Accordo sul trattamento dei dati

JOIN si propone di mettere in contatto persone in cerca di lavoro e aziende in tutto il mondo. Le aziende possono utilizzare la piattaforma JOIN all’indirizzo https://join.com/ (di seguito «Piattaforma») per pubblicare posizioni aperte e gestire in un unico luogo le candidature ricevute.

JOIN fornisce servizi all’Azienda secondo il contratto di servizi concluso tra le parti («Servizi»). I Servizi comprendono in particolare la possibilità di pubblicare annunci di lavoro e gestire le relative procedure di candidatura sulla Piattaforma mediante uno strumento di gestione accessibile via web. Nell’ambito dei Servizi, JOIN tratta dati personali di cui l’Azienda è titolare, agendo come responsabile del trattamento ai sensi della normativa vigente sulla protezione dei dati.

JOIN può inoltre trattare dati personali in qualità di titolare del trattamento ai sensi della normativa vigente. Ulteriori informazioni sono disponibili nell’informativa sulla privacy di JOIN.

Il presente DPA ha lo scopo di proteggere le parti dall’uso improprio dei dati personali trattati per i Servizi, garantire la protezione da parte di JOIN dei dati personali comunicati dall’Azienda e rispettare i requisiti di legge applicabili.

Salvo diverso accordo espresso, il presente DPA forma parte di ogni contratto di servizi tra l’Azienda e JOIN. Il DPA, compresi tutti gli allegati, precisa inoltre come segue gli obblighi delle parti in materia di protezione dei dati derivanti dal contratto di servizi:

1. Le disposizioni seguenti si applicano soltanto ai Servizi che costituiscono trattamento di dati nell’ambito del contratto di servizi.
2. I termini utilizzati nel DPA e definiti dal GDPR o dalla LPD, ove applicabili, hanno il significato attribuito loro dalla rispettiva legge. Il DPA deve essere letto e interpretato alla luce del Regolamento generale sulla protezione dei dati dell’Unione europea («GDPR») e della Legge federale svizzera sulla protezione dei dati («LPD»), ove applicabili. Non può essere interpretato in modo contrario ai diritti e agli obblighi previsti da tali norme o tale da pregiudicare i diritti e le libertà fondamentali degli interessati.

1. Ai sensi del presente DPA, JOIN tratta dati personali esclusivamente per conto dell’Azienda e secondo le sue istruzioni. Ciò comprende in particolare i trattamenti effettuati da JOIN per l’Azienda nell’erogazione dei Servizi previsti dal contratto di servizi. In tale contratto e nella sezione 4, le parti hanno precisato gli elementi richiesti dall’articolo 28, paragrafi 3 e 4, GDPR e dall’articolo 9 LPD, in particolare l’oggetto e la durata del trattamento, le modalità, la natura e le finalità del trattamento previsto, i tipi di dati e gli interessati.
2. JOIN tratta i dati per conto dell’Azienda nel rispetto dell’articolo 28 GDPR e dell’articolo 9 LPD, ciascuno soltanto se e nella misura in cui si applica alla specifica attività di trattamento. L’Azienda rimane in ogni caso titolare del trattamento.
3. Fatte salve le disposizioni del GDPR o della LPD applicabili, se JOIN viola gli obblighi previsti dal DPA, l’Azienda può ordinare a JOIN di sospendere temporaneamente il trattamento dei dati personali finché JOIN non rispetti il DPA o il contratto non sia cessato. JOIN informa tempestivamente l’Azienda qualora, per qualsiasi motivo, non sia in grado di rispettare il DPA. JOIN informa immediatamente l’Azienda se ritiene che le sue istruzioni violino le disposizioni applicabili sulla protezione dei dati dell’Unione, degli Stati membri o della Svizzera.
4. Il DPA resta pienamente valido ed efficace per tutta la durata del contratto di servizi sottostante. Le disposizioni che, espressamente o implicitamente, devono entrare o restare in vigore alla cessazione del contratto di servizi o successivamente, per proteggere i dati personali, mantengono piena validità ed efficacia.

Le disposizioni del DPA sono parte integrante del contratto di servizi tra le parti e prevalgono sugli altri accordi contrattuali in materia di protezione dei dati, in particolare sui contratti che prevedono disposizioni difformi a svantaggio dell’Azienda. Resta ferma la clausola 1.1. Il DPA non si applica al trattamento dei dati personali che JOIN, in qualità di titolare del trattamento, fornisce all’Azienda o ad altri singoli utenti. La responsabilità di ciascuna parte derivante dal DPA o a esso connessa è soggetta alle limitazioni ed esclusioni previste nel contratto di servizi concluso tra le parti.

