Accordo sul trattamento dei dati

Parti e modalità di applicazione del presente DPA

Il presente DPA è concluso tra Sencai Tech s.r.o., con sede legale a Praga, Repubblica Ceca, iscritta presso il Tribunale Municipale di Praga ("Sencai", "noi"), e il cliente che ha accettato i Termini di servizio ("tu"). Costituisce parte integrante dei Termini e diventa vincolante nel momento in cui li accetti; non è necessaria una firma separata. Se desideri una firma documentata da conservare agli atti, un proprietario o un amministratore della tua organizzazione può firmare il presente DPA nella piattaforma. La versione vigente è pubblicata su sencai.space/legal/dpa/. Questa è la versione 1.0 del presente DPA. Per i clienti che hanno accettato una versione precedente dei Termini, si applica come modifica dei Termini in conformità alle disposizioni di questi ultimi in materia di modifiche.

Ambito e ruoli

Il presente DPA si applica ai dati personali che Sencai tratta per tuo conto nell'erogazione del servizio, come descritto di seguito ("Dati personali del cliente"). Per i Dati personali del cliente, tu, o l'organizzazione che rappresenti, sei il titolare del trattamento e Sencai è il responsabile del trattamento. Qualora tu stesso agisca come responsabile del trattamento per conto di un altro titolare - ad esempio un fornitore di servizi gestiti che opera per i propri clienti - Sencai agisce in qualità di tuo sub-responsabile del trattamento, e tu garantisci che le istruzioni che impartisci a Sencai siano autorizzate da tale titolare. I dati personali che Sencai tratta per finalità proprie, quali la registrazione dell'account, la fatturazione e la sicurezza del servizio, esulano dal presente DPA e sono disciplinati dall'Informativa sulla privacy, ai sensi della quale Sencai è titolare del trattamento. Alcuni registri, come gli eventi di accesso e l'audit trail, servono entrambe le finalità: sono trattati ai sensi del presente DPA quando sono utilizzati per fornirti il servizio, e ai sensi dell'Informativa sulla privacy quando sono utilizzati per mantenere il servizio sicuro.

Ordine di prevalenza e lingua

In caso di conflitto tra il presente DPA e i Termini in merito al trattamento dei dati personali, prevale il presente DPA. Il presente DPA è redatto in lingua inglese. Le traduzioni sono fornite per comodità; qualora una traduzione differisca dalla versione inglese, prevale la versione inglese.

Oggetto, durata, natura e finalità

L'oggetto del trattamento è la fornitura della piattaforma Sencai, un control plane multi-cloud fornito come Software-as-a-Service ai sensi dei Termini. Il trattamento dura per tutta la durata dell'accordo e successivamente fino alla cancellazione dei Dati personali del cliente, come descritto nella sezione relativa alla cancellazione e alla restituzione. Consiste nel raccogliere dati tramite le connessioni da te configurate; nel conservarli, organizzarli e mostrarli ai tuoi utenti autorizzati; nell'analizzarli, ad esempio per le scansioni di sicurezza, l'analisi dei costi e, ove tu le utilizzi, le funzionalità di IA; nel trasmetterli alla tua infrastruttura e ai provider con cui lavori tramite la piattaforma; nell'eseguire le azioni da te richieste presso i cloud provider e sui tuoi server; e nel cancellarli. La finalità è fornirti il servizio in conformità ai Termini e alle tue istruzioni, compreso il supporto da te richiesto e la sicurezza di tale trattamento come previsto dall'articolo 32 del GDPR.

Categorie di interessati

I Dati personali del cliente possono riguardare i seguenti interessati:

• I tuoi utenti autorizzati della piattaforma, come i tuoi dipendenti e collaboratori esterni.
• I membri del tuo personale i cui record sono sincronizzati da una directory che colleghi, come Microsoft Entra ID, Microsoft 365 o Google Workspace.
• Le persone i cui dati personali sono contenuti nell'infrastruttura, nei server, nei log, nelle sessioni di terminale o nei valori dei segreti che colleghi o gestisci tramite la piattaforma, ad esempio i tuoi clienti e utenti finali.

