Collaborazione con le autorità e richieste di dati

1.Gestore del servizio e destinatari della policy

pik.li è un servizio di InCloud S.r.l., società di diritto italiano con sede legale in Vignola (MO). Per i link corti che memorizza, InCloud è un prestatore di servizi intermediari di memorizzazione di informazioni (hosting) ai sensi del regolamento (UE) 2022/2065 sui servizi digitali («DSA»); il coordinatore dei servizi digitali competente per l'Italia è l'Autorità per le garanzie nelle comunicazioni (AGCOM).

La presente policy si rivolge all'autorità giudiziaria, alle forze di polizia, alle autorità amministrative e di vigilanza e ai CERT/CSIRT nazionali che, in base alla legge loro applicabile, sono legittimati a chiedere informazioni, la conservazione di dati o la rimozione di contenuti. L'indirizzo qui indicato costituisce inoltre il punto di contatto unico per le autorità degli Stati membri, per la Commissione europea e per il comitato europeo per i servizi digitali (art. 11 DSA).

Gli utenti di pik.li, i titolari di diritti, gli avvocati e gli altri privati non devono utilizzare questo canale: per segnalare un link dannoso è disponibile il modulo di segnalazione; per le questioni relative al proprio account, l'assistenza clienti. InCloud comunica dati personali a soggetti privati soltanto su ordine dell'autorità giudiziaria o quando la legge lo impone.

2.Modalità di invio

Le richieste devono essere inviate all'indirizzo indicato in testa alla presente pagina. La casella è gestita direttamente da InCloud S.r.l. ed è consultata nei giorni lavorativi; le richieste urgenti seguono la procedura descritta nella sezione «Richieste di emergenza».

InCloud conferma la ricezione di ogni richiesta comunicando un numero di pratica, da citare nella corrispondenza successiva.

Sono accettate richieste in lingua italiana e in lingua inglese; quelle redatte in altre lingue vengono comunque trattate, ma la traduzione può richiedere tempi più lunghi.

3.Contenuto della richiesta

Per consentire un riscontro rapido e accurato, la richiesta deve essere completa e indicare:

1. 1 L'autorità richiedente: ufficio, nome, qualifica e recapiti istituzionali del funzionario o dell'ufficiale responsabile (numero del centralino e indirizzo di posta elettronica istituzionale).
2. 2 Gli estremi del procedimento: numero del procedimento penale, del fascicolo o di protocollo e, se diversa, l'autorità giudiziaria procedente.
3. 3 La base giuridica: la norma che legittima la richiesta e, ove presente, il provvedimento dell'autorità giudiziaria (decreto del pubblico ministero o del giudice) o l'ordine europeo.
4. 4 I dati richiesti, indicati con precisione: per esempio i dati identificativi dell'account, gli accessi con i relativi indirizzi IP, l'elenco e la cronologia dei link, le aperture, i pagamenti, le segnalazioni; oppure la conservazione dei dati o la disattivazione di un link.
5. 5 I link o gli account interessati: i link corti per esteso, uno per riga, esattamente come compaiono (per esempio https://lnkz.li/abc1234), oppure l'indirizzo e-mail o il nome utente dell'account, il riferimento di un pagamento o l'identificativo di un'apertura. Non è possibile effettuare ricerche generiche per contenuto o per destinazione.
6. 6 L'intervallo temporale di interesse, con l'indicazione del fuso orario. I registri di InCloud sono tenuti in UTC.
7. 7 Il termine entro cui è richiesto il riscontro e, se ricorrono, i motivi dell'urgenza.
8. 8 L'eventuale carattere riservato della richiesta e il periodo durante il quale il titolare dell'account non deve esserne informato, con il riferimento alla norma o al provvedimento che lo dispone.

Se la richiesta è incompleta, non consente di identificare con certezza l'autorità o non indica una base giuridica chiara, InCloud chiede le necessarie integrazioni prima di dare riscontro. Nel frattempo, se vi è il rischio che i dati vadano perduti, InCloud provvede a conservarli.

