Accordo sul trattamento dei dati (DPA)

Ai sensi dell'art. 28 del Regolamento (UE) 2016/679 — versione 2026-10-28

1. Parti e ruoli

Il presente Accordo integra i Termini di Servizio. Il Cliente è titolare del trattamento dei dati personali contenuti nei firewall collegati e nei dati operativi del Servizio; [Ragione sociale] ("PFCONSOLE") è responsabile del trattamento.

2. Oggetto, natura e durata

PFCONSOLE tratta i dati al solo fine di erogare il Servizio: lettura dello stato e della configurazione dei firewall, raccolta di metriche, applicazione delle modifiche richieste dal Cliente, conservazione dello storico e delle copie di configurazione per l'annullamento. Il trattamento dura quanto il contratto, più il periodo di cancellazione indicato al punto 8.

3. Categorie di dati e di interessati

• Dati: indirizzi IP e MAC, nomi host, nomi utente VPN, descrizioni e altri campi inseriti nelle configurazioni, metriche di traffico, dati degli utenti dell'organizzazione (nome, email) e registro delle operazioni.
• Interessati: dipendenti, collaboratori e utenti delle reti del Cliente; utenti della piattaforma invitati dal Cliente.
• Il Servizio non è progettato per categorie particolari di dati (art. 9 GDPR); il Cliente evita di inserirle nelle configurazioni.

4. Obblighi di PFCONSOLE

• Trattare i dati solo su istruzione documentata del Cliente, costituita dai Termini, da questo Accordo e dalle operazioni eseguite dal Cliente nel Servizio.
• Garantire che le persone autorizzate siano vincolate alla riservatezza.
• Adottare le misure di sicurezza dell'Allegato A (art. 32 GDPR).
• Assistere il Cliente nel rispondere alle richieste degli interessati, anche tramite le funzioni di esportazione e cancellazione disponibili nel Servizio.
• Notificare al Cliente una violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, con le informazioni disponibili.
• Mettere a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consentire verifiche, con preavviso di almeno 30 giorni, non più di una volta l'anno salvo violazioni, a spese del Cliente.

5. Sub-responsabili

Il Cliente autorizza in via generale il ricorso ai seguenti sub-responsabili:

Sub-responsabile	Attività	Sede del trattamento
OVH SAS (OVHcloud)	Hosting dell'infrastruttura e invio delle email	Unione Europea [datacenter]

PFCONSOLE comunica con almeno 30 giorni di preavviso l'aggiunta o la sostituzione di sub-responsabili; il Cliente può opporsi per motivi ragionevoli e, in mancanza di soluzione, recedere senza penali. PFCONSOLE impone ai sub-responsabili obblighi equivalenti a quelli del presente Accordo.

6. Trasferimenti

I dati del Cliente sono trattati nell'Unione Europea. Eventuali trasferimenti verso paesi terzi avverranno solo con garanzie adeguate ai sensi del Capo V del GDPR, previa comunicazione al Cliente.

7. Obblighi del Cliente

Il Cliente garantisce di avere una base giuridica per i trattamenti, di informare gli interessati e di collegare solo firewall che ha diritto di amministrare.

8. Restituzione e cancellazione

Il Cliente può esportare in qualsiasi momento i dati in formato JSON. Alla cessazione o su richiesta di eliminazione dell'organizzazione, l'accesso è revocato subito e i dati sono cancellati definitivamente entro 30 giorni; le copie di backup sono sovrascritte entro ulteriori 14 giorni. Il registro delle attività è conservato fino a 365 giorni per finalità di sicurezza e poi cancellato.

