Data Processing Agreement (DPA)

ACCORDO PER IL TRATTAMENTO DEI DATI PERSONALI

ai sensi dell'art. 28 del Regolamento (UE) 2016/679 («GDPR»)

Tra

[RAGIONE SOCIALE DELLO STUDIO], con sede in [INDIRIZZO], P.IVA [P.IVA], email [EMAIL], di seguito «Titolare» o «Studio»;

e

Digital-Tech Web Agency, ditta individuale di Nicholas Berardicurti, con sede in Via Oreste Ranelletti 58, 67043 Celano (AQ), P.IVA 02096070665, PEC assistenza@pec.digital-tech.cloud, email privacy@ippocrate.cloud, di seguito «Responsabile» o «Fornitore».

1. Oggetto e durata

1.1. Il presente accordo disciplina i trattamenti di dati personali che il Responsabile svolge per conto del Titolare per erogare il servizio Ippocrate (gestionale web, app, API e servizi collegati).

1.2. L'accordo dura quanto il contratto di servizio e, dopo la sua cessazione, per il tempo necessario alla restituzione e alla cancellazione dei dati (art. 12).

2. Natura e finalità del trattamento

• Conservazione dei dati dello Studio in un database dedicato, backup e ripristino.
• Funzioni del gestionale: anagrafiche, cartella clinica, agenda, documenti, preventivi e fatture, invii al Sistema Tessera Sanitaria e allo SDI, magazzino, personale, protocolli, report.
• Invio di promemoria e comunicazioni ai pazienti (email, SMS, WhatsApp) su indicazione dello Studio.
• Firma elettronica dei documenti e funzioni di intelligenza artificiale, se attivate dallo Studio.
• Assistenza tecnica e manutenzione.

3. Tipi di dati e categorie di interessati

4. Istruzioni del Titolare

4.1. Il Responsabile tratta i dati solo su istruzione documentata del Titolare: il presente accordo, il contratto di servizio e le impostazioni scelte dallo Studio nel gestionale (moduli attivi, permessi, invii) costituiscono le istruzioni.

4.2. Il Responsabile informa subito il Titolare se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati.

4.3. Il Responsabile non usa i dati dello Studio per finalità proprie, non li vende e non li usa per addestrare modelli di intelligenza artificiale.

5. Obblighi del Responsabile

• Autorizza al trattamento solo persone vincolate alla riservatezza e formate sulla protezione dei dati.
• Adotta le misure di sicurezza dell'art. 32 GDPR descritte all'art. 8.
• Assiste il Titolare nel rispondere alle richieste degli interessati, nella valutazione d'impatto (DPIA) e nell'eventuale consultazione del Garante.
• Mette a disposizione le informazioni necessarie a dimostrare il rispetto del presente accordo e consente le verifiche dell'art. 10.
• Tiene il registro dei trattamenti svolti per conto dei titolari (art. 30(2) GDPR).

6. Sub-responsabili

6.1. Il Titolare autorizza in via generale il Responsabile ad avvalersi dei sub-responsabili sotto elencati, ai quali il Responsabile impone per contratto obblighi equivalenti (art. 28(4) GDPR). Quelli con * intervengono solo se lo Studio attiva il servizio corrispondente.

6.2. Il Responsabile comunica al Titolare, con 30 giorni di preavviso, l'aggiunta o la sostituzione di sub-responsabili. Il Titolare può opporsi per motivi legati alla protezione dei dati; se non si trova una soluzione, può recedere senza penali.

6.3. Il Responsabile risponde verso il Titolare dell'operato dei propri sub-responsabili.

7. Trasferimenti fuori dall'UE

I dati dello Studio sono conservati in Italia. I trasferimenti verso paesi terzi avvengono solo per le funzioni indicate al punto 6, sulla base di una decisione di adeguatezza (es. Data Privacy Framework) o delle Clausole Contrattuali Standard (Decisione UE 2021/914), con le misure supplementari necessarie.

8. Misure di sicurezza

• Separazione: database dedicato per ogni Studio; nessun archivio condiviso tra studi.
• Infrastruttura: server in Italia; file applicativi, configurazioni e caricamenti non accessibili dall'esterno.
• Cifratura: TLS per tutte le connessioni; documenti dei pazienti cifrati con AES-256-GCM con chiavi distinte per paziente; backup cifrati.
• Accessi: credenziali personali, password solo in forma di hash, secondo fattore di autenticazione disponibile, limiti ai tentativi, ruoli e permessi definiti dallo Studio.
• Assistenza: accesso ai dati dello Studio solo per risolvere problemi segnalati, in sola lettura, per massimo 2 ore per sessione e registrato.
• Tracciabilità: registro delle operazioni sensibili e dei consensi.
• Continuità: backup a rotazione (giornaliero, quindicinale, mensile) e procedure di ripristino.
• Gestione: aggiornamenti di sicurezza, monitoraggio degli errori, procedura di gestione degli incidenti.

La descrizione dettagliata delle misure è disponibile per il Titolare su richiesta.

9. Violazioni dei dati

Il Responsabile comunica al Titolare ogni violazione dei dati personali entro 48 ore dalla scoperta, indicando natura della violazione, categorie e numero approssimativo di interessati e di dati coinvolti, conseguenze probabili e misure adottate o proposte, così da permettere al Titolare la notifica al Garante entro 72 ore (art. 33 GDPR).

10. Verifiche

Il Titolare può verificare il rispetto del presente accordo richiedendo documentazione una volta l'anno o ogni volta che vi sia un fondato motivo (es. una violazione). Ispezioni presso il Responsabile, a spese del Titolare, sono concordate con almeno 15 giorni di preavviso e non devono compromettere la sicurezza degli altri clienti.

11. Diritti degli interessati

Il gestionale permette allo Studio di consultare, correggere, esportare e cancellare i dati dei pazienti e di gestire i consensi. Le richieste di interessati che arrivano al Responsabile sono inoltrate al Titolare senza ritardo; il Responsabile non risponde direttamente salvo istruzione del Titolare.

12. Fine del trattamento

• Per 30 giorni dalla cessazione del contratto il Titolare può scaricare i propri dati in formati standard.
• Poi i dati vengono cancellati dai sistemi attivi e, entro i successivi 60 giorni, dalle copie di backup, salvo conservazione imposta dalla legge al Responsabile.
• Su richiesta il Responsabile rilascia attestazione scritta dell'avvenuta cancellazione.

13. Responsabilità

Le parti rispondono secondo l'art. 82 GDPR. Il Responsabile risponde dei danni causati dal mancato rispetto degli obblighi del GDPR specifici dei responsabili o delle istruzioni del Titolare; per il resto si applicano i limiti del contratto di servizio, che non operano in caso di dolo o colpa grave.

14. Legge applicabile

Legge italiana. Foro competente: quello previsto dal contratto di servizio (Termini di Servizio, art. 17).

15. Firme

Documenti correlati: Privacy Policy · Termini di Servizio