CAPITOLATO SPECIALE DI POLIZZA “CYBER RISKS”

LOTTO UNICO

CAPITOLATO SPECIALE DI POLIZZA “CYBER RISKS”

La presente polizza è stipulata tra

ISTITUTO TUMORI “Xxxxxxxx Xxxxx XX”

IRCCS di Bari

Xxxxx Xxxxxx Xxxxxx x.00 - 00000 Xxxx

P.I./C.F. 00727270720

e

Compagnia / Agenzia

Durata della polizza:

Dalle ore 24.00 del:	/ /2024
Alle ore 24.00 del:	31/12/2026

CONDIZIONI DI POLIZZA

Introduzione

Il presente Contratto di Assicurazione si compone delle DEFINIZIONI DI POLIZZA, delle CONDIZIONI GENERALI DI POLIZZA, completate ed integrate dalle CONDIZIONI PARTICOLARI DI POLIZZA, dalla SCHEDA DI POLIZZA e dagli eventuali allegati.

Le garanzie di cui al presente Contratto di Assicurazione si intendono prestate in favore dell’Assicurato, nei limiti previsti dalle esclusioni, dai massimali e franchigie/scoperti previsti dalle CONDIZIONI PARTICOLARI DI POLIZZA e dalla SCHEDA DI POLIZZA.

DEFINIZIONI DI POLIZZA

Ai fini del presente Contratto di Assicurazione, si intende per:

Assicurato/Struttura Assicurata: Il soggetto il cui interesse è protetto dalla Polizza e designato come tale nella SCHEDA DI POLIZZA.

Attacco Denial of Service: qualsiasi attacco informatico doloso che provochi una privazione, interruzione e/o indisponibilità totale o parziale del sistema informatico assicurato e delle installazioni di rete, a seguito di un sovraccarico dei sistemi informatici, legato ad un massiccio flusso in entrata di richieste di connessione al sistema informatico assicurato. Sono inclusi nella definizione gli attacchi D.D.o.S. (Distributed Denial of Service).

Autorità di Controllo: autorità amministrativa indipendente o qualsiasi ente competente, autorizzata a far rispettare le norme relative alla detenzione, al trattamento e alla protezione dei dati personali.

Broker: l’ATI MAG S.p.A.(capogruppo)-Adriateca Srl quale Xxxxxx incaricato dal Contraente della gestione ed esecuzione del contratto, riconosciuto dalla Società;

Contraente: La Struttura che stipula Il presente Contratto di Assicurazione di POLIZZA in nome proprio e/o

nell’interesse di chi spetta e designato come tale nella SCHEDA DI POLIZZA. Il Contraente beneficia della qualità di socio della Società.

Danni immateriali: qualsiasi danno economico derivante dalla privazione del godimento di un diritto, di un servizio o dalla perdita di un profitto, subito da una persona fisica o giuridica.

Danno o perdita di dati: alterazione, corruzione o cancellazione dei dati memorizzati nei sistemi informatici.

Dati: tutte le informazioni digitali, indipendentemente dal modo in cui vengono utilizzate o visualizzate (ad esempio: testo, cifre, immagini, video, software), memorizzate all’esterno della memoria ad accesso casuale (R.A.M) del sistema informatico assicurato.

Dati garantiti: tutte le informazioni digitali raccolte dalla Struttura Assicurata o detenute per le proprie esigenze nell'ambito dell'attività dichiarata, indipendentemente da come vengono utilizzate o visualizzate (ad esempio: testo, cifre, immagine, video, software), memorizzate al di fuori della memoria ad accesso casuale (R.A.M) del sistema informatico assicurato.

Dati personali: tutte le informazioni che consentono di identificare una persona direttamente o indirettamente, mediante un numero di identificazione o uno o più elementi specifici (ad esempio: nome, numero identificativo del documento d’identità, codice fiscale, indirizzo, numero di telefono, identificatore online (indirizzo IP)), come disciplinato dalle disposizioni vigenti in materia di tutela della privacy.

Dati riservati: tutte le informazioni, compresi i dati personali, per le quali l'Assicurato è soggetto al segreto professionale o è contrattualmente tenuto a rispettarne la loro natura riservata.

Dati riservati garantiti: tutte le informazioni, raccolte dalla Struttura Assicurata o detenute per le proprie esigenze nell'ambito dell'attività dichiarata, compresi i dati personali, per le quali l'Assicurato è soggetto al segreto professionale o è contrattualmente tenuto a rispettarne la loro natura riservata. Salvo quanto diversamente previsto nella SCHEDA DI POLIZZA, i dati ospitati dalla Struttura Assicurata per conto di terzi non costituiscono dati riservati garantiti.

Difetto di sicurezza delle reti: mancata attuazione, da parte o per conto della Struttura Assicurata, delle misure di protezione necessarie per proteggere da un atto doloso informatico contro il sistema informatico assicurato.

Esperto: qualsiasi persona fisica o giuridica designata dalla Società o dall'Assicurato, previa consultazione della Società.

Fornitore di servizi esterno: qualunque terzo, ad eccezione dei fornitori di energia elettrica, servizi internet o degli operatori di telecomunicazioni, che fornisce servizi informatici in virtù di un Contratto scritto concluso con la Struttura Assicurata.

Franchigia / Scoperto: la parte del danno risarcibile che rimane a carico dell’Assicurato in caso di

sinistro.

Questa quota può essere espressa in percentuale dei danni risarcibili (Scoperto), il cui importo viene dedotto dalla somma indennizzata in caso di Sinistro o in cifra fissa (Franchigia).

In quest'ultimo caso:

- se l'importo del danno risarcibile non raggiunge l'importo della franchigia, non viene effettuato alcun pagamento,

- se lo supera, il pagamento viene effettuato dopo aver dedotto l'importo della franchigia.

Furto di dati: qualsiasi atto doloso informatico che consista nel copiare o nell'ottenere illegalmente, ad esempio, dei dati riservati garantiti, inclusi i dati personali, dal sistema informatico assicurato.

Hardware: i componenti fisici di qualsiasi sistema informatico o dispositivo utilizzato per memorizzare, trasmettere, elaborare, leggere, modificare o controllare i dati, compresi i supporti elettronici.

Infrastruttura: qualsiasi apparecchiatura di comunicazione, climatizzazione, installazione di alimentazione elettrica, generatore autonomo, convertitore di frequenza, trasformatore e qualsiasi altro impianto utilizzato per preservare il corretto funzionamento delle installazioni elettroniche su cui si basano i sistemi informatici e i dati.

Intermediario: l’intermediario di assicurazioni indicato nella SCHEDA DI POLIZZA al quale il Contraente

ha affidato la gestione del presente contratto.

Internet: la rete informatica mondiale che rende accessibili al pubblico vari servizi come la messaggistica elettronica o il web.

Interruzione volontaria: interruzione su iniziativa dell'Assicurato, di tutti o parte dei sistemi informatici assicurati, al fine di prevenire il verificarsi o limitare le conseguenze di un Evento Cyber garantito:

- Nel caso in cui l'interruzione volontaria abbia lo scopo di prevenire il verificarsi dell'incidente, l’arresto è subordinato all'esistenza di un comprovato rischio di accadimento imminente di tale incidente che giustifica l’interruzione immediata di tutti o parte dei sistemi informatici assicurati.

- Nel caso in cui l'interruzione volontaria sia destinata a limitare le conseguenze di un incidente accertato, l’arresto è subordinato alla constatazione da parte dell'Assicurato di tale incidente e alla possibilità della sua verifica da parte degli esperti della Società.

Intranet: rete informatica locale privata con accesso limitato che offre le stesse tecnologie di scambio di informazioni di Internet.

Malware: qualsiasi software, codice ostile o invasivo (ad esempio: virus, spyware, ransomware, keylogger, software di sicurezza informatica falso) progettato per interrompere, corrompere e/o accedere in modo fraudolento ai sistemi informatici.

Massimale di garanzia: Massima esposizione della Società per garantire i sinistri, i cui importi sono definiti nella SCHEDA DI POLIZZA.

Membro della Direzione: il rappresentante legale della Struttura Assicurata, il direttore finanziario, il direttore dei sistemi informativi o qualsiasi altra funzione equivalente all'interno della Struttura Assicurata.

Modulo di Proposta: Il documento, annesso a questo Contratto di Assicurazione che ne costituisce parte integrante, nel quale sono indicate le informazioni relative al Contraente/Assicurato nonché le dichiarazioni rese dallo stesso ai fini della valutazione del rischio da parte della Società.

Parte o Parti: la Società, il Contraente e/o l'Assicurato.

Periodo annuale di POLIZZA: Ogni periodo pari a 12 mesi compreso tra due scadenze annuali.

Preposto dell'Assicurato: qualsiasi persona fisica che abbia un rapporto di subordinazione con l'Assicurato e agisca sotto la sua direzione, i suoi ordini e la sua supervisione. I fornitori di servizi esterni non sono considerati preposti.

Programma informatico: insieme di istruzioni e dati che rappresentano un algoritmo e che possono essere eseguiti da un computer.

Ransomware: alterazione controllata del sistema informatico che porta alla sua parziale o totale immobilizzazione, e la cui riattivazione è oggetto di un’esazione costituita da un tentativo di estorsione.

Rete informatica: gruppo di sistemi informatici e altri dispositivi hardware collegati da una forma di tecnologia dell'informazione che permette ai dispositivi informatici in rete di scambiare dati e altre risorse su connessioni dati, tra cui Internet, Intranet e reti virtuali private.

Richiesta di risarcimento: qualsiasi richiesta scritta di risarcimento danni da parte di un terzo o dai suoi aventi

diritto nei confronti dell’Assicurato, presentata in via giudiziale o stragiudiziale.

Servizi: tutti i servizi relativi al trattamento, alla manutenzione, alla protezione o alla conservazione del materiale informatico (hardware), dell’infrastruttura, dei dati elettronici o dei software della Struttura Assicurata.

Servizi Internet: servizi che consentono l'uso di Internet, come ad esempio: (1) prestatori di servizi Internet responsabili della fornitura di servizi, hardware e attrezzature tecniche per l'uso / funzionamento di Internet;

(2) fornitori di servizi DNS (sistema di nomi di dominio); (3) altri fornitori di servizi Internet e fornitori esterni di servizi di rete responsabili degli scambi Internet (operatori di livello 1); e (4) fornitori di reti xxx xxxx, xxx xxxxxxxxx e radio.

Sinistro:

- Per il funzionamento delle garanzie "Danni garantiti" di cui al Capitolo 4 delle CONDIZIONI PARTICOLARI DI POLIZZA, qualsiasi danno o insieme di danni derivanti dallo stesso evento dannoso costituito da un Evento Cyber garantito.

- Per il funzionamento delle “Garanzie di Responsabilità Civile" di cui al Capitolo 5 delle CONDIZIONI PARTICOLARI DI POLIZZA, qualsiasi richiesta di risarcimento avanzata da terzi nei confronti dell’Assicurato, derivante da un evento dannoso di cui l’Assicurato sia civilmente responsabile.

L’evento dannoso costituisce la causa che genera il danno. Una serie di eventi dannosi dovuti alla stessa

causa tecnica iniziale sarà considerata come un unico sinistro.

Sistema informatico: insieme delle tecnologie dell'informazione e dei sistemi di comunicazione (ad esempio: qualsiasi parte o elemento di hardware, infrastruttura, software, supporti elettronici), utilizzati allo scopo di creare, elaborare, trattare, proteggere, controllare, archiviare, recuperare, visualizzare, trasmettere e accedere ai dati.

