Accordo sul trattamento dei dati (DPA)

Nomina a responsabile del trattamento ai sensi dell'art. 28 GDPR

tra

il Cliente identificato nell'Account, in qualità di Titolare del trattamento (di seguito, il "Titolare")

e

SDL Consulting Group S.r.l., P.IVA 05991350876, in qualità di Responsabile del trattamento (di seguito, il "Responsabile")

Il presente accordo è parte integrante dei Termini e Condizioni e si intende sottoscritto con essi. In caso di contrasto sul trattamento dei dati personali, prevale il presente accordo; fra il corpo dell'accordo e i suoi allegati, prevale il corpo.

1. Oggetto e ruoli#

1.1 Nell'erogazione del Servizio il Responsabile tratta dati personali per conto e su istruzione del Titolare.

1.2 Il Titolare determina finalità e mezzi del trattamento e garantisce di disporre di una base giuridica idonea per i dati che immette nel Servizio, compresi i dati dei Firmatari, e di aver reso loro l'informativa dovuta. Il Titolare informa il Responsabile delle norme nazionali o di settore che si applicano ai dati che immette nel Servizio (ad esempio in ambito sanitario, farmaceutico, bancario o assicurativo) e che incidono sul modo in cui il Responsabile li tratta.

1.3 Il Responsabile non determina finalità proprie sui dati trattati per conto del Titolare. Ove lo facesse, sarebbe considerato titolare per quel trattamento ai sensi dell'art. 28.10 GDPR.

1.4 Dettagli del trattamento: Allegato I.

2. Istruzioni#

2.1 Il Responsabile tratta i dati esclusivamente su istruzione documentata del Titolare. Costituiscono istruzione documentata: il presente accordo, i Termini, la documentazione tecnica del Servizio e le configurazioni impostate dal Titolare tramite API o console.

2.2 Qualora il diritto dell'Unione o dello Stato membro imponga al Responsabile un trattamento ulteriore, esso ne informa il Titolare prima di procedere, salvo che la legge lo vieti per rilevanti motivi di interesse pubblico.

2.3 Il Responsabile informa immediatamente il Titolare se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati.

2.4 Richieste delle autorità. Se un'autorità giudiziaria, amministrativa o di controllo chiede al Responsabile di comunicare o rendere accessibili dati trattati per conto del Titolare, il Responsabile ne informa il Titolare prima di dare seguito alla richiesta, così che possa opporsi o contestarla, salvo che la legge lo vieti; comunica soltanto i dati strettamente richiesti e conserva traccia della richiesta e della risposta.

3. Riservatezza#

Il Responsabile garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale, e che l'accesso sia limitato a quanto necessario.

4. Durata e conservazione#

4.1 Il trattamento dura quanto il contratto di servizio.

4.2 Alla cessazione, e decorsi 30 giorni durante i quali il Titolare può esportare i dati, il Responsabile li cancella. Entro lo stesso termine il Titolare può chiedere per iscritto che i dati gli siano restituiti anziché soltanto cancellati: la restituzione avviene con le funzioni di esportazione del Servizio, e la cancellazione segue.

4.2-bis Attestazione di cancellazione. Su richiesta del Titolare, il Responsabile attesta per iscritto, entro 14 giorni dal completamento della cancellazione, quali dati sono stati cancellati e quali sono conservati e perché (§ 4.3, § 4.3-ter, obblighi di legge). Le copie di sicurezza cifrate escono dal ciclo di conservazione dei backup alla loro scadenza naturale e non sono ripristinate se non per ripristinare il Servizio.

4.2-ter Conservazione imposta dalla legge. Se una norma impone al Responsabile di conservare dati che altrimenti cancellerebbe, il Responsabile lo comunica al Titolare indicando quali dati, la norma che lo impone e il termine al quale saranno cancellati.

