Violazione dei Dati Personali

PROCEDURA DI RISPOSTA ALLA VIOLAZIONE DEI DATI PERSONALI DI YOUSIZER.COM

04.01.2026

1. DEFINIZIONI E ABBREVIAZIONI

La presente Procedura di risposta alla violazione dei dati personali

("Procedura"),www.yoursizer.comLa presente Procedura è stata predisposta da Yoursizer.com ("Società" o "Titolare del trattamento dei dati"), con sede legale in [indirizzo], in conformità alle disposizioni della Legge n. 6698 sulla Protezione dei Dati Personali (KVKK) e della relativa normativa secondaria. È di fondamentale importanza chiarire i termini tecnici e giuridici utilizzati nella presente Procedura al fine di creare una comprensione comune per tutte le parti interessate. Di seguito, i termini e le abbreviazioni chiave utilizzati nell'ambito della presente Procedura sono spiegati in conformità alle disposizioni della normativa pertinente, in particolare all'articolo 3 del KVKK:

• •Anonimizzazione:Il trattamento dei dati personali si riferisce al trattamento dei dati personali in modo tale che non possano essere associati a una persona fisica identificata o identificabile, anche se combinati con altri dati. Nel caso specifico di Yoursizer.com, ciò include la recisione irreversibile del collegamento all'identità, in particolare per i dati utilizzati per il

miglioramento degli algoritmi e per scopi di ricerca aggregata.

• •Dati biometrici:Ai sensi dell'articolo 6 della legge sulla protezione dei dati personali, i dati personali che servono a distinguere in modo univoco la corporatura di una persona, come altezza, lunghezza delle gambe, circonferenza della vita, larghezza delle spalle, circonferenza del torace e dei fianchi, sono considerati categorie speciali di dati personali.Informazioni sulle dimensioni consigliateSi riferisce, ad esempio, alle misurazioni fisiche del corpo. Questi dati sono informazioni sensibili che distinguono una persona dagli altri e la rendono identificabile.

• •Avatar 3D:Un avatar è un modello digitale tridimensionale che rappresenta le caratteristiche fisiche di una persona, generato dai nostri algoritmi a partire dalle misure corporee dell'utente. Questo avatar è una rappresentazione unica creata attraverso l'elaborazione di dati biometrici ed è considerato una categoria di dati personali sensibili.

• •Referente:Si riferisce alla persona fisica i cui dati personali vengono trattati. Nel caso specifico di Yoursizer.com, ciò include gli utenti della piattaforma, i visitatori del sito web e altre persone fisiche che beneficiano dei nostri servizi.

• •Dati personali:Per dati personali si intendono tutte le informazioni relative a una persona fisica identificata o identificabile. Come sottolineato nella sentenza della XII Sezione Penale della Corte Suprema d'Appello, n. 2020/1085 E., 2022/5406 K., sono considerati dati personali tutte le informazioni che identificano o rendono identificabile una persona, la distinguono dagli altri individui nella società e sono idonee a rivelarne le caratteristiche, come informazioni demografiche, precedenti penali, luogo di residenza, livello di istruzione, professione, dati bancari, numero di telefono, indirizzo e-mail, gruppo sanguigno, stato civile, impronte digitali, DNA, campioni biologici come capelli, saliva e unghie, orientamento sessuale e morale, origine etnica, opinioni politiche, filosofiche e religiose e affiliazioni sindacali, che una persona non rivela a terzi non autorizzati ma condivide con una cerchia ristretta su richiesta.

• •Violazione dei dati personali (Data Breach):Il trattamento dei dati personali si riferisce a situazioni in cui i dati personali vengono ottenuti, divulgati, consultati, alterati, cancellati,

distrutti o danneggiati da altri con mezzi illeciti. Ai sensi dell'articolo 12/5 della Legge sulla protezione dei dati personali, il titolare del trattamento ha l'obbligo di notificare qualora venga rilevata una situazione del genere.

• •Asse:Si riferisce al Comitato per la protezione dei dati personali, che è l'organo decisionale dell'Autorità per la protezione dei dati personali (KVKK, articolo 19).

• •Dati personali di categoria speciale:I dati personali sono informazioni relative alla razza, all'origine etnica, alle opinioni politiche, alle convinzioni filosofiche, alla religione, alla setta o ad altre convinzioni, all'aspetto e all'abbigliamento di una persona, all'appartenenza ad associazioni, fondazioni o sindacati, alla salute, alla vita sessuale, alle condanne penali e alle misure di sicurezza, nonché ai dati biometrici e genetici (articolo 6/1 del KVKK). I dati biometrici, in questo ambito, sono altamente sensibili e considerati categorie particolari di dati personali.