Sistemi informatici assicurati:

- i sistemi informatici della Struttura Assicurata;

- i sistemi informatici in outsourcing (esternalizzati) quando sono gestiti da un fornitore di servizi esterni esclusivamente per conto della Struttura Assicurata, nell'ambito di un Contratto concluso tra la stessa e tale fornitore.

In ogni caso, resta escluso qualsiasi computer, sistema o dispositivo elettronico portatile appartenente o sotto il controllo di un preposto della Struttura Assicurata e che viene utilizzato per accedere al sistema informatico assicurato o ai dati memorizzati nel sistema informatico della Struttura Assicurata.

Sistemi informatici della Struttura Assicurata: i sistemi informatici controllati dalla Struttura Assicurata, di sua proprietà o acquistati in leasing, per i quali l'Assicurato disponga di una licenza o di un Contratto di locazione.

Sistemi informatici in outsourcing (esternalizzati): i sistemi informatici controllati e gestiti dal fornitore di servizi esterno, che sono di proprietà o affittati dalla Struttura Assicurata o dal fornitore di servizi esterno, o per i quali dispongono di una licenza. Questi sistemi informatici in outsourcing possono o non possono essere gestiti esclusivamente per conto della Struttura Assicurata.

Sistemi informatici in outsourcing condivisi: i sistemi informatici in outsourcing, quando non sono gestiti esclusivamente per conto della Struttura Assicurata.

Se espressamente previsto dalle relative garanzie interessate, le garanzie del presente Contratto di Assicurazione possono essere estese agli incidenti di sicurezza informatica che colpiscono i sistemi informatici in outsourcing condivisi, a condizione che, se i dati trattati sono dati personali, sia stato sottoscritto un Contratto per il trattamento dei dati tra la Struttura Assicurata, titolare del trattamento dei dati, e il responsabile del trattamento dei dati, in conformità a quanto previsto dall’Art. 28 del GDPR (Regolamento (UE) 2016/679).

Nel caso in cui i sistemi informatici in outsourcing condivisi ospitino dati sanitari, devono essere rispettate le eventuali disposizioni vigenti, applicabili ai fornitori che ospitano i suddetti dati.

Software: qualsiasi programma digitale, standard, personalizzato o sviluppato individualmente, o qualsiasi applicazione posseduta o eseguita da un sistema informatico che comprende una serie di istruzioni. Queste istruzioni, incorporate in un supporto leggibile da una macchina, consentono alla stessa, dotata di capacità di trattamento delle informazioni, di indicare una funzione, di eseguire un'attività o di ottenere un risultato.

Supporti elettronici: qualsiasi dispositivo materiale fisso o rimovibile utilizzato per registrare e archiviare dati

(ad esempio: dischi ottici, dischi rigidi interni o esterni, nastri magnetici o chiavi USB).

Terzo: qualsiasi persona fisica o giuridica diversa dall'Assicurato e dal Contraente.

CONDIZIONI GENERALI DI POLIZZA

Sezione 1: Formazione e durata del contratto

Articolo 1 Decorrenza e durata del contratto

Il presente Contratto di Assicurazione si intende efficace dalla data di decorrenza, a condizione che il premio o la prima rata di premio siano stati pagati nei termini stabiliti al successivo articolo 5.2 “Pagamento del premio” e cessa, senza necessità di disdetta, alla data di scadenza.

Entrambe le date sono indicate nella SCHEDA DI POLIZZA.

È facoltà delle Parti disdire Il presente Contratto di Assicurazione ad ogni scadenza annuale mediante lettera raccomandata A/R o a mezzo PEC da inviare almeno 60 (sessanta) giorni prima della scadenza del periodo annuale di POLIZZA.

Sezione 2: Adempimenti in merito alla determinazione del rischio assicurato

Articolo 2 Dichiarazioni relative alle circostanze del rischio – aggravamento e diminuzione del rischio

2.1 - Aggravamento e diminuzione del rischio

Qualora nel corso del Contratto di Assicurazione si verifichino circostanze tali da variare il rischio, il Contraente/Assicurato deve darne immediata comunicazione alla Società.

Se la variazione implica un aggravamento del rischio tale per cui la Società non avrebbe stipulato il contratto, la Società ha diritto di recedere con effetto immediato dall’POLIZZA.

Se la variazione del rischio implica un aggravamento dello stesso tale per cui la Società avrebbe sottoscritto il presente Contratto di Assicurazione per un premio maggiore, la Società può richiedere la modifica delle condizioni in corso.

Nel caso in cui il Contraente/Assicurato non accetti le nuove condizioni la Società ha diritto di recedere dalla Polizza nel termine di trenta giorni dalla ricevuta comunicazione, dando al Contraente/Assicurato preavviso di 15 (quindici) giorni.

Se il sinistro si verifica prima che siano trascorsi i termini per la comunicazione e per l'efficacia del recesso, la Società non risponde qualora l'aggravamento del rischio sia tale che la stessa non avrebbe prestato l'POLIZZA se il nuovo stato di cose fosse esistito al momento del contratto; altrimenti, la somma dovuta è ridotta, tenuto conto del rapporto tra il premio stabilito nel Contratto di Assicurazione e quello che sarebbe stato fissato se il maggiore rischio fosse esistito al tempo

del Contratto di Assicurazione stesso secondo quanto previsto dall’ultimo comma dell’articolo 1898 del

Codice civile.

Se invece la comunicazione della circostanza che determina la variazione del rischio comporta una riduzione di quest’ultimo, il premio è ridotto in proporzione, a decorrere dalla scadenza annuale successiva alla data di pervenimento della comunicazione. Resta inteso che la Società, in questa ultima ipotesi, ha facoltà – ai sensi dell’articolo 1897 del codice civile - di recedere dal Contratto di Assicurazione entro 2 (due) mesi dal giorno in cui è stata fatta la comunicazione. La dichiarazione di recesso dal Contratto di Assicurazione ha effetto dopo 1 (un) mese.

2.2 - Dichiarazioni inesatte e reticenti con dolo o colpa grave

Le dichiarazioni inesatte e le reticenze del Contraente/Assicurato relative a circostanze tali che la Società non avrebbe dato il suo consenso o non lo avrebbe dato alle medesime condizioni se avesse conosciuto il vero stato delle cose, sono causa di annullamento del Contratto di Assicurazione quando il Contraente/Assicurato ha agito con dolo o con colpa grave.

La Società decade dal diritto d'impugnare Il presente Contratto di Assicurazione se, entro tre mesi dal giorno in cui ha conosciuto l'inesattezza della dichiarazione o la reticenza, non dichiara al Contraente/Assicurato di volere esercitare l'impugnazione.

La Società ha diritto ai premi relativi al periodo annuale di POLIZZA in corso al momento in cui ha domandato l'annullamento e, in ogni caso, al premio convenuto per il primo anno. Se il sinistro si verifica prima che sia decorso il termine indicato dal comma precedente, la Società non è tenuta a pagare l’indennizzo richiesto.

2.3 - Dichiarazioni inesatte e reticenti senza dolo o colpa grave

Se il Contraente/Assicurato ha agito senza dolo o colpa grave, le dichiarazioni inesatte e le reticenze non sono causa di annullamento del contratto, ma la Società può recedere dal Contratto di Assicurazione stesso mediante dichiarazione da farsi al Contraente/Assicurato nei 3 (tre) mesi dal giorno in cui ha conosciuto l'inesattezza della dichiarazione o la reticenza.

Se il sinistro si verifica prima che l'inesattezza della dichiarazione o la reticenza sia conosciuta dalla Società, o prima che questi abbia dichiarato di recedere dal contratto, la somma dovuta è ridotta in proporzione della differenza tra il premio convenuto e quello che sarebbe stato applicato se si fosse conosciuto il vero stato delle cose.

Articolo 3 Dichiarazione delle altre assicurazioni

Il Contraente/Assicurato deve comunicare alla Società l’esistenza o la stipula di altre assicurazioni per i medesimi rischi ai quali si riferisce l’POLIZZA. Se il Contraente/Assicurato omette dolosamente di dare tale avviso, la Società non è tenuta a pagare l’indennizzo richiesto.

Articolo 4 Forma delle comunicazioni e dichiarazioni

Salvo quanto previsto agli articoli 1 “Decorrenza e durata del contratto” e 8 “Recesso in caso di sinistro” delle presenti CONDIZIONI GENERALI DI POLIZZA, tutte le dichiarazioni alle quali il Contraente/Assicurato è tenuto devono essere effettuate in forma scritta e le eventuali variazioni devono risultare da specifico atto sottoscritto dalle parti.

Sezione 3: Premio

Articolo 5 Calcolo e pagamento del premio

5.1 - Calcolo del premio

L'importo del premio corrispondente alle garanzie sottoscritte è determinato dai parametri riportati nella SCHEDA DI POLIZZA e si basa su elementi e circostanze dichiarati dal Contraente/Assicurato al momento della sottoscrizione.

5.1 - Pagamento del premio

Il primo Periodo annuale di POLIZZA ha inizio dalle ore 24 del giorno indicato nella SCHEDA DI POLIZZA se il premio o la prima rata di premio è stato pagato entro 60 (sessanta) giorni, altrimenti ha inizio dalle ore 24 del giorno del pagamento.

Ad ogni scadenza, pagato il premio convenuto o la prima rata dello stesso, inizia un nuovo Periodo annuale di POLIZZA, distinto dal precedente e dal successivo.

Se il Contraente non paga il premio delle annualità successive, la POLIZZA resta sospesa dalle ore 24 del 60° (sessantesimo) giorno dopo quello della data di scadenza stabilita per il pagamento e riprende vigore dalle ore 24 del giorno del pagamento, ferme le successive scadenze.

Il premio è sempre determinato per periodi annuali di POLIZZA, salvo il caso di contratti di durata inferiore, ed è sempre interamente dovuto, anche se ne sia stato concordato il frazionamento in più rate. I premi devono essere pagati, salvo diverso accordo tra le parti, direttamente alla Società.

Articolo 6 Oneri fiscali

Le imposte e tutti i relativi oneri stabiliti per legge presenti e futuri, relativi al premio, al Contratto di Assicurazione ed agli atti da esso dipendenti, sono a carico del Contraente anche se il pagamento ne sia stato anticipato dalla Società.

Sezione 4: Sinistri

Articolo 7 Disposizioni da seguire in caso di sinistro

In caso di sinistro, il Contraente/Assicurato deve immediatamente adottare tutte le misure necessarie per limitarne la rilevanza e si impegna a seguire le disposizioni previste nelle CONDIZIONI PARTICOLARI DI POLIZZA.

Articolo 8 Recesso in caso di sinistro

Dopo ogni denuncia di sinistro a termini di polizza e fino al 90° (novantesimo) giorno dal pagamento o rifiuto dell’indennizzo, la Società, nonché il Contraente, possono recedere dalla Polizza con preavviso di 30 (trenta) giorni.

Le comunicazioni di recesso dovranno essere effettuate esclusivamente per iscritto con lettera

raccomandata A/R o a mezzo PEC.

In tal caso la Società mette a disposizione del Contraente la quota di premio relativa al periodo di rischio non corso, escluse soltanto le imposte.

Articolo 9 Risoluzione anticipata del contratto

Nei casi di recesso o di anticipata risoluzione del rapporto giuridico previsti dal Contratto di Assicurazione o dall’articolo 1896 del Codice civile, sono dovuti alla Società, oltre alle rate di premio scadute e rimaste insoddisfatte, il premio complessivo relativo al periodo di POLIZZA in corso al momento in cui si è verificata la circostanza che ha dato motivo al recesso o alla risoluzione.

