Accordo sul trattamento dei dati personali (art. 28 GDPR)

Versione del 20/10/2026.

1. Parti e premesse

Titolare del trattamento ("Titolare"): il professionista sanitario o la struttura che ha sottoscritto un abbonamento a Pazienti, come identificato nei dati del proprio account.

Responsabile del trattamento ("Responsabile"): Blinko Srls, con sede legale in Via Ezio Gibellini 8, 41043 Formigine (MO), P.IVA 04139060364, contatto privacy support@pazientiapp.it, che eroga il servizio Pazienti (pazientiapp.it).

Premesse

1. Il Titolare utilizza Pazienti, software gestionale in cloud, per gestire anagrafiche, appuntamenti, cartelle cliniche e documenti dei propri pazienti.
2. Nell'erogare il servizio il Responsabile tratta dati personali, anche relativi alla salute (art. 9 GDPR), per conto del Titolare.
3. Il presente accordo ("DPA") disciplina tale trattamento ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR") e integra i Termini e Condizioni del servizio. In caso di contrasto sulla protezione dei dati prevale il DPA.
4. Per i dati dell'account del Titolare (nome, email, fatturazione) Blinko Srls agisce come titolare autonomo, secondo la propria Privacy Policy; tale trattamento è escluso dal DPA.

Definizioni. I termini "dato personale", "trattamento", "interessato", "violazione dei dati personali", "sub-responsabile" hanno il significato dell'art. 4 GDPR. "Servizio" indica la piattaforma Pazienti e le funzionalità connesse.

2. Oggetto, durata, natura e finalità

• Oggetto: trattamento dei dati personali dei pazienti e degli altri interessati inseriti dal Titolare nel Servizio.
• Natura: raccolta, registrazione, organizzazione, conservazione, consultazione, backup, ripristino, invio di notifiche e promemoria, esportazione e cancellazione, svolti con strumenti automatizzati in cloud.
• Finalità: esclusivamente l'erogazione, la manutenzione, la sicurezza e l'assistenza del Servizio, secondo le istruzioni del Titolare.
• Durata: pari a quella dell'abbonamento al Servizio, più il tempo necessario alla restituzione e cancellazione dei dati (art. 3.7).
• Categorie di dati e di interessati: come da Allegato 1.

3. Obblighi del Responsabile

3.1 Istruzioni. Il Responsabile tratta i dati solo su istruzione documentata del Titolare. Le istruzioni sono costituite dal DPA, dai Termini e Condizioni e dall'uso delle funzionalità del Servizio da parte del Titolare. Se un'istruzione appare contraria al GDPR, il Responsabile ne informa subito il Titolare. Restano salvi gli obblighi imposti dal diritto dell'Unione o nazionale, che il Responsabile comunica al Titolare prima del trattamento, salvo divieto di legge.

3.2 Riservatezza. Il Responsabile autorizza al trattamento solo persone che ne hanno necessità per erogare o assistere il Servizio, vincolate da obbligo di riservatezza contrattuale o legale. Il personale non accede al contenuto delle cartelle cliniche, salvo richiesta del Titolare per assistenza o esigenze di sicurezza.

3.3 Sicurezza. Il Responsabile adotta le misure tecniche e organizzative dell'art. 32 GDPR descritte nell'Allegato 3, e può aggiornarle purché il livello di protezione non diminuisca.

3.4 Sub-responsabili. Il Titolare concede un'autorizzazione generale al ricorso ai sub-responsabili elencati nell'Allegato 2. Il Responsabile informa il Titolare con almeno 30 giorni di anticipo, via email o nel Servizio, di aggiunte o sostituzioni. Il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati; in mancanza di soluzione, può recedere senza penali. Il Responsabile impone ai sub-responsabili obblighi equivalenti a quelli del DPA e ne risponde nei confronti del Titolare.

