CvRadar — Obblighi dell'utilizzatore: guida all'uso responsabile

Versione 1.0 — 31 ottobre 2026

Questo testo è una bozza redatta con l'assistenza dell'intelligenza artificiale e deve essere rivisto da un avvocato prima di farvi affidamento.

Il presente documento è disponibile in italiano, inglese e russo. In caso di discrepanza tra le versioni prevale la versione italiana.

Questa guida riassume i principali obblighi di chi usa CvRadar per selezionare personale. Non è consulenza legale e non sostituisce l'analisi del tuo caso concreto. Le norme citate sono aggiornate al 31 ottobre 2026.

1. Chi è responsabile

Quando raccogli e valuti CV con CvRadar sei titolare del trattamento (art. 4, n. 7, GDPR) dei dati dei candidati e deployer del sistema di IA ai sensi del Regolamento (UE) 2024/1689 ("AI Act"). L'autore di CvRadar non riceve i dati e non li tratta.

2. Base giuridica

• Candidature a una posizione che hai pubblicato: misure precontrattuali adottate su richiesta dell'interessato (art. 6, par. 1, lett. b) GDPR).
• CV inviati spontaneamente: l'art. 111-bis del D.Lgs. 196/2003 ("Codice Privacy") stabilisce che, nei limiti della finalità precontrattuale, il consenso non è dovuto e che l'informativa va fornita al primo contatto utile successivo all'invio del CV.
• Profili acquisiti da portali o CV non sollecitati che conservi per posizioni future: di norma legittimo interesse (art. 6, par. 1, lett. f) GDPR), previo bilanciamento documentato e con diritto di opposizione del candidato.
• Classificatore addestrato sulle tue valutazioni: rientra nella stessa finalità di selezione; tienine conto nell'informativa e nel bilanciamento.

Il consenso non è una base adatta nel rapporto di lavoro, per lo squilibrio tra le parti, salvo casi particolari.

3. Informativa ai candidati (artt. 13 e 14 GDPR)

• Se i dati arrivano dal candidato (email, Telegram, cartella, import), fornisci l'informativa al momento della raccolta o, per i CV spontanei, al primo contatto utile (art. 111-bis Codice Privacy).
• Se i dati provengono da un portale o da terzi, fornisci l'informativa entro un termine ragionevole e comunque entro un mese, o al primo contatto con il candidato (art. 14, par. 3, GDPR).
• Nell'informativa indica che usi uno strumento automatizzato di supporto alla valutazione e che la decisione finale è umana. Puoi usare il modello "Informativa ai candidati" fornito con CvRadar.
• Il messaggio automatico di conferma di ricezione inviato dal bot Telegram è un primo contatto utile: valuta di accompagnarlo con l'informativa o con un link a essa.

4. Minimizzazione e pertinenza

• Tratta solo dati pertinenti alla valutazione dell'attitudine professionale (art. 5, par. 1, lett. c) GDPR; art. 113 Codice Privacy).
• Non configurare competenze, parole chiave o descrizioni che riguardino età, sesso, nazionalità, stato civile, gravidanza, salute, religione, opinioni politiche o sindacali o altri fattori protetti.
• Dai portali acquisisci solo le pagine e i file necessari per una specifica selezione.
• Se un CV contiene dati non necessari (fotografia, stato civile, dati sanitari), non usarli nella valutazione e, ove possibile, eliminali.

5. Conservazione

Definisci e documenta i tempi di conservazione. Suggerimento (non è un termine di legge, adattalo al tuo caso):

• candidati per una posizione specifica: fino alla chiusura della selezione e poi 6 mesi, per gestire eventuali richieste e contestazioni;
• CV inviati spontaneamente: 12 mesi dalla ricezione;
• conservazione più lunga solo per i candidati che hai assunto (nel fascicolo del dipendente) o in presenza di un contenzioso.

Alla scadenza elimina CV, testi estratti, punteggi e valutazioni, anche nelle copie di sicurezza e nelle caselle email o chat da cui provengono. CvRadar conserva i dati sul tuo computer e ha un'impostazione Conservazione dei CV (6, 12 o 24 mesi; 12 di default) che cancella da sola file, testi, punteggi e scelte dei CV più vecchi. Le copie fuori da CvRadar (email, chat, backup) restano da cancellare a te. Ogni scelta "adatto / forse / scartato" è salvata con data e ora ed esportabile in CSV: puoi usarla come registro delle decisioni.

6. Sicurezza (art. 32 GDPR)

• Usa un account del sistema operativo protetto da password e la cifratura del disco (BitLocker, FileVault, LUKS).
• Mantieni aggiornati il sistema operativo e CvRadar.
• Proteggi il token del bot Telegram e le credenziali email; revocali se compromessi.
• Limita l'accesso al computer alle persone autorizzate e istruite (art. 29 GDPR; art. 2-quaterdecies Codice Privacy).
• Cifra le copie di sicurezza. In caso di violazione dei dati valuta la notifica al Garante entro 72 ore (art. 33 GDPR).

