Trust #

Tutto ciò di cui un addetto all’approvvigionamento, un DPO o un team legale ha bisogno per valutare EthicsPortal.

Ultimo aggiornamento: 2026-05-24.

Parte contraente #

• Nome del servizio: EthicsPortal
• Operatore: Yaroslav Shmarov
• Indirizzo registrato: ul. Obrzeżna 1A, 02-691 Varsavia, Polonia
• Numero di identificazione fiscale (NIP): 5272755790
• Firmatario autorizzato per accordi commerciali, DPA e questionari di sicurezza: Yaroslav Shmarov
• Contatto commerciale: support@ethicsportal.eu
• Contatto per la sicurezza: security@ethicsportal.eu
• Contatto per privacy e protezione dei dati: privacy@ethicsportal.eu

Le evidenze di registro e i documenti contrattuali firmati sono forniti su richiesta durante l’approvvigionamento.

Residenza dei dati e rapporto di responsabile del trattamento #

Nel modello di abbonamento standard, il cliente è il titolare del trattamento ed EthicsPortal agisce in qualità di responsabile del trattamento per i dati delle segnalazioni del cliente.

I dati principali delle segnalazioni, inclusi l’applicazione, il database e l’archiviazione dei file, sono ospitati a Norimberga, in Germania, su Hetzner . Le email transazionali transitano tramite Mailjet (Francia). Il sito di marketing utilizza un solo sub-responsabile del trattamento extra-UE nominato, Cloudflare (CDN), elencato per intero nella pagina sub-responsabili del trattamento . Il portale di segnalazione e il portale dei gestori non caricano Cloudflare.

Continuità e personale #

I dati del cliente sono recuperabili indipendentemente dalla disponibilità dell’operatore. In qualsiasi momento del rapporto e alla cessazione del contratto, le organizzazioni clienti hanno diritto a un’esportazione completa e leggibile da macchina dei propri dati, oltre a un periodo definito di dismissione per migrare verso un fornitore alternativo. Queste disposizioni sono indicate nell’accordo sul trattamento dei dati e dettagliate nel piano di continuità operativa , che definisce gli eventi scatenanti di attivazione, RPO 24 ore / RTO 4 ore e la procedura in caso di indisponibilità dell’operatore.

Backup. Dump PostgreSQL crittografati giornalieri su Hetzner Object Storage (UE, conservazione di 7 giorni) più snapshot a livello di server Hetzner (conservazione di 7 giorni). Ultima esercitazione di ripristino: 2026-05-14.

Ambito del personale. Tutti i dati dei clienti sono trattati dall’operatore nominato. Non vi sono altri dipendenti o collaboratori — una scelta deliberata di ambito che rimuove dal modello delle minacce i rischi lato fornitore legati al personale (carenze nelle verifiche dei precedenti, fughe in fase di assunzione/cessazione, proliferazione di collaboratori). I controlli sull’accesso privilegiato dell’operatore nominato sono documentati e disponibili durante la verifica in fase di approvvigionamento.

Stato delle certificazioni #

EthicsPortal attualmente non dichiara su questo sito una certificazione ISO 27001 accreditata. Non risulta attualmente un penetration test esterno indipendente. Quando una delle due cose cambierà, qui verranno pubblicati il nome della certificazione (oppure l’ambito, la data e il riepilogo dei rimedi del test).

In luogo di una certificazione accreditata, EthicsPortal pubblica un’autovalutazione strutturata rispetto agli stessi insiemi di controlli che un audit esterno valuterebbe:

• Una mappa dei controlli dell’Allegato A della ISO/IEC 27001:2022 che copre tutti i 93 controlli, con lo stato (Implementato / Autovalutato / Non applicabile / Controllo compensativo) e i riferimenti alle evidenze per ciascuno.
• Una mappa di allineamento alle linee guida della ISO 37002:2021 che copre il ciclo di vita della gestione del whistleblowing clausola per clausola, con l’indicazione del confine tra software e operatore. (La ISO 37002 è una norma di linee guida — nessuna organizzazione può essere certificata rispetto ad essa; l’allineamento è l’unica affermazione onesta che un fornitore possa fare.)
• Documenti di policy nominati su /policies/ : politica di sicurezza delle informazioni , piano di continuità operativa , registro dei rischi .
• Un questionario allineato al CAIQ precompilato per le domande le cui risposte sono già documentate pubblicamente.

L’autovalutazione è la sostanza che un accreditamento attesterebbe. EthicsPortal la pubblica direttamente affinché un addetto all’approvvigionamento possa valutare le stesse evidenze senza attendere un revisore.

Ciclo di vita operativo #

Posizioni contrattuali #

Un’unica fonte di verità per le domande contrattuali che i team di approvvigionamento aziendale pongono più di frequente. Ogni riga rimanda al documento che disciplina la materia.

Queste posizioni si riflettono nei Termini di servizio , nell’accordo sul trattamento dei dati e nell’accordo sul livello di servizio pubblicati. Nei piani standard non sono concesse deviazioni sostanziali.

Documenti pubblici #

Tutto ciò di cui un addetto all’approvvigionamento ha bisogno è pubblicato apertamente. Raggruppato in base alla funzione del documento.

Contrattuali #

Ciò che disciplina il rapporto tra EthicsPortal e il cliente.

Operativi #

Come funziona il Servizio nel quotidiano e chi altro è coinvolto.

Riferimento alla Direttiva #

Come EthicsPortal si rapporta alla Direttiva (UE) 2019/1937 e come la interpreta.

Autovalutazione #

I documenti di policy nominati e le mappe dei controlli che un audit esterno valuterebbe.

Disponibili durante la verifica in fase di approvvigionamento #

I materiali seguenti sono condivisi tramite divulgazione controllata anziché pubblicati apertamente:

• DPA firmato
• Estratto di registro e prova del NIP / fiscale
• Questionario di sicurezza compilato
• Riepilogo dell’accesso privilegiato in produzione
• Riepilogo di risposta agli incidenti
• Risposte su continuità operativa, cessazione ed esportazione dei dati del cliente
• Riepilogo del penetration test esterno (quando agli atti)

Per richiederli, scrivi a support@ethicsportal.eu . Per domande sulla verifica di sicurezza, scrivi a security@ethicsportal.eu .

Ultimo aggiornamento: 18 giugno 2026