Accordu di Trattamentu di Dati

Parties

Stu Accordu di Trasfurmazione di Dati ("DPA" o "Accordu") hè statu stipulatu da è trà:

Cuntrollore di dati ("Cuntrollore" o "Cliente")

Processore di Dati ("Processore" o "Xygeni"):

U Cuntrollore è u Processore sò quì di seguitu chjamati individualmente "Parte" è cullettivamente "Parti".

Stu DPA face parte di l'Accordu Maestru di Serviziu o di e Cundizioni di Serviziu ("Accordu Principale") trà e Parti chì guvernanu a prestazione da Xygeni di a so sicurezza di l'applicazione è software supply chain security servizii (i "Servizii"). In casu di cunflittu trà stu DPA è l'Accordu Principale, stu DPA prevalerà in quantu à e materie di prutezzione di i dati.

1. Definizioni

Per l'ughjettivi di stu DPA:

• "GDPR" significa u Regulamentu (UE) 2016/679 di u Parlamentu Europeu è di u Cunsigliu di u 27 d'aprile 2016 nantu à a prutezzione di e persone fisiche in quantu à u trattamentu di i dati persunali.
• «LOPDGDD» significa a Legge Organica 3/2018, di u 5 di dicembre, di Prutezzione di Dati Personali è Garanzia di i Diritti Digitali.
• «Dati persunali», «Trattamentu», «Customeru di u trattamentu», «Incaricatu di u trattamentu», «Sub-incaricatu di u trattamentu», «Sughjettu di u trattamentu», «Autorità di cuntrollu», «Violazione di i dati persunali» averanu i significati attribuiti à elli in u GDPR.
• "Dati di i clienti" significa qualsiasi Dati Personali sottumessi da o per contu di u Cuntrollore à i Servizii, o trattati da u Processore per contu di u Cuntrollore in relazione à i Servizii.
• "Subprocessore" significa qualsiasi terzu incaricatu da u Processore, cù l'autorizazione previa di u Cuntrollore (cum'è descrittu in a Clausula 7), per trattà i Dati di u Cliente per contu di u Cuntrollore.
• «SCC» significa u Standard Clausole cuntrattuali per u trasferimentu di dati persunali à paesi terzi in cunfurmità cù u GDPR, cum'è appruvate da u Regolamentu d'implementazione di a Cummissione Europeacisione (UE) 2021/914 di u 4 di ghjugnu 2021.
• "Servizi" significa u application security posture management, software supply chain security, rilevazione di vulnerabilità è servizii cunnessi furniti da Xygeni à u Cuntrollore in virtù di l'Accordu Principale.
• "Legge applicabile à a prutezzione di i dati" significa u GDPR, LOPDGDD, è qualsiasi altra legislazione naziunale applicabile in materia di prutezzione di dati cum'è mudificata di tantu in tantu.

2. Ruoli di e Parti

E Parti ricunnosce è accunsenu chì:

• U Cuntrollore agisce cum'è u cuntrollore di dati in quantu à i Dati di i Clienti è hè rispunsevule di determinà e finalità è i mezi di trattamentu di i Dati di i Clienti sottumessi à i Servizii.
• U Processore agisce cum'è u processore di dati in quantu à i Dati di u Cliente è tratta tali dati solu per contu è secondu l'istruzzioni documentate di u Controller.
• Ogni Parte deve rispettà i so rispettivi obblighi in virtù di a Legge Applicabile nantu à a Prutezzione di i Dati in u so rolu di Cuntrollore o di Processore.

Quandu Xygeni tratta dati persunali per i so propri scopi (per esempiu, gestione di conti, fatturazione, analisi di miglioramentu di i servizii), agisce cum'è un Controller indipendente. Tale trattamentu hè guvernatu da a Politica di privacy di Xygeni è hè fora di l'ambitu di stu DPA.

