Accordo sul trattamento dei dati #
Data di efficacia: 22 aprile 2026
Il presente accordo sul trattamento dei dati (“DPA”) costituisce parte dell’accordo tra il cliente (“Titolare del trattamento”) ed EthicsPortal (“Responsabile del trattamento”) per la fornitura della piattaforma di segnalazione EthicsPortal (“Servizio”).
Hai bisogno di una copia firmata? Contatta legal@ethicsportal.eu per richiedere una versione PDF controfirmata del presente DPA per i tuoi archivi.
1. Parti #
Titolare del trattamento: L’organizzazione che sottoscrive EthicsPortal e che determina le finalità e i mezzi del trattamento dei dati personali attraverso il Servizio.
Responsabile del trattamento: EthicsPortal, gestito da Yaroslav Shmarov, con sede in ul. Obrzeżna 1A, 02-691 Varsavia, Polonia. Contatto: legal@ethicsportal.eu .
2. Ambito e finalità del trattamento #
Il Responsabile del trattamento tratta i dati personali per conto del Titolare del trattamento unicamente per fornire il Servizio, che include:
- Ricevere e archiviare le segnalazioni
- Consentire una comunicazione sicura tra segnalanti e gestori del caso
- Gestire i flussi di lavoro dei casi (assegnazione, monitoraggio dello stato, risoluzione)
- Generare registri delle attività e documentazione di conformità
- Inviare notifiche email transazionali ai gestori del caso e agli amministratori dell’organizzazione
- Elaborare i pagamenti per il Servizio
Il Responsabile del trattamento non tratta i dati personali per finalità diverse dalla fornitura del Servizio secondo le istruzioni del Titolare del trattamento.
3. Tipi di dati personali trattati #
| Categoria di dati | Esempi | Crittografati a riposo |
|---|---|---|
| Identità del segnalante (facoltativa) | Nome, indirizzo email, numero di telefono | Sì (non deterministica) |
| Contenuto della segnalazione | Descrizione della preoccupazione segnalata | Sì (non deterministica) |
| Contenuto delle comunicazioni | Messaggi tra segnalante e gestore del caso | Sì (non deterministica) |
| Allegati | Documenti, immagini, audio, video caricati dai segnalanti | Archiviati con metadati rimossi |
| Codici di accesso | Codici univoci utilizzati dai segnalanti per accedere alle proprie segnalazioni | Sì |
| Dati di gestori e amministratori | Nome, indirizzo email, ruolo, appartenenza all’organizzazione | No (dati operativi) |
| Voci del registro delle attività | Marche temporali, identità dell’attore, tipo di azione | No (record critici per l’integrità) |
| Dati tecnici | Indirizzi IP sottoposti a hash unidirezionale (non reversibile) solo per la limitazione delle richieste | Non applicabile (hash, non dato personale) |
4. Categorie di interessati #
- Segnalanti — persone che inviano segnalazioni tramite il portale (possono essere anonime)
- Gestori del caso — persone designate dal Titolare del trattamento per ricevere e gestire le segnalazioni
- Amministratori dell’organizzazione — persone che gestiscono l’account e le impostazioni EthicsPortal del Titolare del trattamento
5. Durata del trattamento #
Il Responsabile del trattamento tratta i dati personali per la durata dell’abbonamento del Titolare del trattamento al Servizio. Alla cessazione:
- Il Titolare del trattamento può esportare i propri dati prima del termine dell’abbonamento.
- I dati delle segnalazioni sono conservati secondo il periodo di conservazione configurato dal Titolare del trattamento (12, 24, 36, 48 o 60 mesi dopo la chiusura della segnalazione) e quindi eliminati definitivamente. Una segnalazione rimasta senza attività per 18 mesi viene chiusa automaticamente affinché abbia inizio il periodo di conservazione.
- Su richiesta scritta, il Responsabile del trattamento eliminerà tutti i dati residui del Titolare del trattamento entro 30 giorni dalla cessazione dell’abbonamento, salvo i casi in cui la conservazione sia richiesta dalla legge applicabile.
6. Obblighi del Responsabile del trattamento #
6.1 Istruzioni di trattamento #
Il Responsabile del trattamento tratta i dati personali solo sulla base di istruzioni documentate del Titolare del trattamento, salvo che vi sia obbligato dal diritto dell’UE o di uno Stato membro. Qualora insorga tale obbligo legale, il Responsabile del trattamento ne informerà il Titolare del trattamento prima del trattamento, salvo che la legge vieti tale informativa.