Allegato A — Misure tecniche e organizzative

• Cifratura in transito (TLS) per tutte le connessioni web e verso i firewall (HTTPS; verifica del certificato configurabile).
• Cifratura a riposo delle chiavi API dei firewall e dei segreti 2FA con AES-256-GCM e chiavi di cifratura separate e ruotabili.
• Isolamento dei dati per organizzazione a livello di database (Row-Level Security) e accesso dell'applicazione con utente a privilegi minimi.
• Autenticazione a due fattori obbligatoria per proprietari e amministratori; ruoli (sola lettura, operatore, amministratore, proprietario); blocco dopo tentativi di accesso falliti; limitazione delle richieste.
• Protezione da CSRF, XSS e SSRF: la piattaforma non si collega a indirizzi privati o riservati.
• Registro delle operazioni sui firewall a sola aggiunta, con concatenazione crittografica, non modificabile dall'applicazione.
• Anteprima delle modifiche, copia della configurazione prima di ogni modifica, ripristino automatico in caso di errore e annullamento manuale.
• Backup giornalieri del database con rotazione a 14 giorni; segreti gestiti solo tramite variabili d'ambiente.
• Analisi automatica delle vulnerabilità delle dipendenze e test automatici dell'isolamento tra organizzazioni.

Data Processing Agreement (DPA)

Pursuant to Art. 28 of Regulation (EU) 2016/679 — version 2026-10-28

1. Parties and roles

This Agreement supplements the Terms of Service. The Customer is the controller of personal data contained in connected firewalls and in the Service's operational data; [Company name] ("PFCONSOLE") is the processor.

2. Subject matter, nature and duration

PFCONSOLE processes data only to provide the Service: reading firewall status and configuration, collecting metrics, applying changes requested by the Customer, keeping history and configuration copies for undo. Processing lasts for the term of the contract plus the deletion period in section 8.

3. Categories of data and data subjects

• Data: IP and MAC addresses, host names, VPN user names, descriptions and other fields entered in configurations, traffic metrics, organization users' data (name, email) and the operations log.
• Data subjects: employees, contractors and users of the Customer's networks; platform users invited by the Customer.
• The Service is not designed for special categories of data (Art. 9 GDPR); the Customer avoids entering them in configurations.

4. PFCONSOLE's obligations

• Process data only on the Customer's documented instructions, consisting of the Terms, this Agreement and the operations the Customer performs in the Service.
• Ensure authorized personnel are bound by confidentiality.
• Implement the security measures in Annex A (Art. 32 GDPR).
• Assist the Customer in responding to data subject requests, including through the export and deletion features of the Service.
• Notify the Customer of a personal data breach without undue delay and in any case within 48 hours of discovery, with the information available.
• Make available the information needed to demonstrate compliance with Art. 28 and allow audits, with at least 30 days' notice, no more than once a year except after a breach, at the Customer's expense.

5. Sub-processors

The Customer gives general authorization to the following sub-processors:

Sub-processor	Activity	Processing location
OVH SAS (OVHcloud)	Infrastructure hosting and email delivery	European Union [datacenter]

PFCONSOLE gives at least 30 days' notice before adding or replacing sub-processors; the Customer may object on reasonable grounds and, failing a solution, terminate without penalty. PFCONSOLE imposes on sub-processors obligations equivalent to this Agreement.

6. Transfers

Customer data is processed in the European Union. Any transfer to third countries will only take place with appropriate safeguards under Chapter V GDPR, after notifying the Customer.

7. Customer's obligations

The Customer warrants it has a legal basis for the processing, informs data subjects and only connects firewalls it is entitled to administer.

8. Return and deletion

The Customer can export data as JSON at any time. On termination or on an organization deletion request, access is revoked immediately and data is permanently erased within 30 days; backup copies are overwritten within a further 14 days. The activity log is kept for up to 365 days for security purposes and then erased.

Annex A — Technical and organizational measures

• Encryption in transit (TLS) for all web connections and connections to firewalls (HTTPS; certificate verification configurable).
• Encryption at rest of firewall API keys and 2FA secrets with AES-256-GCM and separate, rotatable encryption keys.
• Per-organization data isolation at database level (Row-Level Security) and least-privilege database user for the application.
• Mandatory two-factor authentication for owners and administrators; roles (viewer, operator, admin, owner); lockout after failed logins; request rate limiting.
• Protection against CSRF, XSS and SSRF: the platform never connects to private or reserved addresses.
• Append-only, hash-chained log of firewall operations that the application cannot modify.
• Change preview, configuration snapshot before every change, automatic restore on failure and manual undo.
• Daily database backups with 14-day rotation; secrets managed only through environment variables.
• Automated dependency vulnerability scanning and automated tests of isolation between organizations.