Informativa sulla privacy

1. Titolare del trattamento

Titolare del trattamento ai sensi del GDPR:

Erle-IT
Titolare: Lennart Erhard
Obere Bahnhofstraße 9
85604 Zorneding
Tel.: +49 8106 928 9493
E-mail: security@plugthebug.de

Per domande sulla protezione dei dati, richieste di accesso e opposizioni può contattarci direttamente all’indirizzo security@plugthebug.de.

2. In sintesi

• Questo sito web non imposta cookie e non memorizza nulla nel suo browser.
• Non utilizziamo servizi di tracciamento, di analisi o di marketing e non integriamo contenuti di fornitori terzi (nessun font esterno, nessuna mappa, nessun video).
• I dati dei moduli non vengono raccolti in una banca dati sul sito web, ma ci vengono trasmessi via e-mail. Le eccezioni (link di conferma, prove del consenso, protezione dagli abusi) sono descritte di seguito.

3. Hosting e log del server

Questo sito web è gestito su un server proprio, ospitato presso Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Hetzner mette a disposizione esclusivamente l’infrastruttura server e, in qualità di fornitore di servizi di data center, è responsabile del trattamento ai sensi dell’art. 28 GDPR. Il server si trova in Germania.

Quando accede al sito web, il suo browser trasmette automaticamente al server i seguenti dati:

• indirizzo IP del computer che effettua la richiesta
• data e ora dell’accesso
• nome e URL del file richiamato
• URL di provenienza (referrer, sito web visitato in precedenza)
• browser e sistema operativo utilizzati

Questi dati vengono memorizzati nei file di log del server e cancellati automaticamente al più tardi dopo 14 giorni. I contenuti dei moduli non vengono registrati; i log degli errori dei moduli non contengono dati personali. La base giuridica è l’art. 6, par. 1, primo comma, lett. f) GDPR (legittimo interesse alla sicurezza operativa e alla diagnosi degli errori).

4. Crittografia SSL/TLS

Per motivi di sicurezza e per proteggere la trasmissione, questo sito web utilizza una crittografia SSL/TLS. Una connessione crittografata si riconosce dal fatto che la barra degli indirizzi del browser inizia con «https://».

5. Modulo di contatto e contatto via e-mail

Se ci contatta tramite il modulo di contatto o via e-mail, trattiamo i dati da lei trasmessi (nome, azienda, indirizzo e-mail, sito web, facoltativamente numero di telefono, oggetto e messaggio) per evadere la sua richiesta. Il messaggio viene trasmesso in forma crittografata e inoltrato via e-mail alla nostra casella di posta (vedi sezione 12); sul sito web stesso non viene memorizzato.

La base giuridica è l’art. 6, par. 1, primo comma, lett. b) GDPR, se la sua richiesta riguarda i nostri servizi (misure precontrattuali), altrimenti l’art. 6, par. 1, primo comma, lett. f) GDPR (legittimo interesse a rispondere alle richieste). I dati vengono cancellati non appena non sono più necessari per il conseguimento della finalità, al più tardi alla scadenza dei termini legali di conservazione.

Non le inviamo alcuna conferma di ricezione automatica. Se nel modulo di contatto ha anche spuntato un consenso alla pubblicità, le inviamo esclusivamente per questo un’e-mail di conferma senza il contenuto del suo messaggio (vedi sezione 10).

6. Richiesta di controllo con double opt-in

Tramite il modulo di controllo «Richieda un controllo gratuito del suo sito web» può inviare una richiesta non vincolante. In tale contesto trattiamo: indirizzo del sito web, azienda, nome, indirizzo e-mail, facoltativamente pacchetto desiderato e numero di telefono, nonché l’indicazione di quali accettazioni e consensi ha spuntato.

