Informativa enterprise su cookie e tecnologie di memorizzazione locale

1. Ambito e definizioni

Il sito pubblico e l’area riservata utilizzano tecnologie di memorizzazione esclusivamente nella misura necessaria alla sicurezza, alla sessione, alla scelta linguistica e alle funzioni richieste dall’utente. L’eventuale introduzione di strumenti analitici o di terzi non strettamente necessari è subordinata a una valutazione preventiva e, quando richiesto, a un meccanismo di consenso conforme alle regole applicabili.

L’elenco tecnico delle tecnologie utilizzate deve essere riesaminato quando cambiano frontend, sistemi di autenticazione o fornitori. Le scelte dell’utente non devono essere ottenute mediante interfacce ingannevoli e la revoca deve essere accessibile con facilità equivalente alla prestazione del consenso quando questo è richiesto.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

2. Cookie tecnici necessari

Il sito pubblico e l’area riservata utilizzano tecnologie di memorizzazione esclusivamente nella misura necessaria alla sicurezza, alla sessione, alla scelta linguistica e alle funzioni richieste dall’utente. L’eventuale introduzione di strumenti analitici o di terzi non strettamente necessari è subordinata a una valutazione preventiva e, quando richiesto, a un meccanismo di consenso conforme alle regole applicabili.

I cookie strettamente necessari supportano sessione, autenticazione, sicurezza e preferenza linguistica. Non vengono utilizzati per creare profili pubblicitari; durata, dominio, attributi Secure/HttpOnly/SameSite e finalità devono essere coerenti con il rischio e descritti nell’informativa tecnica aggiornata.

L’elenco tecnico delle tecnologie utilizzate deve essere riesaminato quando cambiano frontend, sistemi di autenticazione o fornitori. Le scelte dell’utente non devono essere ottenute mediante interfacce ingannevoli e la revoca deve essere accessibile con facilità equivalente alla prestazione del consenso quando questo è richiesto.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

3. Cookie di lingua e preferenze

Il sito pubblico e l’area riservata utilizzano tecnologie di memorizzazione esclusivamente nella misura necessaria alla sicurezza, alla sessione, alla scelta linguistica e alle funzioni richieste dall’utente. L’eventuale introduzione di strumenti analitici o di terzi non strettamente necessari è subordinata a una valutazione preventiva e, quando richiesto, a un meccanismo di consenso conforme alle regole applicabili.

I cookie strettamente necessari supportano sessione, autenticazione, sicurezza e preferenza linguistica. Non vengono utilizzati per creare profili pubblicitari; durata, dominio, attributi Secure/HttpOnly/SameSite e finalità devono essere coerenti con il rischio e descritti nell’informativa tecnica aggiornata.

L’elenco tecnico delle tecnologie utilizzate deve essere riesaminato quando cambiano frontend, sistemi di autenticazione o fornitori. Le scelte dell’utente non devono essere ottenute mediante interfacce ingannevoli e la revoca deve essere accessibile con facilità equivalente alla prestazione del consenso quando questo è richiesto.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

4. Cookie di sessione e autenticazione

Il sito pubblico e l’area riservata utilizzano tecnologie di memorizzazione esclusivamente nella misura necessaria alla sicurezza, alla sessione, alla scelta linguistica e alle funzioni richieste dall’utente. L’eventuale introduzione di strumenti analitici o di terzi non strettamente necessari è subordinata a una valutazione preventiva e, quando richiesto, a un meccanismo di consenso conforme alle regole applicabili.

I cookie strettamente necessari supportano sessione, autenticazione, sicurezza e preferenza linguistica. Non vengono utilizzati per creare profili pubblicitari; durata, dominio, attributi Secure/HttpOnly/SameSite e finalità devono essere coerenti con il rischio e descritti nell’informativa tecnica aggiornata.

L’autenticazione a due fattori riduce il rischio di compromissione delle credenziali e può essere resa obbligatoria per i ruoli previsti dalla policy. Il Superadmin mantiene la possibilità di configurare tale policy; recupero, reset e disattivazione devono essere tracciati e protetti da controlli equivalenti.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

5. Sicurezza, 2FA e prevenzione degli abusi

Il sito pubblico e l’area riservata utilizzano tecnologie di memorizzazione esclusivamente nella misura necessaria alla sicurezza, alla sessione, alla scelta linguistica e alle funzioni richieste dall’utente. L’eventuale introduzione di strumenti analitici o di terzi non strettamente necessari è subordinata a una valutazione preventiva e, quando richiesto, a un meccanismo di consenso conforme alle regole applicabili.

I dati tecnici di accesso possono essere trattati per sicurezza, diagnosi di malfunzionamenti, prevenzione abusi e dimostrazione di responsabilità. La registrazione deve essere proporzionata: log applicativi e di sicurezza non dovrebbero contenere sequenze genomiche, referti o contenuto trasmesso sensibili se non strettamente necessario e autorizzato.

