Contratto con il fornitore IT e cloud: clausole di sicurezza da pretendere

Un contratto con il fornitore IT o cloud dovrebbe rispondere a sei domande: che cosa fa (perimetro dei servizi), in quanto tempo interviene (SLA), come tratta i dati (nomina a responsabile del trattamento ex articolo 28 GDPR), cosa succede in caso di incidente (notifica tempestiva e collaborazione), quali garanzie ci sono sul backup e sul ripristino, come si esce dal rapporto (restituzione dei dati). Molte PMI hanno rapporti basati su accordi verbali o su condizioni standard mai lette: è uno degli errori più costosi quando qualcosa va storto.

Questa guida è informativa: per la redazione e la revisione dei contratti rivolgiti a un legale. Gli esempi numerici sono illustrativi.

Perché il contratto è un tema di sicurezza

Il fornitore ha spesso accesso privilegiato a sistemi e dati: se viene compromesso, può esserlo anche l'azienda cliente (attacchi alla catena di fornitura). Dal punto di vista normativo, il titolare del trattamento rimane responsabile dei dati anche quando li affida a terzi, e per i soggetti rientranti nella NIS2 la gestione del rischio dei fornitori è una misura espressamente richiesta. Le clausole contrattuali sono quindi lo strumento con cui trasformi aspettative in obblighi verificabili.

La nomina a responsabile del trattamento

Se il fornitore tratta dati personali per tuo conto (gestione server, cloud, gestionale, assistenza con accesso ai dati, backup), l'articolo 28 del GDPR richiede un contratto o altro atto giuridico che vincoli il fornitore. Deve prevedere almeno:

trattamento solo su istruzioni documentate del titolare;
riservatezza delle persone autorizzate;
adozione di misure di sicurezza adeguate (articolo 32);
condizioni per il ricorso a sub-responsabili, con autorizzazione e responsabilità del fornitore;
assistenza al titolare per le richieste degli interessati, le valutazioni di impatto e le violazioni;
cancellazione o restituzione dei dati alla fine del servizio;
messa a disposizione delle informazioni per dimostrare la conformità e consentire audit.

Molti fornitori internazionali offrono un accordo sul trattamento dei dati standard: leggilo, verifica dove si trovano i dati e come vengono gestiti i trasferimenti extra SEE.

Le clausole da verificare

Tema	Cosa chiedere	Segnale di allarme
Perimetro	Elenco chiaro di servizi, sistemi, sedi, orari	Descrizioni generiche come "assistenza informatica"
SLA	Tempi di risposta e risoluzione per livello di gravità; disponibilità garantita	Nessun tempo scritto o penali irrisorie
Sicurezza	Misure minime (MFA, cifratura, aggiornamenti, logging), certificazioni pertinenti	Rifiuto di descrivere le misure
Incidenti	Obbligo di avvisare entro un termine breve (per esempio poche ore) e di collaborare	Nessun obbligo o termini di giorni
Backup	Frequenza, retention, copie fuori sede, test di ripristino, chi è responsabile	Ambiguità su chi fa i backup
Accessi	Account personali, MFA per gli accessi del fornitore, registro delle attività	Credenziali condivise o password in chiaro
Subfornitori	Elenco, autorizzazione preventiva, responsabilità a catena	Libertà totale di cambiare subfornitori
Audit	Diritto a verifiche o a ricevere report di terze parti	Nessuna possibilità di controllo
Responsabilità	Limiti di responsabilità ragionevoli rispetto al rischio	Limite pari al canone di un mese su servizi critici
Uscita	Restituzione dei dati in formato utilizzabile, tempi, costi, supporto alla migrazione	Dati bloccati o a pagamento in uscita
Durata e rinnovo	Preavviso chiaro, penali proporzionate	Rinnovo tacito pluriennale con penali elevate

SLA: un esempio per capire

Esempio illustrativo: un gestionale ospitato in cloud con disponibilità dichiarata del 99,5 per cento mensile. In un mese di 30 giorni (43.200 minuti), il 99,5 per cento garantisce circa 216 minuti di fermo ammessi, cioè poco più di tre ore e mezza. Con il 99,9 per cento i minuti ammessi scendono a circa 43. Per un'azienda che fattura ogni ora, la differenza tra le due cifre è concreta. Verifica anche come si misura la disponibilità (esclusioni per manutenzione programmata?) e cosa spetta al cliente in caso di mancato rispetto: spesso solo un credito sul canone, non il risarcimento del danno.

