Informativa privacy

Questa informativa spiega come Mokka Studios tratta i dati personali di chi visita il sito di Epic Assess, compila il self-assessment, prenota una demo o usa la piattaforma. È resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del D.Lgs. 196/2003 («Codice privacy»).

Non trattiamo tutti i dati per conto nostro. Quando un’azienda cliente inserisce dati sul proprio personale, sui fornitori o sui clienti, oppure ne produce usando la piattaforma, li trattiamo per suo conto: lo spieghiamo nella sezione 2.

I cookie e le altre tecnologie di memorizzazione nel browser sono descritti nell’informativa sui cookie.

Indice

1. Chi è il titolare del trattamento

Mokka Studios [DA COMPLETARE: forma societaria (dal VIES risulta S.r.l.: da confermare)]
Via Antonio Locatelli 4, 20124 Milano
P.IVA 12283950967

Epic Assess è un prodotto di Mokka Studios.

Contatti. Email [DA COMPLETARE: indirizzo email per le richieste sulla privacy], PEC [DA COMPLETARE: indirizzo PEC].

[DA COMPLETARE: nomina del Responsabile della protezione dei dati (RPD) e relativi contatti, oppure conferma che non è stato designato]

2. Quando trattiamo i dati per noi e quando per i nostri clienti

Siamo titolari del trattamento (sezione 3) per il sito, il self-assessment, le demo, le credenziali e l’accesso di tutti gli utenti della piattaforma, la sicurezza degli accessi e i log tecnici, i dati di account, contratto e fatturazione, e le comunicazioni commerciali.

Per i dati che la tua azienda inserisce o produce usando la piattaforma — il personale, i fornitori, i clienti, gli incidenti, i documenti, la formazione, il registro delle attività, i messaggi all’assistente — il titolare è l’azienda cliente, e noi siamo responsabili del trattamento ai sensi dell’art. 28 GDPR: li trattiamo solo per fornire il servizio e secondo le sue istruzioni.

Per questi dati è l’azienda cliente a dover informare le persone interessate. Le condizioni contrattuali del nostro ruolo sono fissate in [DA COMPLETARE: riferimento all’accordo sul trattamento dei dati (DPA) ai sensi dell’art. 28 GDPR]; vedi anche i Termini di servizio. Questi dati sono descritti nella sezione 4.

3. I dati che trattiamo per noi

Per ogni attività qui sotto ti diciamo quali dati trattiamo, perché, su quale base giuridica e se conferirli è obbligatorio o facoltativo. La tabella della sezione 5 riassume tutto.

3.1 Navigazione sul sito

Quando visiti il sito o usi la piattaforma, i server registrano i dati tecnici delle richieste: indirizzo IP, data e ora, pagina richiesta e dati del browser, come per qualsiasi servizio web.

Il sito non usa strumenti di analisi del traffico, di profilazione o pubblicitari.

Usiamo questi dati tecnici per far funzionare il sito, mantenerlo sicuro e diagnosticare eventuali errori, sulla base del nostro legittimo interesse a far funzionare e proteggere il sito (art. 6, par. 1, lett. f) GDPR). Per i tempi di conservazione vedi la sezione 9.

3.2 Self-assessment e report

Il questionario riguarda la tua azienda — settore, dimensione, fatturato — non te come persona.

Se sei un’impresa individuale o un professionista, i dati dell’azienda possono riferirsi anche a te.

Per calcolare l’esito, le risposte passano dai nostri server ma non vengono salvate. Le salviamo solo se chiedi il report, insieme ai dati di contatto che inserisci.

Mentre rispondi, le risposte restano nella memoria della scheda del browser, che si svuota quando la chiudi.

Se chiedi il report, conserviamo nome, cognome, email aziendale e nome dell’azienda (obbligatori) e, se lo indichi, il numero di telefono, insieme alle risposte, all’esito e al report generato.

Senza i dati obbligatori non possiamo preparare il report; il telefono è facoltativo.

Il report resta consultabile a un indirizzo web univoco: chi conosce quell’indirizzo può aprirlo, quindi condividilo solo con chi vuoi.

Usiamo questi dati per preparare il report e metterlo a tua disposizione, in esecuzione di una tua richiesta (art. 6, par. 1, lett. b) GDPR).

