Gestione Data Breach (72h)

1. Finalita della policy e perimetro applicativo

La presente policy definisce il processo formale di rilevazione, contenimento, valutazione e gestione delle violazioni di dati personali che coinvolgono i sistemi, i processi o i fornitori riconducibili al perimetro Justbit Admin. L'obiettivo e garantire risposta tempestiva, riduzione dell'impatto, corretta attivazione degli obblighi di notifica all'Autorita e, quando necessario, agli interessati, nonche completa tracciabilita delle decisioni assunte durante l'incidente.

Il processo si applica a ogni evento che determini, anche solo potenzialmente, distruzione, perdita, modifica, divulgazione non autorizzata o accesso indebito a dati personali trattati da Justbit, indipendentemente dalla causa tecnica o organizzativa che ha originato l'evento.

Nel perimetro rientrano espressamente eventi relativi a dati di salute o categorie protette, feedback e dati economici del personale, timesheet e provenienza Wrike, membership Workspace/Slack, questionari ESG e relativi contatti, allegati e log di audit. La presenza di categorie particolari o di dati idonei a incidere sul rapporto di lavoro richiede escalation immediata alla funzione privacy/legale e valutazione del rischio rafforzata.

Rientrano inoltre nel perimetro gli eventi che riguardano: gli account e i dati di accesso dei collaboratori esterni abilitati al portale; i contenuti e le schermate di pagine web di soggetti terzi acquisiti dal servizio di audit di accessibilita; i documenti trasmessi al servizio di firma elettronica e i documenti firmati conservati su storage; il registro dei consensi cookie dei siti dei clienti, comprensivo di indirizzo IP e user agent dei visitatori; i giustificativi di assenza importati dal gestionale paghe; le presenze nominative alle sessioni formative erogate in videoconferenza; i dati raccolti dai moduli pubblici del portale e del sito istituzionale e la loro eventuale ripubblicazione su canali di messaggistica interni; le metriche individuali e le classifiche nominative delle funzionalita ricreative interne, la cui classifica piu esposta e leggibile da qualunque utente autenticato.

Costituisce evento rilevante ai fini della presente policy anche la diffusione, volontaria o accidentale, di un collegamento di download generato dallo storage applicativo: tale collegamento consente l'accesso al file a chiunque ne venga in possesso, non richiede autenticazione e non scade, e la sua circolazione oltre il perimetro autorizzato integra divulgazione non autorizzata anche in assenza di compromissione dei sistemi.

2. Momento di conoscenza e finestra delle 72 ore

Ai sensi dell'articolo 33 GDPR, il termine di 72 ore decorre dal momento in cui il Titolare e ragionevolmente posto a conoscenza della violazione, ossia quando dispone di elementi sufficienti a ritenere plausibile l'accadimento dell'evento e il potenziale impatto su dati personali. Da tale momento deve essere avviato il cronometro procedurale interno con registrazione immediata della data e dell'ora di conoscenza, della fonte della segnalazione e dello stato iniziale della valutazione.

La registrazione dell'orario di conoscenza avviene nel fascicolo incidente. Il registro applicativo delle violazioni acquisisce data di rilevazione, data di conoscenza e scadenza di notifica con granularita giornaliera, e il promemoria automatico calcola i preavvisi di quarantotto e ventiquattro ore rispetto alla fine della giornata indicata: la scadenza va pertanto determinata dalla funzione privacy con criterio prudenziale, anticipando rispetto all'orario reale di decorrenza, mentre l'orario esatto di conoscenza e la fonte della segnalazione vanno in ogni caso verbalizzati nel fascicolo. La valorizzazione del campo di scadenza all'atto dell'apertura della voce di registro e adempimento obbligatorio: in sua assenza il promemoria automatico non produce alcun effetto e il presidio resta interamente manuale.

Qualora la notifica al Garante avvenga oltre il termine, il ritardo deve essere motivato e documentato nel fascicolo incidente con indicazione delle ragioni oggettive che hanno impedito una comunicazione tempestiva.

3. Governance dell'incidente, ruoli e responsabilita

La gestione dell'incidente richiede coordinamento tra funzione tecnica, funzione privacy/legal, owner del processo impattato e management competente per le decisioni esterne. La funzione tecnica cura containment, raccolta evidenze e analisi causale; la funzione privacy/legal determina qualificazione giuridica, obblighi di notifica e contenuto delle comunicazioni; il process owner fornisce contesto operativo, impatti business e piano di rimedio; il management approva comunicazioni esterne e azioni straordinarie.