4.3 In deroga al punto precedente, le evidenze dei processi di firma conclusi sono conservate per 10 anni dalla chiusura della pratica. Tale conservazione risponde alla necessità di dimostrare validità e integrità delle firme raccolte per il tempo in cui esse possono essere contestate, e costituisce istruzione permanente del Titolare impartita con la sottoscrizione del presente accordo. Trascorso il termine, il Responsabile cancella il documento sigillato e la registrazione degli eventi e rende anonimi in modo irreversibile i dati personali dei Firmatari, conservando i soli elementi che permettono di attestare l'esistenza e l'integrità del documento (identificativo, livello di firma, stato, impronte crittografiche, date di completamento e chiusura).

4.3-bis Documenti caricati per la firma. Il Titolare può caricare file PDF perché siano sottoscritti. Il Responsabile li conserva cifrati e isolati nell'account del Titolare per 30 giorni dal caricamento (il Titolare può chiedere un periodo diverso, fino a 365 giorni), e, se sono stati sottoscritti in un processo di firma, finché servono alle evidenze di quel processo, cioè per il periodo del § 4.3. Il Responsabile ne verifica formato e dimensioni, non il contenuto.

4.3-ter Inattività dell'account. Un account archiviato per inattività (24 mesi) è sospeso in ogni elaborazione; i dati restano. Dopo 5 anni di archiviazione, o su richiesta, l'account è anonimizzato in modo irreversibile: vi si applica la cancellazione del § 4.2, con le sole eccezioni del § 4.3 e dei registri contabili e di audit descritti nei Termini (art. 7-bis.5). Il Titolare è avvisato prima, come indicato nei Termini. Un account con un saldo di crediti negativo non è anonimizzato automaticamente: si procede solo su decisione del Responsabile, registrata (Termini, art. 7-bis.4).

4.4 Fondamento del termine decennale (art. 5.1.e GDPR). Il termine è il tempo durante il quale una firma può essere contestata e l'azione per farla valere può essere proposta (prescrizione ordinaria decennale, art. 2946 c.c.): conservare le prove per un periodo più breve priverebbe il Titolare della possibilità di difendere la validità di un atto, e conservarle più a lungo non è necessario. È un'istruzione permanente del Titolare (§ 4.3). Alla scadenza i dati personali sono resi anonimi. Il periodo è implementato come parametro e può essere modificato senza interventi strutturali.

**4.5 Composizione senza conservazione (dataless). Il Titolare può chiedere — per singola chiamata API o come impostazione permanente della propria organizzazione — che una composizione non lasci alcuna traccia dei dati trasmessi. In tal caso il Responsabile elabora i dati in memoria per il tempo strettamente necessario a produrre il documento, restituisce il documento nella risposta alla medesima chiamata e non conserva né i dati di input, né il documento prodotto, né i messaggi diagnostici che riporterebbero valori del Titolare. Permangono i soli metadati privi di dati personali necessari alla fatturazione e alla sicurezza del servizio: modello e versione utilizzati, data e ora, durata dell'elaborazione, numero di pagine, dimensioni in byte, esito, e i nomi dei campi che il modello richiedeva e che non sono stati forniti. Il documento non è recuperabile e non è riproducibile: l'unica copia è quella ricevuta dal Titolare**, cui spetta ogni conservazione successiva.

La modalità non si applica ai processi di firma: un documento avviato alla firma deve essere conservato, e le relative evidenze restano soggette al § 4.3. Una richiesta esplicita di composizione dataless contestuale a una richiesta di firma è rifiutata, non eseguita parzialmente; quando la modalità discende dall'impostazione permanente dell'organizzazione, il documento è conservato, i dati di input non lo sono, e la risposta lo dichiara espressamente.

4.6 L'effetto della modalità dataless su una richiesta di esercizio dei diritti dell'interessato (artt. 15-17 GDPR) relativa a un documento così composto è che il Responsabile non detiene alcun dato da riscontrare, rettificare o cancellare. Resta traccia, sul registro della singola elaborazione, del fatto che quella modalità era in uso: è l'elemento che consente di dimostrare la circostanza.

