Privacy Policy

Versione sintetica · Versione 2026-10 · In vigore dal 08/10/2026

Questa informativa spiega come Empowering Students S.r.l. tratta i dati personali di chi visita il sito empoweringstudents.it, ci scrive, partecipa a un evento, prenota un colloquio, si candida a collaborare con noi o firma un contratto. È resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del d.lgs. 196/2003 (Codice privacy).

Cookie: https://www.empoweringstudents.it/cookie-policy/. Versione completa, con l’elenco dettagliato dei fornitori e un glossario: https://www.empoweringstudents.it/docs/informativa-privacy-estesa.pdf. Emporà (empora.it) è un nostro marchio: le richieste di contatto e le iscrizioni agli eventi che ci mandi da empora.it arrivano nel nostro CRM (il software in cui gestiamo contatti e pratiche) e da lì le trattiamo come descritto qui. Per il resto, come l’account e le candidature su empora.it, vale l’informativa di quel sito: https://www.empora.it/privacy-policy.

1. Chi è il titolare del trattamento

Empowering Students S.r.l., Corso Magenta 74, 20123 Milano, P.IVA IT13285660968. Telefono +39 02 96849670 · info@empoweringstudents.it · PEC empoweringstudents@pec.it. Non abbiamo nominato un responsabile della protezione dei dati (DPO).

2. Quali dati trattiamo

• Contatti e richieste: nome, cognome, e-mail, telefono, interessi, contenuto della richiesta, evento scelto, come ci hai conosciuto (se ce lo dici), eventuale codice advisor o sconto, scelte sui consensi con data e versione del testo della casella; se ci scrivi su WhatsApp, numero, nome del profilo e messaggi.
• Studente: nome e cognome già al primo contatto; poi data di nascita, scuola, classe, pagelle, livello linguistico, eventuali test di inglese e di orientamento e i loro risultati, preferenze di destinazione.
• Programma: documenti di identità e passaporto, dati per visto e assicurazione, dati per la firma del contratto.
• Salute dello studente (categorie particolari, art. 9 GDPR), solo quando servono a scuola, famiglia ospitante, assicurazione o sicurezza: allergie, terapie, esigenze alimentari (anche quando rivelano convinzioni religiose), condizioni che richiedono assistenza, disturbi dell’apprendimento (DSA) o altri bisogni educativi speciali, certificati delle vaccinazioni e, se richiesti, certificati medici. Li chiediamo, nel profilo online dello studente, solo dopo il consenso esplicito del genitore o dello studente maggiorenne.
• Pagamenti e fatture: dati di fatturazione; i dati delle carte li tratta solo il servizio di pagamento.
• Candidature a collaborare: contatti, tipo di collaborazione, esperienza.
• Colloqui video: registrazione, trascrizione e riassunto automatico, solo con il tuo consenso (punto 6).
• Dati tecnici: indirizzo IP, browser, dispositivo, pagine visitate; per la sicurezza del sito e, con il consenso ai cookie, per misurazione e pubblicità.

3. Da dove arrivano i dati

Di solito ce li dai tu, anche con i moduli di empora.it e delle nostre pubblicità sui social. I dati dello studente ce li dà il genitore, dal primo contatto in poi: per lo studente c’è una versione semplice di questa informativa al punto 17. Altri dati possono arrivarci dalla scuola di provenienza (su richiesta della famiglia), dalle piattaforme dei test di inglese e di orientamento che lo studente fa tramite noi, da partner, scuole, famiglie ospitanti e assicurazioni durante il programma (anche notizie sulla salute), da chi ti ha presentato a noi (un advisor o un’altra organizzazione), dall’advisor che ti segue e dalle piattaforme di prenotazione o iscrizione (Calendly, Zoho Bookings, Eventbrite) e dai moduli delle nostre pubblicità sui social.

