Governance Privacy

1. Principi generali di governance e accountability

La governance privacy di Justbit Admin e costruita in conformita ai principi di accountability previsti dal GDPR, con particolare riferimento agli articoli 5, 24, 25 e 32. Il modello prevede responsabilita chiare, segregazione dei compiti, presidi di verifica periodica, tracciamento delle decisioni e allineamento continuo tra documentazione legale, configurazione tecnica e processi operativi. Ogni modifica rilevante deve essere valutata in chiave privacy by design e privacy by default, con formalizzazione preventiva di finalita, base giuridica, categorie di dati coinvolte, tempi di conservazione e misure di sicurezza applicabili.

L'assetto di governance include il coordinamento tra funzioni legali, compliance, sicurezza, operation e owner di processo, con responsabilita condivisa sulla completezza dei registri e sulla coerenza tra policy pubblicate, pratica operativa e comportamento applicativo effettivo del sistema.

2. Registro dei trattamenti e manutenzione del perimetro

Il registro dei trattamenti (ROPA) rappresenta il presidio centrale di classificazione e controllo dei flussi dati. Per ciascun trattamento devono essere documentati finalita, basi giuridiche, categorie di interessati, categorie di dati, destinatari, trasferimenti, tempi di conservazione, misure di sicurezza e ownership organizzativa. Il registro deve coprire in modo esplicito sia i processi verso utenti esterni sia i processi interni che riguardano personale, collaboratori, candidature, timesheet, workload, dati di presenza, integrazioni di filiera e log tecnici.

Il perimetro comprende inoltre i dati sul collocamento obbligatorio e sulle categorie protette trattati in archivio separato, le note di feedback sul personale, gli storici di costo e ruolo, i timesheet importati da Wrike e riconciliati nel registro nativo, le membership Google Workspace/Slack e i questionari di qualifica ESG dei fornitori. Per ciascuno di questi flussi il rilascio operativo e subordinato alla presenza di una scheda ROPA coerente e, quando indicato, alla validazione del DPO/Privacy Owner o del consulente giuslavoristico.

Il perimetro comprende inoltre, a seguito delle evoluzioni successive alla precedente revisione: l'accesso al portale da parte di collaboratori esterni non dipendenti, con i relativi dati di account, di autenticazione a piu fattori e di audit tecnico; la comunicazione al referente dell'azienda fornitrice degli ordini di acquisto, delle fatture collegate, dell'elenco nominativo dei collaboratori erogati dalla medesima azienda e dei timesheet di dettaglio da questi compilati; i dati anagrafici derivati per elaborazione dal codice fiscale, per i quali va distinta la derivazione dalla rilevazione e va esclusa l'attribuzione per inferenza di dati non desumibili con certezza dalla fonte; i recapiti personali, compresi indirizzo email e numero di telefono privati, importati dalla directory aziendale; il registro dei consensi cookie dei siti dei clienti, comprensivo di indirizzo IP e user agent dei visitatori, con qualificazione espressa del ruolo del Titolare rispetto a ciascun sito; i dati raccolti dai moduli pubblici del portale e del sito istituzionale; i contenuti e le schermate di pagine web di soggetti terzi acquisiti dal servizio di audit di accessibilita, con qualificazione del ruolo del Titolare e verifica del titolo che legittima la scansione; le metriche individuali di prestazione delle funzionalita ricreative interne. Per ciascuno di essi il rilascio operativo e subordinato alla presenza di una scheda ROPA coerente e approvata.

Il perimetro comprende altresi trattamenti gia in esercizio alla precedente revisione e non risultanti dai verbali di riallineamento: le presenze nominative alle sessioni formative erogate in videoconferenza, acquisite dai report di partecipazione della piattaforma di riunione, che riguardano anche persone esterne all'organizzazione e sono conservate in forma immutabile e indipendente dalla successiva disattivazione dell'account; la categoria di interessati costituita dai candidati nel suo complesso, con i curriculum e i relativi allegati, le valutazioni assistite da intelligenza artificiale, i colloqui, le valutazioni e i commenti dei selezionatori e l'estrazione automatica della fotografia dal documento caricato; l'attribuzione nominativa dei beni aziendali ai singoli lavoratori e il relativo storico delle assegnazioni. Per ciascuno di essi valgono i medesimi obblighi di censimento, di determinazione della durata di conservazione e di copertura nel perimetro delle richieste degli interessati.

Ogni variazione architetturale o di processo che introduca nuovi dati o nuove finalita richiede aggiornamento del ROPA prima del rilascio in produzione, con evidenza di revisione e data di approvazione.

Il registro dei trattamenti operativo e mantenuto all'interno dell'applicazione e non coincide con i verbali di riallineamento conservati nella documentazione tecnica, che ne costituiscono la sola base istruttoria: l'assenza di un trattamento da un verbale non equivale alla sua assenza dal registro, ne la presenza nel verbale prova l'avvenuto censimento. La funzione privacy verifica periodicamente la corrispondenza tra le due fonti e ne da atto per iscritto, con indicazione della data della verifica e delle schede allineate.

Il perimetro ROPA deve includere in modo espresso i trattamenti relativi al ciclo documentale commerciale (wizard preventivi, ordini di vendita/acquisto, versioni documento, metadati di protocollo, caricamento su repository documentale aziendale), indicando per ciascun flusso finalita, base giuridica, categorie dati, categorie interessati, destinatari interni, eventuali responsabili esterni e regole di retention applicate.

