Il presente Accordo sul trattamento dei dati personali (Data Processing Agreement, art. 28 GDPR) è concluso tra: Il Titolare — il medico o professionista sanitario che, agendo nell'esercizio della propria attività professionale, ha sottoscritto i Termini e Condizioni di utilizzo della piattaforma Aletheia e ne utilizza il Servizio ("Titolare"); Pietro De Bianchi, persona fisica titolare di partita IVA, con sede dell'attività in Corso di Porta Nuova, 20121 Milano (MI), codice fiscale DBNPTR96C29F205W, partita IVA 14316030965, codice ATECO 62.10.00, iscritto al Registro delle Imprese di Milano Monza Brianza, tel. 333 173 2929, email [email protected] — che sviluppa e gestisce la piattaforma Aletheia ed eroga il Servizio ("Responsabile" o "Aletheia");
(a) le Parti hanno stipulato un contratto per l'utilizzo in abbonamento della piattaforma Aletheia, disciplinato dai Termini e Condizioni di utilizzo del Servizio ("T&C" o "Contratto Principale"); (b) nell'ambito dell'erogazione del Servizio, il Responsabile tratta per conto del Titolare dati personali relativi ai pazienti del Titolare, tra cui categorie particolari di dati ai sensi dell'art. 9 GDPR; (c) ai sensi dell'art. 14 della T&C, il Titolare è e rimane l'unico titolare del trattamento dei Contenuti inseriti tramite la Piattaforma, mentre il Responsabile mette a disposizione la sola infrastruttura tecnica necessaria alla loro gestione e conservazione; (d) l'art. 28 GDPR richiede che il trattamento da parte di un responsabile sia disciplinato da un contratto o altro atto giuridico che vincoli il responsabile al titolare; (e) il presente Accordo ha lo scopo di soddisfare tale requisito e integra il Contratto Principale con riguardo al trattamento dei dati personali.
1.1 I termini con iniziale maiuscola non definiti nel presente Accordo hanno il significato loro attribuito nel GDPR o nella T&C; in caso di contrasto prevalgono, ai fini del presente Accordo, le definizioni del GDPR. 1.2 In particolare: "Dati Personali", i dati di cui all'art. 4, n. 1, GDPR trattati dal Responsabile per conto del Titolare; "Dati relativi alla salute", i dati di cui all'art. 9 GDPR relativi ai pazienti del Titolare; "Interessato", il paziente del Titolare; "Sub-responsabile", il terzo di cui il Responsabile si avvale per trattare Dati Personali per conto del Titolare; "Autorità di controllo", il Garante per la protezione dei dati personali e ogni altra autorità competente.
2.1 Il presente Accordo disciplina il trattamento dei Dati Personali effettuato dal Responsabile per conto del Titolare nell'esecuzione del Servizio. 2.2 Coerentemente con l'art. 14 della T&C, il Titolare agisce quale titolare del trattamento e il Responsabile quale responsabile del trattamento ai sensi dell'art. 28 GDPR. 2.3 Oggetto, durata, natura e finalità del trattamento, tipologia di dati personali e categorie di interessati sono descritti nell'Allegato A. 2.4 Il presente Accordo ha efficacia dall'accettazione da parte del Titolare e per tutta la durata del Contratto Principale. Le obbligazioni destinate per loro natura a sopravvivere (in particolare riservatezza e cancellazione o restituzione dei dati) restano efficaci anche dopo la cessazione del rapporto.
3.1 Il Titolare determina finalità e mezzi del trattamento e impartisce al Responsabile istruzioni documentate; costituiscono istruzioni documentate il presente Accordo, la T&C e le funzionalità della Piattaforma utilizzate secondo la loro configurazione, oltre a ulteriori istruzioni impartite per iscritto. 3.2 Il Titolare garantisce di disporre di un'idonea base giuridica e, per i dati relativi alla salute, di operare nell'ambito dell'art. 9, par. 2, lett. h) GDPR (finalità di cura), nel rispetto dell'art. 9, par. 3, e degli obblighi di segreto professionale. 3.3 Il Titolare è responsabile di aver fornito ai propri pazienti l'informativa di cui agli artt. 13 e 14 GDPR e di ogni altro obbligo che gli compete quale titolare verso gli interessati. 3.4 Il Titolare si impegna a impartire istruzioni conformi al GDPR e tiene indenne il Responsabile dalle conseguenze di istruzioni non conformi, fermo l'obbligo del Responsabile di cui all'art. 4, lett. (a).