Tutti i passaggi decisionali devono essere tracciati in registro incidenti con evidenza nominativa del responsabile di fase, timestamp e riferimenti documentali.

Il canale di allerta interno e costituito dalla notifica automatica delle scadenze di notifica, generata con cadenza oraria e inviata ai destinatari configurati per la gestione delle violazioni ai momenti di preavviso di quarantotto e ventiquattro ore e alla scadenza. La configurazione di produzione individua allo stato un unico destinatario, coincidente con quello delle richieste degli interessati, degli alert di sicurezza e dei registri di compliance, e non prevede un sostituto: tale assetto e incompatibile con la separazione dei ruoli descritta nella presente sezione e con la continuita del presidio in caso di indisponibilita della persona designata. Il Titolare designa pertanto almeno due destinatari, di cui uno appartenente alla funzione privacy o legale e uno alla funzione tecnica, e un sostituto per ciascuno, dandone evidenza nel runbook operativo e verificandone il funzionamento a ogni variazione.

Il nominativo del responsabile della gestione delle violazioni e il recapito ufficiale per la notifica all'Autorita, pur presenti nella configurazione, non sono utilizzati da alcuna funzione automatica del sistema. La notifica all'Autorita di controllo e la comunicazione agli interessati sono attivita interamente manuali, eseguite dal responsabile della gestione dell'incidente attraverso i canali ufficiali dell'Autorita: nessun automatismo del sistema invia comunicazioni all'esterno, e la relativa evidenza di invio va acquisita al fascicolo.

4. Fasi operative: rilevazione, contenimento, analisi, decisione

Alla ricezione della segnalazione, il team incaricato apre immediatamente il caso e avvia il contenimento tecnico per limitare la propagazione dell'evento, preservando nel contempo integrita delle evidenze utili all'analisi forense e alla ricostruzione dei fatti. Segue una valutazione progressiva del rischio che considera tipologia dei dati coinvolti, volume, facilita di identificazione degli interessati, durata dell'esposizione, categorie vulnerabili, impatti su diritti e liberta, nonche misure mitigative gia efficaci.

Sulla base di questa analisi si determina se l'evento sia notificabile all'Autorita e se richieda comunicazione diretta agli interessati ai sensi dell'articolo 34 GDPR. Le decisioni devono essere motivate in modo circostanziato, evitando formule generiche e assicurando coerenza tra analisi tecnica e inquadramento legale.

Il contenimento tecnico comprende, quando pertinenti al caso concreto, almeno le seguenti misure, da eseguire e verbalizzare: revoca dei token di download dei file esposti su storage e rimozione o sostituzione dei file interessati; disabilitazione delle utenze compromesse e revoca delle sessioni attive con invalidazione dei token di aggiornamento; riallineamento forzato dei permessi applicativi e verifica delle appartenenze ai gruppi; attivazione del legal hold prima dell'orario di esecuzione dei processi notturni di cancellazione, che sono programmati nelle prime ore del mattino; esportazione immediata delle evidenze non coperte dal legal hold, in primo luogo il log di audit, la cui cancellazione automatica e programmata prima di ogni altro processo di pulizia; sospensione delle integrazioni verso i sistemi dei fornitori coinvolti; blocco delle operazioni distruttive sui dataset interessati. La mancata esecuzione di una misura applicabile va motivata nel fascicolo.

5. Contenuto minimo della notifica e comunicazioni agli interessati

In caso di notifica all'Autorita, il dossier deve includere almeno descrizione della natura della violazione, categorie e numero approssimativo di interessati e record coinvolti, dati di contatto del punto di riferimento, conseguenze probabili della violazione e misure adottate o proposte per porre rimedio e attenuare gli effetti. Quando la comunicazione agli interessati e dovuta, il messaggio deve essere chiaro, concreto, tempestivo e orientato alla protezione della persona, con indicazioni operative sui comportamenti raccomandati.

Le comunicazioni devono essere coordinate con le funzioni legali e di sicurezza per evitare omissioni, ambiguita o divulgazione impropria di dettagli tecnici non necessari alla tutela degli interessati.

6. Registro incidenti, evidenze e conservazione documentale

Ogni evento deve essere censito in registro incidenti con codice univoco, data rilevazione, data conoscenza, scadenza 72 ore, classificazione dell'incidente, perimetro dei sistemi coinvolti, stato delle attivita, decisioni assunte, notifiche inviate e data di chiusura. Il fascicolo deve includere riferimenti a log, ticket, report tecnici, verbali decisionali e piano di remediation.