4. Perché trattiamo i dati e su quale base

#	Finalità	Base giuridica (GDPR)
1	Rispondere alle richieste, mandare brochure, gestire iscrizioni a webinar e open day e prenotazioni di colloqui; affidare la richiesta a un advisor della nostra rete (a quello del codice, se lo indichi). Se una richiesta non arriva al CRM per un errore tecnico, il sito ne tiene una copia per al massimo 90 giorni.	Misure precontrattuali chieste da te – 6.1.b (il genitore chiede anche per il figlio)
2	Comunicazioni di servizio: conferme, inviti di calendario, promemoria, aggiornamenti. Non sono marketing.	Misure precontrattuali e contratto – 6.1.b
3	Firmare il contratto e gestire il programma: candidatura, abbinamento, visto, assicurazione, partenza, assistenza.	Contratto – 6.1.b (per lo studente minorenne firma il genitore)
4	Dati sulla salute per attivare il programma, per chiedere il supporto di cui lo studente ha bisogno e per la sua sicurezza.	Consenso esplicito del genitore, o dello studente maggiorenne – 6.1.a e 9.2.a
5	In un’emergenza, comunicare le informazioni sulla salute indispensabili quando lo studente non è in grado di dare il consenso e non si raggiunge in tempo chi può darlo.	Interesse vitale – 6.1.d e 9.2.c
6	Pagamenti; fatture, contabilità, obblighi di legge e richieste delle autorità.	Contratto – 6.1.b; obbligo di legge – 6.1.c
7	Novità su programmi, eventi e offerte via e-mail, telefono e WhatsApp (punto 5).	Consenso – 6.1.a e art. 130 Codice privacy; revocabile anche per un solo canale
8	Misurare l’uso del sito e l’efficacia delle campagne e, tramite i fornitori di pubblicità (punto 8), mostrarti annunci pertinenti.	Consenso ai cookie – 6.1.a e art. 122 Codice privacy
9	Registrare, trascrivere e riassumere i colloqui video (punto 6).	Consenso – 6.1.a; per dati sulla salute 9.2.a
10	Valutare le candidature di collaboratori, advisor e partner.	Misure precontrattuali – 6.1.b; per chi scrive per un’organizzazione, legittimo interesse – 6.1.f
11	Proteggere il sito da attacchi e abusi.	Legittimo interesse – 6.1.f
12	Capire come ci hai conosciuto, per statistiche interne.	Legittimo interesse – 6.1.f
13	Conservare la prova dei consensi e delle richieste di non essere contattato.	Obbligo di legge – 6.1.c e 7.1; dopo la revoca, legittimo interesse – 6.1.f
14	Accertare, esercitare o difendere un diritto.	Legittimo interesse – 6.1.f; per la salute 9.2.f

5. Comunicazioni promozionali: canali e come dire no

Se spunti la casella facoltativa dei nostri moduli, possiamo presentarti programmi, eventi e offerte via e-mail (da Zoho Campaigns o dal nostro CRM Zoho), telefono (solo dal nostro personale, non dagli advisor) e WhatsApp (dal nostro numero aziendale collegato al CRM Zoho, tramite la piattaforma WhatsApp Business di WhatsApp Ireland Ltd). Senza consenso non ricevi marketing, ma puoi comunque chiedere informazioni, iscriverti agli eventi e firmare il contratto. Lasciare vuota la casella in un nuovo modulo non toglie un consenso dato prima: per toglierlo usa uno dei modi qui sotto. Registriamo la data e la versione del testo che hai accettato; se la casella non nominava i canali, usiamo solo l’e-mail.

Le comunicazioni promozionali sono per i genitori e per chi ha almeno 18 anni: se veniamo a sapere che il consenso ce l’ha dato uno studente minorenne, smettiamo subito di mandargliele. Nelle comunicazioni di servizio non inseriamo pubblicità.

