Informativa sulla privacy

Prendiamo sul serio la protezione dei Suoi dati personali – proprio perché il nostro servizio lavora esso stesso con occorrenze e segnalazioni di fughe di dati sensibili. La presente informativa La informa su quali dati trattiamo, per quale scopo, su quale base giuridica e per quanto tempo.

1. Titolare del trattamento

Ayzix IT Solution, Sebastian Scherf
Weyroth 96, 55543 Bad Kreuznach, Deutschland
E-mail: kontakt@zentrale-datenschutzstelle.de

La «Zentrale Datenschutzstelle» è un servizio privato e non un'autorità pubblica né un ente pubblico.

2. Hosting e ubicazione dei server

I nostri sistemi sono gestiti su server di Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Germania. Non avviene alcun trattamento al di fuori dell'Unione europea, salvo quanto espressamente indicato nella presente informativa (elaborazione dei pagamenti, banca dati delle fughe di dati). Con il provider di hosting esiste un contratto di responsabile del trattamento ai sensi dell'art. 28 GDPR. La base giuridica è l'art. 6 par. 1 lett. f GDPR (interesse legittimo a un funzionamento sicuro ed efficiente) nonché l'art. 6 par. 1 lett. b GDPR nei confronti dei clienti.

3. Log del server

Quando visita il nostro sito, il server web elabora automaticamente: indirizzo IP, data e ora, URL richiesto, referrer, tipo di browser e sistema operativo, quantità di dati trasferiti e codice di stato. Questi log servono alla sicurezza, all'analisi degli errori e alla difesa da attacchi (art. 6 par. 1 lett. f GDPR) e vengono cancellati al più tardi dopo 14 giorni, salvo che siano necessari per chiarire un incidente di sicurezza. I log applicativi non contengono password, contenuti di documenti né risultati delle verifiche di fughe di dati.

4. Cookie e statistiche dei visitatori

Utilizziamo i cookie tecnicamente necessari senza consenso, perché senza di essi l'Area clienti non funziona (§ 25 comma 2 n. 2 TDDDG, art. 6 par. 1 lett. b ed f GDPR). Tutto il resto – le statistiche dei visitatori descritte di seguito – lo utilizziamo solo se Lei acconsente espressamente alla prima visita.

Scelta della lingua e del Paese

Alla prima visita determiniamo il Suo Paese dall’indirizzo IP per mostrarLe il sito nella lingua appropriata. L’associazione avviene esclusivamente sul nostro server tramite una banca dati dei Paesi memorizzata localmente (DB-IP.com, licenza CC BY 4.0); l’indirizzo IP non viene salvato a tale scopo né trasmesso a terzi. La Sua scelta nel menu delle lingue viene conservata per un anno nei cookie zds_lang e zds_land (tecnicamente necessari, nessun consenso richiesto). La base giuridica è l’art. 6, par. 1, lett. f GDPR.

Statistiche dei visitatori con Microsoft Clarity (solo con consenso)

Per capire come viene utilizzato il nostro sito e renderlo più comprensibile, utilizziamo con il Suo consenso il servizio Microsoft Clarity di Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlanda. Clarity rileva come Lei interagisce con le nostre pagine pubbliche: pagine visitate e relativo indirizzo, durata della visita, clic, movimenti del mouse e comportamento di scorrimento, tipo di dispositivo, browser, sistema operativo, dimensioni dello schermo, posizione approssimativa (derivata dall'indirizzo IP) e un identificativo pseudonimo. Da questi dati vengono create statistiche di utilizzo, heatmap e riproduzioni di sessione. Gli inserimenti nei campi dei moduli vengono resi irriconoscibili prima della trasmissione.

Clarity viene caricato esclusivamente sulle pagine pubbliche. Non vengono rilevati l'Area clienti, l'Amministrazione, la Verifica password, le pagine con link di conferma, invito o reimpostazione, l'accesso a due fattori e le pagine dei risultati della Verifica numero di telefono. A tal fine Clarity imposta i cookie _clck (identificativo, fino a 1 anno) e _clsk (raggruppamento delle visualizzazioni di pagina di una sessione, 1 giorno); Microsoft può inoltre impostare i cookie CLID, MUID, ANONCHK, MR e SM utilizzare.

La base giuridica è il Suo consenso (§ 25 comma 1 TDDDG, art. 6 par. 1 lett. a GDPR). Microsoft può trasferire dati negli USA; Microsoft Corporation è certificata secondo l'EU-US Data Privacy Framework (decisione di adeguatezza, art. 45 GDPR), in aggiunta si applicano le clausole contrattuali standard dell'UE. Microsoft tratta i dati anche per finalità proprie, ad esempio per migliorare i propri servizi; ulteriori informazioni: privacy.microsoft.com e Elenco dei cookie di Clarity. I dati vengono cancellati da Clarity al più tardi dopo 13 mesi.

