1. Ruolo privacy
Quando Vendora tratta dati personali per conto del Cliente, opera come responsabile del trattamento secondo le istruzioni documentate del Cliente, salvo obblighi di legge applicabili.
2. Oggetto e durata
Il trattamento riguarda dati necessari ai servizi Amazon autorizzati. La durata coincide con il contratto principale e con i tempi di retention indicati nella Privacy & Data Protection Policy.
3. Misure tecniche e organizzative
TLS 1.2+, AES-256, KMS, MFA, privilegio minimo, audit log 12 mesi, PII 30 giorni, non-PII 18 mesi, vulnerability management 7/30 giorni e offboarding entro 24 ore.
4. Sub-responsabili
Vendora usa solo sub-responsabili contrattualizzati e valutati almeno annualmente, imponendo standard equivalenti a DPP, AUP e legge applicabile.
5. Cancellazione o restituzione
Alla cessazione del rapporto o su richiesta valida, Vendora cancella o restituisce i dati secondo contratto, legge applicabile e procedure di sanificazione standard.