Politica di sicurezza

Segnalazione delle vulnerabilità di sicurezza

revzper SAS prende sul serio la sicurezza della piattaforma Euphile. Se scoprite una vulnerabilità di sicurezza, vi preghiamo di segnalarla responsabilmente inviando un'e-mail a contact@revzper.com. Confermeremo la ricezione entro 48 ore e ci impegniamo a fornire una valutazione iniziale entro 5 giorni lavorativi. Non intraprendiamo azioni legali contro i ricercatori che seguono pratiche di divulgazione responsabile.

Conformità alle normative sulla protezione dei dati

revzper SAS, in qualità di titolare del trattamento dei dati per la piattaforma Euphile, si impegna a garantire la piena conformità al Regolamento generale sulla protezione dei dati (GDPR) e alle altre leggi dell'UE applicabili in materia di protezione dei dati. La presente politica illustra il nostro rispetto dei seguenti principi:

1. Principi del GDPR

Tutte le attività di trattamento dei dati sono effettuate sulla base di una chiara base giuridica, inclusi il consenso, l'esecuzione di un contratto o il legittimo interesse, come specificato nella nostra Politica sulla privacy.

Rif.: GDPR

2. Diritti dell'interessato

In qualità di interessato, avete i seguenti diritti riguardo ai vostri dati personali trattati sulla piattaforma Euphile:

Rif.: GDPR

Richiedere la conferma che i vostri dati siano oggetto di trattamento e accedere a tali dati.
Richiedere la rettifica dei dati personali inesatti o incompleti.
Richiedere la cancellazione dei vostri dati personali in presenza di condizioni specifiche.
Richiedere la limitazione del trattamento in determinate circostanze.
Ricevere i vostri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
Opporvi al trattamento basato sul legittimo interesse o sul marketing diretto.
Revocare il consenso al trattamento laddove questo costituisse la base giuridica.

3. Base giuridica del trattamento

La base giuridica per il trattamento dei dati personali sulla piattaforma Euphile varia in base al prodotto e al servizio. Per informazioni dettagliate, consultare la Politica sulla privacy relativa a ciascun prodotto (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).

Rif.: GDPR

4. Responsabile della protezione dei dati (DPO)

revzper SAS ha nominato un Responsabile della protezione dei dati per supervisionare le pratiche di protezione dei dati. Il DPO può essere contattato all'indirizzo privacy@revzper.com.

Rif.: GDPR

Misure di sicurezza

La nostra piattaforma applica le seguenti misure di sicurezza per proteggere i dati personali:

1. Crittografia

1. In transito

Tutti i dati trasmessi tra gli utenti e la nostra piattaforma sono crittografati utilizzando protocolli conformi agli standard del settore per garantire canali di comunicazione sicuri.

2. A riposo

I dati sensibili sono crittografati utilizzando solidi standard di crittografia, con chiavi di crittografia gestite in conformità alle migliori pratiche.

2. Controlli degli accessi

1. Controllo degli accessi basato sui ruoli

Il controllo degli accessi basato sui ruoli è implementato per garantire che gli utenti abbiano accesso esclusivamente ai dati e alle funzioni necessari per i loro ruoli.

2. Autenticazione a più fattori

L'autenticazione a più fattori è richiesta per tutti gli accessi amministrativi alla piattaforma.

3. Valutazioni della sicurezza

1. Scansioni delle vulnerabilità e test di penetrazione

Vengono effettuate regolarmente scansioni delle vulnerabilità e test di penetrazione per identificare e affrontare le debolezze della sicurezza.

2. Valutazioni interne della sicurezza

Vengono effettuate valutazioni interne della sicurezza per esaminare i registri degli accessi, le configurazioni dei sistemi e la conformità alle politiche di sicurezza.

4. Monitoraggio automatizzato

1. Monitoraggio continuo

Monitoraggio continuo dei registri di sistema, del traffico di rete e dell'attività degli utenti per rilevare e rispondere a comportamenti sospetti in tempo reale.

2. Avvisi automatizzati

Vengono generati avvisi automatizzati per potenziali incidenti di sicurezza, consentendo una risposta rapida.

5. Certificazioni di conformità

La nostra infrastruttura e i nostri processi sono progettati per soddisfare standard di sicurezza riconosciuti. Le certificazioni vengono verificate regolarmente e rese disponibili su richiesta. Tutti i dati sono trattati all'interno dell'Unione europea su un'infrastruttura che soddisfa gli standard di sicurezza del settore.

Risposta agli incidenti e notifica delle violazioni

revzper SAS ha istituito una solida procedura di risposta agli incidenti per gestire incidenti di sicurezza, violazioni dei dati o accessi non autorizzati ai dati personali. Il nostro obiettivo è rilevare, contenere e mitigare tempestivamente gli incidenti, garantendo al contempo la conformità agli obblighi di legge.