3. Oggettu, Natura è Scopu di u Trattamentu

L'ughjettu, a natura, a durata è u scopu di u trattamentu, è ancu i tipi di Dati Personali trattati è e categurie di Soggetti di Dati, sò stabiliti in l'Allegatu 1 (Dettagli di Trattamentu) à questu DPA.

U Processore deve trattà i Dati di u Cliente solu in a misura necessaria per furnisce i Servizii descritti in l'Accordu Principale è in cunfurmità cù l'istruzzioni documentate di u Cuntrollore, salvu chì ùn sia ubligatu à fà cusì da a lege applicabile. In questu casu, u Processore deve informà u Cuntrollore di tale esigenza legale prima di u trattamentu, salvu chì ùn sia pruibitu da a lege per motivi impurtanti d'interessu publicu.

4. Istruzzioni di u Cuntrollore

U Cuntrullore incarica u Processore di trattà i Dati di i Clienti cum'è necessariu per: (a) furnisce i Servizii in cunfurmità cù l'Accordu Principale; (b) rispettà l'istruzzioni di u Cuntrullore cumunicate per iscrittu di tantu in tantu; è (c) rispettà l'obblighi di u Processore in virtù di stu DPA.

U Processore deve informà subitu u Cuntrullore se, à parè raghjonevule di u Processore, una istruzione da u Cuntrullore viola a Legge Applicabile nantu à a Prutezzione di i Dati. In tale casu, u Processore hà u dirittu di cessà u trattamentu in cunfurmità cù tali istruzzioni finu à chì u Cuntrullore ùn abbia chiaritu o mudificatu l'istruzione.

U Cuntrullore garantisce è dichjara chì: (a) hà una basa giuridica valida in virtù di l'Art. 6 di u GDPR (è, se applicabile, di l'Art. 9) per u trattamentu di i Dati Personali pertinenti; (b) hà furnitu tutte l'avvisi richiesti è ottenutu tutti i cunsensi richiesti; è (c) u trasferimentu di i Dati di i Clienti à u Processore ùn viola alcuna lege applicabile.

5. Obblighi di u Processore

5.1 Restrizioni di trattamentu

U Processore trattarà i Dati di i Clienti solu secondu l'istruzzioni documentate di u Cuntrollore, salvu chì ùn sia ubligatu à fà cusì da a lege applicabile di l'UE o di i Stati Membri. U Processore ùn trattarà micca i Dati di i Clienti per i so propri scopi nè li divulgherà à terze parti, salvu chì sia necessariu per furnisce i Servizii o cum'è previstu da a lege.

5.2 Cunfidenziale

U Processore deve assicurà chì e persone autorizate à trattà i Dati di i Clienti anu commitsi sò impegnati à a cunfidenzialità o sò sottumessi à un obbligu legale apprupriatu di cunfidenzialità. L'accessu à i Dati di i Clienti serà limitatu à quelli impiegati, appaltatori è subprocessori chì anu bisognu di accessu per furnisce i Servizii.

5.3 Misure di sicurezza

U Processore deve implementà è mantene misure tecniche è urganizative adatte per prutege i Dati di u Cliente contr'à u trattamentu micca autorizatu o illegale è contr'à a perdita accidentale, a distruzzione, u dannu, l'alterazione o a divulgazione, tenendu contu di:

• u statu di l'arte è i costi di implementazione;
• a natura, l'ambitu, u cuntestu è l'ubbiettivi di u trattamentu;
• i risichi per i diritti è e libertà di e persone fisiche, in particulare per via di a distruzzione accidentale o illegale, a perdita, l'alterazione, a divulgazione micca autorizata o l'accessu à i Dati di i Clienti trasmessi, almacenati o altrimenti trattati.

Tali misure devenu include, almenu, quelle stabilite in l'Allegatu 2 (Misure di Sicurezza Tecniche è Organizative) à questu DPA. A certificazione ISO 27001 di u Processore furnisce a prova di un sistema di gestione di a sicurezza di l'infurmazioni di basa. U Processore deve mantene a certificazione ISO 27001 o equivalente per tutta a durata di questu DPA.

