Accordo per il Trattamento dei Dati (DPA)

Versione 0.2 (bozza da rivedere con il legale) · Ultima revisione: 9 novembre 2026

Bozza non sottoscritta, pubblicata a scopo di consultazione. La società che eroga il servizio ha partita IVA; il numero REA si aggiunge appena completata l’iscrizione al registro delle imprese. Fino ad allora il documento non è sottoscrivibile.

Il presente Accordo per il Trattamento dei Dati (di seguito, "DPA" o "Accordo") è stipulato ai sensi e per gli effetti dell'articolo 28 del Regolamento (UE) 2016/679 (di seguito, "GDPR") e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 (di seguito, "Codice Privacy"), e disciplina i rapporti tra le Parti in relazione al trattamento dei dati personali svolto dal Responsabile per conto del Titolare nell'ambito del Servizio Fibonacci.

Il presente DPA costituisce parte integrante e sostanziale del Contratto di Servizio Fibonacci sottoscritto tra le Parti (di seguito, "Contratto di Servizio") ed ha durata coincidente con il medesimo.

Art. 1 · Premesse

1.1. Il Titolare ha sottoscritto con il Responsabile il Contratto di Servizio avente ad oggetto la fornitura del software Fibonacci, applicativo SaaS di cartella clinica ambulatoriale per la medicina estetica erogato dal Responsabile al Titolare in modalità cloud, accessibile all'indirizzo https://app.fibonaccimedica.it. I dati propri della medicina estetica sono descritti nell'Allegato D.

1.2. L'esecuzione del Contratto di Servizio comporta il trattamento, da parte del Responsabile per conto del Titolare, di dati personali e di categorie particolari di dati ai sensi dell'art. 9 GDPR, riferiti ai pazienti del Titolare.

1.3. Le Parti riconoscono che il presente DPA è necessario per disciplinare gli obblighi e i diritti reciproci ai sensi dell'art. 28 GDPR e per garantire la conformità del trattamento alla normativa applicabile in materia di protezione dei dati personali.

1.4. Il presente DPA prevale, per le materie ivi disciplinate, su ogni eventuale disposizione contrastante contenuta nel Contratto di Servizio o in altri accordi tra le Parti.

1.5. La durata del presente DPA coincide con quella del Contratto di Servizio. Gli obblighi che per loro natura sono destinati a sopravvivere alla cessazione del rapporto (riservatezza, obblighi di restituzione e cancellazione dei dati, cooperazione con l'Autorità di controllo) rimangono efficaci anche dopo la cessazione del Contratto di Servizio.

Art. 2 · Identificazione delle Parti

2.1. Titolare del trattamento

2.2. Responsabile del trattamento

Nel prosieguo, il Titolare e il Responsabile sono congiuntamente denominati "Parti" e singolarmente "Parte".

Art. 3 · Definizioni

Ai fini del presente DPA, i termini utilizzati con lettera maiuscola hanno il significato di seguito indicato. Per quanto non espressamente definito, valgono le definizioni di cui all'art. 4 GDPR.

• Titolare del trattamento: il soggetto identificato all'art. 2.1, che determina le finalità e i mezzi del trattamento dei dati personali dei pazienti, ai sensi dell'art. 4, n. 7 GDPR.
• Responsabile del trattamento: Fibonacci, come identificata all'art. 2.2, che tratta i dati personali per conto del Titolare ai sensi dell'art. 4, n. 8 GDPR.
• Sub-responsabile: ogni altro soggetto designato dal Responsabile per svolgere attività specifiche di trattamento per conto del Titolare, ai sensi dell'art. 28, par. 2 e 4 GDPR.
• Dati personali: qualsiasi informazione riguardante una persona fisica identificata o identificabile (l'Interessato), trattata nell'ambito del Servizio, ai sensi dell'art. 4, n. 1 GDPR.
• Categorie particolari di dati: i dati personali di cui all'art. 9 GDPR, con particolare riferimento ai dati relativi alla salute trattati nell'ambito del Servizio.
• Trattamento: qualsiasi operazione o insieme di operazioni effettuate sui Dati personali, ai sensi dell'art. 4, n. 2 GDPR.
• Interessato: la persona fisica cui si riferiscono i Dati personali. Ai fini del presente DPA, gli Interessati sono i pazienti del Titolare e, ove pertinente, i loro tutori o familiari di riferimento.
• Violazione dei dati personali: la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai Dati personali, ai sensi dell'art. 4, n. 12 GDPR.
• Software: l'applicativo SaaS di cartella clinica digitale Fibonacci, erogato dal Responsabile al Titolare in modalità cloud.
• Servizio: l'insieme delle prestazioni rese dal Responsabile al Titolare in esecuzione del Contratto di Servizio, comprensive della messa a disposizione del Software, della sua manutenzione, dell'assistenza tecnica e delle funzionalità accessorie.