Sezione 5: Disposizioni diverse

Articolo 10 Coassicuazione

Qualora la presente POLIZZA sia ripartita tra altri assicuratori ai sensi dell’articolo 1911 del Codice civile, ciascun assicuratore è tenuto al pagamento dell'indennità assicurata soltanto in proporzione della rispettiva quota senza alcuna solidarietà con gli altri.

Nel caso in cui la Società sia delegata dagli altri coassicuratori all’incasso del premio ed alla gestione dei sinistri, il Contraente/Assicurato è esonerato dal provvedere ad estendere agli altri coassicuratori le comunicazioni dovute a termini del presente contratto.

Resta inteso che, in caso di vertenza giudiziale in sede civile, in virtù dell’assenza di solidarietà tra i coassicuratori, l’eventuale chiamata in causa (ex articolo 1917 del Codice civile IV comma)

dell’assicuratore delegatorio produce i propri effetti solo limitatamente alla quota di rischio sottoscritta dal

coassicuratore convenuto.

Articolo 11 Surroga

La Società che ha pagato l'indennità è surrogata, fino alla concorrenza dell'ammontare di essa, nei diritti del

Contraente/Assicurato verso i terzi responsabili.

Il Contraente/Assicurato è tenuto a preservare e garantire il diritto di Surroga della Società ed è responsabile verso la Società del pregiudizio eventualmente arrecato allo stesso.

Articolo 12 Prescrizione

Il diritto al pagamento delle rate di premio si prescrive in 1 (un) anno dalle singole scadenze.

Gli altri diritti derivanti dal Contratto di Assicurazione si prescrivono in 2 (due) anni dal giorno in cui si è verificato il fatto su cui il diritto si fonda.

Nella POLIZZA della responsabilità civile il termine decorre dal giorno in cui il terzo ha richiesto il risarcimento

all’Assicurato o ha promosso contro di questo l’azione.

La comunicazione all’assicuratore della richiesta del terzo danneggiato o dell’azione da questo proposta sospende il corso della prescrizione finché il credito del danneggiato non sia divenuto liquido ed esigibile oppure il diritto del terzo danneggiato non sia prescritto.

Articolo 13 Reclami

Il Contraente/Assicurato – come illustrato nell’Allegato 3 di cui al Regolamento IVASS n. 40 del 2 agosto 2018 - può presentare reclamo contro la Società ai sensi e per gli effetti di quanto disposto dal Regolamento Isvap (ora IVASS) n. 24 del 19 maggio 2008 nonché del Regolamento IVASS

n. 41 del 2 agosto 2018, in caso di:

- mancata osservanza, da parte della Compagnia e/o dei suoi intermediari e/o periti fiduciari, delle disposizioni del Codice delle Assicurazioni Private, delle relative norme di attuazione nonché delle norme sulla commercializzazione a distanza di prodotti assicurativi,

- liti transfrontaliere in materia di servizi finanziari, per le quali si chiede l’attivazione della rete FIN- NET (risoluzioni extragiudiziali delle controversie).

Gli assicurati e/o danneggiati – sia persone fisiche che giuridiche – e le associazioni riconosciute per la rappresentanza degli interessi dei consumatori, possono presentare reclamo, per iscritto, inoltrato anche a mezzo fax o tramite e-mail, all’assicuratore.

Articolo 14 Trattamento dei dati personali

14.1 - Il Contraente/Assicurato e la Società si impegnano ad osservare e rispettare, ognuna per quanto di propria competenza, le disposizioni di cui al Regolamento UE n. 2016/679 (“GDPR”), al D.lgs. 196/2003, come modificato dal D.lgs. 101/2018 (“Codice Privacy”), dei provvedimenti, autorizzazioni e linee guida emanati dal Garante per la Protezione dei Dati Personali e dall’European Data Protection Board, nonché di ogni altra legge, regolamento o provvedimento nazionale in materia di trattamento dei dati personali avente forza di legge (la “Normativa Privacy Applicabile”).

14.2 - Il Contraente/Assicurato e la Società riconoscono che la Società, in occasione della sottoscrizione del presente Contratto di Assicurazione e/o nell’esecuzione del rapporto contrattuale, potrà venire a conoscenza dei Dati personali dei dipendenti/collaboratori, dei Membri della Direzione e/o del Preposto del Contraente/Assicurato.

A tal fine il Contraente/Assicurato si obbliga a consegnare, per conto della stessa Società, l’informativa in materia di protezione dei Dati personali allegata alla SCHEDA DI POLIZZA, a tutte le persone fisiche i cui Dati personali, in occasione nell’esecuzione del rapporto contrattuale, potranno essere trattati dalla Società quale titolare autonomo del trattamento.

14.3 - Il Contraente/Assicurato e la Società convengono inoltre che, laddove ai fini dell’adempimento del Contratto di Assicurazione la Società dovesse trattare Dati personali per conto del Contraente/Assicurato per la gestione dei Sinistri occorsi e dovesse avere accesso a Dati contenuti in files appartenenti al Contraente/Assicurato o eventualmente forniti da quest’ultimo, ai sensi della Normativa Privacy Applicabile, la Società s’impegna a trattare tali Dati personali, ivi compresi eventuali categorie particolari di dati ex art. 9 del GDPR, ottemperando rigorosamente alle previsioni di legge e nel rispetto di quanto previsto dall’allegato Accordo relativo al trattamento dei dati personali - Data Processing Agreement - ai sensi dell’art. 28 del GDPR allegato alla SCHEDA DI POLIZZA.

Articolo 15 Foro competente

Ogni controversia concernente l’interpretazione e l’esecuzione del presente Contratto di Assicurazione sarà

devoluta alla competenza dell’autorità giudiziaria del luogo dove ha sede il Contraente.

Articolo 16 Rinvio alle norme di legge

Per tutto ciò che non è diversamente regolato dal presente Contratto di Assicurazione valgono le disposizioni di legge italiane.

Articolo 17 Clausola Broker

Ad ogni effetto di legge le parti contraenti riconoscono all’ATI MAG SpA/Adriateca Srl il ruolo di cui alla legge relativamente alla assistenza e consulenza nella esecuzione delle conseguenti obbligazioni contrattuali, per tutto il tempo della durata, inclusi proroghe, rinnovi, riforme o sostituzioni. La gestione operativa dei contratti verrà svolta dalla Società mandataria MAG SpA con sede legale in Roma, Via delle Tre Madonne 12 iscritta al RUI – Sezione B – con il n.B000400942, Xxxxxx incaricato ai sensi del D. Lgs. n. 209/2005. (in seguito denominato anche Broker). La gestione del presente contratto verrà svolta dal broker suindicato per il periodo relativo alla prima annualità contrattuale mentre per le annualità successive verrà svolta dal broker aggiudicatario del futuro esperimento di gara

In conseguenza di quanto sopra si conviene espressamente :

 che il Broker, nell’ambito della normativa richiamata, sia responsabile della rispondenza formale e sostanziale dei documenti contrattuali nonché della legittimità della sottoscrizione degli stessi da parte delle Compagnie Assicuratrici;

 che tutte le comunicazioni, tutte le corrispondenze anche in materia di sinistri e di gestione degli stessi, nonché tutti i rapporti amministrativi inerenti l’esecuzione del contratto, saranno trasmesse dall'una all'altra parte per il tramite del suddetto Broker oppure, in casi di particolare urgenza, direttamente tra le parti con contestuale invio di copia della relativa corrispondenza al Broker;

 che il pagamento dei premi dovuti alla Società in relazione alla presente polizza venga effettuato dall’Ente Contraente per il tramite del Broker e sia liberatorio per l’Ente stesso;

 Il pagamento effettuato dalla Contraente al Broker costituisce quietanza per il Contraente stesso.

 Il Broker invierà alla Società delegataria, a mezzo email, fax o PEC le relative comunicazioni d’incasso e la Società riterrà valida agli effetti della copertura assicurativa la data di spedizione. Tali comunicazioni d’incasso comporteranno automatica copertura del rischio anche per le quote delle Società Coassicuratrici che si impegnano a ritenerle valide.

 I premi incassati dal Broker verranno versati alla Società entro il giorno 10 del mese successivo a quello

dell’incasso, xxxxx restando i termini temporali della copertura.

 che l’opera del Broker verrà remunerata, in conformità agli usi del mercato nazionale ed internazionale, confermati dalla giurisprudenza, dalle Compagnie di Assicurazioni con le quali viene stipulato il presente contratto, secondo l’aliquota provvigionale del 10% da calcolarsi sul premio imponibile.

Articolo 18 Tracciabilità dei flussi

La Società Assicuratrice, la Società di Brokeraggio, nonché ogni altra entità a qualsiasi titolo interessata al presente contratto [cd filiera], sono impegnate ad osservare gli obblighi di tracciabilità dei flussi finanziari in ottemperanza a quanto previsto dalla Legge 13/08/2010 n.0 136 e s.m.i.

I soggetti di cui al paragrafo precedente sono obbligati a comunicare alla Stazione appaltante gli estremi identificativi dei conti correnti bancari o postali dedicati, anche se in via non esclusiva, alle movimentazioni finanziarie relative al presente contratto, unitamente alle generalità ed al codice fiscale dei soggetti abilitati ad operare su tali conti correnti.

Tutte le movimentazioni finanziarie di cui al presente contratto dovranno avvenire - salve le deroghe previste dalla normativa sopra citata - tramite bonifico bancario o postale [Poste Italiane S.p.A.] e riportate, relativamente a ciascuna transazione, il Codice iI Identificativo di Gara [CIG] o, qualora previsto, il Codice Unico di Progetto [CUP] comunicati dalla Stazione Appaltante.

Il mancato assolvimento degli obblighi previsti dall'art. 3 della citata Legge n.0 136/2010 costituisce causa di risoluzione del contratto, ai sensi dell'art. 1456 C.C. e dall'art. 3, comma 8 della Legge.

CONDIZIONI PARTICOLARI DI POLIZZA

Capitolo 1: Oggetto della copertura assicurativa e condizioni per l’operatività della polizza

Articolo 1 Oggetto della POLIZZA

La presente POLIZZA ha lo scopo di garantire la Struttura Assicurata in caso di Evento Cyber, come definito nel seguente articolo 3, contro le spese, i danni e le responsabilità previste nei Capitoli 3, 4 e 5 delle presenti CONDIZIONI PARTICOLARI DI POLIZZA, purché tali garanzie siano state sottoscritte dall’Assicurato e riportate nella SCHEDA DI POLIZZA.

Tali garanzie sono concesse, fermo restando:

- le esclusioni e i limiti delle garanzie indicate nel Capitolo 6 delle presenti CONDIZIONI PARTICOLARI DI POLIZZA;

- i limiti delle somme assicurate e di eventuali franchigie/scoperti previsti nella SCHEDA DI POLIZZA.

L'importo delle garanzie non è indicizzato e può essere modificato solo di comune accordo tra le Parti.

Articolo 2 Condizioni per l’operatività della polizza

2.1 - L’operatività della polizza e delle garanzie ivi contenute è subordinata al rispetto da parte dell'Assicurato delle seguenti condizioni cumulative:

(a) l'Assicurato deve garantire il backup giornaliero dei suoi dati e deve trasferirli, con una frequenza almeno settimanale, su supporti non modificabili attraverso la rete e conservati in un edificio separato;

(b) l'Assicurato dispone e mantiene costantemente attivato un software antivirus aggiornato automaticamente a protezione dei sistemi informatici assicurati;

(c) l'Assicurato deve proteggere i suoi sistemi informatici e le sue reti informatiche dagli incidenti di sicurezza informatica (aggiornando le password, le configurazioni di sistema e firewall);

d) l'Assicurato applica i correttivi di sicurezza sui sistemi operativi e sui software entro 60 giorni

dal loro rilascio.