5.4 Diritti di l'Interessatu di i Dati

U Processore deve, tenendu contu di a natura di u trattamentu, assiste u Cuntrollore per mezu di misure tecniche è urganizative appropriate, in quantu pussibule, per rispettà l'obbligazione di u Cuntrollore di risponde à e dumande d'eserciziu.cisi diritti di i Soggetti di Dati in virtù di a Legge Applicabile à a Prutezzione di i Dati (cumpresi i diritti d'accessu, rettificazione, cancellazione, restrizione, portabilità è obiezione in virtù di l'articuli 15-22 di u GDPR).

U Processore deve: (a) notificà prontamente u Cuntrollore se u Processore riceve una dumanda da un Soggettu di Dati in quantu à i Dati di u Cliente; (b) ùn risponde micca à tali dumande, salvu nantu à l'istruzzioni documentate di u Cuntrollore o cum'è previstu da a lege applicabile; è (c) furnisce à u Cuntrollore una assistenza ragionevule per risponde à tali dumande in i termini legali applicabili (30 ghjorni secondu l'Art. 12 di u GDPR).

5.5 Assistenza cù l'obbligazioni di u Cuntrullore

U Processore deve assiste u Cuntrollore di u Trattamentu à assicurà u rispettu di l'obbligazioni previste da l'articuli 32-36 di u GDPR, tenendu contu di a natura di u trattamentu è di l'infurmazioni dispunibili per u Processore, cumprese in quantu à:

• sicurità di u trattamentu (Art. 32);
• notificazione di e Violazioni di Dati Personali à l'autorità di cuntrollu è cumunicazione à i Soggetti di i Dati (Art. 33-34);
• valutazioni d'impattu nantu à a prutezzione di i dati è cunsultazione previa (Art. 35-36).

5.6 Eliminazione o restituzione di dati

À a fine o à a scadenza di l'Accordu Principale, o à dumanda di u Cuntrullore, u Processore deve, à scelta di u Cuntrullore, cancellà o restituisce à u Cuntrullore tutti i Dati di u Cliente in u so pussessu, è deve cancellà e copie esistenti, à menu chì a lege applicabile di l'UE o di u Statu Membru ùn richieda a conservazione di i Dati Personali. U Processore deve cunfirmà u cumpletamentu di a cancellazione per iscrittu entro 30 ghjorni da u mumentu di u trigger pertinente.

Processore standard U calendariu di conservazione di i dati (stabilitu in l'Allegatu 1) s'applicarà, à menu chì u Cuntrollore ùn faci una dumanda di cancellazione precedente.

5.7 Audit è dimustrazione di cunfurmità

U Processore deve mette à dispusizione di u Cuntrullore tutte l'infurmazioni necessarie per dimustrà u rispettu di l'obbligazioni stabilite in questu DPA, è deve permette è cuntribuisce à l'audit, cumprese l'ispezioni, realizate da u Cuntrullore o da un auditore mandatu da u Cuntrullore.

U processore pò suddisfà questu obbligu furnendu:

• una copia di u so certificatu ISO 27001 attuale o di u rapportu SOC 2 Type II (una volta ottenutu);
• cumpletamentu di u quistionariu di sicurezza di u Cuntrollore (in 10 ghjorni lavorativi da a ricezione);
• verifiche in situ ragiunevuli cù un preavvisu scrittu di 30 ghjorni, à spese di u Cuntrollore, micca più di una volta per annu calendariu (a menu chì ùn ci sia un suspettu ragiunevule di non conformità).

