Normative
Mappato sulle regole
che devi rispettare.
Sotto ogni normativa c'è un unico catalogo di misure di controllo, così un solo controllo vale ovunque si applica. Il profilo aziendale attiva solo le normative che ti riguardano.
- Art. 5(1)(c), Art. 25Minimizzazione dei dati e privacy by defaultPer impostazione predefinita si trattano solo i dati personali necessari a ciascuna finalità; nessuna profilazione senza una base giuridica valida.
- Art. 12–14Informazioni trasparenti agli interessatiGli interessati ricevono informazioni concise e accessibili sul trattamento al momento della raccolta dei dati.
- Art. 28Responsabili del trattamento vincolati da contrattoIl trattamento affidato a un responsabile è disciplinato da un contratto che contiene le clausole dell'art. 28(3).
- Art. 30Registro delle attività di trattamentoIl titolare tiene un registro delle attività di trattamento svolte sotto la propria responsabilità.
- Art. 32Sicurezza del trattamentoMisure tecniche e organizzative adeguate garantiscono un livello di sicurezza adeguato al rischio.
- Art. 33–34Notifica di una violazione dei dati personaliLe violazioni sono notificate all'autorità di controllo entro 72 ore e agli interessati quando il rischio è elevato.
- Art. 35Valutazione d'impatto sulla protezione dei datiI trattamenti ad alto rischio sono preceduti da una DPIA.
- Art. 44–49Trasferimenti fuori dall'UE/SEEI trasferimenti di dati personali verso paesi terzi si basano su una decisione di adeguatezza, su garanzie adeguate o su una deroga.
ePrivacy · UE
Direttiva ePrivacy — cookie e tracker
Direttiva 2002/58/CE, art. 5(3), come recepita a livello nazionale (ad es. le linee guida cookie del Garante privacy del 10 giugno 2021).
- Art. 5(3)Consenso preventivo per archiviazione e accesso non essenzialiCookie e tecnologie simili non essenziali si usano solo dopo il consenso libero, specifico e informato dell'utente.
- Art. 5(3); Garante 2021 §7Banner di consenso con accetta e rifiuta equivalentiUn meccanismo di consenso permette di accettare o rifiutare i tracker non essenziali con la stessa facilità e di revocare il consenso in seguito.
- Art. 5(3); Garante 2021 §6Informazioni chiare e complete sui cookieUna cookie policy elenca i cookie e i tracker usati, con finalità e durata.
- WSB-1Trasporto cifratoTutto il traffico passa in HTTPS, con HSTS e senza contenuti misti.
- WSB-2Header di protezione del browserGli header di sicurezza limitano le origini degli script, il MIME sniffing, l'inclusione in frame e il referrer.
- WSB-3Cookie sicuriI cookie sono protetti da intercettazioni e da usi impropri cross-site.
- WSB-4Nessuna fuga di informazioniLe risposte non rivelano le versioni del software server.
- WSB-5Contatto per segnalare vulnerabilitàI ricercatori di sicurezza trovano in security.txt come segnalare i problemi.
Igiene repository · Globale
Pratiche sicure per i repository
Pratiche di gestione del codice sorgente e della supply chain ispirate a OpenSSF Scorecard e SLSA.
- SRP-1Le modifiche vengono revisionateIl branch predefinito è protetto e la responsabilità del codice è definita.
- SRP-2Le dipendenze sono gestiteLe dipendenze sono bloccate in un lockfile e aggiornate automaticamente.
- SRP-3Le pipeline CI sono protetteLe Actions sono fissate a un commit e il token della CI ha il privilegio minimo.
- SRP-4I segreti restano fuori dal codiceIl secret scanning è attivo e nessun file di credenziali è nel repository.
- SRP-5Le policy del progetto sono pubblicateIl repository dichiara la licenza e una policy di divulgazione delle vulnerabilità.
CRA · UE
Cyber Resilience Act — gestione delle vulnerabilità
Regolamento UE 2024/2847, allegato I, parte II: requisiti di gestione delle vulnerabilità per i prodotti con elementi digitali (gli obblighi di segnalazione si applicano dall'11 settembre 2026).
- Allegato I, parte II (1)Identificare e documentare i componenti (SBOM)I fabbricanti identificano e documentano vulnerabilità e componenti, compresa una distinta base del software (SBOM).
- Allegato I, parte II (2)Gestire e correggere le vulnerabilità senza ritardoLe vulnerabilità sono corrette tempestivamente, anche tramite aggiornamenti di sicurezza.
- Allegato I, parte II (5)–(6)Policy e contatto per la divulgazione coordinata delle vulnerabilitàÈ in vigore una policy di divulgazione coordinata delle vulnerabilità ed è pubblicato un indirizzo per le segnalazioni.
- Allegato I, parte I (2)(f)Proteggere l'integrità del prodottoIl codice e le pipeline di build sono protetti da modifiche non autorizzate.
Siti web IT · IT
Obblighi di legge per i siti web italiani
Obblighi italiani per i siti aziendali: partita IVA in homepage (DPR 633/1972, art. 35) e dati identificativi della società (Codice civile, art. 2250).
- DPR 633/1972 art. 35Partita IVA sul sito webLe imprese con partita IVA la indicano nella homepage del proprio sito.
AI ACT · EU 2024/1689
In arrivoPreparazione all'AI Act
Il profilo aziendale registra già se sviluppi o usi l'AI. L'AI Act è la prossima normativa che stiamo aggiungendo e coprirà:
- Un inventario delle funzionalità AI che sviluppi o usi
- La loro probabile classe di rischio secondo l'AI Act
- Gli obblighi di trasparenza, come informare le persone che stanno parlando con un'AI
- Le evidenze, conservate accanto ai registri GDPR
Pronti quando lo è l'auditor
Non dire che sei conforme.
Dimostralo.
Prenota 30 minuti: scansioniamo dal vivo il tuo sito e ti mostriamo cosa segnalerebbe un auditor.