Accordo sul trattamento dei dati (DPA)

Articolo 28 del Regolamento (UE) 2016/679 — RGPD — Versione 2026-11-13

Il presente Accordo sul trattamento dei dati (di seguito « Accordo » o « DPA ») integra e costituisce parte integrante delle Condizioni Generali d’Uso e di Vendita di jenvoie (di seguito il « Contratto Principale »), di cui precisa l’articolo 11, concluse tra:

Gravity5, società per azioni semplificata (société par actions simplifiée) di diritto francese a capitale variabile di 150 €, iscritta al RCS Créteil 931 799 860, con sede legale in 6bis, rue Jean Mermoz, 94450 Limeil-Brévannes, Francia, rappresentata dal Sig. Yohann MEPA, Presidente, di seguito denominata « il Responsabile del Trattamento » o « Gravity5 ».

E

Il Cliente, professionista che ha accettato il Contratto Principale, anche installando l’applicazione jenvoie per Shopify, i cui recapiti sono indicati nel suo account o nel suo negozio, di seguito denominato « il Cliente » o « il Titolare del Trattamento ».

Di seguito denominati collettivamente le « Parti » e individualmente la « Parte ».

Preambolo

Il Cliente utilizza jenvoie, piattaforma online di creazione di giochi promozionali e di invio di email (newsletter, sequenze), accessibile su jenvoie.fr e tramite l’applicazione jenvoie per Shopify (di seguito il « Servizio »).

Nell’ambito dell’utilizzo del Servizio, il Responsabile del Trattamento è chiamato a trattare, per conto e su istruzione del Cliente, Dati Personali relativi ai partecipanti ai giochi del Cliente e ai suoi contatti (potenziali clienti, clienti, iscritti a liste di diffusione, clienti del suo negozio).

Il Cliente agisce in qualità di Titolare del Trattamento ai sensi del RGPD rispetto a tali dati. Gravity5 agisce in qualità di Responsabile del Trattamento ai sensi del RGPD.

Il presente Accordo ha lo scopo di disciplinare le condizioni di tale trattamento conformemente all’articolo 28 del RGPD e alla Loi Informatique et Libertés come modificata.

Articolo 1 — Definizioni

• « RGPD »: Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016.
• « Loi Informatique et Libertés »: legge francese n. 78-17 del 6 gennaio 1978 come modificata.
• « Dati Personali » o « Dati »: qualsiasi informazione riguardante una persona fisica identificata o identificabile, ai sensi dell’articolo 4(1) del RGPD.
• « Interessato »: la persona fisica cui si riferiscono i Dati.
• « Trattamento »: qualsiasi operazione compiuta sui Dati, ai sensi dell’articolo 4(2) del RGPD.
• « Titolare del Trattamento »: il Cliente, che determina le finalità e i mezzi del Trattamento.
• « Responsabile del Trattamento »: Gravity5, che tratta i Dati per conto del Cliente.
• « Sub-responsabile del Trattamento »: terzo incaricato dal Responsabile del Trattamento di eseguire una parte del Trattamento (fornitore di hosting, ecc.).
• « Violazione dei Dati »: violazione della sicurezza ai sensi dell’articolo 4(12) del RGPD.
• « Autorità di Controllo »: la Commission Nationale de l’Informatique et des Libertés (CNIL) o qualsiasi altra autorità competente.

Articolo 2 — Oggetto e descrizione del Trattamento

2.1 Oggetto

Il presente Accordo ha lo scopo di definire le condizioni alle quali il Responsabile del Trattamento si impegna a effettuare, per conto del Titolare del Trattamento, le operazioni di Trattamento dei Dati descritte di seguito.

2.2 Descrizione del Trattamento

Natura del Trattamento

Hosting dei giochi del Cliente, registrazione delle partecipazioni, determinazione e certificazione dei risultati, creazione di codici sconto nel negozio Shopify del Cliente, raccolta, registrazione, organizzazione, conservazione, consultazione, uso, comunicazione mediante trasmissione (invio di email), cancellazione o distruzione dei Dati, produzione di statistiche.

Finalità

Consentire al Cliente di organizzare giochi promozionali, gestire i propri contatti, progettare e inviare email (newsletter, sequenze, email legate alle partecipazioni) ai contatti che vi hanno acconsentito e seguire le statistiche di tali invii.