2.2 - In caso di utilizzo di un sistema informatico in outsourcing, le garanzie si applicano in caso di Evento Cyber garantito, a condizione che Il Contratto concluso tra l'Assicurato e il suo fornitore di servizi, o, se del caso, tra il fornitore e un subfornitore di quest'ultimo, includa almeno i requisiti di cui sopra e non contenga clausole di rinuncia alla rivalsa contro questo fornitore di servizi o il subfornitore.

2.3 - In caso di inosservanza delle disposizioni dei paragrafi 2.1 e 2.2 di cui sopra, la Società ha il diritto di richiedere un’indennità proporzionale al danno che alla stessa deriva.

Tuttavia, la Società non ha il diritto di rifiutare o limitare la garanzia se l'Evento Cyber non ha origine o non è stato aggravato dal mancato rispetto delle suindicate disposizioni.

Capitolo 2: OGGETTO DELLA COPERTURA

Articolo 3 Evento Cyber

La Società garantisce, alle condizioni di cui ai Capitoli 3, 4 e 5 delle presenti CONDIZIONI PARTICOLARI DI POLIZZA, il rimborso delle spese e delle perdite subite dall'Assicurato, nonché le conseguenze economiche della responsabilità civile dell'Assicurato nei confronti di terzi, consecutive ad un Evento Cyber garantito: vale a dire consecutive al verificarsi di uno degli eventi di seguito definiti, a condizione che colpiscano o siano destinati a colpire il buon funzionamento del sistema informatico assicurato:

a) Atto doloso informatico:

Qualsiasi atto illecito con o senza l'uso di malware, (incluso l'attacco denial of service o il furto di dati) volto a causare dei danni o ad ottenere l’accesso illegittimo a dati, sistemi informatici o reti informatiche attraverso qualsiasi sistema informatico o rete informatica.

b) Errore umano:

Qualsiasi errore non intenzionale commesso da un preposto dell'Assicurato o da un fornitore di servizi esterno dell'Assicurato per negligenza, imperizia o inavvertenza nell’ambito della gestione, della manutenzione o dell’aggiornamento del sistema informatico assicurato (ad esempio: errore operativo, errore di amministrazione, errore di configurazione del software o errore durante un test di corretto funzionamento), con conseguente perdita, divulgazione, alterazione o distruzione dei dati garantiti.

Articolo 4 Precisazione

Non viene considerato come errore umano coperto dal contratto di assicurazione un errore di programmazione, vale a dire un qualunque errore, che si verifica nella progettazione, sviluppo o codifica di un programma informatico.

Capitolo 3: Spese garantite

Articolo 5 Spese di gestione dell’Evento Cyber e di Gestione dell’Emergenza

5.1 - Ambito di applicazione della garanzia

Nel caso in cui un Evento Cyber garantito colpisca direttamente il sistema informatico assicurato, la Società prenderà in carico le spese di assistenza d’urgenza e le spese di risposta all'incidente secondo le modalità di seguito indicate.

Questa garanzia si applica anche:

- in caso di Evento Cyber che colpisca i sistemi informatici in outsourcing condivisi, a condizione che:

o se i dati trattati sono dati personali, sia stato sottoscritto un Contratto per il trattamento dei dati tra la Struttura Assicurata, titolare del trattamento dei dati, e il responsabile del trattamento dei dati, in conformità a quanto previsto dall’Art. 28 del Regolamento (UE) 2016/679.

o per quanto riguarda i dati sanitari, siano rispettate le eventuali disposizioni vigenti, applicabili ai fornitori che ospitano i suddetti dati.

- e, in caso di interruzione volontaria da parte dell'Assicurato del sistema informatico assicurato, al fine di prevenire il verificarsi o limitare le conseguenze di un Evento Cyber garantito.

5.2 - Natura delle spese coperte a - Spese di assistenza d’urgenza:

La Società copre le spese di assistenza d’urgenza, ragionevoli e necessarie, sostenute entro le prime 96 ore successive alla data in cui:

- un membro della direzione della Struttura Assicurata ha avuto o avrebbe dovuto essere a conoscenza dell'Evento Cyber,

o

- il responsabile della sicurezza dei sistemi informatici o il responsabile della protezione dei dati ne siano venuti a conoscenza.

Ai fini dell’applicazione della presente garanzia, si intende per spese di assistenza d’urgenza:

- le spese e gli onorari del gestore della risposta all’Evento Cyber, per coordinare la gestione dell’Evento Cyber,

- le spese e gli onorari del fornitore di servizi specializzato in investigazione, per identificare le cause e l'entità dell'Evento Cyber e i mezzi per porre fine, contenere o rimediare all’incidente.

Il gestore della risposta all’incidente e il fornitore di servizi specializzato in investigazione designati devono essere stati proposti dalla Società o approvati dalla Società anteriormente all’incidente, nel caso in cui li abbia scelti l’Assicurato.

In tutti i casi, i fornitori proposti dalla Società devono essere stati informati dell'incidente ed eventualmente del nome del fornitore designato.

b – Spese di risposta all’incidente:

La Società copre le spese di risposta sostenute a seguito di un Evento Cyber garantito, fino ad un massimo di 6 mesi dalla data in cui:

- un membro della direzione della Struttura Assicurata ha avuto o avrebbe dovuto essere a conoscenza dell'Evento Cyber,

o

- il responsabile della sicurezza dei sistemi informatici o il responsabile della protezione dei dati ne siano venuti a conoscenza.

Questa garanzia è prestata dopo l'applicazione della franchigia prevista nella SCHEDA DI POLIZZA.

Ai fini dell'applicazione di questa garanzia, per spese di risposta all’incidente si intendono:

b.1 - le spese e gli onorari del gestore della risposta all’Evento Cyber, nominato o approvato dalla Società per coordinare la gestione dell'Evento Cyber;

b.2 - le spese e gli onorari del fornitore di servizi specializzato in investigazione, nominato o approvato dalla Società per identificare le cause e l'entità dell'incidente e i mezzi per porre fine, contenere o rimediare all’incidente;

b.3 - le spese sostenute dall'Assicurato, previo accordo della Società, per adempiere agli obblighi legali o regolamentari vigenti in materia di protezione dei dati personali, a seguito dell'Evento Cyber (a titolo esemplificativo: informazione all'Autorità di Controllo competente, notifica agli interessati);

b.4 - le spese e gli onorari dello Studio Legale nominato o approvato dalla Società per la rappresentanza

nell’ambito dei suoi scambi con le autorità interessate.

Non sono coperti dalla garanzia "spese di risposta all’incidente", né le spese sostenute dall'Assicurato per difendersi davanti a qualsiasi giurisdizione, né la remunerazione dei preposti dell'Assicurato che hanno collaborato alla risoluzione della controversia.

b.5 – le spese e gli onorari dei consulenti di comunicazione di crisi il cui intervento è richiesto o approvato dall'Assicurato, in accordo con la Società, al fine di assistere la Struttura Assicurata nell'ambito della comunicazione conseguente all’Evento Cyber garantito.

A tal fine, potranno essere prese in carico le spese e gli onorari dei consulenti in comunicazione di crisi derivanti dalle prestazioni seguenti:

- assistenza nella valutazione della gravità della crisi e nella stima del grado del suo impatto (analisi di documenti, lettere, articoli di giornale, interviste aggiuntive …),

- definizione delle prime azioni di comunicazione di crisi,

- raccomandazione di una strategia di comunicazione di crisi,

- assistenza nella definizione dei messaggi e nell'elaborazione degli strumenti di comunicazione:

o comunicati stampa,

o comunicazioni esterne,

o comunicazioni sui social network e via Internet

- consulenza in materia di comunicazione nei rapporti con i media, così come con i clienti e, più in generale, con qualsiasi attore dell’ecosistema dell'Assicurato.

Le suddette prestazioni non si estendono in alcun modo all'attuazione di azioni di comunicazione interna o relative ad un piano di ricostruzione dell'immagine.

In via eccezionale e su richiesta scritta dell'Assicurato, è possibile organizzare una visita in loco del consulente al fine di:

- partecipare a un'unità di gestione di crisi,

- assistere l'Assicurato nello sviluppo di strumenti di comunicazione,

- servire da interlocutore con i media,

- consigliare il portavoce faccia a faccia con gli strumenti appropriati,

- organizzare e preparare un briefing per la stampa, una conferenza stampa.

Le spese di viaggio del consulente sono a carico dell'Assicurato.

b.6 - Nel caso in cui l'Evento Cyber garantito dia luogo ad una notifica alle persone colpite, le spese sostenute dall’Assicurato, previo accordo della Società, per garantire l’individuazione di un uso fraudolento di tali dati.

5.3 - Esclusioni specifiche:

Oltre alle esclusioni previste nell'articolo 13 delle presenti Condizioni Speciali di Assicurazione, non sono coperti:

- le spese di qualsiasi tipo sostenute al fine di prevenire o limitare un incidente di sicurezza informatica non coperto dal presente contratto di assicurazione;

- qualsiasi danno materiale o immateriale subito dall'Assicurato;

- le spese di sostituzione di qualsiasi bene materiale;

- le spese sostenute per ricostruire dati che non possono essere ricostruiti o per documentare e sviluppare un dato in particolare;

- i costi di aggiornamento, sostituzione, miglioramento o potenziamento dei dati, dei software o del sistema informatico assicurato;

- le spese sostenute dall'Assicurato per aggiornare e migliorare le sue politiche, procedure e controlli in materia di protezione dei dati personali e di sicurezza della rete, al fine di portarli ad un livello superiore a quello che esisteva prima del sinistro o per renderli conformi ai requisiti del GDPR (Regolamento (UE) 2016/679) e alle disposizioni adottate per la sua applicazione;

- i costi di adempimento degli obblighi imposti nell'ambito di una procedura di penalità di mora o di ingiunzione o in seguito a qualsiasi altra condanna non finanziaria;

- gli stipendi, le spese operative generali, le remunerazioni di qualsiasi tipo dei preposti dell'Assicurato o dei membri della Direzione dell'Assicurato.

5.4 - Limite di garanzia:

La copertura delle spese di assistenza d’urgenza e delle spese di risposta all’incidente è prestata entro il limite complessivo delle somme previste per l’insieme di tutte queste spese nella SCHEDA DI POLIZZA.

Articolo 6 Costi operativi aggiuntivi

1 - Definizioni:

Oltre alle definizioni presenti nelle Condizioni di Polizza, ai fini dell’operatività della garanzia

“Costi operativi aggiuntivi” si intende per:

1.2 - Franchigia: l’importo prestabilito, espresso incifra fissa e indicato nella Scheda di Polizza, cheviene dedotto

dalla somma indennizzata e rimane a carico dell’Assicurato in caso di attivazione della

presente garanzia.

1.3 - Periodo di carenza: il numero di ore indicato nella Scheda di Polizza successivo ad un’interruzionetotaleo riduzione dell’Attività dell’Assicurato a seguito di un incidente di sicurezza informatica garantito.

Se la durata dell'interruzione o riduzione dell'attività non supera il periodo di carenza, nessun indennizzo è dovuto.

Se la durata dell'interruzione o della riduzione dell'attività supera il periodo di carenza, l'indennizzo è pagato dopo la deduzione di una franchigia fissa, il cui importo è indicato nella Scheda di Polizza.

1.4 - Periodo d'indennizzo: il periodo durante il quale i sistemi informatici assicurati sono parzialmente o totalmente indisponibili a causa di un incidente di sicurezza informatica garantito e che termina quando i suddetti sistemi informatici sono di nuovo completamente disponibili.

