Data Processing Agreement (DPA) — Art. 28 GDPR
Il presente DPA disciplina i trattamenti di dati personali effettuati da UESE ITALIA S.p.A. in qualità di Responsabile del trattamento per conto di un Cliente che agisce quale Titolare o, ove pertinente, Responsabile principale. Esso integra il contratto Firmato e si applica ai trattamenti per conto del Cliente.
1. Oggetto, durata e natura del trattamento
UESE tratta i dati personali per fornire hosting applicativo, gestione documenti, workflow di firma, notifiche, supporto, audit, sicurezza, backup, repository e integrazioni richieste dal Cliente. Il trattamento dura per il rapporto contrattuale e per i successivi periodi di restituzione, cancellazione, retention o legal hold previsti dal contratto o dalla legge.
2. Categorie di interessati e dati
Gli interessati possono includere utenti del Cliente, dipendenti, collaboratori, clienti, fornitori, firmatari, rappresentanti e altri soggetti i cui dati siano contenuti nei documenti. Le categorie possono includere identificativi, contatti, dati professionali, dati contrattuali, firme, log, IP e ogni ulteriore dato inserito dal Cliente, incluse categorie particolari solo se legittimamente trattate e necessarie.
3. Istruzioni documentate
UESE tratta i dati esclusivamente su istruzioni documentate del Cliente, incluse quelle incorporate nell’uso configurato della piattaforma, salvo obbligo imposto dal diritto dell’Unione o nazionale applicabile; in tal caso UESE informa il Cliente prima del trattamento, salvo divieto legale.
4. Riservatezza e autorizzazioni
UESE assicura che le persone autorizzate al trattamento siano soggette a obblighi di riservatezza e accedano ai dati secondo necessità, ruolo e principio del minimo privilegio.
5. Misure tecniche e organizzative
Le misure comprendono, in funzione del rischio: controllo accessi e RBAC; 2FA per funzioni sensibili; cifratura dei segreti; TLS; logging e audit; backup; segregazione logica dei tenant; gestione vulnerabilità e patch; controlli su upload; procedure incident response; business continuity e riesame periodico. Il Cliente riconosce che le misure evolvono con lo stato dell’arte e possono essere sostituite da misure equivalenti o superiori.
6. Sub-responsabili
Il Cliente conferisce autorizzazione generale all’impiego dei sub-responsabili necessari al servizio, soggetti a obblighi di protezione sostanzialmente equivalenti. UESE mantiene un elenco/categorie aggiornate e, quando richiesto dall’art. 28 GDPR e dal modello contrattuale, informa il Cliente delle modifiche previste consentendo obiezioni motivate per ragioni di protezione dei dati.
7. Trasferimenti internazionali
UESE non trasferisce dati personali fuori dallo SEE se non in presenza di un meccanismo valido ai sensi del Capo V GDPR. In assenza di adeguatezza possono essere utilizzate le Clausole Contrattuali Standard della Commissione europea, accompagnate, ove necessario, da valutazione del trasferimento e misure supplementari.
8. Assistenza sui diritti
Tenuto conto della natura del trattamento, UESE assiste il Cliente mediante misure tecniche e organizzative adeguate per rispondere alle richieste degli interessati. Se UESE riceve una richiesta relativa a dati trattati esclusivamente per conto del Cliente, la inoltra al Cliente salvo obbligo diverso.
9. Violazioni di dati personali
UESE informa il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione di dati personali relativa ai trattamenti per conto del Cliente e fornisce le informazioni ragionevolmente disponibili utili agli obblighi di notifica e documentazione. La comunicazione non costituisce ammissione di responsabilità.
10. DPIA e consultazione preventiva
UESE fornisce al Cliente informazioni ragionevolmente necessarie per valutazioni d’impatto e consultazioni preventive relative al servizio, tenendo conto della natura del trattamento e delle informazioni disponibili.
11. Audit e dimostrazione di conformità
UESE mette a disposizione le informazioni necessarie a dimostrare il rispetto dell’art. 28 GDPR e consente audit ragionevoli, preferibilmente mediante documentazione, attestazioni o verifiche remote. Audit onsite sono soggetti a preavviso, riservatezza, sicurezza, non interferenza e, salvo accertata non conformità materiale, costi ragionevoli a carico del Cliente.
12. Restituzione e cancellazione
Alla cessazione, su scelta del Cliente e salvo obblighi legali, legal hold o backup non immediatamente riscrivibili, UESE cancella o restituisce i dati trattati per conto del Cliente. Le copie residue nei backup sono isolate dall’uso ordinario e eliminate secondo il ciclo di retention applicabile.
13. Obblighi del Cliente
Il Cliente garantisce liceità, correttezza e trasparenza del trattamento, la disponibilità delle basi giuridiche, le informazioni agli interessati, la configurazione dei tempi di retention e l’uso della piattaforma secondo le proprie istruzioni. Il Cliente evita di caricare dati eccedenti o illeciti.
14. Responsabilità e prevalenza
La responsabilità tra le parti segue il GDPR e il contratto principale. In caso di conflitto sulle materie di protezione dati, il presente DPA prevale sulle condizioni commerciali, salvo clausole più protettive o SCC applicabili.
15. Allegati incorporati
Costituiscono parte funzionale del DPA: descrizione del trattamento contenuta nel presente documento e nell’ordine; misure tecniche e organizzative pubblicate nel Security Center; elenco/categorie sub-responsabili; eventuali SCC o addendum di trasferimento sottoscritti dalle parti.
16. Versionamento, prevalenza e conservazione della prova
Firmato conserva la versione del documento resa disponibile e, ove previsto dal flusso applicativo, la relativa accettazione con data, account e informazioni tecniche di audit. Le modifiche sostanziali possono richiedere una nuova presa visione o accettazione. La lingua e il Paese sono variabili distinte: la lingua determina la versione linguistica, mentre il Paese determina l’integrazione nazionale applicabile.