4.Verifica dell'autenticità

Prima di comunicare qualsiasi dato, InCloud verifica che la richiesta provenga effettivamente dall'autorità indicata:

• controlla che la richiesta provenga da un indirizzo istituzionale o da una casella PEC riconducibile all'ufficio e che l'atto sia sottoscritto e coerente;
• in caso di dubbio, contatta telefonicamente l'ufficio a un numero reperito autonomamente da fonti ufficiali, mai a quello indicato nel messaggio, oppure chiede conferma scrivendo alla sua PEC pubblica;
• può chiedere la trasmissione dell'atto originale a mezzo PEC o la conferma dell'autorità giudiziaria procedente.

Fino alla conclusione della verifica non vengono comunicati dati, ma InCloud può conservarli affinché non vadano perduti. Nelle emergenze la verifica si svolge con la massima rapidità, parallelamente alla gestione della richiesta.

Chi si presenta falsamente come autorità commette un reato: InCloud segnala alle autorità competenti ogni richiesta falsa ricevuta.

5.Dati che possono essere forniti

InCloud fornisce senza ritardo i dati in suo possesso al momento della richiesta che rientrano nell'oggetto della stessa. A seconda dei casi, può trattarsi di:

• Dati dell'account: indirizzo e-mail, nome utente, eventuale e-mail di recupero, lingua, date di registrazione, di conferma e di ultima attività, stato, piano, versione dei Termini di servizio accettata; se l'account ha effettuato acquisti, i dati di fatturazione dichiarati dal titolare dell'account (nome, indirizzo, Paese, ragione sociale, partita IVA, codice fiscale, telefono, PEC).
• Accessi: le sessioni aperte, con indirizzo IP completo, data di inizio e di ultima attività, browser, sistema operativo e posizione stimata; il registro delle attività dell'account (accessi, cambi di password, attivazione della verifica in due passaggi, modifiche) con la data e, ove registrato, l'indirizzo IP.
• Link e campagne: destinazione, titolo, tag, parametri UTM, dominio, date di creazione e di ultima apertura, cronologia delle modifiche della destinazione, lotto di importazione, anche per i link cancellati dal titolare dell'account ma ancora conservati.
• Aperture dei link: data e ora, indirizzo IP completo, Paese, regione e città stimati, dispositivo, browser, sistema operativo, lingua, pagina di provenienza, user-agent e rete di provenienza (ASN) di ciascuna apertura, entro il periodo di conservazione previsto dal piano del titolare del link.
• Pagamenti e ordini: fornitore, riferimento della transazione, importi, date, fatture e ricevute emesse, domini acquistati.
• Abusi e moderazione: segnalazioni ricevute (con l'indirizzo e-mail del segnalante, se indicato), esiti dei controlli automatici, decisioni del personale di InCloud, ricorsi del titolare dell'account, misure adottate sull'account.
• Richieste di assistenza e comunicazioni intercorse tra il titolare dell'account e il personale di InCloud.

Di regola, i dati identificativi dell'account sono forniti su richiesta scritta e motivata della polizia giudiziaria o dell'autorità giudiziaria nell'ambito di un procedimento; gli indirizzi IP degli accessi e delle aperture, gli altri dati delle aperture e il contenuto delle comunicazioni sono forniti su decreto motivato dell'autorità giudiziaria, salvi i casi di emergenza.

Salvo diversa indicazione dell'autorità, i dati sono trasmessi per e-mail o a mezzo PEC in un file strutturato (CSV, JSON o PDF), con l'indicazione della fonte e dell'ora di estrazione. I file possono essere cifrati, con trasmissione della password su un canale separato.

