Accordo per il Trattamento dei Dati

1.1. Ai fini del presente Accordo, l'Utente ("Professionista") agisce in qualità di Titolare del Trattamento. Il Fornitore ("ZenGest" / Unozen) agisce in qualità di Responsabile del Trattamento ai sensi dell'Art. 28 GDPR.

1.2. Il presente Accordo disciplina gli obblighi reciproci delle parti in relazione al trattamento dei dati personali nell'ambito dell'erogazione del Servizio.

2.1. Il Responsabile tratta i dati personali esclusivamente per le seguenti finalità:

• trascrizione di registrazioni audio di sedute cliniche;
• generazione di bozze di documentazione clinica (appunti di seduta, schede CBT/DBT, piani terapeutici);
• pseudonimizzazione e strutturazione dei dati clinici;
• archiviazione sicura della documentazione generata.

2.2. Il Responsabile non tratterà i dati per finalità diverse da quelle sopra indicate, salvo diversa istruzione documentata del Titolare o obbligo di legge.

3.1. Dati personali comuni dell'Utente: nome, cognome, email, dati di fatturazione.

3.2. Categorie particolari di dati (Art. 9 GDPR) relativi ai Pazienti dell'Utente:

• dati relativi alla salute mentale e fisica;
• trascrizioni di sedute psicoterapeutiche;
• valutazioni cliniche e anamnesi;
• piani terapeutici e annotazioni cliniche.

3.3. Categorie di interessati: Utenti (professionisti) e Pazienti degli Utenti.

Il trattamento dei dati ha inizio con l'attivazione del Servizio e prosegue per tutta la durata del rapporto contrattuale. Al termine, si applicano le disposizioni dell'Art. 11 del presente Accordo.

Il Responsabile si impegna a:

• trattare i dati personali esclusivamente sulla base delle istruzioni documentate del Titolare, salvo obblighi di legge;
• garantire che le persone autorizzate al trattamento dei dati si siano impegnate alla riservatezza o siano soggette a un obbligo legale di riservatezza;
• adottare tutte le misure di sicurezza tecniche e organizzative richieste dall'Art. 32 GDPR;
• non ricorrere a un altro responsabile del trattamento (sub-responsabile) senza previa autorizzazione generale scritta del Titolare. Il Titolare autorizza sin d'ora il ricorso ai sub-responsabili elencati all'Art. 7;
• assistere il Titolare nel dare seguito alle richieste di esercizio dei diritti degli interessati (Artt. 15–22 GDPR);
• assistere il Titolare nel garantire il rispetto degli obblighi di cui agli Artt. 32–36 GDPR;
• cancellare o restituire tutti i dati personali al termine del Servizio, su scelta del Titolare;
• mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare la conformità agli obblighi di cui all'Art. 28 GDPR e consentire audit e ispezioni.

6.1. Il Responsabile, anche tramite i propri sub-responsabili, adotta le seguenti misure tecniche e organizzative:

• crittografia dei dati in transito (TLS 1.2+) e a riposo (AES-256);
• hosting dell'applicazione, del database, dei file e dei backup su Amazon Web Services nella regione di Francoforte, Germania (eu-central-1);
• pseudonimizzazione automatica della trascrizione (nomi, luoghi e altri identificativi sostituiti con etichette neutre) prima dell'invio al modello AI che genera la nota;
• eliminazione automatica e definitiva dei file audio dai server del Servizio al completamento della trascrizione;
• controllo degli accessi basato su ruoli e autenticazione sicura;
• backup crittografati con retention definita;
• monitoraggio continuo e logging degli accessi ai dati.

7.1. Il Titolare autorizza in via generale il ricorso ai seguenti sub-responsabili, che trattano i dati clinici dei Pazienti:

7.2. Per la gestione degli account, dei pagamenti e del funzionamento tecnico del Servizio il Responsabile si avvale inoltre dei seguenti fornitori, che non ricevono il contenuto clinico delle sedute:

7.3. Il Responsabile informerà il Titolare di qualsiasi modifica relativa all'aggiunta o sostituzione di sub-responsabili con un preavviso di 30 giorni, dando al Titolare la possibilità di opporsi.

