Allegato 1 — Accordo sul trattamento dei dati personali

(Data Processing Agreement, art. 28 Reg. UE 2016/679)

Versione 1.0 — in vigore dal 28 luglio 2026

Parte integrante e sostanziale delle Condizioni Generali di Servizio di MyVetClinic.

Art. 1 — Ruoli

1.1 Il Cliente (la struttura veterinaria) è Titolare del trattamento dei dati personali immessi nel Servizio: determina finalità e mezzi, individua la base giuridica, rende l'informativa agli interessati e risponde della liceità del trattamento.

1.2 Basad è Responsabile del trattamento e agisce esclusivamente su istruzione documentata del Titolare. Le istruzioni sono costituite dalle Condizioni Generali, dal presente accordo e dalle funzioni che il Titolare attiva e utilizza nell'applicativo: l'uso di una funzione vale istruzione a eseguire i trattamenti che quella funzione comporta.

1.3 Basad agisce invece come Titolare autonomo, e non come Responsabile, per:

a) i dati degli account degli utenti (identificativi, ruolo, registrazioni di accesso), per la gestione del rapporto contrattuale e la sicurezza;

b) i dati di fatturazione verso il Cliente;

c) i dati di telemetria d'uso del prodotto di cui all'All. A, § 5;

d) i dati di navigazione dei propri siti.

Per tali trattamenti Basad rende informativa autonoma agli interessati.

1.4 Se Basad determinasse autonomamente finalità o mezzi al di fuori di quanto qui previsto, assumerebbe per quei trattamenti la posizione di titolare, ai sensi dell'art. 28, § 10 del Regolamento.

Art. 2 — Oggetto, durata, natura e finalità

2.1 Oggetto, durata, natura, finalità, categorie di dati e di interessati sono descritti nell'Allegato A, che il Titolare dichiara di aver esaminato e che riconosce come completo rispetto ai trattamenti eseguiti da Basad.

2.2 La durata del trattamento coincide con quella del contratto, salvi i termini di cancellazione dell'art. 11.

Art. 3 — Obblighi di Basad

Basad si obbliga a:

a) trattare i dati solo su istruzione documentata del Titolare, anche per i trasferimenti verso Paesi terzi, salvo obblighi di legge (in tal caso ne informa il Titolare, se consentito);

b) garantire la riservatezza del personale autorizzato, che riceve istruzioni scritte, è formato, è vincolato a obbligo di riservatezza e accede secondo il principio del minimo privilegio e della necessità di conoscere;

c) adottare e mantenere le misure tecniche e organizzative dell'Allegato C (art. 32);

d) assistere il Titolare nel rispetto degli obblighi degli artt. 32-36 del Regolamento, tenuto conto della natura del trattamento e delle informazioni a sua disposizione;

e) notificare al Titolare senza ingiustificato ritardo, e comunque entro 48 ore dal momento in cui ne acquisisce effettiva conoscenza, ogni violazione dei dati personali che coinvolga i dati del Titolare, fornendo le informazioni disponibili utili all'adempimento dell'art. 33;

f) assistere il Titolare nel dare seguito alle richieste degli interessati (artt. 15-22), mettendo a disposizione le funzioni dell'applicativo e, ove indispensabile, il supporto tecnico secondo l'art. 8;

g) cancellare o restituire i dati alla cessazione, secondo l'art. 11;

h) mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consentire le verifiche secondo l'art. 9;

i) informare immediatamente il Titolare se, a suo parere, un'istruzione ricevuta viola il Regolamento o altre norme sulla protezione dei dati.

Art. 4 — Obblighi e dichiarazioni del Titolare

4.1 Il Titolare dichiara e garantisce che:

a) dispone di una base giuridica valida per ciascun trattamento eseguito tramite il Servizio;

b) ha reso agli interessati un'informativa completa ai sensi degli artt. 13 e 14, che menziona il ricorso a fornitori esterni di servizi informatici;

c) i dati immessi sono pertinenti e non eccedenti rispetto alle finalità;

d) le istruzioni impartite a Basad sono legittime;

e) si astiene dall'immettere nel Servizio categorie di dati non previste dall'Allegato A e, in particolare, dati di cui agli artt. 9 e 10 del Regolamento riferiti a persone fisiche (dati relativi alla salute umana, dati genetici o biometrici, dati giudiziari), nei campi di testo libero e negli allegati.

4.2 Il Titolare riconosce che i campi descrittivi e gli allegati sono spazi liberi e che Basad non ha modo di controllarne il contenuto: l'immissione di dati eccedenti o vietati è fatto esclusivamente riferibile al Titolare, che ne risponde e tiene indenne Basad ai sensi dell'art. 11 delle Condizioni Generali.