6.2 Riservatezza #
Tutte le persone autorizzate a trattare i dati personali si sono impegnate alla riservatezza o sono soggette a un adeguato obbligo legale di riservatezza.
6.3 Misure di sicurezza #
Il Responsabile del trattamento attua e mantiene le misure tecniche e organizzative descritte nella pagina Sicurezza , tra cui:
- Crittografia non deterministica a riposo per tutti i dati sensibili delle segnalazioni
- Nessuna memorizzazione degli indirizzi IP grezzi dei segnalanti nel database (hashing unidirezionale solo per la limitazione delle richieste)
- Rimozione automatica dei metadati dei file (EXIF, GPS, dati dell’autore)
- Controllo di accesso basato sui ruoli con le policy di autorizzazione di Pundit
- Registro delle attività in sola aggiunta per tutte le azioni
- Limitazione delle richieste su tutti gli endpoint del portale pubblico
- HTTPS/TLS per tutte le connessioni
- Protezione CSRF
Le vulnerabilità di sicurezza e le segnalazioni di incidenti possono essere inviate a security@ethicsportal.eu . Le richieste degli interessati e di tipo DPO possono essere inviate a privacy@ethicsportal.eu o dpo@ethicsportal.eu .
6.4 Sub-responsabili del trattamento #
Il Responsabile del trattamento utilizza i sub-responsabili del trattamento elencati nella Sezione 8. Il Responsabile del trattamento informerà il Titolare del trattamento almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile del trattamento. Il Titolare del trattamento può opporsi alla modifica; se non si raggiunge una soluzione, il Titolare del trattamento può risolvere l’accordo.
6.5 Diritti degli interessati #
Il Responsabile del trattamento assiste il Titolare del trattamento nel rispondere alle richieste degli interessati che esercitano i propri diritti ai sensi del GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) fornendo le necessarie capacità tecniche all’interno del Servizio.
6.6 Notifica delle violazioni dei dati #
In caso di violazione dei dati personali, il Responsabile del trattamento informerà il Titolare del trattamento senza ingiustificato ritardo e in ogni caso entro 72 ore dalla conoscenza della violazione. La notifica includerà:
- Una descrizione della natura della violazione
- Le categorie e il numero approssimativo di interessati coinvolti
- Le probabili conseguenze della violazione
- Le misure adottate o proposte per affrontare la violazione
6.7 Valutazioni d’impatto sulla protezione dei dati #
Il Responsabile del trattamento assiste il Titolare del trattamento nelle valutazioni d’impatto sulla protezione dei dati e nelle consultazioni preventive con le autorità di controllo, nella misura in cui le attività di trattamento del Responsabile del trattamento richiedano tale assistenza.
6.8 Eliminazione e restituzione dei dati #
Alla cessazione del Servizio, il Responsabile del trattamento, a scelta del Titolare del trattamento:
- Restituirà tutti i dati personali al Titolare del trattamento nei formati di esportazione resi disponibili dal Servizio al momento della cessazione, incluse le esportazioni dei casi in PDF e i relativi allegati, oppure
- Eliminerà tutti i dati personali e confermerà l’eliminazione per iscritto
salvo che il diritto dell’UE o di uno Stato membro imponga la conservazione continuata.
Qualora il Titolare del trattamento necessiti ragionevolmente di un formato di portabilità aggiuntivo per la migrazione o l’esame da parte delle autorità, il Responsabile del trattamento valuterà la richiesta in buona fede e, ove tecnicamente fattibile, lo fornirà sulla base di una separata richiesta scritta.
6.9 Diritti di audit #
Il Responsabile del trattamento mette a disposizione del Titolare del trattamento tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all’articolo 28 del GDPR. Il Titolare del trattamento può condurre audit, comprese ispezioni, direttamente o tramite un revisore incaricato, con ragionevole preavviso (almeno 30 giorni) e durante il normale orario lavorativo. Il Responsabile del trattamento collaborerà a tali audit.
