Accordo sul trattamento dei dati (DPA)

1. Premessa e ambito di applicazione

Questo documento (il "DPA") disciplina, ai sensi dell'art. 28 del Regolamento UE 2016/679 ("GDPR"), il trattamento dei dati personali dei Pazienti che il Professionista, in qualità di Titolare del trattamento, affida a ProDiets nell'ambito dell'utilizzo del Servizio. Integra e non sostituisce l'Informativa Privacy e i Termini e Condizioni, che restano applicabili.

Il DPA si applica automaticamente, senza necessità di sottoscrizione separata, a partire dall'attivazione dell'Account del Professionista, come già previsto dai Termini e Condizioni. Una copia firmata può comunque essere richiesta scrivendo a info@prodiets.it.

2. Definizioni

• Titolare del trattamento: il Professionista, che determina finalità e mezzi del trattamento dei dati dei propri Pazienti.
• Responsabile del trattamento: ProDiets di Leonardo De Rubeis, P.IVA 02452060680, contattabile all'indirizzo info@prodiets.it ("ProDiets"), che tratta i dati dei Pazienti per conto del Professionista tramite il Servizio ProDiets.
• Servizio: l'applicazione ProDiets, come descritta nei Termini e Condizioni.
• Sub-responsabile: ogni soggetto terzo autorizzato dal Responsabile a trattare, in tutto o in parte, i dati dei Pazienti per conto del Titolare.
• I restanti termini ("dato personale", "trattamento", "violazione dei dati personali") hanno il significato loro attribuito dall'art. 4 GDPR.

3. Oggetto, natura e finalità del trattamento

Il Responsabile tratta i dati dei Pazienti esclusivamente per fornire al Titolare le funzionalità del Servizio per la gestione dello studio professionale e, se attivati dal Titolare, dell'App del Paziente e di ProDiets AI. Il trattamento avviene con strumenti informatici, per la durata del rapporto contrattuale tra il Titolare e ProDiets, e non per finalità diverse o ulteriori rispetto a quelle indicate dal Titolare tramite l'utilizzo del Servizio.

Tramite l'App del Paziente, il Responsabile tratta i dati del Paziente per conto del Titolare. I messaggi della chat sono conservati sui server del Servizio come dati del Paziente trattati per conto del Titolare.

4. Categorie di interessati e di dati trattati

Gli interessati sono i Pazienti del Titolare. Le categorie di dati trattate, a seconda di quanto inserito dal Titolare, comprendono:

• dati anagrafici e di contatto (nome, cognome, data di nascita, email, telefono, indirizzo);
• dati relativi alla salute (categoria particolare ai sensi dell'art. 9 GDPR): anamnesi clinica, condizioni mediche, allergie, misure antropometriche, esami di laboratorio, piani alimentari, note cliniche;
• contenuto dei messaggi scambiati tramite la chat, se attivata dal Titolare, che può comprendere dati relativi alla salute, con data e ora di invio e di lettura;
• dati della firma elettronica dei consensi (indirizzo email, codice di conferma, data e ora, indirizzo IP e browser);
• credenziali di accesso, quando il Titolare attiva per il Paziente l'accesso all'App del Paziente;
• dati tecnici dell'App del Paziente: identificativo tecnico del dispositivo per le notifiche push e preferenze di notifica, se il Paziente le attiva;
• se il Titolare attiva ProDiets AI, i dati dei Pazienti pseudonimizzati letti per rispondere alle sue domande (compresi dati relativi alla salute se è attiva la funzione Pazienti), la tabella di corrispondenza tra i codici e i Pazienti, usata per ricollegare i codici ai Pazienti e e il registro degli accessi e delle ricerche.

5. Durata del trattamento

Il trattamento ha durata pari a quella del rapporto contrattuale tra il Titolare e ProDiets. Alla cessazione del Servizio, su scelta del Titolare, il Responsabile cancella o restituisce i dati personali dei Pazienti senza ingiustificato ritardo, salvo che il diritto dell'Unione o degli Stati membri preveda la conservazione.

6. Obblighi del Responsabile del trattamento

In conformità all'art. 28.3 GDPR, il Responsabile:

• tratta i dati dei Pazienti unicamente su istruzione documentata del Titolare, fornita tramite l'utilizzo del Servizio, salvo obbligo contrario previsto dal diritto dell'Unione o degli Stati membri;
• informa immediatamente il Titolare se, a suo parere, un'istruzione viola il GDPR o altre norme sulla protezione dei dati;
• garantisce che il personale autorizzato al trattamento sia vincolato da un obbligo di riservatezza;
• adotta le misure di sicurezza tecniche e organizzative descritte al punto 8;
• non ricorre a un altro sub-responsabile senza previa autorizzazione, generale o specifica, del Titolare, nel rispetto di quanto previsto al punto 7; impone ai sub-responsabili, per contratto, obblighi di protezione dei dati equivalenti a quelli del presente accordo e resta pienamente responsabile verso il Titolare del loro adempimento;
• assiste il Titolare, tenendo conto della natura del trattamento, con misure tecniche e organizzative adeguate, nel rispondere alle richieste di esercizio dei diritti degli interessati previste dal GDPR;
• assiste il Titolare nel garantire il rispetto degli obblighi di sicurezza, notifica delle violazioni all'Autorità di controllo e agli interessati, secondo i tempi indicati al punto 9, delle valutazioni d'impatto e dell'eventuale consultazione preventiva dell'Autorità di controllo, tenendo conto delle informazioni a disposizione del Responsabile;
• su scelta del Titolare, cancella o restituisce al Titolare tutti i dati personali dopo la cessazione del Servizio, e cancella le copie esistenti, salvo che il diritto dell'Unione o degli Stati membri preveda la conservazione;
• mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi di questo articolo e consente al Titolare, o a un revisore da questi incaricato, di svolgere attività di verifica, comprese ispezioni, previo ragionevole preavviso e senza compromettere la sicurezza degli altri Titolari che utilizzano il Servizio. Il Responsabile fornisce prima la documentazione disponibile; le verifiche, comprese le ispezioni, si svolgono al più una volta all'anno, salvo che si sia verificata una violazione dei dati personali, e i relativi costi sono a carico del Titolare.