4.3 Il Titolare è consapevole che i dati clinici riferiti agli animali non costituiscono dati relativi alla salute ai sensi dell'art. 9, non essendo l'animale un interessato; sono però dati personali del proprietario nella misura in cui a lui riferibili o riconducibili.

Art. 5 — Sub-responsabili

5.1 Il Titolare autorizza in via generale Basad a ricorrere ai sub-responsabili elencati nell'Allegato B, necessari all'erogazione del Servizio.

5.2 Basad può sostituire un sub-responsabile o aggiungerne uno nuovo, informando il Titolare con almeno 30 giorni di preavviso tramite l'applicativo o posta elettronica.

5.3 Il Titolare può opporsi per motivi ragionevoli e documentati relativi alla protezione dei dati, entro 15 giorni dalla comunicazione. In tal caso le parti cooperano per individuare una soluzione alternativa; se non è tecnicamente o economicamente praticabile, il Titolare può recedere dal contratto senza oneri limitatamente ai servizi interessati, con rimborso pro rata dei corrispettivi anticipati e non goduti. Questo è l'unico rimedio riconosciuto in caso di opposizione, escluso ogni indennizzo o risarcimento.

5.4 Basad impone contrattualmente ai sub-responsabili obblighi di protezione dei dati non meno rigorosi di quelli del presente accordo e risponde del loro operato nei limiti dell'art. 10.

Art. 6 — Trasferimenti verso Paesi terzi

6.1 L'infrastruttura primaria — banca dati, archivio dei file, funzioni applicative — è ubicata all'interno dello Spazio Economico Europeo, e segnatamente nella regione `eu-west-1` (Irlanda). Per tali trattamenti non si dà luogo a trasferimento ai sensi del Capo V del Regolamento.

6.2 Alcuni sub-responsabili possono comportare, per attività accessorie (assistenza, posta elettronica transazionale, integrazioni volontariamente attivate dal Titolare), accessi da Paesi terzi. Per tali ipotesi si applicano le garanzie indicate nell'Allegato B: decisione di adeguatezza della Commissione ove disponibile, altrimenti clausole contrattuali tipo ai sensi della decisione di esecuzione (UE) 2021/914, integrate da misure supplementari.

6.3 Le integrazioni con servizi di terzi (calendari, posta) sono attivate su iniziativa del Titolare: la relativa trasmissione di dati costituisce istruzione specifica del Titolare, che ne valuta autonomamente i presupposti.

Art. 7 — Accesso del personale di Basad ai dati del Titolare

7.1 Il Titolare è espressamente informato che il personale di Basad incaricato dell'assistenza e della manutenzione, individuato nel ruolo di amministratore di piattaforma, può accedere ai dati del Titolare, ivi compresi i dati dei suoi clienti e le annotazioni cliniche, quando ciò sia tecnicamente necessario per erogare assistenza, diagnosticare guasti, eseguire migrazioni o adempiere obblighi di legge.

7.2 Tale accesso è: limitato al personale nominativamente autorizzato; vincolato a obbligo di riservatezza; consentito nei soli limiti della necessità; tracciato nel registro degli eventi.

7.3 Il Titolare riconosce che questa previsione è condizione necessaria dell'assistenza tecnica e che l'assenza di tale accesso renderebbe impossibile l'erogazione del Servizio nella forma concordata.

Art. 8 — Assistenza e costi

8.1 L'assistenza per le richieste degli interessati e per gli adempimenti degli artt. 32-36 è prestata anzitutto mediante le funzioni dell'applicativo, che consentono al Titolare di consultare, rettificare, esportare e cancellare i dati autonomamente.

8.2 Le attività eccedenti — estrazioni straordinarie, ricerche non supportate dalle funzioni standard, assistenza in ispezioni o contenziosi — sono prestate a fronte del rimborso dei costi documentati e del tempo impiegato, secondo le tariffe ordinarie di Basad, salvo che l'attività sia resa necessaria da un inadempimento di Basad.

Art. 9 — Verifiche

9.1 Basad soddisfa gli obblighi di verifica dell'art. 28, § 3, lett. h) mettendo a disposizione, su richiesta scritta, la documentazione sulle misure di sicurezza e sulle certificazioni proprie e dei sub-responsabili.

9.2 Ove la documentazione non sia sufficiente, il Titolare può eseguire una verifica per anno contrattuale, con preavviso di almeno 30 giorni, in orario di lavoro, senza interferire con l'attività di Basad né con la riservatezza dei dati di altri clienti, previa sottoscrizione di un accordo di riservatezza e a proprie spese. I verificatori non possono essere concorrenti di Basad.