6.10 Nessun trattamento del contenuto delle segnalazioni tramite IA o LLM #
Il Responsabile del trattamento si impegna a che i dati personali trattati ai sensi del presente DPA — inclusi il contenuto delle segnalazioni, l’identità dei segnalanti, i messaggi dei gestori, gli allegati e le voci del registro delle attività — non siano trasmessi ad alcun modello linguistico di grandi dimensioni, servizio di IA generativa o classificatore basato su IA, gestito dal Responsabile del trattamento o da terzi (inclusi, a titolo esemplificativo, OpenAI, Anthropic, Google e Mistral). Il Servizio non esegue categorizzazione, smistamento, sintesi, traduzione o risposte suggerite basate su IA sui dati personali. Il Titolare del trattamento può fare affidamento su questo impegno nel valutare gli obblighi in materia di processo decisionale automatizzato ai sensi dell’Art. 22 del GDPR e nel definire la divulgazione dei sub-responsabili del trattamento nelle proprie informative sulla privacy e valutazioni d’impatto sulla protezione dei dati. Qualsiasi modifica a questo impegno costituirebbe una modifica sostanziale del Servizio e verrebbe notificata al Titolare del trattamento ai sensi della Sezione 6.4 (Sub-responsabili del trattamento) e della Sezione 11 (Durata e cessazione).
La traduzione automatica statistica self-hosted che gira interamente su infrastruttura controllata dal Responsabile del trattamento (nessun dato lascia l’infrastruttura del Responsabile del trattamento, nessuna chiamata di inferenza esterna) non rientra nell’ambito di questa restrizione e può essere utilizzata per tradurre i messaggi del segnalante o del gestore ove il Titolare del trattamento l’abbia abilitata.
Questo impegno è riesaminato annualmente. La data di “Ultimo aggiornamento” in cima al presente DPA riflette la conferma più recente. Qualora il Responsabile del trattamento intenda in qualsiasi momento introdurre il trattamento tramite IA o LLM dei dati personali coperti dal presente DPA, il Responsabile del trattamento ne darà notifica al Titolare del trattamento ai sensi della Sezione 6.4 e la modifica avrà effetto non prima del periodo di preavviso ivi indicato.
6.11 Chiavi di crittografia gestite dal cliente (BYOK) #
Il Servizio non supporta chiavi di crittografia gestite dal cliente — siano esse descritte come bring-your-own-key (BYOK), hold-your-own-key (HYOK) o integrazione con un servizio esterno di gestione delle chiavi (KMS). Si tratta di una scelta architetturale deliberata, non di una limitazione operativa, e si fonda su due garanzie di riservatezza e di ciclo di vita che il Responsabile del trattamento offre altrove nel presente DPA:
- Confine delle chiavi segnalante–gestore. I dati personali coperti dal presente DPA sono crittografati a riposo con chiavi gestite dal Responsabile del trattamento detenute all’interno del Servizio. Il confine di crittografia che protegge l’identità del segnalante e il contenuto della segnalazione dalle parti esterne è lo stesso confine che li protegge dagli stessi amministratori IT del Titolare del trattamento. Trasferire la custodia delle chiavi al Titolare del trattamento sposterebbe tale confine nell’ambiente del Titolare del trattamento, dove gli amministratori lato Titolare diverrebbero, in linea di principio, in grado di decrittografare l’identità del segnalante — invertendo il modello di riservatezza richiesto dall’Art. 16 della Direttiva (UE) 2019/1937.
- Garanzia di eliminazione end-to-end. L’eliminazione basata sulla conservazione (Art. 5(1)(e) del GDPR) e l’eliminazione contrattuale alla cessazione (Sezione 6.8 sopra) si basano sulla capacità del Responsabile del trattamento di distruggere crittograficamente e fisicamente i dati cifrati indipendentemente dal Titolare del trattamento. Una chiave detenuta dal Titolare del trattamento creerebbe una classe di malfunzionamenti in cui il Responsabile del trattamento non può, da solo, garantire l’eliminazione completa entro la finestra contrattuale.
Lo schema di crittografia a riposo del Responsabile del trattamento, le proprietà di crittografia non deterministica e l’isolamento delle chiavi sono documentati nella pagina Sicurezza . Una modifica a questa posizione costituirebbe una modifica sostanziale del Servizio e verrebbe notificata al Titolare del trattamento ai sensi della Sezione 6.4 (Sub-responsabili del trattamento) e della Sezione 11 (Durata e cessazione).