Categorie di dati personali

A seconda delle funzionalità che utilizzi, i Dati personali del cliente possono comprendere le categorie indicate di seguito. Il servizio non è progettato per categorie particolari di dati personali (articolo 9 del GDPR) né per dati personali relativi a condanne penali e reati (articolo 10 del GDPR). Se la tua infrastruttura, i tuoi log o i valori dei tuoi segreti contengono tali dati, sei responsabile di valutare, prima di trattarli tramite il servizio, se le misure previste dal presente DPA siano adeguate.

• Dati dell'infrastruttura: inventario, configurazione e metadati delle risorse cloud e dei server che colleghi o provisioni, come nomi delle risorse, tag, indirizzi IP, record DNS e regole firewall, che possono contenere dati personali.
• Credenziali degli account cloud che colleghi, conservate in forma cifrata.
• Dati raccolti dall'agente Sencai dai server su cui lo installi, come il software installato e lo stato delle patch, i risultati delle scansioni di sicurezza e i log di sistema e delle applicazioni.
• Sessioni del terminale nel browser: registrazioni di chi si è connesso a quale server e quando, e i dati che transitano in una sessione mentre è aperta.
• Dati di directory e di identità, qualora tu colleghi una directory: record di utenti e gruppi, eventi di accesso e amministrativi comprensivi di indirizzi email, indirizzi IP e informazioni sul browser o sul dispositivo, e inventario delle caselle di posta.
• L'audit trail della tua organizzazione: quale utente ha eseguito quale azione e quando, con indirizzo IP e informazioni sul browser.
• Valori dei segreti che fornisci per Secret Injection.
• Contenuti che invii alle funzionalità di IA, insieme al contesto infrastrutturale trasmesso con essi.

Istruzioni documentate

Sencai tratta i Dati personali del cliente soltanto su tue istruzioni documentate, anche per quanto riguarda i trasferimenti verso paesi al di fuori dello Spazio economico europeo, salvo che il diritto dell'UE o di uno Stato membro disponga diversamente; in tal caso Sencai ti informa di tale obbligo giuridico prima del trattamento, a meno che tale diritto lo vieti per rilevanti motivi di interesse pubblico. Le tue istruzioni sono costituite dai Termini, dal presente DPA e dalle modalità con cui utilizzi e configuri il servizio, anche tramite la sua interfaccia e la sua API. Ulteriori istruzioni devono essere impartite per iscritto, ad esempio a privacy@sencai.space, e devono essere coerenti con i Termini. Sencai ti informa immediatamente qualora, a suo parere, un'istruzione violi il GDPR o altre disposizioni dell'UE o degli Stati membri relative alla protezione dei dati. Sei responsabile della liceità delle tue istruzioni e dei dati personali che tratti tramite il servizio.

Riservatezza

Sencai concede l'accesso ai Dati personali del cliente soltanto alle persone che ne hanno bisogno per fornire, supportare o proteggere il servizio, e garantisce che tutte le persone autorizzate al trattamento dei Dati personali del cliente siano vincolate da obblighi di riservatezza o abbiano un adeguato obbligo legale di riservatezza.

Sicurezza del trattamento

Sencai mette in atto misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio, come previsto dall'articolo 32 del GDPR. Le misure attualmente in vigore comprendono quelle elencate di seguito. Sencai può aggiornarle in funzione dell'evoluzione della tecnologia e dei rischi, a condizione che il livello complessivo di sicurezza non venga ridotto.