7. Decisione umana (art. 22 GDPR)

CvRadar non decide e non scarta i candidati. Perché la decisione resti davvero umana:

• esamina i CV e non soltanto il punteggio, in particolare prima di escludere qualcuno;
• la persona che decide deve avere competenza, autorità e tempo per discostarsi dal punteggio;
• sappi che, secondo la Corte di giustizia UE (causa C-634/21, SCHUFA, 7 dicembre 2023), un punteggio può costituire esso stesso una decisione automatizzata se chi decide vi si affida in modo determinante;
• consenti al candidato di esprimere la propria opinione e di contestare la valutazione.

8. Valutazione d'impatto (art. 35 GDPR)

L'uso di CvRadar combina valutazione o scoring di persone, uso di tecnologie innovative (IA) e interessati in posizione di debolezza (i candidati). Secondo le Linee guida WP248 e l'elenco del Garante (provvedimento n. 467 dell'11 ottobre 2018), la presenza di due o più di questi criteri rende di norma necessaria una DPIA. Se usi CvRadar in modo sistematico o su un numero non trascurabile di candidati, considera la DPIA necessaria e svolgila prima di iniziare. Se concludi che non è necessaria, documenta il motivo.

9. Categorie particolari di dati (art. 9 GDPR)

I CV possono contenere dati sanitari (ad esempio appartenenza a categorie protette), religiosi, politici o sindacali, o fotografie. Non cercarli, non usarli come criterio e non configurare parole chiave che li riguardino. Il trattamento è ammesso solo se ricorre una delle condizioni dell'art. 9, par. 2 (ad esempio obblighi in materia di collocamento obbligatorio, L. 68/1999) e limitatamente a quella finalità.

10. Divieto di discriminazione nell'accesso al lavoro

Le scelte di selezione, anche se supportate da CvRadar, devono rispettare in particolare:

• D.Lgs. 198/2006 (Codice delle pari opportunità), art. 27: divieto di discriminazioni di genere nell'accesso al lavoro, anche indirette;
• D.Lgs. 215/2003: parità di trattamento indipendentemente da razza e origine etnica;
• D.Lgs. 216/2003: parità di trattamento in materia di occupazione per religione, convinzioni personali, disabilità, età e orientamento sessuale;
• art. 8 L. 300/1970 (Statuto dei lavoratori): divieto di indagini sulle opinioni e su fatti non rilevanti per l'attitudine professionale;
• art. 10 D.Lgs. 276/2003: divieto di indagini e trattamenti di dati su convinzioni, affiliazione sindacale, sesso, stato matrimoniale o di famiglia, gravidanza, età, handicap, razza, origine etnica, nazionalità, stato di salute ed eventuali controversie con precedenti datori di lavoro, salvo che si tratti di caratteristiche essenziali e determinanti per lo svolgimento dell'attività.

Attenzione alle discriminazioni indirette: criteri apparentemente neutri (anni di esperienza minimi, interruzioni di carriera, lingua madre, istituti di provenienza) e il classificatore addestrato sulle tue valutazioni passate possono riprodurre distorsioni. Controlla periodicamente i risultati per gruppi e rivedi i criteri. Nei giudizi antidiscriminatori l'onere della prova è parzialmente invertito a carico del datore di lavoro: documenta i criteri usati.

11. AI Act (Regolamento (UE) 2024/1689)

11.1 Classificazione

I sistemi di IA destinati alla selezione del personale, in particolare per analizzare e filtrare le candidature e valutare i candidati, sono elencati nell'Allegato III, punto 4, lettera a) e sono quindi ad alto rischio (art. 6, par. 2). L'eccezione dell'art. 6, par. 3 non si applica ai sistemi che effettuano profilazione di persone fisiche. CvRadar va quindi considerato un sistema ad alto rischio.

11.2 Calendario di applicazione (verificato al 31 ottobre 2026)

• Dal 2 febbraio 2025: pratiche vietate (art. 5) e alfabetizzazione in materia di IA (art. 4).
• Regolamento (UE) 2026/1744 ("Digital Omnibus sull'IA"), pubblicato nella Gazzetta ufficiale UE il 24 luglio 2026 e in vigore dal 27 luglio 2026: ha rinviato l'applicazione degli obblighi per i sistemi ad alto rischio dell'Allegato III dal 2 agosto 2026 al 2 dicembre 2027 (e al 2 agosto 2028 per i sistemi dell'Allegato I). Ha inoltre riformulato l'art. 4.
• Fonte: https://eur-lex.europa.eu/eli/reg/2026/1744/oj

Fino al 2 dicembre 2027 gli obblighi dell'art. 26 non sono ancora applicabili, ma è opportuno organizzarsi subito: GDPR e normativa antidiscriminatoria si applicano già oggi.

11.3 Alfabetizzazione in materia di IA (art. 4) — già applicabile

Devi adottare misure per sostenere un livello sufficiente di alfabetizzazione in materia di IA del personale che usa CvRadar per tuo conto, tenendo conto di conoscenze, esperienza, formazione, contesto d'uso e persone interessate. Dopo il Regolamento 2026/1744 si tratta di un obbligo di mezzi. In pratica: spiega a chi usa l'app come si forma il punteggio, quali sono i suoi limiti (errori di estrazione, stima approssimativa dell'esperienza, possibili distorsioni del classificatore) e come documentare la decisione umana.

