Informativa ai collaboratori: monitoraggio di sicurezza dei nostri account e computer

1. Chi è responsabile

[Nome e indirizzo dell’azienda] è responsabile di questo monitoraggio (titolare del trattamento). Contatto per le domande: [nome, e-mail].

Per farlo utilizziamo il servizio Ojava (Ojava, Dhanush Kalyan Guntaka, Ginevra, Svizzera), che agisce per nostro conto (responsabile del trattamento).

2. Perché

Per individuare attacchi agli account e ai computer dell’azienda, come una password rubata, una casella di posta compromessa, un ransomware o un malware, e per avvisare [chi riceve gli avvisi]. Il monitoraggio serve solo alla sicurezza. Non è usato per valutare il suo lavoro, le sue prestazioni o il suo comportamento.

3. Cosa viene raccolto

• Microsoft 365 / Google Workspace [cancelli ciò che non usiamo]: eventi di accesso (ora, indirizzo IP, luogo approssimativo, dispositivo), modifiche ai metodi di accesso, regole e inoltri della posta, autorizzazioni delle app, azioni amministrative, file condivisi fuori dall’azienda e download di file, senza il loro contenuto.
• PC Windows [cancelli se non usato]: eventi di sicurezza di Windows, nomi, percorsi e righe di comando dei programmi che si avviano, tipo di cartella ed estensione dei file modificati (non i loro nomi), indirizzi delle connessioni di rete, programmi ad avvio automatico, impostazioni di sicurezza e nome del PC. Windows tiene inoltre, sul PC stesso, un registro locale del programma che modifica file nelle sue cartelle utente; gli amministratori del PC possono vederlo e non viene inviato a Ojava.
• Mai raccolto: il contenuto di e-mail, documenti, file o chat, la cronologia di navigazione, i tasti premuti o lo schermo.

4. Chi vi ha accesso

[Nomi o funzioni, per esempio la direzione e il nostro fornitore informatico] vedono gli avvisi. Ojava tratta i dati in Svizzera (Ginevra). Per spiegare un avviso in modo semplice, Ojava ne invia i dettagli al suo fornitore di IA Anthropic (USA), con nomi, indirizzi e-mail, indirizzi IP e nomi dei PC sostituiti da segnaposto.

5. Per quanto tempo

Eventi di accesso e di attività: 90 giorni. Eventi grezzi dei PC: 30 giorni. Un avviso, con i dettagli su cui si basa, è conservato fino alla sua chiusura e poi per [3 mesi / 2 anni / 5 anni, secondo il nostro piano Ojava].

6. I suoi diritti

Può chiederci quali dati che la riguardano sono trattati, farli rettificare e opporsi al trattamento, scrivendo a [contatto]. Può anche presentare reclamo all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) o, nell’UE, alla sua autorità di protezione dei dati.

[Se applicabile: i nostri rappresentanti del personale / la commissione del personale sono stati consultati il (data).]