• •Titolare del trattamento dei dati:Si riferisce alla persona fisica o giuridica che determina le finalità e i mezzi del trattamento dei dati personali ed è responsabile dell'istituzione e della gestione del sistema di registrazione dei dati (articolo 3/ı del KVKK). Nell'ambito della presente Procedura, si riferisce a Yoursizer.com.

• •Responsabile del trattamento dei dati:Si riferisce alla persona fisica o giuridica che tratta i dati personali per conto del titolare del trattamento, sulla base dell'autorità conferita dal titolare del trattamento (articolo 3/ğ del Codice della Privacy). In questo ambito possono essere considerate terze parti, come i fornitori di infrastrutture cloud e i fornitori di servizi di analisi, di cui Yoursizer.com si avvale.

• •VITE:È l'abbreviazione di Data Breach Response Team.

2. TEAM DI RISPOSTA ALLA VIOLAZIONE DEI DATI (VIME) E RESPONSABILITÀ

Presso Yoursizer.com abbiamo istituito un Data Breach Response Team (VIME) interdisciplinare per garantire una risposta rapida, coordinata ed efficace in caso di violazione dei dati. Questo team interviene sin dal momento in cui viene rilevata una violazione, gestendo i processi di contenimento dell'incidente, mitigandone gli effetti e garantendo la piena conformità agli obblighi di legge. Il numero dei membri del team e le loro responsabilità possono essere ampliati o ridotti a seconda della complessità e dell'entità dell'incidente.

2.1. Struttura e membri principali di VIME:VIME è composta dai seguenti membri principali e, se necessario, può essere ampliata con consulenti esterni:

• •Rappresentante della direzione aziendale (CEO/CTO):

• •Fornisce il coordinamento generale e la direzione strategica per il processo di risposta alle violazioni.

• •Hanno l'autorità suprema nel prendere decisioni critiche.

• •Approva le notifiche e le dichiarazioni pubbliche da presentare al Consiglio. ● Garantisce la rapida allocazione delle risorse necessarie (finanziarie, umane). ● Responsabile tecnico (CTO/Responsabile DevOps):

• •Sono responsabili dell'individuazione tecnica, della verifica e della determinazione dell'entità della violazione.

• •Coordina l'isolamento dei sistemi interessati, la correzione delle vulnerabilità, il ripristino del sistema e le indagini forensi digitali.

• •Prepara analisi dei log e relazioni tecniche.

• •Collabora con esperti di sicurezza informatica e altri team tecnici.

• •Responsabile della conformità legale/GDPR:
• •Monitora la conformità del processo di risposta alle violazioni alla legge sulla protezione dei dati personali (KVKK) e alla legislazione correlata.

• •Regolamenta il contenuto legale e la tempistica delle notifiche al Consiglio e ai soggetti interessati.

• •Valuta i potenziali rischi legali e fornisce la necessaria consulenza legale. ● Si coordina con i consulenti legali stranieri.

• •Responsabile Marketing/Comunicazioni:

• •Collabora con l'ufficio legale nella preparazione di testi informativi per i soggetti interessati.

• •Gestisce la comunicazione con il pubblico e i media quando necessario.

• •Sviluppa strategie per proteggere la reputazione del marchio e la percezione pubblica.

2.2. Elenco dei contatti per la risposta agli incidenti e albero delle chiamate di emergenza:Le identità e le informazioni di contatto dei membri VIME e dei consulenti esterni (società di sicurezza informatica, consulenti legali esterni, supporto PR/comunicazioni) sono conservate in documenti ad accesso limitato, denominati "Elenco dei contatti per la risposta agli incidenti" e "Albero delle chiamate di emergenza", all'interno dell'azienda, per impedire accessi non autorizzati. L'accesso a questi elenchi è generalmente limitato al senior management, al responsabile GDPR/conformità e al responsabile tecnico/responsabile DevOps. Gli elenchi vengono controllati periodicamente (almeno ogni 6 mesi) per verificarne l'attualità e aggiornati immediatamente in caso di modifiche. Questi meccanismi mirano a ridurre al minimo i tempi di risposta garantendo una comunicazione rapida e ininterrotta in caso di violazione.

