Per i Suoi acquisti e la gestione contrattuale
Questa pagina descrive che cosa ci assumiamo contrattualmente, come si svolge la configurazione e quali documenti riceve da noi.
Legga come sono regolati accesso, archiviazione e registrazione
Che cosa ci assumiamo
Ogni punto è verificabile: nell’accordo sul trattamento dei dati, nel certificato, oppure nell’ambiente stesso.
L’ambiente
Il Suo ambiente è autonomo, su un server dedicato con un proprio database, protetto da IP whitelisting. Non vi sono dati di altre organizzazioni.
Il trattamento
Il trattamento nel Suo ambiente resta nei Paesi Bassi e non esce dallo Spazio economico europeo, nemmeno tramite un sub-responsabile.
Il registro di controllo
Il registro di controllo non può essere disattivato. Ogni interrogazione, ogni riscontro e ogni apertura di un fascicolo vengono registrati, e non si tratta di un’impostazione che Lei o noi possiamo modificare. Se elimina un fascicolo, tutto ciò che vi appartiene se ne va con esso, compreso il suo registro.
Ricostruibilità
Quando Lei chiude un’indagine archiviamo la relazione e fissiamo il materiale sottostante, così che anni dopo possa essere mostrato com’era allora.
Ripetibilità
Il sistema è deterministico e non impara dai fascicoli precedenti. Ogni segnalazione è riconducibile alla regola che l’ha generata, quindi anche fra due anni si può spiegare perché allora è scattata. Se modifica quelle regole, l’esito cambia, e anche questo è visibile.
Certificazione
Il nostro sistema di gestione della sicurezza delle informazioni è certificato ISO 27001 per lo sviluppo e l’hosting di Noctua. Manteniamo tale certificazione per tutta la durata del Suo contratto, con verifica periodica da parte di un ente accreditato.
Se Lei smette
Lei decide che cosa accade ai dati: trasferimento in una forma concordata con Lei, oppure distruzione. Dopodiché il server viene eliminato, ed entro sette giorni scadono anche i backup.
Contatto
Ha un referente fisso. Il supporto e le modifiche alle Sue segnalazioni o ai diritti passano da quella persona, non da uno sportello che cambia.
Che cosa resta a Lei. Il fondamento giuridico, il termine di conservazione e chi ha accesso. La ponderazione di ogni segnalazione. La decisione e la motivazione che la sorregge. Questo non lo assumiamo noi, e non potremmo: l'accertamento dei fatti spetta alla Sua organizzazione.
Dalla firma al funzionamento
La configurazione consiste in scelte che la Sua organizzazione compie e che noi mettiamo per iscritto. Entro quattro settimane è pronto un ambiente di produzione in cui i Suoi utenti possono accedere. In quest’ordine:
- Che cosa può interrogare. Quali fonti Le sono accessibili discende dal Suo fondamento giuridico e dagli accordi che vi stanno alla base. Lo stabiliamo insieme, prima che venga configurato alcunché.
- L’accordo sul trattamento dei dati. Il modello standard della VNG, l’associazione dei comuni olandesi, oppure quello della Sua organizzazione.
- Il Suo ambiente. Un server dedicato con un proprio database, protetto da IP whitelisting, in modo che l’ambiente non sia raggiungibile da terzi. Se sceglie l’hosting sulla Sua infrastruttura, lo configuriamo insieme al Suo reparto IT e la pianificazione passa dalla Sua organizzazione.
- I motivi della Sua policy. Quali settori, motivi e soglie conducono ad approfondimenti lo configuriamo insieme al Suo team, così che quanto sta nel sistema corrisponda a quanto la Sua organizzazione ha stabilito.
- Il modello di relazione. Configurato sulla Sua organizzazione e, dove deve poter trasferire un fascicolo, impostato con la motivazione che lo accompagna.
- Collegare le fonti. Lei fornisce il certificato PKIoverheid della Sua organizzazione e noi lo installiamo sul server, così che le interrogazioni avvengano sotto il Suo fondamento giuridico. Se non ne ha ancora uno, La aiutiamo nella richiesta. All’accesso ai registri commerciali pensiamo noi.
- Facoltativo: single sign-on. Qui entra in gioco il Suo reparto ICT, non per l'uso in sé. Ciò di cui ha bisogno è pronto da noi; una volta ricevuti quei dati, dalla nostra parte è sistemato rapidamente.
Che cosa ci serve da Lei lo decide la Sua organizzazione:
- Quali segnalazioni desidera e su che cosa: le soglie, i codici SBI (la classificazione olandese delle attività) e gli altri motivi che discendono dalla Sua regola di policy.
- Chi lavorerà con la piattaforma, per utenti e reparti.
- Chi può consultare, modificare e chiudere che cosa, per reparto o per utente.
I documenti
Sono disponibili:
- L'accordo sul trattamento dei dati
- Il certificato ISO 27001 con la dichiarazione di applicabilità
- La documentazione per la Sua DPIA
- Il nostro allegato per il registro dei trattamenti
- Il modello di SLA, a cui si applicano le GIBIT 2020
Inviamo il set dopo un breve colloquio, così da sapere quali parti si applicano alla Sua organizzazione. Da quel momento il set è Suo e lo distribuisce internamente come preferisce.
Costi
Esiste un pacchetto per organizzazioni piccole, medie e grandi. Un comune di ventimila abitanti non acquista lo stesso di una delle quattro città maggiori, e non paga nemmeno lo stesso. Un budget limitato non è quindi un motivo per non avviare il colloquio.
Che cosa acquista esattamente varia inoltre da organizzazione a organizzazione: il numero di utenti, le fonti per cui è competente e se lavora sulla nostra infrastruttura o sulla Sua. Per questo su questo sito non c’è alcun listino. Quanto sarà nella Sua situazione, e che cosa significa per la procedura da seguire, lo esaminiamo nel colloquio.
Ci invii il Suo capitolato
Ha un capitolato tecnico, un questionario o una bozza di bando? Lo riceve indietro per iscritto, con risposta requisito per requisito e rinvio al documento che la sostiene. Dove non soddisfiamo un requisito, lo indichiamo.