4.7 Tabella dei periodi di conservazione. Salvo le istruzioni diverse del Titolare nei limiti del Servizio, il Responsabile conserva i dati trattati per suo conto per i periodi seguenti; alla scadenza li cancella o li rende anonimi con procedure automatiche giornaliere. Per i dati di cui il Responsabile è titolare vale l'Informativa Privacy.

5. Sicurezza#

5.1 Il Responsabile adotta le misure tecniche e organizzative descritte nell'Allegato II, adeguate ai sensi dell'art. 32 GDPR.

5.2 Le misure possono essere aggiornate; non sono ammesse modifiche che riducano il livello complessivo di sicurezza.

6. Sub-responsabili#

6.1 Il Titolare autorizza in via generale il ricorso a sub-responsabili.

6.2 L'elenco aggiornato, con servizio, dati, ubicazione e garanzie di ciascuno, è pubblicato in subresponsabili.md; i sub-responsabili alla data di questa versione sono OVHcloud, Brevo, Openapi e, dietro Openapi, Namirial.

6.3 Il Responsabile comunica ogni aggiunta o sostituzione con almeno 30 giorni di preavviso; per i sub-responsabili di un proprio sub-responsabile (oggi quelli di Openapi e di Namirial, che ci danno 15 giorni) il preavviso è quello che il fornitore concede al Responsabile, non inferiore a 15 giorni, e la comunicazione è inoltrata il giorno stesso in cui è ricevuta. Il Titolare può opporsi per motivi ragionevoli e documentati relativi alla protezione dei dati entro 15 giorni; in difetto di accordo, ciascuna parte può recedere dal contratto senza penali, con diritto al rimborso pro-rata di quanto prepagato e non fruito.

6.4 Il Responsabile impone ai sub-responsabili obblighi non meno onerosi di quelli qui assunti e risponde del loro operato come del proprio.

7. Assistenza al Titolare#

Il Responsabile assiste il Titolare, con misure tecniche e organizzative adeguate e nei limiti del ragionevole:

7.1 nel dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15-22). Se una richiesta perviene direttamente al Responsabile, questi non vi dà autonomamente seguito e la trasmette senza ritardo al Titolare;

7.2 negli obblighi di sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva (artt. 32-36);

7.3 mettendo a disposizione le funzioni di esportazione e cancellazione presenti nel Servizio, che coprono la generalità delle richieste ordinarie senza necessità di intervento manuale;

7.4 trasmettendogli senza ritardo, e comunque entro 5 giorni lavorativi, ogni richiesta di un interessato, reclamo o comunicazione di un'autorità che riguardi il trattamento svolto per suo conto e che pervenga al Responsabile.

8. Violazioni dei dati personali#

8.1 Il Responsabile notifica al Titolare ogni violazione di dati personali senza ingiustificato ritardo e in ogni caso entro 48 ore dal momento in cui ne viene a conoscenza.

8.1-bis Il Responsabile viene a conoscenza di una violazione anche quando gliela comunica un sub-responsabile. Impone ai sub-responsabili di avvisarlo senza ingiustificato ritardo (alla data di questa versione, Openapi si è impegnata a farlo entro 48 ore, Brevo e OVHcloud secondo i rispettivi accordi); il Responsabile inoltra al Titolare la notizia nel termine del § 8.1, che decorre dal ricevimento della comunicazione. Il termine di 72 ore dell'art. 33 GDPR per il Titolare decorre da quando questi ne è stato informato.

8.2 La notifica contiene, nella misura disponibile: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni, conseguenze probabili, misure adottate o proposte, e un punto di contatto. Le informazioni non immediatamente disponibili sono fornite senza ulteriore ritardo, in fasi successive.

8.3 La notifica all'autorità di controllo e agli interessati compete al Titolare. Il Responsabile non vi provvede in sua vece.

