# Sicurezza, GDPR e raccomandazione della CNIL | Evalmee > Hosting in Francia, cifratura, conformità GDPR e allineamento alla délibération CNIL n° 2023-058 sulla sorveglianza a distanza degli esami online. Senza riconoscimento facciale nel prodotto standard. Source: https://evalmee.com/it/sicurezza/ FR: https://evalmee.com/fr/securite/ EN: https://evalmee.com/en/security/ ES: https://evalmee.com/es/seguridad/ ES-ES: https://evalmee.com/es-es/seguridad/ --- ## I tuoi dati sono al sicuro Evalmee è ospitato in Francia, conforme al GDPR e allineato alla raccomandazione della CNIL — l'autorità francese per la protezione dei dati — sulla sorveglianza a distanza degli esami online. Pagina aggiornata il 14 agosto 2026. I testi citati sono stati consultati a questa data. ## Dove sono ospitati i dati di Evalmee? Gli elaborati, i risultati e le registrazioni della sorveglianza a distanza sono ospitati in Francia, presso Scaleway e nella regione AWS eu-west-3 (Parigi). Nessuna replica fuori dall'Europa, backup compresi. Alcuni servizi tecnici periferici possono comportare un trasferimento regolamentato, elencato più sotto. Per i dati d'esame non usiamo né regioni statunitensi né regioni asiatiche. - [Scaleway](https://www.scaleway.com/en/security-and-resilience/) — Fornitore di hosting francese, certificato ISO/IEC 27001 per i suoi data center - [AWS France](https://aws.amazon.com/compliance/eu-data-protection/) — Regione eu-west-3 (Parigi), dati a riposo nell'Unione europea Meglio essere precisi che rassicuranti. I dati d'esame non lasciano la Francia. Tre strumenti periferici — Cloudflare (protezione di rete), Sentry (segnalazione degli errori) e Stripe (pagamenti) — sono stabiliti nell'UE ma appartengono a gruppi statunitensi: quando è in gioco un trasferimento, questo è regolato dalle clausole contrattuali tipo della Commissione europea, come ricorda l'articolo 5 della raccomandazione della CNIL. Il nostro elenco pubblico dei sub-responsabili indica, per ciascuno, il paese di stabilimento. Dove ciascuna delle altre sei piattaforme francesi dichiara di ospitare i propri dati è riportato, fonte per fonte, nella [comparativa delle piattaforme d'esame online](https://evalmee.com/it/confronto-piattaforme-esami-online/). Una precisazione utile: la certificazione ISO/IEC 27001 citata qui sopra è quella di Scaleway, il nostro fornitore di hosting. Riguarda i suoi data center e i suoi processi, non il software Evalmee. Evalmee non è a sua volta certificato ISO 27001 — vedi la sezione «Quali certificazioni possiede Evalmee?». ## Come vengono cifrati i dati? In transito, tutto il traffico passa in HTTPS con TLS 1.2 o TLS 1.3. A riposo, i dati sensibili sono cifrati in AES-256 e le password sono sottoposte ad hashing. È esattamente la misura che l'articolo 6 della raccomandazione della CNIL si attende da un dispositivo di sorveglianza a distanza. Nel dettaglio: - In transito: protocollo HTTPS (TLS 1.2 / TLS 1.3) su tutto il traffico, senza eccezioni - A riposo: cifratura AES-256 per i dati sensibili, hashing per le password - Backup cifrati, conservati nella stessa area geografica dei dati di produzione ## Come è protetta l'infrastruttura? La nostra infrastruttura applica una difesa in profondità: protezione DDoS a monte, rete privata segmentata, accesso ai server tramite chiave, monitoraggio delle vulnerabilità e registrazione degli accessi. Nessuna di queste misure basta da sola; è la loro sovrapposizione a ridurre la superficie di attacco. Concretamente: - Tutti i servizi operano dietro Cloudflare (protezione DDoS integrata, limitazione della frequenza delle richieste) - Rete privata virtuale (VPC) con firewall che controlla il traffico in entrata e in uscita - Accesso ai server limitato ai membri autorizzati, tramite chiave SSH (nessuna password) - [Registrazione degli accessi ai dati](https://evalmee.com/it/glossario-valutazione/#traccia-di-verifica-audit-trail), conformemente alla raccomandazione