11.4 Obblighi del deployer (art. 26) — dal 2 dicembre 2027

• Uso conforme alle istruzioni: usa CvRadar secondo le istruzioni e per la finalità prevista (art. 26, par. 1).
• Sorveglianza umana: affida la supervisione a persone competenti, formate, dotate dell'autorità e del supporto necessari (art. 26, par. 2; art. 14).
• Dati di input: nella misura in cui li controlli, assicurati che descrizioni delle posizioni, competenze richieste e valutazioni usate per il classificatore siano pertinenti e sufficientemente rappresentative (art. 26, par. 4).
• Monitoraggio: sorveglia il funzionamento; se ritieni che l'uso presenti un rischio, sospendilo e informa il fornitore e l'autorità; segnala gli incidenti gravi (art. 26, par. 5).
• Log: conserva i log generati automaticamente dal sistema, nella misura in cui sono sotto il tuo controllo, per almeno sei mesi, salvo diverse disposizioni (art. 26, par. 6).
• Lavoratori: se sei un datore di lavoro, prima di mettere in servizio il sistema sul luogo di lavoro informa i rappresentanti dei lavoratori e i lavoratori interessati (art. 26, par. 7).
• Informazione ai candidati: informa le persone fisiche che sono soggette all'uso di un sistema ad alto rischio che le riguarda nel processo decisionale (art. 26, par. 11); i candidati hanno diritto a una spiegazione delle decisioni individuali (art. 86).
• DPIA: usa le informazioni fornite dal fornitore (art. 13) per la valutazione d'impatto (art. 26, par. 9).
• Enti pubblici: obblighi aggiuntivi di registrazione (art. 26, par. 8; art. 49) e valutazione d'impatto sui diritti fondamentali (art. 27).

Se modifichi in modo sostanziale il sistema, lo usi per una finalità diversa o lo distribuisci con il tuo nome o marchio, potresti assumere gli obblighi del fornitore (art. 25).

11.5 Pratiche vietate (art. 5)

È vietato, tra l'altro, l'uso di sistemi di IA per dedurre le emozioni di una persona sul luogo di lavoro (salvo motivi medici o di sicurezza) e la categorizzazione biometrica per dedurre razza, opinioni politiche, appartenenza sindacale, convinzioni religiose, vita od orientamento sessuale. Non usare CvRadar, né le fotografie dei CV, per tali finalità.

12. Legge italiana sull'IA (L. 23 settembre 2025, n. 132)

La L. 132/2025, in vigore dal 10 ottobre 2025, all'art. 11 prevede che:

• l'IA nel lavoro sia impiegata per migliorare le condizioni di lavoro, tutelare l'integrità psicofisica dei lavoratori e accrescere qualità e produttività;
• l'uso dell'IA sia sicuro, affidabile, trasparente e non contrasti con la dignità umana né violi la riservatezza dei dati personali; il datore di lavoro o il committente è tenuto a informare il lavoratore dell'utilizzo dell'IA nei casi e con le modalità dell'art. 1-bis del D.Lgs. 152/1997 (introdotto dal D.Lgs. 104/2022, "Decreto Trasparenza");
• l'IA nell'organizzazione e gestione del rapporto di lavoro garantisca i diritti inviolabili del lavoratore, senza discriminazioni.

L'art. 1-bis D.Lgs. 152/1997 riguarda i sistemi decisionali o di monitoraggio integralmente automatizzati che forniscono indicazioni rilevanti anche ai fini dell'assunzione, e richiede di informare per iscritto su finalità, logica, dati, metriche e misure di controllo, nonché le rappresentanze sindacali. Poiché in CvRadar la decisione finale è umana, l'applicabilità al caso concreto è discussa; per prudenza fornisci comunque queste informazioni ai candidati e, se presenti, alle rappresentanze sindacali.

Fonte: Gazzetta Ufficiale n. 223 del 25 settembre 2025, https://www.gazzettaufficiale.it/eli/id/2025/09/25/25G00143/sg

13. Portali di terzi

Usa i portali di lavoro con il tuo account e nel rispetto dei loro termini di servizio. Molti portali limitano la copia o il riutilizzo dei profili: verifica prima di acquisire pagine. CvRadar non automatizza la navigazione: ogni acquisizione è una tua scelta e una tua responsabilità.

14. Checklist prima di iniziare

1. Informativa ai candidati pronta (modello fornito con CvRadar).
2. Base giuridica e tempi di conservazione definiti per iscritto.
3. DPIA svolta o motivazione documentata della sua non necessità.
4. Criteri di selezione verificati: nessun riferimento a fattori protetti.
5. Personale istruito sull'uso e sui limiti dell'app (art. 4 AI Act).
6. Procedura per la decisione umana e per le contestazioni dei candidati.
7. Computer, account, token e copie di sicurezza protetti.
8. Uso dei portali conforme ai loro termini di servizio.
9. Dal 2 dicembre 2027: obblighi dell'art. 26 AI Act attuati (sorveglianza, log, informazione).