Art. 4 · Oggetto, natura, finalità e durata del trattamento

4.1. Oggetto. Il Responsabile tratta i Dati personali per conto del Titolare nella misura strettamente necessaria all'erogazione del Servizio Fibonacci, come definito nel Contratto di Servizio.

4.2. Natura del trattamento. Il trattamento ha natura informatica e automatizzata e comprende, a titolo esemplificativo e non esaustivo: raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento, modifica, estrazione, consultazione, uso, comunicazione mediante trasmissione, raffronto, cancellazione e distruzione dei Dati personali.

4.3. Finalità del trattamento. Il trattamento è svolto al solo scopo di fornire al Titolare le funzionalità del Servizio Fibonacci, ed in particolare:

• a) memorizzazione e gestione della cartella clinica digitale dei pazienti del Titolare;
• b) raccolta, firma e archiviazione dei consensi informati in formato PDF;
• c) trascrizione della dettatura del Titolare e ordinamento dei testi dettati tramite servizi di intelligenza artificiale, e assistente sulla scheda aperta, alle condizioni dell'art. 7.6;
• d) archiviazione cifrata delle foto cliniche dei pazienti;
• e) registrazione delle operazioni effettuate sull'account ai fini di audit;
• f) agenda, promemoria ai pazienti che vi hanno acconsentito, pagina pubblica dello studio e prenotazione, anamnesi compilata dal paziente sul proprio telefono, invio di documenti al paziente per email;
• g) funzionalità accessorie che il Titolare può chiedere di attivare: area del paziente, videochiamata del controllo a distanza con trascrizione facoltativa, fatture al paziente e registro degli incassi, pagamento alla prenotazione, accessi per programmi esterni del Titolare, fascicolo sanitario elettronico.

4.4. Durata. Il trattamento ha durata coincidente con quella del Contratto di Servizio. Al termine del Contratto di Servizio si applicano le previsioni dell'art. 12 del presente DPA.

Art. 5 · Categorie di Interessati e tipologie di Dati personali

5.1. Categorie di Interessati. Sono Interessati al trattamento:

• a) i pazienti del Titolare, le cui informazioni cliniche e amministrative sono inserite nel Software;
• b) i tutori legali, esercenti la potestà genitoriale o familiari di riferimento dei pazienti minori o incapaci, limitatamente ai dati di contatto e di relazione.

5.2. Tipologie di Dati personali trattati. Sono oggetto di trattamento le seguenti categorie di Dati personali riferite agli Interessati:

• a) Dati anagrafici: nome, cognome, codice fiscale, data di nascita, sesso, luogo di nascita.
• b) Dati di contatto: indirizzo postale, indirizzo email, recapito telefonico.
• c) Dati sanitari (categoria particolare ex art. 9 GDPR): anamnesi, allergie, patologie, farmaci, esame obiettivo, note di visita o di seduta, trattamenti effettuati con prodotto e lotto, foto cliniche. Il dettaglio è nell'Allegato D.
• d) Audio della dettatura e, se il paziente lo sceglie, della videochiamata: tracce audio inviate al sub-responsabile Mistral AI SAS per la trascrizione, non conservate dal Responsabile; il testo trascritto è salvato in cartella solo se il medico lo salva.
• e) Consensi informati: testo del consenso, identità del firmatario, telefono ed esito del codice di firma, versione e impronta dell'informativa consegnata. Il Software offre una libreria di modelli di consenso per la medicina estetica, che il medico adotta come propri prima della firma.
• f) Audit log: registrazione delle aperture e delle modifiche delle risorse cliniche dell'account del Titolare, con catena di impronte.
• g) Dati fiscali e di pagamento dei pazienti, solo se il Titolare attiva le fatture al paziente o il pagamento alla prenotazione: codice fiscale, prestazione, importo, modalità e data del pagamento, email per la ricevuta.