6. Notificazione di Violazione di Dati Personali

U Processore deve notificà u Cuntrollore senza indugi indebiti, è in ogni casu in 48 ore da quandu hè diventatu cusciente di una Violazione di Dati Personali chì affetta i Dati di u Cliente. Tale notificazione deve include, in a misura dispunibule à quellu mumentu:

• una descrizzione di a natura di a Violazione di Dati Personali, cumprese e categurie è u numeru apprussimativu di Soggetti di Dati cuncernati è e categurie è u numeru apprussimativu di registri di Dati Personali cuncernati;
• u nome è i dati di cuntattu di u rispunsevule di a prutezzione di i dati o di un altru puntu di cuntattu da u quale si ponu ottene più infurmazioni;
• una descrizzione di e cunsequenze prubabili di a Violazione di Dati Personali;
• una descrizzione di e misure prese o pruposte per esse prese per affrontà a Violazione di Dati Personali, cumprese, se del casu, misure per mitigà i so pussibuli effetti negativi.

Quandu ùn hè micca pussibule di furnisce tutte l'infurmazioni sopra menzionate simultaneamente, l'infurmazioni ponu esse furnite in fasi senza ulteriore ritardu indebitu. U Processore deve cooperà cù u Cuntrollore è piglià e misure ragionevuli chì u Cuntrollore pò richiede per aiutà à l'investigazione, a mitigazione è a riparazione di a violazione.

E Parti ricunnoscenu chì l'obbligazione, in virtù di l'articulu 33 di u GDPR, di notificà l'autorità di cuntrollu cumpetente (Agencia Española de Protección de Datos - AEPD, o altra autorità pertinente) in 72 ore da quandu si hè amparatu à trattà una violazione di dati persunali, incumbe à u Cuntrollore in qualità di cuntrollore di dati. A notificazione di u Processore à u Cuntrollore in virtù di sta Clausula hè destinata à permette à u Cuntrollore di rispettà sta obbligazione regulatoria. A notificazione di u Processore ùn custituisce micca una ammissione di culpa o di responsabilità.

7. Subprocessori

7.1 Autorizazione generale

U Cuntrullore cuncede à u Processore l'autorizazione generale per impiegà i Subprocessori elencati in l'Allegatu 3 (Subprocessori Appruvati) à questu DPA. U Processore impone à ogni Subprocessore obblighi di prutezzione di dati equivalenti à quelli stabiliti in questu DPA, in particulare furnendu garanzie sufficienti per implementà misure tecniche è urganizative appropriate.

7.2 Cambiamenti à i Subprocessori

U Processore deve notificà u Cuntrollore di qualsiasi cambiamentu previstu riguardante l'aghjunta o a sustituzione di i Subprocessori: (a) aghjurnendu a lista di i Subprocessori publicata à https://xygeni.io/legal/subprocessors cù a data rivista di "Ultima aghjurnazione"; è (b) dendu un avvisu scrittu à u Cuntrollore almenu dece (10) ghjorni prima chì u cambiamentu entre in vigore. U Cuntrollore pò opponesi à u cambiamentu per motivi ragionevuli di prutezzione di i dati in sette (7) ghjorni da tale notificazione. Se u Cuntrollore si oppone è e Parti ùn ponu micca risolve l'obiezione, u Cuntrollore pò rescinde l'Accordu Principale cù un preavvisu ragionevule senza penalità.

Sè u Processore impiega un Subprocessore, u Processore resterà pienamente rispunsevule versu u Cuntrollore per l'esecuzione di l'obblighi di quellu Subprocessore in a misura in cui u Subprocessore ùn rispetta micca i so obblighi di prutezzione di i dati.

7.3 Requisiti di flussu di i subprocessori

Per ogni Subprocessore, u Processore deve:

• realizà una diligenza dovuta adatta prima di impiegà u Subprocessore;
• stipulà un accordu scrittu di trattamentu di dati chì impone obblighi di prutezzione di dati micca menu prutettivi di quelli in questu DPA;
• assicurassi chì e misure di sicurezza di u Subprocessore sianu almenu equivalenti à quelle richieste in virtù di a Clausula 5.3 è di l'Allegatu 2;
• includenu l'obbligazioni di notificazione di violazione chì richiedenu à u Subprocessore di notificà u Processore in 24 ore da quandu hè diventatu cusciente di una Violazione di Dati Personali, per permette à u Processore di rispettà u so obbligu di notificazione di 48 ore à u Controller.