Dove sono i miei dati e chi può accedervi

Chiedi per iscritto:

luogo di conservazione e di eventuale accesso da paesi extra SEE;
chi nel fornitore può accedere ai dati e con quali controlli;
come sono cifrati i dati e chi gestisce le chiavi;
quanto tempo vengono conservati i dati cancellati e i backup;
come vengono gestite le richieste di accesso da parte delle autorità.

I trasferimenti di dati personali verso paesi extra SEE richiedono una base giuridica adeguata (decisioni di adeguatezza, clausole contrattuali standard o altri strumenti previsti dal GDPR): chiedi supporto al consulente privacy.

Controllo del fornitore in pratica

Anche le PMI possono fare controlli ragionevoli:

Questionario di sicurezza breve (MFA, aggiornamenti, backup, gestione incidenti, certificazioni).
Documentazione di terze parti: certificazioni come ISO/IEC 27001 o report di audit indipendenti, verificandone perimetro e validità.
Revisione annuale degli accessi concessi al fornitore e dei servizi che gestisce.
Verifica dei contatti di emergenza e prova di una richiesta di assistenza.
Piano di uscita: cosa fare se il fornitore chiude o viene attaccato.

Le richieste del tuo cliente a te

Se vendi servizi a un'azienda più grande o a un soggetto regolamentato, potresti ricevere le stesse richieste: questionari, clausole di notifica, evidenze. Prepararsi con misure di base e documenti ordinati è un vantaggio commerciale. Vedi la guida NIS2 per le PMI sull'effetto indiretto della normativa sulla catena di fornitura.

Errori frequenti

Affidarsi a un unico "tecnico di fiducia" senza contratto né documentazione: se non è disponibile, nessuno sa come funzionano i sistemi.
Non avere le credenziali amministrative dei propri sistemi, che restano al fornitore.
Accettare condizioni standard senza verificare tempi di restituzione dei dati.
Dimenticare la nomina ex articolo 28 GDPR, che è un obbligo e non una formalità.
Non provare mai un ripristino con il fornitore.
Non considerare le conseguenze di un incidente presso il fornitore sul proprio obbligo di notifica al Garante, che resta in capo al titolare; vedi la guida sulla notifica entro 72 ore.

Quando consultare un professionista

Per contratti di importo rilevante, servizi critici, trasferimenti di dati fuori dal SEE o limitazioni di responsabilità molto strette, una revisione legale è un investimento ridotto rispetto al rischio.

Domande frequenti

La nomina a responsabile del trattamento è obbligatoria?

Sì, quando il fornitore tratta dati personali per conto dell'azienda: l'articolo 28 del GDPR richiede un contratto o atto giuridico con contenuti minimi.

Posso pretendere di fare un audit dal fornitore?

Il GDPR richiede che il responsabile consenta e contribuisca ad attività di revisione. In pratica molti fornitori propongono report di terzi e questionari; definisci nel contratto modalità e frequenza.

Cosa chiedere al fornitore cloud per i backup?

Se i backup sono inclusi, in che luogo sono conservati, per quanto tempo, come si ripristinano e quali sono i costi. Non dare per scontato che siano inclusi.

Un certificato ISO 27001 del fornitore basta?

È un buon segnale, ma verifica ente certificatore, perimetro e scadenza: devono comprendere i servizi che usi.

Fonti ufficiali

Garante per la protezione dei dati personali — responsabile del trattamento e trasferimenti di dati.
Agenzia per la Cybersicurezza Nazionale — sicurezza della catena di fornitura e cloud.
EDPB - Comitato europeo per la protezione dei dati — linee guida sui ruoli di titolare e responsabile.
Normattiva — testi normativi italiani vigenti.