Informativa sulla privacy #

Data di efficacia: 17 febbraio 2026 Ultimo aggiornamento: 28 ottobre 2026

1. Introduzione #

EthicsPortal (“noi”, “ci”, “nostro”) è un nome commerciale utilizzato da Yaroslav Shmarov, imprenditore individuale (jednoosobowa działalność gospodarcza) registrato in Polonia (NIP: 5272755790), con sede in ul. Obrzeżna 1A, 02-691 Varsavia, Polonia. La presente Informativa sulla privacy descrive come raccogliamo, utilizziamo, archiviamo e proteggiamo le tue informazioni personali quando utilizzi EthicsPortal su ethicsportal.eu (il “Servizio”).

La presente informativa descrive il trattamento e non costituisce una richiesta di consenso. L’unico trattamento basato sul consenso è l’invio facoltativo di email di marketing, a cui aderisci separatamente e che puoi revocare in qualsiasi momento.

Contatto: privacy@ethicsportal.eu

Le informazioni di base sulla parte contraente sono pubblicate sulla pagina trust.

2. Informazioni che raccogliamo #

2.1 Informazioni dell’account #

Quando crei un account, raccogliamo:

• Indirizzo email
• Nome visualizzato (se fornito)
• Preferenza di lingua

Il personale accede senza password — utilizziamo magic link (codici monouso inviati alla tua email), quindi non raccogliamo né memorizziamo password del personale. Un segnalante che vuole seguire la propria segnalazione online riceve una password generata dal sistema, memorizzata solo come digest bcrypt.

Utilizziamo le informazioni sulla provenienza delle registrazioni per capire come i clienti scoprono EthicsPortal e misurare l’efficacia del nostro marketing.

2.2 Informazioni di pagamento #

I pagamenti relativi agli abbonamenti e alla fatturazione sono gestiti tramite Stripe Checkout e Billing Portal, ospitati da Stripe. Forniamo a Stripe l’indirizzo email dell’account e gli identificatori interni dell’organizzazione e del cliente necessari per creare e gestire l’abbonamento. Stripe raccoglie direttamente il nome del pagatore, l’indirizzo di fatturazione, il codice fiscale o numero di partita IVA e i dati del metodo di pagamento. Non riceviamo né conserviamo i numeri completi delle carte o dei conti bancari.

Per l’esecuzione dei pagamenti, Stripe tratta i dati personali per nostro conto. Stripe tratta inoltre alcuni dati come titolare autonomo per finalità determinate da Stripe, tra cui la prevenzione delle frodi, la conformità normativa e il funzionamento delle reti di pagamento. Tali attività sono disciplinate dall’Informativa sulla privacy di Stripe.

2.3 Log dei server #

I nostri server registrano automaticamente le informazioni quando accedi al Servizio, tra cui:

• Indirizzo IP
• Tipo e versione del browser
• Pagine visitate e marche temporali
• URL di provenienza

I log dei server sono utilizzati per il monitoraggio della sicurezza e il debug. Non sono utilizzati per la pubblicità o il tracciamento.

Per il canale di segnalazione in particolare, i log dell’applicazione non contengono indirizzi IP dei segnalanti. Il proxy TLS posto davanti all’applicazione tiene, per finalità di sicurezza, log di connessione di breve durata che includono indirizzi IP.

2.4 Dati delle segnalazioni #

Quando un segnalante invia una segnalazione tramite il canale di segnalazione di un’organizzazione, raccogliamo:

• Descrizione, categoria e fonte della segnalazione
• Nome e dati di contatto del segnalante (se forniti volontariamente)
• Messaggi scambiati tra il segnalante e l’organizzazione

Le descrizioni delle segnalazioni, i nomi dei segnalanti, i dati di contatto dei segnalanti e il contenuto dei messaggi sono crittografati nel database mediante crittografia a livello applicativo. Gli indirizzi IP dei segnalanti non vengono memorizzati con le segnalazioni, i messaggi o i record di audit. La limitazione delle richieste utilizza un hash con chiave pseudonimizzato dell’IP, conservato solo per la finestra di limitazione. I log dell’applicazione per il canale di segnalazione non contengono indirizzi IP.

