Nomina a responsabile del trattamento

NOMINA A RESPONSABILE ESTERNO DEL TRATTAMENTO AI SENSI DELL’ART. 28 DEL REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO DEL 27.4.2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/ce (REGOLAMENTO GENERALE SULLA PROTEZIONE DEI DATI – “GDPR”)

Versione 2.0 — in vigore dal 17 ottobre 2026. Sostituisce la versione precedente, non numerata.

Tra

Il Cliente che ha acquistato un Servizio offerto in vendita da SupportHost OÜ sul sito supporthost.com, in qualità di Titolare del Trattamento (Titolare del Trattamento), in persona del suo legale rappresentante

e

SupportHost OÜ, con sede legale in Ahtri tn 12, 15551 Tallinn, Estonia, codice di registro 16285499, partita IVA EE102402247, in qualità di Responsabile del Trattamento dei dati personali (Responsabile del Trattamento), in persona del suo legale rappresentante

(il Titolare del Trattamento e il Responsabile del Trattamento congiuntamente, le “Parti”).

I. Oggetto

Le presenti clausole hanno come oggetto la definizione delle condizioni alle quali il Responsabile del Trattamento si impegna a effettuare per conto del Titolare del Trattamento le operazioni di Trattamento dei Dati Personali qui di seguito definite.

Nell’ambito delle loro relazioni contrattuali e professionali le Parti si impegnano a rispettare la Normativa sulla Protezione dei Dati Personali di tempo in tempo applicabile e, in particolare, il GDPR.

Il presente Addendum fa parte integrante dell’Accordo e si intende accettato con l’ordine del Servizio.

L’Addendum riguarda i dati che il Titolare del Trattamento carica, conserva o fa transitare sui Servizi, per esempio: file e database dei siti web, caselle e messaggi di posta, contenuti dei server, record DNS, log generati dai Servizi.

Non rientrano nell’Addendum i dati del Cliente e dei suoi referenti che SupportHost tratta per gestire il rapporto contrattuale (anagrafica, fatturazione, pagamenti, assistenza, prevenzione frodi): per questi dati SupportHost è titolare autonomo e li tratta secondo la propria Privacy Policy.

II. Definizioni

“Accordo”: i Termini di servizio di SupportHost e i documenti a cui rimandano, accettati dal Titolare del Trattamento con l’ordine, di cui il presente documento costituisce un addendum.

“Addendum”: il presente documento, incluso ogni suo eventuale allegato.

“Dati Personali”: i dati personali, come definiti dall’art. 4.1 del GDPR, oggetto del presente Addendum.

“GDPR”: il Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).

“Interessato”: ha il significato di cui all’art. 4.1 del GDPR.

“Misure di sicurezza”: le misure tecniche e organizzative descritte nell’Allegato 1.

“Normativa sulla Protezione dei Dati Personali”: significa qualsiasi legge o regolamento, inclusi le leggi e i regolamenti dell’Unione europea, degli Stati membri e di UK, applicabile al trattamento dei Dati Personali, incluso il GDPR.

“Responsabile del Trattamento”: ha il significato di cui all’art. 4.8 del GDPR.

“Servizi”: i servizi acquistati dal Titolare del Trattamento (hosting condiviso, hosting reseller, VPS, server dedicati, posta elettronica, PEC, domini, certificati SSL e servizi accessori).

“Sub-Responsabile”: un altro responsabile del trattamento a cui il Responsabile del Trattamento ricorre per specifiche attività di trattamento per conto del Titolare del Trattamento (art. 28.4 GDPR).

“Titolare del Trattamento”: ha il significato di cui all’art. 4.7 del GDPR.

“Trattamento”: ha il significato di cui all’art. 4.2 del GDPR.

“Violazione dei Dati Personali”: ha il significato di cui all’art. 4.12 del GDPR.

