Accordo sul trattamento dei dati versione V 1.0

1.1Questo accordo è concluso tra il Cliente e NEOFLUX S.R.L.S., di seguito indicata come il Fornitore, secondo l'articolo 28 del Regolamento UE 2016/679. Regola il trattamento dei dati personali che il Cliente affida ai Servizi e fa parte del Contratto, come prevedono gli articoli 2 e 14 delle condizioni generali.

1.2L'accordo si applica all'hosting web, ai server virtuali (VPS) e ai server dedicati. Per la PEC e la firma digitale si applicano le condizioni del gestore accreditato che fornisce il servizio. Per il software su misura vale il contratto concordato con il Cliente.

1.3I dati che il Fornitore tratta per conto proprio, come quelli dell'account, della fatturazione e della registrazione dei domini, sono descritti nell'informativa sulla privacy e non rientrano in questo accordo.

1.4Il Cliente accetta l'accordo con l'ordine, attraverso la casella di controllo con cui accetta le condizioni generali. Per i servizi aggiuntivi di terzi, come le suite di posta e produttività attivate su un dominio, il Cliente accetta le condizioni del fornitore terzo, che si applicano a quei servizi.

1.5Con una pubblica amministrazione vale questo accordo. Se l'ente propone un proprio modello di accordo, le parti lo valutano e, se lo accettano per iscritto, quel modello si applica al posto di questo.

2.1Il Cliente è titolare del trattamento. Decide quali dati caricare sui Servizi, per quali finalità e con quali mezzi, e risponde della loro liceità, delle informative e dei consensi verso le persone interessate.

2.2Il Fornitore è responsabile del trattamento. Tratta i dati soltanto per fornire i Servizi e secondo le istruzioni del Cliente, e non li usa per finalità proprie.

2.3Il Cliente che rivende i Servizi ai propri clienti, dopo la verifica della documentazione e della fattibilità da parte del Fornitore, può essere a sua volta responsabile per conto di questi. In tal caso il Fornitore agisce come sub-responsabile, con gli stessi obblighi previsti da questo accordo.

3.1Il tipo di dati e di persone interessate dipende da quello che il Cliente carica sui Servizi. Il Fornitore non ne conosce il contenuto e non lo controlla. La tabella indica cosa tratta il Fornitore per ciascun Servizio.

3.2Il trattamento dura quanto il Servizio e comprende la conservazione, la messa a disposizione in rete, i backup dove previsti, gli interventi di assistenza chiesti dal Cliente e la cancellazione a fine Servizio.

3.3Se il Cliente tratta categorie particolari di dati, come quelli sulla salute, o dati su condanne e reati, valuta prima se i Servizi scelti sono adeguati e adotta le misure ulteriori che servono.

4.1Le istruzioni del Cliente sono il Contratto, le impostazioni che sceglie dal pannello e le richieste scritte inviate con un ticket dall'Area clienti o via PEC. Le modifiche del Contratto che riguardano il trattamento dei dati seguono l'articolo 18 delle condizioni generali, con il preavviso di 60 giorni e il diritto di recedere senza penali.

4.2Se un'istruzione appare contraria alla legge, il Fornitore lo comunica subito al Cliente e può non eseguirla finché il Cliente non la conferma o la modifica.

4.3Il Fornitore comunica i dati a un'autorità solo quando la legge lo obbliga e, se la legge non lo vieta, ne informa prima il Cliente.

5.1Accedono ai dati solo le persone autorizzate dal Fornitore che ne hanno bisogno per fornire i Servizi, istruite e vincolate alla riservatezza, come prevedono gli articoli 28 e 29 del Regolamento UE 2016/679.

6.1Il Fornitore adotta misure tecniche e organizzative adeguate al rischio, come prevede l'articolo 32 del Regolamento UE 2016/679, e le aggiorna nel tempo.

6.2Tra queste, come descrivono le condizioni di hosting e server, i server si trovano in data center in Italia, l'hosting web ha backup periodici, ogni VPS ha un proprio indirizzo IP e un firewall configurabile dal pannello, e il Fornitore non conosce le password di root o di amministratore delle macchine dei clienti.

6.3Sulle VPS e sui server dedicati il Cliente è l'unico amministratore e cura la sicurezza del sistema operativo, delle applicazioni e dei dati. Su ogni Servizio il Cliente custodisce le proprie credenziali e sceglie password adeguate.

7.1Il Cliente autorizza il Fornitore a servirsi di altri fornitori, come i gestori dei data center, per trattare i dati. Il Fornitore impone loro per contratto gli stessi obblighi di questo accordo e risponde verso il Cliente del loro operato, come prevede l'articolo 28, paragrafo 4, del Regolamento UE 2016/679.

7.2L'elenco aggiornato di questi fornitori è riservato e il Fornitore lo invia al Cliente che lo chiede a [email protected].

7.3Quando intende aggiungere o sostituire un fornitore, il Fornitore lo segnala con un avviso nell'Area clienti almeno 15 giorni prima del cambio. Entro questo termine il Cliente può opporsi per motivi legati alla protezione dei dati e, se le parti non trovano una soluzione, può recedere dal Servizio interessato senza costi, con il rimborso del periodo già pagato e non goduto.