Categorie di Dati

Indirizzo email e altri campi scelti dal Cliente nei propri moduli (nome, telefono, risposte, pronostici, attributi personalizzati); scelte di consenso (marketing, misurazione dell’apertura) e relativa data; partite (data, lingua, risultato, premio, codice sconto, browser, riferimento del certificato); attività email (invii, recapito, rimbalzi, disiscrizioni, reclami, clic e, se il destinatario lo ha accettato, aperture); identificativo tecnico univoco.

Categorie di Interessati

Partecipanti ai giochi del Cliente; potenziali clienti, clienti e iscritti alle liste di diffusione del Cliente; clienti del negozio Shopify del Cliente; contatti professionali.

Durata del Trattamento

Per tutta la durata del Contratto Principale, maggiorata del periodo di restituzione/cancellazione previsto all’articolo 11.

2.3 Dati sensibili

Il Cliente si impegna a non trasmettere al Servizio dati sensibili ai sensi dell’articolo 9 del RGPD (origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici o biometrici, dati relativi alla salute, all’orientamento sessuale), né dati relativi a condanne penali (articolo 10 del RGPD), salvo previo consenso espresso e scritto del Responsabile del Trattamento.

Articolo 3 — Obblighi del Responsabile del Trattamento

3.1 Conformità alle istruzioni

Il Responsabile del Trattamento tratta i Dati soltanto su istruzione documentata del Titolare del Trattamento, anche per quanto riguarda i trasferimenti al di fuori dell’Unione europea. Sono considerate istruzioni documentate:

• Il Contratto Principale e il presente Accordo;
• Le impostazioni e configurazioni effettuate dal Cliente nel proprio account o nell’applicazione jenvoie per Shopify;
• Le azioni compiute dal Cliente tramite l’interfaccia, l’API o un assistente di intelligenza artificiale collegato tramite MCP con i suoi accessi (creazione di giochi, invio di campagne, importazione di liste di contatti);
• Le richieste specifiche formulate per iscritto (email, ticket di assistenza).

Qualora il Responsabile del Trattamento ritenga che un’istruzione costituisca una violazione del RGPD o di altre disposizioni applicabili in materia di protezione dei dati, ne informa immediatamente il Titolare del Trattamento.

3.2 Riservatezza

Il Responsabile del Trattamento garantisce che le persone autorizzate a trattare i Dati si impegnino a rispettare la riservatezza o siano soggette a un adeguato obbligo legale di riservatezza.

3.3 Sicurezza

Il Responsabile del Trattamento mette in atto le misure tecniche e organizzative adeguate previste all’Allegato 2 del presente Accordo, conformemente all’articolo 32 del RGPD, per garantire un livello di sicurezza adeguato al rischio.

3.4 Assistenza al Titolare del Trattamento

Il Responsabile del Trattamento assiste il Titolare del Trattamento, nella misura del possibile e tenuto conto della natura del Trattamento, per:

• Rispondere alle richieste di esercizio dei diritti degli Interessati (articoli da 12 a 23 del RGPD);
• Garantire il rispetto degli obblighi previsti agli articoli da 32 a 36 del RGPD (sicurezza, notifica di violazione, valutazione d’impatto, consultazione preventiva).

Tale assistenza avviene tramite le funzionalità del Servizio (esportazione, cancellazione, modifica dei contatti) o, in mancanza, su richiesta scritta tramite i canali di assistenza.

3.5 Informazione e cooperazione

Il Responsabile del Trattamento mette a disposizione del Titolare del Trattamento tutte le informazioni necessarie per dimostrare il rispetto dei propri obblighi ai sensi del presente Accordo.

Articolo 4 — Obblighi del Titolare del Trattamento

Il Titolare del Trattamento si impegna a:

• Documentare per iscritto qualsiasi istruzione relativa al Trattamento dei Dati da parte del Responsabile del Trattamento;
• Assicurarsi di disporre di una base giuridica valida (in particolare il consenso preventivo, libero, specifico, informato e inequivocabile per il marketing diretto B2C, raccolto per i partecipanti mediante la casella di consenso del gioco, mai preselezionata) per ciascun invio effettuato tramite il Servizio;
• Conservare la prova del consenso di ciascun destinatario (data, fonte, meccanismo di opt-in);
• Rispettare gli obblighi del RGPD che gli incombono in qualità di Titolare del Trattamento, in particolare l’informazione degli Interessati (articoli 13 e 14), anche in merito alla misurazione dell’apertura delle email, che è individuale soltanto con il consenso del destinatario;
• Pubblicare il regolamento dei propri giochi e restare responsabile dei propri premi;
• Non importare nel Servizio liste acquistate, noleggiate, raccolte da siti web o prive di consenso valido;
• Tenere aggiornato il proprio registro delle attività di trattamento;
• Rispettare la Politica di Uso Accettabile del Servizio;
• Vigilare sulla qualità e sull’esattezza dei Dati che carica nel Servizio;
• Rispondere alle richieste degli Interessati e informare il Responsabile del Trattamento quando l’assistenza di quest’ultimo è necessaria.