Le parti concordano che la finalità del trattamento è l’erogazione dei Servizi da parte di JOIN secondo il contratto di servizi. L’ambito e la natura della raccolta, del trattamento o dell’utilizzo dei dati personali sono determinati dalle disposizioni del contratto di servizi e dai Servizi effettivamente utilizzati dall’Azienda.

Gli interessati dal trattamento dei dati personali nell’ambito del contratto di servizi comprendono:

• Le persone che si candidano alle posizioni pubblicate dall’Azienda tramite la Piattaforma;
• I dipendenti dell’Azienda che utilizzano la Piattaforma per suo conto.

Il trattamento per conto dell’Azienda riguarda in particolare i seguenti tipi di dati:

• Dati personali dei candidati, come nome, titolo, titolo accademico, data di nascita, numero di telefono e indirizzo email;
• Dati trasmessi dai candidati, come curriculum vitae, referenze e certificati;
• Tutte le informazioni relative al processo di candidatura registrate nei Servizi e sulla Piattaforma JOIN, come messaggi inviati tramite la Piattaforma, informazioni sul processo e sull’avanzamento di una candidatura, oppure domande poste nell’ambito della selezione e registrate sulla Piattaforma;
• Dati generati dall’utilizzo dei Servizi, come metadati relativi alla durata di un processo di candidatura, al numero di persone che si sono candidate e alla fase raggiunta da ciascuna candidatura;
• Dati generati dalle interazioni con i Servizi, come risposte alle domande poste dai candidati, dati registrati dall’Azienda e non cancellati dalla Piattaforma e messaggi di primo contatto rivolti ai candidati o a JOIN;
• Dati personali, come nome, qualifica, indirizzo email, numero di telefono e indirizzo professionale, e dati di accesso, come nome utente e password, dei dipendenti dell’Azienda.

Il trattamento di tali dati nell’ambito di altri Servizi JOIN per i quali JOIN agisce come titolare non rientra nel DPA. Si rinvia all’informativa sulla privacy di JOIN.

1. L’Azienda è l’unica responsabile della valutazione dell’ammissibilità del trattamento svolto da JOIN per suo conto e della tutela dei diritti degli interessati. In particolare, a titolo non esaustivo, l’Azienda è responsabile di (1) adempiere agli obblighi informativi sulla protezione dei dati nei confronti dei candidati, (2) ottenere e documentare la base giuridica necessaria nei confronti dei candidati per il trattamento da parte dell’Azienda o di JOIN secondo la normativa vigente e (3) rispettare i termini di cancellazione applicabili al relativo processo di candidatura.
2. In qualità di titolare, l’Azienda può impartire in qualsiasi momento istruzioni sulla natura, sull’ambito e sulle modalità del trattamento svolto per suo conto. Le istruzioni verbali devono essere confermate per iscritto dall’Azienda, anche tramite email. JOIN conferma tempestivamente il ricevimento e l’esecuzione delle istruzioni e informa l’Azienda qualora ritenga che un’istruzione violi la normativa applicabile sulla protezione dei dati.
3. Se lo ritiene necessario, l’Azienda può designare persone autorizzate a impartire istruzioni, comunicandole per iscritto. In caso di cambiamento delle persone autorizzate, l’Azienda informa JOIN in tempo utile, indicando ogni volta le nuove persone designate.
4. L’Azienda informa JOIN degli errori o delle irregolarità rilevati in relazione al trattamento dei dati personali da parte di JOIN.
5. L’Azienda può verificare la conformità delle misure tecniche e organizzative di sicurezza dei dati adottate da JOIN secondo la sezione 9 prima dell’inizio del trattamento e successivamente a intervalli regolari, ma non più di una volta all’anno. La verifica deve essere preceduta da un preavviso di almeno 30 giorni, svolgersi nel normale orario di lavoro e tenere conto degli interessi di JOIN. L’Azienda può affidarla a un terzo, purché sia stato previamente concluso un accordo di riservatezza. L’Azienda è tenuta a corrispondere il compenso alle persone incaricate di attuare tali misure.
6. L’Azienda è tenuta a informare JOIN degli incidenti relativi alla protezione dei dati o di altre violazioni della normativa vigente che interessino le attività di trattamento di JOIN.
7. L’Azienda informa tempestivamente JOIN qualora venga a conoscenza di specifici provvedimenti delle autorità di controllo che la riguardano, in particolare attività investigative, purché incidano sul trattamento svolto per l’Azienda e quest’ultima non sia soggetta a un obbligo di riservatezza.

