COMUNICAZIONE AGLI INTERESSATI EX ART. 34 DEL REGOLAMENTO UE 2016/679 (GDPR)
Aggiornamento del 16/06/2026
VIVA S.p.A. informa gli interessati che, a seguito dell’incidente informatico già comunicato sul sito aziendale, ha aggiornato questa comunicazione anche alla luce delle interlocuzioni con il Garante per la protezione dei dati personali, al fine di fornire informazioni più dettagliate sulle categorie di soggetti potenzialmente coinvolti, sulle categorie di dati personali potenzialmente interessate e sulle cautele operative che possono essere adottate.
Questa comunicazione aggiorna e sostituisce la precedente comunicazione pubblicata sul sito aziendale, mantenendo continuità informativa rispetto a quanto già comunicato.
1. Che cosa è accaduto
Nel mese di gennaio 2026 VIVA S.p.A. ha rilevato un incidente informatico che ha interessato parte della propria infrastruttura IT.
L’evento è consistito in un attacco informatico di tipo ransomware, con accesso non autorizzato ad alcuni sistemi aziendali, cifratura di dati ed esfiltrazione almeno parziale, stimata in via prudenziale, di informazioni presenti negli archivi interessati.
A seguito della scoperta dell’evento, VIVA S.p.A. ha avviato le attività di contenimento, messa in sicurezza, analisi tecnica, ripristino dei sistemi e valutazione degli impatti sui dati personali.
La violazione è stata notificata al Garante per la protezione dei dati personali ai sensi dell’art. 33 del Regolamento (UE) 2016/679.
2. Quali dati personali possono essere coinvolti
Sulla base delle analisi svolte, non è stato possibile ricostruire con assoluta certezza il perimetro completo dei singoli file oggetto di accesso non autorizzato o esfiltrazione.
Per questa ragione, VIVA S.p.A. ha adottato un criterio prudenziale nella valutazione delle categorie di dati personali potenzialmente coinvolte.
Le categorie di dati personali potenzialmente interessate possono comprendere, a seconda della posizione e della tipologia di rapporto con VIVA S.p.A.:
☑ dati anagrafici, quali nome, cognome, codice fiscale e altri dati identificativi;
☑ dati di contatto, quali indirizzo, recapiti telefonici, indirizzi e-mail o PEC;
☑ dati relativi a posizioni creditorie, rapporti economici, contrattuali, amministrativi o contabili;
☑ dati di pagamento o coordinate di pagamento eventualmente presenti nella documentazione;
☑ informazioni contenute in corrispondenza, documenti, allegati o pratiche presenti negli archivi interessati;
☑ ulteriori dati personali eventualmente contenuti in specifici documenti o allegati.
Le categorie indicate sono formulate in via prudenziale e possono variare in modo significativo in base alla documentazione riferita a ciascun interessato. Non tutte le categorie di dati sopra indicate riguardano necessariamente ciascun interessato.
3. Quali categorie di interessati possono essere coinvolte
La violazione può riguardare, in via prudenziale, diverse categorie di interessati, in relazione alla documentazione presente o potenzialmente presente negli archivi coinvolti.
Le categorie di interessati possono comprendere:
1. debitori e soggetti riferiti a posizioni creditorie acquisite o gestite da VIVA S.p.A.;
2. cedenti, controparti contrattuali e relativi referenti;
3. fornitori e relativi referenti;
4. dipendenti, ex dipendenti, consulenti e collaboratori;
5. altri soggetti eventualmente menzionati nella documentazione interessata dall’incidente.
Con riferimento ai debitori relativi a posizioni creditorie acquisite, VIVA S.p.A. non mette a disposizione dei debitori account, aree riservate o strumenti finanziari. Le cautele suggerite riguardano quindi soprattutto l’attenzione verso comunicazioni sospette, richieste di pagamento anomale o richieste indebite di dati personali, documenti o coordinate bancarie.
4. Quali possibili conseguenze possono derivare dall’incidente
In via prudenziale, l’incidente potrebbe comportare rischi connessi all’uso non autorizzato dei dati personali eventualmente contenuti nella documentazione interessata.
Tali rischi possono consistere, ad esempio:
☑ nel ricevimento di comunicazioni anomale, ingannevoli o fraudolente;
☑ in tentativi di phishing o di acquisizione indebita di ulteriori dati personali;
☑ in tentativi di impersonificazione;
☑ in richieste non autorizzate di pagamento o di modifica delle coordinate di pagamento;
☑ nell’utilizzo improprio di dati anagrafici, di contatto, economici o documentali;
☑ nella possibile conoscibilità non autorizzata di informazioni riferite a posizioni creditorie, rapporti economici, contrattuali o amministrativi.
Per i debitori riferiti a posizioni creditorie acquisite o gestite da VIVA S.p.A., le cautele rilevanti non riguardano il cambio di password di account presso VIVA S.p.A., poiché VIVA S.p.A. non mette a disposizione dei debitori account o aree riservate. Le cautele riguardano invece, soprattutto, l’attenzione verso comunicazioni sospette, richieste di pagamento anomale, link, allegati o richieste di dati personali, documenti o coordinate bancarie.
5. Quali cautele adottare
Questa comunicazione ha solo finalità informativa. VIVA S.p.A. non richiede, tramite questa comunicazione, pagamenti, credenziali, password, dati bancari, documenti o ulteriori informazioni personali.