2.5 Dati personali di terzi citati nelle segnalazioni #

Una segnalazione può contenere dati personali di altre persone — ad esempio la persona cui la segnalazione si riferisce o i testimoni. Per questi dati delle segnalazioni, EthicsPortal agisce in qualità di responsabile del trattamento per conto dell’organizzazione cliente, che è il titolare del trattamento. L’organizzazione è responsabile della liceità di tale trattamento e della fornitura di qualsiasi informazione richiesta ai sensi dell’articolo 14 del GDPR alle persone interessate.

In linea con l’articolo 14, paragrafo 5, lettera b), del GDPR e con i requisiti di riservatezza della Direttiva UE sul whistleblowing (2019/1937), la notifica a una persona citata può essere differita o limitata qualora ciò pregiudichi un’indagine o comprometta la protezione dell’identità del segnalante.

3. Come utilizziamo le tue informazioni e la nostra base giuridica #

Quando ci basiamo sull’interesse legittimo, puoi opporti in qualsiasi momento (sezione 8). Non vendiamo le tue informazioni personali. Non utilizziamo i tuoi dati per la pubblicità personalizzata. Non adottiamo decisioni automatizzate che producano effetti giuridici o che incidano in modo analogo significativamente sulla tua persona.

4. Servizi di terze parti #

Condividiamo i dati con i seguenti servizi di terze parti, solo nella misura necessaria a fornire il Servizio:

Ogni servizio di terze parti è disciplinato dalla propria informativa sulla privacy. Ti invitiamo a consultarle.

5. Cookie e analisi del sito web #

L’applicazione (secure.ethicsportal.eu) utilizza solo cookie di prima parte necessari per farti accedere, mantenere attivo l’accesso e ricordare le tue impostazioni:

Non utilizziamo cookie di tracciamento di terze parti o cookie pubblicitari.

Il sito web pubblico non imposta cookie. La sua misurazione dell’audience (Plausible, sezione 4) funziona senza cookie, e puoi escludere le tue visite in questo browser:

6. Archiviazione e sicurezza dei dati #

• Posizione dei server: I dati principali dell’applicazione sono ospitati da Hetzner a Norimberga, in Germania (Unione europea)
• Crittografia in transito: Tutte le connessioni utilizzano HTTPS/TLS
• Crittografia a riposo: I dati delle segnalazioni (descrizioni, nomi dei segnalanti, dati di contatto, messaggi) sono crittografati nel database mediante Active Record Encryption
• Accesso del personale senza password: Il personale utilizza magic link, quindi non vengono memorizzate password del personale. Le password dei segnalanti sono generate dal sistema e memorizzate solo come digest bcrypt
• Controllo di accesso: L’accesso al database è riservato esclusivamente al personale autorizzato

Sebbene adottiamo misure ragionevoli per proteggere i tuoi dati, nessun metodo di trasmissione o archiviazione è sicuro al 100%. Se scopri una vulnerabilità di sicurezza, ti preghiamo di contattarci a security@ethicsportal.eu.

7. Conservazione dei dati #

• I dati dell’account sono conservati finché il tuo account è attivo
• I dati dell’organizzazione sono conservati finché la tua organizzazione è attiva
• Le segnalazioni — le segnalazioni chiuse o archiviate vengono eliminate automaticamente al termine del periodo di conservazione configurato dall’organizzazione cliente (12, 24, 36, 48 o 60 mesi). Le segnalazioni attive e in corso sono conservate fino alla chiusura; una segnalazione rimasta senza attività per 18 mesi viene chiusa automaticamente, il che avvia il periodo di conservazione
• I registri di invio delle email — per inviti e notifiche al personale: l’indirizzo del destinatario crittografato, il tipo di email e l’ora di invio, mai l’oggetto né il contenuto. Quelli collegati a un’organizzazione vengono eliminati con essa; quelli non collegati ad alcuna organizzazione vengono eliminati 90 giorni dopo l’invio. Le email di accesso e le email ai segnalanti non vengono registrate
• I log dei server vengono sovrascritti man mano che si riempiono. Il log del proxy, che contiene indirizzi IP, viene attualmente sovrascritto dopo circa due giorni. I log dell’applicazione non contengono indirizzi IP
• I registri di pagamento sono conservati come richiesto dalle leggi fiscali e contabili applicabili
• I registri delle attività — eventi definiti relativi a segnalazioni e account sono conservati per finalità di conformità, incluso quale gestore ha visualizzato quale segnalazione (una voce per gestore, per segnalazione e per 24 ore); le letture di altre pagine non vengono registrate. Le voci di audit sono conservate finché esiste l’organizzazione e vengono eliminate con essa

Quando chiudi il tuo account, i dati di accesso vengono rimossi. Limitati registri attribuiti possono restare secondo le istruzioni documentate del Titolare, obblighi legali applicabili o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. La sezione 9 indica cosa resta e perché.

