Condizioni d'uso e modalità di accesso alla Cloud GARR

Il presente documento descrive le caratteristiche e le condizioni di uso dell'accesso alla Cloud GARR ed ai suoi servizi (di seguito anche definiti Servizi), esso costituisce l'Allegato 2 alla Convenzione per l'accesso alle risorse cloud sottoscritto da GARR e dall'Ateneo/Ente che aderisce all'accordo e che nel prosieguo sarà indicato genericamente Ateneo/Ente.

Premesse

1) Supporto tecnico GARR Cloud. È il gruppo tecnico che amministra e gestisce le risorse della cloud GARR

2) Dominio. All'Ateneo/Ente viene assegnato un "Dominio", a cui fanno capo tutte le risorse ad esso assegnate.

3) Progetto. Le risorse all'interno di ciascun dominio sono distribuite in uno o più progetti. Ciascun progetto può a sua volta contenere sotto-progetti. Gli utenti della piattaforma accedono ai progetti a loro assegnati. La struttura così definita viene chiamata Virtual Data Center (vDC).

4) Amministratore di Dominio. L'Ateneo/Ente designerà una propria persona come "Amministratore di Dominio", al quale verranno assegnati i diritti per effettuare i compiti di amministrazione delle risorse del Dominio, in particolare creazione/eliminazione di progetti e sotto-progetti, ridistribuzione delle quote, assegnazione/revoca di utenti ai (sotto-)progetti. L'Amministratore di Dominio è anche il riferimento dell'Ateneo/Ente per le segnalazioni di incidenti di sicurezza da parte del GARR-CERT, di CERT di altre organizzazioni, e delle autorità giudiziarie comunicate dal supporto tecnico GARR Cloud.

5) Gestione e Sicurezza. La gestione dell'infrastruttura utilizzata per fornire la Piattaforma è certificata secondo lo standard ISO 27001, applicando procedure per (i) garantire la sicurezza dell'infrastruttura e la riservatezza dell'Applicazione e dei Dati utente, (ii) proteggere da pericoli noti o minacce alla sicurezza o all'integrità dell'Applicazione e dei Dati utente e (iii) proteggere dall'accesso o dall'uso non autorizzato dell'Applicazione e dei Dati utente.

6) Posizione dei dati. Se richiesto, all'Amministratore di Dominio può essere data la possibilità di selezionare una regione geografica, tra quelle messe a disposizione, in cui si trova l'infrastruttura di archiviazione e calcolo che ospita i Servizi forniti all'Ateneo/Ente. In ogni caso, le regioni geografiche disponibili sono situate in territorio italiano.

7) Utente: I Servizi sono rivolti alla comunità accademica e della ricerca italiana (studenti, professori, ricercatori, collaboratori, ecc.) e sono offerti solo agli utenti dell'Ateneo/Ente che fanno richiesta di iscrizione (richiesta di "Account"), utilizzando uno degli Identity Provider accettati dalla Piattaforma. L'Amministratore di Dominio afferente all'Ateneo/Ente può assegnare utenti ai progetti.

8) Account . A ciascun Utente della piattaforma cloud viene assegnato un Account per utilizzare i Servizi e Token di autorizzazione per eseguire operazioni specifiche. L'Utente è responsabile della sicurezza e dell'utilizzo del proprio Account.

1. Uso corretto (Acceptable Use Policy - AUP)

Gli Utenti e l'Amministratore di Dominio sono responsabili dell'attività che si verifica sui progetti a loro assegnati. L'Ateneo/Ente ed i suoi Utenti non devono utilizzare alcun metodo per aggirare le disposizioni delle presenti Condizioni d'uso o per ottenere risorse in eccesso rispetto a quelle per le quali hanno stipulato un Accordo con GARR e devono utilizzare solo quelle risorse di calcolo, memoria, archiviazione e indirizzi IP che sono loro assegnate da GARR.

L'Utente associato a un Dominio che sospetti o venga a conoscenza di un utilizzo non autorizzato del proprio Account, dovrà immediatamente avvisare l'Amministratore di Dominio e il supporto tecnico GARR.

I Servizi Cloud GARR sono a disposizione dell'Ateneo/Ente al fine di supportare le sue attività istituzionali educative, di ricerca ed accademiche. L'utilizzo dei servizi deve essere conforme alle presenti condizioni d'uso e le AUP della rete GARR. È inoltre espressamente vietato qualsiasi utilizzo:

• Che viola le leggi applicabili.
• Che è inappropriato, diffamatorio, offensivo, molesto, minaccioso o osceno.
• Che viola il brevetto, il marchio, il copyright, i segreti commerciali o altri diritti di proprietà di qualsiasi parte.
• Che invia schemi piramidali, catene di Sant'Antonio o messaggi o pubblicità non richiesti.
• Che promuove o favorisce attività illegali e/o istiga alla violenza contro qualsiasi gruppo o persona.