2.3. Coordinamento con consulenti esterni:A seconda della natura e dell'entità dell'incidente, VIME può coordinarsi con esperti esterni di sicurezza informatica, società di analisi forense digitale, consulenti legali esterni e agenzie di pubbliche relazioni/comunicazione. Questi stakeholder esterni forniscono supporto a VIME nelle loro aree di competenza, contribuendo all'esecuzione professionale e completa del processo di risposta alla violazione. Gli obblighi di sicurezza dei dati, riservatezza e notifica delle violazioni sono chiaramente indicati in tutti i contratti con i fornitori di servizi esterni. Ai sensi dell'articolo 12/2 della KVKK (Legge sulla protezione dei dati personali), il titolare del trattamento è responsabile congiuntamente con un'altra persona fisica o giuridica per l'adozione delle misure necessarie quando i dati personali vengono trattati per suo conto.

3. RILEVAMENTO DELLE VIOLAZIONI DEI DATI E PROCESSO DI VALUTAZIONE INIZIALE

Una gestione efficace delle violazioni dei dati dipende principalmente dalla loro individuazione rapida e accurata, seguita da una valutazione iniziale e da misure di risposta immediate. In Yoursizer.com, gestiamo questi processi attraverso le seguenti fasi:

3.1. Segnalazione di una sospetta violazione e apertura di un registro degli incidenti:Il sospetto di una violazione dei dati può provenire da diverse fonti:

• •Anomalie del registro di sistema:Accessi anomali, trasferimenti di dati non autorizzati o comportamenti del sistema rilevati dai sistemi di gestione degli eventi e delle informazioni di sicurezza (SIEM).

• •Reclami degli utenti:Attività sospette nei conti degli individui interessati, accuse di divulgazione di dati personali o segnali di furto di identità.

• •Avvisi di terze parti:Segnalazioni di violazioni effettuate da ricercatori di sicurezza, partner commerciali o altre organizzazioni.
• •Audit interni:Vulnerabilità critiche di sicurezza identificate durante audit di sicurezza periodici o scansioni di vulnerabilità. In caso di sospetta violazione, il personale competente ne informa immediatamente VIME e viene aperto un registro dell'incidente tramite il "Sistema di Gestione degli Incidenti". Tale registro deve includere l'ora di inizio dell'incidente, le modalità di rilevamento, la persona che lo ha segnalato e le osservazioni iniziali.

3.2. Strategie di verifica tecnica iniziale e isolamento:Dopo l'apertura di un rapporto di incidente, il Chief Technical Officer (CTO/DevOps Officer) e il team tecnico competente adottano le seguenti misure per verificare rapidamente la sospetta violazione:

• •Verifica:Vengono esaminati i registri, le metriche di sistema, gli avvisi di sicurezza e lo stato dei sistemi interessati per determinare la realtà e la natura della violazione. Vengono valutati scenari quali accesso non autorizzato, fuga di dati, dispositivi smarriti e uso improprio dei dati.

• •Misure di isolamento e di emergenza:Per arrestare la diffusione della violazione e ridurre al minimo i potenziali danni, vengono implementate strategie di isolamento di emergenza. Queste strategie possono includere:

• •Interruzione dell'accesso:Gli account o le chiavi che risulteranno essere stati utilizzati senza autorizzazione verranno immediatamente revocati.

• •Segmentazione del sistema:I sistemi interessati vengono isolati dagli altri sistemi critici o dalla rete generale tramite la segmentazione della rete (isolamento VPC). ● Sospensione/restrizione del servizio:Sospendere o limitare temporaneamente l'accesso al servizio che ha causato la violazione.

• •Rotazione delle password:Tutte le password di sistema e le chiavi API che potrebbero essere state interessate dalla violazione verranno ruotate.

• •Regole del firewall:Blocco del traffico proveniente da indirizzi IP sospetti mediante regole firewall.

• •L'obiettivo: fermare la diffusione:L'obiettivo principale di queste misure di risposta iniziali è limitare la portata della violazione, prevenire ulteriori perdite di dati o accessi non autorizzati e proteggere l'integrità del sistema. La sentenza dell'XI Sezione Civile della Corte Suprema, n. 2024/229 E., 2024/5935 K., ha inoltre affermato che la mancata implementazione da parte delle banche di adeguate misure di sicurezza nella propria infrastruttura Internet costituisce negligenza. Ciò dimostra chiaramente la responsabilità tecnica del titolare del trattamento dei dati nel prevenire e arrestare la diffusione delle violazioni.

