Una strategia di uscita, anche per il nuovo cloud

Modulo 8: Backup, uscita e gestione · Tempo di lettura: 11 minuti

Obiettivo della lezione: dopo questa lezione sarà in grado di definire e testare una strategia di uscita, in modo da poter lasciare anche il nuovo fornitore in futuro senza conseguenze negative, e conoscerà i diritti che il GDPR e il regolamento sui dati europeo (Data Act) Le riconoscono a tal fine.

Concetti chiave: strategia di uscita, test di uscita, formato di esportazione, standard aperto, periodo di preavviso, periodo transitorio, restituzione e cancellazione dei dati, art. 28 par. 3 lett. g GDPR, Data Act dell'UE (Regolamento (UE) 2023/2854), diritto al cambio di fornitore, costi di passaggio, nome di dominio in gestione propria

Perché pensare già ora a un'eventuale uscita?

Ha appena effettuato il passaggio, oppure è ancora in corso. Perché dovrebbe già pensare al prossimo cambio? Perché altrimenti imparerà di nuovo la lezione di questo corso tra cinque anni. Con il Suo vecchio servizio ha incontrato degli ostacoli (lezione 2.3): file in un formato proprietario, chat che non potevano essere trasferite, accesso tramite un account che voleva chiudere. Una strategia di uscita fa sì che questi stessi ostacoli non vengano ricreati con il nuovo servizio.

Ci sono anche motivi che non dipendono da Lei: il fornitore viene acquisito (per esempio da un'azienda esterna all'UE, cambiando così improvvisamente le risposte alle domande della lezione 2.1), aumenta notevolmente i prezzi, interrompe un servizio o fallisce. Chi ha un piano può scegliere con calma. Chi non ha un piano deve migrare sotto pressione del tempo.

I tre livelli di una strategia di uscita

Primo livello, tecnico: riesce a recuperare i Suoi dati, in un formato utilizzabile?

Per ogni componente, annoti come esportarlo e in quale formato. Con un servizio che utilizza standard aperti (lezione 2.2), la situazione è chiara:

Secondo livello, contrattuale: cosa prevedono i Suoi accordi riguardo all'uscita?

Legga, al momento della sottoscrizione e non al momento della disdetta, il periodo di preavviso, se durante tale periodo potrà ancora accedere pienamente ai Suoi dati, per quanto tempo i dati rimarranno disponibili dopo la fine del contratto e quando e come verranno cancellati. Desidera ricevere una conferma dell'avvenuta cancellazione?

Terzo livello, organizzativo: chi sa come procedere?

Un piano che esiste solo nella mente di un collega non è un piano. Inserisca la strategia di uscita in un documento conservato insieme alla Sua documentazione amministrativa, con l'indicazione degli amministratori e delle credenziali di accesso dell'account di amministrazione (nel gestore delle password, lezione 7.4).

Cosa prevede il GDPR

Se utilizza il servizio per dati personali di terzi (clienti, soci, dipendenti), il fornitore è il Suo responsabile del trattamento e stipula con lui un accordo sul trattamento dei dati (DPA, art. 28 GDPR) (lezione 9.2). L'articolo 28, paragrafo 3, lettera g, del GDPR stabilisce che in tale accordo deve essere previsto che il responsabile del trattamento, al termine del servizio e a scelta del titolare, cancelli tutti i dati personali o li restituisca, ed elimini le copie esistenti, salvo che una norma di legge imponga la conservazione. Questa è la Sua base legale per recuperare i Suoi dati al momento dell'uscita e per farli successivamente cancellare. Chieda effettivamente questa cancellazione e richieda una conferma.

Questa è una spiegazione, non una consulenza legale. In caso di dubbi sulla Sua situazione specifica, si rivolga a un legale o al Suo responsabile della protezione dei dati (RPD/DPO).

Cosa prevede il Data Act dell'UE

Dal 12 settembre 2025 si applica il Data Act dell'UE (Regolamento (UE) 2023/2854). Il capo VI (articoli da 23 a 31) riguarda il cambio di fornitore tra servizi cloud e si applica ai fornitori dei cosiddetti servizi di trattamento dati, tra cui i comuni servizi online per archiviazione, posta elettronica e collaborazione. I punti principali:

• Il fornitore deve rendere possibile il cambio di fornitore e rimuovere gli ostacoli (art. 23), e gli accordi relativi al cambio devono risultare da un contratto scritto (art. 25).
• Il periodo di preavviso per avviare il cambio è di al massimo due mesi (art. 25, par. 2, lett. d).
• Segue poi un periodo transitorio di al massimo 30 giorni di calendario durante il quale il fornitore presta assistenza e il servizio continua a funzionare (art. 25, par. 2, lett. a). Se ciò non è tecnicamente fattibile, il fornitore deve comunicarlo entro 14 giorni lavorativi e può proporre un periodo più lungo, fino a un massimo di sette mesi (art. 25, par. 4). Può prorogare il periodo transitorio una sola volta (art. 25, par. 5).
• Dopo il periodo transitorio, dispone di almeno 30 giorni di calendario per recuperare i Suoi dati (art. 25, par. 2, lett. g), dopodiché il fornitore deve cancellare tutto completamente (lett. h).
• Il fornitore deve descrivere in anticipo quali dati può portare con sé e in quali formati (art. 25, par. 2, lett. e, e art. 26).
• Costi di passaggio: fino al 12 gennaio 2027 un fornitore può addebitare solo costi ridotti, non superiori ai propri costi effettivi; a partire dal 12 gennaio 2027 non potrà più addebitare alcun costo di passaggio (art. 29). I normali costi di abbonamento e una penale per disdetta anticipata non rientrano in questa disposizione.

