Traduction de courtoisie. En cas de divergence, la version italienne de ce document fait foi.

Accord de Traitement des Données (DPA)

Version 0.2 (projet à réviser avec le service juridique) · Dernière révision : 9 novembre 2026

Brouillon non signé, publié à des fins de consultation. La société qui fournit le service dispose d’un numéro de TVA ; le numéro REA sera ajouté dès que l’immatriculation au registre des entreprises sera achevée. D’ici là, ce document ne peut pas être signé.

Le présent Accord de Traitement des Données (ci-après, « DPA » ou « Accord ») est conclu conformément et aux fins de l'article 28 du Règlement (UE) 2016/679 (ci-après, « GDPR ») et du D.Lgs. 196/2003 tel que modifié par le D.Lgs. 101/2018 (ci-après, « Code de la Protection des Données »), et régit les relations entre les Parties en ce qui concerne le traitement des données personnelles effectué par le Responsable pour le compte du Titulaire dans le cadre du Service Fibonacci.

Le présent DPA constitue une partie intégrante et substantielle du Contrat de Service Fibonacci conclu entre les Parties (ci-après, « Contrat de Service ») et a une durée identique à celui-ci.

Art. 1 · Préambules

1.1. Le Titulaire a signé avec le Responsable le Contrat de Service ayant pour objet la fourniture du logiciel Fibonacci, application SaaS de dossier médical ambulatoire pour la médecine esthétique, fournie par le Responsable au Titulaire en mode cloud, accessible à l'adresse https://app.fibonaccimedica.it. Les données spécifiques à la médecine esthétique sont décrites dans l'Annexe D.

1.2. L'exécution du Contrat de Service implique le traitement, par le Responsable pour le compte du Titulaire, de données personnelles et de catégories particulières de données au sens de l'art. 9 GDPR, relatives aux patients du Titulaire.

1.3. Les Parties reconnaissent que le présent DPA est nécessaire pour régir les obligations et les droits réciproques conformément à l'art. 28 GDPR et pour garantir la conformité du traitement à la réglementation applicable en matière de protection des données personnelles.

1.4. Le présent DPA prévaut, pour les matières qu'il régit, sur toute disposition contraire contenue dans le Contrat de Service ou dans d'autres accords entre les Parties.

1.5. La durée du présent DPA coïncide avec celle du Contrat de Service. Les obligations qui, par leur nature, sont destinées à survivre à la cessation de la relation (confidentialité, obligations de restitution et de suppression des données, coopération avec l'Autorité de contrôle) restent en vigueur même après la cessation du Contrat de Service.

Art. 2 · Identification des Parties

2.1. Titulaire du traitement

2.2. Responsable du traitement

Dans la suite du document, le Titulaire et le Responsable sont conjointement dénommés « Parties » et individuellement « Partie ».

Art. 3 · Définitions

Aux fins du présent DPA, les termes utilisés avec une majuscule ont le sens indiqué ci-après. Pour ce qui n'est pas expressément défini, les définitions de l'art. 4 GDPR s'appliquent.

• Titulaire du traitement : le sujet identifié à l'art. 2.1, qui détermine les finalités et les moyens du traitement des données personnelles des patients, conformément à l'art. 4, n. 7 GDPR.
• Responsable du traitement : Fibonacci, tel qu'identifié à l'art. 2.2, qui traite les données personnelles pour le compte du Titulaire conformément à l'art. 4, n. 8 GDPR.
• Sous-responsable : tout autre sujet désigné par le Responsable pour effectuer des activités spécifiques de traitement pour le compte du Titulaire, conformément à l'art. 28, par. 2 et 4 GDPR.
• Données personnelles : toute information concernant une personne physique identifiée ou identifiable (l'Intéressé), traitée dans le cadre du Service, conformément à l'art. 4, n. 1 GDPR.
• Catégories particulières de données : les données personnelles visées à l'art. 9 GDPR, en particulier les données relatives à la santé traitées dans le cadre du Service.
• Traitement : toute opération ou ensemble d'opérations effectuées sur les Données personnelles, conformément à l'art. 4, n. 2 GDPR.
• Intéressé : la personne physique à laquelle se rapportent les Données personnelles. Aux fins du présent DPA, les Intéressés sont les patients du Titulaire et, le cas échéant, leurs tuteurs ou proches référents.
• Violation des données personnelles : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, la modification, la divulgation non autorisée ou l'accès aux Données personnelles, conformément à l'art. 4, n. 12 GDPR.
• Logiciel : l'application SaaS de dossier médical numérique Fibonacci, fournie par le Responsable au Titulaire en mode cloud.
• Service : l'ensemble des prestations fournies par le Responsable au Titulaire en exécution du Contrat de Service, incluant la mise à disposition du Logiciel, sa maintenance, l'assistance technique et les fonctionnalités accessoires.