6.Dati che non possono essere forniti

• L'identità di chi ha aperto un link: InCloud ne conserva l'indirizzo IP e i dati tecnici dell'apertura, ma non il nome né altri dati identificativi. Per risalire all'intestatario della connessione occorre rivolgersi al fornitore di accesso a Internet a cui l'indirizzo IP era assegnato.
• Il contenuto delle pagine di destinazione: pik.li conserva l'indirizzo, non una copia del sito. Per il contenuto occorre rivolgersi a chi ospita la pagina.
• I dati già cancellati alla scadenza dei periodi di conservazione indicati nell'Informativa privacy, compresi gli indirizzi IP delle aperture: una volta cancellati non sono recuperabili, neppure dalle copie di sicurezza dopo la loro scadenza.
• I dati non trattati da InCloud: estremi del conto PayPal o del portafoglio di criptovalute, dati degli strumenti di pagamento, log di Cloudflare, dati detenuti dal registrar o dal fornitore di posta elettronica del titolare dell'account. InCloud indica volentieri a quale fornitore rivolgersi.
• Intercettazioni o monitoraggio in tempo reale: InCloud non è un fornitore di servizi di comunicazione elettronica. Su ordine dell'autorità può tuttavia conservare e fornire i dati che si formeranno in relazione a un account o a un link determinato.
• Le password in chiaro: sono conservate soltanto sotto forma di hash non reversibile.
• Un'identità verificata: nome e indirizzo sono dichiarati dal titolare dell'account e non sono verificati da InCloud, a eccezione della partita IVA, controllata nel sistema VIES.

7.Conservazione urgente dei dati

Se vi è il rischio che i dati vadano perduti prima dell'ordine formale, l'autorità può chiederne la conservazione: InCloud li sottrae alle procedure di cancellazione automatica per 90 giorni, prorogabili su richiesta motivata, e li comunica soltanto quando riceve un ordine valido.

InCloud dà esecuzione senza ritardo agli ordini di conservazione di cui all'art. 132, comma 4-ter, del Codice in materia di protezione dei dati personali (d.lgs. 196/2003), per la durata indicata e comunque non oltre quella prevista dalla legge, nonché agli ordini europei di conservazione di cui al regolamento (UE) 2023/1543 (60 giorni, prorogabili di ulteriori 30). InCloud mantiene il segreto sull'ordine ricevuto e sulle attività svolte per il periodo indicato dall'autorità.

La conservazione riguarda i dati esistenti al momento della richiesta e, se indicato, quelli che si formeranno fino alla scadenza.

8.Richieste di emergenza

In caso di pericolo imminente per la vita o l'incolumità di una persona (per esempio rischio di suicidio, sequestro di persona, minaccia di attentato, sfruttamento di un minore), l'oggetto del messaggio deve iniziare con «URGENTE – PERICOLO PER LA VITA» e le prime righe devono descrivere la situazione: chi è in pericolo, per quale motivo, quali dati sono necessari e perché non è possibile attendere un provvedimento ordinario.

Queste richieste sono trattate con priorità assoluta. Nei limiti consentiti dalla legge, InCloud può comunicare i dati strettamente necessari a fronteggiare l'emergenza prima del provvedimento formale (art. 6, par. 1, lett. d, GDPR) e disattivare immediatamente un link; l'atto formale deve seguire non appena possibile. Per gli ordini europei di produzione urgenti, InCloud rispetta il termine di 8 ore previsto dal regolamento (UE) 2023/1543.

Quando viene essa stessa a conoscenza di informazioni che fanno sospettare un reato che comporta una minaccia per la vita o la sicurezza delle persone, InCloud ne informa di propria iniziativa le autorità competenti (art. 18 DSA).

9.Rimozione e disattivazione dei link

Un link che viola le regole di pik.li viene disattivato non appena InCloud ne viene a conoscenza, senza attendere un ordine: la destinazione non è più raggiungibile e chi apre il link vede una pagina che ne spiega la disattivazione. Chiunque può segnalarlo tramite la pagina Segnala un abuso; un'autorità può chiederne la disattivazione all'indirizzo indicato in questa pagina.

InCloud dà esecuzione agli ordini di contrastare contenuti illegali (art. 9 DSA) e agli ordini di fornire informazioni (art. 10 DSA) e informa senza indebito ritardo l'autorità emittente del seguito dato e del momento in cui vi ha dato seguito.

Su richiesta, InCloud disattiva il link senza cancellarlo, così che i dati restino disponibili per le indagini.