1. Procedura di risposta agli incidenti

Rif.: GDPR

1. Rilevamento e segnalazione

Gli incidenti di sicurezza vengono rilevati tramite strumenti di monitoraggio automatizzati e segnalazioni manuali. I dipendenti e gli appaltatori sono formati per segnalare immediatamente gli incidenti sospetti a privacy@revzper.com o tramite la linea diretta per la risposta agli incidenti all'indirizzo contact@revzper.com.

Rif.: GDPR

2. Valutazione e contenimento

Il team di risposta agli incidenti, guidato dal DPO, valuta la portata e l'impatto dell'incidente. Vengono attuate misure di contenimento immediate per impedire ulteriori accessi non autorizzati o perdite di dati.

Rif.: GDPR

3. Notifica alle autorità di controllo

In caso di violazione dei dati personali, revzper SAS notificherà la competente autorità di controllo entro 72 ore dal momento in cui viene a conoscenza della violazione, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà degli interessati. La notifica includerà: Una descrizione della natura della violazione. Le categorie e il numero approssimativo degli interessati e dei record coinvolti. Le probabili conseguenze della violazione. Le misure adottate o proposte per porre rimedio alla violazione.

Rif.: GDPR

4. Comunicazione agli interessati coinvolti

Se è probabile che la violazione presenti un rischio elevato per i diritti e le libertà degli interessati, revzper SAS comunicherà la violazione alle persone coinvolte senza ingiustificato ritardo. La comunicazione includerà: Una descrizione chiara della violazione. Le misure adottate per porre rimedio alla violazione. Raccomandazioni per gli interessati su come proteggere i propri diritti.

Rif.: GDPR

5. Documentazione e revisione

Tutti gli incidenti sono documentati, inclusi la causa principale, le azioni di risposta e gli insegnamenti appresi. La procedura di risposta agli incidenti viene riesaminata e aggiornata regolarmente per integrare i miglioramenti.

Rif.: GDPR

2. Percorso di escalation

Incidenti minori: gestiti dal team interno per la sicurezza sotto la supervisione del DPO. Incidenti gravi: sottoposti all'alta direzione e al consiglio di amministrazione, con notifica obbligatoria all'autorità di controllo.

Rif.: GDPR

3. Contatto per gli incidenti

Per domande o per segnalare un incidente, contattare il DPO all'indirizzo privacy@revzper.com.

Rif.: GDPR

Gestione dei rischi di terze parti

revzper SAS riconosce che i fornitori terzi, i sub-responsabili del trattamento e i fornitori di servizi possono trattare dati personali per conto della nostra piattaforma. Ci impegniamo a garantire che tutte le terze parti aderiscano agli stessi elevati standard di protezione e sicurezza dei dati di revzper SAS.

1. Sub-responsabili del trattamento e fornitori di servizi

Le seguenti terze parti sono incaricate da revzper SAS di fornire servizi che comportano il trattamento di dati personali. Ogni sub-responsabile del trattamento viene selezionato sulla base di un rigoroso processo di due diligence e di garanzie contrattuali:

Rif.: GDPR

Servizio: Hosting cloud

Sub-responsabile del trattamento: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Ubicazione dei dati: Francia (regione di Parigi), Unione europea
Certificazioni di conformità: ISO/IEC 27001:2022; HDS (hosting di dati sanitari)
Accordo sul trattamento dei dati: Scaleway Data Processing Agreement, https://www.scaleway.com/en/contracts/

Servizio: Elaborazione dei pagamenti

Sub-responsabile del trattamento: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Ubicazione dei dati: Unione europea (Paesi Bassi)
Certificazioni di conformità: fornitore di servizi PCI DSS Level 1; istituto di pagamento autorizzato da De Nederlandsche Bank
Accordo sul trattamento dei dati: Mollie tratta i dati relativi ai pagamenti in qualità di titolare del trattamento indipendente ai sensi del proprio User Agreement e della propria Privacy Statement, https://www.mollie.com/legal/privacy

Servizio: Inferenza AI (modelli OpenAI)

Sub-responsabile del trattamento: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland (Microsoft Foundry, Azure OpenAI Service)
Ubicazione dei dati: Unione europea: distribuzioni di zone dati su una risorsa in Francia (France Central); prompt e risposte elaborati all'interno dell'Azure EU Data Boundary, dati inattivi in Francia
Certificazioni di conformità: ISO/IEC 27001, SOC 2 (Microsoft Service Trust Portal, https://servicetrust.microsoft.com/)
Accordo sul trattamento dei dati: Microsoft Products and Services Data Protection Addendum, https://aka.ms/DPA; data terms for Foundry models, https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy

Servizio: Inferenza AI (modelli Mistral)

Sub-responsabile del trattamento: Mistral AI SAS, RCS Paris 952 418 325, 15 rue des Halles, 75001 Paris, France (La Plateforme)
Ubicazione dei dati: Unione europea (inferenza sull'endpoint regionale UE di Mistral; dati ospitati nell'Unione europea per impostazione predefinita; input e output API conservati per trenta giorni consecutivi per il monitoraggio degli abusi)
Certificazioni di conformità: SOC 2 Type II; ISO/IEC 27001 e 27701 (Mistral AI Trust Center, https://trust.mistral.ai/)
Accordo sul trattamento dei dati: Mistral AI Data Processing Addendum, https://legal.mistral.ai/terms/data-processing-addendum/
2. Due diligence e selezione

Tutti i potenziali sub-responsabili del trattamento sono valutati sulla base delle loro pratiche di sicurezza, delle certificazioni di conformità e degli impegni in materia di protezione dei dati. Con tutti i sub-responsabili del trattamento vengono stipulati Accordi sul trattamento dei dati, che definiscono i loro obblighi in materia di protezione dei dati, sicurezza e notifica delle violazioni. revzper SAS riesamina regolarmente le prestazioni e la conformità dei sub-responsabili del trattamento per garantire il continuo rispetto delle normative applicabili.

Rif.: GDPR

3. Risposta agli incidenti e notifica delle violazioni

I sub-responsabili del trattamento sono tenuti a notificare immediatamente a revzper SAS qualsiasi violazione dei dati sospetta o effettiva. revzper SAS valuterà l'impatto della violazione e adotterà le misure appropriate, inclusa la notifica all'autorità di controllo competente e agli interessati coinvolti, come richiesto dalle normative applicabili.

Rif.: GDPR

4. Contatto per la gestione dei rischi di terze parti

Per domande sulle nostre pratiche di gestione dei rischi di terze parti, contattare il DPO all'indirizzo privacy@revzper.com.

Rif.: GDPR

Formazione e sensibilizzazione dei dipendenti in materia di sicurezza

revzper SAS si impegna a promuovere una cultura della consapevolezza della sicurezza tra tutti i dipendenti e i collaboratori. La formazione e l'istruzione regolari sono essenziali per mantenere la sicurezza della nostra piattaforma e proteggere i dati personali.

1. Programma di formazione

1. Ambito

Tutti i dipendenti e i collaboratori che hanno accesso ai sistemi o ai dati di revzper SAS sono tenuti a completare la formazione sulla sicurezza.

2. Argomenti trattati

Consapevolezza delle minacce comuni alla sicurezza (ad es., phishing, ingegneria sociale). Pratiche di autenticazione sicura. Principi di controllo degli accessi e del privilegio minimo. Procedure di segnalazione degli incidenti. Principi di protezione dei dati e conformità normativa. Pratiche di sviluppo sicuro (per il personale tecnico). Sicurezza fisica e sicurezza sul luogo di lavoro.

3. Frequenza della formazione

Nuove assunzioni: formazione obbligatoria sulla sicurezza entro i primi 30 giorni dall'assunzione. Aggiornamento annuale: tutti i dipendenti e i collaboratori devono completare un aggiornamento annuale della formazione sulla sicurezza. Formazione ad hoc: viene fornita formazione aggiuntiva per nuovi sistemi, politiche o minacce emergenti.

4. Documentazione

La partecipazione e il completamento della formazione sono documentati e archiviati in modo sicuro. I dipendenti sono tenuti a confermare di aver compreso i materiali formativi.

2. Campagne di sensibilizzazione

Simulazioni di phishing: vengono condotte regolarmente simulazioni di phishing per valutare la consapevolezza dei dipendenti e rafforzare la formazione. Newsletter sulla sicurezza: vengono distribuite newsletter periodiche per condividere aggiornamenti sulle minacce alla sicurezza, sulle migliori pratiche e sulle modifiche alle policy. Revisioni degli incidenti: vengono condotte revisioni successive agli incidenti per analizzare le lezioni apprese e migliorare le pratiche di sicurezza.

3. Conformità e applicazione

Il mancato rispetto dei requisiti di formazione sulla sicurezza può comportare provvedimenti disciplinari, fino alla cessazione del rapporto di lavoro inclusa. revzper SAS si riserva il diritto di verificare il completamento della formazione e la conformità alle policy di sicurezza.

4. Contatto per domande sulla formazione

Per domande sul nostro programma di formazione sulla sicurezza, contattare il DPO all'indirizzo privacy@revzper.com.