Sicurezza e conformità

Ciò che il tuo responsabile IT ti chiederà

Cifratura, controllo degli accessi, registro di audit, backup verificati e un contratto di responsabile del trattamento che si può leggere senza sobbalzi.

Le cinque domande dell’IT, con le risposte

Quando un responsabile IT valuta una piattaforma, chiede sempre le stesse cose: dove sono i dati, chi può accedervi, cosa succede in caso di violazione e cosa dice il contratto di responsabile del trattamento. Kimobox risponde con un’infrastruttura di proprietà nell’Unione europea, cifratura in transito e a riposo, controllo degli accessi per profilo con doppio fattore, registro di audit di ogni azione e un contratto ai sensi dell’art. 28 del GDPR scritto per essere letto, non per essere firmato senza guardarlo.

Contenuto revisionato il 25 agosto 2026

Quadro applicabile: Regolamento (UE) 2016/679 e LO 3/2018 GDPR applicabile dal 25 maggio 2018; LOPDGDD spagnola dal dicembre 2018
Contratto di responsabile: Art. 28 del GDPR Con il contenuto minimo elencato dall’articolo stesso
Notifica delle violazioni: 72 ore Art. 33 del GDPR, da quando il titolare ne viene a conoscenza
Sanzione massima: 20 M€ o il 4 % del fatturato mondiale L’importo più alto, secondo l’art. 83.5 del GDPR
Ubicazione dei dati: Data center nell’UE Nessun trasferimento internazionale che richieda garanzie aggiuntive

Cifratura end-to-end

TLS in transito e cifratura a riposo di dati e allegati.

Accessi e doppio fattore

Permessi per profilo, SSO aziendale e secondo fattore, obbligatorio o facoltativo.

Registro di audit

Chi ha visto o modificato cosa e quando, compreso l’accesso del supporto.

GDPR e LOPDGDD

Contratto di responsabile del trattamento, registro delle attività e gestione dei diritti.

Operatività

Come viene gestito il servizio

Monitoraggio 24×7 con avvisi e reperibilità
Backup giornalieri con prove periodiche di ripristino
Ambienti separati di test e produzione
Aggiornamenti pianificati e comunicati in anticipo
Piano di continuità e ripristino collaudato
Audit di sicurezza e penetration test periodici

Quadro normativo

La normativa su cui lavoriamo

GDPR (UE) 2016/679

Il regolamento europeo sulla protezione dei dati che fissa le basi del trattamento.

AEPD

La Agencia Española de Protección de Datos, autorità di controllo in Spagna.

Esempi reali

Ciò che di solito si rompe

Azienda con DPO esterno

Registro delle attività di trattamento incompleto

Prima Il registro è stato fatto nel 2019 e da allora non è stato più toccato, nonostante l’azienda abbia adottato tre nuovi strumenti.

Dopo Ogni trattamento viene registrato con base giuridica, categorie di dati, termini e destinatari, e viene rivisto quando cambia il sistema che lo supporta.

Industria · accesso degli appaltatori

Utenti ancora attivi anni dopo

Prima Nessuno rivede i permessi. Ci sono account di persone uscite dall’azienda nel 2022 con accesso alla documentazione di qualità.

Dopo Revisione periodica degli accessi per profilo e disattivazione automatica legata alla scheda del personale. L’accesso scade quando scade il rapporto.

Servizi · audit di un cliente

Dimostrare chi ha visto un documento

Prima Il sistema non registra chi ha avuto accesso a cosa. Davanti a un reclamo, l’azienda non può né affermare né smentire nulla.

Dopo Registro di audit con utente, azione, oggetto e momento. La domanda «chi ha scaricato questo» ha una risposta con data.