Articolo 5 — Diritti degli Interessati

Nella misura del possibile, il Responsabile del Trattamento assiste il Titolare del Trattamento nel rispondere alle richieste di esercizio dei diritti degli Interessati, in particolare:

• Diritto di accesso (articolo 15 del RGPD) — tramite la consultazione e l’esportazione dei contatti;
• Diritto di rettifica (articolo 16 del RGPD) — tramite la funzionalità di modifica del contatto;
• Diritto alla cancellazione (articolo 17 del RGPD) — tramite la funzionalità di cancellazione definitiva;
• Diritto di limitazione del Trattamento (articolo 18 del RGPD);
• Diritto alla portabilità (articolo 20 del RGPD) — tramite l’esportazione in formato CSV;
• Diritto di opposizione (articolo 21 del RGPD) — tramite il link di disiscrizione presente in ogni email e, per la misurazione dell’apertura, tramite il link di revoca del consenso presente in ogni email che contiene un pixel individuale.

Per l’applicazione jenvoie per Shopify, il Responsabile del Trattamento gestisce inoltre le richieste in materia di privacy trasmesse da Shopify:

• customers/data_request: il Responsabile del Trattamento individua i Dati che detiene su tale cliente per il negozio e li invia al Cliente, per email all’indirizzo del negozio, sotto forma di file;
• customers/redact: il Responsabile del Trattamento cancella la scheda contatto, le risposte e lo storico delle email di tale cliente e anonimizza le sue partite;
• shop/redact (ricevuto quarantotto (48) ore dopo la disinstallazione): il Responsabile del Trattamento cancella i Dati di tutti i partecipanti e contatti del negozio nonché gli accessi al negozio. Per le persone disiscritte o che si sono opposte agli invii, nonché per gli indirizzi in mancato recapito definitivo, conserva soltanto un’impronta non reversibile dell’indirizzo email, al solo fine di impedirne la reimportazione; lo stesso vale a seguito di una richiesta di cancellazione (customers/redact).

Qualora una richiesta sia rivolta direttamente al Responsabile del Trattamento, questi ne informa il Titolare del Trattamento entro un termine ragionevole e reindirizza l’Interessato al Titolare del Trattamento, salvo istruzione contraria.

Articolo 6 — Notifica di Violazione dei Dati

Il Responsabile del Trattamento notifica al Titolare del Trattamento qualsiasi Violazione dei Dati senza ingiustificato ritardo e al più tardi entro quarantotto (48) ore dal momento in cui ne è venuto a conoscenza.

La notifica precisa, nella misura in cui tali informazioni sono disponibili:

• La natura della Violazione, le categorie e il numero approssimativo di Interessati e di registrazioni interessati;
• I recapiti del punto di contatto (privacy@jenvoie.fr);
• Le probabili conseguenze della Violazione;
• Le misure adottate o proposte per porvi rimedio e attenuarne gli effetti.

Qualora non tutte le informazioni siano immediatamente disponibili, esse sono comunicate in fasi successive e senza ingiustificato ritardo.

Spetta al Titolare del Trattamento, se del caso, notificare la Violazione alla CNIL e agli Interessati alle condizioni degli articoli 33 e 34 del RGPD.

Articolo 7 — Sub-responsabili del trattamento

7.1 Autorizzazione generale

Il Titolare del Trattamento autorizza il Responsabile del Trattamento a ricorrere a Sub-responsabili del Trattamento per l’esecuzione del Servizio. L’elenco dei Sub-responsabili del Trattamento figura all’Allegato 1 del presente Accordo.

