# Sede dei dati e fiducia (FAQ)

> 20 domande su Sede dei dati e fiducia, in linguaggio semplice: cosa verificare, cosa mostra NetSenX e cosa un sensore non vede.

Source page: https://netsenx.com/it/faq/residency

## Come gestisce NetSenX il GDPR e dove sono conservati i miei dati?

I dati dei clienti sono conservati nell'UE: il database in Irlanda (AWS eu-west-1) e l'API a Francoforte (Germania) e a Parigi (Francia). NetSenX analizza i metadati di rete e non decifra mai il traffico cifrato; l'accordo sul trattamento dei dati (articolo 28 del GDPR) e l'elenco dei sub-responsabili sono pubblicati, e il DPO è raggiungibile all'indirizzo dpo@netsenx.com. I sub-responsabili per pagamenti ed e-mail operano con le clausole contrattuali tipo dell'UE, e alcune funzioni di AI Analyst usano un fornitore extra UE solo con il vostro consenso esplicito. La conformità al GDPR si valuta sull'insieme del vostro trattamento, per questo non rivendichiamo alcun certificato.

https://netsenx.com/it/faq/how-does-netsenx-handle-gdpr-and-where-is-my-data-stored

## Dove vengono archiviati i miei dati?

La telemetria e gli avvisi dei clienti sono conservati esclusivamente nell'UE — object storage e Postgres in regione UE, cifrati a riposo con AES-256-GCM. Stripe (pagamenti) tratta dati negli USA e diversi nostri fornitori sono società statunitensi; in entrambi i casi si applicano le clausole contrattuali standard UE. Alcune funzionalità di AI Analyst possono utilizzare un fornitore al di fuori dell'UE solo con il Suo consenso esplicito. Un elenco completo dei subresponsabili è pubblicato insieme al nostro DPA.

https://netsenx.com/it/faq/where-is-my-data-stored

## Posso usare le mie chiavi di crittografia (BYOK)?

Nei piani Business ed Enterprise può registrare una chiave AWS KMS o HashiCorp Vault nel Suo tenant tramite la nostra API BYOK.

https://netsenx.com/it/faq/can-i-bring-my-own-encryption-keys-byok

## Dove conserva NetSenX i dati dei clienti?

Nell'UE: il database in Irlanda (AWS eu-west-1), l'API a Francoforte (Germania) e Parigi (Francia). L'accordo sul trattamento dei dati elenca ogni sub-responsabile con ubicazione e garanzia di trasferimento.

https://netsenx.com/it/faq/where-does-netsenx-store-customer-data

## Qualche dato lascia l'UE?

Può succedere. Diversi sub-responsabili sono società registrate negli Stati Uniti e Cloudflare gestisce le richieste nel punto di presenza più vicino al visitatore, quindi i dati personali possono essere consultati da Paesi al di fuori del SEE o transitarvi, sulla base delle clausole contrattuali tipo o del quadro UE-USA per la protezione dei dati. Alcune funzioni di AI Analyst usano un fornitore al di fuori dell'UE, e solo con il Suo consenso esplicito.

https://netsenx.com/it/faq/does-any-data-leave-the-eu

## La residenza dei dati nell'UE basta per il GDPR?

No. La residenza è un fattore; la conformità al GDPR si valuta per il trattamento nel suo insieme, comprese base giuridica, minimizzazione, tempi di conservazione e contratto con il responsabile del trattamento. NetSenX pubblica il proprio accordo sul trattamento dei dati ai sensi dell'articolo 28 e non dichiara alcun certificato GDPR.

https://netsenx.com/it/faq/is-eu-data-residency-enough-for-gdpr

## NetSenX può funzionare on-premises?

Sì, nel piano Enterprise. Gli altri piani usano il pannello ospitato nell'UE, con un agente su una porta SPAN o TAP per segmento di rete oppure sugli host che sceglie Lei.

