DefenceLevel
Informativa sulla privacy
Quali dati personali trattiamo, perché, con chi, per quanto tempo e quali sono i tuoi diritti. Raccogliamo il minimo indispensabile per far funzionare il servizio: niente pubblicità, niente profilazione, niente strumenti di analisi del comportamento.
1. Titolare del trattamento
SCARAFILE Consulting S.R.L., Piața Victoriei 4, ap. 9C, 300006 Timișoara, Romania · Partita IVA RO42858116 · Registro delle imprese J35/2040/2020.
Per qualsiasi domanda o richiesta sui tuoi dati: privacy@defencelevel.com.
2. Quali dati trattiamo
| Dati | Da dove arrivano | A cosa servono |
|---|---|---|
| Indirizzo email | Lo inserisci tu per attivare la prova | Creare l'account, inviarti il link di accesso, il briefing, gli avvisi e le comunicazioni sul servizio e sull'abbonamento |
| Lingua preferita | La lingua del sito al momento dell'iscrizione, o quella che scegli nella dashboard | Scriverti nella tua lingua |
| Prodotti e produttori che indichi in My Defence (la tua infrastruttura), le note che scrivi sulle zone e le tue scelte su briefing e avvisi via email | Li inserisci tu, se vuoi, nella pagina My Defence della dashboard | Mostrarti quali voci del briefing riguardano i tuoi prodotti e inviarti solo le email che hai scelto |
| Stato dell'abbonamento | Generato dal servizio e da Stripe | Sapere se sei in prova, abbonato o se l'abbonamento è terminato; date di fine prova e di rinnovo |
| Codici cliente e abbonamento Stripe | Stripe | Collegare il tuo account ai pagamenti. Non vediamo né conserviamo i dati della carta |
| Dati di fatturazione (nome, indirizzo e, se acquisti per un'azienda, ragione sociale e partita IVA) | Li inserisci nella pagina di pagamento di Stripe | Emettere le fatture e applicare l'IVA corretta |
| Registro delle email inviate | Generato dal servizio e da Resend | Sapere quali email ti sono state inviate e se sono state consegnate, per evitare doppioni e ritentare quelle non recapitate; per briefing e avvisi, anche la tua scelta di My Defence in quel momento, per verificare che le email partano come hai scelto |
| Data e ora dell'ultima attività sul sito con il tuo account, con il paese (ricavato dall'indirizzo IP, che non viene salvato) e il tipo di dispositivo (computer, telefono o tablet) | Registrati dal servizio quando usi il sito con l'accesso aperto (dashboard, pagine, esportazioni), al massimo una volta ogni 10 minuti; restano solo gli ultimi | Sapere se il servizio viene usato anche sul sito, oltre alle email, per migliorarlo |
| Ingressi nell'account: data e ora, browser, sistema operativo, tipo di dispositivo (computer, telefono o tablet) e paese (ricavato dall'indirizzo IP, che non viene salvato) | Registrati dal servizio ogni volta che entri con un link di accesso o di conferma | Mostrarti nella pagina Account gli ingressi recenti, così puoi riconoscere un accesso che non è tuo e scollegare gli altri dispositivi |
| Secondo indirizzo per gli avvisi: l'indirizzo email di una persona che indichi tu (per esempio un collega o la casella della tua squadra), con lo stato della sua conferma | Lo inserisci tu, se vuoi, nella pagina Account; la persona indicata conferma con il link che le mandiamo | Mandarle una copia degli avvisi DEFCON 1 e 2 che ricevi tu, solo dopo la sua conferma |
| Impronta dell'indirizzo email (un codice calcolato dall'indirizzo, da cui l'indirizzo non si può ricostruire) | Generata dal servizio quando elimini l'account dopo aver usato la prova gratuita | Non concedere una seconda prova gratuita allo stesso indirizzo |
| Dati tecnici di connessione (indirizzo IP, tipo di browser, orario) | Registrati automaticamente dai server che ospitano il sito | Sicurezza e funzionamento tecnico del sito |
| Messaggi che ci scrivi | Tu, via email | Risponderti |
| Statistiche di visita: pagina vista, data e ora, paese (ricavato dall'indirizzo IP, che non viene salvato), sito o campagna di provenienza, lingua e tipo di dispositivo, con un codice anonimo che cambia ogni giorno | Generate dal sito quando guardi una pagina per qualche secondo o la usi, senza cookie | Sapere quante persone visitano il sito e da dove arrivano, per migliorarlo e capire quali canali funzionano |
