Trusty Whistleblowing: scheda tecnica per la valutazione dei fornitori
Questa pagina risponde alle domande che un team acquisti, compliance, sicurezza IT o legale pone prima di scegliere un canale di segnalazione. Fatti, niente marketing, a cura di Trusty AG. Ultima revisione: 15 ottobre 2026.
Pagina prodotto: software whistleblowing Trusty. Prezzi: Prezzi. Contratti: Termini di servizio, Termini aggiuntivi Whistleblowing, Documento prezzi, Accordo sul trattamento dei dati, Addendum DORA. Domande senza risposta qui: prenoti una demo.
Il prodotto in sintesi
| Voce | Fatto |
|---|---|
| Prodotto | Trusty Whistleblowing: un sito pubblico di segnalazione per i whistleblower, una casella pseudonima per il dialogo bidirezionale e una suite di gestione dei casi per i gestori |
| Fornitore | Trusty AG, Hünenberg (canton Zugo), Svizzera, fondata nel 2022 |
| Tipo | Software as a service, usato nel browser, niente da installare, nessuna app e nessuna e-mail aziendale necessaria per segnalare |
| Pensato per | Organizzazioni con 50 o più dipendenti che devono avere un canale di segnalazione interno secondo la direttiva (UE) 2019/1937 e le leggi nazionali (in Italia il D.Lgs. 24/2023), e qualsiasi organizzazione che ne voglia uno |
| Standard | Sviluppato secondo i requisiti della ISO 37002 (sistemi di gestione del whistleblowing) e della direttiva (UE) 2019/1937 |
| Clienti | Più di 1.000 aziende, da aziende di 50 dipendenti a gruppi con oltre 13.500 dipendenti |
| Piani | LITE, Standard, Advanced (self-service, SaaS condiviso, attivo in minuti); Premium (implementato individualmente, preventivo individuale) |
| Tempo di configurazione | Minuti per i piani self-service; Premium è di norma attivo entro un mese dalla firma |
| Prova | 7 giorni, tutte le funzioni sbloccate (il selettore del piano è preimpostato su Advanced), carta addebitata solo dopo la prova, fattura disponibile, disdetta durante la prova senza vincoli |
| Modello di prezzo | Un prezzo fisso per organizzazione, dipendenti illimitati, segnalazioni e archiviazione illimitate, fatturazione annuale anticipata, lingue mai addebitate a parte |
| Hosting | Germania (UE) per LITE, Standard e Advanced. Svizzera, Stati Uniti o infrastruttura propria con Premium |
Piani e funzioni
| Funzione | LITE | Standard | Advanced |
|---|---|---|---|
| Prezzo (fatturazione annuale) | 49 € al mese, 588 € all’anno | 69 € al mese, 828 € all’anno | 99 € al mese, 1.188 € all’anno |
| Utenti amministratori | 1 | 2 | Illimitati, ruoli Superuser, Admin, User, Limited User |
| Lingue di segnalazione | 1 | 2 | Tutte le lingue supportate |
| Sito di segnalazione sicuro, 24/7, adatto ai dispositivi mobili, URL di segnalazione dedicato | Sì | Sì | Sì |
| Segnalazione anonima o nominativa, passaggio da anonima a nominativa in qualsiasi momento | Sì | Sì | Sì |
| Impostazioni di anonimato configurabili | No | No | Sì |
| Casella del segnalante con dialogo bidirezionale sicuro (nome utente e password casuali, nessun dato personale richiesto) | Sì | Sì | Sì |
| Allegati | Sì | Sì | Sì |
| Modulo di segnalazione | Modulo semplice | Modulo strutturato e guidato | Modulo strutturato e guidato, testi personalizzati |
| “Fai una domanda” accanto alle segnalazioni | No | No | Sì |