3.3. Determinazione dell'ambito interessato:Parallelamente alle fasi di isolamento, si cerca di determinare rapidamente le categorie di dati interessate dalla violazione, il numero stimato di persone coinvolte, i sistemi interessati e l'intervallo temporale della violazione. Queste informazioni sono fondamentali per i successivi processi di analisi del rischio e notifica.

4. CLASSIFICAZIONE DELLE VIOLAZIONI E ANALISI DEL RISCHIO

Dopo il rilevamento di una violazione dei dati e le fasi iniziali di isolamento, viene condotta un'analisi completa del rischio per determinare la gravità dell'incidente e il suo potenziale impatto sulle persone interessate. Questa analisi costituisce la base per definire la strategia di risposta, gli obblighi di notifica e le misure da adottare. Yoursizer.com classifica le potenziali violazioni all'interno della seguente matrice di rischio:

4.1. Matrice di classificazione del rischio:

4.2. Criteri di analisi del rischio:Nella classificazione delle violazioni vengono attentamente valutati i seguenti criteri:

• •Categoria di dati interessati:Il livello di sensibilità dei dati. In particolare.dati biometrici (misure corporee, avatar 3D)Ai sensi dell'articolo 6 della KVKK (Legge sulla protezione dei dati personali), si tratta di categorie particolari di dati personali e la loro violazione è direttamente classificata come "ad alto rischio". Questo perché, come affermato nei precedenti della Corte Suprema, questi dati sono informazioni sensibili che identificano o rendono identificabile un individuo, lo distinguono dagli altri individui nella società e sono idonee a rivelarne le caratteristiche. Anche i dati finanziari (informazioni di pagamento), l'identità e le informazioni di contatto presentano un potenziale di rischio elevato.

• •Numero di persone colpite:Il livello di rischio aumenta all'aumentare del numero di individui interessati dalla violazione.

• •Natura e portata della violazione:Quali azioni hanno interessato i dati, come l'accesso non autorizzato, la copia, la modifica, la cancellazione o la distruzione? Quanto è durata la violazione e quanto è estesa l'area geografica interessata.
• •Possibili conseguenze della violazione:Gli individui coinvolti potrebbero subire danni tangibili e gravi, come furto di identità, frode, discriminazione, danni alla reputazione e perdite finanziarie.

• •Livello di protezione dei dati:Indipendentemente dal fatto che i dati compromessi siano stati crittografati, mascherati o resi anonimi, tali misure di protezione possono ridurre il livello di rischio.

• •Capacità del Titolare del trattamento di controllare:La rapidità con cui la violazione è stata posta sotto controllo e l'efficacia delle misure adottate per impedirne il ripetersi.

Questa analisi dei rischi viene completata rapidamente da VIME, consentendo lo sviluppo di un piano di risposta e di una strategia di notifica adeguati in base alla gravità dell'incidente.

5. INTERVENTO OPERATIVO E MIGLIORAMENTO DEL SISTEMA

Per ridurre al minimo l'impatto della violazione dei dati e ripristinare la sicurezza del sistema, il team tecnico di VIME sta implementando rapidamente e in modo coordinato processi di risposta operativa e di ripristino. Questi processi includono fasi che vanno dal contenimento della violazione all'implementazione di soluzioni permanenti.

5.1. Correzione della vulnerabilità e ripristino della sicurezza del sistema:

• •Analisi della causa principale (RCA):Viene condotta un'analisi dettagliata delle cause profonde (RCA) per determinare la causa sottostante la violazione (ad esempio, vulnerabilità del software, configurazione errata, accesso non autorizzato, errore umano). Questa analisi è fondamentale per prevenire violazioni simili in futuro. La sentenza dell'VIII Sezione Penale della Corte Suprema, numero 2019/7710 E., 2019/13426 K., ha inoltre criticato le autorità investigative per non aver raccolto prove sufficienti e non aver determinato la causa dell'incidente; ciò rafforza la responsabilità del titolare del trattamento dei dati di identificare e affrontare la causa profonda della violazione.

• •Patching delle vulnerabilità:La vulnerabilità identificata (ad esempio, un bug software, una falla di sicurezza) viene immediatamente corretta. Questo avviene applicando patch di sicurezza, apportando modifiche al codice o aggiornando le configurazioni di sistema.