È vietato qualsiasi uso dannoso dei Servizi che ostacoli l'uso dei Servizi stessi o di altri servizi di terze parti, o sfrutti vulnerabilità per ottenere l'accesso illegale ai sistemi da parte di terzi o per il furto di dati personali o privati. Più specificatamente ma non esclusivamente:

• È vietato agire in qualsiasi modo per inibire o bloccare i servizi, i server o le reti che li interconnettono nonché per violare le procedure, le politiche o i regolamenti di tali reti.
• È vietata qualsiasi azione o tentativo di violare i meccanismi di autenticazione e autorizzazione della Piattaforma.
• È vietato diffondere malware e/o virus informatici per qualunque scopo come, ad e esempio, lo sfruttamento di vulnerabilità o il dirottamento di dati.
• È vietato esporre qualsiasi vulnerabilità che potrebbe favorire attività dannose, anche non direttamente correlate al software ospitato sulla piattaforma (es. Attack reflection, DDOS).
• Son vietati gli attacchi di Port Scanning, Network Scanning, Denial of Service e Distributed Denial of Service sono proibiti.
• È vietato utilizzare i servizi per attività di phishing.
• È vietato ospitare server che diffondono traffico non autorizzato come relè aperti o nodi di uscita TOR.
• E' vietata l'estrazione di valuta virtuale e qualsiasi programma di calcolo di lunga durata sono proibiti (BitCoin, ecc.).
• È vietato utilizzare / mantenere qualsiasi server di gioco.
• È vietato supportare terze parti nella violazione dei Servizi in modo illegale o in modo da violare le condizioni d'uso.
• È vietato rimuovere qualsiasi avviso di copyright, marchio commerciale o altri diritti di proprietà intellettuale per qualsiasi contenuto utilizzato nei Servizi.

2. Copyright, marchio, brevetto o segreto commerciale

Gli Utenti non possono utilizzare i Servizi in violazione dei diritti d'autore, marchi, brevetti o segreti commerciali di terzi, né devono utilizzare i Servizi per pubblicare tali materiali in un modo che li esporrebbe alla vista del pubblico in violazione della legge.

L'Ateneo/Ente e i suoi utenti sono responsabili di garantire che la distribuzione e l'uso di software attraverso le risorse informatiche della cloud GARR avvenga nel rispetto della licenza e dei termini di utilizzo del proprietario dei diritti di proprietà intellettuale del software.

3. Sospensione o risoluzione

Se l'Ateneo/Ente e/o l'Amministratore di Dominio vengono a conoscenza o sono informati dal supporto tecnico della Cloud GARR che un'Applicazione, Progetto o Dato viola l'AUP o le presenti Condizioni d'Uso, essi devono sospendere immediatamente l'Applicazione e rimuovere i Dati pertinenti (se applicabile). In caso di violazioni che comportino particolare urgenza, GARR avrà il diritto di disabilitare il Progetto o l'Applicazione e/o disabilitare immediatamente gli Account (a seconda del caso) fino a quando tale violazione non verrà corretta.

4. Privacy

Il trattamento dei dati personali avviene nel pieno rispetto della normativa sulla privacy secondo le leggi italiane ed europee applicabili, in particolare il Regolamento generale sulla protezione dei dati (DPR - Regolamento UE 2016/679).

Ulteriori dettagli sul trattamento dei dati personali sono descritti nell'Allegato 4 alla Convenzione per l'accesso alla cloud GARR.

5. Garanzie e limitazione di responsabilità

GARR non si assume alcuna responsabilità per i contenuti e i dati distribuiti tramite i Servizi. La responsabilità sulla legittimità dei contenuti/dati o dei mezzi del loro utilizzo resta esclusivamente a carico dell'Ateneo/Ente.

GARR prenderà tutte le misure ragionevoli e necessarie per prevenire abusi, danni, perdita di contenuti e di dati e indisponibilità anche temporanea degli stessi; tuttavia, GARR non può escludere tali possibilità e non si assume alcuna responsabilità in nessun caso. L'Ateneo/Ente, nelle persone dell'Amministratore e dei suoi Utenti, deve proteggere i propri dati eseguendo i propri backup nella maniera che ritiene più idonea per affrontare i rischi di perdite. GARR non può essere ritenuto responsabile in alcun caso per la perdita di dati o per la loro indisponibilità per qualsivoglia durata temporale, durante l'utilizzo dei Servizi né per eventuali danni consequenziali. Inoltre, GARR non garantisce né si assume alcuna responsabilità per l'accuratezza dei dati disponibili tramite i Servizi.

Le opinioni espresse nei testi pubblicati tramite i Servizi non rappresentano le opinioni ufficiali di GARR, che non può essere ritenuto responsabile del loro contenuto.

GARR non controlla né monitora in alcun modo il contenuto delle informazioni distribuite e dei dati distribuiti, pertanto GARR declina ogni tipo di responsabilità per l'eventuale distribuzione sulla propria rete di prodotti, servizi o tramite i quali la proprietà o la distribuzione costituisce una violazione del copyright o altro reato. GARR valuta la richiesta di risorse e servizi Cloud previa esecuzione, da parte del richiedente, di un processo di analisi e valutazione del rischio di sicurezza nel trattamento dei dati personali, ai sensi dell'art. 32 del GDPR, secondo una metodologia indicata da GARR, quale ad esempio quella proposta da ENISA. GARR si riserva la facoltà di rigettare la richiesta qualora il rischio emerso dal suddetto processo risulti non accettabile. L'ente richiedente, in caso di modifiche, dovrà procedere a una nuova valutazione del rischio, informando tempestivamente GARR.

6. Confidenzialità

L'utente dell'Ateneo/Ente dovrà mantenere riservate tutte le informazioni riservate a cui gli viene dato accesso e collaborerà con l'impegno di GARR per mantenerne la riservatezza. L'utente dell'Ente non deve pubblicare a terzi o distribuire informazioni o documentazione che GARR fornisce ai fini del funzionamento e della manutenzione dei propri sistemi, incluso il materiale contenuto in preventivi, fatture, ordini di lavoro o altro materiale simile.