Accordo sul trattamento dei dati personali (Data Processing Agreement)
Accordo ai sensi dell'art. 28 del Regolamento (UE) 2016/679, che regola il rapporto fra te , professionista che utilizza la piattaforma per i tuoi pazienti, e il gestore della piattaforma.
Versione 2.1, in vigore dal 7 settembre 2026. L'accettazione viene registrata con data, ora e versione del testo.
1. Ruoli
Registrandoti, tu sei il Titolare del trattamento per i dati dei tuoi pazienti. beassessed (gestore della piattaforma) agisce come Responsabile del trattamento ai sensi dell'art. 28 GDPR, limitatamente ai dati trattati tramite questo strumento.
2. Oggetto e finalità
Il Responsabile tratta i dati (anagrafici e relativi alla salute) esclusivamente per fornirti il servizio di somministrazione questionari, calcolo automatico dei punteggi e generazione del report tecnico, secondo le tue istruzioni documentate (l'utilizzo della piattaforma stessa).
3. Obblighi del Responsabile
- Tratta i dati solo per le finalità sopra indicate e secondo le tue istruzioni documentate, salvo diverso obbligo di legge, nel qual caso te ne informa prima di procedere.
- Riservatezza. Le persone autorizzate al trattamento sono vincolate alla riservatezza per obbligo di legge o per impegno assunto per iscritto. L'accesso ai dati dei tuoi pazienti è riservato a te: i punteggi grezzi e le chiavi di correzione degli strumenti non sono accessibili ad altri professionisti iscritti, e gli accessi alle cartelle cliniche sono registrati.
- Garantisce misure di sicurezza adeguate ai sensi dell'art. 32: connessione cifrata; credenziali personali con password conservate come impronta; secondo fattore di autenticazione disponibile su ogni account; limitazione dei tentativi di accesso; isolamento dei dati per professionista; protezione dei moduli contro invii forzati da altri siti; registro degli accessi ai dati clinici, tenuto in sola aggiunta; cifratura dei contenuti clinici a riposo nel database, con chiave che non è conservata nel database stesso; copie di sicurezza cifrate. Un limite dichiarato invece che taciuto: la chiave di cifratura risiede sul server, quindi la misura protegge dalla sottrazione del solo database, non dalla compromissione dell'intera macchina.
- Si avvale dei seguenti sub-responsabili del trattamento, che autorizzi con l'accettazione del presente accordo:
- OVH (hosting), infrastruttura tecnica, dati conservati su server nell'Unione Europea;
- Nessun fornitore di modelli linguistici, al momento. L'elaborazione automatica dei contenuti clinici è disattivata: nessuna risposta, nessun punteggio e nessun testo dei tuoi pazienti viene trasmesso a un fornitore esterno per essere elaborato. I referti vengono prodotti dai soli punteggi e dalle fasce degli strumenti. Quando l'elaborazione verrà riattivata, questo accordo cambierà versione e ti verrà richiesta una nuova accettazione: è il motivo per cui questo elenco fa fede.
- Stripe Payments Europe Ltd (Irlanda) per l'incasso dei pagamenti: riceve l'indirizzo email di chi paga e l'importo, mai dati clinici né il nome del paziente. Il gruppo Stripe può trattare dati anche negli Stati Uniti, sulla base delle Clausole Contrattuali Standard. Attenzione a un punto che riguarda anche te: per l'incasso Stripe agisce come responsabile per conto del titolare, ma per le proprie finalità di prevenzione delle frodi e di adempimento degli obblighi antiriciclaggio agisce come titolare autonomo, e in quella parte non opera su nostra istruzione. Lo dichiara il suo stesso accordo sul trattamento dei dati, che incorpora le Clausole Contrattuali Standard sia nel modulo da titolare a responsabile sia in quello da titolare a titolare;
- Register.it S.p.A. (Italia) per la posta elettronica in uscita: transitano il destinatario, l'oggetto e il corpo delle email di servizio. Nessun trasferimento fuori dall'Unione europea;
- iubenda S.r.l. (Italia) per la gestione dell'informativa e del banner sui cookie: tratta i dati di navigazione dei visitatori del sito, non quelli dei tuoi pazienti.
- Ti informa in caso di modifiche ai sub-responsabili, lasciandoti la possibilità di opporti.