1. Trattamento dei dati. JOIN è tenuta a trattare i dati personali ai sensi del DPA esclusivamente secondo il presente accordo e/o il contratto di servizi sottostante e le istruzioni dell’Azienda.

2. Diritti degli interessati. JOIN assiste l’Azienda, per quanto possibile, nel dare attuazione ai diritti degli interessati, in particolare per quanto riguarda rettifica, limitazione del trattamento, cancellazione, notifiche e fornitura di informazioni.

   Su istruzione dell’Azienda, JOIN rettifica o cancella i dati personali trattati per suo conto oppure ne limita il trattamento. Tale obbligo non si applica ai dati personali trattati da JOIN come titolare nell’ambito dei servizi offerti tramite la Piattaforma.

   Se un interessato si rivolge direttamente a JOIN per chiedere la rettifica, la cancellazione o la limitazione del trattamento dei propri dati personali, JOIN inoltra la richiesta all’Azienda immediatamente dopo averla ricevuta. L’Azienda rimane responsabile dell’esecuzione delle richieste.

3. Obblighi di controllo interno. JOIN attua misure di controllo adeguate, come verifiche interne e un piano di protezione dei dati, per assicurare che i dati personali oggetto del DPA siano trattati secondo l’accordo e le relative istruzioni.

4. Obbligo di informazione. In qualità di responsabile del trattamento, JOIN informa l’Azienda se, secondo la propria valutazione, un’istruzione viola disposizioni di legge. JOIN può quindi sospenderne l’esecuzione finché l’Azienda non la modifica. Ciò non comporta un obbligo di verifica o segnalazione a carico di JOIN.

   JOIN notifica all’Azienda qualsiasi violazione dei dati personali trattati da JOIN («Violazione dei dati personali») entro e non oltre 48 ore dal momento in cui ne viene a conoscenza. La notifica comprende almeno:

   1. Una descrizione della natura della violazione, incluse, ove possibile, le categorie e il numero approssimativo degli interessati e delle registrazioni di dati coinvolti;
   2. Le probabili conseguenze della violazione;
   3. Le misure adottate o proposte per affrontare la violazione e attenuarne i possibili effetti negativi.

   Se provvedimenti di terzi, come misure adottate da un curatore fallimentare o sequestri disposti dalle autorità fiscali, mettono a rischio l’accesso ai dati personali trasmessi dall’Azienda a JOIN per il trattamento, JOIN è tenuta a informarne l’Azienda.

   JOIN comunica informazioni a un soggetto richiedente soltanto previo accordo con l’Azienda, salvo che un provvedimento dell’autorità o una decisione giudiziaria imponga tale comunicazione.

   Quando una Violazione dei dati personali deriva dalla compromissione, perdita o divulgazione non autorizzata delle credenziali, dei sistemi o del personale dell’Azienda, JOIN agisce esclusivamente come responsabile del trattamento e i suoi obblighi si limitano alla notifica all’Azienda secondo il DPA. JOIN non ha l’obbligo di effettuare notifiche per conto dell’Azienda. JOIN può decidere, autonomamente o su richiesta dell’Azienda, di informare gli interessati dell’esistenza di una violazione affinché possano adottare le misure necessarie a ridurre i rischi e ulteriori accessi non autorizzati all’infrastruttura di JOIN.

5. Creazione di un registro dei trattamenti. Su richiesta, JOIN assiste l’Azienda nella compilazione dell’elenco delle attività di trattamento rientranti nel DPA e dei trattamenti effettuati, fornendo in forma adeguata le informazioni necessarie.

   JOIN mantiene inoltre un proprio registro di tutte le categorie di attività di trattamento svolte per conto dell’Azienda, secondo la normativa vigente sulla protezione dei dati.