8.4 La procedura interna è descritta nella procedura interna di gestione degli incidenti, disponibile su richiesta.

8.5 Dopo una violazione le parti si coordinano: il Responsabile collabora all'indagine del Titolare e adotta senza ritardo le misure ragionevoli per contenerne gli effetti.

8.6 Il Responsabile non comunica a terzi una violazione che riguardi i dati del Titolare senza il suo consenso scritto, salvo che la legge lo imponga o che la comunicazione sia necessaria a contenerla (ad esempio a un sub-responsabile coinvolto).

9. Audit#

9.1 Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto dell'art. 28, inclusa la documentazione di sicurezza interna, disponibile su richiesta del Titolare.

9.2 Il Titolare può svolgere una verifica all'anno, con preavviso di 30 giorni, in orario lavorativo, senza pregiudizio per la continuità del Servizio e per la riservatezza degli altri clienti. Verifiche ulteriori sono ammesse dopo una violazione o su richiesta motivata di un'autorità. Il revisore incaricato dal Titolare, se terzo, sottoscrive prima un impegno di riservatezza: vedrà un'infrastruttura comune a tutti i clienti.

9.3 Il Responsabile può assolvere l'obbligo mediante certificazioni o relazioni di audit indipendenti, ove disponibili. Alla data della presente versione non dispone di certificazioni ai sensi degli artt. 42-43 GDPR.

9.4 I costi di verifiche eccedenti la prima annuale sono a carico del Titolare, salvo che la verifica accerti un inadempimento.

10. Trasferimenti extra-SEE#

10.1 Il Responsabile non trasferisce dati personali al di fuori dello Spazio Economico Europeo, con l'unica eccezione indicata nell'elenco dei sub-responsabili: per il solo sigillo elettronico qualificato, uno dei sub-responsabili di Openapi (Mcloud Ltd) è stabilito nel Regno Unito, verso il quale vale la decisione di adeguatezza della Commissione europea (art. 45 GDPR). I sub-responsabili che trattano i dati dei Firmatari e dei documenti sono stabiliti nell'UE e i dati sono trattati su infrastrutture ubicate nell'UE.

10.2 Qualora un altro trasferimento si rendesse necessario, o la decisione di adeguatezza venisse meno, esso avverrà solo previa comunicazione al Titolare secondo l'art. 6.3 e sulla base di uno degli strumenti del Capo V del GDPR (clausole contrattuali tipo comprese).

11. Responsabilità#

11.1 Si applica l'art. 82 GDPR.

11.2 La limitazione di responsabilità dei Termini non si applica alle somme dovute ai sensi dell'art. 82 GDPR né alle sanzioni amministrative derivanti da inadempimenti imputabili al Responsabile.

12. Legge applicabile#

Legge italiana; foro di cui all'art. 20.2 dei Termini.

13. Referenti#

Allegato I — Dettagli del trattamento#

Oggetto: erogazione di un servizio di composizione documentale e di firma elettronica semplice.

Natura e finalità: raccolta, registrazione, organizzazione, conservazione, elaborazione, consultazione, comunicazione mediante trasmissione, cancellazione — al solo fine di erogare il Servizio secondo le istruzioni del Titolare.

Durata: § 4.

Categorie di interessati

Categorie di dati personali

Categorie particolari (art. 9) e dati giudiziari (art. 10). Il Servizio non è progettato né destinato al trattamento di tali dati. Il Titolare si astiene dall'immetterli nel Servizio senza averlo preventivamente concordato per iscritto: alcune misure di sicurezza — in particolare i periodi di conservazione e la registrazione integrale dei messaggi — non sono state dimensionate per quelle categorie.

Allegato II — Misure tecniche e organizzative#

Ai sensi dell'art. 32 GDPR. Descrive misure in esercizio alla data indicata, verificate contro il sistema e non dichiarate in astratto. Le voci che descrivono un'attività periodica indicano la frequenza effettiva.