Art. 4 · Objet, nature, finalités et durée du traitement

4.1. Objet. Le Responsable traite les Données personnelles pour le compte du Titulaire dans la mesure strictement nécessaire à la fourniture du Service Fibonacci, tel que défini dans le Contrat de Service.

4.2. Nature du traitement. Le traitement est de nature informatique et automatisée et comprend, à titre exemplatif et non exhaustif : la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation, la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la comparaison, la suppression et la destruction des Données personnelles.

4.3. Finalités du traitement. Le traitement est effectué dans le seul but de fournir au Titulaire les fonctionnalités du Service Fibonacci, et en particulier :

• a) la mémorisation et la gestion du dossier médical numérique des patients du Titulaire ;
• b) la collecte, la signature et l'archivage des consentements éclairés au format PDF ;
• c) la transcription de la dictée du Titulaire et l'organisation des textes dictés via des services d'intelligence artificielle, et l'assistant sur la fiche ouverte, aux conditions de l'art. 7.6 ;
• d) l'archivage chiffré des photos cliniques des patients ;
• e) l'enregistrement des opérations effectuées sur le compte aux fins d'audit ;
• f) l'agenda, les rappels aux patients qui y ont consenti, la page publique du cabinet et la réservation, l'anamnèse remplie par le patient sur son téléphone, l'envoi de documents au patient par email ;
• g) les fonctionnalités accessoires que le Titulaire peut demander à activer : espace patient, visioconférence de contrôle à distance avec transcription facultative, factures au patient et registre des encaissements, paiement à la réservation, accès pour des programmes externes du Titulaire, dossier médical électronique.

4.4. Durée. Le traitement a une durée identique à celle du Contrat de Service. À la fin du Contrat de Service, les dispositions de l'art. 12 du présent DPA s'appliquent.

Art. 5 · Catégories d'Intéressés et types de Données personnelles

5.1. Catégories d'Intéressés. Sont Intéressés par le traitement :

• a) les patients du Titulaire, dont les informations cliniques et administratives sont saisies dans le Logiciel ;
• b) les tuteurs légaux, les détenteurs de l'autorité parentale ou les proches référents des patients mineurs ou incapables, limitativement aux données de contact et de relation.

5.2. Types de Données personnelles traitées. Sont objets de traitement les catégories suivantes de Données personnelles relatives aux Intéressés :

• a) Données d'état civil : nom, prénom, Codice Fiscale, date de naissance, sexe, lieu de naissance.
• b) Données de contact : adresse postale, adresse email, numéro de téléphone.
• c) Données de santé (catégorie particulière ex art. 9 GDPR) : anamnèse, allergies, pathologies, médicaments, examen objectif, notes de visite ou de séance, traitements effectués avec produit et lot, photos cliniques. Le détail figure dans l'Annexe D.
• d) Audio de la dictée et, si le patient le choisit, de la visioconférence : pistes audio envoyées au sous-responsable Mistral AI SAS pour la transcription, non conservées par le Responsable ; le texte transcrit est enregistré dans le dossier uniquement si le médecin le sauvegarde.
• e) Consentements éclairés : texte du consentement, identité du signataire, téléphone et résultat du code de signature, version et empreinte de l'information remise. Le Logiciel propose une bibliothèque de modèles de consentement pour la médecine esthétique, que le médecin adopte comme les siens avant la signature.
• f) Audit log : enregistrement des ouvertures et des modifications des ressources cliniques du compte du Titulaire, avec chaîne d'empreintes.
• g) Données fiscales et de paiement des patients, uniquement si le Titulaire active les factures au patient ou le paiement à la réservation : Codice Fiscale, prestation, montant, modalité et date du paiement, email pour le reçu.

