Accordo sul trattamento dei dati

1. Parti e oggetto

• Titolare del trattamento: lo studio che si abbona al gestionale («Titolare»).
• Responsabile del trattamento: la società che offrirà il gestionale, con i dati che saranno indicati qui alla sua apertura («Responsabile»). Contatto per la protezione dei dati: privacy@moladent.it.

Il Responsabile tratta i dati personali che il Titolare e i suoi utenti inseriscono o ricevono nel gestionale solo per dare il servizio descritto nelle Condizioni. Per i dati di cui Moladent è titolare (account, contratto, fatturazione, portale) vale l'informativa privacy.

2. Il trattamento

3. Istruzioni del titolare

Il Responsabile tratta i dati solo su istruzione documentata del Titolare: queste sono il contratto, le scelte che il Titolare fa nel gestionale (impostazioni, ruoli degli utenti, invii, cancellazioni) e le richieste che manda al supporto. Se un'istruzione gli sembra contraria al GDPR, il Responsabile lo dice subito al Titolare. Il Responsabile non usa i dati per scopi propri, non li vende e non li usa per addestrare modelli di intelligenza artificiale. Se la legge lo obbliga a trattarli diversamente, lo comunica prima al Titolare, salvo che la legge lo vieti.

4. Riservatezza

Possono accedere ai dati solo le persone autorizzate dal Responsabile che ne hanno bisogno per il servizio, formate sulla protezione dei dati e vincolate alla riservatezza, anche dopo la fine del rapporto.

5. Sicurezza

Il Responsabile adotta le misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), tenuto conto che si tratta di dati sanitari: sono descritte nell'allegato A e si aggiornano con l'evoluzione della tecnica, senza ridurre il livello di protezione.

6. Sub-responsabili

• Il Titolare autorizza in generale il Responsabile a servirsi dei sub-responsabili elencati nell'allegato B (art. 28 c. 2 GDPR).
• Il Responsabile avvisa il Titolare per email almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. Il Titolare può opporsi per motivi legati alla protezione dei dati entro lo stesso termine; se non si trova una soluzione, può recedere dal contratto senza costi prima del cambiamento.
• Ogni sub-responsabile è vincolato per contratto agli stessi obblighi di protezione dei dati; il Responsabile risponde verso il Titolare del loro operato (art. 28 c. 4 GDPR).

7. Trasferimenti fuori dall'Unione europea

Server, database, archivio dei documenti e copie giornaliere stanno presso Clever Cloud, società francese, nei suoi data center in Francia: i dati sono conservati nell'Unione europea. Un trasferimento verso un Paese terzo, anche solo come accesso di un sub-responsabile, avviene solo con una decisione di adeguatezza (per esempio il Data Privacy Framework UE-USA) o con le clausole contrattuali tipo della Commissione e le misure supplementari necessarie (capo V GDPR), come indicato nell'allegato B.

8. Assistenza al titolare

• Richieste degli interessati: il gestionale permette al Titolare di consultare, correggere, esportare e cancellare i dati di un paziente. Se un paziente si rivolge al Responsabile, questo gira la richiesta al Titolare senza ritardo e non risponde da sé.
• Valutazioni d'impatto e consultazioni del Garante (artt. 35 e 36 GDPR): il Responsabile dà le informazioni sul servizio che servono al Titolare.
• Registro: il Responsabile tiene il registro dei trattamenti svolti per conto dei titolari (art. 30 c. 2 GDPR).

9. Violazioni dei dati

Il Responsabile comunica al Titolare ogni violazione dei dati personali che lo riguarda senza ingiustificato ritardo e comunque entro 48 ore da quando ne è venuto a conoscenza, per email al titolare dello studio. La comunicazione dice, appena noti: cosa è successo, quali dati e quanti interessati riguarda, le conseguenze probabili, le misure prese o proposte e un contatto. Il Responsabile aiuta il Titolare a notificare la violazione al Garante entro 72 ore e, se serve, a comunicarla agli interessati (artt. 33 e 34 GDPR). Segue una procedura scritta e annota ogni violazione in un suo registro, con i fatti, le conseguenze e le misure prese.

10. Accessi del supporto

Il personale del Responsabile entra nei dati di uno studio quando serve per assistenza o manutenzione: con un accesso di 60 minuti, in sola lettura (la scrittura richiede una seconda conferma esplicita), con un motivo scritto che lo studio legge, dopo la verifica in due passaggi. L'accesso, le schede e i documenti aperti e le modifiche finiscono nel registro dello studio, che vede gli accessi in corso e passati e può chiuderli in ogni momento. Gli accessi degli amministratori di sistema finiscono anche in un registro che non si può modificare, conservato almeno 6 mesi. Le esportazioni complete dei dati si fanno solo su richiesta del Titolare.

11. Informazioni e verifiche

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto di questo accordo, compresa la documentazione delle misure di sicurezza. Il Titolare può verificarlo, anche con un revisore indipendente vincolato alla riservatezza, con un preavviso di almeno 30 giorni, non più di una volta l'anno salvo una violazione, in orario lavorativo e senza accedere ai dati di altri studi. Le verifiche si fanno di preferenza sulla documentazione e a distanza; i costi sono del Titolare.

12. Fine del trattamento

Alla fine del contratto il Responsabile, su richiesta del Titolare, consegna entro 90 giorni la copia completa dei dati (dati in formato Excel, documenti e firme). Passati i 90 giorni cancella i dati dello studio, registro delle attività compreso, e conferma per iscritto al Titolare l'avvenuta cancellazione. Restano solo i dati che il diritto dell'Unione o italiano obbliga il Responsabile a conservare. I dati cancellati possono restare fino a 7 giorni nelle copie giornaliere del fornitore dei server. Le copie presso un secondo fornitore sono in attivazione (allegato A): da quando ci saranno, i dati cancellati vi resteranno fino al loro turno di cancellazione, al massimo 12 mesi.

13. Responsabilità e durata

Ciascuna parte risponde dei danni causati agli interessati secondo l'art. 82 GDPR. L'accordo dura quanto il contratto di abbonamento e, per i punti 4, 9 e 12, anche dopo. Le modifiche si fanno come previsto dalle Condizioni (art. 18), con lo stesso preavviso.

Allegato A: misure di sicurezza

Dove sono i dati

• Server e database in Francia, nei data center di Clever Cloud della regione di Parigi, per tutti i servizi.
• Documenti e radiografie stanno nell'archivio Cellar di Clever Cloud, cifrati uno per uno dall'applicazione prima di essere salvati (AES-256-GCM, una chiave per file), con una chiave maestra che resta a Moladent.
• Le email partono da Brevo, in Francia.

Separazione e accessi

• I dati di ogni studio sono separati nel database con regole a livello di riga (Row Level Security) che l'applicazione non può aggirare: gira con un utente del database senza privilegi per scavalcarle, e senza le regole attive non parte.
• Ruoli per gli utenti dello studio (titolare, dentista, segreteria, assistente) con permessi diversi, controllati dal server su ogni azione.
• Password di almeno 12 caratteri, controllate contro quelle già trapelate e salvate solo come impronta (bcrypt); sessioni salvate solo come impronta del codice, con scadenza e revoca, cancellate 30 giorni dopo la scadenza; blocco dopo 5 tentativi sbagliati, con limiti ai tentativi che usano solo un'impronta dell'email e dell'indirizzo IP; verifica in due passaggi (TOTP) facoltativa per gli utenti dello studio e obbligatoria per gli amministratori di Moladent, con il segreto cifrato.
• Credenziali del Sistema Tessera Sanitaria cifrate (AES-256-GCM) con una chiave separata.

Registro e controllo

• Registro delle attività di ogni studio (schede aperte, documenti aperti e scaricati, modifiche, accessi del supporto) in sola aggiunta: il database rifiuta le modifiche, e ogni riga è concatenata alla precedente con un'impronta SHA-256. Si cancella solo con tutti i dati dello studio, alla fine del trattamento (punto 12). L'ancora dell'ultima impronta fuori dal database, ogni notte, è in attivazione, con le copie presso il secondo fornitore.
• Registro degli accessi degli amministratori di sistema, che non si può modificare, conservato almeno 6 mesi.
• Accessi del supporto limitati, motivati, temporanei e registrati (punto 10).

Trasmissione

• Connessioni sempre cifrate (HTTPS/TLS), con intestazioni di sicurezza e protezione dagli attacchi tra siti.
• Chiamate fra portale e gestionale firmate (HMAC-SHA256) e protette dalla ripetizione.

Disponibilità e copie

• Controlli automatici ogni giorno, con avvisi per email al personale tecnico se qualcosa non passa.
• Una copia del database ogni giorno, fatta dal fornitore dei server (Clever Cloud) e tenuta 7 giorni.
• In attivazione: una copia cifrata del database ogni notte presso un secondo fornitore nell'Unione europea, conservata con 7 copie giornaliere, 4 settimanali e 12 mensili, con una prova automatica di ripristino ogni settimana.

Minimizzazione

• Gli errori del programma finiscono solo nei log del fornitore dei server, senza dati dei pazienti.
• L'assistente non legge gli archivi dello studio e dice di essere un'intelligenza artificiale; le domande sono ripulite da codici fiscali, email, telefoni, IBAN e date (non dai nomi), e non si salvano.
• I promemoria WhatsApp non contengono il nome del paziente né la prestazione; il testo delle risposte non si conserva.

Organizzazione

• Accesso ai sistemi di produzione solo al personale autorizzato, con verifica in due passaggi; aggiornamenti di sicurezza regolari; procedura e registro per la gestione degli incidenti e delle violazioni, con l'avviso agli studi (punto 9).

Allegato B: sub-responsabili

I fornitori che trattano dati degli studi per conto di Moladent. Quelli segnati «da attivare» si usano solo quando il servizio relativo è acceso (per esempio i promemoria WhatsApp); prima che entrino in uso vale l'avviso del punto 6.

Non sono sub-responsabili, perché trattano i dati come titolari autonomi o per obbligo di legge: il Sistema Tessera Sanitaria (Ministero dell'economia e delle finanze, tramite Sogei), che riceve le spese sanitarie per conto dello studio; Stripe, per i pagamenti dell'abbonamento.