IndiciumIndicium
Accedi
Trust Center Per la sua seconda linea

Noi verifichiamo le persone. Ci verifichi — prima di firmare.

La sua seconda linea non leggerà questa pagina come una brochure. Verificherà residenza dei dati, sub-processor, responsabilità, controlli di sicurezza ed exit. Questa pagina è costruita per quella revisione.

Non è una promessa ma un pacchetto documentale verificabile — il Trust Package. Pubblichiamo l’indice in anticipo. I documenti di dettaglio sono disponibili sotto NDA prima della firma, così può confrontarli punto per punto con la sua checklist MaRisk, DORA o TPRM.

Una premessa che dà il tono di questa pagina: deliberatamente non rivendichiamo certezza giuridica né che un report possa essere presentato come strumento a prova di tribunale. Nello stesso spirito, non rivendichiamo alcuna attestazione che non possediamo né alcuna sovranità che non forniamo. Ciò che legge qui sotto è la versione onesta, rischi residui inclusi.

Documenti ed evidenze: trust.indicium.ag
01 Riservatezza verso Indicium

La prima domanda non è chi viene verificato — è chi da noi vede chi verifica lei.

Una richiesta di ricerca è essa stessa un dato meritevole di protezione. Il solo fatto della richiesta rivela chi sta verificando chi — e perché proprio ora. Per i professionisti vincolati al segreto, i general counsel e i family office questo è il punto d’acquisto decisivo. Lo trattiamo come tale — garantito contrattualmente, non solo rivendicato tecnicamente:

a
Rigorosa separazione dei clienti
Le sue richieste, i report e lo storico sono separati logicamente da quelli di ogni altro cliente. Nessuno presso un altro cliente vede che lei esiste.
b
Accesso solo su base need-to-know
All’interno di Indicium, solo chi deve elaborare una richiesta può vederla — su base di ruolo, con log, non «il team».
c
Nessun addestramento dei nostri modelli sulle sue richieste
Le sue ricerche, i nomi e i report non confluiscono in un modello al servizio di altri. Una garanzia contrattuale, non best effort.
d
Cancellazione dei metadati delle richieste
L’informazione su chi ha verificato chi viene cancellata automaticamente dopo 30 giorni.
e
Trattamento dei dati conforme alla riservatezza
Per chi è vincolato al segreto professionale, il contratto di trattamento dati è impostato non solo secondo il diritto della protezione dei dati ma anche secondo il diritto professionale — dettagli nella sezione 02.
02 Segreto professionale

Risolviamo il contratto di trattamento dati secondo il diritto professionale, non solo secondo la protezione dei dati.

Un contratto di trattamento dati conforme alla protezione dei dati non basta all’avvocato — gli serve uno che regga il suo segreto professionale. È esattamente lì che la maggior parte dei contratti standard inizia e finisce. Il riferimento normativo concreto è nel Trust Package — così può verificarlo prima di inserire il primo nome di un cliente.

DE
§ 43a BRAO · § 2 BORA · § 203 StGB · § 43e BRAO
Status di collaboratore affrontato esplicitamente: vincolo di riservatezza per i collaboratori e obbligo contrattuale del fornitore di servizi richiesto dal § 43e BRAO.
CH
Art. 13 BGFA · Art. 321 StGB
L’equivalente, tramite il segreto professionale dell’avvocato, per i mandati svizzeri.
03 Contratto di trattamento dati e concetto di cancellazione

Obbligo di cancellazione e obbligo di conservazione — risolti, non lasciati in conflitto.

La risposta riflessa della protezione dei dati è: «Cancelliamo tutto.» Per un cliente regolamentato è proprio questo il problema — l’autorità di vigilanza richiede che il fascicolo verificabile del report resti dimostrabile per cinque-dieci anni. Noi risolviamo il conflitto per iscritto. Il contratto di trattamento dati ai sensi dell’art. 28 GDPR disciplina:

a
Ruoli assegnati con chiarezza
Dove Indicium è responsabile del trattamento e dove — ad esempio in un servizio di informazioni creditizie — non lo è, è stabilito per iscritto, non presunto tacitamente.
b
Vincolo alle istruzioni, riservatezza, obbligo di TOM
Ai sensi dell’art. 28, par. 3 — incluso il supporto ai diritti degli interessati e alla valutazione d’impatto sulla protezione dei dati.
c
Un concetto di cancellazione che conosce l’obbligo di conservazione
I metadati delle richieste («chi ha verificato chi») vengono cancellati presto; il fascicolo verificabile del report resta disponibile per il periodo richiesto dall’autorità di vigilanza. Due categorie di dati, due regole — separate esplicitamente: metadati delle richieste 30 giorni, dati contrattuali e di fatturazione 10 anni (conservazione di legge).
04 Matrice regolamentare

Ogni requisito accanto alla clausola che lo soddisfa — come mappatura, non come sigillo.