| Messaggio vocale nel browser (segnalazione orale), trascrizione verificata dal segnalante, registrazione conservata o cancellata a sua scelta | No | No | Sì |
| Segnalazioni dalla catena di fornitura (es. LkSG) | No | No | Sì |
| Canale NIS2 per la segnalazione delle vulnerabilità di cybersicurezza | No | No | Sì |
| Branding | Modello predefinito | Modello predefinito | Logo, colori, font e testi legali propri |
| Gestione dei casi | Base: stato, nota, dialogo | Standard: stato, trattamento, follow-up | Standard più flussi di lavoro e promemoria automatici |
| Conferma di ricezione automatica nella casella (e via e-mail se viene fornito un indirizzo) | Sì | Sì | Sì |
| Conto alla rovescia di 90 giorni per il riscontro, per caso | Sì | Sì | Sì |
| Notifiche e-mail per le nuove segnalazioni | No | Sì | Sì |
| Gestione del periodo di conservazione con promemoria di cancellazione | No (cancellazione definitiva del caso disponibile) | No | Sì |
| Accesso granulare: visibilità per categoria o caso, utenti limitati, amministratori tecnici senza accesso ai casi, esclusione per conflitto di interessi | No | No | Sì |
| Casi correlati, modelli, note private, assegnazioni, analisi delle cause, e-mail a destinatari esterni, documentazione di segnalazioni ricevute da altri canali | No | No | Sì |
| Report, dashboard, esportazione statistiche, generazione di report | No | No | Sì |
| Ricerca per parola chiave in tutti i casi | No | No | Sì |
| Traduzione automatica DeepL | No | No | Sì |
| Traccia di audit a prova di manomissione, concatenata crittograficamente, di ogni inserimento, visualizzazione e modifica | Sì | Sì | Sì |
| Single sign-on tramite il Suo identity provider (Microsoft Entra ID o SAML 2.0) | Sì | Sì | Sì |
| Autenticazione a due fattori | No | Sì, attivata per utente | Sì, attivata per utente |
| Ombudsman esterno o studio legale come utente | No (1 utente) | Sì, come uno dei 2 utenti | Sì |
| Supporto | Supporto online, nessun tempo di risposta garantito; errori critici gestiti 24/7 | Supporto online, risposta entro 48 ore; errori critici 24/7 | Supporto online, risposta entro 24 ore; errori critici 24/7 |
| Formazione online gratuita sul whistleblowing per i dipendenti | 30 giorni dall’inizio a pagamento | 30 giorni dall’inizio a pagamento | 30 giorni dall’inizio a pagamento |
Premium (gruppi, grandi aziende, clienti regolamentati, partner): installazione individuale su un server privato dedicato nella regione scelta o sulla propria infrastruttura, con dominio proprio. Moduli completamente configurabili: categorie di segnalazione, campi obbligatori e a testo libero, testi di aiuto e caricamento di file possono variare per entità giuridica o paese, con selezione dell’entità o del paese prima del modulo. L’organizzazione definisce ruoli e permessi in numero illimitato, inclusa la visibilità per entità giuridica. Più entità giuridiche in un unico ambiente, ciascuna con il proprio canale, casi separati e una vista consolidata di gruppo. Periodi di conservazione configurabili per categoria di dati, report di revisione degli accessi per le verifiche periodiche, MFA obbligatoria, SLA contrattuale del 99 %, linea telefonica come opzione aggiuntiva, addendum DORA per le entità finanziarie. Costo di attivazione una tantum più licenza annuale, preventivo individuale. Prenoti una demo.
