5.2 A tutti i dipendenti e collaboratori che operano con le informazioni del cliente e i servizi forniti, GIES richiede la firma di una NDA e il rispetto delle relative politiche aziendali.

5.3 Sono inoltre pianificati programmi periodici di formazione e verifica interna del personale.  

6.1 Le caratteristiche di tenancy dell'ambiente SaaS fornito da GIES sono definite tra queste modalità:

• Ambiente single-tenant:
• Il cliente è proprietario in esclusiva di una porzione delle risorse hardware fornite da GIES;
  
• l'ambiente software è dedicato esclusivamente al cliente;
• Ambiente multi-tenant:
• l'ambiente è in condivisione con più utenti;
• la separazione delle risorse avviene a livello software: ogni utente è separato dagli altri da ACL di accesso che isolano i vari tenant tra di loro;

6.2 Le persone che possono accedere alle risorse del cliente sono quelle individuate nel team di lavoro dedicato 

6.3 Per maggiori informazioni sulle caratteristiche del servizio SaaS, è possibile attivare una richiesta di supporto al Canale di Assistenza Tecnica (vedere l'apposita sezione "Contatti" di questo whitepaper). 

7.1 Gli ambienti di sviluppo di GIES sono segregati e accessibili solo al personale autorizzato. 

7.2 Lo sviluppo del software segue le linee guida di sviluppo sicuro, atte ad assicurare che vengano rispettati i principi di Security by Design e di Privacy by Design emanate da AGID. 

7.3 Tanto per i test quanto per le attività di sviluppo è garantito un ambiente sicuro e separato da quello di produzione. 

8.1 GIES ha stabilito politiche specifiche per la salvaguardia dei dati relativi ai servizi cloud (backup). I backup sono preventivamente criptati con algoritmo AES-256 e successivamente trasferiti tramite canale sicuro su sistema, fisicamente separato dall’ambiente di produzione, situato in Repubblica di San Marino.

8.2 Solo il personale autorizzato ha accesso alle location del backup. 

8.3 GIES effettua regolari verifiche sui backup eseguiti. La retention minima dei backup è di 1 anno, mentre la retention massima è di 5 anni o fino alla risoluzione del contratto.

8.4 Il Cliente può richiedere evidenza dell'avvenuta esecuzione delle verifiche sui backup inviando una richiesta tramite il Canale di Assistenza Tecnica (vedere l'apposita sezione "Contatti" di questo whitepaper).
GIES si impegna a rispondere alla richiesta di verifica sui backup entro 15 giorni lavorativi, allegando dove possibile un report dettagliato del test effettuato.

9.1 GIES riconosce che la gestione delle vulnerabilità tecniche dei sistemi informatici sia una delle attività fondamentali per garantire la sicurezza e la piena operatività dei propri servizi. 

9.2 A tal fine è stato predisposto un team e delle risorse che si occupano di ricercare, gestire e risolvere le vulnerabilità tecniche individuate. 

9.3 Qualora siano riscontrate gravi vulnerabilità tecniche non risolvibili (0-day) sul sistema cloud, GIES informerà il cliente tramite comunicazione documentata. 

10.1 GIES mette in atto adeguate politiche al fine di ottenere l’isolamento delle risorse in cui sono presenti dati dei clienti. 

10.2 Dove possibile, vengono messi in atto automatismi per eliminare le informazioni create a seguito di altre elaborazioni (per esempio, file temporanei). 

10.3 L’accesso da parte di personale aziendale, anche in sola lettura, ai dati è regolamentato secondo il criterio “least privilege” per il quale ad ogni operatore è concesso il privilegio minimo necessario per poter svolgere i propri compiti. 

11.1 GIES adotta politiche e procedure al fine di gestire in maniera ottimale e controllata i cambiamenti all’infrastruttura cloud o agli applicativi ivi ospitati. 

11.2 GIES metterà in atto procedure di notifica ai clienti dei cambiamenti che è intenzionata a eseguire o che sono già stati effettuati. Dove necessario, saranno inclusi nelle procedure di notifica dettagli relativi a: 

- Categoria dei cambiamenti; 
- Data e ora dell’intervento pianificato;
- Descrizione tecnica dei cambiamenti all’infrastruttura o agli applicativi ospitati;
- Notifica di inizio o fine dell’intervento. 

12.1 GIES ha definito controlli e procedure per poter permettere un approccio organizzato e regolato alla gestione degli incidenti come parte della propria strategia di sicurezza delle informazioni. 

12.2 Qualora si verifichino incidenti relativi alla sicurezza informatica di gravità tale che sia presente un rischio elevato per i diritti e le libertà fondamentali degli interessati, GIES si occuperà di comunicare l’accaduto al cliente nel minor tempo possibile. 

