PRIVACY POLICY
(ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 – GDPR, in coerenza con i principi della norma ISO/IEC 27001)
- Titolare del trattamento
Noa Solution S.r.l., con sede legale in Via G. De Gioannis 1, 09125 Cagliari, in qualità di Titolare del trattamento, gestisce i dati personali nell’ambito delle proprie attività ICT, infrastrutturali e applicative, adottando un approccio strutturato alla sicurezza delle informazioni e alla protezione dei dati.
Il modello organizzativo adottato integra i requisiti del GDPR con i principi di gestione della sicurezza delle informazioni propri della norma ISO/IEC 27001, con particolare riferimento alla gestione del rischio, alla definizione dei controlli e al miglioramento continuo.
Per qualsiasi richiesta o per l’esercizio dei diritti è possibile contattare: privacy@noasolution.it.
- Modello organizzativo e governance della sicurezza
Il trattamento dei dati personali è inserito all’interno di un sistema di gestione della sicurezza delle informazioni (ISMS – Information Security Management System), volto a garantire la protezione dei dati in termini di:
- riservatezza (confidentiality);
- integrità (integrity);
- disponibilità (availability).
In tale contesto, il Titolare ha definito ruoli e responsabilità specifiche, nonché procedure interne per la gestione sicura delle informazioni, tra cui:
- classificazione dei dati e degli asset informativi;
- gestione degli accessi e delle identità;
- monitoraggio degli eventi e dei log di sicurezza;
- gestione degli incidenti;
- continuità operativa e disaster recovery.
Tali elementi sono oggetto di revisione periodica nell’ottica del miglioramento continuo.
- Tipologia dei dati trattati
Nel contesto dei servizi erogati, il Titolare tratta dati personali di natura identificativa, amministrativa e contrattuale, nonché dati tecnici derivanti dall’utilizzo dei sistemi informativi.
Particolare rilevanza assumono i dati tecnici e i log generati dai sistemi, che costituiscono parte integrante delle misure di sicurezza e consentono il monitoraggio delle attività, la prevenzione di accessi non autorizzati e la gestione degli incidenti.
Il trattamento è limitato ai dati necessari rispetto alle finalità perseguite ed è effettuato nel rispetto dei principi di minimizzazione, pertinenza e limitazione della conservazione.
- Finalità del trattamento e basi giuridiche
Il trattamento dei dati personali è finalizzato principalmente alla gestione dei rapporti contrattuali e all’erogazione dei servizi ICT, inclusa la manutenzione, l’assistenza tecnica e la gestione delle infrastrutture.
Ulteriori trattamenti sono effettuati per adempiere agli obblighi normativi e per garantire la sicurezza delle informazioni, attraverso attività di monitoraggio, analisi e prevenzione dei rischi.
Il Titolare tratta i dati anche per il perseguimento di legittimi interessi, tra cui la protezione dei propri sistemi, la gestione del contenzioso e il miglioramento continuo dei servizi.
Le basi giuridiche del trattamento sono riconducibili alle seguenti disposizioni:
- art. 6, par. 1, lett. a) GDPR – consenso;
- art. 6, par. 1, lett. b) GDPR – esecuzione contrattuale;
- art. 6, par. 1, lett. c) GDPR – obblighi legali;
- art. 6, par. 1, lett. f) GDPR – legittimo interesse.
- Gestione del rischio e misure di sicurezza
Il Titolare adotta un approccio basato sul rischio (risk-based approach), in linea con la norma ISO/IEC 27001, che prevede:
- identificazione e valutazione dei rischi relativi ai trattamenti;
- definizione e implementazione di controlli di sicurezza;
- monitoraggio continuo dell’efficacia delle misure adottate.
Le misure tecniche e organizzative comprendono, tra le altre:
- sistemi di autenticazione e gestione delle credenziali;
- controllo degli accessi basato su ruoli (RBAC);
- cifratura dei dati e protezione delle comunicazioni;
- sistemi di backup e replica;
- soluzioni di monitoraggio e logging;
- protezione perimetrale e segmentazione delle reti.
Le misure sono definite e aggiornate ai sensi dell’art. 32 del GDPR.
- Logging, monitoraggio e gestione degli incidenti
Nel contesto dei servizi erogati, il Titolare implementa sistemi di logging e monitoraggio finalizzati alla sicurezza delle infrastrutture e alla tracciabilità delle operazioni.
I log sono utilizzati per:
- rilevare anomalie e tentativi di accesso non autorizzati;
- analizzare eventi di sicurezza;
- supportare eventuali attività di audit e controllo.
È inoltre adottata una procedura strutturata per la gestione degli incidenti di sicurezza, che prevede l’identificazione, la classificazione, la risposta e, ove necessario, la notifica delle violazioni dei dati personali (data breach).
- Conservazione dei dati
I dati personali sono conservati per il tempo necessario al perseguimento delle finalità per cui sono trattati e nel rispetto degli obblighi normativi.
Nel contesto del sistema di gestione della sicurezza, i tempi di conservazione sono definiti anche in funzione delle esigenze di sicurezza, audit e tracciabilità, in coerenza con le politiche interne.
- Destinatari dei dati e supply chain
Il Titolare può avvalersi di fornitori e partner tecnologici che trattano dati personali per suo conto.
In coerenza con i principi della ISO/IEC 27001, tali soggetti sono sottoposti a un processo di valutazione e qualificazione che tiene conto degli aspetti di sicurezza delle informazioni.
I rapporti sono regolati da accordi contrattuali che definiscono obblighi, responsabilità e misure di sicurezza richieste.
- Trasferimento dei dati verso Paesi terzi
Eventuali trasferimenti di dati personali al di fuori dello Spazio Economico Europeo avvengono nel rispetto degli artt. 44 e seguenti del GDPR, mediante l’adozione di adeguate garanzie.
- Diritti dell’interessato
L’interessato può esercitare i diritti previsti dal GDPR, tra cui accesso, rettifica, cancellazione, limitazione, opposizione e portabilità.
Le richieste possono essere inviate a privacy@noasolution.it.
Resta ferma la possibilità di proporre reclamo al Garante per la protezione dei dati personali.
Riferimenti normativi: artt. 15-22 GDPR.
- Accountability e miglioramento continuo
Il Titolare adotta il principio di responsabilizzazione (accountability), documentando le scelte effettuate in materia di protezione dei dati e sicurezza delle informazioni.
Il sistema di gestione è soggetto a verifiche periodiche, audit interni e aggiornamenti continui, al fine di garantire un adeguato livello di protezione in relazione all’evoluzione dei rischi, delle tecnologie e del contesto normativo.
- Aggiornamenti
La presente informativa può essere aggiornata nel tempo per riflettere modifiche normative, organizzative o tecnologiche.