Questa informativa descrive il trattamento dei dati personali sul server web di Thomas Stadler (sthot-systems). Il server è in housing presso STRATO GmbH e ospita più di 50 siti, con PHP, basi di dati relazionali e il server di posta Exim, erogati tramite nginx.
I siti ospitati rimandano a questa pagina perché visitatrici e visitatori possano capire chi gestisce il server e chi tratta i dati nel centro di calcolo. Per i contenuti, i moduli, i negozi e le aree riservate di un singolo sito resta responsabile il relativo gestore.
Si applica il diritto italiano in materia di protezione dei dati. Il Regolamento (UE) 2016/679 è direttamente applicabile in Italia. Il decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito Codice) si applica nel testo modificato dal decreto legislativo 10 agosto 2018, n. 101. Questa informativa adempie l’obbligo di cui all’art. 13 del Regolamento (UE) 2016/679. Ove il Codice detti una regola propria per un trattamento, essa è indicata in corrispondenza di quel trattamento.
Titolare del trattamento per la gestione di questo server e per la presente informativa è:
Thomas StadlerLe richieste in materia di protezione dei dati vanno inviate per iscritto a questo indirizzo. Se la richiesta riguarda un sito, un modulo o una casella di posta determinati, rivolgetevi anche al gestore di quel sito. È lui a stabilire le finalità dei dati di contenuto ivi raccolti ed è il titolare ai sensi dell’art. 4, numero 7, del Regolamento (UE) 2016/679.
Non è stato designato un responsabile della protezione dei dati.
Su questo server si distinguono due piani.
Dati di contenuto dei siti ospitati. Testi, dati inseriti nei moduli, dati di clienti e iscritti, dati di negozio e contenuti delle caselle di posta sono trattati da sthot-systems per conto del rispettivo gestore del sito (art. 28 del Regolamento (UE) 2016/679). Finalità e base giuridica di questi dati le determina il gestore del sito. sthot-systems non li usa per finalità proprie.
Esercizio tecnico del server. I dati di connessione prodotti da nginx, PHP-FPM ed Exim sono trattati dal gestore del server per erogare il servizio, individuare errori e contrastare abusi. La base giuridica è l’art. 6, paragrafo 1, lettera f), del Regolamento (UE) 2016/679. L’interesse legittimo è l’esercizio sicuro e stabile di un server sul quale si trovano molti siti indipendenti tra loro. I registri non sono usati per pubblicità né per profilazione.
Se l’esecuzione di un incarico del cliente richiede che questi registri siano tenuti anche per il gestore del sito, il trattamento avviene in aggiunta come trattamento per conto di questi, secondo le sue istruzioni.
Il server mette a disposizione più di 50 siti. Per ciascun sito sono previsti in particolare spazio di memorizzazione, collegamento a Internet, PHP, una o più basi di dati e, se incaricata, la posta elettronica.
Le categorie di interessati sono le persone che visitano i siti, le persone che compilano moduli o creano account, i corrispondenti di posta elettronica nonché i committenti e i loro collaboratori.
I tipi di dati, a seconda del sito e solo nella misura in cui il gestore li vi deposita, sono: dati anagrafici, dati di contatto, dati contrattuali e di prenotazione, dati di contenuto, credenziali nella forma memorizzata dall’applicazione e dati tecnici di registro. Categorie particolari di dati personali di cui all’art. 9, paragrafo 1, del Regolamento (UE) 2016/679 non sono raccolte di proposito dal gestore del server. Un tale trattamento sarebbe lecito solo in presenza di un’eccezione di cui all’art. 9, paragrafo 2, del Regolamento. Se avviene per motivi di interesse pubblico rilevante ai sensi dell’art. 9, paragrafo 2, lettera g), l’art. 2-sexies del Codice esige in aggiunta una base di legge o di regolamento che determini i tipi di dati, le operazioni, il motivo di interesse pubblico e misure di protezione adeguate. Se un singolo sito chiede tali dati, la decisione e la responsabilità spettano al suo gestore.
L’erogazione del servizio di hosting si fonda sul contratto con il gestore del sito, ai sensi dell’art. 6, paragrafo 1, lettera b), del Regolamento (UE) 2016/679. Non vi è un obbligo di legge di usare proprio questo server. Senza i dati tecnici di registro il server non può però rispondere alla richiesta né essere protetto contro gli abusi.
All’apertura di una pagina nginx tratta i dati trasmessi dal browser. Nel registro degli accessi figurano:
I registri di errore contengono messaggi tecnici e possono a loro volta includere indirizzi IP o indirizzi richiesti.
La finalità è l’erogazione del sito, la ricerca degli errori e la difesa da attacchi. La base giuridica è l’art. 6, paragrafo 1, lettera f), del Regolamento (UE) 2016/679. Questi registri nascono sul server. Non costituiscono memorizzazione di informazioni sul dispositivo dell’utente ai sensi dell’art. 122 del Codice. I registri di accesso sono ruotati ogni giorno e conservati per dieci generazioni, dunque circa dieci giorni. Poi sono cancellati.
La trasmissione è cifrata se il singolo sito è raggiungibile tramite HTTPS.
Le pagine dinamiche sono eseguite con PHP (PHP-FPM). Si generano dati di sessione, se l’applicazione avvia una sessione, e file temporanei necessari a elaborare la richiesta. Le sessioni servono a tenere insieme un’operazione su più richieste, per esempio un carrello o un accesso. Terminano allo scadere della durata fissata dall’applicazione oppure quando sono cancellate.