| Provenienza dell'iscrizione (per esempio LinkedIn o un motore di ricerca, la campagna, il paese e la pagina da cui ti sei iscritto) | Generata dal servizio quando ti iscrivi, dalla visita in cui ti iscrivi | Capire quali canali portano iscritti |
| Tentativi di iscrizione: data e ora, esito, paese (ricavato dall'indirizzo IP, che non viene salvato), dominio dell'indirizzo email (la parte dopo la @, mai l'indirizzo) ed esito del controllo anti-bot | Generati dal servizio a ogni invio del modulo di iscrizione, o di quello di accesso con un indirizzo non iscritto | Proteggere il servizio dalle iscrizioni automatiche e dall'invio di email a indirizzi di altre persone |
| Controllo anti-bot (Vercel BotID): una prova automatica che il browser calcola dalle sue caratteristiche tecniche quando invii il modulo di iscrizione o di accesso, senza cookie e senza salvare nulla nel browser | Il tuo browser, sulle pagine con quei moduli; la verifica la fa Vercel, il fornitore che ospita il sito | Riconoscere le richieste dei programmi automatici; per ora se ne registra solo l'esito, senza bloccare nulla |
I dati della carta (numero, scadenza, codice di sicurezza) li inserisci direttamente nelle pagine di Stripe e li tratta solo Stripe: noi non li vediamo. Da Stripe riceviamo l'esito dei pagamenti e i dati di fatturazione indicati sopra.
Non trattiamo categorie particolari di dati (salute, opinioni, origine, ecc.). Gli unici dati sui tuoi sistemi sono quelli che scegli di indicare in My Defence (produttori, prodotti e note sulle zone): è facoltativo, e senza di loro il servizio funziona lo stesso, con tutte le email.
3. Finalità e basi giuridiche
| Finalità | Base giuridica |
|---|---|
| Fornire il servizio: account, accesso, briefing, avvisi, dashboard | Esecuzione del contratto (art. 6.1.b GDPR) |
| Gestire prova, abbonamento, pagamenti e relative comunicazioni | Esecuzione del contratto (art. 6.1.b) |
| Personalizzare dashboard ed email con i prodotti che indichi in My Defence | Esecuzione del contratto (art. 6.1.b), su tua richiesta |
| Riconoscere i nomi che aggiungi in My Defence e che il nostro catalogo non conosce: li cerchiamo, senza nessun dato su di te, nelle schede pubbliche delle vulnerabilità e nel National Vulnerability Database (NVD) del NIST; se esistono, entrano nel catalogo con il nome ufficiale | Esecuzione del contratto (art. 6.1.b), su tua richiesta |
| Emettere le fatture e conservare i documenti contabili e fiscali | Obbligo di legge (art. 6.1.c) |
| Proteggere il sito e il servizio da abusi e attacchi; verificare che le email arrivino | Legittimo interesse a un servizio sicuro e funzionante (art. 6.1.f) |
| Impedire che la prova gratuita venga usata più volte con lo stesso indirizzo | Legittimo interesse a offrire la prova una sola volta per persona (art. 6.1.f) |
| Rispondere ai tuoi messaggi e alle richieste sui tuoi diritti | Esecuzione del contratto o misure precontrattuali; obbligo di legge per le richieste GDPR |
| Misurare le visite al sito e la provenienza delle iscrizioni, in forma anonima o con il minimo di dati | Legittimo interesse a conoscere e migliorare il proprio sito (art. 6.1.f) |
| Capire se il servizio viene usato anche sul sito, oltre alle email (data e ora dell'ultima attività) | Legittimo interesse a migliorare il servizio (art. 6.1.f) |
| Mostrarti gli ingressi recenti nel tuo account e permetterti di scollegare gli altri dispositivi | Legittimo interesse alla sicurezza del tuo account e del servizio (art. 6.1.f) |
| Mandare le copie degli avvisi al secondo indirizzo che indichi | Esecuzione del contratto con te (art. 6.1.b) e consenso della persona indicata, dato con il link di conferma (art. 6.1.a), che può revocare in qualsiasi momento dal link in fondo a ogni copia |
Il conferimento dell'indirizzo email è necessario per la conclusione e l'esecuzione del contratto: senza di esso non possiamo fornirti il servizio. I dati di fatturazione sono necessari per emettere le fatture, come previsto dalla normativa fiscale.
Non usiamo i tuoi dati per pubblicità, non li vendiamo e non li cediamo a terzi per finalità proprie. Non prendiamo decisioni automatizzate che ti riguardino: il livello DEFCON è calcolato sulle vulnerabilità pubbliche, non sulle persone.