Recesso: Può revocare il Suo consenso in qualsiasi momento con effetto per il futuro cliccando nel piè di pagina su «Impostazioni cookie» e scegliere «Solo necessari». Clarity non verrà più caricato e i suoi cookie verranno rimossi. Il rifiuto non comporta alcuno svantaggio per l'utilizzo del nostro sito.

5. Registrazione e account cliente

Per l'utilizzo dell'Area clienti è necessario un account. Trattiamo tipo di account (privato/azienda), nome e cognome, indirizzo e-mail, una password (esclusivamente come hash Argon2id, mai in chiaro), per le aziende inoltre nome dell'azienda, dominio, ruolo e facoltativamente partita IVA, nonché momento e indirizzo IP dell'accettazione delle CGC e dell'informativa sulla privacy. L'indirizzo e-mail viene confermato tramite un link monouso a tempo limitato. Facoltativamente può attivare l'autenticazione a due fattori (TOTP); il relativo segreto viene memorizzato in forma cifrata. Base giuridica: art. 6 par. 1 lett. b GDPR (contratto o misure precontrattuali). I tentativi di accesso falliti vengono registrati per 30 giorni a protezione da abusi (art. 6 par. 1 lett. f GDPR).

6. Dati dell'incarico: occorrenze, pratiche, oggetti monitorati

Per l'erogazione del nostro servizio trattiamo i dati che ci trasmette per l'incarico o che rileviamo nell'ambito della ricerca: nomi, indirizzi e-mail, domini, numeri di telefono e fax, indirizzi, occorrenze (fonte, URL, categorie di dati, classificazione del rischio, stato), pratiche (tipo, controparte, comunicazioni, scadenze, cronologia degli eventi) e giustificativi. Vale il principio di minimizzazione dei dati: raccogliamo solo ciò che è necessario per il rispettivo incarico. Base giuridica: art. 6 par. 1 lett. b GDPR. Qualora registri dati di terzi (ad es. mittenti di fax pubblicitari), li trattiamo sulla base dell'art. 6 par. 1 lett. f GDPR per la tutela dei Suoi interessi legittimi a far valere i Suoi diritti.

7. Verifica fughe di dati (Have I Been Pwned)

Per la verifica di indirizzi e-mail e domini verificati rispetto alle fughe di dati note utilizziamo l'API del servizio «Have I Been Pwned» (Superlative Enterprises Pty Ltd, Australia). L'interrogazione avviene esclusivamente lato server tramite una chiave API propria; al servizio viene trasmesso l'indirizzo e-mail o il dominio da verificare. I risultati (nome della fuga, data, classi di dati) vengono da noi memorizzati in forma cifrata e mostrati solo all'utente autorizzato e all'incaricato competente. Le risposte memorizzate temporaneamente vengono cancellate al più tardi dopo 7 giorni. Le verifiche di dominio presuppongono la prova della titolarità del dominio. Base giuridica: art. 6 par. 1 lett. b GDPR; per i trasferimenti verso Paesi terzi ci basiamo sulle clausole contrattuali standard del fornitore (art. 46 par. 2 lett. c GDPR).

Verifica password: La verifica di una password rispetto alla banca dati «Pwned Passwords» avviene interamente nel Suo browser. Viene inviato a api.pwnedpasswords.com solo un prefisso di cinque caratteri dell'hash SHA-1 (k-anonimato); il confronto avviene localmente. Né la password, né l'hash completo, né il prefisso, né il risultato, né il Suo indirizzo IP vengono da noi memorizzati o registrati.

8. Elaborazione dei pagamenti (Stripe)

I pacchetti a pagamento vengono fatturati tramite Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublino, Irlanda. Al momento dell'ordine viene reindirizzato a Stripe Checkout, dove inserisce i dati di pagamento direttamente presso Stripe. Non memorizziamo dati di carte di credito o conti bancari. A Stripe trasmettiamo indirizzo e-mail, nome o nome dell'azienda, identificativi interni di cliente, organizzazione e pacchetto, nonché indirizzo di fatturazione ed eventualmente partita IVA. Da Stripe riceviamo dati di stato e di fatturazione (stato dell'abbonamento, numero di fattura, importo, stato del pagamento). Fatture, dati di pagamento, cambio di pacchetto e disdetta si gestiscono nel portale clienti di Stripe. Base giuridica: art. 6 par. 1 lett. b GDPR e art. 6 par. 1 lett. c GDPR (conservazione ai fini fiscali e commerciali). Stripe può trasferire dati verso Paesi terzi basandosi sulle clausole contrattuali standard dell'UE. Ulteriori informazioni: stripe.com/de/privacy.

