Condizioni generali del servizio di rimozione malware WordPress

Questa pagina è raggiungibile dal collegamento «Condizioni» presente nel modulo d’ordine e dal piè di pagina del Sito. Le Condizioni, con l’Allegato A, sono accettate nel modulo d’ordine e inviate al Cliente con l’email di conferma dell’ordine, nella versione accettata. Ogni versione riporta numero e data di entrata in vigore.

1. Fornitore, contatti e ambito di applicazione

1.1. Le presenti condizioni («Condizioni») disciplinano l’acquisto del servizio di rimozione malware da installazioni WordPress offerto attraverso il sito rimozionemalware.com («Sito») da:

Dato	Indicazione
Ragione sociale	Managed Server S.r.l. («Managed Server» o «Fornitore»)
Partita IVA	IT02085220438
Codice fiscale	02085220438
Sede legale	Via Flavio Gioia, 6 — 62012 Civitanova Marche (MC), Italia
Sede operativa	Via Enzo Ferrari, 9 — 62012 Civitanova Marche (MC), Italia
Registro delle imprese	Registro delle imprese di Macerata, numero di iscrizione 02085220438
Numero REA	MC – 282554
Capitale sociale	€ 10.000,00
Codice destinatario SDI	M5UXCR1
Telefono	02 56.56.9681
Email per ordini, assistenza, reclami e recesso	info@rimozionemalware.com
PEC	managedserversrl@pec.it

1.2. Le Condizioni si applicano sia al Consumatore, persona fisica che acquista per finalità estranee alla propria eventuale attività imprenditoriale, commerciale, artigianale o professionale, sia al Cliente business, che acquista nell’ambito di tale attività. Entrambi sono indicati come «Cliente».

1.3. La qualità di Consumatore dipende dalla finalità effettiva dell’acquisto. La selezione di una categoria nel modulo d’ordine, l’intestazione della fattura o il possesso di partita IVA non comportano rinuncia a tutele inderogabili eventualmente spettanti.

1.4. Il contratto comprende l’ordine, le presenti Condizioni e l’Allegato A. Eventuali condizioni individuali prevalgono soltanto se espressamente concordate, ferme le norme inderogabili. Le dichiarazioni pubblicitarie e le informazioni precontrattuali che costituiscono parte del contratto non sono eliminate da un generico rinvio alle Condizioni.

2. Natura del servizio e installazione interessata

2.1. Il servizio («Servizio») consiste in un intervento tecnico, svolto prevalentemente mediante attività professionale umana, di analisi, bonifica e messa in sicurezza di una singola installazione WordPress, identificata nell’ordine mediante URL e, ove necessario, percorso dei file e database.

2.2. Alias e domini che puntano alla medesima installazione non costituiscono installazioni ulteriori. Copie autonome, staging separati, altre installazioni presenti nello stesso account e reti WordPress multisite richiedono un accordo specifico, salvo espressa inclusione nell’ordine.

2.3. Il Servizio è una prestazione una tantum. Non comprende un abbonamento, un rinnovo automatico, la gestione continuativa dell’hosting o il monitoraggio permanente. Rimangono operanti gli obblighi successivi alla bonifica, la garanzia commerciale e le responsabilità previste dal contratto e dalla legge.

3. Attività comprese e risultato dell’intervento

3.1. Il prezzo comprende, per l’installazione oggetto dell’ordine:

• analisi tecnica dell’infezione e degli elementi disponibili, inclusi file, database, utenti, configurazioni e log pertinenti;
• rimozione o neutralizzazione del codice malevolo, delle backdoor, degli utenti abusivi e delle alterazioni riconducibili all’infezione;
• verifica e bonifica di cron, processi e configurazioni sistemistiche direttamente collegati all’installazione, nei limiti dei permessi disponibili e del perimetro concordato;
• ricerca del vettore o dei vettori d’attacco, correzione delle vulnerabilità individuate e correggibili nel perimetro del Servizio oppure applicazione di misure di mitigazione tecnicamente adeguate;
• aggiornamenti e interventi di hardening necessari alla bonifica, nei limiti delle compatibilità e delle autorizzazioni disciplinate all’art. 9;
• controlli finali ragionevoli e documentabili sull’efficacia della bonifica e sulle principali funzionalità accessibili;
• report tecnico conclusivo, con le informazioni indicate all’art. 10.5.

3.2. Managed Server esegue il Servizio con la diligenza professionale richiesta dalla natura dell’attività. La ricerca della causa dell’infezione può essere limitata da log mancanti, sovrascritti o alterati e da altre carenze delle evidenze. In questi casi il report distingue i fatti accertati dalle ipotesi e descrive le misure adottate; non viene attestata come certa una causa non dimostrata.

3.3. L’impossibilità di identificare storicamente il vettore non esclude di per sé una bonifica efficace. Non è invece sufficiente dichiarare concluso l’intervento se permane un’infezione conosciuta o una via di reinfezione individuata, necessaria da correggere e non adeguatamente neutralizzata nel perimetro del Servizio. In tale situazione si applica l’art. 12.

3.4. La bonifica non costituisce certificazione di invulnerabilità, audit integrale di sicurezza, attestazione di conformità normativa o garanzia contro qualunque attacco futuro. Questa precisazione non riduce gli obblighi di eseguire correttamente le attività promesse, rispettare i tempi garantiti e rimediare agli inadempimenti imputabili al Fornitore.

4. Attività escluse e variazioni del perimetro

4.1. Salvo espressa inclusione nell’ordine, sono esclusi:

• la bonifica di installazioni ulteriori, reti multisite o altri siti presenti nell’account;
• la ricostruzione integrale di server o sistemi operativi, la bonifica di compromissioni dell’hypervisor o di infrastrutture estranee all’installazione, le migrazioni e le reinstallazioni del sistema operativo;
• lo sviluppo di nuove funzionalità, il rifacimento del sito e la riscrittura sostanziale di componenti obsoleti o personalizzati;
• l’acquisto o il rinnovo di licenze, servizi e componenti di terzi;
• il recupero di dati definitivamente cancellati, cifrati o corrotti quando non esistano copie utilizzabili;
• perizie, acquisizioni forensi con catena di custodia, attività di investigazione o consulenza legale e gestione delle notifiche alle autorità;
• attività SEO, ricostruzione del posizionamento, risarcimento di perdite commerciali e gestione di campagne pubblicitarie;
• presentazione di richieste di revisione a Google, fornitori di sicurezza o blacklist, salvo inclusione espressa. I tempi e le decisioni di tali soggetti restano comunque esterni al controllo di Managed Server.

4.2. Le difficoltà ordinarie della bonifica compresa nell’ordine non comportano maggiorazioni del prezzo. Nessun supplemento può essere imposto a intervento avviato per attività già incluse.

4.3. Se emerge la necessità di attività ulteriori, Managed Server ne spiega ragioni, costo e conseguenze su tempi e risultato, chiedendo un accordo espresso su supporto durevole prima di eseguirle. Il silenzio del Cliente non equivale ad accettazione.

4.4. Se il Cliente non acquista le attività aggiuntive, il Fornitore esegue quelle originariamente pattuite quando tecnicamente possibili e utili; diversamente si applica l’art. 12. La semplice formulazione di un preventivo aggiuntivo non sospende automaticamente l’intero termine garantito.

5. Piani, prezzi e assenza di rinnovi

5.1. I prezzi per singola installazione sono:

Piano	Prezzo IVA esclusa	Totale con IVA italiana al 22%	Conteggio del termine
Entro 24 ore	€ 199,00	€ 242,78	24 ore di servizio: dal lunedì al venerdì, dalle 09:00 alle 19:00, esclusi i festivi
Entro 12 ore	€ 299,00	€ 364,78	Ore consecutive, 24 ore su 24, 7 giorni su 7, festivi compresi
Entro 6 ore	€ 399,00	€ 486,78	Ore consecutive, 24 ore su 24, 7 giorni su 7, festivi compresi

5.2. Il totale effettivo, determinato secondo l’art. 7, è mostrato prima dell’invio dell’ordine. Nelle offerte rivolte ai Consumatori il prezzo comprensivo delle imposte applicabili è indicato chiaramente. Non sono previsti costi di consegna né canoni periodici per il Servizio.

5.3. Il prezzo comprende tutte le attività incluse e l’eventuale intervento coperto dalla garanzia di cui all’art. 13. Costi ulteriori richiedono preventiva accettazione espressa.