• Hosting della piattaforma in regioni UE di Google Cloud.
• Separazione tra organizzazioni: le risorse sono associate all'organizzazione a cui appartengono, e l'accesso dei tuoi utenti viene verificato rispetto a tale organizzazione.
• Accesso basato sui ruoli all'interno di ciascuna organizzazione, in modo che gli utenti possano vedere e modificare solo ciò che il loro ruolo consente.
• Cifratura con TLS delle connessioni alla piattaforma su reti pubbliche; l'agente Sencai sui server utilizza inoltre una connessione con autenticazione reciproca.
• Cifratura a riposo (AES-256-GCM) delle credenziali degli account cloud collegati, che non vengono mostrate di nuovo tramite la piattaforma.
• Valori dei segreti conservati in Sencai Vault, come descritto nella sezione successiva.
• Protezione dell'accesso contro tentativi ripetuti di indovinare la password, token di accesso a breve durata e supporto per l'autenticazione a più fattori e il single sign-on.
• Policy di rete che limitano quali servizi interni possono comunicare tra loro.
• Un audit trail append-only e concatenato tramite hash, in cui l'alterazione o la rimozione di una voce passata è rilevabile.
• Backup del database della piattaforma, cifrati prima di essere archiviati.

Sencai Vault e Secret Injection

Qualora tu utilizzi Secret Injection, Sencai memorizza i valori dei segreti che fornisci, cifrati a riposo, in Sencai Vault, un archivio di segreti gestito direttamente da Sencai sull'infrastruttura di Google Cloud nell'UE. Sencai utilizza tali valori esclusivamente per la consegna alla tua infrastruttura: un cluster Kubernetes oppure server su cui è in esecuzione l'agente Sencai, laddove tu lo abiliti, e solo nelle posizioni consentite dalla configurazione propria di quel cluster o server. I valori memorizzati non possono essere visualizzati né esportati tramite la piattaforma. I servizi della piattaforma possono accedervi solo tramite credenziali dedicate, limitate alla loro memorizzazione, alla loro lettura per la consegna o alla loro cancellazione, e il traffico tra i servizi della piattaforma e Sencai Vault è cifrato con TLS. Sencai Vault registra un audit trail degli accessi, nel quale le credenziali compaiono solo come hash con chiave (HMAC). Ogni consegna è cifrata con una chiave generata esclusivamente per quella consegna. Un valore viene rilasciato a un cluster o a un server solo dopo che un amministratore della tua organizzazione ha concesso la propria fiducia al relativo agente, e solo per le credenziali che quell'agente aveva nel momento in cui la fiducia è stata concessa. Le versioni precedenti di un valore sostituito possono essere conservate fino alla revoca o alla cancellazione della relativa voce di Secret Injection. Dopo la revoca o la cancellazione, Sencai cancella senza ingiustificato ritardo da Sencai Vault il valore e tutte le versioni conservate, e cancella tutti tali valori prima della cancellazione di un'organizzazione. Quando revochi una voce di Secret Injection, Sencai chiede all'agente che ha ricevuto il valore di rimuoverlo, se tale richiesta può essere inviata; se non può essere inviata o la rimozione non è confermata, ad esempio perché l'agente non è connesso o è stato disconnesso, oppure perché la consegna è disattivata, il valore può rimanere nella tua infrastruttura. Qualsiasi copia consegnata alla tua infrastruttura è sotto il tuo controllo e può essere letta da chiunque disponga di un accesso sufficiente al sistema in cui si trova, compresi gli utenti privilegiati e chiunque tu autorizzi a eseguire comandi tramite l'agente Sencai.

Sub-responsabili del trattamento

Concedi a Sencai un'autorizzazione scritta generale a ricorrere ai sub-responsabili del trattamento elencati nel registro dei sub-responsabili all'indirizzo sencai.space/legal/subprocessors/. Sencai impone a ciascun sub-responsabile, mediante contratto scritto, obblighi in materia di protezione dei dati che offrono almeno lo stesso livello di protezione di quelli previsti dal presente DPA, in particolare garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate, come previsto dall'articolo 28, paragrafo 4, del GDPR. Sencai rimane pienamente responsabile nei tuoi confronti dell'adempimento degli obblighi di ciascun sub-responsabile, fatto salvo quanto previsto dalla sezione Responsabilità. I cloud provider i cui account colleghi tu stesso non sono sub-responsabili di Sencai: tali account restano soggetti al tuo contratto con il provider, e Sencai vi opera solo su tua istruzione. Qualora Sencai esegua le tue risorse in account cloud da essa gestiti, il provider sottostante ti viene indicato come sub-responsabile prima che tale modalità abbia inizio e viene aggiunto al registro. Sencai comunica qualsiasi aggiunta o sostituzione prevista di un sub-responsabile almeno 14 giorni prima che abbia effetto, aggiornando il registro e inviando un'email ai proprietari della tua organizzazione. Puoi opporti alla modifica per iscritto a privacy@sencai.space entro tale termine; Sencai collaborerà quindi con te in buona fede per risolvere l'opposizione e, qualora non sia possibile risolverla, potrai porre termine al servizio interessato, oppure all'accordo qualora il servizio non possa essere fornito senza tale sub-responsabile, con effetto prima che la modifica si applichi ai tuoi dati.

