Informativa sul trattamento dei dati personali

1. Titolare, rappresentante e DPO

UESE ITALIA S.p.A., con sede legale in Piazza Trivulziana 4/A, 20126 Milano (MI), Italia, P.IVA/C.F. IT04398760274, REA MI 2679515, capitale sociale Euro 1.145.000 interamente versato, codice destinatario SDI 3ZJY534 è il Titolare del trattamento per account, sicurezza, billing, supporto, amministrazione, marketing proprio e gestione della piattaforma. L’Amministratore Delegato è il Dott. Giuseppe Izzo. Il Data Protection Officer indicato dal Titolare è il Dott. Giuseppe Izzo, contattabile a dpo@uese.it. Contatto privacy generale: privacy@uese.eu.

2. Ruoli privacy nella piattaforma

UESE opera come titolare autonomo per i trattamenti necessari alla gestione della propria relazione con utenti e clienti. Per i documenti, i dati dei firmatari e i workflow trattati esclusivamente secondo istruzioni di un cliente business, UESE può operare quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Payment provider, QTSP, provider KYC o autorità possono operare come titolari autonomi, contitolari o responsabili a seconda del servizio e degli accordi applicabili.

3. Categorie di dati

Possono essere trattati: dati identificativi e di contatto; dati professionali e societari; dati di account e autenticazione; IP, device, log e dati di sicurezza; dati di abbonamento e fatturazione; token e riferimenti di pagamento; dati KYC e stato di verifica; metadati di documenti, firme e timestamp; comunicazioni di supporto; preferenze marketing; dati presenti nei documenti caricati dal Cliente.

4. Categorie particolari e dati biometrici

Firmato non richiede in via generale categorie particolari di dati ai sensi dell’art. 9 GDPR. Nei processi di identity verification, liveness o confronto facciale possono essere trattate immagini e, a seconda della tecnologia e finalità, dati biometrici. Tali trattamenti sono limitati allo specifico workflow, soggetti a una base giuridica appropriata, a misure rafforzate e alle informazioni del provider coinvolto.

5. Finalità e basi giuridiche

• Creazione account, trial, preventivi e rapporto contrattuale: art. 6(1)(b) GDPR.
• Fatturazione, obblighi fiscali, contabili e richieste di autorità: art. 6(1)(c) GDPR.
• Sicurezza, prevenzione frodi, difesa di diritti, logging e resilienza: art. 6(1)(f) GDPR, previa valutazione di bilanciamento ove richiesta.
• Marketing elettronico: consenso ex art. 6(1)(a) GDPR quando richiesto, oppure altra base consentita dalla normativa nazionale ePrivacy.
• Cookie/traceur non necessari: consenso quando richiesto.
• Eventuali dati particolari: art. 9 GDPR e pertinente normativa nazionale, secondo il caso concreto.

6. Natura del conferimento

I dati contrassegnati come necessari sono richiesti per registrare l’account, erogare il servizio, adempiere obblighi di legge o proteggere la piattaforma. Il mancato conferimento può impedire la relativa funzione. I dati per marketing e strumenti opzionali sono facoltativi.

7. Fonti dei dati

I dati sono raccolti dall’interessato, dal Cliente che invita un utente o un firmatario, dall’organizzazione di appartenenza, dai provider integrati e dai sistemi tecnici durante l’utilizzo del servizio. Quando i dati non sono raccolti direttamente presso l’interessato, il Cliente resta responsabile delle informazioni che gli competono e UESE rende le informazioni di propria competenza nei termini applicabili.

8. Destinatari e sub-responsabili

I dati possono essere accessibili a personale autorizzato UESE e, nei limiti necessari, a provider hosting/cloud, email, assistenza, pagamento, KYC, QTSP, conservazione, cybersecurity, consulenti, auditor e autorità legittimate. L’elenco o le categorie dei sub-responsabili rilevanti per i trattamenti per conto del Cliente sono indicati nella Subprocessor Policy/DPA.

9. Trasferimenti internazionali

UESE privilegia fornitori e localizzazioni nello SEE quando coerente con il servizio. Qualora dati personali siano trasferiti verso Paesi terzi, il trasferimento avviene sulla base di una decisione di adeguatezza o di garanzie appropriate, incluse ove necessario le Clausole Contrattuali Standard della Commissione europea e misure supplementari valutate in funzione del rischio.

10. Conservazione

I dati sono conservati per periodi proporzionati alla finalità. Dati contrattuali e fiscali seguono i termini legali applicabili; log di sicurezza e audit sono conservati per protezione, accountability e difesa; documenti e evidenze seguono le impostazioni di retention e gli obblighi del Cliente. Alla cessazione si applicano cancellazione, restituzione, anonimizzazione o conservazione bloccata secondo DPA, legge e legal hold.

11. Decisioni automatizzate e profilazione

Firmato può utilizzare regole automatiche per rilevare frodi, rischio, priorità, stato del workflow o segmentazione commerciale. Salvo diversa informazione specifica, UESE non adotta decisioni basate unicamente su trattamento automatizzato che producano effetti giuridici o analogamente significativi sull’interessato ai sensi dell’art. 22 GDPR. Eventuali processi soggetti a tale articolo saranno accompagnati dalle garanzie richieste.

12. Sicurezza e data breach

UESE applica misure tecniche e organizzative commisurate al rischio, incluse segregazione dei ruoli, autenticazione forte per funzioni sensibili, cifratura dei segreti, logging, backup, controlli sugli upload e gestione degli incidenti. Le violazioni di dati personali sono valutate e, quando ricorrono i presupposti, notificate alle autorità e/o agli interessati nei termini di legge.

13. Diritti degli interessati

L’interessato può esercitare, ove applicabili, accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso, nonché i diritti relativi ai processi automatizzati. Le richieste possono essere inviate a privacy@uese.eu o dpo@uese.it. L’identità del richiedente può essere verificata in modo proporzionato.

14. Reclami e autorità di controllo

L’interessato ha diritto di proporre reclamo all’autorità di controllo competente, in particolare nello Stato membro di residenza abituale, luogo di lavoro o luogo della presunta violazione, senza pregiudicare altri rimedi amministrativi o giudiziari.

15. Minori

Firmato è destinato principalmente a persone maggiorenni e organizzazioni. L’eventuale utilizzo da parte di minori richiede un valido presupposto giuridico e l’applicazione delle regole nazionali relative al consenso digitale e alla capacità contrattuale.

16. Aggiornamenti dell’informativa

L’informativa può essere aggiornata per modifiche normative, tecniche, organizzative o di provider. Le modifiche materiali sono evidenziate e, ove necessario, comunicate attraverso l’account o altri canali appropriati.