Tre loghi di compliance uno accanto all’altro non dimostrano nulla. La sua governance delle esternalizzazioni vuole vedere quale clausola contrattuale regge quale requisito regolamentare — riga per riga, in modo verificabile.

RegimeRequisito centraleSoddisfatto dalla clausola
DORA Art. 30Contenuti contrattuali ICT obbligatori con terzi, diritti di audit e accesso, diritti di recesso
MaRisk AT 9Valutazione di materialità, istruzioni, diritti di informazione e controllo, sub-esternalizzazione
NIS2 Art. 21Misure di gestione del rischio della supply chain
Esternalizzazioni VAG (§ 32 VAG)Esternalizzazione specifica assicurativa, diritti di vigilanza e audit della BaFin

Include ciò che la seconda linea chiede davvero: diritti di audit, informazione e istruzione per lei e per la sua autorità di vigilanza (BaFin, FINMA). Supporto per il suo registro delle informazioni DORA ai sensi dell’art. 28, par. 3 DORA, con una voce di registro di esempio. Una valutazione onesta del rischio di concentrazione e sostituibilità. E dove un suo audit on-site risulterebbe sproporzionato, indichiamo audit congiunti e un report ISAE 3402 come sostituto riconosciuto.

Matrice completa con numeri di clausola: sotto NDA via trust.indicium.ag
05 Basi giuridiche

Verifichiamo da fonti aperte e licenziate — e le diciamo su quale base giuridica.

a
Interesse legittimo come caso standard
Di norma regge l’interesse legittimo alla verifica di integrità e compliance (art. 6, par. 1, lett. f GDPR) — dopo una ponderazione degli interessi caso per caso, non come regola generale.
b
Categorie particolari (art. 9) e art. 10
Qui deriviamo la base autorizzativa caso per caso, facendo riferimento al § 22 BDSG o all’equivalente della revDSG — non coperta con la sola citazione di un articolo.
c
Titolare o responsabile del trattamento?
In un servizio di informazioni creditizie è tutt’altro che banale. Assegniamo i ruoli per iscritto, caso per caso — prima che il primo report venga eseguito.
06 Sicurezza delle informazioni

Non rivendichiamo attestazioni che non possediamo. Gestiamo i controlli che contano dietro di esse.

Lo diciamo quindi chiaramente: oggi non possediamo né ISO 27001 né SOC 2. Non lo rivendichiamo, e non scriviamo nemmeno «in preparazione», perché una riga di stato senza sostanza non dice nulla.

Ciò che presentiamo invece è la sostanza che un’attestazione si limiterebbe comunque a certificare — le misure tecniche e organizzative (TOM) in vigore oggi ai sensi dell’art. 32 GDPR e i controlli compensativi:

a
Cifratura
TLS 1.2 minimo, TLS 1.3 preferito, in transito; AES-256 at rest, gestione delle chiavi tramite AWS KMS.
b
Controllo degli accessi
Su base di ruolo, need-to-know, con autenticazione a più fattori e logging.
c
Separazione di clienti e ambienti
Rigorosa separazione logica dei tenant per Customer-ID. Separazione tra ambienti di produzione, staging e sviluppo.
d
Audit trail e logging
Accessi rilevanti per la sicurezza, documentati in modo a prova di manomissione.
e
Backup e ripristinabilità
Snapshot quotidiani automatizzati e cifrati, ridondanti, con point-in-time recovery.
f
Protezione DDoS
AWS Shield + Web Application Firewall (WAF).
g
Gestione delle vulnerabilità
Scansione automatizzata delle dipendenze, scansione dei container, SAST, code review a quattro occhi.