- Ti assiste, nei limiti delle possibilità tecniche, nel rispondere a richieste di esercizio dei diritti degli interessati.
- Ti notifica senza ingiustificato ritardo eventuali violazioni di sicurezza (data breach) di cui venga a conoscenza.
- Ti assiste, tenuto conto della natura del trattamento e delle informazioni disponibili, nell'adempimento degli obblighi di sicurezza, di notifica delle violazioni e di eventuale valutazione d'impatto (artt. 32-36 GDPR).
- Al termine del rapporto, a tua scelta, cancella o ti rende disponibili per l'esportazione i dati dei tuoi pazienti. L'esportazione in formato leggibile da una macchina è disponibile in qualsiasi momento dall'area riservata.
- Dimostrabilità e verifiche. Mette a tua disposizione tutte le informazioni necessarie a dimostrare il rispetto degli obblighi previsti dall'art. 28 e consente le verifiche, comprese le ispezioni, che tu o un incaricato scegliate di svolgere, con preavviso ragionevole e con modalità che non compromettano la riservatezza dei dati di altri professionisti. Su richiesta ti fornisce copia del registro degli accessi relativo ai tuoi pazienti.
- Garantisce di possedere i diritti/licenze necessari per rendere disponibili sulla piattaforma i questionari e i test offerti nella modalità di autosomministrazione con restituzione automatica dei punteggi.
4. Tue responsabilità come Titolare
Resta tua responsabilità raccogliere un valido consenso/base giuridica dai tuoi pazienti, fornire loro un'informativa adeguata, e utilizzare lo strumento in conformità al tuo Codice Deontologico professionale.
Come la piattaforma ti aiuta ad assolverlo. Al momento in cui il tuo paziente presta il consenso, la pagina gli mostra il tuo nome, la tua partita IVA e il tuo recapito, dichiarando che il titolare del trattamento sei tu e che beassessed agisce per tuo conto come responsabile. Se nella tua area riservata hai indicato l'indirizzo della tua informativa, il paziente vi trova anche il collegamento per leggerla prima di acconsentire. È il modo in cui l'art. 13.1 lett. a) del GDPR viene rispettato nel momento in cui i dati sono raccolti.
beassessed non redige e non fornisce la tua informativa privacy: è un documento legale di cui rispondi tu, e un testo scritto da altri ti esporrebbe a firmare una descrizione che potrebbe non corrispondere a come lavori davvero. Se tratti i dati dei tuoi pazienti anche fuori dalla piattaforma, o se altre persone vi accedono, quei trattamenti vanno descritti e la responsabilità di farlo è tua. Nella tua area riservata puoi indicare l'indirizzo dove la tua informativa è pubblicata, e i tuoi pazienti la troveranno nella schermata del consenso. Non è una condizione per usare la piattaforma, ma resta un obbligo tuo verso di loro (art. 13 GDPR).
Test disponibili sulla piattaforma: i questionari e i test messi a disposizione sono predisposti e gestiti esclusivamente da beassessed, che ne garantisce la liceità d'uso nella modalità in cui vengono offerti (compilazione diretta, restituzione automatica dei punteggi). Tu non carichi né configuri alcun test: selezioni semplicemente, per ciascun tuo paziente, quali test rendere disponibili tra quelli già pronti sulla piattaforma. Se hai necessità di utilizzare uno strumento specifico non ancora presente, contatta beassessed per valutarne l'aggiunta alla banca dati.
5. Conservazione e cancellazione
La piattaforma conserva i dati dei percorsi per 10 anni dall'ultima attività del paziente, termine allineato alla prescrizione ordinaria (art. 2946 c.c.); trascorso il termine, i dati vengono cancellati con una procedura periodica. Accettando questo accordo fai tuo questo termine come istruzione documentata ai sensi dell'art. 28.3 lett. a). Se nella tua informativa dichiari ai tuoi pazienti un termine diverso, la responsabilità di quella dichiarazione è tua: per un termine più breve puoi cancellare in ogni momento dalla tua area, per uno più lungo devi esportare e conservare i dati con mezzi tuoi prima della scadenza.
6. Durata
Questo accordo resta valido per tutta la durata dell'utilizzo della piattaforma da parte tua.