della CNIL sui log (délibération n° 2021-122 du 14 octobre 2021, del 14 ottobre 2021) - Monitoraggio automatico delle vulnerabilità dei componenti software (CVE) - Team formato sulle vulnerabilità OWASP Top 10 (audit regolari del codice e dell'infrastruttura) ## Che cosa dice la CNIL sulla sorveglianza a distanza degli esami online? **Che cosa raccomanda la CNIL, e come Evalmee vi si conforma** | Raccomandazione della CNIL | Rif. | Che cosa fa Evalmee | | --- | --- | --- | | Proporzionare il dispositivo alla posta in gioco della prova, e rinunciare alla sorveglianza a distanza quando la posta in gioco è bassa | § 33-34 | Ogni dispositivo — schermo intero, avviso di uscita dallo schermo, registrazione dello schermo, sorveglianza video, verifica dell'identità — si imposta prova per prova. Nulla è attivo per impostazione predefinita, ed Evalmee non attiva mai queste opzioni di propria iniziativa. | | Controllare l'attività del candidato tramite la piattaforma, rilevando o bloccando l'accesso ad altre schede | § 35 | Schermo intero obbligatorio e avviso a ogni uscita dallo schermo. Le acquisizioni dello schermo sono innescate da un evento — uscita dalla modalità a schermo intero, passaggio a un'altra applicazione, estensione del browser sospetta — e non da un flusso video continuo dello schermo. | | Escludere qualsiasi analisi automatica del comportamento dei candidati: frequenza di battitura, direzione dello sguardo, emozioni | § 36-37 | Evalmee non analizza né la direzione dello sguardo, né le emozioni, né la dinamica di battitura. Nessuna di queste tecnologie esiste nel prodotto, nemmeno come opzione. | | Non lasciare mai che un dispositivo automatico decida da solo: una verifica umana deve precedere ogni decisione | § 38 | Un avviso apre un passaggio da rivedere, mai una sanzione. La decisione spetta a chi sorveglia o alla commissione, in diretta tramite la chat integrata oppure in differita sulla linea temporale dell'elaborato. | | Privilegiare il confronto documentale per verificare l'identità, e inquadrare rigorosamente ogni trattamento biometrico | § 43-47 | Nel prodotto standard, la verifica dell'identità di Evalmee è un confronto documentale visivo, deciso dall'esaminatore, e nessun modello biometrico viene calcolato o conservato. Nel piano Organizzazione, una validazione automatizzata dell'identità può essere attivata su preventivo, alle condizioni del § 45. | | Fissare i periodi di conservazione prima dell'attivazione, e limitarli | § 48-49 | I dati di immagine e audio della sorveglianza a distanza vengono cancellati per impostazione predefinita dopo tre mesi, il tempo necessario a gestire i ricorsi. Sul piano Organisation è possibile fissare contrattualmente una durata diversa, che non supera mai dodici mesi. | | Cifrare i dati in transito e a riposo, limitare gli accessi in lettura e registrare i log | § 53-56 | TLS 1.2/1.3 in transito, AES-256 a riposo. Le registrazioni sono accessibili solo agli esaminatori dell'organizzazione cliente; Evalmee non vi accede mai, salvo stretta necessità tecnica e sotto vincolo di riservatezza. | | Inquadrare i trasferimenti di dati fuori dall'Unione europea | § 51 | I dati d'esame restano in Francia. I rari trasferimenti legati a strumenti periferici sono coperti dalle clausole contrattuali tipo. | L'8 giugno 2023 la CNIL, l'autorità francese per la protezione dei dati, ha adottato la délibération n° 2023-058 du 8 juin 2023 (raccomandazione della CNIL n. 2023-058 dell'8 giugno 2023), pubblicata sul Journal officiel francese n. 0203 del 2 settembre 2023 (testo n. 63). Non vieta la sorveglianza a distanza: impone di proporzionarla alla reale posta in gioco della prova e descrive le modalità che considera accettabili. In Francia è il testo di riferimento. La raccomandazione riguarda «qualsiasi tipo di esame o certificazione, organizzato da un ente pubblico o da un organismo privato». Ricorda anche una cosa che non possiamo fare al