• •Rotazione password/chiave:Tutte le password utente, le password di sistema, le chiavi API e le chiavi di crittografia eventualmente interessate dalla violazione verranno immediatamente ruotate. Agli utenti verrà chiesto di modificare le proprie password.

• •Rafforzamento dei controlli di accesso:Le policy di controllo degli accessi basato sui ruoli (RBAC) vengono riviste, le autorizzazioni vengono ridefinite e l'uso dell'autenticazione a più fattori (MFA) viene reso obbligatorio per gli accessi critici. Ai sensi dell'articolo 12 della legge turca sulla protezione dei dati personali (KVKK), il titolare del trattamento è tenuto ad adottare tutte le misure tecniche e amministrative necessarie per garantire un livello di sicurezza adeguato e impedire l'accesso illecito ai dati personali. La giurisprudenza indica inoltre che la mancanza di tali misure può comportare sanzioni amministrative.

• •Miglioramenti del sistema:Le regole del firewall (WAF) vengono aggiornate, le policy di segmentazione della rete vengono rafforzate e i sistemi di monitoraggio/avviso vengono resi più sofisticati.

5.2. Ripristino dai backup e riavvio del servizio:

• •Controllo dell'integrità dei dati:L'integrità e l'accuratezza dei dati interessati vengono verificate. Se viene rilevata una perdita o un danneggiamento dei dati, viene sviluppato un piano di ripristino a partire da backup sicuri e puliti.

• •Ripristinare:I sistemi o i database interessati vengono ripristinati utilizzando i backup più aggiornati e sicuri. Le strategie di backup sono progettate per garantire un ripristino rapido e affidabile in caso di violazione dei dati (vedere la Politica di conservazione e distruzione).

• •Lancio graduale del servizio:Una volta ripristinati i sistemi in sicurezza e risolte tutte le vulnerabilità, il servizio verrà gradualmente riavviato sotto stretto monitoraggio. Le misure iniziali potrebbero includere la limitazione dell'accesso o la disabilitazione di alcune funzionalità.

5.3. Obiettivi temporali:La tempistica è fondamentale nei processi di risposta operativa. Yoursizer.com adotta i seguenti obiettivi temporali:

• •Misure di isolamento iniziale e di emergenza:A seguito del rilevamento di una sospetta violazioneentro le prime oreÈ completato. L'obiettivo è fermare immediatamente la diffusione della violazione.

• •Valutazione dell'ambito/rischio e rendicontazione iniziale:Valutazione iniziale relativa alla portata della violazione, alle categorie di dati interessate e al numero di persone coinvolte,entro le prime 24-48 oreCiò è chiarito. Ciò costituisce la base per la determinazione degli obblighi di notifica.

• •Patching delle vulnerabilità e ripristino del sistema:A seconda della gravità dell'incidente, la vulnerabilità potrebbe essere corretta e i sistemi potrebbero essere ripristinati in modo sicuro.entro pochi giorniSi prevede che venga completato.

• •Azioni correttive e preventive permanenti:Una volta completata l'analisi delle cause profonde, verranno implementati miglioramenti tecnici e amministrativi permanenti per impedire che simili violazioni si ripetano in futuro.nelle settimane successive alla chiusura dell'incidenteÈ pianificato e attuato.

Questi passaggi mirano a ridurre al minimo l'impatto operativo della violazione dei dati, ripristinando al contempo la sicurezza del sistema e l'integrità dei dati il più rapidamente possibile.

6. OBBLIGHI E PROCEDURA DI NOTIFICA

In caso di violazione dei dati personali, l'obbligo del titolare del trattamento di notificare la violazione all'Autorità Garante per la Protezione dei Dati Personali (Autorità) e agli interessati è espressamente disciplinato dall'articolo 12, paragrafo 5, della KVKK (Legge sulla Protezione dei Dati Personali). Le procedure e i principi per tali notifiche sono dettagliati nella Decisione n. 2019/10 dell'Autorità sulla "Notifica di Violazione dei Dati". Yoursizer.com segue le procedure di seguito riportate per adempiere a tali obblighi in modo completo e tempestivo:

6.1. Notifica al Consiglio:

• •Periodo di notifica:Se i dati personali oggetto del trattamento vengono ottenuti da altri con mezzi illeciti, il titolare del trattamento è tenuto a segnalare tale situazione.appena possibilee, ove applicabile, dalla data in cui si è avuta conoscenza della violazioneEntro 72 oreLa notifica viene inoltrata al Consiglio (articolo 12/5 del KVKK). Tale termine decorre dal momento in cui la violazione è definitivamente accertata o sorge il sospetto di una violazione

con fondati elementi di prova. In caso di ritardo, i motivi giustificabili di tale ritardo vengono registrati in dettaglio e indicati nella notifica.

