Accordo sul trattamento dei dati (DPA)

Nomina a responsabile del trattamento ai sensi dell'art. 28 GDPR

Ultimo aggiornamento: 18 agosto 2026 — Versione: 1.0

Il presente accordo è parte integrante dei Termini di servizio di Bookimed e si perfeziona automaticamente con l'attivazione dell'account dello studio medico.

1. Parti

• Titolare del trattamento: lo studio medico, la clinica o il professionista sanitario intestatario dell'account Bookimed ("Titolare"). Determina finalità e mezzi del trattamento dei dati dei propri pazienti.
• Responsabile del trattamento: Bookimed, fornitore della piattaforma di prenotazione, dell'assistente AI e dei servizi di notifica ("Responsabile").

2. Oggetto, durata, natura e finalità

3. Categorie di interessati e di dati

• Interessati: pazienti e loro eventuali accompagnatori/delegati, personale dello studio.
• Dati comuni: nome, cognome, email, telefono, note della prenotazione, dati tecnici e log.
• Categorie particolari (art. 9): dati relativi alla salute desumibili dalla prestazione prenotata o inseriti volontariamente dal paziente. Il Titolare si impegna a non caricare cartelle cliniche, referti o dati clinici strutturati sulla piattaforma.

4. Obblighi del Responsabile

Bookimed si impegna a:

1. trattare i dati solo su istruzione documentata del Titolare, incluse le istruzioni impartite tramite la configurazione della piattaforma (prompt del bot, regole di disponibilità, periodi di conservazione);

2. garantire che le persone autorizzate al trattamento siano soggette a obbligo di riservatezza;

3. adottare le misure di sicurezza di cui all'art. 32 GDPR, descritte al paragrafo 7;

4. rispettare le condizioni per il ricorso a sub-responsabili (paragrafo 5);

5. assistere il Titolare, nella misura possibile, per dare seguito alle richieste degli interessati (artt. 15-22), mettendo a disposizione le funzioni di esportazione e cancellazione presenti nell'area Privacy della dashboard;

6. assistere il Titolare negli adempimenti di cui agli artt. 32-36 (sicurezza, notifica di violazioni, valutazione d'impatto, consultazione preventiva);

7. su scelta del Titolare, cancellare o restituire tutti i dati al termine del contratto, salvo obblighi di conservazione di legge;

8. mettere a disposizione le informazioni necessarie a dimostrare la conformità e consentire audit documentali, con preavviso ragionevole e non più di una volta l'anno, salvo incidenti;

9. informare immediatamente il Titolare qualora, a suo parere, un'istruzione ricevuta violi la normativa sulla protezione dei dati.

5. Sub-responsabili

Il Titolare autorizza in via generale il ricorso ai sub-responsabili elencati nella pagina pubblica Sub-responsabili. Bookimed comunica con almeno 30 giorni di preavviso ogni aggiunta o sostituzione; il Titolare può opporsi per motivi ragionevoli e, in mancanza di soluzione, recedere dal servizio senza penali. Bookimed impone a ciascun sub-responsabile obblighi contrattuali non meno onerosi di quelli qui previsti e risponde del loro operato.

6. Trasferimenti extra-UE

I dati sono ospitati nell'Unione Europea. Eventuali trasferimenti verso Paesi terzi avvengono solo se assistiti da una decisione di adeguatezza o da Clausole Contrattuali Standard (Dec. UE 2021/914) integrate da misure supplementari, come indicato nella pagina Sub-responsabili.

7. Misure di sicurezza (art. 32)

• cifratura dei dati in transito (TLS 1.2+) e a riposo;
• controllo degli accessi basato su ruoli e isolamento multi-tenant applicato a livello di database (row level security);
• autenticazione degli operatori dello studio con credenziali individuali o accesso federato;
• registro degli accessi ai dati dei pazienti (audit log) consultabile dal Titolare;
• backup periodici con possibilità di ripristino point-in-time;
• cancellazione automatica dei dati conversazionali e dei log oltre i periodi di conservazione configurati;
• pseudonimizzazione delle prenotazioni in caso di richiesta di cancellazione;
• separazione degli ambienti di sviluppo e produzione, gestione delle vulnerabilità e delle dipendenze.

8. Violazioni dei dati personali

Bookimed notifica al Titolare ogni violazione di dati personali senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza dell'evento, fornendo le informazioni di cui all'art. 33.3 e collaborando alle valutazioni e alle comunicazioni verso l'autorità di controllo e gli interessati. La procedura è descritta nella pagina Procedura violazioni dei dati.

9. Intelligenza artificiale

L'assistente AI è un sistema conversazionale che supporta prenotazioni e informazioni organizzative. Bookimed garantisce che:

• il paziente è informato di interagire con un sistema di IA (art. 50 AI Act);
• non vengono effettuate diagnosi, triage clinico o decisioni automatizzate che producano effetti giuridici o significativi sull'interessato (art. 22 GDPR);
• i contenuti delle conversazioni non sono utilizzati per addestrare modelli di terze parti;
• lo staff dello studio mantiene la supervisione umana su conferme, spostamenti e annullamenti.

10. Responsabilità e legge applicabile

Il presente accordo è regolato dalla legge italiana. Per quanto non espressamente previsto si applicano il GDPR e il D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.