5.4. Ogni piano ha un termine massimo per completare l’intervento iniziale, calcolato dalla decorrenza prevista all’art. 10 («termine massimo»): 24 ore consecutive per i piani «Entro 6 ore» ed «Entro 12 ore»; 24 ore di servizio, come definite all’art. 10.3, per il piano «Entro 24 ore». Se il Servizio non è completato entro il termine massimo, si applicano la risoluzione automatica e il rimborso dell’art. 11. Il termine di 24 ore lavorative previsto per disporre il rimborso (art. 11.8) è distinto dal termine di bonifica.

6. Ordine, conclusione del contratto e pagamento

6.1. Il Cliente seleziona il piano, identifica l’installazione, inserisce i dati richiesti, prende visione dei documenti contrattuali tramite il collegamento «Condizioni» presente nel modulo d’ordine, che rinvia alla presente pagina, e può correggere gli errori prima dell’invio. La lingua del contratto è l’italiano.

6.2. L’accettazione delle Condizioni e dell’Allegato A avviene selezionando nel modulo d’ordine la casella «Accetto le condizioni», non preselezionata. Il pulsante finale reca la dicitura «Ordine con obbligo di pagare» o un’espressione equivalente inequivocabile. Le Condizioni sono consultabili in questa pagina prima dell’invio dell’ordine; ogni versione riporta numero e data di entrata in vigore.

6.3. Il contratto si conclude quando il Cliente riceve l’email di conferma e accettazione dell’ordine e viene accreditato il relativo pagamento. Un eventuale messaggio di sola ricezione tecnica o la ricevuta del prestatore di pagamento, se distinti dalla conferma contrattuale, indicano chiaramente tale differenza. Prima della conclusione il Fornitore può chiedere chiarimenti necessari sul perimetro o sulla legittimazione all’intervento; eventuali somme riscosse per un ordine non accettato sono restituite senza ritardo e comunque entro 14 giorni.

6.4. La conferma contiene identificativo, data e ora, piano, installazione, prezzo, dati del Fornitore, informazioni sul recesso e le dichiarazioni rese nel modulo d’ordine, ciascuna con data e ora della selezione. Il testo delle Condizioni e dell’Allegato A nella versione accettata è riportato nella conferma o allegato alla stessa. La conferma è trasmessa via email, prima dell’inizio dell’esecuzione. Il Cliente può richiederne copia ai contatti dell’art. 1, senza necessità di un account.

6.5. Il pagamento è anticipato e può avvenire mediante:

• carta di pagamento tramite Stripe: Managed Server non conserva il numero completo della carta né il codice di sicurezza; possono essere trattati i dati necessari alla gestione della transazione e della fatturazione;
• bonifico ordinario o istantaneo alle seguenti coordinate, riportate anche nella pagina di pagamento e nell’email di conferma dell’ordine:

Dato	Indicazione
Banca	Intesa Sanpaolo S.p.A.
Beneficiario	MANAGED SERVER S.R.L.
IBAN	IT25E0306913408100000010481
BIC	BCITITMMXXX
Valuta	EUR
Causale	Riferimento dell’ordine

Managed Server comunica eventuali variazioni delle coordinate bancarie soltanto attraverso questa pagina e gli indirizzi ufficiali dell’art. 1; il Cliente verifica la corrispondenza dell’IBAN prima di disporre il pagamento.

6.6. Per il bonifico rileva l’accredito effettivo, non la sola ricevuta di disposizione. I tempi bancari precedenti all’accredito non rientrano nel termine di bonifica. Per le carte rileva la conferma positiva del pagamento del prestatore di pagamento.

6.7. Non sono addebitate al Consumatore commissioni vietate per l’utilizzo dello strumento di pagamento. Le procedure bancarie di contestazione non precludono i diritti delle parti, né autorizzano ad addebitare automaticamente penali o costi non dovuti.

7. IVA e fatturazione

7.1. Il trattamento fiscale è determinato in base alla natura effettiva del Servizio, al luogo di stabilimento e alla qualità in cui agisce il committente, applicando la normativa vigente al momento dell’operazione.

7.2. Per il Servizio descritto all’art. 2, caratterizzato da intervento umano sostanziale e non da una prestazione essenzialmente automatizzata:

• ai Clienti stabiliti in Italia e ai Consumatori residenti negli altri Stati UE si applica, in via ordinaria, l’IVA italiana, attualmente al 22%, salvo specifiche disposizioni applicabili;
• per committenti soggetti passivi stabiliti in un altro Stato UE, che acquistano nell’esercizio della loro attività e soddisfano i relativi presupposti, si applicano le regole di territorialità B2B e l’inversione contabile nel Paese del committente, senza IVA italiana;
• ordini da Paesi extra-UE sono gestiti su richiesta, con verifica preventiva del regime applicabile e del totale da pagare.

7.3. Il Cliente comunica dati fiscali veritieri e l’eventuale partita IVA UE. Managed Server verifica lo status tramite VIES e, quando necessario, ulteriore documentazione. Un esito negativo o l’indisponibilità del sistema richiede una verifica: non costituisce, in ogni caso, prova definitiva che il committente sia un Consumatore o che debba applicarsi l’IVA italiana.

7.4. Il Fornitore emette fattura e assolve gli obblighi di fatturazione elettronica e trasmissione tramite SDI nei casi previsti dalla legge, inviando una copia al Cliente. Gli eventuali rimborsi sono accompagnati dai documenti fiscali richiesti. Errori nei dati sono rettificati secondo le procedure di legge, senza escludere le responsabilità proprie del Fornitore.

8. Legittimazione, accessi e collaborazione del Cliente

8.1. Il Cliente dichiara di essere titolare o legittimo gestore dell’installazione, oppure di disporre dell’autorizzazione necessaria del soggetto avente diritto. Se acquista per conto di un terzo, identifica il soggetto rappresentato e assicura di avere i relativi poteri, anche per il trattamento dei dati.

8.2. Il Cliente autorizza esclusivamente gli accessi e le operazioni necessari al Servizio, sugli ambienti identificati nell’ordine. La disponibilità di credenziali con privilegi più ampi non estende l’incarico ad altri siti, account o dati.

8.3. Prima dell’intervento il Cliente fornisce:

• accessi funzionanti e sufficienti a file, database e amministrazione WordPress, mediante SSH/SFTP, pannello dell’hosting o altri strumenti concordati;
• eventuali autorizzazioni del provider, codici temporanei, abilitazioni firewall e cooperazione per MFA;
• informazioni sulle anomalie note, precedenti interventi, componenti personalizzati, dati critici, backup disponibili e limiti tecnici;
• un referente reperibile per le decisioni necessarie e un contatto per segnalazioni relative ai dati personali.

8.4. Le credenziali sono trasmesse tramite il canale protetto indicato dal Fornitore. Ove possibile si utilizzano account temporanei nominativi con privilegi limitati. Il Cliente evita invii non richiesti di database completi, password in chiaro o dati non pertinenti.

8.5. Il Cliente coordina gli altri tecnici ed evita modifiche simultanee che interferiscano con la bonifica. Il Fornitore non può imporre un divieto generale di rivolgersi ad altri professionisti; deve indicare le interferenze concrete da evitare.

8.6. A conclusione dell’intervento il Cliente revoca gli accessi temporanei e sostituisce le credenziali segnalate come compromesse. Managed Server rimuove gli account o strumenti temporanei creati per il proprio intervento, salvo diversa istruzione documentata per esigenze di garanzia.

9. Backup, modifiche tecniche e continuità operativa

9.1. Prima dell’avvio dell’intervento, il Cliente dichiara di disporre di una copia di backup completa e aggiornata dei file, del database e delle configurazioni necessarie al ripristino della propria installazione, conservata separatamente dall’ambiente interessato e della quale abbia ragionevolmente verificato leggibilità e utilizzabilità, a tutela dei propri dati e, per il Cliente business, della continuità della propria attività. Il Cliente mantiene tale copia durante l’intervento e adotta le misure di continuità operativa proporzionate al proprio business. Comunica data del backup, eventuali limiti e dati successivi non coperti. Se questa dichiarazione non corrisponde al vero, deve segnalarlo prima dell’intervento, senza rendere una dichiarazione inesatta: le parti valutano e documentano le salvaguardie concretamente realizzabili. La semplice accettazione delle Condizioni non trasforma in esistente un backup assente. Un backup di un ambiente già compromesso può contenere malware e non equivale a una copia integra precedente all’attacco.