8. Trasferimenti Internaziunali

U Processore ùn deve micca trasferisce i Dati di i Clienti in un paese fora di u Spaziu Ecunomicu Europeu (SEE), salvu chì:

• A Cummissione Europea hà aduttatu un decretu d'adeguatezzacisione per quellu paese in virtù di l'articulu 45 di u GDPR; o
• E salvaguardie adatte sò state messe in opera in cunfurmità cù l'articulu 46 di u GDPR, cumprese, ma senza limitazione, e Standard Clausole cuntrattuali aduttate da a Cummissione Europea chì attuanu u Decisione (UE) 2021/914 di u 4 di ghjugnu 2021 ("CCS").

Induve i SCC sò richiesti, u Processore deve, à dumanda di u Cuntrollore, eseguisce i SCC applicabili cù u Cuntrollore è/o cù u Subprocessore pertinente. U modulu applicabile di i SCC serà u Modulu Dui (Cuntrollore à Processore) per i trasferimenti da u Cuntrollore à u Processore, è u Modulu Trè (Cuntrollore à Subprocessore) per i trasferimenti successivi da u Processore à i Subprocessori.

L'autorità di cuntrollu cumpetente per i scopi di e CCT hè l'Agenzia Spagnola di Prutezzione di i Dati (Agencia Española de Protección de Datos — AEPD), salvu chì ùn sia statu cuntrariu accunsentutu per iscrittu.

U Processore deve mantene è mette à dispusizione di u Controllore, à dumanda, un registru aggiornatu di tutti i trasferimenti internaziunali di Dati di u Cliente è u mecanismu di trasferimentu applicabile per ognunu.

9. Valutazioni d'impattu nantu à a prutezzione di i dati

Quandu una attività di trattamentu hè prubabile di risultà in un risicu elevatu per i diritti è e libertà di e persone fisiche è u Cuntrullore hè tenutu à realizà una Valutazione d'Impattu nantu à a Prutezzione di i Dati (DPIA) in virtù di l'Articulu 35 di u GDPR, u Processore deve furnisce à u Cuntrullore l'assistenza è l'infurmazioni ragionevuli necessarie per permette à u Cuntrullore di realizà a DPIA. U Processore deve risponde à e richieste ragionevuli di u Cuntrullore relative à a DPIA in 15 ghjorni lavorativi.

10. Registri di l'attività di trasfurmazione

U Processore deve mantene, à dumanda di u Cuntrullore, un registru di l'attività di trattamentu realizate per contu di u Cuntrullore in cunfurmità cù l'articulu 30(2) di u GDPR, cumpresi: u nome è i dati di cuntattu di u Processore è di qualsiasi Subprocessori; e categurie di trattamentu realizate per contu di u Cuntrullore; trasferimenti di Dati Personali à un paese terzu; è una descrizzione generale di e misure di sicurezza tecniche è urganizative.

11. Responsabilità

A rispunsabilità di ogni Parte versu l'altra in virtù di o in relazione à questu DPA serà sottumessa à e limitazioni è esclusioni stabilite in l'Accordu Principale. Quandu un Soggettu di Dati hà subitu danni in cunsequenza di un trattamentu chì viola a Legge Applicabile di Prutezzione di i Dati, ogni Parte serà rispunsevule di i danni causati da u so trattamentu chì viola u GDPR in cunfurmità cù l'articuli 82-83 di u GDPR. Nunda in questa Clausula ùn limita a rispunsabilità di una di e Parti versu i Soggetti di Dati in virtù di a legge applicabile.

