01 Scopo del documento

Il presente documento illustra in modo esteso le scelte organizzative, tecniche e procedurali che VIGILO HQ S.r.l. adotta per garantire la conformità al Regolamento (UE) 2016/679 (General Data Protection Regulation, "GDPR"), al D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018, ai Provvedimenti del Garante per la protezione dei dati personali e alle ulteriori normative europee e nazionali applicabili.

Esso integra — senza sostituirsi — ai documenti specifici stipulati con i clienti SaaS: Privacy Policy, Cookie Policy, Termini di servizio e Data Processing Agreement (DPA).

02 Ruoli e responsabilità nel trattamento

VIGILO HQ Titolare del trattamento

VIGILO HQ agisce in qualità di Titolare per i trattamenti relativi a: navigazione sul sito vetrina, gestione contatti commerciali e marketing, amministrazione e contabilità, gestione del personale interno.

VIGILO HQ Responsabile esterno (art. 28 GDPR)

VIGILO HQ agisce in qualità di Responsabile esterno per i trattamenti effettuati per conto dei propri clienti SaaS, che restano Titolari del trattamento dei dati di propri dipendenti, fornitori e clienti caricati in Piattaforma.

Il rapporto é regolato da un Data Processing Agreement conforme all'art. 28 GDPR, sottoscritto al momento dell'attivazione del servizio. Il DPA include in particolare:

• oggetto e durata del trattamento;
• natura e finalità;
• tipo di dati personali e categorie di interessati;
• obblighi e diritti del Titolare;
• elenco aggiornato dei sub-responsabili autorizzati;
• misure tecniche e organizzative adottate;
• procedura di notifica data breach;
• modalità di restituzione/cancellazione dei dati a fine rapporto.

03 Principi del trattamento (art. 5 GDPR)

Ogni trattamento é ispirato al rispetto dei principi di:

Liceità, correttezza, trasparenza

Ogni trattamento ha una base giuridica esplicita e l'interessato é informato in modo chiaro e accessibile.

Limitazione delle finalità

I dati sono raccolti per finalità determinate, esplicite e legittime, e non ulteriormente trattati in modo incompatibile.

Minimizzazione

I dati sono adeguati, pertinenti e limitati a quanto necessario.

Esattezza

I dati sono esatti e aggiornati; il Cliente Titolare é tenuto a comunicare correzioni tempestivamente.

Limitazione conservazione

I dati sono conservati per il tempo necessario alle finalità.

Integrità e riservatezza

I dati sono protetti contro trattamenti illeciti, perdita, distruzione o danno accidentali.

Responsabilizzazione (accountability)

Il Titolare é in grado di dimostrare il rispetto dei principi tramite registro dei trattamenti, DPIA, policy interne e audit periodici.

04 Valutazione d'impatto (DPIA — art. 35 GDPR)

VIGILO HQ ha condotto una Valutazione d'impatto sulla protezione dei dati per i trattamenti che presentano un rischio elevato per i diritti e le libertà degli interessati, in particolare:

• Trattamento sistematico su larga scala di dati relativi a dipendenti dei clienti (categorie: anagrafica, presenze, retribuzioni, formazione, sicurezza sul lavoro);
• Monitoraggio delle prestazioni dei fornitori (Portale Fornitore, OTIF Score);
• Profilazione operativa cross-modulo svolta dagli engine AI proprietari (Margin Guardian, Predictive Radar);
• Tracciamento delle attività di compliance (HACCP, Safety, Governance).

La DPIA é oggetto di revisione periodica almeno annuale o in occasione di rilevanti modifiche al trattamento.