7.4I servizi che il Cliente sceglie e configura da sé, per esempio una rete di distribuzione dei contenuti o una posta su un server esterno, sono fornitori del Cliente e non del Fornitore.

8.1Il Fornitore conserva i dati che il Cliente affida all'hosting web, comprese le caselle di posta, alle VPS e ai server dedicati, e i relativi backup, su server che si trovano nell'Unione europea.

8.2Se un fornitore dell'articolo 7 comportasse un trasferimento dei dati fuori dallo Spazio economico europeo, il Fornitore lo farebbe solo con le garanzie previste dagli articoli 44 e seguenti del Regolamento UE 2016/679, come una decisione di adeguatezza o le clausole contrattuali tipo della Decisione di esecuzione (UE) 2021/914 della Commissione europea, dandone avviso come previsto all'articolo 7.3.

9.1Il Fornitore aiuta il Cliente, per quanto gli è possibile, a rispondere alle richieste delle persone interessate, per esempio di accesso o di cancellazione, quando il Cliente non può farlo da solo dal pannello. Se una richiesta arriva direttamente al Fornitore, la inoltra al Cliente senza rispondere nel merito.

9.2Il Fornitore aiuta il Cliente anche per la sicurezza, per le violazioni dei dati, per le valutazioni d'impatto e per le consultazioni del Garante, come prevedono gli articoli da 32 a 36 del Regolamento UE 2016/679, fornendo le informazioni che ha.

9.3L'assistenza sulla protezione dei dati è gratuita. Le attività diverse, come migrazioni, configurazioni o consulenze, sono valutate caso per caso e, se a pagamento, sono svolte con un preventivo accettato dal Cliente.

10.1Se scopre una violazione dei dati personali del Cliente, il Fornitore la comunica al Cliente senza ingiustificato ritardo e comunque entro 48 ore, via email all'indirizzo dell'Area clienti e con un avviso nell'Area clienti.

10.2La comunicazione descrive, per quanto già noto, la natura della violazione, le categorie e il numero approssimativo di persone e di dati coinvolti, le conseguenze probabili e le misure adottate o proposte, con un contatto per ulteriori informazioni. Le informazioni che mancano sono inviate appena disponibili.

10.3Spetta al Cliente, come titolare, notificare la violazione al Garante entro 72 ore e, quando il rischio è elevato, comunicarla alle persone interessate, come prevedono gli articoli 33 e 34 del Regolamento UE 2016/679. Il Fornitore adotta subito le misure per limitarne gli effetti.

11.1Il Fornitore mette a disposizione del Cliente, su richiesta e gratuitamente, le informazioni e le risposte scritte che servono a dimostrare il rispetto di questo accordo.

11.2Se queste non bastano, il Cliente o un revisore da lui incaricato e vincolato alla riservatezza può svolgere una verifica all'anno, a distanza, con documenti e videochiamata, concordata con almeno 30 giorni di preavviso, a spese del Cliente secondo un preventivo comunicato prima della verifica. Le verifiche non comprendono l'accesso ai data center, gestiti da terzi, né ai dati di altri clienti.

11.3Restano salve le verifiche che il Garante o un'altra autorità dispongono secondo la legge.

12.1Quando il Servizio finisce, i dati restano disponibili per il tempo previsto dal Servizio e poi sono cancellati in modo definitivo. Per l'hosting web e i server dedicati valgono 90 giorni dalla fine del Servizio, come prevede l'articolo 13.3 delle condizioni generali, e in caso di mancato pagamento i termini dell'articolo 8. Per una VPS non rinnovata i dati restano recuperabili fino al novantesimo giorno dalla scadenza, quando sono cancellati, come prevede l'articolo 10.2 delle condizioni di hosting e server. Gli snapshot di una VPS sono cancellati quando la VPS cessa. I backup, previsti solo per l'hosting web, seguono gli stessi termini.

12.2Entro questi termini il Cliente sceglie se riprendere i propri dati, esportandoli dal pannello oppure, per una VPS sospesa o cessata, chiedendo con un ticket dall'Area clienti di renderli scaricabili, senza pagare il rinnovo, oppure chiederne la cancellazione anticipata con un ticket. Il Fornitore prende in carico la richiesta e, se il Cliente lo chiede con gli stessi canali, gli conferma entro 30 giorni che la cancellazione è avvenuta.

12.3Il Fornitore conserva i dati oltre questi termini solo quando una legge lo obbliga.

13.1L'accordo dura quanto i Servizi a cui si applica. Gli obblighi di riservatezza restano anche dopo.

13.2Ciascuna parte risponde dei danni causati alle persone interessate secondo l'articolo 82 del Regolamento UE 2016/679. Nei rapporti tra le parti valgono i limiti di responsabilità dell'articolo 12 delle condizioni generali, nei limiti consentiti dalla legge. Gli altri fornitori dell'articolo 7 non sono terzi fuori dal controllo del Fornitore ai sensi dell'articolo 12.3 delle condizioni generali, e del loro operato il Fornitore risponde come prevede l'articolo 7.1.

13.3Per legge applicabile, foro competente e modifiche dell'accordo valgono gli articoli 18 e 19 delle condizioni generali.