1. Applicabilità generale.

1.1. Ambito di applicazione. Le presenti Condizioni di sicurezza (“Condizioni di sicurezza”) si applicano alle Soluzioni e/o ai servizi forniti ai sensi del Contratto, che possono includere il Software, la Soluzione SaaS e/o i servizi di Commvault.

1.2. Prevalenza. In caso di conflitto tra le presenti Condizioni di sicurezza e il corpo principale del Contratto, le presenti Condizioni di sicurezza prevarranno per quanto riguarda le questioni relative alla sicurezza, salvo quanto vietato dalla legge applicabile.

 

2. Conformità normativa.

2.1. Conformità di Commvault.

2.1.1. Disposizioni generali. Commvault ha implementato e mantiene un programma di sicurezza progettato per allinearsi allo standard NIST 800-30/CSF e alle migliori pratiche del settore. Per le sue soluzioni SaaS, Commvault mantiene certificazioni e valutazioni di terze parti, tra cui ISO 27001, SOC 2 Tipo II, HIPAA (incluso il trattamento delle informazioni sanitarie protette) e PCI. Per l’elenco aggiornato delle certificazioni, delle valutazioni e delle ulteriori attestazioni, si prega di fare riferimento al nostro Trust Center: https://trust.commvault.com/resources.

2.1.2 FedRAMP. La nostra offerta SaaS per la Government Cloud è certificata FedRAMP Classe D (High) e soddisfa i requisiti di controllo di base FedRAMP Classe D (High) basati sullo standard NIST SP 800-53. Per ulteriori informazioni, consultare la scheda di Commvault sul FedRAMP Marketplace: https://marketplace.fedramp.gov/products/FR2115384377.

 

3. Modello di responsabilità condivisa.

3.1. Limitazioni all’uso e al trattamento dei dati. Commvault può utilizzare i Dati del Cliente esclusivamente allo scopo di fornire le Soluzioni in conformità con i propri Termini e Condizioni Generali e con l’Accordo sul trattamento dei dati. Commvault non tratterà i Dati del Cliente per nessun altro scopo senza il consenso scritto del Cliente.

3.2. Responsabilità relative alla Soluzione SaaS. La sicurezza e la conformità relative all’infrastruttura e alla protezione dei dati operano secondo un modello di responsabilità condivisa. Commvault è responsabile della sicurezza della Soluzione SaaS e della protezione dei Dati del Cliente sia in transito che inattivi all’interno del “Confine di Servizio Definito” di Commvault, in conformità con le disposizioni qui stabilite. Per «Perimetro di servizio definito» si intendono i sistemi, l’infrastruttura e le applicazioni direttamente di proprietà, gestiti e controllati da Commvault per la fornitura della Soluzione SaaS, esclusi, a titolo esemplificativo ma non esaustivo, gli ambienti del Cliente, le configurazioni gestite dal Cliente, i fornitori di identità e qualsiasi componente al di fuori del controllo operativo diretto di Commvault. Il Cliente è responsabile di stabilire e mantenere i propri programmi di sicurezza e conformità in relazione al proprio utilizzo delle Soluzioni e/o dei servizi Commvault. Ciò include la responsabilità per i controlli di sicurezza al di fuori del Perimetro di servizio definito di Commvault, a titolo esemplificativo ma non esaustivo: (i) la gestione dell’accesso alle proprie applicazioni e infrastrutture, compresa l’autenticazione degli utenti e la gestione delle credenziali; (ii) il mantenimento di un’adeguata protezione degli endpoint; (iii) l’adempimento di tutti gli obblighi di conformità relativi ai propri dati e al proprio ambiente; e (iv) l’uso lecito delle Soluzioni. La nostra Documentazione fornisce linee guida in materia di sicurezza e configurazione.

 

4. Monitoraggio della sicurezza.

4.1. Monitoraggio continuo. Commvault effettua un monitoraggio continuo della Soluzione SaaS in conformità con le migliori pratiche del settore, tra cui, a titolo esemplificativo ma non esaustivo, la scansione delle vulnerabilità, il rilevamento delle minacce, i controlli di conformità della configurazione e la registrazione degli eventi di sicurezza.

4.2. DevSecOps e test. Commvault integra revisioni di sicurezza nel proprio ciclo di vita dello sviluppo, tra cui revisioni del codice sicuro, analisi statiche/dinamiche e test di penetrazione annuali.

4.3. Rimedio. Commvault dispone di processi per identificare e correggere le vulnerabilità in conformità con le proprie politiche interne. Per la Soluzione SaaS, Commvault compirà ogni sforzo commercialmente ragionevole per correggere le vulnerabilità critiche entro 30 giorni e quelle ad alta gravità entro 60 giorni, salvo diversamente concordato per iscritto con il Cliente.