posto tuo: l'istituto che organizza la prova è il titolare del trattamento, Evalmee ne è soltanto il responsabile del trattamento. Il nostro lavoro consiste nel fornirti impostazioni che ti permettano di restare dentro questo quadro. ### Il principio di proporzionalità, in due frasi La CNIL chiede che «l'analisi dell'efficacia e della proporzionalità di un dispositivo di sorveglianza a distanza degli esami [avvenga] in modo complessivo e non misura per misura» (§ 33) e che la scelta degli strumenti «si valuti alla luce del contesto e della posta in gioco della prova» (§ 34). Una sorveglianza rafforzata è appropriata per un concorso di ammissione a una scuola; una simulazione d'esame, invece, «dovrebbe svolgersi senza sorveglianza a distanza». I paragrafi citati rinviano alla numerazione della raccomandazione pubblicata dalla CNIL. Questa lettura è la nostra e non impegna la CNIL: in quanto titolare del trattamento, spetta a te condurre la tua analisi, insieme al tuo responsabile della protezione dei dati, e realizzare se del caso la [valutazione d'impatto](https://evalmee.com/it/glossario-valutazione/#valutazione-d-impatto-sulla-protezione-dei-dati-dpia) prevista al § 32. [Leggi la délibération n° 2023-058 su cnil.fr](https://www.cnil.fr/sites/cnil/files/2023-09/recommandation_dispositifs_de_telesurveillance_des_examens.pdf) ## Evalmee usa il riconoscimento facciale? Non nel prodotto standard — offerte Mini, Pro e Max: lì la verifica dell'identità è un confronto documentale, valutato a occhio dall'esaminatore che decide di persona — la prima modalità che la CNIL cita al § 43 della sua raccomandazione. Sul piano Organisation, una convalida automatizzata dell'identità può essere attivata su preventivo: si limita a stabilire l'identità del candidato, prima della prova o a posteriori come opzione, e non è mai usata per sorvegliarlo durante la prova. In un ambito dove molti editori restano vaghi, ecco esattamente che cosa succede: - Il partecipante fotografa con la webcam il proprio documento d'identità o il tesserino studentesco, insieme a una o più foto di riferimento del viso. - L'esaminatore confronta visivamente i due elementi e decide. Nel prodotto standard nessuna IA convalida il documento al posto suo, e la convalida è umana dall'inizio alla fine. - Nel prodotto standard nessun modello biometrico viene calcolato o conservato. La raccomandazione della CNIL vieta esplicitamente la costituzione di simili archivi presso i fornitori di [sorveglianza a distanza](https://evalmee.com/it/glossario-valutazione/#teleproctoring-sorveglianza-a-distanza) (§ 46). - Nessuna [analisi automatica del comportamento](https://evalmee.com/it/glossario-valutazione/#proctoring-automatizzato): né direzione dello sguardo, né rilevamento delle emozioni, né dinamica di battitura. La CNIL raccomanda di non ricorrervi (§ 37); noi non lo proponiamo. - Gli unici segnali automatici riguardano l'attività durante la prova — uscita dalla modalità a schermo intero, passaggio a un'altra applicazione — cioè ciò che la CNIL colloca tra le modalità proporzionate per una sorveglianza rafforzata (§ 35). Una riserva, e preferiamo scriverla piuttosto che tacerla: sul piano Organisation, una [convalida automatizzata dell'identità](https://evalmee.com/it/glossario-valutazione/#autenticazione-del-candidato) può essere attivata su preventivo. Si limita a stabilire l'identità del candidato — prima della prova, oppure a posteriori come opzione — e non serve mai a sorvegliarlo durante la prova. Non si attiva mai senza una decisione esplicita dell'istituto e resta soggetta alle condizioni cumulative del § 45 — una sola verifica, un numero molto elevato di candidati, un'alternativa sempre disponibile e un'informazione preventiva ai candidati. ## Per quanto tempo vengono conservate le registrazioni? I dati di immagine e audio provenienti dalla sorveglianza a distanza vengono cancellati per impostazione predefinita dopo tre mesi, il