5.3. Il Titolare garantisce di aver acquisito dagli Interessati ogni necessario consenso o di disporre di altra valida base giuridica per il trattamento dei Dati personali, ivi inclusi i dati di cui all'art. 9 GDPR, e di aver fornito agli Interessati l'informativa privacy ai sensi degli artt. 13 e 14 GDPR.

Art. 6 · Obblighi del Responsabile

In conformità all'art. 28, par. 3 GDPR, il Responsabile si impegna a:

6.1. a) Istruzioni documentate. Trattare i Dati personali soltanto su istruzione documentata del Titolare, anche in caso di trasferimento di Dati personali verso un Paese terzo o un'organizzazione internazionale, salvo che lo richieda il diritto dell'Unione o dello Stato membro cui è soggetto il Responsabile, nel qual caso quest'ultimo informa il Titolare circa tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico. Costituiscono istruzione documentata del Titolare: il Contratto di Servizio, il presente DPA, le configurazioni del Software effettuate dal Titolare tramite l'interfaccia applicativa, le comunicazioni scritte indirizzate al supporto tecnico del Responsabile.

6.2. b) Riservatezza del personale. Garantire che le persone autorizzate al trattamento dei Dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e siano formate sulla protezione dei Dati personali.

6.3. c) Misure tecniche e organizzative. Adottare tutte le misure tecniche e organizzative adeguate, ai sensi dell'art. 32 GDPR, come dettagliate all'art. 9 del presente DPA, per garantire un livello di sicurezza adeguato al rischio.

6.4. d) Sub-responsabili. Avvalersi di Sub-responsabili soltanto previa autorizzazione del Titolare, nei termini di cui all'art. 7 del presente DPA, garantendo che i medesimi obblighi di protezione dei dati di cui al presente DPA siano imposti ai Sub-responsabili mediante apposito contratto o altro atto giuridico.

6.5. e) Assistenza ai diritti degli Interessati. Tenuto conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l'obbligo del Titolare di dare seguito alle richieste per l'esercizio dei diritti dell'Interessato di cui agli artt. 12-23 GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Il Software mette a disposizione del Titolare specifiche funzionalità per estrarre, rettificare e cancellare i Dati degli Interessati.

6.6. f) Assistenza in materia di sicurezza, data breach, DPIA, consultazione preventiva. Assistere il Titolare nel garantire il rispetto degli obblighi di cui agli artt. 32-36 GDPR, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile.

6.7. g) Restituzione o cancellazione dei dati. Su scelta del Titolare, restituire o cancellare tutti i Dati personali dopo che è terminata la prestazione dei servizi relativi al trattamento e cancellare le copie esistenti, salvo che il diritto dell'Unione o dello Stato membro preveda la conservazione dei dati, secondo le modalità di cui all'art. 12 del presente DPA.

6.8. h) Audit e informazioni. Mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare o da un altro soggetto da questi incaricato, secondo le modalità di cui all'art. 11 del presente DPA.

6.9. i) Segnalazione di istruzioni contrarie al GDPR. Informare immediatamente il Titolare qualora, a suo parere, un'istruzione impartita dal Titolare violi il GDPR, il Codice Privacy o altre disposizioni dell'Unione o dello Stato membro relative alla protezione dei dati.

6.10. j) Registro dei trattamenti. Tenere un registro di tutte le categorie di attività di trattamento svolte per conto del Titolare, ai sensi dell'art. 30, par. 2 GDPR, mettendolo a disposizione del Titolare e dell'Autorità di controllo su richiesta.

6.11. k) Cooperazione con l'Autorità di controllo. Cooperare, su richiesta, con l'Autorità di controllo nell'esecuzione dei suoi compiti.