5.3. Le Titulaire garantit avoir obtenu des Intéressés tout consentement nécessaire ou disposer d'une autre base juridique valide pour le traitement des Données personnelles, y compris les données visées à l'art. 9 GDPR, et avoir fourni aux Intéressés l'information privacy conformément aux art. 13 et 14 GDPR.

Art. 6 · Obligations du Responsable

Conformément à l'art. 28, par. 3 GDPR, le Responsable s'engage à :

6.1. a) Instructions documentées. Traiter les Données personnelles uniquement sur instruction documentée du Titulaire, y compris en cas de transfert de Données personnelles vers un pays tiers ou une organisation internationale, sauf si le droit de l'Union ou de l'État membre auquel le Responsable est soumis l'exige, auquel cas ce dernier informe le Titulaire de cette obligation juridique avant le traitement, à moins que le droit n'interdise cette information pour des motifs importants d'intérêt public. Constituent des instructions documentées du Titulaire : le Contrat de Service, le présent DPA, les configurations du Logiciel effectuées par le Titulaire via l'interface applicative, les communications écrites adressées au support technique du Responsable.

6.2. b) Confidentialité du personnel. Garantir que les personnes autorisées à traiter les Données personnelles se soient engagées à la confidentialité ou aient une obligation légale adéquate de confidentialité, et soient formées à la protection des Données personnelles.

6.3. c) Mesures techniques et organisationnelles. Adopter toutes les mesures techniques et organisationnelles adéquates, conformément à l'art. 32 GDPR, comme détaillées à l'art. 9 du présent DPA, pour garantir un niveau de sécurité adapté au risque.

6.4. d) Sous-responsables. Recourir à des Sous-responsables uniquement après autorisation du Titulaire, selon les termes de l'art. 7 du présent DPA, en garantissant que les mêmes obligations de protection des données que celles prévues dans le présent DPA soient imposées aux Sous-responsables par un contrat approprié ou un autre acte juridique.

6.5. e) Assistance aux droits des Intéressés. Compte tenu de la nature du traitement, assister le Titulaire avec des mesures techniques et organisationnelles adéquates, dans la mesure du possible, afin de permettre au Titulaire de répondre aux demandes d'exercice des droits de l'Intéressé visés aux art. 12-23 GDPR (accès, rectification, effacement, limitation, portabilité, opposition). Le Logiciel met à disposition du Titulaire des fonctionnalités spécifiques pour extraire, rectifier et supprimer les Données des Intéressés.

6.6. f) Assistance en matière de sécurité, violation de données, DPIA, consultation préalable. Assister le Titulaire dans le respect des obligations prévues aux art. 32-36 GDPR, en tenant compte de la nature du traitement et des informations disponibles auprès du Responsable.

6.7. g) Restitution ou suppression des données. À la demande du Titulaire, restituer ou supprimer toutes les Données personnelles après la fin de la prestation des services relatifs au traitement et supprimer les copies existantes, sauf si le droit de l'Union ou de l'État membre prévoit la conservation des données, selon les modalités prévues à l'art. 12 du présent DPA.

6.8. h) Audit et informations. Mettre à disposition du Titulaire toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'art. 28 GDPR et permettre et contribuer aux activités de révision, y compris les inspections, réalisées par le Titulaire ou par un autre sujet mandaté par ce dernier, selon les modalités prévues à l'art. 11 du présent DPA.

6.9. i) Signalement d'instructions contraires au GDPR. Informer immédiatement le Titulaire si, selon lui, une instruction donnée par le Titulaire viole le GDPR, le Code de la Protection des Données ou d'autres dispositions de l'Union ou de l'État membre relatives à la protection des données.