3. Governance fornitori, DPA e sub-responsabili

Tutti i fornitori che trattano dati personali per conto di Justbit devono essere qualificati mediante processo formale ex articolo 28 GDPR, con verifica documentale di ruolo privacy, DPA vigente, subprocessor list, garanzie per trasferimenti internazionali e misure di sicurezza dichiarate. Le evidenze contrattuali ufficiali devono essere custodite in repository documentale aziendale con accesso controllato, mentre nel portale Admin devono essere mantenuti i soli riferimenti strutturati (ad esempio versione DPA, data review, riferimento subprocessor list, clausole di trasferimento applicate e id approvazione legale).

Il riesame dei fornitori deve avvenire con periodicita almeno annuale o anticipata in caso di cambiamento sostanziale del servizio, incidente rilevante o aggiornamento normativo che impatti il perimetro del trattamento.

Il registro deve rappresentare lo stato reale delle integrazioni: Wrike, Google Workspace e gli utilizzi residui di Slack restano censiti finche trattano dati o conservano evidenze, anche durante una migrazione o dismissione. La sola intenzione di cessare un servizio non consente di considerare chiusi DPA, trasferimenti e obblighi di cooperazione su incidenti e richieste degli interessati.

Il registro deve censire anche i fornitori che trattano dati di interessati esterni al perimetro aziendale, in quanto il loro coinvolgimento incide direttamente sugli obblighi di cui agli articoli 28 e 30 GDPR. Alla data della presente versione il registro dei responsabili e dei sub-responsabili conta sedici voci, aggiornate contestualmente alla presente release, ed e ancora in stato di bozza non approvata. Vi figurano, fra le voci aggiunte, il gateway di firma elettronica qualificata e il prestatore di servizi fiduciari sottostante, che trattano identita dei firmatari e contenuto integrale dei documenti sottoposti a firma, e il servizio anti-abuso applicato ai moduli pubblici, che riceve indirizzo IP e user agent dei richiedenti, compresi coloro che esercitano i diritti dell'interessato. Per ciascuna voce aggiunta restano da acquisire, verificare e archiviare l'accordo sul trattamento, le garanzie applicabili agli eventuali trasferimenti verso Paesi terzi e la relativa valutazione d'impatto sul trasferimento.

Le voci gia presenti sono state estese al perimetro effettivo. La voce relativa al fornitore di servizi di intelligenza artificiale riporta ora il flusso del servizio di audit di accessibilita, che impiega un modello in versione preliminare su location non garantita nello Spazio economico europeo, la generazione dei testi di una delle funzionalita ricreative interne, il controllo preliminare del brief di preventivo e la generazione delle rappresentazioni vettoriali su region statunitense nel flusso di riconoscimento delle fatture. La voce relativa al gestore delle credenziali condivise, che gia comprende account, fotografia del profilo e metadati di accesso, resta invariata nel proprio oggetto - la sincronizzazione mensile delle fotografie del profilo e un flusso reale e schedulato - e va integrata con l'accertamento della modalita di deployment, dalla quale dipende la qualificazione stessa del soggetto. Finche il registro non e formalmente approvato dal Titolare, esso non puo essere richiamato come evidenza di conformita agli articoli 28 e 30 GDPR, e le azioni di remediation ancora aperte devono risultare con owner e data di chiusura.

4. Versioning delle informative e controllo di coerenza

Informativa Privacy, Condizioni d'uso, Policy AI Act, Cookie Policy, Governance Privacy, policy sulla gestione delle violazioni di dati personali e documentazione DSAR devono essere versionate con data di efficacia, owner legale, riferimento approvativo e nota di modifica. La configurazione di produzione governa oggi le sole versioni di Informativa Privacy, Condizioni d'uso e Policy AI Act, che sono percio le uniche il cui aggiornamento innesca la richiesta di presa visione agli utenti; Cookie Policy, Governance Privacy e policy sulla gestione delle violazioni riportano la versione nel solo piede di pagina. Tale asimmetria e dichiarata espressamente: l'aggiornamento di questi ultimi documenti non costituisce, di per se, evidenza di informazione resa agli utenti, e ove l'aggiornamento incida su finalita, categorie di dati o destinatari deve essere accompagnato dal corrispondente incremento di versione dei documenti soggetti ad accettazione. Il sistema di versioning deve garantire la tracciabilita delle variazioni e la possibilita di ricostruire quale versione fosse vigente in una specifica finestra temporale, soprattutto ai fini di prova in caso di contestazioni.

Per tutti gli utenti autenticati del portale, inclusi i collaboratori esterni non dipendenti, il portale impone l'accettazione versionata di Informativa Privacy, Condizioni d'uso e Policy AI Act prima di consentire qualunque operazione diversa da quelle espressamente esentate, con registrazione dell'identificativo utente, delle versioni accettate e della data di accettazione e con tracciamento dell'evento nel log di audit. L'accettazione non e configurata come facolta della governance ma come vincolo tecnico: ogni incremento di versione produce una nuova richiesta di presa visione al primo accesso successivo al rilascio congiunto di Hosting e Functions. Le registrazioni di accettazione sono conservate come prova dell'informazione resa e la loro durata di conservazione va formalizzata al pari degli altri dataset.