Il Responsabile, ai sensi dell'art. 28, par. 3, GDPR, si obbliga a: (a) trattare i Dati Personali soltanto su istruzione documentata del Titolare, anche in caso di trasferimento verso un paese terzo, salvo che lo richieda il diritto UE o nazionale cui è soggetto (in tal caso ne informa il Titolare prima del trattamento, salvo divieto per motivi di interesse pubblico); il Responsabile informa immediatamente il Titolare se, a suo parere, un'istruzione viola la normativa sulla protezione dei dati; (b) garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza; (c) adottare tutte le misure richieste ai sensi dell'art. 32 GDPR, come da Allegato B; (d) rispettare le condizioni per il ricorso a Sub-responsabili (art. 6); (e) assistere il Titolare, con misure adeguate e nella misura del possibile, per dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15-22), secondo l'art. 5; (f) assistere il Titolare nel rispetto degli obblighi di cui agli artt. da 32 a 36 GDPR (sicurezza, notificazione e comunicazione delle violazioni, valutazione d'impatto, consultazione preventiva), tenuto conto della natura del trattamento e delle informazioni a disposizione; (g) a scelta del Titolare, cancellare o restituire tutti i Dati Personali dopo la cessazione dei servizi e cancellare le copie esistenti, salvo obblighi di conservazione di legge, secondo l'art. 8; (h) mettere a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR e consentire e contribuire alle attività di revisione, comprese le ispezioni, secondo l'art. 9.
5.1 Il Responsabile, tenuto conto della natura del trattamento, assiste il Titolare con misure tecniche e organizzative adeguate, nella misura del possibile, per soddisfare l'obbligo del Titolare di dare seguito alle richieste degli interessati (Capo III GDPR). 5.2 Qualora un interessato indirizzi al Responsabile una richiesta di esercizio dei propri diritti, il Responsabile, salvo diversa autorizzazione del Titolare, non vi dà autonomamente seguito ma la trasmette senza ingiustificato ritardo al Titolare, cui compete la valutazione e il riscontro.
6.1 Il Titolare autorizza in via generale il Responsabile a ricorrere a Sub-responsabili per specifiche attività di trattamento, alle condizioni del presente articolo. I Sub-responsabili autorizzati sono elencati nell'Allegato C. 6.2 Il Responsabile informa il Titolare di eventuali aggiunte o sostituzioni di Sub-responsabili, con un preavviso ragionevole (di norma 30 giorni) tramite la Piattaforma o via email, così da consentire al Titolare di opporsi per motivi legittimi. In caso di opposizione le Parti cooperano in buona fede; ove non sia possibile una soluzione, il Titolare può porre fine al rapporto disdicendo l'Abbonamento (art. 8 T&C). 6.3 Il Responsabile impone al Sub-responsabile, mediante contratto o altro atto giuridico, obblighi di protezione dei dati equivalenti a quelli del presente Accordo e risponde nei confronti del Titolare del relativo inadempimento.
7.1 Il Responsabile tratta e conserva i Dati Personali all'interno dello Spazio Economico Europeo, salvo quanto previsto ai punti 7.2 e 7.3. 7.2 Le funzioni di dettatura (conversione voce → testo e impaginazione del testo trascritto) e di traduzione automatica dei testi clinici tra italiano e inglese comportano la trasmissione del contenuto vocale e del testo clinico a un Sub-responsabile che li elabora negli Stati Uniti (OpenAI). Tale trasferimento avviene sulla base di clausole contrattuali tipo adottate dalla Commissione europea (art. 46 GDPR). Prima della traduzione i dati identificativi del paziente del caso (nome e cognome, codice fiscale o documento, contatti, indirizzo, data di nascita) sono sostituiti da segnaposto, che non costituiscono anonimizzazione. In base alle condizioni del Sub-responsabile, i dati non sono utilizzati per l'addestramento dei modelli e sono conservati al massimo 30 giorni per il controllo degli abusi. Il Responsabile prevede di trasferire tali funzioni su un'infrastruttura del Sub-responsabile situata nell'Unione Europea entro gennaio 2027 e ne informa il Titolare. Ulteriori Sub-responsabili con trasferimenti verso paesi terzi sono indicati nell'Allegato C. 7.3 Qualora un ulteriore trattamento comporti il trasferimento di Dati Personali verso un paese terzo, il Responsabile assicura che avvenga esclusivamente in presenza di adeguate garanzie ai sensi del Capo V del GDPR (decisione di adeguatezza, clausole contrattuali tipo o altro strumento di cui agli artt. 44-49) e ne informa il Titolare.
