Nomina a responsabile del trattamento dei dati (art. 28 GDPR)
Versione 1.0 — in vigore dal 5 novembre 2026
Tra lo studio che si iscrive a Dentavox (di seguito «Titolare») e AG4TEK S.r.l.s., sede legale in [indirizzo della sede legale], partita IVA 03294980804, PEC [email protected], e-mail [email protected] (di seguito «Responsabile»).
Questa nomina fa parte delle Condizioni generali di servizio di Dentavox (di seguito «Contratto») e vale per tutta la sua durata. Il Titolare, accettandola al momento dell'iscrizione, nomina il Responsabile ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (di seguito «GDPR») per i trattamenti descritti qui sotto.
1. Oggetto, natura e finalità del trattamento
Il Responsabile tratta i dati personali per conto del Titolare al solo scopo di fornire il servizio Dentavox: ospitare sui propri server e rendere accessibili al Titolare e ai suoi utenti i dati inseriti nel programma e nell'agenda online; eseguire le copie di sicurezza; inviare per conto del Titolare le comunicazioni ai pazienti che il Titolare attiva (promemoria e conferme di appuntamento via SMS, oppure via e-mail e WhatsApp dalla casella e dall'account dello studio); fornire assistenza tecnica quando il Titolare la richiede.
2. Tipi di dati e categorie di interessati
- Interessati: pazienti dello studio e, se inseriti, loro familiari o accompagnatori; titolare, collaboratori e personale dello studio; fornitori e laboratori.
- Dati comuni: dati anagrafici, codice fiscale, recapiti, dati amministrativi e contabili (preventivi, fatture, pagamenti), dati sugli appuntamenti, firme raccolte su tablet.
- Categorie particolari di dati (art. 9 GDPR): dati relativi alla salute dei pazienti (anamnesi, piani di cura, prestazioni, note cliniche, immagini e documenti caricati dal Titolare).
3. Durata
La nomina dura quanto il Contratto. Alla sua cessazione si applica il punto 11.
4. Istruzioni del Titolare
4.1. Il Responsabile tratta i dati solo su istruzione documentata del Titolare. Costituiscono istruzioni il Contratto, questa nomina e le scelte che il Titolare compie nel programma (per esempio attivare l'invio dei promemoria o l'accesso dell'assistenza).
4.2. Il Responsabile non usa i dati per finalità proprie, non li vende, non li cede e non li usa per addestrare sistemi di intelligenza artificiale né per profilazione o pubblicità.
4.3. Se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati, il Responsabile ne informa subito il Titolare.
5. Riservatezza
Il Responsabile autorizza al trattamento solo le persone che ne hanno necessità per fornire il servizio o l'assistenza, le istruisce per iscritto e le vincola alla riservatezza, anche dopo la fine del rapporto. Le persone autorizzate sono tenute anche al segreto sui dati sanitari di cui vengano a conoscenza.
6. Misure di sicurezza (art. 32 GDPR)
Il Responsabile adotta misure tecniche e organizzative adeguate al rischio, tra cui:
- collegamenti sempre cifrati (https) tra i dispositivi dello studio e i server;
- dati di ogni studio separati da quelli degli altri clienti, con controlli a ogni accesso;
- accessi solo con utente personale e password (conservate in forma non leggibile), ruoli che limitano cosa vede e fa ciascun utente, blocco dopo ripetuti tentativi sbagliati;
- registro degli accessi e degli ingressi dell'assistenza;
- server in data center certificati nell'Unione europea, protetti da firewall, con aggiornamenti di sicurezza regolari;
- copie di sicurezza giornaliere conservate separatamente dal server, con prove periodiche di ripristino;
- procedure per gestire e annotare le violazioni dei dati.
Il Responsabile aggiorna le misure nel tempo, in base all'evoluzione tecnica e ai rischi, senza ridurne il livello complessivo.