9. Caricamento di documenti, scansione antivirus e riconoscimento del testo

Può caricare giustificativi (PDF, PNG, JPG, EML). Ogni file viene verificato lato server quanto al tipo di file effettivo, analizzato localmente con ClamAV alla ricerca di malware prima dell'approvazione e memorizzato in un archivio privato al di fuori della directory web. L'accesso è possibile solo dopo la verifica delle autorizzazioni tramite link firmati a breve scadenza. I fax pubblicitari vengono analizzati localmente con Tesseract (riconoscimento del testo) per rilevare mittente, numero di fax, data e riferimento; il testo riconosciuto viene memorizzato in forma cifrata. Non vengono utilizzati servizi OCR o cloud esterni. Base giuridica: art. 6 par. 1 lett. b GDPR.

10. Richiesta di accesso ai dati con procura: prova dell'identità e della rappresentanza

Su Sua richiesta facciamo valere i Suoi diritti di interessato non solo come semplice messaggero, ma ci presentiamo direttamente, con una procura da Lei conferita, nei confronti di agenzie di informazioni creditizie, broker di indirizzi e banche dati aziendali. A tal fine trattiamo inoltre:

• Procura: La Sua dichiarazione, il Suo nome, luogo e data, la Sua firma tracciata nel browser nonché – a prova della sottoscrizione – momento, indirizzo IP e identificativo del browser. Da questi generiamo un atto in PDF e ne memorizziamo la somma di controllo.
• Prova di identità: la copia del Suo documento d'identità da Lei caricata. Gli enti interpellati possono richiedere una prova in caso di dubbi fondati sulla Sua identità (art. 12 par. 6 GDPR). La preghiamo espressamente di oscurare tutte le informazioni non necessarie; sono richiesti solo nome, data di nascita, indirizzo e validità.
• Per le aziende, inoltre: la prova del Suo potere di rappresentanza (ad es. visura camerale) e la Sua funzione nell'azienda.

Trasmettiamo procura e prova di identità esclusivamente agli enti da Lei selezionati ed esclusivamente insieme alla rispettiva richiesta di accesso. Ogni copia trasmessa reca una dicitura visibile con scopo e destinatario ed è quindi contrassegnata come copia (§ 20 comma 2 della legge tedesca sulla carta d'identità). Non avviene alcun utilizzo per altri scopi.

Cancellazione: Cancelliamo le prove di identità e di rappresentanza non appena tutti gli enti interpellati hanno risposto, al più tardi 90 giorni dall'inizio del ciclo, in caso di revoca immediatamente – il file viene poi rimosso definitivamente entro 7 giorni. Conserviamo l'atto di procura come prova del nostro incarico.

Recesso: Può revocare la procura in qualsiasi momento senza indicarne i motivi nell'Area clienti o informalmente via e-mail (§ 168 BGB). Le lettere non ancora spedite vengono allora fermate immediatamente.

Base giuridica: art. 6 par. 1 lett. b GDPR (esecuzione del contratto concluso con Lei) e art. 6 par. 1 lett. c GDPR, qualora l'ente interpellato richieda la prova dell'identità. La presentazione del documento d'identità è facoltativa; senza di esso non possiamo tuttavia occuparci dell'invio a Suo nome – in tal caso può inviare Lei stesso le lettere.

11. Invio di e-mail

Le e-mail transazionali (link di conferma, reimpostazione password, promemoria di scadenze, notifiche sulle pratiche, avvisi di fattura) e le richieste in uscita alle controparti le inviamo tramite un server SMTP di un provider di hosting tedesco, con il quale esiste un contratto di responsabile del trattamento. Registriamo destinatario, oggetto, momento e stato di consegna, non il contenuto. Base giuridica: art. 6 par. 1 lett. b GDPR.

12. Notifiche interne

Per reagire rapidamente a nuove registrazioni, pagamenti o richieste di contatto, il nostro team riceve avvisi interni tramite il messenger Telegram. Questi avvisi contengono esclusivamente tipi di evento ed eventualmente il nome di un'organizzazione, nessuna occorrenza, risultato di fughe di dati, documento o dato di contatto di privati.

13. Modulo di contatto e contatto via e-mail

Se ci scrive tramite il modulo di contatto o via e-mail, trattiamo le Sue informazioni (nome, indirizzo e-mail, oggetto, messaggio, indirizzo IP, momento) per la gestione della richiesta. Base giuridica: art. 6 par. 1 lett. b GDPR o art. 6 par. 1 lett. f GDPR. Le richieste vengono cancellate dopo la gestione definitiva, al più tardi dopo 12 mesi, salvo obblighi legali di conservazione contrari.

