Il canale di segnalazione richiesto dalla Direttiva europea #

Ultimo aggiornamento: 2026-09-24.

EthicsPortal è infrastruttura di conformità per le segnalazioni e gestisce il canale di segnalazione interno sicuro richiesto dalla Direttiva (UE) 2019/1937 — per le organizzazioni che superano la soglia dei 50 lavoratori e per i soggetti regolati tenuti allo stesso obbligo a prescindere dal numero di dipendenti.

Che cosa fa EthicsPortal #

Ricezione anonima e riservata #

I dipendenti inviano segnalazioni da qualsiasi browser, senza account, app o rete aziendale. L’identificazione è facoltativa, gli indirizzi IP delle persone segnalanti non vengono conservati e i metadati dei file (EXIF, GPS, autore) vengono rimossi prima dell’archiviazione. Ne risulta un canale che le persone usano davvero: la condizione da cui dipende la priorità interna voluta dalla Direttiva.

Monitoraggio dei termini #

Ogni segnalazione avvia automaticamente i due termini della Direttiva: 7 giorni per l’avviso di ricevimento e 3 mesi per il riscontro. I fascicoli scaduti sono evidenziati nel cruscotto e chi gestisce il caso riceve notifiche all’avvicinarsi delle scadenze, così le date sanzionabili non vengono monitorate in un foglio di calcolo.

Comunicazione bidirezionale sicura #

La persona segnalante torna con un riferimento del fascicolo e un codice a sei cifre da lei scelto per leggere i messaggi e rispondere. L’identità di chi gestisce il caso non viene mai mostrata, quindi le domande di approfondimento possono essere poste e risolte senza che nessuna delle due parti perda la propria tutela.

Gestione dei casi e registro di audit #

Chi gestisce i casi assegna, dà priorità e chiude i fascicoli in un’unica vista e può registrare manualmente le segnalazioni ricevute per telefono, e-mail o di persona, così ogni canale confluisce nello stesso elenco. Ogni azione viene scritta in un registro di audit a sola aggiunta, non modificabile a posteriori.

Esportazione e conservazione #

Ogni fascicolo si esporta in PDF con lo storico completo dei messaggi, la cronologia e il registro di audit, per legali, revisori o un’autorità di controllo. La conservazione è configurabile a 12, 24, 36, 48 o 60 mesi dalla chiusura, dopodiché la cancellazione è automatica.

Integrazione con identità e accessi #

Il single sign-on SAML 2.0 e il provisioning SCIM 2.0 collegano il canale a Okta, Microsoft Entra ID o a qualsiasi fornitore conforme agli standard. Chi gestisce i casi viene creato dalla directory aziendale e disattivato nel momento in cui lascia l’organizzazione, chiudendo l’accesso alle segnalazioni senza passaggi manuali.

Che cosa distingue EthicsPortal #

Il prezzo è pubblicato #

EthicsPortal costa 41,67 €/mese con fatturazione annuale (500 €/anno) oppure 60 €/mese senza vincolo, con tutte le funzioni incluse e senza costi per dipendente. Né NAVEX né EQS Integrity Line, SpeakUp, Whispli o FaceUp pubblica un prezzo; tutte lo quotano tramite un processo commerciale. Si vedano i prezzi e i confronti .

L’attivazione è in autonomia #

Un’organizzazione configura il proprio canale di segnalazione e riceve un URL attivo e un QR code nella stessa sessione, senza progetto di implementazione. Le piattaforme enterprise di questa categoria fanno passare l’attivazione prima da un contatto commerciale: è una differenza nei tempi di acquisto, non nella qualità del prodotto.

I dati delle segnalazioni restano nell’UE #

I dati principali — applicazione, banca dati e archiviazione dei file — girano su Hetzner a Norimberga, in Germania, e le e-mail transazionali passano da Mailjet in Francia. Il canale di segnalazione e il pannello di gestione non caricano Cloudflare. NAVEX è un operatore statunitense la cui posizione sull’hosting nell’UE non è documentata pubblicamente; la catena completa è nell’elenco dei sub-responsabili .

Le evidenze per gli acquisti sono pubblicate, lacune comprese #

L’autovalutazione ISO/IEC 27001:2022 copre i capitoli da 4 a 10 e tutti i 93 controlli dell’Allegato A, accanto a una mappa di allineamento ISO 37002 , a un CAIQ precompilato , a una mappa dei terzi DORA , a un accordo sul trattamento , a un SLA e a un registro dei rischi . Dove un controllo non è in essere, le stesse pagine lo dichiarano e lo datano, invece di lasciarlo scoprire a un valutatore in fase di questionario. I punti aperti sono elencati nella pagina fiducia .