6.10. j) Registre des traitements. Tenir un registre de toutes les catégories d'activités de traitement effectuées pour le compte du Titulaire, conformément à l'art. 30, par. 2 GDPR, et le mettre à disposition du Titulaire et de l'Autorité de contrôle sur demande.

6.11. k) Coopération avec l'Autorité de contrôle. Coopérer, sur demande, avec l'Autorité de contrôle dans l'exécution de ses missions.

6.12. l) Désignation du DPO. Désigner un Délégué à la protection des données lorsque cela est obligatoire conformément à l'art. 37 GDPR et communiquer au Titulaire les coordonnées correspondantes. Les coordonnées du DPO du Responsable sont indiquées dans l'Annexe C du présent DPA. Le Responsable a décidé de désigner un DPO externe ; jusqu'à la désignation formelle, le contact est celui indiqué dans l'Annexe C.

Art. 7 · Sous-responsables autorisés

7.1. Le Titulaire confère au Responsable, conformément à l'art. 28, par. 2 GDPR, une autorisation générale pour l'utilisation des Sous-responsables indiqués au point 7.2 suivant pour la fourniture du Service, avec l'obligation pour le Responsable d'informer le Titulaire des modifications de la liste selon les modalités prévues au point 7.3.

7.2. Liste des Sous-responsables autorisés à la date de signature. La liste nominative, avec siège, activité, données traitées, lieu et état du contrat de chacun, est l'Annexe B. En résumé :

• a) Aruba S.p.A. (Italie) : machine virtuelle hébergeant le Logiciel, les bases de données, les photos et les sauvegardes. Traite toutes les données. Aucun transfert hors UE.
• b) Mistral AI SAS (Paris, France) : fournit les modèles d'intelligence artificielle (transcription, organisation des textes dictés, assistant) via son point d'accès européen (api.eu.mistral.ai). Reçoit du texte clinique sans nom ni Codice Fiscale et l'audio de la dictée. L'art. 7.6 s'applique.
• c) Hostinger International Ltd (Chypre), avec son fournisseur de routage des emails sortants : email du domaine et DNS. Reçoit les adresses email, le texte des messages et, lorsque le Titulaire envoie un document au patient, le document en pièce jointe.
• d) Stripe (Irlande et États-Unis), uniquement si le Titulaire active le paiement à la réservation : email du patient, montant et description du rendez-vous, sur le compte Stripe du Titulaire.

Les fournisseurs de SMS (pour le code de signature et les rappels) et l'archivage des copies hors site ne sont pas actifs à la date de cette version : ils seront ajoutés selon la procédure du point 7.3 avant d'être utilisés.

7.3. Modifications de la liste. Le Responsable informe le Titulaire de toute modification de la liste des Sous-responsables, que ce soit en cas d'ajout ou de remplacement, avec un préavis d'au moins 30 jours avant la date d'effet de la modification. L'information est fournie par la publication de la fiche mise à jour à l'adresse indiquée dans l'Annexe B et par communication email à l'adresse du Titulaire visée à l'art. 2.1.

7.4. Droit d'opposition. Dans le délai de préavis de 30 jours, le Titulaire peut s'opposer par écrit et avec une motivation fondée à la nomination d'un nouveau Sous-responsable. Dans ce cas, les Parties collaborent de bonne foi pour identifier des solutions alternatives. En l'absence d'accord, chaque Partie a la faculté de résilier le Contrat de Service avec un préavis de 30 jours, sans pénalité à la charge du Titulaire et avec remboursement au prorata des sommes payées d'avance pour la période non utilisée.

7.5. Obligations contractuelles envers les Sous-responsables. Le Responsable impose à chaque Sous-responsable, par contrat écrit et avant de recourir à ses services pour des données de patients réels, les mêmes obligations de protection des données que celles prévues dans le présent DPA (art. 28, par. 4 GDPR). L'état de chaque contrat est indiqué dans l'Annexe B. Le Responsable répond envers le Titulaire du manquement des Sous-responsables à leurs obligations en matière de protection des données.

