Io non l'ho mai fatto, ed ora non mi ricordo il perché anche un avvocato mi aveva detto con non ero tenuto a farlo. Non ho dati sensibili dei clienti se non quelli necessari alla fatturazione.

Inoltre tu non offri il servizio di hosting, ma consigli l'uso di un hosting di terze parti, non avendo tu un server a te intestato dove risiedono i siti dei clienti. Esattamente come me. Non ho un mio server, ma dico al cliente di fare il contratto X con il provider Y. In questo modo è il provider Y che si prende in carico i dati sensibili del cliente.

M.

Però durante le fasi di sviluppo e di manutenzione si maneggiano i DB dei clienti... non conta questo? Varie copie di back-up, ecc...

La manutenzione la fai sul sito del cliente che sta sulla macchina del cliente, che non è tua quindi non serve.

Per lo sviluppo non mi sono mai fatto questa paranoia, visto che comunque cancello tutti i dati del DB appena ho finito il lavoro. Non ci avevo mai pensato, ma non penso che solo per la fase di sviluppo io debba fare un DPS.

M.

La normativa parla molto chiaro al riguardo. Lo sviluppatore che maneggia database dei clienti non inserisce tali database nel PROPRIO DPS (ammesso che sia tenuto a compilarlo per altri motivi).
E' nel DPS del cliente (se tenuto ad averlo) che lo sviluppatore deve essere eventualmente citato come entità esterna autorizzata a mantenere e/o usare tali database.
A tale riguardo il DPS del cliente dovrà evidenziare che tali database sono utilizzati ANCHE in strutture esterne all'azienda (se fisicamente presenti anche altrove), altrimenti basterà la normale lettera di nomina con le relative autorizzazioni all'uso dei database intestata allo sviluppatore.
Da notare che la presenza di tali dati su di un sito localizzato presso il provider ma con proprietà e gestione del cliente (sia pure tramite collaboratore esterno) non configura secondo me la localizzazione esterna dei dati (anche per l'impossibilità fisica di sapere DOVE effettivamente sono questi benedetti dati)

Quindi, in parole povere
lo sviluppatore non ha alcun obbligo, semmai tali oneri ricadono sulle spalle del cliente, anche nel caso in cui dominio e DB vengono mantenuti dallo sviluppatore ma sono di proprietà del cliente.
(spero di aver capito correttamente)

La mia interpretazione sarebbe quella (un pochettino di DPS ne ho compilati per i miei clienti), ora sentiamo se qualche altro trova delle pecche nel ragionamento.

Scusa se ne approfitto, ma visto che sei sicuramente più esterto di me ti pongo un'altra domanda:

nel caso in cui codice sorgete e struttura del DB rimangano proprietà dello sviluppatore... in pratica si "affitta" lo strumento (ovvero il sito) al cliente.
In questo caso i dati sono comunque di proprietà del cliente (ovviamente) mentre "l'infrastruttura" è dello sviluppatore. In questo caso come ci si dovrebbe comportare?

(ps: credo che per poche centinaia di euro il DPS si possa stendere ugualmente per esser più tutelati... è giusto per capire se uno è obbligato, o se è solo uno scrupolo in più)

@Beppesan: il DPS cura i dati sensibili, non la struttura con cui vengono memorizzati. E' come dire che Sun dovrebbe fare migliaia di DPS perchè il DB usato come storage di tantissimi dati utenti è MySQL.

M.

Commetti un errore, tu per database consideri lo strumento che gestisce i dati e questo non è corretto, per database la legge considera i DATI contenuti nello stesso.
Se tu possiedi una agenda e la presti o affitti ad un terzo perche LUI o tu per lui ci scriva sopra delle informazioni il database non è l'agenda ma i dati ivi contenuti e questi sono di competenza di chi la affitta e non tua (praticamente deve considerare tale agenda ai fini del DPS come in "outsourcing" e deve autorizzare il tenutario all'utilizzo per suo conto).
Stessa cosa per rimanere in ambito informatico la licenza di un software contabile, il DPS in tal caso è di competenza di chi USA il software e non di chi lo mantiene e lo affida in licenza o in noleggio.

Perfetto, chiarissimo!
Grazie