Se a tal fine l’applicazione memorizza un identificativo sul dispositivo dell’utente, l’art. 122, comma 1, del Codice consente questa memorizzazione senza consenso, nella misura strettamente necessaria a erogare un servizio della società dell’informazione esplicitamente richiesto dall’utente. Altre informazioni sul dispositivo, che non siano strettamente necessarie, può memorizzarle solo il rispettivo gestore del sito e solo con il consenso di cui all’art. 122, comma 1, del Codice.
PHP-FPM scrive registri tecnici propri sull’interprete. Servono alla ricerca degli errori e sono conservati per alcune settimane, secondo la rotazione di sistema. La base giuridica è l’art. 6, paragrafo 1, lettera f), del Regolamento (UE) 2016/679.
Quali dati personali un’applicazione PHP scriva in sessione o nella base di dati lo decide il gestore del sito. sthot-systems tratta questi dati solo per far funzionare l’applicazione.
I siti memorizzano i dati applicativi in basi di dati relazionali (MariaDB). Vi si trovano di regola contenuti di sistemi di gestione dei contenuti, dati inseriti nei moduli, account, ordini e dati applicativi analoghi. Vi accedono solo il sito interessato e il gestore del server, nell’ambito di esercizio, copie di sicurezza e rimozione dei guasti.
Finalità e conservazione dei dati di contenuto seguono le istruzioni del gestore del sito e il suo contratto, ai sensi dell’art. 6, paragrafo 1, lettera b), e dell’art. 28 del Regolamento (UE) 2016/679. sthot-systems cancella basi di dati e file collegati quando l’incarico di hosting termina o il gestore ne chiede la cancellazione, salvo un obbligo legale di conservazione. Tale obbligo grava di regola sul gestore del sito; per le scritture contabili in particolare l’art. 2220 del codice civile.
Le copie di sicurezza servono a proteggere dalla perdita dei dati. Sono soggette alla stessa limitazione di finalità dei dati originali e sono conservate solo per il tempo necessario a un ripristino.
I registri tecnici della base di dati (registro degli errori del servizio) sono ruotati in breve tempo e di regola non contengono i contenuti delle basi di dati dei clienti.
Il trasporto della posta avviene tramite Exim. Il server riceve i messaggi per i domini ospitati, li consegna in locale o li inoltra, e invia i messaggi in uscita dalle applicazioni o dalle caselle ospitate.
Sono trattati i dati necessari alla consegna: indirizzi del mittente e del destinatario, metadati del messaggio (momento, dimensione, stato di consegna, server coinvolti) e il contenuto, finché il messaggio è in coda o nella casella. Il contenuto delle caselle è dato di contenuto del rispettivo committente ed è memorizzato solo per suo conto.
Le finalità sono la consegna del messaggio, la ricerca degli errori e la protezione del server di posta dagli abusi, in particolare dall’invio non autorizzato. La base giuridica dell’esercizio tecnico è l’art. 6, paragrafo 1, lettera f), del Regolamento (UE) 2016/679; per il contenuto delle caselle, l’istruzione del committente ai sensi dell’art. 28 del Regolamento (UE) 2016/679, sul fondamento del suo contratto, ai sensi dell’art. 6, paragrafo 1, lettera b), del Regolamento. Il contenuto dei messaggi è coperto dal segreto della corrispondenza di cui all’art. 15 della Costituzione. Prendere conoscenza, sopprimere o interrompere illecitamente comunicazioni elettroniche è punito dagli artt. 616 e 617-quater del codice penale.
L’art. 123, comma 2, e l’art. 132 del Codice impongono termini più lunghi solo ai fornitori di un servizio di comunicazione elettronica accessibile al pubblico: fino a sei mesi per i dati di traffico a fini di fatturazione, dodici mesi per i dati di traffico telematico a fini di accertamento e repressione dei reati. Su questo server non è esercitato un tale servizio pubblico di comunicazione. I registri di posta di Exim sono perciò conservati, secondo la rotazione di sistema, di regola per quattro settimane e poi cancellati. I messaggi in coda restano fino alla consegna o al rinvio come non recapitabili. Le caselle restano finché il committente le svuota o finché termina l’incarico di hosting.
Il server è in housing presso STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlino. STRATO fornisce il servizio di centro di calcolo e il collegamento di rete. Il software sul server (nginx, PHP, basi di dati, Exim) è amministrato da Thomas Stadler. Il trattamento dei dati dei siti e della posta avviene su questo server, indirizzi IP 85.214.126.69 e 93.90.204.165, numero cliente STRATO 62307754.
STRATO tratta i dati personali necessari all’housing e all’esercizio dell’infrastruttura in qualità di responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679. L’accordo di trattamento, versione 3.6, è stato concluso il 23 settembre 2026. Il testo è riportato nella sezione 14. Il testo depositato presso STRATO è disponibile come STRATO-AVV.pdf.
Per il prodotto server, secondo la descrizione del servizio di STRATO, il trattamento dei dati sulla piattaforma stessa è effettuato in autonomia e sotto la propria responsabilità dal cliente. STRATO tratta i dati di contenuto memorizzati sul server e le informazioni di account necessarie al servizio (in particolare indirizzi IP e nomi utente) nel quadro di questo accordo.
