Informativa sulla privacy

Chi siamo

CyberProva è gestito da un piccolo team di professionisti IT che si occupano ogni giorno di incidenti di sicurezza informatica. Abbiamo creato CyberProva per offrire alle organizzazioni più piccole una visione chiara e concreta della propria sicurezza, e delle lacune che vediamo più spesso dietro incidenti reali, prima che vengano sfruttate.

CyberProva ha sede nel Regno Unito.

Richieste relative alla privacy: hello@cyberprova.com

Cosa conserviamo e perché

Queste sono le categorie attualmente memorizzate dal software:

Utilizziamo eventi operativi per comprendere registrazioni, connessioni, valutazioni, accessi ai report, richieste di evidenze e attivazioni dei piani. Gli identificativi degli spazi di lavoro vengono pseudonimizzati in questi eventi. Non aggiungiamo cookie di tracciamento dei visitatori; le visite pubbliche non possono essere collegate alle singole registrazioni.

• Dati dell’account — l’identificativo di directory e l’indirizzo email di chi accede, e il suo ruolo nello spazio di lavoro.
• Dati dell’organizzazione — il nome della sua organizzazione, l’ambito di valutazione dichiarato e l’identificativo dell’ambiente Microsoft 365 dopo la connessione.
• Risultati della valutazione — l’esito di ogni verifica, quando è stata eseguita e il testo del risultato.
• Evidenze caricate — i file, i loro nomi e le note. Possono contenere dati personali a seconda di ciò che sceglie di caricare; è Lei a controllarlo.
• Configurazione letta da Microsoft 365 — le impostazioni di sicurezza e gli identificativi di directory degli account interessati. Non richiediamo gli indirizzi email degli account segnalati dalla verifica delle credenziali divulgate.
• Dati di fatturazione — lo stato dell’abbonamento e gli identificativi Stripe. I dati della carta sono gestiti da Stripe e non ci pervengono mai.

Per quanto tempo li conserviamo

• Account, spazi di lavoro, risultati delle valutazioni, evidenze e messaggi di servizio: per tutto il tempo in cui lo spazio di lavoro è in uso. Quando un cliente chiude il proprio spazio di lavoro o ci chiede di eliminarlo, cancelliamo questi dati entro 30 giorni, salvo che dobbiamo conservare documenti specifici per adempiere a un obbligo legale o gestire una controversia.
• Link di invito: scadono dopo 7 giorni o al momento dell’utilizzo.
• Registri tecnici: 30 giorni.
• Documenti di fatturazione e contabili: sei anni, come richiesto dalla normativa fiscale del Regno Unito.
• Corrispondenza di assistenza e relativa alla privacy: due anni dalla chiusura della pratica.
• Backup: i backup del database vengono sovrascritti entro 7 giorni. I file di evidenza eliminati e le versioni precedenti dei file vengono rimossi definitivamente dall’archiviazione entro 30 giorni.

Annullare un abbonamento o revocare il consenso a Microsoft 365 non comporta di per sé la cancellazione dei dati archiviati. Per chiedere la cancellazione, ci scriva all’indirizzo hello@cyberprova.com. Per i dati di uno spazio di lavoro cliente potremmo aver bisogno dell’istruzione del cliente.

Chi altro li tratta

Ci avvaliamo dei seguenti fornitori di servizi, che trattano dati personali per nostro conto in base a contratti che li tutelano:

• Microsoft (Azure): hosting, database, archiviazione di file e registri tecnici, in data center Microsoft situati nel Regno Unito. Microsoft Entra ID fornisce l’accesso e Microsoft Graph i controlli di Microsoft 365 in sola lettura autorizzati dalla sua organizzazione.
• Stripe: pagamento online ed elaborazione dei pagamenti. I dati della carta inseriti al pagamento vanno a Stripe e non vengono conservati da noi.
• Service-email delivery provider: invio dei messaggi di servizio.

I membri autorizzati del suo spazio di lavoro possono vedere i dati in base al proprio ruolo. Le richieste di evidenze vengono inviate ai fornitori scelti dalla sua organizzazione. Chi riceve un report da Lei esportato vede ciò che Lei sceglie di condividere.

Possiamo inoltre comunicare informazioni quando la legge lo richiede, a consulenti professionali vincolati alla riservatezza, o per accertare, esercitare o difendere un diritto in sede giudiziaria. Se l’attività o i suoi beni vengono trasferiti, anche a una società da noi costituita per gestire CyberProva, i dati personali verrebbero trasferiti con garanzie adeguate e ne informeremmo le persone interessate.

Trasferimenti internazionali

Archiviamo i dati dei clienti nel Regno Unito. Alcuni fornitori, come Stripe e Microsoft per le proprie attività di assistenza e sicurezza, possono trattare dati in altri paesi, tra cui gli Stati Uniti. In tal caso, il trasferimento è tutelato dalla normativa britannica sull’adeguatezza (compresa l’estensione britannica del quadro UE–USA per la protezione dei dati) o dall’addendum internazionale sul trasferimento dei dati alle clausole contrattuali tipo. Ci contatti per maggiori informazioni su queste garanzie.

I suoi diritti

A seconda della finalità e della base giuridica, può chiederci l’accesso ai suoi dati, la rettifica, la cancellazione o la limitazione del trattamento, o una copia portabile, e può opporsi al trattamento. Quando ci basiamo sul consenso, può revocarlo in qualsiasi momento senza pregiudicare il trattamento già effettuato. Questi diritti sono soggetti a condizioni ed eccezioni e potremmo dover verificare la sua identità. Risponderemo entro un mese.

Per presentare una richiesta o un reclamo, ci scriva all’indirizzo hello@cyberprova.com. Può inoltre presentare reclamo in qualsiasi momento presso l’Information Commissioner’s Office (autorità britannica per la protezione dei dati) o presso un’altra autorità per la protezione dei dati, come il Garante per la protezione dei dati personali in Italia; non è necessario contattarci prima.

Le valutazioni riassumono automaticamente alcuni controlli di sicurezza per supportare decisioni umane. Non adottiamo decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o effetti analogamente significativi sulle persone.