Accordo sul trattamento dei dati (DPA)
Ultimo aggiornamento: 29 settembre 2026
Quando un'organizzazione usa WhistleVault, è lei il titolare dei dati delle segnalazioni. Il fornitore della piattaforma li tratta per suo conto come responsabile del trattamento, ai sensi dell'art. 28 del Regolamento (UE) 2016/679. L'accordo che regola questo rapporto fa parte del contratto di fornitura e si firma insieme a esso. Qui ne riassumiamo i contenuti.
Oggetto del trattamento
Hosting, manutenzione, backup e assistenza della piattaforma di segnalazione, per la durata del contratto. I dati sono il contenuto delle segnalazioni e degli allegati, conservato cifrato, ed eventuali dati identificativi forniti dal segnalante. Gli interessati sono i segnalanti e le persone coinvolte nelle segnalazioni.
Cosa si impegna a fare il fornitore
- Trattare i dati solo su istruzione documentata dell'organizzazione cliente.
- Vincolare alla riservatezza le persone autorizzate ad accedere all'infrastruttura.
- Adottare le misure di sicurezza dell'art. 32, descritte più sotto.
- Ricorrere a sub-responsabili solo con l'autorizzazione del cliente, imponendo loro gli stessi obblighi.
- Assistere il cliente nel rispondere alle richieste degli interessati e negli adempimenti degli artt. 32-36.
- Notificare al cliente ogni violazione dei dati senza ingiustificato ritardo.
- A fine contratto, cancellare o restituire i dati, a scelta del cliente.
- Mettere a disposizione le informazioni che dimostrano la conformità e consentire gli audit.
Misure tecniche e organizzative
- Contenuti cifrati nel browser del segnalante (libsodium, Curve25519 e XSalsa20-Poly1305): il server conserva solo testo cifrato e non detiene le chiavi per leggerlo.
- Connessioni solo in HTTPS.
- Nessun indirizzo IP, account o dato di navigazione del segnalante registrato.
- Accessi per ruolo e doppia autenticazione disponibile per i gestori.
- Registro delle attività senza contenuti delle segnalazioni.
- Istanza e database dedicati a ogni cliente, su server in Unione europea.
- Backup cifrati ogni notte, conservati in Unione europea, con test di ripristino mensile.
- Cancellazione automatica dei dati alla scadenza della conservazione concordata.
Sub-responsabili e trasferimenti
Le istanze dei clienti sono ospitate su server in Unione europea. L'elenco aggiornato dei sub-responsabili è allegato all'accordo. Trasferimenti fuori dall'Unione europea non sono previsti; se mai fossero necessari, avverrebbero solo con le garanzie del Capo V del Regolamento e dopo l'autorizzazione del cliente.
In caso di violazione dei dati
Il fornitore contiene l'incidente e avvisa il cliente senza ingiustificato ritardo, indicando la natura della violazione, le categorie e i volumi di dati coinvolti, le misure adottate e un contatto tecnico. Il cliente, come titolare, valuta con il proprio DPO la notifica al Garante entro 72 ore e la comunicazione agli interessati.
Come riceverlo
Il testo completo dell'accordo, con l'allegato delle misure e l'elenco dei sub-responsabili, arriva insieme alla proposta contrattuale. Puoi chiederlo in anticipo a demo@whistlevault.cloud.