SICUREZZA
Misure tecniche e organizzative
Allegato all'Accordo sul trattamento dei dati. Misure di sicurezza ai sensi dell'articolo 32 del GDPR applicate a PersoHR.
Questa pagina costituisce l'allegato sulle misure tecniche e organizzative ("TOMs") richiamato nella sezione 7 dell'Accordo sul trattamento dei dati disponibile su /legal/dpa. Le misure indicate di seguito sono quelle attualmente in vigore; possono essere aggiornate di volta in volta, a condizione che un aggiornamento non riduca in modo sostanziale il livello complessivo di sicurezza.
1. Hosting e residenza dei dati nell'UE
L'applicazione HR principale utilizza l'infrastruttura Hetzner per il database e l'archiviazione dei file. Fornitori di servizi supportano inoltre le funzionalità AI, le email, gli SMS di sicurezza, la fatturazione e le statistiche delle pagine pubbliche. L'elenco su /legal/sub-processors descrive il ruolo e le modalità di trattamento di ciascun fornitore. Le integrazioni attivate dal cliente possono inviare informazioni al fornitore scelto dal cliente. L'hosting nell'UE dei dati principali non deve essere interpretato come un'affermazione che ogni servizio o destinatario correlato tratti i dati esclusivamente all'interno dell'UE.
2. Controllo degli accessi e autenticazione
L'autenticazione dei clienti utilizza link via email senza password. I token dei magic link e i token di rinnovo sono memorizzati come hash; i magic link sono monouso e scadono. L'autenticazione a due fattori TOTP è obbligatoria per i ruoli Proprietario e Amministratore HR. I meccanismi di recupero sono soggetti a controlli di sicurezza separati. I token di accesso hanno durata limitata e i token di rinnovo sono trasmessi tramite cookie HttpOnly con attributi di sicurezza di produzione. I ruoli dell'applicazione sono Proprietario, Amministratore HR, Manager e Dipendente; controlli a livello di servizio limitano ulteriormente l'accesso alle registrazioni pertinenti. Questi controlli non costituiscono un'affermazione riguardo a chiavi hardware o a revisioni operative degli accessi sull'infrastruttura di produzione.
3. Isolamento dei tenant
I dati HR aziendali sono limitati a un tenant, e lo spazio di lavoro autenticato viene utilizzato dai controlli di accesso a livello di repository e di servizio. Le identità utente globali possono appartenere a più di uno spazio di lavoro e sono gestite separatamente dalle appartenenze HR al tenant. Gli identificativi delle registrazioni da soli non concedono l'accesso; l'autorizzazione dipende dall'utente autenticato, dallo spazio di lavoro, dal ruolo e dalle verifiche applicabili sulle relazioni. I filtri per tenant sono una parte di questi controlli e non sostituiscono la verifica di ogni percorso di accesso.
4. Crittografia
L'applicazione utilizza AES-256-GCM per determinati valori sensibili, tra cui i segreti TOTP e gli identificativi bancari, fiscali e previdenziali supportati per le buste paga. Si tratta di una protezione a livello di campo e non significa che ogni campo relativo a retribuzioni, documenti o salute disponga di un livello separato di crittografia a livello applicativo. Il traffico tra l'applicazione e il database rimane all'interno dello stesso server e ogni connessione pubblica utilizza TLS. I backup sono archiviati in forma crittografata, mentre il volume del database e l'archiviazione dei documenti non dispongono di crittografia a livello di archiviazione. Il presente allegato non afferma l'uso di un determinato algoritmo di cifratura dell'archiviazione o di una determinata versione TLS per ogni endpoint in esercizio in assenza della corrispondente documentazione operativa.
5. Registrazione, monitoraggio e audit
I registri di audit registrano le azioni supportate, come modifiche, esportazioni e richieste di cancellazione, con informazioni su autore, azione, riferimento alla registrazione e orario. Sono soggetti a controlli di accesso, conservazione programmata e regole specifiche di conservazione per vincolo legale. Non si tratta di un impegno a registrare ogni lettura o a conservare uno storico immutabile e illimitato. I log operativi e di sicurezza supportano le indagini e il funzionamento del servizio; il loro contenuto, l'accesso e la conservazione devono essere limitati alla finalità. Anche gli identificativi degli utenti e delle registrazioni possono costituire dati personali.
