Informativa privacy (art. 13 GDPR)

1. Titolare del trattamento

Il titolare è [RAGIONE SOCIALE], persona fisica, [INDIRIZZO] (“VINDICIS”, “noi”). Contatto privacy: nudgeprivacyteam@gmail.com.

2. Cosa trattiamo e perché

Limitiamo il trattamento al minimo necessario per far funzionare uno strumento di autovalutazione.

• Scansione gratuita in home: l’indirizzo email che digiti viene inviato alla nostra API e, per eseguire la ricerca, alle fonti di breach indicate nella sezione 5. Non viene scritto nel nostro database né nei log. Il risultato resta in memoria fino a 4 ore sotto un hash con chiave.
• Account: indirizzo email (salvato cifrato, ricercabile solo tramite un hash con chiave), password (salvata come hash Argon2id), stato di verifica, piano e data/ora.
• Identità monitorata e risultati delle scansioni: l’indirizzo che verifichi e i risultati delle scansioni, salvati cifrati con AES-256-GCM, più uno storico delle ultime 100 scansioni.
• Codici monouso: salvati come hash con chiave e cancellati alla scadenza.
• Log di sicurezza: identificativi casuali delle richieste, modelli di percorso, codici di stato e tipi di errore. I log non contengono mai indirizzi email, password, codici o token.
• Ordini: identificativi di ordine e abbonamento di Lemon Squeezy, piano e stato. Non riceviamo né conserviamo i dati della carta.
• Email transazionali: codici di verifica e reimpostazione e, per gli abbonati, l’audit mensile in PDF, gli avvisi di breach e il promemoria sulle richieste GDPR scadute.
• Toolkit GDPR (piano mensile), profilo del richiedente: nome e cognome, email aggiuntive, numeri di telefono, indirizzo postale, Paese e lingua delle lettere che inserisci, salvati cifrati con AES-256-GCM e usati solo per scrivere le tue richieste. Puoi modificarli o eliminarli in qualsiasi momento.
• Toolkit GDPR, mandato di invio: quando accetti il mandato salviamo il tuo account, la versione del mandato, data e ora e un’impronta SHA-256 del testo accettato, come prova della tua istruzione. Non salviamo il tuo indirizzo IP. Revocare il mandato ferma le richieste ancora in coda.
• Toolkit GDPR, richieste inviate per te: quando chiedi a VINDICIS di inviare richieste scriviamo al contatto privacy di ogni azienda che hai scelto, dal nostro indirizzo di invio, a tuo nome, con te in copia (Cc) e l’email del tuo account come indirizzo di risposta. Il testo è generato dal tuo profilo al momento dell’invio; conserviamo l’azienda, il tipo di richiesta, lo stato, lo stato di consegna, l’identificativo del messaggio e le date di invio e di scadenza, per mostrare il tracker e inviare un promemoria quando una scadenza passa. Le richieste che invii da solo dal tuo programma di posta o dal modulo di un’azienda non le vediamo, a meno che tu le registri.
• Controllo del profilo pubblico (piano mensile): per le identità verificate degli abbonati chiediamo a Gravatar se esiste un profilo pubblico per l’indirizzo, usando solo un hash SHA-256 dell’indirizzo. Il risultato è salvato cifrato insieme ai risultati della scansione.
• Verifica email del dominio (piano mensile): il dominio che inserisci viene inviato alla nostra API, che legge i suoi record DNS pubblici e, per MTA-STS, un file di politica pubblico di quel dominio. Il risultato ti viene mostrato e non viene salvato.
• Verifica della connessione (piani a pagamento, nella dashboard): gira interamente nel tuo browser. Non invia nulla a noi né ad altri e non salva nulla.

