Il canale di segnalazione richiesto dalla Direttiva europea #

Ultimo aggiornamento: 2026-11-10.

EthicsPortal è un software per la gestione delle segnalazioni e gestisce il canale di segnalazione interno sicuro richiesto dalla Direttiva (UE) 2019/1937 — per le organizzazioni che superano la soglia dei 50 lavoratori e per i soggetti regolati tenuti allo stesso obbligo a prescindere dal numero di dipendenti.

Che cosa fa EthicsPortal #

Ricezione anonima e riservata #

I dipendenti inviano segnalazioni da qualsiasi browser, senza account, app o rete aziendale. L’identificazione è facoltativa, gli indirizzi IP delle persone segnalanti non vengono conservati e i metadati dei file (EXIF, GPS, autore) vengono rimossi prima dell’archiviazione. Ne risulta un canale che le persone usano davvero: la condizione da cui dipende la priorità interna voluta dalla Direttiva.

Monitoraggio dei termini #

Ogni segnalazione avvia automaticamente i due termini della Direttiva: 7 giorni per l’avviso di ricevimento e 3 mesi per il riscontro. I fascicoli scaduti sono evidenziati nel cruscotto e chi gestisce il caso riceve notifiche all’avvicinarsi delle scadenze, così le date sanzionabili non vengono monitorate in un foglio di calcolo.

Comunicazione bidirezionale sicura #

La persona segnalante torna con un ID del caso e una password generata dal sistema per leggere i messaggi e rispondere. L’identità di chi gestisce il caso non viene mai mostrata, quindi le domande di approfondimento possono essere poste e risolte senza che nessuna delle due parti perda la propria tutela.

Gestione dei casi e registro di audit #

Chi gestisce i casi assegna, dà priorità e chiude i fascicoli in un’unica vista e può registrare manualmente le segnalazioni ricevute per telefono, e-mail o di persona, così ogni canale confluisce nello stesso elenco. Ogni azione viene scritta in un registro di audit a sola aggiunta, non modificabile a posteriori.

Esportazione e conservazione #

Ogni fascicolo si esporta in PDF con lo storico completo dei messaggi, la cronologia e il registro di audit, per legali, revisori o un’autorità di controllo. La conservazione è configurabile a 12, 24, 36, 48 o 60 mesi dalla chiusura, dopodiché la cancellazione è automatica.

Integrazione con identità e accessi #

Il single sign-on SAML 2.0 e il provisioning SCIM 2.0 collegano il canale a Okta, Microsoft Entra ID o a qualsiasi fornitore conforme agli standard. Chi gestisce i casi viene creato dalla directory aziendale e disattivato nel momento in cui lascia l’organizzazione, chiudendo l’accesso alle segnalazioni senza passaggi manuali.

Che cosa distingue EthicsPortal #

Il prezzo è pubblicato #

EthicsPortal costa 41,67 €/mese con fatturazione annuale (500 €/anno) oppure 60 €/mese senza vincolo, con tutte le funzioni incluse e senza costi per dipendente. NAVEX, SpeakUp, Whispli e FaceUp non pubblicano un prezzo e lo quotano tramite un processo commerciale; EQS Integrity Line indica in alcuni mercati prezzi di partenza per i pacchetti più piccoli e quota Enterprise su richiesta (verificato a ottobre 2026). Si vedano i prezzi e i confronti.

L’attivazione è in autonomia #

Un’organizzazione configura il proprio canale di segnalazione e riceve un URL attivo e un QR code nella stessa sessione, senza progetto di implementazione. Le piattaforme enterprise di questa categoria fanno passare l’attivazione prima da un contatto commerciale: è una differenza nei tempi di acquisto, non nella qualità del prodotto.

I dati delle segnalazioni restano nell’UE #

I dati principali — applicazione, banca dati e archiviazione dei file — girano su Hetzner a Norimberga, in Germania (copia di backup degli allegati a Falkenstein), e le e-mail transazionali passano da Mailjet in Francia. Il canale di segnalazione e il pannello di gestione non caricano Cloudflare. NAVEX ha sede negli Stati Uniti e offre hosting nell’UE per i propri prodotti (verificato a ottobre 2026). La catena completa di EthicsPortal è nell’elenco dei sub-responsabili.

Le evidenze per gli acquisti sono pubblicate, lacune comprese #

L’autovalutazione ISO/IEC 27001:2022 copre i capitoli da 4 a 10 e tutti i 93 controlli dell’Allegato A, accanto a una mappa di allineamento ISO 37002, a un CAIQ precompilato, a una mappa dei terzi DORA, a un accordo sul trattamento, a un SLA e a un registro dei rischi. Dove un controllo non è in essere, le stesse pagine lo dichiarano e lo datano, invece di lasciarlo scoprire a un valutatore in fase di questionario. I punti aperti sono elencati nella pagina fiducia.