7.4. Il Responsabile garantisce che i sub-responsabili siano vincolati da obblighi di protezione dei dati equivalenti a quelli stabiliti nel presente Accordo.

8.1. Il database, l'archivio dei file e i backup del Servizio si trovano nell'Unione Europea, su Amazon Web Services a Francoforte (Germania).

8.2. Alcune fasi dell'elaborazione comportano un trasferimento di dati verso gli Stati Uniti:

• l'audio della seduta è trascritto da AssemblyAI, che ne pseudonimizza anche la trascrizione;
• la trascrizione già pseudonimizzata è inviata a OpenAI (o, se il modello principale non è disponibile, ad Anthropic) per generare la nota clinica;
• se il Titolare attiva l'assistente AI sul paziente, le trascrizioni e le note delle sedute di quel paziente sono indicizzate presso OpenAI per consentire le risposte;
• il personale tecnico di HANA Health Inc. può accedere all'infrastruttura per finalità di gestione e manutenzione.

8.3. Tali trasferimenti avvengono sulla base delle Clausole Contrattuali Standard della Commissione Europea e/o dell'EU-US Data Privacy Framework, ove applicabile, ai sensi del Capo V del GDPR.

8.4. Il Responsabile sta trasferendo nell'Unione Europea le fasi di elaborazione oggi svolte negli Stati Uniti:

• Trascrizione e pseudonimizzazione su infrastruttura ZenGest a Francoforte: l'audio non lascerà più l'Unione Europea.
• Modello AI con residenza dei dati in Europa e conservazione zero: richieste e risposte non conservate dal fornitore.
• Un solo fornitore AI attivo, senza modelli alternativi fuori UE.

8.5. Ogni modifica all'elenco dei sub-responsabili sarà comunicata al Titolare secondo l'Art. 7.3.

9.1. Il Responsabile notificherà al Titolare qualsiasi violazione dei dati personali (data breach) senza ingiustificato ritardo e, ove possibile, entro 48 ore dal momento in cui ne sia venuto a conoscenza.

9.2. La notifica includerà: la natura della violazione, le categorie e il numero approssimativo di interessati coinvolti, le probabili conseguenze e le misure adottate o proposte per porvi rimedio.

9.3. Il Responsabile assisterà il Titolare nell'adempimento degli obblighi di notifica al Garante (Art. 33 GDPR) e di comunicazione agli interessati (Art. 34 GDPR).

10.1. Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare la conformità al presente Accordo e all'Art. 28 GDPR.

10.2. Il Titolare ha diritto di effettuare audit e ispezioni, direttamente o tramite un revisore incaricato, con preavviso ragionevole di almeno 15 giorni lavorativi.

10.3. Il Responsabile collaborerà pienamente durante tali audit, garantendo l'accesso alle informazioni e ai sistemi pertinenti.

11.1. Al termine del rapporto contrattuale, il Responsabile, su istruzione del Titolare:

• restituirà tutti i dati personali in formato strutturato e leggibile; oppure
• cancellerà tutti i dati personali e le copie esistenti, salvo obblighi di conservazione previsti dalla legge.

11.2. L'Utente può richiedere l'esportazione dei propri dati in qualsiasi momento durante la durata del Servizio.

11.3. La cancellazione sarà completata entro 30 giorni dalla richiesta, salvo obblighi legali di conservazione.

12.1. Il Responsabile garantisce che i dati personali trattati nell'ambito del Servizio non vengono in alcun caso utilizzati per l'addestramento, il fine-tuning o il miglioramento di modelli di intelligenza artificiale.

12.2. Tale garanzia si estende ai sub-responsabili del trattamento. I servizi AI di OpenAI, Anthropic e AssemblyAI sono utilizzati tramite API commerciali, con l'uso dei dati per l'addestramento dei modelli escluso dai termini contrattuali o disattivato nelle impostazioni dell'account.