3. Basi giuridiche

• Esecuzione del contratto, art. 6(1)(b) GDPR: creazione dell’account, verifica della casella, esecuzione delle scansioni e consegna dell’audit a pagamento, dei report mensili e degli avvisi e, per il piano mensile, invio delle richieste GDPR che ci chiedi di inviare.
• Legittimo interesse, art. 6(1)(f) GDPR: log di sicurezza, limitazione delle richieste e prevenzione degli abusi, necessari a proteggere il servizio e gli utenti.
• Obbligo di legge, art. 6(1)(c) GDPR: conservazione delle scritture contabili degli ordini come richiesto dalla legge.
• La conservazione del record del mandato come prova della tua istruzione si fonda sul legittimo interesse, art. 6(1)(f) GDPR.

4. Verifica della proprietà

I report completi vengono mostrati solo per un indirizzo il cui proprietario ha confermato un codice monouso inviato a quell’indirizzo. Questo tutela le persone descritte dai dati dei breach.

5. Destinatari e responsabili del trattamento

• OVHcloud (hosting). Il nostro server si trova in Canada. La Commissione europea ha riconosciuto che il Canada offre un livello di protezione adeguato per i trasferimenti verso organizzazioni commerciali soggette al PIPEDA, quindi per questo hosting non servono garanzie ulteriori.
• Brevo (invio delle email: email transazionali e richieste GDPR che ci chiedi di inviare).
• Lemon Squeezy (merchant of record). Vende i piani, incassa il pagamento, gestisce l’IVA e agisce come titolare autonomo per i dati di pagamento; consulta la sua informativa.
• Fonti di dati sui breach: per eseguire una scansione l’indirizzo email viene trasmesso a Hudson Rock, LeakCheck e XposedOrNot, che rispondono con i record in loro possesso. Per il controllo password viene inviato a Have I Been Pwned, tramite la nostra API, solo un prefisso di hash di 5 caratteri.
• Automattic Inc. (Gravatar): solo per gli abbonati e solo per le identità verificate inviamo un hash SHA-256 dell’indirizzo email (mai l’indirizzo stesso) per verificare l’esistenza di un profilo Gravatar pubblico. Automattic agisce come titolare autonomo dei profili che ospita.
• Resolver DNS pubblici: la verifica email del dominio interroga il DNS pubblico tramite Quad9 (Quad9 Foundation, Svizzera), tramite connessione cifrata DNS-over-TLS, che quindi ricevono i nomi di dominio che controlli.
• Le aziende che scegli come destinatarie di una richiesta GDPR (data broker, operatori telefonici, fornitori di energia e altre) ricevono la richiesta con il nome e i recapiti che hai inserito nel profilo. Agiscono come titolari autonomi dei propri archivi.

Non vendiamo dati personali e non li usiamo per pubblicità o profilazione. Non abbiamo tracker di analytics o pubblicitari.

6. Conservazione

• Log di sicurezza: 90 giorni.
• Account, identità e risultati delle scansioni: fino alla cancellazione dell’account. Lo storico conserva le ultime 100 scansioni per identità.
• Sessioni: 30 giorni o fino all’uscita. Codici monouso: pochi minuti.
• Registri degli ordini: per il periodo previsto dalla normativa fiscale e contabile.
• Registro delle richieste GDPR: finché non elimini la voce o il tuo account. Profilo del richiedente e record del mandato: finché non elimini il profilo o il tuo account.

7. I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione e portabilità e opporti al trattamento basato sul legittimo interesse (artt. 15-21 GDPR). Puoi esportare tutto ciò che conserviamo su di te e cancellare l’account direttamente dalla dashboard, oppure scrivere a nudgeprivacyteam@gmail.com.

Puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità del tuo Paese di residenza.

8. Sicurezza

I dati personali nel database sono cifrati con AES-256-GCM, l’accesso al server è ristretto, le sessioni usano cookie HttpOnly, Secure e SameSite=Strict e il traffico è protetto da TLS.

9. Decisioni automatizzate

Non adottiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici su di te. Il punteggio di minaccia ha valore informativo.

10. Modifiche

Aggiorneremo questa informativa quando cambia il trattamento e indicheremo la data in alto.