3.5 Diritti degli interessati. Il Servizio consente al Titolare di consultare, rettificare, esportare e cancellare i dati dei pazienti. Il Responsabile inoltra senza ritardo al Titolare le richieste ricevute direttamente dagli interessati, senza rispondervi nel merito, e presta assistenza ragionevole al Titolare.

3.6 Violazioni dei dati. Il Responsabile notifica al Titolare ogni violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, indicando, per quanto noto: natura della violazione, categorie e numero approssimativo di interessati e registrazioni, probabili conseguenze, misure adottate o proposte e un referente. Le informazioni possono essere fornite in fasi successive. Il Responsabile assiste il Titolare negli adempimenti degli artt. 33 e 34 GDPR e, ove richiesto, nella valutazione d'impatto (art. 35) e nella consultazione preventiva (art. 36).

3.7 Restituzione e cancellazione. Alla cessazione del Servizio, su richiesta scritta del Titolare inviata entro 30 giorni, il Responsabile esporta e consegna i dati in un formato strutturato e di uso comune. Decorso tale termine il Responsabile cancella i dati dai sistemi di produzione entro i successivi 30 giorni; le copie di backup sono eliminate automaticamente alla scadenza del ciclo di conservazione (100 giorni). Su richiesta, il Responsabile conferma per iscritto l'avvenuta cancellazione.

3.8 Informazioni e audit. Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28, anzitutto tramite il DPA, i suoi allegati e risposte scritte a questionari. Se ciò non basta, il Titolare può svolgere un'ispezione, anche tramite un revisore vincolato alla riservatezza, con preavviso di almeno 30 giorni, al massimo una volta l'anno salvo violazioni, a proprie spese e senza accesso ai dati di altri clienti.

3.9 Integrazioni attivate dal Titolare. Se il Titolare collega al Servizio il proprio account Google Calendar, il Servizio vi crea, aggiorna e cancella gli appuntamenti, con nome, cognome, cellulare ed email del paziente, descrizione, luogo, data e ora, e legge gli eventi di quel calendario per mostrarli nel Servizio. Tale comunicazione avviene su istruzione del Titolare, verso un servizio che il Titolare utilizza in base al proprio contratto con Google; per essa Google non agisce come sub-responsabile del Responsabile. Il Titolare può disattivare l'integrazione in qualsiasi momento.

4. Trasferimenti, responsabilità e disposizioni finali

4.1 Trasferimenti extra-UE. I dati sono conservati presso data center negli Stati Uniti (Allegato 2). Il trasferimento si fonda sulla decisione di adeguatezza UE-USA (EU-U.S. Data Privacy Framework, Decisione 2023/1795), cui aderiscono tutti i sub-responsabili dell'Allegato 2. Se la certificazione di un sub-responsabile o la decisione di adeguatezza venissero meno, si applicano le Clausole Contrattuali Standard della Commissione (Decisione 2021/914) incluse nei termini di trattamento dei fornitori; in tal caso il Responsabile valuta il trasferimento e adotta le eventuali misure supplementari necessarie.

4.2 Obblighi del Titolare. Il Titolare garantisce di avere una base giuridica per il trattamento, di aver informato i pazienti e di inserire nel Servizio solo i dati necessari alla propria attività professionale.

4.3 Responsabilità. Ciascuna parte risponde ai sensi dell'art. 82 GDPR. Per il resto si applicano i limiti di responsabilità dei Termini e Condizioni, salvo dolo o colpa grave e quanto inderogabile per legge.

4.4 Efficacia e durata. Il DPA è efficace dall'accettazione dei Termini e Condizioni o dalla sottoscrizione, e resta in vigore finché il Responsabile tratta dati per conto del Titolare.

4.5 Legge e foro. Legge italiana. Foro competente: quello indicato nei Termini e Condizioni, salvo il foro inderogabile del consumatore ove applicabile.

Allegato 1 – Dettagli del trattamento

Allegato 2 – Sub-responsabili

Elenco aggiornato al 20/10/2026.

Allegato 3 – Misure tecniche e organizzative