8.1 In coerenza con l'art. 14 della T&C, alla cessazione del rapporto i Dati Personali non vengono immediatamente eliminati ma resi non più operativamente accessibili e restano recuperabili dal Titolare per 12 (dodici) mesi mediante richiesta al supporto del Responsabile. Decorso tale periodo senza richiesta di recupero, i Dati Personali vengono cancellati in via definitiva dai sistemi del Responsabile e presso i Sub-responsabili. 8.2 Su richiesta del Titolare, entro i termini di cui al punto 8.1, il Responsabile restituisce i Dati Personali in un formato strutturato e di uso comune. 8.3 Resta ferma la conservazione ove imposta dal diritto UE o nazionale; in tal caso il Responsabile ne informa il Titolare, salvo divieto di legge. 8.4 La cancellazione definitiva è irreversibile; è onere del Titolare provvedere al recupero dei dati che intenda conservare entro i termini indicati.
9.1 Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e al presente Accordo. 9.2 Il Titolare ha diritto di effettuare, non più di una volta l'anno salvo che a seguito di una violazione dei dati personali o su richiesta di un'Autorità di controllo, attività di revisione comprese ispezioni, previo ragionevole preavviso scritto (di norma almeno 30 giorni), in orari lavorativi, con modalità che non compromettano la sicurezza e la continuità del Servizio e nel rispetto della riservatezza. Il Responsabile può soddisfare tale diritto anche mettendo a disposizione certificazioni, relazioni di audit di terzi indipendenti o questionari compilati, ove disponibili.
10.1 Il Responsabile informa il Titolare senza ingiustificato ritardo e comunque entro 72 ore dal momento in cui è venuto a conoscenza di una violazione dei Dati Personali trattati per conto del Titolare. 10.2 La comunicazione contiene almeno, nella misura in cui siano disponibili, le informazioni di cui all'art. 33, par. 3, GDPR (natura della violazione, categorie e numero approssimativo di interessati e di record coinvolti, probabili conseguenze, misure adottate o proposte), così da consentire al Titolare di adempiere agli obblighi di cui agli artt. 33 e 34 GDPR. 10.3 Gli obblighi di notifica all'Autorità di controllo e di comunicazione agli interessati competono al Titolare; il Responsabile fornisce ragionevole assistenza a tal fine.
11.1 La responsabilità di ciascuna Parte ai sensi del presente Accordo è disciplinata, oltre che dalle disposizioni inderogabili del GDPR (in particolare l'art. 82), dalle limitazioni e previsioni di cui all'art. 19 della T&C, qui richiamate. 11.2 Ferme le previsioni inderogabili di legge, ciascuna Parte risponde nei confronti dell'altra dei danni derivanti dalla violazione degli obblighi ad essa specificamente imposti dal presente Accordo.
12.1 Il presente Accordo integra il Contratto Principale (T&C) in materia di trattamento dei dati personali; in caso di contrasto con la T&C su tale materia, prevale il presente Accordo. 12.2 L'invalidità di una singola clausola non si estende alle restanti previsioni, che conservano piena validità; le Parti si impegnano a sostituire la clausola invalida con una valida che ne rispetti per quanto possibile la finalità. 12.3 Il presente Accordo è disciplinato dalla legge italiana; per ogni controversia è competente in via esclusiva il Foro di Milano, in coerenza con l'art. 25 della T&C. 12.4 Il Titolare autorizza sin d'ora la cessione del presente Accordo e delle posizioni contrattuali connesse a una società costituita dal Responsabile per la prosecuzione della medesima attività, con conseguente subentro di quest'ultima nel ruolo di responsabile del trattamento; il Responsabile ne dà previa comunicazione al Titolare, restando ferme per il Titolare le tutele del presente Accordo.
