1. Perché questo avviso
Questa pagina descrive i trattamenti di dati personali connessi a Signal.DCS, lo strumento di autovalutazione dell’esposizione a rischi normativi e di sicurezza raggiungibile all’indirizzo https://www.signaldcs.com. Per i dati tecnici di connessione si veda il par. 3; per i cookie si rinvia alla Cookie Policy pubblicata sullo stesso sito.
2. Titolare del trattamento
DataConSec S.r.l., con sede legale in Viale Fratti 56, 43121 Parma, P.IVA e C.F. 02470920345, nella persona del Legale Rappresentante pro tempore. Per ogni richiesta relativa ai dati personali: privacy@dataconsec.com.
3. Come funziona Signal.DCS: nessun dato per iniziare
L’assessment si compila senza fornire alcun dato identificativo. Le risposte (settore, dimensione, ruolo nella filiera e domande sui presìdi di sicurezza e conformità) descrivono l’organizzazione, non una persona. Durante la compilazione le risposte restano nel browser dell’utente, dove viene calcolato anche il punteggio: il report è mostrato a schermo senza che le risposte siano trasmesse ai server della piattaforma o registrate. Al termine l’utente può scaricare il report in formato PDF: il file è generato nel browser e salvato sul dispositivo dell’utente, senza che risposte o report siano trasmessi o conservati dalla piattaforma.
Le risposte vengono trasmesse, registrate e associate a un dato identificativo solo se l’utente invia il modulo di contatto. Chi esce senza inviarlo non fornisce dati identificativi e le sue risposte non vengono conservate.
Come per qualsiasi sito web, i fornitori che erogano e proteggono Signal.DCS (Lovable Labs Incorporated e Cloudflare, Inc., indicati al par. 4.1) trattano l’indirizzo IP e i dati tecnici di connessione del dispositivo per instradare le richieste e proteggere il servizio da abusi e attacchi informatici, sulla base del legittimo interesse del Titolare alla sicurezza del sito (art. 6, par. 1, lett. f GDPR). Questi dati non sono associati alle risposte all’assessment e restano nei log tecnici dei fornitori per il tempo strettamente necessario a tali finalità. La raccolta e la registrazione delle scelte sui cookie sono affidate a Usercentrics A/S (Cookiebot), Havnegade 39, 1058 Copenaghen, Danimarca, responsabile del trattamento ex art. 28 GDPR, come descritto nella Cookie Policy.
4. Trattamenti, finalità e basi giuridiche
4.1 Richiesta di contatto
| Elemento | Contenuto |
|---|---|
Dati trattati | Nome e cognome, azienda, email, ruolo; risposte all’assessment e report, associati al contatto al momento dell’invio del modulo. |
Finalità e base giuridica | Dare seguito alla richiesta di essere ricontattati per una call di approfondimento sull’esito dell’assessment: misure precontrattuali adottate su richiesta dell’interessato (art. 6, par. 1, lett. b GDPR). Le comunicazioni promozionali avvengono solo sulla base del consenso di cui al par. 4.2. |
Destinatari | I dati sono trattati da personale interno autorizzato e istruito (art. 29 GDPR) e dai fornitori nominati responsabili del trattamento ex art. 28 GDPR, direttamente o quali ulteriori responsabili: • PubliAdige S.r.l. unipersonale, titolare del marchio Zeep!, Corso Porta Nuova 67, 37121 Verona, P.IVA e C.F. 01651350231: sviluppo software, manutenzione e supporto tecnico della piattaforma, nonché gestione, per conto del Titolare e tramite account intestati a Zeep!, dei servizi Google Ads, Google Analytics 4 e Google Tag Manager descritti nella Cookie Policy; • Lovable Labs Incorporated, 1 Lincoln St, Boston, MA 02111, Stati Uniti: piattaforma applicativa e hosting del codice e del database, con database ubicato nell’Unione europea (Francoforte, Germania, su infrastruttura Supabase) e sub-fornitori di infrastruttura cloud stabiliti nell’Unione europea, nel Regno Unito e negli Stati Uniti, il cui elenco aggiornato è pubblicato da Lovable all’indirizzo https://trust.lovable.dev/subprocessors; • Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, Stati Uniti: rete edge, instradamento sicuro e protezione perimetrale (WAF/DDoS); • Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, Stati Uniti: invio a DataConSec delle notifiche interne di nuova richiesta di contatto, con instradamento dall’Unione europea (Irlanda). Nessuna diffusione, nessuna cessione o comunicazione a terzi per scopi propri. |
Trasferimenti extra-UE | Il database della piattaforma è ubicato nell’Unione europea. Alcuni dei fornitori sopra indicati sono stabiliti in paesi terzi e possono trattare i dati dagli Stati Uniti o dal Regno Unito. I trasferimenti verso Cloudflare, Inc. e Plus Five Five, Inc. avvengono in forza della decisione di adeguatezza della Commissione europea sull’EU-U.S. Data Privacy Framework (decisione di esecuzione (UE) 2023/1795), cui entrambi i fornitori hanno aderito, e in subordine delle clausole contrattuali tipo adottate dalla Commissione (decisione di esecuzione (UE) 2021/914); i trasferimenti verso Lovable Labs Incorporated e i suoi sub-fornitori negli Stati Uniti avvengono sulla base delle medesime clausole contrattuali tipo; i trattamenti nel Regno Unito avvengono in forza della decisione di adeguatezza della Commissione europea relativa al Regno Unito (decisione di esecuzione (UE) 2021/1772, come modificata dalla decisione di esecuzione (UE) 2025/2574). Copia delle garanzie è disponibile su richiesta a privacy@dataconsec.com. |
Conservazione | 12 mesi dall’ultima interazione, poi cancellazione o anonimizzazione irreversibile. Se al contatto segue un rapporto contrattuale, i dati confluiscono nei trattamenti ad esso relativi, con le informative del caso. |
