Politica di utilizzo accettabile – ambienti sanitari e di ricerca
Regole di utilizzo responsabile della piattaforma per utenti professionali, con particolare attenzione alla protezione dei dati sanitari e genomici, alla sicurezza e all’uso corretto delle funzioni RUO.
Riferimenti normativi e di governance
- Regolamento (UE) 2016/679
- Regolamento (UE) 2024/1689, per i casi d’uso IA
- Regolamenti (UE) 2017/745 e 2017/746, ove una futura destinazione d’uso medica renda applicabile la normativa di prodotto
- Policy di sicurezza e protocollo del cliente
I riferimenti sono indicativi del quadro di progettazione e devono essere verificati rispetto alla versione normativa, agli atti di esecuzione, al diritto nazionale e al ruolo effettivo delle parti al momento dell’implementazione.
1. Finalità della politica
La piattaforma è destinata a personale professionale autorizzato e deve essere utilizzata esclusivamente per finalità coerenti con il progetto, il protocollo di ricerca e le istruzioni dell’organizzazione di appartenenza. Ogni utente è responsabile delle proprie credenziali, delle operazioni effettuate e del rispetto delle limitazioni RUO, delle regole di sicurezza e del principio di necessità.
La base giuridica deve essere determinata per finalità e non per piattaforma. Attività precontrattuali, esecuzione del contratto, sicurezza, adempimenti legali e marketing possono fondarsi su presupposti diversi; per dati sanitari o genetici occorre anche una condizione dell’art. 9 GDPR e, se applicabile, garanzie per la ricerca ex art. 89.
Sono vietati accessi non autorizzati, tentativi di elusione, introduzione di codice malevolo, scraping non autorizzato, utilizzo per discriminazione o profilazione illecita e qualsiasi attività che comprometta disponibilità, integrità o riservatezza di dati e sistemi.
Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.
2. Utenti autorizzati e responsabilità individuale
La piattaforma è destinata a personale professionale autorizzato e deve essere utilizzata esclusivamente per finalità coerenti con il progetto, il protocollo di ricerca e le istruzioni dell’organizzazione di appartenenza. Ogni utente è responsabile delle proprie credenziali, delle operazioni effettuate e del rispetto delle limitazioni RUO, delle regole di sicurezza e del principio di necessità.
Sono vietati accessi non autorizzati, tentativi di elusione, introduzione di codice malevolo, scraping non autorizzato, utilizzo per discriminazione o profilazione illecita e qualsiasi attività che comprometta disponibilità, integrità o riservatezza di dati e sistemi.
Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.
3. Dati consentiti e minimizzazione
La piattaforma è destinata a personale professionale autorizzato e deve essere utilizzata esclusivamente per finalità coerenti con il progetto, il protocollo di ricerca e le istruzioni dell’organizzazione di appartenenza. Ogni utente è responsabile delle proprie credenziali, delle operazioni effettuate e del rispetto delle limitazioni RUO, delle regole di sicurezza e del principio di necessità.
Ogni trattamento deve rispettare limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza. La configurazione deve evitare campi liberi non necessari, copie incontrollate e trasferimenti eccedenti; nei test e nella formazione devono essere preferiti dati sintetici o adeguatamente anonimizzati quando possibile.
Sono vietati accessi non autorizzati, tentativi di elusione, introduzione di codice malevolo, scraping non autorizzato, utilizzo per discriminazione o profilazione illecita e qualsiasi attività che comprometta disponibilità, integrità o riservatezza di dati e sistemi.
La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.
4. Divieto di inserire dati non necessari o illeciti
La piattaforma è destinata a personale professionale autorizzato e deve essere utilizzata esclusivamente per finalità coerenti con il progetto, il protocollo di ricerca e le istruzioni dell’organizzazione di appartenenza. Ogni utente è responsabile delle proprie credenziali, delle operazioni effettuate e del rispetto delle limitazioni RUO, delle regole di sicurezza e del principio di necessità.
Sono vietati accessi non autorizzati, tentativi di elusione, introduzione di codice malevolo, scraping non autorizzato, utilizzo per discriminazione o profilazione illecita e qualsiasi attività che comprometta disponibilità, integrità o riservatezza di dati e sistemi.
UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.
5. Uso delle funzioni AI e RUO
La piattaforma è destinata a personale professionale autorizzato e deve essere utilizzata esclusivamente per finalità coerenti con il progetto, il protocollo di ricerca e le istruzioni dell’organizzazione di appartenenza. Ogni utente è responsabile delle proprie credenziali, delle operazioni effettuate e del rispetto delle limitazioni RUO, delle regole di sicurezza e del principio di necessità.
La destinazione d’uso corrente deve essere richiamata nei materiali, nei manuali e nei processi di attivazione iniziale. Qualunque modifica che introduca una finalità medica, diagnostica, prognostica, predittiva o terapeutica richiede una nuova analisi di qualificazione del software e, se applicabile, un percorso MDR/IVDR e una rivalutazione ai sensi dell’AI Act.
