Accordo sul trattamento dei dati (DPA)

Versione del 2026-10-31. Accordo concluso ai sensi dell'articolo 28 del regolamento generale sulla protezione dei dati (GDPR), tra il cliente (titolare del trattamento) e Thomas SAMSON (SAMSON Tech) (responsabile del trattamento). Fa parte delle condizioni generali e si applica dalla creazione di un'organizzazione.

1. Descrizione del trattamento

Oggetto

Fornire il servizio Wardpod: analisi delle vulnerabilità e inventario software dei cluster Kubernetes del cliente.

Natura

Raccolta da parte dell'agente installato dal cliente, conservazione, calcolo di punteggi e priorità, visualizzazione nella console, invio di avvisi e report.

Durata

Quella dell'abbonamento, poi cancellazione secondo l'articolo 7.

Dati

Metadati dei cluster: nomi di cluster, namespace, workload e container, immagini, pacchetti e versioni, vulnerabilità, esposizione (nomi host di Ingress e route), impostazioni di sicurezza dei pod. In linea di principio non contengono dati personali, salvo quelli che il cliente stesso inserisce in tali nomi. Account degli utenti della console (nome utente, indirizzo e-mail, registro di attività).

Interessati

Utenti della console designati dal cliente; persone eventualmente nominate nei metadati dei cluster.

Esclusioni

L'agente non trasmette mai il contenuto dei file delle immagini, i valori delle variabili d'ambiente dei pod, i Secret, le ConfigMap né i log.

2. Istruzioni del cliente

Il responsabile tratta i dati solo su istruzione documentata del cliente, costituita dalle condizioni generali, dal presente accordo e dall'uso che il cliente fa della console. Informa il cliente se un'istruzione gli sembra contraria al GDPR.

3. Riservatezza

Le persone autorizzate a trattare i dati sono tenute alla riservatezza. Il responsabile accede ai dati di un'organizzazione solo per fornire il servizio, risolvere problemi su richiesta del cliente o adempiere a un obbligo di legge.

4. Sicurezza

Misure tecniche e organizzative in atto:

• cifratura degli scambi (HTTPS) tra l'agente, la console e il servizio;
• token dell'agente propri di ogni cluster; un cluster non può modificare nulla di ciò che vedono gli altri;
• isolamento delle organizzazioni, verificato da test automatici; console propria per ogni organizzazione nei piani a pagamento;
• password conservate come impronta, segreti cifrati nel database, autenticazione a due fattori disponibile;
• server protetto (accesso con chiave, firewall, aggiornamenti automatici), raggiungibile solo attraverso il proxy;
• backup cifrati due volte al giorno, conservati separatamente, ripristino testato;
• supervisione continua e avvisi; accesso di amministrazione limitato e registrato.

5. Sub-responsabili

Il cliente autorizza il ricorso ai seguenti sub-responsabili:

Sub-responsabile	Ruolo	Ubicazione
OVH SAS	Hosting del servizio e dei backup	Francia
Cloudflare, Inc.	Instradamento e protezione del traffico	Rete mondiale (Data Privacy Framework, clausole contrattuali tipo)
Brevo (Sendinblue SAS)	Invio di e-mail (avvisi, report)	Francia

Il responsabile impone a ciascuno obblighi equivalenti al presente accordo. Informa il cliente via e-mail di ogni aggiunta o sostituzione con almeno 30 giorni di anticipo; il cliente può opporsi per un motivo legato alla protezione dei dati e recedere senza costi se non si trova una soluzione.

6. Assistenza al cliente

• Diritti degli interessati: il responsabile trasmette senza ritardo al cliente ogni richiesta ricevuta da un interessato e lo aiuta a rispondere.
• Violazione dei dati: notifica al cliente ogni violazione dei dati personali nel più breve tempo possibile e al più tardi 48 ore dopo esserne venuto a conoscenza, con le informazioni utili alla notifica all'autorità di controllo.
• Valutazioni d'impatto: fornisce al cliente le informazioni necessarie alle sue valutazioni d'impatto e alla consultazione preventiva dell'autorità.

7. Fine del trattamento

All'eliminazione dell'organizzazione o alla fine dell'abbonamento, i dati vengono cancellati dal servizio, poi dai backup man mano che ruotano, entro 6 mesi al massimo. Prima dell'eliminazione, il cliente può esportare i suoi dati dalla console. I dati di fatturazione sono conservati dall'editore in virtù dei suoi obblighi di legge.

8. Audit

Il responsabile mette a disposizione del cliente le informazioni necessarie per dimostrare il rispetto del presente accordo. Il cliente può far eseguire un audit, a proprie spese, da un revisore indipendente tenuto al segreto, al massimo una volta l'anno, con un preavviso di 30 giorni, senza accesso ai dati di altre organizzazioni.

9. Trasferimenti

I dati sono ospitati in Francia. Un trasferimento fuori dall'Unione europea da parte di un sub-responsabile avviene solo con le garanzie previste dal GDPR (decisione di adeguatezza, compreso il Data Privacy Framework, o clausole contrattuali tipo della Commissione europea).

10. Contatto

Per qualsiasi domanda relativa a questo accordo: [email protected].