Il periodo di indennizzo inizia il giorno del sinistro. Questo periodo è in ogni caso limitato alla durata stabilita nella Scheda di Polizza e non viene modificato per effetto della scadenza, della risoluzione o sospensione del contratto avvenuti successivamente alla data del sinistro.

1.5 - Profitto lordo: la differenza fra l'ammontare del fatturato annuo addizionato alle rimanenze finali e l'ammontare delle rimanenze iniziali addizionato agli altri costi variabili di esercizio non assicurati. Le rimanenze iniziali e quelle finali devono essere determinate secondo i normali metodi contabili dell'Assicurato.

2 - Oggetto della copertura assicurativa:

In caso di interruzione totale o riduzione dell'attività dell'Assicurato dovuta ad un arresto totale o parziale dei sistemi informatici assicurati, direttamente causato da un incidente di sicurezza informatica garantito, la Società pagherà, entro i limiti indicati nella Scheda di Polizza, un indennizzo per i costi operativi aggiuntivi sostenuti dall’Assicurato, con l'accordo della Società, durante il periodo di indennizzo, per consentire la continuità del funzionamento del sistema informatico dell'Assicurato e per favorire la ripresa totale o parziale della sua attività nel più breve tempo possibile.

3 - Limiti di copertura:

La presente copertura è prestata nei limiti del massimale di garanzia, e della durata, così come della franchigia e dopo il periodo di carenza indicati nella Scheda di Polizza.

4 - Valutazione dei costi operativi aggiuntivi:

I costi operativi aggiuntivi sono costituiti da tutte le spese sostenute dall'Assicurato, o per suo conto, di comune accordo tra le Parti, al fine di evitare o limitare, durante il periodo d’indennizzo, la perdita di profitto lordo attribuibile al sinistro, e allo scopo di mantenere la continuità del funzionamento del sistema informatico dell'Assicurato o di favorire la ripresa totale o parziale della sua attività nel più breve tempo possibile. In particolare, i suddetti costi possono includere:

- il costo dell'affitto di attrezzature o di locali,

- i costi aggiuntivi di manodopera legati all'uso di personale supplementare o agli straordinari dei preposti dell’Assicurato,

- i costi di manutenzione, riscaldamento, illuminazione, sicurezza, sorveglianza dei locali aggiuntivi temporanei, i costi di subappalto.

5 - Calcolo dell’indennizzo

L'Polizza non può essere causa diguadagno per l'Assicurato e l'indennizzo può essere basato solo sul danno effettivo.

L'assicurato è tenuto a provare la realtà e l'entità del danno.

L'Assicurato si impegna a produrre tutti i documenti giustificativi su richiesta della Società.

6 - Esclusioni:

Oltre alle esclusioni previste dall'articolo 13 delle Condizioni Speciali di Polizza, sono esclusi dalla presente copertura:

1. l’indennizzo della perdita di profitto lordo risultante, durante il periodo di indennizzo, dalla diminuzione del fatturato causata dall'interruzione totale o dalla riduzionedell'attività assicurata;

2. i costi fissi di esercizio che l'Assicurato avrebbe normalmente sostenuto per svolgere le stesse attività durante il medesimo periodo se non si fosse verificato il sinistro;

3. i costi derivanti da:

a) una cancellazione o una modifica pianificata di dati elettronici;

b) un’indisponibilità dei correttivi di sicurezza di cui all'articolo 2.1 delle Condizioni Speciali di Polizza;

c) un’indisponibilitàdidatinonripristinabili o nonrecuperabili,

d) un'estensione del periodo di indennizzo dovuto a:

i. limitazioni o divieti amministrativi, che impediscono il ripristino o il funzionamento del sistema informatico;

ii. modifiche o miglioramenti apportati in relazione all'incidente di sicurezza informatica assicurato, tranne nel caso in cui tale estensione sia stata accettata dalla Società al fine di porre rimedio all'incidente di sicurezza informatica;

iii. un ritardo nella ripresa dell’attività dell’Assicurato che sia imputabile allo stesso;

iv. I costi e le spese coperte in altri Capitoli delle Condizioni Speciali di Polizza diversi dalla presente garanzia non sono considerati come un aumento dei costi di lavoro.

7. La garanzia è prestata nel limite delle somme indicate nella SCHEDA DI POLIZZA.

Capitolo 4: Xxxxx xxxxxxxxx

Articolo 7 Ripristino dei dati e dei software

7.1- Ambito di applicazione della garanzia

In caso di Evento Cyber garantito che colpisca direttamente il sistema informatico assicurato, la Società prenderà in carico le spese sostenute dall'Assicurato per ripristinare i dati e i software secondo le modalità di seguito definite.

Questa garanzia si applica anche in caso di interruzione volontaria da parte dell'Assicurato del sistema informatico assicurato al fine di prevenire o limitare le conseguenze di un Evento Cyber garantito.

7.2- Natura delle spese coperte:

Ai sensi della presente garanzia, sono coperti:

- In caso di Evento Cyber garantito che colpisca direttamente il sistema informatico della Struttura assicurata : le spese sostenute dall'Assicurato, incluse le spese di manodopera dell'Assicurato, che sono necessarie, secondo quanto indicato dall’esperto, per ripristinare, pulire e disinfettare i dati e i software della Struttura Assicurata e riconfigurare i software e il sistema informatico dell'Assicurato, al fine di riportarli al livello di funzionamento in cui erano poco prima del verificarsi dell’Evento Cyber garantito,

- In caso di Evento Cyber garantito che colpisca i sistemi informatici in outsourcing, gestiti da un fornitore di servizi esterni esclusivamente per conto della Struttura Assicurata: le spese sostenute dall'Assicurato, incluse le spese di manodopera dell'Assicurato, che sono necessarie, secondo quanto indicato dall’esperto, per ripristinare, pulire e disinfettare i dati della Struttura Assicurata, al fine di riportarli al livello di funzionamento in cui erano poco prima del verificarsi dell’Evento Cyber garantito.

7.3- Esclusioni specifiche:

Oltre alle esclusioni previste nell'articolo 13 delle presenti Condizioni Speciali di Assicurazione, non sono coperti:

- le spese di risposta all’incidente di cui all'articolo 5.2, lettera b);

- le spese sostenute per identificare o correggere le vulnerabilità dei software;

- i costi di aggiornamento, sostituzione, potenziamento o miglioramento dei dati, dei software o del sistema informatico assicurato;

- i costi di sostituzione di qualsiasi bene materiale;

- le spese sostenute per ricostruire dei dati che non possono essere ricostruiti o per documentare e sviluppare un dato in particolare;

- i costi di ricostituzione dei dati in caso di scomparsa per qualsiasi motivo delle informazioni di base essenziali, in assenza di un backup che consenta il ripristino dei Dati oltre le ultime 24 ore.

7.4- Limite di garanzia:

La garanzia è prestata nel limite delle somme e della durata indicate nella SCHEDA DI POLIZZA.

Capitolo 5: Garanzie di Responsabilità Civile

Articolo 8 Responsabilità civile in caso di violazione dei dati riservati

8.1 - Ambito d’applicazione della garanzia

La presente garanzia si applica in caso di Evento Cyber garantito che colpisca direttamente il sistema informatico assicurato.

8.2 - Oggetto della garanzia

La Società si obbliga a tenere indenne l’Assicurato di quanto questi sia tenuto a pagare, quale civilmente responsabile ai sensi di legge, per richieste di risarcimento determinate da perdita accidentale, accesso non autorizzato, divulgazione accidentale o danno accidentale ai dati riservati garantiti, derivanti direttamente da un Evento Cyber garantito.

Nell’ambito della difesa in giudizio dell'Assicurato, la Società provvederà al pagamento delle spese e degli onorari di esperti, avvocati, investigazioni, comparizioni dinanzi ai tribunali, indagini, esami e/o procedure necessarie per la propria difesa davanti a un tribunale civile, amministrativo e/o penale.

La garanzia non si applica alle richieste di risarcimento presentate dai preposti dell'Assicurato e/o dai membri della Direzione in caso di collusione tra loro o tra i preposti dell'Assicurato e/o i membri della Direzione e la Struttura Assicurata.

8.3 - Esclusioni specifiche

Oltre alle esclusioni previste all'articolo 13 delle presenti Condizioni Speciali di Assicurazione, non sono coperti:

- la remunerazione dei preposti dell’Assicurato che hanno collaborato alla risoluzione della controversia,

- i costi di eventuali cauzioni e/o depositi di somme a titolo di garanzie.

8.4 - Limite di garanzia:

La garanzia è prestata nel limite delle somme indicate nella SCHEDA DI POLIZZA.

Articolo 9 Responsabilità civile sicurezza delle reti e dei sistemi di Terzi

9.1- Ambito di applicazione della garanzia

La presente garanzia si applica in caso di Evento Cyber garantito che colpisca direttamente il

sistema informatico assicurato.

Tuttavia, non si applica in nessun caso laddove l’Evento Cyber colpisca direttamente i sistemi informatici in outsourcing condivisi.

9.2- Oggetto della garanzia

La Società risarcisce quanto l’Assicurato sia tenuto a pagare, quale civilmente responsabile ai sensi di legge, per richieste di risarcimento determinate da una violazione dei sistemi informatici di terzi o dei dati forniti o messi a loro disposizione dalla Struttura Assicurata, imputabili all'Assicurato nell’ambito delle attività garantite e risultanti dalla mancata messa in sicurezza, prevenzione, individuazione o eliminazione nel sistema informatico assicurato di un atto doloso informatico o un errore umano garantito ai sensi dell’articolo 3 delle presenti CONDIZIONI PARTICOLARI DI POLIZZA.

9.3- Esclusioni

Oltre alle esclusioni previste all'articolo 13 delle presenti Condizioni Speciali di Assicurazione, questa garanzia

non si applica in caso di atto di cyberterrorismo.

9.4- Limite di garanzia:

La garanzia è prestata nel limite delle somme indicate nella SCHEDA DI POLIZZA.

Articolo 10 Responsabilità Civile derivante dai Media

10.1 Definizioni:

Oltre alle definizioni presenti nelle Condizioni di Polizza, ai fini dell’operatività della garanzia

“Responsabilità Civile derivante dai Media”, si intende per:

10.2 Attività relative ai media della Struttura Assicurata: la diffusione, la pubblicazione o la trasmissione di qualsiasi contenuto digitale, effettuata esclusivamente da o per conto dell'Assicurato sul proprio sito web o sui social network.

10.3 Oggetto della copertura assicurativa:

La Società risarcisce quanto l’Assicurato sia tenuto a pagare, quale civilmente responsabile ai sensi di legge, per richieste di risarcimento determinate da qualsiasi atto di diffamazione o violazione dei diritti d’autore, contraffazione di un titolo, di uno slogan, di un marchio registrato, di un marchio di fabbrica, di un marchio di servizio, di nomi di servizio o di dominio, o di violazione della privacy o interferenza con la privacy, verificatisi durante l’attività relativa ai media dell'Assicurato, svolta nell'ambito delle attività dallo stesso esercitate.

Nell’ambito della difesa in giudizio della Struttura Assicurata, la Società provvederà al pagamento delle spese e degli onorari di esperti, avvocati, indagini, comparizioni dinnanzi ai

tribunali, analisi e/o procedure necessarie per la propria difesa in sede civile e/o penale, ad esclusione della remunerazione dei preposti dell'Assicurato che hanno collaborato alla risoluzione della controversia.