7.6. Fonctions d'intelligence artificielle et catégories particulières de données. Le contrat avec Mistral AI SAS prend effet par l'acceptation de ses conditions commerciales, qui incorporent son accord de traitement des données : aucune signature séparée n'a été demandée ni délivrée. À la date de cette version, Mistral AI SAS n'a pas encore confirmé par écrit la conservation zéro des contenus ni la validité de son accord pour l'organisation du Responsable. Jusqu'à ce que le Responsable ait reçu ces confirmations et les ait communiquées au Titulaire, le Titulaire n'utilise pas la dictée, l'organisation des textes dictés, l'assistant et la transcription de la visioconférence pour des patients réels, et le Responsable désactive l'assistant pour le compte du Titulaire sur sa demande.

Art. 8 · Transferts hors UE/EEE

8.1. Les données de santé des patients sont conservées en Italie (art. 7.2, lett. a) et le Logiciel empêche l'envoi de textes cliniques vers des fournisseurs d'intelligence artificielle autres que le point d'accès européen de Mistral AI SAS (api.eu.mistral.ai), dont le siège est en France. L'entraînement des modèles sur les données envoyées est désactivé dans les paramètres de l'organisation du Responsable.

8.2. Aucun intermédiaire de réseau n'est interposé entre le navigateur du Titulaire et le Logiciel : pas de réseaux de distribution de contenu, de proxy ou de pare-feu gérés par des tiers ; la connexion chiffrée se termine sur la machine visée à l'art. 7.2, lett. a.

8.3. Peuvent impliquer un transfert vers les États-Unis, et sont donc indiqués avec leur garantie dans l'Annexe B : Stripe, uniquement avec le paiement à la réservation ; les services de notification des navigateurs, qui reçoivent une notification sans contenu ; la recherche bibliographique du médecin, qui envoie à un service public américain uniquement le texte de la recherche (le Titulaire n'y inscrit pas de données de patients). Le siège des serveurs du fournisseur de routage des emails est en cours de vérification et est indiqué dans l'Annexe B.

8.4. Si à l'avenir le Responsable devait recourir à d'autres Sous-responsables situés en dehors de l'UE/EEE, les dispositions de l'art. 7 du présent DPA s'appliqueraient et les mécanismes de transfert prévus par le Chapitre V du GDPR seraient adoptés.

Art. 9 · Mesures techniques et organisationnelles (art. 32 GDPR)

Le Responsable adopte et maintient pendant toute la durée du DPA les mesures techniques et organisationnelles suivantes, adaptées au risque du traitement de catégories particulières de données ex art. 9 GDPR.

9.1. Chiffrement.

• a) Photos cliniques chiffrées dans le navigateur avec AES-256-GCM avant le téléchargement ; la clé de chaque photo est protégée par une clé par cabinet conservée par le service de signature, séparé de l'application principale.
• b) Sauvegardes chiffrées avant d'être écrites.
• c) Trafic chiffré avec TLS.
• d) ⚠️ La base de données n'est pas chiffrée au repos au niveau du disque à la date de cette version : elle est protégée par l'accès à la machine et par la séparation par cabinet.

9.2. Contrôle des accès.

• a) Authentification obligatoire pour tous les utilisateurs du Logiciel.
• b) Authentification à deux facteurs (TOTP) requise pour le titulaire du cabinet lors du premier accès et disponible pour tous les utilisateurs.
• c) Séparation des données par cabinet : un Titulaire n'a pas de visibilité sur les patients d'un autre Titulaire.
• d) Rôles et permissions au sein du cabinet du Titulaire.

9.3. Intégrité.

• a) Registre des ouvertures et des modifications des ressources cliniques, avec chaîne d'empreintes rendant visible toute altération.
• b) Durée de conservation du registre : à définir, à fixer avant la signature.
• c) Le Titulaire consulte le registre depuis l'application.

