Accordo sul trattamento dei dati

Questo accordo fa parte del contratto per il servizio Galenio (vedi le condizioni d'uso) e regola il trattamento dei dati personali che DACSO esegue per conto della farmacia cliente.

1. Parti e ruoli

• Titolare del trattamento: la farmacia che ha sottoscritto il Servizio (il "Cliente").
• Responsabile del trattamento: DACSO S.r.l., Via Irmina Stanga 3, 26020 Crotta d'Adda (CR), P.IVA 01867850198 ("DACSO"). Contatto: info@dacso.it, PEC dacso@pec.it.

2. Oggetto e finalità

DACSO tratta i dati solo per fornire il Servizio al Cliente: conservazione e consultazione delle preparazioni e dei registri, calcolo dei prezzi, stampa di etichette e documenti, gestione del magazzino, lettura delle ricette su richiesta del farmacista, assistenza tecnica autorizzata, backup e sicurezza.

3. Categorie di interessati e di dati

• Utenti della farmacia (titolari, preparatori): nome, email, ruolo, credenziali cifrate, accessi e operazioni svolte.
• Pazienti: iniziali, e se inseriti telefono ed email per l'avviso; preparazioni allestite per loro, con composizione, posologia e date.
• Medici prescrittori: nome.
• Ricette fotografate per la lettura con l'intelligenza artificiale, che possono riportare nome, codice fiscale e diagnosi del paziente.

Le preparazioni collegate a un paziente sono dati relativi alla salute (art. 9 GDPR). Il Cliente li tratta nell'ambito della propria attività sanitaria, sotto il segreto professionale (art. 9.2.h e 9.3); DACSO li tratta solo per suo conto e con le misure del punto 7. Il Cliente inserisce solo i dati necessari: per il paziente sono sufficienti le iniziali.

4. Durata

Il trattamento dura quanto il contratto, più il periodo necessario alla restituzione e alla cancellazione dei dati previsto al punto 11.

5. Istruzioni del Cliente

DACSO tratta i dati solo su istruzione documentata del Cliente: il contratto, questo accordo e le impostazioni che il Cliente sceglie nel Servizio (per esempio l'uso della lettura delle ricette, il confronto dei prezzi, le autorizzazioni all'assistenza). Se un'istruzione sembra violare la normativa, DACSO lo segnala subito.

6. Riservatezza e accesso dell'assistenza

Accedono ai dati solo le persone di DACSO autorizzate per iscritto e vincolate alla riservatezza. Per entrare nella farmacia l'assistenza deve essere autorizzata dal titolare dalle impostazioni, per un tempo limitato e in sola lettura o con modifica; ogni ingresso resta registrato e visibile al Cliente, che può revocarlo in ogni momento. Senza autorizzazione DACSO accede ai dati solo per urgenze di sicurezza, informandone il Cliente.

7. Misure di sicurezza (art. 32 GDPR)

• Server in data center in Italia; connessioni cifrate con HTTPS (TLS).
• Separazione logica dei dati di ogni farmacia e controllo dei permessi su ogni richiesta, per ruolo (titolare, preparatore, sola lettura).
• Password conservate solo come hash (bcrypt); verifica in due passaggi con app di autenticazione e codici di emergenza; sessioni con scadenza e revocabili; limiti ai tentativi di accesso.
• Registrazione dell'autore di ogni preparazione e di ogni movimento di sostanze stupefacenti; numero di registro che resta anche in caso di annullo, con motivo e data.
• Database accessibile solo dall'applicazione sul server, con credenziali dedicate; aggiornamenti regolari di sistema e dipendenze.
• Backup del database ogni notte, con una copia cifrata conservata su un secondo sistema.

8. Sub-responsabili

Il Cliente autorizza in via generale DACSO a ricorrere ai sub-responsabili qui sotto, ai quali DACSO impone obblighi equivalenti a quelli di questo accordo e del cui operato risponde. Prima di aggiungerne o sostituirne uno, DACSO aggiorna questa pagina e avvisa il Cliente via email con almeno 30 giorni di anticipo; il Cliente può opporsi per motivi ragionevoli e, se non si trova una soluzione, recedere senza penali.

9. Trasferimenti fuori dall'UE

I dati sono conservati in Italia. Un trasferimento verso un paese terzo avviene solo quando la farmacia usa la lettura delle ricette (Anthropic, Stati Uniti), sulla base delle garanzie del Capo V del GDPR: decisione di adeguatezza sul Data Privacy Framework UE-USA, quando applicabile, oppure clausole contrattuali tipo. Il Cliente può non usare la funzione, o coprire nome e codice fiscale del paziente prima di fotografare la ricetta.

10. Assistenza al Cliente

• Diritti degli interessati: DACSO inoltra al Cliente senza ritardo le richieste ricevute e lo aiuta a rispondere.
• Violazioni dei dati: DACSO informa il Cliente senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, con le informazioni disponibili, per consentirgli le notifiche degli articoli 33 e 34.
• Valutazioni d'impatto: DACSO fornisce le informazioni sul Servizio necessarie.

11. Fine del trattamento

Alla cessazione del contratto il Cliente può esportare i dati per 30 giorni; su richiesta DACSO fornisce un'esportazione completa in formato aperto. Poi DACSO cancella i dati dai sistemi attivi entro 90 giorni e le copie di backup si sovrascrivono secondo la loro rotazione, salvo obblighi di legge. Su richiesta, DACSO conferma per iscritto la cancellazione.

12. Verifiche

DACSO mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche, anche tramite un revisore vincolato alla riservatezza, con almeno 30 giorni di preavviso, di norma una volta all'anno salvo violazioni dei dati.

13. Obblighi del Cliente

Il Cliente, come titolare, garantisce di avere una base giuridica per i dati che inserisce, di informare i pazienti con la propria informativa, di configurare utenti e permessi in modo appropriato e di non inserire dati non necessari.

14. Prevalenza

Per tutto ciò che riguarda la protezione dei dati personali, questo accordo prevale sulle altre condizioni del contratto. Una versione firmata può essere richiesta a info@dacso.it.