https://netsenx.com/it/faq/can-netsenx-run-on-premises

## Basta una regione europea di un cloud statunitense per la residenza dei dati?

Conservare i dati in una regione dell'UE li mantiene fisicamente nell'UE, ma un fornitore costituito negli Stati Uniti può essere soggetto a leggi statunitensi che raggiungono i dati che controlla. Secondo il capo V del GDPR, i trasferimenti fuori dall'UE richiedono una base giuridica, come il quadro UE-USA per la protezione dei dati o le clausole contrattuali tipo. Chieda a ogni fornitore dove sono conservati i dati, chi può accedervi e quali sub-responsabili sono coinvolti. NetSenX pubblica l'elenco dei suoi sub-responsabili nell'accordo sul trattamento dei dati.

https://netsenx.com/it/faq/is-an-eu-region-of-a-us-cloud-enough-for-data-residency

## Un sensore di rete invia il contenuto dei pacchetti al cloud?

Dipende dal prodotto, quindi chieda a ogni fornitore che cosa esce esattamente dalla Sua rete, in quale forma e dove viene conservato. Alcuni strumenti copiano pacchetti interi per analizzarli in seguito, altri inviano solo un riepilogo di ogni connessione. NetSenX analizza metadati e alcuni campi dei protocolli, come orari, volumi, destinazioni, risposte DNS e l’handshake TLS, e non decifra mai il traffico cifrato. Non carica il contenuto dei file, il testo delle e-mail né ciò che qualcuno ha digitato su un sito. I dati dei clienti sono conservati nell’UE, con il database in Irlanda e l’API a Francoforte e Parigi, e nel piano Enterprise è disponibile un’opzione on-premises per le organizzazioni che non vogliono far uscire nulla dalla propria sede. I metadati possono comunque identificare un dispositivo e, attraverso di esso, a volte una persona: sono quindi dati personali ai sensi del GDPR, e l’accordo sul trattamento dei dati stabilisce come vengono trattati.

https://netsenx.com/it/faq/does-a-network-sensor-send-packet-contents-to-the-cloud

## Posso riavere i miei dati quando lascio un fornitore di sicurezza?

Dovrebbe poterlo fare, ma lo verifichi prima di acquistare, perché è il contratto a decidere quanto sia semplice. Chieda quali dati può esportare (alert, elenchi di dispositivi, report, configurazione), in quale formato, se l’esportazione costa di più, per quanto tempo mantiene l’accesso dopo la disdetta e quando il fornitore cancella i dati e come lo conferma. Secondo il GDPR il responsabile del trattamento deve restituire o cancellare i dati personali alla fine del servizio, come stabilito dall’accordo sul trattamento dei dati, e la scelta spetta a Lei. Pianifichi l’uscita fin dall’inizio: tenga un proprio archivio di ciò che potrebbe servirLe in seguito, come prove per una verifica o un sinistro, invece di affidarsi alla conservazione del fornitore. Con NetSenX gli alert possono essere esportati tramite API dal piano Pro e inviati a un SIEM dal piano Business, i report di conformità in PDF sono disponibili dal piano Starter e l’accordo sul trattamento dei dati è pubblicato sul sito.

https://netsenx.com/it/faq/can-i-get-my-data-out-when-leaving-a-security-vendor

## Che differenza c’è tra residenza dei dati e sovranità dei dati?

La residenza dei dati riguarda il luogo in cui sono conservati ed elaborati; la sovranità riguarda la legge e il controllo a cui sono soggetti. Si confondono spesso, perché conservare i dati a Francoforte sembra tenerli sotto il diritto europeo. Non è detto: un fornitore con sede fuori dall’UE può essere obbligato dalla legge del proprio paese a consegnare dati che controlla, ovunque si trovi il server. La residenza si verifica su una mappa; la sovranità richiede di guardare la società che gestisce il servizio, la sua capogruppo, i suoi sub-responsabili e chi detiene le chiavi di cifratura. Ponga tre domande a ogni fornitore: dove sono i dati, chi può essere legalmente costretto a divulgarli e chi può leggerli tecnicamente. NetSenX conserva i dati dei clienti nell’UE, con il database in Irlanda e l’API a Francoforte e Parigi, ed elenca i propri sub-responsabili, alcuni costituiti negli Stati Uniti, nell’accordo sul trattamento dei dati. Per un controllo completo, nel piano Enterprise è disponibile un’opzione on-premises.

