Informativa sulla privacy

Ultimo aggiornamento: 23/10/2026 · StorageHub

La presente informativa descrive come TAMONE tratta i dati personali degli utenti della piattaforma StorageHub, raggiungibile all'indirizzo https://storage-server.tamone.net/ (di seguito, la «Piattaforma»), ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del D.Lgs. 30 giugno 2003, n. 196 («Codice privacy»), come modificato dal D.Lgs. 10 agosto 2018, n. 101. Ti invitiamo a leggerla con attenzione prima di registrarti e di utilizzare i servizi offerti.

1. Titolare del trattamento

Il titolare del trattamento dei dati personali raccolti attraverso la Piattaforma è:

TAMONE (SRL)
Sede legale: Via Bocchetto 6, 20123 MILANO (MI), Italia
Partita IVA: IT14619300966 – Codice fiscale: 14619300966
E-mail: info@tamone.net
PEC: tamonesrl@pec.it

2. Responsabile della protezione dei dati (DPO)

Il Titolare ha designato un Responsabile della protezione dei dati (Data Protection Officer) ai sensi dell'art. 37 GDPR, contattabile per ogni questione relativa al trattamento dei tuoi dati personali e all'esercizio dei tuoi diritti all'indirizzo e-mail a.tamone@tamone.net.

3. Tipologie di dati trattati

3.1 Dati forniti dall'utente

Dati dell'account: nome utente, indirizzo e-mail, password (conservata esclusivamente in forma di hash irreversibile calcolato con l'algoritmo Argon2id), eventuale immagine del profilo (avatar).
Dati di autenticazione a due fattori: segreto TOTP (cifrato), codici monouso inviati via e-mail o Telegram, codici di emergenza (conservati in forma di hash).
Dati dei server gestiti: indirizzo IP o nome host, porta, nome utente e credenziali di accesso SSH (password o chiave privata), chiavi SSH generate o importate, configurazioni dei servizi di storage (cartelle, utenti di sistema, permessi, liste di indirizzi IP autorizzati).
Comunicazioni: dati contenuti nelle richieste di assistenza o nei messaggi che ci invii.

3.2 Dati raccolti automaticamente

Dati di sicurezza e di accesso: indirizzo IP dei tentativi di accesso, storico degli accessi (indirizzo IP, user agent del browser, paese approssimativo), eventi del firewall applicativo (WAF), blocchi automatici anti-bruteforce.
Log di sistema e di attività: registrazione delle operazioni eseguite tramite la Piattaforma (ad esempio installazioni, aggiornamenti, modifiche di configurazione), con data, ora e utente che le ha richieste.
Dati statistici aggregati: pagine visitate, tipo di browser, sistema operativo, tipo di dispositivo, lingua e paese di provenienza. Questi dati sono raccolti in forma anonima e aggregata, senza cookie e senza conservare l'indirizzo IP (si veda la sezione «Statistiche anonime»).

4. Finalità, basi giuridiche e periodi di conservazione

I dati personali sono trattati per le seguenti finalità, sulla base delle condizioni di liceità previste dall'art. 6 GDPR:

Finalità	Base giuridica (art. 6 GDPR)	Periodo di conservazione
Registrazione, gestione dell'account e autenticazione (incluso «ricordami» e autenticazione a due fattori)	Esecuzione del contratto (lett. b)	Fino alla cancellazione dell'account
Erogazione dei servizi richiesti: connessione ai server, installazione e gestione dei servizi di storage, gestione delle chiavi SSH, scansioni delle vulnerabilità	Esecuzione del contratto (lett. b)	Fino alla rimozione del server o alla cancellazione dell'account
Invio di comunicazioni di servizio e di sicurezza (e-mail)	Esecuzione del contratto (lett. b)	Fino alla cancellazione dell'account
Sicurezza della Piattaforma: prevenzione di accessi abusivi, attacchi informatici e frodi (storico accessi, WAF, blocchi anti-bruteforce)	Legittimo interesse del Titolare (lett. f) e obbligo di adottare misure di sicurezza adeguate (art. 32 GDPR, lett. c)	Storico accessi: 180 giorni; eventi WAF e di sicurezza: 30 giorni
Registrazione delle operazioni eseguite (log di attività) per tracciabilità e risoluzione dei problemi	Legittimo interesse del Titolare (lett. f)	12 mesi
Statistiche anonime e aggregate di utilizzo	Legittimo interesse del Titolare (lett. f) – dati anonimi	Dati aggregati non riconducibili a persone identificate
Copie di backup dei dati della Piattaforma	Legittimo interesse del Titolare (lett. f) e obbligo di garantire la disponibilità e la resilienza dei sistemi (art. 32 GDPR)	Secondo il ciclo di rotazione dei backup, con conservazione minima di 14 giorni
Adempimento di obblighi di legge e richieste delle autorità	Obbligo legale (lett. c)	Per il tempo previsto dalla normativa applicabile
Accertamento, esercizio o difesa di un diritto in sede giudiziaria	Legittimo interesse del Titolare (lett. f)	Per la durata del contenzioso e fino alla scadenza dei termini di impugnazione

5. Natura del conferimento dei dati

Il conferimento dei dati necessari alla registrazione (nome utente, e-mail, password) e dei dati dei server che intendi gestire è necessario per l'erogazione del servizio: in mancanza non sarà possibile creare l'account o utilizzare le relative funzionalità. Il conferimento dell'avatar e l'attivazione dell'autenticazione a due fattori sono facoltativi; l'autenticazione a due fattori è tuttavia fortemente raccomandata. I dati raccolti automaticamente per finalità di sicurezza sono necessari al funzionamento sicuro della Piattaforma.

6. Modalità del trattamento e misure di sicurezza

Il trattamento avviene con strumenti informatici, secondo logiche strettamente correlate alle finalità indicate e nel rispetto dei principi di minimizzazione, integrità e riservatezza (art. 5 GDPR). Il Titolare adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui:

conservazione delle password esclusivamente in forma di hash con l'algoritmo Argon2id;
cifratura delle credenziali dei server, delle chiavi SSH private e dei segreti di autenticazione con l'algoritmo XChaCha20-Poly1305;
autenticazione a due fattori (app TOTP, codice via e-mail) e codici di emergenza;
connessioni cifrate tramite protocollo HTTPS;
firewall applicativo (WAF), limitazione dei tentativi di accesso e blocco automatico degli indirizzi IP che effettuano attacchi;
registrazione degli accessi e delle operazioni;
copie di backup periodiche, eventualmente cifrate e conservate anche su sistemi di archiviazione remoti scelti dal Titolare.

Nessuna misura di sicurezza può garantire una protezione assoluta: in caso di violazione dei dati personali il Titolare procederà alle notifiche previste dagli artt. 33 e 34 GDPR.

7. Credenziali SSH e dati dei server gestiti

Le credenziali di accesso ai server che aggiungi alla Piattaforma (password, chiavi private SSH ed eventuali passphrase) sono conservate esclusivamente in forma cifrata con l'algoritmo XChaCha20-Poly1305 e vengono decifrate solo nel momento in cui è necessario eseguire un'operazione da te richiesta (ad esempio installare un servizio, creare un utente o una cartella, aggiornare il sistema operativo, eseguire una scansione).

Le credenziali sono utilizzate solo per eseguire le operazioni richieste dall'utente e per le verifiche tecniche ad esse collegate (ad esempio controllo dello stato del server).
Le credenziali non sono mai comunicate o cedute a terzi, né utilizzate per finalità diverse.
Le credenziali vengono eliminate quando rimuovi il server dalla Piattaforma o cancelli il tuo account (fatti salvi i tempi tecnici di rotazione dei backup cifrati).

