Informativa privacy

Ultimo aggiornamento: 11 ottobre 2026.

Questa informativa spiega quali dati personali trattiamo quando visiti i nostri siti (satagroup.it e satacard.it), ci scrivi, ti iscrivi a un corso, acquisti la Satacard o ricevi le nostre comunicazioni, perché lo facciamo, per quanto tempo e quali sono i tuoi diritti (Regolamento UE 2016/679, «GDPR», artt. 13 e 14).

Nei moduli i campi obbligatori sono segnati: senza quei dati non possiamo rispondere, iscriverti o completare l'acquisto. Gli altri sono facoltativi.

Chi tratta i tuoi dati

Il titolare del trattamento è Satagroup S.r.l., Via Cesare Battisti, 244 – 74121 Taranto (TA), P.IVA 02735710739. Per qualsiasi domanda sui tuoi dati puoi scrivere a assistenza@satacard.it o alla PEC satagroup@pec.it.

Il responsabile della protezione dei dati (DPO) è lo Studio Di Teo, nella persona di Daniela Di Teo: puoi scrivere direttamente a studio_diteo@libero.it.

Quando ci scrivi dal modulo «Scrivici»

• Dati: nome, cognome, email, telefono, il messaggio e il tipo di richiesta. Per le richieste su un corso, un attestato, un pagamento o l'accesso alla piattaforma ti chiediamo anche codice fiscale, nome del corso, professione e disciplina e, per l'accesso, l'indirizzo della piattaforma: ci servono per trovarti fra i partecipanti. Per un preventivo ti chiediamo i dati del progetto (ente, argomento, numero di partecipanti, modalità, sede, periodo, accreditamento ECM, cioè Educazione Continua in Medicina). Registriamo anche la pagina da cui arrivi (e, se hai seguito un nostro link in una email o in un annuncio, la campagna da cui provieni) e l'ora in cui hai letto questa informativa.
• Perché: per rispondere alla tua richiesta.
• Base giuridica: misure precontrattuali o contratto, se la richiesta riguarda un corso o un acquisto (art. 6.1.b GDPR); altrimenti il nostro legittimo interesse a rispondere a chi ci scrive (art. 6.1.f).
• Per quanto: 24 mesi dall'invio, poi la richiesta si cancella da sola.
• La richiesta arriva per email alla funzione che se ne occupa (segreteria, amministrazione o assistenza tecnica); il codice fiscale non viaggia nell'email, resta nel nostro gestionale. Le richieste di assistenza tecnica passano dal nostro sistema di assistenza (assistenza.satagroup.it).

Quando ti iscrivi a un corso ECM

• Dati: nome, cognome, email, cellulare, codice fiscale, data e luogo di nascita, sesso, residenza, professione e disciplina, posizione lavorativa, ordine professionale e numero di iscrizione, ente di appartenenza, le scelte sul corso (sede, giornata) e le tue note (non scriverci informazioni sulla tua salute: se ti serve un'assistenza particolare, per esempio per l'accessibilità della sede, diccelo e ti chiediamo solo l'indispensabile). Per la lista d'attesa ne chiediamo meno: nome, recapiti, professione e città. Per i corsi a pagamento, anche i dati per la fattura. Registriamo anche la pagina da cui arrivi e l'ora in cui hai letto questa informativa.
• Perché: per gestire la pre-adesione e poi l'iscrizione, organizzare il corso, rilasciare l'attestato e comunicare la tua partecipazione e i crediti ECM ad Agenas (Agenzia nazionale per i servizi sanitari regionali) e al Co.Ge.A.P.S. (Consorzio per la gestione anagrafica delle professioni sanitarie), come la legge chiede a noi in quanto Provider Nazionale ECM n. 434.
• Base giuridica: il contratto di iscrizione (art. 6.1.b) e l'obbligo di legge della formazione continua in medicina (art. 6.1.c; Accordo Stato-Regioni del 2 febbraio 2017 e regole Agenas per i provider).
• Per quanto: i dati dell'iscrizione per 10 anni dalla fine del corso, come la documentazione ECM e contabile; le pre-adesioni rifiutate o annullate e la lista d'attesa per 12 mesi.
• A chi li comunichiamo: Agenas e Co.Ge.A.P.S. (enti pubblici, titolari autonomi) per i crediti; il fornitore della piattaforma di gestione degli eventi e della formazione a distanza che usiamo, come responsabile del trattamento.
• Senza questi dati non possiamo iscriverti né riconoscerti i crediti.

