Informativa sulla privacy

1. Panoramica

La presente Informativa sulla privacy descrive come LeakedSource («noi» o «nostro») raccoglie, utilizza, conserva, divulga e protegge le tue informazioni personali quando accedi o utilizzi il sito web, le interfacce di programmazione delle applicazioni e i servizi correlati di LeakedSource (collettivamente, il «Servizio»). Accedendo al Servizio o utilizzandolo, riconosci di aver letto e compreso la presente Informativa sulla privacy.

Ci impegniamo a garantire la trasparenza sulle nostre pratiche in materia di dati. Poiché il Servizio comporta il trattamento di intelligence sulle violazioni dei dati, la presente Informativa descrive anche come gestiamo i dati relativi alle violazioni, che possono includere informazioni personali provenienti da violazioni dei dati di terze parti.

2. Chi siamo

LeakedSource è un servizio di intelligence e monitoraggio delle violazioni dei dati di proprietà e gestito da HEROIC Holdings, LLC («HEROIC»), una società a responsabilità limitata costituita secondo le leggi degli Stati Uniti. HEROIC agisce in qualità di titolare del trattamento delle informazioni personali trattate tramite il Servizio.

Per richieste relative alla privacy, puoi contattarci all'indirizzo legal@leakedsource.com.

3. Informazioni che raccogliamo

Raccogliamo informazioni da diverse fonti per fornire, mantenere e migliorare il Servizio.

3.1 Informazioni che fornisci direttamente

• Informazioni sull'account: quando crei un account, raccogliamo il tuo nome, il tuo indirizzo email e la tua password (conservata in forma di hash).
• Query di ricerca: indirizzi email, nomi utente, numeri di telefono, indirizzi IP o altri identificatori che invii per il confronto con il nostro database delle violazioni.
• Informazioni di pagamento: quando sottoscrivi un piano a pagamento, i dati di pagamento (come il numero della carta di credito e l'indirizzo di fatturazione) vengono raccolti ed elaborati dal nostro processore di pagamento di terze parti. Non conserviamo i numeri completi delle carte di pagamento sui nostri server.
• Comunicazioni: le informazioni che fornisci quando contatti il nostro team di assistenza, invii feedback o comunichi con noi in altro modo.
• Indirizzi email monitorati: gli indirizzi email che aggiungi per il monitoraggio continuo delle violazioni.

3.2 Informazioni raccolte automaticamente

• Informazioni sul dispositivo e sul browser: tipo e versione del browser, sistema operativo, tipo di dispositivo, risoluzione dello schermo e preferenze di lingua.
• Dati di utilizzo: pagine visualizzate, funzionalità utilizzate, frequenza delle ricerche, tempo trascorso sulle pagine, percorsi di navigazione e dati di clickstream.
• Dati di log: indirizzo IP, data e ora di accesso, URL di provenienza, metodo della richiesta HTTP, codici di stato della risposta e stringhe user agent.
• Cookie e tecnologie simili: identificatori di sessione, cookie di preferenza e dati analitici (vedi Sezione 7).
• Segnali del dispositivo e di sicurezza: quando visiti il Servizio, uno script di sicurezza raccoglie caratteristiche del tuo browser e del tuo dispositivo, come le proprietà dello schermo, i font installati, le caratteristiche di rendering grafico e audio, i dettagli hardware, il fuso orario e le impostazioni di lingua, nonché segnali di browser automatizzati o manipolati. I nostri server registrano anche le caratteristiche del modo in cui il tuo browser si connette (parametri di connessione TLS, HTTP e TCP), il tuo indirizzo IP e la rete, il fornitore di servizi Internet e il paese da esso derivati. I valori di grandi dimensioni vengono ridotti a hash unidirezionali nel tuo browser prima di essere inviati. Quando hai effettuato l'accesso, questi segnali sono collegati all'identificatore interno del tuo account (mai al tuo indirizzo email). Vedi Sezione 4.1.
• Contesto della registrazione: quando crei un account, registriamo il tuo paese (ricavato dall'indirizzo IP di origine tramite la nostra rete di distribuzione dei contenuti), la lingua preferita del browser, l'indirizzo IP utilizzato al momento della registrazione e il fuso orario indicato dal tuo browser. Utilizziamo questi dati per personalizzare i contenuti, mostrare funzionalità specifiche per regione, inviare le email programmate in orari locali appropriati, rilevare la creazione fraudolenta di account e rispettare le normative regionali. L'indirizzo IP registrato al momento della registrazione e il fuso orario vengono salvati una sola volta e non vengono aggiornati mentre continui a utilizzare il Servizio. Il tuo paese e la tua lingua vengono aggiornati se cambiano. Non registriamo la tua posizione precisa, dati GPS o la cronologia di navigazione al di fuori del Servizio. Tutte queste informazioni vengono eliminate automaticamente quando elimini il tuo account.