Se nel modulo chiedi di essere ricontattato, usiamo email e telefono per illustrarti l’esito. Le comunicazioni commerciali le inviamo solo con il tuo consenso facoltativo (sezione 3.6). [DA COMPLETARE: modalità con cui, nel modulo del report, chiedi di essere ricontattato (oggi il modulo non la prevede)]

Oggi i dati di chi chiede il report restano nel nostro database e non vengono trasferiti a strumenti esterni di gestione dei contatti.

3.3 Prenotazione di una demo

In alcune pagine puoi prenotare una demo tramite un calendario fornito da Cal.com e integrato nella pagina. I dati li inserisci direttamente nel modulo di Cal.com ([DA COMPLETARE: dati richiesti dal modulo di prenotazione di Cal.com]); noi li usiamo per organizzare la chiamata e risponderti, perché il trattamento è necessario all’esecuzione di misure precontrattuali adottate su tua richiesta (art. 6, par. 1, lett. b) GDPR).

Ruolo di Cal.com: [DA COMPLETARE: ruolo di Cal.com nel trattamento (responsabile o titolare autonomo) e account Cal.com da cui sono gestite le demo].

Quello che Cal.com carica nel browser è descritto nell’informativa sui cookie.

3.4 Registrazione, account e contratto

Se ti registri direttamente, ci servono ragione sociale, partita IVA (facoltativa), nome e cognome del referente, email di accesso e password.

La password non viene mai conservata in chiaro: la conserviamo solo in forma cifrata non reversibile, nel servizio di autenticazione e, per il tempo necessario ad attivare un acquisto online, nel nostro database.

Il tuo account può anche essere creato dall’amministratore della tua organizzazione o da un consulente che la gestisce sulla piattaforma, indicando nome, email e ruolo: in questo caso i dati provengono dalla tua organizzazione o dal suo consulente. Gestiamo queste credenziali come titolari, sulla base del nostro legittimo interesse (art. 6, par. 1, lett. f) GDPR) a fornire al cliente il servizio contrattato e a far accedere solo gli utenti autorizzati.

Se il pagamento avviene online, è Stripe a gestirlo e non riceviamo i dati della carta. La fatturazione e la conservazione dei documenti contabili e fiscali rispondono a un obbligo di legge (art. 6, par. 1, lett. c) GDPR).

Usiamo i dati di chi si registra o sottoscrive il servizio per creare e gestire l’account, fornire il servizio e inviare le comunicazioni relative al contratto, sulla base del contratto (art. 6, par. 1, lett. b) GDPR). Per gli account creati dall’amministratore o da un consulente vale il legittimo interesse indicato sopra; la fatturazione si basa sull’obbligo di legge appena richiamato.

3.5 Accessi e sicurezza

Ogni accesso alla piattaforma, riuscito o no, viene registrato con l’indirizzo email usato, l’esito, l’indirizzo IP, la data e l’ora.

Usiamo queste registrazioni e i log tecnici dei server sulla base del nostro legittimo interesse a proteggere gli account e a ricostruire gli accessi (art. 6, par. 1, lett. f) GDPR). Gli stessi eventi compaiono anche nel registro delle attività della tua organizzazione (sezione 4.6).

3.6 Comunicazioni commerciali

Ti inviamo novità sulle scadenze NIS2, guide e aggiornamenti di prodotto solo con il tuo consenso facoltativo e revocabile (art. 6, par. 1, lett. a) GDPR e art. 130 Codice privacy), che puoi dare per esempio con la casella in fase di registrazione. Rifiutare non ha alcuna conseguenza sul servizio. Puoi revocare il consenso in qualsiasi momento scrivendo a [DA COMPLETARE: indirizzo email per le richieste sulla privacy] o tramite il link per disiscriverti presente in ogni messaggio.

4. I dati che trattiamo per conto dei clienti

L’azienda cliente decide cosa inserire e perché. Se sei una delle persone i cui dati vengono trattati in questo modo, è l’azienda cliente a doverti fornire l’informativa, ed è al cliente che vanno rivolte per prime le tue richieste (sezione 11).

4.1 Utenti e persone dell’organizzazione

Delle persone della tua organizzazione trattiamo nome, cognome, qualifica, email, unità organizzativa, stato della formazione, dispositivi collegati e appartenenza agli organi di amministrazione; questi dati si possono importare ed esportare in blocco tramite CSV.