9.2. La predisposizione, conservazione e verifica periodica del backup aziendale competono al Cliente. Il Servizio non comprende un sistema di backup gestito, disaster recovery o garanzia di continuità del business. Prima di operazioni distruttive o difficilmente reversibili, Managed Server acquisisce le informazioni necessarie sulle salvaguardie disponibili e adotta le cautele esigibili da un operatore professionale. Eventuali copie tecniche cautelative eseguite nel corso della bonifica non sostituiscono il backup del Cliente e non costituiscono attestazione di integrità dei dati preesistenti. Restano le cautele previste nei commi successivi e nell’Allegato A.

9.3. Se non è disponibile una salvaguardia adeguata, il Fornitore informa il Cliente del rischio specifico e concorda le operazioni successive prima di effettuare modifiche distruttive. L’autorizzazione a procedere riguarda soltanto i rischi tecnici concretamente illustrati. La responsabilità resta disciplinata dall’art. 14: l’autorizzazione non sana dolo, colpa grave, violazioni di obblighi inderogabili o clausole abusive nei confronti del Consumatore.

9.4. Sono autorizzate le modifiche necessarie e proporzionate alla bonifica, comprese rimozione di file malevoli, disabilitazione di utenti abusivi, correzione di permessi, rotazione di chiavi compromesse e messa in quarantena di componenti infetti. Si privilegiano modalità reversibili compatibili con la sicurezza.

9.5. Aggiornamenti maggiori con rischio significativo di incompatibilità, cancellazioni di contenuti legittimi, ripristini che eliminino ordini o dati successivi al backup, disattivazione duratura di funzionalità essenziali e variazioni infrastrutturali richiedono una preventiva autorizzazione specifica, con illustrazione delle alternative ragionevoli.

9.6. In presenza di un attacco attivo che richieda contenimento immediato, Managed Server può adottare le misure temporanee strettamente necessarie nel perimetro autorizzato, anche limitando l’accesso a componenti compromessi. Informa il Cliente senza ritardo, descrivendo motivi, impatti e ripristino previsto. Questa facoltà non giustifica modifiche estranee all’incarico.

9.7. Il Servizio può richiedere brevi periodi di manutenzione, limitazioni temporanee di funzionalità o riavvii. Il Fornitore li riduce al necessario e li comunica anticipatamente quando possibile. Non è promessa l’assenza assoluta di downtime né la conservazione di dati già distrutti prima dell’intervento.

9.8. Su siti con transazioni, le parti concordano quando necessario un blocco temporaneo delle scritture o altra misura per evitare perdita o duplicazione di ordini. Il Fornitore non effettua un ripristino integrale del database di produzione ignorando le transazioni intervenute nel frattempo.

9.9. Se il Cliente richiede la conservazione di evidenze per finalità giudiziarie, deve segnalarlo prima delle modifiche. Managed Server conserva le evidenze pertinenti disponibili secondo le istruzioni legittime ricevute e segnala l’eventuale necessità di un incarico forense separato. Restano salvi gli obblighi di legge.

10. Decorrenza, conteggio e completamento dei tempi garantiti

10.1. Il termine decorre dal momento in cui risultano contemporaneamente soddisfatte le seguenti condizioni oggettive:

• il contratto è concluso e il pagamento è ricevuto;
• sono pervenuti, tramite il canale indicato dal Fornitore, gli accessi effettivamente funzionanti e necessari e le autorizzazioni pertinenti già richieste in modo chiaro;
• l’ambiente è tecnicamente accessibile per l’intervento;
• per il Consumatore, sono state rese la richiesta di esecuzione immediata e il riconoscimento previsti dall’art. 15.2.

10.2. Managed Server comunica tempestivamente l’ora di decorrenza e la scadenza prevista. La comunicazione ha funzione ricognitiva: il ritardo interno nella presa in carico o nell’invio dell’email non sposta una decorrenza già maturata. Accessi ulteriori non realmente necessari non possono essere richiesti per differire il termine.

10.3. Il tempo è misurato in ore effettivamente trascorse; le comunicazioni riportano data, ora e fuso Europe/Rome. Il conteggio dipende dal piano acquistato:

• piani «Entro 6 ore» ed «Entro 12 ore»: dato il carattere urgente, si lavora 24 ore su 24 e il tempo si conta in ore consecutive, comprese notti, sabati, domeniche e festività. Il termine massimo è di 24 ore consecutive: per un avvio di venerdì alle 18:00 la scadenza massima è sabato alle 18:00, salvo il diverso orario civile derivante da un eventuale cambio dell’ora, fermo restando che il tempo effettivo resta di 24 ore;
• piano «Entro 24 ore»: il tempo si conta soltanto in ore di servizio, cioè le ore comprese tra le 09:00 e le 19:00 dei giorni dal lunedì al venerdì, esclusi i giorni festivi nazionali italiani. Il tempo garantito e il termine massimo coincidono in 24 ore di servizio: per un avvio di venerdì alle 18:00 la scadenza è mercoledì alle 12:00 (un’ora il venerdì, dieci il lunedì, dieci il martedì e tre il mercoledì), purché nessuno di tali giorni sia festivo. Se la decorrenza cade fuori da tali fasce, il conteggio inizia con la prima ora di servizio successiva.

Le sospensioni dell’art. 12 possono incidere sulle soglie intermedie dei piani da 6 e 12 ore, ma non prorogano il termine massimo.

10.4. Il completamento richiede l’effettiva esecuzione delle attività comprese, la verifica finale e l’invio al Cliente della comunicazione conclusiva con il report. Un’email inviata quando le attività dovute non sono terminate non determina il completamento. L’eventuale impedimento di consegna imputabile al sistema del destinatario è documentato e la comunicazione viene resa disponibile con un mezzo alternativo ragionevole.

10.5. Il report indica almeno: ambiente esaminato, attività svolte, esiti dei controlli, cause accertate o ipotizzate, componenti rimossi o disabilitati, modifiche rilevanti, limiti delle verifiche, rischi residui e azioni richieste al Cliente con la relativa urgenza. Non include password o dati personali non necessari.

10.6. Non sono condizioni di completamento la rimozione di avvisi o blacklist da parte di terzi o il recupero di traffico e posizionamento, se la bonifica concordata è stata correttamente eseguita. Il silenzio del Cliente dopo il report non costituisce rinuncia ai rimedi per vizi o inadempimenti.

11. Tempi garantiti, risoluzione automatica entro il limite massimo e rimborsi

11.1. Le conseguenze del superamento dei termini sono le seguenti; le soglie intermedie si calcolano secondo gli artt. 10 e 12, mentre il termine massimo resta quello dell’art. 5.4, calcolato dalla decorrenza iniziale:

Piano acquistato	Tempo di completamento rilevante	Rimborso
Entro 24 ore	Mancato completamento entro il termine massimo di 24 ore di servizio	Risoluzione automatica e restituzione dell’intero prezzo pagato
Entro 12 ore	Oltre 12 ed entro 24 ore consecutive	€ 100,00, oltre all’IVA effettivamente applicata su tale importo
Entro 12 ore	Mancato completamento entro il termine massimo di 24 ore consecutive	Risoluzione automatica e restituzione dell’intero prezzo pagato
Entro 6 ore	Oltre 6 ed entro 12 ore consecutive	€ 100,00, oltre all’IVA effettivamente applicata su tale importo
Entro 6 ore	Oltre 12 ed entro 24 ore consecutive	€ 200,00, oltre all’IVA effettivamente applicata su tale importo
Entro 6 ore	Mancato completamento entro il termine massimo di 24 ore consecutive	Risoluzione automatica e restituzione dell’intero prezzo pagato

11.2. Le soglie dei piani da 6 e 12 ore si conteggiano anche nei fine settimana, salve le sole sospensioni documentate ammesse dall’art. 12. I rimborsi parziali non si sommano oltre l’importo complessivo spettante per la soglia raggiunta. In caso di risoluzione, le somme già restituite sono detratte dal rimborso integrale residuo; nessuna parte del prezzo può essere trattenuta per diagnosi, tentativi o lavorazioni parziali dell’ordine risolto.

11.3. Il rimborso parziale matura al superamento della relativa soglia anche se la bonifica non è ancora terminata. Managed Server lo dispone automaticamente, senza imporre una domanda entro termini di decadenza, entro 14 giorni dalla maturazione. Se interviene la risoluzione per mancato completamento entro il termine massimo, prevale il termine più breve delle successive 24 ore lavorative per disporre la restituzione dell’intero importo ancora dovuto, secondo i commi 11.7 e 11.8.