Ulteriori destinatari sono solo i sub-responsabili indicati nell’accordo, e solo nella misura in cui STRATO li impiega per il servizio effettivamente acquistato. Il costruttore di homepage, il software per negozi, HiDrive, l’archiviazione della posta, Plesk e prodotti STRATO analoghi non fanno parte dell’esercizio qui descritto. L’elenco generale dei subfornitori è comunque parte dell’accordo ed è riprodotto per intero più sotto.
Non vi è comunicazione per finalità pubblicitarie. Una comunicazione a un’autorità avviene se è prescritta dalla legge, ai sensi dell’art. 6, paragrafo 1, lettera c), del Regolamento (UE) 2016/679.
L’housing e il trattamento su questo server avvengono in un centro di calcolo in Germania, dunque nell’Unione europea.
L’accordo con STRATO prevede che il trattamento abbia luogo in uno Stato membro dell’Unione europea o in un altro Stato parte dell’accordo sullo Spazio economico europeo, salvo che l’erogazione del servizio richieda un trasferimento verso un paese terzo. In tal caso STRATO deve assicurare che siano soddisfatte le condizioni degli artt. 44 e seguenti del Regolamento (UE) 2016/679. Nell’elenco dei subfornitori, per singoli servizi qui non usati come prodotto, sono indicate clausole tipo dell’UE ai sensi dell’art. 46, paragrafo 2, lettera c), del Regolamento (UE) 2016/679 (Svizzera, Singapore, Stati Uniti). Per l’esercizio di questo server un tale trasferimento verso paesi terzi non è previsto.
| Dati | Durata |
|---|---|
| Registri di accesso e di errore di nginx | circa 10 giorni (rotazione giornaliera, 10 generazioni) |
| Registri di posta di Exim | di regola 4 settimane |
| Registri di PHP-FPM | alcune settimane, secondo la rotazione di sistema |
| Sessioni PHP | fino alla scadenza della sessione della singola applicazione |
| Contenuti web e delle basi di dati, caselle di posta | per la durata dell’incarico di hosting e secondo le istruzioni del gestore del sito; cancellazione alla fine del contratto, salvo obbligo di conservazione |
| Copie di sicurezza | solo per il tempo necessario a un ripristino |
| Dati presso STRATO relativi al contratto server | secondo la descrizione del servizio per i prodotti server: al più tardi 7 giorni dopo una disdetta della funzione o del contratto confermata online dal cliente, al più tardi 30 giorni per le altre disdette; dati di diagnosi 7 giorni dopo la raccolta |
Nei confronti del titolare, se ne ricorrono i presupposti di legge, avete diritto di:
Se vi opponete ai registri tecnici, verifichiamo se motivi legittimi cogenti richiedano la breve conservazione ulteriore, per esempio per respingere un attacco in corso. Per i dati di contenuto di un sito il destinatario corretto è il gestore del sito, perché decide finalità e cancellazione. sthot-systems lo assiste nel quadro del trattamento per conto.
Un consenso prestato può essere revocato per il futuro ai sensi dell’art. 7, paragrafo 3, del Regolamento (UE) 2016/679. Il trattamento tecnico descritto su questo server non si fonda sul consenso. Per una memorizzazione sul dispositivo che ecceda quanto strettamente necessario, il consenso di cui all’art. 122, comma 1, del Codice spetta al rispettivo gestore del sito.
Non ha luogo un processo decisionale automatizzato, compresa la profilazione, di cui all’art. 22 del Regolamento (UE) 2016/679.
Avete il diritto di proporre reclamo a un’autorità di controllo ai sensi dell’art. 77 del Regolamento (UE) 2016/679. In Italia questo diritto si esercita con reclamo al Garante ai sensi degli artt. 140-bis e 141 del Codice; forma e contenuto del reclamo sono disciplinati dall’art. 142 del Codice. La tutela giurisdizionale resta aperta ai sensi dell’art. 79 del Regolamento (UE) 2016/679 e dell’art. 140-bis del Codice. Per il gestore del server stabilito in Italia è competente:
Garante per la protezione dei dati personaliPotete rivolgervi anche all’autorità di controllo del luogo in cui vi trovate.
Il gestore del server adotta, nel proprio ambito, le misure di cui all’art. 32 del Regolamento (UE) 2016/679 adeguate al rischio. Dal decreto legislativo n. 101/2018 il Codice non contiene più un proprio catalogo di misure minime di sicurezza; resta decisivo l’art. 32 del Regolamento. Tra le misure vi sono la separazione dei siti, accessi di amministrazione limitati, erogazione cifrata tramite HTTPS ove il sito sia così raggiungibile, software di sistema aggiornato e conservazione limitata dei registri.
STRATO adotta le misure nel proprio ambito di responsabilità, dunque per centro di calcolo, hardware e collegamento di rete. La descrizione di queste misure è pubblicata da STRATO all’indirizzo https://www.strato.de/agb/tom/. Secondo l’accordo si tratta di una descrizione di carattere tecnico, che non è parte del contratto. STRATO è certificata ISO 27001; il certificato aggiornato è messo a disposizione da STRATO sul proprio sito.
Una trasmissione su Internet non può essere protetta in modo assoluto da ogni accesso di terzi. Ciò vale in particolare per la posta elettronica, che nel percorso tra due server può avere tratti non cifrati.