Esistono delle eccezioni, per esempio per i servizi costruiti in gran parte su misura per un singolo cliente, e per le versioni di prova (art. 31). Il Data Act rende quindi più semplice il cambio di fornitore, ma non esporta i Suoi dati al Suo posto. Un formato di esportazione che nessun altro può leggere resta comunque un problema; per questo gli standard aperti restano importanti.

Il Suo nome di dominio: la chiave più importante

Un elemento rende qualsiasi uscita molto più semplice: un nome di dominio proprio, in gestione propria. Se il Suo indirizzo di posta è info@example.com e il nome di dominio è intestato alla Sua organizzazione, può trasferire la posta verso qualsiasi fornitore modificando i record MX (lezione 4.3). Se invece il Suo indirizzo è bakkerijdekorrel@gmail.com oppure il nome di dominio è vincolato all'account del Suo fornitore, al momento dell'uscita rischia di perdere l'indirizzo o di dipendere dalla sua collaborazione.

Verifichi quindi:

• che il nome di dominio sia intestato all'organizzazione (titolare), non a un ex dipendente o a un web designer;
• presso quale registrar è registrato e come richiedere il codice di trasferimento;
• che il Suo cloud utilizzi un indirizzo sul Suo dominio proprio, come cloud.example.com, in modo che app e link non dipendano da un indirizzo del fornitore.

Il test di uscita

Una strategia di uscita si testa proprio come un backup: facendolo realmente, su piccola scala. Presso De Korrel, Ruud lo fa una volta all'anno, in un pomeriggio tranquillo:

1. Esporta una cartella di documenti, il calendario condiviso "Consegne" (ICS) e la rubrica "Fornitori" (vCard).
2. Apre questi file in un altro ambiente: un altro programma di calendario, un'altra rubrica, un altro pacchetto office.
3. Verifica: gli appuntamenti arrivano con gli orari e le ricorrenze corrette? I numeri di telefono sono associati ai nomi giusti? I documenti si aprono con la formattazione corretta?
4. Annota cosa non ha funzionato e adatta la strategia di conseguenza.

Nell'esercizio A8.2, farà controllare questo da un programma in modo automatico.

Nella pratica: come si presenta presso un fornitore

Un Nextcloud di WebOké funziona con standard aperti: i Suoi file li recupera con l'app desktop o WebDAV, i calendari li esporta come ICS e i contatti come vCard, e i documenti sono salvati come docx, xlsx, pptx oppure odt nei Suoi file. La guida descrive anche come effettuare il passaggio da un altro fornitore Nextcloud utilizzando l'app desktop e i file ICS e vCard; lo stesso percorso funziona anche nella direzione opposta. La posta elettronica si trova in un pacchetto di posta che può copiare tramite IMAP verso qualsiasi altro fornitore. I nomi di dominio possono essere trasferiti a un altro registrar tramite un codice di trasferimento.

Presso altri fornitori europei il funzionamento è simile, se utilizzano gli stessi standard aperti. Lo verifichi prima di firmare.

Riepilogo

• Pianifichi la Sua eventuale uscita già all'inizio: dal punto di vista tecnico (formati di esportazione), contrattuale (disdetta, restituzione, cancellazione) e organizzativo (chi sa come procedere).
• Art. 28, par. 3, lett. g GDPR: al termine, restituzione o cancellazione dei dati, a Sua scelta.
• Il Data Act: periodo di preavviso di al massimo due mesi, periodo transitorio di al massimo 30 giorni (in via eccezionale sette mesi), almeno 30 giorni per recuperare i dati, e dal 12 gennaio 2027 nessun costo di passaggio.
• Il Suo nome di dominio in gestione propria è la chiave più importante per qualsiasi uscita.
• Testi la Sua strategia di uscita una volta all'anno, su piccola scala.

Quiz

Esercizio

Esercizio A8.2: Test di uscita con controllo automatico. Esporti dal Suo nuovo servizio un calendario (ICS), una rubrica (vCard) e alcuni documenti, e li carichi come zip o come file separati. Il programma verificherà se i file sono validi e in un formato aperto o comune, e confronterà i conteggi con quanto da Lei indicato.

Esercizio E8.2: La Sua strategia di uscita in una pagina. Compili per ogni componente come effettuare l'esportazione e in quale formato, cerchi nel Suo contratto o nelle condizioni generali il periodo di preavviso e gli accordi relativi alla restituzione e alla cancellazione, e verifichi a nome di chi è intestato il Suo nome di dominio.

Per approfondire

I passaggi descritti in questi articoli valgono per i servizi di WebOké; presso altri fornitori il funzionamento è simile.

• Guida a Nextcloud 13.7: Da Nextcloud Free a un pacchetto a pagamento, o da un altro fornitore Nextcloud
• Guida a Nextcloud 14.5: Il Suo Nextcloud su un dominio proprio (cloud.suaazienda.it)
• Guida WebOké 5.12: Trasferire un dominio: codice di trasferimento (EPP) e blocco al trasferimento
• Guida WebOké 11.7: Privacy: scaricare o far eliminare i propri dati
• Regolamento (UE) 2023/2854 (Data Act), capo VI, articoli da 23 a 31: https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32023R2854
• GDPR (Regolamento (UE) 2016/679), articolo 28: https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679