3.3 Informazioni provenienti da fonti di terze parti

• Dati di intelligence sulle violazioni: otteniamo i record delle violazioni dei dati da HEROIC, che aggrega dati provenienti da esposizioni di dati pubblicamente note, ricerche di sicurezza e altre fonti lecite. Questi dati possono includere indirizzi email, nomi utente, password in forma di hash o in chiaro, numeri di telefono, indirizzi IP, indirizzi fisici e altre informazioni personali esposte in violazioni dei dati di terze parti. Consulta la Sezione 5 per i dettagli su come vengono trattati questi dati.
• Processore di pagamento: il nostro processore di pagamento può condividere con noi dati limitati sulle transazioni (come la conferma dell'avvenuto pagamento).

4. Come utilizziamo le tue informazioni

Utilizziamo le informazioni che raccogliamo per le seguenti finalità:

• Fornire il Servizio: per confrontare gli identificatori che invii con le violazioni dei dati note, fornire i risultati di ricerca e offrire funzionalità di monitoraggio e notifica delle violazioni.
• Gestione dell'account: per creare e gestire il tuo account, elaborare i pagamenti degli abbonamenti e applicare le limitazioni dei livelli di servizio.
• Comunicazioni transazionali: per inviare email di verifica dell'account, richieste di reimpostazione della password, avvisi di violazione, ricevute di pagamento e altre notifiche relative al servizio.
• Miglioramento del Servizio: per analizzare i modelli di utilizzo, diagnosticare problemi tecnici, ottimizzare le prestazioni e sviluppare nuove funzionalità.
• Sicurezza e prevenzione delle frodi: per rilevare, indagare e prevenire accessi non autorizzati, abusi o attività fraudolente sul Servizio, anche riconoscendo i dispositivi utilizzati con il tuo account e rilevando bot e traffico automatizzato (vedi Sezione 4.1).
• Analisi: per comprendere il comportamento aggregato degli utenti e misurare l'efficacia del nostro Servizio (vedi Sezione 7).
• Marketing e pubblicità: per personalizzare, distribuire e misurare il marketing e la pubblicità sui siti web e sui servizi di HEROIC, anche riconoscendo il tuo dispositivo su di essi (vedi Sezione 4.1).
• Conformità legale: per rispettare le leggi e i regolamenti applicabili, i procedimenti legali o le richieste vincolanti delle autorità pubbliche.

Non vendiamo le tue informazioni personali a terzi. Non utilizziamo le tue informazioni personali per processi decisionali automatizzati che producono effetti giuridici o effetti analogamente significativi senza intervento umano.

4.1 Riconoscimento dei dispositivi e rilevamento dei bot

HEROIC gestisce un servizio di riconoscimento dei dispositivi all'indirizzo edge.leakedsource.com che utilizza i segnali del dispositivo e di sicurezza descritti nella Sezione 3.2. Viene utilizzato per:

• riconoscere i dispositivi già utilizzati con il tuo account, anche quando i cookie sono stati cancellati, in modo da rilevare accessi insoliti e tentativi di furto dell'account;
• rilevare bot, strumenti automatizzati e browser manipolati;
• misurare e migliorare l'accuratezza di queste protezioni;
• riconoscere il tuo dispositivo sui siti web e sui servizi di HEROIC, e personalizzare e misurare il marketing e la pubblicità su di essi.

