--- title: "Protezione dei Dati e Privacy | Tajo" description: "Dettagli completi sulla protezione dei dati e informazioni sulla conformità per la piattaforma Tajo" url: https://tajo.io/it/docs/compliance/data-protection/ markdown: https://tajo.io/it/docs/compliance/data-protection.md lang: it-IT author: "Set Noa" author_url: https://tajo.io/it/set-noa/ robots: noindex --- Richiedi l’accesso anticipato Inserisci il tuo nome e indirizzo email aziendale. Ti invieremo un link per confermare la richiesta di accesso a Tajo. # Protezione dei Dati e Privacy [Set Noa](https://tajo.io/it/set-noa/) Questo documento illustra come Tajo gestisce i dati personali dei clienti dei merchant, dei potenziali clienti e dei visitatori dei siti dei merchant. Il nostro impegno per la protezione dei dati garantisce la conformità al GDPR, al CCPA e ad altre normative globali sulla privacy. ## Scopo e Minimizzazione dei Dati ### Vengono elaborati solo i dati personali minimi necessari per fornire valore ai merchant? **Sì.** Tajo elabora solo i dati personali essenziali necessari per: - Sincronizzare le informazioni sui clienti con Brevo per l’automazione del marketing - Abilitare la funzionalità del programma fedeltà - Tracciare ordini e coinvolgimento dei clienti - Fornire capacità di comunicazione multi-canale I dati personali includono informazioni che possono identificare una persona univoca (nome, indirizzo email) o che possono essere ricollegate a una persona univoca (totale ordine, ID cliente). ### Vengono comunicati ai merchant i dati personali elaborati e le finalità del trattamento? **Sì.** Forniamo completa trasparenza attraverso: - Il nostro Accordo sul Trattamento dei Dati (DPA) che definisce chiaramente tutte le categorie di dati trattati - Documentazione che specifica esattamente quali dati vengono sincronizzati con Brevo - Documentazione API chiara che mostra tutti i campi dati trasmessi - Una cronologia delle esecuzioni per ogni sincronizzazione, che mostra cosa è stato sincronizzato e quando ### L’utilizzo dei dati personali è limitato a tale scopo? **Sì.** Tajo utilizza i dati personali esclusivamente per: - Fornire i servizi principali della piattaforma come descritto nei Termini di Servizio - Sincronizzare i dati dei clienti con Brevo per l’automazione del marketing - Gestire programmi fedeltà e funzionalità di coinvolgimento dei clienti - Generare analisi e approfondimenti per i merchant Non utilizziamo i dati dei clienti per scopi diversi da quelli esplicitamente dichiarati e concordati. ## Consenso e Base Giuridica ### Esistono accordi sulla privacy e sulla protezione dei dati con i merchant? **Sì.** Ogni merchant deve accettare: - **Termini di Servizio** - Che regolano l’utilizzo della piattaforma Tajo - **Accordo sul Trattamento dei Dati (DPA)** - Che definisce il nostro ruolo di responsabile del trattamento - **Informativa sulla Privacy** - Che delinea le nostre pratiche di gestione dei dati Questi accordi stabiliscono: - Tajo agisce come **Responsabile del Trattamento** per i dati dei clienti dei merchant - I merchant agiscono come **Titolari del Trattamento** e sono responsabili dell’ottenimento del consenso appropriato - Obblighi chiari per entrambe le parti riguardo alla protezione dei dati ### Vengono rispettate e applicate le decisioni di consenso dei clienti? **Sì.** Tajo rispetta il consenso dei clienti attraverso: - Elaborazione automatica delle richieste di disiscrizione da Brevo - Soppressione delle comunicazioni ai clienti che hanno rinunciato - Rispetto delle preferenze dei clienti su tutti i canali (email, SMS, WhatsApp) Quando un cliente si disiscriv o revoca il consenso, Tajo immediatamente: 1. Sincronizza la preferenza con Brevo 2. Impedisce future comunicazioni di marketing 3. Mantiene log di audit delle modifiche al consenso ### Vengono rispettate e applicate le decisioni dei clienti di non consentire la vendita dei propri dati? **Sì.** Tajo non vende dati dei clienti in nessuna circostanza. Noi: - Non condividiamo mai dati personali con terze parti a fini commerciali - Trasmettiamo dati solo a Brevo come parte della funzionalità principale della piattaforma - Rispettiamo i requisiti CCPA “Do Not Sell My Personal Information” - Manteniamo dichiarazioni chiare che non avviene alcuna vendita di dati ### Se i dati personali vengono utilizzati per processi decisionali automatizzati con effetti legali o significativi, i clienti possono rinunciare? **Non Applicabile.** Tajo non esegue processi decisionali automatizzati con effetti legali o significativi sulle persone. La piattaforma fornisce: - Automazione del marketing (a cui i clienti possono rinunciare completamente) - Gestione del programma fedeltà (controllata dai merchant) - Segmentazione dei clienti (solo per uso dei merchant) Nessuna di queste attività costituisce un processo decisionale automatizzato con effetti legali o significativi ai sensi dell’Articolo 22 del GDPR. ## Archiviazione e Sicurezza ### Esistono periodi di conservazione che garantiscono che i dati personali non vengano conservati più a lungo del necessario? **Sì.** Tajo implementa politiche chiare di conservazione dei dati: **Dati Clienti Attivi:** - Conservati mentre l’account del merchant è attivo - Utilizzati per la sincronizzazione continua e le funzionalità della piattaforma - I merchant possono eliminare i dati dei clienti in qualsiasi momento tramite l’interfaccia Tajo **Chiusura dell’Account:** - Tutti i dati dei clienti vengono eliminati entro 90 giorni dalla chiusura dell’account - I merchant possono richiedere l’eliminazione immediata dei dati alla chiusura - I dati di backup vengono eliminati secondo la nostra pianificazione di conservazione dei backup (30 giorni) **Conservazione Legale:** - I registri delle transazioni possono essere conservati più a lungo ove richiesto dalla legge (es. registri fiscali) - Dati minimi conservati solo per finalità di conformità legale I merchant sono responsabili di: - Gestire i periodi di conservazione per le proprie attività di trattamento dei dati - Eliminare i dati dei clienti quando non sono più necessari - Rispettare le leggi applicabili sulla protezione dei dati nella propria giurisdizione ### I dati vengono crittografati a riposo e in transito? **Sì.** Tajo utilizza crittografia standard del settore: **In Transito:** - TLS 1.3 per tutte le trasmissioni di dati - HTTPS applicato per tutto il traffico web - Connessioni API crittografate a Brevo - Certificate pinning per le applicazioni mobili **A Riposo:** - Crittografia AES-256 per l’archiviazione nel database - Backup crittografati - Archiviazione crittografata per eventuali documenti caricati - Crittografia a livello di database per i campi sensibili (es. chiavi API) ### I backup dei dati vengono crittografati? **Sì.** Tutti i dati di backup sono crittografati: - Backup giornalieri automatizzati crittografati con AES-256 - File di backup archiviati con crittografia a riposo - Gestione sicura delle chiavi per le chiavi di crittografia dei backup - Test regolari di ripristino dei backup per verificare l’integrità ### I dati di test e produzione sono separati? **Sì.** Tajo mantiene una separazione rigorosa: - Ambienti di produzione e sviluppo/test completamente separati - Nessun dato di produzione utilizzato negli ambienti di test - Dati di test anonimizzati e sintetici - Database, server e controlli di accesso separati - Chiavi API e credenziali diverse per ogni ambiente ### Esiste una strategia di prevenzione della perdita di dati? **Sì.** Tajo implementa una prevenzione completa della perdita di dati: **Misure Preventive:** - Backup automatizzati ogni 24 ore - Replica del database in tempo reale - Archiviazione ridondante su più zone di disponibilità - Controllo delle versioni e tracciamento delle modifiche **Rilevamento:** - Monitoraggio automatizzato dell’integrità dei dati - Rilevamento delle anomalie per pattern di accesso ai dati insoliti - Audit di sicurezza regolari e test di penetrazione - Avvisi automatizzati per potenziali violazioni dei dati **Ripristino:** - Funzionalità di recupero point-in-time - Procedure documentate di disaster recovery - Esercitazioni regolari di disaster recovery - RTO (Recovery Time Objective): 4 ore - RPO (Recovery Point Objective): 24 ore ## Controllo degli Accessi ### L’accesso dei dipendenti ai dati personali dei clienti è limitato? **Sì.** L’accesso ai dati dei clienti è rigorosamente controllato: **Principi di Accesso:** - Principio del minimo privilegio - Controllo degli accessi basato sui ruoli (RBAC) - Solo in base alla necessità di sapere - Revisioni periodiche degli accessi (trimestrali) **Livelli di Accesso:** - **Nessun Accesso**: La maggior parte del personale non ha accesso ai dati dei clienti in produzione - **Solo Lettura**: Il personale di supporto ha accesso in lettura limitato e verificato per la risoluzione dei problemi - **Amministrativo**: Gli amministratori di database hanno accesso elevato, ampiamente registrato - **Emergenza**: Procedure break-glass solo per incidenti critici **Controlli:** - Autenticazione a più fattori (MFA) richiesta per tutto il personale - VPN richiesta per l’accesso remoto - IP allowlisting per l’accesso amministrativo - Timeout delle sessioni e blocchi automatici ### Esistono requisiti password forti per le password del personale? **Sì.** Tajo applica policy di password di livello enterprise: **Requisiti:** - Minimo 16 caratteri - Deve includere maiuscole, minuscole, numeri e caratteri speciali - Non può riutilizzare le ultime 12 password - Scadenza password ogni 90 giorni - Blocco account dopo 5 tentativi falliti **Sicurezza Avanzata:** - Autenticazione a più fattori (MFA) obbligatoria per tutto il personale - Integrazione Single Sign-On (SSO) con il provider di identità aziendale - Autenticazione biometrica supportata - Password manager obbligatorio per tutti i dipendenti - Formazione periodica sulla sicurezza ### Viene registrato l’accesso ai dati personali? **Sì.** Viene mantenuto un registro di audit completo: **Attività Registrate:** - Tutte le query del database che accedono ai dati dei clienti - Chiamate API a Brevo con informazioni sui clienti - Accesso amministrativo ai sistemi di produzione - Esportazioni di dati e operazioni in blocco - Modifiche alla configurazione - Tentativi di autenticazione falliti **I Dettagli del Log Includono:** - Timestamp dell’accesso - Identità dell’utente - Indirizzo IP e posizione - Azione eseguita - Dati acceduti (ID record) - Stato di successo o fallimento **Gestione dei Log:** - Log conservati per almeno 1 anno - Archiviazione dei log crittografata - Sistema di logging a prova di manomissione - Revisioni periodiche dei log - Integrazione SIEM per il monitoraggio in tempo reale - Avvisi automatizzati per attività sospette ### Esiste una policy di risposta agli incidenti di sicurezza? **Sì.** Tajo mantiene un Piano di Risposta agli Incidenti di Sicurezza completo: **Rilevamento e Valutazione:** - Monitoraggio della sicurezza 24/7 - Rilevamento automatizzato delle minacce - Classificazione della gravità degli incidenti - Valutazione iniziale entro 1 ora **Team di Risposta:** - Team dedicato alla risposta agli incidenti di sicurezza - Procedure di escalation chiare - Ruoli e responsabilità definiti - Esperti di sicurezza esterni disponibili **Procedure di Risposta:** 1. **Contenimento**: Isolamento immediato dei sistemi interessati 2. **Indagine**: Analisi forense per determinare portata e causa 3. **Eradicazione**: Rimozione della minaccia e chiusura delle vulnerabilità 4. **Ripristino**: Ripristino dei sistemi e verifica della sicurezza 5. **Notifica**: Notifica alle parti interessate come richiesto dalla legge 6. **Revisione Post-Incidente**: Documentazione delle lezioni apprese e miglioramento dei processi **Tempistiche di Notifica:** - I merchant vengono notificati entro 72 ore dalla conferma di una violazione dei dati - Le autorità di regolamentazione vengono notificate come richiesto dalla legge applicabile (es. requisito GDPR di 72 ore) - Le persone interessate vengono notificate in caso di rischio elevato per i loro diritti **Documentazione:** - Tutti gli incidenti sono documentati in dettaglio - Rapporti annuali sugli incidenti di sicurezza - Formazione regolare ed esercitazioni tabletop - Miglioramento continuo delle procedure di risposta ## Accordo sul Trattamento dei Dati (DPA) Tajo opera nel quadro di un Accordo sul Trattamento dei Dati completo conforme ai requisiti dell’Articolo 28 del GDPR. Gli elementi chiave includono: ### Ruoli e Responsabilità - **Tajo agisce come Responsabile del Trattamento** per i dati dei clienti dei merchant - **I merchant agiscono come Titolari del Trattamento** e sono responsabili di: - Ottenere il consenso appropriato dai clienti - Fornire informative sulla privacy - Gestire le richieste dei soggetti interessati - Determinare finalità e mezzi del trattamento ### Dettagli del Trattamento **Scopo:** Fornitura dei servizi della piattaforma Tajo, inclusi: - Sincronizzazione dei dati dei clienti con Brevo - Gestione del programma fedeltà - Automazione del marketing multi-canale - Analisi e reporting **Categorie di Dati:** - Informazioni di contatto (nome, email, telefono) - Cronologia ordini e dati transazionali - Preferenze dei clienti e stato del consenso - Dati comportamentali (clic, aperture, coinvolgimento) - Dati del programma fedeltà (punti, livelli, premi) **Soggetti dei Dati:** - Clienti dei merchant - Visitatori del sito web - Iscritti alla newsletter - Membri del programma fedeltà ### Sub-Responsabili del Trattamento Tajo coinvolge i seguenti sub-responsabili del trattamento: | Sub-Responsabile | Servizio | Posizione | Garanzie | | --- | --- | --- | --- | | Brevo | Piattaforma email/SMS/WhatsApp | Francia (UE) | Conforme al GDPR, Clausole Contrattuali Standard | | AWS | Infrastruttura cloud | Regioni UE | Conforme al GDPR, EU-US Data Privacy Framework | | Cloudflare | CDN e sicurezza | Globale | Clausole Contrattuali Standard, Localizzazione dei Dati | **Avviso di Modifica:** - I merchant vengono notificati 30 giorni prima dell’ingaggio di nuovi sub-responsabili - Diritto di opporsi ai nuovi sub-responsabili - Soluzioni alternative o diritti di recesso se l’obiezione è giustificata ### Diritti dei Soggetti Interessati Tajo assiste i merchant nell’adempimento dei diritti dei soggetti interessati: **Diritti Supportati:** - Diritto di accesso - Diritto di rettifica - Diritto alla cancellazione (“diritto all’oblio”) - Diritto alla portabilità dei dati - Diritto di opposizione - Diritto di limitazione del trattamento **Gestione delle Richieste:** - I merchant possono esportare i dati dei clienti in qualsiasi momento - Eliminazione dei dati dei clienti disponibile tramite l’interfaccia Tajo - Endpoint API per la gestione automatizzata dei dati - Risposta alle richieste dei soggetti interessati entro 5 giorni lavorativi ### Misure di Sicurezza Vedere le misure di sicurezza complete nell’Appendice 4 del nostro DPA, inclusi: - Controlli di accesso fisico e logico - Crittografia a riposo e in transito - Monitoraggio della sicurezza e risposta agli incidenti - Audit di sicurezza regolari e test di penetrazione - Formazione del personale e verifiche dei precedenti ### Trasferimenti Internazionali di Dati **Protezione dei Dati UE:** - Archiviazione primaria dei dati in UE (Belgio, Francia) - Clausole Contrattuali Standard per eventuali trasferimenti al di fuori dell’UE - Misure supplementari incluse crittografia e