Dopo l’invio le mandiamo un’e-mail di conferma (double opt-in). Essa contiene solo il dominio da controllare, un link di conferma ed eventualmente il testo del consenso alla pubblicità da lei prestato. Fino alla conferma memorizziamo i suoi dati in un’area protetta del nostro server, al di fuori della directory web pubblica. Il link è valido 48 ore e può essere utilizzato una sola volta. Se non conferma, i dati vengono cancellati allo scadere delle 48 ore; in tal caso non viene inoltrato nulla e non viene registrato alcun consenso.

Dopo la conferma inoltriamo la richiesta via e-mail alla nostra casella di posta e la inseriamo, per l’elaborazione, in una coda interna sul nostro server. Inoltre memorizziamo come prova il momento della richiesta e della conferma, il suo indirizzo e-mail, le caselle spuntate, la versione del testo del consenso e delle Condizioni generali, nonché il suo indirizzo IP in forma pseudonimizzata (come HMAC con una chiave segreta, non in chiaro).

La base giuridica è l’art. 6, par. 1, primo comma, lett. b) GDPR (misure precontrattuali adottate su sua richiesta). Memorizziamo la prova della conferma e dell’accettazione delle Condizioni generali sulla base dell’art. 6, par. 1, primo comma, lett. f) GDPR (legittimo interesse a poter documentare lo svolgimento). Se non si giunge alla conclusione di un contratto, cancelliamo i dati della richiesta non appena non sono più necessari; per le prove del consenso si veda la sezione 10.

7. Protezione dagli abusi e limitazione delle richieste

Per evitare che i moduli vengano utilizzati in modo abusivo da sistemi automatizzati, utilizziamo un campo invisibile per le persone (honeypot) e un controllo temporale: un piccolo script annota nel modulo il momento in cui la pagina è stata caricata e scarta le richieste inviate in meno di tre secondi. In questo modo non viene memorizzato nulla nel suo browser.

Inoltre limitiamo il numero di richieste per indirizzo IP e per dominio controllato. A tal fine non memorizziamo il suo indirizzo IP in chiaro, ma solo come valore HMAC con una chiave segreta che cambia ogni giorno. Queste voci vengono cancellate dopo 24 ore. La base giuridica è l’art. 6, par. 1, primo comma, lett. f) GDPR (legittimo interesse alla sicurezza del nostro servizio e alla prevenzione degli abusi).

8. Esecuzione dei controlli e report

Se ci affida l’incarico, richiamiamo regolarmente dall’esterno il sito web da lei indicato e analizziamo solo contenuti e configurazioni pubblicamente raggiungibili. In tale contesto possono essere trattati anche dati personali pubblicati sul sito web (ad esempio nomi e dati di contatto nelle note legali). Dai risultati redigiamo rilievi e report che inviamo all’indirizzo e-mail concordato.

I report vengono redatti con il supporto dell’intelligenza artificiale.

Servizio di IA: per l’analisi supportata dall’intelligenza artificiale (i nostri sistemi «Prüfy» e «Meldy») utilizziamo il modello linguistico Grok tramite l’interfaccia di programmazione di SpaceX Super Intelligence LLC («SpaceXSI», in precedenza xAI), USA. Il rappresentante nell’UE ai sensi dell’art. 27 GDPR è Lionheart Squared (Europe) Ltd, 2 Pembroke House, Upper Pembroke Street 28-32, Dublin, D02 EK84, Irlanda. Vengono trattati i contenuti e i risultati delle misurazioni del sito web controllato, il dominio e l’indirizzo e-mail a cui deve essere inviato il report, nonché i dati personali pubblicati sul sito web. Il fornitore tratta i dati in qualità di responsabile del trattamento sulla base di un contratto ai sensi dell’art. 28 GDPR. Il trattamento avviene negli USA; il trasferimento è tutelato dalle clausole contrattuali tipo della Commissione UE (modulo 2) ai sensi dell’art. 46, par. 2, lett. c) GDPR. Secondo le condizioni contrattuali del fornitore, i contenuti trasmessi non vengono utilizzati per l’addestramento di modelli di IA e vengono cancellati al più tardi 30 giorni dopo il trattamento.