La conservazione delle evidenze deve rispettare le policy interne di retention e legal hold. Il Titolare da atto che il log applicativo di audit, che costituisce la fonte probatoria primaria sugli accessi e sulle operazioni - identificativo utente, indirizzo email, ruolo, rotta invocata, indirizzo IP e user agent - e sottoposto a cancellazione automatica decorsi novanta giorni e che tale cancellazione non e sospesa dall'attivazione del legal hold; il presidio di notarizzazione conserva in modalita non riscrivibile le sole impronte crittografiche dei record e non il loro contenuto, consentendo pertanto di dimostrare l'esistenza e l'integrita di un record ma non di ricostruirne il contenuto. Alla presa in carico di ogni incidente la funzione tecnica procede pertanto, entro la prima giornata, all'estrazione e alla conservazione fuori dal ciclo di cancellazione delle evidenze rilevanti, dandone atto nel fascicolo con indicazione dell'intervallo temporale coperto. L'estensione del legal hold alla cancellazione dei log di audit e trattata come misura correttiva prioritaria e il suo stato di avanzamento e riportato nel riesame periodico della presente policy.

Il registro delle violazioni e il relativo fascicolo non sono soggetti ad alcun processo di cancellazione automatica: la loro conservazione a tempo indeterminato costituisce decisione documentata del Titolare, motivata dalle esigenze di prova e di difesa in giudizio, ed e riesaminata alle cadenze fissate dalla governance con verifica della perdurante necessita. La cancellazione delle voci di registro rientra fra le operazioni distruttive bloccate dall'attivazione del legal hold ed e comunque riservata ai ruoli espressamente autorizzati, con tracciamento nel log di audit.

7. Chiusura incidente, remediation e lessons learned

Un incidente puo essere formalmente chiuso solo quando risultano completate le azioni di contenimento, le eventuali notifiche obbligatorie, la rimozione delle cause radice o la loro mitigazione strutturale, e la validazione del piano di prevenzione recidive. La fase di post-incident review deve produrre indicazioni concrete di miglioramento su architettura, processi, formazione utenti e controlli organizzativi, con assegnazione di owner e scadenze verificabili.

Le risultanze principali confluiscono nel programma di miglioramento continuo della governance privacy, in modo da rafforzare progressivamente il livello di resilienza del sistema.

8. Integrazione con governance privacy e sicurezza

La gestione data breach e parte integrante del modello di governance complessivo e deve restare allineata ai registri dei trattamenti, alle policy di retention, ai processi DSAR, ai controlli di sicurezza applicativa, alle procedure di gestione fornitori e ai piani di continuita operativa. In presenza di impatti estesi, il Titolare puo attivare misure straordinarie di legal hold e blocco azioni distruttive per preservare la catena di evidenza fino alla chiusura formale del caso. Tali misure operano nel perimetro limitato descritto alla sezione 5 della Governance Privacy, che ne elenca i processi di cancellazione effettivamente sospesi e quelli che ne restano esclusi: la loro attivazione non esime dal congelamento manuale documentato delle evidenze non coperte, da eseguire secondo la sequenza indicata alla sezione 4.

9. Documento operativo di dettaglio

Il runbook tecnico-operativo completo, con check-list di escalation, template di comunicazione e matrice decisionale di rischio, e mantenuto nel documento interno docs/privacy/DATA_BREACH_RUNBOOK.md e deve essere riesaminato periodicamente.

Il runbook riporta, in forma aggiornata, l'elenco nominativo dei destinatari configurati per le notifiche di scadenza e dei rispettivi sostituti, i recapiti ufficiali per la notifica all'Autorita di controllo, le modalita di attivazione del legal hold e la data dell'ultima verifica di funzionamento del canale di allerta. Il riesame e almeno annuale e comunque a ogni variazione dei destinatari configurati, da eseguire entro trenta giorni dalla variazione.

10. Criteri di classificazione della severita

La valutazione di severita considera combinazione di fattori oggettivi: natura dei dati coinvolti, volume dei record, numero stimato di interessati, facilita di re-identificazione, durata dell'esposizione, estensione geografica, impatto sui diritti e probabilita di danno concreto. La classificazione iniziale e provvisoria e deve essere riesaminata man mano che emergono ulteriori evidenze tecniche.

Una classificazione sottostimata comporta rischio di ritardo notificatorio e aggravio sanzionatorio; pertanto il modello privilegia prudenza motivata nelle prime fasi, con successiva calibrazione documentata.

