SERVICE LEVEL AGREEMENT (SLA)

Fornitore: Servizi di consulenza legale e gestione SRL
Piattaforma: GRCTECHME – Applicazione SaaS per la Governance, il Rischio e la Conformità (GRC)
Data di entrata in vigore: 07/02/2024

1. Ambito e obiettivo

Il presente Service Level Agreement (SLA) definisce i livelli di disponibilità, i tempi di supporto tecnico, gli standard di servizio e gli impegni operativi che il FORNITORE garantisce al CLIENTE nell'ambito dell'utilizzo della piattaforma SaaS GRCTECHME.

Il presente documento costituisce parte integrante del Contratto di Servizio Principale e disciplina, in particolare:

• la disponibilità della piattaforma;

• i tempi di risposta del supporto tecnico;

• la classificazione degli incidenti;

• le modalità di manutenzione;

• le misure di backup e resilienza;

• gli obiettivi di ripristino del servizio;

• le responsabilità del CLIENTE;

• le modalità di revisione dello SLA;

• i tempi massimi di risposta alle richieste operative.

2. Disponibilità del servizio

2.1 Impegno di disponibilità

Il FORNITORE si impegna a garantire un livello di disponibilità mensile della piattaforma pari al:

99,5%

La disponibilità è calcolata nell'ambito delle condizioni operative previste dal servizio e tenendo conto delle esclusioni indicate nel presente SLA.

La percentuale di disponibilità viene calcolata secondo la seguente formula:

Disponibilità = ((MTM − Mmant − MINP) / (MTM − Mmant)) × 100

Dove:

MTM
Minuti totali del periodo mensile di riferimento.

Mmant
Minuti di indisponibilità derivanti da attività di manutenzione programmata.

MINP
Minuti di inattività non pianificata imputabili al servizio.

La manutenzione programmata, correttamente comunicata secondo quanto previsto dal presente SLA, non viene considerata ai fini del calcolo dell'indisponibilità.

2.2 Esclusioni dal calcolo dell'indisponibilità

Le seguenti situazioni non vengono considerate come indisponibilità imputabile al FORNITORE:

• manutenzione programmata preventivamente comunicata;

• interruzioni della connessione Internet del CLIENTE;

• problemi relativi all'infrastruttura locale del CLIENTE;

• guasti o malfunzionamenti dei dispositivi utilizzati dal CLIENTE;

• indisponibilità causata da software o servizi di terze parti non direttamente controllati dal FORNITORE;

• blocchi preventivi o interventi di sicurezza conseguenti alla compromissione di credenziali lato CLIENTE;

• utilizzo improprio della piattaforma da parte degli utenti del CLIENTE;

• interventi richiesti direttamente dal CLIENTE;

• eventi di forza maggiore;

• eventi esterni al ragionevole controllo del FORNITORE.

3. Supporto tecnico e tempi di risposta

L'assistenza tecnica viene fornita attraverso i canali ufficialmente abilitati dal FORNITORE.

Canali di supporto

Email di supporto:
trina.pulido@studiolcms.com

Piattaforma di ticketing / Chat all'interno dell'applicazione:
Canale disponibile secondo le funzionalità abilitate sulla piattaforma.

Orario standard di supporto

Dal lunedì al venerdì, dalle ore 08:00 alle ore 18:00.

Il fuso orario applicabile deve essere quello concordato contrattualmente con il CLIENTE.

Gli incidenti classificati come P1 – Critico possono essere gestiti al di fuori dell'orario lavorativo standard, secondo le condizioni riportate di seguito.

Classificazione degli incidenti

P1 – Critico

Impatto

L'applicazione risulta completamente o generalmente non disponibile oppure si verifica un evento con impatto grave sull'integrità o disponibilità dei dati GRC.

Esempi:

• indisponibilità completa della piattaforma;

• blocco generale del sistema;

• impossibilità generalizzata di accesso;

• perdita significativa di dati critici;

• compromissione grave delle funzioni essenziali della piattaforma.

Tempo di risposta iniziale:
≤ 2 ore

Copertura:
24 ore su 24, 7 giorni su 7

Aggiornamenti sullo stato dell'incidente:
Ogni 2 ore fino alla risoluzione o stabilizzazione del problema.

P2 – Alto

Impatto

Una o più funzionalità essenziali risultano gravemente compromesse e non è disponibile una soluzione alternativa immediata.

