Accordo sul trattamento dei dati per la beta

Comparenti

Da una parte, HODEITEK S.L., con NIF B56478027, sede legale in Markole, Aretxabaleta, 20550, Gipuzkoa, Spagna, iscritta al Registro Mercantil di Gipuzkoa, Foglio SS-46529, Tomo 3121, Folio 144, rappresentata dalla persona che firma in suo nome. D'ora in avanti, «Hodeitek» o «il Responsabile».

Contatto per la protezione dei dati: privacy@hodeitek.com. Contatto per la sicurezza e gli incidenti: security@hodeitek.com.

Dall'altra parte, l'organizzazione che ha richiesto di partecipare alla beta, con i dati di identificazione, di rappresentanza e di contatto (ragione sociale, NIF, sede legale, rappresentante, e-mail di contatto per il presente accordo e, se del caso, responsabile della protezione dei dati) che figurano nella sua richiesta di partecipazione alla beta e nell'e-mail di ammissione di Hodeitek. D'ora in avanti, «il Cliente».

Il Cliente sottoscrive in una delle seguenti due qualità (contrassegnarne una):

• ☐ Via diretta. Il Cliente è un'organizzazione finale e agisce in qualità di titolare del trattamento. Hodeitek agisce in qualità di responsabile del trattamento.
• ☐ Via MSSP. Il Cliente è un partner MSSP che agisce in qualità di responsabile del trattamento per conto dei propri clienti (che sono i titolari). Hodeitek agisce in qualità di sub-responsabile del trattamento. Si applica inoltre la Parte II.

Hodeitek e il Cliente si riconoscono reciprocamente la capacità di sottoscrivere il presente accordo e, a tal fine, premettono:

Premettono

1. Hodeitek organizza il programma beta della piattaforma HodeiShield, le cui condizioni sono pubblicate su hodeishield.com (d'ora in avanti, «le Condizioni della beta»). Le Condizioni della beta, l'e-mail di ammissione di Hodeitek e il presente accordo costituiscono l'accordo di partecipazione.

2. Le Condizioni della beta prevedono che i dati caricati dal partecipante sulla piattaforma siano trattati da Hodeitek in qualità di responsabile del trattamento, in base a un accordo sul trattamento dei dati conforme all'art. 28 del Regolamento (UE) 2016/679 («GDPR»), sottoscritto all'attivazione dell'account beta e prima di caricare dati personali.

3. Il presente accordo adempie tale impegno. È disciplinato dal GDPR, dalla legge organica 3/2018 («LOPDGDD») e dalle altre norme applicabili.

1.Definizioni

I termini del GDPR (titolare del trattamento, responsabile del trattamento, dati personali, trattamento, violazione dei dati personali, ecc.) hanno il significato di cui all'art. 4 GDPR. Inoltre:

• Piattaforma: il servizio HodeiShield, accessibile su app.hodeishield.com, con le sue API, l'agente di endpoint e gli altri componenti che Hodeitek mette a disposizione del Cliente durante la beta.
• Dati del Cliente: i dati personali che il Cliente, i suoi utenti o i suoi sistemi inseriscono nella Piattaforma o che la Piattaforma genera a partire da essi per conto del Cliente, descritti nella clausola 5.
• Beta: il periodo di partecipazione del Cliente al programma, che secondo le Condizioni della beta dura 3 mesi dall'accettazione del suo posto, e mai prima del 2 novembre 2026; le candidature si chiudono il 31 dicembre 2026.
• Sub-responsabile: il terzo al quale Hodeitek ricorre per trattare i Dati del Cliente (Allegato II).
• Istruzioni documentate: quelle della clausola 6.

2.Oggetto e ambito

2.1. Il presente accordo disciplina il trattamento dei Dati del Cliente che Hodeitek effettua per conto del Cliente per fornirgli la Piattaforma durante la beta e il successivo periodo di restituzione e cancellazione.

2.2. Esclusi dall'oggetto. Non fanno parte di questo incarico i dati seguenti, perché Hodeitek li tratta in qualità di titolare del trattamento, come indicano le Condizioni della beta e l'informativa sulla privacy della console:

• i dati della richiesta di partecipazione alla beta (disciplinati dalla politica sulla privacy di hodeishield.com);
• i dati degli account utente della console, l'autenticazione, i registri di accesso e di sicurezza e, se il servizio viene sottoscritto dalla console, la fatturazione (disciplinati dall'informativa sulla privacy della console, app.hodeishield.com/privacy);
• le segnalazioni di errore e di arresto anomalo che l'agente di endpoint (e, separatamente, la console) invia a Sentry (Functional Software, Inc.). Hodeitek le tratta in qualità di titolare del trattamento, per diagnosticare e correggere i guasti della Piattaforma, sulla base del proprio legittimo interesse alla continuità e alla qualità del servizio (art. 6, par. 1, lett. f), GDPR). Quelle dell'agente contengono il messaggio e la traccia dell'errore, la versione dell'agente, l'ambiente, il sistema operativo, la versione del kernel e l'architettura; l'indirizzo IP della connessione arriva ai server di Sentry, e le segnalazioni non includono i risultati dei controlli. Quelle della console sono descritte nell'Allegato I, punto I.11. Sono conservate per 90 giorni. Le segnalazioni dell'agente sono attive per impostazione predefinita nei binari pubblicati, e ogni dispositivo può disattivarle con il file marcatore /etc/hodei-shield/telemetry-off (Linux e macOS) o %ProgramData%\Hodei-Shield\telemetry-off (Windows), o con HODEI_SENTRY_DSN=off, come descrive la documentazione dell'agente; quelle della console non hanno un interruttore per cliente (Allegato II, dettaglio di Sentry). Hodeitek informa di questo trattamento nell'informativa sulla privacy della console. Per tali segnalazioni Sentry è un fornitore di Hodeitek, non un sub-responsabile del Cliente (Allegato II, righe 5 e 6).

2.3. Se un dato tra quelli descritti al punto 2.2 compare anche all'interno dei Dati del Cliente (ad esempio, il nome di un utente come autore di una prova o come responsabile di un rischio, o una voce del registro di audit che riporta una modifica dei Dati del Cliente), tale uso specifico è trattato in conformità al presente accordo.

