Privacy Policy
La presente informativa descrive come TAMONE tratta i dati personali degli utenti del servizio SSL Portal, raggiungibile all'indirizzo https://ssl.tamone.net (di seguito il «Servizio»), ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del D.Lgs. 30 giugno 2003, n. 196 («Codice Privacy»), come modificato dal D.Lgs. 101/2018. Il Servizio consente di richiedere, gestire e scaricare certificati SSL/TLS gratuiti emessi dall'autorità di certificazione Let's Encrypt tramite il protocollo ACME.
1. Titolare del trattamento
Il titolare del trattamento è TAMONE Srl, con sede in Via Bocchetto 6, 20123 Milano (MI), Italia — Partita IVA IT14619300966, Codice Fiscale 14619300966, REA MI-2796516, capitale sociale € 500,00 i.v..
- Email: info@tamone.net
- PEC: tamonesrl@pec.it
- Telefono: [da completare]
- Sito web: https://tamone.net
Il Responsabile della protezione dei dati (DPO), ove designato, è contattabile all'indirizzo a.tamone@tamone.net. Se il campo non è valorizzato, per qualsiasi richiesta relativa ai dati personali è possibile scrivere all'indirizzo email del titolare.
2. Dati personali trattati
2.1 Dati dell'account
Nome, indirizzo email, password (conservata esclusivamente in forma di hash irreversibile con algoritmo Argon2id, mai in chiaro), immagine del profilo facoltativa (ricodificata dal server ed eliminata dei metadati), preferenze dell'interfaccia (tema, lingua, notifiche), data di registrazione e di accettazione dei Termini e dell'informativa.
2.2 Dati di autenticazione e sicurezza
- Autenticazione a due fattori (facoltativa): segreto TOTP per app di autenticazione (conservato cifrato), codici monouso inviati via email o Telegram, codici di recupero (conservati in forma di hash).
- Telegram (facoltativo): se l'utente collega il proprio account Telegram, vengono trattati l'identificativo della chat e, se disponibili, nome utente e nome visualizzato, al solo fine di inviare codici OTP e notifiche richieste.
- Cronologia degli accessi: data e ora, indirizzo IP, user agent (browser e sistema operativo), paese approssimativo ricavato dall'IP tramite database GeoIP locale, esito del tentativo e metodo di autenticazione.
- Sessioni attive: identificativo di sessione (memorizzato solo come impronta crittografica), indirizzo IP, user agent, data di creazione, ultimo utilizzo e scadenza.
- Dati di protezione anti-abuso: contatori temporanei dei tentativi falliti per IP o email, eventi bloccati dal firewall applicativo (WAF), esito delle verifiche captcha.
2.3 Dati relativi ai certificati
Nomi di dominio e sottodomini per cui si richiede il certificato, tipo di validazione (HTTP-01 o DNS-01), token e valori di verifica, tipo di chiave, stato, numero di serie, date di validità, eventuale etichetta assegnata dall'utente. La chiave privata del certificato viene generata sul server, conservata in forma cifrata e resa scaricabile solo all'utente titolare; viene eliminata automaticamente alla scadenza del certificato. Per creare l'account ACME presso Let's Encrypt viene utilizzato l'indirizzo email dell'account.
2.4 Dati tecnici e log
I server registrano, per finalità di sicurezza e funzionamento, dati tecnici delle richieste (indirizzo IP, data e ora, risorsa richiesta, codice di risposta, user agent, referrer, tempi di risposta). I registri di sistema applicativi interni sono limitati a un massimo di 300 voci per tipologia, con sostituzione automatica delle voci più vecchie.
2.5 Statistiche anonime
Il Servizio raccoglie statistiche di utilizzo aggregate e anonime senza cookie e senza identificatori persistenti: contatori di pagine visitate, provenienza (referrer), lingua del browser e fascia di larghezza dello schermo. Per il conteggio dei visitatori unici giornalieri viene calcolata un'impronta crittografica dell'indirizzo IP e dello user agent combinata con un valore casuale (salt) che cambia ogni giorno e viene poi distrutto: l'indirizzo IP non viene mai memorizzato e l'impronta non consente di riconoscere lo stesso visitatore in giorni diversi.