Questi segnali possono essere utilizzati per richiedere una verifica aggiuntiva o per limitare o bloccare attività che sembrano automatizzate, fraudolente o non autorizzate. HEROIC utilizza lo stesso servizio sugli altri suoi siti web e servizi, incluso HEROIC.com, pertanto il tuo dispositivo può essere riconosciuto e collegato tra di essi.

Trattiamo queste informazioni a fini di sicurezza sulla base del nostro legittimo interesse a mantenere sicuri il Servizio e i suoi utenti, e a fini di marketing e pubblicità sulla base dei nostri legittimi interessi o, ove richiesto dalla legge, del tuo consenso. I controlli di sicurezza vengono eseguiti indipendentemente dal fatto che tu accetti o meno i cookie analitici e a prescindere dai segnali di privacy del browser. Non vendiamo i segnali del dispositivo e di sicurezza né li condividiamo con terzi.

5. Dati e intelligence sulle violazioni

La funzione principale di LeakedSource è aiutare persone e organizzazioni a stabilire se le proprie informazioni personali sono state esposte in violazioni dei dati note. Di seguito viene descritto come i dati delle violazioni vengono reperiti, elaborati e presentati.

5.1 Fonti dei dati

I record delle violazioni sono forniti da HEROIC, che raccoglie e indicizza dati provenienti da set di dati di violazioni pubblicamente disponibili, ricerche di sicurezza e altre fonti lecite. LeakedSource non effettua attacchi informatici, non accede né ottiene in altro modo illecitamente dati da alcun sistema. Tutti i dati delle violazioni elaborati tramite il Servizio sono stati precedentemente esposti da terzi e sono ottenuti esclusivamente per finalità di sicurezza informatica e antifrode.

5.2 Come funzionano le ricerche

Quando effettui una ricerca, la tua query (ad esempio un indirizzo email) viene trasmessa in modo sicuro all'API di HEROIC tramite una connessione crittografata. L'API di HEROIC restituisce i record delle violazioni corrispondenti, che ti vengono poi mostrati in base al tuo livello di abbonamento. Gli utenti del piano gratuito vedono informazioni limitate (nomi e date delle violazioni); gli abbonati a pagamento possono accedere a ulteriori dettagli, come i campi di dati esposti.

5.3 Mascheramento dei dati sensibili

Alcune categorie di informazioni sensibili restituite nei record delle violazioni vengono automaticamente mascherate o parzialmente oscurate per limitarne l'esposizione. Ciò include, a titolo esemplificativo e non esaustivo, le password (di cui vengono mostrati solo gli ultimi due caratteri), i numeri di previdenza sociale (ultime due cifre) e i numeri delle carte di pagamento (solo le prime sei e le ultime quattro cifre). Le credenziali complete in chiaro non vengono mai visualizzate tramite il Servizio.

5.4 Dati degli stealer log

Alcuni record delle violazioni provengono da malware per il furto di credenziali («stealer log»). Questi dati sono classificati separatamente e sono accessibili solo agli abbonati a pagamento. Applichiamo controlli di accesso aggiuntivi ai dati degli stealer log, data la loro potenziale sensibilità.

5.5 Accuratezza e completezza

I dati delle violazioni provengono da fonti esterne di terze parti. Pur impegnandoci a verificare la legittimità e l'autenticità dei set di dati delle violazioni, non possiamo garantire l'accuratezza, la completezza, l'attualità o l'affidabilità di alcun record specifico. I record possono contenere errori, voci inventate o informazioni obsolete. L'assenza di risultati per una determinata ricerca non garantisce che le tue informazioni non siano state compromesse.

6. Servizi di terze parti

Ci avvaliamo delle seguenti categorie di fornitori di servizi terzi per gestire il Servizio. Questi fornitori trattano le informazioni personali per nostro conto e sono contrattualmente obbligati a utilizzarle solo per le finalità per cui sono state comunicate.

