1. Parti, oggetto e durata
Il Cliente, identificato nell’account e nel riepilogo d’ordine, agisce quale titolare del trattamento (“Titolare”). PRG COMETA S.R.L. unipersonale agisce quale responsabile del trattamento (“Responsabile”). Il presente DPA è parte integrante dei Termini ed è efficace dalla conclusione del contratto per tutta la durata dell’erogazione e delle successive operazioni di restituzione e cancellazione.
Il Responsabile tratta per conto del Titolare i dati inseriti o generati nella gestione di pazienti, partecipanti, tutori, pagatori, appuntamenti, percorsi, cartelle, allegati, consensi, fatture, STS, comunicazioni, prenotazioni pubbliche, area paziente, importazioni e integrazioni attivate.
2. Natura, finalità e categorie
La natura delle operazioni comprende raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, trasmissione, estrazione, messa a disposizione, limitazione e cancellazione mediante sistemi automatizzati. Le finalità sono esclusivamente l’erogazione, sicurezza, assistenza, continuità ed esportazione delle funzioni richieste dal Titolare.
Gli interessati comprendono pazienti e potenziali pazienti, adulti e minori, partecipanti a percorsi di coppia o familiari, genitori, tutori, delegati, pagatori, destinatari fiscali e altri soggetti i cui dati siano legittimamente inseriti dal Titolare.
I dati comprendono identificativi, contatti, relazioni familiari e poteri di rappresentanza, dati economici e fiscali, appuntamenti, comunicazioni, dati relativi alla salute, anamnesi, valutazioni, diagnosi, obiettivi, note, allegati, consensi, firme ed evidenze tecniche, credenziali STS, protocolli, ricevute e dati di calendario.
3. Istruzioni e obblighi del Titolare
Le istruzioni documentate sono costituite dal contratto, dalle configurazioni e operazioni lecite effettuate nell’applicazione e dalle richieste scritte compatibili con il servizio. Il Titolare garantisce liceità, trasparenza, esattezza e minimizzazione, determina basi giuridiche e tempi di conservazione, gestisce i diritti e verifica che i dati e le istruzioni siano pertinenti alla propria attività.
Se ritiene che un’istruzione violi il GDPR o altra normativa applicabile, il Responsabile ne informa il Titolare e può sospenderne l’esecuzione fino a chiarimento. Il Responsabile non utilizza i dati per marketing, vendita, profilazione commerciale o addestramento di modelli di intelligenza artificiale.
4. Persone autorizzate e riservatezza
Il Responsabile consente l’accesso soltanto a persone autorizzate secondo necessità, vincolate alla riservatezza e formate sugli obblighi applicabili. Gli accessi amministrativi sono limitati, tracciati e utilizzati per assistenza, sicurezza, manutenzione o obblighi di legge.
5. Misure tecniche e organizzative
Il Responsabile applica separazione logica per tenant e ruoli, autenticazione e autorizzazione, cifratura in transito e a riposo, gestione protetta dei segreti, protezione degli allegati mediante URL temporanei, controllo contro sovrascritture, registrazione degli eventi rilevanti, backup e point-in-time recovery, code con gestione degli errori, logging con retention limitata e procedure di gestione degli incidenti.
Le misure sono riesaminate in funzione di rischio, stato dell’arte, costi e natura dei dati. Il Titolare riconosce che nessun sistema elimina ogni rischio e applica a propria volta sicurezza di dispositivi, credenziali, esportazioni e soggetti autorizzati.
6. Sub-responsabili
Il Titolare autorizza in via generale Amazon Web Services per infrastruttura, autenticazione ed email; Twilio e Meta per i promemoria WhatsApp; Google per Calendar quando attivato; e i fornitori tecnici indicati nel registro aggiornato. Il fornitore dei servizi di pagamento tratta i pagamenti secondo il ruolo definito dalle proprie condizioni e non riceve la cartella clinica.
Il Responsabile impone ai sub-responsabili obblighi di protezione sostanzialmente equivalenti. Le aggiunte o sostituzioni rilevanti sono comunicate con almeno 30 giorni di preavviso. Il Titolare può opporsi per motivi documentati di protezione dei dati entro 15 giorni; le parti cercano una soluzione ragionevole e, se impossibile, il Titolare può disattivare la funzione interessata o cessare il contratto.
7. Trasferimenti internazionali
Il Responsabile effettua trasferimenti fuori dal SEE soltanto su istruzione o quando necessari ai fornitori autorizzati e in presenza di una decisione di adeguatezza, Data Privacy Framework UE-USA per destinatari aderenti, clausole contrattuali standard o altro strumento ammesso. Ove necessario valuta il trasferimento e applica misure supplementari tecniche e organizzative.
8. Diritti, DPIA e autorità
Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e informazioni ragionevolmente disponibili per rispondere agli interessati, svolgere valutazioni d’impatto, consultazioni preventive e adempimenti verso l’autorità. Le richieste ricevute direttamente sono inoltrate al Titolare senza risposta sul merito, salvo obbligo di legge.
9. Violazioni dei dati personali
Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione relativa ai dati trattati per suo conto e fornisce, progressivamente se necessario, natura dell’evento, categorie e volume stimato, conseguenze probabili, misure adottate e punto di contatto. Il Titolare decide le notifiche agli interessati e all’autorità, con l’assistenza del Responsabile.
10. Restituzione, cancellazione e conservazione
Durante il contratto il Titolare può esportare i dati attraverso le funzioni disponibili. Dopo la cessazione mantiene consultazione ed esportazione per due anni. Alla scadenza il Responsabile cancella i dati operativi entro 30 giorni e le copie nei backup entro ulteriori 35 giorni, salvo obbligo dell’Unione o nazionale che ne imponga la conservazione; in tal caso limita il trattamento a tale obbligo.
Il Titolare può chiedere la cancellazione anticipata nei limiti delle funzioni disponibili e degli obblighi applicabili. La cancellazione non comprende le evidenze che il Responsabile tratta quale titolare autonomo per contratto, fatturazione, sicurezza o difesa.
11. Informazioni e audit
Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto dell’art. 28 GDPR. Il Titolare può richiedere una verifica documentale una volta l’anno e ulteriori verifiche dopo un incidente significativo. Audit in presenza richiedono almeno 30 giorni di preavviso, non devono compromettere altri clienti o la sicurezza e sono a carico del Titolare, salvo non conformità sostanziale imputabile al Responsabile.
12. Prevalenza e adesione
In materia di protezione dei dati il DPA prevale sui Termini. L’adesione è registrata insieme all’accettazione del contratto, con identificativo del Cliente, versione, data e ora ed evidenza tecnica. Le clausole contrattuali standard eventualmente concluse per un trasferimento prevalgono in caso di contrasto sul relativo trasferimento.