2.6 Comunicazioni
Contenuto delle comunicazioni inviate al titolare (email, richieste di assistenza o di esercizio dei diritti) e dati necessari a fornire riscontro.
3. Finalità e basi giuridiche del trattamento
| Finalità | Dati | Base giuridica |
|---|---|---|
| Registrazione, gestione dell'account e autenticazione | Account, autenticazione, sessioni | Esecuzione del contratto (art. 6.1.b GDPR) |
| Richiesta, emissione, rinnovo, download e revoca dei certificati presso Let's Encrypt | Domini, email dell'account, dati dei certificati | Esecuzione del contratto (art. 6.1.b) |
| Invio di email di servizio (verifica indirizzo, reset password, codici OTP, avvisi di scadenza) | Email, nome, dati dei certificati | Esecuzione del contratto (art. 6.1.b) |
| Notifiche e codici tramite Telegram | Identificativo chat Telegram | Esecuzione del contratto su richiesta dell'utente (art. 6.1.b); l'utente può scollegare Telegram in qualsiasi momento |
| Sicurezza del Servizio, prevenzione di frodi, abusi, accessi non autorizzati e attacchi informatici (cronologia accessi, WAF, rate limiting, captcha, log) | Dati tecnici, IP, user agent, cronologia accessi | Legittimo interesse del titolare alla sicurezza delle reti e dei sistemi (art. 6.1.f e considerando 49 GDPR) |
| Statistiche aggregate e anonime | Dati anonimi (nessun dato personale conservato) | Legittimo interesse al miglioramento del Servizio (art. 6.1.f) |
| Backup e continuità operativa | Tutti i dati del Servizio | Legittimo interesse e obbligo di adottare misure di sicurezza adeguate (artt. 6.1.f e 32 GDPR) |
| Adempimento di obblighi di legge e richieste delle autorità; accertamento, esercizio o difesa di diritti | Dati strettamente necessari | Obbligo legale (art. 6.1.c) e legittimo interesse (art. 6.1.f) |
| Riscontro alle richieste dell'utente | Dati di contatto e contenuto della richiesta | Esecuzione di misure precontrattuali/contrattuali (art. 6.1.b) o obbligo legale (art. 6.1.c) per le richieste di esercizio dei diritti |
Il Servizio non effettua attività di marketing, profilazione o vendita di dati personali.
4. Natura del conferimento
Il conferimento di nome, email e password è necessario per la creazione dell'account; il conferimento dei nomi di dominio è necessario per emettere i certificati. Il mancato conferimento rende impossibile l'utilizzo del Servizio. I dati relativi all'autenticazione a due fattori, a Telegram e all'immagine del profilo sono facoltativi. I dati tecnici e di sicurezza sono raccolti automaticamente durante l'uso del Servizio.
5. Modalità del trattamento e misure di sicurezza
I dati sono trattati con strumenti elettronici, da personale autorizzato e istruito, secondo i principi di liceità, minimizzazione e limitazione della conservazione. Tra le misure tecniche e organizzative adottate:
- connessioni cifrate esclusivamente tramite HTTPS (TLS 1.2/1.3) con HSTS;
- password conservate con hash Argon2id; segreti, chiavi private dei certificati e credenziali di servizio cifrati a riposo con AES-256-GCM;
- autenticazione a due fattori disponibile per tutti gli utenti (app TOTP, email, Telegram) con codici di recupero;
- cookie di sessione HttpOnly, Secure e SameSite, protezione CSRF, revoca delle sessioni da parte dell'utente;
- firewall applicativo (WAF), limitazione della frequenza delle richieste, protezione anti brute-force, captcha, firewall di rete e blocco automatico degli indirizzi abusivi;
- controllo e ricodifica dei file caricati, verifica dell'integrità dei file conservati;
- database e cache non esposti su Internet, accessi amministrativi limitati, aggiornamenti di sicurezza periodici;
- backup periodici, che possono essere cifrati, conservati anche su sistemi di archiviazione esterni.