11.4. La restituzione avviene mediante storno, quando tecnicamente possibile, o rimborso con la stessa modalità di pagamento utilizzata per l’ordine, senza commissioni a carico del Cliente e senza conversione in buoni o crediti commerciali. Soltanto se il mezzo originario non è più utilizzabile, il Fornitore informa tempestivamente il Cliente e concorda espressamente un mezzo alternativo, senza costi; non può sostituirlo unilateralmente.

11.5. Il termine massimo dell’art. 5.4 è pattuito come essenziale ai sensi dell’art. 1457 c.c., in ragione della natura urgente del Servizio. Qualora Managed Server non abbia completato la bonifica secondo l’art. 10 entro tale termine, il contratto si intende automaticamente risolto per mancata esecuzione del Servizio da parte del Fornitore entro il termine massimo pattuito, senza necessità di diffida, richiesta del Cliente o ulteriore accettazione. Le parti pattuiscono espressamente, nei limiti consentiti dalla legge, che lo scioglimento operi immediatamente alla scadenza e che non trovi applicazione l’ulteriore periodo di tre giorni per richiedere l’esecuzione tardiva previsto dall’art. 1457, primo comma, c.c. Restano fermi i diritti inderogabili del Consumatore. Una successiva prosecuzione richiede un nuovo accordo espresso e non cancella il diritto alla restituzione maturato.

11.6. La risoluzione e il rimborso non comportano, da soli, riconoscimento di dolo, colpa grave o di uno specifico danno risarcibile. Non costituiscono neppure una rinuncia del Cliente ai diritti inderogabili. Per le domande di risarcimento si applica l’art. 14, con le esclusioni e limitazioni ammesse nei soli rapporti B2B e le relative eccezioni. Non è dovuta due volte la restituzione dello stesso prezzo.

11.7. Managed Server dispone lo storno o il rimborso integrale entro le 24 ore lavorative successive al momento della risoluzione, senza attendere una domanda del Cliente. Il termine riguarda l’effettivo inoltro dell’operazione correttamente finanziata e accettata dal prestatore di pagamento, non la mera registrazione interna della richiesta o l’emissione della nota di credito. Il Fornitore invia al Cliente la conferma dell’operazione e la relativa evidenza o identificativo. I tempi ulteriori di contabilizzazione e disponibilità sul conto o sulla carta dipendono dal prestatore di pagamento; il Fornitore segue gli eventuali esiti di errore e adotta senza ritardo le misure necessarie a completare la restituzione.

11.8. Per 24 ore lavorative si intendono 24 ore effettive conteggiate nei giorni dal lunedì al venerdì, nell’intera fascia 00:00–24:00, con esclusione di sabati, domeniche e festività nazionali italiane, secondo il fuso Europe/Rome. Non si tratta di tre giornate lavorative da otto ore. Ad esempio, se la risoluzione interviene venerdì alle 18:00, il rimborso deve essere disposto entro lunedì alle 18:00, purché il lunedì non sia festivo. Il dies a quo è la risoluzione, anche se l’email di conferma viene inviata più tardi.

11.9. La comunicazione di risoluzione ha funzione ricognitiva e descrive attività svolte, stato dell’installazione, rischi residui e restituzione dovuta. Dalla scadenza cessa l’obbligo di proseguire la bonifica originaria; restano gli obblighi di chiusura sicura, rendiconto, riservatezza, protezione dei dati e restituzioni. Non vengono annullate modifiche utili né reintrodotto malware per ripristinare artificialmente lo stato iniziale. Le operazioni strettamente necessarie per interrompere in sicurezza una lavorazione già in corso non costituiscono proroga della bonifica e non comportano costi aggiuntivi.

11.10. Il meccanismo di chiusura e restituzione opera anche se, dopo la decorrenza, sopravvengono impedimenti tecnici o dipendenti da terzi o dal Cliente: il Fornitore assume contrattualmente il rischio economico di non trattenere il prezzo oltre la scadenza senza completamento. Questa assunzione non equivale ad attribuirgli la causa materiale di ogni impedimento. Restano la buona fede e i rimedi di legge contro condotte fraudolente, senza facoltà di trattenere unilateralmente il rimborso a fronte di pretese contestate. Il termine massimo riguarda l’intervento iniziale; gli interventi successivi in garanzia seguono l’art. 13.

12. Impedimenti, sospensioni, impossibilità e cessazione anticipata

12.1. Possono giustificare una sospensione soltanto ostacoli concreti che impediscono le attività necessarie, quali revoca degli accessi, mancata collaborazione essenziale, indisponibilità dell’ambiente esterno non imputabile al Fornitore, attesa di autorizzazioni specifiche indispensabili o un divieto di legge.

12.2. Il Fornitore comunica senza ritardo l’impedimento, le evidenze disponibili, le attività interessate e ciò che occorre per superarlo. Soltanto il conteggio delle soglie intermedie dei piani da 6 e 12 ore può essere sospeso per la durata e nella misura dell’impedimento effettivo; il conteggio prosegue se rimangono eseguibili attività utili al completamento. Alla ripresa si conserva il tempo già trascorso. Eventuali ritardi nella comunicazione imputabili al Fornitore non consentono recuperi di tempo retroattivi. Il termine massimo non si sospende, non si azzera e non viene prorogato, e alla sua scadenza opera l’art. 11.

12.3. Carico di lavoro, carenza di personale, organizzazione interna, guasti evitabili con adeguata diligenza e normale complessità delle infezioni comprese nell’incarico non sono cause di sospensione. Un evento informatico non è automaticamente forza maggiore; rilevano la sua effettiva inevitabilità, l’incidenza sull’adempimento e le misure ragionevoli adottate per prevenirlo e contenerlo.

12.4. Se il risultato originariamente promesso non è ottenibile senza attività escluse, il Fornitore lo documenta e propone le opzioni disponibili. In assenza di un nuovo accordo, se la bonifica originaria non può essere completata e la prestazione parziale non ha utilità autonoma accettata dal Cliente, il prezzo del Servizio è rimborsato integralmente. Non viene addebitata retroattivamente una diagnosi iniziale mai acquistata separatamente.

12.5. Una soluzione limitata, quale il mantenimento del sito con una funzionalità essenziale disattivata, può sostituire il risultato originario solo con un accordo espresso che ne descriva limiti, rischi, prezzo e tempi. Non equivale al completamento della bonifica originaria senza tale accordo. Il Fornitore non può prorogare unilateralmente il limite massimo dell’ordine; attività da eseguire oltre tale limite richiedono un distinto accordo, con chiusura e restituzioni dell’ordine originario. Non vengono cancellati rimborsi già maturati né diritti inderogabili.

12.6. Se l’impossibilità di completare la bonifica entro il termine massimo emerge prima della scadenza, Managed Server lo comunica senza ritardo. Il Cliente può chiedere una chiusura anticipata con rimborso integrale; in mancanza, restano i rimedi già esercitabili per legge e lo scioglimento alla scadenza massima. L’impossibilità di completamento non autorizza a trattenere il prezzo come compenso per i tentativi effettuati.

12.7. In caso di grave inadempimento del Cliente, Managed Server può avvalersi dei rimedi di legge, compresa, quando ne ricorrano i presupposti, la diffida ad adempiere con termine conforme all’art. 1454 c.c. Non è prevista una facoltà generale di interrompere arbitrariamente un ordine già accettato o di trattenere automaticamente tutto il corrispettivo.

12.8. La cessazione del contratto comporta rendiconto delle attività, restituzioni dovute e gestione sicura degli accessi e dei dati. Per la chiusura dovuta al mancato completamento, anche anticipata secondo il comma 12.6, il rimborso integrale è disposto entro le successive 24 ore lavorative con le modalità dell’art. 11. Per le altre fattispecie di cessazione restano i termini specifici previsti dal contratto e dalla legge, senza ritardi nella restituzione delle somme non controverse.

12.9. Il Servizio è una prestazione su misura, personalizzata sull’installazione del Cliente ed eseguita immediatamente dopo la conclusione del contratto. Per questa ragione il Cliente business non può recedere dal contratto una volta concluso con il relativo pagamento ai sensi dell’art. 6.3: le parti escludono espressamente la facoltà di recesso del committente prevista dagli artt. 1671 e 2227 c.c. Restano fermi la risoluzione automatica e i rimborsi dell’art. 11, gli altri rimedi per inadempimento del Fornitore e i diritti non validamente escludibili.

13. Garanzia commerciale di nuova bonifica per 30 giorni

13.1. Managed Server, quale garante, offre una garanzia commerciale gratuita sulla medesima installazione per 30 giorni di calendario dal completamento: in caso di ricomparsa del malware nel perimetro dell’intervento, esegue la nuova bonifica senza costi.