 

5. Sicurezza e conformità.

5.1. Controllo degli accessi. Il personale e i sistemi di Commvault sono soggetti a controlli di gestione degli accessi progettati per proteggere i Dati del Cliente da accessi non autorizzati, in conformità con la Sezione 4.2 (Accesso) dei Termini e Condizioni della Soluzione SaaS. Tali controlli includono, ove applicabile, l’autenticazione a più fattori, il principio del privilegio minimo e l’accesso basato sui ruoli, la separazione dei compiti, le procedure di approvazione degli accessi, le revisioni periodiche degli accessi e le procedure per revocare gli accessi non più validi.

5.2. Sensibilizzazione e formazione. Commvault gestisce un programma annuale di formazione e sensibilizzazione conforme alla normativa applicabile e verificato in modo indipendente da revisori esterni per monitorarne l’efficacia e l’integrità.

5.3. Diritti di audit

5.3.1. Audit indipendenti. La verifica della conformità è documentata tramite materiali che includono, a titolo esemplificativo ma non esaustivo, i rapporti di audit di terze parti disponibili all’indirizzo: https://trust.commvault.com/resources.

5.3.2. Diritti di audit del cliente.

5.3.2.1. Su richiesta, Commvault metterà a disposizione la documentazione aggiornata in materia di sicurezza e conformità, inclusi rapporti di audit di terze parti, certificazioni, sintesi dei test di penetrazione, white paper sulla sicurezza e descrizioni dei controlli (“Documentazione sulla sicurezza”).

5.3.2.2. Il Cliente può esercitare i propri diritti di audit presentando un questionario scritto ragionevole in materia di sicurezza o conformità, non più di una volta all’anno o a seguito di un incidente di sicurezza rilevante che abbia interessato i Dati del Cliente. Commvault risponderà in buona fede, entro un termine commercialmente ragionevole, compilando il questionario o fornendo informazioni sostanzialmente equivalenti.

5.3.2.3. Il Cliente riconosce che i diritti di audit escludono ispezioni in loco, l’accesso a strutture o sistemi, colloqui con il personale, l’accesso all’infrastruttura, al codice sorgente, ai log, ai registri interni, agli elementi probatori (compresi screenshot o configurazioni) e qualsiasi test tecnico (compresi test di penetrazione, scansioni di vulnerabilità o esercitazioni di ingegneria sociale).

5.4. Pianificazione delle emergenze. Commvault dispone di un piano di continuità operativa e di Recovery per la Soluzione SaaS, soggetto a test periodici. L’infrastruttura della Soluzione SaaS è progettata per supportare la ridondanza globale, la capacità di failover rapido e l’isolamento per il Recovery. Il piano di continuità operativa e di Recovery di Commvault viene convalidato annualmente dai suoi revisori indipendenti.

5.5. Gestione della configurazione. Per la Soluzione SaaS, tutti i sistemi che supportano i Dati del Cliente seguono linee guida di configurazione sicure e le modifiche sono controllate tramite flussi di lavoro documentati che includono procedure di test e autorizzazione. Le modifiche alla configurazione vengono tracciate e monitorate, mentre l’accesso a tali modifiche è limitato al personale autorizzato.

5.6. Identificazione e autenticazione. Commvault metterà a disposizione controlli di autenticazione per gli Utenti Autorizzati del Cliente che accedono alle Soluzioni e/o ai servizi, tra cui l’autenticazione a più fattori (MFA), il Single Sign-On (SSO) tramite SAML o OAuth e l’integrazione con i provider di identità del Cliente.

5.7. Risposta agli incidenti

5.7.1. Procedure. Commvault dispone di procedure documentate di risposta agli incidenti, che includono ruoli definiti, percorsi di escalation e protocolli di comunicazione.

5.7.2. Salvo quanto diversamente previsto dalla legge, Commvault si impegna a notificare al Cliente qualsiasi violazione della sicurezza entro settantadue (72) ore dalla conferma della stessa da parte di Commvault. Il Cliente dovrà collaborare con le procedure di risposta agli incidenti di Commvault come richiesto.

5.7.3. Per “violazione della sicurezza” si intende la distruzione, la perdita, l’alterazione, la divulgazione non autorizzata o l’accesso accidentale o illecito ai dati del Cliente non crittografati.

5.7.4. Informazioni di contatto. Il Cliente può segnalare una violazione della sicurezza o eventuali preoccupazioni al Team di risposta agli incidenti di sicurezza di Commvault all’indirizzo soc@commvault.com.