Noi stessi acquistiamo solo da fornitori che superano una due diligence di sicurezza rigorosa. Ci misuri con lo stesso standard.

07 Hosting e sovranità

«Made in Europe for Europe» — e il punto onesto in cui oggi questo è ancora un obiettivo.

In questo mercato la sovranità viene spesso venduta come affermazione assoluta. Noi non lo diciamo, perché oggi non sarebbe tutta la verità — e perché un’affermazione in cui la sua stessa verifica trova subito una crepa costa più fiducia di quanta ne generi. Ecco come stanno davvero le cose da noi:

a
Hosting UE
La sua richiesta e i dati personali sono conservati e trattati nell’UE.
b
Il rischio residuo, dichiarato apertamente
Operiamo su infrastruttura AWS all’interno dell’UE (regioni di Francoforte/Irlanda). Abbiamo scelto AWS deliberatamente, per le sue capacità di sicurezza, gli strumenti di compliance e la profondità del suo pacchetto di misure di protezione. Un fornitore con sede negli USA comporta un’esposizione al CLOUD Act / FISA 702 che nemmeno una regione UE elimina del tutto. Non la nascondiamo; la valutiamo. Non barattiamo la sicurezza con un’etichetta di sovranità.
c
La direzione su cui lavoriamo attivamente
AWS è stata una scelta deliberata, non un ripiego. Le capacità di sicurezza, gli strumenti di compliance e la profondità del suo pacchetto di misure di protezione sono ciò che ci serve per i clienti regolamentati. La sovranità non è un’etichetta che apponiamo oggi, è una direzione verso cui continuiamo a costruire.
d
Dove non facciamo compromessi
Sulla cyber security. Sovranità come percorso prioritario, sicurezza senza compromessi a ogni passo.

A parte, la seconda metà della verità: parte dei nostri dati di riferimento su sanzioni e PEP proviene da fornitori internazionali. Questo riguarda l’origine dei dati di matching — non la residenza della sua richiesta e dei dati personali. Separiamo apertamente le due cose invece di fonderle sotto un’etichetta di sovranità.

08 Entità contraente e trasferimento

Le diciamo in anticipo con chi contratta — e cosa questo significa per il trasferimento verso Paesi terzi.

Dal punto di vista della revDSG, la questione CH ≠ UE non è un dettaglio: rispetto all’UE, la Svizzera è un Paese terzo con decisione di adeguatezza. Quale entità sia quella giusta per il suo caso, e cosa ne consegue per il trasferimento verso Paesi terzi (incluso CH ↔ UE), lo definiamo concretamente prima della firma — non dopo, nelle clausole in piccolo.

Indicium Technologies AG
Hünenberg, Cantone di Zugo (Svizzera) · IDI CHE-349.104.783
Indicium Technologies GmbH
Amburgo (Germania) · Tribunale di Amburgo (Amtsgericht), HRB 164822
Decisione di adeguatezza UE 2000/518/CE per la Svizzera — in vigore.
09 Sub-processor

Indichiamo i nostri sub-processor principali — e comunichiamo la lista completa a lei e alla sua autorità di vigilanza.

a
AWS (Amazon Web Services EMEA SARL, Lussemburgo)
Cloud hosting, eu-central-1 Francoforte.
b
Google Cloud EMEA Ltd. (Irlanda)
Elaborazione AI, Vertex AI.
c
Indicium Technologies AG (Svizzera)
Società madre, sviluppo.

Sub-processor attuali a luglio 2026. Modifiche notificate secondo il § 7 del contratto di trattamento dati.

La lista completa dei sub-processor — con sede e funzione di ciascuno — è disponibile sotto NDA, prima della firma. A lei come parte contraente e alla sua autorità di vigilanza la comunichiamo integralmente; DORA e le linee guida EBA sulle esternalizzazioni richiedono comunque esattamente questa comunicazione.

E poiché la governance delle esternalizzazioni non finisce con la firma: ai sensi dell’art. 28, par. 2 GDPR assicuriamo la notifica preventiva di ogni modifica dei sub-processor, con diritto di opposizione.

Richieda la lista dei sub-processor con le sedi (NDA) — via trust.indicium.ag
10 Revisione umana finale

Sui report di rilevanza decide una persona — mai la macchina da sola.