12 Terminu è Terminazione

Stu DPA cumincierà à a data di l'Accordu Principale (o a data di esecuzione di stu DPA s'ella hè più tardi) è resterà in vigore per a durata di l'Accordu Principale. A terminazione di l'Accordu Principale per qualsiasi ragione metterà automaticamente fine à stu DPA.

Dopu a terminazione, l'obbligazioni di u Processore in virtù di a Clausula 5.6 (cancellazione o restituzione di dati) sopravviveranu è u Processore duverà cumpletà a cancellazione o a restituzione di i Dati di u Cliente entro 30 ghjorni da a terminazione. E clausole relative à a riservatezza, a responsabilità, a legge applicabile è l'audit sopravviveranu ancu à a terminazione.

13. Lege Governativa è Ghjurisdizione

Stu DPA serà guvernatu è interpretatu in cunfurmità cù e lege di Spagna. E Parte si sottumettenu à a ghjurisdizione non esclusiva di i tribunali di Madrid per a risoluzione di qualsiasi disputa chì nasce da o in relazione cù stu DPA. In a misura in cui qualsiasi disposizione di stu DPA hè in cunflittu cù e CGC, e CGC prevaleranu.

14. Divers

L'accordu tutale: Stu DPA, inseme cù i so Allegati è l'Accordu Principale, custituisce l'accordu cumpletu trà e Parti in quantu à l'ughjettu di u presente documentu è sustituisce tutti l'accordi, l'intese o e dichjarazioni precedenti relative à u trattamentu di dati.

Emendamenti: Stu DPA pò esse mudificatu solu per accordu scrittu firmatu da i rapprisentanti autorizati di e duie Parti.

Divisibilità: Sè una qualsiasi dispusizione di stu DPA hè cunsiderata invalida o inapplicabile, e dispusizioni rimanenti resteranu in pienu vigore è effettu.

Precedenza: In casu di cunflittu trà stu DPA è l'Allegati, u corpu di u DPA prevalerà, salvu chì l'Allegatu ùn dica esplicitamente altrimenti. In casu di cunflittu trà stu DPA è i CGC (induve applicabile), i CGC prevaleranu.

ALLEGA 1 — Dettagli di trasfurmazione

1. Sugettu

L'ughjettu di u trattamentu hè a furnitura da Xygeni di application security posture management, software supply chain security analisi, rilevazione di vulnerabilità, CI/CD monitoraghju di a sicurità, è servizii cunnessi cum'è descritti in l'Accordu Principale.

2. Natura di u trattamentu

Raccolta, urganizazione, strutturazione, almacenamentu, analisi, recuperu, usu, divulgazione per trasmissione, allineamentu o cumbinazione, restrizione, cancellazione o distruzzione di Dati di i Clienti.

3. Scopu di u trattamentu

U trattamentu di i Dati di i Clienti hè realizatu cù u solu scopu di furnisce i Servizii à u Cuntrollore, cumpresi: rilevazione è segnalazione di vulnerabilità di sicurezza; analisi di i risichi di a catena di furnimentu di u software; CI/CD pipeline security monitoraghju; rilevazione di anomalie; è assistenza à i clienti.

4. Durata di u trattamentu

U Processore trattarà i Dati di u Cliente per a durata di l'Accordu Principale. À a fine, u Processore cunserverà i Dati di u Cliente per 3 mesi dopu a data di fine di l'abbunamentu prima di a so cancellazione, à menu chì u Controllore ùn dumandi una cancellazione anticipata. I dati di u contu di prova sò cunservati per 1 mese dopu a scadenza di a prova.

5. Tipi di Dati Personali

6. Categurie di Soggetti di Dati

I Soggetti di Dati includenu: impiegati, cuntrattisti è altri utilizatori autorizati di u Controller chì accedenu à i Servizii; cuntributori (sviluppatori, conti bot, agenti di compilazione) à i repositori è pipelines monitorati da i Servizii; è rapprisentanti è persone di cuntattu di u Cuntrollore.