III. Descrizione del Trattamento demandato al Responsabile del Trattamento

Il Responsabile del Trattamento è autorizzato a trattare per conto del Titolare del Trattamento i Dati Personali che il Titolare carica, conserva o fa transitare sui Servizi, nella misura necessaria a erogarli.

Le operazioni di Trattamento demandate al Responsabile del Trattamento sono le seguenti:

1. Conservazione e copia di backup
2. Consultazione, solo quando serve all’assistenza richiesta dal Titolare o alla sicurezza dei sistemi
3. Limitazione e cancellazione
4. Raccolta e registrazione, per conto del Titolare e tramite i Servizi
5. Organizzazione
6. Trasmissione e messa a disposizione, secondo le funzioni del Servizio scelto dal Titolare

La finalità del Trattamento demandato al Responsabile del Trattamento è unicamente quella di dare esecuzione all’Accordo, prestando i Servizi. Il Responsabile del Trattamento non tratta i Dati Personali per finalità proprie.

Le categorie di Dati Personali il cui Trattamento è demandato al Responsabile del Trattamento sono quelle scelte dal Titolare, di cui il Responsabile non conosce né controlla preventivamente il contenuto. Tipicamente:

1. Dati identificativi e di contatto
2. Dati di navigazione e log generati dai Servizi
3. Contenuti dei messaggi di posta elettronica
4. Dati di clienti e utenti dei siti e delle applicazioni del Titolare

Le categorie di Interessati a cui si riferiscono i Dati Personali il cui trattamento è demandato al Responsabile del Trattamento sono utenti, clienti, potenziali clienti, dipendenti e collaboratori del Titolare del Trattamento, mittenti e destinatari della posta elettronica, visitatori dei siti del Titolare.

Categorie particolari di dati (artt. 9 e 10 GDPR): il Titolare può caricarne solo sotto la propria responsabilità, valutando se le Misure di sicurezza dell’Allegato 1 sono adeguate al rischio; se non lo sono, adotta misure ulteriori (per esempio la cifratura applicativa).

IV. Durata dell’Addendum

Il presente Addendum produce effetti a partire dall’ordine del Servizio e per tutta la durata dell’Accordo, sicché, cessato l’Accordo, per qualsiasi causa, cesseranno anche, immediatamente, gli effetti del presente Addendum. Gli obblighi relativi alla riservatezza e i divieti di diffusione e/o comunicazione dovranno essere osservati dal Responsabile del Trattamento anche dopo la cessazione dell’Accordo e del presente Addendum.

V. Obbligazioni del Responsabile del Trattamento nei confronti del Titolare del Trattamento

Il Responsabile del Trattamento si obbliga:

1. a trattare i Dati Personali unicamente per la finalità di cui al presente Addendum e, in particolare, come indicato al punto III che precede, solo ed esclusivamente ai fini della corretta esecuzione dell’Accordo e della corretta prestazione dei Servizi, conseguentemente;
2. a non comunicare, diffondere, rivelare, in qualsiasi modo, i Dati Personali a terzi, ad eccezione dei responsabili ulteriori del trattamento, qualora designati dal Responsabile del Trattamento conformemente all’art. 28 GDPR e all’art. VIII che segue, e delle persone autorizzate al trattamento dei dati personali sotto l’autorità del Responsabile del Trattamento (“Incaricati”), qualora essi siano istruiti in tal senso dal Responsabile del Trattamento, conformemente a quanto indicato dall’art. 29 GDPR, e siano formalmente designati dallo stesso, a norma del presente articolo;
3. trattare i Dati Personali conformemente alle istruzioni eventualmente fornite dal Titolare del Trattamento (“Istruzioni”), anche in caso di trasferimento di Dati Personali verso un paese terzo o un’organizzazione internazionale, salvo che lo richieda il diritto dell’Unione o il diritto nazionale cui è soggetto il Responsabile del Trattamento; in tal caso, il Responsabile del Trattamento informa il Titolare del Trattamento di tale obbligo giuridico prima del Trattamento, a meno che il diritto dell’Unione o dello Stato membro in questione vietino tale informazione per rilevanti motivi di interesse pubblico. Se il Responsabile del Trattamento ritiene che un’istruzione costituisca una violazione del GDPR e/o di un’altra disposizione del diritto dell’Unione o del diritto di uno degli Stati membri relativa alla protezione dei dati personali, il Responsabile del Trattamento ne dovrà dare immediata comunicazione al Titolare del Trattamento e può sospenderne l’esecuzione finché il Titolare non la conferma o la modifica.