Esempi:

• indisponibilità del motore di valutazione del rischio;

• blocco di attività di audit;

• impossibilità di completare processi operativi essenziali;

• gravi problemi sulle funzioni di compliance.

Tempo di risposta iniziale:
≤ 4 ore lavorative

Aggiornamenti sullo stato dell'incidente:
Ogni 4 ore lavorative durante la gestione del problema.

P3 – Medio

Impatto

Una funzionalità secondaria risulta compromessa oppure il problema dispone di una soluzione alternativa temporanea.

Esempi:

• generazione differita di report;

• anomalie su funzionalità non critiche;

• problemi di visualizzazione;

• rallentamenti circoscritti;

• errori che non impediscono la continuità delle attività principali.

Tempo di risposta iniziale:
≤ 12 ore lavorative

Aggiornamenti sullo stato dell'incidente:
Entro le successive 24 ore lavorative oppure in presenza di variazioni significative nello stato del problema.

P4 – Basso

Impatto

Richieste informative, segnalazioni minori, miglioramenti estetici o suggerimenti relativi all'interfaccia e all'esperienza utente.

Esempi:

• richieste di informazioni generali;

• piccoli problemi grafici;

• suggerimenti sull'interfaccia;

• proposte di miglioramento;

• richieste relative a funzionalità future.

Tempo di risposta iniziale:
≤ 24 ore lavorative

Aggiornamenti:
Secondo la pianificazione interna e il piano di rilascio delle versioni.

4. Manutenzione del sistema

Il FORNITORE effettua attività periodiche di manutenzione finalizzate alla sicurezza, stabilità, continuità e corretta evoluzione della piattaforma.

Manutenzione programmata

Gli interventi programmati vengono preferibilmente effettuati al di fuori delle fasce operative considerate maggiormente critiche.

A titolo indicativo, gli interventi potranno essere effettuati:

• durante i fine settimana;

• in fasce serali o notturne;

• preferibilmente tra le ore 22:00 e le ore 04:00.

Preavviso

In caso di manutenzione programmata che possa determinare una limitazione o temporanea indisponibilità del servizio, il FORNITORE informerà il CLIENTE con un preavviso minimo di:

48 ore

La comunicazione può essere effettuata tramite:

• email;

• comunicazione all'interno della piattaforma;

• altro canale ufficiale concordato con il CLIENTE.

Manutenzione di emergenza

In presenza di vulnerabilità di sicurezza critiche, rischi significativi per l'infrastruttura o altre circostanze urgenti, il FORNITORE può effettuare interventi di manutenzione immediati.

In tali casi il CLIENTE viene informato non appena ragionevolmente possibile.

5. Sicurezza, backup e resilienza dei dati

Considerata la natura della piattaforma GRCTECHME e il trattamento di informazioni relative a Governance, Risk & Compliance, il FORNITORE adotta misure tecniche e organizzative volte a garantire la riservatezza, integrità, disponibilità e resilienza dei dati.

Backup

La piattaforma prevede procedure di backup finalizzate alla protezione dei dati e al ripristino del servizio in caso di incidente.

Il periodo di conservazione previsto è:

30 giorni

Le procedure di backup vengono gestite secondo la configurazione dell'infrastruttura tecnologica applicabile al servizio.

Le modalità operative possono comprendere backup completi e/o incrementali in funzione dell'architettura adottata.

RPO – Recovery Point Objective

RPO massimo previsto: 4 ore

In caso di grave incidente o disaster recovery, l'obiettivo è limitare la potenziale perdita di dati a un massimo di 4 ore rispetto all'ultimo punto di ripristino disponibile.

RTO – Recovery Time Objective

RTO massimo previsto: 8 ore

In caso di grave incidente, l'obiettivo è ripristinare il servizio entro un periodo massimo di 8 ore, salvo circostanze eccezionali o eventi al di fuori del controllo del FORNITORE.

Crittografia

I dati gestiti dalla piattaforma sono protetti mediante misure crittografiche durante il trasferimento e durante la conservazione.

Dati in transito:
Protezione mediante protocolli TLS.

Dati a riposo:
Protezione mediante meccanismi di cifratura adeguati all'infrastruttura utilizzata.

Ove tecnicamente applicabile, vengono utilizzati standard equivalenti a:

• TLS 1.3 per i dati in transito;

• AES-256 per i dati a riposo.

6. Sistema di compensazione – Crediti di servizio

Qualora la disponibilità mensile del servizio risulti inferiore al livello concordato del 99,5%, il CLIENTE può richiedere l'applicazione di un credito di servizio.