6. Colloqui, registrazioni e intelligenza artificiale

I colloqui si prenotano con Calendly o Zoho Bookings e si svolgono in sede o su Microsoft Teams. Solo se sei d’accordo registriamo i colloqui video e li trascriviamo con un assistente di intelligenza artificiale (Fireflies.ai o, in alternativa, Fathom) che prepara un riassunto per gli appunti di chi fa il colloquio. Se dici di no, il colloquio si fa lo stesso; puoi fermare la registrazione in ogni momento. Se partecipa uno studente minorenne, chiediamo il consenso al genitore e chiediamo anche allo studente se è d’accordo: se uno dei due dice di no, non registriamo. I riassunti non servono a decisioni automatiche; se contengono un errore puoi chiederci di correggerli o cancellarli.

Per bozze di testi e riassunti sulla pratica e per gestire il CRM e il sito possiamo usare anche due assistenti di intelligenza artificiale, Zia (nel CRM Zoho) e Claude di Anthropic, mai sui dati sulla salute; una persona rilegge sempre i testi che preparano. Fireflies.ai, Fathom e Anthropic non usano i tuoi dati per addestrare i loro modelli.

7. I dati dei minori

Programmi e servizi sono per studenti dai 9 ai 25 anni. Per lo studente minorenne il genitore firma, presta i consensi ed esercita i diritti; lo studente può comunque scriverci anche da solo (punto 17). I moduli del nostro sito e quelli di contatto e degli eventi di empora.it, le prenotazioni e le comunicazioni promozionali sono per i genitori e per chi ha almeno 18 anni; se uno studente minorenne ci scrive, coinvolgiamo un genitore prima di chiedergli altri dati. Se durante la pratica chiediamo allo studente minorenne di compilare un modulo, per esempio il suo profilo, gli chiediamo di farlo insieme a un genitore, che dà i consensi. Quando compie 18 anni, decide lui: i consensi dati dai genitori restano validi finché non li cambia o li revoca, e può farlo in ogni momento scrivendoci. In un’emergenza, se non troviamo in tempo i genitori, o lo studente se è maggiorenne, diamo ai medici solo le informazioni sulla salute che servono a proteggerlo; appena possibile diciamo ai genitori, o allo studente maggiorenne, che cosa abbiamo comunicato e a chi. Se un minore ci ha dato dati senza il consenso dei genitori, scrivici: li cancelleremo.

8. A chi comunichiamo i dati

Al personale autorizzato e, nella misura necessaria:

• per il programma, come titolari autonomi: organizzazioni partner e scuole nei Paesi di destinazione, famiglie ospitanti (se previste), assicurazioni, consolati, medici e strutture sanitarie in caso di emergenza; il fornitore del test di inglese ClarityEnglish, se lo fai sulla sua piattaforma; consulenti legali e fiscali, banche, autorità quando la legge lo chiede;
• la nostra rete di advisor: consulenti e procacciatori esterni che ci presentano le famiglie o le seguono per nostro conto, tenuti per contratto alla riservatezza; non hanno un account nel nostro CRM: ciascuno vede, in un portale personale, solo le famiglie che ci ha presentato o che segue; non mandiamo loro i dati sulla salute; se l’advisor che ti segue lavora fuori dallo Spazio economico europeo, i dati arrivano anche lì (punto 9);
• fornitori che trattano i dati per nostro conto: Zoho Corporation B.V. (CRM e servizi collegati: automazioni, newsletter, Zoho Bookings, Zoho Forms, firma elettronica, documenti della pratica, contatti dalle nostre pubblicità sui social, assistente di intelligenza artificiale Zia, messaggi WhatsApp; data center UE), WhatsApp Ireland Ltd, Microsoft Ireland Operations Ltd (posta elettronica, calendario, Teams), Calendly LLC, Fireflies.ai Corp. e Fathom Video, Inc. (registrazioni dei colloqui), Anthropic (Claude, intelligenza artificiale), Eventbrite, Inc., Aruba S.p.A. (hosting ed e-mail del sito), Aruba PEC S.p.A. (PEC), Sendinblue SAS (Brevo, e-mail automatiche dei siti), Defiant, Inc. (Wordfence, sicurezza del sito), Stripe Payments Europe Ltd, TeamSystem S.p.A. (Fatture in Cloud), Morrisby Limited (test di orientamento); alcuni (Stripe, Eventbrite, WhatsApp) per attività proprie usano i dati come titolari autonomi;
• solo con il consenso ai cookie: Google Ireland Ltd (Analytics, Ads, YouTube), Meta Platforms Ireland Ltd (pixel), LinkedIn Ireland (Insight Tag), Zoho PageSense. Per la raccolta e l’invio dei dati con il pixel Meta siamo contitolari con Meta (art. 26 GDPR; accordo con Meta). Della raccolta e dell’invio con i tag di Google Ads e di LinkedIn rispondiamo anche noi; Google e LinkedIn, nei loro termini, li ricevono come titolari autonomi.