Costituiscono Istruzioni documentate: l’Accordo e il presente Addendum; la configurazione e l’uso dei Servizi da parte del Titolare, compresa la scelta della località del data center; le richieste scritte inviate tramite ticket dall’area clienti.

VI. Riservatezza

Il Responsabile del Trattamento autorizza al Trattamento solo il personale che ne ha bisogno per erogare i Servizi o prestare assistenza.

Il personale autorizzato è istruito sulle procedure interne e vincolato da un obbligo di riservatezza, contrattuale o di legge, che resta in vigore anche dopo la fine del rapporto.

Il personale accede ai contenuti del Titolare solo quando serve: per l’assistenza richiesta dal Titolare, per la sicurezza dei sistemi o per obbligo di legge.

VII. Sicurezza del Trattamento

Il Responsabile del Trattamento adotta le Misure di sicurezza descritte nell’Allegato 1, adeguate al rischio ai sensi dell’art. 32 GDPR, e le aggiorna nel tempo in base allo stato della tecnica, senza ridurne il livello complessivo.

Le Misure di sicurezza dipendono dal tipo di Servizio, come descritto nell’Allegato 1. In particolare, sui server non gestiti (VPS e server dedicati senza gestione) il Titolare ha l’accesso amministrativo completo: le misure che riguardano il sistema operativo, le applicazioni e i dati (aggiornamenti, firewall di sistema, gestione degli accessi, cifratura, backup) sono quindi a carico del Titolare, salvo i servizi aggiuntivi acquistati.

Il Responsabile del Trattamento è certificato ISO/IEC 27001, ISO/IEC 27017 e ISO/IEC 27018. Lo stato aggiornato delle certificazioni è pubblicato nella pagina Certificazioni del sito.

VIII. Ulteriori responsabili del Trattamento

Autorizzazione generale

Il Titolare del Trattamento autorizza il Responsabile del Trattamento, in via generale, a ricorrere ad uno o più responsabili del trattamento (“Responsabili Ulteriori del Trattamento” o “Sub-Responsabili”) per l’esecuzione di specifiche attività di trattamento, ai sensi dell’art. 28.2 del GDPR. L’elenco aggiornato dei Sub-Responsabili, con l’attività svolta e la località del trattamento, è pubblicato nella sezione Sub-responsabili della pagina Sicurezza del sito.

Modifiche e diritto di recesso

Prima di aggiungere o sostituire un Sub-Responsabile, il Responsabile del Trattamento aggiorna l’elenco e ne dà comunicazione al Titolare per e-mail, all’indirizzo dell’area clienti, con almeno 14 giorni di anticipo. Se la sostituzione è urgente per ragioni di sicurezza o di continuità del Servizio (per esempio il guasto o la cessazione di un fornitore), il Responsabile può procedere subito e ne informa il Titolare appena possibile.

Se il Titolare non accetta la modifica per motivi legati alla protezione dei dati, può recedere dai soli Servizi interessati comunicandolo entro il termine di preavviso, con diritto al rimborso della parte di corrispettivo già pagata e relativa al periodo non goduto. La scelta dei Sub-Responsabili resta del Responsabile del Trattamento. Il Titolare autorizza il Responsabile del Trattamento a ricevere per suo conto le comunicazioni con cui i Sub-Responsabili annunciano la nomina o la sostituzione dei propri sub-responsabili, e a esercitare per suo conto il relativo diritto di opposizione.