12.3 Il canale utilizzato per la comunicazione e le caratteristiche di quest’ultima saranno definite da GIES in base alla tipologia di violazione. 

12.4 Il referente che sarà contattato da GIES in caso di incidente è il RUP dell’ente, definito all’interno del contratto. 

12.5 Il referente di GIES da contattare per la segnalazione di eventuali incidenti o per ottenere un aggiornamento su segnalazioni precedenti è il Capo Reparto di pertinenza del prodotto utilizzato (vedere sezione contatti all’interno di questo documento). 

12.6 Tutti i dettagli relativi alla gestione degli incidenti sono presenti nelle policy aziendali, producibili avanzando apposita richiesta tramite il Canale di Assistenza Tecnica (vedere la sezione Contatti di questo whitepaper)

13.1 GIES garantisce al cliente la possibilità di estrarre in qualsiasi momento una copia completa di dati, metadati e documenti memorizzati dal servizio SaaS in formati pubblici e aperti. 

13.2 Allo scopo di consentire la migrazione da un altro Fornitore SaaS o servizio SaaS, GIES garantisce al cliente la possibilità di importare i dati all’interno del servizio SaaS tramite formati pubblici e aperti. 

14.1 GIES può trattare PII al fine unico di eseguire il lavoro concordato con il Cliente in fase contrattuale. 

14.2 GIES è responsabile delle PII che risiedono su suoi servizi SaaS e sarà sua responsabilità garantire la loro protezione, integrità e disponibilità.
La protezione delle PII raccolte dal sistema avviene con criptazione dell’archivio dati, secondo le indicazioni sullo sviluppo sicuro di AGID. 
Nell’ambito del servizio di assistenza, GIES si impegna a non divulgare a terzi PII senza l'esplicito consenso del cliente, salvo che questa azione non vada in violazione della legislazione corrente.

14.3 L’utilizzo di PII in ambito di test e demo degli applicativi è vincolato alla stretta osservanza di regole al fine di evitare la divulgazione involontaria delle PII.
I dati contenenti PII utilizzati nell’ambito di test vengono storicizzati in location sicura e segregata oppure eliminati appena terminata l’esigenza della loro conservazione o allo scadere del contratto con il titolare del trattamento.

14.4 Nel caso di richieste fatte nell’ambito di procedimenti giudiziari, GIES si impegna a darne tempestiva informazione al cliente salvo liceità dell’azione; 

15.1 Il processo di attivazione decorre dalla sottoscrizione contrattuale e prevede l’attivazione entro 7 giorni dell’istanza applicativa, l’abilitazione dei servizi acquisiti e la trasmissione delle credenziali temporanee di primo accesso. 

15.2 Il processo di disattivazione parziale o totale del servizio si attiva automaticamente decorsi 30gg dal termine contrattuale o a seguito di esplicita richiesta del Cliente. 

15.3 Il proprietario esclusivo dei dati raccolti e memorizzati nell’archivio dell’applicativo è il cliente. 

15.4 Al termine del contratto tra GIES e il cliente, quest’ultimo riceverà copia completa dei dati a chiusura del servizio, in formati concordati con il cliente (es. CSV, MDB, SQL Server, ecc..).

15.5 Saranno inoltre messe in atto le politiche riguardanti la dismissione o il riutilizzo delle risorse previste dalle policy aziendali, producibili a richiesta. 

È definita Service Level Agreement (“SLA”) la metrica di Servizio che GIES si impegna a rispettare nei confronti del Cliente.

GIES ha adottato i seguenti SLA al fine di misurare il livello di qualità del Servizio offerto e definito dei parametri oggettivi misurabili (KPI)  per accertarsi del suo rispetto.

16.1 Gli SLA adottati da GIES sono i seguenti:

• SLA di disponibilità del Servizio. GIES ha definito che gli applicativi SaaS sono disponibili con availability del 99.5 % su base mensile.

• SLA di rispetto dei tempi di presa in carico e risposta. 

  GIES si impegna a dare una prima risposta, nell'ambito dei canonici orari di ufficio (dal lunedì al venerdì, dalle 09 alle 13 e dalle 14.30 alle 17.30, esclusi i festivi), ai quesiti avanzati dal Cliente con queste tempistiche

Per maggiori informazioni sulle modalità di contatto dell'assistenza, fare riferimento all'apposita sezione di questo whitepaper.

16.2 I KPI associati agli SLA sono costantemente monitorati da GIES tramite strumenti e software dedicati. 

16.3 In nessun caso saranno prese in considerazione misurazioni dei KPI effettuate tramite strumenti diversi dai sistemi predisposti da GIES.

Nell'ambito dei KPI si fa presente che non saranno conteggiati i tempi di indisponibilità dovuti a interventi di manutenzione programmati da GIES.