Nomina a responsabile del trattamento (art. 28 GDPR)

Il Responsabile tratta dati personali per tutta la durata del Contratto, esclusivamente per erogare, proteggere, assistere e documentare il Servizio e per eseguire le istruzioni del Titolare. Le operazioni possono comprendere raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, estrazione, trasmissione, messa a disposizione, limitazione, restituzione e cancellazione.

Gli interessati possono comprendere clienti, fornitori, dipendenti, collaboratori, professionisti, assistiti e altri soggetti i cui dati sono inseriti dal Titolare. I dati possono comprendere dati anagrafici, identificativi, di contatto, fiscali, contabili, professionali, coordinate di pagamento, dati contenuti in documenti e allegati, dati tecnici e informazioni sulle operazioni svolte. Il modulo per la trasmissione delle spese al Sistema Tessera Sanitaria può comportare il trattamento di dati relativi alla salute e del codice fiscale dell'assistito. Il Titolare attiva tale modulo soltanto dopo aver individuato una valida condizione di liceità ai sensi dell'art. 9, par. 2, GDPR e aver adempiuto ai propri obblighi verso gli interessati.

Il Responsabile tratta i dati soltanto su istruzione documentata del Titolare. Costituiscono istruzioni il Contratto, le richieste trasmesse dal Titolare mediante il Servizio o i canali di assistenza e le autorizzazioni da lui concesse a utenti o integrazioni. Se ritiene che un'istruzione violi la normativa applicabile, il Responsabile ne informa il Titolare e può sospenderne l'esecuzione fino alla relativa modifica o conferma lecita.

Il Titolare determina finalità e basi giuridiche, fornisce le informative, gestisce i diritti degli interessati, assicura esattezza e minimizzazione dei dati e impartisce istruzioni lecite. Il Titolare non utilizza il Servizio per categorie di dati o trattamenti incompatibili con il Contratto e valuta, quando necessario, l'impatto sulla protezione dei dati.

Il Responsabile autorizza al trattamento soltanto persone vincolate alla riservatezza e formate in relazione ai compiti affidati. L'accesso è limitato secondo necessità e revocato quando non più giustificato.

Il Responsabile adotta misure adeguate al rischio ai sensi dell'art. 32 GDPR, tra cui cifratura dei dati in transito; cifratura autenticata delle credenziali fiscali conservate; autenticazione e controllo degli accessi; segregazione logica per azienda; registrazione delle operazioni amministrative rilevanti; backup e procedure di ripristino; gestione delle vulnerabilità e degli incidenti; minimizzazione dei dati inviati alle funzioni automatizzate; verifica periodica dell'efficacia delle misure. Le credenziali del Sistema Tessera Sanitaria sono utilizzate per la singola sessione di invio e non sono conservate dalla Piattaforma.

Il Titolare autorizza in via generale il ricorso ai seguenti sub-responsabili, limitatamente alle attività indicate: Aruba S.p.A., infrastruttura applicativa e hosting in Italia; Supabase, Inc., database, autenticazione e archiviazione di allegati su regione europea; Openapi S.p.A. Unipersonale, firma digitale tramite eSignature e servizi tecnici di verifica anagrafica; Plus Five Five, Inc. (Resend), email transazionali e relativi allegati; Anthropic Ireland, Limited, elaborazione tramite API delle funzioni di intelligenza artificiale, lettura documentale e classificazione. Anthropic può avvalersi dei sub-responsabili indicati nel proprio DPA. L’uso ordinario delle API commerciali non comporta addestramento sui contenuti; restano applicabili le condizioni del fornitore per eventuali adesioni volontarie e feedback. Gli input e output API sono soggetti alla cancellazione ordinaria entro 30 giorni, salve eccezioni contrattuali per sicurezza, obblighi di legge e servizi con archiviazione. Non è previsto un accordo speciale di conservazione zero. I trasferimenti internazionali sono disciplinati dal DPA Anthropic e dalle clausole contrattuali tipo applicabili. Il Responsabile impone ai sub-responsabili obblighi sostanzialmente equivalenti e resta responsabile verso il Titolare. Comunica le modifiche sostanziali con almeno 15 giorni di anticipo, salvo urgenze di sicurezza o continuità. Il Titolare può opporsi per motivi documentati di protezione dei dati; in assenza di soluzione ragionevole può cessare la funzionalità interessata o recedere dal Contratto.

Stripe Payments Europe, Limited opera quale titolare autonomo per i servizi di pagamento resi sulle proprie pagine. Autorità fiscali, Sistema di Interscambio e Sistema Tessera Sanitaria operano secondo i rispettivi compiti istituzionali. Gli assistenti e le applicazioni esterne collegati direttamente dal Titolare non sono sub-responsabili scelti dal Responsabile: il Titolare seleziona il destinatario, autorizza gli ambiti di accesso e verifica il relativo assetto privacy.

Il Responsabile tratta e conserva il database principale nell'Unione europea. Qualora un sub-responsabile comporti un trasferimento verso un Paese terzo, il Responsabile assicura che ricorrano le condizioni del capo V GDPR mediante decisione di adeguatezza, clausole contrattuali tipo o altra garanzia consentita, unitamente alle eventuali misure supplementari necessarie. Su richiesta mette a disposizione le informazioni essenziali sulla garanzia applicata, con facoltà di oscurare informazioni riservate o di sicurezza.

Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate nel riscontro delle richieste ai sensi degli artt. 15-22 GDPR. Se riceve direttamente una richiesta relativa ai dati del Titolare, la inoltra senza rispondere nel merito, salvo diversa istruzione o obbligo di legge. Il Responsabile assiste inoltre, nei limiti delle informazioni disponibili, negli adempimenti di cui agli artt. 32-36 GDPR.

Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione riguardante i dati trattati per suo conto e fornisce progressivamente le informazioni disponibili su natura, interessati, possibili conseguenze, misure adottate e contatto utile. La comunicazione non costituisce riconoscimento di responsabilità.

Alla cessazione, il Responsabile, a scelta del Titolare, restituisce i dati in formato comunemente utilizzato o li cancella, salvo che il diritto dell'Unione o nazionale ne imponga la conservazione. Il Titolare può esercitare la scelta durante il rapporto e nei 30 giorni successivi alla cessazione. Le copie di backup sono eliminate secondo i normali cicli tecnici e restano protette e non utilizzate per altri scopi fino alla cancellazione. Su richiesta il Responsabile conferma l'avvenuta cancellazione.

Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR e consente audit documentali, remoti o presso le sedi pertinenti, svolti dal Titolare o da un revisore indipendente vincolato alla riservatezza. Gli audit ordinari richiedono preavviso ragionevole, devono evitare interferenze sproporzionate e, di regola, non si svolgono più di una volta l'anno. Tale limite non si applica in caso di violazione, fondato sospetto di non conformità o richiesta di un'autorità. Ciascuna parte sostiene i propri costi, salvo non conformità sostanziale imputabile al Responsabile.

Ciascuna parte risponde degli obblighi che il GDPR pone a proprio carico. Il Titolare può sospendere le istruzioni o risolvere la parte del Contratto relativa al trattamento in caso di violazione sostanziale o persistente non sanata entro un termine ragionevole. Il Responsabile può sospendere l'istruzione e, se il Titolare insiste nel richiedere un trattamento illecito, risolvere il Contratto per la parte interessata. Restano applicabili i diritti degli interessati e i poteri delle autorità di controllo.