Informativa sulla Privacy

a) Dati del Cliente (l'organizzazione)

• Dati dell'account — l'indirizzo e-mail della persona designata, il nome dell'organizzazione.
• Chiave pubblica di crittografia — generata e archiviata per la crittografia E2E delle segnalazioni.
• Comunicazioni — il contenuto delle e-mail inviate al nostro indirizzo, richieste di supporto.

b) Dati del segnalante

c) Dati raccolti automaticamente (solo dashboard)

• Dati tecnici — indirizzo IP, tipo di browser (solo per gli utenti autenticati nel dashboard).
• Cookie di sessione — in conformità alla Politica sui Cookie.

• Fornitura dei Servizi — creazione e gestione dell'account, gestione del canale di segnalazione, crittografia e archiviazione delle segnalazioni.
• Comunicazioni di servizio — notifiche su nuove segnalazioni, scadenza dei termini legali, aggiornamenti della Piattaforma.
• Sicurezza — protezione dell'infrastruttura, rilevamento di utilizzo abusivo, prevenzione di accessi non autorizzati.
• Conformità legale — adempimento degli obblighi di legge (Direttiva (UE) 2019/1937, GDPR, legislazione fiscale).

Non vendiamo, noleggiamo né condividiamo i dati personali degli utenti con terzi per finalità di marketing.

Trattiamo i dati personali sulle seguenti basi giuridiche (art. 6 GDPR):

• Dati dell'account — per la durata dell'account e fino a 30 giorni dopo la richiesta di cancellazione.
• Segnalazioni crittografate — in conformità alla politica di conservazione del Cliente e agli obblighi della Direttiva (UE) 2019/1937 (minimo 5 anni dalla data della segnalazione).
• Dati tecnici (dashboard) — massimo 12 mesi dalla raccolta.
• Comunicazioni e richieste di supporto — massimo 3 anni dall'ultima comunicazione.
• Dati di fatturazione — 10 anni in conformità alla legislazione fiscale rumena (Legge n. 82/1991).

I dati personali possono essere consultati o trattati dai seguenti sub-responsabili:

Per i trasferimenti di dati al di fuori del SEE, ci avvaliamo delle Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea.

Importante: Il contenuto delle segnalazioni è crittografato E2E e non è accessibile ad alcun sub-responsabile.

Ai sensi del GDPR, Lei ha i seguenti diritti:

• Diritto di accesso (art. 15) — ottenere una copia dei dati personali trattati.
• Diritto di rettifica (art. 16) — correggere i dati inesatti o incompleti.
• Diritto alla cancellazione (art. 17) — cancellare i dati nei casi previsti dalla legge.
• Diritto di limitazione del trattamento (art. 18) — limitare il trattamento in determinate situazioni.
• Diritto alla portabilità dei dati (art. 20) — ricevere i dati in un formato strutturato (JSON/CSV).
• Diritto di opposizione (art. 21) — opporsi al trattamento basato sull'interesse legittimo.
• Diritto di revocare il consenso (art. 7) — revocare il consenso in qualsiasi momento.
• Diritto di non essere sottoposto a una decisione automatizzata (art. 22) — inclusa la profilazione.

Per esercitare i Suoi diritti, invii un'e-mail a contact@whistle-box.eu con oggetto «Richiesta GDPR WhistleBox».

Implementiamo misure tecniche e organizzative adeguate per proteggere i dati personali:

• Crittografia end-to-end (E2E) del contenuto delle segnalazioni.
• Crittografia in transito (TLS 1.2+) per tutte le comunicazioni con il server.
• Le password vengono archiviate utilizzando algoritmi di hashing sicuri (bcrypt con salt).
• Accesso limitato ai database e all'infrastruttura, secondo il principio del privilegio minimo.
• Server ubicati nell'Unione Europea (Hetzner Online GmbH, Germania).
• Backup regolari e crittografati.
• Monitoraggio continuo degli accessi e delle anomalie.
• Autenticazione tramite token JWT a durata limitata.
• Le pagine di segnalazione (/r/) non impostano cookie e non raccolgono dati di identificazione.

Il Gestore può aggiornare la presente politica periodicamente. Gli Utenti saranno informati tramite e-mail e/o mediante un annuncio sulla Piattaforma almeno 15 giorni prima dell'entrata in vigore delle modifiche significative.