Trattiamo anche i nominativi indicati per i ruoli NIS2 — referente NIS, responsabile della sicurezza, referente CSIRT, organo di amministrazione — e i dati del punto di contatto con l’Agenzia per la cybersicurezza nazionale (ACN) e del suo sostituto: nome, ruolo, email e telefono.

Questi dati sono visibili agli utenti abilitati della tua organizzazione e al consulente che l’organizzazione abbia eventualmente collegato al proprio spazio.

4.2 Fornitori, clienti e destinatari dei questionari

Trattiamo nome, ruolo, telefono ed email dei referenti di fornitori e clienti, i link di invito inviati a questi referenti e le risposte date attraverso le pagine del questionario raggiunte tramite link, con la data di apertura dell’invito, i solleciti inviati e il punteggio delle risposte.

Verifichiamo anche la partita IVA dei fornitori sul servizio VIES della Commissione europea.

4.3 Documenti, evidenze e incidenti

I file caricati e i testi liberi possono contenere dati personali: l’azienda cliente dovrebbe caricare solo quanto necessario ed evitare categorie particolari di dati (art. 9 GDPR), salvo quando indispensabile. Le richieste di evidenza indicano la persona a cui sono assegnate. I file sono conservati in un archivio privato.

L’approvazione di un documento registra chi lo approva e quando. La firma nella piattaforma è simulata: registra il nome indicato come firmatario, la data e un’impronta abbreviata del testo calcolata con SHA-256. Non è una firma elettronica avanzata né qualificata ai sensi del Regolamento (UE) n. 910/2014 (eIDAS).

4.4 Formazione

Trattiamo le iscrizioni, le lezioni completate, le risposte e i punteggi dei quiz, e gli attestati intestati a chi li ottiene.

Nei corsi, il punteggio dei quiz è calcolato automaticamente e determina il rilascio dell’attestato. I progressi (corsi completati e in corso, percentuali, punti e posizione in classifica) sono visibili agli utenti della tua organizzazione abilitati alla piattaforma.

4.5 Assistente in piattaforma

I messaggi scambiati con l’assistente sono salvati nello spazio della tua organizzazione, associati a chi li ha scritti, e sono visibili agli altri utenti della stessa organizzazione che aprono l’assistente.

Come produciamo le risposte: vedi la sezione 6.

4.6 Registro delle attività

Le azioni rilevanti — generazione e approvazione di documenti, esportazioni, notifiche di incidenti, inviti ai fornitori, completamento delle scadenze — e gli accessi vengono annotati nel registro delle attività della tua organizzazione.

Il registro è consultabile ed esportabile dagli utenti della tua organizzazione abilitati alla piattaforma, con indirizzo email, indirizzo IP, esito e data.

Il registro conserva l’indirizzo email di chi ha compiuto un’azione anche dopo che il suo account è stato eliminato.

4.7 Email inviate dalla piattaforma

Quando la piattaforma invia email — inviti e solleciti ai fornitori, richieste di evidenze — registriamo destinatario, oggetto ed esito registrato dell’invio; queste informazioni compaiono anche nei log tecnici dei server.

Queste informazioni restano anche dopo che i dati collegati sono stati cancellati. Fornitore del servizio di invio: [DA COMPLETARE: fornitore del servizio di invio email].

5. Basi giuridiche in sintesi

Riassumiamo qui le finalità dei trattamenti, la base giuridica di ciascuna e se conferire i dati sia obbligatorio o facoltativo. L’ultima riga riguarda i dati che trattiamo per conto dei clienti.

6. Calcoli automatici, proposte e intelligenza artificiale

La classificazione del self-assessment e le scadenze sono calcolate da regole fisse: a parità di dati il risultato è sempre lo stesso. Anche il livello di un rischio è calcolato con una regola fissa, a partire dai valori di probabilità e impatto inseriti o confermati nella piattaforma. Queste regole valutano l’azienda e i suoi obblighi, non le persone.