https://netsenx.com/it/faq/data-residency-vs-data-sovereignty

## Dopo la sentenza Schrems II possiamo ancora usare strumenti di sicurezza di aziende statunitensi?

Sì, ma ogni trasferimento di dati personali richiede una base valida ed è bene sapere quale sia per ciascuno strumento. Con la sentenza Schrems II la Corte di giustizia dell’UE ha annullato nel 2020 il Privacy Shield e ha chiesto agli esportatori che si basano sulle clausole contrattuali tipo di valutare se la legge del paese di destinazione le svuoti di efficacia, aggiungendo garanzie dove necessario. Oggi un trasferimento verso gli Stati Uniti può basarsi sul quadro UE-USA per la protezione dei dati se il destinatario è certificato, oppure su clausole contrattuali tipo con una valutazione d’impatto del trasferimento. Gli strumenti di sicurezza trattano spesso indirizzi IP, nomi di dispositivi e di utenti, cioè dati personali. Per ogni strumento verifichi dove vanno i dati, quale base giuridica usa il fornitore, se l’azienda è certificata e come lo sostituirebbe se quella base venisse di nuovo meno. NetSenX conserva i dati dei clienti nell’UE. Il suo accordo sul trattamento dei dati elenca i sub-responsabili e dichiara apertamente che alcuni sono stabiliti fuori dal SEE, per esempio società costituite negli Stati Uniti, e che questi trasferimenti si basano sulle clausole contrattuali tipo o sul quadro UE-USA per la protezione dei dati.

https://netsenx.com/it/faq/after-schrems-ii-can-we-use-us-security-tools

## Le promesse di residenza dei dati di un fornitore coprono anche log, backup e dati dell’assistenza?

Non sempre, quindi chieda di ogni tipo di dato separatamente. Un fornitore può tenere il database principale nell’UE mentre backup, segnalazioni di errore, ticket di assistenza, analisi, invio di e-mail o il personale che risponde ai ticket si trovano altrove. Ciascuno può contenere dati personali o dettagli della Sua rete, come indirizzi IP, nomi di dispositivi o schermate. Chieda al fornitore un elenco delle categorie di dati con il luogo e il sub-responsabile di ciascuna, e verifichi che l’accordo sul trattamento dei dati le copra tutte, non solo i “dati del cliente” in senso stretto. Chieda anche dove si trova il personale con accesso amministrativo, perché anche un accesso remoto da fuori l’UE può essere un trasferimento. In NetSenX i dati dei clienti sono conservati nell’UE, con il database in Irlanda e l’API a Francoforte e Parigi, e i sub-responsabili sono elencati nell’accordo sul trattamento dei dati. È quell’elenco a indicare dove opera ciascun servizio; se qualcosa non è chiaro, ci chieda prima di firmare.

https://netsenx.com/it/faq/are-admin-and-audit-logs-covered-by-residency-promises

## Quali domande porre a un fornitore di sicurezza sui suoi sub-responsabili del trattamento?

Chieda chi sono, che cosa fa ciascuno con i Suoi dati, dove lo fa e come verrà informato delle modifiche. Un sub-responsabile è una società di cui il fornitore si serve per trattare i Suoi dati personali, come un fornitore di hosting, un servizio di database o un servizio di invio e-mail. Secondo il GDPR, il responsabile può ricorrervi solo con l’autorizzazione scritta, specifica o generale, del titolare e deve imporgli gli stessi obblighi di protezione dei dati. Domande pratiche: l’elenco completo è pubblicato, con luogo e finalità di ogni voce? Con quanto preavviso viene informato di un nuovo sub-responsabile, e può opporsi? Quali vedono dati leggibili e quali conservano solo dati cifrati? Qualcuno si trova fuori dall’UE, e su quale base di trasferimento? Chi risponde se un sub-responsabile viene meno? NetSenX elenca i propri sub-responsabili nell’accordo sul trattamento dei dati pubblicato sul sito, così può verificarli prima di registrarsi.

https://netsenx.com/it/faq/which-questions-to-ask-a-security-vendor-about-sub-processors