5. Retention, cancellazione e legal hold

La retention dei dati e determinata secondo principio di necessita e proporzionalita, tenendo conto di obblighi normativi, esigenze di audit, sicurezza e tutela legale del Titolare. Le politiche applicative di cancellazione automatica sono allineate, per il perimetro indicato in coda alla presente sezione, a parametri formalizzati nella configurazione di produzione e soggette a revisione periodica. In caso di contenzioso, investigazione o richiesta dell'autorita competente, il Titolare puo attivare il legal hold. Quando attivo, il legal hold sospende i soli processi di cancellazione automatica espressamente collegati - richieste ed export DSAR, registro dei consensi cookie, log di sicurezza dei consensi cookie, documenti del personale, timesheet e approvazioni, Academy - e blocca un elenco chiuso di operazioni distruttive lato server, con registrazione dell'evento bloccato nel log di audit. Restano oggi fuori dal perimetro del legal hold: la cancellazione automatica dei log di audit, la retention delle funzionalita ricreative interne, la purge degli audit di accessibilita, la retention degli eventi di presenza acquisiti dalla piattaforma di messaggistica e ogni cancellazione eseguita direttamente sui sistemi dei fornitori. Fino all'estensione tecnica del presidio, l'attivazione del legal hold deve essere accompagnata da congelamento manuale documentato delle evidenze escluse, da eseguire prima dell'orario di esecuzione dei processi notturni di cancellazione. Lo stato di attivazione del legal hold e un parametro della configurazione di produzione, alla data della presente versione impostato su non attivo, e va riportato nel fascicolo che ne dispone l'attivazione.

Le cancellazioni ad alto impatto, incluse quelle relative a dati economici individuali e a dati sul collocamento obbligatorio, devono transitare su endpoint backend auditati, al fine di preservare controllo centralizzato, sicurezza procedurale e catena di evidenza. Alla data della presente versione le regole di accesso al database consentono ancora la cancellazione diretta dal client, da parte dei ruoli abilitati alla relativa scrittura, della scheda anagrafica del personale - con la sola eccezione della propria, protetta da una guardia tecnica di anti-autocancellazione -, del documento di stima annuale del costo del lavoro, che comprende la retribuzione lorda, e del documento sul collocamento obbligatorio ex L. 68/1999: tali operazioni non producono un record nel log di audit e non sono intercettate dal legal hold, il cui elenco di blocco copre le sole operazioni eseguite tramite endpoint backend. Restano invece gia inaccessibili al client, e riservati alle sole interfacce di backend, gli eventi retributivi con efficacia datata e lo storico delle figure professionali. La chiusura di questa deviazione e classificata come remediation prioritaria; fino alla sua chiusura le cancellazioni su tali dataset sono ammesse esclusivamente previa attestazione interna del responsabile di processo ai sensi della sezione 27, con registrazione nel registro delle decisioni di cui alla sezione 28.

Per il ciclo documentale commerciale, la governance deve distinguere chiaramente tra: bozze operative (retention breve e cleanup periodico), documenti ufficiali con rilevanza contrattuale/amministrativa (retention conforme agli obblighi applicabili), log tecnici di processo (retention proporzionata al rischio) e copie di sicurezza. Le deroghe ai tempi standard devono essere formalizzate con motivazione e data di riesame.

In assenza di una retention approvata dal Titolare non possono essere pubblicate promesse di cancellazione automatica non implementate. Alla data della presente versione risultano privi di una durata approvata e di un processo di cancellazione: i dati sul collocamento obbligatorio, le note di feedback sul personale, gli storici di costo e di ruolo, l'anagrafica del personale e i recapiti importati dalla directory aziendale, i casi e le segnalazioni del monitoraggio delle presenze, i giustificativi importati dal gestionale paghe, le presenze nominative alle sessioni formative erogate in videoconferenza, l'attribuzione dei beni aziendali e il relativo storico delle assegnazioni, i curriculum dei candidati e le valutazioni collegate - per i quali l'archiviazione automatica decorso il termine interno non equivale a cancellazione -, le anomalie di sincronizzazione dei progetti, le voci dei registri di compliance, compreso il registro delle violazioni di dati personali e i questionari di qualifica ESG dei fornitori, le segnalazioni raccolte dai moduli pubblici e i contatti raccolti dal sito istituzionale, il contatore individuale di utilizzo degli strumenti AI, i metadati di sincronizzazione della directory, le registrazioni di accettazione delle informative e i documenti firmati di grandi dimensioni conservati su storage. Ciascuno di questi trattamenti resta soggetto a decisione documentata del Titolare e a un piano tecnico di purge, con gestione manuale tracciata nelle more.

Le funzionalita ricreative interne sono due e dispongono di presidi diversi, che non vanno confusi tra loro. La gara di digitazione dispone di un processo di cancellazione automatica che elimina le singole partite decorsi tre mesi e gli aggregati per periodo decorsi ventiquattro mesi, mentre conserva senza termine il documento di stato corrente della singola persona, che custodisce la quota giornaliera e la preferenza di comparsa in classifica e la cui cancellazione riporterebbe tale preferenza al valore predefinito, annullando di fatto una esclusione gia esercitata. Il gioco disponibile nella pagina di accesso non dispone invece di alcun processo di cancellazione automatica, non prevede opt-in ne facolta di esclusione dalla classifica e conserva per ciascun giocatore indirizzo email, nome visualizzato, punteggio massimo storico e per mese e data dell'ultima partita, in una classifica nominativa leggibile da qualunque utente autenticato del portale, compresi i collaboratori esterni. La determinazione della base giuridica, della durata di conservazione e delle facolta di esclusione per entrambe, e in particolare per la seconda, resta decisione del Titolare non ancora assunta; fino a quel momento nessun documento pubblico puo descrivere indistintamente le due funzionalita come assistite da consenso, da opt-in o da cancellazione automatica.

I parametri di retention formalizzati nella configurazione di produzione coprono oggi il solo perimetro delle richieste e degli export DSAR, dei consensi cookie e dei relativi log di sicurezza, dei documenti del personale, dei timesheet, dell'Academy e degli snapshot di report e hosting; la conservazione dei log di audit, fissata in novanta giorni, e quella degli eventi di presenza acquisiti dalla piattaforma di messaggistica, fissata in trecentosessantacinque giorni, sono definite direttamente nel codice applicativo e vanno ricondotte al medesimo governo parametrico. Il Titolare da inoltre atto che la cancellazione di un dato dai sistemi in esercizio non raggiunge le copie di sicurezza e il ripristino a un istante precedente, che seguono un ciclo tecnico separato: sulle copie di sicurezza la cancellazione produce effetto soltanto al naturale esaurimento di tale ciclo, circostanza che va rappresentata all'interessato nella risposta alla sua richiesta.