Quando acquisti la Satacard

• Dati: gli stessi dell'iscrizione ai corsi (anagrafica, codice fiscale, professione e disciplina), i dati di fatturazione (codice fiscale o P.IVA, codice destinatario per la fattura elettronica o PEC), i corsi che scegli e, per Satacard Business, i dati dell'azienda e dei dipendenti che iscrive.
• Perché: per l'adesione, l'attivazione dei corsi, la fatturazione e la comunicazione dei crediti ECM.
• Base giuridica: contratto (art. 6.1.b) e obblighi di legge fiscali ed ECM (art. 6.1.c).
• Per quanto: 10 anni per i documenti contabili (art. 2220 codice civile); per i dati ECM come sopra.
• Se ti ha iscritto la tua azienda con Satacard Business, i tuoi dati (nome, cognome, codice fiscale, email, professione e disciplina) ce li ha comunicati il tuo datore di lavoro. Li usiamo solo per attivarti i corsi, rilasciarti l'attestato e comunicare i crediti ECM, con le regole e i tempi di questa pagina. L'azienda che ti iscrive deve averti informato prima di comunicarci i tuoi dati.

Quando paghi online

• Se paghi con PayPal o con carta, il pagamento avviene sulle pagine di PayPal, che tratta i dati del pagamento come titolare autonomo, secondo la propria informativa. Noi a PayPal mandiamo solo l'importo, la descrizione e il numero dell'ordine; da PayPal riceviamo l'esito e il riferimento della transazione. I dati della tua carta non passano mai da noi.
• Se paghi con bonifico o in contanti in sede, registriamo la data e l'importo del pagamento.
• Base giuridica: contratto (art. 6.1.b) e obblighi fiscali (art. 6.1.c). Per quanto: 10 anni, come i documenti contabili.

Comunicazioni su corsi ed eventi (email e SMS)

• Dati: nome, email, cellulare, professione e provincia o città, per mandarti solo i corsi che ti riguardano.
• Perché: per informarti su nuovi corsi, eventi e offerte.
• Base giuridica: il tuo consenso (art. 6.1.a e art. 130 del Codice privacy, D.Lgs. 196/2003), che puoi dare nei nostri moduli con una casella a parte, facoltativa. Se hai acquistato da noi un corso a pagamento o la Satacard, possiamo scriverti per email su corsi e servizi simili anche senza consenso, finché non ti opponi (art. 130, comma 4, Codice privacy): puoi farlo in ogni momento con il link presente in ogni email. Per gli SMS serve sempre il tuo consenso. Non ti telefoniamo per proporti corsi.
• Come smetti: ogni email ha il link per disiscriversi con un clic; per gli SMS c'è la pagina «Stop SMS», e la revoca vale da subito. Possiamo continuare a mandarti solo i messaggi di servizio di un corso a cui sei iscritto (per esempio un cambio d'orario).
• Per quanto: finché non revochi il consenso. Dei singoli invii teniamo la traccia per 24 mesi, poi la rendiamo anonima. Se revochi, conserviamo solo il numero o l'indirizzo con la revoca, per non scriverti più.
• A chi: gli invii passano dai servizi di posta elettronica e SMS di Aruba S.p.A., responsabile del trattamento.

Avvisi interni al nostro personale

Quando da satagroup.it o da satacard.it arriva un'adesione a un corso, un acquisto, un pagamento o una richiesta dal modulo «Scrivici» (compresa la richiesta di preventivo), il nostro gestionale avvisa il personale in un canale interno di Slack, il servizio di messaggistica di Slack Technologies (gruppo Salesforce). L'avviso dice di che cosa si tratta, il corso o il prodotto, l'importo e il tuo nome e cognome; non contiene mai email, telefono, codice fiscale né il testo che hai scritto.

• Base giuridica: il nostro legittimo interesse a gestire le richieste in fretta (art. 6.1.f).
• Per quanto: il gestionale non cancella gli avvisi già mandati: restano nella cronologia del canale per il periodo di conservazione impostato nel nostro spazio di lavoro Slack. I dati veri della pratica restano nel gestionale, con i tempi indicati sopra.
• Slack è responsabile del trattamento e può trattare dati negli Stati Uniti, con le garanzie descritte in «Dati fuori dall'Unione europea».

Link corti e QR code

Quando apri un nostro link corto o inquadri un nostro QR code (indirizzi qrcode.satagroup.it) registriamo il clic per sapere quali materiali funzionano: data e ora, pagina di provenienza, lingua, tipo di dispositivo e browser. Non conserviamo il tuo indirizzo IP intero: ne teniamo solo la prima parte (per esempio 93.44.120.0), che basta a ricavare il paese e la città approssimativi ma non individua te. Per ricavarli mandiamo questa parte troncata, e nient'altro, al servizio di geolocalizzazione ip-api.com. Per distinguere chi apre lo stesso link due volte nello stesso giorno usiamo un'impronta cifrata che cambia ogni giorno: non installiamo cookie e il giorno dopo non possiamo più collegare le visite.