6. Obblighi di segnalazione e collaborazione. Su richiesta, JOIN assiste l’Azienda:

   1. Nell’adempimento dei propri obblighi di segnalazione;
   2. Nell’adempimento dell’obbligo di effettuare valutazioni d’impatto sulla protezione dei dati;
   3. Negli obblighi di notifica e comunicazione delle violazioni dei dati personali;
   4. Nelle eventuali consultazioni preventive con le autorità di controllo.

7. Luogo del trattamento. Salvo diverso accordo tra le parti, JOIN tratta e utilizza i dati in Svizzera, nell’Unione europea o in un altro Stato parte dell’Accordo sullo Spazio economico europeo. Il trasferimento delle attività di trattamento di JOIN in un paese terzo è consentito soltanto nel rispetto dei requisiti specifici del capo V GDPR o della sezione 2 LPD. L’Azienda accetta che, quando JOIN incarica un sub-responsabile ai sensi del presente accordo di svolgere specifiche attività di trattamento per conto dell’Azienda in un paese terzo e tali attività comportano un trasferimento di dati personali ai sensi del GDPR o della LPD applicabili, JOIN e il sub-responsabile possano utilizzare le clausole contrattuali tipo adottate dalla Commissione ai sensi dell’articolo 46, paragrafo 2, GDPR per soddisfare i requisiti del capo V. Ciò è subordinato al rispetto delle condizioni d’uso di tali clausole e a una valutazione interna che abbia concluso che il trasferimento garantisce il livello di protezione previsto dal GDPR e dalla LPD.

8. Cancellazione dei dati personali dopo la cessazione dell’accordo. Dopo la cessazione del contratto di servizi, JOIN è tenuta a cancellare tutti i dati personali trattati per conto dell’Azienda, ad attestare all’Azienda l’avvenuta cancellazione e a eliminare le copie esistenti, salvo che il diritto dell’Unione, di uno Stato membro o svizzero imponga la conservazione. L’obbligo di cancellazione non si applica ai dati personali trattati da JOIN come titolare nell’ambito dei servizi offerti tramite la Piattaforma.

1. JOIN mette a disposizione dell’Azienda tutte le informazioni ragionevolmente necessarie a dimostrare il rispetto degli obblighi previsti dal DPA e direttamente derivanti dal GDPR o dalla LPD. Su richiesta dell’Azienda, JOIN consente e agevola l’esame dei dati e della documentazione o le verifiche delle attività di trattamento coperte dal DPA, in particolare in presenza di indizi di non conformità. L’Azienda può svolgere la verifica direttamente, incaricare a proprie spese un revisore indipendente oppure avvalersi di una verifica indipendente commissionata da JOIN. Se JOIN commissiona la verifica, sostiene il costo del revisore indipendente. I diritti di verifica, accesso e ispezione dell’Azienda previsti dalla sezione 9.1 sono limitati ai documenti e registri di JOIN, compresi i registri delle attività di trattamento e dei destinatari dei dati personali, e non si estendono ai locali fisici di JOIN. Le verifiche e le richieste di informazioni devono limitarsi a quanto necessario ai fini del DPA e tenere debitamente conto degli obblighi di riservatezza di JOIN e del suo legittimo interesse a proteggere i segreti commerciali.
2. JOIN assiste l’Azienda nello svolgimento delle verifiche al meglio delle proprie capacità e fornisce, ove necessario, chiarimenti tempestivi e completi.
3. JOIN accetta le misure di controllo dell’autorità competente per la protezione dei dati quando sussiste un obbligo di legge. Informa l’Azienda ai sensi della sezione 8.4 dopo aver ricevuto notifica o essere venuta a conoscenza dell’attuazione di misure di controllo, richieste o indagini dell’autorità, nella misura in cui possano interessare il trattamento svolto per l’Azienda e JOIN non sia legalmente tenuta alla riservatezza.
4. Su richiesta, JOIN conferma per iscritto il rispetto delle misure tecniche e organizzative indicate nell’allegato 1 e la propria certificazione ISO 27001:2022.