4. A chi affidiamo i dati
Usiamo fornitori che trattano i dati per nostro conto, come responsabili del trattamento, sulla base di accordi conformi all'art. 28 GDPR:
| Fornitore | Cosa fa | Dove |
|---|---|---|
| Vercel Inc. | Ospita il sito e le funzioni del servizio | Stati Uniti; funzioni del servizio nell'Unione europea (Irlanda), pagine dalla rete globale |
| Supabase Pte. Ltd. (Singapore) | Database del servizio | Unione europea (Irlanda) |
| Resend (Plus Five Five, Inc.) | Invio delle email del servizio | Stati Uniti; invio tramite infrastruttura nell'Unione europea (Irlanda) |
| OVHcloud (OVH Hosting Limited, Irlanda) | Casella di posta che riceve i messaggi inviati agli indirizzi @defencelevel.com | Unione europea (Francia) |
Stripe (Stripe Payments Europe, Limited, Irlanda) gestisce i pagamenti come titolare autonomo dei dati di pagamento, secondo la propria informativa privacy.
Il servizio usa anche strumenti che non ricevono dati personali: il monitoraggio del funzionamento (Healthchecks.io), il National Vulnerability Database del NIST, a cui chiediamo solo nomi di prodotti, e l'API di Anthropic, con cui l'intelligenza artificiale scrive e verifica i testi del servizio partendo dai soli dati pubblici delle vulnerabilità: non riceve mai i dati degli iscritti, né quelli di My Defence.
Per i fornitori con sede negli Stati Uniti, il trasferimento avviene sulla base dell'EU-US Data Privacy Framework, dove il fornitore vi aderisce, o delle clausole contrattuali standard approvate dalla Commissione europea. Supabase ha sede a Singapore, che non ha una decisione di adeguatezza: il trasferimento avviene sulla base delle clausole contrattuali standard del suo accordo sul trattamento dei dati, e il database resta nell'Unione europea (Irlanda).
5. Per quanto tempo conserviamo i dati
| Dati | Durata |
|---|---|
| Iscrizione mai confermata (indirizzo email a cui abbiamo mandato il link di conferma, senza che sia stato usato) | Cancellata automaticamente dopo 3 giorni, insieme alle email inviate; resta solo il conteggio del tentativo, senza l'indirizzo |
| Account senza un abbonamento attivo (prova scaduta, abbonamento terminato, accesso gratuito finito) | Conservato finché non lo elimini dalla dashboard o non ci chiedi di cancellarlo: non lo cancelliamo in automatico, così puoi riprendere il servizio quando vuoi |
| Account eliminato da te dalla dashboard | Cancellato subito, insieme ai dati collegati |
| Registro delle email inviate | Cancellato insieme all'account |
| Prodotti, note e scelte di My Defence | Finché non li togli dalla pagina My Defence; cancellati subito se elimini l'account. Nelle copie di sicurezza del database restano, cifrati, fino alla loro scadenza (al massimo 7 giorni) |
| Data, ora, paese e dispositivo dell'ultima attività | Sostituiti a ogni nuova attività; cancellati insieme all'account |
| Ingressi nell'account | 90 giorni; cancellati subito se elimini l'account |
| Secondo indirizzo per gli avvisi | Finché non lo togli dalla pagina Account o non elimini l'account; se la persona smette di ricevere le copie, resta solo per mostrartelo, finché non lo togli |
| Impronta dell'indirizzo email di chi elimina l'account dopo aver usato la prova | Cancellata automaticamente dopo 24 mesi |
| Documenti contabili e fiscali | Per il periodo richiesto dalla legge rumena |
| Dati tecnici di connessione | Per il periodo limitato previsto dal fornitore di hosting, ai soli fini di sicurezza e funzionamento |
| Messaggi email | Per il tempo necessario a gestire la richiesta e i suoi seguiti |
| Statistiche di visita dettagliate | 90 giorni; poi restano solo totali giornalieri anonimi (per pagina, provenienza, paese e dispositivo) |
| Codice anonimo dei visitatori | Il valore segreto che lo genera cambia ogni giorno e quello del giorno prima viene cancellato: il codice non si può ricollegare a te, né fra giorni diversi |
| Provenienza dell'iscrizione | Insieme all'account |
| Tentativi di iscrizione | 12 mesi |
6. Cookie e memoria del browser
Il sito usa tre cookie tecnici: is_session, che mantiene l'accesso alla dashboard dopo che hai usato il link ricevuto via email (dura al massimo 30 giorni, si cancella quando esci e smette di valere su tutti gli altri dispositivi quando li scolleghi dalla pagina Account); dl-auth, che non contiene dati e indica soltanto che hai un accesso aperto, così le pagine pubbliche mostrano il collegamento alla dashboard (dura al massimo 30 giorni e si cancella quando esci); e dl-lang, che ricorda la lingua che hai scelto dal selettore, così la pagina principale si apre in quella lingua (dura 12 mesi). La scelta della lingua è salvata anche nella memoria locale del browser, insieme a quella del tema chiaro o scuro e, se lo chiudi, all'invito a configurare My Defence. Se non hai scelto una lingua, la pagina principale usa quella indicata dal tuo browser.
