1. Ambito e definizioni
Un Incidente di sicurezza è un evento che compromette effettivamente, o presenta un rischio rilevante e credibile per, la riservatezza, l'integrità o la disponibilità dei sistemi o dei dati di DIRI AI. Una Violazione dei dati personali è la distruzione, la perdita o la modifica accidentale o illecita di dati personali, ovvero la divulgazione o l'accesso non autorizzati ai medesimi, una volta confermata.
Le scansioni bloccate, i tentativi di accesso non riusciti e gli avvisi di disponibilità innocui non sono automaticamente violazioni dei dati personali, ma possono comunque essere oggetto di indagine.
2. Segnalazione
Clienti e ricercatori devono segnalare gli incidenti sospetti a security@diriai.com. Le richieste in materia di privacy o il sospetto di esposizione di dati personali possono essere inviati anche a privacy@diriai.com. Il messaggio iniziale deve includere l'orario, l'account o il percorso interessato, il comportamento osservato e i dettagli per una riproduzione sicura, ma non deve includere password, dati completi di carte né contenuti esposti non necessari.
3. Gravità e risposta
DIRI AI classifica un evento in base alla sensibilità dei dati, al numero e alla vulnerabilità delle persone interessate, all'impatto sui confini tra tenant, ai privilegi, allo sfruttamento attivo, alla disponibilità e agli obblighi legali e contrattuali.
| Gravità | Esempio | Priorità di risposta |
|---|---|---|
| Critica | divulgazione confermata tra tenant, acquisizione di privilegi, compromissione distruttiva attiva | escalation immediata al responsabile, contenimento e valutazione legale e privacy |
| Alta | probabile accesso non autorizzato a Dati Personali del Cliente o grave compromissione dell'integrità del servizio | contenimento urgente e valutazione nella stessa giornata |
| Media | impatto limitato confermato senza dati sensibili o vulnerabilità controllata | indagine e correzione con priorità |
| Bassa | tentativo bloccato, debolezza minore o assenza di compromissione confermata | coda ordinaria di sicurezza e verifica delle tendenze |
Si tratta di priorità interne, non di tempi di risoluzione garantiti.
4. Ciclo di risposta
Il responsabile dell'incidente, in modo proporzionato:
- registrerà e convaliderà la segnalazione;
- conserverà marcature temporali, registri e altre prove con accesso limitato;
- conterrà le credenziali, i percorsi, i fornitori o i flussi di dati interessati;
- determinerà i dati, i clienti, le persone, i Paesi e il periodo interessati;
- valuterà gli obblighi di notifica insieme ai responsabili privacy e legali;
- eliminerà la causa, ripristinerà il servizio in sicurezza e monitorerà eventuali recidive;
- fornirà gli aggiornamenti richiesti; e
- documenterà la causa originaria, gli insegnamenti e le azioni correttive.
5. Notifica al cliente quando DIRI AI è responsabile del trattamento
Per i Dati Personali del Cliente, DIRI AI notificherà al cliente organizzativo interessato senza ingiustificato ritardo dopo essere venuta a conoscenza di una Violazione dei dati personali. L'obiettivo operativo è una comunicazione iniziale entro 48 ore ove ragionevolmente possibile. Le informazioni potranno essere fornite per fasi e comprenderanno la natura, le probabili conseguenze, i dati e le persone interessati, le misure di mitigazione e il punto di contatto man mano che saranno disponibili.
Il cliente resta responsabile delle proprie decisioni nei confronti dell'autorità di controllo e degli interessati, salvo che DIRI AI abbia un distinto obbligo di legge. L'obiettivo di 48 ore non ritarda una comunicazione anteriore ed è un traguardo operativo, non un termine contrattuale garantito.
6. Notifiche quando DIRI AI è titolare del trattamento
Quando DIRI AI è titolare del trattamento, documenterà ogni Violazione dei dati personali e valuterà il rischio per le persone. Se il GDPR richiede la notifica all'autorità di controllo, DIRI AI notificherà l'autorità competente senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuta a conoscenza, motivando l'eventuale ritardo. Se è probabile che la violazione comporti un rischio elevato, le persone interessate saranno informate senza ingiustificato ritardo, salvo che si applichi un'eccezione di legge.
Altri territori supportati possono richiedere contenuti diversi o termini più brevi; prevale il termine applicabile più ravvicinato.
7. Comunicazioni sullo stato del servizio
Gli incidenti rilevanti di disponibilità possono essere comunicati mediante un avviso nell'applicazione, un canale di stato verificato o l'e-mail. Un avviso pubblico non deve esporre dettagli sfruttabili, dati di un altro cliente né una causa non verificata. Gli obblighi di notifica in materia di sicurezza e privacy non dipendono dalla disponibilità di una pagina pubblica di stato.
8. Aggiornamenti e revisione post-incidente
Per un incidente rilevante notificato, DIRI AI dovrebbe fornire aggiornamenti rilevanti fino al contenimento e un riepilogo di chiusura quando ciò sia ragionevolmente sicuro. Un report aziendale post-incidente può descrivere la cronologia, l'impatto, la causa originaria e le azioni correttive, nel rispetto di sicurezza, privilegi, riservatezza e legge. Nessuna notifica costituisce un'ammissione di responsabilità.
9. Prove e conservazione
Le prove dell'incidente sono ad accesso limitato e conservate solo per la risposta, gli obblighi di legge, i reclami e il miglioramento dei controlli. Il termine predefinito è la durata del caso più cinque anni, adeguato in base alla gravità, ai termini di prescrizione, alle istruzioni delle autorità e ai vincoli di conservazione legali. I dati personali non pertinenti devono essere rimossi o ridotti al minimo.
10. Contatti e versione
Contatto per la sicurezza: security@diriai.com. Contatto per la privacy: privacy@diriai.com. Versione: 1.2.0. Data: 30 agosto 2026.