11. Incidenti che coinvolgono fornitori e catena di subfornitura

Quando l'evento origina o si propaga attraverso fornitori esterni, il Titolare attiva immediatamente i canali contrattuali previsti nei DPA, richiedendo evidenze tecniche, cronologia dell'evento, misure di containment e valutazione d'impatto aggiornata. Il coordinamento con il fornitore non sospende le responsabilita del Titolare verso interessati e Autorita: il processo interno resta attivo fino alla chiusura formale del caso.

Ogni dipendenza critica emersa durante l'incidente deve confluire nel piano di miglioramento contrattuale e tecnico, inclusa eventuale revisione della qualifica del fornitore o delle clausole di sicurezza applicate.

Per gli eventi che coinvolgono i servizi integrati - infrastruttura cloud e piattaforma applicativa, directory e posta aziendale, fornitore di servizi di intelligenza artificiale, piattaforma di project management, piattaforma di messaggistica, gestore delle credenziali condivise, gateway di firma elettronica qualificata e prestatore di servizi fiduciari, gestionale paghe, piattaforma di gestione dati commerciale, provider di posta transazionale, gestore del consenso adottato sui siti dei clienti e servizio anti-abuso dei moduli pubblici - il fascicolo deve identificare il contratto e il DPA applicabili, il canale di notifica del fornitore, i sistemi e le regioni coinvolte, gli eventuali sub-responsabili e le misure richieste per contenimento, recupero e supporto alle richieste degli interessati. Lo stato di migrazione o dismissione non elimina tali obblighi.

Gli eventi che coinvolgono il gestore delle credenziali condivise sono classificati in via presuntiva ad alta severita e comportano, oltre al contenimento ordinario, la rotazione delle credenziali potenzialmente esposte, la verifica delle appartenenze ai gruppi e la valutazione dell'impatto sui sistemi dei clienti presso i quali quelle credenziali sono utilizzate, con eventuale attivazione degli obblighi informativi verso i clienti stessi.

12. Comunicazione istituzionale e coordinamento reputazionale

Le comunicazioni esterne, incluse quelle verso clienti, partner, Autorita o media, devono essere centralizzate e approvate dal tavolo di crisi designato, in modo da garantire accuratezza fattuale, coerenza giuridica e tutela della riservatezza. Sono vietate comunicazioni non autorizzate o dichiarazioni individuali che possano compromettere l'istruttoria, la sicurezza o la posizione legale del Titolare.

Il contenuto comunicativo deve bilanciare trasparenza e proporzionalita, evitando divulgazione di dettagli tecnici inutili alla tutela degli interessati ma potenzialmente utili ad attori malevoli.

13. Simulazioni periodiche e test del runbook

Per garantire prontezza operativa, il Titolare promuove esercitazioni periodiche di scenario (table-top o test controllati) finalizzate a verificare tempi di escalation, qualita del coordinamento interfunzionale, completezza delle evidenze raccolte e capacita di rispettare i termini notificatori. Le risultanze delle simulazioni sono documentate e utilizzate per aggiornare procedure, ruoli e strumenti di risposta.

La frequenza e la profondita dei test devono essere proporzionate al profilo di rischio del sistema e alla criticita dei trattamenti svolti. La cadenza minima e annuale per l'esercitazione completa di scenario e semestrale per la sola verifica dei canali di escalation e dei recapiti configurati; ogni variazione dei destinatari configurati comporta una verifica di funzionamento entro trenta giorni. L'esito di ciascun test e documentato con data, partecipanti, tempi rilevati e azioni correttive.

14. Chiusura legale del caso e archiviazione controllata

La chiusura di un incidente richiede validazione congiunta tecnica e legale, conferma di completamento delle azioni correttive, verifica di eventuali obblighi residui verso Autorita o interessati e formalizzazione della decisione di archiviazione. Prima della chiusura definitiva deve essere verificata la necessita di mantenere legal hold su specifici dataset o evidenze probatorie.

L'archiviazione del fascicolo avviene in repository controllato con metadati minimi obbligatori e con politiche di accesso ristretto, nel rispetto delle regole di retention e difesa in giudizio applicabili.

15. Revisione della policy e obbligo di aggiornamento continuo

La presente policy e soggetta a revisione programmata e straordinaria ogni volta che un incidente significativo, una modifica normativa o un cambiamento infrastrutturale renda necessario aggiornare presidi e responsabilita. Gli aggiornamenti devono essere formalmente approvati, comunicati ai ruoli interessati e recepiti nel runbook operativo di dettaglio senza ritardi incompatibili con il livello di rischio.