Prezzi, fatturazione e condizioni contrattuali
| Voce | Fatto |
|---|---|
| Contratto | Termini di servizio online più Termini aggiuntivi Whistleblowing e Documento prezzi (nessun contratto individuale per i piani self-service); diritto svizzero, foro di Zugo |
| Periodo di fatturazione | 12 mesi anticipati, in EUR |
| Metodi di pagamento | Carta o bonifico su fattura (pagamenti elaborati da Stripe); la prima fattura scade entro 7 giorni |
| Costi di attivazione, costi per utente, costi per lingua | Nessuno |
| IVA | Prezzi IVA esclusa |
| Variazioni di prezzo | Indicizzazione annuale all’indice dei prezzi al consumo dell’UE (Eurostat); altri aumenti si applicano solo dal rinnovo successivo |
| Durata e rinnovo | Fino alla disdetta; disdetta in qualsiasi momento dall’app, con effetto alla fine del periodo pagato, accesso completo fino ad allora, nessun preavviso |
| Cessazione immediata | Possibile prima della fine del periodo come richiesta di servizio manuale a pagamento |
| Prova | 7 giorni gratis, tutte le funzioni sbloccate; disdetta durante la prova senza alcun addebito; se non si cambia nulla, l’abbonamento annuale parte con il piano scelto il giorno 8 |
| Cosa succede alla fine | Account bloccato per 30 giorni con esportazione e gestione dell’account disponibili, poi cancellazione definitiva dalla produzione; la cancellazione dai backup segue la normale rotazione |
| Responsabilità | Limitata a 30.000 EUR secondo i Termini di servizio |
| Cambi di piano durante il periodo | Upgrade in qualsiasi momento, la differenza è addebitata pro rata per il periodo residuo; il downgrade ha effetto al rinnovo successivo |
Requisiti di legge coperti
Direttiva (UE) 2019/1937 e recepimenti nazionali, in Italia il D.Lgs. 24/2023. Trusty è un fornitore di software, non uno studio legale: il cliente resta responsabile della propria conformità; la tabella mostra quale funzione supporta quale obbligo.
| Obbligo (articolo della direttiva) | Come lo copre Trusty |
|---|---|
| Proteggere l’identità del segnalante e di chiunque sia menzionato; accettare segnalazioni scritte o orali (art. 9, par. 1, lett. a, 9, par. 2, 16) | Sito pubblico di segnalazione e casella pseudonima per il seguito riservato; il segnalante decide se restare anonimo; messaggi vocali nel browser con Advanced e Premium |
| Designare una persona o un ufficio imparziale per il seguito e i contatti con il segnalante (art. 9, par. 1, lett. c, d) | I ruoli utente controllano chi vede un caso; esclusione per conflitto di interessi e visibilità granulare con Advanced; un ombudsman esterno può essere utente |
| Confermare la ricezione entro 7 giorni, dare riscontro entro 3 mesi; conservare la documentazione non oltre il necessario (art. 9, par. 1, lett. b, f; art. 18, par. 1) | Conferma di ricezione automatica su ogni piano, conto alla rovescia di 90 giorni per caso, periodo di conservazione con promemoria di cancellazione con Advanced, cancellazione definitiva con voce di audit su ogni piano |
| Gestire i canali in modo sicuro; trattare i dati personali secondo il GDPR (art. 9, par. 1, lett. a; art. 17) | Hosting certificato ISO 27001 in Germania, crittografia in transito e a riposo, penetration test esterni, nessun indirizzo IP o marca temporale dei segnalanti memorizzati, accordo sul trattamento ai sensi dell’art. 28 GDPR |
| Soglia dei 50 dipendenti e obbligo di canale interno recepiti da ciascuno Stato membro (art. 8, 26) | Sito e moduli di segnalazione in tutte le lingue supportate; periodi di conservazione impostati secondo la legge locale |
| Seguito diligente; informazioni chiare sulla segnalazione esterna (art. 9, par. 1, lett. d, g) | Dashboard ed esportazione statistiche; caricamento di documenti, come i canali di segnalazione esterni, sulla pagina di segnalazione |
Leggi nazionali più richieste: D.Lgs. 24/2023 (Italia), Hinweisgeberschutzgesetz (Germania), Ley 2/2023 (Spagna), loi Waserman e Sapin II (Francia), Lei 93/2021 (Portogallo). Segnalazioni dalla catena di fornitura per la LkSG tedesca con Advanced. Società quotate negli USA: canale anonimo e riservato per questioni contabili e di revisione secondo la sezione 301 del Sarbanes-Oxley Act. Direttiva NIS2 2022/2555: canale di segnalazione delle vulnerabilità con Advanced. DORA: addendum per le entità finanziarie, Trusty opera come fornitore terzo di servizi ICT non critico.
