Trattamento datie GDPR

Traduzione di cortesia. In caso di discrepanza, prevale la versione in lingua inglese.

Questa pagina riassume la posizione pubblica di Altovar in materia di GDPR e trattamento dei dati, ad uso di procurement, legale, sicurezza e privacy review. È pensata per rispondere alle domande ricorrenti sollevate durante l'onboarding dei fornitori, la due diligence e le valutazioni di sicurezza.

Completa — senza sostituire — l'Informativa sulla Privacy, la Cookie Policy, i Termini di Servizio ed eventuali Accordi sul Trattamento dei Dati (DPA) sottoscritti.

Altovar come titolare del trattamento: Per i dati personali raccolti tramite il nostro sito web, le attività commerciali, l'amministrazione degli account, la fatturazione, la corrispondenza di supporto e le preferenze di marketing, Altovar agisce quale titolare del trattamento autonomo.

Altovar come responsabile del trattamento: Quando un cliente utilizza i servizi Altovar per archiviare, analizzare, trasmettere o altrimenti trattare dati personali per proprio conto, Altovar agisce quale responsabile del trattamento e il cliente rimane titolare del trattamento, salvo diversa attribuzione definita nel contratto o nell'architettura del servizio.

L'attribuzione dei ruoli è ulteriormente specificata nell'Order Form applicabile, nella documentazione di servizio e nel DPA.

Altovar è stabilita in Europa e progetta la propria strategia infrastrutturale in modo da preservare il controllo giurisdizionale dell'UE, un basso rischio di trasferimento e la trasparenza operativa.

La nostra impostazione standard di servizio prevede l'hosting nell'UE. I carichi di lavoro applicativi principali, i database, i backup e i sistemi operativi sono selezionati per mantenere i dati di produzione all'interno del SEE ovunque l'architettura del prodotto lo consenta. Laddove l'edge-delivery o gli strumenti di supporto introducano un punto di contatto in un paese terzo, Altovar applica garanzie documentate e limita l'accesso all'ambito minimo necessario.

Altovar fornisce un Accordo sul Trattamento dei Dati (DPA) per gli scenari in cui agisce come responsabile del trattamento. Per i piani Business ed Enterprise, le clausole del DPA possono essere incorporate nell'Order Form o nell'accordo quadro di servizio. Per gli altri clienti, un DPA standard è disponibile su richiesta.

Il DPA disciplina le istruzioni di trattamento, la riservatezza, i sub-responsabili, le misure di sicurezza, la notifica delle violazioni, l'assistenza per l'esercizio dei diritti degli interessati, la cancellazione/restituzione dei dati e la cooperazione in fase di audit entro limiti commercialmente ragionevoli.

Le richieste di DPA o di addendum contrattuali possono essere inviate a [email protected].

Altovar utilizza un processo controllato di verifica dei fornitori per infrastruttura, pagamenti, comunicazioni e servizi di sicurezza di supporto. Ogni responsabile o sub-responsabile del trattamento viene valutato per idoneità tecnica, implicazioni giurisdizionali, controlli di sicurezza, copertura contrattuale e maturità nella risposta agli incidenti prima dell'utilizzo in produzione.

I sub-responsabili sono vincolati da contratti scritti che riflettono i requisiti dell'articolo 28 del GDPR, ove applicabili. Altovar mantiene un registro interno dei sub-responsabili e fornisce comunicazione delle modifiche sostanziali tramite i meccanismi contrattuali definiti nel DPA o nell'accordo con il cliente.

Altovar applica misure tecniche e organizzative stratificate, adeguate alla sensibilità del carico di lavoro e al livello di servizio interessato. Tali misure comprendono tipicamente il controllo degli accessi, l'amministrazione secondo il principio del privilegio minimo, l'MFA sui sistemi interni, il trasporto cifrato, la memorizzazione cifrata ove pertinente, la registrazione degli audit, la gestione delle vulnerabilità, i controlli di backup e la segregazione degli ambienti.

Le nostre misure vengono riviste con l'evoluzione dei prodotti. Qualora un cliente richieda una sintesi delle misure tecniche e organizzative (TOM) per finalità di procurement o audit, Altovar può fornire una panoramica aggiornata previo accordo di riservatezza (NDA) o nell'ambito del processo di DPA / security review.

Quando Altovar agisce quale titolare del trattamento, rispondiamo direttamente alle richieste di accesso, rettifica, cancellazione, opposizione, portabilità e limitazione, in conformità alla nostra Informativa sulla Privacy.

Quando Altovar agisce quale responsabile del trattamento, assistiamo il cliente — nei limiti delle funzionalità del servizio e del quadro contrattuale — affinché possa adempiere ai propri obblighi nei confronti degli interessati. Ciò può includere supporto all'esportazione dei dati, flussi di cancellazione, registrazione degli accessi o coordinamento operativo tramite i canali di supporto e privacy.

Altovar applica procedure di gestione degli incidenti per gli eventi che incidono sulla sicurezza, disponibilità, riservatezza e integrità dei dati dei clienti o aziendali.

Quando Altovar agisce quale responsabile del trattamento e viene a conoscenza di una violazione di dati personali che riguarda i dati del cliente, lo notifichiamo senza ingiustificato ritardo, affinché il cliente possa valutare eventuali obblighi di notifica all'autorità di controllo o agli interessati. Quando Altovar agisce quale titolare del trattamento, valutiamo e gestiamo direttamente gli obblighi di notifica in conformità al GDPR e alla normativa nazionale applicabile.

Altovar non considera i trasferimenti verso paesi terzi come un modello operativo predefinito. Qualora una specifica dipendenza di servizio, un flusso di supporto o una funzione di edge-delivery determini uno scenario di trasferimento, Altovar si avvale di un meccanismo giuridico di trasferimento identificato e di misure supplementari proporzionate prima dell'utilizzo in produzione.

A seconda del fornitore e del contesto di trattamento, tali garanzie possono includere decisioni di adeguatezza, Clausole Contrattuali Standard, minimizzazione degli accessi, cifratura e attività di valutazione d'impatto del trasferimento (TIA).

La conformità al GDPR non si ottiene solo grazie alla posizione del fornitore. I clienti restano responsabili della scelta di un'idonea base giuridica, della configurazione lecita dei propri ambienti, della definizione di regole di conservazione coerenti con i propri obblighi e del rilascio di istruzioni valide negli scenari in cui Altovar agisce quale responsabile del trattamento.

Altovar fornisce l'impalcatura contrattuale e tecnica necessaria per un utilizzo conforme, ma ciascun cliente resta responsabile delle modalità con cui utilizza il servizio nel proprio contesto, inclusi l'accesso dei dipendenti, i contenuti caricati, le scelte di conservazione e le integrazioni con terze parti.