Se ci scrivi su WhatsApp usi un servizio di WhatsApp, che tratta alcuni dati come titolare autonomo. Non diffondiamo i dati, salvo foto, video e testimonianze che pubblichiamo solo con un consenso scritto a parte, chiesto con un modulo che ha una sua informativa (per un minorenne firmano i genitori, e serve il sì dello studente); mai informazioni sulla salute; il consenso si può revocare quando vuoi. Su richiesta ti diamo il nome di ogni destinatario dei tuoi dati.

9. Trasferimenti fuori dallo Spazio economico europeo

Per il programma mandiamo alcuni dati nel Paese di destinazione. Per Regno Unito e Nuova Zelanda la Commissione europea ha riconosciuto che proteggono i dati in modo adeguato; per Canada e Stati Uniti il riconoscimento vale solo per alcune organizzazioni, di solito non per scuole e famiglie ospitanti; per Australia e Sudafrica non c’è. Dove manca:

• gli invii per il singolo studente (partner o scuola che lo accoglie, famiglia ospitante, assicurazione, consolato) sono necessari per eseguire il contratto (art. 49.1.b e c);
• gli advisor con sede fuori dallo Spazio economico europeo ricevono i tuoi dati solo se ci arrivi tramite loro o se scegli di farti seguire da uno di loro, sapendo dove lavora (art. 49.1.b e c);
• i dati sulla salute li mandiamo solo con il consenso esplicito del genitore o dello studente maggiorenne (art. 49.1.a), chiesto nel profilo dello studente quando il Paese è deciso, spiegando i rischi; in emergenza, se lo studente non può dare il consenso e non si raggiunge chi può darlo, solo l’indispensabile (art. 49.1.f).

Nei Paesi senza riconoscimento la legge può proteggere i dati meno di quella europea e far valere i diritti può essere più difficile. Alcuni fornitori trattano dati negli Stati Uniti o vi accedono (Google, Meta e WhatsApp, LinkedIn, Microsoft, Stripe, Calendly, Eventbrite, Fireflies.ai, Fathom, Anthropic, Brevo, Defiant): usiamo il Data Privacy Framework con le società iscritte che lo applicano e, con le altre, le clausole contrattuali standard (il dettaglio è nella versione completa). Zoho tiene i dati nell’UE; gli eventuali accessi della sua assistenza da fuori UE sono coperti da clausole contrattuali standard. Puoi chiederci copia delle garanzie.

10. Per quanto tempo conserviamo i dati

Dati	Per quanto tempo
Richieste, iscrizioni, prenotazioni e messaggi senza contratto	24 mesi dall’ultimo contatto
Copia tecnica delle richieste non arrivate al CRM	Al massimo 90 giorni
Contratto, pratica e firma	Durata del rapporto e 10 anni dopo
Fatture e scritture contabili	10 anni dall’ultima registrazione (art. 2220 c.c.)
Dati sulla salute	Cancellati entro 3 mesi dalla fine del programma; dopo un incidente, un ricovero o una pratica assicurativa teniamo solo i documenti su quell’evento, al massimo per 10 anni dalla fine del programma
Marketing	Fino alla revoca; dopo 24 mesi senza contatti attivi (aprire un’e-mail non conta) smettiamo di scriverti e cancelliamo i dati che servivano solo al marketing
Prova dei consensi; elenco di chi non vuole essere contattato	Finché il consenso vale e 5 anni dopo la revoca o la fine del trattamento; l’elenco di esclusione finché facciamo marketing su quel canale
Candidature non accolte	12 mesi dall’invio
Registrazioni e riassunti dei colloqui	Durata della pratica e 12 mesi dopo; senza contratto, 12 mesi dal colloquio. Se contengono dati sulla salute, entro il termine indicato per quei dati
Registri di sicurezza; cookie	Al massimo 30 giorni (gli indirizzi IP bloccati, finché dura il blocco); per i cookie vedi la Cookie Policy