6. Gestione DSAR e SLA di conformita

Il processo DSAR deve garantire registrazione della richiesta, verifica identita proporzionata, tracciamento delle attivita, controllo delle scadenze normative e conservazione delle prove di risposta. Ogni pratica deve indicare owner, stato, data ricezione, data risposta, eventuali proroghe, motivazioni e perimetro dei dati coinvolti. I controlli interni devono verificare periodicamente la coerenza tra stato operativo e documentazione probatoria associata alla pratica.

In presenza di richieste complesse o ad alto rischio, e raccomandata validazione congiunta tra referenti legali e tecnici, con formalizzazione dell'istruttoria e delle decisioni adottate.

Il censimento automatico non esaurisce il perimetro: subcollection collegate all'anagrafica, allegati, note valutative e code tecniche non interrogabili in sicurezza per email devono essere ricercati mediante checklist manuale e doppia verifica, evitando sia omissioni sia divulgazione di dati di terzi. Le limitazioni tecniche e gli interventi presso i fornitori devono risultare nel fascicolo della singola richiesta.

7. Governance dei processi AI e HR

Nei processi recruiting e nelle analisi assistite da AI, il modello di governance richiede controllo umano effettivo, documentazione delle logiche generali, tracciamento delle modifiche e verifica periodica di coerenza rispetto alle finalita dichiarate. L'uso di output AI deve restare strumentale e non sostitutivo della valutazione professionale umana, in conformita agli articoli 22 e 35 GDPR ove applicabili.

Le informazioni relative a personale e collaboratori sono trattate per finalita amministrative e organizzative interne, con divieto di diffusione non autorizzata. Il sistema di rilevazione delle anomalie di presenza si fonda sul segnale di presenza della piattaforma di messaggistica aziendale, campionato a intervalli regolari entro fasce orarie predefinite, con le assenze da calendario e i giustificativi del gestionale paghe utilizzati come sole cause di esclusione; tale fonte deve essere dichiarata nell'informativa ai lavoratori e valutata rispetto all'articolo 4 della legge 300/1970 e all'articolo 88 GDPR prima di ogni ulteriore estensione. E vietata la produzione, l'esportazione e la circolazione di graduatorie nominative di rendimento, di disponibilita o di costo delle assenze imputate al singolo lavoratore, salvo che il Titolare abbia preventivamente formalizzato finalita, base giuridica, destinatari, durata, misure di contraddittorio e parere giuslavoristico. Le elaborazioni economiche fondate su un segnale che la stessa documentazione tecnica riconosce come affetto da falsi positivi non possono in alcun caso essere utilizzate per valutazioni individuali ne per decisioni che incidano sul rapporto di lavoro. Ogni esportazione nominativa deve essere tracciata nel log di audit e motivata dalla finalita dichiarata.

La lettura dei dati piu prossimi alla sfera disciplinare - segnalazioni e casi del monitoraggio delle presenze, registro delle modifiche alla scheda del personale, assenze e schede complete di tutte le persone - e regolata da permessi per ruolo i cui valori predefiniti nel codice abilitano l'intera platea dei ruoli applicativi. La matrice effettivamente applicata a runtime e mantenuta nella configurazione dell'applicazione e prevale su tali valori predefiniti: la sua ricognizione, con conferma espressa o riduzione motivata di ciascun permesso, e adempimento a carico del Titolare, da svolgere con la stessa formalita prevista per le deroghe controllate e da riverificare come controllo di secondo livello ai sensi della sezione 12.

Nei processi AI applicati a caselle email operative e documenti amministrativi (inclusa estrazione dati fattura e riconciliazione con ordini/fornitori), la governance impone censimento del fornitore AI nel registro fornitori privacy, verifica delle basi giuridiche, definizione delle categorie dati in input/output, controllo umano obbligatorio sugli esiti e tracciamento audit delle correzioni effettuate. Ogni estensione di perimetro richiede riesame legale/privacy prima del rilascio in produzione.

Per la sincronizzazione TeamSystem dei soli giustificativi, la governance richiede formalizzazione del perimetro minimo (tipologia giustificativo, data/intervallo, stato, metadati tecnici), segregazione dei permessi di avvio sync ai ruoli autorizzati e tracciamento completo dei run. Qualsiasi ampliamento del set dati acquisito deve essere bloccato fino a completamento di riesame ROPA, verifica basi giuridiche e aggiornamento documentale.

L'inventario AI include anche la riscrittura/classificazione di feedback sul personale e il supporto alla redazione di preventivi. Le note sul personale richiedono accesso ristretto, retention approvata, diritto di accesso gestito con revisione dei diritti di terzi e divieto di decisioni esclusivamente automatizzate. L'uso di AI sui CV non puo essere dichiarato pienamente operativo finche non e verificata l'informativa candidati e la sorveglianza umana effettiva del flusso di selezione.