5.7.5. Indagini e analisi forense. Per qualsiasi violazione della sicurezza che richieda un’indagine, Commvault dovrà: (i) condurre un’adeguata analisi forense digitale utilizzando strumenti e metodologie standard del settore; (ii) conservare le prove pertinenti in conformità con la legge applicabile; (iii) eseguire un’analisi delle cause alla radice per determinare l’origine e la portata dell’incidente; e (iv) attuare misure correttive per prevenire il ripetersi dell’evento, fatte salve ragionevoli considerazioni aziendali e limitazioni del sistema. In conformità alla presente Sezione 5.7.5, Commvault potrà fornire al Cliente, su richiesta, un rapporto sintetico.

5.7.6. Coordinamento con terze parti. Per il Software: il Cliente dovrà guidare le attività di risposta agli incidenti e coordinarsi con le terze parti appropriate, secondo quanto ritenuto necessario dal Cliente stesso. Commvault fornirà al Cliente un supporto e un’assistenza ragionevoli in relazione a tali attività di risposta agli incidenti. Per la Soluzione SaaS: Laddove richiesto dalla legge o necessario dal punto di vista operativo, Commvault potrà coordinare le attività di risposta agli incidenti con terze parti appropriate, incluse le forze dell’ordine, le autorità di regolamentazione, i fornitori di infrastrutture cloud e altri fornitori di soluzioni di sicurezza. In entrambi i casi, la parte coordinatrice dovrà informare l’altra parte di tale coordinamento, ove legalmente consentito e operativamente fattibile, a condizione che le informazioni riservate del Cliente siano protette nella misura massima possibile date le circostanze.

5.8. Manutenzione. Commvault monitorerà la disponibilità della Soluzione SaaS ed effettuerà test sulla disponibilità dell’infrastruttura. Commvault rilascia periodicamente patch, correzioni, aggiornamenti o nuove versioni (collettivamente, gli “Aggiornamenti”)
. I Clienti che utilizzano il nostro Software sono responsabili della manutenzione e dell’implementazione degli Aggiornamenti al Software.

5.9. Protezione dei supporti. Per la Soluzione SaaS, Commvault si avvale di fornitori di infrastrutture cloud di terze parti affidabili che mantengono controlli di protezione dei supporti in linea con i propri standard di sicurezza pubblicati. I processi di pulizia e distruzione dei supporti contenenti i Dati del Cliente vengono eseguiti in conformità con gli standard e le procedure applicabili dei fornitori di servizi cloud di terze parti. Per quanto riguarda il Software, il Cliente è l’unico responsabile dell’implementazione delle misure di protezione dei supporti, compresa la pulizia e la distruzione di qualsiasi supporto contenente Dati del Cliente all’interno dell’ambiente del Cliente.

5.10. Protezione fisica e ambientale. I dati del Cliente sono protetti da controlli fisici, tra cui, a titolo esemplificativo ma non esaustivo, strutture e apparecchiature protette, accesso del personale autorizzato e documentato, aree server riservate, accesso alle strutture monitorato e registrato, nonché sistemi di sicurezza e di autenticazione di supporto.

5.11. Gestione del programma. Commvault mantiene un programma di sicurezza delle informazioni che include: (a) una struttura organizzativa definita e politiche, ruoli, responsabilità e obiettivi strategici documentati; (b) la gestione dei rischi attraverso valutazioni periodiche dei rischi e processi formali per identificare, valutare, mitigare e monitorare i rischi di sicurezza; (c) un quadro di controlli di sicurezza allineato agli standard del settore; (d) test di sicurezza per affrontare potenziali vettori di attacco e un approccio alla sicurezza a più livelli nelle fasi di sviluppo e operative; (e) programmi di formazione e sviluppo per il personale addetto alla sicurezza; e (f) revisione e aggiornamenti periodici del programma.

5.12. Sicurezza del personale. Salvo quanto vietato dalla legge, Commvault effettuerà controlli sui precedenti dei dipendenti che hanno accesso ai Dati del Cliente in conformità con la normativa applicabile. Commvault mantiene un processo di inserimento che prevede obblighi di riservatezza e l’accettazione delle politiche, delle procedure di assunzione, nonché delle procedure relative ai cambiamenti di ruolo e alle cessazioni del rapporto di lavoro.

5.13. Valutazione dei rischi. Commvault mantiene politiche di sicurezza volte a garantire la conformità agli standard di sicurezza applicabili, nonché processi di test di sicurezza e di identificazione delle vulnerabilità che possono includere test di penetrazione e programmi di segnalazione delle vulnerabilità, processi di gestione delle vulnerabilità e valutazioni di sicurezza, tutti condotti in conformità con le proprie politiche interne. La documentazione relativa agli audit indipendenti è disponibile come indicato nella Sezione 5.3.1.