8. I tuoi diritti ai sensi del GDPR #

Poiché abbiamo sede nell’Unione europea, si applica il Regolamento generale sulla protezione dei dati (GDPR). Hai il diritto di:

• Accesso — richiedere una copia dei dati personali che deteniamo su di te
• Rettifica — richiedere la correzione di dati inesatti
• Cancellazione — richiedere la cancellazione dei tuoi dati (“diritto all’oblio”)
• Limitazione — richiedere che limitiamo il modo in cui trattiamo i tuoi dati
• Portabilità dei dati — richiedere i tuoi dati in un formato strutturato e leggibile da macchina
• Opposizione — opporti al trattamento dei tuoi dati
• Revoca del consenso — revocare il consenso in qualsiasi momento laddove il trattamento si basi sul consenso
• Reclamo — presentare un reclamo a un’autorità di controllo per la protezione dei dati, in particolare nel Paese dell’UE in cui vivi o lavori, oppure alla nostra autorità capofila, il Presidente dell’Ufficio polacco per la protezione dei dati personali (UODO, ul. Stawki 2, 00-193 Varsavia)

Come esercitare i tuoi diritti: Puoi gestire la maggior parte dei tuoi dati direttamente tramite le impostazioni dell’account. Per eliminare il tuo account, visita la pagina delle impostazioni dell’account. Per qualsiasi altra richiesta, scrivici a privacy@ethicsportal.eu.

Se hai inviato una segnalazione: l’organizzazione di cui hai utilizzato il canale di segnalazione è il titolare del trattamento ed EthicsPortal agisce come responsabile. Puoi accedere e scaricare una copia tramite il modulo di segnalazione online usando l’ID del caso e la password. Per correggere informazioni, aggiungi un messaggio; per altre richieste, contatta l’organizzazione (la assisteremo come responsabile). La cancellazione può essere limitata dalla decisione documentata di conservazione del Titolare e da eventuali obblighi legali o eccezioni per rivendicazioni giudiziarie.

Contatto per la protezione dei dati: Le richieste relative alle nostre prassi di protezione dei dati possono essere indirizzate a privacy@ethicsportal.eu.

9. Eliminazione dell’account e dei dati #

Puoi chiudere il tuo account in qualsiasi momento dalle impostazioni dell’account. Il tuo indirizzo e-mail viene sostituito da un indirizzo fittizio non recapitabile, e le credenziali a due fattori, le sessioni attive, i token API, la preferenza di lingua e le preferenze di marketing vengono rimossi in modo permanente. Non puoi più accedere e non possiamo più contattarti tramite il Servizio.

Se il tuo account non ha mai operato all’interno di un’organizzazione, il record viene eliminato del tutto. In caso contrario, le tue iscrizioni vengono disattivate e le note di caso, i messaggi e le voci di audit attribuiti restano conservati per mantenere l’attribuzione delle attività registrate. Il Titolare determina il periodo di conservazione secondo le proprie istruzioni documentate e la legge applicabile; il diritto alla cancellazione previsto dal GDPR resta soggetto alle eccezioni applicabili per obblighi legali o rivendicazioni giudiziarie.

Tre elementi sopravvivono quindi alla chiusura:

• La tua immagine di profilo viene eliminata alla chiusura dell’account. Il tuo nome resta associato alle attività attribuite finché l’organizzazione interessata conserva tale registro di conformità. È conservato soltanto per identificare chi ha gestito l’attività registrata, non per autenticazione o contatto.
• Le voci di audit conservano nome, indirizzo e-mail e indirizzo IP della richiesta per le azioni autenticate. Gli indirizzi IP dei segnalanti sono esclusi. Gli amministratori dell’organizzazione non possono modificare o eliminare singolarmente il registro in sola aggiunta; le voci vengono eliminate con l’organizzazione.
• Le esportazioni di dati create prima della richiesta persistono fino a 7 giorni, dopodiché vengono eliminate automaticamente.

L’eliminazione viene rifiutata finché sei proprietario di un’organizzazione, il suo unico amministratore o il suo responsabile della compliance designato. Trasferisci o riassegna prima il ruolo.