L’autenticazione a due fattori riduce il rischio di compromissione delle credenziali e può essere resa obbligatoria per i ruoli previsti dalla policy. Il Superadmin mantiene la possibilità di configurare tale policy; recupero, reset e disattivazione devono essere tracciati e protetti da controlli equivalenti.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

6. Strumenti analitici e criteri di attivazione

Il sito pubblico e l’area riservata utilizzano tecnologie di memorizzazione esclusivamente nella misura necessaria alla sicurezza, alla sessione, alla scelta linguistica e alle funzioni richieste dall’utente. L’eventuale introduzione di strumenti analitici o di terzi non strettamente necessari è subordinata a una valutazione preventiva e, quando richiesto, a un meccanismo di consenso conforme alle regole applicabili.

Gli strumenti analitici sono disattivati per impostazione predefinita salvo decisione documentata. Se introdotti, UESE verifica se possano essere trattati come tecnici secondo le condizioni del Garante oppure se richiedano consenso; strumenti di profilazione o marketing non vengono attivati prima dell’espressione di una scelta valida.

L’elenco tecnico delle tecnologie utilizzate deve essere riesaminato quando cambiano frontend, sistemi di autenticazione o fornitori. Le scelte dell’utente non devono essere ottenute mediante interfacce ingannevoli e la revoca deve essere accessibile con facilità equivalente alla prestazione del consenso quando questo è richiesto.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

7. Assenza di profilazione pubblicitaria predefinita

Il sito pubblico e l’area riservata utilizzano tecnologie di memorizzazione esclusivamente nella misura necessaria alla sicurezza, alla sessione, alla scelta linguistica e alle funzioni richieste dall’utente. L’eventuale introduzione di strumenti analitici o di terzi non strettamente necessari è subordinata a una valutazione preventiva e, quando richiesto, a un meccanismo di consenso conforme alle regole applicabili.

La configurazione pubblica non prevede decisioni automatizzate con effetti giuridici o analogamente significativi sugli interessati. Eventuali futuri casi d’uso devono essere censiti e valutati separatamente ai sensi del GDPR e dell’AI Act, incluso il ruolo della supervisione umana e il diritto applicabile alle decisioni cliniche.

Gli strumenti analitici sono disattivati per impostazione predefinita salvo decisione documentata. Se introdotti, UESE verifica se possano essere trattati come tecnici secondo le condizioni del Garante oppure se richiedano consenso; strumenti di profilazione o marketing non vengono attivati prima dell’espressione di una scelta valida.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

8. Servizi di terzi e contenuti incorporati

Il sito pubblico e l’area riservata utilizzano tecnologie di memorizzazione esclusivamente nella misura necessaria alla sicurezza, alla sessione, alla scelta linguistica e alle funzioni richieste dall’utente. L’eventuale introduzione di strumenti analitici o di terzi non strettamente necessari è subordinata a una valutazione preventiva e, quando richiesto, a un meccanismo di consenso conforme alle regole applicabili.

La documentazione è soggetta a controllo di versione e può essere aggiornata per riflettere evoluzioni tecniche, scientifiche o normative. Le banche dati importate dal cliente restano sotto la responsabilità del soggetto che ne dispone l’uso; l’esistenza di una funzione di importazione non attribuisce a UESE diritti sul contenuto né garantisce che la fonte possa essere riutilizzata.

RTO e RPO, se previsti, devono essere espressi in modo esplicito nello SLA e coerenti con l’infrastruttura. In assenza di valori sottoscritti non possono essere desunti dal materiale pubblico; disaster recovery e ripristino applicativo devono essere periodicamente testati quando richiesto dal piano di continuità.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

9. Durata e criteri di conservazione

Il sito pubblico e l’area riservata utilizzano tecnologie di memorizzazione esclusivamente nella misura necessaria alla sicurezza, alla sessione, alla scelta linguistica e alle funzioni richieste dall’utente. L’eventuale introduzione di strumenti analitici o di terzi non strettamente necessari è subordinata a una valutazione preventiva e, quando richiesto, a un meccanismo di consenso conforme alle regole applicabili.

I periodi di conservazione sono definiti per categoria e finalità. La cessazione deve distinguere esportazione, restituzione, cancellazione logica, cancellazione da archivio digitale e cicli di copia di sicurezza; obblighi normativi, contenziosi o blocco di conservazione per esigenze legali possono giustificare una conservazione limitata e segregata, documentata e non riutilizzata per altre finalità.

