Accordo sul trattamento dei dati personali

Versione del 9 settembre 2026. Allegato ai Termini di servizio.

1. Parti, ruoli e durata

Questo accordo disciplina, ai sensi dell'art. 28 GDPR, il trattamento dei dati personali che il cliente affida a Prima Era SRL attraverso Atlante Clinico. Il cliente è il professionista o l'organizzazione identificata nell'account e nell'accettazione del contratto; Prima Era SRL ha sede in Via de’ Cenci 15, 52100 Arezzo, Italia, codice fiscale e partita IVA 02540090509, contatto contatti@atlanteclinico.it.

Il cliente opera come titolare del trattamento. Se agisce come responsabile per una struttura, conferma di avere le autorizzazioni necessarie a nominare Prima Era SRL come ulteriore responsabile e a impartire le istruzioni previste da questo accordo. Gli obblighi di assistenza si applicano anche a favore del titolare attraverso il cliente.

L'accordo dura per il periodo di erogazione del servizio e fino alla restituzione o cancellazione dei dati affidati. Prevale sulle condizioni generali in materia di trattamento per conto del cliente. Non modifica i ruoli autonomi relativi ad account, fatturazione e altri trattamenti descritti nell'informativa privacy.

2. Oggetto e istruzioni

Le istruzioni comprendono le operazioni richieste attraverso il servizio e la formulazione automatica al salvataggio delle note. Quest'ultima utilizza gli obiettivi e fino alle cinque note di seduta più recenti, con le relative date. La dettatura richiede l'attivazione dell'utente. L'accettazione documentata di questo accordo autorizza tali operazioni per conto del cliente; non sostituisce un'eventuale condizione di liceità richiesta nei confronti del paziente.

Prima Era SRL tratta i dati soltanto su istruzioni documentate, anche per i trasferimenti internazionali, salvo obblighi di legge. In quel caso informa il cliente prima del trattamento, se la legge lo consente. Segnala senza ritardo le istruzioni che ritiene contrarie alla normativa e sospende l'operazione interessata fino al chiarimento necessario.

Il cliente limita i dati a quelli pertinenti e necessari e non inserisce dati relativi a condanne o reati, documenti di identità o altri contenuti estranei alle funzioni descritte senza aver prima concordato il trattamento e le relative garanzie.

3. Riservatezza e uso dei contenuti

Prima Era SRL vincola le persone autorizzate a obblighi di riservatezza e limita gli accessi alle mansioni assegnate. Non usa i dati clinici per pubblicità, vendita a terzi o addestramento di modelli per proprie finalità.

I fornitori che trattano dati per conto del cliente devono essere soggetti a istruzioni e obblighi compatibili con questo accordo. Prima Era SRL non autorizza usi autonomi dei dati clinici da parte di tali fornitori per addestramento o pubblicità. Qualsiasi diversa finalità richiede una distinta valutazione dei ruoli e delle basi giuridiche e non è autorizzata da questo accordo.

4. Misure di sicurezza

Prima Era SRL adotta misure adeguate ai rischi del trattamento, le aggiorna senza ridurne sostanzialmente il livello di protezione e ne verifica l'efficacia. Le misure comprendono:

• Cifratura autenticata dei record clinici sul dispositivo prima della conservazione locale e della sincronizzazione; nessuna custodia della chiave dell'archivio in forma leggibile sul server.
• Protezione dei collegamenti in transito, autenticazione degli account, registrazione e revoca dei dispositivi autorizzati e nuova verifica dell'identità per le operazioni sensibili.
• Separazione degli account, autorizzazioni limitate per il database e gestione degli accessi amministrativi secondo le effettive necessità.
• Esclusione dei contenuti clinici dai dati di misurazione del prodotto e dai record diagnostici ordinari delle ricerche.
• Procedure di cancellazione, gestione degli incidenti e continuità, con verifica periodica delle misure e dei processi di recupero.

Le richieste AI e l'audio sono elaborati in forma leggibile dai servizi che eseguono quelle funzioni. La protezione dell'archivio cifrato non sostituisce le misure contrattuali e tecniche necessarie per questi flussi.

