Data Processing Agreement

1. Oggetto e Ambito

Il presente contratto ha lo scopo di disciplinare le condizioni alle quali TrichoSuite Technologies S.L. (di seguito "il Responsabile") tratterà i dati personali per conto della clinica (di seguito "il Titolare") nell'ambito della fornitura dei servizi della piattaforma TrichoSuite.

Questo DPA si applica a tutti i trattamenti di dati personali che il Responsabile effettua per conto del Titolare, inclusi archiviazione, modifica, consultazione, trasmissione ed eliminazione dei dati.

2. Dati Trattati

Il Responsabile tratterà le seguenti categorie di dati personali:

• •Dati identificativi dei pazienti: nome, cognome, documento d'identità, email, telefono, data di nascita, indirizzo.
• •Dati sanitari (Art. 9 GDPR): classificazione Norwood/Ludwig, fotografie cliniche, scansioni 3D, anamnesi, allergie, farmaci, registrazioni chirurgiche, documentazione di follow-up.
• •Dati di comunicazione: messaggi con il personale clinico, conversazioni con il chatbot IA, moduli di consenso firmati digitalmente.
• •Dati del personale clinico: nome, email professionale, ruolo, credenziali di accesso, log di attività.
• •Dati finanziari: fatture, preventivi, registrazioni di pagamento (gestiti tramite Stripe).

3. Obblighi del Responsabile

Il Responsabile si impegna a:

• •Trattare i dati solo conformemente alle istruzioni documentate del Titolare.
• •Non utilizzare i dati personali per finalità proprie, inclusi marketing, profilazione o vendita a terzi.
• •Garantire che le persone autorizzate al trattamento abbiano assunto impegni di riservatezza.
• •Implementare misure tecniche e organizzative appropriate conformemente all'Articolo 32 del GDPR.
• •Assistere il Titolare nell'adempimento delle richieste di esercizio dei diritti degli interessati.
• •Assistere il Titolare nello svolgimento di valutazioni d'impatto sulla protezione dei dati (DPIA).
• •Mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare la conformità all'Art. 28 GDPR.
• •Notificare senza indugio al Titolare qualsiasi richiesta ricevuta da un interessato.

4. Obblighi del Titolare

Il Titolare si impegna a:

• •Ottenere il consenso appropriato dai pazienti per il trattamento dei loro dati sanitari.
• •Fornire al Responsabile istruzioni lecite e conformi al GDPR.
• •Garantire la disponibilità di una base giuridica per il trattamento dei dati personali.
• •Informare il Responsabile di eventuali modifiche alle istruzioni di trattamento.
• •Tenere un registro delle attività di trattamento conformemente all'Art. 30 del GDPR.

5. Sub-responsabili del Trattamento

Il Titolare autorizza in modo generale il Responsabile a ricorrere a sub-responsabili. Il Responsabile informerà delle modifiche con almeno 30 giorni di anticipo.

6. Misure di Sicurezza

Il Responsabile implementerà le seguenti misure ai sensi dell'Art. 32 del GDPR:

• •Crittografia in transito (TLS 1.3) e a riposo (AES-256).
• •Controllo degli accessi basato sui ruoli (RBAC) con privilegio minimo.
• •Autenticazione a più fattori (MFA) obbligatoria per gli amministratori.
• •Registri di audit immutabili di tutti gli accessi e le modifiche.
• •Backup cifrati con geo-ridondanza.
• •Valutazioni di sicurezza regolari e test di penetrazione annuali.
• •Monitoraggio continuo e rilevamento delle minacce.
• •Procedure documentate di risposta agli incidenti.

7. Notifica di Violazioni dei Dati

In caso di violazione dei dati, il Responsabile notificherà il Titolare entro 24 ore. La notifica includerà:

• •Natura della violazione, categorie e numero approssimativo di interessati.
• •Dati di contatto del Responsabile della Protezione dei Dati.
• •Probabili conseguenze della violazione.
• •Misure adottate o proposte per porvi rimedio.

Il Responsabile assisterà il Titolare nella notifica al Garante (72h, Art. 33 GDPR) e agli interessati (Art. 34 GDPR).

8. Diritti degli Interessati

Il Responsabile assisterà il Titolare nell'esercizio dei diritti (accesso, rettifica, cancellazione, limitazione, portabilità e opposizione). La piattaforma fornisce strumenti integrati per l'esportazione di dati e l'eliminazione selettiva di record.

9. Trasferimenti Internazionali

I dati medici sono archiviati principalmente nell'UE. Per i trasferimenti al di fuori del SEE, vengono garantite Clausole Contrattuali Standard (SCC) o l'adesione al Quadro UE-USA sulla Privacy dei Dati.

10. Durata e Risoluzione

Questo DPA rimarrà in vigore per la durata del contratto di servizi e cesserà automaticamente alla sua scadenza. Gli obblighi di riservatezza sopravvivranno alla risoluzione.

11. Restituzione ed Eliminazione dei Dati

Alla cessazione, il Responsabile restituirà o eliminerà tutti i dati personali (incluse le copie), a scelta del Titolare. La restituzione avverrà in formati standard (CSV, JSON, PDF) entro 30 giorni. I backup verranno eliminati entro 90 giorni.

12. Audit e Supervisione

Il Responsabile metterà a disposizione del Titolare tutte le informazioni necessarie per dimostrare la conformità e consentirà audit con un preavviso minimo di 30 giorni, durante l'orario lavorativo e senza interferire con le operazioni del servizio.