Nessuna misura garantisce una sicurezza assoluta: in caso di violazione dei dati personali il titolare adotterà le procedure previste dagli artt. 33 e 34 GDPR.
6. Destinatari dei dati
I dati possono essere comunicati, nei limiti strettamente necessari, alle seguenti categorie di destinatari, che operano come responsabili del trattamento (art. 28 GDPR) o come autonomi titolari:
- Fornitore di hosting e infrastruttura: DASABO SRL, con server situati in Germania (EU) (responsabile del trattamento).
- Internet Security Research Group (ISRG), ente senza scopo di lucro con sede negli Stati Uniti che gestisce l'autorità di certificazione Let's Encrypt: riceve i nomi di dominio inclusi nei certificati, l'indirizzo email associato all'account ACME e l'indirizzo IP del server che effettua le richieste. ISRG agisce come autonomo titolare secondo la propria informativa privacy. Si ricorda che i certificati emessi e i relativi nomi di dominio vengono pubblicati obbligatoriamente nei registri pubblici di Certificate Transparency e sono quindi consultabili da chiunque.
- Fornitore del servizio di posta elettronica (SMTP) utilizzato per l'invio delle email di servizio (responsabile del trattamento).
- Telegram Messenger Inc. / Telegram FZ-LLC, solo se l'utente collega volontariamente il proprio account Telegram; Telegram tratta i messaggi come autonomo titolare secondo la propria informativa.
- Fornitori di servizi captcha, solo se attivati dall'amministratore del Servizio: Google Ireland Ltd / Google LLC (reCAPTCHA), Intuition Machines Inc. (hCaptcha), Cloudflare Inc. (Turnstile), Friendly Captcha GmbH (Friendly Captcha). Questi fornitori possono raccogliere dati tecnici del dispositivo e dell'interazione (indirizzo IP, caratteristiche del browser, movimenti) per distinguere persone e programmi automatici. Per impostazione predefinita il Servizio utilizza un captcha interno che non comunica dati a terzi.
- Fornitori di archiviazione dei backup (ad esempio servizi di object storage compatibili S3 o server FTP/SFTP), se configurati; i backup possono essere cifrati prima dell'invio.
- Fornitore della soluzione di gestione dei cookie e dei documenti legali (iubenda S.r.l.), solo se attivata dall'amministratore.
- Consulenti, professionisti e autorità pubbliche, quando necessario per adempiere obblighi di legge o per la tutela dei diritti del titolare.
L'elenco aggiornato dei responsabili del trattamento può essere richiesto al titolare. I dati non sono diffusi, salvo quanto indicato per i registri di Certificate Transparency.
7. Trasferimento dei dati fuori dallo Spazio Economico Europeo
Alcuni destinatari (in particolare ISRG/Let's Encrypt e, se attivati, Google, Intuition Machines, Cloudflare e Telegram) possono trattare dati negli Stati Uniti o in altri paesi terzi. Tali trasferimenti avvengono sulla base di una decisione di adeguatezza della Commissione europea, ove applicabile (ad esempio l'EU-U.S. Data Privacy Framework per i destinatari certificati), oppure di clausole contrattuali tipo approvate dalla Commissione europea (art. 46 GDPR), eventualmente integrate da misure supplementari, o, in mancanza, delle deroghe dell'art. 49 GDPR, inclusa la necessità del trasferimento per l'esecuzione del contratto richiesto dall'utente (emissione del certificato). Copia delle garanzie adottate può essere richiesta al titolare.