1. JOIN può incaricare sub-responsabili del trattamento secondo le disposizioni seguenti:

   • JOIN seleziona con cura i sub-responsabili in base alla loro idoneità e affidabilità e assicura che ciascuno garantisca un livello adeguato di protezione dei dati.
   • JOIN è tenuta a stipulare accordi contrattuali con i sub-responsabili conformi agli accordi vigenti tra l’Azienda e JOIN e ad assicurare che le eventuali istruzioni integrative dell’Azienda si applichino anche ai sub-responsabili.
   • JOIN informa l’Azienda in forma testuale e in tempo utile, comunque almeno 30 giorni prima dell’inizio del sub-trattamento previsto, di qualsiasi modifica relativa all’incarico o alla sostituzione dei sub-responsabili elencati nell’allegato 2. L’Azienda può così opporsi prima del conferimento dell’incarico al sub-responsabile interessato. L’opposizione non può essere sollevata irragionevolmente. In assenza di opposizione, le modifiche si considerano approvate.
2. Su richiesta, JOIN fornisce all’Azienda una copia dell’accordo di trattamento concluso con il sub-responsabile, purché e nella misura in cui ciò non contrasti con gli interessi di JOIN.
3. Al momento della conclusione dell’accordo, JOIN si avvale dei sub-responsabili indicati nell’allegato 2 per la sua esecuzione. L’Azienda acconsente espressamente al conferimento di tali incarichi.

1. JOIN è tenuta a mantenere la riservatezza e il segreto sui dati quando li tratta per l’Azienda.
2. Per eseguire l’accordo, JOIN impiega soltanto dipendenti o altri ausiliari adeguatamente vincolati al segreto sui dati o alla riservatezza nel trattamento dei dati personali forniti e debitamente informati sui requisiti di protezione dei dati.

1. JOIN attua le misure tecniche e organizzative descritte nell’allegato 1.
2. Per tutta la durata del rapporto contrattuale, JOIN adotta tutte le misure necessarie a proteggere i dati e la sicurezza del trattamento, tenendo conto in particolare degli standard tecnologici correnti, e a ridurre le possibili conseguenze negative per gli interessati. Per garantire costantemente un livello adeguato di sicurezza, JOIN assicura che le misure attuate siano riesaminate regolarmente e, se necessario, aggiornate. JOIN può modificare le misure tecniche e organizzative in modo da aumentare il livello di sicurezza concordato. Informa l’Azienda in tempo utile delle modifiche apportate.
3. JOIN è certificata secondo la norma ISO 27001:2022.

1. JOIN può modificare periodicamente il DPA. Informa l’Azienda almeno 30 giorni prima che la modifica diventi applicabile nei suoi confronti («Data di efficacia»). La modifica ha effetto dalla Data di efficacia senza ulteriore consenso dell’Azienda se (ciascuna, una «Modifica automatica»): (a) è richiesta dalla normativa applicabile sulla protezione dei dati, da un’autorità di controllo, da un giudice o da una modifica delle clausole contrattuali tipo o di un meccanismo di trasferimento che le sostituisca; (b) riflette una modifica dell’allegato 1 o dell’allegato 2, disciplinati rispettivamente dalle sezioni 12 e 10; (c) ha natura chiarificatrice o corregge un errore manifesto; oppure (d) non riduce sostanzialmente la protezione dei dati personali trattati per conto dell’Azienda o i diritti dell’Azienda previsti dal DPA. Ogni altra modifica ha effetto dalla Data di efficacia, salvo opposizione scritta dell’Azienda presentata prima di tale data. L’opposizione deve identificare la modifica contestata e spiegare perché l’Azienda ritiene che non costituisca una Modifica automatica. In presenza di un’opposizione conforme a tali requisiti, le parti cercano un accordo in buona fede per 30 giorni.
2. Per essere efficaci, tutte le dichiarazioni delle parti, in particolare notifiche, annunci, comunicazioni e altre informazioni da trasmettere all’altra parte, devono essere effettuate per iscritto. Per chiarezza, la forma scritta comprende la firma elettronica e le altre comunicazioni testuali, come le email.

1. In caso di contrasto tra le disposizioni del presente accordo e quelle del contratto di servizi, prevalgono le disposizioni del presente accordo.
2. Il DPA è disponibile in più lingue. In caso di divergenza tra la versione inglese e una versione tradotta, prevale la versione inglese nella misura consentita dalla legge applicabile.
3. Il DPA è disciplinato e interpretato secondo il diritto sostanziale svizzero, con esclusione delle norme sui conflitti di legge e della Convenzione delle Nazioni Unite sui contratti di vendita internazionale di beni mobili (CISG). Per tutte le controversie derivanti dal DPA o a esso connesse è competente in via esclusiva il tribunale ordinario presso la sede di JOIN.

