Contratto di trattamento dati (modello)
Contratto sul trattamento di dati personali su incarico ai sensi dell'art. 28 GDPR tra il laboratorio utente («Titolare») e [FIRMA EINTRAGEN], [STRASSE + HAUSNUMMER EINTRAGEN], [PLZ EINTRAGEN] [ORT EINTRAGEN] («Responsabile»). Questo contratto diventa parte dell'accordo quando il Titolare lo accetta alla registrazione o nelle impostazioni dell'account.
1. Oggetto e durata
Il Responsabile gestisce la piattaforma Pontiq e tratta dati personali per conto del Titolare per la durata del contratto d'uso.
2. Natura, finalità e ambito
Raccolta, memorizzazione, visualizzazione, trasmissione e cancellazione dei dati che il Titolare tratta tramite la piattaforma, in particolare per la gestione di casi e ordini, la pianificazione della produzione, la generazione di documenti e le funzioni IA opzionali. Ciò comprende la memorizzazione cifrata (credential vault) delle credenziali depositate dal Titolare per cloud scanner e portali dei produttori, nonché il recupero automatizzato di nuovi casi da tali servizi di terzi su istruzione documentata del Titolare.
3. Categorie di interessati e di dati
- Interessati: pazienti degli studi dentistici; dipendenti del Titolare; referenti degli studi.
- Categorie di dati: dati identificativi (nome/pseudonimo del paziente, numeri di caso), dati di ordini e casi (tipo di lavorazione, materiale, colore, note), file di scansione 3D e allegati, dati utente dei dipendenti (nome, e-mail, ruolo), dati di comunicazione. Possono essere inclusi dati sanitari ai sensi dell'art. 9 GDPR.
4. Istruzioni
Il Responsabile tratta i dati esclusivamente su istruzione documentata del Titolare; l'uso delle funzioni della piattaforma vale come istruzione. Se il Responsabile ritiene illecita un'istruzione, informa senza ritardo il Titolare.
5. Riservatezza
Vengono impiegate solo persone vincolate alla riservatezza o soggette a un adeguato obbligo legale di segretezza.
6. Misure tecniche e organizzative (art. 32 GDPR)
Cifratura TLS per tutte le connessioni; salvataggio cifrato dei token e hashing delle password; controllo degli accessi basato sui ruoli e separazione dei tenant a livello di dati; registrazione degli eventi rilevanti per la sicurezza; backup regolari e test di ripristino; hosting esclusivamente in data center UE.
7. Sub-responsabili
Il Titolare autorizza in generale sub-responsabili per hosting (UE), invio e-mail ed elaborazione IA (Mistral AI SAS, Francia — trattamento nell'UE). Il Responsabile annuncia le modifiche previste con congruo preavviso; il Titolare può opporsi per importanti motivi di protezione dei dati. Con tutti i sub-responsabili esistono contratti ai sensi dell'art. 28, par. 4 GDPR.
8. Assistenza
Il Responsabile assiste ragionevolmente il Titolare nei diritti degli interessati (artt. 12–23 GDPR), nella sicurezza del trattamento, nelle notifiche di violazioni (artt. 33 e 34 GDPR) e nelle valutazioni d'impatto (artt. 35 e 36 GDPR).
9. Notifica delle violazioni
Il Responsabile notifica al Titolare le violazioni dei dati personali senza ingiustificato ritardo, al più tardi entro 48 ore dalla conoscenza, incluse le informazioni di cui all'art. 33, par. 3 GDPR ove disponibili.
10. Cancellazione e restituzione
Al termine del contratto d'uso il Responsabile cancella o restituisce tutti i dati personali, salvo obblighi legali di conservazione. Il Titolare può prima richiedere un'esportazione dei dati (fornita entro 30 giorni).
11. Prove e verifiche
Il Responsabile fornisce tutte le informazioni necessarie a dimostrare la conformità. Il Titolare può effettuare verifiche con preavviso negli orari lavorativi abituali o farle svolgere da terzi idonei; si usano prioritariamente attestazioni e rapporti esistenti.
12. Disposizioni finali
Si applica il diritto tedesco. Per il resto valgono le condizioni generali. L'invalidità di singole clausole non pregiudica il resto.