Politique de confidentialité
Dernière mise à jour: 2026-11
Questa informativa spiega come vengono trattati i dati personali quando usi Ronda (il «Servizio»), ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR).
1. Chi è il titolare
[ragione sociale da inserire]
Indirizzo: [indirizzo da inserire]
P.IVA / C.F.: [P.IVA / codice fiscale da inserire]
Email per la privacy: [email del titolare da inserire]
Assistenza: [email di supporto da inserire]
Il Servizio è offerto da una persona fisica / titolare, attualmente in fase di prova; i dati qui indicati sono quelli di chi lo gestisce («noi»).
2. I nostri due ruoli
Nel Servizio i dati personali sono di due tipi, e il nostro ruolo cambia.
| Dati | Il nostro ruolo |
|---|---|
| Dati dell'account della società di assistenza (MSP) che si registra: nome, email, password, ruolo, preferenze. | Titolare del trattamento: decidiamo noi finalità e mezzi. |
| Dati tecnici dei clienti finali dell'MSP, che l'MSP carica o raccoglie con gli agent (nomi dei computer, indirizzi IP, utenti, software installato, eventi di sicurezza…). | Responsabile del trattamento (art. 28 GDPR) per conto dell'MSP, che ne è il titolare (o a sua volta responsabile del cliente finale). Vale l'«Accordo sul trattamento dei dati» contenuto nei Termini di servizio. |
Se sei un cliente finale di un MSP che usa Ronda, il titolare dei tuoi dati è l'MSP: per esercitare i tuoi diritti rivolgiti prima a lui. Noi lo aiutiamo a rispondere.
3. Quali dati trattiamo
a) Dati dell'account (noi titolari)
- Nome, indirizzo email, ruolo nel team, lingua scelta.
- Password: conservata solo come hash non reversibile (mai in chiaro). Se attivi la verifica in due passaggi (2FA), la chiave segreta è conservata cifrata e i codici di recupero come hash.
- Dati di sicurezza e di accesso: data e ora degli accessi, indirizzo IP, registro delle azioni eseguite nel Servizio (audit), tentativi di accesso falliti.
- Dati dell'azienda MSP (nome, piano, date di inizio e fine, eventuale logo).
- Messaggi inviati a noi (assistenza, segnalazioni di bug e proposte).
- Dati tecnici di navigazione strettamente necessari (cookie tecnici: vedi la informativa sui cookie).
b) Dati dei clienti dell'MSP (noi responsabili)
- Nomi dei computer e dei dispositivi di rete, indirizzi IP e MAC, sistema operativo, software installato, nome dell'ultimo utente che ha acceso il computer, utenti locali e amministratori.
- Eventi di sicurezza: tentativi di accesso falliti (con indirizzo IP di origine e nome utente provato), modifiche sospette, stato di antivirus e firewall.
- Esiti dei backup, stato dei servizi, metriche di uso (CPU, RAM, dischi), dati letti via SNMP.
- Anagrafica minima dei clienti dell'MSP (ragione sociale, email del referente, eventuali numeri di telefono per le notifiche).
Ronda non legge il contenuto dei file, delle email o delle schermate dei computer monitorati e non registra la navigazione degli utenti. L'agent non esegue comandi ricevuti dal portale. Non trattiamo categorie particolari di dati (art. 9 GDPR) né dati relativi a condanne penali: ti chiediamo di non inserirli nel Servizio.
4. Perché li trattiamo e su quale base giuridica
| Finalità | Base giuridica |
|---|---|
| Creare e gestire l'account, fornire il Servizio, assistenza. | Esecuzione del contratto o di misure precontrattuali (art. 6.1.b). |
| Sicurezza del Servizio: blocco dei tentativi di accesso ripetuti, registro delle azioni, prevenzione di abusi e frodi. | Legittimo interesse a proteggere il Servizio e i dati degli utenti (art. 6.1.f). |
| Comunicazioni di servizio (avvisi di sicurezza, scadenze, modifiche ai termini). | Esecuzione del contratto (art. 6.1.b) e legittimo interesse. |
| Obblighi di legge (fiscali, contabili, richieste dell'autorità). | Obbligo legale (art. 6.1.c). |
| Far valere o difendere un diritto. | Legittimo interesse (art. 6.1.f). |
| Trattare i dati dei clienti finali dell'MSP. | Istruzioni documentate dell'MSP (titolare), sulla base giuridica che l'MSP ha verso i propri clienti. |
Non facciamo profilazione, non prendiamo decisioni automatizzate con effetti legali, non mandiamo pubblicità e non vendiamo i dati.
Il conferimento dei dati dell'account è necessario per usare il Servizio: senza, non possiamo creare l'account.