Obblighi dei Sub-Responsabili

Il Responsabile del Trattamento impone ai Sub-Responsabili, per contratto, obblighi in materia di protezione dei dati non meno protettivi di quelli del presente Addendum, in particolare garanzie sufficienti sulle misure tecniche e organizzative (art. 28.4 GDPR), e resta pienamente responsabile verso il Titolare del loro adempimento.

IX. Assistenza al Titolare del Trattamento

Tenendo conto della natura del Trattamento, il Responsabile del Trattamento assiste il Titolare con misure adeguate a rispondere alle richieste degli Interessati (artt. 15–22 GDPR). Nella maggior parte dei casi il Titolare può farlo da sé, tramite i pannelli di controllo dei Servizi.

Se il Responsabile riceve direttamente una richiesta di un Interessato relativa a dati del Titolare, la inoltra senza ritardo al Titolare e non risponde nel merito, salvo istruzione contraria.

Il Responsabile assiste inoltre il Titolare nel rispetto degli artt. 32–36 GDPR (sicurezza, notifica delle violazioni, valutazione d’impatto, consultazione preventiva), fornendo le informazioni di cui dispone.

Un’assistenza che richieda attività tecniche non comprese nel Servizio (per esempio estrarre o cancellare dati dai backup) può essere quotata a parte, salvo che derivi da un inadempimento del Responsabile.

X. Violazione dei Dati Personali

Il Responsabile del Trattamento notifica al Titolare ogni Violazione dei Dati Personali che riguardi i suoi dati senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne è venuto a conoscenza (art. 33.2 GDPR).

La notifica è inviata all’indirizzo e-mail dell’area clienti e contiene, per quanto disponibile: la natura della violazione, le categorie e il numero approssimativo di Interessati e di registrazioni coinvolti; il contatto presso il Responsabile per ottenere informazioni; le probabili conseguenze; le misure adottate o proposte per porvi rimedio e attenuarne gli effetti. Le informazioni non disponibili subito sono fornite in fasi successive, senza ulteriore ritardo.

Il Responsabile adotta subito le misure ragionevoli per contenere la violazione e documenta i fatti, gli effetti e i provvedimenti presi.

Restano in capo al Titolare la valutazione del rischio, la notifica all’autorità di controllo (art. 33 GDPR) e la comunicazione agli Interessati (art. 34 GDPR). Il Responsabile non comunica la violazione agli Interessati del Titolare senza le sue istruzioni, salvo obbligo di legge. Questa notifica al Titolare è distinta dagli obblighi del Responsabile verso le autorità: in quanto soggetto alla normativa NIS2 come fornitore di servizi di registrazione di nomi a dominio, il Responsabile notifica inoltre gli incidenti significativi all’autorità estone competente (CERT-EE) nei termini previsti dalla legge.

XI. Informativa da fornire all’interessato

Spetta al Titolare del Trattamento fornire agli Interessati le informazioni di cui agli art. 13 e 14 del GDPR, nei casi, con le modalità e con le tempistiche di cui a tali articoli e all’art. 12 del GDPR.

XII. Conservazione dei Dati Personali durante la vigenza dell’Addendum e loro cancellazione o restituzione dopo la sua cessazione

Durante la vigenza dell’Addendum, il Responsabile del Trattamento si obbliga a conservare i Dati Personali solo ed esclusivamente per il tempo strettamente necessario al conseguimento delle finalità del Trattamento e per il corretto adempimento degli obblighi di cui all’Addendum, come indicato dal Titolare del Trattamento nelle Istruzioni, fatta salva la necessità di conservare i Dati Personali in ragione di obblighi imposti al Responsabile del Trattamento dal diritto dell’Unione o dello Stato membro cui è soggetto.