• Base giuridica: il nostro legittimo interesse a misurare le nostre comunicazioni (art. 6.1.f).
• Per quanto: i clic restano finché il link corto o il QR code resta nel nostro archivio, e si cancellano con lui quando lo eliminiamo definitivamente.

Sicurezza dei moduli e dei siti

• Per proteggere i moduli dallo spam usiamo Cloudflare Turnstile: il tuo browser si collega ai server di Cloudflare, Inc., che vede il tuo indirizzo IP, il browser e alcuni segnali del dispositivo per capire se sei una persona. Cloudflare non riceve ciò che scrivi nel modulo e non usa cookie di profilazione; noi non gli mandiamo il tuo IP. Cloudflare è responsabile del trattamento e può trattare dati negli Stati Uniti, con le garanzie descritte in «Dati fuori dall'Unione europea».
• Per limitare gli invii ripetuti conserviamo un'impronta cifrata della rete da cui scrivi, mai l'indirizzo IP.
• Le copie di sicurezza del gestionale si sovrascrivono dopo 14 giorni.
• I server che ospitano i siti registrano, come tutti, dati tecnici delle visite (indirizzo IP, pagina, ora) per la sicurezza e la manutenzione.
• Base giuridica: il nostro legittimo interesse alla sicurezza dei servizi (art. 6.1.f).
• Per quanto: l'impronta della rete resta con la richiesta o l'ordine a cui appartiene, con i suoi tempi. I registri tecnici del nostro gestionale, da cui togliamo i dati personali dei moduli, si cancellano da soli dopo 14 giorni (errori) e 30 giorni (eventi di sistema); il registro delle operazioni fatte dal nostro personale dopo 24 mesi. I registri dei server web li conservano i fornitori di hosting (Netsons e Aruba) per il periodo previsto dal loro servizio, e li consultiamo solo per problemi di sicurezza o di funzionamento.

Cookie e dati salvati nel browser

I siti satagroup.it e satacard.it non usano cookie di profilazione né strumenti di statistica, e le pagine informative non installano cookie. Le pagine dei moduli usano solo cookie tecnici, necessari al funzionamento. Mentre compili un modulo lungo, il browser conserva sul tuo dispositivo quello che scrivi, per 24 ore, così non lo perdi se ricarichi la pagina: questi dati non ci arrivano finché non invii il modulo. Anche i link corti e i QR code non installano cookie di misurazione. Tutti i dettagli sono nella Cookie Policy.

Chi altro può vedere i tuoi dati

Oltre al nostro personale autorizzato (segreteria, amministrazione, assistenza), i fornitori che ci aiutano a erogare i servizi, nominati responsabili del trattamento: Netsons (hosting di satagroup.it e del nostro gestionale), Aruba S.p.A. (posta elettronica, SMS e hosting di satacard.it), Cloudflare, Inc. (antispam), Slack (avvisi interni), il fornitore della piattaforma degli eventi e della formazione a distanza, il nostro commercialista per la fatturazione. PayPal tratta i dati del pagamento come titolare autonomo. Agenas e Co.Ge.A.P.S. ricevono i dati ECM come titolari autonomi. Il servizio ip-api.com riceve solo la parte troncata dell'indirizzo IP di chi apre un nostro link corto o QR code. Se ci scrivi su WhatsApp dal pulsante della pagina contatti, il messaggio passa da WhatsApp (gruppo Meta) secondo la sua informativa. L'elenco aggiornato dei responsabili si può chiedere al titolare. Non vendiamo i tuoi dati e non li usiamo per decisioni automatizzate.

Dati fuori dall'Unione europea

Conserviamo i dati presso fornitori con server nell'Unione europea. Due fornitori possono trattarne una parte negli Stati Uniti: Cloudflare, Inc. (antispam: indirizzo IP e dati del browser) e Slack Technologies (avvisi interni: nome e cognome). Il trasferimento è lecito perché entrambi aderiscono al Data Privacy Framework, l'accordo tra Unione europea e Stati Uniti sulla protezione dei dati, riconosciuto adeguato dalla Commissione europea (decisione del 10 luglio 2023, art. 45 GDPR); dove non basta, si applicano le clausole contrattuali tipo della Commissione (art. 46). Puoi chiederci copia di queste garanzie scrivendo a assistenza@satacard.it.