6.12. l) Designazione del DPO. Designare un Responsabile della protezione dei dati ove obbligato ai sensi dell'art. 37 GDPR e comunicare al Titolare i relativi recapiti. I recapiti del DPO del Responsabile sono indicati all'Allegato C del presente DPA. Il Responsabile ha deciso di designare un DPO esterno; fino alla designazione formale il contatto è quello indicato all'Allegato C.

Art. 7 · Sub-responsabili autorizzati

7.1. Il Titolare conferisce al Responsabile, ai sensi dell'art. 28, par. 2 GDPR, autorizzazione generale all'impiego dei Sub-responsabili indicati al successivo punto 7.2 per l'erogazione del Servizio, con l'obbligo per il Responsabile di informare il Titolare delle modifiche all'elenco secondo le modalità di cui al punto 7.3.

7.2. Elenco dei Sub-responsabili autorizzati alla data di sottoscrizione. L'elenco nominativo, con sede, attività, dati trattati, luogo e stato del contratto di ciascuno, è l'Allegato B. In sintesi:

• a) Aruba S.p.A. (Italia): macchina virtuale che ospita il Software, i database, le foto e le copie di sicurezza. Tratta tutti i dati. Nessun trasferimento extra-UE.
• b) Mistral AI SAS (Parigi, Francia): fornisce i modelli di intelligenza artificiale (trascrizione, ordinamento dei testi dettati, assistente) tramite il suo punto di accesso europeo (api.eu.mistral.ai). Riceve testo clinico privo di nome e codice fiscale e l'audio della dettatura. Si applica l'art. 7.6.
• c) Hostinger International Ltd (Cipro), con il suo fornitore di inoltro della posta in uscita: posta elettronica del dominio e DNS. Riceve indirizzi email, testo dei messaggi e, quando il Titolare invia un documento al paziente, il documento in allegato.
• d) Stripe (Irlanda e Stati Uniti), solo se il Titolare attiva il pagamento alla prenotazione: email del paziente, importo e descrizione dell'appuntamento, sul conto Stripe del Titolare.

I fornitori di SMS (per il codice di firma e i promemoria) e l'archivio delle copie fuori sede non sono attivi alla data di questa versione: saranno aggiunti con la procedura del punto 7.3 prima di essere usati.

7.3. Modifiche all'elenco. Il Responsabile informa il Titolare di qualsiasi modifica all'elenco dei Sub-responsabili, sia in caso di aggiunta sia in caso di sostituzione, con preavviso di almeno 30 giorni rispetto alla data di efficacia della modifica. L'informativa è fornita tramite pubblicazione della scheda aggiornata all'indirizzo di cui all'Allegato B e mediante comunicazione email all'indirizzo del Titolare di cui all'art. 2.1.

7.4. Diritto di obiezione. Entro il termine di preavviso di 30 giorni, il Titolare può obiettare per iscritto e con motivazione fondata alla nomina di un nuovo Sub-responsabile. In tal caso, le Parti collaborano in buona fede per individuare soluzioni alternative. In mancanza di accordo, ciascuna Parte ha facoltà di recedere dal Contratto di Servizio con un preavviso di 30 giorni, senza penali a carico del Titolare e con restituzione pro quota dei corrispettivi pagati in anticipo per il periodo non goduto.

7.5. Obblighi contrattuali verso i Sub-responsabili. Il Responsabile impone a ciascun Sub-responsabile, con contratto scritto e prima di ricorrervi per dati di pazienti reali, nella sostanza gli stessi obblighi di protezione dei dati del presente DPA (art. 28, par. 4 GDPR). Lo stato di ciascun contratto è indicato nell'Allegato B. Il Responsabile risponde nei confronti del Titolare dell'inadempimento dei Sub-responsabili agli obblighi in materia di protezione dei dati.

7.6. Funzioni di intelligenza artificiale e categorie particolari di dati. Il contratto con Mistral AI SAS vale con l'accettazione dei suoi termini commerciali, che incorporano il suo accordo sul trattamento dei dati: non è stata richiesta né rilasciata una firma separata. Alla data di questa versione Mistral AI SAS non ha ancora confermato per iscritto la conservazione zero dei contenuti e la validità del suo accordo per l'organizzazione del Responsabile. Fino a quando il Responsabile non avrà ricevuto tali conferme e le avrà comunicate al Titolare, il Titolare non utilizza la dettatura, l'ordinamento dei testi dettati, l'assistente e la trascrizione della videochiamata per pazienti reali, e il Responsabile spegne l'assistente per l'account del Titolare su sua richiesta.

