linee guida del Garante Privacy del 10/06/2021. Viene attivato solo previo consenso espresso attraverso il cookie banner.
• Vercel Speed Insights: strumento di monitoraggio delle performance tecniche (Core Web Vitals) fornito da Vercel Inc. (USA). Raccoglie metriche anonime sulla velocità di caricamento. Soggetto a consenso come sopra.

L'utente può modificare le proprie preferenze in qualsiasi momento tramite il link “Gestisci cookie” presente in footer.

6. Destinatari dei dati e responsabili del trattamento

I dati sono trattati dal Titolare e dai seguenti fornitori esterni designati responsabili ex art. 28 GDPR:

• Vercel Inc. (340 S Lemon Ave #4133, Walnut CA 91789, USA) — hosting sito, Analytics, Speed Insights
• Supabase Inc. (970 Toa Payoh North #07-04, Singapore 318992 — data center UE regione “eu-west-1”, Irlanda) — database, autenticazione, storage email e storico quiz degli utenti registrati
• Resend Inc. (USA, region EU Irlanda — eu-west-1) — invio email transazionali (codice OTP a 6 cifre per l'accesso e comunicazioni relative al servizio)
• Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, USA) — prevenzione dei bot tramite Turnstile. Cloudflare tratta i segnali tecnici per conto di BS Direct ai fini della protezione del servizio e, come autonomo titolare, per migliorare le proprie capacità di rilevamento dei bot, secondo la propria informativa Turnstile

Elenco aggiornato dei responsabili disponibile su richiesta scritta a privacy@bsdirect.it.

7. Trasferimenti extra-UE

Alcuni trattamenti comportano il trasferimento di dati personali verso gli Stati Uniti d'America (via Vercel Inc., Resend Inc. e Cloudflare, Inc.). Il trasferimento è coperto dalle seguenti garanzie:

• Clausole Contrattuali Standard UE 2021/914 (SCC) sottoscritte con i fornitori
• EU-US Data Privacy Framework (se il fornitore è certificato alla data del trasferimento — verificabile su dataprivacyframework.gov)

Per Supabase, i dati sono conservati in data center UE (Irlanda, regione eu-west-1). Non è previsto trasferimento extra-UE.

8. Conservazione dei dati

I dati personali sono conservati per il tempo strettamente necessario al perseguimento delle finalità per cui sono stati raccolti, nel rispetto dei principi di minimizzazione e limitazione della conservazione previsti dal GDPR. In particolare:

• Lead ed email di contatto — conservati per 24 mesi decorrenti dall'ultimo contatto con l'interessato, salvo revoca anticipata del consenso o richiesta di cancellazione
• Dati trattati per finalità di marketing (punto 3.2) — conservati per 24 mesi decorrenti dall'ultimo contatto con l'interessato; in caso di revoca del consenso, il trattamento per tali finalità cessa immediatamente e i relativi dati sono cancellati o resi anonimi
• Storico quiz e dati dell'account — conservati finché l'account resta attivo; in caso di chiusura dell'account o di richiesta di cancellazione, i dati sono eliminati
• Hash IP e log tecnici — conservati per il tempo necessario alle finalità statistiche e di sicurezza, poi cancellati o resi anonimi
• Eventi di utilizzo — conservati in forma grezza per 90 giorni, poi cancellati automaticamente; oltre tale termine sopravvivono esclusivamente aggregati statistici anonimi non riconducibili alla persona
• Profilo professionale ed esito d'esame dichiarato — conservati finché l'account resta attivo; eliminati alla chiusura dell'account o su richiesta

9. Diritti dell'interessato

Ai sensi degli artt. 15-22 del GDPR, l'interessato ha diritto di:

• Accesso — ottenere conferma dell'esistenza dei propri dati e accederne
• Rettifica — richiedere la correzione di dati inesatti o incompleti
• Cancellazione — richiedere l'eliminazione dei propri dati ("diritto all'oblio")
• Portabilità — ricevere i propri dati in formato strutturato e leggibile
• Opposizione — opporsi al trattamento per motivi legittimi e, in ogni momento e senza motivazione, al trattamento per finalità di marketing diretto, inclusa la profilazione ad esso connessa (art. 21 GDPR)
• Revoca del consenso — revocare in qualsiasi momento il consenso prestato (per il marketing: link di disiscrizione in ogni email o richiesta a privacy@bsdirect.it)

Per esercitare i propri diritti, scrivere a privacy@bsdirect.it.

10. Reclamo all'Autorità di controllo

L'interessato ha il diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali — www.garanteprivacy.it.

Versione 2026-07-13 — Ultimo aggiornamento: 13 luglio 2026