L'inventario dei sistemi AI e mantenuto completo e allineato alla configurazione effettiva di produzione, con indicazione per ciascun caso d'uso di modello, region di elaborazione, categorie di dati in ingresso e in uscita, destinatari e presidi di sorveglianza umana. Con la presente versione risultano censiti, oltre ai casi d'uso gia richiamati: il servizio di audit di accessibilita, che analizza contenuti e schermate di pagine web di soggetti terzi mediante modello in versione preliminare su location non garantita nello Spazio economico europeo e il cui esito confluisce in un documento destinato a rilevanza esterna; la generazione automatica dei testi impiegati da una delle funzionalita ricreative interne; il controllo preliminare del brief di preventivo, che impiega un modello e una region diversi da quelli della generazione, cosi che il medesimo contenuto attraversa due configurazioni di trasferimento distinte nella stessa operazione; la generazione di rappresentazioni vettoriali nel flusso di riconoscimento delle fatture, che impiega una region extra-europea. Resta invece aperta, e non sanabile con il solo censimento, la posizione della funzione di dettatura vocale, che affida la trascrizione al motore di riconoscimento del browser dell'utente e comporta quindi la trasmissione dell'audio a un fornitore non contrattualizzato dal Titolare: essa non puo essere mantenuta attiva prima della qualifica di tale fornitore o della sua sostituzione con un servizio contrattualizzato.

Nessuna funzionalita AI puo essere rilasciata in produzione prima dell'aggiornamento congiunto di inventario, valutazione AI, registro dei trattamenti, informativa applicabile e registro fornitori; la riattivazione di un caso d'uso dichiarato dismesso richiede riesame formale documentato. La dismissione di un caso d'uso comporta l'aggiornamento dell'inventario con la stessa tempestivita richiesta per l'introduzione: dichiarare attivo un trattamento non piu esistente costituisce difetto di accuratezza dell'inventario al pari di un'omissione.

8. Controlli periodici, audit e miglioramento continuo

Il programma di controllo prevede verifiche ricorrenti su completezza dei registri, validita dei riferimenti contrattuali, coerenza retention-cleanup, corretto funzionamento dei flussi DSAR, allineamento dei permessi per ruolo e robustezza dei log di sicurezza. Gli esiti delle verifiche devono essere documentati con piano di remediation, responsabilita assegnate e scadenze di chiusura.

Il ciclo di miglioramento continuo richiede che ogni non conformita significativa determini revisione del processo, aggiornamento documentale e, se necessario, adeguamento tecnico del portale prima della chiusura formale del rilievo.

9. Documentazione ufficiale e repository di evidenze

La documentazione legale originale (DPA, SCC, subprocessor list, nomine, approvazioni, verbali di review) deve essere conservata fuori dal codice applicativo in un repository documentale aziendale dedicato, con politiche di accesso basate su ruolo e tracciamento delle consultazioni. Il portale Admin mantiene i metadati di collegamento e i riferimenti strutturati necessari alla governance operativa, evitando deposito indiscriminato di documenti sensibili nel layer applicativo.

10. Aggiornamento della policy di governance

La presente policy e soggetta a revisione programmata e straordinaria. Le cadenze minime di riesame sono: annuale per il registro dei trattamenti e per la qualifica dei fornitori; a ogni variazione e comunque annuale per consensi e informative; continuativa per il presidio sulle violazioni di dati personali; annuale per la presente policy e per la policy sulla gestione delle violazioni. Le medesime cadenze sono riportate nella configurazione di produzione a soli fini dichiarativi: poiche tale configurazione non e oggi collegata ad alcun controllo automatico di scadenza, la verifica del rispetto dei termini resta a carico della funzione privacy, che ne conserva evidenza datata e nominativa. La policy viene inoltre aggiornata in caso di novita normative, evoluzioni tecnologiche o mutamenti organizzativi che incidano sul perimetro dei trattamenti. Ogni versione deve riportare data di efficacia e riferimento temporale dell'ultimo aggiornamento, con conservazione dello storico secondo regole interne di governance documentale.

11. Assetto dei ruoli interni e catena decisionale

L'efficacia della governance dipende da una catena decisionale chiara tra owner di trattamento, funzione legale/privacy, funzione security, referenti operation e management. Ogni decisione con impatto sui dati personali deve avere owner nominativo, motivazione, data di approvazione e riferimento alla documentazione probatoria, in modo da consentire verifica indipendente e ricostruzione storica.

La separazione dei compiti riduce conflitti di interesse e aumenta affidabilita dei controlli, evitando che la stessa funzione possa progettare, approvare e validare autonomamente interventi ad alto rischio senza contro-verifica.

12. Matrice controlli e verifiche di primo e secondo livello

Il modello prevede controlli di primo livello effettuati dagli owner operativi sui propri processi e controlli di secondo livello svolti da funzioni di governance/privacy/security su coerenza normativa e robustezza tecnica. Le verifiche includono campionamenti documentali, test di configurazione, analisi dei log, controllo scadenze retention, congruita dei permessi per ruolo e revisione delle eccezioni autorizzate.

Gli esiti sono tracciati con piano di remediation formale, indicazione delle priorita, assegnazione di owner e data target di chiusura; la mancata chiusura entro i termini deve essere riportata ai livelli decisionali competenti con motivazione circostanziata.

13. KPI di compliance e reporting direzionale

Il presidio governance include indicatori periodici su completezza ROPA, stato DPA/subprocessor list, puntualita risposte DSAR, conformita retention-cleanup, copertura audit log e tempo medio di remediation delle non conformita. I KPI devono essere misurabili, comparabili nel tempo e accompagnati da soglie di attenzione che attivino escalation preventiva quando superate. Gli indicatori distinguono fra misurazioni prodotte automaticamente dal sistema e misurazioni raccolte con rilevazione manuale. Il portale produce oggi in modo automatico il conteggio delle pratiche relative ai diritti degli interessati per stato e per diritto, il numero di pratiche aperte oltre il termine, il conteggio delle voci per ciascun registro di compliance e lo stato delle scadenze di notifica delle violazioni. Non esiste allo stato una misurazione automatica della conformita fra retention dichiarata e cancellazione effettiva, della copertura del log di audit ne del tempo medio di remediation: fino alla loro implementazione tali indicatori sono prodotti con rilevazione manuale documentata, con indicazione della fonte e della data di rilevazione, e non possono essere rappresentati come controlli continui.