Il contenuto delle segnalazioni non viene mai trattato con IA #

Nessun contenuto di segnalazione, identità, messaggio di gestione, allegato o voce di audit viene trasmesso a un modello linguistico di grandi dimensioni, a un servizio di IA generativa o a un classificatore basato su IA. È un impegno contrattuale, non un’impostazione — accordo sul trattamento §6.10 — e introdurlo costituirebbe una modifica sostanziale soggetta a preavviso ai sensi della clausola sui sub-responsabili.

A chi si rivolge EthicsPortal #

La soglia dei 50 lavoratori dell’Art. 8(3) è il presupposto più noto, non l’unico. L’Art. 8(4) la disapplica per i soggetti che rientrano negli atti dell’Unione elencati nelle parti I.B e II dell’allegato, e diversi Stati membri estendono l’obbligo agli enti pubblici di qualsiasi dimensione.

• Intermediari finanziari , istituti di moneta elettronica e di pagamento , assicuratori e soggetti obbligati in materia antiriciclaggio — anche ben al di sotto dei 50 lavoratori, perché l’Art. 8(4) impone l’obbligo a prescindere dall’organico, spesso accanto a obblighi DORA e settoriali
• Enti pubblici e amministrazioni locali , dove diversi recepimenti coprono gli enti pubblici a prescindere dalla dimensione e l’Art. 8(9) consente di condividere un canale solo ai comuni piccoli
• Imprese dell’UE con 50–249 lavoratori che hanno superato la soglia dell’Art. 8(3) e non hanno ancora un canale
• Imprese dell’UE con 250 lavoratori e oltre che sostituiscono una casella di posta condivisa usata come canale
• Gruppi industriali con personale distribuito su più siti e più lingue
• Controllate nell’UE di gruppi extra-UE che necessitano di un canale proprio gestito nell’Unione
• Società di consulenza in materia di conformità e DPO esterni che gestiscono canali per conto dei clienti

L’organizzazione dietro EthicsPortal #

EthicsPortal è un nome commerciale utilizzato da Yaroslav Shmarov, imprenditore individuale (jednoosobowa działalność gospodarcza) registrato a Varsavia, in Polonia, firmatario autorizzato per i contratti commerciali, gli accordi sul trattamento e i questionari di sicurezza.

La continuità è affrontata e non data per scontata: gli amministratori dell’organizzazione possono esportare i propri fascicoli in qualsiasi momento senza intervento del gestore, e il piano di continuità operativa indica le dipendenze operative, gli eventi di attivazione, gli obiettivi di ripristino e gli attuali limiti in caso di indisponibilità del gestore.

Il servizio esiste perché l’obbligo scatta molto prima di una funzione compliance: a 50 lavoratori per la maggior parte dei datori di lavoro e a qualsiasi dimensione per un intermediario finanziario vigilato. Le opzioni disponibili erano una suite GRC enterprise, prezzata e venduta per una funzione compliance, oppure una casella condivisa che soddisfa la lettera di un obbligo e nessuna delle sue finalità. EthicsPortal è costruito per le organizzazioni intermedie: un canale che risponde a ogni articolo della Direttiva, con prezzo e attivazione da software e non da incarico di consulenza.

• Fondatore: Yaroslav Shmarov — LinkedIn
• Azienda: LinkedIn · GitHub
• Parte contraente, evidenze camerali e materiali per gli acquisti: pagina fiducia

EthicsPortal gestisce un proprio canale di segnalazione interno, sul proprio prodotto, ai sensi della Direttiva (UE) 2019/1937: secure.ethicsportal.eu/p/R8HXGNHO .

Come si svolge il rapporto con il cliente #

Attivazione #

Si crea l’account dell’organizzazione, si impostano nome, logo, categorie di segnalazione e periodo di conservazione: il canale riceve il proprio URL e il QR code nel momento in cui la configurazione viene salvata. La configurazione richiede pochi minuti e la esegue l’organizzazione stessa: non c’è un progetto di implementazione da pianificare né una prestazione professionale da acquistare. Il percorso completo è in come funziona EthicsPortal .

Con chi si lavora #

Le domande sull’accordo sul trattamento, sulla posizione di responsabilità o su un questionario di sicurezza arrivano direttamente al firmatario autorizzato: risponde qualcuno che può firmare la risposta, non una coda di ticket che poi gli viene escalata. Per le materie che lo richiedono esistono indirizzi dedicati: privacy@ethicsportal.eu per GDPR e protezione dei dati, security@ethicsportal.eu per le segnalazioni di sicurezza, legal@ethicsportal.eu per l’accordo sul trattamento, accessibility@ethicsportal.eu per le questioni di accessibilità.

