Documenti · Privacy
Informativa sul trattamento dei dati personali
Artt. 13 e 14 del Regolamento UE 2016/679 (GDPR)
Versione 0.1 (bozza) — aggiornata al
1. Titolare del trattamento
[RAGIONE SOCIALE] [FORMA GIURIDICA], con sede in [SEDE], P.IVA [P.IVA], C.F. [C.F.] (“DifesaLab”, “noi”). Contatti: [EMAIL] – PEC [PEC]. Per le richieste relative alla privacy scrivi a [EMAIL] indicando nell'oggetto “Privacy”. Referente interno: [REFERENTE PRIVACY]. Non abbiamo nominato un Responsabile della protezione dei dati (DPO) perché non è obbligatorio per la nostra attività. Se lo nomineremo, i suoi contatti saranno indicati qui.
2. A chi si rivolge questa informativa
- a chi visita il sito [DOMINIO];
- ai referenti delle aziende clienti e a chi acquista i nostri servizi;
- ai referenti delle aziende che contattiamo per proporre una valutazione di sicurezza, i cui dati non abbiamo ricevuto direttamente da loro (art. 14 GDPR);
- alle persone i cui dati compaiono incidentalmente in fonti pubbliche esaminate durante una valutazione esterna di sicurezza (per esempio un indirizzo email aziendale presente nell'elenco pubblico di una violazione di dati);
- a chi si iscrive alla newsletter o ci scrive.
3. Quali dati trattiamo e da dove provengono
| Categoria | Esempi | Fonte |
|---|---|---|
| Dati di navigazione | indirizzo IP, data e ora, pagina richiesta, browser | il tuo dispositivo |
| Dati di contatto e di ruolo | nome, cognome, ruolo aziendale, email e telefono aziendali | tu stesso, oppure fonti pubbliche: sito web dell'azienda, registro delle imprese, profili professionali pubblici |
| Dati contrattuali e di fatturazione | ragione sociale, P.IVA, sede, codice SdI/PEC, ordini | tu stesso |
| Dati di pagamento | esito del pagamento, ultime cifre della carta | Stripe (non riceviamo né conserviamo il numero completo della carta) |
| Prove di accettazione | versione dei documenti accettati, data e ora, indirizzo IP, browser | il tuo dispositivo |
| Dati incidentali nelle valutazioni | indirizzi email aziendali mascherati presenti in elenchi pubblici di violazioni, con il nome della violazione e la data; nominativi presenti nei registri pubblici dei domini | fonti pubbliche e servizi di terzi che raccolgono informazioni pubbliche |
Non trattiamo e non conserviamo password, hash di password o altre credenziali trovate in fonti pubbliche. Non trattiamo categorie particolari di dati (art. 9 GDPR).
4. Finalità e basi giuridiche
| Finalità | Base giuridica |
|---|---|
| Far funzionare il sito e proteggerlo da abusi | Legittimo interesse alla sicurezza del sito (art. 6.1.f) |
| Rispondere alle tue richieste | Misure precontrattuali (art. 6.1.b) |
| Eseguire le valutazioni di sicurezza richieste e fornire report, penetration test e consulenza | Esecuzione del contratto (art. 6.1.b) |
| Svolgere valutazioni esterne passive, basate su sole informazioni pubblicamente accessibili, sulla sicurezza di siti e servizi di aziende e proporre loro i risultati | Legittimo interesse nostro e dell'azienda interessata alla sicurezza delle reti e dell'informazione (art. 6.1.f e considerando 49) e alla promozione B2B dei nostri servizi (considerando 47). Abbiamo svolto una valutazione di bilanciamento che puoi richiederci. |
| Contattare i referenti aziendali con proposte commerciali | Legittimo interesse (art. 6.1.f). Usiamo posta, telefono (dopo verifica del Registro pubblico delle opposizioni) o canali da te autorizzati. Non inviamo email promozionali senza consenso, salvo ai clienti per servizi analoghi (art. 130 c. 4 d.lgs. 196/2003). |
| Newsletter | Consenso (art. 6.1.a), revocabile in ogni momento |
| Fatturazione e obblighi fiscali e contabili | Obbligo di legge (art. 6.1.c) |
| Conservare la prova delle accettazioni e difendere i nostri diritti | Legittimo interesse (art. 6.1.f) |
5. Come conduciamo le valutazioni esterne
Sulle aziende che non ci hanno dato incarico svolgiamo soltanto analisi passive: consultiamo informazioni che i loro sistemi rendono pubbliche a chiunque (per esempio record DNS, configurazione dei certificati TLS, intestazioni HTTP delle pagine pubbliche) e informazioni raccolte da servizi pubblici di terzi. Non accediamo ai sistemi, non tentiamo autenticazioni, non sfruttiamo vulnerabilità e non effettuiamo test che possano alterarne il funzionamento. I test attivi (penetration test) sono svolti esclusivamente su incarico scritto del titolare dei sistemi. I dettagli sono nella pagina Metodo.
