Indice
- Ruoli e responsabilità
- Gestione utenze
- Crittografia e sicurezza delle trasmissioni
- Gestione incidenti di sicurezza
- Certificazioni, audit e monitoraggio
- Localizzazione e trattamento dati
- Conservazione, restituzione e cancellazione dei dati
- Backup e ripristino
- Finalità del trattamento e divieto di uso per marketing
- Patching e gestione delle vulnerabilità
- Misure di sicurezza dell’ambiente cloud
- Subfornitori
GreenShare con sede legale in Via Val D’Elsa 40 – 09122 – Cagliari (CA), P.IVA 03491390922 (di seguito “Responsabile”), ad integrazione della nomina a responsabile esterno del trattamento (ex. art. 28 Reg. EU 679/2016), e in virtù del contratto di servizio sottoscritto con:
Greenshare srl, con sede legale in Cagliari via, Val d’Elsa n° 40 – , C/F/P.IVA 03096510924, e-mail: info@green-share.it (di seguito “Titolare”)
In relazione alla protezione dei dati personali trattati e delle relative tecniche di protezione adottate nonché delle misure di sicurezza adottate negli ambienti Cloud, dichiara quanto segue.
Ruoli e responsabilità
Le responsabilità per la sicurezza delle informazioni nell’utilizzo dei servizi cloud sono ripartite tra il Responsabile e il Titolare come segue:
- il Responsabile ha la responsabilità della sicurezza dell’infrastruttura fisica e logica, della gestione dei sistemi, della protezione degli ambienti virtuali, della disponibilità e integrità dei dati;
- il Titolare è responsabile del corretto utilizzo delle credenziali assegnate, della gestione degli accessi dei propri utenti, della configurazione delle applicazioni di propria competenza e della segnalazione tempestiva di eventuali eventi di sicurezza che possano avere impatto sul servizio.
Gestione utenze
Tutte le utenze afferenti ai servizi cloud possono essere richieste al nostro referente IT.
L’accesso ai dati personali da parte degli utenti incaricati al trattamento avviene esclusivamente mediante userid univoca e personale, non condivisa con altri utenti, al fine di garantire la tracciabilità e la responsabilità individuale di ogni accesso ed operazione effettuata sui dati personali.
Gli userid dismessi non vengono in alcun caso riassegnate a nuovi utenti, al fine di preservare l’univocità e la tracciabilità storica degli accessi ai sistemi di trattamento dei dati personali.
Il Responsabile mantiene un elenco aggiornato di tutte le persone autorizzate al trattamento dei dati personali, con indicazione delle relative funzioni e dei permessi di accesso assegnati. Tale elenco è reso disponibile al Titolare su richiesta.
Crittografia e sicurezza delle trasmissioni
La crittografia è utilizzata nei protocolli di comunicazione con TLS 1.2 o superiore. I dati personali trasmessi su reti pubbliche sono protetti mediante protocolli di crittografia adeguati allo stato dell’arte, al fine di impedirne la lettura, copia, modifica o cancellazione da parte di soggetti non autorizzati durante la trasmissione.
I backup sono attuati con tecniche di crittografia adeguate allo stato dell’arte, che garantiscono l’immutabilità e la riservatezza dei dati archiviati.
Il Responsabile adotta controlli tecnici volti a garantire il corretto instradamento dei dati personali trasmessi, mediante segmentazione della rete, firewall e controlli di accesso a livello di rete, al fine di impedire l’instradamento verso destinazioni non previste o non autorizzate. La coerenza delle configurazioni tra reti virtuali e fisiche è verificata periodicamente in base alla politica di sicurezza della rete del Responsabile, secondo quanto previsto nelle procedure interne.
Gestione incidenti di sicurezza
Le modalità di gestione degli incidenti di sicurezza per fruizioni di SaaS e in ambiente cloud ripartiscono le responsabilità come segue: l’utente del servizio cloud contatta il nostro referente IT che prende l’incident in gestione, procede alla risoluzione e notifica gli esiti al Titolare.
In caso di accesso non autorizzato ai dati personali o di compromissione, divulgazione o perdita degli stessi, il Responsabile notifica immediatamente il Titolare, e comunque entro i termini previsti dal contratto di trattamento dati, fornendo tutte le informazioni necessarie per consentire al Titolare di adempiere agli obblighi di notifica previsti dal GDPR.
Il Responsabile registra e documenta qualsiasi divulgazione di dati personali a soggetti terzi, incluse le autorità giudiziarie e di pubblica sicurezza, indicando: la tipologia di dati personali divulgati, il soggetto destinatario e la data della divulgazione. Tale registro è reso disponibile al Titolare su richiesta.
Certificazioni, audit e monitoraggio
Il Responsabile è soggetto ad audit indipendenti di parte terza sulla conformità dell’erogazione dei servizi cloud sia alla normativa cogente applicabile sia ai requisiti degli standard ISO/IEC 27001, ISO/IEC 27017 e ISO/IEC 27018.