13.2. La segnalazione può essere inviata ai contatti dell’art. 1, indicando ordine, URL e sintomi, senza obbligo di usare una formula particolare. La ricomparsa deve manifestarsi nel periodo coperto; il Cliente è invitato a segnalarla tempestivamente e a conservare le evidenze disponibili. Questa raccomandazione non introduce un termine di decadenza dai diritti di legge.

13.3. La garanzia non copre una nuova intrusione autonoma, causalmente riconducibile, ad esempio, a:

• installazione successiva di componenti malevoli, alterati o privi di provenienza attendibile;
• ripristino successivo di una copia già infetta, contro le avvertenze comunicate;
• credenziali nuovamente sottratte attraverso dispositivi o sistemi esterni al perimetro bonificato;
• mancata attuazione di una misura necessaria, chiaramente indicata nel report con un termine ragionevole, quando tale omissione abbia causato la nuova intrusione;
• un nuovo attacco a infrastrutture estranee all’incarico o una vulnerabilità sopravvenuta non coperta da obblighi già assunti dal Fornitore.

13.4. L’esclusione deve essere motivata dal Fornitore con evidenze tecniche e un collegamento causale plausibile e documentato. La mera esistenza di un plugin non aggiornato, di un hosting esterno o di modifiche successive non basta se non ha relazione con la reinfezione. Non sono escluse ricomparse dovute a una bonifica incompleta o a errori del Fornitore.

13.5. La verifica necessaria a stabilire se opera la garanzia non comporta addebiti automatici. Un intervento non coperto richiede preventivo e accettazione espressa. Se coperto, il Fornitore comunica tempestivamente il programma di intervento e procede senza ritardo ingiustificato; i termini commerciali del piano iniziale non si rinnovano automaticamente, salvo diverso accordo e fatti salvi i rimedi per inesatto adempimento.

13.6. La garanzia è fruibile da remoto per gli ordini accettati. La sua scadenza non estingue i diritti per vizi, inesatto adempimento, risarcimento o difetti di conformità eventualmente spettanti in base alla disciplina applicabile. Per i Consumatori, nessuna tutela inderogabile è sostituita o ridotta dalla garanzia di 30 giorni.

14. Allocazione del rischio, esclusioni e limiti di responsabilità

14.1. Managed Server interviene su un ambiente già compromesso o sospetto e non assume il rischio generale dell’attività economica del Cliente. Non risponde dei danni preesistenti, degli effetti dell’attacco già prodotti prima dell’incarico o di eventi sopravvenuti che non siano causalmente imputabili a un proprio inadempimento. Non risponde, in assenza di una propria condotta concorrente imputabile, delle conseguenze di istruzioni errate, informazioni omesse, modifiche di altri operatori, credenziali nuovamente compromesse, mancata attuazione delle misure comunicate o malfunzionamenti di infrastrutture esterne all’incarico. L’eventuale concorso del Fornitore resta disciplinato dai commi seguenti e dalla legge; il solo carattere preesistente o sopravvenuto di un danno non basta a escluderlo.

14.2. Esclusivamente nei rapporti con Clienti business e per fatti imputabili a colpa lieve, nei limiti consentiti dalla legge e con tutte le eccezioni del comma 14.5, è pattuita l’esclusione della responsabilità risarcitoria di Managed Server per i danni derivanti dall’esecuzione, dal ritardo, dall’inesatta o mancata esecuzione e dalla cessazione del Servizio. L’esclusione riguarda i danni patrimoniali diretti e indiretti, immediati o manifestatisi successivamente, inclusi perdita o alterazione di dati, costi di ricostruzione, indisponibilità del sito, fermo dell’attività, mancati ordini, perdita di fatturato, utili, opportunità, traffico o posizionamento e pretese economiche di terzi rivolte al Cliente. La clausola non vincola soggetti terzi né elimina i loro autonomi diritti. Non esonera dal completamento fino alla cessazione, dalle restituzioni, dagli interventi dovuti in garanzia o dagli obblighi di chiusura sicura e non autorizza il Fornitore a omettere consapevolmente le cautele professionali dovute.

14.3. Esclusivamente nei rapporti con Clienti business, quale pattuizione autonoma e subordinata per i casi in cui l’esclusione del comma 14.2 non operi ma sia consentita una limitazione quantitativa, il risarcimento complessivo per colpa lieve derivante dal singolo ordine è limitato al corrispettivo originariamente pattuito per il Servizio, al netto dell’IVA, senza riduzione di tale limite per effetto degli eventuali rimborsi. Restano escluse, ove l’esclusione sia autonomamente valida, le voci di lucro cessante, perdita di ricavi, opportunità, traffico e posizionamento. Si applicano in ogni caso le eccezioni del comma 14.5. Questa previsione non sostituisce una clausola nulla per violazione di norme inderogabili con un limite ugualmente vietato.

14.4. Il Cliente è responsabile dell’adempimento degli obblighi di backup e continuità dell’art. 9. La mancanza, inadeguatezza o inutilizzabilità del backup, quando imputabile al Cliente, rileva secondo l’art. 1227 c.c. nella misura in cui abbia causato o aggravato il danno o ne abbia impedito la ragionevole limitazione. Non viene presunto che qualunque danno sarebbe stato evitato dal backup. La dichiarazione del Cliente non esclude le responsabilità inderogabili del Fornitore, non inverte gli oneri della prova e non trasferisce al Cliente danni privi di nesso causale con la sua condotta.

14.5. Le esclusioni e limitazioni dei commi 14.2 e 14.3 non si applicano:

• a dolo o colpa grave del Fornitore o dei soggetti dei quali deve rispondere;
• a violazioni di obblighi derivanti da norme di ordine pubblico e agli altri casi vietati dall’art. 1229 c.c.;
• a morte o danni alla persona;
• agli obblighi di restituzione del prezzo, ai rimborsi commerciali e alla nuova bonifica dovuta in garanzia;
• alle responsabilità che la normativa sulla protezione dei dati personali o altre disposizioni inderogabili non consentano di escludere o limitare;
• ai rapporti con Consumatori, disciplinati dal comma 14.7.

14.6. Nessun limite contrattuale restringe diritti degli interessati, poteri delle autorità o responsabilità inderogabili ai sensi del GDPR. La responsabilità per personale, collaboratori e sub-responsabili segue la legge e l’Allegato A.

14.7. Nei rapporti con i Consumatori non si applicano i limiti ed esclusioni dei commi 14.2 e 14.3. Restano integralmente le tutele previste dal Codice del consumo e dalle altre norme inderogabili. Non sono previsti oneri probatori diversi da quelli legali o accettazioni tacite dei difetti.

14.8. La restituzione del prezzo prevista all’art. 11 estingue il debito restitutorio nella misura corrisposta; non costituisce una transazione, una liberatoria generale o una rinuncia automatica a pretese non validamente escludibili. Le clausole di questo articolo operano soltanto nell’ambito in cui risultino valide ed efficaci, anche ai fini della loro specifica approvazione.

15. Esecuzione immediata e recesso

15.1. Il Servizio è un intervento urgente, realizzato su misura sull’installazione del Cliente, la cui esecuzione inizia immediatamente dopo la conclusione del contratto con il relativo pagamento (art. 6.3) e la ricezione degli accessi (art. 10). Per il Cliente business il recesso è escluso ai sensi dell’art. 12.9. Per il Consumatore si applicano i commi seguenti.

15.2. Il Consumatore può ordinare il Servizio soltanto con avvio immediato. Nel modulo d’ordine, con una selezione dedicata, non preselezionata e distinta dall’accettazione delle Condizioni, il Consumatore:

• chiede espressamente che l’esecuzione del Servizio inizi subito, durante il periodo di 14 giorni previsto per il recesso (art. 51, comma 8, del Codice del consumo);
• riconosce che perderà il diritto di recesso una volta che il Servizio sarà stato completamente eseguito (art. 59, comma 1, lettera a, del Codice del consumo).

La richiesta e il riconoscimento sono riprodotti con data e ora nella conferma d’ordine. Senza tale selezione l’ordine non può essere inviato.

15.3. Completata la bonifica ai sensi dell’art. 10.4, compreso l’invio del report, il Consumatore non può più recedere dal contratto. Poiché l’esecuzione inizia subito e si conclude entro il termine massimo del piano (art. 5.4), questo avviene di regola entro poche ore dalla decorrenza.