tempo necessario a gestire i ricorsi. Elaborati, risposte e voti seguono la durata che stabilisci tu: sei tu il titolare del trattamento, Evalmee non conserva nulla di propria iniziativa. - Sorveglianza a distanza (webcam, microfono, acquisizioni dello schermo): cancellazione predefinita dopo tre mesi. - Piano Organisation: è possibile fissare contrattualmente una durata diversa, che non supera mai dodici mesi. - Elaborati, risposte, voti, metadati: [la durata](https://evalmee.com/it/glossario-valutazione/#periodo-di-conservazione) è definita dall'istituto esaminatore. - Accesso riservato agli esaminatori dell'organizzazione cliente, con possibile registrazione delle consultazioni. - Download, diffusione o riutilizzo esterno vietati, salvo obbligo di legge o richiesta dell'autorità. ## Qual è la politica di Evalmee sull'IA? Evalmee usa modelli di OpenAI per accelerare la stesura e la correzione. Nessun dato nominativo viene trasmesso, nessun dato dei clienti serve ad addestrare modelli, e la correzione assistita di una domanda aperta resta soggetta alla convalida di un correttore umano. I nostri impegni: - Nessun dato nominativo dei clienti viene trasmesso a OpenAI o ad altri fornitori di IA terzi - I tuoi dati non vengono mai utilizzati per addestrare modelli di IA - Le chiamate all'IA sono limitate ai contenuti non personali (testo delle domande, struttura del questionario a scelta multipla) - La [correzione delle domande aperte assistita dall'IA](https://evalmee.com/it/glossario-valutazione/#correzione-assistita-dall-ia) è sempre convalidata da un correttore: nessun voto viene attribuito automaticamente a una risposta aperta ## Chi sono i sub-responsabili del trattamento di Evalmee? L'elenco completo è pubblico e tenuto aggiornato. Indica ogni fornitore, la sua finalità e il suo paese di stabilimento, come richiede l'articolo 28 del GDPR. Condividiamo i tuoi dati solo con i partner strettamente necessari alla fornitura del servizio. Un elenco pubblico vale più di una promessa generica: il tuo responsabile della protezione dei dati può leggerlo senza doverlo chiedere a noi, e verificare da sé che non vi compare alcun fornitore di verifica biometrica. [Consulta l'elenco completo dei nostri sub-responsabili del trattamento](https://evalmee.notion.site/LISTE-DES-SOUS-TRAITANTS-D-EVALMEE-SUBPROCESSORS-26a80d73d8c080ec813cd766cd30a9fc?source=copy_link) ## Evalmee propone un accordo sul trattamento dei dati (DPA)? Sì. Forniamo un accordo sul trattamento dei dati conforme all'articolo 28 del GDPR: responsabilità rispettive, periodi di conservazione, misure di sicurezza e sub-responsabili. Si firma prima della messa in produzione, senza costi aggiuntivi, qualunque sia il tuo piano. Il DPA è il documento che il tuo responsabile della protezione dei dati richiederà. Preferiamo che sia sul tavolo già in fase di valutazione, piuttosto che alla vigilia della firma. ## Evalmee è conforme al GDPR? Evalmee è progettato perché il tuo istituto possa trattare i dati d'esame nel rispetto del GDPR: minimizzazione, hosting in Francia, diritti degli interessati, notifica delle violazioni. La conformità però si valuta trattamento per trattamento, e il responsabile sei tu. I nostri impegni in quanto responsabile del trattamento: - Trattare solo i [dati strettamente necessari](https://evalmee.com/it/glossario-valutazione/#minimizzazione-dei-dati) alla fornitura del servizio - Garantire i tuoi diritti di accesso, rettifica, portabilità e cancellazione - Mantenere i dati d'esame in Francia, e regolare con clausole contrattuali tipo i rari trasferimenti legati agli strumenti periferici - Notificare senza indugio in caso di violazione dei dati, per permetterti di rispettare il termine di 72 ore dell'articolo 33 del GDPR - Garantire allo studente l'accesso ai dati raccolti durante la sorveglianza a distanza, che la CNIL esige in ogni circostanza (§ 16) Le domande sulla protezione dei dati hanno un punto di