L’art. 22 GDPR vieta una decisione esclusivamente automatizzata con effetto giuridico su una persona. La precisazione che il suo ufficio legale sta cercando: presso Indicium una decisione del genere non esiste. Il software prepara; la decisione nel merito spetta a lei.

a
Soglie di trigger fisse
Trigger documentati per la revisione umana finale — non «caso sensibile a intuito».
b
Prova della qualifica degli analisti
Indicati per ruolo — senza nomi reali sulla pagina pubblica.
c
Principio dei quattro occhi nell’audit trail
Una persona qualificata rivede, valuta e risponde del risultato — documentato in modo tracciabile.
11 Tipologie di errore e responsabilità

Il falso riscontro lo intercettiamo. Il limite strutturale glielo diciamo — invece di rivendicare «senza lacune».

Due tipologie di errore, separate onestamente. Il falso positivo — il riscontro segnalato erroneamente — viene valutato dalla revisione umana finale prima di produrre effetti. Quella più critica sotto il profilo della responsabilità è il falso negativo, il rischio reale non rilevato. Lo affrontiamo non con la parola «senza lacune», ma con metodologia documentata, copertura delle fonti dichiarata e limiti strutturali chiaramente indicati.

Ciò che la ricerca da fonti aperte e licenziate strutturalmente non può vedere glielo diciamo in ogni report: contanti, trust offshore non registrati privi di registro, partecipazioni occulte non pubbliche. Dove il suo caso si trova oltre questa linea inizia la profondità condotta da analisti — e glielo diciamo prima dell’incarico, non dopo.

Responsabilità e allocazione del rischio, in anticipo. La struttura di base della nostra allocazione del rischio è sul tavolo prima della demo; la formulazione negoziata è disciplinata dal contratto. La documentazione contrattuale completa, le TOM e i dettagli sui sub-processor sono disponibili via trust.indicium.ag prima della firma. Non vendiamo una garanzia di risultato — forniamo il report che lei può presentare.

12 SLA, exit e resilienza

In cifre, in anticipo — non rassicurazioni durante l’onboarding.

Le esternalizzazioni spesso falliscono sulla domanda non detta: cosa succede se il fornitore si ferma — o se vogliamo uscirne? Rispondiamo con parametri di riferimento prima della firma.

a
Disponibilità
Obiettivo: 99% di disponibilità.
b
Supporto ed escalation
Livelli definiti; la catena di segnalazione degli incidenti esplicitata secondo le scadenze DORA.
c
Notifica delle violazioni
Entro 72 ore ai sensi dell’art. 33 GDPR.
d
Exit con formato di restituzione leggibile a macchina
Una fase di transizione definita — e la tensione, risolta esplicitamente, tra la pretesa di cancellazione e l’obbligo regolamentare di conservazione (tipicamente 5–10 anni).
e
Resilienza, con date
Due entità operative (CH e DE), operatività di produzione continua, catena di segnalazione degli incidenti, accesso ai dati in caso di indisponibilità del fornitore (escrow/exit).
13 Diritti degli interessati

Chi raccoglie dati di terzi deve garantire i diritti degli interessati — stabiliamo in anticipo chi vi risponde.

In una verifica su una persona, i dati di norma non vengono raccolti presso l’interessato stesso. Questo fa sorgere degli obblighi — e chi li assume va stabilito prima della firma, non rinviato a una controversia. Chi risponde a queste richieste — Indicium o lei — è disciplinato con chiarezza nel contratto, a seconda del ruolo assegnato. Nessuna zona grigia in cui alla fine nessuno è responsabile.

Art. 14
Obbligo di informazione in caso di raccolta da fonti terze, incluse le relative eccezioni — verificato caso per caso.
Art. 15
Il diritto di accesso dell’interessato.
Art. 17
Cancellazione — ponderata rispetto all’obbligo regolamentare di conservazione del fascicolo verificabile.

Confronti questa pagina con la sua checklist — poi ne parliamo.

Ciò che qui è pubblico sono l’indice e la linea onesta; ciò che va più in profondità lo apriamo sotto NDA, prima della firma — così la sua seconda linea può esercitare il proprio veto prima che diventi costoso.

Richieda il Trust Package sotto NDA Prenota un colloquio