Noi verifichiamo le persone. Ci verifichi — prima di firmare.
La sua seconda linea non leggerà questa pagina come una brochure. Verificherà residenza dei dati, sub-processor, responsabilità, controlli di sicurezza ed exit. Questa pagina è costruita per quella revisione.
Non è una promessa ma un pacchetto documentale verificabile — il Trust Package. Pubblichiamo l’indice in anticipo. I documenti di dettaglio sono disponibili sotto NDA prima della firma, così può confrontarli punto per punto con la sua checklist MaRisk, DORA o TPRM.
Una premessa che dà il tono di questa pagina: deliberatamente non rivendichiamo certezza giuridica né che un report possa essere presentato come strumento a prova di tribunale. Nello stesso spirito, non rivendichiamo alcuna attestazione che non possediamo né alcuna sovranità che non forniamo. Ciò che legge qui sotto è la versione onesta, rischi residui inclusi.
La prima domanda non è chi viene verificato — è chi da noi vede chi verifica lei.
Una richiesta di ricerca è essa stessa un dato meritevole di protezione. Il solo fatto della richiesta rivela chi sta verificando chi — e perché proprio ora. Per i professionisti vincolati al segreto, i general counsel e i family office questo è il punto d’acquisto decisivo. Lo trattiamo come tale — garantito contrattualmente, non solo rivendicato tecnicamente:
Risolviamo il contratto di trattamento dati secondo il diritto professionale, non solo secondo la protezione dei dati.
Un contratto di trattamento dati conforme alla protezione dei dati non basta all’avvocato — gli serve uno che regga il suo segreto professionale. È esattamente lì che la maggior parte dei contratti standard inizia e finisce. Il riferimento normativo concreto è nel Trust Package — così può verificarlo prima di inserire il primo nome di un cliente.
Obbligo di cancellazione e obbligo di conservazione — risolti, non lasciati in conflitto.
La risposta riflessa della protezione dei dati è: «Cancelliamo tutto.» Per un cliente regolamentato è proprio questo il problema — l’autorità di vigilanza richiede che il fascicolo verificabile del report resti dimostrabile per cinque-dieci anni. Noi risolviamo il conflitto per iscritto. Il contratto di trattamento dati ai sensi dell’art. 28 GDPR disciplina:
Ogni requisito accanto alla clausola che lo soddisfa — come mappatura, non come sigillo.
Tre loghi di compliance uno accanto all’altro non dimostrano nulla. La sua governance delle esternalizzazioni vuole vedere quale clausola contrattuale regge quale requisito regolamentare — riga per riga, in modo verificabile.
| Regime | Requisito centrale | Soddisfatto dalla clausola |
|---|---|---|
| DORA Art. 30 | Contenuti contrattuali ICT obbligatori con terzi, diritti di audit e accesso, diritti di recesso | — |
| MaRisk AT 9 | Valutazione di materialità, istruzioni, diritti di informazione e controllo, sub-esternalizzazione | — |
| NIS2 Art. 21 | Misure di gestione del rischio della supply chain | — |
| Esternalizzazioni VAG (§ 32 VAG) | Esternalizzazione specifica assicurativa, diritti di vigilanza e audit della BaFin | — |
Include ciò che la seconda linea chiede davvero: diritti di audit, informazione e istruzione per lei e per la sua autorità di vigilanza (BaFin, FINMA). Supporto per il suo registro delle informazioni DORA ai sensi dell’art. 28, par. 3 DORA, con una voce di registro di esempio. Una valutazione onesta del rischio di concentrazione e sostituibilità. E dove un suo audit on-site risulterebbe sproporzionato, indichiamo audit congiunti e un report ISAE 3402 come sostituto riconosciuto.
Verifichiamo da fonti aperte e licenziate — e le diciamo su quale base giuridica.
Non rivendichiamo attestazioni che non possediamo. Gestiamo i controlli che contano dietro di esse.
Lo diciamo quindi chiaramente: oggi non possediamo né ISO 27001 né SOC 2. Non lo rivendichiamo, e non scriviamo nemmeno «in preparazione», perché una riga di stato senza sostanza non dice nulla.
Ciò che presentiamo invece è la sostanza che un’attestazione si limiterebbe comunque a certificare — le misure tecniche e organizzative (TOM) in vigore oggi ai sensi dell’art. 32 GDPR e i controlli compensativi:
Noi stessi acquistiamo solo da fornitori che superano una due diligence di sicurezza rigorosa. Ci misuri con lo stesso standard.
«Made in Europe for Europe» — e il punto onesto in cui oggi questo è ancora un obiettivo.