Sono vietati accessi non autorizzati, tentativi di elusione, introduzione di codice malevolo, scraping non autorizzato, utilizzo per discriminazione o profilazione illecita e qualsiasi attività che comprometta disponibilità, integrità o riservatezza di dati e sistemi.
Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.
6. Divieto di uso clinico non autorizzato
La piattaforma è destinata a personale professionale autorizzato e deve essere utilizzata esclusivamente per finalità coerenti con il progetto, il protocollo di ricerca e le istruzioni dell’organizzazione di appartenenza. Ogni utente è responsabile delle proprie credenziali, delle operazioni effettuate e del rispetto delle limitazioni RUO, delle regole di sicurezza e del principio di necessità.
È vietato impiegare la configurazione RUO per sostituire un dispositivo medico, un IVD, un referto validato o il giudizio di un professionista sanitario. Il cliente deve impedire che output sperimentali vengano trasferiti in cartella clinica o utilizzati per trattamenti senza il percorso regolatorio e la validazione necessari.
Sono vietati accessi non autorizzati, tentativi di elusione, introduzione di codice malevolo, scraping non autorizzato, utilizzo per discriminazione o profilazione illecita e qualsiasi attività che comprometta disponibilità, integrità o riservatezza di dati e sistemi.
Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.
7. Sicurezza delle credenziali e dispositivi
La piattaforma è destinata a personale professionale autorizzato e deve essere utilizzata esclusivamente per finalità coerenti con il progetto, il protocollo di ricerca e le istruzioni dell’organizzazione di appartenenza. Ogni utente è responsabile delle proprie credenziali, delle operazioni effettuate e del rispetto delle limitazioni RUO, delle regole di sicurezza e del principio di necessità.
I dati tecnici di accesso possono essere trattati per sicurezza, diagnosi di malfunzionamenti, prevenzione abusi e dimostrazione di responsabilità. La registrazione deve essere proporzionata: log applicativi e di sicurezza non dovrebbero contenere sequenze genomiche, referti o contenuto trasmesso sensibili se non strettamente necessario e autorizzato.
Le utenze sono nominative e non condivisibili. Il cliente deve gestire tempestivamente attivazioni, cambi ruolo e revoche; gli accessi privilegiati richiedono controlli rafforzati e, ove previsto dalla policy, autenticazione a più fattori. La tracciabilità perde valore se più persone utilizzano la stessa identità.
La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.
8. Divieto di elusione dei controlli di sicurezza
La piattaforma è destinata a personale professionale autorizzato e deve essere utilizzata esclusivamente per finalità coerenti con il progetto, il protocollo di ricerca e le istruzioni dell’organizzazione di appartenenza. Ogni utente è responsabile delle proprie credenziali, delle operazioni effettuate e del rispetto delle limitazioni RUO, delle regole di sicurezza e del principio di necessità.
I dati tecnici di accesso possono essere trattati per sicurezza, diagnosi di malfunzionamenti, prevenzione abusi e dimostrazione di responsabilità. La registrazione deve essere proporzionata: log applicativi e di sicurezza non dovrebbero contenere sequenze genomiche, referti o contenuto trasmesso sensibili se non strettamente necessario e autorizzato.
Sono vietati accessi non autorizzati, tentativi di elusione, introduzione di codice malevolo, scraping non autorizzato, utilizzo per discriminazione o profilazione illecita e qualsiasi attività che comprometta disponibilità, integrità o riservatezza di dati e sistemi.
UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.
9. Upload, file e contenuti malevoli
La piattaforma è destinata a personale professionale autorizzato e deve essere utilizzata esclusivamente per finalità coerenti con il progetto, il protocollo di ricerca e le istruzioni dell’organizzazione di appartenenza. Ogni utente è responsabile delle proprie credenziali, delle operazioni effettuate e del rispetto delle limitazioni RUO, delle regole di sicurezza e del principio di necessità.
La documentazione è soggetta a controllo di versione e può essere aggiornata per riflettere evoluzioni tecniche, scientifiche o normative. Le banche dati importate dal cliente restano sotto la responsabilità del soggetto che ne dispone l’uso; l’esistenza di una funzione di importazione non attribuisce a UESE diritti sul contenuto né garantisce che la fonte possa essere riutilizzata.
Sono vietati accessi non autorizzati, tentativi di elusione, introduzione di codice malevolo, scraping non autorizzato, utilizzo per discriminazione o profilazione illecita e qualsiasi attività che comprometta disponibilità, integrità o riservatezza di dati e sistemi.
Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.
10. API, automazioni e carichi anomali
La piattaforma è destinata a personale professionale autorizzato e deve essere utilizzata esclusivamente per finalità coerenti con il progetto, il protocollo di ricerca e le istruzioni dell’organizzazione di appartenenza. Ogni utente è responsabile delle proprie credenziali, delle operazioni effettuate e del rispetto delle limitazioni RUO, delle regole di sicurezza e del principio di necessità.
