1. Ambito di applicazione e ruoli

Il presente DPA si applica ai dati personali che tu, i membri del tuo team o i tuoi clienti finali inserite in Vigore e che trattiamo per fornirti il servizio (i “Dati dei clienti finali”). Tu sei il titolare del trattamento dei Dati dei clienti finali; noi siamo il responsabile del trattamento. L'Allegato 1 descrive il trattamento.

Non riguarda i dati che trattiamo in qualità di titolare per finalità proprie, come il tuo account, la fatturazione e il nostro sito web. Tale trattamento è descritto nella nostra Informativa sulla privacy.

2. Le tue responsabilità

• Ti assicuri di disporre di una base giuridica valida per i Dati dei clienti finali che inserisci e, per i dati relativi alla salute o ad altre categorie particolari, di una deroga valida ai sensi dell'articolo 9 del GDPR.
• Informi i tuoi clienti finali sulle modalità con cui tratti i loro dati, incluso il fatto che utilizzi Vigore.
• Vigore è uno strumento di pianificazione, non un sistema di cartelle cliniche. Non conservi diagnosi, dettagli sui trattamenti o altra documentazione sanitaria nelle note sui clienti o nei moduli di prenotazione.
• Stabilisci per quanto tempo conservare i Dati dei clienti finali e cancelli clienti e appuntamenti in Vigore quando non ti servono più.

3. I nostri obblighi

Ci impegniamo a:

• Trattare i Dati dei clienti finali esclusivamente sulla base delle tue istruzioni documentate. Le tue istruzioni sono costituite dal presente DPA, dai Termini di servizio e dal modo in cui utilizzi e configuri Vigore. Ti informeremo qualora ritenessimo che un'istruzione violi la normativa in materia di protezione dei dati.
• Garantire che chiunque in Vigore possa accedere ai Dati dei clienti finali sia vincolato da un obbligo di riservatezza.
• Adottare misure tecniche e organizzative adeguate per proteggere i Dati dei clienti finali, come descritto nell'Allegato 2.
• Assisterti, nella misura ragionevolmente possibile, nel dare riscontro alle richieste dei tuoi clienti finali che esercitano i propri diritti, e inoltrarti qualsiasi richiesta di questo tipo che riceviamo direttamente.
• Assisterti nell'adempimento dei tuoi obblighi in materia di sicurezza, violazioni dei dati, valutazioni d'impatto sulla protezione dei dati e consultazione preventiva, tenendo conto delle informazioni a nostra disposizione.
• Non utilizzare i Dati dei clienti finali per finalità proprie e non venderli.

4. Violazioni dei dati

Qualora venissimo a conoscenza di una violazione dei dati personali che riguardi i Dati dei clienti finali, te ne daremo notifica senza ingiustificato ritardo e, ove possibile, entro 48 ore. Ti forniremo le informazioni necessarie per valutare la violazione e, ove richiesto, per notificarla all'autorità di controllo entro 72 ore e per informare le persone interessate. Adotteremo misure ragionevoli per limitarne le conseguenze.

5. Sub-responsabili del trattamento

Ci concedi un'autorizzazione generale a ricorrere a sub-responsabili del trattamento. I sub-responsabili attuali sono elencati nell'Allegato 3. Con ciascuno di essi abbiamo stipulato un accordo scritto contenente obblighi in materia di protezione dei dati che offrono una tutela almeno equivalente a quella del presente DPA, e restiamo responsabili del loro operato.

Ti informeremo via email o in Vigore almeno 15 giorni prima di aggiungere o sostituire un sub-responsabile. Entro tale termine puoi opporti per ragionevoli motivi legati alla protezione dei dati scrivendo a [email protected]. In tal caso cercheremo insieme a te una soluzione. Se non sarà possibile trovarla, potrai recedere dal servizio interessato senza penali.

Le integrazioni che scegli di collegare, come Google Calendar, Microsoft Outlook o il tuo account Stripe, non sono nostri sub-responsabili. Le utilizzi in base al tuo accordo con il rispettivo fornitore e inviamo loro i dati su tua istruzione.

6. Trasferimenti al di fuori del SEE

Il nostro hosting principale si trova nell'UE. Qualora un sub-responsabile tratti Dati dei clienti finali al di fuori dello Spazio economico europeo, garantiamo che il trasferimento sia tutelato da una decisione di adeguatezza (come l'EU-U.S. Data Privacy Framework per i fornitori certificati) o dalle Clausole contrattuali standard della Commissione europea.

7. Informazioni e verifiche

Su richiesta, ti forniremo le informazioni ragionevolmente necessarie per dimostrare il rispetto del presente DPA. Qualora ciò non fosse sufficiente, potrai far svolgere una verifica, una volta all'anno, direttamente o tramite un revisore indipendente vincolato da un obbligo di riservatezza, con un preavviso di almeno 30 giorni, durante l'orario lavorativo e a tue spese.

8. Cancellazione e restituzione

Puoi esportare i tuoi dati da Vigore in qualsiasi momento finché il tuo account esiste. Quando il titolare dell'account lo cancella, cancelliamo i Dati dei clienti finali dai nostri sistemi attivi entro 30 giorni, salvo che la legge ci imponga di conservarli. I dati cancellati possono rimanere nei backup per un massimo di 7 giorni, fino alla loro sovrascrittura.

Un cliente finale può prenotare presso più studi che utilizzano Vigore. Ciascuno studio è titolare del trattamento dei propri dati relativi a tale cliente. Quando cancelli il tuo account, cancelliamo i tuoi dati relativi al cliente, ma conserviamo i suoi dati per gli altri studi.

9. Responsabilità, durata e legge applicabile

La limitazione di responsabilità prevista nei Termini di servizio si applica al presente DPA, nella misura consentita dalla legge. Il presente DPA resta in vigore per tutto il tempo in cui trattiamo Dati dei clienti finali per tuo conto. In caso di conflitto tra il presente DPA e i Termini di servizio in materia di protezione dei dati personali, prevale il presente DPA. Il presente DPA è disciplinato dalla legge olandese e le controversie sono devolute al tribunale competente di Amsterdam.

Utilizzando Vigore accetti il presente DPA. Se hai bisogno di una copia firmata, contattaci all'indirizzo [email protected].

Allegato 1: Descrizione del trattamento

• Oggetto e finalità: fornitura del servizio di prenotazione e pianificazione Vigore: pagine di prenotazione e widget, appuntamenti, gestione dei clienti, pagamenti, email e integrazioni con il calendario.
• Durata: per tutto il tempo in cui utilizzi Vigore, più il periodo di cancellazione di cui alla sezione 8.
• Natura: raccolta, conservazione, organizzazione, visualizzazione, invio e cancellazione dei dati.
• Interessati: i tuoi clienti finali e i membri del tuo team, nella misura in cui li gestisci in Vigore.
• Tipi di dati: nome, indirizzo email, numero di telefono, dettagli degli appuntamenti (servizio, data, ora, luogo, prezzo, stato del pagamento), risposte ai moduli di prenotazione, note da te aggiunte e messaggi inviati tramite Vigore.
• Categorie particolari: alcuni dati possono rivelare informazioni sulla salute, come il nome di un trattamento o una risposta a un modulo di prenotazione. Li trattiamo esclusivamente per fornire il servizio su tua istruzione.

Allegato 2: Misure di sicurezza

• Cifratura dei dati in transito (HTTPS/TLS)
• Archiviazione cifrata fornita dal nostro provider di hosting
• Cifratura aggiuntiva dei token di accesso al calendario e dei titoli degli eventi del calendario
• Accesso basato sui ruoli all'interno di Vigore, affinché i membri del team vedano solo ciò che il loro ruolo consente
• Accesso ai sistemi di produzione limitato al personale che ne ha necessità
• Oscuramento dei dati personali nelle analisi del prodotto
• Backup giornalieri, conservati per 7 giorni
• Log dei server conservati per 30 giorni

Allegato 3: Sub-responsabili del trattamento