7.2 Notifica delle modifiche

Il Responsabile del Trattamento informa il Titolare del Trattamento di qualsiasi modifica prevista riguardante l’aggiunta o la sostituzione di un Sub-responsabile del Trattamento, con un preavviso minimo di trenta (30) giorni, dando così al Titolare del Trattamento la possibilità di opporsi motivatamente a tali modifiche.

7.3 Opposizione

In caso di opposizione ragionevole del Titolare del Trattamento basata su motivi legati alla protezione dei Dati, le Parti discuteranno in buona fede per trovare una soluzione. In mancanza di accordo, il Responsabile del Trattamento potrà, a sua discrezione, non incaricare il Sub-responsabile del Trattamento interessato oppure consentire al Titolare del Trattamento di recedere dal Contratto Principale senza penali (per l’applicazione jenvoie per Shopify, disinstallandola).

7.4 Responsabilità

Il Responsabile del Trattamento impone a ciascun Sub-responsabile del Trattamento, mediante contratto scritto, gli stessi obblighi in materia di protezione dei Dati stabiliti nel presente Accordo. Il Responsabile del Trattamento resta pienamente responsabile, nei confronti del Titolare del Trattamento, dell’adempimento da parte del Sub-responsabile del Trattamento dei propri obblighi.

Articolo 8 — Trasferimenti al di fuori dell’Unione europea

I Dati sono ospitati all’interno dell’Unione europea (data center di Hetzner situati in Germania).

L’invio delle email è assicurato dall’infrastruttura di invio propria del Responsabile del Trattamento (mail.jenvoie.fr), ospitata in Germania (UE): il contenuto dei messaggi non è oggetto di alcun trasferimento al di fuori dell’UE. Qualora un trattamento coinvolga comunque un Sub-responsabile del Trattamento situato al di fuori dell’Unione europea (Allegato 1), il trasferimento è disciplinato da:

• Una decisione di adeguatezza della Commissione europea (in particolare il Data Privacy Framework per gli Stati Uniti quando il Sub-responsabile del Trattamento vi è certificato); oppure
• La conclusione di Clausole Contrattuali Tipo (CCT) adottate dalla Commissione europea (decisione 2021/914), comprese, se del caso, le misure supplementari necessarie conformemente alla sentenza Schrems II.

L’elenco dei Sub-responsabili del Trattamento precisa per ciascuno l’ubicazione e il meccanismo di trasferimento applicabile (Allegato 1).

Articolo 9 — Audit

Il Responsabile del Trattamento mette a disposizione del Titolare del Trattamento, su richiesta scritta e ragionevole, le informazioni e la documentazione necessarie per dimostrare il rispetto degli obblighi previsti dal presente Accordo e dall’articolo 28 del RGPD.

Tale obbligo si adempie in via prioritaria mettendo a disposizione:

• La presente documentazione contrattuale;
• Gli eventuali rapporti di certificazione o di audit dei propri Sub-responsabili del Trattamento (in particolare ISO 27001 del fornitore di hosting);
• Le risposte a un questionario di sicurezza standardizzato.

Il Titolare del Trattamento può, a proprie spese e con un ragionevole preavviso di almeno trenta (30) giorni lavorativi, chiedere lo svolgimento di un audit complementare sui soli aspetti coperti dal presente Accordo, al massimo una volta all’anno, salvo in caso di Violazione dei Dati accertata. L’audit è svolto durante l’orario lavorativo, non deve perturbare l’attività del Responsabile del Trattamento e deve rispettare la riservatezza degli altri clienti del Responsabile del Trattamento.

Articolo 10 — Durata e cessazione

Il presente Accordo ha effetto dalla data di accettazione del Contratto Principale da parte del Cliente e resta in vigore per tutta la durata del Contratto Principale, nonché per il periodo necessario all’adempimento degli obblighi post-contrattuali (in particolare la restituzione e la cancellazione dei Dati previste all’articolo 11).

Articolo 11 — Sorte dei Dati alla cessazione del contratto

Il Cliente può esportare i propri contatti in qualsiasi momento dal Servizio. Per l’applicazione jenvoie per Shopify, la disinstallazione pone immediatamente fine alla visualizzazione dei giochi e, al ricevimento del webhook shop/redact inviato da Shopify quarantotto (48) ore dopo, il Responsabile del Trattamento cancella definitivamente i Dati dei partecipanti e dei contatti del negozio; le partite sono conservate soltanto in forma anonimizzata, a fini statistici.