Trasferimenti internazionali

I Dati personali del cliente sono conservati principalmente nell'UE/SEE. Qualora un sub-responsabile li tratti al di fuori dello Spazio economico europeo, il trasferimento si fonda sulla base indicata per tale sub-responsabile nel registro - una decisione di adeguatezza della Commissione europea o le clausole contrattuali standard - unitamente a garanzie supplementari ove necessario. Le funzionalità di IA inviano i contenuti che trasmetti loro ai provider di modelli indicati nel registro, che possono trattarli al di fuori dell'UE; tali provider vengono coinvolti solo quando utilizzi queste funzionalità. Qualora tu scelga una regione al di fuori dello Spazio economico europeo in un account cloud che colleghi tu stesso, i dati vi vengono inviati su tua istruzione.

Assistenza per le richieste degli interessati

Tenendo conto della natura del trattamento, Sencai ti assiste con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, nel dare seguito alle richieste degli interessati che esercitano i propri diritti di cui al capo III del GDPR. Il servizio mette a disposizione strumenti self-service a tale scopo: i tuoi utenti possono esportare i dati personali relativi al proprio account e richiedere la cancellazione del proprio account dalle impostazioni sulla privacy della piattaforma, e l'audit trail della tua organizzazione può essere esportato. Qualora tali strumenti non siano sufficienti, Sencai fornisce un'ulteriore assistenza ragionevole su richiesta a privacy@sencai.space. Se Sencai riceve una richiesta direttamente da un interessato in merito ai Dati personali del cliente, te ne informa e non risponde essa stessa alla richiesta, salvo tua istruzione in tal senso o obbligo di legge.

Assistenza in materia di sicurezza, valutazioni d'impatto e consultazioni

Tenendo conto della natura del trattamento e delle informazioni a disposizione di Sencai, Sencai ti assiste nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36 del GDPR - sicurezza del trattamento, notifica delle violazioni dei dati personali, valutazioni d'impatto sulla protezione dei dati e consultazione preventiva di un'autorità di controllo. Lo fa in particolare mettendo a disposizione il presente DPA e la sua descrizione delle misure di sicurezza, il registro dei sub-responsabili, la dichiarazione sulla residenza dei dati, i registri delle attività di trattamento ove previsti dal tuo piano e un export del tuo audit trail, e rispondendo alle domande ragionevoli che hai a tali fini.

Violazioni dei dati personali

Sencai ti notifica una violazione dei dati personali che riguardi i Dati personali del cliente senza ingiustificato ritardo e in ogni caso entro 72 ore dal momento in cui ne è venuta a conoscenza, tramite email ai proprietari della tua organizzazione. La notifica descrive, nella misura in cui le informazioni sono disponibili in quel momento, la natura della violazione, compresi, ove possibile, le categorie e il numero approssimativo di interessati e di registrazioni dei dati in questione; le probabili conseguenze; le misure adottate o proposte per porre rimedio alla violazione e attenuarne i possibili effetti negativi; e un punto di contatto presso cui ottenere ulteriori informazioni. Qualora non tutte queste informazioni siano disponibili contestualmente, Sencai le fornisce in fasi successive senza ulteriore ingiustificato ritardo. Sencai adotta misure ragionevoli per contenere la violazione e ti supporta nella notifica all'autorità di controllo e agli interessati coinvolti, qualora tu sia tenuto a effettuarla.

