Accordo quadro sul trattamento dei dati (DPA) – Art. 28 GDPR

1. Oggetto, definizioni e parti

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

2. Qualificazione dei ruoli privacy

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

La destinazione d’uso corrente deve essere richiamata nei materiali, nei manuali e nei processi di attivazione iniziale. Qualunque modifica che introduca una finalità medica, diagnostica, prognostica, predittiva o terapeutica richiede una nuova analisi di qualificazione del software e, se applicabile, un percorso MDR/IVDR e una rivalutazione ai sensi dell’AI Act.

Titolare, contitolare e responsabile sono qualificazioni funzionali e non etichette negoziali. Le parti devono verificare chi determina finalità e mezzi essenziali per ciascun trattamento; eventuali accordi di contitolarità o DPA devono riflettere l’assetto reale e indicare responsabilità, canali di esercizio dei diritti e cooperazione.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

3. Oggetto, natura, finalità e durata del trattamento

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

La base giuridica deve essere determinata per finalità e non per piattaforma. Attività precontrattuali, esecuzione del contratto, sicurezza, adempimenti legali e marketing possono fondarsi su presupposti diversi; per dati sanitari o genetici occorre anche una condizione dell’art. 9 GDPR e, se applicabile, garanzie per la ricerca ex art. 89.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

4. Categorie di dati e interessati

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

Le categorie effettive devono essere censite nel registro dei trattamenti e negli allegati di progetto. Possono comprendere utenti professionali, referenti commerciali, personale di ricerca e, nei progetti cliente, soggetti di studio; UESE non assume che tutti i dati gestiti dal cliente siano necessari o leciti solo perché tecnicamente supportati.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

5. Istruzioni documentate del titolare

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

UESE tratta i dati per conto del titolare esclusivamente sulla base di istruzioni documentate, comprese quelle relative a trasferimenti e cancellazione. Se un’istruzione appare in contrasto con la normativa applicabile, UESE informa il titolare nei limiti consentiti e può sospendere l’esecuzione fino a chiarimento.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

6. Obbligo di informazione in caso di istruzione illecita

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

UESE tratta i dati per conto del titolare esclusivamente sulla base di istruzioni documentate, comprese quelle relative a trasferimenti e cancellazione. Se un’istruzione appare in contrasto con la normativa applicabile, UESE informa il titolare nei limiti consentiti e può sospendere l’esecuzione fino a chiarimento.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

7. Riservatezza e autorizzazione del personale

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

8. Misure tecniche e organizzative

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

9. Pseudonimizzazione e minimizzazione

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

Ogni trattamento deve rispettare limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza. La configurazione deve evitare campi liberi non necessari, copie incontrollate e trasferimenti eccedenti; nei test e nella formazione devono essere preferiti dati sintetici o adeguatamente anonimizzati quando possibile.

Quando tecnicamente possibile, l’identità anagrafica resta presso l’ente sanitario o di ricerca e la piattaforma utilizza identificativi pseudonimi. Le chiavi di ricongiungimento devono essere separate, protette e accessibili a un numero ristretto di soggetti; la re-identificazione deve essere consentita solo quando prevista dal protocollo e dalla base giuridica.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

10. Sub-responsabili: autorizzazione e obblighi equivalenti

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

I destinatari devono essere limitati a persone autorizzate e fornitori necessari. Prima di affidare trattamenti a terzi vengono valutati ruolo, sicurezza, localizzazione, subfornitura e condizioni contrattuali; la catena di sub-responsabili è governata secondo l’art. 28 GDPR e le eventuali procedure di autorizzazione pattuite.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

11. Trasferimenti internazionali e accessi da paesi terzi

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

Qualunque trasferimento verso paesi terzi è soggetto al Capo V GDPR e deve essere mappato prima dell’attivazione. In assenza di decisione di adeguatezza possono essere necessarie clausole contrattuali standard, valutazione d’impatto sul trasferimento e misure supplementari; accessi remoti da paesi terzi sono valutati come parte del medesimo rischio.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

12. Assistenza sui diritti degli interessati

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

Le richieste di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità sono gestite secondo il ruolo effettivo. Se UESE è responsabile, non sostituisce il titolare nelle decisioni ma lo assiste con strumenti e informazioni compatibili con la natura del trattamento e con le misure di sicurezza.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

13. Assistenza per DPIA e consultazione preventiva

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

UESE mette a disposizione informazioni sull’architettura, sulle misure e sui flussi necessari alla DPIA del titolare. La decisione sull’obbligo di DPIA, sul rischio residuo e sull’eventuale consultazione preventiva resta in capo al titolare, salvo attività di consulenza specificamente incaricate e separate dal ruolo di responsabile.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