7. Obblighi del Titolare del trattamento #
Il Titolare del trattamento è responsabile di:
- Garantire una base giuridica per il trattamento dei dati personali attraverso il Servizio
- Fornire le informative sulla privacy richieste agli interessati (EthicsPortal visualizza un’informativa sulla privacy nel modulo di invio del portale)
- Configurare periodi di conservazione dei dati adeguati all’interno del Servizio
- Designare i gestori e gli amministratori autorizzati
- Rispondere alle richieste degli interessati, con l’assistenza del Responsabile del trattamento come sopra descritto
8. Sub-responsabili del trattamento #
I seguenti sub-responsabili del trattamento sono autorizzati alla data di efficacia del presente DPA:
| Sub-responsabile del trattamento | Finalità | Posizione | Garanzie |
|---|---|---|---|
| Hetzner Online GmbH | Hosting dell’applicazione, database e archiviazione degli allegati | Norimberga, Germania (UE) | Dati trattati interamente all’interno dell’UE |
| Stripe Payments Europe, Ltd | Elaborazione dei pagamenti | Irlanda (UE) | Nessuna credenziale di pagamento memorizzata dal Responsabile del trattamento; Stripe è certificata PCI DSS Livello 1 |
| Mailjet (Sinch) | Invio di email transazionali | Francia (UE) | Dati trattati interamente all’interno dell’UE |
| Cloudflare, Inc. | CDN ed erogazione edge per il sito di marketing | Stati Uniti | I trasferimenti, ove siano coinvolti dati personali, si basano sulle clausole contrattuali tipo e su garanzie supplementari |
| AppSignal B.V. | Monitoraggio degli errori e delle prestazioni applicative per le interfacce di amministrazione e gestione | Paesi Bassi (UE) | Dati trattati interamente all’interno dell’UE; gli indirizzi IP dei segnalanti non vengono mai registrati |
| Crisp IM SARL | Chat in-app per i gestori e supporto alla verifica dell’identità | Francia (UE) | Caricato solo nel portale dei gestori; non caricato sul sito di marketing o sulle pagine rivolte ai segnalanti |
Gli strumenti di analisi del marketing (Cloudflare Web Analytics) sono privi di cookie e non trattano dati personali.
Nessun sub-responsabile del trattamento basato su IA o LLM. Nessun modello linguistico di grandi dimensioni, servizio di IA generativa o classificatore basato su IA è sub-responsabile del trattamento del Responsabile del trattamento. I dati personali trattati ai sensi del presente DPA non vengono trasmessi a OpenAI, Anthropic, Google, Mistral o ad altri fornitori di inferenza IA. Vedi la Sezione 6.10.
9. Trasferimenti internazionali di dati #
I dati principali delle segnalazioni, inclusi il contenuto delle segnalazioni e l’archiviazione degli allegati, sono ospitati all’interno dell’Unione europea (Hetzner, Germania). L’elaborazione dei pagamenti avviene all’interno dell’UE (Stripe) e le email transazionali sono recapitate dall’UE (Mailjet, Francia).
Le richieste al sito di marketing sono instradate tramite Cloudflare (CDN, Stati Uniti), che tratta metadati di rete (indirizzi IP dei visitatori e header delle richieste) per l’erogazione dei contenuti e la protezione DDoS. Nessuna segnalazione, dato dei gestori o dato degli account è condiviso con Cloudflare. I trasferimenti si basano sulle clausole contrattuali tipo e su garanzie supplementari. Il portale di segnalazione e il portale dei gestori non caricano Cloudflare. AppSignal (Paesi Bassi) e Crisp (Francia) hanno sede nell’UE; Crisp è caricato solo nel portale dei gestori.
10. Responsabilità #
La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alle limitazioni di responsabilità stabilite nell’accordo principale di servizio tra le parti. Nella misura massima consentita dalla legge, le pretese derivanti da o relative al presente DPA rientrano nello stesso massimale di responsabilità aggregata applicabile al Servizio.
11. Durata e cessazione #
Il presente DPA ha effetto quando il Titolare del trattamento inizia a utilizzare il Servizio e resta in vigore finché il Responsabile del trattamento tratta dati personali per conto del Titolare del trattamento. Gli obblighi del presente DPA sopravvivono alla cessazione nella misura necessaria a completare l’eliminazione o la restituzione dei dati personali.
12. Legge applicabile #
Il presente DPA è disciplinato dalla legge della Repubblica di Polonia, senza riguardo ai principi di conflitto di leggi. I tribunali competenti di Varsavia, Polonia hanno giurisdizione esclusiva sulle controversie derivanti dal presente DPA.
Contatto #
Per domande sul presente DPA o per richiedere una copia firmata:
EthicsPortal Yaroslav Shmarov ul. Obrzeżna 1A, 02-691 Varsavia, Polonia legal@ethicsportal.eu
Ultimo aggiornamento: