Trattamento dati hosting

1. Parti, ruoli e applicazione

Questo accordo integra il contratto hosting tra il cliente, identificato dall’ordine, e DoppiaVVu, P. IVA 02085570899, Viale Teracati 170, 96100 Siracusa (SR), Italia, contatto info@doppiavvu.it. Quando il cliente utilizza l’hosting per trattare dati personali di terzi, agisce quale titolare del trattamento o responsabile autorizzato dal proprio titolare; DoppiaVVu opera quale responsabile o sub-responsabile nei limiti del servizio. Per i dati di account, fatturazione e gestione del rapporto il fornitore opera invece nel ruolo indicato nella propria informativa privacy.
L’accordo si applica per la durata del servizio e per le sole operazioni necessarie alla sua chiusura. Non attribuisce al fornitore finalità autonome sui dati ospitati e non sostituisce gli obblighi del cliente verso gli interessati.

2. Oggetto, dati e interessati

Le operazioni autorizzate sono conservazione e messa a disposizione di siti, file, database e messaggi, trasmissione tecnica, gestione delle risorse assegnate, interventi di assistenza richiesti, sicurezza, ed eventuali restituzione, esportazione e cancellazione. Sono comprese soltanto le copie tecniche e le attività di ripristino effettivamente previste dall’offerta o concordate.
Le categorie di interessati dipendono dal progetto del cliente e possono comprendere visitatori, utenti registrati, clienti del negozio, dipendenti, collaboratori e corrispondenti email. I dati possono comprendere identificativi e recapiti, credenziali applicative, comunicazioni, contenuti, dati relativi a ordini e dati tecnici di navigazione. Il servizio standard non è progettato specificamente per dati sanitari, giudiziari o altri dati soggetti a particolari requisiti: il cliente deve segnalare preventivamente esigenze di questa natura e verificare le misure necessarie prima di caricarli.

3. Istruzioni e obblighi del cliente

Il contratto, l’ordine, le configurazioni effettuate nel pannello e le richieste documentate tramite ticket o email costituiscono le istruzioni del cliente, nei limiti concordati. Il cliente garantisce la liceità delle finalità, delle basi giuridiche e delle istruzioni, fornisce le informative necessarie, limita i dati al necessario e controlla accessi, software e credenziali sotto la propria responsabilità. Se opera come responsabile, deve avere l’autorizzazione del titolare a ricorrere al presente servizio e trasmettere istruzioni compatibili.
Istruzioni ulteriori che incidono su risorse, misure o servizi non inclusi vengono valutate prima dell’attuazione e, per attività ulteriori lecite, possono richiedere un accordo economico; non possono essere addebitate somme per eludere obblighi inderogabili del responsabile. Il fornitore informa immediatamente il cliente se ritiene che un’istruzione violi la normativa applicabile e sospende l’operazione contestata per il tempo necessario alla verifica, salvo diverso obbligo legale.

4. Obblighi del responsabile

Il fornitore tratta i dati soltanto su istruzione documentata, compresi i trasferimenti, salvo un obbligo di legge di cui informa il cliente prima del trattamento quando consentito. Le persone autorizzate sono vincolate alla riservatezza e accedono secondo necessità. Non sono autorizzati vendita, profilazione, addestramento di modelli o comunicazioni pubblicitarie usando i dati ospitati.
Il fornitore collabora, tenendo conto della natura del trattamento e delle informazioni disponibili, a richieste degli interessati, valutazioni d’impatto, consultazioni preventive, sicurezza e gestione delle violazioni. Non risponde direttamente nel merito a richieste degli interessati del cliente se non autorizzato o obbligato dalla legge, ma le inoltra tempestivamente al referente indicato.

5. Misure di sicurezza e rispettive competenze

Il servizio prevede misure adeguate al rischio e al ruolo effettivamente svolto: controllo degli accessi amministrativi, autenticazione e limitazione dei privilegi, separazione delle risorse e degli account, aggiornamento dell’infrastruttura amministrata dal fornitore, gestione delle credenziali e comunicazioni protette ove applicabili, registrazioni tecniche necessarie e procedure di gestione degli incidenti. La cifratura delle credenziali della piattaforma non equivale alla cifratura integrale di tutti i file o delle email ospitate.
Il cliente gestisce la sicurezza del proprio CMS, codice, plugin e dispositivi salvo attività espressamente affidate al fornitore, limita gli accessi dei propri utenti e mantiene i backup concordati a proprio carico. Nessuna ripartizione esclude gli obblighi che la legge assegna direttamente alle parti. Informazioni sulle misure dell’infrastruttura e sulla ripartizione concreta sono rese disponibili su richiesta, senza rivelare segreti di sicurezza di altri clienti.