8. Periodo di conservazione
| Categoria di dati | Durata della conservazione |
|---|---|
| Dati dell'account | Per tutta la durata dell'account. In caso di cancellazione da parte dell'utente i dati vengono eliminati senza ritardo; gli account inattivi possono essere disattivati e cancellati dopo un periodo di inattività prolungato, previo avviso via email. |
| Chiavi private e file dei certificati | Eliminati automaticamente alla scadenza del certificato (o prima, se l'utente elimina il certificato o l'account). |
| Metadati dei certificati (domini, date, stato) | Per la durata dell'account, per consentire lo storico e i rinnovi. |
| Cronologia degli accessi | Per la durata dell'account, con eliminazione progressiva delle voci più vecchie; cancellata insieme all'account. |
| Sessioni | Fino alla scadenza della sessione (da 12 ore fino a 90 giorni secondo l'opzione «ricordami») o alla revoca da parte dell'utente. |
| Codici OTP e token (verifica email, reset password) | Pochi minuti/ore, fino all'utilizzo o alla scadenza. |
| Registri applicativi interni | Massimo 300 voci per tipologia, con rotazione automatica. |
| Log tecnici del server web | Rotazione giornaliera, conservazione massima di 14 giorni salvo necessità di accertamento di incidenti di sicurezza. |
| Contatori anti-abuso e salt giornaliero delle statistiche | Da pochi minuti a 24 ore. |
| Statistiche aggregate | Senza limiti di tempo, trattandosi di dati anonimi. |
| Backup | Secondo la politica di rotazione configurata, con conservazione minima di 14 giorni; i dati cancellati dal Servizio scompaiono dai backup al termine del ciclo di rotazione. |
Resta salva la conservazione per periodi più lunghi quando imposta dalla legge o necessaria per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.
9. Diritti dell'interessato
Ai sensi degli articoli da 15 a 22 GDPR l'utente può in qualsiasi momento esercitare i seguenti diritti:
- accesso ai propri dati e alle informazioni sul trattamento (art. 15);
- rettifica dei dati inesatti o incompleti (art. 16);
- cancellazione («diritto all'oblio», art. 17) — l'utente può eliminare autonomamente il proprio account dalla sezione Profilo;
- limitazione del trattamento (art. 18);
- portabilità dei dati in formato strutturato e leggibile da dispositivo automatico (art. 20) — l'utente può scaricare autonomamente i propri dati in formato JSON dalla sezione Profilo;
- opposizione al trattamento basato sul legittimo interesse, per motivi connessi alla propria situazione particolare (art. 21);
- non essere sottoposto a decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici (art. 22): il Servizio non adotta tali decisioni; i blocchi automatici di sicurezza sono temporanei e possono essere contestati contattando il titolare.
Le richieste possono essere inviate a info@tamone.net, via PEC a tamonesrl@pec.it o al DPO all'indirizzo a.tamone@tamone.net. Il titolare risponde senza ingiustificato ritardo e comunque entro un mese, prorogabile nei casi previsti dall'art. 12 GDPR. Potrà essere richiesto di verificare l'identità del richiedente.
Si precisa che i dati già trasmessi a Let's Encrypt e pubblicati nei registri di Certificate Transparency non possono essere cancellati dal titolare, trattandosi di registri pubblici gestiti da terzi e immodificabili per natura.
10. Reclamo all'autorità di controllo
Se ritiene che il trattamento dei propri dati violi il GDPR, l'interessato ha diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) o all'autorità di controllo dello Stato membro in cui risiede abitualmente, lavora o in cui si è verificata la presunta violazione, oppure di ricorrere all'autorità giudiziaria.
11. Minori
Il Servizio è destinato a utenti maggiorenni o comunque ad amministratori di siti e domini. Non sono raccolti consapevolmente dati di minori di 14 anni; qualora ciò avvenisse, i dati verranno cancellati su segnalazione.
12. Cookie
Il Servizio utilizza esclusivamente cookie tecnici necessari e, solo se attivati dall'amministratore, strumenti di terze parti per la protezione dei moduli. Per i dettagli si rinvia alla Cookie Policy.
13. Modifiche all'informativa
La presente informativa può essere aggiornata per adeguarsi a modifiche normative o del Servizio. Le modifiche sostanziali saranno comunicate agli utenti registrati tramite avviso nel Servizio o via email. La versione vigente è sempre pubblicata a questo indirizzo.
Ultimo aggiornamento: 01/11/2026