Lessico

I termini da usare correttamente

Titolare del trattamento: Chi decide le finalità e i mezzi del trattamento. In una piattaforma come questa, il titolare è l’azienda cliente, non il fornitore.
Responsabile del trattamento: Chi tratta dati per conto del titolare. Può farlo solo seguendo le sue istruzioni documentate e nell’ambito del contratto dell’art. 28 del GDPR.
Violazione dei dati personali: Violazione che comporta la distruzione, la perdita, la modifica o l’accesso non autorizzato a dati personali. Va notificata all’autorità entro 72 ore, salvo che sia improbabile che presenti un rischio.
Cifratura a riposo: Protezione del dato mentre è archiviato, non solo mentre viaggia. È ciò che limita il danno se qualcuno accede fisicamente al supporto.
Registro delle attività: Inventario dei trattamenti svolti dall’organizzazione, richiesto dall’art. 30 del GDPR. È la prima cosa che l’autorità chiede durante un’ispezione.
Doppio fattore (2FA): Verifica che combina qualcosa che si sa con qualcosa che si possiede. Trasforma una password trapelata in un problema fastidioso invece che in un incidente grave.

Domande frequenti

Cosa ci chiedono prima di iniziare

Dove sono ospitati i dati?

In data center dell’Unione europea, su infrastruttura di proprietà.

Chi può vedere i miei dati?

Solo il supporto, con accesso registrato e previa tua autorizzazione espressa.

Avete la certificazione ISO 27001?

Il servizio è gestito secondo i controlli della ISO 27001; ti forniamo la documentazione per la tua valutazione dei fornitori.

Chi è titolare e chi responsabile del trattamento?

L’azienda cliente è il titolare: decide finalità e mezzi. Kimobox agisce come responsabile e tratta i dati solo seguendo le sue istruzioni documentate, nell’ambito del contratto richiesto dall’art. 28 del GDPR.

Cosa succede se si verifica una violazione dei dati?

L’art. 33 del GDPR obbliga a notificarla all’autorità di controllo entro settantadue ore da quando se ne è venuti a conoscenza. Il contratto di responsabile prevede l’impegno a comunicarvela senza ritardo perché possiate rispettare quel termine.

Qual è la sanzione massima del GDPR?

Venti milioni di euro o il quattro per cento del fatturato mondiale annuo, se superiore, per le violazioni dell’art. 83.5. È il motivo per cui queste domande hanno smesso di essere una formalità.

Si può sapere chi ha avuto accesso a un documento?

Sì. Il registro di audit conserva utente, azione, oggetto e momento, ed è consultabile ed esportabile. La domanda «chi ha scaricato questo» ha una risposta con data.

Come si gestiscono i diritti degli interessati?

Accesso, rettifica, cancellazione, limitazione, portabilità e opposizione si gestiscono dalla piattaforma stessa, con la localizzazione del dato per interessato e la registrazione della risposta entro il termine di un mese dell’art. 12.3.

C’è l’autenticazione a doppio fattore?

Sì, attivabile per profilo. È ciò che trasforma una password trapelata in un incidente fastidioso invece che in un problema grave.

Passa la nostra scheda di sicurezza al tuo team IT

Ti mostriamo il modulo in funzione con dati simili ai tuoi.

Richiedi una demo

Continua a esplorare

Pagine correlate

Fonti

Da dove arriva ogni dato

Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.

Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati EUR-Lex · Applicabile dal 25 maggio 2018
Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (legge organica spagnola sulla protezione dei dati) BOE-A-2018-16673 · 6 dicembre 2018
Guía para la notificación de brechas de datos personales (guida alla notifica delle violazioni) Agencia Española de Protección de Datos · Guida dell’AEPD
ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni ISO/IEC · 25 ottobre 2022

Sicurezza delle informazioni e conformità al GDPR

La piattaforma applica cifratura in transito e a riposo, controllo degli accessi per profilo, autenticazione a doppio fattore, integrazione con l’SSO aziendale e registro di audit di tutte le azioni, compreso l’accesso del team di supporto.

Il servizio è erogato da data center dell’Unione europea con contratto di responsabile del trattamento conforme al GDPR e alla LOPDGDD spagnola, backup giornalieri verificati, ambienti separati e piano di continuità collaudato.