Possiamo inoltre utilizzare la tecnologia di IA Claude di Anthropic per il miglioramento interno del servizio e la generazione di contenuti. Le informazioni personali specifiche degli utenti non vengono inviate ai servizi di IA per l'elaborazione senza essere state anonimizzate.

6.1 Partner per il Monitoraggio della privacy (Optery)

Quando utilizzi il nostro servizio di Monitoraggio della privacy, condividiamo le informazioni personali che fornisci (nome, indirizzi, numeri di telefono, anno di nascita) con il nostro partner per il monitoraggio dei data broker, Optery, Inc., esclusivamente allo scopo di cercare e rimuovere i tuoi dati dai siti web dei data broker. Optery agisce in qualità di responsabile del trattamento in base a un accordo sul trattamento dei dati (Data Processing Agreement).

Le tue informazioni sono crittografate in transito e inattive. Puoi verificare quali dati condividiamo con Optery, o eliminarli completamente, dalle impostazioni del tuo account. L'informativa sulla privacy di Optery è disponibile all'indirizzo https://www.optery.com/privacy/.

7. Cookie e analisi

Utilizziamo cookie e tecnologie simili per far funzionare il Servizio, mantenere la tua sessione, ricordare le tue preferenze e raccogliere dati analitici.

7.1 Tipi di cookie che utilizziamo

• Cookie essenziali: necessari per le funzionalità principali come l'autenticazione, la gestione delle sessioni e la protezione CSRF. Non possono essere disattivati.
• Cookie di sicurezza: un identificatore casuale impostato da edge.leakedsource.com per riconoscere il tuo browser per le finalità descritte nella Sezione 4.1. Non è leggibile dagli script e scade dopo 400 giorni.
• Cookie analitici: utilizzati da Google Analytics (tramite Google Tag Manager) per raccogliere informazioni anonimizzate su come i visitatori utilizzano il Servizio, incluse le pagine visitate, il tempo trascorso sul sito e i percorsi di navigazione. Utilizziamo l'anonimizzazione dell'indirizzo IP.

7.2 Gestione dei cookie

Puoi controllare o eliminare i cookie tramite le impostazioni del tuo browser. La disattivazione dei cookie essenziali potrebbe impedirti di utilizzare alcune funzionalità del Servizio. Per ulteriori informazioni sulla gestione dei cookie, visita allaboutcookies.org.

7.3 Do Not Track

Alcuni browser trasmettono segnali «Do Not Track» (DNT). Al momento non rispondiamo ai segnali DNT, poiché non esiste uno standard universalmente accettato su come interpretarli.

8. Sicurezza dei dati

Adottiamo misure di sicurezza amministrative, tecniche e fisiche conformi agli standard del settore per proteggere le tue informazioni personali da accessi, alterazioni, divulgazioni o distruzioni non autorizzati. Queste misure includono:

• Crittografia dei dati in transito tramite TLS 1.2 o superiore.
• Crittografia dei dati sensibili inattivi.
• Hash delle password con algoritmi crittografici robusti e con salt (bcrypt).
• Controlli di accesso basati sui ruoli che limitano l'accesso dei dipendenti alle informazioni personali.
• Valutazioni periodiche della sicurezza e monitoraggio degli accessi non autorizzati.
• Timeout automatici delle sessioni e protezioni con limitazione della frequenza delle richieste.

Nessun metodo di trasmissione su Internet o di archiviazione elettronica è completamente sicuro. Pur impegnandoci a proteggere le tue informazioni personali, non possiamo garantirne la sicurezza assoluta.