Art. 8 · Trasferimenti extra-UE/SEE

8.1. I dati sanitari dei pazienti sono conservati in Italia (art. 7.2, lett. a) e il Software impedisce l'invio di testi clinici verso fornitori di intelligenza artificiale diversi dal punto di accesso europeo di Mistral AI SAS (api.eu.mistral.ai), con sede in Francia. L'addestramento dei modelli sui dati inviati è disattivato nelle impostazioni dell'organizzazione del Responsabile.

8.2. Fra il browser del Titolare e il Software non è interposto alcun intermediario di rete: niente reti di distribuzione di contenuti, proxy o firewall gestiti da terzi; la connessione cifrata termina sulla macchina di cui all'art. 7.2, lett. a.

8.3. Possono comportare un trasferimento verso gli Stati Uniti, e sono quindi indicati con la loro garanzia nell'Allegato B: Stripe, solo con il pagamento alla prenotazione; i servizi di notifica dei browser, che ricevono una notifica senza contenuto; la ricerca bibliografica del medico, che invia a un servizio pubblico statunitense il solo testo della ricerca (il Titolare non vi scrive dati di pazienti). La sede dei server del fornitore di inoltro della posta è in corso di verifica ed è indicata nell'Allegato B.

8.4. Qualora in futuro il Responsabile dovesse far ricorso ad altri Sub-responsabili con sede al di fuori dell'UE/SEE, troveranno applicazione le previsioni dell'art. 7 del presente DPA e saranno adottati i meccanismi di trasferimento previsti dal Capo V del GDPR.

Art. 9 · Misure tecniche e organizzative (art. 32 GDPR)

Il Responsabile adotta e mantiene per tutta la durata del DPA le seguenti misure tecniche e organizzative, parametrate al rischio del trattamento di categorie particolari di dati ex art. 9 GDPR.

9.1. Cifratura.

• a) Foto cliniche cifrate nel browser con AES-256-GCM prima del caricamento; la chiave di ogni foto è protetta da una chiave per studio custodita dal servizio di firma, separato dall'applicativo principale.
• b) Copie di sicurezza cifrate prima di essere scritte.
• c) Traffico cifrato con TLS.
• d) ⚠️ Il database non è cifrato a riposo a livello di disco alla data di questa versione: è protetto dall'accesso alla macchina e dalla separazione per studio.

9.2. Controllo degli accessi.

• a) Autenticazione obbligatoria per tutti gli utenti del Software.
• b) Autenticazione a due fattori (TOTP) richiesta al titolare dello studio al primo accesso e disponibile per tutti gli utenti.
• c) Separazione dei dati per studio: un Titolare non ha visibilità sui pazienti di un altro Titolare.
• d) Ruoli e permessi all'interno dello studio del Titolare.

9.3. Integrità.

• a) Registro delle aperture e delle modifiche delle risorse cliniche, con catena di impronte che rende visibile ogni alterazione.
• b) Termine di conservazione del registro: da definire, da fissare prima della sottoscrizione.
• c) Il Titolare consulta il registro dall'applicazione.

9.4. Disponibilità.

• a) Copia di sicurezza notturna dei database e dei file.
• b) Conservazione delle copie per 30 giorni in rotazione.
• c) Procedura di ripristino provata.
• d) ⚠️ Alla data di questa versione le copie risiedono sulla stessa macchina; la copia fuori sede presso un fornitore diverso è prevista prima del primo dato reale e sarà indicata nell'Allegato B.

9.5. Sviluppo sicuro.

• a) Analisi del codice e delle dipendenze a ogni modifica, prima del rilascio.
• b) Verifiche di sicurezza periodiche sul Software e correzione dei rilievi.

9.6. Minimizzazione verso i fornitori di intelligenza artificiale. Il testo inviato è privo di nome e codice fiscale del paziente; l'assistente riceve un identificativo opaco; l'audio non è conservato dal Responsabile.