Per gli altri Clienti, alla scadenza o in caso di cessazione del Contratto Principale, e a scelta del Titolare del Trattamento espressa per iscritto entro trenta (30) giorni dalla fine del contratto, il Responsabile del Trattamento procede:

• Alla restituzione dei Dati al Titolare del Trattamento in un formato strutturato, di uso comune e leggibile da dispositivo automatico (CSV o JSON), su supporto protetto; oppure
• Alla cancellazione definitiva di tutti i Dati.

In mancanza di istruzioni del Titolare del Trattamento entro il termine stabilito, il Responsabile del Trattamento procede alla cancellazione definitiva dei Dati, fatti salvi i tempi tecnici di elaborazione.

Sono esclusi dalla cancellazione:

• I backup tecnici, che sono cancellati secondo il consueto ciclo di rotazione;
• I dati la cui conservazione è imposta da un obbligo di legge (fatturazione, contabilità, lotta contro le frodi).

Il Responsabile del Trattamento fornisce, su richiesta scritta, un attestato di cancellazione.

Articolo 12 — Responsabilità e indennizzo

Ciascuna delle Parti è responsabile dei danni causati da un inadempimento ai propri obblighi ai sensi del presente Accordo e del RGPD, alle condizioni previste all’articolo 82 del RGPD.

Fermo restando quanto precede, la responsabilità del Responsabile del Trattamento ai sensi del presente Accordo è soggetta alle limitazioni ed esclusioni previste nel Contratto Principale.

Nessuna disposizione del presente Accordo limita o esclude la responsabilità di una Parte nei confronti degli Interessati nella misura in cui tale limitazione o esclusione sia contraria al RGPD o a qualsiasi altra disposizione di legge imperativa.

Articolo 13 — Disposizioni generali

13.1 Gerarchia dei documenti

In caso di contrasto tra il presente Accordo e il Contratto Principale su questioni relative alla protezione dei Dati, prevale il presente Accordo.

13.2 Modifica

Il Responsabile del Trattamento può modificare il presente Accordo per riflettere evoluzioni normative o modifiche del Servizio. Qualsiasi modifica sostanziale è notificata al Titolare del Trattamento con un preavviso di trenta (30) giorni.

13.3 Legge applicabile e foro competente

Il presente Accordo è disciplinato dalla legge francese. Qualsiasi controversia relativa alla sua interpretazione o alla sua esecuzione è risolta alle condizioni dell’articolo 14 del Contratto Principale.

13.4 Accettazione

Il presente Accordo è accettato con il Contratto Principale, alle condizioni previste nel preambolo di quest’ultimo (casella di spunta al momento della creazione dell’account su jenvoie.fr, casella di spunta e pulsante di conferma alla prima apertura dell’applicazione jenvoie per Shopify, o approvazione di un Preventivo). La traccia di tale accettazione (identificativo dell’account o dominio del negozio Shopify, data e ora, versione accettata) è conservata dal Responsabile del Trattamento.

Allegato 1 — Elenco dei Sub-responsabili del Trattamento

Elenco aggiornato al 13 novembre 2026.

Hetzner Online GmbH

Hosting dell’infrastruttura (server, base di dati, backup) e dei server di invio di email del Responsabile del Trattamento — Germania (UE) — tutti i Dati del Servizio — nessun trasferimento (intra-UE).

Shopify

Per i negozi che utilizzano l’applicazione jenvoie per Shopify: piattaforma sulla quale funziona l’applicazione; trasmette le richieste in materia di privacy e ospita i codici sconto creati dall’applicazione nel negozio del Cliente; non le è trasmesso alcun dato dei partecipanti né dei contatti — Irlanda (UE), Canada (decisione di adeguatezza) e Stati Uniti (Data Privacy Framework) — secondo le condizioni di Shopify.

OpenAI

Traduzione automatica facoltativa dei testi dei giochi redatti dal Cliente — Stati Uniti — nessun dato di partecipanti o di contatti — DPF / CCT.

Stripe

Pagamento dei clienti abbonati direttamente su jenvoie.fr (al di fuori di Shopify) — UE e Stati Uniti — soltanto dati di fatturazione del Cliente, mai i partecipanti né i contatti — DPF / CCT.

Nota: l’instradamento delle email avviene tramite l’infrastruttura di invio propria del Responsabile del Trattamento (mail.jenvoie.fr), ospitata nell’Unione europea; non interviene alcun fornitore terzo di servizi di emailing, salvo quando il Cliente sceglie di far partire le proprie email dal proprio server o fornitore di invio, che designa in tal caso sotto la propria responsabilità.