14. Cronologia degli eventi e registro di audit

Le azioni rilevanti per la sicurezza (accessi, modifiche di stato, modifiche di autorizzazioni, download, esportazioni, azioni amministrative) vengono registrate in un log immutabile e protetto da manipolazioni con momento, persona agente, record interessato e indirizzo IP. Ciò serve alla tracciabilità delle Sue pratiche, alla sicurezza e all'adempimento del nostro obbligo di rendicontazione (art. 5 par. 2, art. 32 GDPR; art. 6 par. 1 lett. c ed f GDPR).

15. Destinatari e responsabili del trattamento

I destinatari dei dati personali sono esclusivamente: il nostro provider di hosting (Hetzner), il nostro provider e-mail, Stripe (elaborazione dei pagamenti), Have I Been Pwned (confronto fughe di dati), Microsoft (statistiche dei visitatori, solo con consenso) nonché – nell'ambito delle pratiche da Lei affidate – le rispettive controparti (ad es. commercianti di dati, gestori di elenchi, inserzionisti) a cui inviamo a Suo nome richieste di accesso, opposizione o cancellazione. Con i fornitori di servizi esistono contratti di responsabile del trattamento ai sensi dell'art. 28 GDPR. Non avviene alcuna trasmissione a fini pubblicitari.

16. Durata della conservazione e cancellazione

• Dati dell'account: fino all'eliminazione dell'account; poi 30 giorni di tolleranza, quindi cancellazione definitiva.
• Pratiche, occorrenze e giustificativi: fino a 3 anni dalla chiusura della pratica, quindi cancellazione automatizzata tramite job di cancellazione pianificati; su richiesta prima.
• Dati di fatturazione e pagamento: 10 anni ai sensi del § 147 AO e del § 257 HGB.
• Stato del consenso (zds_consent): 6 mesi. Dati statistici presso Microsoft Clarity: al massimo 13 mesi.
• Risposte sulle fughe di dati memorizzate temporaneamente: 7 giorni. Tentativi di accesso falliti: 30 giorni. Log del server: 14 giorni.
• Documenti da Lei eliminati: 30 giorni di tolleranza, poi rimozione definitiva.
• Prove di identità e di rappresentanza della richiesta di accesso ai dati: fino alla chiusura del ciclo, al massimo 90 giorni, poi 7 giorni di tolleranza. Atti di procura: 3 anni come prova dell'incarico.

17. Sicurezza

Adottiamo misure tecniche e organizzative ai sensi dell'art. 32 GDPR: cifratura del trasporto (TLS, HSTS), cifratura dei campi particolarmente sensibili (segreti a due fattori, risultati delle fughe di dati, testi OCR) con AES-256-GCM, hash delle password Argon2id, sessioni lato server, protezione CSRF, Content Security Policy, limitazione della frequenza, servizi di sistema rafforzati, rigorosa separazione dei clienti, backup giornalieri cifrati e test di ripristino regolari. Data la particolare sensibilità dei dati sui risultati e sulle fughe di dati, prima dell'avvio dell'attività è stata effettuata una valutazione d'impatto sulla protezione dei dati ai sensi dell'art. 35 GDPR.

18. I Suoi diritti

Ha diritto di accesso (art. 15 GDPR), rettifica (art. 16), cancellazione (art. 17), limitazione del trattamento (art. 18), portabilità dei dati (art. 20) nonché di opposizione ai trattamenti basati sull'art. 6 par. 1 lett. f GDPR (art. 21). Può revocare in qualsiasi momento, con effetto per il futuro, i consensi prestati. A tal fine si rivolga a kontakt@zentrale-datenschutzstelle.de. Ha inoltre il diritto di proporre reclamo a un'autorità di controllo per la protezione dei dati (art. 77 GDPR), in particolare al Garante per la protezione dei dati del Land competente per il Suo domicilio o per la nostra sede.

19. Nessun processo decisionale automatizzato

La classificazione del rischio delle occorrenze e delle segnalazioni di fughe di dati serve esclusivamente alla Sua informazione e alla definizione delle priorità. Non ha luogo alcuna decisione automatizzata con effetti giuridici ai sensi dell'art. 22 GDPR.

20. Modifiche

Adeguiamo la presente informativa sulla privacy quando cambiano i nostri servizi o il quadro giuridico. La versione di volta in volta aggiornata è consultabile all'indirizzo https://zentrale-datenschutzstelle.de/datenschutz.

Aggiornato al: 12.09.2026