Il reporting direzionale deve distinguere tra conformita formale e conformita sostanziale, evidenziando non solo presenza documentale ma anche efficacia reale dei controlli nel ridurre il rischio operativo e legale.

14. Governance dei cambiamenti applicativi

Ogni change che impatta trattamenti personali richiede valutazione preventiva di impatto privacy/security, aggiornamento dei registri, verifica dei testi informativi pubblici e controllo di allineamento con i parametri runtime di produzione. Nessun rilascio ad alto impatto dovrebbe essere considerato completo senza evidenza di chiusura del controllo legale e tecnico associato.

Le modifiche urgenti in risposta a incidenti sono ammesse con procedura accelerata, ma devono essere regolarizzate ex post con documentazione completa entro tempi definiti dalla governance interna.

Per i cambiamenti su wizard documentali e integrazione con repository aziendale, il fascicolo di change deve includere almeno: validazione dei campi obbligatori/minimizzazione, verifica ruoli autorizzati alla generazione e pubblicazione, controllo coerenza tra metadati applicativi e file archiviato, test di permessi cartella/link su storage aziendale e verifica del tracciamento audit per le azioni critiche.

Per i cambiamenti che coinvolgono il Password Manager (Passbolt) devono essere verificati, prima del rilascio, almeno i seguenti presidi: isolamento gruppi per progetto, ereditarieta dei permessi cartella, flussi di onboarding e offboarding, tempi e modalita di revoca degli accessi e coerenza tra audit log applicativo e policy pubbliche. Le evidenze di test e validazione devono essere conservate nel fascicolo di change. Il Titolare da atto che non esiste allo stato un automatismo di revoca degli accessi al gestore delle credenziali condivise: la rimozione dai gruppi e operazione manuale e le sole funzioni schedulate sul medesimo gestore riguardano la sincronizzazione delle fotografie del profilo e il recupero delle assegnazioni rimaste in sospeso. L'unico automatismo di disattivazione dell'utenza applicativa e innescato dalla disattivazione dell'account sulla piattaforma di messaggistica aziendale, presidio che per costruzione non copre i collaboratori esterni che ne sono privi. Fino all'implementazione di un automatismo, l'offboarding e eseguito come procedura manuale tracciata, con termine massimo definito dal Titolare, e la verifica periodica delle utenze attive prive di rapporto in essere e controllo di secondo livello obbligatorio ai sensi della sezione 12.

Devono inoltre essere verificati i presidi di backup e ripristino: cifratura forte dei backup, separazione tra chiavi di cifratura e infrastruttura applicativa, restrizione degli accessi al bucket di conservazione, tracciamento delle operazioni di restore e test periodici documentati di recupero. Per il perimetro Passbolt, la governance deve considerare che nei backup possono rientrare anche segreti personali caricati volontariamente dagli utenti e deve quindi garantire limitazione di finalita, need-to-know e autorizzazione formale del restore.

15. Formazione, consapevolezza e responsabilizzazione utenti

Il modello di conformita richiede formazione periodica degli utenti autorizzati su principi privacy, sicurezza operativa, gestione incidenti, uso corretto delle esportazioni e divieti di divulgazione non autorizzata. La formazione deve essere calibrata per ruolo, con approfondimenti specifici per funzioni che trattano dati sensibili o svolgono attivita di amministrazione del sistema.

La consapevolezza non e considerata adempimento formale isolato: deve tradursi in comportamenti verificabili e nel rispetto concreto delle procedure operative stabilite dal Titolare.

16. Conservazione delle evidenze di governance e audit readiness

Le evidenze di governance (verbali, approvazioni, riferimenti DPA, esiti review, changelog, prove di controllo) devono essere conservate in forma ordinata, reperibile e cronologicamente coerente, con criteri di accesso controllato e protezione della riservatezza. Tale impianto consente audit readiness continua e supporta la difendibilita dell'organizzazione in sede ispettiva o contenziosa.

La qualita della documentazione e considerata parte integrante della sicurezza giuridica dell'azienda: registrazioni incomplete, prive di data o non riconducibili a un responsabile nominativo sono da considerarsi non conformi e richiedono immediata regolarizzazione.

17. Gestione delle eccezioni e deroghe controllate

Qualunque deroga ai controlli ordinari di governance deve essere eccezionale, temporalmente limitata, formalmente autorizzata e accompagnata da motivazione documentata. La deroga deve indicare perimetro, rischio residuo, misure compensative, owner responsabile e data di scadenza oltre la quale la condizione eccezionale cessa automaticamente salvo rinnovo esplicito.

Le deroghe scadute o prive di motivazione adeguata sono considerate non conformita e richiedono intervento immediato di regolarizzazione con segnalazione ai livelli decisionali competenti.

18. Allineamento tra policy pubbliche e configurazione runtime

La conformita sostanziale richiede che i contenuti delle policy pubbliche siano coerenti con il comportamento effettivo del sistema in produzione. Ogni aggiornamento testuale deve quindi essere accompagnato da verifica tecnica dei parametri runtime, dei job schedulati di retention, dei vincoli server-side e delle regole di autorizzazione applicate ai dataset interessati.

Il mancato allineamento tra testo e configurazione costituisce rischio di non conformita e deve attivare immediato piano di remediation con priorita alta.