## Un servizio di monitoraggio di rete richiede un accordo sul trattamento dei dati?

Sì, se il fornitore tratta dati personali per Suo conto, e il monitoraggio di rete lo fa quasi sempre. Indirizzi IP, nomi di dispositivi, nomi utente nei nomi host e orari di connessione possono identificare una persona direttamente o indirettamente, quindi sono dati personali ai sensi del GDPR. Quando un fornitore li tratta per Lei, Lei è il titolare e il fornitore il responsabile del trattamento, e il GDPR richiede un contratto o un altro atto giuridico che stabilisca oggetto, durata, natura e finalità del trattamento, tipi di dati, istruzioni, sicurezza, sub-responsabili, assistenza in caso di violazioni e ciò che accade alla fine. Lo legga come qualsiasi altro contratto: verifichi i tempi di notifica delle violazioni, i diritti di audit, il preavviso sui sub-responsabili e la cancellazione al termine. L’accordo sul trattamento dei dati di NetSenX è pubblicato sul sito e fa parte dei termini di servizio, quindi si applica dal momento in cui usa il servizio; i clienti Enterprise che hanno bisogno di una copia firmata possono richiederla.

https://netsenx.com/it/faq/does-network-monitoring-need-a-data-processing-agreement

## L’accordo sul trattamento dei dati di NetSenX è pubblico, e che cosa prevede?

Sì, è pubblicato sul sito, quindi può leggerlo prima di registrarsi. Fa parte dei termini di servizio di NetSenX tra TriStiX S.L., responsabile del trattamento, e la Sua organizzazione, titolare, ed elenca i sub-responsabili con ruolo e ubicazione. Tra gli impegni: NetSenX Le notifica una violazione dei dati personali entro 24 ore da quando ne viene a conoscenza; le modifiche all’elenco dei sub-responsabili sono annunciate con almeno 14 giorni di anticipo, così può opporsi; ha diritti di audit con preavviso; e quando chiude l’account i dati personali vengono cancellati subito e le copie nei backup scadono entro 14 giorni, dopo che ha avuto la possibilità di esportarli. Indica anche che i dati personali sono conservati nel SEE e che alcuni sub-responsabili sono stabiliti fuori dal SEE, con le garanzie di trasferimento utilizzate. L’accordo è regolato dalla legge spagnola e l’autorità di controllo indicata è l’AEPD spagnola. Chieda al Suo responsabile della protezione dei dati di confrontarlo con i Suoi requisiti; i clienti Enterprise possono richiederne una copia firmata.

https://netsenx.com/it/faq/is-the-netsenx-dpa-public

## Dove conserva NetSenX i dati sui dispositivi dei nostri dipendenti, e per quanto tempo?

Nell’UE, e per il tempo consentito dallo storico degli alert del Suo piano. NetSenX registra metadati di connessione dai segmenti monitorati: indirizzi IP interni ed esterni, porte, orari, volumi di dati, i nomi dei server contattati dai dispositivi e il nome che un dispositivo annuncia in rete, che a volte è il nome di una persona. Questi dati sono conservati con il database in Irlanda e l’API a Francoforte e Parigi. Gli alert sono conservati per lo storico del Suo piano: 30 giorni nel Free, di più nei piani a pagamento e senza limiti nell’Enterprise. NetSenX non registra il contenuto dei messaggi, i file né ciò che qualcuno ha digitato, perché non decifra mai il traffico, e riporta l’uso dell’IA per dispositivo e programma, non per persona. I dati dei dispositivi possono comunque ricondurre a un dipendente, quindi li tratti come dati personali: indichi nell’informativa al personale che cosa è monitorato e perché, limiti chi in azienda può aprire l’account e verifichi se la legge nazionale dà voce alle rappresentanze dei lavoratori. Nell’Enterprise i dati possono restare presso la Sua sede.