05 Privacy by Design e by Default (art. 25 GDPR)

L'architettura della Piattaforma é progettata per garantire la protezione dei dati fin dalla fase di sviluppo (by design) e di default (by default):

• Multi-tenancy logica: ogni cliente dispone di uno schema dati isolato, con identità e permessi separati;
• RBAC granulare: i permessi di accesso sono definiti per sede e mansione (principio del minimo privilegio);
• Pseudonimizzazione dei dati nei log applicativi e nei report aggregati;
• Default minimi: alla creazione di una nuova utenza, i permessi sono ridotti al minimo e devono essere ampliati esplicitamente dall'amministratore del Cliente;
• Disattivazione automatica degli utenti inattivi e revoca delle credenziali a seguito di dimissioni segnalate dal modulo HR;
• Mascheramento dei campi sensibili nelle interfacce in cui non sono strettamente necessari (es. IBAN parzialmente offuscato).

06 Misure tecniche e organizzative (art. 32 GDPR)

Misure tecniche

• Cifratura in transito (TLS 1.3) e a riposo (AES-256);
• Autenticazione a due fattori (2FA TOTP) obbligatoria sugli accessi privilegiati;
• Hardening sistemi: CIS Benchmark Level 2 sui sistemi operativi server;
• Web Application Firewall e protezione DDoS attiva a livello edge;
• Catena hash crittografica per la conservazione sostitutiva dei registri sensibili (HACCP, Safety, Governance);
• Audit trail WORM (Write Once Read Many) immutabile sulle scritture economiche e di compliance;
• Backup automatici daily, monthly e off-site geo-ridondanti, con test periodico di ripristino;
• Vulnerability assessment trimestrale, penetration test annuale, bug bounty program;
• Aggiornamenti di sicurezza tempestivi (patch management ciclo 7-30 giorni in base alla CVSS).

Misure organizzative

• Registro dei trattamenti aggiornato (art. 30 GDPR);
• Procedure di nomina degli autorizzati ex art. 29 GDPR e art. 2-quaterdecies Codice Privacy;
• Programma di formazione annuale obbligatoria del personale sui temi GDPR e sicurezza informatica;
• Procedura di onboarding/offboarding del personale con revoca tempestiva degli accessi;
• Policy di clean desk e gestione dei dispositivi mobili (MDM);
• Procedure di gestione degli incidenti di sicurezza con escalation al DPO entro 24 ore;
• Audit interno annuale e revisione documentale.

07 Sub-responsabili e catena di fornitura

Per l'erogazione dei Servizi, VIGILO HQ si avvale di sub-responsabili selezionati e nominati ai sensi dell'art. 28, par. 4 GDPR. I sub-responsabili sono vincolati per contratto a garantire un livello di protezione dei dati equivalente a quello adottato da VIGILO HQ.

Categorie tipiche di sub-responsabili:

• Provider di infrastruttura cloud (server di hosting, database, storage);
• Provider di servizi di posta elettronica transazionale;
• Provider di servizi di monitoraggio degli errori applicativi;
• Provider di servizi di backup off-site;
• Consulenti tecnici esterni per attività di sviluppo specifico, sotto NDA.

L'elenco aggiornato e nominativo dei sub-responsabili é reso disponibile ai clienti Titolari su richiesta scritta al DPO. Eventuali variazioni vengono notificate con preavviso di almeno 30 giorni, durante i quali il Cliente Titolare può opporsi per giustificati motivi.

08 Diritto di audit del Cliente

Il Cliente Titolare ha diritto, ai sensi dell'art. 28, par. 3, lett. h) GDPR, di verificare il rispetto da parte di VIGILO HQ degli obblighi previsti dal DPA, mediante:

• Consultazione della documentazione di compliance (policy, certificazioni, esiti audit di terzi);
• Ricezione del questionario di accountability annuale compilato da VIGILO HQ;
• In casi specifici e motivati, audit on-site con preavviso di almeno 30 giorni lavorativi, da svolgersi in orario di ufficio e con modalità tali da non compromettere la continuità operativa e la riservatezza degli altri clienti multi-tenant.

I costi dell'audit sono a carico del Cliente Titolare, salvo che l'audit accerti un inadempimento rilevante imputabile a VIGILO HQ.