6. Destinatari
I dati possono essere comunicati a:
- fornitori che li trattano per nostro conto come responsabili del trattamento (art. 28): hosting [OVH SAS, data center UE — da verificare], servizio email [FORNITORE EMAIL], intermediario per la fatturazione elettronica [FORNITORE FATTURAZIONE ELETTRONICA];
- Stripe Payments Europe Ltd. per i pagamenti, in parte come titolare autonomo;
- il nostro commercialista;
- l'Agenzia delle Entrate (Sistema di Interscambio);
- le autorità, se previsto dalla legge.
I report di valutazione sono consegnati solo all'azienda a cui si riferiscono, dopo aver verificato che chi li richiede agisce per suo conto. Non vendiamo né cediamo dati a terzi.
7. Trasferimenti fuori dallo Spazio economico europeo
I nostri sistemi si trovano nell'UE. Stripe può trasferire dati negli Stati Uniti sulla base del Data Privacy Framework UE-USA e/o delle clausole contrattuali standard della Commissione europea. Per ricevere copia delle garanzie scrivi a [EMAIL].
8. Per quanto tempo conserviamo i dati
| Dati | Conservazione |
|---|---|
| Log di navigazione | [12 mesi] |
| Valutazione esterna e dati di contatto di aziende che non diventano clienti | 90 giorni dalla prima comunicazione, poi li cancelliamo. Conserviamo soltanto il dominio, la data del contatto e l'eventuale opposizione, per non ricontattarti. |
| Richieste inviate dal modulo contatti | [DA DEFINIRE] |
| Report acquistati | 24 mesi dall'acquisto, salvo tua diversa richiesta |
| Dati contrattuali e fatture | 10 anni (art. 2220 c.c.) |
| Prove di accettazione dei documenti contrattuali | durata del contratto più 10 anni |
| Newsletter | fino alla revoca del consenso |
| Evidenze dei penetration test | come da contratto e comunque non oltre 90 giorni dalla consegna finale |
9. I tuoi diritti
Puoi chiedere in ogni momento:
- accesso, rettifica, cancellazione, limitazione e portabilità dei dati (artt. 15-20 GDPR);
- la revoca del consenso, senza pregiudizio per i trattamenti già svolti.
Puoi opporti in qualsiasi momento al trattamento basato sul legittimo interesse e, senza dover dare alcuna motivazione, a ogni contatto commerciale (art. 21 GDPR). Scrivi a [EMAIL] oppure usa il link “Non sono interessato” presente in ogni nostra comunicazione. Rispondiamo entro un mese.
Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
10. Obbligatorietà
Per acquistare i servizi devi fornire i dati contrattuali e di fatturazione: senza di essi non possiamo concludere il contratto. Gli altri dati sono facoltativi.
11. Decisioni automatizzate
Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici su di te.
12. Sicurezza
Adottiamo misure tecniche e organizzative adeguate (art. 32 GDPR): cifratura dei report, autenticazione a più fattori per gli amministratori, registrazione degli accessi, minimizzazione dei dati.
13. Modifiche
Pubblichiamo le versioni aggiornate su questa pagina, indicando la data di aggiornamento.