Il recupero dei contenuti cifrati dipende dal kit o da un dispositivo autorizzato del cliente. Il recupero dell'infrastruttura non consente a Prima Era SRL di ricostruire una chiave perduta. L'allegato operativo precisa le misure relative ai backup e le rispettive durate.

5. Sub-responsabili e trasferimenti

Il cliente autorizza in via generale il ricorso ai sub-responsabili identificati nell'allegato operativo vigente al momento dell'accettazione. Prima Era SRL è tenuta a imporre ai sub-responsabili obblighi di protezione sostanzialmente equivalenti e rimane responsabile del loro adempimento nei termini dell’art. 28 GDPR. Lo stato delle verifiche sulla copertura specifica dei flussi AI è indicato nell’allegato.

Prima di aggiungere o sostituire un sub-responsabile, Prima Era SRL comunica identità, funzione e luoghi di trattamento con almeno 30 giorni di preavviso. Il cliente può opporsi entro quel termine per motivi documentati di protezione dei dati. Le parti cercano una soluzione che eviti il trattamento contestato. In mancanza, il cliente può cessare la funzione o il servizio interessato, esportare i dati e ricevere il rimborso dei periodi prepagati non fruiti.

I fornitori dei modelli selezionati tramite OpenRouter devono rientrare nella catena autorizzata. L'instradamento automatico non autorizza l'invio a destinatari non coperti dall'accordo.

Per i trasferimenti fuori dallo Spazio economico europeo si applicano gli strumenti indicati nell'allegato operativo e le eventuali misure supplementari necessarie. Prima Era SRL mette a disposizione le informazioni sulle garanzie applicabili.

6. Assistenza e incidenti

Prima Era SRL assiste il cliente, tenendo conto della natura del trattamento e delle informazioni disponibili, nella gestione delle richieste degli interessati e degli obblighi di sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva.

Inoltra al cliente le richieste relative ai dati trattati per suo conto senza rispondere nel merito, salvo istruzioni o obblighi di legge. L'assistenza rispetta i limiti tecnici della cifratura e non prevede la consegna delle chiavi da parte del cliente.

In caso di violazione dei dati personali, informa il cliente senza ingiustificato ritardo dopo esserne venuta a conoscenza. Fornisce progressivamente le informazioni disponibili sulla natura dell'incidente, sui dati coinvolti, sulle possibili conseguenze e sulle misure adottate o proposte. Non attende il completamento dell'indagine per il primo avviso. Il cliente valuta le notifiche di propria competenza agli interessati e alle autorità.

7. Restituzione e cancellazione

Il cliente può esportare i dati dal proprio dispositivo autorizzato, senza un abbonamento a pagamento. Alla cessazione, Prima Era SRL restituisce o cancella i dati secondo la scelta del cliente e cancella le copie residue, salvo un obbligo di conservazione previsto dalla legge.

L'esportazione precede la cancellazione se il cliente desidera una copia. Le modalità di cancellazione dai sistemi attivi e di gestione delle copie di ripristino sono descritte nell’allegato operativo. I dati mantenuti per obbligo di legge rimangono isolati per quel solo scopo.

Il cliente gestisce le copie esportate e i dispositivi non più raggiungibili. Prima Era SRL applica le istruzioni di cancellazione alle repliche sincronizzate e ai sistemi sotto il proprio controllo.

8. Documentazione e verifiche

Prima Era SRL mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'accordo e consente le verifiche, comprese le ispezioni, previste dall'art. 28 GDPR, svolte dal cliente o da un revisore da questi incaricato.

Le parti concordano modalità proporzionate, riservate e rispettose della sicurezza e dei dati degli altri clienti. Documentazione e relazioni indipendenti possono agevolare la verifica senza escludere ispezioni necessarie o poteri delle autorità.

Il contatto per le istruzioni e gli incidenti è contatti@atlanteclinico.it. I recapiti del cliente sono quelli registrati nell'account, che il cliente deve mantenere aggiornati.