Accordo sul
trattamento
dei dati

Allegato B: Misure tecniche e organizzative

La Società adotta e mantiene misure di sicurezza tecniche e organizzative per proteggere i Dati personali. Di seguito è riportata una panoramica delle misure adottate dalla Società per garantire la sicurezza della nostra piattaforma e dei Dati personali.

Disposizioni generali

• La Società mantiene una politica documentata in materia di sicurezza delle informazioni, conforme agli standard di settore, che viene riesaminata e aggiornata annualmente. Lo sviluppo e il mantenimento della politica di sicurezza sono affidati a personale con competenze specifiche nel campo della sicurezza delle informazioni.
• Tutti i computer del personale devono essere dotati di software antivirus aggiornato o di meccanismi di protezione analoghi.

Formazione e personale

• Tutto il personale della Società partecipa a un programma di formazione sulla sicurezza almeno una volta all’anno.
• Alla cessazione del rapporto, nessun membro del personale può conservare chiavi di accesso, codici o analoghi mezzi di accesso ai Dati personali o alle strutture della Società.

Controllo degli accessi

• Le politiche della Società in materia di sicurezza delle informazioni devono prevedere misure ragionevoli per impedire l’accesso non autorizzato ai Dati personali o la loro perdita.
• La Società deve designare un amministratore di sistema che limiti l’accesso ai Dati personali da parte degli altri membri del personale in conformità alle presenti Misure tecniche e organizzative. Le relative autorizzazioni di accesso devono essere riesaminate annualmente.
• La Società deve richiedere, per tutti gli accessi da parte del proprio personale, compresi quelli da remoto, un processo di autenticazione che può consistere nell’utilizzo di password complesse, autenticazione a due fattori o altri meccanismi volti a impedire accessi non autorizzati.
• Gli accessi, l’inserimento, l’eliminazione e la modifica dei dati vengono registrati, con indicazione della data e dell’ora.

Sicurezza fisica

• La Società garantisce la sicurezza fisica dei propri locali e monitora tutti gli accessi e gli ingressi agli stessi.
• La Società richiede a tutto il proprio personale di non conservare copie fisiche di dati sensibili più a lungo del necessario, in conformità alle politiche della Società.
• L’accesso dei visitatori alle strutture della Società è monitorato, limitato e gestito da personale dedicato.
• Tutti i Dati personali devono essere ospitati e archiviati su macchine situate in strutture dotate di adeguate misure di protezione ambientale, quali sistemi di regolazione della temperatura, sistemi antincendio, rilevatori di fumo, ecc.

Integrità

• La Società esegue regolarmente il backup dei propri sistemi e si impegna a esaminare il software per individuare e correggere eventuali vulnerabilità di sicurezza durante l’implementazione iniziale e in occasione di modifiche e aggiornamenti significativi.
• La Società si sottopone a penetration test almeno una volta per anno solare e corregge eventuali vulnerabilità rilevate in conformità alle proprie politiche interne.
• La Società si impegna a modificare tutte le configurazioni predefinite di accesso agli account e le chiavi di autenticazione prima dell’implementazione di qualsiasi nuovo sistema introdotto dopo la data di entrata in vigore del presente Accordo.
• Tutti i laptop del personale sono gestiti dalla Società e monitorati regolarmente.
• La Società non deve archiviare Dati personali al di fuori dei propri ambienti monitorati, a meno che non siano protetti mediante crittografia robusta.

Eliminazione

• La Società si impegna a eliminare tutti i Dati personali in conformità al DPA.
• La Società adotta procedure di backup automatico dei Dati personali, che vengono eliminati a intervalli prestabiliti.

Gestione dei rischi di terzi

Prima di avvalersi di un nuovo fornitore di servizi terzo che avrà accesso ai Dati personali, la Società effettua una valutazione dei rischi relativi alle pratiche di tale fornitore in materia di sicurezza delle informazioni.

Politica sulle richieste delle autorità

• Il rispetto dei diritti umani è uno dei principali valori della Società. Pertanto, la Società garantisce che tutte le richieste di dati ricevute da forze dell’ordine, enti governativi, autorità di regolamentazione e organi giudiziari siano valide e presentate in conformità alle procedure legali applicabili.
• Qualsiasi divulgazione di Dati personali alle autorità deve avvenire in conformità al presente DPA.