Termini sulla sicurezza dei dati di WhatsApp Business ("Termini sulla sicurezza dei dati")

29 ottobre 2020

I presenti Termini sulla sicurezza dei dati di WhatsApp Business ("Termini sulla sicurezza dei dati") si applicano alla fornitura dei Servizi di WhatsApp Business da parte di WhatsApp all'Utente in conformità con i Termini di WhatsApp Business. I termini in maiuscolo usati ma non definiti nei presenti Termini sulla sicurezza dei dati hanno il significato statuito nei Termini di WhatsApp Business. I presenti Termini sulla sicurezza dei dati descrivono gli standard di sicurezza minimi che WhatsApp applica ai Servizi di WhatsApp Business disponibili ai sensi dei Termini di WhatsApp Business, inclusi i dati inviati dall'Utente a WhatsApp utilizzando i Servizi di WhatsApp Business ("Dati Inclusi").

1. Organizzazione della sicurezza delle informazioni. WhatsApp dispone di personale responsabile della supervisione della sicurezza dei Servizi di WhatsApp Business.
2. Sicurezza fisica e ambientale. Le misure di sicurezza di WhatsApp comprenderanno misure di controllo progettate per garantire con ragionevole certezza che l'accesso fisico alle strutture fisiche per l'elaborazione sotto il controllo di WhatsApp, utilizzate per offrire i Servizi di WhatsApp Business ("Strutture per il Trattamento dei dati"), sia limitato esclusivamente alle persone autorizzate e che siano implementate misure di controllo ambientali per rilevare, prevenire e controllare danni dovuti a pericoli ambientali. Le misure di controllo includono:
   1. registrazione e verifica degli accessi fisici alla Struttura per il Trattamento dei dati da parte di impiegati e appaltatori;
   2. sistemi di sorveglianza con telecamere nella Struttura per il Trattamento dei dati;
   3. sistemi per il monitoraggio e il controllo di temperatura e umidità delle attrezzature informatiche nella Struttura per il Trattamento dei dati;
   4. alimentazione elettrica e gruppi di continuità nella Struttura per il Trattamento dei dati;
   5. procedure per assicurare l'eliminazione digitale e fisica dei dati, ai sensi dei Termini di WhatsApp Business; e
   6. protocolli che prevedono l'utilizzo di documenti d'identità per l'accesso del personale impiegato nei Servizi di WhatsApp Business a tutte le strutture di WhatsApp.
3. Personale
   1. Training. WhatsApp garantisce che il personale che ha accesso a Dati Inclusi sia sottoposto a training sulla sicurezza.
   2. Riservatezza. WhatsApp vincolerà contrattualmente il personale con accesso ai Dati Inclusi a requisiti di riservatezza adeguati. c.
   3. Controlli e verifica dei trascorsi personali. WhatsApp disporrà procedure per:
      1. verificare l'identità del personale che ha accesso ai Dati Inclusi; e
      2. eseguire controlli sui trascorsi, ove consentito dalla legge, sul personale che lavora o supporta aspetti relativi ai Servizi di WhatsApp Business in conformità con gli standard di WhatsApp.
   4. Violazione della sicurezza da parte del personale. WhatsApp adotterà misure disciplinari in caso di accesso non autorizzato ai Dati inclusi da parte del personale di WhatsApp incluse sanzioni fino al licenziamento, ove consentito dalla legge.
4. Test sulla sicurezza. WhatsApp effettuerà regolarmente test sulla sicurezza e sulla vulnerabilità per valutare se le misure di controllo chiave sono state implementate correttamente e sono efficaci.
5. Controllo degli accessi.
   1. Gestione delle password. WhatsApp ha stabilito e manterrà per il proprio personale procedure per la gestione delle password progettate per garantire che le password siano individuali e inaccessibili a persone non autorizzate, includendo come minimo:
      1. il provisioning delle password, incluse le procedure progettate per verificare l'identità dell'utente prima che possa impostare una nuova password, provvisoria o sostitutiva;
      2. la protezione crittografica delle password memorizzate nei sistemi informatici o in transito nella rete;
      3. la modifica delle password predefinite dei fornitori;
      4. password sicure rispetto all'uso previsto; e
      5. l'educazione sulle buone pratiche per le password.
   2. Gestione degli accessi. WhatsApp controllerà e monitorerà anche l'accesso del proprio personale ai propri sistemi utilizzando i seguenti strumenti:
      1. procedure per la modifica e la revoca dei diritti di accesso e degli ID utente, senza indebiti ritardi;
      2. procedure per la segnalazione e la revoca delle credenziali di accesso compromesse (password, token, ecc.);
      3. mantenimento di registri di sicurezza appropriati, inclusi, ove applicabile, userid e timestamp;
      4. sincronizzazione degli orologi con NTP; e
      5. registrazione dei seguenti eventi minimi di gestione degli accessi degli utenti
         • Modifiche alle autorizzazioni;
         • Tentativi di autenticazione e accesso non riusciti e andati a buon fine; e
         • Operazioni di lettura e scrittura.
6. Sicurezza delle comunicazioni
   1. Sicurezza della rete
      1. WhatsApp adotterà tecnologie coerenti con gli standard del settore per la segregazione delle reti.
      2. L'accesso remoto in rete ai sistemi di WhatsApp richiederà una comunicazione crittografata tramite l'uso di protocolli sicuri e l'uso dell'autenticazione a più fattori.
   2. Protezione dei dati in transito
      1. WhatsApp utilizzerà protocolli appropriati progettati per la protezione della riservatezza dei dati in transito sulle reti pubbliche.
7. Gestione delle vulnerabilità. WhatsApp ha istituito e manterrà un programma di gestione delle vulnerabilità che copre i Servizi di WhatsApp Business e che include la definizione dei ruoli e delle responsabilità per il monitoraggio delle vulnerabilità, la valutazione del rischio di vulnerabilità e la distribuzione delle patch.
8. Gestione degli incidenti di sicurezza
   1. Risposta agli incidenti di sicurezza. WhatsApp manterrà un piano di risposta agli incidenti di sicurezza per il monitoraggio, il rilevamento e la gestione di possibili incidenti di sicurezza che riguardano i Dati Inclusi. Il piano di risposta agli incidenti di sicurezza comprende almeno la definizione di ruoli e responsabilità, la comunicazione e le analisi a posteriori, compresi l'analisi delle cause e i piani di correzione.
   2. Monitoraggio. WhatsApp monitorerà eventuali violazioni della sicurezza e attività fraudolente che riguardano i Dati Inclusi.

In caso di conflitto esplicito tra i Termini di WhatsApp Business e i presenti Termini sulla sicurezza dei dati, i Termini di WhatsApp Business prevarranno esclusivamente in relazione all'utilizzo da parte dell'Utente dei Servizi di WhatsApp Business ed esclusivamente con riferimento al conflitto. WhatsApp può aggiornare i presenti Termini sulla sicurezza dei dati di volta in volta per rispecchiare l'evoluzione degli standard di sicurezza.