Formazione finanziata dai Fondi interprofessionali

Quando un'azienda o un ente forma il proprio personale con un corso finanziato (per esempio da Fondimpresa, Formazienda o da un altro fondo paritetico interprofessionale), i dati dei partecipanti ce li comunica il datore di lavoro, che resta titolare dei dati dei propri dipendenti.

• Dati: quelli che il fondo chiede per il piano formativo: di solito nome, cognome, codice fiscale, data e luogo di nascita, sesso, titolo di studio, inquadramento e tipo di contratto, presenze e risultati delle verifiche; per i corsi ECM anche professione e disciplina. Non chiediamo dati sulla salute: se un fondo li richiedesse, li tratteremmo solo con le garanzie previste dalla legge e te lo diremmo prima.
• Perché: per progettare ed erogare il corso, presentare il piano formativo al fondo, rendicontarlo e, per i corsi ECM, comunicare i crediti ad Agenas e Co.Ge.A.P.S.
• Base giuridica: il contratto con l'azienda o l'ente che ci incarica e il nostro legittimo interesse a gestire il piano formativo (art. 6.1.b e 6.1.f); gli obblighi di rendicontazione del fondo e quelli ECM (art. 6.1.c).
• A chi li comunichiamo: al fondo che finanzia il corso, titolare autonomo, attraverso la sua piattaforma, e, quando previsto, agli enti che lo controllano. Quale fondo finanzia il tuo corso è indicato nel programma e nel registro presenze.
• Per quanto: 10 anni dalla fine del piano formativo, o di più se il fondo lo chiede per i suoi controlli.
• L'azienda o l'ente che ti iscrive deve averti informato prima di comunicarci i tuoi dati; noi ti diamo questa informativa al primo giorno di corso.

Se ci mandi il tuo curriculum

Se ci mandi il tuo CV per collaborare con noi come docente, relatore o tutor, lo usiamo solo per valutare la collaborazione (art. 6.1.b e art. 111-bis Codice privacy). Lo conserviamo 12 mesi, poi lo cancelliamo, salvo che nasca una collaborazione. Non mandarci dati sulla salute o altri dati particolari che non servono.

Moduli inviati ai vecchi siti

Le richieste, le iscrizioni e i pagamenti inviati con i moduli dei vecchi siti (fino al 10 ottobre 2026) li abbiamo trasferiti nel nostro gestionale, dove li consulta solo il personale amministrativo per dare seguito alle pratiche e rispondere alle tue domande. Insieme ai moduli il vecchio sito aveva registrato l'indirizzo IP e il browser da cui erano stati inviati. Li conserviamo per gli stessi scopi e con le stesse basi giuridiche descritti sopra, al massimo per 10 anni dall'invio, come i documenti contabili ed ECM.

Professionisti di cui trattiamo dati pubblici

Per la nostra attività di provider ECM consultiamo i dati pubblici degli eventi accreditati (Agenas), che contengono i nomi di docenti e responsabili scientifici e i recapiti delle segreterie organizzative. Se ti contattiamo per questo, ti diamo un'informativa specifica al primo contatto (art. 14 GDPR).

Tutela dei nostri diritti e richieste delle autorità

Possiamo usare i dati descritti in questa pagina per difenderci o far valere un nostro diritto in giudizio, per il tempo necessario (art. 6.1.f). Li comunichiamo alle autorità pubbliche solo quando la legge ce lo impone.

I tuoi diritti

Puoi chiederci in ogni momento di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in un formato leggibile (portabilità), opporti ai trattamenti basati sul legittimo interesse e revocare il consenso, senza che questo tocchi quanto fatto prima. Alle comunicazioni promozionali puoi opporti sempre, senza dare motivi. Agli altri trattamenti basati sul nostro legittimo interesse puoi opporti spiegandoci il motivo legato alla tua situazione: smettiamo, salvo che abbiamo motivi prevalenti da dimostrarti. Se correggiamo o cancelliamo i tuoi dati, lo comunichiamo anche a chi li ha ricevuti da noi. Scrivi a assistenza@satacard.it o alla PEC satagroup@pec.it: rispondiamo entro un mese, prorogabile di altri due nei casi complessi: in quel caso te lo diciamo entro il primo mese. Puoi anche presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Minori

I nostri servizi sono rivolti a professionisti e aziende: non raccogliamo consapevolmente dati di minori di 18 anni.

Modifiche

Se cambiamo questa informativa lo scriviamo qui, con la data in alto. Ogni modulo registra la versione che hai letto quando l'hai inviato.