Accordo sul trattamento dei dati (DPA)

ai sensi dell'art. 28 del Regolamento (UE) 2016/679 («GDPR»)

Versione 1 del [[DA DECIDERE: data di entrata in vigore]] · PDF di questa versione

Tra

• il Cliente, cioè l'impresa, il professionista, l'ente o la pubblica amministrazione che ha accettato le Condizioni generali del servizio («Titolare»);
• Virtual Solution S.r.l., con sede in Via San Mama 113, 48121 Ravenna (RA), P. IVA IT01480930393, REA RA-162537, capitale sociale € 10.000 i.v., PEC virtualsolution@pec.it («Fornitore» o «Responsabile»).

Premesse

A. Il Fornitore offre al Cliente un servizio di posta elettronica in abbonamento: caselle, calendari, contatti, assistente AI sui metadati, invio di file grandi come link, archivio legale opzionale e servizi collegati (il «Servizio»).

B. Per fornire il Servizio il Fornitore tratta dati personali per conto del Cliente. Per questi dati il Cliente è titolare e il Fornitore è responsabile del trattamento.

C. Il presente Accordo è accettato insieme alle Condizioni generali e ne fa parte. In materia di protezione dei dati personali, se c'è un contrasto, prevale questo Accordo.

D. [[DA DECIDERE: catena con i rivenditori white label. Proposta: quando il Servizio è venduto da un rivenditore, il rivenditore è responsabile verso il suo cliente e il Fornitore è sub-responsabile del rivenditore; si usa questo stesso testo, con il rivenditore al posto del «Cliente», e il rivenditore impone al suo cliente un accordo equivalente]]

E. Questo Accordo non si applica al Consumatore che usa il Servizio per fini esclusivamente personali o domestici: per lui vale l'informativa privacy per i clienti (art. 19.4 delle Condizioni generali).

Art. 1 – Definizioni

1.1 I termini «dato personale», «trattamento», «titolare», «responsabile», «interessato», «violazione dei dati personali» e «sub-responsabile» hanno il significato dell'art. 4 GDPR.

1.2 «Dati del Cliente»: i dati personali trattati dal Fornitore per conto del Cliente nell'ambito del Servizio.

1.3 «Pannello»: l'interfaccia web di amministrazione del Servizio.

1.4 «Tenant»: lo spazio logico del Cliente nella piattaforma, separato da quello degli altri clienti.

1.5 «Metadati»: dati sulla posta che non sono il corpo del messaggio né gli allegati: mittente, destinatari, data, dimensione, oggetto (nel registro di consegna; disattivabile per tenant), esito della consegna, codici SMTP, host remoti, verdetti antispam, configurazione DNS. Sono comunque dati personali.

Art. 2 – Oggetto e durata

2.1 Il Fornitore tratta i Dati del Cliente solo per fornire il Servizio previsto dal contratto, secondo questo Accordo.

2.2 L'Accordo dura quanto il contratto e, dopo la sua fine, finché il Fornitore conserva Dati del Cliente (artt. 14 e 15).

Art. 3 – Natura e finalità del trattamento

3.1 I trattamenti per conto del Cliente sono questi:

3.2 Il Fornitore non usa i Dati del Cliente per finalità proprie, come profilazione, pubblicità, vendita a terzi o addestramento di modelli di terzi.

3.3 [[DA DECIDERE: uso dei messaggi segnalati come spam o non spam per migliorare il filtro antispam del Fornitore. Se si fa, va indicato qui come finalità autorizzata, con i suoi limiti (solo modelli locali, nessun trasferimento); altrimenti va escluso in modo esplicito. Fino alla decisione: escluso]]

3.4 Il tracciamento dei clic del modulo Email Delivery è spento per impostazione predefinita. Se il Cliente lo attiva, gli spetta informare i destinatari e raccogliere il consenso quando la legge lo richiede.

Art. 4 – Categorie di dati e di interessati

4.1 Interessati: gli utenti delle caselle del Cliente (dipendenti, collaboratori, amministratori), i loro corrispondenti (mittenti e destinatari esterni), i destinatari degli invii del modulo Email Delivery, le persone presenti nei contatti, nei calendari e nel contenuto dei messaggi, e chi riceve i link ai file.

4.2 Dati:

• dati identificativi e di contatto: nome, indirizzo email, numero di telefono se inserito;
• credenziali di accesso, conservate in forma protetta (Allegato 1);
• contenuto di messaggi, allegati, eventi, contatti e file;
• Metadati e registri di consegna, compresi gli indirizzi IP dei client;
• domande e risposte delle conversazioni con l'assistente AI;
• dati di utilizzo: ultimo accesso, spazio occupato.

4.3 Il contenuto della posta e dei file può contenere categorie particolari di dati (art. 9 GDPR) o dati giudiziari (art. 10). Il Fornitore non le cerca e non le tratta in modo diverso dagli altri contenuti. Il Cliente decide se è lecito trattarle tramite il Servizio.

Art. 5 – Istruzioni del Cliente

5.1 Il Fornitore tratta i Dati del Cliente solo su istruzioni documentate del Cliente, anche per i trasferimenti verso Paesi terzi. Sono istruzioni:

• il contratto e questo Accordo;
• le impostazioni scelte nel Pannello: ad esempio i tempi di conservazione, l'attivazione dell'archivio legale o del tracciamento dei clic, il consenso dell'utente all'invio in chiaro per l'assistente AI;
• le richieste scritte del Cliente accettate dal Fornitore.

5.2 Se il diritto dell'Unione o di uno Stato membro obbliga il Fornitore a trattare i dati in altro modo, il Fornitore informa prima il Cliente, a meno che la legge lo vieti per rilevanti motivi di interesse pubblico.

5.3 Se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati, il Fornitore lo comunica subito al Cliente e può sospenderne l'esecuzione finché il Cliente non la conferma o la modifica.

Art. 6 – Riservatezza

6.1 Il Fornitore autorizza al trattamento solo le persone che ne hanno bisogno. Queste persone sono vincolate alla riservatezza da un contratto o dalla legge.

6.2 Il personale del Fornitore accede al contenuto delle email o dei file solo:

• su richiesta del Cliente, per l'assistenza;
• per un obbligo di legge o un ordine dell'autorità;
• per gestire un incidente di sicurezza o una segnalazione di abuso.

Ogni accesso al contenuto da parte del personale richiede un motivo e viene registrato nel registro delle attività (audit log).

Art. 7 – Misure di sicurezza

7.1 Il Fornitore adotta le misure tecniche e organizzative dell'Allegato 1, adeguate al rischio (art. 32 GDPR).

7.2 Il Fornitore può aggiornare le misure senza abbassarne il livello di protezione complessivo.

7.3 Alcune misure dipendono dal Cliente: password, attivazione del secondo fattore, gestione degli utenti, scelta dei tempi di conservazione nel Pannello. Restano a suo carico.

Art. 8 – Sub-responsabili

8.1 Il Cliente dà al Fornitore un'autorizzazione generale scritta a ricorrere ai sub-responsabili elencati nell'Allegato 2. L'elenco aggiornato è pubblicato su [[DA DECIDERE: URL, ad esempio https://stg.qmail365.com/sub-responsabili/]].

8.2 Prima di aggiungere o sostituire un sub-responsabile, il Fornitore avvisa il Cliente con almeno [[DA DECIDERE: 30]] giorni di anticipo, all'indirizzo email dell'amministratore del Cliente e sulla pagina dell'elenco.

8.3 Entro [[DA DECIDERE: 15]] giorni dall'avviso il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati. Se le parti non trovano una soluzione, il Fornitore non usa il nuovo sub-responsabile per i Dati del Cliente oppure il Cliente può recedere dalla parte del Servizio interessata, senza penali e con il rimborso pro quota del canone pagato in anticipo [[DA DECIDERE]].

8.4 Il Fornitore impone a ogni sub-responsabile, per contratto, obblighi di protezione dei dati non inferiori a quelli di questo Accordo (art. 28(4) GDPR).