Alcune funzioni — le risposte dell’assistente in piattaforma, la stesura di bozze di policy e documenti, le proposte sulla rilevanza delle attività e su probabilità e impatto dei rischi, i metadati proposti per le evidenze caricate — usano un modello di intelligenza artificiale fornito da Anthropic. Per queste funzioni inviamo al fornitore le informazioni necessarie a produrre la risposta: il testo dei messaggi e la cronologia recente delle conversazioni della tua organizzazione con l’assistente, i dati dell’azienda e, quando servono, titoli e date di scadenze, incidenti e documenti, nomi di processi, asset, fornitori e unità organizzative, il nome dei file caricati come evidenze e i nomi delle persone indicate come responsabili (per esempio referente NIS, responsabile della sicurezza, titolari degli asset). Per rispondere, il modello può svolgere ricerche sul web tramite il fornitore. Se cambieremo fornitore o i dati inviati, aggiorneremo questa informativa prima del cambiamento. [DA COMPLETARE: ruolo di Anthropic come sub-responsabile, accordo ai sensi dell’art. 28 GDPR, luogo del trattamento e garanzie per il trasferimento verso gli Stati Uniti, tempi di conservazione presso il fornitore ed eventuale uso dei dati per addestrare i modelli]

Le proposte sulla rilevanza delle attività e sui rischi si applicano solo quando le confermi. I documenti generati restano bozze finché non vengono approvati. I metadati proposti per un’evidenza caricata vengono precompilati e puoi correggerli in qualsiasi momento.

Non prendiamo decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici su di te o che incidano in modo analogo significativamente sulla tua persona (art. 22 GDPR).

L’unica valutazione automatica che riguarda le persone è il punteggio dei quiz di formazione (sezione 4.4): è l’azienda cliente a decidere se adottarlo e come usarlo.

7. A chi comunichiamo i dati

Non vendiamo i tuoi dati a nessuno. I destinatari sono:

• i dipendenti e i collaboratori di Mokka Studios autorizzati al trattamento e vincolati alla riservatezza. Il personale autorizzato di Mokka Studios può accedere allo spazio di un cliente per assistenza: l’avvio di ogni accesso è annotato nel registro delle attività del cliente, con l’indicazione dell’operatore. [DA COMPLETARE: conferma che le azioni svolte durante un accesso di assistenza sono attribuite all’operatore e non all’utente del cliente] [DA COMPLETARE: condizioni alle quali il personale di Mokka Studios accede allo spazio di un cliente per assistenza];
• i consulenti che un’azienda cliente collega al proprio spazio: anche l’avvio di questi accessi è annotato nel registro delle attività del cliente;
• i fornitori dei servizi che usiamo per il sito e la piattaforma, elencati nella tabella qui sotto.

Alcuni fornitori trattano i dati per nostro conto, altri come titolari autonomi:

[DA COMPLETARE: ruolo di ciascun fornitore (responsabile o titolare autonomo) e conferma degli accordi ai sensi dell’art. 28 GDPR]

[DA COMPLETARE: eventuali altri fornitori che trattano dati personali]

Infine, comunichiamo la partita IVA dei fornitori al servizio VIES della Commissione europea per verificarla (è un servizio pubblico indipendente) e comunichiamo i dati alle autorità pubbliche quando la legge lo prevede.

8. Trasferimenti fuori dallo Spazio economico europeo

Abbiamo scelto regioni dell’Unione europea per il database, l’autenticazione, l’archivio dei file e i server applicativi. [DA COMPLETARE: conferma della regione UE effettiva dei servizi di produzione (database, autenticazione e archivio dei file; server applicativi)]

Alcuni fornitori possono trattare dati fuori dallo Spazio economico europeo, in particolare il fornitore di intelligenza artificiale (sezione 6) e il servizio che ospita il sito, le cui funzioni server possono essere eseguite negli Stati Uniti. [DA COMPLETARE: regione in cui sono eseguite le funzioni server del sito ospitato su Vercel e garanzie per il trasferimento]

[DA COMPLETARE: verifica, per Vercel, Railway, Supabase, Anthropic, Cal.com, Stripe, Google, YouTube, Vimeo e il servizio email, di trasferimenti fuori dallo SEE (anche per accesso da remoto o assistenza) e delle garanzie adottate]

Quando un trasferimento avviene, si basa su una decisione di adeguatezza della Commissione europea o sulle altre garanzie previste dall’art. 46 GDPR, di cui puoi ottenere copia scrivendo a [DA COMPLETARE: indirizzo email per le richieste sulla privacy].

9. Per quanto tempo conserviamo i dati

Conserviamo i dati solo per il tempo necessario alla finalità per cui li trattiamo, poi li cancelliamo o li rendiamo anonimi.

