Il documento disciplina la piattaforma GuardianSOC / SCUDO e deve essere letto congiuntamente agli ordini, ai piani di servizio e agli accordi eventualmente sottoscritti con il cliente.
1. Ruoli e oggetto
Il cliente opera quale titolare o altro soggetto legittimato a impartire istruzioni; UESE opera quale responsabile del trattamento nei limiti dei servizi descritti nell’ordine e nel presente DPA. Nessuna disposizione trasferisce a UESE le decisioni sulle finalità del trattamento proprie del cliente.
2. Durata
Il trattamento dura per il periodo di erogazione del servizio e per le ulteriori finestre tecniche di cancellazione, backup o conservazione previste dal contratto, salvo obblighi di legge o istruzioni compatibili con la normativa.
3. Natura e finalità
Le operazioni possono comprendere raccolta, ricezione, organizzazione, conservazione, consultazione, correlazione, visualizzazione, estrazione, cancellazione e messa a disposizione di telemetria, inventari, log, alert, evidenze e dati di account necessari alla sicurezza e alla gestione del servizio.
4. Categorie di dati e interessati
Possono essere trattati dati identificativi e professionali degli utenti, identificativi tecnici di account e dispositivi, indirizzi IP e MAC, hostname, log di accesso, informazioni su software e configurazioni e dati contenuti nelle evidenze caricate dal cliente. Gli interessati possono includere dipendenti, collaboratori, amministratori e referenti del cliente.
5. Istruzioni documentate
UESE tratta i dati secondo contratto, configurazioni del tenant e istruzioni documentate. Se un’istruzione appare in contrasto con il diritto applicabile, UESE informa il cliente nei limiti consentiti. Le istruzioni non devono imporre attività tecnicamente o giuridicamente incompatibili con il servizio.
6. Riservatezza e autorizzazioni
Le persone autorizzate al trattamento sono vincolate alla riservatezza e ricevono accessi commisurati alla funzione. Gli accessi amministrativi e di supporto devono essere limitati, tracciati e riesaminati.
7. Misure di sicurezza
Le misure comprendono segregazione tenant, autenticazione, 2FA per i ruoli previsti, protezione delle sessioni, cifratura delle comunicazioni, gestione dei segreti, audit log, backup applicativi, hardening e procedure di gestione incidenti. Le misure specifiche possono essere dettagliate in allegato tecnico o Security Policy.
8. Sub-responsabili
UESE può ricorrere a sub-responsabili nel rispetto dell’art. 28 GDPR. L’elenco effettivo deve indicare servizio, localizzazione e ruolo. Le condizioni con i sub-responsabili devono imporre obblighi sostanzialmente equivalenti a quelli rilevanti per il trattamento affidato.
9. Assistenza al titolare
Tenendo conto della natura del trattamento, UESE assiste il cliente nell’evasione delle richieste degli interessati e, per quanto pertinente, negli obblighi relativi a sicurezza, violazioni di dati personali, valutazioni d’impatto e consultazioni preventive. L’assistenza può essere soggetta alle condizioni economiche del piano quando eccede il supporto ordinario.
10. Data breach
UESE informa il cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione di dati personali che interessa dati trattati per conto del cliente. La comunicazione contiene le informazioni disponibili utili alla valutazione dell’evento e viene aggiornata quando emergono elementi ulteriori.
11. Audit e informazioni
UESE mette a disposizione informazioni ragionevolmente necessarie a dimostrare il rispetto degli obblighi pertinenti. Gli audit devono essere pianificati, proporzionati, non interferire indebitamente con sicurezza e continuità e proteggere informazioni riservate di altri clienti.
12. Trasferimenti extra SEE
I trasferimenti internazionali sono effettuati solo in presenza di un meccanismo valido e delle valutazioni richieste. Il cliente è informato dei sub-responsabili e delle localizzazioni rilevanti secondo le procedure contrattuali.
13. Cancellazione o restituzione
Al termine del servizio UESE cancella o restituisce i dati secondo istruzioni contrattuali, salvo obbligo legale di conservazione. Le copie residue in backup vengono eliminate secondo i cicli tecnici applicabili e non sono riutilizzate per finalità ulteriori.
Riferimenti normativi e di governance
- Art. 28, 32, 33-36 del Regolamento (UE) 2016/679
- Data Retention & Deletion Policy GuardianSOC
- Security Policy GuardianSOC