ACCORDO SUL TRATTAMENTO DEI DATI
Accordo ai sensi dell'articolo 28 del Regolamento (UE) 2016/679
Cliente/Titolare come identificato nel Contratto · TOMproject SRL quale Responsabile del trattamento
Versione 2.0 - parte integrante delle Condizioni TOMKO SaaS v1.8 quando applicabile
1. Parti e ruoli
Il Cliente identificato nel Contratto TOMKO opera quale Titolare del trattamento per i dati personali di cui determina finalità e mezzi essenziali. TOMproject SRL, Via Domenico Cassano 30 - 70027 Palo del Colle (BA), P. IVA 07938080723, opera quale Responsabile del trattamento ai sensi dell'art. 28 GDPR quando tratta dati per conto del Cliente.
Il presente DPA integra il Contratto SaaS e prevale, per le materie di protezione dei dati trattati per conto del Cliente, su clausole incompatibili delle Condizioni Generali.
2. Oggetto, durata, natura e finalità
Il trattamento riguarda i dati necessari all'erogazione dei prodotti/moduli TOMKO attivati. La durata coincide con il rapporto di servizio e con i periodi tecnici successivi necessari alla restituzione, cancellazione, rotazione dei backup, gestione degli incidenti e adempimento degli obblighi di legge.
Le operazioni possono comprendere raccolta tecnica, registrazione, organizzazione, conservazione, consultazione tecnica quando necessaria, modifica su istruzione, trasmissione, messa a disposizione, backup, ripristino, cancellazione e ulteriori operazioni strettamente necessarie a erogazione, manutenzione, diagnostica, sicurezza e continuità.
TOMproject non determina finalità cliniche autonome sui dati dei pazienti.
3. Interessati e categorie di dati
Gli interessati possono comprendere pazienti/assistiti, professionisti, operatori, dipendenti/collaboratori del Cliente e utenti dei servizi. I dati possono comprendere identificativi, contatti, dati amministrativi, account e autenticazione, appuntamenti, documenti, immagini, allegati, log/metadati tecnici e, quando inseriti dal Titolare, categorie particolari ai sensi dell'art. 9 GDPR, inclusi dati relativi alla salute.
4. Istruzioni documentate
TOMproject tratta i dati esclusivamente su istruzioni documentate del Titolare, salvo obblighi di legge applicabili. Costituiscono istruzioni il Contratto, il presente DPA, la configurazione dei moduli, le azioni effettuate dal Cliente nel Servizio e le ulteriori richieste documentate compatibili con il rapporto.
Se TOMproject ritiene che un'istruzione violi il GDPR o altra normativa applicabile, informa il Titolare senza ingiustificato ritardo, nei limiti consentiti dalla legge.
5. Riservatezza e persone autorizzate
Le persone che operano sotto l'autorità di TOMproject o dei sub-responsabili accedono ai dati solo secondo necessità e istruzioni applicabili e sono soggette a obblighi di riservatezza. Le autorizzazioni vengono attribuite secondo funzione, necessità di conoscenza e minimo privilegio.
6. Misure tecniche e organizzative
TOMproject adotta e fa adottare misure tecniche e organizzative adeguate al rischio ai sensi dell'art. 32 GDPR. Senza divulgare informazioni operative che potrebbero ridurre la sicurezza, i principi comprendono controllo degli accessi, separazione dei ruoli, segregazione dei tenant, gestione delle autenticazioni, backup/ripristino, continuità, gestione degli incidenti, aggiornamento tecnico, minimizzazione e tracciabilità ove pertinente.
Le misure sono riesaminate e adeguate all'evoluzione dei rischi, delle tecnologie e dei servizi.
7. eTOMKO Engineering - sub-responsabile tecnico
Il Titolare autorizza espressamente eTOMKO Engineering, Via Domenico Cassano 30 - 70027 Palo del Colle (BA), P. IVA 09039010724, e-mail info@etomko.it, PEC privacyetomko@pec.etomko.it, quale sub-responsabile tecnico principale.
eTOMKO cura progettazione, sviluppo, manutenzione specialistica, diagnostica, ripristino, architettura e cybersecurity e può accedere ai dati del tenant quando tecnicamente necessario all'intervento. L'accesso non costituisce finalità autonoma e resta limitato alla necessità tecnica.
TOMproject impone a eTOMKO obblighi di protezione dei dati sostanzialmente equivalenti a quelli del presente DPA e resta responsabile verso il Titolare per l'adempimento degli obblighi del sub-responsabile nei limiti dell'art. 28 GDPR.
8. Ulteriori sub-responsabili e autorizzazione generale
Il Titolare concede autorizzazione scritta generale all'impiego di ulteriori sub-responsabili necessari a infrastruttura, hosting, comunicazioni, notifiche e servizi accessori.