II.1 Cifratura#

• Dati a riposo: ogni file archiviato dal Servizio (documenti generati, documenti sigillati, template caricati) è cifrato con AES-256-GCM con chiave gestita dal Responsabile. Non esiste un percorso di lettura in chiaro.
• Rotazione delle chiavi: supportata; la chiave uscente resta utilizzabile in lettura durante la migrazione. Nessun materiale crittografico transita dall'interfaccia utente o è conservato in banca dati.
• Dati in transito: TLS su ogni connessione pubblica, con HSTS. Certificati rinnovati automaticamente.
• Backup: cifrati con AES-256 prima di lasciare il server.

II.2 Controllo degli accessi#

• Autenticazione degli utenti con password conservate esclusivamente in forma di hash; cookie di sessione con attributi Secure, HttpOnly, SameSite.
• Secondo fattore obbligatorio per ogni accesso alla console: un codice monouso inviato all'indirizzo email dell'account oppure, a scelta dell'utente, un'app di autenticazione (TOTP, RFC 6238), configurabile anche da codice QR, con codici di recupero monouso. Gli account dell'amministrazione della piattaforma usano sempre password e codice inviato. Il segreto condiviso è cifrato a riposo con la stessa chiave dell'archivio: un segreto TOTP in chiaro in un dump sarebbe il secondo fattore di ogni account, cioè peggio della sua assenza, perché lo si crederebbe presente. Un codice già usato viene rifiutato, e la tolleranza sull'orologio è di un solo passo.
• Chiavi API conservate come hash con pepper dedicato: non sono recuperabili, solo revocabili.
• Autorizzazione basata su ruoli e capacità, secondo il minimo privilegio.
• Isolamento fra clienti applicato a livello di interrogazione dati. Ogni tentativo di accesso a dati di un altro cliente riceve risposta 404 e non 403, per non rivelare nemmeno l'esistenza del dato.
• Accesso amministrativo al server tramite chiave crittografica; autenticazione con password disabilitata.

II.3 Sicurezza dell'infrastruttura#

• Il servizio applicativo è eseguito in container senza privilegi di root, con tutte le capacità di sistema rimosse e con il divieto di acquisirne di nuove. Applicazione, proxy e banca dati girano con il file system di sistema in sola lettura.
• I convertitori di documenti girano in un servizio separato, senza accesso alla rete e senza alcun segreto nel proprio ambiente né accesso all'archivio dei file: ricevono ciascun documento dall'applicazione su un canale locale, con limiti di tempo, di CPU e di dimensione dei file. Un documento che tentasse di far scaricare qualcosa non raggiunge nulla.
• Firewall perimetrale; blocco automatico dei tentativi ripetuti di accesso.
• Esposizione pubblica limitata al proxy inverso.
• Ogni dipendenza è bloccata a una versione esatta, incluse quelle transitive.

II.4 Contenuti forniti dal cliente#

• I template sono eseguiti in un ambiente di esecuzione ristretto; il motore di composizione non può accedere alla rete né al filesystem.
• Limite dimensionale sui caricamenti e rifiuto degli archivi compressi che eccedono soglie di espansione, di rapporto di compressione o di numero di voci, e di quelli che contengono percorsi che escono dalla propria cartella.
• Gli URL forniti dal cliente per le notifiche in uscita sono verificati prima di essere contattati: solo https, solo indirizzi pubblicamente instradabili, nessun inseguimento dei reindirizzamenti.

II.5 Integrità delle evidenze di firma#

• Registrazione in sola aggiunta degli eventi di ciascun processo di firma.
• Impronta SHA-256 del documento sigillato, verificabile pubblicamente ricalcolandola su un file caricato.
• Certificato di completamento allegato al documento, che riporta per ciascun firmatario il metodo di verifica effettivamente applicato.
• Esportazione dell'intero fascicolo probatorio in un unico archivio.

