Accordo sul trattamento dei dati (DPA)

Ultimo aggiornamento: 27 ottobre 2026

Parti

Il presente accordo sul trattamento dei dati (“DPA”) è parte integrante dei Termini e condizioni di Purple Tech e si applica a tutti i servizi, acquistati dal Cliente, nei quali Purple Tech tratta dati personali per conto del Cliente, compreso Purple Cloud. Sostituisce il DPA specifico di Purple Cloud (rev. 1.6) e i relativi Allegati A (rev. 1.2) e B (rev. 1.3).

1. Ruoli e ambito di applicazione

Il Cliente determina finalità e mezzi essenziali dei trattamenti dei dati che carica, ospita, invia o fa elaborare tramite i servizi, e opera come Titolare. Se il Cliente tratta dati per conto di un terzo, Purple Tech opera come sub-responsabile e il Cliente garantisce di avere le autorizzazioni necessarie del Titolare a monte.

Purple Tech tratta i dati personali nella misura necessaria a erogare i servizi descritti nell’Allegato A.1. Per i dati amministrativi, commerciali e di fatturazione del proprio rapporto con il Cliente, Purple Tech è autonomo Titolare secondo la propria informativa privacy.

2. Oggetto, durata, categorie e operazioni

Oggetto, categorie di dati e di interessati, finalità e operazioni sono descritti nell’Allegato A.1 per ciascuna famiglia di servizio. Il trattamento dura quanto l’erogazione del servizio, salvo gli adempimenti di cessazione dell’art. 13.

3. Istruzioni documentate

Purple Tech tratta i dati soltanto su istruzione documentata del Cliente, inclusi eventuali trasferimenti verso Paesi terzi, salvo obbligo di legge. Sono istruzioni il contratto, il presente DPA, le configurazioni impostate o autorizzate dal Cliente, i ticket e le comunicazioni documentabili. Se un obbligo di legge impone un trattamento ulteriore, Purple Tech ne informa il Cliente prima, salvo divieto di legge. Purple Tech segnala senza ingiustificato ritardo le istruzioni che ritiene contrarie al GDPR.

4. Riservatezza e persone autorizzate

Il personale autorizzato è vincolato alla riservatezza, riceve istruzioni adeguate e accede solo alle informazioni necessarie. Non è prevista la consultazione sistematica dei contenuti del Cliente (file, database, caselle, liste di contatti, password). Gli accessi tecnici avvengono nella misura necessaria a gestione, assistenza e sicurezza, secondo il piano.

Per Purple Vault i contenuti delle casseforti sono cifrati lato client con chiavi derivate dalle password principali degli utenti, che Purple Tech non possiede: Purple Tech non ha accesso alle password in chiaro.

5. Misure di sicurezza

Purple Tech adotta misure tecniche e organizzative adeguate ai rischi (art. 32 GDPR), descritte nell’Allegato A.2. Separazione logica di istanze e account, protezione delle comunicazioni e backup sono gestiti secondo la configurazione effettiva di ciascun servizio. La cifratura generalizzata dei dati a riposo non è una garanzia standard, salvo dove indicato nella scheda del servizio. Gestione degli utenti, permessi e autenticazione a più fattori dipendono dal piano e dalle scelte del Cliente.

6. Ulteriori responsabili (sub-responsabili)

Il Cliente autorizza in via generale il ricorso a sub-responsabili per data center, infrastruttura, archiviazione, backup, invio email e protezione degli endpoint, elencati nell’Allegato B. Purple Tech li vincola con obblighi conformi all’art. 28 e ne resta responsabile verso il Cliente.

Ogni aggiunta o sostituzione è comunicata via email con almeno 30 giorni di preavviso, salvo urgenze documentate. Il Cliente può opporsi motivatamente entro il termine; se non si trova una soluzione, si applicano i Termini e condizioni.

7. Localizzazione e trasferimenti

I dati dei servizi e dei backup sono trattati in data center nell’UE/SEE (Italia, Francia, Germania, Belgio, Irlanda e altri Paesi UE), come indicato per ciascun servizio nell’Allegato B.

Alcuni servizi comportano trasferimenti fuori SEE per loro natura: la console e il servizio MDR di Purple Shield e Purple Protect, ospitati negli USA, e il DNS gestito tramite Cloudflare, se scelto dal Cliente. Questi trasferimenti avvengono con le garanzie del Capo V GDPR indicate nell’Allegato B.

8. Violazioni di dati personali

Quando viene a conoscenza di una violazione di dati personali nell’ambito dei servizi, Purple Tech informa il Cliente senza ingiustificato ritardo, comunica le informazioni disponibili anche in fasi successive e presta l’assistenza prevista dagli artt. 33 e 34 GDPR. La valutazione degli obblighi di notifica all’autorità e agli interessati resta in capo al Cliente.

9. Diritti degli interessati e assistenza

Purple Tech assiste il Cliente, con misure adeguate alla natura del servizio, nella risposta ai diritti degli interessati e negli adempimenti degli artt. 32–36 GDPR. Le richieste degli interessati relative a dati trattati per conto del Cliente vengono inoltrate al Cliente.

10. Documentazione, verifiche e audit

Purple Tech mette a disposizione le informazioni necessarie a dimostrare il rispetto dell’art. 28 e consente le verifiche, preferibilmente tramite documentazione ed evidenze tecniche. Eventuali ispezioni sono concordate con modalità ragionevoli, tutelando la sicurezza dell’infrastruttura e la riservatezza degli altri clienti.

11. Backup e ripristino

Frequenza e conservazione dei backup sono quelle indicate nella scheda di ciascun servizio e nell’Allegato A.1. La disponibilità di un backup non equivale a garanzia di ripristino istantaneo né sostituisce la definizione di RTO/RPO. I ripristini ordinari su richiesta sono inclusi dove previsto dal piano o da Purple Care; restano a carico di Purple Tech i ripristini resi necessari da eventi a lei imputabili.

12. Accessi amministrativi e servizi del Cliente

Il Cliente gestisce utenti e impostazioni nella propria sfera amministrativa. Server, servizi email o applicazioni che il Cliente collega ai servizi di propria iniziativa (per esempio un server SMTP esterno o le chiavi AI in Purple Connect) non diventano sub-responsabili di Purple Tech.

13. Cessazione, restituzione e cancellazione

Alla cessazione del servizio non è previsto un periodo di tolleranza per l’accesso operativo: il Cliente organizza l’esportazione prima della scadenza e può chiedere, con istruzione documentata inviata in tempo utile, restituzione o cancellazione dei dati. In assenza di richiesta, i dati sono cancellati dai sistemi attivi entro 30 giorni dalla cessazione; le copie residue seguono la rotazione dei backup del servizio. In caso di mancato pagamento si applicano i tempi dei Termini e condizioni. La consegna di ambienti completi (database, configurazioni, immagini dei server) non è inclusa nello standard e può essere offerta come migrazione assistita.

14. Livelli di servizio

Disponibilità, presa in carico degli incidenti, manutenzione ed esclusioni sono regolate dallo SLA.

15. Comunicazioni privacy

privacy@purpletech.it — PEC purple.tech.bv@pec.it — Tel. +39 075 376 7395. Referente: Bonaldi Valerio. L’indicazione non costituisce designazione di un DPO/RPD ai sensi dell’art. 37 GDPR.

16. Forma, prevalenza e allegati

Il DPA è accettato con l’ordine nell’area clienti o sottoscritto con firma elettronica. Gli Allegati A.1, A.2, A.3 e B ne sono parte integrante; per i trattamenti per conto del Cliente prevale il DPA.

Allegato A.1 — Trattamenti per famiglia di servizio

Voci comuni a tutti i servizi:

• Soggetti: il Cliente (Titolare o Responsabile a monte) e Purple Tech (Responsabile o sub-responsabile).
• Durata: il periodo di attivazione contrattuale, poi la cancellazione secondo l’art. 13.
• Finalità: erogazione tecnica del servizio, sicurezza, continuità operativa, manutenzione e supporto. Purple Tech non usa i contenuti del Cliente per finalità proprie.
• Dati tecnici: oltre ai contenuti indicati nella tabella, ogni servizio genera metadati tecnici, indirizzi IP, identificativi utente e log.
• Dati particolari e giudiziari: il Cliente può caricare, sotto la propria responsabilità, anche dati delle categorie dell’art. 9 o dell’art. 10 GDPR, quando ne ricorrano i presupposti. Purple Tech non stabilisce la natura dei contenuti, non li consulta ordinariamente e li tratta per le sole operazioni tecniche necessarie. Il Cliente valuta basi giuridiche e adeguatezza delle misure e impartisce, se servono, istruzioni aggiuntive.
• Localizzazione: come indicato nell’art. 7 e nell’Allegato B; per ciascun cliente nella scheda del servizio (Allegato A.3).

Allegato A.2 — Misure tecniche e organizzative

Descrive le misure della configurazione standard; le funzioni opzionali o amministrate dal Cliente non sono misure attive per tutti. Dove una misura vale solo per alcuni servizi, è indicato.

A.2.1 Protezione delle comunicazioni. Accesso ai servizi tramite HTTPS/TLS o altri protocolli cifrati. La cifratura in transito è distinta dalla cifratura dei contenuti a riposo (A.2.8).

A.2.2 Separazione logica. Istanze, account e server separati logicamente, con accessi e autorizzazioni secondo la piattaforma e il piano.

A.2.3 Accessi e privilegi. Account, gruppi e privilegi amministrativi dipendono dal piano e dalle scelte del Cliente. Gli accessi tecnici di Purple Tech dipendono dalla configurazione autorizzata e sono limitati alle attività necessarie.

A.2.4 Autenticazione. L’autenticazione a più fattori è disponibile dove la piattaforma la prevede (per esempio Nextcloud in Purple Cloud e Purple Vault); la sua attivazione per gli account del Cliente dipende dal Cliente.

A.2.5 Gestione della piattaforma. Manutenzione ordinaria, aggiornamenti e interventi di sicurezza dei servizi gestiti secondo il piano. Per Purple VPS e Purple Servers Cloud la gestione inclusa comprende aggiornamenti del sistema operativo, applicazione delle patch di sicurezza, configurazione di rete, configurazione e gestione dei backup. Le applicazioni e i dati che il Cliente installa sul server restano sotto la sua responsabilità.

A.2.6 Backup. Frequenza e conservazione per servizio come nell’Allegato A.1. Per Purple Cloud: backup giornalieri con conservazione 7 giorni, su data center distinti nella nazione di erogazione e sulla struttura di backup di Purple Tech in Italia, secondo il profilo dell’istanza.

A.2.7 Ripristino. Ripristini ordinari su richiesta tramite Purple Care o dove previsto dal piano; i ripristini resi necessari da eventi imputabili a Purple Tech sono gestiti nelle condizioni di servizio. I tempi di ripristino non sono RTO/RPO garantiti, salvo accordo distinto.

A.2.8 Cifratura a riposo. Non è una garanzia standard. Purple Cloud: se attiva, la Server-Side Encryption di Nextcloud cifra i contenuti dei file, con chiavi nell’ambiente dell’istanza e incluse nei backup; non equivale a cifratura di dischi, database, metadati e backup, né a gestione esterna delle chiavi; l’attivazione è indicata nella scheda dell’istanza. Purple Vault: contenuti cifrati lato client (art. 4).

A.2.9 Protezione antimalware. Un antivirus integrato non è una caratteristica uniforme dei servizi; dove attivo è regolato dall’offerta specifica. Purple Shield e Purple Protect sono servizi di protezione a sé, descritti nelle loro pagine.

A.2.10 Logging e audit. Visibilità degli eventi e moduli di audit dipendono dalla configurazione del servizio e dalle impostazioni del Cliente. Non è dichiarata una conservazione dei log valida per tutti i servizi, salvo accordo specifico.

A.2.11 Sicurezza organizzativa. Le misure interne seguono la documentazione e le procedure effettivamente adottate; la loro mancata descrizione in questo allegato non sostituisce gli obblighi dell’art. 32 GDPR.

A.2.12 Notifiche email. Dove il servizio invia notifiche tramite un server o fornitore scelto e configurato dal Cliente (per esempio in Purple Cloud), quel fornitore non è un sub-responsabile di Purple Tech.

A.2.13 Cessazione e cancellazione. Come all’art. 13.

A.2.14 Localizzazione e fornitori. Come nell’Allegato B.

Allegato A.3 — Scheda del servizio per singolo cliente

Compilata all’attivazione o al riesame, per indicare le caratteristiche effettivamente attive sul suo servizio. Le voci che non riguardano il servizio si segnano N.A.

Allegato B — Registro dei sub-responsabili

B.1 Modello di erogazione multi-fornitore. I servizi sono erogati con componenti distribuite su più fornitori infrastrutturali: uno stesso servizio può usare contemporaneamente diversi operatori per rete, elaborazione, archiviazione, backup e sicurezza. Ogni fornitore tratta solo i dati necessari alla funzione che svolge: contenuti e copie di file, oppure soltanto metadati, indirizzi IP, log o dati transitori. La presenza di un componente presso un fornitore non implica che questo acceda ordinariamente ai contenuti.

B.2 Operatori infrastrutturali.

I Paesi indicati sono le localizzazioni tecniche e non coincidono necessariamente con la sede legale del fornitore.

B.3 Fornitori specifici di alcuni servizi. Purple Connect gira su Purple VPS e usa gli stessi fornitori; le chiavi AI collegate dal Cliente non sono sub-responsabili di Purple Tech (art. 12).

Le licenze ThreatDown sono acquistate tramite il distributore Elovade Italia S.p.A., che non tratta i dati dei clienti.

B.4 Componenti di trattamento di un servizio.

B.5 Data Room di Purple Tech a Perugia. Purple Tech gestisce direttamente una propria infrastruttura di backup presso una sede operativa a Perugia. Appartiene alla stessa organizzazione del Responsabile e non è un sub-responsabile esterno. Per riservatezza e sicurezza fisica l’indirizzo non è pubblicato, fermi gli obblighi di informazione e verifica.

B.6 Servizi opzionali e qualificazione. Un software non implica di per sé un ulteriore sub-responsabile: se è ospitato su un fornitore di B.2, il trattamento rientra nelle attività affidate a quel fornitore. Chi fornisce solo trasporto o connettività si qualifica secondo i servizi resi, non per il solo fatto di stare nel percorso di rete. Sono sub-responsabili ai sensi dell’art. 28 le società a cui Purple Tech affida effettivamente trattamenti per conto del Cliente; gli altri fornitori tecnici sono documentati secondo il loro ruolo. I servizi scelti direttamente dal Cliente (per esempio il suo server email) non sono sub-responsabili nominati da Purple Tech.

B.7 Contratti e trasferimenti. Per ogni sub-responsabile Purple Tech verifica l’accordo ex art. 28, i contatti, le prestazioni affidate, l’ubicazione del trattamento e gli ulteriori sub-responsabili. Un data center nel SEE non esclude accessi remoti o trasferimenti verso Paesi terzi, da verificare ai sensi del Capo V GDPR.

B.8 Modifiche e opposizione. Come all’art. 6: aggiunte o sostituzioni comunicate via email con almeno 30 giorni di preavviso, salvo urgenze documentate; il Cliente può opporsi motivatamente. Le variazioni tecniche che non cambiano i soggetti incaricati sono gestite nella documentazione operativa.