Il documento disciplina la piattaforma GuardianSOC / SCUDO e deve essere letto congiuntamente agli ordini, ai piani di servizio e agli accordi eventualmente sottoscritti con il cliente.
1. Principio
UESE seleziona fornitori coerenti con i requisiti di sicurezza e protezione dati del servizio. Il ricorso a sub-responsabili avviene nel rispetto dei ruoli privacy e delle condizioni contrattuali applicabili.
2. Due diligence
La valutazione considera servizio erogato, localizzazione, misure di sicurezza, subfornitura, certificazioni o attestazioni disponibili, continuità operativa, gestione incidenti e condizioni contrattuali.
3. Contratti
I contratti con sub-responsabili includono obblighi di riservatezza, sicurezza, assistenza, cancellazione e gestione degli incidenti coerenti con il trattamento affidato.
4. Trasparenza verso i clienti
Il registro operativo deve riportare almeno denominazione, servizio, ruolo, paese di trattamento e categorie generali di dati. Gli aggiornamenti vengono gestiti secondo il meccanismo previsto nel DPA.
5. Trasferimenti internazionali
Quando il sub-responsabile comporta trasferimenti extra SEE, devono essere verificati il meccanismo di trasferimento e le misure supplementari necessarie.
6. Registro corrente
La lista pubblica deve riflettere esclusivamente fornitori effettivamente contrattualizzati e utilizzati in produzione. Fino alla validazione dell’infrastruttura definitiva, nessun fornitore deve essere indicato come sub-responsabile operativo sulla base di semplici ipotesi progettuali.