Allegato 2 — Misure tecniche e organizzative di sicurezza

Conformemente all’articolo 32 del RGPD, il Responsabile del Trattamento mette in atto le seguenti misure per garantire un livello di sicurezza adeguato ai rischi:

1. Sicurezza delle infrastrutture

• Hosting in data center certificati ISO 27001 (Hetzner, Germania);
• Isolamento di rete, firewall e limitazione delle porte esposte;
• Aggiornamenti regolari del sistema operativo e delle dipendenze;
• Monitoraggio delle prestazioni e avvisi in caso di anomalia;
• Backup automatici giornalieri, cifrati e conservati in un luogo distinto.

2. Sicurezza delle comunicazioni

• Cifratura TLS 1.2 come minimo (TLS 1.3 raccomandato) per tutte le comunicazioni in entrata e in uscita;
• Attuazione degli standard di autenticazione email: SPF, DKIM, DMARC;
• HTTPS obbligatorio sull’intero dominio jenvoie.fr;
• Verifica della firma (HMAC) di ogni webhook ricevuto da Shopify;
• Intestazioni di sicurezza (HSTS, CSP, X-Frame-Options, ecc.).

3. Sicurezza dei dati memorizzati

• Cifratura dei dati inattivi secondo la politica del fornitore di hosting (Hetzner);
• Hashing crittografico delle password e dei codici di accesso;
• Separazione logica dei dati tra gli account dei Clienti;
• Token API memorizzati in forma di hash nella base di dati;
• Valore segreto proprio di ciascuna partita, cancellato al momento della cancellazione, che rende i certificati impossibili da ricollegare al partecipante.

4. Controllo degli accessi

• Autenticazione individuale per ciascun amministratore del Responsabile del Trattamento;
• Principio del privilegio minimo per gli accessi interni;
• Registrazione degli accessi degli amministratori alle basi di dati;
• Revoca immediata degli accessi in caso di fine incarico o di cessazione del rapporto.

5. Sicurezza applicativa

• Convalida degli input e protezione contro le iniezioni (SQL, XSS, CSRF);
• Limitazione della frequenza delle richieste (rate limiting) sugli endpoint sensibili;
• Revisione del codice per le funzionalità critiche;
• Aggiornamento regolare delle dipendenze e monitoraggio delle vulnerabilità (CVE).

6. Misure organizzative

• Impegno di riservatezza sottoscritto da chiunque acceda ai Dati;
• Sensibilizzazione alla protezione dei Dati e alla sicurezza;
• Politica documentata di gestione degli incidenti;
• Tenuta di un registro dei trattamenti in qualità di responsabile del trattamento (articolo 30.2 del RGPD).

7. Misure specifiche del servizio email

• Link di disiscrizione presente e funzionante in ogni email di campagna;
• Pixel individuale di misurazione dell’apertura soltanto con il consenso del destinatario (casella mai preselezionata), link di revoca in ogni email che lo contiene, nessun pixel dopo la revoca; per gli altri destinatari, pixel anonimo privo di dati personali;
• Conservazione della prova del consenso a cura del Cliente, che deve poterla fornire su richiesta;
• Meccanismi anti-spam (gestione dei rimbalzi, reclami FBL, lista di soppressione);
• Esclusione automatica e definitiva dei contatti disiscritti e degli indirizzi in mancato recapito definitivo da tutti gli invii futuri;
• Rilevamento ed esclusione delle aperture e dei clic automatici (robot, precaricamento);
• Sospensione automatica delle campagne con un tasso anomalo di rimbalzi o di reclami;
• Pseudonimizzazione parziale nei log quando tecnicamente possibile.

8. Continuità operativa

• Piano di backup testato periodicamente;
• RTO (Recovery Time Objective): 24 ore per i servizi critici;
• Documentazione aggiornata delle procedure di ripristino.

9. Gestione delle Violazioni

• Procedura di notifica al Titolare del Trattamento entro 48 ore;
• Tenuta di un registro interno delle Violazioni;
• Analisi successiva all’incidente e attuazione di misure correttive.

Le presenti misure possono essere adattate e integrate in funzione delle evoluzioni tecniche e normative, senza riduzione del livello complessivo di protezione.