La presente informativa riguarda i trattamenti per i quali UESE ITALIA S.p.A. opera quale titolare. Per i dati trattati per conto dei clienti mediante Collector, Agent, inventari, log e telemetria, il ruolo di UESE può essere quello di responsabile del trattamento ed è disciplinato dal DPA applicabile.
1. Titolare del trattamento e assetto di governance
Il titolare del trattamento per le attività descritte nella presente informativa è UESE ITALIA S.p.A., con sede legale in Piazza Trivulziana 4/A, 20126 Milano (MI), Italia. GuardianSOC / SCUDO costituisce tecnologia proprietaria UESE ITALIA S.p.A. e integra funzioni di cyber asset management, monitoraggio, amministrazione multi-tenant e gestione delle evidenze.
La governance privacy è coordinata con i presidi di sicurezza e con il modello organizzativo della piattaforma. Il DPO indicato per GuardianSOC è il Dr. Giuseppe Izzo. Le richieste privacy possono essere indirizzate attraverso i recapiti ufficiali pubblicati nel portale e nella sezione Contatti.
2. Categorie di interessati
I trattamenti possono riguardare visitatori del sito, utenti registrati, amministratori, operatori SOC, personale dei Partner, referenti tecnici e amministrativi dei clienti, soggetti che inviano richieste commerciali o di supporto e, limitatamente alle funzionalità attivate dal cliente, persone cui siano associati account o dispositivi aziendali.
- Visitatori e prospect
- Utenti autorizzati alla piattaforma
- Referenti di clienti e Partner
- Amministratori di sistema e tecnici
- Soggetti indicati nei ticket, negli audit log o nelle evidenze caricate dal cliente
3. Dati trattati
Il sito e la piattaforma trattano dati identificativi, professionali, di contatto, credenziali e metadati di autenticazione, log di accesso, eventi di sicurezza, informazioni tecniche relative a browser e sessioni, nonché dati necessari alla gestione contrattuale e all’assistenza.
Quando il cliente abilita Collector o Agent possono essere trattati indirizzi IP, MAC address, hostname, informazioni su sistema operativo e software, identificativi tecnici di dispositivo, stato di rete, timestamp, stato dei controlli, alert e altri metadati di sicurezza. Il set effettivo dipende dalle funzioni attivate e dalle istruzioni del cliente.
4. Finalità e basi giuridiche
I dati sono trattati per erogare il servizio, autenticare gli utenti, gestire organizzazioni e ruoli, fornire supporto, prevenire abusi, tutelare l’infrastruttura, adempiere a obblighi amministrativi e normativi e gestire rapporti precontrattuali e contrattuali.
Le basi giuridiche possono includere esecuzione del contratto o misure precontrattuali, adempimento di obblighi di legge, legittimo interesse alla sicurezza, alla prevenzione delle frodi e alla tutela dei sistemi, nonché consenso quando richiesto per specifiche attività opzionali.
5. Dati di sicurezza, log e accountability
GuardianSOC registra eventi necessari a garantire tracciabilità, sicurezza e responsabilità amministrativa. I log possono includere identità dell’utente, tenant, operazione effettuata, data e ora, oggetto interessato, indirizzo IP e informazioni tecniche necessarie a ricostruire l’evento.
L’accesso ai log è limitato secondo ruolo e necessità. I log non devono essere utilizzati per finalità estranee alla sicurezza o alla governance senza una base giuridica e un’adeguata valutazione preventiva.
6. Destinatari e soggetti autorizzati
I dati possono essere trattati da personale autorizzato UESE, fornitori formalmente incaricati, consulenti vincolati alla riservatezza e sub-responsabili necessari all’erogazione dei servizi. Il cliente determina autonomamente i propri utenti e le relative autorizzazioni all’interno del tenant.
L’accesso tecnico da parte del supporto deve essere proporzionato alla richiesta e soggetto a registrazione e controllo. Non sono previsti trasferimenti indiscriminati a terzi per finalità autonome incompatibili con il servizio.
7. Trasferimenti internazionali
Qualora siano utilizzati fornitori o infrastrutture localizzati fuori dallo Spazio Economico Europeo, il trasferimento viene gestito nel rispetto del GDPR attraverso decisioni di adeguatezza, clausole contrattuali standard o altro meccanismo valido, unitamente alle misure supplementari eventualmente necessarie. Il dettaglio dei sub-responsabili effettivi è mantenuto nella relativa sezione.
8. Conservazione
La conservazione è differenziata in funzione della finalità e del tipo di dato. Dati contrattuali e amministrativi seguono i termini previsti dalla normativa applicabile; log di sicurezza, telemetria, alert ed evidenze seguono le policy del servizio e le configurazioni contrattuali del tenant.
La cancellazione non opera quando i dati devono essere conservati per obblighi di legge, difesa di diritti, gestione di incidenti o altri motivi documentati e prevalenti. I criteri di retention sono descritti nella Data Retention & Deletion Policy.
9. Diritti degli interessati
Gli interessati possono esercitare, nei casi previsti, i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità, nonché revocare il consenso quando il trattamento si fonda su tale base. È inoltre possibile proporre reclamo all’autorità di controllo competente.
Quando UESE tratta dati per conto di un cliente, le richieste relative a dati contenuti nel tenant sono normalmente indirizzate al cliente titolare, ferma restando la cooperazione prevista dal DPA.
10. Sicurezza del trattamento
UESE adotta misure tecniche e organizzative coerenti con il rischio, comprendenti autenticazione forte, RBAC, segregazione tenant, cifratura delle comunicazioni, protezione dei segreti applicativi, audit log, limitazione dei privilegi, gestione degli aggiornamenti e procedure di risposta agli incidenti.
Le misure sono soggette a riesame e adeguamento in funzione dell’evoluzione della piattaforma, delle minacce e delle caratteristiche dei servizi effettivamente erogati.
11. Monitoraggio dei lavoratori e responsabilità del cliente
GuardianSOC è progettato per finalità di sicurezza, amministrazione e governance e non come strumento di sorveglianza occulta della produttività individuale. Qualora le funzioni siano utilizzate su strumenti assegnati a lavoratori, il cliente deve valutare preventivamente le condizioni previste dalla normativa lavoristica, gli obblighi informativi e i principi di necessità, proporzionalità e trasparenza.
12. Aggiornamenti della policy
La policy può essere aggiornata per modifiche normative, organizzative, tecniche o contrattuali. La data di aggiornamento identifica la versione pubblicata. In presenza di cambiamenti sostanziali possono essere utilizzati avvisi nel portale o comunicazioni agli utenti interessati.
Riferimenti normativi e di governance
- Regolamento (UE) 2016/679 (GDPR)
- D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018
- Art. 4, Legge 20 maggio 1970 n. 300, ove applicabile
- D.Lgs. 4 settembre 2024 n. 138 per gli aspetti di cybersecurity rilevanti ai soggetti rientranti nel relativo ambito