7. Sub-responsabili
7.1. Il Titolare autorizza in via generale il Responsabile ad avvalersi di altri responsabili (sub-responsabili). Alla data di questa versione sono:
| Sub-responsabile | Servizio | Dove sono trattati i dati |
|---|---|---|
| IONOS SE (Germania) | Server su cui funziona Dentavox, copie di sicurezza | Unione europea (Germania) |
| Cloudflare, Inc. (USA) | Collegamento sicuro e protezione dei server; i dati vi transitano cifrati | UE e USA – EU-US Data Privacy Framework e clausole contrattuali tipo |
| Openapi S.p.A. (Italia) | Invio degli SMS ai pazienti; invio allo SdI delle fatture elettroniche del Titolare, se attivato | Italia |
7.2. Le e-mail e i messaggi WhatsApp ai pazienti partono dalla casella di posta e dall'account WhatsApp dello studio, che il Titolare collega al programma: i relativi fornitori (per esempio Google, Microsoft o il gestore della posta dello studio, e WhatsApp) sono scelti dal Titolare e operano in base ai contratti che il Titolare ha con loro; non sono sub-responsabili del Responsabile.
7.3. Le notifiche sul telefono e sul computer degli utenti dello studio passano attraverso i servizi di notifica dei browser (Google, Apple, Mozilla): il contenuto viaggia cifrato e quei servizi non possono leggerlo.
7.4. Il Responsabile impone ai sub-responsabili, per contratto, obblighi di protezione dei dati non inferiori a quelli di questa nomina e risponde verso il Titolare del loro operato. Il Responsabile informa il Titolare di ogni nuovo sub-responsabile o sostituzione con almeno 15 giorni di anticipo; entro quel termine il Titolare può opporsi per motivi legati alla protezione dei dati e, se non si trova una soluzione, può recedere dal Contratto senza costi.
8. Trasferimenti fuori dall'Unione europea
I dati sono conservati nell'Unione europea. Eventuali trasferimenti verso paesi terzi, legati ai sub-responsabili indicati al punto 7, avvengono solo con le garanzie del Capo V del GDPR (decisione di adeguatezza, come l'EU-US Data Privacy Framework, o clausole contrattuali tipo).
9. Assistenza al Titolare
9.1. Il Responsabile aiuta il Titolare, nei limiti di quanto possibile con il servizio, a rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione): il programma permette al Titolare di consultare, correggere, esportare e cancellare i dati. Se un interessato si rivolge direttamente al Responsabile, la richiesta viene girata al Titolare senza ritardo.
9.2. Il Responsabile fornisce al Titolare le informazioni utili per la valutazione d'impatto (art. 35 GDPR) e per l'eventuale consultazione del Garante.
10. Violazioni dei dati (data breach)
Il Responsabile informa il Titolare senza ingiustificato ritardo e comunque entro 48 ore da quando viene a conoscenza di una violazione che riguarda i dati del Titolare, indicando, per quanto noto: cosa è successo, le categorie e il numero approssimativo di interessati e di dati coinvolti, le possibili conseguenze, le misure adottate o proposte e un referente. Le informazioni non disponibili subito vengono fornite appena possibile. Spetta al Titolare la notifica al Garante e, se necessaria, la comunicazione agli interessati.
11. Fine del trattamento
Alla cessazione del Contratto il Titolare può scaricare i propri dati per 60 giorni. Trascorso questo periodo il Responsabile cancella i dati del Titolare dal servizio e le copie di sicurezza vengono sovrascritte entro i successivi 30 giorni, salvo obblighi di conservazione previsti dalla legge. Su richiesta, il Responsabile conferma per iscritto l'avvenuta cancellazione.
12. Verifiche
Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto di questa nomina. Il Titolare può svolgere verifiche, anche tramite un incaricato vincolato alla riservatezza, con un preavviso di almeno 30 giorni, di norma non più di una volta l'anno, senza intralciare il servizio e senza accedere ai dati di altri clienti; i costi delle verifiche sono a carico del Titolare, salvo che emergano violazioni del Responsabile.
13. Registro e responsabilità
Il Responsabile tiene il registro delle attività di trattamento svolte per conto dei titolari (art. 30, par. 2, GDPR). Ciascuna parte risponde verso gli interessati e le autorità secondo l'art. 82 GDPR. Per quanto non previsto qui valgono il Contratto e il GDPR.