Tim Ruffner, CEO e fondatore di JOIN Solutions

15 settembre 2026

JOIN attua e mantiene misure tecniche e organizzative volte a proteggere i dati personali trattati in relazione ai Servizi dalla distruzione accidentale o illecita, dalla perdita, dalla modifica, dalla divulgazione o dall’accesso non autorizzati e da altre forme di trattamento illecite o non autorizzate.

Le misure sono applicate in base al rischio, tenendo conto della natura, dell’ambito, del contesto e delle finalità del trattamento e dei rischi per i diritti e le libertà delle persone fisiche.

JOIN riesamina e aggiorna le misure tecniche e organizzative quando opportuno per mantenere un livello di sicurezza adeguato al rischio e riflettere le modifiche dei requisiti di legge, dei Servizi e dello stato della tecnica. Le misure sono volte a sostenere il sistema di gestione della sicurezza delle informazioni di JOIN e gli obblighi applicabili in materia di protezione dei dati.

1. Gestione della sicurezza delle informazioni

JOIN mantiene un sistema di gestione della sicurezza delle informazioni che comprende politiche documentate, responsabilità assegnate, processi di valutazione e trattamento dei rischi e riesami periodici dei rischi rilevanti per la sicurezza e la riservatezza.

JOIN mantiene procedure e controlli documentati in ambiti quali gestione degli accessi, risposta agli incidenti, sviluppo sicuro, gestione delle vulnerabilità, continuità operativa, supervisione dei fornitori e protezione dei dati.

Il personale con responsabilità relative ai dati personali dei clienti è soggetto a obblighi di riservatezza e riceve formazione sulla sicurezza e sulla protezione dei dati adeguata al proprio ruolo.

2. Sicurezza del personale e riservatezza

JOIN applica procedure adeguate al ruolo per l’inserimento, il cambio di mansione e l’uscita del personale che può accedere ai sistemi o ai dati personali trattati nell’ambito dei Servizi.

L’accesso è concesso in base alle esigenze operative e al principio del privilegio minimo. Il personale deve rispettare i requisiti interni di JOIN in materia di sicurezza e riservatezza.

JOIN adotta misure ragionevoli affinché il personale autorizzato comprenda le proprie responsabilità in materia di informazioni riservate, protezione dei dati e uso accettabile dei sistemi.

3. Sicurezza fisica e ambientale

Per il trattamento e la conservazione dei dati personali dei clienti, JOIN utilizza principalmente sistemi e infrastrutture ospitati nel cloud. La sicurezza fisica e ambientale dell’infrastruttura di hosting sottostante è gestita dal rispettivo fornitore cloud secondo il proprio programma di sicurezza e i propri impegni contrattuali.

JOIN applica misure proporzionate di sicurezza fisica e protezione dei dispositivi negli ambienti di lavoro in ufficio e a distanza pertinenti alle proprie attività.

Il presente allegato non descrive i controlli specifici delle infrastrutture gestiti esclusivamente da fornitori cloud terzi, salvo che facciano parte dell’ambiente gestito dal fornitore a supporto dei Servizi.

4. Gestione delle identità e degli accessi

L’accesso ai sistemi e ai dati personali dei clienti è limitato alle persone autorizzate con una legittima esigenza operativa. JOIN utilizza processi di gestione degli accessi volti ad assicurare che i diritti siano assegnati, modificati e revocati in modo controllato.

JOIN utilizza identità utente univoche ove opportuno, limita gli accessi privilegiati al personale autorizzato e applica controlli di autenticazione robusti, compresa l’autenticazione a più fattori per i sistemi critici quando tecnicamente supportata e appropriata.

JOIN mantiene processi per la gestione delle credenziali, il riesame degli accessi, le autorizzazioni basate sui ruoli e la revoca tempestiva degli accessi in caso di cambio di ruolo o cessazione del rapporto.

5. Accesso dei clienti e separazione dei dati

I servizi di JOIN sono progettati per separare logicamente i dati di ciascun cliente da quelli degli altri e consentire agli utenti di accedere soltanto ai dati e alle funzioni per i quali dispongono di autorizzazione.

JOIN mantiene la separazione tra ambienti di produzione e non di produzione quando opportuno per finalità operative e di sicurezza.

Quando dati personali sono trattati nell’ambito di test, assistenza, risoluzione di problemi o manutenzione, il trattamento è limitato a quanto necessario ed è soggetto ad adeguate restrizioni di accesso e garanzie.