Di seguito è riprodotto l’accordo di trattamento concluso da Thomas Stadler, quale titolare committente, con STRATO GmbH, quale responsabile del trattamento. Fa fede il testo depositato presso STRATO: STRATO-AVV.pdf. La riproduzione serve alla trasparenza verso i gestori dei siti ospitati e verso gli interessati. Il testo che segue è la traduzione dell’accordo redatto in tedesco.
Il regolamento generale sulla protezione dei dati (DSGVO) citato nell’accordo è il Regolamento (UE) 2016/679. Esso si applica direttamente al committente stabilito in Italia, insieme al Codice. L’accordo stesso, ai sensi del suo punto 12.4, è soggetto al diritto della Repubblica federale di Germania, perché il responsabile ha sede a Berlino. Gli obblighi di segreto tedeschi del responsabile indicati al punto 5.4 (§ 3 TDDSG, § 203 StGB) corrispondono, dal lato del committente italiano, al segreto della corrispondenza di cui all’art. 15 della Costituzione, alle norme penali degli artt. 616 e 617-quater del codice penale e al segreto professionale di cui all’art. 622 del codice penale.
Accordo di trattamento
ai sensi dell’art. 28, paragrafo 3, del Regolamento (UE) 2016/679.
Versione 3.6
Numero cliente 62307754
Concluso il 23 settembre 2026.
tra
Thomas Stadlerquale committente – di seguito committente –
e
STRATO GmbHquale responsabile del trattamento – di seguito responsabile –
1.1. Oggetto dell’accordo sono i diritti e gli obblighi delle parti nell’esecuzione del servizio secondo la descrizione del servizio e le condizioni generali (di seguito contratto principale), nella misura in cui STRATO GmbH (di seguito responsabile) tratta dati personali quale responsabile del trattamento per il cliente quale titolare (di seguito committente) ai sensi dell’art. 28 del Regolamento (UE) 2016/679. Ciò comprende tutte le attività che il responsabile svolge per eseguire l’incarico e che costituiscono un trattamento per conto. Ciò vale anche se l’incarico non rinvia espressamente a questo accordo.
1.2. La durata del trattamento segue il trattamento effettivo dei dati personali del committente da parte del responsabile.
2.1. La natura del trattamento comprende tutti i tipi di trattamento ai sensi del Regolamento (UE) 2016/679 necessari all’esecuzione dell’incarico.
2.2. Le finalità del trattamento sono tutte quelle necessarie a erogare il servizio convenuto (si veda anche l’allegato 1, descrizione del servizio), in particolare nei settori dei servizi cloud, dell’hosting, del software come servizio (SaaS) e del supporto informatico.
3.1. Il tipo di dati trattati è determinato dal committente mediante la scelta del prodotto, la configurazione, l’uso dei servizi e la trasmissione di dati. Si veda anche la descrizione del servizio nell’allegato 1.
3.2. Le categorie di interessati sono determinate dal committente mediante la scelta del prodotto, la configurazione, l’uso dei servizi e la trasmissione di dati. Si veda anche la descrizione del servizio nell’allegato 1.
4.1. Nell’ambito di questo contratto il committente è il solo responsabile del rispetto delle norme sulla protezione dei dati, in particolare della liceità della comunicazione dei dati al responsabile e della liceità del trattamento («titolare» ai sensi dell’art. 4, numero 7, del Regolamento (UE) 2016/679). Ciò vale anche per le finalità e i mezzi del trattamento disciplinati da questo accordo.
4.2. Le istruzioni sono fissate inizialmente dal contratto principale e possono essere modificate dal committente, in forma scritta o in formato elettronico (forma testuale), mediante singole istruzioni. Le istruzioni orali vanno confermate senza indugio per iscritto o in forma testuale. In caso di proposte di modifica il responsabile comunica al committente gli effetti sui servizi convenuti, in particolare sulla possibilità di erogarli, sui termini e sul corrispettivo. Se l’attuazione dell’istruzione non è ragionevolmente esigibile, il responsabile può cessare il trattamento e recedere straordinariamente dal contratto. L’obbligo di pagamento del committente cessa con la sospensione del servizio da parte del responsabile. L’inesigibilità ricorre in particolare se i servizi sono erogati su un’infrastruttura usata da più committenti o clienti del responsabile (servizi condivisi) e una modifica del trattamento per singoli committenti non è possibile o non è ragionevolmente esigibile.
4.3. Il trattamento convenuto ha luogo in uno Stato membro dell’Unione europea o in un altro Stato parte dell’accordo sullo Spazio economico europeo, salvo che l’erogazione del servizio richieda un trasferimento verso paesi terzi. In tal caso il responsabile assicura che siano soddisfatte le condizioni degli artt. 44 e seguenti del Regolamento (UE) 2016/679.
5.1. Il responsabile può trattare dati di interessati solo sulla base di istruzioni documentate del committente. Le istruzioni sono fissate all’inizio dal contratto. Non vi è vincolo di istruzione se ricorre un’eccezione ai sensi dell’art. 28, paragrafo 3, lettera a), del Regolamento (UE) 2016/679 (obbligo previsto dal diritto dell’Unione europea o di uno Stato membro). Ciò riguarda anche i trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali. Se un trattamento è obbligatorio in contrasto con un’istruzione, il responsabile informa il committente, prima del trattamento, del relativo obbligo giuridico, a meno che il diritto lo vieti per un importante motivo di interesse pubblico. Il responsabile informa senza indugio il committente se ritiene che un’istruzione violi la legge applicabile. Il responsabile può sospendere l’attuazione dell’istruzione finché il committente non la conferma o la modifica. Le istruzioni sono documentate dal committente e conservate almeno per la durata del rapporto contrattuale.