Il controllo comprende anche la parita tra versione mostrata nel footer, versione selezionata dalla configurazione Functions e versione registrata dai form pubblici. Una release legale deve distribuire insieme Hosting e Functions; un aggiornamento parziale non costituisce evidenza sufficiente di presa visione.

Gli scostamenti rilevati fra testo pubblicato e comportamento effettivo del sistema sono censiti in un registro degli scostamenti, con indicazione della sezione interessata, della data di rilevazione, dell'owner e del termine di riallineamento. Lo scostamento che riguardi finalita, categorie di dati, destinatari, trasferimenti o tempi di conservazione e riallineato entro il primo rilascio congiunto di Hosting e Functions utile, con contestuale incremento della versione del documento interessato. La permanenza di uno scostamento oltre il termine assegnato e riportata ai livelli decisionali competenti ai sensi della sezione 12.

19. Presidi su filiera documentale legale e contrattuale

La governance impone tracciabilita della filiera documentale relativa a DPA, SCC, subprocessor list, nomine, approvazioni e verbali di review. Ogni documento deve essere identificabile con versione, data, owner e stato di validita, evitando riferimenti incompleti o non verificabili nei registri operativi del portale.

L'accesso ai documenti originali resta confinato ai repository documentali dedicati con permessi controllati, mentre nel portale Admin sono mantenuti metadati minimi necessari alla gestione operativa e alla prova di avvenuta verifica.

20. Criteri di maturita della compliance

Il livello di maturita della compliance non e misurato solo sulla presenza di policy, ma sulla capacita dell'organizzazione di dimostrare esecuzione coerente, tempestivita dei controlli, qualita delle evidenze, efficacia delle remediation e riduzione progressiva del rischio residuo. Tale approccio consente di distinguere adempimento formale da presidio reale della conformita.

Le funzioni di governance devono promuovere indicatori orientati agli esiti e non esclusivamente alle attivita, con reporting periodico ai livelli direzionali.

21. Clausola finale di presidio continuo

La presente policy costituisce riferimento dinamico e non statico: il Titolare si impegna a mantenerla allineata all'evoluzione normativa, tecnologica e organizzativa, con revisione strutturata e audit di efficacia. In caso di conflitto interpretativo prevale la soluzione che assicura maggiore tutela dei diritti degli interessati e maggiore robustezza del presidio aziendale.

Le richieste di chiarimento interpretativo possono essere indirizzate al canale privacy@justbit.it, con gestione tracciata delle risposte.

22. Accountability rafforzata e onere della prova organizzativa

Il modello di governance e orientato al principio di accountability sostanziale: non e sufficiente dichiarare il rispetto delle regole, ma occorre poter dimostrare in ogni momento la concreta applicazione dei controlli con evidenze verificabili, datate e riconducibili a responsabili nominativi. La prova organizzativa comprende decisioni, istruttorie, verifiche tecniche, remediation e motivazioni giuridiche sottostanti.

L'assenza di tracciabilita adeguata e trattata come rischio compliance prioritario e richiede intervento immediato di riallineamento.

23. Segregazione dei ruoli e controllo dei conflitti di interesse

La governance richiede chiara separazione tra ruoli operativi, ruoli di controllo e ruoli autorizzativi, evitando concentrazioni eccessive di potere decisionale sul medesimo processo. Nei casi in cui un soggetto partecipi a piu fasi della filiera, devono essere previsti controbilanciamenti documentati, riesami indipendenti o approvazioni aggiuntive idonee a ridurre il rischio di conflitti di interesse.

Tale assetto tutela sia gli interessati sia l'azienda, migliorando affidabilita delle decisioni e difendibilita delle scelte in sede ispettiva.

24. Due diligence continuativa su fornitori e subfornitori

I processi di onboarding e monitoraggio dei fornitori devono includere valutazione periodica di adeguatezza privacy e sicurezza, verifica dei presupposti contrattuali, coerenza delle finalita trattate, localizzazione dei trattamenti e conformita delle misure tecniche dichiarate. Le risultanze di due diligence devono essere archiviate con versionamento e data certa, in modo da dimostrare continuita del controllo nel tempo.

In caso di esito non soddisfacente, il Titolare attiva remediation contrattuale o tecnica e, se necessario, piano di sostituzione del fornitore entro tempi compatibili con il rischio residuo.

25. Governance delle modifiche ad alto impatto privacy

Ogni cambiamento architetturale, funzionale o contrattuale con potenziale impatto rilevante sui trattamenti deve essere soggetto a change governance formale, con valutazione preventiva dei rischi, definizione delle misure mitigative e approvazione esplicita del rilascio. Il processo di change management deve garantire allineamento tra codice, configurazione runtime, informative pubbliche e registri interni.

Rilasci in produzione privi di tale allineamento sono considerati non conformi e devono essere corretti con priorita alta, includendo analisi delle cause organizzative che hanno consentito la deviazione.

26. Clausola finale di protezione integrata dell'azienda

La presente policy e finalizzata a garantire presidio integrato di conformita normativa, resilienza tecnica, sostenibilita operativa e tutela giuridica del Titolare. Le sue disposizioni sono applicate con criterio sostanziale e secondo il criterio di prevalenza stabilito alla sezione 21, che prevale su ogni diversa indicazione interpretativa contenuta nella presente policy.

27. Obbligo di attestazione interna delle attivita critiche

Le attivita ad alta rilevanza privacy o sicurezza devono essere accompagnate da attestazione interna del responsabile di processo, con indicazione della base decisionale, dei controlli eseguiti e dell'esito ottenuto. L'attestazione costituisce presidio di accountability e consente verifica ex post della correttezza operativa, riducendo il rischio di decisioni non motivate o non allineate alla governance formalizzata.

Attivita critiche prive di attestazione sono considerate non conformi e soggette a remediation prioritaria.