• •Contenuto dell'annuncio:La notifica al Consiglio di Amministrazione deve essere effettuata compilando il "Modulo di Notifica di Violazione dei Dati" pubblicato dal Consiglio di Amministrazione. Tale modulo deve contenere almeno le seguenti informazioni: ● Data della violazione e ora in cui è stata rilevata.

• •La natura della violazione (ad esempio, accesso non autorizzato, fuga di dati, perdita). ● Categorie di dati interessati (ad esempio, identità, contatto, dati biometrici, finanziari).

• •Numero stimato di persone colpite.

• •Le potenziali conseguenze della violazione (ad esempio, rischio di furto di identità). ● Misure adottate o previste dal titolare del trattamento.

• •Consigli che gli interessati possono seguire per proteggersi.

• •Canali di contatto che le parti interessate possono utilizzare.

• •Formato di notifica:La notifica al Consiglio deve essere effettuata tramite il portale online o altri canali di comunicazione elettronica designati dal Consiglio.

6.2. Notifica all'interessato:

• •Obbligo di notifica:Notifica alle parti interessate, l'impatto della violazione sulle parti interessatealto rischioIn tal caso, l'azione viene intrapresa senza indugio (articolo 12/5 del KVKK). Situazioni come la divulgazione di dati biometrici (misure corporee, avatar 3D), il furto di identità o la frode sono considerate "ad alto rischio".

• •Contenuto dell'annuncio:La notifica ai soggetti interessati è redatta in un linguaggio più semplice e comprensibile rispetto alla notifica al Consiglio di Amministrazione. Dovrebbe includere almeno le seguenti informazioni:

• •Riepilogo e natura della violazione.

• •Quali dati personali sono stati interessati.

• •Le potenziali conseguenze della violazione su se stessi.

• •Misure adottate dal titolare del trattamento.

• •Misure che possono adottare per proteggere i propri dati personali (ad esempio, modificando le password, controllando l'attività dell'account).

• •Canali di applicazione e comunicazione (e-mail, linea di supporto).

• •Formato di notifica:La notifica ai soggetti interessati avviene tramite canali di comunicazione appropriati, come e-mail, SMS, annunci in-app o notifiche personali tramite la piattaforma. In conformità con l'articolo 10/1-d della Legge sulla protezione dei dati personali (KVKK), che impone di informare i soggetti interessati sui loro diritti, la presente notifica riguarda anche tali diritti.

• •Notifica in caso di trasferimento internazionale:In caso di violazioni che si verificano durante il trasferimento di dati personali all'estero, il titolare del trattamento adempie ai propri obblighi di notifica al Consiglio e alle persone interessate nell'ambito delle responsabilità in materia di sicurezza del trasferimento ai sensi dell'articolo 9 della KVKK (Legge sulla protezione dei dati personali). Anche il responsabile del trattamento a cui vengono trasferiti i dati è tenuto a notificare la violazione al titolare del trattamento. Ai sensi dell'articolo 12/2 della KVKK, il titolare del trattamento è responsabile in solido con il responsabile del trattamento.

6.3. Distribuzione graduale delle notifiche:In alcuni casi, potrebbe non essere possibile accertare appieno tutti i dettagli della violazione entro 72 ore. In tali casi, il Titolare del trattamento informerà il Consiglio di Amministrazione con una notifica parziale basata sulle informazioni ottenute e fornirà informazioni supplementari con notifiche aggiuntive il prima possibile. Questo approccio è coerente con le aspettative del Consiglio di Amministrazione in termini di trasparenza e tempestività della notifica.