9. Conservazione dei dati

• Dati dell'account: conservati per tutta la durata del tuo account. Quando elimini il tuo account, le tue informazioni personali vengono eliminate definitivamente entro 30 giorni, salvo i casi in cui la conservazione sia richiesta dalla legge.
• Cronologia delle ricerche: conservata allo scopo di applicare i limiti di ricerca giornalieri e fornire la cronologia delle attività dell'account. La cronologia delle ricerche viene eliminata quando elimini il tuo account.
• Registri dei pagamenti: i registri delle transazioni sono conservati per un massimo di sette (7) anni per adempiere agli obblighi fiscali e di rendicontazione finanziaria.
• Log del server: eliminati automaticamente dopo 90 giorni.
• Registri dei dispositivi e di sicurezza: i registri dei controlli di sicurezza vengono eliminati dopo 400 giorni e l'indirizzo IP in essi contenuto dopo 30 giorni. I profili dei dispositivi, e il loro collegamento all'identificatore interno del tuo account, sono conservati per il tempo necessario agli scopi indicati nella Sezione 4.1 e possono essere conservati anche dopo l'eliminazione del tuo account, per proteggere da frodi e abusi dell'account.
• Dati della scansione gratuita: gli indirizzi email inviati tramite la scansione gratuita (senza creazione di un account) non vengono conservati dopo la consegna del risultato della scansione.
• Dati di intelligence sulle violazioni: i record delle violazioni provenienti da HEROIC sono conservati nel nostro database come parte dell'indice di intelligence sulle violazioni. Data la natura di sicurezza informatica di questi dati, i record delle violazioni possono essere conservati anche dopo singole richieste di cancellazione, in conformità con la legge applicabile e con il legittimo interesse a mantenere un database completo di intelligence sulle minacce.

10. I tuoi diritti e le tue scelte

A seconda della tua giurisdizione, potresti avere i seguenti diritti in relazione alle tue informazioni personali:

• Accesso: richiedere una copia delle informazioni personali che conserviamo su di te.
• Rettifica: richiedere la rettifica di informazioni personali inesatte o incomplete.
• Cancellazione: richiedere la cancellazione delle tue informazioni personali, fatte salve alcune eccezioni (vedi Sezione 9).
• Portabilità dei dati: richiedere una copia leggibile da dispositivo automatico delle tue informazioni personali.
• Rinuncia al marketing: annullare in qualsiasi momento l'iscrizione alle comunicazioni non essenziali utilizzando il link di disiscrizione presente in ogni email di marketing.
• Opposizione: opporti al trattamento basato sui nostri legittimi interessi, compreso il riconoscimento dei dispositivi (Sezione 4.1). Puoi chiederci di smettere di riconoscere i tuoi dispositivi in base alle loro caratteristiche.
• Revoca del consenso: se il trattamento si basa sul consenso, puoi revocarlo in qualsiasi momento senza pregiudicare la liceità del trattamento precedente.

Per esercitare uno qualsiasi di questi diritti, contattaci all'indirizzo legal@leakedsource.com. Risponderemo alle richieste verificate entro 30 giorni (o secondo quanto previsto dalla legge applicabile). Potremmo chiederti di verificare la tua identità prima di elaborare la tua richiesta.

10.1 Rimozione dei Dati delle violazioni

I record delle violazioni provengono da fonti di terze parti ed esistono indipendentemente dal tuo utilizzo del Servizio. L'eliminazione del tuo account LeakedSource non rimuove le tue informazioni dai database esterni delle violazioni. Se le tue informazioni compaiono in un record di violazione e desideri richiederne la rimozione dal nostro indice di ricerca, contattaci all'indirizzo legal@leakedsource.com. Tieni presente che potremmo conservare i dati delle violazioni per legittime finalità di sicurezza informatica e antifrode, come consentito dalla legge applicabile.

11. Diritti alla privacy in California (CCPA/CPRA)

Se risiedi in California, il California Consumer Privacy Act (CCPA), come modificato dal California Privacy Rights Act (CPRA), ti riconosce ulteriori diritti in relazione alle tue informazioni personali:

• Diritto di sapere: hai il diritto di richiedere che ti comunichiamo le categorie e gli specifici elementi di informazioni personali che abbiamo raccolto su di te, le fonti di tali informazioni, le finalità per cui vengono utilizzate e le categorie di terze parti con cui vengono condivise.
• Diritto alla cancellazione: hai il diritto di richiedere la cancellazione delle informazioni personali, fatte salve alcune eccezioni previste dalla legge.
• Diritto di opporsi alla vendita/condivisione: non vendiamo le tue informazioni personali secondo la definizione del CCPA. Non condividiamo le tue informazioni personali per pubblicità comportamentale cross-contesto.
• Diritto alla non discriminazione: non ti discrimineremo per aver esercitato i tuoi diritti ai sensi del CCPA.

