Informativa
sui servizi Cloud
Scopo e ambito di applicazione
La presente informativa descrive le modalità con cui I.S.I. Line S.r.l. (di seguito “Isiline”) gestisce incidenti, backup, log, cifratura e cambiamenti nell’ambito dei servizi cloud erogati, nonché le attività la cui responsabilità resta in capo al cliente. Isiline opera in qualità di fornitore di servizi cloud (Cloud Service Provider, CSP) e adotta le linee guida ISO/IEC 27017 e ISO/IEC 27018 nell’ambito del proprio Sistema di Gestione per la Sicurezza delle Informazioni conforme a ISO/IEC 27001.
Rientrano nell’ambito di applicazione i seguenti servizi: cloud privato e ibrido (IaaS), posta elettronica e webmail (SaaS), hosting web (SaaS), centralino virtuale (SaaS) e fax server (SaaS).
Quanto qui descritto integra il contratto e i relativi allegati. Qualora il contratto, l’accordo sul trattamento dei dati (DPA) o gli SLA concordati prevedano condizioni specifiche, queste ultime prevalgono.
Ripartizione delle responsabilità tra Isiline e cliente
Le responsabilità in materia di sicurezza sono ripartite in funzione del modello di servizio. Nei servizi SaaS Isiline gestisce la quasi totalità dell’infrastruttura e della piattaforma; nei servizi IaaS il sistema operativo e le applicazioni delle macchine virtuali sono gestiti dal cliente. I dati e i contenuti restano in ogni caso nella disponibilità del cliente.
Ambito | IaaS (cloud privato e ibrido) | SaaS (posta, hosting, centralino, fax) |
Sicurezza fisica del datacenter | Isiline | Isiline |
Connettività di rete | Isiline | Isiline |
Hypervisor e piattaforma di virtualizzazione | Isiline | Isiline |
Sistema operativo delle macchine virtuali | Cliente (Isiline se servizio gestito) | Isiline |
Applicazioni e middleware | Cliente | Isiline per la piattaforma, cliente per i contenuti (es. siti web) |
Dati e contenuti | Cliente | Cliente |
Aggiornamenti di sicurezza | Isiline per la piattaforma, cliente per le macchine virtuali | Isiline, cliente per eventuali plugin del CMS utilizzato per il sito |
Backup | Isiline | Isiline |
Log e monitoraggio | Isiline per la piattaforma, cliente per le macchine virtuali | Isiline |
Cifratura e chiavi | Condivisa | Isiline |
Gestione degli incidenti | Condivisa | Condivisa |
Le sezioni che seguono illustrano in dettaglio gli ambiti operativi riportati nella tabella.
Gestione degli incidenti
Isiline comunica al cliente le violazioni dei suoi dati personali senza ingiustificato ritardo e comunque entro 24 ore dalla scoperta. Gli ulteriori incidenti che interessano il cliente sono gestiti secondo una procedura documentata, comprensiva degli obblighi di notifica previsti dalla normativa NIS2 (D.Lgs. 138/2024).
Isiline si impegna a:
- monitorare la piattaforma al fine di rilevare anomalie, usi non autorizzati e abusi, e gestire le segnalazioni ricevute;
- contenere l’incidente, ripristinare il servizio e informare il cliente interessato tramite i canali di contatto comunicati in fase di sottoscrizione del contratto;
- in caso di violazione di dati personali, fornire al cliente le informazioni necessarie per i suoi adempimenti come titolare del trattamento (art. 33 e 34 GDPR);
- supportare le indagini del cliente mettendo a disposizione log ed evidenze, nei limiti previsti dal contratto.
Il cliente è tenuto a:
- segnalare tempestivamente a Isiline anomalie o sospetti incidenti tramite i recapiti indicati nella sezione Contatti;
- nei servizi IaaS, gestire gli incidenti interni alle proprie macchine virtuali, con il supporto di Isiline per la parte di piattaforma;
- valutare ed effettuare le notifiche di propria competenza nei confronti delle autorità e degli interessati.
Backup e continuità del servizio
Ciascun servizio comprende un backup di base con cadenza giornaliera e 7 punti di ripristino. Esigenze differenti possono essere soddisfatte mediante una configurazione dedicata, definita contrattualmente.
La continuità operativa è assicurata da un sito di disaster recovery in Italia, gestito secondo il piano aziendale di continuità operativa e disaster recovery.
Spetta al cliente verificare che il backup di base sia adeguato alla criticità dei propri dati e, in caso contrario, richiedere una configurazione dedicata o mantenere copie aggiuntive sotto il proprio controllo.
Raccolta dei log e monitoraggio
Isiline registra e monitora gli eventi della piattaforma. Il cliente controlla l’utilizzo del servizio da parte dei propri utenti tramite il pannello web e, nei servizi IaaS, gestisce i log interni alle proprie macchine virtuali.
Isiline si impegna a:
- raccogliere i log di piattaforma (infrastruttura di virtualizzazione, rete, servizi di posta, hosting, centralino e fax) e conservarli per massimo un anno;
- registrare gli accessi del proprio personale ai sistemi e ai dati dei clienti, che avvengono esclusivamente con utenze nominative e per esigenze di erogazione del servizio o su richiesta del cliente;
- analizzare log e allarmi al fine di individuare anomalie, abusi e usi non autorizzati;
- mettere a disposizione del cliente, su richiesta, log ed evidenze relativi ai servizi di sua pertinenza, nei limiti previsti dal contratto.
Il cliente è tenuto a:
- monitorare tramite il pannello web l’utilizzo del servizio da parte dei propri utenti, ad esempio l’occupazione delle caselle di posta o le risorse usate dalla propria istanza web;
- nei servizi IaaS, attivare e conservare i log del sistema operativo e delle applicazioni delle proprie macchine virtuali, salvo il caso di servizio gestito.
Cifratura e gestione delle chiavi
I dati dei clienti sono cifrati in transito sulle reti pubbliche e a riposo sui dischi virtuali. Le chiavi di cifratura della piattaforma sono generate, custodite e gestite da Isiline.
Nei servizi IaaS la cifratura costituisce una responsabilità condivisa: il cliente ha facoltà di adottare ulteriori meccanismi di cifratura all’interno delle macchine virtuali o delle applicazioni, con chiavi gestite in autonomia. In tal caso la custodia e il recupero di tali chiavi restano a carico del cliente.
Nei servizi SaaS il cliente concorre alla protezione dei dati in transito utilizzando i protocolli cifrati messi a disposizione, ad esempio configurando i client di posta elettronica con connessioni protette.
Gestione dei cambiamenti e manutenzioni
Le modifiche suscettibili di avere impatto sui clienti, ivi comprese le manutenzioni programmate, sono comunicate a mezzo posta elettronica con un preavviso di almeno 7 giorni. Ogni modifica significativa ai servizi è preventivamente valutata anche sotto il profilo della sicurezza.
Gli interventi urgenti a tutela della sicurezza o della continuità del servizio possono essere svolti con preavviso ridotto e sono comunicati utilizzando i canali di contatto comunicati in fase di sottoscrizione del contratto.
Le variazioni relative ai sub-fornitori che trattano dati personali o ai luoghi di trattamento sono comunicate preventivamente, al fine di consentire al cliente di opporsi o di recedere dal contratto.
Il cliente è tenuto a mantenere aggiornati i propri referenti e indirizzi di posta elettronica per le comunicazioni tecniche e a pianificare le proprie attività tenendo conto delle finestre di manutenzione comunicate.
Localizzazione dei dati, sub-fornitori e cessazione del contratto
I dati dei clienti sono trattati e conservati esclusivamente in Italia, nel datacenter principale di Saluzzo (CN) e nel sito di disaster recovery.
- Isolamento tra clienti. I dati, le macchine virtuali, lo storage e la rete di ciascun cliente sono separati logicamente da quelli degli altri clienti e dall’ambiente interno di Isiline.
- Sub-fornitori. I sub-fornitori che trattano dati personali dei clienti sono comunicati prima del loro impiego e vincolati a misure di sicurezza equivalenti.
- Cessazione del contratto. Su richiesta esplicita del cliente, Isiline restituisce i dati in formato archivio gzip entro 30 giorni e provvede successivamente alla loro cancellazione sicura, anche dai backup, entro 7 giorni, rilasciando apposita attestazione su richiesta. Gli spazi di archiviazione sono sottoposti a pulizia prima di essere riassegnati.
- Protezione dei dati personali. Isiline opera in qualità di responsabile del trattamento ai sensi dell’art. 28 GDPR: tratta i dati esclusivamente secondo le istruzioni documentate del cliente, non li utilizza per finalità di marketing o pubblicità e notifica al cliente le richieste di accesso delle autorità, salvo divieto di legge. Tali impegni sono formalizzati nell’accordo sul trattamento dei dati (DPA) allegato al contratto.
Contatti e revisione dell'informativa
|
Esigenza |
Contatto |
|
Segnalazione di incidenti e richieste di assistenza |
supportohosting@isiline.net |
|
Richieste di log, ripristini e restituzione dei dati |
supportohosting@isiline.net |
|
Protezione dei dati personali |
dpo@isiline.net |
La presente informativa è riesaminata da Isiline almeno con cadenza annuale, in occasione dell’introduzione di nuovi servizi cloud e in caso di cambiamenti significativi.
Versione 1 – 30/10/2026.