9.3 In nessun caso la verifica può comportare accesso diretto ai sistemi di produzione, al codice sorgente o ai dati di altri clienti.

Art. 10 — Responsabilità e regresso

10.1 Le parti prendono atto che, ai sensi dell'art. 82 del Regolamento, la responsabilità verso l'interessato è disciplinata dalla legge e non è derogabile dal presente accordo.

10.2 Nei rapporti interni fra le parti, ciascuna risponde delle conseguenze delle proprie violazioni. In particolare, il Titolare tiene indenne Basad da ogni pretesa, sanzione e onere derivanti da: assenza o invalidità della base giuridica; carenza dell'informativa; immissione di dati eccedenti o vietati ai sensi dell'art. 4.1, lett. e); istruzioni illegittime.

10.3 La responsabilità di Basad derivante dal presente accordo è soggetta al limite dell'art. 9 delle Condizioni Generali, che qui si intende integralmente richiamato, salvi i casi di dolo o colpa grave e i casi di inderogabilità di legge.

10.4 Le sanzioni amministrative irrogate dall'Autorità di controllo restano a carico della parte cui è imputabile la violazione, senza possibilità di traslazione contrattuale.

Art. 11 — Cessazione: restituzione e cancellazione

11.1 Alla cessazione del contratto il Titolare dispone di 30 giorni per esportare i propri dati mediante le funzioni dell'applicativo.

11.2 Decorso tale termine Basad cancella i dati del Titolare, o li rende irreversibilmente anonimi, entro ulteriori 60 giorni, e ne dà conferma scritta su richiesta.

11.3 Basad può conservare i dati oltre tali termini solo se e nella misura in cui il diritto dell'Unione o italiano lo richieda, ovvero per l'accertamento, l'esercizio o la difesa di un diritto in giudizio; in tal caso continua ad applicarsi il presente accordo, e i dati sono trattati esclusivamente per tale finalità.

11.4 Le copie di sicurezza dell'infrastruttura, ove presenti secondo il piano attivo, sono sovrascritte secondo il ciclo ordinario di rotazione indicato nei Livelli di servizio (all. 2, art. 4).

Art. 12 — Durata e disposizioni finali

12.1 Il presente accordo ha la durata del contratto e prevale, per la materia che regola, sulle altre disposizioni contrattuali eventualmente incompatibili.

12.2 Le modifiche seguono l'art. 13 delle Condizioni Generali; quelle imposte da norme inderogabili o da provvedimenti dell'Autorità hanno effetto immediato.

12.3 Si applicano gli artt. 16 e 17 delle Condizioni Generali (legge applicabile, foro esclusivo, clausola di salvaguardia).

Allegato A — Descrizione dei trattamenti

1. Oggetto e natura

Erogazione in modalità SaaS di un applicativo per l'organizzazione dell'attività di strutture veterinarie. Operazioni: raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, estrazione, uso, comunicazione mediante trasmissione, limitazione, cancellazione. Il trattamento è integralmente automatizzato, con eccezione degli accessi di assistenza di cui all'art. 7 dell'accordo. Non vi sono decisioni automatizzate che producano effetti giuridici sugli interessati, né profilazione.

2. Finalità

Consentire al Titolare di gestire agenda e prenotazioni, anagrafiche dei clienti e degli animali, annotazioni cliniche, ricoveri, magazzino e farmaci, preventivi, fatture e incassi, comunicazioni ai clienti, personale e turni; nonché adempiere, per il tramite del Servizio, agli obblighi fiscali di trasmissione ai sistemi pubblici.

3. Categorie di interessati

·Clienti della struttura (proprietari o detentori degli animali)

·Personale del Titolare (utenti dell'applicativo)

·Referenti di fornitori e di altri professionisti (per es. veterinario referente)

4. Categorie di dati personali

Non sono previste categorie particolari di dati ai sensi dell'art. 9 riferite a persone fisiche. I dati clinici riguardano animali.

5. Telemetria d'uso (Basad titolare autonomo)

Basad raccoglie eventi d'uso del prodotto (product_event) limitati a un elenco chiuso di nomi di evento, con l'identificativo della struttura, il ruolo dell'utente e la versione dell'applicativo. Finalità: diagnosi dei difetti e miglioramento del prodotto. Base giuridica: legittimo interesse (art. 6, § 1, lett. f). I dati sono pseudonimi, non contengono contenuti clinici né identificativi diretti degli interessati, e sono conservati 6 mesi.

6. Trasmissioni a soggetti pubblici, su istruzione del Titolare

Basad opera come mero canale tecnico e non risponde di rigetti, ritardi o esiti.

