Nomina a Responsabile del trattamento (art. 28 GDPR)

Oggetto, ruoli e dati trattati

Titolare del trattamento: il cliente (studio odontoiatrico o laboratorio) che determina finalità e mezzi del trattamento dei dati dei propri pazienti.

Responsabile del trattamento: Hundredjack OÜ (marchio «Dentra»), registrikood 17310584, con sede in Telliskivi tn 57, 10412 Tallinn (Estonia), che tratta i dati per conto del Titolare limitatamente all'attività di progettazione.

I termini non diversamente definiti hanno il significato loro attribuito dal Regolamento (UE) 2016/679 (GDPR).

Oggetto: il trattamento dei dati personali necessari all'esecuzione del servizio di progettazione digitale (CAD/CAM) commissionato dal Titolare.

Natura e finalità: ricezione dei file e delle informazioni caricati dal Titolare, elaborazione e progettazione del manufatto, revisione, consegna dei file progettati ed eventuale inoltro al partner di produzione indicato.

Durata: il trattamento ha la durata del rapporto contrattuale e prosegue per il tempo necessario ad adempiere agli obblighi di legge, secondo i termini di conservazione indicati nell'Informativa Privacy.

Categorie di interessati: i pazienti del Titolare; il personale e i collaboratori del Titolare che utilizzano la piattaforma.

Tipi di dati: dati identificativi minimi eventualmente associati al caso (di norma un codice anonimo), scansioni e immagini, prescrizione e — quando strettamente necessario alla dichiarazione di conformità del dispositivo — dati identificativi del paziente. Possono rientrare dati relativi alla salute (categoria particolare ai sensi dell'art. 9 GDPR).

Obblighi del Responsabile

Il Responsabile tratta i dati soltanto su istruzione documentata del Titolare, comprese quelle relative agli eventuali trasferimenti, salvo che vi sia obbligato dal diritto dell'Unione o dello Stato membro cui è soggetto; in tal caso ne informa il Titolare prima del trattamento, salvo divieto di legge.

I presenti termini, i Termini di Servizio e le operazioni impartite tramite la piattaforma costituiscono le istruzioni documentate del Titolare. Il Responsabile informa il Titolare qualora ritenga che un'istruzione violi il GDPR o altre norme sulla protezione dei dati.

Il Responsabile garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e che l'accesso ai dati sia limitato a quanto necessario per ciascun incarico.

Il Responsabile adotta misure tecniche e organizzative adeguate al rischio: controllo degli accessi e autenticazione, cifratura dei dati in transito e, per i dati identificativi del paziente, cifratura a riposo; tracciamento delle consultazioni; residenza dei dati nell'Unione Europea per l'infrastruttura principale. Le misure sono descritte nell'Informativa Privacy e nella documentazione di sicurezza.

Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate per dare seguito alle richieste degli interessati (artt. 12-22) e per garantire il rispetto degli obblighi di sicurezza, notifica delle violazioni e valutazione d'impatto (artt. 32-36).

Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati che riguarda i dati trattati per suo conto.

Sub-responsabili e trasferimenti fuori dall'Unione Europea

Il Titolare autorizza in via generale il Responsabile a ricorrere ad altri responsabili (sub-responsabili) per l'erogazione del servizio. L'elenco aggiornato è riportato nella sezione «Servizi di Terze Parti» dell'Informativa Privacy.

Il Responsabile impone ai sub-responsabili obblighi di protezione dei dati equivalenti a quelli qui previsti e resta responsabile del loro operato. In caso di modifiche (aggiunta o sostituzione di un sub-responsabile), il Titolare può opporsi per motivi legittimi legati alla protezione dei dati.

Eventuali trattamenti da parte di sub-responsabili al di fuori dell'Unione Europea avvengono sulla base di adeguate garanzie (decisione di adeguatezza o clausole contrattuali standard), come indicato nella sezione «Trasferimenti fuori dall'Unione Europea» dell'Informativa Privacy.

Cessazione dei dati, audit e legge applicabile

Al termine del servizio, su scelta del Titolare, il Responsabile cancella o restituisce i dati personali trattati per suo conto e cancella le copie esistenti, salvo che il diritto dell'Unione o dello Stato membro richieda la conservazione.

Il Responsabile mette a disposizione del Titolare le informazioni necessarie per dimostrare il rispetto degli obblighi dell'art. 28 e consente e contribuisce alle attività di revisione, comprese le ispezioni, nei limiti e con le modalità concordate e senza compromettere la sicurezza e la riservatezza degli altri clienti.

Il presente accordo è regolato dalla legge estone ed è parte integrante dei Termini di Servizio. Per la produzione fisica dei dispositivi eseguita da laboratori partner italiani restano ferme le previsioni delle Condizioni d'Ordine.