La Società ha nominato un responsabile della sicurezza delle informazioni che riferisce direttamente a un dirigente senior della Società.

Una serie di politiche e standard di sicurezza delle informazioni sono documentati, approvati e mantenuti regolarmente.

La compagnia ha un'assicurazione Cyber.

I controlli dei precedenti per i nuovi dipendenti sono in uso laddove leciti dalla legge locale.

I dipendenti della Società si impegnano a rispettare i principi di protezione della privacy e sicurezza delle informazioni.

I dipendenti che hanno accesso ai dati personali sono soggetti alla riservatezza sulla base di accordi di non divulgazione (NDA) o clausole equivalenti.

In caso di licenziamento, i diritti di accesso dei dipendenti vengono revocati e viene inviato un promemoria sui loro obblighi di sicurezza.

L'azienda stabilisce obiettivi relativi alla sicurezza come obiettivi aziendali e agisce per aumentare la consapevolezza delle questioni relative alla sicurezza delle informazioni e alla privacy.

Vengono organizzate sessioni periodiche di formazione e sensibilizzazione sulla sicurezza e sulla privacy per tutti i dipendenti.

ambiente cloud dell'azienda è ospitato e supportato da AWS. Per ulteriori informazioni sulla sicurezza fisica, consulta Controlli di sicurezza AWS.

I dati a riposo e in transito sono crittografati con algoritmi di crittografia di livello industriale.

Utilizzo di firewall (sia di rete che applicativi) e sistemi di autenticazione.

L'accesso amministrativo all'infrastruttura cloud è protetto con password complesse + 2FA abilitato e accesso remoto tramite VPN e tunneling SSH.

Segregazione completa della rete di produzione e delle risorse cloud (VPC) dagli ambienti di test e sviluppo.

L'uso di sistemi di rilevamento delle intrusioni, sia basati sulla rete (NIDS) che basati su host (HIDS).

Tutte le comunicazioni TCP in uscita sono crittografate con TLS.

I dati personali archiviati ed elaborati dalla società sono adeguatamente protetti secondo le migliori pratiche commerciali commisurate a società simili in settori simili.

L'accesso ai dati personali dei clienti è limitato alla necessità di conoscerli.

Le password complesse vengono applicate, le password archiviate sono completamente crittografate e crittografate.

Anonimizzazione/pseudonimizzazione dei dati personali e/o sensibili laddove applicabile in conformità alle esigenze tecniche o aziendali per fornire il servizio e/o rispettare la legge.

La Società non fornirà le PII e/o i dati aziendali degli utenti a meno che non venga stabilita un'adeguata verifica dell'identità del proprietario dell'account.

I dati del cliente saranno conservati solo per il tempo in cui la Società e il Cliente hanno un accordo attivo e per il tempo necessario agli scopi per i quali i dati sono stati raccolti.

Procedura sicura per la cancellazione dei dati personali entro la fine del periodo di conservazione e/o su richiesta.

I subprocessori sono sottoposti a una revisione della sicurezza e della privacy delle informazioni del fornitore in base alla sensibilità dei dati e/o dei dati personali a cui accedono e sono tenuti a rispettare i requisiti di sicurezza del fornitore.

I laptop aziendali sono dotati di software anti-malware e anti-virus.

I laptop aziendali sono dotati di una soluzione di gestione che applica la politica di sicurezza dei laptop aziendali.

Scansioni regolari delle vulnerabilità di pacchetti open source (SCA), codice (SAST), applicazioni web (DAST) e infrastruttura cloud.

Processo di aggiornamento del software (ovvero gestione delle patch) in atto per correggere le vulnerabilità identificate in modo tempestivo in conformità con la valutazione del rischio.

L'uso di sistemi di registrazione, monitoraggio e avviso.

Sistemi avanzati per mitigare gli attacchi Denial of Service (DoS/DDoS).

L'uso di zone di cloud computing ad alta disponibilità in più posizioni geografiche.

Le procedure di disaster recovery (DR) sono ben documentate e regolarmente riviste e aggiornate.

I backup regolari vengono archiviati in modo sicuro in un ambiente cloud separato e possono essere ripristinati secondo necessità.

Test di penetrazione periodici e su richiesta.

Duda mantiene un sistema di gestione della sicurezza delle informazioni certificato secondo ISO/IEC 27001:2022.

Duda ha completato un esame SOC 2 di tipo II relativo ai criteri di sicurezza, disponibilità e riservatezza dei servizi fiduciari per la piattaforma Duda Website Builder.

L'accesso alla funzionalità di Marketing Automation e ai dati associati dei clienti è limitato in base alle autorizzazioni degli utenti autorizzati.

Marketing Automation supporta la registrazione e i controlli delle campagne e delle attività di distribuzione per la gestione dei requisiti di opt-out e soppressione tramite flussi di lavoro supportati.

I dati di contatto, campagna, consenso, soppressione e i relativi dati di Marketing Automation sono soggetti ai controlli applicabili sulla conservazione e l'eliminazione dei dati.

L'uso di servizi di intelligenza artificiale di terze parti è soggetto ai requisiti di sicurezza, privacy e valutazione dei fornitori di Duda.

Laddove i dati personali dei clienti vengono elaborati da fornitori di intelligenza artificiale approvati, Duda applica la minimizzazione dei dati, i controlli di accesso e i controlli contrattuali e/o tecnici progettati per impedire che tali dati vengano utilizzati per addestrare modelli di intelligenza artificiale generici o tra clienti, salvo diversa autorizzazione esplicita.