Scaduti i tempi cancelliamo i dati o li rendiamo anonimi; se c’è in corso una contestazione o una richiesta di un’autorità, teniamo quelli che servono finché non è chiusa. I dati cancellati possono restare nelle copie di sicurezza e nei cestini dei programmi, senza essere usati, finché le copie non vengono sovrascritte e i cestini non si svuotano.

11. È obbligatorio darci i dati?

Per le finalità 1, 2, 3, 6 e 10 sì, altrimenti non possiamo rispondere, valutare la candidatura, attivare il programma o fatturare. Sono facoltativi il codice advisor o sconto e la risposta a «come ci hai conosciuto». La casella obbligatoria dei moduli serve solo a confermare che hai letto questa informativa: non è un consenso. I dati sulla salute (finalità 4) li trattiamo con il tuo consenso; senza, solo in un’emergenza o per difendere un diritto (finalità 5 e 14). Se non lo dai, molte scuole, famiglie ospitanti e assicurazioni potrebbero non accettare lo studente: prima di procedere ti diciamo le conseguenze nel tuo caso. Per le finalità 7, 8 e 9 il consenso è facoltativo e revocabile senza conseguenze.

12. Decisioni automatizzate e profilazione

Non prendiamo decisioni solo automatizzate con effetti importanti su di te (art. 22 GDPR): l’abbinamento lo decide sempre una persona. Con il consenso ai cookie, i fornitori di pubblicità usano i dati di navigazione per mostrarti annunci pertinenti; puoi revocarlo dal pannello delle preferenze.

13. Sicurezza

Accessi personali e limitati, protezione del sito, connessioni cifrate, copie di sicurezza, riservatezza per personale, advisor e fornitori. Se una violazione comporta un rischio elevato per te, te lo comunichiamo.

14. I tuoi diritti e come esercitarli

Puoi chiedere accesso e copia dei dati, il nome dei destinatari, rettifica, cancellazione (anche dopo una revoca o un’opposizione), limitazione e portabilità; opporti al trattamento basato sul legittimo interesse e, sempre, al marketing; revocare i consensi senza effetti sul passato; non subire decisioni solo automatizzate. Scrivi a info@empoweringstudents.it o alla PEC: è gratis e non serve un modulo. Rispondiamo entro un mese dal ricevimento (più due mesi nei casi complessi, avvisandoti e spiegando perché). Puoi fare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità del Paese UE in cui vivi o lavori, oppure rivolgerti al giudice; per la stessa questione reclamo al Garante e ricorso al giudice sono alternativi (art. 140-bis Codice privacy), ma la decisione del Garante si può impugnare in tribunale.

15. Modifiche

In alto trovi versione e data. Le modifiche importanti te le diciamo prima; se serve un nuovo consenso, te lo chiediamo.

16. Contatti

Empowering Students S.r.l. · Corso Magenta 74, 20123 Milano · +39 02 96849670 · info@empoweringstudents.it · PEC empoweringstudents@pec.it

Ci pensiamo noi, insieme

Fai il primo passo verso la tua esperienza all'estero

Prenota un colloquio gratuito e senza impegno: ti aiutiamo a scegliere il programma su misura per te.

è gratis!

Prenota un colloquio gratuito → Gratuito · online · senza impegno