In caso di cessazione, per qualsiasi causa, dell’Addendum, il Responsabile del Trattamento si obbliga a:

a) cessare il Trattamento; e

b) fatti salvi gli obblighi di conservazione dei Dati Personali imposti al Responsabile del Trattamento dal diritto dell’Unione o dello Stato membro cui è soggetto, a scelta del Titolare del Trattamento, nei termini indicati di seguito:

1. distruggere e/o cancellare tutti i Dati Personali, in modo irreversibile e permanente e, comunque, sulla base delle Istruzioni; o
2. restituire tutti i Dati Personali; o
3. inviare i Dati Personali a un responsabile del trattamento indicato dal Titolare del Trattamento.

La restituzione o l’invio devono essere accompagnati dalla cancellazione e/o distruzione di tutte le copie esistenti nei sistemi informativi del Responsabile del Trattamento, salvo che il diritto dell’Unione o degli Stati membri preveda la conservazione di tali dati. Su richiesta scritta del Titolare, il Responsabile del Trattamento conferma per iscritto l’avvenuta cancellazione.

Prima della cessazione il Titolare può scaricare i propri dati con gli strumenti del Servizio, o chiedere tramite ticket che gli vengano restituiti in un formato di uso comune.

I Dati Personali vengono cancellati dai sistemi di produzione: in caso di disdetta, alla data scelta dal Titolare (subito oppure alla scadenza del Servizio); in caso di mancato pagamento, 30 giorni dopo la scadenza. In quest’ultimo caso il Servizio viene prima sospeso, dopo 5 giorni dalla scadenza, e fino alla cancellazione il Titolare può ancora rinnovarlo e recuperare i dati.

Le copie di backup vengono cancellate entro 30 giorni dalla cancellazione del Servizio. Fino ad allora restano protette dalle Misure di sicurezza e non vengono usate se non per un ripristino richiesto dal Titolare. Su richiesta del Titolare il Responsabile le cancella anche prima.

XIII. Responsabile per la protezione dei dati personali (o Data Protection Officer – “DPO”)

Il Responsabile del Trattamento non ha designato un DPO, non essendovi obbligato ai sensi dell’art. 37 GDPR. Per le questioni relative alla protezione dei dati il Titolare può aprire un ticket dall’area clienti o usare i recapiti della pagina Contattaci.

XIV. Registro dei trattamenti

Il Responsabile del Trattamento tiene il registro delle categorie di attività di trattamento svolte per conto dei titolari (art. 30.2 GDPR) e lo mette a disposizione dell’autorità di controllo su richiesta. L’autorità di controllo capofila per il Responsabile del Trattamento è l’autorità estone per la protezione dei dati (Andmekaitse Inspektsioon).

XV. Documentazione e verifiche

Il Responsabile del Trattamento mette a disposizione del Titolare del Trattamento tutte le informazioni e la documentazione necessarie per dimostrare il rispetto degli obblighi di cui al GDPR, compreso l’art. 28 dello stesso, e di cui al presente Addendum, in primo luogo tramite la pagina Certificazioni, la pagina Sicurezza e le risposte scritte alle richieste del Titolare.

Se queste informazioni non bastano, il Titolare o un revisore da lui incaricato, vincolato alla riservatezza, può svolgere una verifica, ispezioni comprese, alle seguenti condizioni: preavviso scritto di almeno 30 giorni, con l’indicazione di cosa si intende verificare; non più di una volta l’anno, salvo dopo una Violazione dei Dati Personali o su richiesta di un’autorità di controllo; di norma da remoto, in orario lavorativo e senza pregiudicare la sicurezza e la riservatezza degli altri clienti; a spese del Titolare, compreso il tempo del personale del Responsabile impiegato nella verifica.

Le ispezioni fisiche dei data center dei Sub-Responsabili seguono le regole di questi ultimi; al loro posto il Responsabile può fornire le loro certificazioni.

