Informativa privacy enterprise – sito, parti interessate, utenze professionali e servizi digitali

1. Titolare del trattamento e ambito dell’informativa

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

Il soggetto giuridico responsabile deve essere identificabile senza ambiguità. I dati societari, i canali di contatto e l’eventuale ruolo privacy sono pubblicati in modo separato dalla denominazione commerciale del prodotto; eventuali divisioni o unità organizzativa interna non modificano la titolarità giuridica salvo espressa comunicazione.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

2. Responsabile della protezione dei dati (DPO)

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

Il Responsabile della protezione dei dati di UESE è il dr. prof. Giuseppe Izzo, contattabile a dpo@uese.it. Il DPO opera con autonomia e indipendenza per i compiti previsti dagli artt. 37–39 GDPR; quando una richiesta riguarda dati trattati per conto di un cliente, UESE coopera ma può dover indirizzare l’interessato al titolare competente.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

3. Principi generali di trattamento

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

Ogni trattamento deve rispettare limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza. La configurazione deve evitare campi liberi non necessari, copie incontrollate e trasferimenti eccedenti; nei test e nella formazione devono essere preferiti dati sintetici o adeguatamente anonimizzati quando possibile.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

4. Categorie di interessati

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

Le categorie effettive devono essere censite nel registro dei trattamenti e negli allegati di progetto. Possono comprendere utenti professionali, referenti commerciali, personale di ricerca e, nei progetti cliente, soggetti di studio; UESE non assume che tutti i dati gestiti dal cliente siano necessari o leciti solo perché tecnicamente supportati.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

5. Categorie di dati personali

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

Le categorie effettive devono essere censite nel registro dei trattamenti e negli allegati di progetto. Possono comprendere utenti professionali, referenti commerciali, personale di ricerca e, nei progetti cliente, soggetti di studio; UESE non assume che tutti i dati gestiti dal cliente siano necessari o leciti solo perché tecnicamente supportati.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

6. Dati sanitari, genetici e altre categorie particolari

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

Dati relativi alla salute e dati genetici sono categorie particolari ai sensi dell’art. 9 GDPR. Il titolare deve individuare una base dell’art. 6 e una condizione dell’art. 9, valutare eventuali norme sanitarie e di ricerca nazionali e applicare garanzie adeguate; la pseudonimizzazione riduce il rischio ma non trasforma automaticamente i dati in anonimi.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

7. Dati di navigazione e sicurezza

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

I dati tecnici di accesso possono essere trattati per sicurezza, diagnosi di malfunzionamenti, prevenzione abusi e dimostrazione di responsabilità. La registrazione deve essere proporzionata: log applicativi e di sicurezza non dovrebbero contenere sequenze genomiche, referti o contenuto trasmesso sensibili se non strettamente necessario e autorizzato.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

8. Dati relativi alle utenze professionali

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

Le utenze sono nominative e non condivisibili. Il cliente deve gestire tempestivamente attivazioni, cambi ruolo e revoche; gli accessi privilegiati richiedono controlli rafforzati e, ove previsto dalla policy, autenticazione a più fattori. La tracciabilità perde valore se più persone utilizzano la stessa identità.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

9. Richieste informative, demo e relazioni con parti interessate

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

I dati raccolti tramite form sono utilizzati per qualificare la richiesta, organizzare contatti, demo o valutazioni e documentare la relazione precontrattuale. Il modulo pubblico non deve ricevere dati di pazienti; se la valutazione richiede informazioni sensibili, UESE definisce prima un canale protetto e il corretto ruolo privacy.

Le richieste di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità sono gestite secondo il ruolo effettivo. Se UESE è responsabile, non sostituisce il titolare nelle decisioni ma lo assiste con strumenti e informazioni compatibili con la natura del trattamento e con le misure di sicurezza.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

10. Newsletter e comunicazioni professionali

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

La newsletter è facoltativa e separata dalle richieste commerciali o tecniche. UESE utilizza una doppia conferma via email per documentare la volontà dell’interessato; la disiscrizione è disponibile in ogni momento e la revoca non pregiudica la liceità del trattamento precedente.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

11. Finalità e basi giuridiche

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

La base giuridica deve essere determinata per finalità e non per piattaforma. Attività precontrattuali, esecuzione del contratto, sicurezza, adempimenti legali e marketing possono fondarsi su presupposti diversi; per dati sanitari o genetici occorre anche una condizione dell’art. 9 GDPR e, se applicabile, garanzie per la ricerca ex art. 89.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

12. Ruoli privacy nei progetti cliente

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

La destinazione d’uso corrente deve essere richiamata nei materiali, nei manuali e nei processi di attivazione iniziale. Qualunque modifica che introduca una finalità medica, diagnostica, prognostica, predittiva o terapeutica richiede una nuova analisi di qualificazione del software e, se applicabile, un percorso MDR/IVDR e una rivalutazione ai sensi dell’AI Act.