5.2. Il responsabile assiste, per quanto possibile e tenuto conto della natura del trattamento, il committente con misure tecniche e organizzative adeguate nell’adempimento dei diritti degli interessati di cui al capo III del Regolamento (UE) 2016/679. Il responsabile può chiedere un compenso adeguato, se l’assistenza non è dovuta a una violazione di legge o di contratto del responsabile. Il responsabile comunica in anticipo al committente l’informazione sui costi.
5.3. Il responsabile assiste il committente, tenuto conto della natura del trattamento e delle informazioni a sua disposizione, nell’osservanza degli obblighi di cui agli articoli da 32 a 36 del Regolamento (UE) 2016/679. Il responsabile può chiedere un compenso adeguato, se l’assistenza non è dovuta a una violazione di legge o di contratto del responsabile. Il responsabile comunica in anticipo al committente l’informazione sui costi.
5.4. Il responsabile garantisce che ai dipendenti e alle altre persone che trattano i dati del committente per suo conto sia vietato trattare i dati al di fuori dell’istruzione. Garantisce inoltre che le persone autorizzate a trattare i dati personali si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di segreto. Lo stesso vale per il segreto sociale, per il segreto delle telecomunicazioni di cui al § 3 TDDSG e, nella consapevolezza della rilevanza penale, per la tutela dei segreti dei titolari di segreti professionali di cui al § 203 StGB. L’obbligo di riservatezza e di segreto permane anche dopo la fine dell’incarico.
5.5. Il responsabile informa senza indugio il committente se viene a conoscenza di violazioni della protezione dei dati personali del committente. Adotta le misure necessarie a mettere in sicurezza i dati e a ridurre le possibili conseguenze negative per gli interessati.
5.6. Il responsabile garantisce la designazione scritta di un responsabile della protezione dei dati, che svolge l’incarico ai sensi degli artt. 38 e 39 del Regolamento (UE) 2016/679. Un recapito è pubblicato sul sito del responsabile.
5.7. Al termine dell’erogazione dei servizi di trattamento il responsabile, a scelta del committente, cancella tutti i dati personali oppure li restituisce al committente, salvo che il diritto dell’Unione o dello Stato membro applicabile ne imponga la conservazione. Se il committente non esercita questa scelta, si conviene la cancellazione. Se il committente sceglie la restituzione, il responsabile può chiedere un compenso adeguato. Il responsabile comunica in anticipo al committente l’informazione sui costi.
5.8. Se gli interessati fanno valere pretese di risarcimento ai sensi dell’art. 82 del Regolamento (UE) 2016/679, il responsabile assiste il committente nella difesa, nei limiti delle sue possibilità. Il responsabile può chiedere un compenso adeguato se le pretese non dipendono da una violazione di legge o di contratto del responsabile.
6.1. Il committente informa senza indugio e in modo completo il responsabile se, nell’esecuzione dell’incarico, constata errori o irregolarità rispetto alle norme sulla protezione dei dati.
6.2. In caso di cessazione il committente si impegna a cancellare, prima della fine del contratto, i dati personali che ha memorizzato nei servizi.
6.3. Su richiesta del responsabile il committente designa un referente per le questioni di protezione dei dati.
Il responsabile informa senza indugio il committente di ogni richiesta ricevuta dall’interessato. Non risponde egli stesso, salvo che il committente lo abbia autorizzato. Tenuto conto della natura del trattamento, assiste il committente nell’obbligo di rispondere alle richieste di esercizio dei diritti. Nell’adempimento segue le istruzioni del committente. Il responsabile non risponde se la richiesta dell’interessato non è evasa dal committente, o non lo è in modo corretto o tempestivo.
8.1. Il responsabile adotta, nel proprio ambito, misure tecniche e organizzative adeguate affinché il trattamento sia conforme al Regolamento (UE) 2016/679 e sia tutelata la protezione dei diritti e delle libertà dell’interessato. Il committente adotta, nel proprio ambito, ai sensi dell’art. 32 del Regolamento (UE) 2016/679, misure tecniche e organizzative adeguate per assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento.
8.2. Le misure tecniche e organizzative attuali del responsabile sono consultabili al seguente indirizzo: https://www.strato.de/agb/tom/. Il responsabile precisa che le misure indicate a quel link sono mere descrizioni di carattere tecnico e non costituiscono parte di questo accordo.
8.3. Il responsabile applica una procedura di verifica regolare dell’efficacia delle misure tecniche e organizzative per la sicurezza del trattamento ai sensi dell’art. 32, paragrafo 1, lettera d), del Regolamento (UE) 2016/679.
8.4. Il responsabile adegua nel tempo le misure allo stato della tecnica e alla situazione di rischio. La modifica delle misure resta riservata al responsabile, purché non sia ridotto il livello di protezione di cui all’art. 32 del Regolamento (UE) 2016/679.
9.1. Il responsabile mette a disposizione del committente tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all’art. 28 del Regolamento (UE) 2016/679 e consente, nel singolo caso, verifiche, comprese ispezioni, svolte dal committente o da un altro revisore da lui incaricato. Il responsabile può esigere una dichiarazione di riservatezza dal committente e dal revisore incaricato, senza che ciò impedisca al committente di fornire prova all’autorità di controllo competente. Il responsabile può rifiutare come revisori i concorrenti diretti del committente o persone che operano per loro.