Tempi di risposta #

In condizioni normali le e-mail ricevono risposta entro un giorno lavorativo. La notifica di una violazione dei dati personali al titolare avviene senza ingiustificato ritardo dopo esserne venuti a conoscenza, come l’Art. 33(2) GDPR richiede al responsabile (accordo sul trattamento §6.6 ). Misurazione ed esclusioni della disponibilità sono nello SLA ; gli obiettivi di ripristino sono RPO 24 ore e RTO 4 ore.

Trasparenza durante l’esercizio #

La disponibilità in tempo reale è pubblicata su secure.ethicsportal.eu/up , gli incidenti di sicurezza su incidenti , e le variazioni dei sub-responsabili sono comunicate almeno 30 giorni prima dell’efficacia, con diritto di opposizione e recesso (accordo sul trattamento §6.4 ).

Dati essenziali #

Domande frequenti #

Chi gestisce EthicsPortal? #

EthicsPortal è un nome commerciale utilizzato da Yaroslav Shmarov, imprenditore individuale registrato a Varsavia, in Polonia (NIP 5272755790). La stessa persona è firmataria autorizzata per i contratti commerciali, gli accordi sul trattamento e i questionari di sicurezza. Le evidenze camerali sono pubblicate sulla pagina fiducia e fornite su richiesta durante la fase di acquisto.

Dove sono conservati i dati delle segnalazioni? #

I dati principali — applicazione, banca dati e archiviazione dei file — sono ospitati su infrastruttura Hetzner a Norimberga, in Germania. Le e-mail transazionali passano da Mailjet in Francia. Il sito vetrina è distribuito tramite Cloudflare; il canale di segnalazione e il pannello di gestione no.

Quanto costa EthicsPortal? #

41,67 €/mese con fatturazione annuale (500 €/anno) oppure 60 €/mese senza vincolo. Tutte le funzioni sono incluse e non ci sono costi per dipendente, quindi il prezzo non cambia al variare dell’organico. Si vedano i prezzi .

Quali evidenze di sicurezza e conformità pubblica EthicsPortal? #

Un’autovalutazione ISO/IEC 27001:2022 completa sui capitoli da 4 a 10 e su tutti i 93 controlli dell’Allegato A come dichiarazione di applicabilità, una mappa di allineamento ISO 37002 , un CAIQ precompilato , una mappa dei terzi DORA , documenti di policy nominati e un registro dei rischi . Sono autovalutazioni sugli stessi insiemi di controlli che un audit esterno esaminerebbe, non una certificazione accreditata. Lo stato delle certificazioni e i punti aperti sono indicati nella pagina fiducia .

Un’organizzazione extra-UE può usare EthicsPortal? #

L’entità che gestisce il canale di segnalazione deve essere registrata nell’UE. Se un gruppo dispone di un’entità nell’Unione, questa può gestire un unico canale e aprirlo al personale di qualsiasi paese, con tutte le segnalazioni che confluiscono nello stesso elenco. Un attestato di conformità richiama il diritto nazionale dell’entità UE che gestisce il canale.

Quanto dura l’attivazione? #

Il canale di segnalazione è attivo appena la configurazione viene salvata — nome, logo, categorie e periodo di conservazione. Resta la diffusione: il canale è fornito con un link condivisibile e un QR code per regolamenti, kit di inserimento e bacheche.

EthicsPortal usa l’IA sul contenuto delle segnalazioni? #

No. Contenuto delle segnalazioni, identità delle persone segnalanti, messaggi di gestione, allegati e voci di audit non vengono mai trasmessi a un modello linguistico di grandi dimensioni, a un servizio di IA generativa o a un classificatore basato su IA, e il servizio non esegue categorizzazione, triage, sintesi, traduzione o suggerimenti di risposta tramite IA su dati personali. L’impegno è contrattuale ai sensi dell’accordo sul trattamento §6.10 .

Come ottengo la documentazione per gli acquisti? #

Termini, accordo sul trattamento, SLA, elenco dei sub-responsabili, documentazione di sicurezza e autovalutazioni sono pubblicati apertamente e non richiedono alcuna richiesta. Evidenze camerali, un accordo sul trattamento controfirmato e i restanti materiali sono disponibili su richiesta durante la valutazione: si veda la pagina fiducia .

Attiva il tuo canale di segnalazione interno →

Ultimo aggiornamento: 30 settembre 2026