L’elenco tecnico delle tecnologie utilizzate deve essere riesaminato quando cambiano frontend, sistemi di autenticazione o fornitori. Le scelte dell’utente non devono essere ottenute mediante interfacce ingannevoli e la revoca deve essere accessibile con facilità equivalente alla prestazione del consenso quando questo è richiesto.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

10. Gestione delle preferenze

Il sito pubblico e l’area riservata utilizzano tecnologie di memorizzazione esclusivamente nella misura necessaria alla sicurezza, alla sessione, alla scelta linguistica e alle funzioni richieste dall’utente. L’eventuale introduzione di strumenti analitici o di terzi non strettamente necessari è subordinata a una valutazione preventiva e, quando richiesto, a un meccanismo di consenso conforme alle regole applicabili.

I cookie strettamente necessari supportano sessione, autenticazione, sicurezza e preferenza linguistica. Non vengono utilizzati per creare profili pubblicitari; durata, dominio, attributi Secure/HttpOnly/SameSite e finalità devono essere coerenti con il rischio e descritti nell’informativa tecnica aggiornata.

L’elenco tecnico delle tecnologie utilizzate deve essere riesaminato quando cambiano frontend, sistemi di autenticazione o fornitori. Le scelte dell’utente non devono essere ottenute mediante interfacce ingannevoli e la revoca deve essere accessibile con facilità equivalente alla prestazione del consenso quando questo è richiesto.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

11. Browser, blocco e cancellazione

Il sito pubblico e l’area riservata utilizzano tecnologie di memorizzazione esclusivamente nella misura necessaria alla sicurezza, alla sessione, alla scelta linguistica e alle funzioni richieste dall’utente. L’eventuale introduzione di strumenti analitici o di terzi non strettamente necessari è subordinata a una valutazione preventiva e, quando richiesto, a un meccanismo di consenso conforme alle regole applicabili.

I periodi di conservazione sono definiti per categoria e finalità. La cessazione deve distinguere esportazione, restituzione, cancellazione logica, cancellazione da archivio digitale e cicli di copia di sicurezza; obblighi normativi, contenziosi o blocco di conservazione per esigenze legali possono giustificare una conservazione limitata e segregata, documentata e non riutilizzata per altre finalità.

L’elenco tecnico delle tecnologie utilizzate deve essere riesaminato quando cambiano frontend, sistemi di autenticazione o fornitori. Le scelte dell’utente non devono essere ottenute mediante interfacce ingannevoli e la revoca deve essere accessibile con facilità equivalente alla prestazione del consenso quando questo è richiesto.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

12. Evoluzione tecnologica e nuove categorie

Il sito pubblico e l’area riservata utilizzano tecnologie di memorizzazione esclusivamente nella misura necessaria alla sicurezza, alla sessione, alla scelta linguistica e alle funzioni richieste dall’utente. L’eventuale introduzione di strumenti analitici o di terzi non strettamente necessari è subordinata a una valutazione preventiva e, quando richiesto, a un meccanismo di consenso conforme alle regole applicabili.

I dati tecnici di accesso possono essere trattati per sicurezza, diagnosi di malfunzionamenti, prevenzione abusi e dimostrazione di responsabilità. La registrazione deve essere proporzionata: log applicativi e di sicurezza non dovrebbero contenere sequenze genomiche, referti o contenuto trasmesso sensibili se non strettamente necessario e autorizzato.

L’elenco tecnico delle tecnologie utilizzate deve essere riesaminato quando cambiano frontend, sistemi di autenticazione o fornitori. Le scelte dell’utente non devono essere ottenute mediante interfacce ingannevoli e la revoca deve essere accessibile con facilità equivalente alla prestazione del consenso quando questo è richiesto.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

13. Contatti privacy e DPO

Il sito pubblico e l’area riservata utilizzano tecnologie di memorizzazione esclusivamente nella misura necessaria alla sicurezza, alla sessione, alla scelta linguistica e alle funzioni richieste dall’utente. L’eventuale introduzione di strumenti analitici o di terzi non strettamente necessari è subordinata a una valutazione preventiva e, quando richiesto, a un meccanismo di consenso conforme alle regole applicabili.

Il Responsabile della protezione dei dati di UESE è il dr. prof. Giuseppe Izzo, contattabile a dpo@uese.it. Il DPO opera con autonomia e indipendenza per i compiti previsti dagli artt. 37–39 GDPR; quando una richiesta riguarda dati trattati per conto di un cliente, UESE coopera ma può dover indirizzare l’interessato al titolare competente.

L’elenco tecnico delle tecnologie utilizzate deve essere riesaminato quando cambiano frontend, sistemi di autenticazione o fornitori. Le scelte dell’utente non devono essere ottenute mediante interfacce ingannevoli e la revoca deve essere accessibile con facilità equivalente alla prestazione del consenso quando questo è richiesto.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.