I dati presenti sui tuoi server restano nella tua esclusiva disponibilità: rispetto ad essi sei tu il titolare del trattamento. Qualora nelle configurazioni gestite tramite la Piattaforma inserissi dati personali di terzi (ad esempio i nomi degli utenti dei servizi di storage), il Titolare agisce in qualità di responsabile del trattamento ai sensi dell'art. 28 GDPR, trattando tali dati esclusivamente per conto tuo e secondo le tue istruzioni. I clienti professionali e le imprese possono richiedere la sottoscrizione di un accordo sul trattamento dei dati (Data Processing Agreement – nomina a responsabile del trattamento) scrivendo a info@tamone.net.

Per la scansione delle vulnerabilità note (CVE), la Piattaforma invia al servizio pubblico OSV.dev (gestito da Google LLC) esclusivamente i nomi e le versioni dei pacchetti software installati sul server: non vengono trasmessi indirizzi IP dei server, credenziali, nomi utente o altri dati personali.

8. Destinatari dei dati e responsabili esterni

I dati sono trattati dal personale autorizzato del Titolare, istruito ai sensi dell'art. 29 GDPR e dell'art. 2-quaterdecies del Codice privacy. I dati possono inoltre essere trattati, per conto del Titolare, dai seguenti soggetti nominati responsabili del trattamento ai sensi dell'art. 28 GDPR o che operano come autonomi titolari:

Fornitore di hosting: TAMONE SRL, Ghemme, con infrastruttura situata in Unione Europea, presso cui sono ospitati la Piattaforma e il relativo database.
Fornitore del servizio di posta elettronica (SMTP) utilizzato dal Titolare per l'invio delle e-mail di servizio, di verifica e di sicurezza.
Fornitori di archiviazione per i backup (servizi compatibili S3 o server FTP scelti dal Titolare), presso cui possono essere conservate copie di backup, eventualmente cifrate.
OSV.dev (Google LLC), che riceve solo nomi e versioni di pacchetti software, senza alcun dato personale.
Autorità giudiziarie o amministrative, nei casi previsti dalla legge.

I dati non sono diffusi né ceduti a terzi per finalità di marketing. L'elenco aggiornato dei responsabili del trattamento può essere richiesto al Titolare.

9. Trasferimenti di dati verso Paesi extra-UE

Il Titolare privilegia fornitori che trattano i dati all'interno dello Spazio Economico Europeo. Alcuni servizi opzionali possono comportare il trasferimento di dati verso Paesi terzi:

Negli altri casi, eventuali trasferimenti avverranno solo verso Paesi oggetto di una decisione di adeguatezza (art. 45 GDPR) o in presenza di garanzie adeguate, come le Clausole contrattuali standard (art. 46 GDPR). Puoi ottenerne copia contattando il Titolare.

10. Periodi di conservazione

I dati personali sono conservati per il tempo strettamente necessario alle finalità per cui sono raccolti, e in particolare:

dati dell'account e dei server: fino alla cancellazione dell'account da parte dell'utente o del Titolare;
storico degli accessi: 180 giorni;
log di attività: 12 mesi;
eventi del firewall e di sicurezza, blocchi anti-bruteforce: 30 giorni, salvo blocchi ancora attivi;
copie di backup: secondo il ciclo di rotazione, con conservazione minima di 14 giorni; i dati cancellati scompaiono dai backup al termine del ciclo;
altri log tecnici e dati residui dopo la cancellazione dell'account o in caso di inattività: non oltre 24 mesi, salvo obblighi di legge o necessità di difesa in giudizio.

Decorsi tali termini, i dati sono cancellati o resi anonimi in modo irreversibile.

