Queste linee guida forniscono istruzioni e maggiore trasparenza sul modo in cui LastPass gestisce le richieste degli organismi preposti all’applicazione della legge e le altre richieste legali e/o normative relative alle informazioni riguardanti i nostri utenti finali e i nostri clienti (“Informazioni riguardanti gli utenti”), nonché le richieste di rimozione presentate ai sensi del Digital Millennium Copyright Act (“DMCA”).
Queste linee guida si applicano a tutti i servizi LastPass.
Informazioni che possiamo fornire
Gestore di password LastPass
Il gestore di password LastPass adotta un modello di sicurezza a conoscenza zero progettato per garantire che i dati dei clienti rimangano sempre riservati e protetti, non solo da soggetti terzi, ma anche da LastPass stessa. Questo servizio di LastPass include una cassaforte, all’interno della quale i dati sensibili degli utenti vengono memorizzati in forma crittografata; tali dati possono essere decrittografati esclusivamente a livello di utente e di dispositivo mediante l’inserimento della password principale. Per sua stessa progettazione, LastPass non può conoscere la password principale dell’utente e non la memorizza né vi accede in alcun modo. Pertanto, nessun dipendente di LastPass è in grado di decrittografare i dati contenuti nella cassaforte presente sui server di LastPass, né di fornire tali informazioni in risposta a una richiesta legale.
Ove possibile, i richiedenti devono tentare di ottenere le informazioni direttamente dall’utente o dal cliente che è soggetto all’indagine, prima di farne richiesta a LastPass.
Servizio LastPass VPN
Il servizio LastPass VPN ricorre a un fornitore terzo per gestire l’infrastruttura VPN necessaria a erogare il servizio. Quando gli utenti si connettono tramite LastPass VPN, il loro traffico risulta provenire da un indirizzo IP di uscita condiviso che viene gestito dal nostro fornitore del servizio VPN, non da LastPass. Questo indirizzo IP di uscita è utilizzato contemporaneamente da molti utenti. Ciò significa che LastPass non può identificare un singolo utente sulla base del solo indirizzo IP di uscita della VPN.
Inoltre, LastPass applica una rigorosa politica di non conservazione dei registri relativi all’attività delle sessioni VPN. LastPass non registra né può fornire dati relativi ai siti Web visitati, ai contenuti consultati, alle richieste DNS o a qualsiasi altra attività svolta mediante la connessione VPN.
Le richieste relative alle informazioni detenute dal fornitore del servizio VPN in relazione al servizio VPN devono essere rivolte direttamente al fornitore stesso.
Informazioni che i richiedenti devono fornire
Per garantire che le richieste di Informazioni riguardanti gli utenti abbiano un ambito di applicazione ragionevole e siano rigorosamente circoscritte alle informazioni necessarie per portare a termine le attività investigative, ciascuna richiesta deve includere un mandato di comparizione, una citazione in giudizio, un’ordinanza del tribunale, un procedimento legale equivalente o l’attestazione di una situazione di emergenza di natura valida; tale documentazione, emessa dall’autorità competente, deve essere presentata nella sua forma originale e inalterata come file PDF.
Per consentirci di fornire una risposta in maniera efficace e tempestiva, le richieste presentate devono essere quanto più dettagliate possibile. Si prega di notare che la maggior parte delle Informazioni riguardanti gli utenti e dei dati relativi agli account può essere identificata esclusivamente tramite l’indirizzo e-mail dell’utente in questione. Pertanto, l’indirizzo di posta elettronica associato all’account è l’informazione identificativa più utile.
