Accordo sul trattamento dei dati

Il presente accordo (DPA) integra i Termini e condizioni di licenza e di servizio (i Termini) e l'eventuale Ordine tra il cliente (il Cliente, titolare del trattamento) e [RAGIONE SOCIALE], con sede legale in [SEDE LEGALE], P.IVA [P.IVA] (il Fornitore, responsabile del trattamento), e disciplina il trattamento dei dati personali effettuato dal Fornitore per conto del Cliente nell'erogazione del servizio Prynt (il Servizio), ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR).

1. Definizioni

I termini "dato personale", "trattamento", "titolare", "responsabile", "sub-responsabile", "interessato", "violazione dei dati personali" e "autorità di controllo" hanno il significato dell'art. 4 GDPR. Dati personali del Cliente sono i dati personali contenuti nei Dati del Cliente definiti nei Termini e trattati dal Fornitore per conto del Cliente.

2. Oggetto, durata, natura e finalità

2.1 Il Fornitore tratta i Dati personali del Cliente al solo fine di fornire il Servizio secondo i Termini, l'Ordine e la documentazione, come descritto nell'Allegato 1.

2.2 Il DPA ha la stessa durata del contratto e, dopo la sua cessazione, resta efficace finché il Fornitore conserva Dati personali del Cliente.

2.3 Il Cliente garantisce di avere una base giuridica valida per i trattamenti affidati al Fornitore, di aver fornito agli interessati le informazioni necessarie e che le proprie istruzioni sono conformi alla normativa.

3. Istruzioni del Cliente

3.1 Il Fornitore tratta i Dati personali del Cliente soltanto su istruzione documentata del Cliente, anche in caso di trasferimento verso Paesi terzi, salvo che lo richieda il diritto dell'Unione o dello Stato membro; in tal caso informa il Cliente prima del trattamento, se la legge lo consente.

3.2 Costituiscono istruzioni documentate: i Termini, l'Ordine, il DPA e le configurazioni e azioni che il Cliente e i suoi utenti eseguono nel Servizio (ad esempio definire data source e query, pubblicare template, generare documenti, configurare webhook, esportare o eliminare dati, usare l'assistente AI). Istruzioni ulteriori devono essere concordate per iscritto.

3.4 Assistente AI con la chiave del Cliente. L'assistente AI del Designer funziona solo se un utente del Cliente inserisce una propria chiave API di OpenAI. In tal caso, su istruzione del Cliente, il Fornitore trasmette a OpenAI, con quella chiave, le richieste dell'utente, la struttura del template, i nomi di tabelle e colonne e, solo se l'utente lo consente, un numero limitato di righe di esempio. OpenAI tratta questi dati nell'ambito del rapporto contrattuale tra il Cliente (o il suo utente) e OpenAI: non è un sub-responsabile del Fornitore e il Cliente, come titolare, valuta e regola tale trattamento, inclusi gli eventuali trasferimenti fuori dallo SEE. Il Fornitore non conserva il contenuto delle richieste e delle risposte; gli owner e gli amministratori possono disattivare la funzione per l'organizzazione.

3.3 Il Fornitore informa immediatamente il Cliente se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati.

4. Riservatezza del personale

Il Fornitore garantisce che le persone autorizzate al trattamento si sono impegnate alla riservatezza o hanno un adeguato obbligo legale di riservatezza, ricevono istruzioni adeguate e accedono ai dati solo nella misura necessaria alle proprie mansioni. Gli operatori della piattaforma non hanno, tramite la console di amministrazione, accesso ai contenuti né ai segreti del Cliente (vedi Allegato 2).

5. Sicurezza del trattamento

5.1 Il Fornitore adotta le misure tecniche e organizzative descritte nell'Allegato 2, adeguate al rischio ai sensi dell'art. 32 GDPR.

5.2 Il Fornitore può aggiornare le misure in base all'evoluzione tecnica, purché il livello complessivo di sicurezza non venga ridotto.

5.3 Il Cliente è responsabile delle misure di sua competenza, tra cui: gestione degli utenti e dei ruoli, autenticazione a due fattori, riservatezza delle chiavi API e delle credenziali, utenze di database con i soli privilegi di lettura necessari, sicurezza dei server su cui installa Prynt Gateway, scelta di quali parametri registrare nei log delle esecuzioni.

6. Sub-responsabili

6.1 Il Cliente autorizza in via generale il Fornitore a ricorrere a sub-responsabili. I sub-responsabili in uso alla data del DPA sono indicati nell'Allegato 3 e nell'elenco dei sub-responsabili pubblicato su www.prynt.it.

6.2 Il Fornitore informa il Cliente, via email agli owner dell'organizzazione e aggiornando l'elenco, di ogni aggiunta o sostituzione di sub-responsabili con almeno [30] giorni di anticipo. Entro tale termine il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati; se le parti non trovano una soluzione, il Cliente può recedere senza penali dalla parte del Servizio interessata, con rimborso dei corrispettivi pagati e non goduti.

6.3 Il Fornitore impone a ciascun sub-responsabile, con un contratto scritto, obblighi di protezione dei dati sostanzialmente equivalenti a quelli del DPA e resta responsabile verso il Cliente dell'adempimento dei sub-responsabili.

7. Trasferimenti fuori dallo SEE

7.1 Il Servizio è ospitato nell'Unione europea. Il Fornitore non trasferisce Dati personali del Cliente fuori dallo Spazio economico europeo, salvo quanto indicato nell'Allegato 3 o comunicato secondo l'articolo 6, e salvo le trasmissioni a fornitori scelti dal Cliente su sua istruzione (articolo 3.4).

7.2 Ogni trasferimento avverrà nel rispetto del Capo V GDPR, sulla base di una decisione di adeguatezza o delle clausole contrattuali tipo adottate dalla Commissione europea, con le eventuali misure supplementari necessarie.

8. Assistenza al Cliente

8.1 Tenuto conto della natura del trattamento, il Fornitore assiste il Cliente con misure tecniche e organizzative adeguate per rispondere alle richieste degli interessati. Il Servizio mette a disposizione strumenti self-service: esportazione dei dati dell'organizzazione (archivio ZIP), esportazione dei dati personali di ciascun utente, eliminazione dell'account e dell'organizzazione. Se un interessato si rivolge direttamente al Fornitore per dati di cui il Cliente è titolare, il Fornitore inoltra la richiesta al Cliente senza ritardo e non risponde nel merito senza istruzioni.

8.2 Il Fornitore assiste il Cliente, nei limiti delle informazioni a sua disposizione, negli adempimenti degli artt. 32-36 GDPR (sicurezza, notifica delle violazioni, valutazioni d'impatto e consultazione preventiva). L'assistenza che eccede quanto ragionevole o è causata da istruzioni particolari del Cliente può essere oggetto di corrispettivo concordato.

9. Violazioni dei dati personali

9.1 Il Fornitore notifica al Cliente ogni violazione dei dati personali che riguarda i Dati personali del Cliente senza ingiustificato ritardo e comunque entro [48] ore da quando ne è venuto a conoscenza, all'indirizzo email degli owner dell'organizzazione e a [EMAIL REFERENTE PRIVACY CLIENTE] se indicato.

9.2 La notifica contiene, per quanto disponibile: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, il punto di contatto del Fornitore, le probabili conseguenze, le misure adottate o proposte per porvi rimedio e attenuarne gli effetti. Le informazioni non disponibili subito sono fornite in fasi successive.

9.3 Il Fornitore adotta senza ritardo le misure ragionevoli per contenere la violazione e collabora con il Cliente. La notifica all'autorità di controllo e la comunicazione agli interessati restano a carico del Cliente come titolare, salvo diverso accordo.

10. Cancellazione e restituzione dei dati

10.1 Durante il contratto il Cliente può esportare in ogni momento i propri dati dal Servizio. Alla cessazione del contratto si applica l'articolo 14 dei Termini: finestra di esportazione di [30] giorni in sola lettura, quindi eliminazione dell'organizzazione con 30 giorni di ripristino e successiva cancellazione definitiva automatica di tutti i dati dell'organizzazione, compresi segreti e chiavi di cifratura dell'organizzazione.

10.2 Le copie di backup cifrate sono eliminate alla loro naturale scadenza, al più tardi entro [12] mesi dalla cancellazione; fino ad allora restano protette con le misure dell'Allegato 2 e non vengono trattate se non per il ripristino in caso di disastro (nel qual caso i dati già cancellati vengono nuovamente eliminati).

10.3 Su richiesta scritta il Fornitore conferma per iscritto l'avvenuta cancellazione. Resta salva la conservazione imposta dalla legge.

11. Informazioni e verifiche

11.1 Il Fornitore mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR, anche tramite la documentazione tecnica e questo DPA, e risponde a questionari di sicurezza ragionevoli.

11.2 Il Cliente può svolgere, a proprie spese, un audit, anche tramite un revisore indipendente vincolato alla riservatezza, con preavviso scritto di almeno [30] giorni, non più di una volta l'anno salvo violazioni accertate o richieste di un'autorità, nei normali orari lavorativi e senza compromettere la sicurezza o la riservatezza dei dati di altri clienti. Il Fornitore non dispone attualmente di certificazioni di terze parti.

12. Registro e responsabilità

12.1 Il Fornitore tiene il registro delle attività di trattamento svolte per conto dei titolari ai sensi dell'art. 30.2 GDPR.

12.2 La responsabilità delle parti per violazioni del DPA è regolata dall'art. 82 GDPR e, nei limiti consentiti, dalle limitazioni previste dai Termini.

13. Prevalenza

In caso di contrasto tra il DPA e i Termini, per quanto riguarda la protezione dei dati personali prevale il DPA.

Allegato 1 — Descrizione del trattamento

Come vengono trattati i dati dei database del Cliente. Il Servizio legge i dati dei database del Cliente solo in lettura e solo al momento dell'anteprima o della generazione, eseguendo le query definite nel Designer, tramite Prynt Gateway installato dal Cliente (connessioni solo in uscita dalla rete del Cliente) o tramite connessione diretta cifrata. Le righe lette sono usate in memoria per comporre il documento e non vengono salvate dal Servizio come tali; restano nel documento generato.

Conservazione nel Servizio (valori attuali della configurazione, modificabili solo in senso più restrittivo senza preavviso):

Allegato 2 — Misure tecniche e organizzative

Prima della firma il Fornitore verifica che ciascuna misura sia effettivamente attiva nell'ambiente di produzione.

Infrastruttura e rete

• Servizio ospitato su un server privato virtuale presso [FORNITORE HOSTING], in un data center nell'Unione europea ([PAESE DATA CENTER]); componenti eseguiti in container Docker.
• Un solo punto di ingresso: reverse proxy sulle porte 80/443; nessuna porta dei servizi interni esposta; il database PostgreSQL è raggiungibile solo dalla rete interna dei container.
• Firewall con le sole porte 22 (SSH, accesso solo con chiave), 80 e 443 aperte; pannello del reverse proxy non esposto a Internet; aggiornamenti di sicurezza automatici del sistema operativo e protezione contro i tentativi ripetuti di accesso SSH.
• Container eseguiti con utenti non privilegiati, senza capability aggiuntive e con no-new-privileges.

Cifratura

• Tutto il traffico verso il sito, l'applicazione e l'API avviene in HTTPS con certificati TLS, redirect obbligatorio da HTTP e HSTS.
• Credenziali dei database del Cliente (connessioni dirette) e segreti dei webhook cifrati con AES-256-GCM e cifratura a busta (envelope encryption): una chiave dati per organizzazione, a sua volta cifrata con una chiave master conservata fuori dal database. Le credenziali sono di sola scrittura: non vengono mai restituite all'interfaccia o alle API.
• Con Prynt Gateway le credenziali vengono cifrate nel browser con la chiave pubblica del Gateway (ECIES: ECDH P-256, HKDF, AES-256-GCM): il Fornitore conserva solo un blob che non può decifrare; in alternativa le credenziali sono configurate solo sul Gateway e non transitano mai dal Servizio.
• Backup fuori sede cifrati con age (crittografia a chiave pubblica) prima di lasciare il server; la chiave privata non è conservata sul server.

Accesso ai database del Cliente

• Accesso sempre in sola lettura: transazioni READ ONLY, validazione delle query per dialetto, timeout e limiti di righe e di dimensione; l'API pubblica non accetta SQL, solo il codice del template e i parametri.
• Prynt Gateway apre solo connessioni in uscita (WebSocket su TLS); si autentica con una coppia di chiavi generata sul server del Cliente; ogni richiesta del Servizio è firmata, con scadenza breve e protezione anti-replay; il Gateway ripete il controllo di sola lettura e applica limiti propri; revoca immediata dal Servizio.
• Connessioni dirette: TLS con verifica del certificato richiesto in produzione, protezione contro SSRF (rifiuto di reti private, loopback e della rete della piattaforma, con ricontrollo della risoluzione DNS).
• Il Servizio mostra lo script per creare un utente di database di sola lettura e avvisa se l'utente configurato ha privilegi di scrittura o di amministrazione.

Controllo degli accessi e isolamento

• Ruoli per organizzazione e workspace (Owner, Admin, Developer, Designer, Viewer) con permessi minimi per funzione.
• Isolamento dei dati per workspace anche nel database tramite Row-Level Security di PostgreSQL; l'applicazione non si collega con utenti che possano aggirarla.
• Password conservate con PBKDF2-HMAC-SHA512 (100.000 iterazioni, salt per utente); blocco temporaneo dopo tentativi falliti; limiti di frequenza per IP ed email su accesso, registrazione e recupero.
• Autenticazione a due fattori (TOTP) con codici di recupero; l'organizzazione può renderla obbligatoria per i propri membri.
• Sessioni lato server con token casuale in cookie HttpOnly, Secure, SameSite; nel database solo l'impronta; scadenza per inattività e assoluta; revoca delle sessioni; protezione CSRF.
• Chiavi API per workspace con scope, modalità test/produzione, scadenza facoltativa e revoca immediata; nel database solo l'impronta SHA-256.
• Chiavi di licenza, token di invito, di verifica e di reimpostazione conservati solo come impronte.

Console di amministrazione della piattaforma

• Applicazione separata su un host dedicato, accessibile solo da indirizzi IP autorizzati, con autenticazione a due fattori obbligatoria e ricontrollata a ogni richiesta, sessioni di 30 minuti di inattività (massimo 8 ore) e ripetizione del codice per le azioni pericolose (sospensione o eliminazione di organizzazioni, esportazioni, modifiche di licenze e ruoli).
• Nessuna impersonificazione degli utenti; gli operatori vedono metadati (organizzazioni, utenti, utilizzo, stato tecnico) ma mai segreti, credenziali, hash di chiavi o il contenuto dei link monouso.
• Ogni azione degli operatori è registrata nell'audit con autore, IP, valori precedenti e successivi.

Registrazione e monitoraggio

• Registro di audit append-only delle operazioni rilevanti e registro degli accessi ai dati delle query (utente o chiave, data source, durata, righe, esito: mai i valori).
• Log applicativi strutturati con identificativo di correlazione, senza dati personali non necessari (email mascherate, parametri dei report registrati solo se il Cliente lo sceglie).
• Controlli automatici ogni 5 minuti di servizi, endpoint, certificati, spazio disco e freschezza dei backup, con allarmi agli operatori.

Disponibilità e ripristino

• Backup giornaliero del database e dei file (asset e documenti), backup a ogni rilascio, copie cifrate conservate presso uno storage esterno ([FORNITORE BACKUP]) con retention 14 giornalieri / 8 settimanali / 12 mensili.
• Verifica periodica dei backup con ripristino in un database temporaneo isolato e prova di ripristino completo; procedura documentata di disaster recovery.

Protezione dei dati fin dalla progettazione

• Esportazione self-service dei dati dell'organizzazione e dei dati personali degli utenti; eliminazione dell'account con anonimizzazione delle voci di audit; eliminazione dell'organizzazione con periodo di ripristino e cancellazione definitiva automatica, comprese le chiavi di cifratura dell'organizzazione.
• Conservazione minima dei documenti generati e cancellazione automatica dei dati scaduti.
• Intestazioni di sicurezza (Content Security Policy restrittiva, HSTS), nessuno strumento di terze parti nelle pagine.

Misure organizzative

• Accesso ai sistemi di produzione limitato al personale autorizzato, con chiavi SSH personali; segreti di produzione conservati in un gestore di password.
• Procedura di gestione degli incidenti e delle violazioni dei dati; procedure documentate per le richieste degli interessati.
• [ALTRE MISURE ORGANIZZATIVE: formazione del personale, accordi di riservatezza, politiche interne].

Allegato 3 — Sub-responsabili autorizzati

Si veda l'elenco dei sub-responsabili, che costituisce parte integrante del DPA nella versione in vigore alla data della firma.