Per esercitare i tuoi diritti ai sensi del CCPA, contattaci all'indirizzo legal@leakedsource.com o invia una richiesta tramite le impostazioni del tuo account. Verificheremo la tua identità prima di dare seguito alla tua richiesta.

12. Trasferimenti internazionali di dati

Il Servizio è ospitato negli Stati Uniti. Se accedi al Servizio dall'esterno degli Stati Uniti, le tue informazioni personali saranno trasferite, conservate e trattate negli Stati Uniti, dove le leggi sulla protezione dei dati potrebbero differire da quelle della tua giurisdizione. Utilizzando il Servizio, acconsenti a tali trasferimenti. Adottiamo misure per garantire che le tue informazioni personali ricevano un livello di protezione adeguato nelle giurisdizioni in cui le trattiamo.

13. Privacy dei minori

Il Servizio non è rivolto a persone di età inferiore a 16 anni. Non raccogliamo consapevolmente informazioni personali da minori di 16 anni. Se veniamo a conoscenza di aver raccolto informazioni personali da un minore di 16 anni, adotteremo misure per eliminarle tempestivamente. Se ritieni che un minore di 16 anni ci abbia fornito informazioni personali, contattaci all'indirizzo legal@leakedsource.com.

14. Esclusione di responsabilità ai sensi dell'FCRA

LeakedSource non è un'agenzia di informazioni sui consumatori (consumer reporting agency) ai sensi del Fair Credit Reporting Act («FCRA»), 15 U.S.C. § 1681 e segg. Il Servizio non costituisce un «consumer report» secondo la definizione dell'FCRA. Non puoi utilizzare il Servizio o qualsiasi informazione ottenuta tramite il Servizio come fattore per (a) stabilire l'idoneità di una persona a credito, assicurazione o impiego; (b) la selezione degli inquilini; (c) qualsiasi altro scopo autorizzato dall'FCRA. Qualsiasi utilizzo del Servizio in violazione della presente disposizione è severamente vietato e costituisce una violazione sostanziale dei Termini di servizio.

15. IA ed elaborazione automatizzata

Possiamo utilizzare tecnologie di intelligenza artificiale, incluso Claude di Anthropic, per le seguenti finalità:

• Generazione di riepiloghi delle violazioni e di contenuti formativi.
• Analisi interna dei dati e miglioramento del servizio.
• Categorizzazione e classificazione automatizzate dei dati delle violazioni.

Non inviamo informazioni personali identificabili degli utenti a sistemi di IA per l'elaborazione. Qualsiasi analisi dei dati delle violazioni assistita dall'IA viene eseguita su set di dati aggregati o anonimizzati. Nessuna decisione automatizzata con effetti giuridici o effetti analogamente significativi viene presa esclusivamente dall'IA senza revisione umana.

16. Modifiche alla presente Informativa

Possiamo aggiornare periodicamente la presente Informativa sulla privacy per riflettere modifiche alle nostre pratiche, alle tecnologie, ai requisiti di legge o ad altri fattori. Quando apportiamo modifiche sostanziali, te lo comunicheremo pubblicando l'Informativa aggiornata sul Servizio e aggiornando la data di «Ultimo aggiornamento». Per le modifiche sostanziali che incidono in modo significativo sul trattamento delle tue informazioni personali, forniremo un ulteriore avviso (ad esempio una notifica via email o un banner all'interno dell'app). L'uso continuato del Servizio dopo la data di entrata in vigore di un'Informativa aggiornata costituisce accettazione delle modifiche.

17. Contattaci

Se hai domande, dubbi o richieste relative alla presente Informativa sulla privacy o alle nostre pratiche in materia di dati, contattaci: