Contratto di trattamento dei dati

Premessa

Il presente contratto di trattamento dei dati (il «Contratto») è concluso tra:

• il professionista che apre e utilizza un account sulla piattaforma Osteopatico (l’«Osteopata»), che agisce quale titolare del trattamento dei dati personali dei propri pazienti (art. 4, n. 7 GDPR); e
• Osteopatico, Viale Lombardia 9, 20092 Cinisello Balsamo (MI), che agisce quale responsabile del trattamento (art. 4, n. 8 e art. 28 GDPR) e che eroga la piattaforma raggiungibile su app.osteopatico.com e i servizi accessori (la «Piattaforma»).

Il Contratto è concluso al momento dell’accettazione all’interno della Piattaforma. La Piattaforma registra data, ora e versione accettata, così che l’accettazione sia sempre dimostrabile (art. 5, par. 2 GDPR). La stringa di versione indicata in cima a questa pagina identifica in modo univoco il testo che segue: un’accettazione registrata con questa versione si riferisce esattamente a questo testo.

1. Oggetto, durata e istruzioni

Il Contratto disciplina il trattamento dei dati personali dei pazienti dell’Osteopata che il Responsabile effettua per conto del Titolare nell’erogazione della Piattaforma. Ha la stessa durata dell’account: si applica dalla sua accettazione fino alla chiusura dell’account e al completamento delle operazioni di cancellazione descritte all’art. 10.

Il Responsabile tratta i dati soltanto su istruzione documentata del Titolare (art. 28, par. 3, lett. a GDPR). Costituiscono istruzione documentata le funzioni della Piattaforma e le configurazioni che il Titolare attiva: l’uso di una funzione è l’istruzione di eseguire il trattamento che quella funzione comporta. Fa eccezione soltanto il caso in cui un obbligo di legge dell’Unione o italiano imponga un trattamento diverso: in tal caso il Responsabile informa il Titolare prima di procedere, salvo che la legge lo vieti. Se un’istruzione viola, a giudizio del Responsabile, il GDPR o altra norma sulla protezione dei dati, il Responsabile ne informa immediatamente il Titolare.

2. Natura e finalità del trattamento

Il trattamento consiste nelle operazioni necessarie a erogare la Piattaforma, e in particolare:

• conservazione e organizzazione — anagrafiche pazienti, cartelle e note cliniche, questionari di anamnesi, documenti, agenda e appuntamenti;
• comunicazioni — invio ai pazienti di notifiche e promemoria via email, SMS o WhatsApp, quando il Titolare attiva queste funzioni;
• fatturazione elettronica — emissione, firma, trasmissione al Sistema di Interscambio e conservazione a norma delle fatture;
• importazione ed esportazione — migrazione di archivi esistenti nella Piattaforma e esportazione dei dati su richiesta del Titolare.

Il Responsabile non tratta mai i dati dei pazienti per finalità proprie: non li usa per pubblicità, non li vende, non li cede e non costruisce profili al di fuori delle funzioni della Piattaforma.

3. Interessati e categorie di dati

Gli interessati sono i pazienti dell’Osteopata e, ove inseriti, i loro contatti di riferimento (per esempio genitori o tutori). Le categorie di dati trattate sono:

• dati identificativi e di contatto (nome, data di nascita, recapiti);
• dati fiscali necessari alla fatturazione (codice fiscale, indirizzo);
• dati organizzativi (appuntamenti, prestazioni, importi);
• categorie particolari di dati (art. 9 GDPR): note cliniche, risposte ai questionari di anamnesi, documenti sanitari caricati e annotazioni anatomiche, trattati nell’ambito dell’attività professionale del Titolare con le garanzie previste dal presente Contratto.

4. Persone autorizzate e riservatezza

Il Responsabile garantisce che le persone autorizzate a trattare i dati si sono impegnate alla riservatezza (art. 28, par. 3, lett. b GDPR), che l’accesso avviene solo per necessità operativa e che ogni accesso alle cartelle dei pazienti è registrato in un log immutabile, consultabile dal Titolare all’interno della Piattaforma.

5. Sicurezza

Il Responsabile adotta le misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, tenuto conto della natura sanitaria dei dati. In particolare:

• i dati sono ospitati nell’Unione Europea, nella regione di Milano;
• cifratura in transito (TLS) e a riposo;
• autenticazione degli accessi e separazione logica dei dati di ciascun Titolare;
• registro immutabile degli accessi ai dati dei pazienti;
• copie di sicurezza gestite e procedure di ripristino;
• minimizzazione nei sistemi di monitoraggio tecnico: le tracce diagnostiche non contengono contenuti clinici.

6. Sub-responsabili

Con l’accettazione del presente Contratto il Titolare autorizza in via generale e per iscritto (art. 28, par. 2 GDPR) il ricorso ai sub-responsabili elencati nell’ elenco dei sub-responsabili, che costituisce parte integrante del Contratto. Il Responsabile impone a ciascun sub-responsabile, mediante contratto, gli stessi obblighi in materia di protezione dei dati previsti dal presente Contratto (art. 28, par. 4 GDPR) e risponde nei confronti del Titolare dell’operato dei sub-responsabili.

In caso di modifica sostanziale dell’elenco — aggiunta o sostituzione di un sub-responsabile — il Responsabile pubblica una nuova versione del presente Contratto e dell’elenco e subordina la prosecuzione delle modifiche ai dati dei pazienti all’accettazione della nuova versione da parte del Titolare. Il Titolare può così opporsi alla modifica (art. 28, par. 3, lett. d GDPR) semplicemente non accettando: in tal caso può continuare a consultare ed esportare i propri dati e recedere chiudendo l’account, secondo l’art. 10.

7. Assistenza al Titolare

Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare nel dare seguito alle richieste degli interessati (artt. 12–22 GDPR) mettendo a disposizione, direttamente nella Piattaforma:

• l’esportazione completa dei dati di un paziente in formato strutturato e leggibile da dispositivo automatico (accesso e portabilità);
• la modifica dei dati (rettifica);
• la cancellazione del singolo paziente (cancellazione);
• il blocco del trattamento di un paziente (limitazione, art. 18 GDPR);
• il registro delle richieste degli interessati e lo storico dei consensi raccolti.

Per le richieste non gestibili con questi strumenti, il Responsabile fornisce assistenza su richiesta scritta. Il Responsabile assiste inoltre il Titolare, con le informazioni ragionevolmente disponibili, negli adempimenti di cui agli artt. 32–36 GDPR (sicurezza, violazioni, valutazioni d’impatto e consultazioni preventive).

8. Violazioni dei dati personali

Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali che riguarda i suoi pazienti (art. 33, par. 2 GDPR), comunicando: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolte, le probabili conseguenze, le misure adottate o proposte e un punto di contatto. Se non tutte le informazioni sono subito disponibili, sono fornite per gradi, senza attendere di averle complete.

La notifica al Garante entro 72 ore (art. 33, par. 1 GDPR) e l’eventuale comunicazione agli interessati (art. 34 GDPR) competono al Titolare; il Responsabile lo assiste fornendo le informazioni necessarie.

9. Trasferimenti verso paesi terzi

Il trattamento e la conservazione avvengono di regola nell’Unione Europea. Alcuni sub-responsabili possono comportare trasferimenti verso paesi terzi, come indicato per ciascuno nell’ elenco dei sub-responsabili; in tali casi il Responsabile assicura che il trasferimento avvenga in presenza delle garanzie previste dal Capo V del GDPR (decisioni di adeguatezza o clausole contrattuali tipo).

10. Cancellazione e restituzione dei dati

• In ogni momento il Titolare può esportare i propri dati dalla Piattaforma in formati strutturati di uso comune e cancellare singoli pazienti o singoli elementi.
• Gli elementi eliminati restano recuperabili per una finestra di annullamento di 30 giorni, trascorsa la quale sono distrutti in via definitiva.
• Alla chiusura dell’account i dati clinici e anagrafici sono distrutti. Fanno eccezione i soli documenti fiscali (le fatture emesse e i dati necessari a identificarle), che il Responsabile conserva per il termine di legge di 10 anni (art. 2220 c.c.; d.P.R. 633/1972) ai sensi dell’art. 17, par. 3, lett. b GDPR, con accesso limitato a tale finalità, e distrugge alla scadenza. L’account di accesso è eliminato.

11. Audit e verifiche

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi dell’art. 28 GDPR — a partire dal presente Contratto e dall’elenco dei sub-responsabili — e consente e contribuisce alle attività di revisione e ispezione condotte dal Titolare o da un revisore da questi incaricato (art. 28, par. 3, lett. h GDPR). Le verifiche avvengono con preavviso scritto ragionevole, in orario lavorativo, nel rispetto della riservatezza e senza compromettere la sicurezza dei dati degli altri titolari; i costi sono a carico del Titolare.

12. Legge applicabile e responsabilità

Il Contratto è regolato dalla legge italiana. La responsabilità delle parti verso gli interessati è disciplinata dall’art. 82 GDPR. L’eventuale invalidità di una clausola non travolge le restanti.

13. Versioni del Contratto

Ogni versione del Contratto è identificata da una stringa di versione (per questo testo: dpa-2026-02). Le modifiche sostanziali al testo o all’elenco dei sub-responsabili comportano una nuova versione e la richiesta di una nuova accettazione all’interno della Piattaforma, come descritto all’art. 6. Questa pagina mostra sempre la versione in vigore; le versioni precedenti sono disponibili su richiesta.

Contatti

Per ogni questione relativa al presente Contratto o alla protezione dei dati: info@osteopatico.com — Osteopatico, Viale Lombardia 9, 20092 Cinisello Balsamo (MI).