Il Titolare ha la possibilità di monitorare aspetti operativi specifici del servizio utilizzato, inclusi i log di accesso, lo stato del servizio e gli eventuali incidenti di sicurezza, mediante richiesta al referente IT o attraverso gli strumenti di monitoraggio messi a disposizione dal Responsabile nell’ambito del contratto di servizio.
Localizzazione e trattamento dati
I data center utilizzati nei servizi cloud sono situati nel territorio dell’Unione Europea
In caso di ricorso a sub-responsabili autorizzati, il Responsabile documenterà e comunicherà al Titolare anche le location di trattamento dei dati da parte di questi ultimi.
Qualora il Responsabile riceva da parte di un’autorità giudiziaria o di pubblica sicurezza una richiesta di accesso ai dati personali trattati per conto del Titolare, si impegna a informare tempestivamente il titolare, salvo che ciò sia vietato dalla normativa vigente. Il Responsabile non fornirà i dati richiesti senza previa autorizzazione del Titolare, a meno che non sia obbligata per legge a farlo. In quest’ultimo caso, fornirà esclusivamente i dati strettamente necessari a soddisfare la richiesta, documentando l’accaduto e notificando il Titolare non appena possibile.
Conservazione, restituzione e cancellazione dei dati
Tutti i dati personali e gli asset del Titolare afferenti ai servizi cloud saranno resi disponibili per un ulteriore periodo di 30 giorni dalla data di termine del servizio o del contratto. Oltre tale termine saranno cancellati dai server primari e da tutte le copie di backup e da eventuali siti alternativi utilizzati per la business continuity. Il Titolare riceverà attestazione scritta dell’avvenuta eliminazione completa dei dati e degli asset da tutti i supporti, primari e secondari.
Al termine del contratto di servizio, tutti gli asset del Titolare all’interno del perimetro del Responsabile, inclusi dati, configurazioni, certificati e chiavi crittografiche di pertinenza del Titolare, saranno tempestivamente rimossi e restituiti al Titolare ove tecnicamente possibile e contrattualmente previsto.
Backup e ripristino
I dati dei clienti gestiti nei servizi cloud sono sottoposti a politiche di backup giornaliero di tipo incrementale continuo con retention di 90 giorni, salvo diversamente specificato all’interno dei singoli contratti.
A cadenza periodica, almeno semestrale, vengono effettuati test di restore sui dati in ambienti con gli stessi livelli di protezione di quelli di produzione al fine di verificare la correttezza del processo di backup. Al termine dell’estrazione dei dati i medesimi vengono cancellati.
Finalità del trattamento e divieto di uso per marketing
I dati personali trattati nell’ambito del contratto di servizio non saranno in alcun caso utilizzati dal Responsabile per finalità promozionali o di marketing, salvo espresso consenso scritto del Titolare. Tale consenso, ove prestato, è del tutto facoltativo e non costituisce condizione necessaria per l’erogazione del servizio.
Patching e gestione delle vulnerabilità
Nel caso di vulnerabilità tecniche che impattano i servizi erogati in cloud, il Responsabile si impegna nel patching tempestivo dei sistemi e degli applicativi. Tale evento viene notificato al Titolare mediante comunicazione tramite mail con almeno cinque giorni di preavviso dall’attività nei casi di maggiore urgenza.
Misure di sicurezza dell’ambiente cloud
Il Responsabile adotta misure specifiche per mitigare i rischi per la sicurezza delle informazioni nell’utilizzo dell’ambiente virtuale condiviso del cloud computing. In particolare:
- Utilizzo di Cloud Service Provider leader sul mercato almeno TIER 3, in possesso di certificazioni ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018 disponibili su sito web del fornitore https://aws.amazon.com/it/compliance/iso-certified/;
- Protezione dell’ambiente virtuale di ciascun cliente mediante isolamento logico dei sistemi, al fine di impedire l’accesso da parte di altri clienti del medesimo servizio e da persone non autorizzate.
- Rafforzamento (hardening) delle macchine virtuali mediante configurazioni di sicurezza adeguate alle esigenze del business e alle best practice di settore, secondo quanto definito nelle procedure interne del Responsabile.
- Cancellazione sicura degli ambienti virtuali e non riuso delle risorse allocate sulle singole istanze, al fine di impedire qualsiasi accesso residuo a dati personali precedentemente trattati prima della riallocazione dello storage ad altri utenti.
Subfornitori
Nell’utilizzo di altri cloud service provider, il Responsabile si impegna a trasferire negli accordi di servizio eventuali requisiti aggiuntivi che il Titolare richiede nell’ambito del contratto di servizio che dovessero essere più stringenti di quelli attualmente sottoscritti.
Le misure tecniche e organizzative imposte ai subfornitori non potranno essere inferiori a quelle adottate dal Responsabile, e non potranno essere ridotte dal subfornitore senza il previo consenso scritto del Titolare.
Cagliari, 10/06/2026