Tutte le richieste devono inoltre essere accompagnate dalle informazioni di contatto del richiedente autorizzato, incluso:
- Nome
- Numero identificativo/distintivo (laddove applicabile)
- Indirizzo e-mail istituzionale
- Numero telefonico, comprensivo di eventuale interno
- Indirizzo postale
- Data prevista per la risposta
Elaborazione delle richieste
Alla ricezione di una richiesta di Informazioni riguardanti gli utenti, LastPass adotta il seguente orientamento prima di fornire una risposta:
Autorità – LastPass verificherà che il richiedente disponga dell’autorità necessaria, ai sensi delle normative vigenti, per richiedere le Informazioni riguardanti gli utenti. In assenza di un mandato di comparizione, una citazione in giudizio, un ordine del tribunale, un procedimento legale equivalente o una situazione di emergenza di natura valida, LastPass non sarà tenuta a fornire tali informazioni al richiedente.
Ambito – ove possibile, LastPass cercherà di assicurarsi che qualsiasi richiesta di Informazioni riguardanti gli utenti abbia un ambito di applicazione ragionevole e sia limitata a uno specifico account. LastPass può richiedere una maggiore contestualizzazione qualora la natura dell’attività investigativa non risultasse chiara e può opporsi alla richiesta, se del caso. Nell’eventualità in cui LastPass fornisca tali informazioni, tenterà di limitarle al minimo indispensabile per ottemperare alla richiesta.
Comunicazione – prima di rivelare Informazioni riguardanti gli utenti a seguito di una richiesta, LastPass ne darà comunicazione ai diretti interessati in modo che possano valersi dei mezzi di impugnazione ivi applicabili, fuorché nelle circostanze in cui LastPass abbia ricevuto dall’autorità competente istruzioni a non agire in tal senso oppure un esplicito divieto al riguardo ovvero sussistano chiare indicazioni di una condotta illecita o dolosa oppure di un rischio di pregiudizio.
Comunicazioni DMCA
LastPass accetta ed esamina le richieste di rimozione relative al copyright presentate in conformità con la Nota sul DMCA. Le comunicazioni relative al DMCA devono essere inviate all’agente DMCA designato da LastPass, come descritto nella Nota sul DMCA. A causa delle limitazioni tecniche descritte sopra, in genere non è possibile identificare uno specifico utente VPN sulla base del solo indirizzo IP.
Richieste internazionali
Tutte le richieste devono essere formulate in conformità alle disposizioni di legge applicabili e presentate mediante canali ufficiali (p.es. provvedimento esecutivo, indirizzo di posta elettronica istituzionale e così di seguito). In aggiunta, le richieste devono essere formulate nel quadro di una base giuridica adeguata, per costituire la quale potrebbero essere necessari una richiesta effettuata nell’ambito del trattato di mutua assistenza giudiziaria, una richiesta pervenuta da un Paese che adempie agli obblighi previsti dal CLOUD Act statunitense, una rogatoria ovvero un’altra forma di domesticazione.
Valuteremo ogni richiesta internazionale a seconda del Paese richiedente e del singolo caso al fine di ponderare i nostri obblighi giuridici nazionali in rapporto al nostro impegno a promuovere la sicurezza e la riservatezza degli utenti. Ci riserviamo il diritto di fornire una risposta diversa alle richieste in base al Paese laddove tale impegno risulta in conflitto con le leggi locali.
Come presentare una richiesta
LastPass accetta richieste di Informazioni riguardanti gli utenti, come quelle formulate da organismi preposti all’applicazione della legge, tramite posta elettronica all’indirizzo subpoenas@lastpass.com.
Le segnalazioni di violazione del copyright ai sensi del DMCA devono essere inviate a LastPass all’indirizzo dmca@lastpass.com oppure per posta a LastPass US LP all’indirizzo indicato qui. Per ulteriori informazioni sull’invio delle comunicazioni relative al DMCA, è possibile consultare la Nota sul DMCA di LastPass all’indirizzo www.lastpass.com/legal-center/dmca.
Benché LastPass convenga di accettare le richieste presentate con questa modalità, né la società né i suoi clienti rinunciano ad alcun diritto legale sulla base di questa convenzione. Oltre a ciò, le richieste devono essere inviate da un indirizzo di posta elettronica ufficiale dell’autorità richiedente, laddove applicabile.