Cancellazione e restituzione al termine dell'accordo

Al termine dell'accordo hai 21 giorni per esportare i tuoi dati tramite le funzioni di esportazione del servizio, come previsto dai Termini. Decorso tale termine, Sencai cancella i Dati personali del cliente, salvo che il diritto dell'UE o di uno Stato membro ne preveda la conservazione. La cancellazione avviene come un processo e non in un unico momento; fino al suo completamento, i dati sono conservati al solo scopo di cancellarli. Inoltre:

• I dati presenti nei backup non vengono rimossi singolarmente da ciascun backup. Vengono cancellati quando vengono cancellati i backup che li contengono, al più tardi un anno dopo la creazione di ciascun backup; fino ad allora, i backup restano cifrati e sono utilizzati esclusivamente per il ripristino del servizio.
• Le voci dell'audit trail della tua organizzazione non vengono cancellate, poiché l'audit trail è append-only per scelta progettuale. Al termine dell'accordo, Sencai le conserva in qualità di titolare del trattamento, esclusivamente per finalità di sicurezza e probatorie come descritto nell'Informativa sulla privacy, con accesso limitato a tali finalità.
• I valori dei segreti in Sencai Vault vengono cancellati alla revoca o alla cancellazione della relativa voce di Secret Injection e, in ogni caso, prima della cancellazione della tua organizzazione.
• Le risorse presenti negli account cloud che colleghi tu stesso restano tue e non vengono mai cancellate da Sencai nell'ambito della cessazione dell'accordo.

Audit e informazioni

Sencai mette a tua disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'articolo 28 del GDPR. Lo fa principalmente tramite documentazione: il presente DPA, il registro dei sub-responsabili, la dichiarazione sulla residenza dei dati, i registri delle attività di trattamento ove previsti dal tuo piano, un export del tuo audit trail e risposte scritte a ragionevoli questionari di sicurezza. Sencai non è in possesso di certificazioni ISO 27001 o SOC 2. Nella misura in cui lo richieda l'articolo 28, paragrafo 3, lettera h), del GDPR, o qualora un'autorità di controllo lo esiga, Sencai consente e contribuisce anche alle attività di revisione, comprese le ispezioni, realizzate da te o da un revisore da te incaricato. Tali audit richiedono un ragionevole preavviso, sono svolti a tue spese e nel rispetto di obblighi di riservatezza, e non devono consentire l'accesso ai dati di altri clienti né compromettere la sicurezza del servizio. Le richieste vanno inviate a privacy@sencai.space.

Responsabilità

La responsabilità derivante da o connessa al presente DPA è soggetta alla limitazione di responsabilità prevista dai Termini, nella misura consentita dalle norme imperative. Nessuna disposizione del presente DPA limita i diritti di cui gli interessati godono ai sensi del GDPR.

Durata, modifiche e legge applicabile

Il presente DPA si applica per tutto il tempo in cui Sencai tratta Dati personali del cliente per tuo conto, anche dopo la cessazione dei Termini, fino al completamento della cancellazione. Sencai può modificare il presente DPA con le stesse modalità previste per i Termini, con un preavviso di almeno 14 giorni tramite email o notifica in-app; se non accetti una modifica sostanziale, puoi risolvere l'accordo con effetto dalla data in cui la modifica entra in vigore. Il presente DPA è disciplinato dalla legge della Repubblica Ceca, e le controversie saranno risolte dai tribunali competenti di Praga, Repubblica Ceca, come previsto dai Termini.

Contatti

Domande sul presente DPA, richieste in materia di protezione dei dati, istruzioni e opposizioni alle modifiche dei sub-responsabili: privacy@sencai.space. Incidenti di sicurezza e segnalazioni di vulnerabilità: security@sencai.space. Sencai invia le comunicazioni previste dal presente DPA agli indirizzi email dei proprietari della tua organizzazione, pertanto ti preghiamo di mantenerli aggiornati.