7. Dati di Categoria Speciale

I Servizii ùn sò micca cuncipiti per trattà dati persunali di categuria speciale cum'è definiti in l'articulu 9 di u GDPR. U Cuntrullore garantisce chì ùn trasmetterà micca dati persunali di categuria speciale à i Servizii senza un accordu scrittu previ cù Xygeni è l'implementazione di garanzie supplementari appropriate.

SCHEDA 2 — Misure di sicurezza tecniche è urganizative

Xygeni implementa e seguenti misure tecniche è urganizative per prutege i Dati di i Clienti, in cunfurmità cù u sistema di gestione di a sicurezza di l'infurmazioni certificatu ISO 27001 di Xygeni:

Access Control

• Cuntrollu d'accessu basatu annantu à i roli (RBAC) applicatu in tutti i sistemi chì processanu i dati di i clienti.
• L'autentificazione multifattore (MFA) hè necessaria per tuttu u persunale Xygeni chì accede à i sistemi di pruduzzione.
• Principiu di u minimu privilegiu applicatu à tutti i conti d'utilizatori; i diritti d'accessu sò rivisti trimestralmente.
• Autentificazione basata nantu à chjave SSH per l'accessu à u servitore di pruduzzione; autentificazione cù password disattivata.

Criptazione di dati

• Dati di i clienti criptati in transitu cù TLS 1.2 o superiore.
• Dati di i clienti criptati in riposu cù AES-256 o equivalente.
• Chjavi di crittografia gestite per mezu di AWS Key Management Service (KMS).

Sistemi di a reta

• Sistemi di pruduzzione ospitati in AWS Virtual Private Cloud (VPC) cù segmentazione di rete.
• Firewall di applicazioni Web (WAF) implementatu per endpoint rivolti à u publicu.
• Sistemi di rilevazione è prevenzione di intrusioni in piazza.
• Scansione regulare di vulnerabilità è test di penetrazione di l'infrastruttura è di i livelli di l'applicazione.

Sicurità Fisica

• Dati di i clienti ospitati in centri di dati AWS cù certificazioni SOC 2 Type II è ISO 27001.
• L'accessu fisicu à e strutture di u centru di dati hè limitatu à u persunale AWS autorizatu cù cuntrolli biometrici.

Disponibilità è Resilienza

• Copie di salvezza automatizate ogni ghjornu di tutti i dati di i clienti, cunservate per un minimu di 7 ghjorni.
• L'integrità di a copia di salvezza hè verificata periodicamente.
• Disastprucedure di ricuperazione documentate è testate annualmente.

Gestione di Incidenti

• U pianu di risposta à l'incidenti di sicurezza hè mantinutu è testatu annualmente.
• L'evenimenti di sicurezza sò monitorati è registrati; l'alerte sò state riviste da a funzione di l'operazioni di sicurezza.
• Prucedure di notificazione di violazione di dati persunali in piazza per rispettà l'obbligazione di notificazione di 48 ore à u Cuntrollore.

agenti

• Tuttu u persunale di Xygeni chì hà accessu à i Dati di i Clienti hè vinculatu da obblighi di cunfidenzialità.
• Furmazione di sensibilizazione à a sicurezza realizata ogni annu per tuttu u persunale.
• Verifiche di i precedenti realizate per u persunale chì hà accessu à i sistemi di pruduzzione, in a misura permessa da a lege applicabile.

Gestione di terze parti

• I subprocessori sò stati valutati per a cunfurmità di sicurezza prima di l'ingaghjamentu.
• Accordi di trattamentu di dati in vigore cù tutti i Subprocessori.

cirtificazioni

• Xygeni hà a certificazione ISO 27001 (sistema di gestione di a sicurezza di l'infurmazione).
• Xygeni persegue a certificazione SOC 2 Type II; u certificatu serà furnitu à u Cuntrollore una volta finitu.