XVI. Obbligazioni del Titolare del Trattamento nei confronti del Responsabile del Trattamento

Il Titolare del Trattamento si impegna a fornire al Responsabile del Trattamento i Dati Personali nel caso in cui, in ragione dell’Accordo e/o dei Servizi, essi non siano raccolti e/o acquisiti direttamente dal Responsabile del Trattamento, per conto del Titolare del Trattamento.

Il Titolare garantisce di avere una base giuridica per i Trattamenti affidati al Responsabile e di aver fornito agli Interessati l’informativa (artt. 13–14 GDPR).

Il Titolare valuta se le Misure di sicurezza dell’Allegato 1 sono adeguate ai dati che carica e adotta quelle a suo carico secondo il tipo di Servizio (art. VII).

XVII. Ubicazione dei dati e trasferimento in Paesi terzi

I Dati Personali sono conservati in data center situati nell’Unione Europea, in Germania, Finlandia, Francia, Paesi Bassi e Italia; per ogni Sub-Responsabile l’elenco di cui all’art. VIII indica dove si trova. Il personale e i collaboratori del Responsabile del Trattamento che accedono ai dati operano dall’Unione Europea o da Paesi oggetto di una decisione di adeguatezza; in mancanza, con le garanzie previste dal Capo V GDPR (Clausole Contrattuali Tipo).

Il Titolare può scegliere, per determinati Servizi, un data center negli Stati Uniti (Ashburn, Virginia; Hillsboro, Oregon), gestito dallo stesso Sub-Responsabile dei data center europei (Hetzner). In quel caso i dati di quel Servizio sono conservati negli USA su istruzione del Titolare, e il trasferimento avviene sulla base delle Clausole Contrattuali Tipo della Commissione europea (Decisione 2021/914).

Alcuni Sub-Responsabili di servizi accessori (per esempio protezione della rete e backup) possono trattare dati fuori dall’UE o essere stabiliti fuori dall’UE. Per ciascuno l’elenco di cui all’art. VIII indica il Paese e la garanzia adottata ai sensi del Capo V GDPR (decisione di adeguatezza, incluso l’EU-US Data Privacy Framework, o Clausole Contrattuali Tipo; per i registrar di domini, anche la necessità del trasferimento per registrare il dominio richiesto dal Titolare, art. 49.1.b GDPR). Nuovi trasferimenti seguono la procedura dell’art. VIII.

XVIII. Comunicazioni

Tutte le comunicazioni previste dal presente Addendum avvengono: dal Responsabile al Titolare, all’indirizzo e-mail associato all’account del Cliente nell’area clienti, che il Titolare si impegna a mantenere aggiornato; dal Titolare al Responsabile, tramite ticket dall’area clienti o con i recapiti della pagina Contattaci.

XIX. Responsabilità

Ciascuna Parte risponde dei danni causati dalla violazione dei propri obblighi ai sensi dell’art. 82 GDPR.

XX. Modifiche

Il Responsabile del Trattamento può aggiornare l’Addendum per adeguarlo alla Normativa sulla Protezione dei Dati Personali o ai Servizi, pubblicando una nuova versione numerata e datata.

Le modifiche che riducono le tutele del Titolare gli vengono comunicate via e-mail con almeno 14 giorni di anticipo; entro lo stesso termine il Titolare può recedere dai Servizi interessati.

XXI. Legge Applicabile e foro competente

Il presente Addendum è soggetto alla legge estone. Per qualsiasi controversia riguardante la sua applicazione e/o interpretazione è competente in via esclusiva il foro di Tallinn, Estonia, fatti salvi i diritti inderogabili riconosciuti al Titolare dalla legge.

XXII. Varie

Le Parti riconoscono che il presente Addendum non limita né riduce gli impegni che il Responsabile del Trattamento ha assunto nei confronti del Titolare del Trattamento nell’Accordo, fermo restando che in caso di conflitto tra le previsioni dell’Accordo e quelle dell’Addendum in materia di trattamento di dati personali e/o di protezione dei dati personali, le previsioni dell’Addendum prevarranno.