8.5 Il Fornitore risponde verso il Cliente degli inadempimenti dei sub-responsabili.

8.6 Le funzioni che usano un sub-responsabile solo se attivate sono indicate come tali nell'Allegato 2.

Art. 9 – Assistenza per i diritti degli interessati

9.1 Il Fornitore aiuta il Cliente, con misure tecniche e organizzative adeguate, a rispondere alle richieste degli interessati (artt. 15–22 GDPR). Il Pannello e i protocolli standard offrono già alcuni strumenti:

• accesso e copia della posta via IMAP;
• calendari e contatti via CalDAV e CardDAV;
• cancellazione di caselle, messaggi e file;
• ricerca nel registro di consegna.

9.2 Se un interessato scrive direttamente al Fornitore, il Fornitore inoltra la richiesta al Cliente senza ritardo e non risponde nel merito, salvo diversa istruzione.

9.3 [[DA DECIDERE: assistenza oltre gli strumenti del Pannello, gratuita o a pagamento, e con quale tariffa]]

Art. 10 – Assistenza per sicurezza, valutazioni d'impatto e consultazione preventiva

10.1 Il Fornitore fornisce al Cliente le informazioni sul Servizio che gli servono per la sicurezza del trattamento (art. 32), la valutazione d'impatto (art. 35) e l'eventuale consultazione preventiva del Garante (art. 36).

Art. 11 – Violazioni dei dati personali

11.1 Il Fornitore comunica al Cliente ogni violazione dei Dati del Cliente senza ingiustificato ritardo, e comunque entro [[DA DECIDERE: 48]] ore dal momento in cui ne viene a conoscenza.

11.2 La comunicazione contiene, per quanto noto in quel momento, le informazioni dell'art. 33(3) GDPR: natura della violazione, categorie e numero approssimativo degli interessati e delle registrazioni coinvolte; un punto di contatto; probabili conseguenze; misure adottate o proposte. Le informazioni non ancora disponibili si danno in seguito, in più fasi.

11.3 Il Fornitore prende subito misure per contenere la violazione e ridurne gli effetti, e conserva la documentazione.

11.4 La notifica al Garante e la comunicazione agli interessati spettano al Cliente. Il Fornitore lo assiste.

11.5 La comunicazione di una violazione non vale come ammissione di responsabilità.

11.6 Restano fermi gli obblighi di notifica degli incidenti che la normativa NIS2 (D.Lgs. 138/2024) pone a carico del Fornitore verso il CSIRT. [[DA VERIFICARE: qualifica NIS2 e registrazione sulla piattaforma ACN]]

Art. 12 – Assistente AI e trattamenti automatizzati

12.1 L'assistente AI risponde usando i Metadati. Legge il corpo di un'email solo quando l'utente lo chiede espressamente per quella email. Ogni lettura viene registrata nell'audit log.

12.2 I permessi li decide il Servizio, non il modello. L'assistente vede solo i dati che l'utente può già vedere. Il modello può proporre azioni, non eseguirle: l'utente deve confermarle.

12.3 Prima di inviare un testo a un modello esterno il Servizio lo pseudonimizza: indirizzi, nomi, domini, indirizzi IP e numeri identificativi (codice fiscale, partita IVA, IBAN, telefono) diventano segnaposti; la risposta viene poi ricomposta. I codici tecnici restano in chiaro: codici SMTP, esiti, simboli antispam, host di provider noti. I dati pseudonimizzati restano dati personali e sono trattati come tali, anche per i trasferimenti (art. 13).

12.4 Il Servizio usa solo i fornitori AI elencati nell'Allegato 2, con le garanzie indicate lì. L'invio in chiaro a un modello esterno avviene solo se valgono entrambe le condizioni:

• il Fornitore ha abilitato quel modello per l'invio in chiaro;
• l'utente ha dato il proprio consenso nel Servizio.

Sono comunque esclusi, anche con dati pseudonimizzati: le rotte gratuite del gateway; i fornitori senza un accordo ai sensi dell'art. 28 GDPR e, fuori dal SEE, senza una garanzia del Capo V GDPR. [[DA DECIDERE: esclusione dell'API originale di DeepSeek anche per i dati pseudonimizzati; oggi in produzione è il fornitore predefinito, con DPA «in corso»]]

12.5 Se nessun fornitore esterno ammesso è disponibile, l'assistente non risponde oppure usa un modello eseguito sull'infrastruttura del Fornitore [[DA VERIFICARE: modello locale disponibile in produzione]]; non passa mai automaticamente a un fornitore fuori dall'UE. L'antispam usa solo modelli eseguiti sull'infrastruttura del Fornitore.

12.6 Le conversazioni con l'assistente sono cifrate nel database e vengono cancellate 30 giorni dopo la loro creazione [[DA SVILUPPARE: cancellazione insieme all'utente e conservazione impostabile per tenant da 7 a 90 giorni (ADR-0021); oggi la scadenza è fissa a 30 giorni]].

12.7 Ogni interfaccia dell'assistente dichiara che l'utente sta parlando con un sistema di intelligenza artificiale (art. 50 Reg. UE 2024/1689).

12.8 [[DA DECIDERE: possibilità per il Cliente di disattivare l'assistente o i fornitori esterni per il proprio tenant, lasciando solo il modello locale]]

Art. 13 – Trasferimenti fuori dallo Spazio economico europeo

13.1 Il Fornitore conserva i Dati del Cliente su un'infrastruttura propria in Italia. [[DA DECIDERE: Paese UE del secondo sito per le copie dei backup]]

13.2 I Dati del Cliente, anche pseudonimizzati, vanno fuori dal SEE solo verso i sub-responsabili dell'Allegato 2 che lo prevedono, e solo con una di queste garanzie:

• una decisione di adeguatezza (art. 45 GDPR), compreso il Data Privacy Framework UE-USA per i soggetti certificati;
• le clausole contrattuali tipo della Decisione (UE) 2021/914, modulo 3, insieme a una valutazione dell'impatto del trasferimento.

13.3 Su richiesta il Fornitore mette a disposizione del Cliente le informazioni essenziali su queste garanzie e una copia delle clausole tipo, con le parti commerciali oscurate.

Art. 14 – Conservazione durante il Servizio

14.1 Il Cliente decide quanto conservare il contenuto delle caselle, dei calendari, dei contatti e dei file: il Fornitore lo conserva finché il Cliente non lo cancella. Per gli altri dati valgono questi termini:

14.2 Un dato cancellato dal Cliente non è più visibile nel Servizio. Le copie residue restano nei backup e nelle versioni precedenti fino alla loro scadenza naturale (tabella 14.1). Sono accessibili solo al personale tecnico autorizzato e solo per un ripristino.

14.3 [[DA VERIFICARE con l'avvocato: obblighi di conservazione dei dati di traffico (art. 132 Codice privacy) che potrebbero imporre termini diversi]]

Art. 15 – Restituzione e cancellazione a fine contratto

15.1 Il Cliente può recuperare i propri dati con i protocolli standard: la posta via IMAP; calendari e contatti via CalDAV e CardDAV; i file attivi dal Pannello; l'archivio legale con l'esportazione firmata.

15.2 Dopo la cessazione valgono il periodo di transizione di 30 giorni e il successivo periodo di recupero di almeno 30 giorni dell'art. 21.3 delle Condizioni generali, durante i quali i dati restano accessibili almeno in lettura [[DA SVILUPPARE: oggi il tenant viene sospeso e l'accesso si ferma subito]].

15.3 Alla scadenza, o prima su istruzione scritta del Cliente, il Fornitore cancella i Dati del Cliente in due tempi:

• primo tempo: il tenant viene messo in eliminazione e per 30 giorni l'eliminazione si può annullare;
• secondo tempo: il Fornitore elimina in via definitiva caselle, calendari, contatti, alias, domini, file e Documenti, credenziali e utenti; le chiavi di cifratura dei file vengono distrutte.

[[DA SVILUPPARE: oggi la procedura parte solo su richiesta di un operatore della piattaforma]]

15.4 Restano solo questi dati, e solo fino alla scadenza indicata nell'art. 14:

• i backup e le versioni precedenti;
• il registro di consegna;
• l'archivio legale, se attivo: resta immutabile fino al termine scelto dal Cliente, poi viene cancellato da solo [[DA DECIDERE: cancellazione anticipata dell'archivio su istruzione del Cliente, ad esempio con la distruzione delle chiavi (funzione esistente, ADR-0023)]];
• l'audit log e i dati di fatturazione, che il Fornitore conserva per obblighi propri.

15.5 Su richiesta il Fornitore conferma per iscritto l'avvenuta cancellazione.

Art. 16 – Informazioni e verifiche

16.1 Il Fornitore mette a disposizione le informazioni che servono a dimostrare il rispetto dell'art. 28 GDPR: questo Accordo, gli allegati e le risposte a questionari ragionevoli.

16.2 Il Cliente, o un revisore da lui incaricato e vincolato alla riservatezza, può fare un audit, comprese le ispezioni, con almeno [[DA DECIDERE: 30]] giorni di preavviso, al massimo [[DA DECIDERE: una volta l'anno]] salvo violazioni o richieste dell'autorità di controllo. L'audit si svolge in modo da non compromettere la sicurezza e la riservatezza degli altri clienti. [[DA DECIDERE: ripartizione dei costi]]

16.3 [[DA SVILUPPARE: consultazione dell'audit log del tenant nel Pannello (ADR-0044, codice non ancora in produzione)]]

Art. 17 – Richieste delle autorità

17.1 Se un'autorità chiede al Fornitore l'accesso ai Dati del Cliente, il Fornitore verifica che la richiesta sia legittima, comunica solo i dati strettamente richiesti e informa il Cliente, se la legge lo consente. Una richiesta di un'autorità di un Paese extra UE non fondata su un accordo internazionale o su una garanzia del Capo V GDPR viene respinta o contestata.

17.2 [[DA VERIFICARE: punto di contatto per gli ordini europei di produzione e conservazione (Reg. UE 2023/1543, D.Lgs. 216/2025) e per gli ordini del DSA (artt. 9–11 Reg. UE 2022/2065)]]

Art. 18 – Responsabilità

18.1 Ciascuna parte risponde secondo l'art. 82 GDPR.

18.2 Per il resto si applicano le limitazioni delle Condizioni generali, approvate specificamente (art. 29 delle Condizioni generali). [[DA DECIDERE: tetto di responsabilità per le violazioni di questo Accordo]]

Art. 19 – Disposizioni finali

19.1 Il Fornitore può modificare questo Accordo per adeguarlo alla legge o al Servizio, con un preavviso di [[DA DECIDERE: 30]] giorni. Una modifica che riduce le tutele del Cliente richiede il suo consenso, oppure gli dà diritto di recedere senza penali.

19.2 Legge applicabile: italiana. Foro: quello dell'art. 27.2 delle Condizioni generali.

19.3 Il testo è redatto in italiano e in inglese. In caso di contrasto prevale la versione italiana.

Allegato 1 – Misure tecniche e organizzative

1. Isolamento tra clienti

• Ogni cliente ha un tenant separato.
• La separazione si applica direttamente nelle interrogazioni al database (PostgreSQL e ClickHouse), anche per conteggi e statistiche, non filtrando i risultati dopo.
• Test automatici verificano che un tenant non veda i dati di un altro.

2. Autenticazione e accessi

• Sistema di identità gestito dal Fornitore sulla propria infrastruttura (Zitadel).
• Amministratori di clienti e rivenditori: password con secondo fattore obbligatorio (TOTP o chiave di sicurezza), oppure passkey.
• Personale della piattaforma: solo chiave di sicurezza o passkey.
• Conferma dell'identità (nuovo accesso) prima delle azioni sensibili, come l'eliminazione di un tenant o il cambio di abbonamento.
• Password delle caselle conservate come hash, mai in chiaro.
• Limite ai tentativi di accesso e all'invio sui servizi di invio autenticato.

3. Cifratura in transito

• Accesso dei client alla posta solo cifrato: IMAPS e POP3S, almeno TLS 1.2; le porte in chiaro sono disattivate.
• Invio autenticato solo su connessione cifrata (STARTTLS o TLS implicito).
• Pannello e webmail solo in HTTPS.
• Connessioni al database cifrate (TLS 1.3).
• Fra server di posta: TLS quando il server remoto lo supporta (non obbligatorio verso Internet); pubblicazione della policy MTA-STS per i domini dei clienti.

4. Cifratura a livello applicativo (AES-256-GCM)

• Messaggi in quarantena.
• Chiavi DKIM.
• Conversazioni con l'assistente AI.
• Credenziali delle migrazioni.
• Chiavi dei fornitori esterni.
• Dati fiscali.
• File grandi e Documenti: una chiave per ogni file, a sua volta cifrata con la chiave della piattaforma.
• Archivio legale: chiavi separate per tenant.
• Repository dei backup cifrato; copie di sicurezza del registro di consegna cifrate.
• Il contenuto delle caselle, dei calendari e dei contatti non è cifrato a livello applicativo [[DA DECIDERE: introdurre la cifratura dei dischi o dei volumi; oggi non risulta in /infra]].

5. Pseudonimizzazione e minimizzazione

• Pseudonimizzazione dei testi destinati ai modelli AI esterni (art. 12).
• L'assistente usa i Metadati, non il contenuto, salvo richiesta esplicita.
• Nei log operativi indirizzi email, nomi e IP compaiono solo come hash o valori oscurati; il contenuto delle email non finisce mai nei log. Il registro di consegna consultabile dal Cliente contiene invece indirizzi e oggetto in chiaro (art. 14).

6. Controllo degli accessi amministrativi

• Accesso al contenuto solo con un motivo.
• Audit log delle azioni amministrative.
• Accesso con privilegi minimi.
• Segreti custoditi in un vault cifrato o sigillati nel database con una chiave tenuta fuori dal database e dai backup, mai nel codice sorgente.
• Le sessioni impersonate dai rivenditori non hanno accesso all'audit log né alle azioni distruttive.

7. Sicurezza della posta

• Antispam (Rspamd) e antivirus (ClamAV) sui messaggi [[DA VERIFICARE: antivirus su tutta la posta in uscita]].
• Quarantena cifrata.
• Analisi antivirus dei file grandi prima della condivisione pubblica.
• Firma DKIM e controlli SPF, DKIM e DMARC.

8. Backup e ripristino

• Backup giornalieri cifrati e incrementali (restic): 14 copie giornaliere, 8 settimanali, 12 mensili.
• Database con ripristino a un punto nel tempo (pgBackRest).
• Storage dei backup con versioni e blocco degli oggetti per almeno 30 giorni.
• Verifica settimanale a campione dell'integrità e prova automatica del ripristino.
• Allarmi per backup mancati o falliti.
• [[DA DECIDERE: copia in un secondo sito UE; oggi dati e backup sono sullo stesso sito]]

9. Archivio legale (opzionale)

• Copia immutabile (Object Lock in modalità COMPLIANCE) per il periodo scelto dal Cliente.
• Manifesti giornalieri firmati per verificare l'integrità.
• Esportazione firmata.
• Non è la conservazione a norma prevista dal CAD.

10. Infrastruttura

• Macchine virtuali su un cluster Proxmox gestito dal Fornitore in Italia.
• Firewall e protezione contro lo spoofing di rete; servizi interni non esposti a Internet.
• Immagini software fissate per impronta (digest); configurazione dichiarata nel codice (OpenTofu, Ansible).
• Database in alta affidabilità (Patroni); registro di consegna replicato.

11. Monitoraggio

• Metriche e allarmi (Prometheus); log e raccolta degli errori su sistemi gestiti dal Fornitore.

12. Sviluppo e cancellazione

• Test automatici prima di ogni rilascio; revisioni di sicurezza delle aree delicate.
• Cancellazione dei tenant in due tempi, con distruzione delle chiavi dei file.

13. Organizzazione

• [[DA DECIDERE: responsabile della sicurezza o DPO, formazione del personale, procedura scritta per gli incidenti, eventuali certificazioni]]

Allegato 2 – Sub-responsabili

A. Sub-responsabili che trattano Dati del Cliente

Le rotte gratuite del gateway AI sono escluse per i Dati del Cliente.

Il gateway AI (OmniRoute), il modello locale, il sistema di identità, i database, lo storage degli oggetti e il monitoraggio sono gestiti dal Fornitore sulla propria infrastruttura. Non sono sub-responsabili.

B. Fornitori che non sono sub-responsabili (trattano dati per finalità proprie del Fornitore, oppure su scelta diretta del Cliente o dell'utente)