15.4. Finché il Servizio non è completamente eseguito, il Consumatore conserva il diritto di recesso previsto dagli artt. 52 e seguenti del Codice del consumo, entro 14 giorni dalla conclusione del contratto. In tal caso:

• se recede prima che l’esecuzione sia iniziata, riceve il rimborso integrale;
• se recede a esecuzione iniziata, è tenuto a pagare un importo proporzionale a quanto effettivamente prestato fino alla comunicazione del recesso, calcolato sul prezzo totale concordato; se il prezzo totale è eccessivo, l’importo è calcolato sul valore di mercato di quanto prestato (art. 57, comma 3, del Codice del consumo).

Il Fornitore documenta le attività svolte e il criterio di proporzione e rimborsa la differenza. Non applica una tariffa oraria mai concordata, una quota minima fissa o l’intero prezzo per la sola presa in carico.

15.5. Il recesso si esercita inviando, prima della scadenza, una dichiarazione esplicita ai contatti dell’art. 1, per email, PEC o posta alla sede legale, oppure tramite la funzione «Recedere dal contratto qui» raggiungibile dal piè di pagina del Sito, che consente di indicare nome, riferimento dell’ordine e indirizzo email e di inviare la dichiarazione con «Conferma recesso». Il Fornitore conferma senza ritardo la ricezione su supporto durevole, con contenuto, data e ora. Non sono richiesti motivazione, moduli particolari o documenti identificativi.

15.6. Le somme dovute al Consumatore a seguito del recesso sono rimborsate entro 14 giorni dalla ricezione della comunicazione, con lo stesso mezzo di pagamento usato per l’ordine, salvo diverso accordo espresso senza costi (art. 56 del Codice del consumo). Il recesso non pregiudica i rimedi per inadempimento del Fornitore, né la risoluzione automatica e i rimborsi dell’art. 11.

16. Riservatezza e strumenti di analisi

16.1. Managed Server mantiene riservati credenziali, informazioni aziendali, codice, contenuti e dati conosciuti durante il Servizio e li utilizza solo per l’esecuzione dell’incarico e per gli ulteriori scopi legittimi espressamente previsti dalla legge e dal contratto.

16.2. L’accesso è limitato a personale autorizzato e a collaboratori vincolati alla riservatezza; per i dati personali si applica l’Allegato A. Non sono pubblicati nomi dei Clienti, screenshot, casi di studio o dettagli delle vulnerabilità senza distinta autorizzazione.

16.3. L’obbligo persiste dopo la cessazione del contratto. Non riguarda informazioni legittimamente pubbliche o ottenute lecitamente da fonti indipendenti. Una divulgazione imposta dalla legge è limitata al necessario, con informazione al Cliente quando consentito.

16.4. Le analisi eventualmente assistite da intelligenza artificiale sono eseguite con modelli nell’infrastruttura sotto il controllo di Managed Server, senza trasmettere codice, credenziali, contenuti o dati del Cliente a servizi di IA di terzi. Tali elementi non vengono impiegati per addestrare modelli generalisti. Gli esiti sono verificati dal personale tecnico.

16.5. L’invio di file, dump o campioni a servizi esterni di scansione, sandbox pubbliche o piattaforme di condivisione non è compreso nell’autorizzazione generale. Richiede preventiva autorizzazione specifica e, se coinvolge dati personali, il rispetto dell’Allegato A. La sola indicazione «analisi locale» non consente di ignorare eventuali trasmissioni effettuate da altri strumenti.

17. Dati personali e gestione degli incidenti

17.1. Per i dati necessari a preventivi, ordini, pagamenti, fatturazione e difesa dei propri diritti, Managed Server opera secondo i ruoli e le basi giuridiche descritti nell’informativa resa ai sensi degli artt. 13 e 14 GDPR, disponibile all’indirizzo https://rimozionemalware.com/privacy/ e comunicata prima della raccolta.

17.2. Quando il Servizio comporta il trattamento di dati personali per conto del Cliente, si applica l’Allegato A — Accordo ai sensi dell’art. 28 GDPR, parte del contratto. L’informativa sulla clientela e un eventuale NDA non sostituiscono tale accordo.

17.3. Il Cliente indica le categorie di dati presenti, le persone interessate, il proprio ruolo e le istruzioni necessarie nella scheda di attivazione prevista dall’Allegato A. Il Fornitore segnala le informazioni mancanti prima di accedere ai dati. Se il Cliente è a sua volta responsabile, deve possedere l’autorizzazione necessaria per il ricorso a Managed Server quale sub-responsabile.

17.4. La presenza di malware può comportare accesso abusivo, divulgazione, alterazione o perdita di dati. Il Fornitore comunica senza ingiustificato ritardo al Cliente le violazioni di dati personali delle quali venga a conoscenza nell’incarico e collabora secondo l’Allegato A. Il titolare valuta e assolve gli obblighi di notifica e comunicazione previsti dagli artt. 33 e 34 GDPR. Non si attende il completamento della bonifica per dare la prima segnalazione.

18. Materiali, licenze e report

18.1. Dati, contenuti e materiali del Cliente restano nella sua disponibilità. Le licenze di WordPress e dei componenti di terzi restano disciplinate dai rispettivi titolari e non vengono trasferite oltre i diritti consentiti.

18.2. Il Cliente assicura la disponibilità delle licenze necessarie e non può esigere l’uso di software contraffatto. Se la sicurezza richiede la sostituzione di un componente privo di licenza o non più mantenuto, si concorda una soluzione conforme all’art. 4.

18.3. Gli strumenti e il know-how preesistenti del Fornitore restano di sua titolarità, ferme le licenze open source applicabili. Il Cliente può conservare e utilizzare il report e condividerlo con propri consulenti, provider e autorità per gestione del sito, sicurezza e tutela dei diritti, nel rispetto della riservatezza verso terzi.

19. Reclami e risoluzione alternativa delle controversie

19.1. Reclami e contestazioni possono essere inviati ai contatti dell’art. 1. Managed Server fornisce un primo riscontro entro cinque giorni lavorativi e una risposta motivata entro quindici giorni lavorativi, oppure indica le ragioni dell’ulteriore tempo necessario e un termine ragionevole. Questi termini non sospendono scadenze per recesso, rimborsi o altri diritti.

19.2. Il Consumatore può ricorrere agli organismi ADR previsti dagli artt. 141 e seguenti del Codice del consumo. In caso di reclamo non risolto, il Fornitore comunica su supporto durevole le informazioni richieste dall’art. 141-sexies, incluso l’organismo pertinente e se intenda avvalersene. Alla data di questa versione Managed Server non aderisce ad alcun organismo ADR e non è obbligata ad aderirvi; l’eventuale adesione sarà indicata in questa pagina e nelle informazioni precontrattuali.

19.3. La piattaforma europea ODR prevista dal regolamento (UE) n. 524/2013 è stata dismessa; non è un canale utilizzabile per nuovi reclami. Per le controversie transfrontaliere il Consumatore può rivolgersi anche alla rete dei Centri Europei Consumatori.

19.4. Il reclamo o il tentativo ADR non costituiscono condizioni contrattuali obbligatorie per rivolgersi al giudice. Restano ferme le eventuali condizioni di procedibilità stabilite dalla legge.

20. Legge applicabile e competenza

20.1. Il contratto è regolato dalla legge italiana. Per i Consumatori con residenza abituale in un altro Paese questa scelta non priva delle protezioni inderogabili riconosciute dalla legge applicabile ai sensi dell’art. 6 del regolamento (CE) n. 593/2008, quando ne ricorrano i presupposti.

20.2. Per il Consumatore residente o domiciliato in Italia è competente il giudice del luogo di residenza o domicilio nei termini dell’art. 66-bis del Codice del consumo. Nelle controversie internazionali restano ferme le regole protettive applicabili, incluse quelle degli artt. 17–19 del regolamento (UE) n. 1215/2012.

20.3. Esclusivamente per i Clienti business, salvo competenze inderogabili, è competente in via esclusiva il Foro di Macerata; nei rapporti internazionali la relativa pattuizione opera nei limiti dei requisiti di validità ed efficacia previsti dalle norme applicabili.

21. Versione contrattuale, comunicazioni e conservazione

21.1. A ciascun ordine si applica la versione resa disponibile prima dell’invio e allegata alla conferma. Gli aggiornamenti successivi valgono per i nuovi ordini; non modificano unilateralmente prestazioni, garanzie o diritti già pattuiti. Le versioni precedenti, con la relativa data di vigenza, sono conservate da Managed Server e fornite su richiesta.