9.2. Di regola, a dimostrazione del rispetto degli obblighi di cui all’art. 28 del Regolamento (UE) 2016/679, al committente è sufficiente la certificazione ISO 27001. Il certificato aggiornato è messo a disposizione dal responsabile sul proprio sito.
9.3. Se, sulla base di indizi concreti, il committente fa valere dubbi fondati sul fatto che tali certificazioni siano sufficienti o esatte, oppure se lo giustificano incidenti particolari ai sensi dell’art. 33, paragrafo 1, del Regolamento (UE) 2016/679 connessi al trattamento per conto del committente, egli può svolgere controlli in loco. Essi possono aver luogo negli orari abituali di lavoro, senza disturbare in modo eccessivo l’attività, di regola previo avviso, salvo che un controllo senza preavviso sia necessario perché altrimenti lo scopo del controllo sarebbe compromesso. Il diritto di ispezione mira a verificare il rispetto degli obblighi del responsabile secondo il Regolamento e questo contratto. Il responsabile collabora attivamente allo svolgimento del controllo.
9.4. Per informazioni e attività di assistenza il responsabile può chiedere un compenso adeguato, se il controllo non è stato reso necessario da una violazione di legge o di contratto del responsabile. Il responsabile comunica in anticipo al committente l’informazione sui costi.
10.1. Il committente concede al responsabile l’autorizzazione generale a ricorrere ad altri responsabili del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 per l’esecuzione del contratto.
10.2. Gli altri responsabili attualmente impiegati sono elencati nell’allegato 2. Il committente acconsente al loro impiego.
10.3. Il responsabile informa il committente se intende modificare l’aggiunta o la sostituzione di altri responsabili. Il committente può opporsi a tali modifiche.
10.4. L’opposizione alla modifica prevista può essere sollevata solo per un motivo oggettivo, entro 14 giorni dal ricevimento dell’informazione, nei confronti del responsabile. In caso di opposizione il responsabile può, a sua scelta, erogare il servizio senza la modifica prevista oppure, se l’erogazione senza la modifica non gli è ragionevolmente esigibile, cessare nei confronti del committente il servizio interessato entro un termine adeguato (almeno 14 giorni) dal ricevimento dell’opposizione. Dal momento della cessazione cessa l’obbligo di pagamento del committente.
10.5. Se il responsabile affida incarichi ad altri responsabili, trasferisce a questi gli obblighi di protezione dei dati derivanti dal presente contratto. Mediante verifiche regolari il responsabile si accerta in particolare che gli altri responsabili rispettino le misure tecniche e organizzative.
11.1. Se un interessato fa valere una pretesa di risarcimento ai sensi dell’art. 82 del Regolamento (UE) 2016/679, le parti si impegnano ad assistersi reciprocamente e a contribuire all’accertamento dei fatti.
11.2. La disciplina della responsabilità convenuta nel contratto principale per l’erogazione del servizio si applica anche alle pretese derivanti da questo accordo e, nel rapporto interno tra le parti, alle pretese di terzi ai sensi dell’art. 82 del Regolamento (UE) 2016/679, salvo diverso accordo espresso.
12.1. L’accordo inizia con la conclusione da parte del committente. Termina con la fine dell’ultimo contratto sotto il rispettivo numero cliente. Se un trattamento per conto continua dopo la fine di questo contratto, le regole dell’accordo restano in vigore fino alla fine effettiva del trattamento.
12.2. Il responsabile può modificare l’accordo secondo equo apprezzamento, con un preavviso adeguato. Si riserva in particolare di modificare unilateralmente il presente accordo se intervengono modifiche giuridiche rilevanti che lo riguardano. Il responsabile informa separatamente il committente sul significato della modifica prevista e gli concede un termine adeguato per opporsi. Nell’avviso di modifica indica che la modifica diventa efficace se il committente non si oppone entro il termine. In caso di opposizione del committente, il responsabile ha un diritto di recesso straordinario.
12.3. Il committente riconosce questo accordo come parte delle condizioni generali https://www.strato.de/agb/ relative ai prodotti da lui acquistati. In caso di contrasto, le disposizioni di questo accordo prevalgono su quelle del contratto principale. L’invalidità di singole parti non pregiudica la validità del resto dell’accordo.
12.4. Foro esclusivo per tutte le controversie derivanti da questo contratto o connesse ad esso è la sede del responsabile. Ciò vale con riserva di un eventuale foro esclusivo di legge. Questo contratto è soggetto alle disposizioni di legge della Repubblica federale di Germania.
12.5. Se i dati del committente presso il responsabile sono messi in pericolo da pignoramento o sequestro, da una procedura di insolvenza o concordato o da altri eventi o provvedimenti di terzi, il responsabile ne informa senza indugio il committente. Il responsabile informa senza indugio tutti i responsabili coinvolti che la signoria e la proprietà dei dati spettano esclusivamente al committente quale «titolare» ai sensi del Regolamento (UE) 2016/679.
È riprodotta la descrizione del servizio contenuta nell’accordo. Per questo server è decisiva la descrizione dei prodotti server. Gli altri prodotti rilevano solo se sono effettivamente acquistati sotto il numero cliente.
Descrizione del servizio: Se ordinate un dominio, ci occupiamo del collegamento e della registrazione del dominio presso il registro competente. Fanno parte del contratto anche il mantenimento della registrazione, i trasferimenti di dominio e la disdetta. Lo stesso vale per i certificati SSL basati sui vostri domini.