Titolare, contitolare e responsabile sono qualificazioni funzionali e non etichette negoziali. Le parti devono verificare chi determina finalità e mezzi essenziali per ciascun trattamento; eventuali accordi di contitolarità o DPA devono riflettere l’assetto reale e indicare responsabilità, canali di esercizio dei diritti e cooperazione.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

13. Pseudonimizzazione, minimizzazione e separazione delle chiavi

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

Ogni trattamento deve rispettare limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza. La configurazione deve evitare campi liberi non necessari, copie incontrollate e trasferimenti eccedenti; nei test e nella formazione devono essere preferiti dati sintetici o adeguatamente anonimizzati quando possibile.

Quando tecnicamente possibile, l’identità anagrafica resta presso l’ente sanitario o di ricerca e la piattaforma utilizza identificativi pseudonimi. Le chiavi di ricongiungimento devono essere separate, protette e accessibili a un numero ristretto di soggetti; la re-identificazione deve essere consentita solo quando prevista dal protocollo e dalla base giuridica.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

14. Destinatari, autorizzati e fornitori

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

I destinatari devono essere limitati a persone autorizzate e fornitori necessari. Prima di affidare trattamenti a terzi vengono valutati ruolo, sicurezza, localizzazione, subfornitura e condizioni contrattuali; la catena di sub-responsabili è governata secondo l’art. 28 GDPR e le eventuali procedure di autorizzazione pattuite.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

15. Sub-responsabili e catena di fornitura digitale

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

I destinatari devono essere limitati a persone autorizzate e fornitori necessari. Prima di affidare trattamenti a terzi vengono valutati ruolo, sicurezza, localizzazione, subfornitura e condizioni contrattuali; la catena di sub-responsabili è governata secondo l’art. 28 GDPR e le eventuali procedure di autorizzazione pattuite.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

16. Trasferimenti internazionali

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

Qualunque trasferimento verso paesi terzi è soggetto al Capo V GDPR e deve essere mappato prima dell’attivazione. In assenza di decisione di adeguatezza possono essere necessarie clausole contrattuali standard, valutazione d’impatto sul trasferimento e misure supplementari; accessi remoti da paesi terzi sono valutati come parte del medesimo rischio.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

17. Conservazione e cancellazione

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

I periodi di conservazione sono definiti per categoria e finalità. La cessazione deve distinguere esportazione, restituzione, cancellazione logica, cancellazione da archivio digitale e cicli di copia di sicurezza; obblighi normativi, contenziosi o blocco di conservazione per esigenze legali possono giustificare una conservazione limitata e segregata, documentata e non riutilizzata per altre finalità.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

18. Diritti degli interessati

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

Le richieste di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità sono gestite secondo il ruolo effettivo. Se UESE è responsabile, non sostituisce il titolare nelle decisioni ma lo assiste con strumenti e informazioni compatibili con la natura del trattamento e con le misure di sicurezza.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

19. Gestione delle richieste e cooperazione con i titolari clienti

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

Le richieste di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità sono gestite secondo il ruolo effettivo. Se UESE è responsabile, non sostituisce il titolare nelle decisioni ma lo assiste con strumenti e informazioni compatibili con la natura del trattamento e con le misure di sicurezza.

La richiesta professionale viene registrata e notificata al Superadmin o all’indirizzo configurato, affinché sia assegnata e qualificata. Gli operatori devono usare le note interne solo per informazioni pertinenti alla relazione professionale e non per annotazioni sanitarie o categorie particolari non necessarie.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

20. Violazioni di dati personali e risposta agli incidenti

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

Gli eventi sono classificati per gravità e impatto, contenuti e documentati. Se UESE opera quale responsabile, notifica al titolare senza ingiustificato ritardo le violazioni di cui viene a conoscenza e fornisce le informazioni disponibili per consentire le valutazioni ex artt. 33 e 34 GDPR; le comunicazioni alle autorità restano in capo al soggetto competente.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

21. Decisioni automatizzate, profilazione e IA

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

La configurazione pubblica non prevede decisioni automatizzate con effetti giuridici o analogamente significativi sugli interessati. Eventuali futuri casi d’uso devono essere censiti e valutati separatamente ai sensi del GDPR e dell’AI Act, incluso il ruolo della supervisione umana e il diritto applicabile alle decisioni cliniche.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

22. Aggiornamenti dell’informativa, reclami e contatti

UESE ITALIA S.p.A. tratta i dati personali secondo il Regolamento (UE) 2016/679 e la normativa italiana applicabile, adottando un modello fondato su responsabilizzazione, minimizzazione e separazione dei ruoli. La piattaforma può operare in contesti nei quali UESE è titolare autonomo per attività proprie e, separatamente, responsabile del trattamento per conto di organizzazioni sanitarie, scientifiche o biotecnologiche: tali ruoli non devono essere confusi e sono determinati dalle finalità e dalle decisioni effettivamente assunte.

UESE mantiene registri e configurazioni idonei a dimostrare le proprie attività e, quando opera come responsabile, mette a disposizione del titolare le informazioni ragionevolmente necessarie alla governance del trattamento. La documentazione del cliente deve indicare finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure effettivamente applicate.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.