II.6 Disponibilità e ripristino#

• Backup giornaliero cifrato, trasferito su archiviazione a oggetti in un paese diverso da quello del server, conservato 30 giorni; la cancellazione anticipata è impedita da un blocco dell'oggetto (Object Lock, modalità governance).
• Il backup comprende banca dati, archivio dei file e i segreti necessari a renderli leggibili: un ripristino privo di questi ultimi produrrebbe un servizio incapace di leggere i propri dati.
• La procedura verifica la decifratura e l'integrità dell'archivio prima della trasmissione: un backup che non si apre è una convinzione, non una copia.
• Ripristino effettivamente eseguito e verificato confrontando i conteggi delle tabelle con la produzione. Obiettivi e limiti in piano di continuità operativa interno, disponibile su richiesta.

II.7 Minimizzazione e cancellazione#

• Cancellazione automatica dei documenti generati decorso il periodo di conservazione, eseguita da processi pianificati e verificabili.
• Modalità di composizione senza conservazione (§ 4.5): su richiesta, per chiamata o per organizzazione, i dati trasmessi non vengono scritti in nessun archivio — né il documento prodotto. La scrittura è soppressa all'origine, non cancellata dopo, ed è verificata da un test che ispeziona l'intero schema del database alla ricerca del dato trasmesso.
• Cancellazione e anonimizzazione delle evidenze di firma secondo il § 4.3.
• Le funzioni di esportazione e cancellazione sono esposte al Titolare.

II.8 Organizzazione e governo#

• Registro delle decisioni architetturali e degli incidenti, mantenuto in modo continuativo, che documenta ogni modifica rilevante e ogni evento anomalo con la relativa analisi.
• Registro dei rischi e riesame periodico: registro dei rischi interno, disponibile su richiesta.
• Procedura di gestione degli incidenti con tempi definiti: procedura interna di gestione degli incidenti, disponibile su richiesta.
• Inventario degli asset: inventario degli asset interno, disponibile su richiesta.
• Suite di test automatici eseguita prima di ogni rilascio in produzione.
• Controllo automatico dei requisiti di configurazione prima di ogni rilascio.

II.9 Misure non ancora adottate#

Elencarle è insolito in un allegato contrattuale. Sono qui perché un cliente che le scopre da sé conclude che l'elenco precedente sia altrettanto ottimista, mentre non lo è.

Data ultimo riesame dell'Allegato II: 2026-11-02. Da riesaminare almeno annualmente e a ogni modifica sostanziale dell'architettura.

Allegato III — Che cosa resta di un'elaborazione#

Per ogni documento composto il Responsabile registra una riga di esercizio. La tabella dice che cosa contiene, nella modalità ordinaria e nella composizione senza conservazione (§ 4.5). Vale per la composizione; i processi di firma seguono il § 4.3. Nella modalità ordinaria, trascorsi 365 giorni i dati trasmessi, gli avvisi, il testo dei messaggi d'errore e le opzioni della richiesta sono cancellati insieme al documento: la riga conserva da allora solo gli elementi che nella colonna di destra restano anche senza conservazione, e l'impronta dei dati.

Nessuna intestazione HTTP, nessun cookie e nessun token di sessione sono registrati nella riga di esercizio. I registri del server web conservano indirizzo IP e richiesta per 365 giorni, come indicato nell'Informativa Privacy.

Responsabilità condivise#

La protezione dei dati dipende anche da ciò che resta nelle mani del Titolare:

• le chiavi API: non sono recuperabili dal Responsabile; una chiave esposta va revocata dalla console;
• la scelta della modalità senza conservazione, per chiamata o per tutta l'organizzazione: è il Titolare a deciderla, e l'unica copia del documento è allora la sua;
• gli utenti della console e i loro ruoli, e la custodia dei loro fattori di autenticazione;
• i dati che immette: il Servizio non è destinato a categorie particolari di dati (Allegato I) senza un accordo scritto.