Il contenuto delle segnalazioni non viene mai trattato con IA #

EthicsPortal non trasmette alcun contenuto di segnalazione, identità, messaggio di gestione, allegato o voce di audit a un modello linguistico di grandi dimensioni, a un servizio di IA generativa o a un classificatore basato su IA. L’API non restituisce mai contenuto delle segnalazioni, identità delle persone segnalanti, messaggi o allegati, quindi nemmeno un assistente di IA che colleghi all’API può leggerli. È un impegno contrattuale, non un’impostazione — accordo sul trattamento §6.10 — e introdurlo costituirebbe una modifica sostanziale soggetta a preavviso ai sensi della clausola sui sub-responsabili.

A chi si rivolge EthicsPortal #

La soglia dei 50 lavoratori dell’Art. 8(3) è il presupposto più noto, non l’unico. L’Art. 8(4) la disapplica per i soggetti che rientrano negli atti dell’Unione elencati nelle parti I.B e II dell’allegato, e diversi Stati membri estendono l’obbligo agli enti pubblici di qualsiasi dimensione.

• Intermediari finanziari, istituti di moneta elettronica e di pagamento, assicuratori e soggetti obbligati in materia antiriciclaggio — anche ben al di sotto dei 50 lavoratori, perché l’Art. 8(4) impone l’obbligo a prescindere dall’organico, spesso accanto a obblighi DORA e settoriali
• Enti pubblici e amministrazioni locali, dove diversi recepimenti coprono gli enti pubblici a prescindere dalla dimensione e l’Art. 8(9) consente di condividere un canale solo ai comuni piccoli
• Imprese dell’UE con 50–249 lavoratori che hanno superato la soglia dell’Art. 8(3) e non hanno ancora un canale
• Imprese dell’UE con 250 lavoratori e oltre che sostituiscono una casella di posta condivisa usata come canale
• Gruppi industriali con personale distribuito su più siti e più lingue
• Controllate nell’UE di gruppi extra-UE che necessitano di un canale proprio gestito nell’Unione
• Società di consulenza in materia di conformità e DPO esterni che gestiscono canali per conto dei clienti

L’organizzazione dietro EthicsPortal #

EthicsPortal è un nome commerciale utilizzato da Yaroslav Shmarov, imprenditore individuale (jednoosobowa działalność gospodarcza) registrato a Varsavia, in Polonia, firmatario autorizzato per i contratti commerciali, gli accordi sul trattamento e i questionari di sicurezza.

La continuità è affrontata e non data per scontata: gli amministratori dell’organizzazione possono esportare i propri fascicoli in qualsiasi momento senza intervento del gestore, e il piano di continuità operativa indica le dipendenze operative, gli eventi di attivazione, gli obiettivi di ripristino e gli attuali limiti in caso di indisponibilità del gestore.

Il servizio esiste perché l’obbligo scatta molto prima di una funzione compliance: a 50 lavoratori per la maggior parte dei datori di lavoro e a qualsiasi dimensione per un intermediario finanziario vigilato. Le opzioni disponibili erano una suite GRC enterprise, prezzata e venduta per una funzione compliance, oppure una casella condivisa che soddisfa la lettera di un obbligo e nessuna delle sue finalità. EthicsPortal è costruito per le organizzazioni intermedie: un canale che risponde a ogni articolo della Direttiva, con prezzo e attivazione da software e non da incarico di consulenza.

• Fondatore: Yaroslav Shmarov — LinkedIn
• Azienda: LinkedIn · GitHub · YouTube
• Parte contraente, evidenze camerali e materiali per gli acquisti: pagina fiducia

EthicsPortal gestisce un proprio canale di segnalazione interno, sul proprio prodotto, ai sensi della Direttiva (UE) 2019/1937: secure.ethicsportal.eu/p/R8HXGNHO.

Come si svolge il rapporto con il cliente #

Attivazione #

Si crea l’account dell’organizzazione, si impostano nome, logo, categorie di segnalazione e periodo di conservazione: il canale riceve il proprio URL e il QR code nel momento in cui la configurazione viene salvata. La configurazione richiede pochi minuti e la esegue l’organizzazione stessa: non c’è un progetto di implementazione da pianificare né una prestazione professionale da acquistare. Il percorso completo è in come funziona EthicsPortal.

Con chi si lavora #

Le domande sull’accordo sul trattamento, sulla posizione di responsabilità o su un questionario di sicurezza arrivano direttamente al firmatario autorizzato: risponde qualcuno che può firmare la risposta, non una coda di ticket che poi gli viene escalata. Per le materie che lo richiedono esistono indirizzi dedicati: privacy@ethicsportal.eu per GDPR e protezione dei dati, security@ethicsportal.eu per le segnalazioni di sicurezza, legal@ethicsportal.eu per l’accordo sul trattamento, accessibility@ethicsportal.eu per le questioni di accessibilità.