6. Cifratura e comunicazioni sicure

JOIN applica la cifratura in transito ai dati personali trasmessi su reti pubbliche utilizzando protocolli di comunicazione sicura standard del settore.

JOIN applica la cifratura dei dati a riposo nei sistemi di produzione sotto il proprio controllo utilizzati per conservare stabilmente i dati personali dei clienti. Quando tali dati sono trattati o conservati tramite servizi di terzi, JOIN si affida alle misure di sicurezza e alle garanzie contrattuali applicabili del relativo fornitore.

Chiavi crittografiche, segreti, credenziali di autenticazione e altri dati sensibili di configurazione sono gestiti mediante processi controllati volti a limitare accessi e divulgazioni non autorizzati.

7. Sviluppo sicuro e gestione delle modifiche

JOIN mantiene processi di sviluppo e gestione delle modifiche volti a ridurre i rischi di sicurezza durante la progettazione, lo sviluppo, i test, il rilascio e il funzionamento dei Servizi.

Le modifiche ai sistemi di produzione sono soggette a procedure adeguate di revisione, test e approvazione, proporzionate alla natura e al rischio della modifica. JOIN mantiene inoltre, ove opportuno, la separazione tra attività di sviluppo, test e produzione.

Gli aspetti di sicurezza sono integrati nel ciclo di vita del software, compresi la correzione delle vulnerabilità, la gestione delle dipendenze e dei difetti e il rilascio controllato delle modifiche.

8. Gestione di vulnerabilità, endpoint e fornitori

JOIN mantiene processi per individuare, valutare, assegnare priorità e correggere le vulnerabilità dei sistemi sotto il proprio controllo. Gli aggiornamenti di sicurezza e le correzioni sono applicati in base al rischio, alla gravità e alle esigenze operative.

JOIN applica misure di sicurezza degli endpoint e di gestione dei dispositivi adeguate ai dispositivi gestiti dall’azienda utilizzati in relazione ai Servizi.

Prima di incaricare fornitori o sub-responsabili pertinenti che possano trattare dati personali dei clienti, JOIN svolge verifiche adeguate e richiede garanzie contrattuali commisurate ai servizi forniti e ai requisiti di legge applicabili. JOIN gestisce i sub-responsabili secondo l’accordo sul trattamento dei dati applicabile.

9. Registrazione degli eventi, monitoraggio e gestione degli incidenti

JOIN mantiene misure di registrazione degli eventi e monitoraggio dei sistemi pertinenti per supportare la sorveglianza della sicurezza, il funzionamento dei servizi, la risoluzione dei problemi e l’indagine e la risposta agli incidenti.

L’accesso ai registri è limitato al personale autorizzato e i periodi di conservazione sono stabiliti secondo esigenze operative, di sicurezza, legali e contrattuali. JOIN mantiene un processo di gestione degli incidenti che comprende individuazione, valutazione, segnalazione ai livelli competenti, contenimento, risoluzione e attività successive agli incidenti di sicurezza e operativi rilevanti per i Servizi.

In caso di violazione dei dati personali, JOIN informa il cliente interessato secondo il DPA e fornisce ragionevole collaborazione e le informazioni pertinenti disponibili per supportare indagini, mitigazione e rispetto degli obblighi di notifica applicabili.

10. Disponibilità, backup, ripristino e cancellazione dei dati

JOIN mantiene misure volte a sostenere disponibilità, resilienza e capacità di ripristino dei Servizi, comprese misure di backup, ripristino, monitoraggio e continuità operativa adeguate ai Servizi e all’infrastruttura sottostante.

Le procedure di backup e ripristino sono testate periodicamente o altrimenti convalidate secondo le esigenze operative. JOIN mantiene processi di continuità e ripristino volti a supportare il recupero dopo incidenti operativi o di sicurezza rilevanti.

Alla cessazione del rapporto contrattuale, JOIN cancella i dati personali del cliente secondo l’accordo applicabile e le istruzioni documentate del cliente, salvo che la legge applicabile ne imponga la conservazione. I processi di cancellazione sono progettati per rimuovere i dati personali dai sistemi attivi e gestire i dati residui nei backup secondo i processi applicabili di conservazione e cancellazione.

Domande sull’accordo, sui sub-responsabili o su una richiesta di un interessato? È possibile contattare il team legale all’indirizzo [email protected] oppure tramite modulo di contatto.