Informativa sulla Privacy

QReportly ("Piattaforma" o "Fornitore") attribuisce importanza fondamentale alla protezione dei dati personali e alla riservatezza delle persone che utilizzano i suoi servizi.

La presente Informativa sulla Privacy si applica a: (i) trattamenti effettuati dal Fornitore quale Titolare del trattamento per le proprie attività (account amministratore, fatturazione, supporto); (ii) trattamenti effettuati dal Fornitore quale Responsabile del trattamento (Processor) per conto dei Clienti, relativamente ai dati inclusi nelle segnalazioni e nelle operazioni del canale interno di segnalazione.

Per il canale pubblico di segnalazione accessibile ai segnalanti, il Fornitore applica misure tecniche e organizzative avanzate di minimizzazione dei dati, dettagliate nelle sezioni dedicate di seguito.

Per quanto riguarda i dati personali contenuti nelle segnalazioni trasmesse tramite canale interno, nei report, nei messaggi, nei file allegati e nei metadati operativi associati alla gestione dei casi, il Cliente — Persona Giuridica registrata — agisce quale Titolare del trattamento (Data Controller).

QReportly agisce strettamente quale Responsabile del trattamento (Data Processor / Fornitore tecnico), trattando i dati esclusivamente sulla base delle istruzioni documentate del Cliente, al fine di erogare i servizi contrattualizzati e nei limiti della presente Informativa e dell'Accordo di Utilizzo.

Per i dati propri degli account amministratore, i dati di fatturazione e le comunicazioni commerciali, il Fornitore agisce quale Titolare del trattamento indipendente, con obbligo di fornire agli interessati le informazioni previste dal GDPR.

In base alle modalità di utilizzo della Piattaforma, possono essere trattate le seguenti categorie di dati:

La Piattaforma è strutturalmente progettata per non raccogliere, registrare o conservare indirizzi IP, dati di geolocalizzazione o impronte digitali del browser (browser fingerprinting) dei segnalanti che accedono al canale pubblico di segnalazione.

Questa architettura di minimizzazione mira a ridurre il rischio di reidentificazione dei segnalanti che scelgono la segnalazione anonima e a supportare il Cliente nell'adempimento degli obblighi legali di riservatezza.

Il Fornitore non utilizza tecnologie di tracciamento comportamentale, profilazione pubblicitaria o analytics invasivi all'interno del flusso di segnalazione destinato ai segnalanti. Eventuali strumenti analitici applicati al sito pubblico di presentazione sono separati dal canale sicuro delle segnalazioni.

Tutti i file allegati alle segnalazioni (documenti PDF, DOCX, immagini PNG/JPG/JPEG) sono sottoposti a un processo automatico di pulizia crittografica dei metadati al momento del caricamento, inclusi, a titolo esemplificativo e non esaustivo: dati EXIF delle immagini, informazioni sull'autore del documento, proprietà embedded, timestamp di modifica e altri elementi che potrebbero facilitare una reidentificazione involontaria.

Il processo di sanitizzazione avviene prima della memorizzazione definitiva dei file nell'infrastruttura della Piattaforma. Il Cliente è responsabile di valutare se le informazioni rimanenti nel contenuto visibile dei documenti siano adeguate allo scopo dell'indagine.

I file che non possono essere elaborati in sicurezza o che superano i limiti tecnici stabiliti possono essere rifiutati automaticamente, senza conservazione del contenuto originale.

Il Fornitore applica rigorose policy di conservazione e cancellazione automatica, progettate per limitare l'esposizione dei dati oltre i periodi necessari all'erogazione del servizio e alla conformità legale.

In qualità di Responsabile del trattamento, il Fornitore tratta i dati delle segnalazioni sulla base del contratto concluso con il Cliente (art. 6, par. (1), lett. b GDPR) e degli obblighi legali applicabili ai fornitori di servizi cloud (art. 6, par. (1), lett. c GDPR, ove applicabile).

In qualità di Titolare per gli account di amministrazione, le basi includono: esecuzione del contratto; legittimo interesse relativo alla sicurezza della Piattaforma e prevenzione delle frodi; obblighi legali contabili e fiscali; consenso, ove esplicitamente richiesto (es. comunicazioni di marketing — se attivate).

Gli interessati beneficiano dei diritti previsti dal GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e diritto a non essere soggetti a una decisione basata unicamente sul trattamento automatizzato, nei limiti di legge.

Per i dati contenuti nelle segnalazioni, le richieste di esercizio dei diritti devono essere indirizzate in primo luogo al Cliente, in qualità di Titolare del trattamento. Il Fornitore assisterà il Cliente, in misura ragionevole e secondo contratto, nel soddisfacimento di tali richieste.

Per i dati trattati dal Fornitore come Titolare (account amministratore, fatturazione), le richieste possono essere inviate all'indirizzo di contatto indicato alla fine del presente documento. Il Fornitore risponderà nei termini previsti dal GDPR.

Gli interessati hanno il diritto di proporre reclamo all'autorità di controllo competente nello Stato membro di residenza abituale, del luogo di lavoro o del luogo della presunta violazione.

Il Fornitore implementa misure tecniche e organizzative adeguate per proteggere i dati, tra cui: cifratura in transito (TLS), controlli di accesso basati sui ruoli, isolamento logico tra workspace, monitoraggio di sicurezza, procedure di risposta agli incidenti e backup cifrati in infrastruttura ospitata nell'Unione Europea.

Nessun sistema può garantire sicurezza assoluta. In caso di incidente di sicurezza che interessi i dati dei Clienti, il Fornitore notificherà il Cliente senza ingiustificato ritardo, in conformità agli obblighi contrattuali e legali applicabili.

Il Fornitore può avvalersi di sub-responsabili per hosting, elaborazione pagamenti, consegna e-mail o sicurezza, con l'obbligo di imporre loro garanzie contrattuali equivalenti a quelle previste dal GDPR.

I dati sono ospitati prevalentemente nell'Unione Europea. Se alcuni servizi di terzi comportano trasferimenti al di fuori dello SEE, il Fornitore utilizzerà meccanismi di trasferimento riconosciuti (Clausole Contrattuali Standard, decisioni di adeguatezza o altre garanzie consentite dal GDPR).

Il Fornitore può aggiornare la presente Informativa per riflettere evoluzioni legislative, tecniche o operative. La versione corrente è pubblicata sulla Piattaforma, con la data di aggiornamento.

In caso di modifiche sostanziali, il Cliente sarà informato tramite canali ragionevoli (notifica nel dashboard o e-mail). L'uso continuato dei servizi dopo l'entrata in vigore costituisce accettazione degli aggiornamenti, nei limiti consentiti dalla legge.