10.4 Esclusioni:

Oltre alle esclusioni previste dall'articolo 13 delle Condizioni Speciali di Polizza, sono esclusi dalla presente garanzia:

- i contenuti digitali gestiti o amministrati da un Terzo o da un fornitore esterno diverso dall'Assicurato;

- le richieste di risarcimento basate su errori commessi in relazione a qualsiasi dato finanziario comunicato dall'Assicurato;

- le richieste di risarcimento basate su una violazione degli obblighi di proprietà intellettuale e/o industriale oppure le richieste di risarcimento basate su una violazione degli obblighi in materia di diritto dei brevetti;

- le richieste di risarcimento determinate dalla mancanza di una licenza o di un permesso valido per scaricare musica, film o software da Internet;

- qualunque pubblicazione o diffusione di contenuti multimediali pubblicati o trasmessi su qualsiasi sistema di messaggistica istantanea, bacheca, forum o chat room e/o social network interni dell'Assicurato.

- le richieste di risarcimento avanzate dai preposti e/o dai membri della Direzione dell'Assicurato in caso di collusione tra di loro o tra i preposti e/o i membri della Direzione della Struttura Assicurata.

Capitolo 6: Disposizioni comuni a tutte

le garanzie

Articolo 11 Estensione territoriale

Le garanzie del presente Contratto di Assicurazione sono esercitate in favore di Strutture situate in , a San Marino e nella Città Del Vaticano.

TUTTAVIA, NON SI APPLICANO ALLE CONSEGUENZE DI RICHIESTE DI RISARCIMENTO PRESENTATE NEGLI STATI UNITI E IN CANADA, DI PROCEDURE IN QUESTI DUE PAESI, O BASATE SUI DIRITTI DI QUESTI DUE PAESI NONCHÉ AI DANNI DI QUALSIASI TIPO CAUSATI IN QUESTI DUE PAESI.

Articolo 12 Applicazione dei massimali, sottolimiti di indennizzo e franchigie

Le garanzie di cui al presente Contratto di Assicurazione sono prestate fino ai massimali per sinistro e per periodo annuale di POLIZZA indicati nella SCHEDA DI POLIZZA.

Il massimale aggregato per periodo annuale di POLIZZA previsto nella SCHEDA DI POLIZZA rappresenta la massima esposizione complessiva della Società per ciascun periodo annuale di POLIZZA, indipendentemente dal numero di garanzie invocate e impegnate e indipendentemente dal numero di entità assicurate, per l’insieme dei sinistri coperti dal presente Contratto di Assicurazione e attribuibili al suddetto periodo annuale di POLIZZA.

Il massimale indicato nella SCHEDA DI POLIZZA per ciascuna garanzia rappresenta la massima esposizione complessiva della Società per sinistro e per periodo annuale di POLIZZA per l’insieme delle liquidazioni effettuate dalla Società e per tutti i sinistri

attribuibili al medesimo periodo annuale di POLIZZA in applicazione della specifica garanzia.

Ogni garanzia è concessa fino al limite del massimo risarcimento applicabile sia per sinistro che per periodo annuale di POLIZZA indicato, per ciascuna garanzia, nella SCHEDA DI POLIZZA e, in ogni caso, fino al massimale aggregato per periodo annuale di POLIZZA previsto nella medesima SCHEDA DI POLIZZA.

Alcuni rischi o danni possono essere oggetto di specifici massimali di garanzia e, se del caso, essere indennizzati dopo la deduzione di una franchigia, il cui importo è menzionato nella SCHEDA DI POLIZZA.

I massimali di garanzia accordati per sinistro o per periodo annuale di POLIZZA si riducono e alla fine si esauriscono in funzione di tutti i pagamenti di spese e / o indennizzi effettuati, secondo le tempistiche delle liquidazioni, senza che tale garanzia possa essere ricostituita fino alla fine del periodo annuale di POLIZZA per altri sinistri.

La franchigia è applicabile per sinistro, indipendentemente dal numero dei danneggiati, salvo diversamente specificato nella SCHEDA DI POLIZZA.

Articolo 13 Esclusioni

Il presente contratto non copre:

13.1 Le conseguenze di qualsiasi incidente di sicurezza informatica di cui l’Assicurato era a conoscenza o avrebbe dovuto essere a conoscenza al momento della stipula del contratto di POLIZZA o che sia oggetto di qualsiasi indagine o procedura prima della data di efficacia delle garanzie.

13.2- I danni derivanti dal mancato rispetto delle misure correttive raccomandate all'Assicurato a seguito del verificarsi di un sinistro, entro 90 giorni dal verificarsi dello stesso.

13.3- Le conseguenze di comportamenti intenzionali, malevoli, dolosi o fraudolenti da parte dell'Assicurato e/o di qualunque membro della Direzione.

13.4- Le conseguenze di ordini, istruzioni o direttive a seguito delle quali la Struttura Assicurata non ha adottato le misure ragionevoli necessarie per evitare che le venissero imposte, o non abbia collaborato ragionevolmente con l'Autorità di Controllo durante le indagini o le discussioni relative a un Evento Cyber garantito.

13.5- Danni di qualsiasi tipo causati da guerra, da rivolte o da movimenti popolari, ribellione civile, sommossa, ammutinamento, sciopero, o da atti di terrorismo e/o sabotaggio.

Per "guerra" si intende qualsiasi conflitto armato che implichi l'uso della forza fisica, con o senza dichiarazione di guerra:

- da parte di uno Stato sovrano contro un altro Stato sovrano, oppure

- nell'ambito di una guerra civile, ribellione, rivoluzione, insurrezione, azione militare o usurpazione di potere.

Per “atti di terrorismo” si intendono tutti gli atti commessi per scopi politici, religiosi, ideologici, economici o simili, compresi gli atti volti a influenzare un governo e/o a diffondere la paura tra la popolazione o in una parte di essa.

Questa esclusione non si applica al cyberterrorismo (Articolo 4 delle Condizioni Speciali di Assicurazione), purché tale garanzia sia stata espressamente sottoscritta e prevista nella Scheda di Polizza.

13.6 Danni di qualsiasi natura causati da una guerra informatica.

Per “guerra informatica” si intende l'utilizzo di un sistema informatico da parte o per conto di uno Stato sovrano al fine di:

- interrompere, negare l'accesso o degradare la funzionalità di un sistema informatico; e/o

- copiare, eliminare, danneggiare, manipolare, impedire l'accesso o distruggere informazioni in un sistema informatico.

Attribuzione della Guerra informatica.

Fermo restando l'onere della prova dell'assicuratore nel determinare l'attribuzione di una Guerra informatica contro uno Stato, l'assicurato e l'assicuratore prenderanno in considerazione le prove oggettivamente disponibili.

Ciò può includere l'attribuzione formale o ufficiale da parte del governo dello Stato, oggetto dalla Guerra informatica in cui si trova fisicamente il Sistema informatico dell’assicurato, a un altro Stato o a coloro che agiscono sotto la sua direzione o sotto il suo controllo

13.7 - I danni o aggravamento di danni causati da:

- campi e onde elettromagnetiche,

- armi o dispositivi progettati per esplodere con alterazione della struttura del nucleo dell'atomo,

- qualsiasi combustibile nucleare, prodotto o rifiuto radioattivo o qualsiasi altra fonte di radiazioni ionizzanti di cui l'operatore di un impianto nucleare sia l’unico responsabile,

- qualsiasi fonte di radiazioni ionizzanti utilizzata o destinata ad essere utilizzata al di fuori di un impianto nucleare e di cui l'Assicurato, o qualsiasi persona di cui sia responsabile, abbia la proprietà, l’utilizzo o la custodia.

13.8- Le conseguenze dell'interruzione o dell'indisponibilità della fornitura di telecomunicazione esterna (compresi i servizi Internet, via satellite e via cavo) o di energia, qualunque sia la causa.

13.9- Il sequestro, la confisca, la distruzione o il deterioramento del sistema informatico, delle attrezzature o dei Dati dell'Assicurato, richiesti da un governo o per ordine di un'autorità civile, militare o di altro tipo.

13.10- L’usura, il logoramento, l’invecchiamento, il deterioramento progressivo del sistema informatico della Struttura Assicurata o di altri beni utilizzati dall'Assicurato, dai suoi fornitori di servizi o da terzi.

13.11- Il sottodimensionamento (Thin Provisioning) dei sistemi informatici della

Struttura Assicurata che li rende inadatti allo scopo cui sono destinati, di cui l'Assicurato è a conoscenza sia alla data della progettazione che durante l'attività.

13.12- L'uso di software illegali o di software senza licenza o senza una licenza valida, salvo che l'Assicurato non sia a conoscenza di questa situazione. Questa esclusione non si applica ai software sviluppati internamente dalla Struttura Assicurata.

13.13- Le perdite o i danni ai beni materiali, ai supporti di dati destinati al trattamento dell’informazione, nonché ai supporti multimediali, ai supporti di archiviazione, digitali o meno, e i conseguenti danni immateriali.

13.14- Le perdite sui mercati finanziari, comprese quelle relative ad attività speculative o le perdite causate dall’interruzione o dalla riduzione dell’attività (fatte salve, per quest’ultime, delle disposizioni contrarie eventualmente previste nella SCHEDA DI POLIZZA).

13.15- Le conseguenze dei periodi di arresto pianificati, delle interruzioni programmate o dei periodi di inattività dei sistemi informatici o parte di essi.

Questa esclusione non si applica alla copertura delle spese di gestione di un Evento Cyber garantito (Articolo 5 delle CONDIZIONI PARTICOLARI DI POLIZZA), al ripristino dei dati e dei software (Articolo 6 delle CONDIZIONI PARTICOLARI DI POLIZZA) o alle Perdite causate dall’interruzione o dalla riduzione dell’attività, quando quest’ultima garanzia sia stata sottoscritta e prevista nella SCHEDA DI POLIZZA, in caso di interruzione volontaria che si verifichi secondo le condizioni definite nel DEFINIZIONI DI POLIZZA di cui alle Condizioni di POLIZZA.

13.16- La sospensione, l’annullamento o la scadenza di un Contratto di locazione o di una licenza di cui l’Assicurato o il fornitore di servizi esterno sono titolari.

13.17- I sinistri derivanti da furto, abuso, appropriazione indebita o divulgazione di dati rientranti nella proprietà intellettuale (brevetti, marchi, copyright).

13.18- I ristorni, le agevolazioni, gli sconti, le riduzioni di prezzo, i coupon, i premi, le promozioni, i riconoscimenti o altri incentivi, sia contrattuali che non.

13.19- Le ammende, le multe, i danni e gli interessi punitivi o sanzioni di qualunque tipo.

13.20- I Danni corporali (vale a dire qualsiasi lesione corporale subita da una persona fisica), il danno psicologico, lo stress emotivo, l’ansia, il trauma, la malattia o la morte e i danni immateriali conseguenti.

Tuttavia, questa esclusione non si applica al pregiudizio morale o di ansia causati a terzi e

derivante da una violazione dei dati riservati (articolo 9 delle CONDIZIONI PARTICOLARI DI POLIZZA) o della sicurezza delle reti e dei sistemi di terzi (articolo 10 delle CONDIZIONI PARTICOLARI DI POLIZZA, qualora sottoscritta e prevista nella SCHEDA DI POLIZZA).

13.21- I Xxxxx materiali (ovvero qualsiasi deterioramento, distruzione o danno materiale subito da una persona fisica o giuridica o qualsiasi danno fisico agli animali), così come i danni immateriali che ne derivano.

13.22- Le richieste di risarcimento presentate da o per conto di:

- qualsiasi persona giuridica che controlla la Struttura assicurata; una delle filiali della Struttura Assicurata;

- qualsiasi persona giuridica controllata dalla Struttura Assicurata o dalle

sue filiali; chiunque detenga una quota di maggioranza nella Struttura Assicurata;

- qualsiasi persona giuridica di cui l'Assicurato abbia un interesse finanziario, indipendentemente dall'importo;

- qualsiasi partnership o joint venture in cui sia coinvolta la Struttura Assicurata.

