Versione 1.3 – ottobre 2026

Wibo Discover è una survey digitale sulle attività di lavoro. Ogni partecipante racconta a un assistente IA, in chat o a voce, quali attività svolge nel suo lavoro; l'azienda riceve una lettura aggregata dei processi e dei bisogni di formazione, mai i risultati del singolo.

Questa scheda riassume come funziona il servizio, quali dati tratta, dove e con quali garanzie. In fondo trovate l'elenco dei documenti privacy in versione standard, da inviare insieme alla scheda.

Come funziona

Funziona come i questionari che le aziende già usano per raccogliere i fabbisogni formativi. Al posto delle domande a crocette c'è una conversazione guidata con Daniel, l'assistente IA di Wibo, che chiede al partecipante quali attività svolge, con quali strumenti e con quali altre funzioni collabora. Il partecipante sa fin dall'inizio che sta parlando con un sistema di IA, e partecipare è volontario.

Dalle risposte la piattaforma ricava le attività descritte, i passaggi di lavoro tra ruoli diversi e le attività in cui formazione o strumenti digitali potrebbero semplificare il lavoro. Ogni partecipante riceve un report personale, che vede solo lui. L'azienda vede una dashboard con i risultati aggregati per ruolo, funzione e organizzazione.

I risultati servono a capire come si lavora e dove servono formazione o nuovi strumenti, non a valutare le persone. Per contratto il cliente non li usa come base per decisioni sui singoli, come assunzioni, valutazione delle prestazioni, retribuzione, carriera, provvedimenti disciplinari o cessazione del rapporto.

Dati raccolti e chi li vede

Wibo tratta solo dati legati all'attività lavorativa. La survey non chiede dati di categorie particolari (art. 9 GDPR, per esempio sulla salute) né dati giudiziari (art. 10), e Wibo non salva registrazioni audio. Daniel è istruito a non chiedere né approfondire informazioni sulla salute o sulla vita privata: se il partecipante ne parla, riporta la conversazione sulle attività di lavoro.

Nelle sessioni a voce l'audio non viene registrato: resta in memoria solo per il tempo della trascrizione, poi viene eliminato.

L'azienda vede solo risultati aggregati. Se un gruppo ha meno di 30 persone, i suoi risultati vengono accorpati a quelli di un gruppo più ampio, così da non essere riconducibili a singole persone. Il report individuale arriva solo all'interessato, con un link personale a uso singolo.

Dove vengono trattati i dati

La piattaforma è un'applicazione web di Wibo; hosting, database e modelli di IA sono forniti da sei sub-responsabili, ai quali Wibo impone per contratto gli obblighi dell'art. 28 GDPR.

I trasferimenti verso gli Stati Uniti si basano sulle Clausole Contrattuali Tipo (Decisione UE 2021/914), con Transfer Impact Assessment e misure supplementari: cifratura e minimizzazione dei dati inviati. Dove il fornitore è certificato si aggiunge il Data Privacy Framework (Decisione UE 2023/1795). Anthropic e OpenAI si impegnano per contratto a non usare i dati per addestrare i loro modelli e li conservano solo per il tempo necessario al servizio e ai controlli di sicurezza; anche l'uso dei dati per l'addestramento dei modelli di Replit è escluso.

Sicurezza e conservazione

Le misure tecniche e organizzative (art. 32 GDPR) sono descritte nell'Allegato B del DPA e, in dettaglio, nella policy di sicurezza di Wibo:

• cifratura dei dati in transito (TLS 1.2 o superiore) e a riposo (AES-256 sul database)
• credenziali individuali e autenticazione a più fattori, permessi assegnati secondo il minimo privilegio
• dati di ogni cliente separati logicamente da quelli degli altri clienti
• log degli accessi e delle operazioni sulla piattaforma
• backup, procedura di ripristino e piano di continuità operativa
• procedura per le violazioni di dati, con avviso al cliente senza ingiustificato ritardo

Wibo è certificata ISO 9001 (certificato ITA-10179-QMS).

I dati sono conservati per la durata del contratto con il cliente e, dopo la sua cessazione, per non oltre 6 mesi, durante i quali il cliente può chiederne la restituzione. Il cliente può anche chiedere in ogni momento la cancellazione dei dati di una survey conclusa. Alla scadenza Wibo cancella i dati e le copie esistenti; le copie di backup sono eliminate con la normale rotazione dei backup.

Inquadramento normativo

GDPR

Il cliente è titolare del trattamento, Wibo è responsabile ai sensi dell'art. 28 GDPR e tratta i dati solo su istruzione documentata del cliente. Il cliente autorizza i sub-responsabili, riceve un preavviso di almeno 30 giorni di ogni modifica e può opporsi. Wibo assiste il cliente sulle richieste degli interessati (artt. 12-22) e su sicurezza, violazioni e valutazione d'impatto (artt. 32-36), e accetta gli audit del cliente. Il servizio non produce decisioni automatizzate ai sensi dell'art. 22.

AI Act

Il sistema è classificato come non ad alto rischio. Resta fuori dall'Allegato III, punto 4, perché descrive attività e processi e non valuta le persone; la classificazione vale finché è rispettato il limite d'uso descritto sopra: i risultati non si usano per decisioni sui singoli. Si applicano gli obblighi di trasparenza dell'art. 50: i partecipanti sanno di parlare con un sistema di IA. Wibo riesamina la classificazione a ogni nuova funzionalità.

Valutazione d'impatto

Wibo fornisce una DPIA di supporto (art. 35 GDPR) che il cliente adotta e integra con le proprie valutazioni. Nella DPIA di supporto, con le misure descritte, il rischio residuo risulta accettabile e non emergono i presupposti per la consultazione preventiva del Garante; la valutazione finale spetta al cliente.

Cosa resta al cliente

Come titolare, il cliente prende le decisioni di fondo sul trattamento; Wibo mette a disposizione i documenti elencati in fondo e lo assiste nei singoli passaggi.

1. Sceglie e documenta la base giuridica, di norma il legittimo interesse con il relativo bilanciamento.
2. Informa i dipendenti (artt. 13-14 GDPR), compreso il fatto che l'assistente è un sistema di IA (art. 50 AI Act).
3. Valuta l'inquadramento rispetto all'art. 4 dello Statuto dei lavoratori: la survey è pensata per una partecipazione volontaria e l'azienda non riceve risultati individuali, quindi non è pensata come strumento di controllo dell'attività lavorativa. Coinvolge le rappresentanze dei lavoratori dove lo ritiene opportuno o è previsto.
4. Adotta la DPIA di supporto e la aggiorna nel tempo.
5. Firma il DPA e autorizza l'elenco dei sub-responsabili.

Documenti allegati

Per partire servono i quattro documenti qui sotto, in versione standard e senza riferimenti a singoli clienti. Gli altri documenti privacy (policy di sicurezza, procedura per le violazioni, classificazione AI Act) si possono richiedere al team Wibo.