3.Durata

3.1. Il presente accordo entra in vigore alla data dell'ultima firma e, in ogni caso, prima che il Cliente carichi dati personali reali. In assenza di un accordo sottoscritto, il Cliente può usare solo dati di prova che non riguardino persone reali.

3.2. Dura per tutta la durata della beta del Cliente, più il periodo di restituzione e cancellazione di cui alla clausola 15.

3.3. Gli obblighi di riservatezza, sicurezza e cancellazione restano in vigore finché Hodeitek o i suoi sub-responsabili conservino qualsiasi Dato del Cliente, comprese le copie di backup fino alla loro scadenza.

3.4. Rapporto con il contratto del servizio a pagamento. Il presente accordo disciplina il trattamento dei Dati del Cliente durante la beta e nei 30 giorni successivi alla sua fine (clausola 15.1). Se il Cliente passa a un contratto a pagamento, il trattamento durante il servizio a pagamento è disciplinato dall'accordo sul trattamento dei dati di tale servizio, quello che Hodeitek sottoscrive direttamente con il cliente a pagamento, che sostituisce il presente accordo dal momento in cui il Cliente lo accetta; fino a tale momento il presente accordo continua ad applicarsi ai Dati del Cliente. Il presente accordo non disciplina il servizio a pagamento.

4.Natura e finalità del trattamento

4.1. Natura: hosting, conservazione, organizzazione, consultazione, analisi, incrocio con fonti pubbliche di sicurezza, calcolo di punteggi e report, invio di notifiche configurate dal Cliente, backup, esportazione e cancellazione dei Dati del Cliente, nell'ambito delle funzioni della Piattaforma.

4.2. Finalità unica: fornire al Cliente la Piattaforma durante la beta affinché misuri la propria postura di sicurezza e di conformità e quella dei suoi fornitori. HodeiShield misura tale postura e non certifica né garantisce la conformità ad alcun quadro normativo.

4.3. Hodeitek non utilizza i Dati del Cliente per fini propri, né per pubblicità, né per addestrare modelli di intelligenza artificiale. Non li include neppure in indicatori aggregati tra clienti (confronti o benchmark, osservatorio), salvo che il Cliente lo attivi espressamente dalla Piattaforma. L'unica eccezione a queste due frasi è l'aggregazione e anonimizzazione che il Cliente dispone nella clausola 6.5, con la finalità e i limiti ivi fissati. I commenti e i suggerimenti che il Cliente comunichi sulla Piattaforma sono disciplinati dalle Condizioni della beta, senza includere i suoi dati.

5.Tipi di dati e categorie di interessati

5.1. A seconda delle funzioni utilizzate dal Cliente, la Piattaforma può trattare i seguenti Dati del Cliente:

5.2. Categorie particolari. La Piattaforma non è concepita per categorie particolari di dati (art. 9 GDPR) né per dati penali (art. 10 GDPR). Il Cliente si impegna a non caricarli. Se una prova o un documento li contenesse, il Cliente lo comunicherà preventivamente a Hodeitek per valutare se possano essere trattati con le misure dell'Allegato I.

5.3. Le Condizioni della beta obbligano il Cliente a registrare solo domini, asset e fornitori che abbia il diritto o l'autorizzazione di analizzare.

6.Istruzioni documentate

6.1. Hodeitek tratta i Dati del Cliente soltanto su istruzione documentata del Cliente, anche in caso di trasferimento verso paesi terzi o organizzazioni internazionali (art. 28.3.a GDPR), salvo che lo richieda il diritto dell'Unione o di uno Stato membro. In tal caso, Hodeitek informerà il Cliente di tale obbligo prima del trattamento, a meno che tale diritto lo vieti per rilevanti motivi di interesse pubblico.

6.2. Costituiscono istruzioni documentate: (a) il presente accordo e i suoi allegati; (b) la configurazione che il Cliente o i suoi utenti autorizzati effettuano nella Piattaforma (ad esempio, quali fornitori registrano, quali questionari inviano, quali destinazioni di avvisi configurano, se attivano HodeiAI); (c) le istruzioni aggiuntive che il Cliente invii per iscritto a privacy@hodeitek.com e che Hodeitek confermi.

6.3. Hodeitek informerà immediatamente il Cliente qualora, a suo parere, un'istruzione violi il GDPR o altre norme in materia di protezione dei dati (art. 28.3, ultimo comma, GDPR).

6.4. HodeiAI. L'assistente HodeiAI invia contenuti a un sub-responsabile (Allegato II). Nella beta è attivato per impostazione predefinita, e un amministratore del Cliente (tenant_admin o org_admin) può disattivarlo in qualsiasi momento in Configurazione, sezione HodeiAI: con l'interruttore su «disattivato» non viene inviata alcuna richiesta al sub-responsabile. Mantenere l'interruttore attivato è un'istruzione documentata del Cliente. Tenant dei Clienti finali incorporati da un MSSP (Parte II, M7). In tali tenant HodeiAI è altresì attivato per impostazione predefinita nella beta, per istruzione dell'MSSP, che agisce come responsabile del trattamento dei propri Clienti finali e ha ottenuto da ciascuno di essi, prima di caricare i dati, l'autorizzazione scritta generale di cui all'art. 28.2 GDPR per Hodeitek e i suoi sub-responsabili, compreso il fornitore di IA (clausola M7); l'amministratore di ciascun Cliente finale può disattivarlo in Configurazione, sezione HodeiAI. L'istruzione documentata per tali tenant è data dall'MSSP come responsabile del trattamento del proprio Cliente finale (il titolare), e Hodeitek agisce come sub-responsabile. Con l'interruttore spento non viene inviata a OVHcloud AI Endpoints nemmeno l'analisi del rischio delle scansioni dei fornitori, né nelle scansioni lanciate da un utente né nelle riscansioni programmate.

6.5. Metriche aggregate e anonimizzate per i finanziamenti pubblici. Con la firma del presente accordo, il Cliente dà a Hodeitek l'istruzione documentata (art. 28.3.a GDPR) di aggregare e anonimizzare Dati del Cliente al solo fine di ottenere metriche di utilizzo e di risultati del programma beta per le domande di finanziamento pubblico di Hodeitek (programmi di finanziamento pubblico a livello europeo, nazionale o regionale) e per le relazioni di monitoraggio richieste dall'ente che concede il finanziamento, come prevedono le Condizioni della beta. L'istruzione è limitata a tale fine e a queste condizioni:

• a) Quali metriche. Solo metriche di utilizzo e di risultati dell'insieme dei partecipanti, ad esempio il numero di organizzazioni partecipanti, le valutazioni effettuate, i fornitori monitorati, il tempo di rimedio o l'adozione di ciascun modulo.
• b) Senza dati personali. Il risultato non contiene dati personali.
• c) Senza identificare alcuna organizzazione. Il risultato non identifica il Cliente né alcun'altra organizzazione, né direttamente né combinando dati quali il settore, la dimensione o la regione.
• d) Gruppo minimo. Ogni cifra aggrega dati di almeno 5 organizzazioni partecipanti, in modo che nessuna possa dedurne i dati di un'altra; la cifra di un gruppo più piccolo non viene usata separatamente.
• e) Contenuto escluso. Il risultato non include contenuti del Cliente (prove, documenti, risposte ai questionari, conversazioni di HodeiAI), riscontri su fornitori specifici né dettagli di vulnerabilità.
• f) Calcolo. I calcoli sono effettuati nei sistemi e con le misure dell'Allegato I, solo dal personale di cui alla clausola 8, e nessun dato intermedio che non rispetti le lettere da b) a e) esce da Hodeitek.
• g) Rendicontazione. Hodeitek conserva, per ciascuna domanda o relazione, l'elenco delle metriche utilizzate e la descrizione di come sono state calcolate, e li mette a disposizione del Cliente se li richiede (clausola 16.1).

Una volta che il risultato rispetta le lettere da b) a e), è un'informazione anonima: è fuori dal GDPR (considerando 26 GDPR) e dal presente accordo.

6.6. Nome del Cliente. Né la clausola 6.5 né alcun'altra clausola del presente accordo autorizzano Hodeitek a nominare o identificare il Cliente, con il suo nome, il suo logo, una testimonianza o un caso di successo, in alcun mezzo, nemmeno in una domanda di finanziamento o in una relazione all'ente che lo concede. A tal fine occorre un consenso del Cliente preventivo, scritto e revocabile, che viene richiesto a parte e non fa parte della firma del presente accordo né dell'accettazione delle Condizioni della beta. Rifiutarlo o revocarlo non pregiudica la partecipazione del Cliente alla beta. La revoca ha effetto per gli usi nuovi: da quel momento Hodeitek non usa il nome del Cliente in domande, relazioni o materiali nuovi, ma non è tenuta a ritirare quanto avesse già presentato a un ente di finanziamento prima della revoca. Se tale materiale contiene dati personali (ad esempio, il nome o la citazione di una persona in una testimonianza), Hodeitek li tratta in qualità di titolare, con una propria informativa a tale persona e una propria base giuridica, e non in qualità di responsabile ai sensi del presente accordo. La persona fisica le cui parole, il cui nome o la cui immagine comparirebbero in una testimonianza o in un caso di successo presta il proprio consenso; può rifiutarlo o revocarlo senza alcuna conseguenza per sé e, se rifiuta, il Cliente conserva il proprio posto e i propri sconti, perché può fornire la testimonianza senza nominare alcuna persona o tramite un altro portavoce.

7.Obblighi del Responsabile (art. 28.3 GDPR)

Hodeitek si obbliga a:

• a) Istruzioni. Trattare i Dati del Cliente soltanto su istruzione documentata di cui alla clausola 6.
• b) Riservatezza. Garantire che le persone autorizzate al trattamento dei Dati del Cliente si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza (clausola 8).
• c) Sicurezza. Applicare le misure di cui all'art. 32 GDPR descritte nella clausola 9 e nell'Allegato I.
• d) Sub-responsabili. Rispettare le condizioni di cui ai paragrafi 2 e 4 dell'art. 28 GDPR per ricorrere a un altro responsabile del trattamento (clausola 10 e Allegato II).
• e) Diritti degli interessati. Assistere il Cliente, con misure tecniche e organizzative adeguate e nella misura del possibile, affinché possa dare seguito alle richieste di esercizio dei diritti (clausola 11).
• f) Artt. da 32 a 36. Assistere il Cliente nel garantire il rispetto degli obblighi di cui agli artt. da 32 a 36 GDPR, tenendo conto della natura del trattamento e delle informazioni a disposizione (clausole 12 e 13).
• g) Cessazione dell'incarico. A scelta del Cliente, cancellare o restituire tutti i Dati del Cliente al termine della prestazione e cancellare le copie esistenti, salvo che il diritto dell'Unione o degli Stati membri richieda la conservazione dei dati (clausola 15).
• h) Dimostrazione e audit. Mettere a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto di tali obblighi e consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Cliente o da un altro soggetto da questi incaricato (clausola 16).

Inoltre, Hodeitek terrà il registro delle attività di trattamento in qualità di responsabile (art. 30.2 GDPR), che esiste già nella sua forma iniziale, e coopererà con l'autorità di controllo su richiesta di quest'ultima (art. 31 GDPR).

8.Riservatezza del personale

8.1. Accedono ai Dati del Cliente solo le persone di Hodeitek che ne abbiano necessità per fornire, mantenere o proteggere la Piattaforma, o per dare seguito a una richiesta del Cliente.

8.2. Tali persone sono soggette a un impegno scritto di riservatezza o a un dovere legale equivalente, che continua dopo la cessazione del loro rapporto con Hodeitek.

8.3. L'accesso operativo alla Piattaforma con privilegi di piattaforma è registrato nel registro di audit (vedere Allegato I).

8.4. Eccezione per le metriche della clausola 6.5. La riservatezza della presente clausola e della clausola 7.b) non impedisce a Hodeitek di presentare a un ente di finanziamento le metriche aggregate e anonimizzate di cui alla clausola 6.5, con la finalità e alle condizioni ivi fissate, perché non contengono Dati del Cliente. L'eccezione non si estende ad alcun dato intermedio né ad altre informazioni del Cliente.

9.Sicurezza del trattamento

9.1. Hodeitek applica le misure tecniche e organizzative dell'Allegato I, adeguate al rischio ai sensi dell'art. 32 GDPR.

9.2. Hodeitek S.L. è certificata ISO/IEC 27001 e nello Schema Nazionale di Sicurezza (ENS), categoria MEDIA (certificato ENS n. 34/5704/26/09103, rilasciato da OCA Instituto de Certificación), con un ambito che include il servizio SaaS HodeiShield. HodeiShield non ha la qualificazione CPSTIC né figura nel Catalogo CPSTIC, e Hodeitek non certifica la conformità del Cliente.

9.3. Hodeitek può aggiornare le misure dell'Allegato I purché il livello di sicurezza risultante non sia inferiore a quello descritto. Una riduzione del livello di sicurezza richiede l'accordo delle parti.

10.Sub-responsabili

10.1. Autorizzazione generale. Il Cliente conferisce a Hodeitek un'autorizzazione scritta generale (art. 28.2 GDPR) a ricorrere ai sub-responsabili della prima parte dell'Allegato II, che è l'elenco completo alla data della firma, come promettono le Condizioni della beta.

10.2. Preavviso e opposizione. Hodeitek avviserà per iscritto il Cliente, all'indirizzo e-mail di contatto del presente accordo, di qualsiasi aggiunta o sostituzione di un sub-responsabile con un preavviso di almeno 15 giorni. L'avviso indicherà chi è, quale servizio presta, dove tratta i dati e con quale garanzia di trasferimento.

10.3. Il Cliente può opporsi entro tale termine per ragionevoli motivi di protezione dei dati. Se Hodeitek non può offrire un'alternativa ragionevole, il Cliente può lasciare il programma e si applica la clausola 15 (30 giorni per esportare o chiedere la cancellazione).

10.4. L'aggiornamento dell'Allegato II mediante tale procedura non costituisce una modifica dell'accordo ai fini della clausola 19.2.

10.5. Stessi obblighi. Hodeitek impone a ciascun sub-responsabile, per contratto, obblighi di protezione dei dati equivalenti a quelli del presente accordo, in particolare garanzie sufficienti in merito all'adozione di misure tecniche e organizzative adeguate (art. 28.4 GDPR). Se un sub-responsabile omette di adempiere, Hodeitek rimane pienamente responsabile nei confronti del Cliente dell'adempimento di tale sub-responsabile.

10.6. Destinazioni scelte dal Cliente. I servizi che il Cliente collega per proprio conto non sono sub-responsabili di Hodeitek: le destinazioni degli avvisi (Slack, Microsoft Teams, PagerDuty, Opsgenie, i suoi webhook propri, il suo SIEM, Jira e ServiceNow) e i provider di identità per l'accesso unico (Google, Microsoft Entra, Okta, OneLogin o uno proprio). Il Cliente sceglie la destinazione e ne risponde; Hodeitek invia solo ciò che il Cliente configura.

10.7. Fonti di dati pubblici. Per analizzare l'esposizione dei fornitori del Cliente, la Piattaforma consulta servizi di dati pubblici (Shodan, Have I Been Pwned, OSV.dev, Logo.dev, NVD e altri, elencati nella seconda parte dell'Allegato II, «Fonti di dati pubblici») e invia loro soltanto identificativi di ciò che viene analizzato: domini, indirizzi di server e identificativi di pacchetto, di prodotto o di vulnerabilità; non invia loro account di utenti. Non sono sub-responsabili e non trattano dati personali per conto di Hodeitek; sono elencate a parte affinché il Cliente sappia che cosa esce dalla Piattaforma. Un dominio aziendale di norma non è un dato personale, ma lo è se identifica una persona fisica.

11.Assistenza nell'esercizio dei diritti

11.1. Se un interessato si rivolge a Hodeitek per esercitare un diritto sui Dati del Cliente, Hodeitek glielo trasmetterà senza ingiustificato ritardo e, al massimo, entro 5 giorni lavorativi, e non risponderà per proprio conto salvo istruzione del Cliente. L'informativa della console dice già agli interessati di rivolgersi all'organizzazione che ha caricato i loro dati.

11.2. Il Cliente può consultare e rettificare la maggior parte dei Dati del Cliente dalla Piattaforma stessa, e cancellarne molti. Due cancellazioni della Piattaforma sono logiche e non eliminano il dato: quella di un fornitore, che può essere ripristinato per 30 giorni e non ha un'attività di cancellazione definitiva (e con esso restano il nome e l'e-mail della sua persona di contatto), e quella di un membro dell'organo di direzione. Per cancellare effettivamente tali dati, o quando il Cliente non possa farlo da solo, Hodeitek lo aiuterà a individuare, esportare, rettificare, limitare o cancellare i dati dell'interessato entro un termine che consenta al Cliente di rispondere entro il mese di cui all'art. 12.3 GDPR.

12.Assistenza negli artt. da 32 a 36 GDPR

Hodeitek fornirà al Cliente, su richiesta e con le informazioni di cui dispone:

• la descrizione delle misure dell'Allegato I e il suo aggiornamento;
• informazioni affinché il Cliente effettui una valutazione d'impatto sulla protezione dei dati (art. 35 GDPR) quando ne abbia bisogno, e per la consultazione preventiva dell'autorità (art. 36 GDPR);
• l'assistenza di cui alla clausola 13 in caso di violazione dei dati personali.

13.Notifica delle violazioni dei dati personali

13.1. Hodeitek notificherà al Cliente, senza ingiustificato ritardo e entro un termine massimo di 48 ore da quando ne è venuta a conoscenza, qualsiasi violazione dei dati personali che riguardi Dati del Cliente (art. 33.2 GDPR).

13.2. La notifica sarà inviata all'indirizzo e-mail di contatto del Cliente e includerà, come minimo e nella misura in cui siano note: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni interessati; il nome e i dati di contatto della persona di Hodeitek presso cui ottenere maggiori informazioni; le probabili conseguenze; e le misure adottate o proposte, comprese quelle per attenuare i possibili effetti negativi. Se non si dispone di tutte le informazioni contemporaneamente, esse saranno fornite in fasi successive senza ulteriore ingiustificato ritardo.

13.3. Hodeitek aiuterà il Cliente a notificare la violazione all'autorità di controllo e, se del caso, agli interessati (artt. 33 e 34 GDPR). La decisione di notificare e la notifica stessa spettano al Cliente in qualità di titolare del trattamento.

13.4. Hodeitek documenterà ciascuna violazione (fatti, effetti e misure correttive).

14.Trasferimenti internazionali

14.1. La Piattaforma è ospitata nell'UE, presso OVHcloud (Gravelines, Francia).

14.2. Cloudflare, Inc. (Stati Uniti) fornisce DNS, rete di distribuzione, firewall e terminazione TLS nel percorso di ogni richiesta, per cui vede il traffico in chiaro e può trattare dati negli Stati Uniti. Il trasferimento è coperto dall'EU-U.S. Data Privacy Framework (Decisione di esecuzione (UE) 2023/1795), finché Cloudflare, Inc. figuri come partecipante attivo, e, qualora cessasse di applicarsi, dalle Clausole contrattuali tipo della Decisione di esecuzione (UE) 2021/914 incorporate nel contratto con Cloudflare.

14.3. Sentry (Functional Software, Inc., Stati Uniti): l'organizzazione Sentry di Hodeitek conserva i dati nella regione dell'UE, quindi la regione di conservazione non comporta un trasferimento internazionale. Functional Software, Inc. può accedere o trattare dati dagli Stati Uniti (assistenza e propri sub-responsabili); il suo accordo sul trattamento dei dati pubblico (versione 5.1.0, del 29 maggio 2024, https://sentry.io/legal/dpa/) copre tali trasferimenti con l'EU-U.S. Data Privacy Framework e, se questo non si applica, con le Clausole contrattuali tipo (moduli 2 e 3). In queste segnalazioni di errore Sentry agisce come fornitore di Hodeitek, che ne è titolare (clausola 2.2), e non come sub-responsabile del Cliente; le garanzie sopra indicate sono quelle che Hodeitek ha con Sentry. Vedere Allegato II.

14.4. Per gli altri sub-responsabili dell'Allegato II, qualsiasi trattamento al di fuori del SEE sarà coperto da una decisione di adeguatezza o dalle garanzie di cui all'art. 46 GDPR, che l'Allegato II indica per ciascuno. In particolare, Resend (Plus Five Five, Inc., Stati Uniti) dichiara nel proprio accordo sul trattamento dei dati che il suo trattamento principale avviene negli Stati Uniti, con Clausole contrattuali tipo e adesione all'EU-U.S. Data Privacy Framework (Allegato II, riga 4; regione di invio: eu-west-1 (Irlanda), misurata dalla console (2026-10-14); base del trasferimento: DPF/SCC). Le fonti di dati pubblici della seconda parte dell'Allegato II non sono sub-responsabili: sono servizi pubblici di terzi che la Piattaforma consulta e che ricevono soltanto gli identificativi di ciò che viene analizzato indicati in quella tabella (domini e indirizzi IP dei fornitori, identificativi di pacchetti software, nomi CPE e identificativi CVE), non account di utenti. Hodeitek non effettuerà nuovi trasferimenti senza la procedura di cui alla clausola 10. Il Cliente può chiedere copia delle garanzie a privacy@hodeitek.com.

15.Restituzione e cancellazione al termine

15.1. Termine di 30 giorni. Al termine della beta, o della partecipazione del Cliente per qualsiasi causa (anche la chiusura anticipata), il Cliente dispone di 30 giorni per chiedere a Hodeitek, scrivendo a privacy@hodeitek.com, l'esportazione dei propri dati, la loro cancellazione o entrambe. Tale termine coincide con i 30 giorni di tolleranza in sola lettura della licenza.

15.2. Restituzione. Il Cliente ottiene la copia dei Dati del Cliente per due vie complementari:

• (a) Self-service. Finché la licenza del Cliente è nel periodo di tolleranza, un amministratore del Cliente può scaricare autonomamente, con la funzione «Esporta i miei dati» della console, un file JSON con i dati di base dello spazio di lavoro (nome, settore e data di creazione) e gli inventari dei fornitori (nome, dominio, categoria, stato e data di creazione) e degli asset (nome, criticità, stato e data di creazione). La funzione non include il resto dei Dati del Cliente, per esempio utenti, referenti dei fornitori, questionari e risposte, evidenze, incidenti, rischi, policy, inventario dell'agente, SBOM, registro di audit o conversazioni con HodeiAI.
• (b) Procedura manuale. Su richiesta scritta del Cliente, fatta scrivendo a privacy@hodeitek.com entro il termine della clausola 15.1, Hodeitek gli consegna una copia dei Dati del Cliente che la funzione della lettera (a) non copre, in un formato strutturato, di uso comune e leggibile da dispositivo automatico (JSON o CSV), mediante una procedura manuale eseguita dal personale di Hodeitek, entro 30 giorni dalla richiesta.
• (c) Indipendenza. La procedura manuale non dipende dalla funzione della lettera (a). Se tale funzione non è disponibile per il Cliente (per esempio perché il periodo di tolleranza della licenza è terminato o la licenza è stata sospesa) o non funziona, Hodeitek consegna mediante la procedura manuale, entro lo stesso termine, anche i dati che la funzione coprirebbe.

15.3. Cancellazione. La cancellazione non si effettua dalla Piattaforma. Su richiesta scritta del Cliente, fatta scrivendo a privacy@hodeitek.com, Hodeitek cancella i Dati del Cliente dai sistemi attivi mediante la stessa procedura manuale eseguita dal proprio personale, entro 30 giorni dalla richiesta; se il Cliente chiede sia la restituzione sia la cancellazione, Hodeitek cancella dopo aver consegnato la copia, entro lo stesso termine. Se, al termine del periodo della clausola 15.1, il Cliente non è passato al servizio a pagamento né ha chiesto alcunché, Hodeitek cancella i Dati del Cliente dai sistemi attivi mediante la stessa procedura, entro 30 giorni dal termine di tale periodo. Le clausole 15.3 bis, 15.4 e 15.6 sono riservate.

15.3 bis. Registro di audit e registri dei diritti degli interessati. (a) Le voci del registro di audit che riportano modifiche ai Dati del Cliente (clausola 2.3) sono in sola aggiunta, vengono conservate 365 giorni nel database e poi archiviate in uno storage di oggetti. (b) Le voci che riportano azioni sui diritti degli interessati che il Cliente gestisce nella Piattaforma, nel suo modulo delle richieste di esercizio dei diritti (apertura e chiusura di ciascuna richiesta), vengono conservate 5 anni nel database e poi archiviate; sono Dati del Cliente che Hodeitek conserva secondo le istruzioni documentate del Cliente e non vengono cancellate insieme agli altri Dati del Cliente. (c) I registri che Hodeitek tiene, in qualità di titolare, delle richieste di esercizio dei diritti rivolte a Hodeitek stessa (accesso o esportazione, rettifica, limitazione e cancellazione dei dati degli utenti della console) non sono Dati del Cliente: vengono bloccati al compimento di 1 anno dalla risoluzione della richiesta e distrutti al compimento di 3 anni, senza essere archiviati, in conformità agli artt. 32 e 72.1.k della LOPDGDD spagnola.

15.4. Backup. I Dati del Cliente presenti nei backup non vengono ripristinati né utilizzati e sono eliminati alla scadenza di tali backup. In particolare, una volta cancellati dai sistemi attivi ai sensi della clausola 15.3, i Dati del Cliente che restano nei backup del database gestiti dal fornitore di hosting (OVHcloud) scadono con tali backup, al più tardi 2 giorni dopo, secondo la conservazione dei backup applicata da tale fornitore (Allegato I, I.2).

15.5. Certificato. Su richiesta del Cliente, Hodeitek gli confermerà per iscritto la cancellazione, una volta avvenuta.

15.6. Conservazione legale. Hodeitek conserverà Dati del Cliente oltre tali termini solo se lo richieda una norma dell'Unione o di uno Stato membro, bloccati e solo per tale finalità.

15.7. Passaggio al servizio a pagamento. Se il Cliente passa al servizio a pagamento entro i 30 giorni, i suoi dati proseguono nel servizio a pagamento. Se lo fa dopo, parte senza i dati della beta.

16.Audit e ispezioni

16.1. Prima via: documentazione. Hodeitek metterà a disposizione del Cliente, su richiesta, le informazioni necessarie per dimostrare il rispetto del presente accordo. Come prima via, Hodeitek fornirà i certificati vigenti ISO/IEC 27001 e ENS categoria MEDIA di Hodeitek S.L. (ENS n. 34/5704/26/09103; https://hodeitek.com/docs/certificado-ens-34-5704-26-09103.pdf), con il relativo ambito, e risposte ragionevoli a un questionario di sicurezza del Cliente.

16.2. Audit. Se tale documentazione non è sufficiente per una finalità specifica, o la richiede un'autorità di controllo, il Cliente può effettuare un audit, personalmente o tramite un revisore indipendente vincolato alla riservatezza, alle seguenti condizioni: preavviso scritto con un anticipo ragionevole, al massimo una volta durante la beta salvo violazione dei dati personali o richiesta di un'autorità, in orario lavorativo, limitato a quanto necessario e senza accesso ai dati di altri clienti né a informazioni che compromettano la sicurezza della Piattaforma.

16.3. Ciascuna parte sostiene i propri costi di audit.

16.4. Le Condizioni della beta vietano i test di sicurezza sulla Piattaforma salvo la comunicazione di vulnerabilità a security@hodeitek.com. Un test tecnico intrusivo nell'ambito di un audit richiede un previo accordo scritto sul suo ambito.

17.Obblighi del Cliente

Il Cliente:

• è responsabile della liceità del trattamento dei Dati del Cliente e di aver informato gli interessati (artt. 13 e 14 GDPR), e di disporre di una base giuridica per caricarli;
• informa le persone che usano i dispositivi su cui installa l'agente di endpoint che l'agente controlla la configurazione del dispositivo e invia alla Piattaforma il nome del dispositivo, il sistema operativo, la versione e l'architettura, gli indirizzi IP delle interfacce e i risultati dei controlli, e che, in caso di guasto, può inviare una segnalazione di errore (clausola 2.2), e dispone di una base giuridica per farlo. Hodeitek mette a disposizione la descrizione di ciò che esce dal dispositivo, nella documentazione dell'agente;
• impartisce istruzioni conformi al GDPR;
• carica solo dati di fornitori, domini e asset che abbia il diritto o l'autorizzazione di analizzare;
• nella via MSSP, rispetta inoltre la Parte II;
• mantiene proprie copie delle informazioni che ritiene importanti;
• gestisce con diligenza gli account dei propri utenti e i loro permessi all'interno della Piattaforma.

18.Responsabilità

18.1. Ciascuna parte risponde nei confronti degli interessati ai sensi dell'art. 82 GDPR.

18.2. Tra le parti, ciascuna risponde dei danni che cagioni all'altra per violazione del presente accordo o del GDPR.

18.3. Tra le parti, la responsabilità complessiva di Hodeitek per i danni derivanti dal presente accordo, compresa la protezione dei dati personali, è limitata: (a) finché il Cliente usa la Piattaforma nella beta gratuita, ai danni diretti che il Cliente dimostra, come nelle Condizioni della beta; e (b) dal passaggio a un piano a pagamento, ai corrispettivi che il Cliente ha pagato a Hodeitek per la Piattaforma nei 12 mesi precedenti l'evento che dà origine alla responsabilità. In entrambi i casi il limite non si applica in caso di dolo (dolo) o colpa grave (culpa grave). Tale limite vale solo tra le parti e non pregiudica i diritti degli interessati nei confronti di ciascuna di esse ai sensi dell'art. 82 GDPR.

19.Prevalenza, modifica e nullità parziale

19.1. Prevalenza. In materia di protezione dei dati, il presente accordo prevale sulle Condizioni della beta, come queste stesse prevedono, e, per accordo delle parti nel presente accordo, sull'e-mail di ammissione. Per il resto, si applicano le Condizioni della beta.

19.2. Modifica. Il presente accordo si modifica solo con accordo scritto di entrambe le parti. Le modifiche che Hodeitek apporti alle Condizioni della beta non modificano il presente accordo. Restano salve la procedura dei sub-responsabili (clausola 10) e l'aggiornamento delle misure senza ridurre il livello di sicurezza (clausola 9.3).

19.3. Se una clausola fosse nulla, il resto rimane in vigore e le parti la sostituiranno con un'altra valida di effetto il più simile possibile.

20.Legge applicabile e foro competente

Il presente accordo è disciplinato dalla legge spagnola. Per qualsiasi controversia, le parti si sottopongono ai giudici e ai tribunali di Donostia-San Sebastián, come le Condizioni della beta. Ciò non limita le competenze delle autorità di controllo.

Parte II. Clausole specifiche della via MSSP

Si applicano quando il Cliente sottoscrive in qualità di partner MSSP. Riprendono quanto dicono le Condizioni della beta.

M1. Ruolo di ciascuna parte

• Ogni cliente finale che l'MSSP incorpora nella beta (d'ora in avanti, «Cliente finale») è il titolare del trattamento dei propri dati.
• L'MSSP agisce in qualità di responsabile del trattamento del Cliente finale.
• Hodeitek agisce in qualità di sub-responsabile del trattamento dell'MSSP.
• Ogni MSSP può incorporare nella beta fino a 3 Clienti finali.

M2. Autorizzazione del Cliente finale (art. 28.2 GDPR)

L'MSSP garantisce che, prima di caricare dati di un Cliente finale, dispone dell'autorizzazione previa e scritta di tale Cliente finale a ricorrere a Hodeitek come sub-responsabile, e che tale autorizzazione copre i sub-responsabili dell'Allegato II. L'MSSP consegnerà copia di tale autorizzazione a Hodeitek se questa la richiede.

M3. Obblighi speculari (art. 28.4 GDPR)

L'MSSP dichiara che gli obblighi di protezione dei dati della Parte I sono gli stessi che l'MSSP ha con ciascun Cliente finale nel proprio accordo sul trattamento dei dati. Se l'accordo dell'MSSP con un Cliente finale impone obblighi più stringenti che riguardino Hodeitek, l'MSSP li comunicherà per iscritto prima di caricare dati e, se Hodeitek li accetta, saranno incorporati come allegato. Se non sono accettati, tale Cliente finale non viene incorporato per questa via.

M4. Catena di comunicazione

• Le istruzioni del Cliente finale giungono a Hodeitek tramite l'MSSP. L'MSSP risponde del fatto che riflettano le istruzioni del Cliente finale.
• Le notifiche di Hodeitek (violazioni dei dati personali, cambi di sub-responsabili, richieste di interessati) sono inviate all'MSSP, che le trasmette al Cliente finale senza ingiustificato ritardo.
• Opposizione a un nuovo sub-responsabile (clausola 10.3). L'MSSP trasmette l'avviso di cui alla clausola 10.2 a ciascun Cliente finale con il tempo sufficiente perché possa opporsi entro il termine di 15 giorni, ed esercita l'opposizione in suo nome. Se Hodeitek non offre un'alternativa ragionevole, l'effetto della clausola 10.3 (lasciare il programma e applicare la clausola 15) può essere limitato al tenant di tale Cliente finale, senza riguardare l'MSSP né i suoi altri Clienti finali.
• Audit (clausola 16). Il diritto di audit di cui all'art. 28.3.h GDPR si estende al Cliente finale: lo esercita l'MSSP in suo nome o lo stesso Cliente finale, alle condizioni della clausola 16, e un audit richiesto da più Clienti finali dello stesso MSSP può svolgersi congiuntamente.
• Se l'MSSP cessa di esistere, diviene insolvente o abbandona il programma, Hodeitek può rivolgersi direttamente al Cliente finale per consentirgli di esportare o cancellare i propri dati entro il termine della clausola 15.

M5. Fine della beta del Cliente finale

Le licenze di prova dei Clienti finali scadono il giorno in cui termina la beta dell'MSSP. I 30 giorni della clausola 15 decorrono da tale giorno per ciascun Cliente finale.

M6. Opzione di firma diretta

Se il Cliente finale lo preferisce, può sottoscrivere il presente accordo direttamente con Hodeitek nella via diretta. In tal caso Hodeitek è responsabile del trattamento del Cliente finale per i suoi dati, il rapporto dell'MSSP con tali dati è disciplinato dal contratto tra l'MSSP e il Cliente finale, e l'accesso dell'MSSP al tenant del Cliente finale è un'istruzione documentata del Cliente finale.

M7. HodeiAI nei tenant dei Clienti finali

• Nella beta, i Clienti finali incorporati dall'MSSP ereditano le condizioni della beta, compreso HodeiAI attivato per impostazione predefinita nei loro tenant (clausola 6.4). È l'MSSP a decidere per loro.
• L'istruzione documentata di mantenere HodeiAI attivato in tali tenant è data dall'MSSP come responsabile del trattamento del proprio Cliente finale (il titolare), e Hodeitek agisce come sub-responsabile.
• L'MSSP ottiene da ciascun Cliente finale l'autorizzazione scritta generale (art. 28.2 GDPR) per Hodeitek e i suoi sub-responsabili, compreso il fornitore di IA, prima di caricare i dati. Non basta informare il Cliente finale: senza tale autorizzazione preventiva, l'MSSP non ne carica i dati. L'autorizzazione (M2) deve coprire espressamente il fatto che HodeiAI è attivato per impostazione predefinita, che invia contenuti al sub-responsabile OVH SAS tramite OVHcloud AI Endpoints (inferenza di IA; Allegato II, riga 7) e che l'amministratore del Cliente finale può disattivarlo in Configurazione, sezione HodeiAI.
• Gli obblighi speculari di cui all'art. 28.4 GDPR (M3) si estendono a questo trattamento: l'MSSP risponde del fatto che il proprio contratto con ciascun Cliente finale consenta questa catena di sub-responsabili.
• Se un amministratore del Cliente finale disattiva HodeiAI, Hodeitek smette di inviare richieste al sub-responsabile da tale tenant.
• L'MSSP può modificarlo e la modifica viene registrata nella cronologia del cliente: l'org_admin dell'MSSP opera sui tenant dei propri clienti, l'org_admin può modificare l'impostazione di HodeiAI e la modifica viene registrata nella cronologia del tenant con l'autore.

M8. Metriche aggregate e nome dei Clienti finali

• L'istruzione della clausola 6.5 per i dati dei Clienti finali è data dall'MSSP come responsabile del trattamento del proprio Cliente finale, con Hodeitek come sub-responsabile, e l'MSSP garantisce che il proprio contratto con ciascun Cliente finale gli consenta di darla (M3).
• Nelle cifre della clausola 6.5, ogni Cliente finale conta come un'organizzazione distinta dall'MSSP. Non si usa una cifra in cui tutte le organizzazioni tranne una siano l'MSSP e i suoi Clienti finali, perché l'MSSP, che vede i dati dei propri Clienti finali, potrebbe dedurre il dato della restante.
• Nominare o identificare un Cliente finale (clausola 6.6) richiede il consenso separato di tale Cliente finale; quello dell'MSSP non basta. Rifiutarlo o revocarlo non pregiudica la partecipazione del Cliente finale né quella dell'MSSP.

M9. Informazione agli utenti dei dispositivi

Prima di installare l'agente di endpoint sui dispositivi di un Cliente finale, l'MSSP si assicura che tale Cliente finale, che è titolare dei propri dati (M1), abbia informato le persone che usano quei dispositivi di quanto la clausola 17 dice sull'agente e disponga di una base giuridica per farlo. L'MSSP può dare loro tale informazione per conto del Cliente finale se questi glielo chiede. Hodeitek mette a disposizione la descrizione di ciò che esce dal dispositivo, nella documentazione dell'agente.

Allegato I. Misure tecniche e organizzative

Il presente allegato descrive, in termini generali, le categorie di misure tecniche e organizzative che Hodeitek applica ai Dati del Cliente, e non afferma quelle che non può supportare. La descrizione tecnica dettagliata di queste misure è a disposizione dei clienti su richiesta, scrivendo a privacy@hodeitek.com.

Quadro certificato

• Hodeitek S.L. (l'impresa) è certificata ISO/IEC 27001 e Schema nazionale di sicurezza (ENS), categoria MEDIA, con un ambito che include il servizio SaaS HodeiShield.
• HodeiShield non dispone né di una qualificazione CPSTIC né di una certificazione di prodotto. Il presente allegato non ne afferma alcuna.

Isolamento tra clienti

• I dati di ciascun cliente sono isolati da quelli degli altri clienti nel database, e le interrogazioni vengono eseguite nel contesto del cliente a cui appartengono.
• Questa misura protegge da un difetto dell'applicazione che dimentichi di filtrare per cliente. Non è una barriera nei confronti di chi può scegliere le interrogazioni eseguite; per questo è combinata con il controllo degli accessi e con il registro di audit.

Cifratura in transito

• Tutto il traffico della console è cifrato con TLS. Cloudflare termina TLS al margine della rete (Allegato II) e l'origine accetta solo connessioni autenticate provenienti da Cloudflare.
• L'applicazione si connette al database gestito tramite TLS e verifica il certificato del server.
• L'agente di endpoint invia dati solo tramite connessioni cifrate.

Cifratura e protezione dei segreti a riposo

• Le password sono memorizzate con un algoritmo di hash progettato a tale scopo, mai in chiaro.
• Gli elementi del secondo fattore, le chiavi private di firma delle sessioni e i segreti delle integrazioni (per esempio SSO, OAuth o webhook) sono memorizzati cifrati.
• Le chiavi API sono memorizzate solo come hash, e la loro parte segreta viene mostrata una sola volta, alla creazione.
• L'archiviazione di oggetti cifra i file lato server.
• Il database gestito cifra i propri volumi e i propri backup, secondo la documentazione del fornitore di infrastruttura (OVHcloud, Allegato II).

Controllo degli accessi e autenticazione

• L'accesso è basato su ruoli, con permessi di lettura e di scrittura distinti.
• Il secondo fattore (TOTP) e le passkey sono disponibili per tutti gli utenti. L'amministratore del Cliente può richiedere il secondo fattore a tutti i suoi utenti tramite la politica del tenant; per impostazione predefinita non è richiesto, e Hodeitek raccomanda al Cliente di attivarlo.
• I tentativi di accesso e di secondo fattore sono limitati.
• Le sessioni hanno una durata massima, e gli account inutilizzati vengono sospesi dopo un periodo che il Cliente può regolare.

Backup

• Il database gestito dispone di backup automatici, con registrazione continua delle transazioni per il ripristino a un punto nel tempo, a cura del fornitore di infrastruttura (OVHcloud, Allegato II) e conservati nello Spazio economico europeo.
• Il presente contratto non promette alta disponibilità né obiettivi di tempo o di punto di ripristino.

Registrazione e monitoraggio

• Le azioni nella console sono registrate in un registro di audit con utente, data, IP e browser.
• Il registro è di sola aggiunta: non ammette modifiche, e solo un processo di eliminazione dedicato può cancellare voci già archiviate. Le voci sono conservate per un periodo definito e poi archiviate.
• I rapporti di errore e i registri che la Piattaforma invia al servizio di diagnostica (Sentry, Allegato II) passano attraverso un filtro che rimuove utente, cookie e intestazioni della richiesta e oscura segreti, token, indirizzi e-mail e indirizzi IP.
• Tale filtro non riconosce i nomi di persona; il presente contratto non afferma quindi «senza dati personali» nella diagnostica degli errori. L'agente di endpoint segnala solo errori e guasti e oscura i propri identificativi prima dell'invio.

Minimizzazione e pseudonimizzazione

• L'agente di endpoint raccoglie solo i dati tecnici minimi del dispositivo, e non raccoglie nomi utente, numeri di serie né indirizzi MAC.
• Esistono cancellazioni automatiche per periodo, tra cui la cronologia di HodeiAI e le sessioni scadute. Non includono la cancellazione dei dati del Cliente al termine della beta, che è disciplinata dal presente contratto.
• Prima di inviare testo al fornitore di IA (Allegato II), la Piattaforma pseudonimizza indirizzi e-mail, numeri di telefono, documenti d'identità, IBAN e i nomi del dizionario del tenant, nei flussi di HodeiAI e di redazione delle politiche. Non si applica a tutti i flussi e non riconosce ogni nome di persona, indirizzo postale o identificativo a formato libero, che possono uscire così come sono.

Integrità e gestione delle vulnerabilità

• Le osservazioni inviate dall'agente sono firmate, e la console rifiuta quelle che non si verificano.
• Le dipendenze sono aggiornate in modo automatizzato, con un'attesa prima di adottare nuove versioni. Le immagini di produzione e il codice sono ri-scansionati ogni settimana con analisi delle vulnerabilità e analisi statica, e alla pubblicazione delle immagini viene generata una distinta dei componenti software (SBOM).
• Le vulnerabilità possono essere segnalate a security@hodeitek.com.