Consulenza GDPR per Aziende Software

Sì, l'articolo 3(2) conferisce al GDPR portata extraterritoriale. Se offrite beni o servizi a interessati nell'Unione (a pagamento o gratuiti) o ne monitorate il comportamento (analytics, profilazione, retargeting), siete nell'ambito di applicazione indipendentemente da dove si trovino i vostri server o la sede legale. Avrete bisogno di un rappresentante UE ai sensi dell'articolo 27, salvo rientriate nella ristretta esenzione. Le sanzioni ai sensi dell'articolo 83(5) raggiungono 20 milioni di EUR o il 4% del fatturato globale annuo, se superiore. Forniamo la nomina del rappresentante ex art. 27, i registri ex art. 30, i contratti con i responsabili del trattamento ex art. 28 e il baseline di sicurezza ex art. 32 come pacchetto integrato anziché cinque flussi di lavoro separati.

Il RoPA dell'articolo 30 (Registro delle Attività di Trattamento) è obbligatorio per quasi ogni titolare e responsabile — un inventario aggiornato di ogni finalità di trattamento, base giuridica ex art. 6, categorie di interessati e dati, conservazione, destinatari e trasferimenti. La DPIA dell'articolo 35 è necessaria quando il trattamento rischia di comportare un rischio elevato per i diritti e le libertà — trattamento su larga scala di categorie particolari, monitoraggio sistematico, decisioni automatizzate con effetti giuridici, nuove tecnologie. La TIA (Transfer Impact Assessment) è richiesta da Schrems II ogni volta che ci si affida alle SCC dell'articolo 46 per trasferimenti verso un paese terzo privo di decisione di adeguatezza. Forniamo tutti e tre utilizzando un'unica mappa dei dati come fonte di verità, in modo che rimangano sincronizzati invece di divergere.

Tre percorsi leciti ai sensi del Capitolo V (articoli 44–49). Primo: adeguatezza ex art. 45 — l'EU-US Data Privacy Framework è attualmente valido; certificarsi sotto di esso consente il trasferimento agli importatori statunitensi certificati senza misure aggiuntive. Secondo: Clausole Contrattuali Standard ex art. 46 (le SCC UE del 2021, quattro moduli) combinate con una Transfer Impact Assessment e misure supplementari ai sensi delle Raccomandazioni EDPB 01/2020 — cifratura in transito e a riposo sotto il controllo esclusivo della chiave, split processing, obblighi contrattuali di trasparenza. Terzo: deroghe ex art. 49 per situazioni specifiche — ristrette, mai predefinite. Redigiamo il pacchetto SCC, la TIA, le misure tecniche supplementari e l'informativa di trasparenza verso il cliente come un unico bundle.

L'articolo 32(1) richiede misure tecniche e organizzative adeguate al rischio, tra cui: (a) pseudonimizzazione e cifratura, (b) riservatezza, integrità, disponibilità e resilienza continuative dei sistemi, (c) la capacità di ripristinare la disponibilità e l'accesso dopo un incidente, (d) un processo di verifica, valutazione e test periodici dell'efficacia. In pratica, per il SaaS ciò significa: cifratura in transito (TLS 1.2+ minimo, idealmente 1.3), cifratura a riposo (AES-256, chiavi gestite tramite KMS), MFA per l'accesso amministrativo, RBAC con privilegi minimi, audit logging con resistenza alla manomissione, gestione delle vulnerabilità con SLA documentati, penetration test annuale, un runbook di risposta agli incidenti collegato al termine di 72 ore per la notifica delle violazioni ex art. 33, e un BCP/DRP con RTO/RPO misurati. Implementiamo e documentiamo ciascuno di questi elementi per dimostrare la conformità all'art. 32 in sede di audit.

Si sovrappongono sui controlli ma differiscono nel quadro di riferimento. I controlli dell'Allegato A di ISO 27001 (in particolare A.5, A.8, A.18) si mappano quasi 1:1 con l'articolo 32 del GDPR. I criteri Trust Services CC6 (accesso logico) e CC7 (operazioni di sistema) di SOC 2, insieme alla categoria Privacy opzionale P1–P8, coprono la maggior parte degli articoli 25 e 32. L'articolo 10 dell'EU AI Act sulla governance dei dati per i sistemi ad alto rischio mutua direttamente dagli articoli 5, 25 e 35 del GDPR. Costruiamo un'unica libreria di prove unificata che assolve gli obblighi derivanti da tutti e quattro i regimi — lo stesso controllo di cifratura dimostra la conformità a SOC 2 CC6.7, ISO A.8.24, GDPR articolo 32(1)(a) e AI Act articolo 15. Il lavoro si fa una volta sola; gli auditor ricevono ciò di cui ciascuno ha bisogno.

Tre pacchetti. La GDPR Readiness Assessment è 6.500 EUR a prezzo fisso (due settimane): conferma dello scope, RoPA art. 30 nel vostro strumento di data mapping, gap analysis rispetto agli articoli 5, 6, 12–22, 25, 28, 30, 32, 33–34, 35 e 44–49, roadmap di remediation, briefing esecutivo. L'Implementation Pack è 18.000 EUR a prezzo fisso (da sei a otto settimane): template DPA per responsabili e sub-responsabili, template DPIA art. 35 più una DPIA elaborata, implementazione misure tecniche art. 32, workflow dei diritti degli interessati art. 12–22 nel prodotto, pacchetto SCC e TIA per trasferimenti UE verso paesi terzi, runbook di risposta alle violazioni, informativa privacy pubblica. Il DPO-as-a-Service continuativo è 3.500 EUR/mese: aggiornamento trimestrale delle prove, monitoraggio delle autorità di controllo (EDPB, ICO, CNIL, BfDI, AEPD, Garante), supporto triage DSAR, supporto per violazioni, revisioni DPA dei fornitori fino a 10/mese, simulazione annuale di audit.