21.2. Accordi aggiuntivi, autorizzazioni specifiche e variazioni sostanziali sono documentati mediante email, documento sottoscritto anche con firma elettronica, selezione registrata nel modulo d’ordine o altro supporto durevole idoneo. Le registrazioni tecniche e i log sono elementi di prova valutabili secondo legge e non sono dichiarati unilateralmente incontestabili.

21.3. Il Fornitore conserva la documentazione contrattuale e fiscale per i periodi necessari previsti dalla normativa applicabile. Questa conservazione non autorizza a mantenere per lo stesso tempo intere copie dei siti o dei database, disciplinate dall’Allegato A.

21.4. L’eventuale invalidità di una clausola non pregiudica il resto del contratto quando possa sussistere senza di essa. Non comporta sostituzione automatica con una clausola ugualmente onerosa; si applica la disciplina legale pertinente, comprese le nullità di protezione.

22. Accettazione e approvazione specifica B2B

22.1. L’accettazione generale, resa con la casella «Accetto le condizioni», riguarda le Condizioni e l’Allegato A pubblicati in questa pagina. La richiesta di esecuzione immediata del Consumatore (art. 15.2) e l’approvazione specifica delle clausole B2B sono selezioni distinte nel modulo d’ordine, ciascuna non preselezionata.

22.2. Solo il Cliente business, ai sensi degli artt. 1341 e 1342 c.c., è chiamato ad approvare specificamente, mediante una selezione distinta e non preselezionata nel modulo d’ordine, recante la dichiarazione del comma 22.3, le seguenti previsioni:

• art. 11.5 e 11.9: scioglimento immediato alla scadenza massima senza ulteriore periodo di tre giorni ed esclusione dell’obbligo di proseguire la bonifica, fermi rimborso e chiusura sicura;
• art. 12.1 e 12.2: sospensione dell’esecuzione e delle sole soglie intermedie in presenza di impedimenti documentati, senza proroga della scadenza massima;
• art. 12.9: esclusione del recesso del Cliente business, compresa la facoltà prevista dagli artt. 1671 e 2227 c.c.;
• art. 14.2: esclusione della responsabilità risarcitoria per colpa lieve e per le categorie di danno indicate, con le eccezioni dell’art. 14.5;
• art. 14.3: limite subordinato del risarcimento per colpa lieve al corrispettivo del singolo Servizio al netto dell’IVA e ulteriori esclusioni di danno, con le eccezioni dell’art. 14.5;
• art. 20.3: competenza esclusiva del Foro di Macerata, salve competenze inderogabili.

22.3. Dichiarazione di approvazione specifica riportata nel modulo d’ordine:

Il Cliente business dichiara di aver letto e di approvare specificamente, ai sensi degli artt. 1341 e 1342 del Codice civile, le clausole 11.5 e 11.9 (scioglimento immediato al termine massimo e cessazione della bonifica, senza ulteriore periodo di tre giorni), 12.1 e 12.2 (sospensione per impedimenti documentati, senza proroga della scadenza massima), 12.9 (esclusione del recesso del Cliente business, anche ai sensi degli artt. 1671 e 2227 c.c.), 14.2 (esclusione della responsabilità risarcitoria per colpa lieve), 14.3 (limite subordinato del risarcimento e ulteriori esclusioni di danno), entrambe con le eccezioni dell’art. 14.5, e 20.3 (Foro esclusivo di Macerata).

Managed Server conserva, insieme all’ordine, l’evidenza della selezione: data e ora, versione delle Condizioni, identificativo dell’ordine, ragione sociale e persona che ha reso la dichiarazione, dati tecnici della sessione. Su richiesta di una delle parti l’approvazione può essere rinnovata sottoscrivendo con firma elettronica il documento riepilogativo dell’ordine.

22.4. L’approvazione specifica non sana clausole nulle né dimostra, da sola, una trattativa individuale. Le clausole riservate ai Clienti business non si estendono ai Consumatori per effetto di una selezione.

Allegato A — Accordo sul trattamento dei dati personali

Accordo ai sensi dell’art. 28 del regolamento (UE) 2016/679, collegato all’ordine del Servizio e accettato con le Condizioni.

A.1. Parti, ruoli e scheda del trattamento

Il Cliente identificato nell’ordine, in qualità di titolare del trattamento oppure di responsabile autorizzato dal titolare, incarica Managed Server S.r.l., identificata all’art. 1 delle Condizioni, quale responsabile o sub-responsabile del trattamento limitatamente al Servizio. Ruoli e autorizzazioni dipendono dall’organizzazione effettiva, non dalla sola qualifica commerciale del Cliente.

Gli elementi variabili sono indicati dal Cliente nella scheda di attivazione, che il Fornitore invia via email dopo la conferma d’ordine e che il Cliente restituisce compilata prima della consegna degli accessi; le risposte costituiscono parte del presente accordo.

Elemento	Specificazione
Ordine e installazione	Come identificati nell’ordine
Titolare effettivo dei dati	Indicato dal Cliente nella scheda di attivazione (identità e contatti)
Cliente, se distinto dal titolare	Indicato dal Cliente nella scheda di attivazione (ruolo e titolo dell’autorizzazione)
Referente privacy / eventuale DPO del Cliente	Indicato dal Cliente nella scheda di attivazione (email e contatto urgente)
Referente del Fornitore	info@rimozionemalware.com; managedserversrl@pec.it
Oggetto e finalità	Analisi dell’infezione, bonifica, protezione dell’installazione, verifiche e adempimenti successivi strettamente connessi
Operazioni autorizzate	Accesso, consultazione, ricerca, estrazione selettiva, copia cautelativa quando necessaria, analisi, correzione, ripristino autorizzato, quarantena, cancellazione di elementi malevoli e restituzione/cancellazione delle copie
Categorie ordinarie di dati	Solo quelle effettivamente presenti e necessarie: identificativi, contatti, account, credenziali o hash, indirizzi IP e log, contenuti, richieste, ordini, dati di fatturazione e transazioni
Categorie di interessati	Selezionate dal Cliente nella scheda di attivazione tra: utenti, clienti, visitatori, dipendenti, collaboratori, fornitori, altri
Dati particolari ex art. 9, dati ex art. 10, dati di minori	Presenza o assenza, categorie e cautele indicate dal Cliente nella scheda di attivazione, senza inserire i dati stessi
Luoghi del trattamento	Ambiente del Cliente: provider e Paesi indicati dal Cliente nella scheda di attivazione. Ambienti del Fornitore per accesso, analisi e copie: server gestiti da Managed Server e situati nello Spazio economico europeo, senza accessi da Paesi extra-SEE
Durata	Esecuzione del Servizio, attività di garanzia effettivamente richieste e tempo strettamente necessario alla restituzione/cancellazione secondo A.8
Istruzioni aggiuntive	Indicate dal Cliente nella scheda di attivazione, oppure «nessuna»

Qualora le categorie effettive eccedano la scheda, le parti la aggiornano prima di svolgere il relativo trattamento. Il Cliente segnala in particolare database sanitari, documenti identificativi, dati giudiziari o altre categorie che richiedano cautele ulteriori. La scoperta accidentale di tali dati comporta minimizzazione degli accessi e richiesta di istruzioni, senza divulgazione non necessaria.

A.2. Istruzioni e limiti dell’incarico

Managed Server tratta i dati soltanto su istruzioni documentate del Cliente, comprese quelle contenute nel contratto, salvo obblighi derivanti dal diritto UE o nazionale applicabile. In quest’ultimo caso informa il Cliente prima del trattamento, se la legge lo consente.

Le istruzioni non autorizzano marketing, profilazione, vendita dei dati, pubblicazione di campioni identificabili o addestramento di modelli generalisti. Il Fornitore informa immediatamente il Cliente se ritiene che un’istruzione violi la normativa sulla protezione dei dati e sospende soltanto l’operazione interessata finché sia chiarita la sua liceità.

Il Cliente conserva le decisioni su finalità, basi giuridiche, informative agli interessati, categorie dei dati affidati e liceità delle proprie istruzioni. Il Fornitore mantiene autonomia nelle scelte tecniche esecutive compatibili con tali istruzioni e con gli obblighi di legge. Nessuna dichiarazione del Cliente esclude gli obblighi autonomi del Fornitore.

A.3. Persone autorizzate e riservatezza

L’accesso è consentito solo a persone istruite, autorizzate e soggette a obblighi di riservatezza, nella misura necessaria all’incarico. Il Fornitore gestisce attribuzione, riesame e revoca dei privilegi, evitando credenziali condivise quando siano disponibili account individuali.