Se scegli il tema chiaro o scuro con il pulsante in alto, la scelta resta salvata solo nel tuo browser (memoria locale, voce dl-theme): non ci viene inviata e puoi cancellarla in qualsiasi momento dalle impostazioni del browser.
Non usiamo cookie di profilazione, pubblicitari o di statistica, né strumenti di terze parti che ti tracciano. Le statistiche di visita descritte sopra non usano cookie e non salvano nulla nel tuo browser: per questo il sito non mostra un banner sui cookie (quelli tecnici non richiedono consenso). Se il tuo browser invia il segnale Global Privacy Control o Do Not Track, la tua visita non viene registrata.
7. I tuoi diritti
In qualsiasi momento puoi chiedere di:
- accedere ai tuoi dati e riceverne una copia;
- correggerli se sono inesatti;
- cancellarli (l'account e i dati collegati, salvo quelli che la legge ci obbliga a conservare);
- limitarne il trattamento o opporti ai trattamenti basati sul legittimo interesse;
- riceverli in un formato strutturato e leggibile da un computer (portabilità).
Puoi anche scaricare una copia dei tuoi dati (in un file JSON) ed eliminare l'account da solo, in qualsiasi momento, dalla pagina Account della dashboard, con i pulsanti «Scarica una copia» ed «Elimina l'account».
Scrivi a privacy@defencelevel.com dall'indirizzo email del tuo account: rispondiamo entro un mese. Puoi scegliere in My Defence quali email ricevere, sospenderle tutte dalla pagina Account o dal link in fondo a ogni email, oppure disdire l'abbonamento dalla dashboard.
Hai inoltre il diritto di presentare reclamo all'autorità di controllo: in Romania l'Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP, www.dataprotection.ro), oppure l'autorità del Paese in cui vivi o lavori (in Italia il Garante per la protezione dei dati personali).
8. Sicurezza
L'accesso al servizio avviene senza password, con link firmati, a uso singolo e a scadenza breve. Nella pagina Account vedi gli ultimi ingressi nel tuo account e puoi scollegare con un clic tutti gli altri dispositivi. Il database è in un centro dati dell'Unione europea, con accesso limitato e connessioni cifrate. Se scopri un problema di sicurezza nei nostri sistemi, segui la pagina Segnalazioni di sicurezza.
La lista dei prodotti che indichi in My Defence descrive la tua infrastruttura e la trattiamo come riservata: la usiamo solo per mostrarti e inviarti quello che ti riguarda, non la condividiamo con nessuno e non la usiamo per altri scopi. Un nome che il nostro catalogo non conosce lo cerchiamo da solo, senza nessun dato su di te o sulla tua azienda: se esiste, entra nel catalogo con il nome ufficiale, uguale per tutti; se non esiste, gli altri iscritti non lo vedono.
Nel database produttori, prodotti e note di My Defence sono cifrati (AES-256-GCM) con una chiave che il database non contiene: chi accedesse al solo database, a una sua copia di sicurezza o a una sua esportazione vedrebbe solo testo cifrato. Il servizio li decifra solo in memoria, per mostrarteli e per scegliere briefing e avvisi. Nell'area di amministrazione del servizio non compaiono i tuoi prodotti né le tue note, solo quanti prodotti e quante zone ha un account; i controlli con intelligenza artificiale che rivedono briefing e avvisi possono leggere solo i dati pubblici delle vulnerabilità. I dettagli sono nella pagina Come proteggiamo i dati di My Defence.
9. Minori
Il servizio non è destinato ai minori di 18 anni e non raccogliamo consapevolmente dati che li riguardano.
10. Modifiche a questa informativa
Se cambiamo il modo in cui trattiamo i dati, aggiorniamo questa pagina e la data in alto; se il cambiamento è rilevante, lo comunichiamo per email agli utenti interessati prima che entri in vigore.