La base giuridica è l’art. 6, par. 1, primo comma, lett. b) GDPR (esecuzione del contratto). Conserviamo fatture e documenti rilevanti ai fini fiscali ai sensi dell’art. 6, par. 1, primo comma, lett. c) GDPR nell’ambito degli obblighi legali di conservazione. Memorizziamo report e dati dei controlli per la durata del rapporto contrattuale e successivamente li cancelliamo, salvo che sussistano obblighi legali di conservazione.

9. E-mail di segnalazione alle imprese

Se su un sito web aziendale pubblicamente raggiungibile notiamo rilievi di sicurezza significativi, inviamo all’impresa che lo gestisce un’unica e-mail di segnalazione senza pubblicità (invio tramite il nostro sistema di segnalazione «Meldy»). Forniamo le seguenti informazioni ai sensi dell’art. 14 GDPR, poiché non abbiamo raccolto i dati presso di lei.

• Quali dati: dominio e nome dell’impresa, l’indirizzo e-mail di contatto ed eventualmente un nome ivi indicato, nonché i rilievi relativi al sito web.
• Origine: l’indirizzo proviene da fonti pubblicamente accessibili del sito web controllato stesso, ossia dal file security.txt (un file in cui i gestori di siti web indicano un indirizzo di contatto per le segnalazioni di sicurezza) oppure dalle note legali (Impressum).
• Finalità: un’unica segnalazione di rilievi di sicurezza significativi. Se lei risponde, controlliamo di nuovo il sito web gratuitamente.
• Base giuridica: art. 6, par. 1, primo comma, lett. f) GDPR. Il nostro legittimo interesse e quello dell’impresa consistono nel richiamare l’attenzione su rischi per la sicurezza riconoscibili prima che vengano sfruttati.
• Opposizione: può opporsi in qualsiasi momento a ulteriori segnalazioni ai sensi dell’art. 21 GDPR, rispondendo all’e-mail di segnalazione o scrivendo a security@plugthebug.de. In tal caso inseriamo il dominio e l’indirizzo in una lista di blocco, affinché lei non riceva ulteriori segnalazioni. Conserviamo la lista di blocco per il tempo necessario a tale finalità.
• Destinatari: analizziamo i rilievi con il servizio di IA indicato nella sezione 8.
• Durata di conservazione: conserviamo le e-mail di segnalazione e i relativi rilievi per 12 mesi dall’invio e successivamente li cancelliamo. Se si è opposto, resta conservata solo la voce nella lista di blocco.

Maggiori informazioni, anche per le destinatarie e i destinatari di un’e-mail di questo tipo: Ha ricevuto un’e-mail di segnalazione?

10. Pubblicità via e-mail o per telefono con consenso

Se nel modulo di controllo o nel modulo di contatto ha spuntato un consenso alla pubblicità, la informiamo via e-mail o per telefono sui pacchetti di controllo PlugTheBug, sui servizi di Consulting e sui servizi di sicurezza informatica e per siti web di Erle-IT. Il consenso è facoltativo e non è un presupposto per un controllo. Diventa efficace solo quando lei apre il link contenuto nell’e-mail di conferma e invia la conferma (double opt-in).

La base giuridica è il suo consenso ai sensi dell’art. 6, par. 1, primo comma, lett. a) GDPR in combinato disposto con il § 7 UWG (legge tedesca contro la concorrenza sleale). Può revocarlo in qualsiasi momento con effetto per il futuro, tramite il link di disiscrizione presente in ogni e-mail pubblicitaria o via e-mail a security@plugthebug.de. La revoca non pregiudica la liceità del trattamento effettuato fino a quel momento.