contatto unico, seguito dal nostro team: contact@evalmee.com ## Quali certificazioni possiede Evalmee? Nessuna, a oggi, a proprio nome. Preferiamo scriverlo chiaramente piuttosto che prendere in prestito quella di un terzo: le certificazioni citate in questa pagina sono quelle dei nostri fornitori di hosting e coprono il loro perimetro, non il nostro. - Hosting dei dati d'esame in Francia, presso Scaleway e AWS (regione eu-west-3) - Cifratura TLS 1.2 / 1.3 in transito, AES-256 a riposo - Accordo sul trattamento dei dati conforme all'articolo 28 del GDPR, fornito su richiesta - Elenco pubblico e datato dei sub-responsabili del trattamento - Pagina di stato dei servizi aperta a tutti - SOC 2, Type I o Type II: Evalmee non è sottoposto ad audit SOC 2 - ISO/IEC 27001: la certificazione citata in questa pagina è quella di Scaleway, il nostro fornitore di hosting, e non quella di Evalmee - HDS (hébergeur de données de santé, l'accreditamento francese per l'hosting di dati sanitari): Evalmee non è certificato HDS e non ha vocazione a trattare dati sanitari - SecNumCloud: Evalmee non è qualificato SecNumCloud dall'ANSSI, l'agenzia francese per la sicurezza informatica Se uno di questi standard è una condizione per il tuo acquisto, dillo fin dal primo scambio. Preferiamo segnalartelo subito piuttosto che lasciartelo scoprire a fine processo. ## Qual è la disponibilità del servizio? Al 14 agosto 2026 la pagina di stato pubblica di Evalmee indica il 100 % di disponibilità rilevata negli ultimi novanta giorni, per ciascuno dei suoi sette componenti — sorveglianza a distanza compresa. È una misura osservata su una finestra mobile, non un impegno contrattuale. Non commercializziamo SLA sui piani self-service. Quello che pubblichiamo è lo stato reale dei servizi e lo storico degli incidenti, aggiornati automaticamente. È la fonte che ti invitiamo a consultare: è più utile di una cifra congelata in una brochure. Un impegno contrattuale di disponibilità può essere negoziato nell'ambito del piano Organisation. Al di fuori di questo quadro, nessuno SLA è associato agli abbonamenti. [Vedi lo stato dei servizi di Evalmee](https://evalmee.statuspage.io/) ## Fonti e testi di riferimento Le affermazioni di carattere normativo di questa pagina rinviano ai testi qui sotto. Ogni link è stato verificato alla data indicata. - [Délibération n° 2023-058 du 8 juin 2023 portant adoption d'une recommandation relative aux modalités de mise en œuvre des dispositifs de télésurveillance pour les examens en ligne (raccomandazione della CNIL n. 2023-058 dell'8 giugno 2023 sulle modalità di attuazione dei dispositivi di sorveglianza a distanza per gli esami online)](https://www.cnil.fr/sites/cnil/files/2023-09/recommandation_dispositifs_de_telesurveillance_des_examens.pdf) — CNIL (14 agosto 2026) - [Télésurveillance des examens en ligne : la CNIL publie une recommandation (la CNIL pubblica una raccomandazione sulla sorveglianza a distanza degli esami online)](https://www.cnil.fr/fr/telesurveillance-des-examens-en-ligne-la-cnil-publie-une-recommandation) — CNIL (14 agosto 2026) - [Délibération n° 2023-058, testo pubblicato sul Journal officiel francese n. 0203 del 2 settembre 2023, testo n. 63](https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000048038547) — Légifrance (14 agosto 2026) - [Article D. 611-12 du code de l'éducation (articolo D. 611-12 del Codice dell'istruzione francese) — convalida degli insegnamenti tramite esami organizzati a distanza in forma digitale](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000034485782) — Légifrance (14 agosto 2026) - [Fiche 6 — Évaluer et surveiller à distance (scheda 6 — valutare e sorvegliare a distanza), piano di continuità didattica](https://services.dgesip.fr/fichiers/Fiche_6_-_Evaluer_et_surveiller_a_distance.pdf) — Ministero francese dell'Istruzione superiore e della Ricerca, DGESIP (14 agosto 2026) - [Regolamento (UE) 2016/679 (GDPR), in particolare gli