6. Sub-responsabili e localizzazione

Il cliente autorizza in via generale il ricorso a fornitori infrastrutturali necessari e individuati per il servizio, imponendo loro obblighi di protezione sostanzialmente equivalenti. Il fornitore infrastrutturale dichiarato è IONOS, con localizzazione principale Europa; l’entità contrattuale e il Paese del datacenter utilizzato sono comunicati al cliente nel quadro delle informazioni di servizio o su richiesta e devono corrispondere all’installazione effettiva. Gli altri sub-responsabili che accedono ai dati ospitati sono comunicati prima dell’impiego. Un fornitore che tratta soltanto dati dell’account o dei pagamenti secondo un ruolo autonomo non diventa per questo sub-responsabile dei contenuti ospitati.
Aggiunte o sostituzioni di sub-responsabili sono comunicate con almeno 15 giorni di preavviso quando possibile; il cliente può formulare un’obiezione motivata sulla protezione dei dati. Le parti cercano una soluzione adeguata e, se non disponibile, concordano la cessazione della parte interessata e la restituzione degli importi relativi a prestazioni future non erogate, senza imporre al cliente un trasferimento illecito. Il fornitore rimane responsabile degli obblighi del sub-responsabile nei termini dell’articolo 28 GDPR.

7. Trasferimenti internazionali

La sola indicazione “Europa” non costituisce una garanzia che ogni trattamento avvenga nello Spazio economico europeo. Un trasferimento verso Paesi terzi deve essere autorizzato dalle istruzioni e rispettare il capo V GDPR, con decisione di adeguatezza applicabile o garanzie appropriate e misure supplementari quando necessarie. Il cliente può ottenere informazioni sui Paesi effettivi e sulle garanzie utilizzate. Il fornitore non può introdurre trasferimenti non conformi sulla sola base di una clausola generale.

8. Violazioni dei dati e collaborazione

Se viene a conoscenza di una violazione dei dati personali trattati per il cliente, il fornitore lo informa senza ingiustificato ritardo, utilizzando il contatto operativo disponibile. Comunica progressivamente natura dell’incidente, categorie e dati interessati se noti, conseguenze probabili, misure adottate o proposte e referente per approfondimenti. Collabora al contenimento e alla valutazione senza attendere il completamento di ogni accertamento prima del primo avviso utile. Il cliente determina le notifiche all’autorità e agli interessati che gli competono, fermo ogni obbligo autonomo del fornitore.

9. Informazioni e verifiche

Il fornitore mette a disposizione le informazioni necessarie a dimostrare l’adempimento e consente verifiche e audit del cliente o di un incaricato indipendente, anche tramite documentazione e controlli proporzionati. Le modalità operative vengono concordate per proteggere continuità del servizio, riservatezza e dati degli altri clienti; tali cautele non possono svuotare il diritto di verifica o impedire interventi dell’autorità. Eventuali costi di attività ulteriori sono concordati preventivamente senza limitare gli obblighi inderogabili.

10. Restituzione e cancellazione alla cessazione

Alla conclusione del servizio, su scelta e istruzione del cliente, i dati personali ospitati sono restituiti o messi a disposizione per l’esportazione e quindi cancellati, comprese le copie esistenti, salvo obblighi di legge. Il cliente deve comunicare per tempo le istruzioni ed esportare quanto necessario prima della scadenza, poiché non è previsto un periodo gratuito di archivio successivo. Ove copie tecniche non siano immediatamente cancellabili selettivamente, sono escluse dall’uso ordinario, protette e rimosse con il ciclo tecnico applicabile, del quale il cliente viene informato. Non è promesso il recupero da copie non previste dall’offerta.
La documentazione contrattuale del fornitore e i dati di cui è autonomo titolare seguono i propri obblighi di conservazione e non autorizzano il mantenimento indiscriminato dei contenuti del cliente. L’accordo non limita i diritti degli interessati, le competenze dell’autorità o le responsabilità inderogabili delle parti.