13.23- Le responsabilità contrattuali nella misura in cui queste superino quelle di cui l'Assicurato sarebbe vincolato secondo il diritto comune.

In nessun caso sono coperte le conseguenze delle clausole penali che fissano contrattualmente l'importo del risarcimento.

13.24- Le conseguenze pecuniarie della responsabilità civile dell’Assicurato in ragione della fornitura, consegna e/o installazione di prodotti difettosi.

13.25- Il prezzo del lavoro eseguito e/o del prodotto consegnato dall'Assicurato e/o dai suoi subfornitori, nonché le spese sostenute per:

- riparare, completare o rifare il lavoro,

- sostituire, rimuovere tutto o parte del prodotto.

13.26- I danni derivanti da:

- un ritardo nell'esecuzione delle prestazioni,

- il mancato rispetto dei tempi di intervento o di consegna.

13.27- In caso di ransomware o di minaccia di ransomware, il pagamento o il rimborso del riscatto, nonché le spese di cyber-estorsione.

Ai fini dell'applicazione delle presenti disposizioni si intende per:

Riscatto: la somma di denaro o criptovaluta pagata dall'Assicurato al fine di prevenire o porre fine al ransomware,

Spese di cyber-estorsione: le spese sostenute dall'Assicurato per negoziare e/o pagare il riscatto al fine di prevenire o porre fine al ransomware.

13.28- Le richieste di risarcimento per le quali il pagamento o l’assicurazione non sono autorizzati a causa di una sanzione, di un divieto, di una restrizione legale o regolamentare.

13.29- Le conseguenze pecuniarie della responsabilità civile dell’Assicurato nell’ambito della sua attività professionale, compresa la prestazione di servizi a favore di terzi, tranne nei casi previsti dagli articoli 9 e 10 delle presenti Condizioni Speciali di Assicurazione, a condizione che quest’ultima garanzia sia stata sottoscritta e prevista nella Scheda di Polizza.

13.30- I sinistri derivanti da frode, furto, abuso, appropriazione indebita, perdita o trasferimento di fondi, valori, titoli finanziari o qualsiasi altro bene appartenente all'Assicurato, ad eccezione dei casi di cui agli articoli 7 "Garanzia facoltativa: perdite a seguito di un cyber-dirottamento degli impianti telefonici" e 8 " Garanzia facoltativa: perdite pecuniarie causate dal furto di fondi”, qualora le suddette garanzie siano previste nella Scheda di Polizza.

Le garanzie di cui agli articoli 5 e 6 delle presenti Condizioni Speciali di Assicurazione restano applicabili.

13.31- I sinistri derivanti dalla raccolta, dal trattamento o dall’acquisizione illegale da parte dell'Assicurato di qualsiasi dato di terzi.

13.32- Danni di qualsiasi natura causati da una guerra informatica.

Per “guerra informatica” si intende l'utilizzo di un sistema informatico da parte o per conto di uno Stato sovrano al fine di:

- interrompere, negare l'accesso o degradare la funzionalità di un sistema informatico; e/o

- copiare, eliminare, danneggiare, manipolare, impedire l'accesso o distruggere informazioni in un sistema informatico.

Attribuzione della Guerra informatica.

Fermo restando l'onere della prova dell'assicuratore nel determinare l'attribuzione di una Guerra informatica contro uno Stato, l'assicurato e l'assicuratore prenderanno in considerazione le prove oggettivamente disponibili.

Ciò può includere l'attribuzione formale o ufficiale da parte del governo dello Stato, oggetto dalla Guerra informatica in cui si trova fisicamente il Sistema informatico dell’assicurato, a un altro Stato o a coloro che agiscono sotto la sua direzione o sotto il suo controllo

Articolo 14 Funzionamento delle garanzie nel tempo

14.1 – Funzionamento delle garanzie previste nel contratto, ad esclusione delle “Garanzie di Responsabilità Civile” (Capitolo 5).

Ai fini dell’operatività delle garanzie del presente Contratto di Assicurazione, ad esclusione delle “Garanzie di Responsabilità Civile” (Capitolo 5 delle CONDIZIONI PARTICOLARI DI POLIZZA), sono coperti i sinistri relativi a un Evento Cyber garantito portato o che avrebbe dovuto essere portato a conoscenza del responsabile della sicurezza dei sistemi informatici, del responsabile della protezione dei dati o di un membro della Direzione della Struttura Assicurata, e denunciato durante il periodo di validità del contratto.

Costituisce un solo e medesimo sinistro, qualsiasi perdita subita dalla Struttura Assicurata

e derivante direttamente da una serie di incidenti di sicurezza informatica garantiti:

- aventi la

stessa causa tecnica, o

- commessi dalla stessa persona o da più complici, anche se i meccanismi sono diversi, o

- commessi da persone diverse ma che hanno utilizzato lo stesso meccanismo.

Quando diverse garanzie del presente Contratto di Assicurazione sono applicabili a causa dello stesso Evento Cyber, l'applicazione della garanzia viene valutata in base alla data di scoperta del primo incidente.

14.2 – Funzionamento nel tempo delle “Garanzie di Responsabilità Civile” (Capitolo 5).

I.- Le garanzie “Responsabilità civile in caso di violazione dei dati riservati” (Articolo 9 delle CONDIZIONI PARTICOLARI DI POLIZZA) e “Responsabilità civile sicurezza delle reti e dei sistemi di terzi” (Articolo 10 delle CONDIZIONI PARTICOLARI DI POLIZZA), qualora sottoscritta e prevista nella SCHEDA DI POLIZZA, sono prestate nella forma “claims made”, ossia si intendono operanti per tutte le richieste di risarcimento pervenute per la prima volta all’Assicurato durante il periodo assicurativo, o durante il periodo di denuncia postuma, indicato dalla SCHEDA DI XXXXXXX, purché conseguenti ad un evento dannoso accaduto nel corso del periodo assicurativo stesso o dopo la data di retroattività, prevista nella SCHEDA DI POLIZZA.

II.-In caso di attivazione del periodo di denuncia postuma, la garanzia copre i sinistri per i quali l’evento dannoso è stato conosciuto dall’Assicurato dopo la data di risoluzione o di scadenza del contratto, soltanto se, nel momento in cui l'Assicurato è venuto a conoscenza di questo evento dannoso, questa garanzia non è stata nuovamente sottoscritta o lo è stata sulla base dell’accadimento dell’evento dannoso.

La Società non copre l'Assicurato contro le conseguenze pecuniarie dei sinistri, qualora venga accertato che l'Assicurato fosse a conoscenza dell’evento dannoso alla data di sottoscrizione della garanzia.

In nessun caso la Società risponderà per richieste di risarcimento coperte da garanzie assicurative in essere con altri assicuratori anteriormente alla data di effetto della presente POLIZZA.

Periodo di denuncia postuma

Relativamente alle “Garanzie di Responsabilità Civile” di cui al Capitolo 5 delle presenti CONDIZIONI PARTICOLARI DI POLIZZA, se un periodo di denuncia postuma è previsto nella SCHEDA DI POLIZZA, sono coperte le richieste di risarcimento pervenute per la prima volta all’Assicurato durante il suddetto periodo, purché conseguenti ad un evento dannoso accaduto nel corso del periodo di validità del Contratto di Assicurazione o dopo la data di retroattività.

III- Funzionamento dei massimali di garanzia

I massimali di garanzia per periodo annuale di POLIZZA costituiscono la massima esposizione della Società per tutte le richieste di risarcimento ricevute nel corso di un medesimo periodo annuale di POLIZZA, indipendentemente dal numero delle vittime e dalla tempistica delle liquidazioni effettuate dalla Società.

Il sinistro rientra nel periodo annuale di POLIZZA nel quale la Società ha ricevuto la prima

richiesta di risarcimento.

Quando un sinistro dà origine a più richieste di risarcimento che si susseguono nel tempo, lo stesso rientra nel periodo annuale di POLIZZA nel quale la Società ha ricevuto la prima richiesta di risarcimento.

I massimali di garanzia si esauriscono man mano che i pagamenti degli indennizzi e delle spese vengono effettuati dalla Società.

Il massimale applicabile alla garanzia di cui all’articolo 14.2.2 (Periodo di denuncia postuma), qualora prevista nella SCHEDA DI POLIZZA, è unico per tutto il periodo di denuncia postuma ed è pari al massimale di garanzia previsto nel Contratto di Assicurazione per il periodo annuale di POLIZZA precedente alla data di scadenza, sospensione o risoluzione. Questo massimale è specifico e si applica per l’insieme dei sinistri per i quali la garanzia viene attivata durante il periodo di denuncia postuma.

Se durante il periodo di denuncia postuma sono attivate diverse garanzie contrattuali, i loro massimali non si cumulano: la Società non è tenuta all’indennizzo dell’insieme di questi sinistri oltre il massimale di garanzia per periodo annuale di POLIZZA più elevato.

Capitolo 7: Funzionamento del contratto

Articolo 15 Disposizioni da seguire dalla Struttura Assicurata in caso di sinistro

15.1 – Denuncia di sinistro:

In caso di sinistro, il Contraente/Assicurato deve immediatamente prendere tutte le misure necessarie per limitarne la rilevanza.

Nessun riconoscimento di responsabilità, nessuna transazione avvenuta senza il consenso della Società è alla stessa opponibile.

In caso di sinistro, il Contraente/Assicurato deve denunciare alla Società o alla piattaforma di assistenza menzionata nella SCHEDA DI POLIZZA non appena ne venga a conoscenza, e al più tardi entro 5 giorni lavorativi:

- qualsiasi sinistro coperto dalla presente POLIZZA,

- qualsiasi Evento Cyber, effettivo o presunto, che possa dar luogo ad un indennizzo ai sensi del presente Contratto di Assicurazione,

- qualsiasi richiesta di risarcimento allo stesso pervenuta, alla quale deve essere allegato un rapporto dettagliato sulle cause del sinistro.

Il mancato rispetto da parte dell'Assicurato del termine di cui sopra, salvo caso fortuito o forza maggiore, comporta la decadenza della copertura, nella misura in cui il ritardo nella denuncia abbia causato un pregiudizio alla Società.

15.2 – Notifiche:

Le denunce devono essere scritte e comunicate tramite l’indirizzo di posta elettronica indicato dalla Società e/o trasmesse direttamente all’indirizzo della sede della Società. L’Assicurato può inizialmente effettuare una denuncia per telefono, ma dovrà nel più breve tempo possibile far pervenire una denuncia scritta alla Società nelle modalità suindicate.

15.3 – Obblighi dell’Assicurato:

L’Assicurato deve:

- dimostrare il verificarsi di qualsiasi incidente garantito,

- adottare tutte le misure necessarie e ragionevoli per ridurre le conseguenze dell'incidente garantito,

- fare e autorizzare che venga fatto tutto il possibile per stabilire la causa e l'entità dell'incidente garantito,

- proteggere ogni hardware, software e i dati, nonché metterli a disposizione della Società e/o del fornitore incaricato dalla Società in caso di incidente garantito, fornendo, se necessario, una solenne dichiarazione di veridicità degli stessi;

- rispettare ogni ragionevole raccomandazione della Società e/o del fornitore

designato da quest'ultima in caso di incidente garantito,

- su richiesta della Società, fornire la prova del deposito di una denuncia in caso di incidente

doloso garantito.