articoli 9, 22, 28, 32 e 33](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32016R0679) — EUR-Lex (14 agosto 2026) - [Sicurezza e resilienza dell'infrastruttura Scaleway](https://www.scaleway.com/en/security-and-resilience/) — Scaleway (14 agosto 2026) - [Informativa sulla privacy di Evalmee (responsabile del trattamento)](https://evalmee.notion.site/CHARTE-DE-CONFIDENTIALIT-25902ccf87f54af78b17fc1b30182d56) — Evalmee (14 agosto 2026) - [Elenco dei sub-responsabili del trattamento di Evalmee](https://evalmee.notion.site/LISTE-DES-SOUS-TRAITANTS-D-EVALMEE-SUBPROCESSORS-26a80d73d8c080ec813cd766cd30a9fc?source=copy_link) — Evalmee (14 agosto 2026) - [Controllare e verificare l'identità dei partecipanti — centro assistenza Evalmee](https://help.evalmee.com/fr/articles/0824750-controler-et-verifier-lidentite-des-participants) — Evalmee (14 agosto 2026) ## Domande frequenti su sicurezza e GDPR ### La sorveglianza a distanza degli esami è conforme al GDPR? Sì, a condizione che sia proporzionata. La CNIL, l'autorità francese per la protezione dei dati, la disciplina con la délibération n° 2023-058 du 8 juin 2023 (raccomandazione n. 2023-058 dell'8 giugno 2023): il dispositivo va scelto in base alla posta in gioco della prova, l'analisi automatica del comportamento dei candidati va esclusa e l'istituto — titolare del trattamento — deve informare i candidati in anticipo. ### Evalmee usa il riconoscimento facciale? Non nel prodotto standard — offerte Mini, Pro e Max: lì la verifica dell'identità si basa su un confronto documentale, il partecipante mostra il proprio documento alla webcam, l'esaminatore confronta visivamente e decide di persona, e nessun modello biometrico viene calcolato o conservato. Sul piano Organizzazione, una convalida automatizzata dell'identità può essere attivata su preventivo: si limita a stabilire l'identità del candidato, prima della prova o a posteriori come opzione, e non è mai usata per sorvegliarlo durante la prova. Le condizioni di questa attivazione sono scritte nella pagina sulla sicurezza. ### Dove sono ospitati i dati di Evalmee? In Francia, presso Scaleway e nella regione AWS eu-west-3 (Parigi), backup compresi. I dati d'esame non lasciano il territorio francese. Alcuni strumenti periferici — Cloudflare, Sentry, Stripe — possono comportare un trasferimento regolato dalle clausole contrattuali tipo della Commissione europea. ### Per quanto tempo Evalmee conserva le registrazioni della sorveglianza a distanza? I dati di immagine e audio provenienti dalla sorveglianza a distanza vengono cancellati per impostazione predefinita dopo tre mesi, il tempo necessario a gestire i ricorsi. Sul piano Organisation è possibile fissare contrattualmente una durata diversa, che non supera mai dodici mesi. ### Evalmee è certificato ISO 27001 o SOC 2? No. Evalmee non possiede oggi alcuna certificazione di sicurezza a proprio nome: né SOC 2, né ISO/IEC 27001, né HDS, né SecNumCloud. La certificazione ISO/IEC 27001 citata sulla nostra pagina sicurezza è quella di Scaleway, il nostro fornitore di hosting, e copre i suoi data center. ### Evalmee propone un accordo sul trattamento dei dati (DPA)? Sì, senza costi aggiuntivi e qualunque sia il piano. Il nostro accordo sul trattamento dei dati è conforme all'articolo 28 del GDPR: fissa le responsabilità rispettive, i periodi di conservazione, le misure di sicurezza e l'elenco dei sub-responsabili, che è peraltro pubblico. ### Evalmee garantisce un tasso di disponibilità contrattuale? No sui piani self-service: non vi è associato alcun impegno sul livello di servizio. Evalmee pubblica invece una pagina di stato aperta a tutti, che mostra la disponibilità rilevata negli ultimi novanta giorni e lo storico degli incidenti. Uno SLA può essere negoziato sul piano Organisation. ## Una domanda sulla sicurezza? Il nostro team ti risponde rapidamente. Per le domande sulla protezione dei dati, scrivi direttamente a contact@evalmee.com.