TOMproject mantiene un inventario aggiornato degli ulteriori soggetti che qualificano come sub-responsabili e informa il Cliente delle aggiunte o sostituzioni previste prima del loro coinvolgimento, salvo sostituzioni urgenti necessarie per sicurezza o continuità, nel qual caso l'informazione viene fornita senza ingiustificato ritardo. Il Cliente può formulare un'opposizione motivata da ragioni di protezione dei dati; le Parti cooperano per individuare una soluzione ragionevole.
Non ogni fornitore tecnico è automaticamente un sub-responsabile: la qualificazione dipende dal ruolo effettivo e dai dati trattati.
9. Trasferimenti internazionali
TOMproject effettua o consente trasferimenti di dati personali fuori dallo SEE solo nel rispetto del Capo V GDPR e delle istruzioni applicabili, utilizzando, secondo i casi, decisioni di adeguatezza, Data Privacy Framework quando applicabile, Clausole Contrattuali Tipo o altri strumenti consentiti.
Le informazioni sulle garanzie applicate ai fornitori rilevanti sono rese disponibili al Titolare su richiesta e nella documentazione contrattuale/provider pertinente.
10. Diritti degli interessati
TOMproject, tenendo conto della natura del trattamento, assiste il Titolare con misure tecniche e organizzative adeguate nell'adempimento delle richieste degli interessati. Salvo trattamento proprio di TOMproject, le richieste relative ai dati del tenant vengono indirizzate o trasmesse al Titolare senza assumere decisioni autonome sulla loro fondatezza.
11. Sicurezza, DPIA e consultazione
TOMproject mette a disposizione del Titolare le informazioni ragionevolmente necessarie e presta assistenza, tenendo conto della natura del trattamento e delle informazioni disponibili, per gli obblighi di cui agli artt. 32-36 GDPR, comprese valutazioni d'impatto e consultazione preventiva quando applicabili.
12. Violazioni di dati personali
TOMproject informa il Titolare senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione di dati personali riferibile ai dati trattati per suo conto e fornisce le informazioni disponibili necessarie alla valutazione. eTOMKO e gli altri sub-responsabili sono tenuti a informare TOMproject secondo una catena che consenta il rispetto di tale obbligo.
Eventuali SLA interni o contrattuali più stringenti non sostituiscono i termini e i criteri stabiliti dal GDPR.
13. Audit e informazioni di conformità
TOMproject mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR e consente e contribuisce ad audit, comprese ispezioni, effettuati dal Titolare o da un auditor da esso incaricato, con preavviso e modalità ragionevoli salvo esigenze urgenti o richieste dell'Autorità.
Le modalità di verifica devono tutelare sicurezza, continuità, segreti industriali, dati di altri Clienti e principio di minimo privilegio, senza svuotare il diritto del Titolare a una verifica effettiva. Quando proporzionato all'oggetto della verifica, possono essere utilizzati policy, attestazioni, questionari, report, estratti di log, configurazioni oscurate, test o dimostrazioni; se tali evidenze non sono sufficienti rispetto a un rischio concreto o a un obbligo applicabile, viene consentita una verifica ulteriore adeguata.
L'audit non attribuisce automaticamente accesso a credenziali, chiavi, secrets, procedure di emergenza o dettagli sfruttabili dell'infrastruttura quando la conformità può essere verificata con evidenze equivalenti e meno rischiose.
14. Restituzione e cancellazione
Alla cessazione della prestazione, il Titolare sceglie se ottenere la restituzione dei dati personali e la cancellazione delle copie oppure la cancellazione, salvo che una norma imponga la conservazione. L'esportazione standard prevista dall'art. 11 delle Condizioni costituisce modalità ordinaria di restituzione.
La morosità non elimina l'obbligo di consentire la restituzione standard necessaria alla cessazione del trattamento, fermo il diritto di TOMproject di sospendere il servizio e recuperare i crediti e di addebitare attività straordinarie eccedenti la restituzione standard.
In mancanza di ulteriore istruzione entro il periodo di restituzione comunicato, il Contratto vale quale istruzione a cancellare i dati dai sistemi attivi. I backup vengono eliminati progressivamente secondo i cicli tecnici e, nel frattempo, non sono utilizzati per finalità ordinarie.
15. Registro e cooperazione con l’Autorità
TOMproject mantiene la documentazione richiesta per il proprio ruolo, coopera con le Autorità di controllo secondo la normativa applicabile e rende disponibili al Titolare le informazioni pertinenti al trattamento affidato.
16. Responsabilità e durata del DPA
La ripartizione delle responsabilità segue il GDPR e non può essere esclusa per le obbligazioni inderogabili. Il presente DPA resta efficace per tutto il periodo in cui TOMproject tratta dati personali per conto del Cliente, anche nelle fasi di cessazione, restituzione e cancellazione.