Quando le attività svolte e il ruolo effettivamente ricoperto rendono applicabili le disposizioni del Garante sugli amministratori di sistema, il Fornitore adotta gli adempimenti pertinenti, comprese individuazione degli incaricati, verifiche e registrazioni degli accessi previste dal provvedimento applicabile.

A.4. Minimizzazione e uso degli strumenti

Le verifiche sono svolte, quando possibile, direttamente nell’ambiente autorizzato o su estratti minimizzati. Copie integrali sono realizzate solo quando necessarie alla salvaguardia o alla bonifica; i dati estranei non vengono esaminati intenzionalmente o utilizzati per altri fini.

Si utilizzano canali protetti per credenziali e trasferimenti. Non sono caricati dati o campioni su servizi esterni non autorizzati. Gli strumenti di IA e gli strumenti di analisi rispettano l’art. 16 delle Condizioni e la disciplina dei sub-responsabili.

A.5. Misure tecniche e organizzative

Per le attività e gli ambienti sotto il proprio controllo, Managed Server adotta misure adeguate al rischio ai sensi dell’art. 32 GDPR, comprendenti almeno:

• accessi individuali e limitati al necessario; MFA per i sistemi interni che custodiscono credenziali o copie dei Clienti, quando tecnicamente disponibile;
• custodia delle credenziali in strumenti protetti, evitando password nei report o nei normali log;
• cifratura dei trasferimenti e delle copie operative conservate fuori dall’ambiente del Cliente, con separata protezione delle chiavi;
• separazione logica dei dati dei diversi Clienti e ambienti isolati per l’analisi di codice potenzialmente malevolo;
• aggiornamento e protezione dei dispositivi utilizzati, gestione delle vulnerabilità e limitazione dell’esecuzione dei campioni;
• registrazione proporzionata degli accessi e delle operazioni amministrative rilevanti, con protezione da accessi o alterazioni non autorizzati;
• cautele e copie di salvaguardia per modifiche distruttive, con verifiche ragionevoli di utilizzabilità;
• procedure per incidenti, revoca degli accessi, restituzione e cancellazione;
• riesame periodico dell’efficacia delle misure e formazione del personale coinvolto.

L’infezione preesistente non comporta una dichiarazione di conformità o sicurezza dell’ambiente del Cliente. Limiti di tale ambiente sono documentati e affrontati con misure proporzionate; non consentono di ridurre senza motivo le protezioni degli ambienti propri del Fornitore.

I log degli accessi e delle operazioni sui sistemi del Fornitore sono conservati per il tempo necessario alle finalità di sicurezza e di verifica, salvo obblighi di legge. In presenza di dati particolari ex art. 9, dati ex art. 10 o dati di minori, l’accesso è riservato ai soli tecnici assegnati all’incarico e le copie sono ridotte al minimo indispensabile.

A.6. Assistenza, violazioni e controlli

Il Fornitore assiste il Cliente, tenuto conto della natura del trattamento e delle informazioni disponibili, nelle richieste degli interessati e negli obblighi relativi a sicurezza, violazioni, valutazioni d’impatto e consultazioni preventive. Le richieste ricevute direttamente sono inoltrate senza ritardo al Cliente, salvo obblighi legali diversi.

Se viene a conoscenza di una violazione dei dati personali trattati nell’incarico, anche preesistente, Managed Server informa il Cliente senza ingiustificato ritardo. Il primo avviso contiene le informazioni già disponibili e viene integrato progressivamente; non si attende una diagnosi definitiva. Quando disponibili sono comunicati natura dell’evento, dati e interessati coinvolti, effetti, misure, tempi e contatto operativo.

La gestione tecnica del Servizio non equivale a un incarico di rappresentanza verso il Garante o gli interessati. Il titolare mantiene le decisioni e gli adempimenti previsti dagli artt. 33 e 34 GDPR; Managed Server non ostacola l’adempimento e fornisce tempestivamente gli elementi necessari.

Il Fornitore mette a disposizione le informazioni necessarie a dimostrare il rispetto dell’accordo e consente e contribuisce ad audit e ispezioni del Cliente o di un soggetto incaricato indipendente. Le verifiche sono organizzate con ragionevole preavviso e cautele per altri Clienti, segreti e sicurezza; in caso di incidente, urgenza o richiesta dell’autorità il preavviso non può impedire controlli tempestivi. Una relazione o certificazione disponibile non esclude ulteriori verifiche necessarie.

L’ordinaria cooperazione inerente al Servizio e la gestione di inadempimenti imputabili al Fornitore non comportano supplementi. Prestazioni straordinarie richieste dal Cliente possono essere preventivate separatamente, senza subordinare al pagamento gli obblighi inderogabili o ritardare l’assistenza urgente dovuta.

A.7. Sub-responsabili e trasferimenti internazionali

Il Cliente autorizza specificamente soltanto i soggetti elencati nella seguente tabella, per le attività descritte, nella versione vigente alla data dell’ordine e allegata alla conferma. Se nessun terzo tratta dati per conto del Fornitore, la tabella lo dichiara espressamente.

Ragione sociale e recapito	Attività e dati accessibili	Paesi di trattamento/accesso remoto	Eventuale garanzia per trasferimenti extra-SEE
Nessuno: alla data di questa versione nessun terzo tratta dati personali per conto di Managed Server nell’ambito del Servizio	—	—	Non applicabile

L’aggiunta o sostituzione di un sub-responsabile richiede preventiva autorizzazione scritta, anche elettronica, del Cliente. Il Fornitore impone al sub-responsabile obblighi di protezione sostanzialmente equivalenti a quelli pertinenti del presente accordo e resta responsabile verso il Cliente dell’adempimento del sub-responsabile secondo l’art. 28, paragrafo 4, GDPR.

I fornitori utilizzati per hosting delle copie, ticket contenenti dati, conservazione delle credenziali o accessi tecnici sono valutati in base alle attività effettive. Il provider già scelto dal Cliente per il proprio sito non diventa automaticamente un sub-responsabile di Managed Server. I prestatori di pagamento e gli altri soggetti coinvolti nella gestione amministrativa sono qualificati separatamente secondo i rispettivi ruoli effettivi.

Non sono effettuati trasferimenti o accessi da Paesi extra-SEE senza istruzioni documentate e un valido presupposto ai sensi del capo V GDPR. Se necessari, vengono indicati Paese, destinatario, garanzie, valutazioni e misure supplementari pertinenti prima del trasferimento. Una generica accettazione delle Condizioni non costituisce, da sola, consenso valido a deroghe sui trasferimenti internazionali.

A.8. Restituzione, cancellazione e fine dell’incarico

Il Cliente sceglie la restituzione o la cancellazione delle copie al termine delle attività. In mancanza di diversa istruzione documentata, dispone che siano cancellate non appena non più necessarie. Possono essere conservati sino alla scadenza della garanzia di 30 giorni soltanto gli elementi effettivamente necessari alla gestione della garanzia; questa previsione non autorizza la conservazione automatica di interi database per 30 giorni.

Entro sette giorni dal termine della necessità, Managed Server elimina le copie operative residue, salvo un obbligo di legge che ne imponga la conservazione. Le copie eventualmente presenti in backup di sicurezza del Fornitore rimangono protette, non utilizzate per finalità ordinarie e vengono eliminate con il ciclo di sovrascrittura, comunque entro 90 giorni dalla cancellazione operativa. Se ripristinate per necessità tecnica, le cancellazioni devono essere nuovamente applicate.

Su richiesta il Fornitore conferma le operazioni di cancellazione e l’eventuale scadenza residua dei backup. Restituzioni di archivi infetti sono effettuate con modalità protette e avvertenze esplicite, per evitare ripristini inconsapevoli del malware.

Le credenziali del Cliente sono eliminate dai sistemi operativi del Fornitore quando non più necessarie; per successivi interventi in garanzia possono essere richiesti nuovi accessi. Eventuali conservazioni prolungate per un obbligo legale sono limitate a quanto imposto, con informazione al Cliente quando consentita.

I dati amministrativi trattati dal Fornitore quale titolare autonomo seguono la relativa informativa. L’eventuale conservazione per difesa di diritti riguarda soltanto gli elementi strettamente necessari, su una base giuridica appropriata; non giustifica la conservazione indiscriminata di credenziali, copie dei siti o interi database.

A.9. Prevalenza e durata degli obblighi

In caso di conflitto sulle modalità di trattamento, prevale questo accordo rispetto alle altre clausole commerciali. Non sono limitati i diritti degli interessati o i poteri dell’autorità. Restano efficaci dopo la cessazione gli obblighi di riservatezza, protezione, restituzione e cancellazione finché pertinenti.