Addendum sulla sicurezza

La presente traduzione riproduce in modo identico la numerazione e la struttura della versione inglese 0.1. Il documento non contiene variabili di redazione.

Addendum sulla sicurezza

Il presente Addendum sulla sicurezza descrive le misure tecniche e organizzative che Virtik USA, Inc. applica alla piattaforma Virtik. Esso integra le Condizioni (LEG-001), il DPA (LEG-010) e qualsiasi Contratto quadro di servizi (LEG-011) od Order Form (LEG-012) che ad esso rinvii. È deliberatamente breve: indica soltanto le misure che Virtik è in grado di sostenere e indica ciò che Virtik non dichiara. I termini con iniziale maiuscola non definiti nel presente documento hanno i significati indicati nelle Condizioni (LEG-001).

1. Ciò che il presente documento non afferma

Esposto in primo luogo, poiché si tratta delle affermazioni che più frequentemente vengono attribuite a un addendum sulla sicurezza.

1.1 Virtik non possiede attualmente alcuna attestazione SOC 2, certificazione ISO 27001, certificazione di conformità HIPAA né autorizzazione FedRAMP, e non dichiara di possederle. Ove gli obblighi propri del Cliente richiedano una certificazione di cui Virtik non dispone, spetta al Cliente stabilire se la piattaforma sia adeguata al proprio utilizzo.

1.2 Non è offerta alcuna relazione di audit di terzi. La sezione 7 enuncia la posizione sull'audit.

1.3 Non è offerto alcun esito di test di penetrazione, né è assunto alcun impegno sulla periodicità dei test.

1.4 Non è dichiarata alcuna copertura assicurativa.

1.5 Nessun servizio può essere garantito sicuro. Il presente Addendum descrive misure; non garantisce un risultato. Si applica la sezione 20 delle Condizioni.

1.6 Virtik non dichiara che il Servizio disponga di un'autorizzazione StateRAMP o sia conforme alla FBI Criminal Justice Information Services Security Policy, che Virtik monitori il Servizio ininterrottamente, che il Servizio raggiunga alcun livello di operatività o di disponibilità, né che Virtik offra alcuna regione di hosting o alcun impegno di residenza dei dati.

2. Inventario delle misure

2.1 Misure indicate come configurate

Sono le misure che l'implementazione e la configurazione del Servizio prevedono, esposte come configurate. Non rappresentano lo stato di implementazione di alcun ambiente particolare. L'Allegato 6 del DPA elenca le medesime misure.

2.2 Aspetti non dichiarati

Nel presente Addendum Virtik non rilascia alcuna dichiarazione in merito a: cifratura a riposo e gestione delle chiavi; se, con quale frequenza e per quanto tempo i backup siano conservati, e obiettivi di ripristino; luoghi e regioni di hosting; periodicità dei test di penetrazione; standard di verifica dei precedenti del personale; periodicità della formazione sulla sicurezza; gestione delle vulnerabilità e periodicità delle correzioni; continuità operativa e ripristino in caso di disastro, compresi gli obiettivi di ripristino; sicurezza fisica dei luoghi di hosting; ciclo di sviluppo sicuro e revisione del codice; conservazione dei registri; gestione dei dispositivi del personale con accesso all'ambiente di produzione; o rotazione delle chiavi. Virtik dichiara una misura soltanto mediante una nuova versione del presente Addendum. Nulla nella presente sezione 2.2 né nella sezione 1 limita l'obbligo previsto dall'articolo 6.1 del DPA di adottare le misure che l'articolo 32 del GDPR (o la disposizione equivalente di altra legge applicabile) richiede a un Responsabile del trattamento, e il presente Addendum non dichiara che ciascuna di tali misure sia in atto.

3. Controllo degli accessi e personale

3.1 Nel presente Addendum Virtik non rilascia alcuna dichiarazione in merito alle modalità con cui l'accesso ai sistemi di produzione è concesso, riesaminato o registrato.

3.2 Gli impegni di Virtik in materia di riservatezza e di accesso del personale sono contenuti nella sezione 5 del DPA.

3.3 Virtik non rilascia alcuna dichiarazione in merito alla verifica dei precedenti del personale o alla periodicità della formazione sulla sicurezza.

4. Responsabilità del Cliente

La sicurezza della piattaforma è condivisa, e la presente sezione non è una clausola di esonero: è la metà della superficie di controllo che Virtik non può raggiungere.

4.1 Il Cliente è responsabile:

(a) della sicurezza dei Sistemi del Cliente, comprese telecamere, sensori, sistemi di controllo degli accessi, apparati radio, dispositivi mobili e reti;

(b) della corretta gestione delle credenziali, compreso il divieto di condividere le credenziali degli Utenti autorizzati;

(c) della configurazione delle autorizzazioni all'interno della propria Organizzazione e del relativo riesame all'ingresso, al cambio di ruolo o all'uscita delle persone;

(d) dell'attivazione e dell'obbligo dell'autenticazione a più fattori per i propri utenti, ove la piattaforma la offra;

(e) della gestione dei dispositivi che accedono al Servizio;

(f) della decisione su quali dati siano immessi nella piattaforma e su chi possa consultarli;

(g) della tempestiva revoca dell'accesso alle persone che non ne necessitano più.