VIVA S.p.A. invita gli interessati a prestare attenzione a eventuali comunicazioni anomale, inattese o sospette che facciano riferimento a VIVA S.p.A., a posizioni debitorie, a rapporti economici o a richieste di pagamento.
In particolare, si raccomanda di:
☑ verificare sempre l’autenticità di eventuali comunicazioni che dichiarino di provenire da VIVA S.p.A. o da soggetti che affermino di agire per conto di VIVA S.p.A.;
☑ diffidare di comunicazioni che richiedano pagamenti su coordinate diverse da quelle già comunicate attraverso canali ufficiali;
☑ diffidare di comunicazioni che rappresentino urgenze anomale o pressioni indebite al pagamento;
☑ non effettuare pagamenti richiesti con modalità insolite prima di avere verificato l’autenticità della richiesta;
☑ non comunicare dati personali, documenti, dati bancari o ulteriori informazioni in risposta a messaggi sospetti;
☑ non cliccare link e non aprire allegati non attesi o provenienti da mittenti non verificati;
☑ non utilizzare recapiti indicati soltanto nel messaggio sospetto;
☑ utilizzare esclusivamente i recapiti ufficiali di VIVA S.p.A. per eventuali verifiche;
☑ prestare attenzione a eventuali utilizzi anomali dei propri dati o delle proprie coordinate di pagamento e, se opportuno, rivolgersi al proprio istituto di riferimento;
☑ contattare VIVA S.p.A. in caso di dubbi sull’autenticità di una comunicazione ricevuta.
6. Cautele specifiche per categoria di interessati
01. Debitori e soggetti riferiti a posizioni creditorie
I debitori e i soggetti riferiti a posizioni creditorie sono invitati a prestare particolare attenzione a eventuali comunicazioni sospette relative a debiti, pagamenti, piani di rientro, saldo e stralcio, modifiche delle coordinate di pagamento o richieste di documentazione.
In caso di dubbio, è opportuno non eseguire pagamenti e non trasmettere documenti o dati personali prima di avere verificato l’autenticità della richiesta attraverso i recapiti ufficiali di VIVA S.p.A.
È inoltre opportuno utilizzare soltanto i recapiti ufficiali pubblicati sul sito di VIVA S.p.A. o già indicati in precedenti comunicazioni ufficiali, evitando di utilizzare recapiti indicati esclusivamente in comunicazioni sospette.
02. Cedenti, controparti e relativi referenti
I cedenti, le controparti e i relativi referenti sono invitati a prestare attenzione a comunicazioni sospette relative a rapporti contrattuali, posizioni creditorie, richieste di pagamento, richieste di modifica di coordinate bancarie, richieste documentali o richieste di informazioni aziendali.
03. Fornitori e relativi referenti
I fornitori e i relativi referenti sono invitati a prestare attenzione a eventuali comunicazioni sospette relative a ordini, pagamenti, fatture, dati aziendali, coordinate bancarie o richieste di modifica delle condizioni operative abituali.
04. Dipendenti, ex dipendenti, consulenti e collaboratori
Dipendenti, ex dipendenti, consulenti e collaboratori sono invitati a prestare attenzione a eventuali comunicazioni sospette relative al rapporto di lavoro o collaborazione, a dati amministrativi, fiscali, retributivi o professionali, nonché a richieste anomale di documenti o informazioni personali.
05. Altri soggetti eventualmente menzionati nella documentazione
Eventuali altri soggetti menzionati nella documentazione interessata dall’incidente sono invitati a prestare attenzione a comunicazioni anomale che utilizzino dati personali, riferimenti documentali o informazioni apparentemente riconducibili a VIVA S.p.A. o a rapporti con la società.
7. Cosa ha fatto VIVA S.p.A.
A seguito della scoperta dell’incidente, VIVA S.p.A. ha adottato misure di contenimento, messa in sicurezza, ripristino e rafforzamento dei propri presidi tecnici e organizzativi.
In particolare, la società ha svolto attività di analisi tecnica, ha messo in sicurezza l’infrastruttura coinvolta, ha ripristinato i sistemi mediante copie di sicurezza verificate, ha ricostruito i sistemi impattati, ha svolto verifiche sulle credenziali e sui profili con privilegi elevati e ha rafforzato il monitoraggio.
La società ha inoltre proseguito il percorso di rafforzamento dei propri sistemi informativi e dei presidi di sicurezza.
La violazione è stata notificata al Garante per la protezione dei dati personali, secondo quanto previsto dal Regolamento.
8. Come contattare VIVA S.p.A.
Per eventuali richieste di chiarimento relative a questa comunicazione o alla violazione dei dati personali, gli interessati possono contattare VIVA S.p.A. all’indirizzo:
privacy@vivaspa.it
Si invita a utilizzare questo recapito, nonché i recapiti ufficiali pubblicati sul sito aziendale, anche per verificare l’autenticità di comunicazioni sospette o inattese che dichiarino di provenire da VIVA S.p.A. o da soggetti che affermino di agire per conto di VIVA S.p.A.
9. Aggiornamenti
VIVA S.p.A. si riserva di aggiornare questa comunicazione qualora emergano ulteriori elementi rilevanti dalle attività tecniche o dalle interlocuzioni con le autorità competenti.
Eventuali aggiornamenti saranno pubblicati sul sito aziendale: https://vivaspa.it/ Castelfranco Veneto (TV), 16/06/2026 VIVA S.p.A.