Allegato 1 — Misure tecniche e organizzative (art. 32 GDPR)

A. Misure comuni a tutti i Servizi

• Personale tecnico qualificato (amministratori di sistema), vincolato alla riservatezza.
• Procedure interne documentate per la sicurezza, la gestione degli incidenti e l’accesso ai dati dei clienti, a disposizione di tutto il personale.
• Accesso ai sistemi riservato al personale autorizzato, secondo il principio del privilegio minimo. Gli accessi vengono revocati subito quando una persona lascia l’azienda o cambia ruolo, e sono riesaminati almeno una volta l’anno.
• Accesso SSH ai server solo con chiave personale per ogni membro dello staff; l’accesso con password è disattivato. Autenticazione a due fattori sui pannelli dei fornitori e dei registrar.
• Area clienti con autenticazione a due fattori disponibile per il Cliente.
• Registrazione degli accessi amministrativi ai server, con log conservati per 30 giorni.
• Protezione DDoS a livello di rete, fornita dai data center su tutti i Servizi.
• Data center dei Sub-Responsabili certificati ISO/IEC 27001, con controllo accessi elettronico, videosorveglianza 24/7, antincendio, alimentazione, raffreddamento e connettività ridondati.
• Procedura di gestione degli incidenti di sicurezza e di notifica ai clienti delle violazioni dei dati personali (art. X).

B. Hosting condiviso e hosting reseller

Il Responsabile gestisce il sistema operativo e il software del server.

• Aggiornamenti automatici del software del pannello di controllo; aggiornamenti del sistema operativo installati periodicamente dal personale.
• Isolamento tra gli account a livello di sistema operativo.
• Firewall applicativo, protezione dagli attacchi di forza bruta, scansione antimalware e antivirus, anche sulla posta.
• Monitoraggio 24/7 della disponibilità dei server e dei singoli servizi, con avvisi automatici al personale di turno.
• Backup automatici giornalieri, conservati 30 giorni, su uno storage separato dai server di produzione, nei Paesi Bassi (Amsterdam). Il Cliente può ripristinarli da sé dal pannello di controllo.

C. VPS e server dedicati gestiti

Il Responsabile gestisce il sistema operativo e i servizi concordati:

• aggiornamenti di sicurezza del sistema operativo e del software installato dal Responsabile;
• configurazione e gestione del firewall;
• monitoraggio 24/7 del server e dei servizi;
• backup: per le VPS, copie istantanee (snapshot) giornaliere dell’intero server, conservate 7 giorni presso il data center; per i server dedicati nessun backup compreso, salvo il servizio aggiuntivo “Disaster Recovery”, con frequenza e conservazione concordate con il Cliente in base allo spazio acquistato.

Se il Titolare non acquista un servizio di backup, la conservazione di copie dei propri dati resta a suo carico.

D. VPS e server dedicati non gestiti

Il Titolare ha l’accesso amministrativo completo. Il Responsabile garantisce l’infrastruttura fisica, la rete, la protezione DDoS di rete e la sostituzione dell’hardware guasto; non monitora il server né i servizi installati. Sono a carico del Titolare:

• installazione e aggiornamento del sistema operativo e delle applicazioni;
• firewall di sistema, gestione di utenti, password e chiavi di accesso;
• monitoraggio del server e dei servizi;
• cifratura dei dati;
• backup: il Servizio non comprende alcuna copia di backup, salvo un servizio aggiuntivo acquistato a parte.

Il personale del Responsabile non accede ai server non gestiti, salvo richiesta del Titolare.

E. Servizi di rivendita (domini, certificati SSL, PEC)

I registrar dei domini, il rivenditore dei certificati SSL e il gestore delle caselle PEC sono Sub-Responsabili e sono indicati nell’elenco. I registri dei domini e le autorità di certificazione SSL ricevono i dati necessari alla registrazione o all’emissione come titolari autonomi, secondo le loro regole.