Accordo sul trattamento dei dati

Lo studio che usa il servizio (il «Titolare») nomina [ragione sociale del fornitore], P. IVA [partita IVA], con sede in [sede legale], email info@predentia.it (il «Responsabile») responsabile del trattamento dei dati personali che il Responsabile tratta per suo conto nell'erogazione di Predentia.

Raccolta e gestione delle adesioni ai piani di prevenzione, conservazione dei contratti accettati, registrazione delle prestazioni incluse ed erogate, gestione dei pagamenti e delle fatture, invio di comunicazioni ai pazienti, area personale dei pazienti, esportazioni richieste dal Titolare.

Interessati: pazienti beneficiari dei piani, anche minorenni; pagatori (genitori o tutori); personale dello studio.

Dati: anagrafici e di contatto, codice fiscale e data di nascita; dati relativi alla salute limitati alle prestazioni odontoiatriche incluse ed erogate; dati contrattuali, di pagamento e di fatturazione (esclusi i dati completi di carte e IBAN, trattati da Stripe); data, ora e indirizzo IP dell'accettazione; dati di accesso del personale.

Il presente accordo dura quanto il contratto di servizio e cessa con esso, salvo quanto previsto al punto 12.

Il Responsabile tratta i dati solo su istruzione documentata del Titolare, costituita dai Termini di servizio, dal presente accordo e dall'uso delle funzioni del servizio, salvo che la legge richieda diversamente. Il Responsabile informa il Titolare se ritiene che un'istruzione violi la normativa.

Le persone autorizzate dal Responsabile a trattare i dati sono vincolate alla riservatezza e ricevono istruzioni adeguate.

Il Responsabile adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32, tra cui: separazione logica dei dati di ciascuno studio con regole di accesso per ruolo; autenticazione personale degli utenti; cifratura delle comunicazioni (HTTPS); accesso ai dati delle funzioni amministrative limitato alle persone autorizzate; collegamenti di pagamento firmati; registrazione delle accettazioni contrattuali; backup gestiti dai fornitori di infrastruttura.

Il Titolare autorizza in via generale il ricorso a sub-responsabili. Al momento: Base44 (gruppo Wix) per infrastruttura applicativa, database, autenticazione e invio di email, insieme ai propri fornitori di infrastruttura cloud. Stripe agisce come titolare autonomo per i pagamenti elaborati sull'account del Titolare.

Il Responsabile comunica con almeno 30 giorni di anticipo l'aggiunta o la sostituzione di sub-responsabili; il Titolare può opporsi per motivi ragionevoli e, in mancanza di accordo, recedere dal contratto. Il Responsabile impone ai sub-responsabili obblighi equivalenti a quelli del presente accordo.

I trasferimenti avvengono solo con le garanzie previste dal Capo V del Regolamento, come decisioni di adeguatezza o clausole contrattuali standard.

Il Responsabile assiste il Titolare nel rispondere alle richieste degli interessati, anche tramite le funzioni di consultazione, modifica ed esportazione dei dati, e nelle valutazioni d'impatto e nelle consultazioni preventive, nei limiti delle informazioni di cui dispone.

Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore dalla scoperta, di ogni violazione dei dati personali che lo riguardi, con le informazioni disponibili per consentire al Titolare le notifiche previste dagli artt. 33 e 34.

Alla cessazione del contratto il Titolare può esportare i dati per 60 giorni. Successivamente il Responsabile cancella i dati dai sistemi attivi entro i 30 giorni seguenti; le copie di backup sono sovrascritte secondo i normali cicli di rotazione dei fornitori. Restano salvi gli obblighi di conservazione previsti dalla legge.

Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto del presente accordo e consente verifiche, anche tramite un revisore incaricato dal Titolare, con preavviso di almeno 30 giorni, non più di una volta all'anno salvo violazioni, a spese del Titolare.

Il Responsabile tiene il registro delle attività di trattamento svolte per conto del Titolare ai sensi dell'art. 30, par. 2.