Sicurezza e protezione dei dati
| Voce | Fatto |
|---|---|
| Sede dell’hosting | Server virtuali presso Hetzner Online GmbH a Norimberga, Germania, data center certificati ISO 27001; i dati restano nell’UE |
| Altre regioni di hosting | Svizzera (CloudSigma, Zurigo), Stati Uniti (DigitalOcean, California) o infrastruttura propria del cliente, con Premium; i backup degli ambienti svizzero e statunitense sono conservati nell’UE Un ambiente non viene mai spostato in un’altra regione senza l’approvazione del cliente. |
| Architettura | SaaS multi-tenant, un account per organizzazione, dati isolati logicamente; Premium su un server virtuale privato dedicato |
| Crittografia in transito | TLS 1.2 / 1.3 su tutte le connessioni |
| Crittografia a riposo | Contenuto delle segnalazioni e dialogo con il segnalante crittografati con AES (CBC, OpenSSL); file crittografati con AES-256 CTR; password con hash bcrypt |
| Protezione dell’applicazione | Web application firewall (ModSecurity, OWASP Core Rule Set) e firewall Linux iptables; i file caricati sono convalidati lato server, limitati per tipo e archiviati fuori dalla root web pubblica; sviluppo secondo i principi OWASP con query parametrizzate e content security policy; revisione del codice a quattro occhi prima di ogni rilascio |
| Gestione delle vulnerabilità | Scansione automatica continua con scadenze di correzione a livelli (critica: 1 giorno); penetration test esterno annuale con retest, risultati disponibili sotto NDA |
| Privacy by design | Nessun indirizzo IP o marca temporale dei segnalanti memorizzati, solo cookie di sessione, nome utente casuale per ogni segnalante |
| Controllo degli accessi | SSO (Microsoft Entra ID o SAML 2.0) su tutti i piani; 2FA da Standard, MFA obbligatoria con Premium; permessi basati sui ruoli. Amministrazione dei server solo con chiavi SSH, incluse chiavi hardware/FIDO2, senza accesso con password né come root; MFA su tutti i sistemi che contengono dati di clienti o dati personali |
| Traccia di audit | Registro concatenato crittograficamente di ogni inserimento, visualizzazione e modifica su ogni piano; con Premium, report di revisione degli accessi (elenchi utenti e report di accesso) per le verifiche periodiche |
| Backup e ripristino | Backup giornalieri crittografati presso due provider indipendenti dell’UE (Francia); recovery point objective 24 ore, recovery time objective 4 ore; piano di disaster recovery testato annualmente; processo formale di risposta agli incidenti con livelli di escalation definiti ed esercitazioni annuali |
| Disponibilità | 99 % per mese di calendario, sforzi commercialmente ragionevoli, misurata da mezzanotte a mezzanotte manutenzione inclusa; credito pro rata in caso di mancato rispetto; manutenzione programmata annunciata con 2 giorni lavorativi di anticipo e fuori dalle 08:00 alle 17:00. SLA contrattuale del 99 % con Premium |
| GDPR | Trattamento solo nell’UE/SEE (hosting Germania, backup Francia), nessun trasferimento verso paesi terzi nel funzionamento ordinario; accordo sul trattamento dei dati ai sensi dell’art. 28 GDPR, copia firmata su richiesta; notifica di violazione al cliente entro 24 ore, all’autorità entro 72 ore ove richiesto La Svizzera e l’UE/SEE si riconoscono reciprocamente un livello adeguato di protezione dei dati. Accordi ex art. 28 con tutti i fornitori di servizi e registro di tutti i responsabili del trattamento con lo stato dell’accordo; referente designato per la protezione dei dati; autovalutazione annuale sulla protezione dei dati |
| Concetto di conservazione | Concetto documentato di conservazione e cancellazione per categoria di dati; periodo di conservazione selezionabile per caso chiuso su Advanced, configurabile per categoria di dati con Premium |
| Sub-responsabili (whistleblowing, configurazione UE standard) | Hetzner Online GmbH, Germania (hosting); AWS EMEA SARL, Lussemburgo (invio delle e-mail di notifica). Elenco completo nell’accordo sul trattamento; preavviso di 30 giorni prima delle modifiche |