Finalità del trattamento: registrazione, trasferimento, configurazione e gestione del nome a dominio.
Tipo di dati personali: nome a dominio e dati di contatto (nome, indirizzo, e-mail, numero di telefono, eventualmente società).
Categorie di interessati: clienti.
Termini di cancellazione: le modifiche del dominio sono conservate per 12 mesi. Per il resto, la durata del trattamento corrisponde alla durata convenuta nel contratto. I dati soggetti a obbligo di conservazione sono conservati fino a 10 anni dopo la fine del contratto.
Descrizione del servizio: Se disponete di un prodotto di posta, potete creare indirizzi e-mail per i vostri domini e gestire e usare i relativi servizi. Su vostro incarico creiamo una casella alla quale potete accedere con il webmail STRATO e con client di posta. Secondo l’ampiezza del servizio e l’incarico eseguiamo inoltri, notifiche, risposte automatiche, liste di distribuzione e protezione antivirus. Fa parte del prodotto anche un filtro antispam configurabile. Secondo il servizio acquistato potete gestire contatti, appuntamenti e attività nel webmail STRATO. Potete inoltre acquistare l’archiviazione della posta e conservare così i messaggi in modo conforme alle esigenze di revisione.
Finalità del trattamento: erogazione di servizi di posta (ricezione, invio, conservazione e archiviazione), compresi creazione, configurazione e cancellazione di indirizzi e-mail e gestione di contatti, appuntamenti e attività.
Tipo di dati personali: messaggi, contatti, appuntamenti, attività, dominio e file di registro.
Categorie di interessati: clienti, collaboratori del cliente, contatti del cliente.
Termini di cancellazione: servizi di posta al massimo 30 giorni dopo la fine della durata contrattuale. File di registro al massimo 6 mesi dalla creazione. Archiviazione della posta 60 giorni dopo la fine del contratto.
Descrizione del servizio: I nostri archivi cloud consentono di memorizzare i dati nel nostro centro di calcolo, in modo da accedervi da ogni luogo e in ogni momento. A seconda del pacchetto potete, per esempio, creare più utenti o effettuare altre configurazioni. Potete inoltre concedere condivisioni e gestirle.
Finalità del trattamento: messa a disposizione di una soluzione di archiviazione online.
Tipo di dati personali: dati che memorizzate nel cloud, file di registro.
Categorie di interessati: clienti, collaboratori del cliente, utenti.
Termine di cancellazione: fino a due mesi dopo la fine del contratto, se il cliente non cancella prima in autonomia. I file di registro sono conservati al massimo 12 mesi.
Descrizione del servizio: Base dei prodotti di hosting è lo spazio sul quale può essere pubblicato un sito. Questo spazio è da noi tenuto e collegato a Internet. A seconda del prodotto o dell’ampiezza del servizio sono disponibili in particolare: servizi per installare e far funzionare software esterni (per esempio WordPress); basi di dati e accessi amministrativi; editor di homepage per creare un sito mediante modelli e moduli; servizi per collegare il sito (per esempio IP, dominio, certificati SSL). Estensioni funzionali: SiteLock Scan contribuisce a tenere lo spazio libero da software dannoso, analizzando il sito e informando in caso di ritrovamento. Web Analytics supporta la valutazione statistica del traffico dei visitatori.
Finalità del trattamento: messa a disposizione dello spazio web per la pubblicazione su Internet; messa a disposizione di strumenti e servizi per creare e gestire siti.
Tipo di dati personali: dati di contenuto del sito, dominio, file di registro.
Categorie di interessati: collaboratori dei clienti, visitatori del sito.
Termini di cancellazione: i file di registro sui visitatori del sito sono conservati al massimo 7 giorni. I dati di contenuto sono cancellati entro 2 mesi dalla fine del contratto. Gli altri dati di registro sono cancellati dopo al massimo 12 mesi.
Descrizione del servizio: Con un negozio STRATO potete allestire un negozio online e vendere le vostre merci. Mettiamo a disposizione un software SaaS con le funzioni necessarie a gestire un negozio dentro un sito o anche tramite diversi canali di social media. Spetta a voi, quali gestori del negozio, riempirlo con i vostri contenuti, per esempio la scelta delle modalità di spedizione e pagamento. Alla soluzione possono essere aggiunte ulteriori funzioni di partner esterni. Se volete usarle, esse richiedono contratti propri direttamente tra voi e i rispettivi partner; non fanno parte di questo prodotto.
Finalità del trattamento: web hosting, messa a disposizione dell’infrastruttura del negozio.
Tipo di dati trattati: dati anagrafici del negozio (per esempio dati di prodotto, prezzi, impostazioni generali), ulteriori dati nella misura necessaria all’esecuzione delle vendite (dati di indirizzo e dei clienti, informazioni di spedizione e pagamento, giacenze, ordini e simili), file di registro.
Categorie di interessati: gestore del negozio, clienti del negozio e visitatori del sito.
Termini di cancellazione: registri e dati statistici sono conservati per un anno. Ulteriori dati, per esempio i dati anagrafici, sono conservati senza limite per i contratti non cancellati. I dati dei contratti disdetti sono cancellati dopo 60 giorni.