Con la revoca la pubblicità cessa immediatamente. Conserviamo successivamente la prova del consenso (momento della richiesta e della conferma, indirizzo e-mail, versione del testo «einwilligung-v2», indirizzo IP pseudonimizzato) e la data della revoca per altri tre anni, per poter dimostrare che la pubblicità era lecita e per poterci difendere da eventuali pretese. La base giuridica è l’art. 6, par. 1, primo comma, lett. f) GDPR.

11. Pubblicità ai clienti esistenti

Se sottoscrive un pacchetto a pagamento, utilizziamo l’indirizzo e-mail ottenuto in tale occasione per informarla occasionalmente su altri pacchetti di controllo PlugTheBug e sui servizi di Consulting (§ 7, comma 3, UWG). La base giuridica è l’art. 6, par. 1, primo comma, lett. f) GDPR; il nostro legittimo interesse consiste nell’informare i clienti esistenti su servizi propri analoghi. Può opporsi in qualsiasi momento senza sostenere costi diversi da quelli di trasmissione secondo le tariffe di base: tramite il link di disiscrizione presente in ognuna di queste e-mail o via e-mail a security@plugthebug.de.

12. Invio e ricezione di e-mail

Le e-mail automatiche di questo sito web (e-mail di conferma del double opt-in, inoltro delle richieste confermate alla nostra casella di posta) vengono inviate tramite una casella di posta di Erle-IT presso Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, con connessione crittografata. Hetzner tratta i dati in qualità di responsabile del trattamento ai sensi dell’art. 28 GDPR.

Per la ricezione di e-mail agli indirizzi @plugthebug.de nonché per report e corrispondenza utilizziamo Microsoft 365 di Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlanda. Microsoft tratta i dati in qualità di responsabile del trattamento sulla base di un contratto ai sensi dell’art. 28 GDPR. Non è possibile escludere un trasferimento a Microsoft Corporation negli USA; tale trasferimento si basa sull’EU-US Data Privacy Framework e, in via integrativa, sulle clausole contrattuali tipo della Commissione UE. La base giuridica è l’art. 6, par. 1, primo comma, lett. b) GDPR o lett. f) GDPR (legittimo interesse a una comunicazione via e-mail sicura e affidabile).

13. I suoi diritti

Lei ha il diritto:

• ai sensi dell’art. 15 GDPR, di ottenere informazioni sui suoi dati personali da noi trattati,
• ai sensi dell’art. 16 GDPR, di ottenere la rettifica dei dati inesatti o l’integrazione dei dati memorizzati,
• ai sensi dell’art. 17 GDPR, di ottenere la cancellazione dei suoi dati personali da noi memorizzati,
• ai sensi dell’art. 18 GDPR, di ottenere la limitazione del trattamento,
• ai sensi dell’art. 20 GDPR, di ricevere i suoi dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico (portabilità dei dati),
• ai sensi dell’art. 7, par. 3, GDPR, di revocare in qualsiasi momento, con effetto per il futuro, un consenso prestato.

Per esercitare i suoi diritti si rivolga a: security@plugthebug.de

14. Diritto di opposizione ai sensi dell’art. 21 GDPR

Nella misura in cui trattiamo dati sulla base dell’art. 6, par. 1, primo comma, lett. f) GDPR, lei ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare. Al trattamento per finalità di marketing diretto (anche nei confronti di clienti esistenti) può opporsi in qualsiasi momento senza indicarne i motivi; in tal caso non trattiamo più i suoi dati per tale finalità. È sufficiente un’opposizione senza formalità a security@plugthebug.de.

15. Diritto di reclamo presso l’autorità di controllo

Ai sensi dell’art. 77 GDPR lei ha il diritto di proporre reclamo a un’autorità di controllo per la protezione dei dati. L’autorità competente per la Baviera è:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
Tel.: +49 981 180093-0
Web: www.lda.bayern.de

16. Aggiornamento della presente informativa sulla privacy

La presente informativa sulla privacy è aggiornata a novembre 2026. La adeguiamo quando cambiano il nostro servizio o il quadro giuridico.