Accordo sul trattamento dei dati

Questo accordo fa parte del contratto per il servizio Provettia (vedi i termini di servizio) e regola il trattamento dei dati personali che DACSO esegue per conto del laboratorio cliente.

1. Parti e ruoli

• Titolare del trattamento: il laboratorio che ha sottoscritto il Servizio (il "Cliente").
• Responsabile del trattamento: DACSO S.r.l., Via Irmina Stanga 3, 26020 Crotta d'Adda (CR), P.IVA 01867850198 ("DACSO"). Contatto per la protezione dei dati: info@dacso.it, PEC dacso@pec.it.

2. Oggetto, natura e finalità

DACSO tratta i dati solo per fornire il Servizio al Cliente: conservazione e consultazione, gestione delle richieste e dei campioni, organizzazione dei ritiri, elaborazione dei risultati e dei referti, invio di avvisi, fatturazione alle cliniche, assistenza tecnica, backup e sicurezza.

3. Categorie di interessati e di dati

• Utenti del Cliente e delle cliniche (personale del laboratorio, veterinari, autisti): nome, email, ruolo, credenziali cifrate, accessi e operazioni svolte.
• Cliniche e veterinari richiedenti: dati identificativi e di contatto, dati fiscali per la fatturazione, indirizzi e orari per i ritiri.
• Proprietari degli animali: nome, e, se inseriti, telefono ed email.
• Dati sugli animali e sui campioni (specie, razza, età, notizie cliniche, risultati, referti): non sono di per sé dati personali, ma lo diventano quando sono collegati al proprietario.

Il Servizio non è pensato per trattare categorie particolari di dati (art. 9 GDPR). Il Cliente evita di inserire nelle note informazioni sulla salute o altri dati particolari delle persone.

4. Durata

Il trattamento dura quanto il contratto per il Servizio, più il periodo necessario alla restituzione e alla cancellazione dei dati previsto al punto 11.

5. Istruzioni del Cliente

DACSO tratta i dati solo su istruzione documentata del Cliente: il contratto, questo accordo e le impostazioni che il Cliente sceglie nel Servizio (per esempio l'attivazione dell'intelligenza artificiale o degli avvisi WhatsApp) costituiscono le istruzioni. Se un'istruzione sembra violare la normativa, DACSO lo segnala subito al Cliente. Restano salvi i trattamenti imposti dalla legge, che DACSO comunica al Cliente quando è consentito.

6. Riservatezza

Accedono ai dati solo le persone di DACSO che ne hanno bisogno per l'assistenza, la manutenzione o la sicurezza, autorizzate per iscritto e vincolate alla riservatezza. L'accesso ai dati di un laboratorio per assistenza avviene su richiesta o con l'accordo del Cliente, salvo urgenze di sicurezza.

7. Misure di sicurezza (art. 32 GDPR)

• Server in data center in Italia; connessioni cifrate con HTTPS (TLS) per il sito, il portale e le API.
• Separazione logica dei dati di ogni laboratorio e controllo dei permessi su ogni richiesta, per ruolo (amministratore, accettazione, tecnico, veterinario, autista, clinica).
• Password conservate solo come hash (bcrypt); sessioni con scadenza e revocabili; limiti ai tentativi di accesso; chiavi API revocabili e conservate solo come hash.
• Registro delle operazioni rilevanti (creazione e modifica delle richieste, modifiche dei risultati con storico non modificabile, firme e scaricamento dei referti, uso dell'intelligenza artificiale, gestione di utenti e chiavi API).
• Database accessibile solo dall'applicazione sul server, con credenziali dedicate; aggiornamenti di sistema e delle dipendenze regolari.
• Backup periodici e procedure di ripristino.

DACSO può aggiornare queste misure se il livello di protezione complessivo non si riduce.

8. Sub-responsabili

Il Cliente autorizza in via generale DACSO a ricorrere ai sub-responsabili qui sotto. DACSO impone loro obblighi di protezione dei dati equivalenti a quelli di questo accordo e risponde del loro operato. Prima di aggiungere o sostituire un sub-responsabile, DACSO aggiorna questa pagina e avvisa il Cliente via email con almeno 30 giorni di anticipo: il Cliente può opporsi per motivi ragionevoli e, se non si trova una soluzione, recedere senza penali.

9. Trasferimenti fuori dall'UE

I dati sono conservati in Italia. Un trasferimento verso paesi terzi avviene solo per le funzioni che il Cliente decide di attivare (intelligenza artificiale, WhatsApp) e sulla base delle garanzie del Capo V del GDPR: decisioni di adeguatezza, come il Data Privacy Framework UE-USA quando applicabile, oppure clausole contrattuali tipo. Per la bozza del commento al referto non vengono inviati i nomi del proprietario e dell'animale.

10. Assistenza al Cliente

• Diritti degli interessati: DACSO inoltra al Cliente senza ritardo le richieste ricevute e lo aiuta a rispondere; il Servizio permette già di consultare, correggere ed esportare i dati.
• Violazioni dei dati: DACSO informa il Cliente senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, con le informazioni disponibili su natura, dati coinvolti, conseguenze probabili e misure adottate, per consentirgli le notifiche previste dagli articoli 33 e 34.
• Valutazioni d'impatto e consultazioni: DACSO fornisce le informazioni sul Servizio necessarie.

11. Fine del trattamento

Alla cessazione del contratto il Cliente può esportare i dati per 30 giorni; su richiesta DACSO fornisce un'esportazione completa in formato aperto. Poi DACSO cancella i dati dai sistemi attivi entro 90 giorni e le copie di backup si sovrascrivono secondo la loro rotazione, salvo che la legge imponga di conservarli. Su richiesta, DACSO conferma per iscritto l'avvenuta cancellazione.

12. Verifiche

DACSO mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche, anche tramite un revisore incaricato dal Cliente e vincolato alla riservatezza, con un preavviso di almeno 30 giorni, nei giorni lavorativi e senza compromettere la sicurezza degli altri clienti. Di norma le verifiche si svolgono una volta all'anno, salvo violazioni dei dati.

13. Obblighi del Cliente

Il Cliente, come titolare, garantisce di avere una base giuridica per i dati che inserisce, di informare cliniche e proprietari (per esempio con la propria informativa o tramite le cliniche), di configurare utenti e permessi in modo appropriato e di non inserire dati non necessari.

14. Prevalenza

Per tutto ciò che riguarda la protezione dei dati personali, questo accordo prevale sulle altre condizioni del contratto. Una versione firmata può essere richiesta a info@dacso.it.