6. Backup e ripristino di emergenza
Misure adeguate di disponibilità e ripristino rientrano negli obblighi del Responsabile ai sensi dell'articolo 32 del GDPR. Le pianificazioni dei backup dell'infrastruttura, la conservazione, la crittografia e i test di ripristino devono essere documentati e mantenuti per il servizio in esercizio. Contattaci per le evidenze operative attuali e per eventuali obiettivi di ripristino concordati. Le esportazioni dei dati dell'applicazione non sostituiscono i backup dell'infrastruttura e il presente allegato non rappresenta una garanzia sui tempi di ripristino verificata in modo indipendente.
7. Risposta agli incidenti
Le violazioni dei dati personali che riguardano i dati del titolare vengono comunicate al titolare senza ingiustificato ritardo dal momento in cui se ne viene a conoscenza, come descritto nel DPA. I fatti disponibili, le probabili conseguenze e le misure di risposta vengono forniti e integrati man mano che l'indagine procede. Il termine entro cui il titolare deve effettuare la notifica all'autorità di controllo è distinto dall'obbligo del Responsabile di informarlo. L'indagine sugli incidenti e le azioni correttive devono proteggere i dati interessati e preservare le prove necessarie.
8. Gestione delle vulnerabilità e sviluppo sicuro
I repository includono test automatizzati e controlli statici di qualità per aiutare a individuare i difetti. I problemi di sicurezza individuati devono essere valutati e risolti in base al loro rischio. Questi controlli di sviluppo non dimostrano che ogni dipendenza venga analizzata a ogni build, che siano stati eseguiti test di penetrazione esterni o che ogni funzionalità disponga di un modello delle minacce completato. Le evidenze di valutazione attuali possono esserci richieste.
9. Cancellazione, conservazione e portabilità
Il servizio fornisce flussi di esportazione e cancellazione dei dati degli utenti e dei dipendenti, oltre a un'esportazione amministrativa del tenant. Il loro ambito e le relative autorizzazioni sono diversi. Le procedure di cancellazione eliminano o anonimizzano le registrazioni supportate. Non forniscono un flusso generale di conservazione per vincolo legale (legal hold) controllato dal datore di lavoro. Il cliente deve valutare la risposta lecita a una singola richiesta. L'eliminazione dello spazio di lavoro aziendale è distinta dall'interruzione del rinnovo dell'abbonamento e prevede una finestra di revoca di 30 giorni dopo la richiesta nell'app. La cancellazione dell'account personale è immediata e avvia anche la cancellazione delle appartenenze agli spazi di lavoro associate, senza una fase separata di approvazione da parte del datore di lavoro. Le registrazioni dell'orario di lavoro bloccate e conservate non dispongono attualmente di un flusso dedicato per il loro recupero. Il DPA disciplina la restituzione o la cancellazione al termine del trattamento, comprese le copie di backup protette e le registrazioni che devono essere conservate.
10. Due diligence sui sub-responsabili
L'elenco dei fornitori su /legal/sub-processors descrive ruoli, sedi, categorie di dati e accordi con i fornitori. Il Responsabile deve ricorrere a sub-responsabili sulla base di condizioni scritte che soddisfino l'articolo 28 del GDPR, resta responsabile delle tutele richieste e deve seguire la procedura del DPA relativa ad autorizzazione, preavviso e opposizione.
11. Personale
Il personale autorizzato a trattare i dati personali dei clienti deve essere vincolato da obblighi di riservatezza e ricevere accessi adeguati alle proprie responsabilità. La gestione degli accessi, la consapevolezza in materia di sicurezza e le procedure di trattamento dei dati fanno parte delle misure organizzative del Responsabile. L'obbligo di proteggere i dati personali conservati prosegue anche dopo la fine di un incarico o di un abbonamento.