Accordo sul trattamento dei dati

Ultimo aggiornamento: 11 febbraio 2026

Il presente Accordo sul trattamento dei dati ("DPA") costituisce parte integrante dell'accordo tra Surface Layer Limited (Company No. 17396632), che opera con il nome commerciale supportpages.io ("Responsabile del trattamento", "noi"), con sede legale in 128 City Road, London, United Kingdom, EC1V 2NX, e il soggetto che accetta i presenti termini ("Titolare del trattamento", "Cliente", "Lei") per l'utilizzo dei servizi supportpages.io.

Il presente DPA recepisce i requisiti del Regolamento generale sulla protezione dei dati dell'UE (GDPR), in particolare dell'articolo 28.

1. Definizioni

Dati personali: qualsiasi informazione riguardante una persona fisica identificata o identificabile.

Trattamento: qualsiasi operazione compiuta su dati personali, compresi la raccolta, la conservazione, l'uso, la comunicazione e la cancellazione.

Titolare del trattamento: il soggetto che determina le finalità e i mezzi del trattamento dei dati personali. Ossia Lei.

Responsabile del trattamento: il soggetto che tratta dati personali per conto del titolare del trattamento. Ossia noi.

Sub-responsabile del trattamento: qualsiasi terzo da noi incaricato di trattare dati personali per Suo conto.

Interessato: la persona fisica i cui dati personali sono oggetto di trattamento.

2. Ambito e finalità

2.1 Ambito di applicazione

Il presente DPA si applica ai dati personali che trattiamo per Suo conto quando Lei utilizza supportpages.io per:
- Analizzare repository di codice
- Generare documentazione
- Ospitare la documentazione pubblicata

2.2 Ruoli

Lei è il Titolare del trattamento dei dati personali contenuti nei Suoi repository e nei contenuti generati
Noi siamo il Responsabile del trattamento e agiamo secondo le Sue istruzioni per fornire il servizio

2.3 Finalità del trattamento

Trattiamo i dati personali esclusivamente per fornire i servizi supportpages.io, come descritto nei nostri Termini di servizio. Non trattiamo i Suoi dati per finalità nostre.

3. Categorie di dati

Possiamo trattare per Suo conto le seguenti categorie di dati personali:

Categoria	Esempi	Fonte
Identificativi degli sviluppatori	Nomi, indirizzi email nel codice/nei commit	I Suoi repository
Metadati dei commit	Nomi degli autori, messaggi di commit	Webhook di GitHub
Contenuto della documentazione	Qualsiasi dato personale nella documentazione generata	Generato dall'AI a partire dal Suo codice

Nota: I dati personali effettivamente trattati dipendono da ciò che è contenuto nei Suoi repository. Non controlliamo quali dati Lei inserisce nel Suo codice.

4. Istruzioni per il trattamento

4.1 Le Sue istruzioni

Trattiamo i dati personali esclusivamente secondo le Sue istruzioni documentate, che comprendono:
- I Termini di servizio da Lei accettati
- Le scelte di configurazione che Lei effettua nel servizio
- Le richieste specifiche che Lei ci rivolge tramite l'assistenza

4.2 Notifica

Qualora ritenessimo che un'istruzione violi il GDPR o altre normative in materia di protezione dei dati, La informeremo prima di procedere al trattamento (salvo che ciò sia vietato dalla legge).

4.3 Nessun altro trattamento

Non tratteremo i Suoi dati personali per finalità diverse dalla fornitura del servizio, salvo che:
- Ciò sia richiesto dalla legge (e in tal caso La informeremo, ove consentito)
- Lei ci fornisca istruzioni aggiuntive

5. Misure di sicurezza

Adottiamo misure tecniche e organizzative adeguate a proteggere i dati personali:

5.1 Misure tecniche

Crittografia in transito: TLS 1.2+ per tutte le connessioni
Crittografia a riposo: Crittografia del database
Controlli di accesso: Accesso basato sui ruoli, autenticazione obbligatoria
Infrastruttura: Server nell'UE (Hetzner, Finlandia)

5.2 Misure organizzative

Accesso del personale: Limitato a chi ne ha necessità
Riservatezza: Personale vincolato da obblighi di riservatezza
Formazione: Sensibilizzazione alla sicurezza per i membri del team

5.3 Gestione del codice

Il codice viene trattato in ambienti isolati ed effimeri
Gli ambienti vengono distrutti dopo ogni analisi
Il Suo codice sorgente non viene mai conservato nel nostro database
Viene conservata solo la documentazione generata

Per maggiori dettagli consulti la nostra Panoramica sulla sicurezza.