7. Sub-responsabili autorizzati

Il Titolare autorizza in via generale il ricorso ai seguenti sub-responsabili, che trattano i dati dei Pazienti per l'erogazione del Servizio e sono vincolati da accordi o condizioni contrattuali che prevedono garanzie adeguate:

I dati dell'applicazione e del database dei Pazienti sono ospitati su server situati nell'Unione Europea. Laravel Holdings Inc. e Amazon Web Services hanno tuttavia sede negli Stati Uniti: le garanzie applicabili all'eventuale accesso ai dati da parte di queste società sono indicate nella tabella e sono quelle previste dagli accordi sul trattamento dei dati di Laravel Cloud e di Amazon Web Services.

ProDiets AI. I dati dei Pazienti inviati ad Amazon Bedrock sono pseudonimizzati (i Pazienti sono sostituiti da codici validi solo nella singola conversazione), compresi dati relativi alla salute se è attiva la funzione Pazienti. Nei testi liberi il sistema prova a oscurare automaticamente i dati identificativi, senza garanzia in ogni caso. Le conversazioni e la tabella di corrispondenza tra i codici e i Pazienti sono cancellate dopo 30 giorni, il registro degli accessi e delle ricerche dopo 12 mesi. L'elaborazione avviene in regioni dell'Unione Europea. Per la descrizione si rinvia all'Informativa Privacy.

Fornitori che non sono sub-responsabili. Stripe, utilizzato per la gestione dei pagamenti e degli abbonamenti del Professionista, non è un sub-responsabile ai fini di questo DPA: non è destinato a trattare dati dei Pazienti. Google Analytics riguarda solo i visitatori del sito pubblico: si veda la Cookie Policy e nell'Informativa Privacy.

Nuovi sub-responsabili. Il Responsabile comunica al Titolare ogni aggiunta o sostituzione di sub-responsabili con congruo preavviso, tramite email all'indirizzo associato all'Account e aggiornamento di questa pagina. In caso di sostituzione urgente (ad esempio per cessazione del servizio di un fornitore o per ragioni di sicurezza) la comunicazione è data appena possibile. Entro il termine indicato nella comunicazione il Titolare può opporsi alla modifica per motivi ragionevoli legati alla protezione dei dati, scrivendo a info@prodiets.it. In caso di opposizione, le parti cercano in buona fede una soluzione; se non è possibile trovarla, il Titolare può recedere dal Servizio, senza diritto al rimborso dei corrispettivi già versati.

8. Misure di sicurezza tecniche e organizzative

Ai sensi dell'art. 32 GDPR, il Responsabile adotta le seguenti misure:

• separazione logica dei dati tra i diversi Professionisti;
• cifratura dei dati in transito tra il dispositivo dell'utente e il Servizio (HTTPS/TLS) e protezione delle credenziali di accesso;
• controllo degli accessi basato sui ruoli;
• hosting dell'infrastruttura presso un fornitore professionale, che applica proprie misure di sicurezza fisica e logica ai sistemi che ospitano il Servizio;
• pseudonimizzazione dei dati inviati a ProDiets AI.

9. Notifica delle violazioni dei dati personali

In caso di violazione dei dati personali dei Pazienti, il Responsabile ne dà comunicazione al Titolare senza ingiustificato ritardo dopo esserne venuto a conoscenza, all'indirizzo email associato all'Account. La comunicazione contiene le informazioni disponibili in quel momento sulla natura della violazione, le categorie e il numero approssimativo di interessati e di dati coinvolti, le conseguenze probabili e le misure adottate o proposte per porvi rimedio. Se non è possibile fornire subito tutte le informazioni, il Responsabile le trasmette in fasi successive, senza ulteriore ingiustificato ritardo, man mano che diventano disponibili.

Questa comunicazione ha lo scopo di consentire al Titolare di adempiere al proprio obbligo di notifica all'Autorità Garante entro 72 ore dal momento in cui ne è venuto a conoscenza (art. 33 GDPR) e, se necessario, di comunicazione agli interessati (art. 34 GDPR).

10. Responsabilità

Ciascuna parte risponde dei danni causati dal trattamento in violazione dei propri obblighi ai sensi del GDPR e di questo DPA, secondo quanto previsto dall'art. 82 GDPR e dai Termini e Condizioni.

11. Contatti

Per qualsiasi domanda relativa a questo DPA, o per richiedere una copia firmata, è possibile scrivere a info@prodiets.it.