https://netsenx.com/it/faq/where-does-netsenx-store-data-about-employees-devices

## Serve una valutazione d’impatto sulla protezione dei dati prima di introdurre il monitoraggio di rete?

Forse, e conviene farne una breve anche quando non è strettamente obbligatoria. Il GDPR richiede una valutazione d’impatto sulla protezione dei dati (DPIA) quando un trattamento può presentare un rischio elevato per i diritti delle persone, e cita il monitoraggio sistematico tra i casi da considerare; le autorità nazionali pubblicano inoltre elenchi di trattamenti che la richiedono sempre. Il monitoraggio di una rete aziendale può rientrare in quest’area, soprattutto se riguarda i dispositivi dei dipendenti o tocca l’uso personale. Una DPIA descrive che cosa raccoglie e perché, verifica necessità e proporzionalità, elenca i rischi per le persone interessate e le misure che li riducono, e documenta la decisione. Si rivolga al Suo responsabile della protezione dei dati, consulti l’elenco della Sua autorità e conservi il risultato. Misure utili per la valutazione: NetSenX registra metadati e non contenuti, non decifra mai il traffico, riporta l’uso dell’IA per dispositivo e programma e non per persona, conserva i dati nell’UE e Le permette di limitare chi può aprire l’account. Non scrive la DPIA al posto Suo.

https://netsenx.com/it/faq/do-we-need-a-dpia-before-deploying-network-monitoring

## Un piccolo fornitore europeo di sicurezza è un rischio per la continuità operativa?

Può esserlo, come qualsiasi fornitore, quindi lo giudichi in base al piano di uscita e non solo alle dimensioni. Un fornitore piccolo può essere più esposto a cambiamenti di finanziamento, personale o acquisizione; uno grande può cambiare i prezzi, abbandonare un prodotto o spostare i dati sotto un’altra giurisdizione. In entrambi i casi il rischio si riduce allo stesso modo: si assicuri di poter esportare i dati in un formato utilizzabile in qualsiasi momento, conservi copie proprie delle prove necessarie per verifiche, assicuratori o autorità, sappia per quanto tempo il servizio continua dopo la disdetta e decida in anticipo con che cosa lo sostituirebbe. Per uno strumento di rilevamento consideri anche che cosa succede se si ferma: gli alert cessano, ma i sistemi continuano a funzionare, cosa ben diversa dal perdere un firewall. NetSenX è gestito da TriStiX S.L., una piccola società spagnola, e lo diciamo apertamente. Il suo accordo sul trattamento dei dati descrive esportazione e cancellazione; gli alert possono essere esportati tramite API dal piano Pro e verso un SIEM dal piano Business, e l’Enterprise può funzionare presso la Sua sede.

https://netsenx.com/it/faq/is-a-smaller-eu-vendor-a-continuity-risk

## Che cos’è il CLOUD Act statunitense, e riguarda i dati conservati nell’UE?

È una legge statunitense che consente alle autorità degli Stati Uniti, con un mandato o un ordine analogo, di chiedere ai fornitori di servizi soggetti alla giurisdizione USA di divulgare i dati in loro possesso, custodia o controllo, anche se conservati fuori dagli Stati Uniti. Per questo conservare i dati in un data center europeo non risolve da solo la questione: conta se la società che controlla i dati, o la sua capogruppo, è soggetta alla giurisdizione USA. I fornitori possono contestare alcuni ordini, e il diritto dell’UE limita i casi in cui una società europea può consegnare dati a un’autorità straniera, quindi il risultato è un conflitto di leggi e non un accesso automatico. La cifratura con chiavi che il fornitore non può usare riduce ciò che potrebbe essere divulgato. Chieda a ogni fornitore chi controlla i dati e le chiavi e quali società della catena hanno sede negli Stati Uniti. NetSenX è gestito da una società spagnola e conserva i dati dei clienti nell’UE, ma il suo accordo sul trattamento dei dati elenca alcuni sub-responsabili costituiti negli Stati Uniti. Se deve escluderlo del tutto, l’opzione on-premises del piano Enterprise mantiene i dati sui Suoi sistemi.

https://netsenx.com/it/faq/what-is-the-us-cloud-act-and-does-it-affect-eu-data

Informazione generale, non consulenza legale. Le leggi nazionali possono integrare i testi UE citati qui, per esempio con termini, moduli o canali di notifica: verifichi le regole del Suo Paese.

FAQ: https://netsenx.com/it/faq