15.4 – Se in malafede, l’Assicurato:

- fa delle false dichiarazioni sulla natura, le cause, le circostanze e le conseguenze di un

sinistro,

- utilizza dei documenti inesatti come giustificazione o usa dei mezzi fraudolenti,

- non dichiara l'esistenza di altre assicurazioni che coprono gli stessi rischi,

- decade da qualsiasi diritto a qualunque indennizzo.

15.5 – Cooperazione:

Su richiesta della Società, l'Assicurato si impegna a:

- collaborare ed assistere la Società;

- far valere i diritti ad esso conferiti dalla legge, nonché alla Società, contro chiunque possa essere ritenuto responsabile per un incidente garantito;

- assistere alle udienze e ai processi;

- prestare la propria assistenza per la risoluzione delle controversie, la raccolta e l’assunzione di prove, l'ottenimento della comparizione di testimoni o l'accusa o la difesa dinanzi aitribunali.

15.6 – Sinistro che dà luogo all’applicazione di diverse garanzie contrattuali:

Quando un incidente garantito dà luogo all'applicazione di diverse garanzie del contratto, si applica la franchigia più elevata tra quelle previste nella SCHEDA DI POLIZZA.

Articolo 16 Istruzione e liquidazione dei sinistri di Responsabilità Civile (Capitolo 5)

Oltre alle disposizioni previste all’articolo 15 di cui sopra, l'Assicurato si impegna in caso di sinistro che dà luogo all’applicazione della garanzia «Responsabilità civile in caso di violazione dei dati riservati» (articolo 9 delle CONDIZIONI PARTICOLARI DI POLIZZA) o della garanzia facoltativa

«Responsabilità civile sicurezza delle reti e dei sistemi di terzi» (articolo 10 delle CONDIZIONI PARTICOLARI DI POLIZZA), qualora prevista nella SCHEDA DI POLIZZA, a rispettare le disposizioni seguenti:

16.1 – Trasmissione di documenti:

L'Assicurato trasmette alla Società, non appena li riceve, tutti gli avvisi, le lettere, le citazioni, le ingiunzioni, gli atti giudiziari e i relativi documenti del procedimento allo stesso indirizzati, consegnati o notificati, e riguardanti un sinistro suscettibile di coinvolgere la sua responsabilità civile ai sensi di legge, e coperta dalla presente POLIZZA.

Si impegna inoltre a trasmettere alla Società qualsiasi documento che possa facilitare la difesa dei suoi interessi.

In caso di mancata osservanza da parte dell'Assicurato degli obblighi sopra menzionati, salvo caso fortuito o forza maggiore, la Società può richiedere un’indennità proporzionale al danno che tale inadempienza può causare alla stessa.

16.2 – In caso di azione promossa contro l’Assicurato per un sinistro di responsabilità civile coperto dalla presente polizza, la Società assume, fino a quando ne ha interesse, la gestione delle vertenze tanto in sede giudiziale che stragiudiziale, sia in sede civile che

penale a nome dell’Assicurato, designando, ove occorra, legali e tecnici ed avvalendosi di

tutti i diritti ed azioni spettanti all’Assicurato stesso.

La Società ha il libero esercizio dei mezzi di ricorso, e l'Assicurato si impegna a fornire alla stessa i documenti che le consentano di regolarizzare validamente la procedura per suo conto.

Ai sensi dell’articolo 1917 del Codice civile sono a carico della Società le spese sostenute per resistere all’azione promossa contro l’Assicurato, entro il limite di un importo pari al quarto del massimale stabilito in polizza per il danno a cui si riferisce la domanda. Qualora la somma dovuta al danneggiato superi detto massimale le spese vengono ripartite tra Società e Assicurato in proporzione al rispettivo interesse. La Società non riconoscerà le spese di difesa tecnica (legali e dei consulenti tecnici) relative ad incarichi non preventivamente concordati e autorizzati e non risponde di multe, ammende e spese di giustizia penale.

Il massimale delle garanzie «Responsabilità Civile», indicato nella SCHEDA DI POLIZZA, si esaurirà man mano che la Società pagherà i costi, le spese e gli onorari di cui al paragrafo precedente, così come gli indennizzi versati.

16.3 – Sanzioni:

In caso di mancata osservanza da parte dell'Assicurato degli obblighi di cui agli articoli 16.1 e

16.2 di cui sopra, salvo caso fortuito o forza maggiore, la Società può richiedere un’indennità proporzionale al danno che tale inadempienza può causare alla stessa.

Articolo 17 Perizia

L’ammontare del danno è concordato con le seguenti modalità:

a) direttamente dalla Società, o da un perito da questa incaricato, con il Contraente o persona da lui designata;

oppure, a richiesta da una delle parti :

b) fra due periti nominati uno dalla Società ed uno dal Contraente con apposito atto unico.

I due periti dovranno nominarne un terzo quando si verifichi disaccordo fra loro ed anche prima su richiesta di uno di essi. Il terzo perito interviene soltanto in caso di disaccordo e le decisioni sui punti controversi sono prese a maggioranza.

Ciascun perito ha facoltà di farsi assistere e coadiuvare da altre persone, le quali potranno intervenire nelle operazioni peritali, senza però avere alcun voto deliberativo.

Se una delle parti non dovesse provvedere alla nomina del proprio perito o se i periti non si accordassero sulla nomina del terzo, tali nomine, anche su istanza di una sola delle parti, sono demandate al Presidente del Tribunale nella cui giurisdizione il sinistro è avvenuto.

Ciascuna della parti sostiene le spese del proprio perito, mentre quelle del terzo sono ripartite a metà.

Articolo 18 Disposizioni diverse

18.1- Ispezione e audit

L'Assicurato autorizza la Società, i suoi esperti o rappresentanti, a ispezionare e/o controllare i suoi locali, documenti, sistemi informatici o reti informatiche e /o quelli diun fornitore di servizi esterno.

L'Assicurato si impegna a fornire tutti i dettagli e le informazioni utili richieste dalla Società.

La Società si impegna a comunicare per iscritto all’Assicurato, con preavviso di 15 giorni, la volontà di effettuare i suddetti controlli. I costi relativi alla realizzazione di questi audit rimarranno a totale carico della Società.

18.2- Conformità

L'Assicurato si impegna a rispettare tutte le leggi, regolamenti e altre disposizioni applicabili, nonché le raccomandazioni o le direttive volte a prevenire un Evento Cyber.

18.3- Fusione e acquisizione

In conformità a quanto previsto dall’articolo 2 delle CONDIZIONI GENERALI DI POLIZZA, relativamente agli adempimenti in caso di variazione del rischio, il Contraente/Assicurato deve immediatamente informare la Società tramite comunicazione scritta della sua fusione con un'altra entità giuridica o

dell’acquisizione della maggior parte della Struttura Assicurata da parte di altro soggetto fisico o giuridico durante il periodo di validità del contratto.

In questo caso, la Società ha la facoltà di recedere dal Contratto di Assicurazione nei termini previsti dall’articolo 1898 c.c., ovvero entro un mese dal giorno in cui ha ricevuto l’avviso o ha avuto in altro modo conoscenza dell’aggravamento del rischio, o di proporre una modifica delle condizioni corso, indicando un nuovo premio.

Scheda di Polizza

La presente polizza d’assicurazione è stipulata tra:

CONTRAENTE	ASSICURATORE
IRCCS ISTITUTO TUMORI XXXXXXXX XXXXX XX XXXXX XXXXXX XXXXXX X.00 00000 XXXX

FORMAZIONE E DURATA DEL CONTRATTO:

DECORRENZA	SCADENZA	TACITO RINNOVO
/ /2024 ore 24:00	31/12/2026 ore 24:00	NO

CLAIMS MADE

FUNZIONAMENTO NEL TEMPO DELLE GARANZIE DI RESPONSABILITÀ CIVILE:

31/12/2020 ore 24:00

RETROATTIVITA’:

Entro 3 mesi prima della scadenza annuale (31/12 di ogni anno), l’Assicuratore invierà al Contraente/Assicurato il questionario di valutazione dei rischi al fine di aggiornare le informazioni.

AGGIORNAMENTO ANNUALE DEL QUESTIONARIO DI VALUTAZIONE DEI RISCHI:

Massimale, Garanzie, Sottolimiti e franchigie

Atto doloso informatico, e errore

umano:

€ 1.000.000,00 per periodo

annuale di assicurazione

MASSIMALE AGGREGATO PER PERIODO ANNUALE DI ASSICURAZIONE

Questo importo rappresenta la massima esposizione

complessiva dell’Assicuratore per l’insieme di tutte le garanzie, indipendentemente dal numero delle garanzie attivate ed impegnate, e indipendentemente dal numero di entità assicurate, per tutti gli Eventi coperti dal presente contratto e imputabili al suddetto periodo di assicurazione di riferimento.

GARANZIE	FRANCHIGIA/SCOPERTO PER SINISTRO	MASSIMALE PER SINISTRO E IN AGGREGATO
Spese di gestione dell'incidente di	€ 25.000,00	€ 1.000.000,00
sicurezza informatica e di gestione della crisi	Scoperto 10% min. € 25.000,00 max. € 100.000,00 in caso di Evento Ransomware
Spese di assistenza d'urgenza	Nessuna franchigia	96 ore, max. € 1.000.000,00
	€ 25.000,00	€ 1.000.000,00 max. 6
Spese di risposta all'incidente	Scoperto 10% min. €	mesi
	25.000,00 max. €
	100.000,00 in caso di
	Evento Ransomware
	€ 25.000,00	€ 1.000.000,00 max. 6
Ripristino dei dati e dei software	Scoperto 10% min. €	mesi
	25.000,00 max. €
	100.000,00 in caso di
	Evento Ransomware

GARANZIE	FRANCHIGIA/ SCOPERTO PER SINISTRO	MASSIMALE PER SINISTRO E IN AGGREGATO
Perdite da interruzione o riduzione dell'attività	Periodo di carenza 24 ore min. € 25.000,00 Periodo di carenza 24 ore min. scoperto 10% min. € 25.000,00 max. € 100.000,00 in caso di Evento Ransomware	€ 1.000.000,00 max. 3 mesi
Costi operativi aggiuntivi	Periodo di carenza 24 ore min. € 25.000,00 Periodo di carenza 24 ore min. scoperto 10% min. € 25.000,00 max. € 100.000,00 in caso di Evento Ransomware	€ 1.000.000,00 max. 3 mesi
Responsabilità in caso di violazione dei dati riservati	€ 25.000,00 Scoperto 10% min. € 25.000,00 max. € 100.000,00 in caso di Evento Ransomware	€ 1.000.000,00
Responsabilità Civile Sicurezza delle reti e dei sistemi di Terzi	€ 25.000,00 Scoperto 10% min. € 25.000,00 max. € 100.000,00 in caso di Evento Ransomware	€ 1.000.000,00
Responsabilità Civile derivante dai Media	€ 25.000,00 Scoperto 10% min. € 25.000,00 max. € 100.000,00 in caso di Evento Ransomware	€ 200.000,00

(*) Precisazione sulle modalità di applicazione della franchigia

Ai fini dell’applicazione della garanzia « Costi operativi aggiuntivi » o « Perdite da interruzione o riduzione

dell’attività » è previsto un periodo di carenza indicato nella tabella di cui sopra.

Il suddetto periodo corrisponde alla durata minima dell’incidente di sicurezza informatica richiesta per

l’applicazione della garanzia.

Disposizioni da seguire in caso di sinistro

In aggiunta a quanto previsto dall'articolo 7 delle Condizioni Speciale di Assicurazione, il Contraente/Assicurato è tenuto a denunciare qualsiasi sinistro, contattando la piattaforma di assistenza di INCIDENT RESPONSE accessibile al seguente numero telefonico: A CURA DELL’ASSICURATORE