L'obiettivo e mantenere il sistema in stato di preparedness permanente, riducendo il rischio di risposta tardiva o incompleta e rafforzando la postura di conformita sostanziale dell'organizzazione.

16. Criteri di priorita nelle prime 24 ore

Nelle prime 24 ore dalla conoscenza dell'evento il Titolare privilegia azioni ad alto impatto protettivo: isolamento dell'asset compromesso, riduzione immediata della superficie di attacco, preservazione delle prove, verifica preliminare del perimetro dati coinvolto e attivazione del tavolo di coordinamento legale-tecnico. La priorita operativa e orientata a contenere il danno senza compromettere integrita delle evidenze utili alla successiva valutazione notificatoria.

Ogni decisione urgente deve essere registrata con timestamp, responsabile e motivazione, anche quando adottata in condizioni di informazione incompleta.

17. Trattamento mediatico e riservatezza investigativa

Durante la gestione dell'incidente il Titolare tutela equilibrio tra trasparenza verso interessati e necessita di riservatezza investigativa, evitando diffusione di dettagli che possano ostacolare l'analisi tecnica, amplificare il rischio o compromettere azioni di contenimento. Le comunicazioni pubbliche sono centralizzate e approvate secondo la catena decisionale prevista dalla governance.

Qualunque comunicazione esterna non autorizzata e considerata condotta non conforme e puo determinare provvedimenti organizzativi o disciplinari.

18. Interazione con autorita e obblighi di cooperazione

In caso di interlocuzione con Autorita competenti, il Titolare assicura cooperazione leale, tempestiva e documentata, fornendo informazioni pertinenti, aggiornamenti progressivi e chiarimenti tecnici idonei alla valutazione del caso. Le comunicazioni istituzionali devono essere coerenti con il fascicolo incidente e con le evidenze disponibili al momento dell'invio.

Eventuali richieste integrative ricevute dall'Autorita sono gestite con priorita adeguata al rischio e tracciamento della presa in carico fino alla chiusura formale dell'adempimento.

19. Misure correttive strutturali e verifica di efficacia

Le azioni correttive post-incidente devono distinguere tra mitigazioni immediate e interventi strutturali a medio termine, includendo revisione architetturale, aggiornamento controlli, formazione mirata, modifica dei flussi autorizzativi e rafforzamento monitoraggio. Ogni azione deve prevedere criterio di verifica dell'efficacia, affinche la chiusura non sia puramente formale ma effettivamente riduttiva del rischio.

L'assenza di evidenza sull'efficacia delle remediation impedisce la chiusura sostanziale del caso.

20. Archiviazione storica e readiness contenziosa

Il fascicolo incidentale, una volta chiuso, e conservato con criteri di integrita documentale, reperibilita controllata e metadati sufficienti alla ricostruzione completa della timeline decisionale. Tale presidio supporta audit successivi, richieste istituzionali e difesa in giudizio del Titolare, nel rispetto dei limiti di retention e delle eventuali misure di legal hold applicate.

La consultazione storica dei fascicoli e consentita solo ai soggetti autorizzati con registrazione degli accessi.

21. Clausola di adeguamento permanente

La presente policy e soggetta a miglioramento continuo sulla base di lezioni apprese, aggiornamenti normativi, evoluzioni tecnologiche e risultati dei test periodici di crisi. Ogni revisione deve essere formalmente approvata e resa coerente con i documenti di governance collegati, affinche il sistema mantenga capacita effettiva di risposta entro gli standard richiesti dalla normativa.

Per richieste di chiarimento sulla policy e disponibile il canale ufficiale privacy@justbit.it.

22. Catena di custodia delle evidenze forensi

In presenza di incidente con possibile rilevanza legale, le evidenze tecniche sono raccolte e conservate secondo principi di catena di custodia, con identificazione della fonte, timestamp, responsabile del prelievo, modalita di conservazione e tracciamento degli accessi successivi. Tale disciplina riduce rischio di contestazioni sulla genuinita del materiale probatorio e supporta utilizzabilita in sede ispettiva o giudiziale.

Ogni estrazione di log o artefatti deve essere proporzionata allo scopo investigativo e limitata ai dati strettamente necessari all'analisi dell'incidente.