10. Come proteggiamo i dati

• i dati di ogni azienda cliente sono separati logicamente: ogni richiesta alla piattaforma è limitata all’organizzazione dell’utente, salvo gli accessi dei consulenti autorizzati dal cliente e gli accessi di assistenza (sezione 7);
• ruoli assegnati agli utenti, che limitano l’accesso a una parte delle funzioni;
• registro degli accessi e delle azioni rilevanti;
• connessioni cifrate (TLS) tra browser, server e database;
• i file caricati sono conservati in un archivio privato e si possono scaricare solo attraverso la piattaforma, dopo un controllo dei permessi;
• le password non sono mai conservate in chiaro (sezione 3.4);
• [DA COMPLETARE: conferma della cifratura dei dati archiviati presso il fornitore del database].

11. I tuoi diritti

Diritto di opposizione. Puoi opporti in qualsiasi momento, per motivi legati alla tua situazione particolare, ai trattamenti basati sul nostro legittimo interesse; alle comunicazioni commerciali puoi opporti sempre, senza motivarlo.

• Accesso. Puoi ottenere conferma che sia in corso un trattamento dei tuoi dati, accedervi e riceverne una copia (art. 15).
• Rettifica. Puoi chiedere la correzione di dati inesatti o il completamento di dati incompleti (art. 16).
• Cancellazione. Puoi chiedere la cancellazione dei tuoi dati (art. 17), salvo che la conservazione sia necessaria per un obbligo di legge o per difendere un diritto (art. 17, par. 3).
• Limitazione. Puoi chiedere di limitare il trattamento in determinati casi (art. 18).
• Portabilità. Puoi ricevere i tuoi dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e chiederne la trasmissione diretta a un altro titolare, se tecnicamente fattibile; il diritto vale per i dati che ci hai fornito e che trattiamo con mezzi automatizzati sulla base del contratto o del consenso (art. 20).
• Revoca del consenso. Puoi revocare in qualsiasi momento un consenso che ci hai dato, senza pregiudicare la liceità del trattamento svolto prima della revoca (art. 7, par. 3).
• Decisioni automatizzate. Hai diritto di non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici che ti riguardano o che incida in modo analogo significativamente sulla tua persona (art. 22).

Per esercitare questi diritti scrivi a [DA COMPLETARE: indirizzo email per le richieste sulla privacy]. Rispondiamo senza ingiustificato ritardo e comunque entro un mese; per richieste complesse possiamo prolungare il termine di due mesi, spiegandotene il motivo (art. 12, par. 3). Potremmo chiederti informazioni per verificare la tua identità.

Per i dati trattati per conto di un cliente (sezione 4), rivolgiti prima al cliente. Se scrivi a noi, inoltriamo la richiesta al cliente e lo assistiamo nel risponderti (art. 28, par. 3, lett. e) GDPR).

Hai diritto di proporre reclamo al Garante per la protezione dei dati personali — www.garanteprivacy.it (si apre in una nuova scheda) — o all’autorità di controllo dello Stato membro dell’Unione europea in cui vivi o lavori.

12. Minori

Il servizio è pensato per imprese e professionisti e non è rivolto a chi ha meno di 18 anni. Non raccogliamo consapevolmente dati di minori; se dovesse succedere, scrivici a [DA COMPLETARE: indirizzo email per le richieste sulla privacy] e li cancelliamo.

13. Siti e servizi di terze parti

I siti esterni a cui rimandano i nostri link — per esempio il portale dell’Agenzia per la cybersicurezza nazionale, www.acn.gov.it (si apre in una nuova scheda) — hanno proprie informative, che valgono per quei siti.

I servizi integrati nelle nostre pagine (Cal.com, i video delle lezioni, Google Maps) sono descritti nell’informativa sui cookie.

14. Modifiche a questa informativa

Questa informativa può cambiare quando cambiano il servizio o la normativa. La data in testa alla pagina indica l’ultimo aggiornamento; le modifiche rilevanti le comunichiamo anche ai clienti.

15. Contatti

Mokka Studios [DA COMPLETARE: forma societaria (dal VIES risulta S.r.l.: da confermare)]
Via Antonio Locatelli 4, 20124 Milano
[DA COMPLETARE: indirizzo email per le richieste sulla privacy]
[DA COMPLETARE: indirizzo PEC]