Tempi di risposta #

In condizioni normali le e-mail ricevono risposta entro un giorno lavorativo. La notifica di una violazione dei dati personali al titolare avviene senza ingiustificato ritardo dopo esserne venuti a conoscenza, come l’Art. 33(2) GDPR richiede al responsabile (accordo sul trattamento §6.6). Misurazione ed esclusioni della disponibilità sono nello SLA; gli obiettivi di ripristino sono RPO 24 ore e RTO 4 ore.

Trasparenza durante l’esercizio #

La disponibilità in tempo reale è pubblicata su secure.ethicsportal.eu/up, gli incidenti di sicurezza su incidenti, e le variazioni dei sub-responsabili sono comunicate almeno 30 giorni prima dell’efficacia, con diritto di opposizione e recesso (accordo sul trattamento §6.4).

Dati essenziali #

Domande frequenti #

Chi gestisce EthicsPortal? #

EthicsPortal è un nome commerciale utilizzato da Yaroslav Shmarov, imprenditore individuale registrato a Varsavia, in Polonia (NIP 5272755790). La stessa persona è firmataria autorizzata per i contratti commerciali, gli accordi sul trattamento e i questionari di sicurezza. Le evidenze camerali sono pubblicate sulla pagina fiducia e fornite su richiesta durante la fase di acquisto.

Dove sono conservati i dati delle segnalazioni? #

I dati principali — applicazione, banca dati e archiviazione dei file — sono ospitati su infrastruttura Hetzner a Norimberga, in Germania, con una copia di backup degli allegati a Falkenstein. Le e-mail transazionali passano da Mailjet in Francia. Il sito vetrina è distribuito tramite Cloudflare; il canale di segnalazione e il pannello di gestione no.

Quanto costa EthicsPortal? #

41,67 €/mese con fatturazione annuale (500 €/anno) oppure 60 €/mese senza vincolo. Tutte le funzioni sono incluse e non ci sono costi per dipendente, quindi il prezzo non cambia al variare dell’organico. Si vedano i prezzi.

Quali evidenze di sicurezza e conformità pubblica EthicsPortal? #

Un’autovalutazione ISO/IEC 27001:2022 completa sui capitoli da 4 a 10 e su tutti i 93 controlli dell’Allegato A come dichiarazione di applicabilità, una mappa di allineamento ISO 37002, un CAIQ precompilato, una mappa dei terzi DORA, documenti di policy nominati e un registro dei rischi. Sono autovalutazioni sugli stessi insiemi di controlli che un audit esterno esaminerebbe, non una certificazione accreditata. Lo stato delle certificazioni e i punti aperti sono indicati nella pagina fiducia.

Un’organizzazione extra-UE può usare EthicsPortal? #

L’entità che gestisce il canale di segnalazione deve essere registrata nell’UE, in Svizzera, in Moldavia o in Montenegro. Se un gruppo dispone di un’entità in uno di questi Paesi, questa può gestire un unico canale e aprirlo al personale di qualsiasi paese, con tutte le segnalazioni che confluiscono nello stesso elenco. Un attestato di conformità richiama il diritto nazionale dell’entità che gestisce il canale; per un’entità svizzera, a cui non si applica alcuna legge generale sui segnalanti, richiama la Direttiva come standard volontario e la legge federale sulla protezione dei dati (LPD).

Quanto dura l’attivazione? #

Il canale di segnalazione è attivo appena la configurazione viene salvata — nome, logo, categorie e periodo di conservazione. Resta la diffusione: il canale è fornito con un link condivisibile e un QR code per regolamenti, kit di inserimento e bacheche.

EthicsPortal usa l’IA sul contenuto delle segnalazioni? #

No. EthicsPortal non trasmette mai contenuto delle segnalazioni, identità delle persone segnalanti, messaggi di gestione, allegati o voci di audit a un modello linguistico di grandi dimensioni, a un servizio di IA generativa o a un classificatore basato su IA, e il servizio non esegue categorizzazione, triage, sintesi, traduzione o suggerimenti di risposta tramite IA su dati personali. L’impegno è contrattuale ai sensi dell’accordo sul trattamento §6.10.

Come ottengo la documentazione per gli acquisti? #

Termini, accordo sul trattamento, SLA, elenco dei sub-responsabili, documentazione di sicurezza e autovalutazioni sono pubblicati apertamente e non richiedono alcuna richiesta. Evidenze camerali, un accordo sul trattamento controfirmato e i restanti materiali sono disponibili su richiesta durante la valutazione: si veda la pagina fiducia.

Attiva il tuo canale di segnalazione interno →

Ultimo aggiornamento: 10 novembre 2026