10.Richieste di autorità di altri Stati

• Autorità di altri Stati membri dell'Unione europea: InCloud dà esecuzione agli ordini europei di produzione e di conservazione di cui al regolamento (UE) 2023/1543, applicabile dal 18 agosto 2026, e agli ordini di cui agli articoli 9 e 10 DSA. Le altre richieste devono essere trasmesse mediante ordine europeo di indagine (direttiva 2014/41/UE) o per il tramite delle autorità italiane.
• Autorità di paesi terzi: InCloud comunica dati soltanto attraverso i canali di assistenza giudiziaria (rogatoria internazionale, trattati di mutua assistenza giudiziaria – MLAT, Convenzione di Budapest sulla criminalità informatica) o per il tramite delle autorità italiane competenti, poiché la decisione di un'autorità straniera non è di per sé sufficiente a giustificare il trasferimento (art. 48 GDPR). InCloud può tuttavia conservare i dati in attesa della richiesta formale, anche su segnalazione dei punti di contatto della rete 24/7 prevista dalla Convenzione di Budapest.
• Nelle emergenze in cui sia in pericolo la vita di una persona, InCloud valuta caso per caso, nei limiti di legge, anche le richieste dirette di autorità straniere.

11.Informazione al titolare dell'account

Di regola InCloud informa il titolare dell'account della richiesta o dell'ordine che lo riguarda e del seguito dato, come previsto dagli articoli 9 e 10 DSA per gli ordini delle autorità.

InCloud non procede all'informazione, o la differisce, quando la legge o l'autorità lo vietano (per esempio per gli ordini di conservazione di cui all'art. 132, comma 4-ter, del Codice privacy o per gli ordini europei, per i quali l'informazione dell'interessato spetta all'autorità), quando l'autorità ne fa richiesta motivata per non pregiudicare le indagini o quando l'informazione metterebbe in pericolo l'incolumità di qualcuno. La richiesta dovrebbe indicare la durata dell'obbligo di riservatezza: alla scadenza, salvo proroga, InCloud informa il titolare dell'account.

12.Registro e trasparenza

InCloud registra ogni richiesta e ogni ordine: data di ricezione, autorità, riferimento, verifiche svolte, dati forniti e data del riscontro. Il registro è riservato ed è conservato secondo quanto indicato nell'Informativa privacy.

InCloud è una piccola impresa e, finché mantiene tale qualifica, non è tenuta a pubblicare la relazione di trasparenza prevista dal DSA (art. 15, par. 2); può tuttavia pubblicarne una sintesi su base volontaria.

13.Avvertenze

• La presente policy descrive le procedure di InCloud: non costituisce consulenza legale, non attribuisce diritti a terzi e non amplia gli obblighi che la legge pone a carico di InCloud.
• InCloud fornisce esclusivamente i dati presenti nei propri sistemi al momento della richiesta, nello stato in cui si trovano: non genera dati di cui non dispone e non ricostruisce quelli cancellati.
• InCloud non garantisce la veridicità né la completezza dei dati: nomi, indirizzi e recapiti sono dichiarati dai titolari degli account; la posizione è una stima ricavata dall'indirizzo IP; un indirizzo IP può appartenere a una VPN, a un proxy, alla rete Tor o a un operatore che lo condivide tra più utenti; gli orari sono quelli dei server di InCloud, espressi in UTC.
• InCloud può rifiutare, contestare o chiedere chiarimenti in merito a una richiesta che appaia illegittima, sproporzionata, priva di una chiara base giuridica, non verificabile o relativa a dati che non tratta. Nessuna disposizione della presente policy comporta rinuncia ai diritti e ai mezzi di impugnazione spettanti a InCloud o ai titolari degli account.
• InCloud non ha un obbligo generale di sorveglianza sui link né di ricerca attiva di fatti illeciti (art. 8 DSA); le misure che adotta volontariamente non modificano tale principio.
• Un'e-mail inviata a questo indirizzo non sostituisce le forme di notificazione prescritte dalla legge: per gli atti che richiedono una notificazione formale deve essere utilizzata la PEC.
• L'indirizzo è riservato alle autorità: i messaggi provenienti da altri mittenti non ricevono risposta.
• InCloud può aggiornare la presente policy; è in vigore la versione pubblicata in questa pagina, con la data indicata in alto. Fa fede il testo italiano.