Informativa sulla privacy — weakestlink
Ultimo aggiornamento: 29 settembre 2026
Questa informativa descrive come weakestlink tratta i dati personali per i quali siamo noi stessi titolari del trattamento. Se il tuo datore di lavoro utilizza weakestlink per la formazione sulla sicurezza, è il datore di lavoro il titolare del trattamento dei dati dei dipendenti, mentre weakestlink agisce come responsabile del trattamento — vedi Allegato A.
1. Titolare del trattamento
WEAKESTLINK ApS (N. reg. imprese CVR, Danimarca 46614011) è il titolare del trattamento dei dati personali su weakestlink.io. Contatto: info@weakestlink.io.
2. Quali dati trattiamo, per quali finalità e su quale base giuridica
| Dati | Finalità | Base giuridica (art. 6 GDPR) | Cancellazione |
|---|---|---|---|
| Referente presso il cliente (nome, e-mail, ruolo) | Creazione e gestione dell'account dell'organizzazione | Contratto (art. 6(1)(b)) | Alla cessazione del rapporto con il cliente |
| Dati di fatturazione | Fatturazione e contabilità | Obbligo legale (art. 6(1)(c)) | 5 anni, ai sensi della legge danese sulla contabilità (bogføringsloven) |
| Log del server (IP, orario) | Gestione operativa e sicurezza | Legittimo interesse (art. 6(1)(f)) | 90 giorni |
| Indirizzo e-mail, quando ti iscrivi tu stesso per ricevere aggiornamenti su un modulo in arrivo (AI-Klar, deepfake) | Avvisarti quando il modulo è disponibile | Consenso (art. 6, par. 1, lett. a) — puoi revocarlo in qualsiasi momento scrivendoci | Al più tardi 12 mesi dopo l'iscrizione |
| Il klik-id di Google (identificatore del clic, gclid) quando arrivi da un annuncio Google, l'orario del clic e se l'account è stato creato o è passato a un piano a pagamento | Misurazione degli annunci: verificare se un annuncio su Google ha portato alla creazione di un account | Legittimo interesse (art. 6(1)(f)): puoi opporti, vedi la sezione 7 | 90 giorni dal clic. Se una conversione è stata comunicata a Google, viene cancellata 90 giorni dopo la comunicazione |
| Statistiche sulle visite: visualizzazioni di pagina e clic sui pulsanti, con tipo di browser, dispositivo e paese. Senza cookie e senza memorizzare l'indirizzo IP | Capire quali pagine vengono usate, per poterle migliorare. Le statistiche girano sul nostro server (Umami) e non vengono condivise con terze parti | Legittimo interesse (art. 6(1)(f)) | Conservati come statistiche aggregate, senza nome, e-mail o indirizzo IP |
Non trattiamo il numero di identificazione personale danese (CPR) né altri dati sensibili (art. 9 GDPR).
3. Elaborazione con IA
Utilizziamo l'AI (Claude di Anthropic) per creare contenuti formativi e modelli di simulazione — lezioni, quiz ed e-mail esca — internamente, prima della pubblicazione. Nessun dato dei clienti né alcun dato personale dei tuoi dipendenti viene inviato a servizi di AI, e non eseguiamo alcuna AI sui tuoi dati durante l'utilizzo del servizio.
4. Responsabili e sub-responsabili del trattamento
Ci avvaliamo dei seguenti responsabili del trattamento. Per i fornitori al di fuori dell'UE/SEE, il trasferimento avviene sulla base della decisione di adeguatezza della Commissione Europea (EU-U.S. Data Privacy Framework) e/o delle clausole contrattuali standard (SCC):
| Fornitore | Servizio | Paese | Base giuridica del trasferimento |
|---|---|---|---|
| Anthropic PBC | Creazione IA dei contenuti formativi (offline) | USA | DPF/SCC |
| Brevo (Sendinblue SAS) | Email transazionali e di notifica in uscita (es. conferma dell'indirizzo email) | Frankrig | — |
| Cloudflare, Inc. | Rete, TLS e protezione DDoS | USA | DPF/SCC |
L'hosting avviene su infrastruttura propria in Danimarca.
Se pagate con carta, i dati della carta e i dati di pagamento sono trattati dal nostro gateway di pagamento QuickPay (QuickPay ApS, Danimarca) e dall'acquirer Clearhaus (Clearhaus A/S, Danimarca) in qualità di titolari autonomi del trattamento ai sensi della normativa sui pagamenti — non come nostri responsabili del trattamento. Non riceviamo mai il numero completo della vostra carta. Per tale trattamento si applicano le informative sulla privacy di QuickPay e Clearhaus.
5. Comunicazione dei dati
Comunichiamo i dati a terzi solo quando è necessario per fornire il servizio, quando lo impone la legge o con il tuo consenso. Un'eccezione: se sei arrivato da noi tramite un annuncio Google, inviamo a Google Ireland Ltd. (Google Ads) il klik-id dell'annuncio (identificativo del clic), l'orario e l'informazione se l'account è stato creato o pagato, così possiamo capire quali annunci funzionano. Non inviamo né nome, né e-mail, né indirizzo IP. Google può trasferire i dati a Google LLC negli Stati Uniti. Secondo Google, ciò avviene sulla base dell'EU-U.S. Data Privacy Framework, a cui Google LLC ha aderito con certificazione, e in alternativa sulla base delle clausole contrattuali standard (SCC). Non vendiamo mai i dati.
6. Conservazione e cancellazione
I termini specifici sono indicati nella tabella al punto 2. La documentazione contabile viene conservata per 5 anni dalla fine dell'esercizio, ai sensi della legge sulla contabilità. Trascorso tale periodo, i dati vengono cancellati o resi anonimi.
7. I tuoi diritti
Hai diritto di accesso, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati e opposizione (GDPR art. 15–21). Se hai dato il consenso, puoi revocarlo in qualsiasi momento con effetto per il futuro. Scrivi a info@weakestlink.io: ti risponderemo entro un mese dalla richiesta. Se non vuoi che utilizziamo il klik-id dell'annuncio (sezioni 2 e 5), puoi opporti (art. 21) scrivendo allo stesso indirizzo: in tal caso cancelleremo il klik-id e non comunicheremo nulla a Google sul tuo account. Se sei dipendente di un cliente, puoi rivolgerti anche al tuo datore di lavoro, che è il titolare del trattamento (vedi Allegato A).
8. Reclamo
Puoi presentare reclamo per il trattamento dei tuoi dati al Datatilsynet danese, Carl Jacobsens Vej 35, 2500 Valby, www.datatilsynet.dk. Puoi anche rivolgerti al Garante per la protezione dei dati personali, www.garanteprivacy.it.
9. Cookie
Impostiamo due cookie: un cookie di sessione, usato per l'accesso e la sicurezza, e, se scegli tu stesso la lingua dal selettore, un cookie che ricorda la tua scelta. Se arrivi da un annuncio Google, salviamo il klik-id dell'annuncio nella sessione sul nostro server, così possiamo comunicare a Google se il clic ha portato alla creazione di un account (vedi sezione 5). Il cookie in sé contiene solo un ID di sessione casuale. Non utilizziamo altri cookie di tracciamento né cookie di terze parti, e le statistiche sulle visite (Umami) non utilizzano cookie.
10. Modifiche
Eventuali modifiche sostanziali a questa informativa saranno comunicate su weakestlink.io e/o via e-mail.
Allegato A — ripartizione dei ruoli nella formazione dei dipendenti
Quando un'azienda (il tuo datore di lavoro) utilizza weakestlink per la formazione sulla sicurezza e le simulazioni di phishing, è l'azienda a essere titolare del trattamento dei dati dei dipendenti, mentre weakestlink agisce come responsabile del trattamento. Il trattamento avviene su istruzione, tramite un accordo sul trattamento dei dati stipulato al momento della registrazione. Questa informativa riguarda quindi solo i dati di cui siamo noi stessi titolari del trattamento (dati di contatto e fatturazione del cliente, oltre alla gestione operativa).
Le simulazioni di phishing vengono eseguite solo su una base giuridica documentata (consenso dell'organizzazione e una valutazione approvata di legittimo interesse). I report sono aggregati e mostrano dati solo per gruppi di almeno cinque persone. I risultati del singolo dipendente (punteggio di rischio, avanzamento dei corsi ed eventi di simulazione) sono visibili solo all'amministratore dell'organizzazione — e ai responsabili, se l'organizzazione lo attiva. Lo scopo è formazione extra mirata, mai esposizione o sanzioni. I risultati sono conservati per la durata del rapporto con il cliente e cancellati al suo termine, secondo l'accordo sul trattamento dei dati. Non conserviamo mai ciò che un dipendente digita durante una simulazione, ma solo il fatto che un evento si è verificato.