In questo mercato la sovranità viene spesso venduta come affermazione assoluta. Noi non lo diciamo, perché oggi non sarebbe tutta la verità — e perché un’affermazione in cui la sua stessa verifica trova subito una crepa costa più fiducia di quanta ne generi. Ecco come stanno davvero le cose da noi:
A parte, la seconda metà della verità: parte dei nostri dati di riferimento su sanzioni e PEP proviene da fornitori internazionali. Questo riguarda l’origine dei dati di matching — non la residenza della sua richiesta e dei dati personali. Separiamo apertamente le due cose invece di fonderle sotto un’etichetta di sovranità.
Le diciamo in anticipo con chi contratta — e cosa questo significa per il trasferimento verso Paesi terzi.
Dal punto di vista della revDSG, la questione CH ≠ UE non è un dettaglio: rispetto all’UE, la Svizzera è un Paese terzo con decisione di adeguatezza. Quale entità sia quella giusta per il suo caso, e cosa ne consegue per il trasferimento verso Paesi terzi (incluso CH ↔ UE), lo definiamo concretamente prima della firma — non dopo, nelle clausole in piccolo.
Indichiamo i nostri sub-processor principali — e comunichiamo la lista completa a lei e alla sua autorità di vigilanza.
Sub-processor attuali a luglio 2026. Modifiche notificate secondo il § 7 del contratto di trattamento dati.
La lista completa dei sub-processor — con sede e funzione di ciascuno — è disponibile sotto NDA, prima della firma. A lei come parte contraente e alla sua autorità di vigilanza la comunichiamo integralmente; DORA e le linee guida EBA sulle esternalizzazioni richiedono comunque esattamente questa comunicazione.
E poiché la governance delle esternalizzazioni non finisce con la firma: ai sensi dell’art. 28, par. 2 GDPR assicuriamo la notifica preventiva di ogni modifica dei sub-processor, con diritto di opposizione.
Richieda la lista dei sub-processor con le sedi (NDA) — via trust.indicium.ag ↗Sui report di rilevanza decide una persona — mai la macchina da sola.
L’art. 22 GDPR vieta una decisione esclusivamente automatizzata con effetto giuridico su una persona. La precisazione che il suo ufficio legale sta cercando: presso Indicium una decisione del genere non esiste. Il software prepara; la decisione nel merito spetta a lei.
Il falso riscontro lo intercettiamo. Il limite strutturale glielo diciamo — invece di rivendicare «senza lacune».
Due tipologie di errore, separate onestamente. Il falso positivo — il riscontro segnalato erroneamente — viene valutato dalla revisione umana finale prima di produrre effetti. Quella più critica sotto il profilo della responsabilità è il falso negativo, il rischio reale non rilevato. Lo affrontiamo non con la parola «senza lacune», ma con metodologia documentata, copertura delle fonti dichiarata e limiti strutturali chiaramente indicati.
Ciò che la ricerca da fonti aperte e licenziate strutturalmente non può vedere glielo diciamo in ogni report: contanti, trust offshore non registrati privi di registro, partecipazioni occulte non pubbliche. Dove il suo caso si trova oltre questa linea inizia la profondità condotta da analisti — e glielo diciamo prima dell’incarico, non dopo.
Responsabilità e allocazione del rischio, in anticipo. La struttura di base della nostra allocazione del rischio è sul tavolo prima della demo; la formulazione negoziata è disciplinata dal contratto. La documentazione contrattuale completa, le TOM e i dettagli sui sub-processor sono disponibili via trust.indicium.ag prima della firma. Non vendiamo una garanzia di risultato — forniamo il report che lei può presentare.
In cifre, in anticipo — non rassicurazioni durante l’onboarding.
Le esternalizzazioni spesso falliscono sulla domanda non detta: cosa succede se il fornitore si ferma — o se vogliamo uscirne? Rispondiamo con parametri di riferimento prima della firma.
Chi raccoglie dati di terzi deve garantire i diritti degli interessati — stabiliamo in anticipo chi vi risponde.
In una verifica su una persona, i dati di norma non vengono raccolti presso l’interessato stesso. Questo fa sorgere degli obblighi — e chi li assume va stabilito prima della firma, non rinviato a una controversia. Chi risponde a queste richieste — Indicium o lei — è disciplinato con chiarezza nel contratto, a seconda del ruolo assegnato. Nessuna zona grigia in cui alla fine nessuno è responsabile.
L’indice — pubblico, senza NDA.
Lo confronti con la sua checklist. I documenti stessi li apriamo sotto NDA tramite il nostro hub documentale trust.indicium.ag ↗ — prima della firma.
La numerazione corrisponde al registro del Trust Package; i riferimenti «8.x» nelle nostre FAQ rimandano a questo.