6. Sub-responsabili del trattamento

6.1 Sub-responsabili attuali

Ci avvaliamo dei seguenti sub-responsabili del trattamento:

Sub-responsabile	Finalità	Ubicazione
Anthropic	Analisi tramite AI	USA
GitHub	Accesso al codice, webhook	USA
Hetzner	Infrastruttura di hosting	Finlandia (UE)
Cloudflare	DNS, domini personalizzati	Globale
Rollbar	Monitoraggio degli errori	USA

Per l'elenco aggiornato consulti il nostro Elenco dei sub-responsabili del trattamento.

6.2 Modifiche ai sub-responsabili

Prima di aggiungere o sostituire sub-responsabili del trattamento:
1. Aggiorneremo il nostro elenco dei sub-responsabili
2. La informeremo via email (se ha dato il consenso) o aggiornando il nostro sito web
3. Lei disporrà di 30 giorni per opporsi

6.3 Opposizione

Qualora Lei si opponga a un nuovo sub-responsabile del trattamento:
- Ci contatti per discutere le Sue preoccupazioni
- Se non riusciamo a risolverle, Lei può recedere dai servizi interessati
- Il recesso per tale motivo non comporterà penali per risoluzione anticipata

6.4 Obblighi dei sub-responsabili

I nostri sub-responsabili del trattamento sono vincolati da contratti che impongono obblighi di protezione dei dati equivalenti a quelli del presente DPA.

7. Diritti degli interessati

7.1 La Sua responsabilità

Lei è responsabile di rispondere alle richieste degli interessati (accesso, cancellazione, ecc.) relative ai dati personali contenuti nei Suoi repository e nei Suoi contenuti.

7.2 La nostra assistenza

La aiuteremo a rispondere alle richieste degli interessati:
- Fornendo strumenti per esportare ed eliminare i dati
- Rispondendo alle richieste che Lei ci inoltra
- Fornendo informazioni sul nostro trattamento

7.3 Richieste dirette

Qualora un interessato ci contatti direttamente in merito ai propri dati presenti nei Suoi contenuti:
- Lo indirizzeremo a Lei (salvo diverso obbligo di legge)
- La informeremo della richiesta
- Non risponderemo per Suo conto senza Sue istruzioni

8. Notifica delle violazioni

8.1 Il nostro impegno

Qualora venissimo a conoscenza di una violazione dei dati personali che riguardi i Suoi dati:
- La informeremo senza ingiustificato ritardo (ed entro 72 ore)
- Le forniremo informazioni sulla natura della violazione
- Descriveremo le probabili conseguenze
- Descriveremo le misure adottate o proposte

8.2 Cosa Le comunicheremo

La nostra notifica di violazione comprenderà (nella misura in cui siano note):
- Le categorie di dati interessate
- Il numero approssimativo di registrazioni interessate
- Un punto di contatto per ulteriori informazioni
- Le misure per porre rimedio alla violazione

8.3 I Suoi obblighi

Lei è responsabile della notifica alle autorità di protezione dei dati e alle persone interessate, come previsto dalla legge. La assisteremo per quanto necessario.

9. Audit

9.1 I Suoi diritti

Lei può sottoporre ad audit il nostro rispetto del presente DPA. Ciò può comprendere:
- La richiesta di documentazione sulle nostre misure di sicurezza
- La richiesta dei risultati di audit o certificazioni di terzi
- Lo svolgimento o l'affidamento a terzi di un proprio audit

9.2 Procedura di audit

Per svolgere un audit:
1. Ci dia un preavviso scritto di 30 giorni
2. Gli audit si svolgeranno in orario lavorativo
3. Gli audit non interferiranno in modo irragionevole con le nostre attività
4. I costi dell'audit saranno a Suo carico (salvo che venga accertata una nostra non conformità)
5. Gli auditor devono sottoscrivere accordi di riservatezza