9.4. Disponibilité.

• a) Sauvegarde nocturne des bases de données et des fichiers.
• b) Conservation des sauvegardes pendant 30 jours en rotation.
• c) Procédure de restauration testée.
• d) ⚠️ À la date de cette version, les sauvegardes résident sur la même machine ; la copie hors site chez un fournisseur différent est prévue avant le premier traitement de données réelles et sera indiquée dans l'Annexe B.

9.5. Développement sécurisé.

• a) Analyse du code et des dépendances à chaque modification, avant la mise en production.
• b) Vérifications de sécurité périodiques sur le Logiciel et correction des observations.

9.6. Minimisation envers les fournisseurs d'intelligence artificielle. Le texte envoyé est dépourvu de nom et de Codice Fiscale du patient ; l'assistant reçoit un identifiant opaque ; l'audio n'est pas conservé par le Responsable.

9.7. Confidentialité. Les personnes autorisées par le Responsable sont tenues à la confidentialité et formées au traitement des données de santé ; les administrateurs système sont désignés par écrit.

9.8. Continuité opérationnelle. Les objectifs de restauration (RTO et RPO) sont indiqués dans l'Annexe A et deviennent des engagements contractuels uniquement après l'activation de la copie hors site.

9.9. La description technique détaillée des mesures de sécurité est disponible et constamment mise à jour à l'adresse indiquée dans l'Annexe A.

Art. 10 · Violation des données personnelles (data breach)

10.1. Obligation de notification du Responsable au Titulaire. Le Responsable notifie au Titulaire toute Violation des données personnelles dont il a connaissance, dans les 24 heures suivant sa découverte, par communication écrite à l'adresse email du Titulaire visée à l'art. 2.1, contenant :

• a) une description de la nature de la violation, incluant, si possible, les catégories et le nombre approximatif d'Intéressés concernés, ainsi que les catégories et le nombre approximatif d'enregistrements de Données personnelles affectés ;
• b) le nom et les coordonnées du DPO ou d'un autre point de contact pour obtenir des informations ;
• c) une description des conséquences probables de la violation ;
• d) une description des mesures prises ou proposées pour remédier à la violation et atténuer ses éventuels effets négatifs.

10.2. Mises à jour. Si toutes les informations visées au point 10.1 ne peuvent pas être fournies simultanément, le Responsable transmet au Titulaire des informations partielles initiales et les complète ensuite avec des mises à jour dès que les informations sont disponibles.

10.3. Obligations résiduelles du Titulaire. Il incombe au Titulaire l'obligation de notifier la violation à l'Autorité de contrôle compétente dans les 72 heures conformément à l'art. 33 GDPR et de communiquer aux Intéressés conformément à l'art. 34 GDPR, lorsque les conditions sont remplies.

10.4. Coopération. Le Responsable coopère activement avec le Titulaire dans la gestion de la violation, en fournissant les informations et l'assistance technique et organisationnelle nécessaires pour remplir les obligations visées aux points précédents.

Art. 11 · Audit et inspections

11.1. Le Titulaire a le droit de demander au Responsable des informations utiles pour démontrer le respect des obligations prévues par l'art. 28 GDPR et le présent DPA, ainsi que d'effectuer des audits de conformité.

11.2. L'audit peut être effectué au plus une fois par an, sauf en cas d'urgence motivée (par exemple, une Violation des données personnelles grave ou un ordre de l'Autorité de contrôle), avec un préavis écrit d'au moins 30 jours.

11.3. L'audit peut être réalisé directement par le Titulaire ou par un auditeur tiers indépendant, accepté par les deux Parties et tenu à des obligations de confidentialité équivalentes à celles du présent DPA.

11.4. Le Responsable peut satisfaire à l'obligation d'audit en présentant une certification de sécurité en cours de validité acceptée par le Titulaire (par exemple, ISO/IEC 27001, SOC 2 Type II ou équivalent), accompagnée de la documentation de synthèse de la conformité.

11.5. Les coûts de l'audit sont à la charge du Titulaire, sauf si l'audit révèle des violations significatives du présent DPA ou du GDPR imputables au Responsable, auquel cas les coûts restent à la charge du Responsable.