Conferimento | Facoltativo. In mancanza, non è possibile dare seguito alla richiesta di contatto; il report resta consultabile a schermo e scaricabile in PDF. |
4.2 Newsletter e comunicazioni promozionali
| Elemento | Contenuto |
|---|---|
Dati trattati | Indirizzo email, nome, azienda e ruolo forniti con il modulo di contatto, insieme alla scelta espressa sulla casella newsletter (data e ora, testo mostrato, punto di raccolta). |
Finalità e base giuridica | Invio via email di aggiornamenti su temi di conformità e sicurezza (newsletter, inviti a eventi e webinar, novità sui servizi DataConSec). Il trattamento si fonda sul consenso facoltativo dell’interessato (art. 6, par. 1, lett. a, GDPR), espresso spuntando l'apposita casella non preselezionata del modulo di contatto. Chi non seleziona la casella non riceverà alcuna comunicazione promozionale. Il servizio di newsletter può essere attivato anche in un momento successivo alla raccolta del consenso (entro il termine massimo di 12 mesi sotto indicato); fino ad allora i dati restano memorizzati nel CRM senza alcun invio. La prima email inviata ricorderà quando e come è stato prestato il consenso e come revocarlo. Il consenso è revocabile in ogni momento, senza pregiudicare la liceità del trattamento anteriore, cliccando sul link di disiscrizione (unsubscribe) in calce a ogni email o scrivendo a privacy@dataconsec.com (utilizzabile anche prima dell’avvio degli invii). La revoca interrompe immediatamente gli invii successivi. |
Destinatari e trasferimenti | Personale interno autorizzato e istruito (art. 29 GDPR). I contatti e la scelta espressa sono memorizzati nel CRM proprietario integrato nella piattaforma Signal.DCS, che si avvale della stessa infrastruttura e degli stessi fornitori indicati al par. 4.1, con database ubicato nell’Unione europea; per i trasferimenti extra-UE valgono le garanzie ivi descritte. DataConSec non utilizza al momento piattaforme esterne di email marketing e non comunica i contatti a terzi per questa finalità. Qualora in futuro l’invio sia affidato a un fornitore esterno, questo sarà nominato responsabile del trattamento ex art. 28 GDPR e la presente informativa sarà aggiornata prima dell’avvio degli invii; in ogni caso solo i contatti che hanno prestato il consenso potranno essere trasferiti a tale strumento. |
Conservazione | 1. Mancato avvio: Se entro la scadenza del termine di conservazione della richiesta di contatto (12 mesi dall’ultima interazione, par. 4.1) il servizio di newsletter non è ancora stato avviato, il consenso decade e i dati vengono cancellati insieme a quelli della richiesta. 2. Servizio avviato: Se gli invii iniziano entro tale termine, nome, azienda, email e ruolo sono conservati nel CRM fino alla revoca del consenso e comunque non oltre 24 mesi dall'avvio o dall’ultima interazione, anche oltre il termine del par. 4.1 (mentre le risposte all’assessment e i report seguono in ogni caso i termini di cancellazione del par. 4.1). |
Conferimento | Facoltativo: il mancato consenso non limita in alcun modo l’uso di Signal.DCS, il download del report o il riscontro alla richiesta di contatto. |
4.3 Statistiche di settore
Le risposte registrate a seguito della richiesta di contatto (par. 4.1) possono contribuire, prima della loro cancellazione, a statistiche aggregate per settore, calcolate solo su gruppi di almeno 30 assessment. L’aggregazione è irreversibile e dai dati aggregati non è possibile risalire né a una persona né a una singola organizzazione. I dati aggregati non costituiscono dati personali.
5. Come viene calcolato il punteggio
Il report è generato automaticamente a partire dalle risposte fornite, con un punteggio di esposizione (Exposure Score) da 0 a 100 articolato su sette aree tematiche (Governance dei sistemi di IA, Formazione e competenze, Protezione dei dati, Rischio cyber e governance della sicurezza, Continuità e resilienza, Incidenti e risposta, Terze parti e filiera). Il punteggio finale combina per il 60% la media pesata dei punteggi delle singole aree, con pesi parametrati al settore indicato, e per il 40% il punteggio dell’area a maggiore criticità, e classifica il livello di esposizione in quattro fasce orientative (Basso 0-44, Moderato 45-59, Alto 60-74, Critico 75-100).
Il risultato ha carattere puramente orientativo di autovalutazione: non costituisce una perizia né una certificazione di conformità, riguarda l’organizzazione e non le persone fisiche, non comporta alcuna profilazione dell’utente e non produce decisioni con effetti giuridici o significativi sull’interessato (non ricorre l’ipotesi dell’art. 22 GDPR).
6. Diritti dell’interessato
In ogni momento l’interessato può esercitare i diritti previsti dagli artt. 15-21 GDPR: accesso ai propri dati, rettifica, cancellazione, limitazione del trattamento, portabilità, opposizione al trattamento, anche per finalità di marketing diretto, e revoca del consenso prestato. Le richieste vanno rivolte a privacy@dataconsec.com; il riscontro è fornito entro un mese, prorogabile nei casi previsti dall’art. 12, par. 3 GDPR. Resta fermo il diritto di proporre reclamo al Garante per la protezione dei dati personali (art. 77 GDPR, www.garanteprivacy.it) o di adire l’autorità giudiziaria.
7. Aggiornamenti
Il presente documento costituisce l’informativa privacy di Signal.DCS ed è soggetto ad aggiornamenti; la versione vigente e la data di ultima modifica sono sempre consultabili a questo indirizzo. Le versioni precedenti sono disponibili su richiesta.