Le integrazioni devono essere censite e autorizzate. Il cliente deve stabilire quali dati possono uscire dal proprio perimetro, quali credenziali utilizzare, chi governa le API e quali condizioni contrattuali si applicano al destinatario; token, endpoint e segreti devono essere gestiti con minimo privilegio e rotazione appropriata.
Sono vietati accessi non autorizzati, tentativi di elusione, introduzione di codice malevolo, scraping non autorizzato, utilizzo per discriminazione o profilazione illecita e qualsiasi attività che comprometta disponibilità, integrità o riservatezza di dati e sistemi.
Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.
11. Riservatezza, esportazioni e condivisione
La piattaforma è destinata a personale professionale autorizzato e deve essere utilizzata esclusivamente per finalità coerenti con il progetto, il protocollo di ricerca e le istruzioni dell’organizzazione di appartenenza. Ogni utente è responsabile delle proprie credenziali, delle operazioni effettuate e del rispetto delle limitazioni RUO, delle regole di sicurezza e del principio di necessità.
Sono vietati accessi non autorizzati, tentativi di elusione, introduzione di codice malevolo, scraping non autorizzato, utilizzo per discriminazione o profilazione illecita e qualsiasi attività che comprometta disponibilità, integrità o riservatezza di dati e sistemi.
La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.
12. Monitoraggio di sicurezza e verifiche
La piattaforma è destinata a personale professionale autorizzato e deve essere utilizzata esclusivamente per finalità coerenti con il progetto, il protocollo di ricerca e le istruzioni dell’organizzazione di appartenenza. Ogni utente è responsabile delle proprie credenziali, delle operazioni effettuate e del rispetto delle limitazioni RUO, delle regole di sicurezza e del principio di necessità.
I dati tecnici di accesso possono essere trattati per sicurezza, diagnosi di malfunzionamenti, prevenzione abusi e dimostrazione di responsabilità. La registrazione deve essere proporzionata: log applicativi e di sicurezza non dovrebbero contenere sequenze genomiche, referti o contenuto trasmesso sensibili se non strettamente necessario e autorizzato.
Sono vietati accessi non autorizzati, tentativi di elusione, introduzione di codice malevolo, scraping non autorizzato, utilizzo per discriminazione o profilazione illecita e qualsiasi attività che comprometta disponibilità, integrità o riservatezza di dati e sistemi.
UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.
13. Violazioni, sospensione e remediation
La piattaforma è destinata a personale professionale autorizzato e deve essere utilizzata esclusivamente per finalità coerenti con il progetto, il protocollo di ricerca e le istruzioni dell’organizzazione di appartenenza. Ogni utente è responsabile delle proprie credenziali, delle operazioni effettuate e del rispetto delle limitazioni RUO, delle regole di sicurezza e del principio di necessità.
Gli eventi sono classificati per gravità e impatto, contenuti e documentati. Se UESE opera quale responsabile, notifica al titolare senza ingiustificato ritardo le violazioni di cui viene a conoscenza e fornisce le informazioni disponibili per consentire le valutazioni ex artt. 33 e 34 GDPR; le comunicazioni alle autorità restano in capo al soggetto competente.
Sono vietati accessi non autorizzati, tentativi di elusione, introduzione di codice malevolo, scraping non autorizzato, utilizzo per discriminazione o profilazione illecita e qualsiasi attività che comprometta disponibilità, integrità o riservatezza di dati e sistemi.
Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.
14. Segnalazioni e contatti
La piattaforma è destinata a personale professionale autorizzato e deve essere utilizzata esclusivamente per finalità coerenti con il progetto, il protocollo di ricerca e le istruzioni dell’organizzazione di appartenenza. Ogni utente è responsabile delle proprie credenziali, delle operazioni effettuate e del rispetto delle limitazioni RUO, delle regole di sicurezza e del principio di necessità.
Sono vietati accessi non autorizzati, tentativi di elusione, introduzione di codice malevolo, scraping non autorizzato, utilizzo per discriminazione o profilazione illecita e qualsiasi attività che comprometta disponibilità, integrità o riservatezza di dati e sistemi.
Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.
Per richieste relative a dati trattati nell’ambito di un progetto cliente, UESE può dover indirizzare l’interessato verso il titolare del trattamento competente. Per richieste commerciali o tecniche utilizzare il modulo dedicato alle parti interessate, senza inserire dati di pazienti.
Richiedi informazioniTitolare del sito e contatti societari
UESE ITALIA S.p.A. · Piazza Trivulziana 4/A · 20126 Milano (MI) · Italia · P. IVA / C.F. IT04398760274 · REA MI 2679515 · sales@uese.it · +39 02 5656 8416.