28. Registro delle decisioni strategiche di compliance

Il Titolare mantiene registro strutturato delle decisioni strategiche in materia di protezione dati, incluse scelte su retention, basi giuridiche, trasferimenti, controlli anti-abuso, verifiche identitarie e gestione incidenti. Il registro include razionale, data, owner, ambito di applicazione e pianificazione delle revisioni.

Tale presidio rafforza continuita decisionale e difendibilita dell'azienda in sede ispettiva o contenziosa.

29. Gestione del rischio residuo e accettazione formale

Quando non sia tecnicamente o organizzativamente possibile azzerare un rischio entro tempi immediati, il Titolare puo procedere con accettazione formale del rischio residuo, previa valutazione documentata della probabilita, dell'impatto, delle misure compensative e della data di riesame obbligatorio. L'accettazione non equivale a rinuncia al miglioramento, ma a gestione controllata e temporanea della deviazione.

I rischi residui non rivalutati alle scadenze previste devono essere automaticamente riportati in escalation.

30. Accessi di collaboratori esterni al portale e accessi privilegiati di impersonazione

Il portale prevede un ruolo applicativo dedicato ai collaboratori esterni non dipendenti - consulenti, liberi professionisti, fornitori e loro referenti - attribuito anche in via automatica per derivazione dalla tipologia anagrafica quando non sia indicato un ruolo esplicito. A tali utenti possono essere resi accessibili, oltre alla propria scheda: gli ordini di acquisto e le fatture riferiti alla propria azienda, con indicazione del cliente finale e del titolo del progetto; l'elenco nominativo e i recapiti dei collaboratori erogati dalla stessa azienda; i timesheet di dettaglio da questi compilati. L'abilitazione dipende da un attributo della scheda anagrafica e non dalla sola matrice dei ruoli, ed e a sua volta derivabile automaticamente dalla tipologia del rapporto: la modifica della tipologia puo pertanto modificare la visibilita su dati di terzi senza una decisione autorizzativa espressa.

La governance richiede quindi: censimento del trattamento nel registro con indicazione espressa del destinatario esterno; qualificazione del rapporto con l'azienda del collaboratore ai sensi degli articoli 28 e 29 GDPR ovvero come titolarita autonoma; informativa ai collaboratori interessati sulla comunicazione al proprio committente dei dati relativi all'attivita svolta, con valutazione dei limiti lavoristici applicabili; tracciamento dell'attivazione e della disattivazione dell'attributo abilitante come modifica rilevante ai fini della sicurezza, distinto dal salvataggio ordinario della scheda; verifica periodica che il perimetro tecnico impedisca l'accesso a dati riferiti ad altre aziende; procedura di offboarding tracciata per gli account esterni, che non sono coperti dall'unico automatismo di disattivazione oggi esistente e che restano soggetti al gate di accettazione delle informative di cui alla sezione 4.

Il portale espone due accessi privilegiati di impersonazione, con presidi disomogenei. La consultazione della vista di un determinato fornitore da parte di ruoli interni e tracciata nel log di audit con indicazione del soggetto consultato. La directory che consente ai ruoli di amministrazione di operare come un qualunque utente interno restituisce invece identificativo, indirizzo email, nome, cognome, ruolo e stato di un numero elevato di utenti senza produrre alcun record nel log di audit: fino all'introduzione di un tracciamento equivalente a quello gia previsto per la vista fornitore, il suo utilizzo e ammesso solo previa attestazione interna ai sensi della sezione 27 ed e oggetto di riesame periodico, con verifica che la funzione non sia impiegata per accedere a dati che il ruolo di provenienza non potrebbe consultare direttamente.

31. Funzionalita ricreative interne e classifiche nominative

Il portale ospita due funzionalita ricreative destinate agli utenti autenticati, con presidi diversi fra loro e descritti quanto ai tempi di conservazione alla sezione 5. Entrambe producono metriche individuali di prestazione riconducibili a persone identificate e alimentano classifiche nominative; la classifica del gioco disponibile nella pagina di accesso e leggibile da qualunque utente autenticato, compresi i collaboratori esterni, ai quali il resto del portale applica un perimetro deliberatamente ristretto, e non e subordinata ad alcun permesso per ruolo. La partecipazione, i punteggi e le posizioni in classifica non costituiscono in alcun caso elemento di valutazione della persona, non confluiscono in processi di gestione del personale e non possono essere richiamati in sede di valutazione, assegnazione di incarichi o decisioni sul rapporto di lavoro.

Restano da assumere, e sono formalmente attribuite al Titolare, le decisioni su: base giuridica di ciascuna delle due funzionalita; durata di conservazione dei dati che non ne dispongono; introduzione di una facolta di esclusione dalla classifica per la funzionalita che non la prevede; perimetro dei ruoli ammessi a giocare e a consultare le classifiche; inclusione dei relativi dataset nel perimetro delle richieste degli interessati. Fino all'assunzione di tali decisioni le funzionalita non possono essere rappresentate nei documenti pubblici come uniformemente presidiate, e ogni descrizione deve indicare distintamente i presidi effettivamente esistenti per ciascuna di esse.

32. Clausola conclusiva di opponibilita del modello di governance

Il modello descritto nella presente policy, se applicato con evidenze coerenti e aggiornate, costituisce presidio opponibile a tutela del Titolare in relazione a verifiche esterne, reclami e contenziosi. Le regole sono interpretate secondo il criterio di prevalenza di cui alla sezione 21, preservando l'integrita del sistema di controllo e la certezza delle responsabilita.

Ogni funzione coinvolta e tenuta a cooperare in buona fede al mantenimento della governance, secondo ruoli e competenze formalmente assegnati.