11. Statistiche anonime

La Piattaforma utilizza un sistema di statistiche interno (di prima parte) che non installa cookie e non conserva gli indirizzi IP. Il paese di provenienza viene ricavato dall'indirizzo IP al momento della visita, che viene poi scartato; i visitatori unici sono conteggiati tramite un codice hash calcolato con un valore casuale (salt) che cambia ogni giorno, rendendo impossibile ricostruire l'identità del visitatore o seguirlo nel tempo. I dati sono raccolti esclusivamente in forma aggregata e non sono condivisi con terzi; per questo motivo non è richiesto il consenso.

La Piattaforma utilizza cookie tecnici necessari al funzionamento del servizio e, previo consenso ove richiesto, ulteriori strumenti. Per maggiori informazioni consulta la Cookie policy.

13. Diritti dell'interessato

In qualità di interessato, ai sensi degli artt. 15-22 GDPR hai il diritto di:

accesso (art. 15): ottenere conferma dell'esistenza di un trattamento e copia dei tuoi dati;
rettifica (art. 16): correggere o integrare dati inesatti o incompleti;
cancellazione (art. 17): ottenere la cancellazione dei dati nei casi previsti;
limitazione (art. 18): chiedere che il trattamento sia limitato;
portabilità (art. 20): ricevere i dati forniti in un formato strutturato e leggibile da dispositivo automatico;
opposizione (art. 21): opporti in qualsiasi momento, per motivi connessi alla tua situazione particolare, ai trattamenti basati sul legittimo interesse;
non essere sottoposto a decisioni basate unicamente su un trattamento automatizzato (art. 22), nei limiti indicati nella sezione successiva.

13.1 Come esercitare i diritti

Puoi esercitare molti dei tuoi diritti in autonomia dalle impostazioni del tuo account: modificare i dati del profilo, scaricare una copia dei tuoi dati in formato JSON (accesso e portabilità) e cancellare definitivamente l'account (cancellazione). Gli account con ruolo di amministratore non possono essere cancellati in autonomia e richiedono l'intervento di un altro amministratore o del Titolare.

In alternativa, puoi inviare una richiesta all'indirizzo info@tamone.net o via PEC a tamonesrl@pec.it, oppure al DPO all'indirizzo a.tamone@tamone.net. Il Titolare risponderà senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta, termine prorogabile di due mesi nei casi di particolare complessità (art. 12 GDPR). Per tutelare i tuoi dati, potremmo chiederti di confermare la tua identità.

14. Reclamo all'autorità di controllo

Se ritieni che il trattamento dei tuoi dati violi la normativa, hai il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it), ai sensi dell'art. 77 GDPR, o all'autorità di controllo dello Stato membro in cui risiedi abitualmente o lavori, ovvero di adire l'autorità giudiziaria competente.

15. Processo decisionale automatizzato

Il Titolare non adotta decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione, che producano effetti giuridici o incidano in modo analogo significativamente sulla tua persona. Fanno eccezione le misure automatiche di sicurezza (ad esempio il blocco temporaneo di un indirizzo IP dopo ripetuti tentativi di accesso falliti o richieste sospette rilevate dal firewall), necessarie a proteggere la Piattaforma e gli altri utenti. Se ritieni di essere stato bloccato per errore, puoi contestare il blocco e ottenere l'intervento di una persona contattando il Titolare ai recapiti indicati.

16. Minori

La Piattaforma è destinata esclusivamente a persone maggiorenni. Il Titolare non raccoglie consapevolmente dati di minori di 18 anni e, in ogni caso, di minori di 14 anni ai sensi dell'art. 2-quinquies del Codice privacy. Qualora venisse a conoscenza che un account è stato creato da un minore, provvederà alla sua cancellazione.

17. Modifiche alla presente informativa

Il Titolare può aggiornare la presente informativa, ad esempio in caso di modifiche normative o delle funzionalità della Piattaforma. Le modifiche rilevanti saranno comunicate agli utenti registrati tramite avviso sulla Piattaforma o via e-mail. Ti invitiamo a consultare periodicamente questa pagina.

Ultimo aggiornamento: 23/10/2026