Accordo sul trattamento dei dati

1. Le parti e i ruoli

Il cliente è titolare del trattamento dei dati personali che carica o fa passare nei servizi. CloudAcaso (Sergio Gurduiala, che opera con il nome CloudAcaso, via Pusiano 6, Milano (MI), P.IVA IT11171730960) è responsabile del trattamento e tratta quei dati solo per suo conto.

Questo accordo fa parte del contratto di servizio e dura quanto il contratto, più il tempo necessario a restituire e cancellare i dati.

2. Cosa trattiamo

• Finalità: erogare i servizi acquistati (domini, posta elettronica, antispam, hosting, server cloud e relativo monitoraggio, backup) e dare supporto tecnico su questi servizi.
• Tipi di dati: dati anagrafici e di contatto, contenuto di email, allegati, calendari e contatti, file e database, dati di accesso e log tecnici, e ogni altro dato che il cliente decide di caricare.
• Persone interessate: dipendenti e collaboratori del cliente, i suoi clienti e fornitori, le persone con cui corrisponde.
• Dati particolari (per esempio sulla salute) o giudiziari: possono essere presenti se il cliente li carica. In quel caso il cliente ce lo indica, per valutare insieme eventuali misure aggiuntive.

3. I nostri impegni

• Trattiamo i dati solo secondo le istruzioni documentate del cliente, che sono il contratto, questo accordo e le richieste scritte. Se un'istruzione ci sembra contraria alla legge, lo segnaliamo subito.
• Le persone autorizzate ad accedere ai dati sono vincolate alla riservatezza e accedono solo quando serve per il servizio o il supporto.
• Adottiamo le misure di sicurezza dell'art. 32 GDPR descritte al punto 7.
• Aiutiamo il cliente a rispondere alle richieste degli interessati (accesso, cancellazione, portabilità) e, se serve, nelle valutazioni d'impatto e nei rapporti con il Garante.
• Mettiamo a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo.

4. Sub-responsabili

Il cliente ci autorizza in generale a usare altri fornitori (sub-responsabili) per parti del servizio, con obblighi di protezione dei dati equivalenti a questi. Oggi sono:

• Hetzner Online GmbH (Germania): data center e server in Unione europea su cui girano i servizi e sono conservati i dati e i backup;
• Cloudflare, Inc.: DNS dei domini e protezione dei siti, solo per i servizi che li usano.

Ti avvisiamo per email almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. Se hai motivi fondati per opporti, ne parliamo; se non troviamo una soluzione, puoi disdire il servizio interessato senza costi.

5. Dove sono i dati

I dati dei servizi sono conservati e trattati su server in Unione europea. Gli unici trattamenti che possono avvenire fuori dall'UE riguardano dati tecnici gestiti da Cloudflare (per esempio indirizzi IP dei visitatori dei siti protetti), con le garanzie dell'EU-U.S. Data Privacy Framework e delle clausole contrattuali standard.

6. Violazioni dei dati

Se scopriamo una violazione che riguarda i dati del cliente, lo avvisiamo senza ingiustificato ritardo e comunque entro 48 ore, con le informazioni disponibili: cosa è successo, quali dati e quante persone sono coinvolte, le conseguenze probabili e cosa abbiamo fatto per limitarle. Così il cliente può notificare il Garante entro le 72 ore previste dalla legge.

7. Misure di sicurezza

• Connessioni cifrate (TLS) verso tutti i servizi e backup cifrati.
• Backup conservati in una sede separata da quella dei dati originali, con controllo del loro esito.
• Infrastruttura ridondata in Unione europea, reti separate per tipo di servizio e firewall.
• Accessi amministrativi solo per persone autorizzate, con credenziali personali e da reti protette; registrazione degli accessi.
• Aggiornamenti di sicurezza dei sistemi e monitoraggio continuo dei servizi.
• Filtri antispam e antivirus sulla posta in ingresso.
• Procedure di ripristino provate e revisione periodica delle misure.

8. Fine del servizio

Alla fine del contratto, a scelta del cliente, restituiamo i dati in un formato standard e poi li cancelliamo, oppure li cancelliamo direttamente. I dati restano disponibili per 30 giorni dalla fine del contratto; le copie di backup vengono sovrascritte con il normale ciclo di conservazione. Teniamo solo ciò che la legge ci obbliga a conservare.

9. Verifiche

Il cliente può verificare il rispetto di questo accordo chiedendoci la documentazione sulle misure adottate. Se non basta, può fare una verifica, anche tramite un revisore vincolato alla riservatezza, con un preavviso di almeno 30 giorni, di norma una volta l'anno e senza mettere a rischio la sicurezza o i dati degli altri clienti. I costi della verifica sono a carico del cliente.

10. Versione da firmare

Se ti serve questo accordo firmato, con i dati della tua azienda, chiedilo a [email protected]: te lo mandiamo pronto da firmare.

Documenti: Condizioni generali · SLA · Uso accettabile · Trattamento dei dati · Privacy · Cookie policy