Accordo sul Trattamento dei Dati (DPA) — Statuo

Allegato ai Termini e Condizioni di Servizio — Rev. 4 — Ultimo aggiornamento: 7 settembre 2026

Revisione sostanziale: per i Clienti già registrati entra in vigore il 7 ottobre 2026, data comunicata nel preavviso via e-mail (30 giorni pieni dal 7 settembre 2026, come richiesto dall'art. 3.2 dei Termini); fino ad allora resta vincolante la Rev. 3.1.

1. Parti e ruoli

Il presente accordo (il "DPA") è concluso tra il Cliente (come definito nei Termini di Servizio), in qualità di Titolare del trattamento, e Apdsoftware di Carlo Zuffetti (sito: apdsoftware.it), P.IVA 03835250162 (il "Fornitore"), in qualità di Responsabile del trattamento ai sensi dell'art. 28 GDPR.

Il DPA si applica ai soli dati personali che il Fornitore tratta per conto del Cliente nell'erogazione del Servizio Statuo. Per i dati dell'account del Cliente il Fornitore agisce come autonomo titolare (v. Informativa Privacy).

2. Oggetto, durata, natura e finalità del trattamento

• Oggetto: monitoraggio uptime dei Siti Monitorati, invio di avvisi, pubblicazione di pagine di stato.
• Durata: pari alla durata dei Termini di Servizio, più il periodo di conservazione post-cessazione di cui all'art. 8.
• Natura: raccolta, registrazione, conservazione, consultazione, trasmissione, cancellazione, in forma elettronica e automatizzata.
• Finalità: esclusivamente l'erogazione del Servizio secondo le configurazioni impostate dal Cliente.

3. Categorie di interessati e di dati (Allegato 1)

Interessati: dipendenti e collaboratori del Cliente; utenti finali del Cliente i cui recapiti siano inseriti come canali di notifica; soggetti i cui dati compaiano negli URL o nei nomi dei Siti Monitorati.

Categorie di dati: dati di recapito dei canali di notifica configurati dal Cliente (indirizzi e-mail, identificativi di chat Telegram, URL dei webhook Slack e Microsoft Teams — che identificano l'area di lavoro e il canale di destinazione); denominazioni e URL riconducibili a persone fisiche; dati tecnici dei controlli (esiti, latenze, timestamp); il contenuto degli avvisi inviati ai canali configurati, che riporta la denominazione del Sito Monitorato e i dati del singolo evento (causa del disservizio, durata, data di scadenza del certificato TLS o del dominio). Nessun dato particolare (art. 9 GDPR) è richiesto o previsto dal Servizio; il Cliente si impegna a non inserirne.

4. Obblighi del Responsabile

Il Fornitore si impegna a:

a) trattare i dati solo su istruzione documentata del Cliente — le istruzioni si considerano impartite tramite la configurazione del Servizio nel pannello — salvo obblighi di legge, nel qual caso informerà il Cliente ove consentito;

b) garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;

c) adottare le misure di sicurezza di cui all'art. 32 GDPR, come descritte nell'Allegato 2;

d) assistere il Cliente, tenuto conto della natura del trattamento, nel dare seguito alle richieste degli interessati (artt. 15-22 GDPR) e negli obblighi di cui agli artt. 32-36 GDPR, incluse — ove richiesto — le informazioni necessarie alle valutazioni d'impatto (DPIA) e alle consultazioni preventive;

e) notificare al Cliente senza ingiustificato ritardo, e comunque entro 48 ore dalla conoscenza, ogni violazione di dati personali, fornendo le informazioni utili alla notifica ex art. 33 GDPR;

f) mettere a disposizione le informazioni necessarie a dimostrare la conformità e consentire, con preavviso ragionevole di almeno 30 giorni e a spese del Cliente, verifiche documentali; eventuali audit in loco sono limitati a una volta l'anno e condotti in modo da non compromettere la sicurezza degli altri clienti.

4-bis. Obblighi e garanzie del Titolare

Il Cliente, quale titolare del trattamento, garantisce: (a) di disporre di idonea base giuridica per i trattamenti affidati al Fornitore; (b) di aver reso agli interessati (inclusi i propri Utenti Finali) le informative richieste dagli artt. 13-14 GDPR; (c) che le istruzioni impartite — anche tramite la configurazione del Servizio — sono lecite e non pongono il Fornitore in violazione del GDPR o di altre norme; (d) che, ove attivi un canale di notifica Slack o Microsoft Teams, agisce quale titolare autonomo verso quel fornitore e adempie gli obblighi elencati all'art. 5.4. Il Cliente terrà indenne il Fornitore dalle conseguenze della violazione delle predette garanzie.

5. Sub-responsabili, destinatari e fonti

5.1. Il Cliente autorizza in via generale il ricorso ai sub-responsabili elencati nell'Allegato 2. Il Fornitore comunicherà con almeno 15 giorni di preavviso ogni aggiunta o sostituzione; in caso di motivata opposizione, il Cliente potrà recedere dal Servizio senza penali.

5.2. Il Fornitore impone a ciascun sub-responsabile, per contratto, obblighi equivalenti a quelli del presente DPA e resta responsabile nei confronti del Cliente dell'operato dei sub-responsabili.

5.3. Non sono sub-responsabili, e ad essi non si applicano gli artt. 5.1 e 5.2, i soggetti indicati nell'Allegato 2 sotto "Altri destinatari e fonti":

a) Slack e Microsoft, per i canali Slack e Microsoft Teams. Il canale è attivato dal Cliente, che sceglie il proprio spazio di lavoro e incolla nel pannello l'URL del webhook — che è la credenziale di consegna verso quello spazio di lavoro, e appartiene al Cliente. Il Fornitore non ha alcun rapporto, contrattuale o tecnico, con Slack o con Microsoft: consegna l'avviso all'indirizzo che il Cliente gli ha indicato. Verso quei fornitori è il Cliente ad agire quale titolare autonomo;

b) IANA/ICANN e i registri dei nomi a dominio. Sono gestori di registri pubblici che il Fornitore interroga per conoscere la data di scadenza di un dominio e dai quali riceve una risposta. Rispondono secondo policy proprie e la legge loro applicabile, non su istruzione del Fornitore, e agiscono quindi quali titolari autonomi.

5.4. Dalla qualificazione di cui all'art. 5.3, lettera a), discende quanto segue, di cui è il Cliente — non il Fornitore — a doversi fare carico:

a) il rapporto con Slack o Microsoft fa capo al Cliente, compresi l'eventuale accordo sul trattamento dei dati e il fondamento del trasferimento negli Stati Uniti: il Fornitore non ha sottoscritto con essi alcun accordo, non impone loro gli obblighi di cui all'art. 5.2 e non presta garanzie ex Capo V del GDPR per questa consegna. Se il trattamento richiede un accordo con quel fornitore, spetta al Cliente averlo;

b) il Cliente indica quel fornitore fra i destinatari nelle informative che rende ai propri interessati ai sensi degli artt. 13-14 GDPR;

c) il Cliente si assicura che il webhook indicato appartenga a uno spazio di lavoro di cui dispone e che i partecipanti al canale di destinazione siano legittimati a conoscere il contenuto degli avvisi;

d) una volta consegnato l'avviso, la copia che resta nello spazio di lavoro non è più nella disponibilità del Fornitore: conservazione, accessi e cancellazione di quella copia seguono il rapporto fra il Cliente e quel fornitore. L'art. 8 (cancellazione alla cessazione) e l'assistenza di cui all'art. 4.d riguardano i sistemi del Fornitore, non lo spazio di lavoro del Cliente. Per interrompere la consegna il Cliente elimina il canale dal pannello; per revocare il webhook deve agire su Slack o Microsoft, dove il Fornitore non ha alcun accesso;

e) il preavviso di 15 giorni e il diritto di opposizione di cui all'art. 5.1 non operano per Slack e Microsoft, che non sono sub-responsabili; resta fermo che il Fornitore non risponde di ritardi o mancate consegne imputabili a tali fornitori (Termini di Servizio, art. 8.3).

Il Cliente che non intenda assumersi quanto precede può non attivare i canali Slack e Teams e usare il canale e-mail, consegnato in UE.

5.5. Dalla qualificazione di cui all'art. 5.3, lettera b), discende che il Fornitore non può imporre a IANA/ICANN o ai registri gli obblighi di cui all'art. 5.2, né ottenere la cancellazione di quanto essi annotino dell'interrogazione, e non presta garanzie ex Capo V del GDPR per queste comunicazioni. La scelta di interrogarli resta invece del Fornitore, che le effettua per erogare il controllo di scadenza dominio: il Cliente può escluderle disattivando quel controllo sul singolo Sito Monitorato. Anche a questi soggetti non si applicano il preavviso e il diritto di opposizione di cui all'art. 5.1.

6. Trasferimenti extra-UE

I dati sono trattati prevalentemente su infrastruttura nello Spazio Economico Europeo (Hetzner in Germania per core e database, con backup continuo e uno standby di disaster recovery su Google Cloud, sempre in territorio UE — Belgio). Fanno eccezione: la consegna notifiche via Telegram (attivata solo su scelta del Cliente); e l'esecuzione dei controlli di monitoraggio dalla location statunitense di Google Cloud, che tratta l'URL e l'esito del controllo esclusivamente in memoria — anche quando il controllo prevede la verifica di una parola chiave nella pagina, il contenuto viene letto solo per il confronto e mai scritto su disco o su log — senza alcuna conservazione dei dati sul sistema extra-SEE. Per questi due casi il trasferimento è fondato su decisioni di adeguatezza (incluso il Data Privacy Framework UE-USA, ove applicabile) o Clausole Contrattuali Standard.

Fanno eccezione anche i canali di notifica Slack e Microsoft Teams, attivati solo su scelta del Cliente: se il Cliente configura un canale di questo tipo, l'oggetto e il corpo dell'avviso vengono trasmessi all'URL del webhook che il Cliente stesso ha indicato — hooks.slack.com (Slack Technologies, gruppo Salesforce, Stati Uniti) oppure webhook.office.com / logic.azure.com (Microsoft). Non vengono trasmessi né i recapiti degli altri canali, né lo storico dei controlli. Il destinatario è lo spazio di lavoro scelto dal Cliente, verso il quale è il Cliente ad agire quale titolare autonomo (art. 5.3, lettera a): il trasferimento negli Stati Uniti è quindi regolato dal rapporto fra il Cliente e quel fornitore, e non da garanzie prestate dal Fornitore, che con Slack e Microsoft non ha sottoscritto alcun accordo. Ciò che il Cliente deve fare di conseguenza è elencato all'art. 5.4. Il Cliente che preferisca evitare il trasferimento può non attivare i canali Slack e Teams e usare il canale e-mail, consegnato in UE.

Fa eccezione, poi, l'emissione dei certificati TLS per le pagine di stato su dominio personalizzato: se il Cliente configura un proprio dominio, il solo nome a dominio viene trasmesso a Let's Encrypt (Internet Security Research Group, Stati Uniti) per la richiesta del certificato. Non vengono trasmessi né recapiti, né dati dei controlli, né alcun altro dato personale; il nome a dominio, per la natura stessa dell'emissione di un certificato pubblico, viene comunque pubblicato nei registri pubblici di Certificate Transparency. Il Cliente che preferisca evitare questo trasferimento può non configurare un dominio personalizzato e usare l'indirizzo standard della pagina di stato sul dominio del Fornitore.

Fa eccezione, infine, il controllo di scadenza del dominio dei Siti Monitorati, attivo per impostazione predefinita sui piani che lo prevedono e disattivabile dal Cliente su ogni singolo Sito: per conoscere la data di scadenza, il solo nome a dominio del Sito Monitorato viene interrogato presso il registro competente per quel TLD. Non vengono trasmessi né recapiti, né dati dei controlli, né alcun altro dato personale. Il canale dipende dal TLD:

• dove il registro pubblica un servizio RDAP — tutti i domini generici (.com, .net, .org, .shop, .cloud e simili) e una parte dei domini nazionali — l'interrogazione viaggia in HTTPS, cifrata; il registro competente, per i domini generici, si trova di norma fuori dallo SEE;
• dove il registro non pubblica un servizio RDAP — in primo luogo .it, ma anche molti altri domini nazionali europei — il Servizio ricorre al protocollo WHOIS classico sulla porta 43, che non prevede cifratura: il nome a dominio viaggia quindi in chiaro fino al server del registro, che per i .it è quello di Registro.it (IIT-CNR, Pisa), dunque all'interno dello SEE. È l'unica eccezione alla cifratura in transito dichiarata nell'Allegato 2.

L'elenco dei registri dotati di RDAP viene scaricato per intero, in HTTPS, da IANA/ICANN (Stati Uniti): quel passaggio non trasmette alcun dato del Cliente. Nel solo caso del WHOIS classico viene inviato a IANA il nome del TLD (per esempio it) per farsi indicare il server del registro — mai il nome a dominio del Sito Monitorato. La risposta del registro è un estratto del pubblico registro dei nomi a dominio e può contenere i dati che il registro stesso vi pubblica sull'intestatario: il Servizio ne trattiene soltanto i dati tecnici (registrar, date, nameserver, stato) e scarta il resto.

IANA/ICANN e i registri sono fonti pubbliche che il Fornitore interroga e dalle quali riceve una risposta: rispondono secondo policy proprie, non su istruzione del Fornitore, e agiscono quali titolari autonomi (art. 5.3, lettera b). Per queste comunicazioni il Fornitore non presta garanzie ex Capo V del GDPR e non è in grado di ottenere la cancellazione di quanto il registro annoti dell'interrogazione (art. 5.5).

Il Cliente che preferisca evitare queste comunicazioni può disattivare il controllo di scadenza dominio sul singolo Sito Monitorato; il resto del monitoraggio non ne è toccato.

7. Assistenza e costi

L'assistenza ordinaria di cui all'art. 4.d è inclusa nel canone. Richieste straordinarie, sproporzionate o ripetitive potranno essere fatturate a consuntivo a tariffa oraria comunicata preventivamente al Cliente.

8. Cessazione e cancellazione

Alla cessazione del Servizio, il Fornitore conserva i dati per 30 giorni per consentirne l'esportazione dal pannello, dopodiché li cancella in modo definitivo dai sistemi attivi; le copie di backup vengono sovrascritte secondo il ciclo di rotazione entro ulteriori 30 giorni. Su richiesta, il Fornitore attesta per iscritto l'avvenuta cancellazione.

9. Responsabilità

Alle pretese fondate sul presente DPA si applica la limitazione di responsabilità di cui all'art. 9 dei Termini di Servizio, nella misura massima consentita dalla legge. Resta impregiudicata la responsabilità di ciascuna parte verso gli interessati ai sensi dell'art. 82 GDPR, nonché il regime di regresso ivi previsto, non derogabili pattiziamente.

10. Disposizioni finali

Per quanto non previsto, si rinvia ai Termini di Servizio. In caso di conflitto tra il DPA e i Termini, prevale il DPA per le materie di protezione dei dati. Legge italiana; foro di Bergamo.

Allegato 1 — Dettagli del trattamento

Come da art. 3 del presente DPA.

Allegato 2 — Misure di sicurezza, sub-responsabili, altri destinatari e fonti

Misure tecniche e organizzative (art. 32 GDPR):

• Cifratura in transito (TLS 1.2+) su tutte le comunicazioni, inclusi i probe. Unica eccezione dichiarata: il controllo di scadenza del dominio, dove il registro competente non pubblica un servizio RDAP (è il caso di .it), ricorre al protocollo WHOIS classico sulla porta 43, che non prevede cifratura; in quel caso viaggia in chiaro il solo nome a dominio del Sito Monitorato, e nient'altro (art. 6). Il Cliente può disattivare il controllo di scadenza dominio sul singolo Sito Monitorato.
• Autenticazione con password sottoposte a hashing (bcrypt) e token firmati.
• Isolamento multi-tenant a livello applicativo: ogni interrogazione è vincolata all'identità dell'agenzia.
• Endpoint interni non esposti pubblicamente; accesso ai server esclusivamente tramite chiavi SSH; firewall con porte minime.
• Backup giornalieri cifrati con rotazione e test periodico di ripristino.
• Aggiornamenti di sicurezza automatici sull'infrastruttura; log di sistema conservati max 12 mesi.
• Principio di minimizzazione: il Servizio non richiede né categorie particolari di dati né dati di utenti finali oltre ai recapiti di notifica.

Sub-responsabili autorizzati:

(Paddle non è sub-responsabile: per i pagamenti agisce come autonomo titolare in qualità di merchant of record.)

Altri destinatari e fonti (non sub-responsabili — art. 5.3):

(Questa seconda tabella non è un elenco di sub-responsabili e la sua indicazione non vale come autorizzazione generale ai sensi dell'art. 5.1: vale come informazione sui destinatari degli avvisi e sulle fonti interrogate dal Servizio. Non operano quindi né il preavviso di 15 giorni dell'art. 5.1, né l'obbligo dell'art. 5.2 di imporre per contratto obblighi equivalenti.)

(Let's Encrypt (ISRG) resta invece nella prima tabella perché, a differenza di un registro dei nomi a dominio, emette un certificato su richiesta del Fornitore: svolge un'attività per conto suo, non risponde a un'interrogazione su un registro pubblico che gestisce per finalità proprie.)

Sottoscrizione: il DPA si intende accettato dal Cliente contestualmente all'accettazione dei Termini di Servizio in fase di registrazione.