9.3 Richieste di informazioni

Forniremo informazioni ragionevoli per dimostrare la conformità, quali:
- Documentazione delle misure di sicurezza
- Sintesi dei risultati degli audit
- Certificazioni in nostro possesso

10. Cancellazione dei dati

10.1 Durante il servizio

Lei può eliminare i dati tramite l'interfaccia del servizio:
- Eliminando singoli articoli
- Eliminando progetti
- Eliminando il Suo account

10.2 Alla cessazione

Quando Lei pone fine al servizio:
- Elimineremo i Suoi dati personali entro 30 giorni
- Alcuni dati possono rimanere nei backup per un massimo di ulteriori 30 giorni
- Su richiesta, prima della cancellazione Le forniremo un'esportazione dei dati

10.3 Eccezioni

Possiamo conservare i dati se:
- Richiesto dalla legge
- Necessario per accertare, esercitare o difendere un diritto in sede giudiziaria
- Anonimizzati per analisi aggregate

11. Trasferimenti internazionali

11.1 Conservazione principale

I Suoi dati sono conservati nell'UE (Finlandia).

11.2 Trasferimenti ai sub-responsabili

Quando i dati vengono trasferiti a sub-responsabili del trattamento al di fuori dell'UE:
- Garantiamo misure di salvaguardia adeguate (Clausole contrattuali standard)
- Abbiamo stipulato Accordi sul trattamento dei dati con tutti i sub-responsabili
- Per l'ubicazione dei sub-responsabili si veda la Sezione 6

11.3 Meccanismi di trasferimento

Per i sub-responsabili con sede negli Stati Uniti ci basiamo su:
- Clausole contrattuali standard dell'UE (SCC)
- EU-US Data Privacy Framework (ove certificati)

12. Responsabilità

12.1 La nostra responsabilità

Siamo responsabili dei danni causati da un trattamento che violi:
- Il presente DPA
- Gli obblighi del responsabile del trattamento previsti dal GDPR
- Le Sue istruzioni legittime

12.2 Limitazioni

La responsabilità è limitata come stabilito nei nostri Termini di servizio, salvo:
- Ove ciò sia vietato dalla legge
- In caso di colpa grave o dolo

13. Durata e cessazione

13.1 Durata

Il presente DPA ha efficacia dal momento in cui Lei inizia a utilizzare supportpages.io e resta in vigore fino a quando Lei smette di utilizzarlo.

13.2 Sopravvivenza

Le disposizioni destinate a sopravvivere alla cessazione (come gli obblighi di cancellazione dei dati e la responsabilità) resteranno in vigore.

14. Modifiche

Possiamo aggiornare il presente DPA per tenere conto di:
- Modifiche legislative o regolamentari
- Modifiche alle nostre attività di trattamento
- Misure di sicurezza migliorate

La informeremo delle modifiche sostanziali e Le concederemo 30 giorni per opporsi prima che le modifiche abbiano effetto.

15. Contatti

Per richieste relative al DPA:

Email: dpa@supportpages.io

Allegato A: Misure tecniche e organizzative

A.1 Controllo degli accessi

Autenticazione obbligatoria per ogni accesso
Autorizzazioni basate sui ruoli
Gestione delle sessioni con token sicuri

A.2 Crittografia

TLS 1.2+ per i dati in transito
Crittografia del database per i dati a riposo
Backup crittografati

A.3 Sicurezza dell'infrastruttura

Hosting nell'UE (Hetzner, Finlandia)
Protezione tramite firewall
Aggiornamenti di sicurezza regolari

A.4 Minimizzazione dei dati

Diff del codice trattati temporaneamente
Codice grezzo non conservato a lungo termine
Conservazione dei soli dati necessari

A.5 Risposta agli incidenti

Monitoraggio degli eventi di sicurezza
Procedure definite di risposta agli incidenti
Processo di notifica delle violazioni

Il presente DPA stabilisce i nostri impegni in qualità di Suo responsabile del trattamento. Se ha domande o necessita di una copia firmata per i Suoi archivi, ci contatti.