7. MONITORAGGIO DELLE MISURE TECNICHE E AMMINISTRATIVE PREVENTIVE

L'efficacia di una procedura di risposta alle violazioni dei dati è garantita non solo dalle misure reattive adottate al momento della violazione, ma anche dalla continua revisione e aggiornamento delle misure proattive per prevenire le violazioni. In conformità con l'articolo 12 della legge turca sulla protezione dei dati personali (KVKK), Yoursizer.com implementa i seguenti meccanismi di audit per adempiere ai propri obblighi di sicurezza dei dati e ridurre al minimo le potenziali violazioni:

7.1. Revisione delle misure tecniche:Le misure tecniche di sicurezza vengono regolarmente verificate e aggiornate, tenendo conto degli sviluppi tecnologici e della natura dinamica delle minacce informatiche. In questo contesto:

• •Autenticazione a più fattori (MFA):L'efficacia e la portata dell'utilizzo dell'MFA nell'accesso a sistemi critici e dati sensibili sono almeno...Ogni 6 mesiViene rivisto. Il requisito MFA viene esteso ai nuovi sistemi e gruppi di utenti.

• •Controllo degli accessi basato sui ruoli (RBAC):Le matrici di autorizzazione all'accesso e le policy RBAC garantiscono che i dipendenti abbiano almeno [numero] anni dopo i cambi di lavoro o gli aggiornamenti del sistema.Ogni 6 mesiViene sottoposto a revisione. Il rispetto del principio del "minimo privilegio" è costantemente monitorato.

• •Metodi di crittografia:L'attualità e l'affidabilità degli algoritmi di crittografia utilizzati nella crittografia di trasporto (TLS) e a riposo vengono verificate periodicamente. Vengono inoltre monitorate la gestione e la rotazione delle chiavi di crittografia.

• •Sicurezza di rete (firewall/WAF, segmentazione):Le regole del firewall, le policy di segmentazione della rete e i sistemi di rilevamento/prevenzione delle intrusioni (IDS/IPS) vengono regolarmente testati e ottimizzati. Vengono inoltre effettuati aggiornamenti per affrontare nuove minacce.

• •Gestione delle vulnerabilità e patching:Vengono eseguite scansioni regolari per individuare vulnerabilità software e hardware nei sistemi e le vulnerabilità identificate vengono classificate in base alla priorità, con processi di patching e aggiornamento implementati rapidamente.

• •Backup e distruzione sicuri:Le strategie di backup, la sicurezza del backup, la crittografia e i periodi di rotazione (rotazione di 72 giorni) devono essere almeno...Ogni 6 mesiI dati vengono esaminati. Vengono verificati i processi di smaltimento sicuro dei backup scaduti.

7.2. Revisione delle misure amministrative:Le misure amministrative vengono valutate regolarmente per ridurre al minimo i rischi che possono derivare da fattori umani:

• •Formazione e sensibilizzazione del personale:L'efficacia e la frequenza della formazione fornita a tutti i dipendenti sulla protezione dei dati personali, sulla sicurezza dei dati e sulle procedure di risposta alle violazioni dei dati dovrebbero essere almenoOgni 6 mesiVengono valutati. Per i neoassunti è prevista una formazione di orientamento obbligatoria.
• •Accordi di riservatezza e matrice di autorizzazione:L'accuratezza e l'attualità degli accordi di riservatezza sottoscritti con dipendenti e partner commerciali, nonché l'applicabilità della matrice di autorizzazione, vengono verificati periodicamente.

• •Audit fornitore/subappaltatore:Le politiche e le pratiche di sicurezza dei dati dei fornitori di servizi terzi che elaborano dati personali devono essere conformi almeno ai loro obblighi contrattuali.una volta all'annoQuesto aspetto viene monitorato. In caso di trasferimento di dati all'estero, viene verificata l'efficacia delle garanzie previste dall'articolo 9 della KVKK (clausole contrattuali standard, impegni).

• •Politiche e procedure interne:Tutte le politiche e le procedure interne, come le informative sulla privacy, le dichiarazioni di consenso esplicito, la politica sui cookie, la politica di archiviazione e distruzione, vengono aggiornate come minimo in base alle modifiche legislative e alle decisioni del Consiglio.Ogni 6 mesiViene rivisto e aggiornato.

7.3. Obbligo di revisione e rendicontazione:Ai sensi dell'articolo 12/3 del KVKK (Legge sulla protezione dei dati personali), il titolare del trattamento è tenuto a condurre o far condurre gli audit necessari all'interno della propria istituzione o organizzazione per garantire l'attuazione delle disposizioni di tale Legge. In tale contesto, i risultati delle attività di audit svolte da VIME e dal Responsabile della Conformità del KVKK vengono regolarmente comunicati al management. Tali report includono le carenze individuate, le azioni correttive intraprese e i piani di miglioramento. Questo ciclo continuo di audit e miglioramento rafforza l'impegno di Yoursizer.com per la sicurezza dei dati personali e la conformità alle normative.