23. Coordinamento legale-tecnico nelle decisioni notificatorie

La decisione sulla notifica all'Autorita e sulla comunicazione agli interessati e assunta attraverso confronto strutturato tra funzione legale/privacy e funzione tecnica di sicurezza, sulla base di elementi verificabili, stima del rischio e livello di incertezza residua. Le valutazioni devono essere motivate per iscritto e aggiornate progressivamente quando emergono nuovi fatti rilevanti.

L'obiettivo e garantire tempestivita senza sacrificare accuratezza, evitando sia omissioni notificatorie sia comunicazioni non sufficientemente fondate.

24. Obblighi di cooperazione di fornitori e partner

In caso di incidente che coinvolga fornitori, subfornitori o partner tecnologici, il Titolare attiva i meccanismi contrattuali di cooperazione incidentale, richiedendo tempestiva condivisione di evidenze, stato della remediation e valutazioni di impatto sui dati trattati. La mancata cooperazione nei tempi congrui e gestita come rischio contrattuale e compliance, con attivazione delle tutele previste dagli accordi in essere.

Le informazioni ricevute sono integrate nel fascicolo unico dell'incidente con verifica di coerenza e completezza rispetto alla timeline gia registrata.

25. Misure di contenimento reputazionale e comunicazione coerente

La gestione comunicativa dell'incidente deve proteggere contemporaneamente interessati, clienti e stabilita reputazionale dell'azienda, assicurando messaggi corretti, non minimizzanti e privi di elementi fuorvianti. Le comunicazioni esterne devono restare allineate alle evidenze tecniche disponibili e alle valutazioni legali formalizzate, con controllo centrale dei contenuti pubblicati.

Dichiarazioni premature o non verificate possono compromettere sia la tutela degli interessati sia la posizione difensiva del Titolare, e sono pertanto vietate.

26. Chiusura sostanziale, lezioni apprese e protezione aziendale

Un incidente si considera chiuso solo quando risultano completate analisi causale, remediation tecnica, verifica di efficacia, aggiornamento dei controlli preventivi e formalizzazione delle lezioni apprese in documentazione di governance. La chiusura meramente amministrativa, priva di evidenza sostanziale, e considerata insufficiente ai fini compliance.

Tale disciplina rafforza tutela degli interessati e riduce l'esposizione dell'azienda a recidive, sanzioni, contestazioni contrattuali e danni reputazionali.

27. Obbligo di readiness permanente e simulazioni periodiche

Il Titolare mantiene lo stato di prontezza operativa attraverso le simulazioni e i test previsti alla sezione 13, di cui la presente sezione ribadisce l'obbligatorieta e le conseguenze in caso di omissione. Le simulazioni sono documentate e utilizzate per aggiornare runbook, responsabilita operative e criteri di notifica, riducendo il rischio di incertezza decisionale in eventi reali.

L'assenza di test periodici e considerata fattore aggravante del rischio e richiede piano di recupero immediato.

28. Coordinamento con funzioni HR, legale e direzione

Nei casi con possibile coinvolgimento di personale interno o terzi contrattualizzati, la gestione dell'incidente prevede coordinamento tracciato tra sicurezza, funzione legale, risorse umane e direzione, nel rispetto dei principi di necessita e riservatezza. Le decisioni su comunicazioni interne, misure disciplinari e tutela contrattuale sono assunte su base documentata e coerente con il fascicolo tecnico-legale dell'evento.

Tale coordinamento garantisce un approccio unitario e riduce esposizioni reputazionali e giuridiche dell'azienda.

29. Criteri di escalation verso organi societari competenti

Gli incidenti con impatto elevato, alta probabilita di danno o rilievo pubblico sono oggetto di escalation verso gli organi societari competenti secondo soglie predefinite, con reporting sintetico ma completo su fatti noti, incertezze residue, misure adottate, opzioni decisionali e rischio residuo. Ogni escalation e registrata nel fascicolo con data, ora, partecipanti e decisioni assunte.

Il presidio rafforza responsabilizzazione dei livelli decisionali e supporta difendibilita dell'operato.

30. Clausola finale di tutela massima e conservazione difensiva

La presente policy e orientata alla massima tutela di interessati e azienda, combinando tempestivita operativa, rigore probatorio e coerenza normativa. Nei limiti di legge, il Titolare puo mantenere conservazione difensiva delle evidenze indispensabili alla gestione di reclami, procedimenti o contenziosi, con accesso strettamente controllato e revisione periodica della necessita di mantenimento.

In caso di dubbio interpretativo, prevale la soluzione che minimizza il rischio complessivo e garantisce maggiore affidabilita del presidio incidentale aziendale.