Il credito viene eventualmente applicato alla successiva fattura di abbonamento, secondo le condizioni previste dal contratto.

Disponibilità dal 99,0% al 99,4%

Credito applicabile:
5% del canone mensile.

Disponibilità dal 95,0% al 98,9%

Credito applicabile:
10% del canone mensile.

Disponibilità inferiore al 95,0%

Credito applicabile:
20% del canone mensile.

Condizioni per la richiesta del credito

Il CLIENTE deve presentare la richiesta di applicazione del credito:

• in forma scritta;

• indicando il periodo interessato;

• fornendo, ove necessario, gli elementi utili alla verifica;

• entro i primi 10 giorni lavorativi del mese successivo a quello nel quale si è verificato il mancato raggiungimento del livello di servizio.

L'applicazione del credito è soggetta alla verifica dell'effettiva indisponibilità imputabile al FORNITORE.

Non vengono conteggiate le indisponibilità rientranti nelle esclusioni previste dal presente SLA.

7. Responsabilità del CLIENTE

Per consentire al FORNITORE di garantire correttamente i livelli di servizio previsti, il CLIENTE si impegna a collaborare nelle attività di assistenza e gestione degli incidenti.

Il CLIENTE è tenuto a:

1. nominare amministratori e utenti adeguatamente formati all'utilizzo della piattaforma;

2. utilizzare la piattaforma conformemente alla documentazione, alle condizioni contrattuali e alle istruzioni operative fornite;

3. mantenere riservate le credenziali di accesso;

4. gestire correttamente i permessi degli utenti interni;

5. comunicare tempestivamente eventuali accessi sospetti o compromissioni delle credenziali;

6. fornire, in occasione della segnalazione di incidenti P1 o P2, tutte le informazioni necessarie all'analisi del problema;

7. fornire, ove possibile:

   • descrizione del problema;

   • data e ora dell'evento;

   • utente coinvolto;

   • schermate o screenshot;

   • eventuali messaggi di errore;

   • sequenza delle operazioni effettuate;

   • impatto sulle attività operative;

8. garantire che dispositivi, sistemi operativi, browser, connessione Internet e infrastruttura locale siano adeguatamente configurati;

9. collaborare con il personale tecnico del FORNITORE durante le attività di diagnosi e risoluzione.

Il mancato rispetto delle responsabilità del CLIENTE può incidere sui tempi di diagnosi e risoluzione.

8. Revisione e modifica dello SLA

Il presente SLA viene sottoposto a revisione:

almeno una volta all'anno

oppure quando si verificano cambiamenti significativi relativi a:

• infrastruttura tecnologica;

• architettura applicativa;

• modalità di erogazione del servizio;

• requisiti normativi;

• misure di sicurezza;

• procedure di continuità operativa;

• sistemi di backup e disaster recovery.

Eventuali modifiche strutturali agli impegni di servizio vengono comunicate formalmente al CLIENTE.

Salvo esigenze urgenti, normative o di sicurezza, il preavviso previsto per modifiche significative è pari a:

30 giorni

9. Tempi massimi di risposta per richieste e domande del CLIENTE

Oltre alla classificazione degli incidenti tecnici, il servizio può prevedere diversi livelli operativi di risposta per richieste, informazioni o attività ordinarie.

Livello 1

Tempo massimo di risposta:
Entro 72 ore.

Applicabile alle richieste ordinarie a priorità standard e alle attività che non presentano impatti immediati sulle operazioni del CLIENTE.

Livello 2

Tempo massimo di risposta:
Entro 48 ore.

Applicabile alle richieste con priorità intermedia o che richiedono un intervento operativo entro tempi più brevi.

Livello 3

Tempo massimo di risposta:
Entro 24 ore.

Applicabile alle richieste operative a maggiore priorità, fermo restando che gli incidenti tecnici vengono classificati e gestiti secondo i livelli P1, P2, P3 e P4 definiti nella Sezione 3.

Informazioni di contatto

Per richieste relative al servizio GRCTECHME:

Email:
trina.pulido@studiolcms.com

Servizio:
GRCTECHME – Governance, Risk & Compliance SaaS

Nota sul documento

Il presente Service Level Agreement disciplina gli standard di servizio applicabili alla piattaforma GRCTECHME.

Le condizioni specifiche applicabili a ciascun CLIENTE possono essere ulteriormente definite nel Contratto di Servizio Principale, nell'offerta commerciale o negli eventuali allegati contrattuali sottoscritti tra le parti.