9.7. Riservatezza. Le persone autorizzate dal Responsabile sono vincolate alla riservatezza e istruite sul trattamento di dati sanitari; gli amministratori di sistema sono designati per iscritto.

9.8. Continuità operativa. Gli obiettivi di ripristino (RTO e RPO) sono indicati nell'Allegato A e diventano impegni contrattuali solo dopo l'attivazione della copia fuori sede.

9.9. La descrizione tecnica di dettaglio delle misure di sicurezza è disponibile e costantemente aggiornata all'indirizzo indicato all'Allegato A.

Art. 10 · Violazione dei dati personali (data breach)

10.1. Obbligo di notifica del Responsabile al Titolare. Il Responsabile notifica al Titolare ogni Violazione dei dati personali di cui venga a conoscenza, entro 24 ore dalla scoperta, mediante comunicazione scritta all'indirizzo email del Titolare di cui all'art. 2.1, contenente:

• a) descrizione della natura della violazione, incluse, ove possibile, le categorie e il numero approssimativo di Interessati coinvolti, nonché le categorie e il numero approssimativo di registrazioni di Dati personali interessate;
• b) nome e dati di contatto del DPO o di altro punto di contatto per ottenere informazioni;
• c) descrizione delle conseguenze probabili della violazione;
• d) descrizione delle misure adottate o di cui si propone l'adozione per porre rimedio alla violazione e per attenuarne i possibili effetti negativi.

10.2. Aggiornamenti. Qualora non sia possibile fornire contestualmente tutte le informazioni di cui al punto 10.1, il Responsabile trasmette al Titolare informazioni parziali iniziali ed integra successivamente con aggiornamenti tempestivi non appena le informazioni siano disponibili.

10.3. Obblighi residui del Titolare. Resta in capo al Titolare l'obbligo di notifica della violazione all'Autorità di controllo competente entro 72 ore ai sensi dell'art. 33 GDPR ed alla comunicazione agli Interessati ai sensi dell'art. 34 GDPR, ove ne ricorrano i presupposti.

10.4. Cooperazione. Il Responsabile coopera attivamente con il Titolare nella gestione della violazione, fornendo le informazioni e l'assistenza tecnica e organizzativa necessarie ad adempiere agli obblighi di cui ai punti precedenti.

Art. 11 · Audit e ispezioni

11.1. Il Titolare ha diritto di richiedere al Responsabile informazioni utili a dimostrare il rispetto degli obblighi previsti dall'art. 28 GDPR e dal presente DPA, nonché di effettuare audit di conformità.

11.2. L'audit è effettuabile non più di una volta all'anno, salvo casi di urgenza motivata (ad esempio Violazione dei dati personali grave o ordine dell'Autorità di controllo), con preavviso scritto di almeno 30 giorni.

11.3. L'audit può essere svolto direttamente dal Titolare o da un revisore terzo indipendente, accettato da entrambe le Parti e tenuto a vincoli di riservatezza equivalenti a quelli del presente DPA.

11.4. Il Responsabile può assolvere all'obbligo di audit mediante la presentazione di una certificazione di sicurezza in corso di validità accettata dal Titolare (a titolo esemplificativo, ISO/IEC 27001, SOC 2 Tipo II o equivalente), unitamente alla documentazione di sintesi della conformità.

11.5. I costi dell'audit sono a carico del Titolare, salvo che dall'audit emergano violazioni significative del presente DPA o del GDPR ad opera del Responsabile, nel qual caso i costi restano a carico del Responsabile.

11.6. L'audit non può comportare accesso a dati di altri clienti del Responsabile, a segreti industriali, a codice sorgente proprietario o a informazioni la cui divulgazione comprometterebbe la sicurezza del Servizio per altri clienti.

Art. 12 · Termine del trattamento

12.1. Restituzione dei dati. Alla cessazione del Contratto di Servizio, su richiesta scritta del Titolare da formularsi entro 30 giorni dalla data di cessazione, il Responsabile restituisce al Titolare tutti i Dati personali trattati per conto del medesimo in formato ZIP strutturato secondo lo standard FHIR R4.