Descrizione del servizio: I prodotti di marketing online come marketingRadar, rankingCoach, listingCoach o adCoach possono sostenere il cliente nel successo commerciale. A seconda del prodotto, i contatti aziendali sono pubblicati in elenchi di settore e su altre piattaforme, i risultati di ricerca su Google sono ottimizzati, è attivata pubblicità su Google o sono inviate newsletter. Ciascuna applicazione sostiene, nel proprio contesto, vendita, avvio di contatti commerciali e trasmissione di informazioni, e contribuisce così a portata, notorietà e fidelizzazione.
Finalità del trattamento: aumento della portata e della notorietà, inserimento di pubblicità, pubblicazione di dati aziendali, invio di newsletter, ottimizzazione per i risultati dei motori di ricerca.
Tipo di dati trattati: dati aziendali, dati di contatto, dati di contenuto, dati di utilizzo.
Categorie di interessati: collaboratori, clienti, visitatori del sito.
Termini di cancellazione: i dati dei clienti sono cancellati dai sistemi 30 giorni dopo la disdetta; anche il partner di prodotto cancella tutti i dati 30 giorni dopo la disdetta.
Descrizione del servizio: Potete ordinare diversi prodotti server. A seconda del prodotto mettiamo a disposizione server ospitati su hardware proprio a uso individuale (server dedicati) oppure in un ambiente virtualizzato, uno spazio solo condiviso (server virtuali). Allestimento, amministrazione, esercizio e copie di sicurezza sono da noi supportati con processi e strumenti automatizzati. Il trattamento dei dati sulla piattaforma stessa è effettuato in autonomia e sotto la propria responsabilità da voi quali clienti.
Finalità del trattamento: messa a disposizione ed esercizio dell’infrastruttura server.
Tipo di dati trattati: dati di contenuto che memorizzate sul server; informazioni di account utente (indirizzi IP, indirizzi MAC, nomi utente).
Categorie di interessati: clienti, utenti.
Termini di cancellazione: le informazioni di account necessarie all’erogazione del servizio e i dati dei clienti memorizzati sul server sono cancellati al più tardi entro sette giorni in caso di disdetta della funzione o del contratto confermata online dal cliente, e al più tardi entro 30 giorni per tutte le altre disdette del contratto. Le informazioni di account raccolte per la diagnosi degli errori sono cancellate 7 giorni dopo la raccolta.
Stato dell’elenco: 18 marzo 2024.
| Subfornitore | Indirizzo | Descrizione breve del servizio | Garanzie in caso di trasferimento verso paesi terzi |
|---|---|---|---|
| we22 Solutions GmbH | Otto-Ostrowski-Straße 7, 10249 Berlino | Servizio di design homepage STRATO; sviluppo, manutenzione e cura del costruttore di homepage | – |
| ePages GmbH | Pilatuspool 2, 20355 Amburgo | Sviluppo, manutenzione e cura del software per negozi online | – |
| Ionos SE | Elgendorfer Straße 7, 56410 Montabaur | Messa a disposizione, esercizio e manutenzione di prodotti, in particolare esercizio, manutenzione e cura dell’aggiornatore automatico per app (Installatron); messa a disposizione dell’ambiente fisico per l’esercizio dell’archiviazione di posta STRATO (Dropsuite Ltd.); esercizio della piattaforma e messa a disposizione di server dedicati e virtuali nonché di soluzioni cloud | – |
| Dropsuite Ltd. | PTE, Ltd. 01-12 Block 71, Ayer Rajah Crescent, Singapore 139951, Singapore | Sviluppo, manutenzione, cura ed esercizio del software di archiviazione della posta STRATO | Clausole tipo dell’UE ai sensi dell’art. 46, par. 2, lett. c), del Regolamento (UE) 2016/679 |
| Virtuozzo International GmbH | Vordergasse 59, 8200 Sciaffusa, Svizzera | Software di virtualizzazione per server virtuali, compreso il supporto | Clausole tipo dell’UE ai sensi dell’art. 46, par. 2, lett. c), del Regolamento (UE) 2016/679 |
| rankingCoach GmbH | c/o wework, Friesenplatz 4, 50672 Colonia | Applicazioni per migliorare la visibilità di un sito nei motori di ricerca | – |
| Hewlett-Packard GmbH | Herrenberger Straße 140, 710 Böblingen | Supporto per una piattaforma di server virtuali | – |
| Acronis Germany GmbH | Landsberger Straße 105, 80339 Monaco di Baviera | Esercizio e supporto del prodotto di backup | – |
| SiteLock, LLC | 8701 East Hartford Drive, Suite 200, Scottsdale, AZ 85255, USA | Rilevamento e rimozione di malware | Clausole tipo dell’UE ai sensi dell’art. 46, par. 2, lett. c), del Regolamento (UE) 2016/679 |
| Eleven GmbH | Heidestraße 10, 10557 Berlino | Filtro antispam per la posta elettronica | – |
| Plesk International GmbH | Vordergasse 59, 8200 Sciaffusa, Svizzera | Messa a disposizione del software di amministrazione server Plesk | Clausole tipo dell’UE ai sensi dell’art. 46, par. 2, lett. c), del Regolamento (UE) 2016/679 |
| ServerGuard24 GmbH | Fritz-Schäffer-Straße 1, 53113 Bonn | Esercizio di un servizio di monitoraggio per server dedicati e virtuali | – |
| Open-Xchange GmbH | Olper Hütte 5f, 57462 Olpe | Uso di OX App Suite e di caselle OX Premium | – |
Aggiornamento di questa informativa: 23 settembre 2026.