Oggetto: trattamento dei Dati Personali dei pazienti del Titolare per l'erogazione del Servizio Aletheia. Natura e finalità: gestione, organizzazione, archiviazione, conservazione e messa a disposizione delle informazioni cliniche inserite dal Titolare e dal suo Team tramite la Piattaforma, incluse — compatibilmente con la versione in uso — gestione delle posizioni dei pazienti, tenuta dello storico clinico, gestione condivisa in Team, consultazione di immagini diagnostiche, caricamento di fotografie, video e documenti anche dal dispositivo mobile del Titolare tramite codice QR, messa a disposizione del paziente della propria documentazione confermata, funzioni di dettatura e di traduzione automatica, statistiche aggregate sull'attività del Titolare. Tipologia di Dati Personali: dati anagrafici e identificativi (tra cui il codice fiscale o il documento di identità), dati di contatto e categorie particolari di dati ex art. 9 GDPR, in particolare dati relativi alla salute (informazioni cliniche, allergie e patologie croniche, immagini diagnostiche, fotografie e video, annotazioni, eventuali trascrizioni di note vocali e traduzioni automatiche). Categorie di Interessati: i pazienti assistiti dal Titolare, inclusi eventuali pazienti minori di età. Durata del trattamento: coincidente con la durata del Contratto Principale, oltre ai termini di conservazione di cui all'art. 8.
Le misure tecniche e organizzative adottate dal Responsabile per garantire un livello di sicurezza adeguato al rischio (art. 32 GDPR) includono: • cifratura dei dati in transito (TLS) su tutte le comunicazioni tra client, piattaforma e servizi; • protezione delle credenziali mediante hashing (bcrypt per le password; SHA-256 con pepper per i codici di verifica del cambio email; SHA-256 per i link di conferma e di reimpostazione della password), senza conservazione in chiaro; • cookie di sessione HttpOnly, con attributi SameSite e Secure in produzione; • controllo degli accessi basato sul team a cui appartiene il caso clinico e sul ruolo (VIEWER / EDITOR / OWNER), con principio del privilegio minimo; attività confermate non più modificabili; • rate limiting sugli endpoint sensibili (autenticazione, registrazione, invio dei link e dei codici di verifica, recupero della password, dettatura, traduzione), blocco temporaneo dell'indirizzo dopo ripetuti tentativi di password errati e misure anti-enumerazione; • security headers applicativi e whitelist delle origini (CORS) con credenziali; • verifica obbligatoria dell'indirizzo email tramite link e password, gestione delle sessioni tramite token firmati e revoca delle sessioni alla reimpostazione della password; • cancellazione logica (soft delete) dei dati e procedure di cancellazione definitiva secondo l'art. 8; • archiviazione del database, dei file e delle immagini presso infrastruttura ubicata nell'Unione Europea (Francoforte); • accesso amministrativo ai dati con permessi distinti per funzione, dati identificativi dei pazienti mascherati e registro delle attività degli amministratori; • backup gestiti a livello di infrastruttura dal fornitore di hosting; • procedura di gestione degli incidenti e di notifica delle violazioni secondo l'art. 10.
• DigitalOcean — hosting applicativo, database e archiviazione di file e immagini (incluse immagini DICOM) — Unione Europea (Francoforte, Germania). • OpenAI — dettatura (conversione voce → testo e impaginazione) e traduzione automatica dei testi clinici — Stati Uniti, con spostamento nell'Unione Europea previsto entro gennaio 2027 — clausole contrattuali tipo (art. 46 GDPR); dati non utilizzati per l'addestramento e conservati al massimo 30 giorni per il controllo degli abusi. • Namecheap (Private Email) — invio di email transazionali, inclusi i link e i codici di verifica — Stati Uniti — clausole contrattuali tipo (art. 46 GDPR). I pagamenti dell'abbonamento del Titolare sono gestiti da Stripe, che non tratta dati dei pazienti e per questo non è un Sub-responsabile ai sensi del presente Accordo.