5.14. Integrità del sistema e delle informazioni

5.14.1. Crittografia. Commvault crittograferà i Dati del Cliente in transito utilizzando le versioni attuali di TLS o altri protocolli di sicurezza con algoritmi di crittografia robusti, e in fase di archiviazione utilizzando le versioni attuali degli algoritmi di crittografia AES in conformità con gli standard del settore.

5.14.2. Gestione delle chiavi. Le chiavi di crittografia sono archiviate in modo sicuro in un database crittografato, protetto da un controllo degli accessi basato sui ruoli e, facoltativamente, da una passphrase. È supportata l’integrazione con servizi esterni di gestione delle chiavi (come definiti di seguito) per una maggiore sicurezza e separazione, in conformità con la sezione 5.14.3.

5.14.3. Servizi di gestione delle chiavi di terze parti. Se tecnicamente fattibile e qualora il Cliente scelga di utilizzare un servizio di gestione delle chiavi di terze parti (“KMS”), il Cliente sarà l’unico responsabile della sicurezza di tale KMS adottando, come minimo, le seguenti misure: (i) implementando i controlli di sicurezza previsti dalla norma NIST 800-57 o da standard di settore equivalenti per proteggere il KMS; e (ii) eseguendo il backup delle chiavi di crittografia in un ambiente virtualmente isolato (air-gapped). Commvault declina espressamente ogni e qualsiasi responsabilità relativa a, o derivante dall’uso da parte del Cliente del KMS di terze parti, inclusa l’impossibilità di accedere ai dati derivante da tale uso. Commvault non è responsabile né è tenuta a rispondere del modo in cui il KMS di terze parti trasmette, accede, elabora, archivia, utilizza o fornisce dati a Commvault.

5.15 Gestione dei rischi della catena di fornitura. Commvault effettuerà valutazioni basate sul rischio dei fornitori, manterrà registri dei fornitori, condurrà revisioni periodiche della documentazione e delle valutazioni dei fornitori e implementerà misure di sicurezza per l’accesso da parte di terzi.

5.16 Controlli di integrità e qualità dei dati. Entro i limiti del servizio definiti da Commvault, Commvault mantiene controlli progettati per garantire l’integrità e la qualità dei dati, che possono includere: (a) politiche di autorizzazione per l’inserimento, la lettura, la modifica e la cancellazione dei dati; (b) autenticazione del personale autorizzato; (c) misure di protezione per le operazioni sui dati, compresa la registrazione delle modifiche sostanziali ove opportuno; (d) la separazione e la protezione dei dati tramite schemi di database, controlli logici di accesso e/o crittografia; (e) l’utilizzo di credenziali di identificazione degli utenti; e (f) controlli di gestione delle sessioni. Tali controlli sono gestiti in conformità con le politiche di sicurezza interne di Commvault.

 

6. Localizzazione dei dati.

Commvault conserverà e tratterà i Dati del Cliente nelle regioni geografiche specificate nella Documentazione applicabile, con le opzioni relative alla residenza regionale dei dati ivi indicate.

 

7. Gestione delle modifiche.

7.1. Notifica delle modifiche. Commvault fornirà un preavviso scritto di almeno 30 giorni in caso di modifiche sostanziali alle proprie politiche o ai propri controlli di sicurezza che potrebbero influire negativamente sui Dati del Cliente.

7.2. Risoluzione. Qualora tale modifica comprometta in modo sostanziale la sicurezza, il Cliente potrà risolvere i Contratti relativi alle Soluzioni e/o ai servizi interessati senza alcuna penale, fermo restando tuttavia che tutte le vendite di Software sono definitive, non restituibili e non rimborsabili.

 

8. Impegni del fornitore di servizi cloud.

Commvault si avvale di fornitori di infrastrutture cloud di terze parti, tra cui Microsoft Azure, AWS, GCP e/o Oracle Cloud Infrastructure, per la fornitura di Soluzioni SaaS. Commvault adotta alcune misure di sicurezza fornite da tali fornitori di servizi cloud. La documentazione relativa alla sicurezza di ciascun fornitore di servizi cloud è disponibile presso i rispettivi centri di fiducia.

 

9. Giurisdizioni applicabili e sottomoduli.

9.1. Quadro globale. Le presenti Condizioni di sicurezza sono destinate all’uso globale e si applicano salvo deroghe previste da leggi locali inderogabili.

9.2. Allegati regionali e settoriali. Gli allegati regionali e specifici per settore (ad esempio, l’Accordo sui dati dei clienti di Commvault, l’Addendum HIPAA, l’Addendum per il settore finanziario) integrano e, ove richiesto, prevalgono sulle presenti Condizioni di sicurezza esclusivamente nella misura necessaria a garantire la conformità.