Accordo sul trattamento dei dati (DPA)

1. Oggetto, natura e finalità

Fornitura di una piattaforma di cybersecurity: protezione, inventario, aggiornamento e supervisione dei dispositivi del Titolare del trattamento, rilevamento e risposta agli incidenti, report di conformità e, in base alle opzioni, sicurezza delle e-mail.

2. Categorie di dati e di persone

• Persone interessate: dipendenti, dirigenti e utenti dei dispositivi del Titolare del trattamento; corrispondenti di posta elettronica per K-Mail.
• Dati: identificatori e nomi utente, nomi e caratteristiche dei dispositivi, inventario software, log DNS, eventi di sicurezza, impronte e, con esplicito consenso, campioni di file, metadati e contenuti di e-mail analizzate (K-Mail).
• Non viene ricercata alcuna categoria particolare di dati; la loro presenza fortuita in un contenuto analizzato è trattata con le stesse garanzie.

3. Durata

L'accordo si applica per tutta la durata dell'abbonamento e fino alla cancellazione dei dati al suo termine.

4. Obblighi del Responsabile del trattamento

• trattare i dati solo su istruzione documentata del Titolare del trattamento, anche per i trasferimenti, salvo obbligo imposto dal diritto dell'Unione o di uno Stato membro, di cui informa preventivamente il Titolare del trattamento;
• garantire la riservatezza delle persone autorizzate a trattare i dati;
• attuare le misure di sicurezza descritte all'articolo 5;
• assistere il Titolare del trattamento nel rispondere alle richieste di esercizio dei diritti e nel rispettare i suoi obblighi di cui agli articoli da 32 a 36 del GDPR, comprese le valutazioni d'impatto e la consultazione preventiva dell'autorità di controllo;
• restare pienamente responsabile, nei confronti del Titolare del trattamento, dell'adempimento degli obblighi dei suoi sub-responsabili;
• informare immediatamente il Titolare del trattamento se un'istruzione gli sembra contraria alla normativa.

5. Misure di sicurezza

• hosting dei dati dei clienti nell'Unione europea [À VALIDER : nome del fornitore di hosting];
• cifratura in transito (TLS 1.3) e a riposo, con chiavi proprie di ciascun cliente;
• isolamento dei clienti tramite filtraggio sistematico e regole di sicurezza a livello di riga del database;
• autenticazione reciproca degli agent, comandi e aggiornamenti firmati, protezione contro il replay;
• autenticazione forte, minimo privilegio e registro di audit degli accessi interni;
• tempi di conservazione applicati automaticamente; backup cifrati.

6. Sub-responsabili del trattamento

Il Titolare del trattamento autorizza in via generale il ricorso ai sub-responsabili elencati nella pagina Sub-responsabili. Il Responsabile del trattamento informa il Titolare del trattamento di qualsiasi aggiunta o sostituzione almeno 30 giorni prima; questi può opporvisi per un motivo legittimo e, in mancanza di accordo, recedere senza penali. Ogni sub-responsabile è soggetto a obblighi equivalenti.

7. Violazioni dei dati

Il Responsabile del trattamento notifica al Titolare del trattamento qualsiasi violazione di dati personali nel più breve tempo possibile e al più tardi 48 ore dopo esserne venuto a conoscenza, con le informazioni utili alla propria notifica all'autorità di controllo. [À VALIDER : termine]

8. Audit

Il Responsabile del trattamento mette a disposizione le informazioni necessarie per dimostrare il rispetto del presente accordo e consente audit, al massimo una volta all'anno salvo incidente, con un preavviso ragionevole e nel rispetto della riservatezza degli altri clienti.

9. Fine del contratto

Al termine dell'abbonamento, il Responsabile del trattamento consente l'esportazione dei dati per 30 giorni e poi, a scelta del Titolare del trattamento, li restituisce o li cancella, insieme alle copie, salvo obbligo legale di conservazione.

10. Trasferimenti

I dati dei clienti sono destinati a essere ospitati nell'Unione europea. Solo i sub-responsabili identificati come stabiliti fuori dall'UE nella pagina Subfornitori (invio di e-mail transazionali e, se attivati, servizi opzionali come Kayzen Copilot) possono ricevere dati, con le garanzie degli articoli 45 o 46 del GDPR (decisione di adeguatezza o clausole contrattuali tipo).