11.6. L'audit ne peut donner accès aux données d'autres clients du Responsable, aux secrets industriels, au code source propriétaire ou à des informations dont la divulgation compromettrait la sécurité du Service pour d'autres clients.

Art. 12 · Fin du traitement

12.1. Restitution des données. À la cessation du Contrat de Service, sur demande écrite du Titulaire formulée dans les 30 jours suivant la date de cessation, le Responsable restitue au Titulaire toutes les Données personnelles traitées pour son compte au format ZIP structuré selon la norme FHIR R4.

12.2. Suppression des données de production. Trente jours après la cessation du Contrat de Service, ou, si le Titulaire n'a pas demandé la restitution, 90 jours après la cessation, le Responsable procède à la suppression de toutes les Données cliniques du Titulaire des systèmes de production.

12.3. Suppression des sauvegardes. Les sauvegardes contenant des Données personnelles du Titulaire sont supprimées dans les 30 jours supplémentaires suivant la date de suppression des systèmes de production, selon le cycle naturel de rotation de la rétention des sauvegardes (30 jours).

12.4. Exceptions. Seules les copies conservées pour obligation légale sont exclues de l'obligation de suppression. Ces copies restent néanmoins protégées par les mesures de sécurité visées à l'art. 9 et ne font l'objet d'aucune autre activité de traitement en dehors du respect de l'obligation légale.

12.5. Attestation. À l'issue des opérations de suppression, le Responsable fournit au Titulaire, sur demande, une attestation écrite des activités réalisées.

Art. 13 · Responsabilité

13.1. Chaque Partie est responsable des dommages causés à des tiers dans les limites prévues par l'art. 82 GDPR et selon sa propre sphère de responsabilité. Le Titulaire est responsable de la licéité du traitement et de la correction des instructions données au Responsable ; le Responsable est responsable du respect des obligations qui lui sont spécifiquement imposées par le présent DPA, l'art. 28 GDPR et l'art. 32 GDPR.

13.2. Dans les relations internes entre les Parties, les éventuels recours pour dommages causés aux Intéressés ou sanctions infligées par l'Autorité de contrôle sont régis selon le principe de la responsabilité proportionnée, en fonction de la contribution causale de chaque Partie à la survenance du dommage.

13.3. La responsabilité globale du Responsable envers le Titulaire pour manquement aux obligations du présent DPA est régie, pour ce qui n'est pas prévu par la réglementation impérative, par les dispositions de limitation de responsabilité contenues dans le Contrat de Service.

13.4. Les dispositions du présent article ne limitent en aucune manière les droits des Intéressés conformément au GDPR.

Art. 14 · Loi applicable et juridiction compétente

14.1. Le présent DPA est régi par la loi italienne.

14.2. Pour tout litige entre les Parties relatif à l'interprétation, l'exécution ou la résolution du présent DPA, la juridiction compétente est celle indiquée dans le Contrat de Service.

Art. 15 · Annexes

Font partie intégrante du présent DPA les Annexes suivantes, toujours mises à jour à la version la plus récente publiée par le Responsable :

• Annexe A · Description technique du traitement et des mesures de sécurité : fiche technique détaillée publiée à l'adresse https://fibonaccimedica.it/sicurezza.
• Annexe B · Fiche des Sous-responsables : liste toujours mise à jour des Sous-responsables autorisés, publiée à l'adresse https://fibonaccimedica.it/sub-responsabili.
• Annexe C · Contacts opérationnels : contact pour la protection des données du Responsable : info@fibonaccimedica.it.
• Annexe D · Les données spécifiques à la médecine esthétique : reproduit ci-dessous.

Annexe D · Les données spécifiques à la médecine esthétique

Art. 16 · Signature

Le présent Accord de Traitement des Données est signé par les Parties comme suit. La signature peut être apposée par signature manuscrite sur support papier ou par signature électronique avancée ou signature électronique qualifiée, avec une pleine efficacité juridique équivalente.

Pour le Titulaire du traitement

Pour le Responsable du traitement

Art. 17 · Dernière révision

Dernière révision du présent document : 9 novembre 2026.