10. Privacy dei minori #

Gli account dei clienti non sono rivolti ai minori di 16 anni. Il canale di segnalazione di un’organizzazione può tuttavia ricevere una segnalazione da un minore quando l’organizzazione lo rende disponibile. L’organizzazione è il Titolare dei dati della segnalazione e decide come gestire una richiesta di cancellazione; noi la assistiamo come Responsabile. Per i dati personali che controlliamo direttamente, contatta privacy@ethicsportal.eu: valuteremo e tratteremo la richiesta secondo la legge applicabile.

11. Trasferimenti internazionali di dati #

Mailjet e AppSignal hanno sede nell’UE. Quando i loro fornitori trattano dati fuori dal SEE, tali trasferimenti sono soggetti alle garanzie del capo V del GDPR (si veda il DPA).

I dati principali delle segnalazioni sono archiviati su server situati in Germania (UE). Il sito pubblico di marketing è erogato tramite Cloudflare (Stati Uniti); il canale di segnalazione e il pannello di gestione no. Questo trattamento del sito pubblico è fuori dalla catena di trattamento dei dati delle segnalazioni su istruzione del cliente coperta dal DPA. Per i trasferimenti di dati del sito pubblico dal SEE agli Stati Uniti, Cloudflare dichiara di basarsi sul Quadro UE—USA per la protezione dei dati e, se la certificazione scade o diventa invalida, sulle clausole contrattuali standard con misure supplementari ai sensi del DPA per i clienti Cloudflare.

La nostra email, le anagrafiche dei clienti e il calendario per la prenotazione delle demo sono ospitati da Zoho negli Stati Uniti. I trasferimenti verso Zoho sono soggetti alle garanzie del capo V del GDPR.

Stripe Payments Europe ha sede in Irlanda, ma Stripe può trattare i dati di fatturazione e pagamento in altri paesi. Stripe dichiara di utilizzare i meccanismi di trasferimento lecito applicabili, comprese le decisioni di adeguatezza e le clausole contrattuali standard, come descritto nell’Accordo sul trattamento dei dati di Stripe.

12. Candidati a posizioni lavorative #

Quando ti candidi per una posizione presso di noi (ad esempio scrivendo a careers@ethicsportal.eu), raccogliamo e trattiamo:

• Il tuo nome e i tuoi dati di contatto
• Il tuo CV, il messaggio di candidatura e tutto ciò che scegli di dirci sulla tua esperienza
• Le note di eventuali colloqui o conversazioni durante il processo di selezione

Base giuridica: il trattamento è necessario per eseguire misure su tua richiesta prima della conclusione di un contratto e per il nostro interesse legittimo a valutare i candidati e a condurre un processo di selezione equo. Non chiediamo, e ti chiediamo di non inviare, dati appartenenti a categorie particolari (come salute, religione o appartenenza sindacale) o lo storico retributivo di posizioni precedenti.

Conservazione: conserviamo i dati della candidatura solo per il tempo necessario a valutare la tua candidatura e a coprire la posizione. Se non vieni assunto, eliminiamo i dati della tua candidatura al termine del processo, a meno che tu non ci chieda di conservarli per posizioni future, nel qual caso li conserviamo per un massimo di 12 mesi.

Hai gli stessi diritti GDPR sui dati della tua candidatura indicati nella sezione 8. Per esercitarli, o per chiederci di eliminare la tua candidatura, scrivi a privacy@ethicsportal.eu.

13. Modifiche alla presente informativa #

Possiamo aggiornare la presente Informativa sulla privacy di tanto in tanto. Quando apportiamo modifiche sostanziali, ti avviseremo via email o tramite una notifica in-app. La data di “Ultimo aggiornamento” in cima a questa pagina indica quando l’informativa è stata rivista per l’ultima volta.

La presente informativa è una comunicazione, non un contratto, e non richiede accettazione. Le modifiche si applicano dalla data di efficacia o di ultimo aggiornamento indicata, fatte salve le comunicazioni richieste dalla legge applicabile.

14. Contattaci #

Se hai domande sulla presente Informativa sulla privacy o desideri esercitare i tuoi diritti sui dati, contattaci a:

Generale: support@ethicsportal.eu Privacy / diritti GDPR: privacy@ethicsportal.eu Contatto per la protezione dei dati: privacy@ethicsportal.eu Segnalazioni di sicurezza: security@ethicsportal.eu Legale / DPA: legal@ethicsportal.eu Sede: Varsavia, Polonia

Ultimo aggiornamento: 30 ottobre 2026