7. Periodi di conservazione (predefiniti, modificabili dal Titolare)

Il Titolare è responsabile della determinazione dei periodi conformi ai propri obblighi di legge (fiscali, deontologici) e può modificarli nelle impostazioni.

Allegato B — Sub-responsabili

Elenco aggiornato al 28 luglio 2026. La versione vigente è pubblicata su https://www.myvetclinic.it/legale/sub-responsabili e costituisce l'informazione dovuta ai sensi dell'art. 5.2. Basad la aggiorna prima dell'inizio dell'attività di ogni nuovo sub-responsabile.

Allegato C — Misure tecniche e organizzative (art. 32)

Le misure descritte sono quelle effettivamente attive alla data indicata, verificate mediante le procedure di collaudo di cui al § 8.

1. Separazione fra clienti

Isolamento applicato a livello di banca dati mediante politiche di sicurezza per riga (row-level security) su ogni tabella contenente dati di una struttura. La separazione non dipende dal codice dell'interfaccia: è imposta dal motore della banca dati. Nessuna tabella con dati di struttura è priva di tale protezione.

2. Controllo degli accessi

·Autenticazione con credenziali personali; accesso federato con provider esterni ove attivato.

·Autorizzazioni per ruolo (titolare, veterinario, assistente, amministrazione, reception, tecnico) e per sede.

·Principio del minimo privilegio per il personale di Basad; accesso di assistenza tracciato (art. 7 dell'accordo).

·Le funzioni sensibili sono riservate ai soli ruoli competenti; la verifica avviene sul server.

3. Cifratura

·In transito: TLS su tutte le comunicazioni, con reindirizzamento forzato.

·A riposo: cifratura dei volumi della banca dati e dell'archivio dei file a cura del fornitore di infrastruttura.

·I segreti applicativi (chiavi dei servizi di terzi) sono conservati esclusivamente lato server, non sono presenti nel pacchetto distribuito al browser e non sono leggibili in chiaro nemmeno tramite le interfacce di amministrazione.

4. Archivio dei file

Contenitore privato. I documenti clinici non sono raggiungibili tramite indirizzi pubblici: la consegna avviene con indirizzi firmati con scadenza a 5 minuti, generati solo dopo la verifica della titolarità del richiedente.

5. Tracciabilità

Registro degli eventi che annota, per le tabelle contenenti dati sensibili, autore, momento, operazione e differenze. Il registro è immutabile: le operazioni di modifica e cancellazione sono respinte dalla banca dati. È consultabile dal solo titolare della struttura.

6. Integrità dei dati

Vincoli di coerenza imposti dalla banca dati e non dalla sola interfaccia: unicità dell'assegnazione degli spazi di degenza, obbligatorietà dei campi essenziali alla chiusura dei documenti clinici, controlli sui valori economici, prevenzione della doppia registrazione degli incassi.

7. Continuità e ripristino

·Copie di sicurezza automatiche dell'infrastruttura, con possibilità di ripristino a un istante precedente secondo i termini del piano attivo presso il fornitore.

·Archiviazione periodica dei dati storici in forma compressa, con funzione di ripristino verificata.

·Funzioni di esportazione a disposizione del Titolare, che resta onerato delle proprie copie (art. 4.1, lett. f delle Condizioni Generali).

8. Sicurezza dello sviluppo e verifica

·Codice sorgente versionato, controlli di tipo e di compilazione obbligatori prima della pubblicazione.

·Aggiornamento periodico delle dipendenze con sorveglianza automatica delle vulnerabilità note.

·Due suite di collaudo ripetibili: una di stato (configurazione, integrità, sicurezza) e una di comportamento, che tenta le operazioni vietate e verifica che siano respinte. Gli esiti sono registrati e conservati.

·Ambienti di sviluppo separati dall'ambiente di produzione.

9. Personale

Autorizzazioni nominative, istruzioni scritte, obbligo di riservatezza contrattuale, revoca degli accessi alla cessazione del rapporto.

10. Gestione delle violazioni

Procedura interna di rilevazione, classificazione e notifica; comunicazione al Titolare entro 48 ore dall'effettiva conoscenza, con le informazioni utili agli adempimenti degli artt. 33 e 34.

11. Minimizzazione

Il Servizio non richiede dati non necessari; la telemetria è limitata a un elenco chiuso di eventi; i dati storici sono archiviati in forma compressa e conservati per periodi predefiniti.

Le misure possono essere aggiornate per adeguarle all'evoluzione tecnologica, purché il livello di sicurezza non sia ridotto. La versione vigente è pubblicata su https://www.myvetclinic.it/legale/trattamento-dati.

Allegato D — Contatti