4.2 Una configurazione errata da parte del Cliente che esponga Dati del Cliente all'interno della propria Organizzazione non costituisce una Violazione della sicurezza.

5. Violazioni della sicurezza

5.1 Virtik informerà il Cliente senza ingiustificato ritardo dopo che Virtik abbia accertato una Violazione della sicurezza, come le Condizioni definiscono tale termine, e, quanto ai Dati personali del Cliente, conformemente all'articolo 10 del DPA. Virtik accerta una Violazione della sicurezza quando, agendo ragionevolmente e senza ritardare la propria indagine, stabilisce che la Violazione della sicurezza si è verificata oppure ritiene ragionevolmente, come previsto dalla sezione 1.17 delle Condizioni, che si sia verificata.

5.2 Obiettivo operativo di notifica. Ove ragionevolmente praticabile, l'obiettivo di Virtik è dare tale avviso entro 72 ore dal momento in cui accerta la Violazione della sicurezza. Tale periodo è soltanto un obiettivo operativo di notifica. Non costituisce una garanzia contrattuale incondizionata né una dichiarazione di garanzia, e un avviso dato dopo 72 ore non costituisce di per sé una violazione del Contratto. La sezione 19.5 delle Condizioni e l'articolo 10 del DPA stabiliscono la posizione.

5.3 Un tentativo non riuscito, o un evento che non comprometta la sicurezza dei Dati del Cliente — compresi ping, scansioni di porte, accessi non riusciti e tentativi di negazione del servizio che non diano luogo ad accesso — non costituisce una Violazione della sicurezza.

5.4 La notifica non costituisce ammissione di colpa o di responsabilità.

5.5 Segnali una vulnerabilità o un incidente sospetti a security@virtik.ai. Il Cliente non deve divulgare pubblicamente una vulnerabilità sospetta prima che Virtik abbia avuto una ragionevole possibilità di porvi rimedio.

5.6 L'avviso di Virtik al Cliente è distinto da qualsiasi notifica che il Cliente debba effettuare a un'autorità di regolamentazione, a persone fisiche o ad altri. Tali obblighi e i termini entro i quali devono essere adempiuti sono determinati dalla legge applicabile, decorrono dalla conoscenza propria del Cliente e sono di responsabilità del Cliente.

5.7 Virtik non rilascia alcuna dichiarazione in merito a un piano di risposta agli incidenti, alla copertura di reperibilità, alla capacità forense o agli strumenti che utilizza per rilevare una Violazione della sicurezza, e non indica alcun tempo di risposta per una segnalazione effettuata ai sensi della sezione 5.5.

6. Sub-responsabili e hosting

6.1 Virtik si avvale di terzi per ospitare, archiviare, trattare e fatturare per proprio conto. L'Elenco dei sub-responsabili (LEG-009) li classifica come sub-responsabili del trattamento, fornitori di infrastruttura, Gestore dei pagamenti, fornitori forniti dal Cliente e servizi il cui utilizzo Virtik non ha verificato.

6.2 L'inventario vigente è l'Elenco dei sub-responsabili (LEG-009).

6.3 Virtik non indica alcuna regione di hosting.

6.4 La residenza dei dati non è offerta come impegno (DPA articolo 15.4).

7. Audit e garanzie

7.1 Virtik metterà a disposizione le informazioni ragionevolmente necessarie per dimostrare il rispetto del presente Addendum, principalmente mediante il presente documento e mediante risposte a ragionevoli questionari di sicurezza. Una risposta a un questionario è soltanto un'informazione. Non costituisce una dichiarazione in merito a una misura che la sezione 2.1 non indica, e la sezione 2.2 del presente Addendum e l'articolo 19.2 delle Condizioni continuano ad applicarsi.

7.2 I diritti di audit relativi ai dati personali sono contenuti nella sezione 14 del DPA e non sono qui modificati.

7.3 Nessun ulteriore diritto di audit. Virtik non concede alcun diritto di audit oltre le sezioni 7.1 e 7.2 e le condizioni di cui alla sezione 14 del DPA. Non esiste alcuna relazione di terzi, e Virtik non concede un audit della propria infrastruttura multi-tenant secondo modalità che possano incidere su altri clienti.

8. Modifiche

8.1 Virtik può aggiornare il presente Addendum purché il livello di protezione non sia sostanzialmente ridotto.

8.2 Una riduzione sostanziale richiede un preavviso ai sensi del contratto applicabile e, ove si applichi il Contratto quadro di servizi, la sua sezione 11.4 può attribuire al Cliente un rimedio.

Lingua. La presente traduzione è fornita esclusivamente per comodità. In caso di conflitto, prevarrà la versione inglese, salvo quanto diversamente previsto dalla legge applicabile.

Cronologia delle versioni

FINE DEL DOCUMENTO