8. DOCUMENTAZIONE E CONSERVAZIONE DEI REGISTRI

Una documentazione dettagliata e completa è uno degli elementi più critici per garantire trasparenza, responsabilità e futuri miglioramenti nel processo di risposta alle violazioni dei dati. Yoursizer.com registra meticolosamente ogni fase del processo di violazione, adempiendo ai propri obblighi legali e incorporando le lezioni apprese nella propria memoria aziendale.

8.1. Documentazione del processo di violazione:Dal momento in cui viene rilevata una violazione dei dati, tutte le decisioni prese, le azioni intraprese e le notifiche emesse da VIME vengono registrate in ordine cronologico e dettagliato. Tali registrazioni devono includere le seguenti informazioni:

• •Numero di registrazione dell'incidente e data:L'identificatore univoco della violazione e la data in cui è stata registrata per la prima volta.

• •Metodo di rilevamento:Come e da chi è stata rilevata la violazione (ad esempio, anomalia del registro, reclamo dell'utente, segnalazione di terze parti).

• •Risultati della revisione e verifica iniziale:La realtà, la natura e le prime conclusioni della violazione.

• •Misure di isolamento e risposta alle emergenze:Tutte le misure tecniche e amministrative adottate per impedire la diffusione della violazione (ad esempio, diniego di accesso, rotazione delle password, segmentazione del sistema).

• •Categorie di dati interessati e numero stimato di persone:I tipi di dati personali interessati dalla violazione (identità, contatto, biometrici, finanziari, ecc.) e il numero stimato di persone coinvolte.

• •Risultati dell'analisi del rischio:Valutazione del rischio potenziale di violazione per i soggetti interessati (basso, medio, alto).

• •Rapporto di analisi delle cause profonde (RCA):Le cause profonde della violazione, le vulnerabilità identificate e come sono state affrontate.
• •Misure correttive e preventive adottate:Miglioramenti permanenti del sistema e modifiche dei processi per impedire il ripetersi della violazione.

• •Notifiche inviate alle persone interessate:Data della notifica, contenuto, canali di comunicazione utilizzati e numero di persone interessate.

• •Notifiche presentate al Consiglio:La data della notifica, il suo contenuto, il modulo utilizzato e gli eventuali documenti allegati.

• •Appunti e decisioni della riunione VIME:Date, partecipanti e decisioni prese in tutte le riunioni tenute da VIME durante il processo di violazione.

• •Registri delle comunicazioni con le parti interessate esterne:Tutta la corrispondenza e gli appunti delle riunioni con società di sicurezza informatica, consulenti legali o agenzie di pubbliche relazioni.

8.2. Conservazione dei registri e "File di registro delle violazioni":In conformità con la legge sulla protezione dei dati personali (KVKK) e la legislazione correlata, tutti i processi relativi alla cancellazione, distruzione o anonimizzazione dei dati personali vengono registrati e tali registrazioni vengono conservate per almeno un determinato periodo, esclusi altri obblighi di legge.per tre anniQuesto principio si applica anche ai registri delle violazioni dei dati. Tutti questi documenti sono conservati in un ambiente digitale centrale e sicuro (crittografato e con accesso limitato) denominato "Breach Record File". Questo file costituisce la principale fonte di riferimento da presentare in caso di un'eventuale verifica del Consiglio di Amministrazione o di un procedimento legale. L'importanza di proteggere l'integrità e la validità delle prove digitali è stata sottolineata anche nella sentenza della III Sezione Penale della Corte di Cassazione, n. 2021/4383 E., 2023/2717 K. Pertanto, l'integrità e l'immutabilità di tutti i documenti nel file del breach record sono tecnicamente garantite.

8.3. Valutazione post-incidente e miglioramento continuo:Ogni violazione dei dati rappresenta un'opportunità di apprendimento per la nostra azienda. Al termine del processo di violazione, VIME redige un dettagliato "Rapporto di valutazione post-incidente". Questo rapporto include gli insegnamenti tratti dalla violazione, le aree di miglioramento delle procedure esistenti e le raccomandazioni per mitigare i rischi futuri. Questi rapporti contribuiscono al continuo rafforzamento della sicurezza dei dati di Yoursizer.com, fornendo input al meccanismo di revisione e aggiornamento delle misure tecniche e amministrative preventive (vedere Sezione 7).

Yoursizer.com