14. Violazioni di dati personali

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

Gli eventi sono classificati per gravità e impatto, contenuti e documentati. Se UESE opera quale responsabile, notifica al titolare senza ingiustificato ritardo le violazioni di cui viene a conoscenza e fornisce le informazioni disponibili per consentire le valutazioni ex artt. 33 e 34 GDPR; le comunicazioni alle autorità restano in capo al soggetto competente.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

15. Sicurezza, incidenti e cooperazione forense

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

I dati tecnici di accesso possono essere trattati per sicurezza, diagnosi di malfunzionamenti, prevenzione abusi e dimostrazione di responsabilità. La registrazione deve essere proporzionata: log applicativi e di sicurezza non dovrebbero contenere sequenze genomiche, referti o contenuto trasmesso sensibili se non strettamente necessario e autorizzato.

Gli eventi sono classificati per gravità e impatto, contenuti e documentati. Se UESE opera quale responsabile, notifica al titolare senza ingiustificato ritardo le violazioni di cui viene a conoscenza e fornisce le informazioni disponibili per consentire le valutazioni ex artt. 33 e 34 GDPR; le comunicazioni alle autorità restano in capo al soggetto competente.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

16. Audit, verifiche e informazioni di conformità

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

17. Restituzione e cancellazione al termine

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

I periodi di conservazione sono definiti per categoria e finalità. La cessazione deve distinguere esportazione, restituzione, cancellazione logica, cancellazione da archivio digitale e cicli di copia di sicurezza; obblighi normativi, contenziosi o blocco di conservazione per esigenze legali possono giustificare una conservazione limitata e segregata, documentata e non riutilizzata per altre finalità.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

18. Conservazione obbligatoria e blocco di conservazione per esigenze legali

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

I periodi di conservazione sono definiti per categoria e finalità. La cessazione deve distinguere esportazione, restituzione, cancellazione logica, cancellazione da archivio digitale e cicli di copia di sicurezza; obblighi normativi, contenziosi o blocco di conservazione per esigenze legali possono giustificare una conservazione limitata e segregata, documentata e non riutilizzata per altre finalità.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

19. Dati sanitari e genomici

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

Dati relativi alla salute e dati genetici sono categorie particolari ai sensi dell’art. 9 GDPR. Il titolare deve individuare una base dell’art. 6 e una condizione dell’art. 9, valutare eventuali norme sanitarie e di ricerca nazionali e applicare garanzie adeguate; la pseudonimizzazione riduce il rischio ma non trasforma automaticamente i dati in anonimi.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

20. Rapporti con EHDS, ricerca e uso secondario

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

L’EHDS si applica secondo un calendario progressivo. Dal 26 marzo 2029 iniziano a operare parti sostanziali dell’uso secondario; dal 26 marzo 2031 il quadro si estende alle categorie residue che includono i dati genomici. Date e obblighi devono essere verificati sul testo vigente e sugli atti di esecuzione al momento del progetto.

L’uso primario riguarda l’assistenza alla persona; l’uso secondario riguarda finalità ulteriori consentite dal regolamento, come ricerca e innovazione, con procedure e garanzie specifiche. La piattaforma non presume che un dataset raccolto per cura possa essere riutilizzato per ricerca senza l’analisi della base giuridica, dei permessi e delle restrizioni applicabili.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

21. Responsabilità, indennizzi e limiti contrattuali

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

Le informazioni fornite all’utente devono essere sufficienti a comprendere finalità, input, natura del punteggio, principali limiti e condizioni di non utilizzo. La spiegabilità richiesta è proporzionata al rischio e al ruolo dell’utente; un punteggio numerico privo di contesto non è considerato spiegazione adeguata.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

22. Allegati operativi, prevalenza e modifiche

Il presente DPA costituisce un modello quadro per i casi in cui UESE ITALIA S.p.A. agisca quale responsabile del trattamento ai sensi dell’art. 28 GDPR. Per divenire vincolante deve essere coordinato con il contratto e completato con gli allegati che descrivono in modo concreto finalità, durata, categorie di interessati e dati, istruzioni, misure tecniche e organizzative, sub-responsabili e trasferimenti.

Le istruzioni del titolare devono essere sufficientemente precise e aggiornate. Modifiche sostanziali a finalità, categorie di dati, trasferimenti, sub-responsabili o misure richiedono un aggiornamento degli allegati e, quando necessario, della valutazione del rischio e della DPIA.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.