1. Introduzione
Il presente Addendum sul trattamento dei dati ("DPA") costituisce parte dell'accordo tra te ("Cliente") e Getia AS ("Responsabile del trattamento") per l'utilizzo dei servizi Portifer.
2. Definizioni
- Personal Data: Dati personali: qualsiasi informazione relativa a una persona fisica identificata o identificabile
- Processing: Trattamento: qualsiasi operazione eseguita sui dati personali
- Controller: Titolare del trattamento: l'entità che determina le finalità e i mezzi del trattamento
- Processor: Responsabile: l'entità che tratta i dati personali per conto del titolare del trattamento
3. Ambito del trattamento
Il Responsabile dovrà:
- Trattare i dati personali solo su istruzioni documentate del Cliente
- Garantire che le persone che trattano i dati siano soggette ad obblighi di riservatezza
- Implementare adeguate misure di sicurezza tecniche e organizzative
- Assistere il Cliente nel rispondere alle richieste dell’interessato
- Eliminare o restituire tutti i dati personali al termine dei servizi
4. Subresponsabili del trattamento
Il Cliente autorizza il Responsabile a coinvolgere i subresponsabili come elencati nel Elenco dei sub-responsabili del trattamento.
5. Misure di sicurezza
- Crittografia in transito: il servizio è erogato esclusivamente tramite HTTPS, con HTTP Strict Transport Security.
- Crittografia delle credenziali archiviate: le credenziali API dei corrieri, i token CRM e le chiavi del servizio di stampa sono crittografati a livello applicativo con AES-256-GCM. Gli altri dati archiviati sono protetti dai controlli di sicurezza dei subresponsabili del trattamento che forniscono hosting e archiviazione.
- Hashing: le chiavi API dei clienti sono archiviate esclusivamente come hash e le password degli utenti sono sottoposte a hashing con bcrypt.
- Controllo degli accessi: accesso basato sui ruoli per ciascuna organizzazione cliente, autenticazione a due fattori facoltativa (TOTP), scadenza delle sessioni con revoca centralizzata e limitazione della frequenza delle richieste con blocco temporaneo dopo ripetuti tentativi di accesso non riusciti.
- Registrazione: le azioni amministrative rilevanti per la sicurezza, gli accessi e l'accesso del personale agli account dei clienti sono registrati in log di audit.
- Integrazioni: i webhook in uscita sono firmati con HMAC-SHA256 e le richieste verso indirizzi di rete interni sono bloccate.
- Le violazioni dei dati personali sono gestite e notificate come descritto nella sezione 6.
6. Notifica di violazione dei dati
In caso di violazione dei dati personali, il Responsabile avviserà il Cliente entro 72 ore.
7. Contatto
Per domande sul trattamento dei dati, contattaci all'indirizzo [email protected]
Azienda: Getia AS (n. org.: 926 610 198)
Indirizzo: Presso Mesh, Møllergata 6, 0179 Oslo, Norvegia