12.2. Cancellazione dei dati produttivi. Decorsi 30 giorni dalla cessazione del Contratto di Servizio, ovvero, qualora il Titolare non abbia richiesto la restituzione, decorsi 90 giorni dalla cessazione, il Responsabile procede alla cancellazione di tutti i Dati clinici del Titolare dai sistemi produttivi.

12.3. Cancellazione dei backup. I backup contenenti Dati personali del Titolare sono cancellati entro 30 giorni aggiuntivi rispetto alla data di cancellazione dai sistemi produttivi, secondo il naturale ciclo di rotazione della retention dei backup (30 giorni).

12.4. Eccezioni. Sono escluse dall'obbligo di cancellazione le sole copie conservate per obbligo di legge. Tali copie restano comunque protette dalle misure di sicurezza di cui all'art. 9 e non sono oggetto di alcuna ulteriore attività di trattamento al di fuori dell'adempimento dell'obbligo legale.

12.5. Attestazione. A completamento delle operazioni di cancellazione, il Responsabile fornisce al Titolare, su richiesta, attestazione scritta delle attività eseguite.

Art. 13 · Responsabilità

13.1. Ciascuna Parte risponde dei danni causati a terzi nei limiti di quanto previsto dall'art. 82 GDPR e secondo la propria sfera di responsabilità. Il Titolare risponde della liceità del trattamento e della correttezza delle istruzioni impartite al Responsabile; il Responsabile risponde del rispetto degli obblighi specificamente posti a suo carico dal presente DPA, dall'art. 28 GDPR e dall'art. 32 GDPR.

13.2. Nei rapporti interni tra le Parti, eventuali rivalse per danni cagionati a Interessati o sanzioni irrogate dall'Autorità di controllo sono regolate secondo il principio della responsabilità proporzionata, in funzione del contributo causale di ciascuna Parte alla determinazione dell'evento dannoso.

13.3. La responsabilità complessiva del Responsabile nei confronti del Titolare per inadempimenti agli obblighi del presente DPA è regolata, per quanto non disposto dalla normativa imperativa, dalle previsioni di limitazione di responsabilità contenute nel Contratto di Servizio.

13.4. Le previsioni del presente articolo non limitano in alcun modo i diritti degli Interessati ai sensi del GDPR.

Art. 14 · Legge applicabile e foro competente

14.1. Il presente DPA è regolato dalla legge italiana.

14.2. Per ogni controversia tra le Parti relativa all'interpretazione, esecuzione o risoluzione del presente DPA è competente il foro indicato nel Contratto di Servizio.

Art. 15 · Allegati

Costituiscono parte integrante del presente DPA i seguenti Allegati, sempre aggiornati alla versione più recente pubblicata dal Responsabile:

• Allegato A · Descrizione tecnica del trattamento e delle misure di sicurezza: scheda tecnica di dettaglio pubblicata all'indirizzo https://fibonaccimedica.it/sicurezza.
• Allegato B · Scheda dei Sub-responsabili: elenco sempre aggiornato dei Sub-responsabili autorizzati, pubblicato all'indirizzo https://fibonaccimedica.it/sub-responsabili.
• Allegato C · Contatti operativi: contatto per la protezione dei dati del Responsabile: info@fibonaccimedica.it.
• Allegato D · I dati propri della medicina estetica: riportato qui sotto.

Allegato D · I dati propri della medicina estetica

Art. 16 · Sottoscrizione

Il presente Accordo per il Trattamento dei Dati è sottoscritto dalle Parti come segue. La sottoscrizione può essere effettuata mediante firma autografa su supporto cartaceo ovvero mediante firma elettronica avanzata o firma elettronica qualificata, con piena efficacia giuridica equivalente.

Per il Titolare del trattamento

Per il Responsabile del trattamento

Art. 17 · Ultima revisione

Ultima revisione del presente documento: 9 novembre 2026.

Avvertenza. Il presente documento descrive il Software come è alla data di ultima revisione e richiede revisione legale prima della sottoscrizione con clienti. Per la sottoscrizione è disponibile anche la versione costruita sulle Clausole contrattuali tipo della Commissione (Decisione di esecuzione (UE) 2021/915), con gli allegati compilati: le due versioni vanno ridotte a una sola prima della firma. La presente versione 0.2 è una bozza.