| Esportazione e cancellazione dei dati | Esportazione dall’app durante i 30 giorni di conservazione dopo la cessazione; poi cancellazione definitiva dalla produzione e, nella normale rotazione, dai backup |
| Certificazioni | I data center di hosting sono certificati ISO 27001. Trusty AG non possiede un certificato ISO 27001 proprio; il suo sistema di sicurezza delle informazioni e gestione dei rischi è allineato alla ISO/IEC 27001. I questionari di sicurezza, compresi i moduli bancari, sono compilati su richiesta; le policy possono essere visionate sotto NDA |
| Quadro delle policy | Insieme completo di policy interne versionate, riviste almeno una volta all’anno, sotto la responsabilità dell’Head of IT / Information Security Officer: policy di sicurezza delle informazioni, controllo degli accessi, password, uso accettabile, anti-malware, gestione delle vulnerabilità e sviluppo sicuro; ruoli e responsabilità per la protezione dei dati, registro dei responsabili del trattamento e policy di conservazione e cancellazione; piano di risposta agli incidenti di cybersecurity e piano di disaster recovery; policy sul rischio di terze parti con registro dei fornitori, policy di onboarding/offboarding, registro dei rischi per la sicurezza delle informazioni. Riservate, disponibili per la due diligence sotto NDA |
| Governance degli accessi e rischi | Accessi secondo il principio del privilegio minimo con un processo regolato di ingresso, cambio e uscita; architettura IT di riferimento documentata e registro di tutti i servizi cloud in uso; da agosto 2026 una seconda persona partecipa alla revisione del codice, al triage delle vulnerabilità, alla copertura della risposta agli incidenti e alle verifiche dei fornitori; registro dei rischi rivisto ogni trimestre |
| Accessibilità | WCAG 2.1 AA / EN 301 549: parzialmente conforme, miglioramenti in corso; una dichiarazione di accessibilità sarà pubblicata nel Legal Center (trusty.report/documents) |
Implementazione e supporto
| Voce | Fatto |
|---|---|
| Impegno di implementazione (piani self-service) | Nessun progetto IT: scegliere un piano, aggiungere logo, colori e lingue, invitare i gestori, pubblicare il link o il QR code di segnalazione, lo stesso giorno |
| Implementazione (Premium) | Bozze dei testi da Trusty, revisione del cliente, ambiente di test entro una settimana, workshop di 1-2 ore, test del cliente, messa in produzione; di norma entro un mese |
| Onboarding dei dipendenti | 30 giorni di formazione online gratuita sul whistleblowing per i dipendenti, inclusi in ogni abbonamento |
| Integrazioni | SSO tramite Microsoft Entra ID o SAML 2.0; link o incorporamento della pagina di segnalazione sul Suo sito o intranet; link da un hub Compliance App; linea telefonica aggiuntiva con Premium. Nessuna integrazione con sistemi HR |
| Canale di supporto | support@trusty.report; gli errori critici (piattaforma non disponibile o perdita di funzioni essenziali) sono gestiti 24/7 su ogni piano |
| Tempo di risposta del supporto | Standard 48 ore, Advanced 24 ore, Premium 8×5 (lunedì-venerdì, 09:00-17:00 ora di Zugo); LITE senza tempo di risposta garantito |
| Lingue del supporto | Tutte le lingue supportate |
| Tecnologia | Stack open source (Linux, Apache, MySQL, Laravel), nessun programma di terzi su licenza |
Azienda
| Voce | Fatto |
|---|---|
| Entità giuridica | Trusty AG, Bösch 82, 6331 Hünenberg, Svizzera (canton Zugo) |
| Fondazione | 2022 |
| Prodotti | Whistleblowing, Compliance App (policy, formazione, whistleblowing), QuickScreen360 per lo screening di terze parti, EUDR Passport, Trusty Compliance App, MiCA Booster Pack |
| Clienti | Più di 1.000 aziende usano il software Trusty |
| Modello partner | Implementazione white label per studi legali, consulenti e ombudsman che servono i propri clienti |
| Sito web | trusty.report; accesso dei gestori su trusty-compliance.com |
Questa pagina è a cura di Trusty AG e viene rivista a ogni modifica di prodotto, prezzo o contratto.