controlli di accesso - Certificazione EU-US Data Privacy Framework ove applicabile **Conformità CCPA:** - Rapporto di Service Provider chiaramente definito - Nessuna vendita o condivisione di informazioni personali - Conformità ai diritti di privacy californiani - Accordo di trattamento dei dati firmato ### Diritti di Audit I merchant hanno il diritto di: - Richiedere documentazione della conformità di Tajo - Esaminare certificazioni di sicurezza e rapporti di audit - Condurre audit (con ragionevole preavviso, massimo una volta all’anno) - Ricevere documentazione di sicurezza inclusi i report SOC 2 ## Conformità Normativa ### GDPR (Regolamento Generale sulla Protezione dei Dati) **Stato di Conformità:** Pienamente conforme **Caratteristiche Principali:** - Base giuridica valida per tutte le attività di trattamento - Accordo sul Trattamento dei Dati con tutti i merchant - Valutazioni d’Impatto sulla Protezione dei Dati (DPIA) completate - Responsabile della Protezione dei Dati nominato: [privacy@tajo.io](mailto:privacy@tajo.io) - Procedure di notifica delle violazioni (72 ore) - Registro delle attività di trattamento mantenuto - Principi di privacy by design e by default ### CCPA (California Consumer Privacy Act) **Stato di Conformità:** Pienamente conforme **Caratteristiche Principali:** - Rapporto di Service Provider (nessuna vendita di dati) - Diritti dei consumatori supportati (accesso, cancellazione, rinuncia) - Informative sulla privacy - “Do Not Sell My Personal Information” rispettato - Formazione annuale sulla protezione dei dati per il personale - Obblighi contrattuali con i merchant ### Direttiva NIS 2 **Applicabilità:** Conforme ove applicabile **Misure di Cybersecurity:** - Framework di gestione del rischio implementato - Segnalazione degli incidenti di sicurezza ai CSIRT - Requisiti di sicurezza della supply chain - Valutazioni periodiche della sicurezza - Piani di continuità aziendale e disaster recovery ### DORA (Digital Operational Resilience Act) **Applicabilità:** Pronto per le istituzioni finanziarie che utilizzano Tajo **Caratteristiche di Conformità:** - Framework di gestione del rischio ICT - Procedure di segnalazione degli incidenti - Test di resilienza operativa digitale - Gestione dei rischi di terze parti - Accesso regolamentare e diritti di audit Nota: Le disposizioni DORA si applicano solo alle istituzioni finanziarie regolamentate. Se sei un’istituzione finanziaria soggetta al DORA, contatta il nostro team enterprise per una documentazione di conformità specifica. ## Contatti e Supporto ### Responsabile della Protezione dei Dati **Email:** [privacy@tajo.io](mailto:privacy@tajo.io) **Ruolo:** Supervisiona tutta la conformità alla protezione dei dati ### Team di Sicurezza **Email:** [security@tajo.io](mailto:security@tajo.io) **Ruolo:** Gestisce incidenti di sicurezza e richieste ### Supporto ai Merchant **Email:** [support@tajo.io](mailto:support@tajo.io) **Sito web:** [https://tajo.io/it/contact/](https://tajo.io/it/contact/) **Ruolo:** Supporto generale alla piattaforma e assistenza ### Segnala una Vulnerabilità di Sicurezza **Email:** [security@tajo.io](mailto:security@tajo.io) **security.txt:** [https://tajo.io/.well-known/security.txt](https://tajo.io/.well-known/security.txt) Accogliamo la divulgazione responsabile delle vulnerabilità di sicurezza. ## Risorse Aggiuntive - [Informativa sulla Privacy](https://tajo.io/it/privacy) - [Termini di Servizio](https://tajo.io/it/terms) - [Documentazione di Sicurezza](https://tajo.io/it/security) - [Cookie Policy](https://tajo.io/it/cookies) ## Versione del Documento **Versione:** 1.0 **Ultimo Aggiornamento:** Gennaio 2025 **Prossima Revisione:** Luglio 2025 Questo documento viene rivisto e aggiornato regolarmente per garantire la continua conformità alle normative sulla protezione dei dati in evoluzione e alle best practice del settore.