09 Gestione dei data breach (artt. 33-34 GDPR)

VIGILO HQ ha adottato una procedura interna di gestione delle violazioni di dati personali (Data Breach Management Procedure) che prevede:

• Rilevazione tempestiva tramite sistemi di monitoraggio (SIEM, IDS/IPS) e segnalazione spontanea del personale;
• Triage entro 4 ore lavorative dalla rilevazione, con classificazione del livello di gravità;
• Contenimento e remediation immediati per limitare l'impatto;
• Valutazione del rischio per i diritti e le libertà degli interessati;
• Notifica al Cliente Titolare senza ingiustificato ritardo e comunque entro 48 ore dalla conoscenza della violazione, qualora si tratti di dati di cui VIGILO HQ é Responsabile esterno;
• Notifica al Garante entro 72 ore dalla conoscenza, qualora VIGILO HQ sia Titolare e la violazione presenti un rischio per i diritti degli interessati (art. 33 GDPR);
• Comunicazione agli interessati in caso di rischio elevato (art. 34 GDPR);
• Registro delle violazioni mantenuto ai sensi dell'art. 33, par. 5 GDPR;
• Post-mortem e azioni correttive sistemiche.

10 Trasferimenti extra-UE (artt. 44-49 GDPR)

L'infrastruttura cloud di VIGILO HQ é localizzata in Italia e nell'Unione Europea. Per impostazione predefinita, i dati personali dei Clienti non sono trasferiti al di fuori dello Spazio Economico Europeo.

Per esigenze tecniche limitate (es. servizi accessori di e-mail, monitoraggio errori, supporto), eventuali trasferimenti extra-UE avvengono esclusivamente verso:

• Paesi oggetto di decisione di adeguatezza della Commissione europea (art. 45 GDPR);
• Soggetti vincolati alle Clausole Contrattuali Standard (SCC) adottate dalla Commissione europea con Decisione 2021/914/UE (art. 46 GDPR), integrate da misure supplementari adeguate a seguito di Transfer Impact Assessment (TIA).

Su richiesta del Cliente Titolare, il DPO fornisce documentazione dettagliata sui trasferimenti in essere.

11 Intelligenza artificiale e processo decisionale automatizzato

Gli engine AI interni alla Piattaforma (VIGILO Margin Guardian, VIGILO Predictive Radar, VIGILO Decision Board) producono raccomandazioni operative destinate al management dei Clienti. Le decisioni finali sono sempre in capo a operatori umani: non sono effettuati trattamenti automatizzati che producano effetti giuridici o incidano significativamente sulla persona senza intervento umano significativo (art. 22 GDPR).

I dati operativi dei Clienti non vengono utilizzati per addestrare modelli condivisi o di terze parti. L'addestramento di modelli proprietari avviene esclusivamente su dataset interni o anonimizzati in forma irreversibile.

VIGILO HQ ha avviato un percorso di conformità al Regolamento UE 2024/1689 (AI Act) per i sistemi di intelligenza artificiale potenzialmente classificabili come "ad alto rischio".

12 Whistleblowing (D.Lgs. 24/2023)

VIGILO HQ ha implementato un canale di segnalazione interno per le violazioni di norme nazionali e dell'Unione europea, conforme al D.Lgs. 24/2023. Le segnalazioni possono essere inoltrate tramite il canale dedicato, garantendo la riservatezza dell'identità del segnalante e la tutela contro atti ritorsivi.

Per maggiori informazioni o per effettuare una segnalazione: whistleblowing@vigilohq.com.

13 Contatto del Responsabile della protezione dei dati

DPO

Responsabile della protezione dei dati di VIGILO HQ S.r.l.

Email

dpo@vigilohq.com

PEC

vigilohqsrl@legalmail.it (oggetto: "Attenzione DPO")

Posta ordinaria

VIGILO HQ S.r.l. — Responsabile protezione dati — Sede legale Via Enzo ed Elvira Sellerio 90, 90141 Palermo (PA) / Sede operativa c/o FB Consulting S.r.l., Via Tito Vignoli 5, 20146 Milano (MI)