5. Per quanto tempo li conserviamo
- Account: finché l'account è attivo. Quando elimini i dati dalla pagina «Il mio piano» (account.php), l'eliminazione è completa e riguarda account, clienti, dispositivi, avvisi e metriche. Possiamo conservare per il tempo imposto dalla legge i soli dati contabili/fiscali, se ci sono.
- Dati tecnici dei dispositivi: il periodo di conservazione è configurabile. Per impostazione predefinita le metriche e i risultati dei controlli si tengono 90 giorni, le statistiche di sicurezza 90 giorni, i log delle email di backup 30 giorni, gli avvisi risolti fino a 365 giorni, lo storico del punteggio fino a 400 giorni. L'inventario dei dispositivi e le informazioni sullo stato corrente restano finché il dispositivo è presente.
- Registro degli accessi e delle azioni: il tempo necessario per la sicurezza e per far valere i diritti: [durata da definire, per esempio 12 mesi].
- Copie di sicurezza (backup del Servizio): se il nostro hosting fa copie di sicurezza del database, queste sono conservate per [numero di giorni da indicare] e poi sovrascritte; i dati eliminati scompaiono dalle copie alla fine di quel ciclo.
6. A chi comunichiamo i dati
I dati sono accessibili solo a noi e a fornitori che ci aiutano a erogare il Servizio, nominati responsabili del trattamento:
- fornitore di hosting / server: [nome del fornitore di hosting e Paese del data center];
- servizio di invio email (per le email del Servizio, le notifiche e i report): [nome del servizio email o «server SMTP proprio»];
- eventuali canali di notifica scelti da te (Telegram, Slack, Microsoft Teams, email): i messaggi vengono inviati al canale che configuri, sotto la tua responsabilità.
Possiamo inoltre comunicare dati a autorità pubbliche quando la legge lo impone. Non cediamo né vendiamo dati a terzi.
7. Trasferimenti fuori dallo Spazio economico europeo
Non trasferiamo intenzionalmente i dati personali fuori dallo Spazio economico europeo. Se il fornitore di hosting o di posta si trova fuori dall'UE, il trasferimento avviene solo con garanzie adeguate (decisione di adeguatezza o clausole contrattuali tipo). Il Servizio effettua alcune richieste a servizi pubblici esterni, che non contengono dati personali:
- archivio NVD del NIST e elenco CISA KEV (vulnerabilità note): si scaricano elenchi pubblici, il confronto con i programmi installati avviene sul nostro server;
- OSV.dev (facoltativo, spento per impostazione predefinita): se attivato, escono solo nome e versione di alcuni pacchetti software, mai nomi di computer, utenti o indirizzi;
- server DNS pubblici, per controllare SPF, DKIM e DMARC dei domini email (si interrogano i record pubblici del dominio).
8. I tuoi diritti
Puoi chiederci in ogni momento: accesso ai tuoi dati (art. 15), rettifica (16), cancellazione (17), limitazione (18), portabilità (20), e opporti ai trattamenti basati sul legittimo interesse (21). Molte operazioni si fanno da soli dal Servizio: puoi correggere il profilo, esportare e cancellare i dati dalla pagina «Il mio piano». Per le altre scrivi a [email del titolare da inserire]; rispondiamo entro un mese (art. 12 GDPR).
Se ritieni che il trattamento violi il GDPR puoi proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o all'autorità del tuo Paese.
9. Come proteggiamo i dati
- Connessione cifrata (HTTPS) e cookie di sessione protetti.
- Password conservate solo come hash; blocco dopo tentativi di accesso ripetuti; verifica in due passaggi (2FA) disponibile per tutti gli utenti.
- Segreti sensibili (per esempio password della posta e token di servizi esterni) conservati cifrati.
- Separazione tra aziende: ogni MSP vede solo i propri clienti, e ogni utente cliente solo la propria azienda.
- Agent in sola lettura: non può eseguire comandi sui computer monitorati; gli aggiornamenti dell'agent sono accettati solo se firmati.
- Registro delle azioni e limiti di frequenza sulle richieste.
Nessun sistema è sicuro al 100%: se si verificasse una violazione dei dati personali che ti riguarda, ti informeremo e informeremo l'autorità nei casi e nei tempi previsti dagli articoli 33 e 34 GDPR.
10. Cookie
Usiamo solo cookie tecnici, che non richiedono consenso. Dettagli nella informativa sui cookie.
11. Modifiche
Possiamo aggiornare questa informativa. La data in alto indica l'ultima versione; per le modifiche importanti ti avviseremo nel Servizio o per email.
12. Contatti
Per qualsiasi domanda sulla privacy: [email del titolare da inserire] · [ragione sociale da inserire], [indirizzo da inserire].