Documento pubblico canonico
DPA — bozza operativa Owevaro
Versione 2026-08-06-legal-v4. Stato: in_review, non esecutivo. Completare, approvare e sottoscrivere prima dei dati reali; una presa visione o accettazione dei Termini non costituisce accettazione del DPA. Il campo storico dpa_accepted è espressamente non probatorio.
Parti, ruoli e prevalenza
Il Cliente identificato nell’ordine o workspace è titolare per i dati caricati secondo finalità proprie. Alin Daniel Epure, P. IVA 17835711007, opera tramite Owevaro come responsabile. Owevaro resta titolare autonomo per account, sicurezza, fatturazione e obblighi propri. Il DPA prevale sui Termini per il trattamento affidato.
Oggetto, durata, natura e finalità
Ospitare, proteggere, scansionare, estrarre, strutturare, consultare, esportare e cancellare documenti e dati correlati; fornire assistenza e continuità. Durata: rapporto più restituzione, cancellazione attiva e rotazione backup. Owevaro opera soltanto su istruzioni documentate e segnala istruzioni apparentemente illecite.
Interessati e dati
Utenti, creator, committenti, clienti, collaboratori, dipendenti, rappresentanti e firmatari. Dati identificativi, di contatto, professionali, economici e contrattuali. Categorie particolari e dati relativi a condanne non fanno parte del servizio standard: sono vietati salvo accordo scritto, necessità documentata, condizione applicabile degli artt. 9 o 10 GDPR, istruzioni specifiche e misure supplementari approvate. L'accettazione generica del DPA non autorizza da sola tali dati.
Obblighi del responsabile
- persone autorizzate vincolate alla riservatezza;
- misure dell’Allegato B e riesame proporzionato al rischio;
- assistenza per diritti, sicurezza, data breach, DPIA e consultazioni;
- restituzione o cancellazione a fine rapporto, salvo obblighi legali;
- informazioni di conformità e audit proporzionati, coordinati e riservati;
- nessuna risposta autonoma agli interessati salvo obbligo o istruzione.
Sub-responsabili e trasferimenti
Autorizzazione generale ai fornitori dell’Allegato C. Le variazioni materiali sono comunicate con anticipo ragionevole e ammettono obiezioni motivate. Ogni sub-responsabile assume obblighi sostanzialmente equivalenti. Adeguatezza, SCC e misure supplementari sono applicate secondo destinazione e accessi effettivi.
Violazioni
Owevaro informa il Cliente senza ingiustificato ritardo dopo aver appreso una violazione dei dati affidati e integra progressivamente le informazioni disponibili su natura, categorie e quantità approssimative, conseguenze, contatto e misure. La comunicazione non costituisce ammissione di responsabilità.
Restituzione e cancellazione
Il Cliente può esportare dati e documenti durante il rapporto. Alla cessazione sceglie restituzione o cancellazione ove applicabile. Sistemi attivi: senza ingiustificato ritardo e, nei casi complessi, entro 30 giorni. Backup isolati: rotazione massima prevista 90 giorni, da confermare con prova operativa.
Allegato A — scheda di trattamento per cliente
| Campo | Valore da completare prima della firma |
|---|---|
| Cliente/titolare, contatti, DPO/rappresentante | DA_COMPILARE |
| servizi e workspace coperti | DA_COMPILARE |
| natura e finalità delle istruzioni | DA_COMPILARE |
| durata, inizio/fine e restituzione/cancellazione | DA_COMPILARE |
| categorie di interessati e dati | DA_COMPILARE |
| categorie particolari/penali | VIETATE_DI_DEFAULT; eccezione separata da approvare |
| istruzioni su diritti, incidenti e assistenza | DA_COMPILARE |
| trasferimenti autorizzati e garanzie | DA_COMPILARE |
Allegato B — misure tecniche e organizzative
| Area | Misura | Stato massimo dimostrato / limite |
|---|---|---|
| accesso | account individuali, OAuth login, sessioni server-side | IMPLEMENTATO; provider/account e revoca da provare |
| trasporto e segreti | TLS; segreti fuori dal repository; credenziali brevi previste | IMPLEMENTATO in codice; runtime esterno non rivalidato |
| separazione | RLS, bucket privati, owner/workspace checks | TESTATO localmente e con E2E provider a due tenant sintetici; EV-PRIV-002 |
| upload | allowlist, ispezione, quarantena, ClamAV, CDR fail-closed | APPROVED_PRIVATE_EVIDENCE; PDFBox/SBOM/VPS/attribuzioni verificati, PEC professionale presso il titolare |
| logging | nessun contenuto o token previsto nei log | IMPLEMENTATO in codice; provider da verificare |
| disponibilità | backup self-managed cifrato, restore e soppressione | TESTATO su sintetico; percorso hPanel cross-VPS non usato |
| cancellazione | delete documento/account, procedura DSAR e ledger | TESTATO sul provider con cleanup Auth/DB/storage e ledger; EV-PRIV-002 |
| incidenti | runbook, matrice di triage, Telegram e tabletop | TESTATO proceduralmente; sostituto/reperibilità umana non provati |
| AI | lettore senza strumenti, schema/citazioni, conferma umana | fail-closed; dati reali vietati |
| OAuth esteso | email/calendario | fail-closed; dati reali vietati |
Allegato C — sub-responsabili
Rinvio versionato a SUBPROCESSORS.md. Prima della firma occorre congelare l'elenco applicabile al cliente con funzione, dati, regione/accessi, base del trasferimento, DPA, data di ingresso e procedura di opposizione. Le copie pubbliche non provano automaticamente il contratto dell'account.
Firma/accettazione
Versione, data, identità e capacità del firmatario, organizzazione rappresentata, prova di accettazione e recapito durevole devono essere registrati. La checkbox del prototipo non sostituisce la sottoscrizione della versione definitiva.