Accordo sul trattamento dei dati

Ultimo aggiornamento: 17 ottobre 2026

Questo accordo riguarda i dati personali che SitePing tratta per l'agenzia quando monitora, analizza, salva e modifica i suoi siti (articolo 28 del Regolamento (UE) 2016/679, "GDPR"). Fa parte dei termini di servizio e vale da quando l'agenzia li accetta. Se i due testi differiscono sulla protezione dei dati, prevale questo accordo. Una copia firmata da noi è disponibile su richiesta a privacy@siteping.it.

1. Ruoli

L'agenzia è titolare del trattamento dei dati personali dei suoi siti collegati, oppure responsabile per conto dei suoi clienti finali. Nel secondo caso noi siamo suoi sub-responsabili, e l'agenzia si assicura che i suoi clienti finali lo abbiano autorizzato.

Noi (Alexander Kovacic Ditta Individuale, dati nei termini) siamo il responsabile del trattamento. Per i dati dell'account dell'agenzia (utenti, pagamenti, accessi) siamo titolari autonomi, come spiega l'informativa privacy.

2. Oggetto, durata, natura e finalità

Trattiamo i dati personali solo per fornire il servizio descritto nei termini, per la durata del contratto e fino alla cancellazione della sezione 11. I dati, le persone a cui si riferiscono e le operazioni di trattamento sono descritti nell'allegato I.

3. Istruzioni

Trattiamo i dati solo su istruzioni documentate dell'agenzia. Sono istruzioni i termini, le impostazioni scelte nella dashboard e le azioni avviate da lì. Avvisiamo l'agenzia se pensiamo che un'istruzione violi il GDPR, e possiamo non eseguirla finché non viene confermata o cambiata. Se una legge ci obbliga a trattare i dati in modo diverso, lo diciamo prima all'agenzia, salvo che quella legge lo vieti.

4. Riservatezza

Accedono ai dati solo il fornitore e le persone che autorizziamo, tenute alla riservatezza, e solo quanto serve al servizio (assistenza, richieste di pulizia, incidenti di sicurezza).

5. Sicurezza

Applichiamo le misure tecniche e organizzative dell'allegato II. Possiamo aggiornarle purché il livello di protezione non scenda.

6. Sub-responsabili

L'agenzia dà un'autorizzazione generale all'uso di sub-responsabili. L'elenco attuale è nella pagina dei sub-responsabili (allegato III). A ogni sub-responsabile imponiamo obblighi di protezione dei dati equivalenti a questo accordo, e rispondiamo verso l'agenzia del loro operato.

Avvisiamo il proprietario dell'account per email e su quella pagina almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. L'agenzia può opporsi per motivi ragionevoli di protezione dei dati entro quei 30 giorni. Se non troviamo insieme una soluzione, l'agenzia può chiudere il servizio interessato, e rimborsiamo la parte rimanente di un periodo pagato in anticipo.

7. Trasferimenti fuori dall'UE

Il servizio e il suo database funzionano nell'Unione europea. Quando un sub-responsabile tratta dati fuori dallo Spazio economico europeo, il trasferimento si basa su una decisione di adeguatezza (come l'EU-US Data Privacy Framework per le aziende certificate) o sulle clausole contrattuali tipo della decisione (UE) 2021/914 della Commissione.

8. Aiuto con le richieste degli interessati

Inoltriamo all'agenzia, entro 5 giorni lavorativi, le richieste degli interessati che riguardano dati trattati per lei, e non rispondiamo direttamente salvo che l'agenzia lo chieda. Nella dashboard l'agenzia può trovare e cancellare da sola gran parte dei dati (siti, utenti, backup); per il resto la aiutiamo in tempi ragionevoli.

9. Violazioni dei dati personali

Informiamo l'agenzia di una violazione dei dati personali che riguarda i suoi dati senza ingiustificato ritardo ed entro 48 ore da quando ne veniamo a conoscenza, con le informazioni dell'articolo 33, paragrafo 3, del GDPR disponibili in quel momento, e il resto appena lo abbiamo. Prendiamo misure per contenere la violazione e aiutiamo l'agenzia a notificarla all'autorità e alle persone interessate.

10. Aiuto con gli altri obblighi e verifiche

Diamo all'agenzia le informazioni sul nostro trattamento che le servono per le valutazioni d'impatto e le consultazioni preventive (articoli 35 e 36 del GDPR).

Rispondiamo a un questionario scritto sulla sicurezza una volta l'anno. Se non basta, l'agenzia può far svolgere una verifica, da remoto o sul posto, da sé o da un revisore indipendente tenuto alla riservatezza, con 30 giorni di preavviso, al massimo una volta ogni 12 mesi e a sue spese. Questi limiti non valgono dopo una violazione dei dati personali o quando la verifica la chiede un'autorità di controllo.

11. Cancellazione e restituzione

Alla fine del contratto l'agenzia può prima scaricare backup e report dalla dashboard. Entro 60 giorni dalla fine cancelliamo i dati personali trattati per l'agenzia, comprese le copie, salvo i backup sotto Object Lock, cancellati alla fine del blocco, e i dati che una legge ci impone di conservare.

12. Responsabilità e legge

La responsabilità per questo accordo segue i termini di servizio, fermi restando l'articolo 82 del GDPR e i diritti degli interessati. Legge, foro e lingua sono quelli dei termini.

Allegato I: descrizione del trattamento

Interessati:

• le persone del team dell'agenzia e i suoi utenti cliente;
• amministratori, redattori e altri utenti dei siti collegati;
• visitatori e clienti dei siti collegati, i cui dati possono comparire in backup, file e log;
• le persone iscritte alle pagine di stato dell'agenzia.

Dati personali:

• nomi utente, indirizzi email e ruoli degli amministratori dei siti, dall'inventario;
• eventi di sicurezza: accessi, accessi falliti, nuovi amministratori e modifiche, con indirizzo IP, user agent e ora;
• percorsi e impronte dei file dalle scansioni; il contenuto di un file segnalato quando l'agenzia lo apre, chiede la verifica AI o invia una richiesta di pulizia;
• backup di database e file, cifrati: possono contenere qualsiasi dato del sito, comprese categorie particolari se il sito le tratta;
• indirizzi email degli iscritti alle pagine di stato; l'HTML delle pagine pubbliche per lo Scudo SEO.

Trattamento: raccolta tramite l'agente e dalle pagine pubbliche, conservazione, confronto e analisi, cifratura, trasferimento allo storage, ripristino, cancellazione.

Conservazione nel servizio: controlli uptime 90 giorni, poi riepiloghi orari e giornalieri fino a 730 giorni; eventi di sicurezza 180 giorni; registro delle attività dell'agenzia 365 giorni; backup secondo le pianificazioni dell'agenzia; tutto al massimo fino alla fine del contratto, più i tempi di cancellazione della sezione 11.

Allegato II: misure tecniche e organizzative

• HTTPS per dashboard, agenti e sonde, con HSTS. Ogni richiesta tra piattaforma e agente è firmata con un segreto per sito e un orario, e le richieste ripetute vengono rifiutate.
• I backup sono cifrati sul sito con AES-256-GCM e una chiave per backup, prima di uscire dal sito. Con la chiave dell'agenzia (RSA-3072) la piattaforma conserva solo la chiave pubblica.
• Segreti dei siti, chiavi API e token sono conservati cifrati. Le password sono conservate come hash bcrypt.
• La verifica in due passaggi è obbligatoria per ogni utente. Accesso, registrazione e gli altri moduli pubblici hanno limiti di richieste.
• Ogni interrogazione è limitata ai dati dell'agenzia che la fa, e gli utenti cliente vedono solo i siti del proprio cliente.
• Il registro delle attività registra le azioni delicate dell'agenzia (accessi, ripristini, aggiornamenti, cambi di chiave) e le conserva 365 giorni.
• I controlli verso indirizzi scelti dall'agenzia sono limitati a indirizzi pubblici, verificati sull'indirizzo davvero contattato.
• Storage dei backup nell'UE, privato, con Object Lock contro cancellazioni e ransomware.
• Dipendenze bloccate con i lockfile e controllate a ogni cambio; modifiche al codice provate prima del rilascio; correzioni di sicurezza degli agenti distribuite dalla dashboard.
• Accesso ai sistemi di produzione solo da parte del fornitore, con verifica in due passaggi sugli account di hosting, storage e codice.

Allegato III: sub-responsabili

L'elenco, con finalità, dati e luogo di ogni sub-responsabile, è nella pagina dei sub-responsabili.