Accordo sul trattamento dei dati.

Questo accordo fa parte dei termini di guruburu Care e copre ogni sito che ospitiamo per te. È il contratto richiesto dall’articolo 28 del GDPR (regolamento (UE) 2016/679), concluso in forma elettronica quando accetti i termini: non c’è nient’altro da firmare.

Chi è chi

Tu, il cliente indicato nell’account, sei il titolare del trattamento dei dati personali sui tuoi siti. Noi, Vălcăneanțu Alin-Ștefan PFA (codice fiscale 44410738, F35/197/2024), Timișoara, Romania, siamo il tuo responsabile del trattamento.

Se sei a tua volta responsabile del trattamento per qualcun altro, per esempio un’agenzia che ospita i siti dei propri clienti, noi siamo il tuo sub-responsabile, e tu ti assicuri che il tuo cliente lo abbia autorizzato.

Cosa trattiamo

• Finalità: ospitare i tuoi siti WordPress e occuparcene: farli funzionare, farne il backup, provare e applicare gli aggiornamenti, controllare che rispondano, ripristinarli, trasferirli da noi, supporto e intervento tecnico.
• Natura: conservazione, copia (backup, la copia di staging e la copia su cui si provano gli aggiornamenti), lettura per i controlli e gli screenshot, trasmissione tra i nostri server e cancellazione.
• Durata: per tutta la durata del contratto, poi fino alla cancellazione del sito, 30 giorni dopo la fine del piano, e dei suoi backup 7 giorni dopo.
• Dati: tutto ciò che contengono i tuoi siti. Di solito nomi, indirizzi email e postali, numeri di telefono, account utente e hash delle password, ordini, messaggi inviati tramite moduli, commenti, e gli indirizzi IP e i browser dei visitatori nei log del server.
• Interessati: visitatori, clienti, utenti, iscritti e personale del tuo sito, e chiunque sia oggetto dei tuoi contenuti.

Il nostro servizio non è pensato per categorie particolari di dati, come i dati relativi alla salute. Se il tuo sito ne contiene, ti assicuri che le misure indicate sotto siano sufficienti.

Solo su tue istruzioni

Trattiamo i dati solo su tue istruzioni documentate: i termini, il tuo piano e ciò che fai o chiedi nel portale, tramite ticket o via email. Non li usiamo per nessuno scopo nostro. Li trasferiamo fuori dall’UE solo come indica l’elenco dei sub-responsabili qui sotto.

Se riteniamo che un’istruzione violi la normativa sulla protezione dei dati, te lo diciamo subito. Se il diritto dell’UE o quello rumeno ci obbliga a trattare i dati in altro modo, te lo diciamo prima, salvo che quel diritto lo vieti.

Riservatezza

Hanno accesso solo le persone che ne hanno bisogno per fornire il servizio, e sono tenute alla riservatezza. Il personale guarda dentro un sito solo per i motivi indicati in «Supporto e intervento tecnico» nei termini, e ogni accesso viene registrato e conservato 3 anni.

Sicurezza

Proteggiamo i dati con misure tecniche e organizzative adeguate al rischio (GDPR, art. 32). Oggi sono:

• Server in Germania, con gli aggiornamenti di sicurezza del sistema operativo installati automaticamente.
• Ogni sito gira con un proprio utente di sistema, con processi PHP, database e object cache propri, separato dagli altri siti.
• HTTPS su ogni sito e sul portale.
• Backup cifrati, conservati come prevede il tuo piano, più una copia giornaliera dell’intero server conservata 7 giorni dal nostro fornitore di server.
• Accesso amministrativo ai server solo con chiavi SSH, e blocco dei tentativi di accesso falliti ripetuti.
• Password del portale conservate solo come hash, con verifica in due passaggi facoltativa; il pannello del personale solo con verifica in due passaggi.
• Password che creiamo per te mostrate una sola volta e conservate cifrate per 7 giorni al massimo.
• Log del web server conservati 14 giorni al massimo.
• Sui piani di manutenzione, aggiornamenti provati su una copia del sito prima che arrivino al sito.

Possiamo cambiare queste misure purché la protezione non diminuisca.

Sub-responsabili

Ci dai un’autorizzazione generale a ricorrere a sub-responsabili. Oggi sono:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germania: i server, a Norimberga, in Germania, e le loro copie giornaliere. I dati restano nell’UE.
• Zoho Corporation B.V., Beneluxlaan 4B, 3527 HT Utrecht, Paesi Bassi: la nostra posta (ZeptoMail e Zoho Mail), nei suoi data center nell’UE; solo per i dati del tuo sito che ci arrivano via email, per esempio in una richiesta di supporto.
• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA: inoltra le email inviate ai nostri indirizzi; anche qui solo per i dati che ci arrivano via email.

Ti scriviamo almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. In quel periodo puoi opporti per un motivo ragionevole; se non possiamo accogliere l’opposizione, puoi porre fine al contratto prima della modifica.

Ogni sub-responsabile è vincolato da condizioni sulla protezione dei dati che proteggono i dati come questo accordo, e noi restiamo responsabili verso di te del suo operato.

Fuori dall’UE

I tuoi siti e i loro backup restano nell’UE. Il personale di supporto di Zoho in India può accedere al suo data center nell’UE in base alle clausole contrattuali tipo della Commissione europea. Cloudflare, Inc. è certificata in base al Data Privacy Framework UE-USA, con le clausole contrattuali tipo come garanzia di riserva.

Come ti aiutiamo

Ti aiutiamo a rispondere alle persone a cui si riferiscono i dati quando chiedono di vederli, correggerli, cancellarli o portarli altrove, soprattutto con ciò che WordPress e il portale ti permettono di fare da solo; per tutto il resto, scrivici. Ti aiutiamo anche per la sicurezza, le violazioni dei dati, le valutazioni d’impatto e la consultazione dell’autorità, nei limiti della nostra parte del trattamento.

Violazioni dei dati

Se veniamo a conoscenza di una violazione dei dati personali dalla nostra parte che riguarda i tuoi siti, te lo diciamo senza ingiustificato ritardo, e al più tardi entro 48 ore, con ciò che sappiamo: cosa è successo, quali siti e dati sono coinvolti, cosa abbiamo fatto e cosa potresti dover fare tu. Decidi tu se informare l’autorità e le persone interessate, e ti diamo a questo scopo ciò che abbiamo.

Alla fine

Quando il contratto termina, il sito e i suoi backup restano per 30 giorni, così puoi tornare o chiederci una copia. Poi cancelliamo il sito, e i suoi backup 7 giorni dopo; spariscono dalle copie giornaliere del nostro fornitore di server entro altri 7 giorni. Non conserviamo nulla, salvo che lo richieda il diritto dell’UE o quello rumeno.

Informazioni e audit

Ti diamo le informazioni necessarie per dimostrare che questi obblighi sono rispettati. Tu, o un revisore indipendente tenuto alla riservatezza, potete sottoporci a un audit una volta all’anno, con un preavviso di 30 giorni e a tue spese, senza accesso ai dati di altri clienti. Possiamo rispondere prima con dei documenti.

Responsabilità e contatti

Le regole sulla responsabilità dei termini si applicano a questo accordo nei limiti consentiti dal GDPR. Per qualsiasi questione sulla protezione dei dati, scrivi a hello@guruburu.eu.