1. Ruoli privacy
In base al caso d’uso, UESE ITALIA S.p.A. può agire come titolare autonomo per account, sicurezza, gestione commerciale e funzionamento della piattaforma; e come responsabile del trattamento quando tratta dati personali contenuti nei documenti caricati dal cliente esclusivamente per erogare il servizio SaaS secondo istruzioni documentate.
2. Oggetto e durata del trattamento
Il trattamento riguarda la gestione di profili fornitore, documenti, certificazioni, questionari, evidenze, richieste buyer, account e log tecnici. La durata coincide con il rapporto contrattuale e con i successivi periodi necessari per backup, sicurezza, gestione amministrativa, difesa dei diritti e obblighi legali.
3. Istruzioni del cliente
Il cliente istruisce Vidima a trattare i dati per ospitare, indicizzare, estrarre, verificare, organizzare, rendere disponibili e, ove richiesto, usare in modalità AI assistiva i documenti e le informazioni caricati. Istruzioni ulteriori devono essere formalizzate per iscritto o tramite configurazioni di piattaforma.
4. Misure tecniche e organizzative
Vidima deve applicare misure proporzionate al rischio, tra cui autenticazione, autorizzazioni per ruolo, protezione sessione, cifratura in transito, separazione logica dei tenant, backup, audit log, controllo accessi amministrativi, protezione upload e gestione degli incidenti.
- 2FA per account privilegiati.
- Permessi granulari su documenti pubblici, privati o riservati ai buyer.
- Tracciamento di modifiche, impersonificazione, verifiche e consensi.
- Procedure di gestione vulnerabilità e hardening server.
5. Sub-responsabili
UESE può avvalersi di sub-responsabili per hosting, infrastruttura, email, sicurezza, manutenzione software, OCR/AI e supporto tecnico. I sub-responsabili devono essere vincolati da obblighi coerenti con il presente DPA. L’elenco operativo deve essere reso disponibile o comunicato secondo il contratto applicabile.
6. Assistenza al cliente
Vidima assiste il cliente, nei limiti ragionevoli e proporzionati, nella gestione delle richieste degli interessati, nella sicurezza, nella notifica di violazioni, nella cancellazione o restituzione dei dati, nelle valutazioni di impatto e negli audit concordati.
7. Cancellazione e restituzione
Alla cessazione del servizio, i dati possono essere esportati, restituiti o cancellati secondo le funzioni disponibili, le tempistiche tecniche e gli obblighi di conservazione. I backup sono eliminati secondo cicli tecnici progressivi e non sono normalmente oggetto di ripristino selettivo salvo necessità di sicurezza o continuità operativa.
Prima del go-live definitivo il set legale deve essere validato rispetto a stack produttivo, contratti, flussi dati, hosting, SMTP, provider AI/OCR, cookie e condizioni commerciali effettivamente attivati.