Data Processing Agreement (DPA)

1. Parti

Il presente Data Processing Agreement (DPA) è concluso tra:

• Titolare del trattamento: l'utente professionista sanitario titolare dell'account NeuroLens (di seguito "il Titolare");
• Responsabile del trattamento: NeuroLens — Giovanni Zalloni, ditta individuale, P.IVA 05278410260, email neurolens@yourdreamhub.com, sede Via Bertolini 4, 31100 Treviso (TV) (di seguito "il Responsabile" o "NeuroLens").

L'accettazione del DPA avviene mediante spunta esplicita in fase di registrazione o, per gli aggiornamenti, secondo la sezione 14-bis.

2. Oggetto e durata

Il presente DPA disciplina il trattamento di dati personali (inclusi dati relativi alla salute, art. 9 GDPR) che il Responsabile effettua per conto del Titolare nell'ambito della fornitura del Servizio NeuroLens. La durata del DPA è coincidente con quella del contratto principale (vedi Termini di Servizio) e sopravvive in relazione agli obblighi di restituzione/cancellazione e riservatezza.

3. Natura e finalità del trattamento

• Natura: archiviazione, trascrizione vocale automatica, sintesi clinica generata da IA (referti e Report), gestione e consultazione dei documenti prodotti, controlli automatici di qualità dei documenti.
• Finalità: fornire al Titolare strumenti di supporto alla pratica clinica relativi a colloqui terapeutici e psicologici.
• Categorie di interessati: pazienti del Titolare e altri soggetti eventualmente menzionati nei colloqui.
• Categorie di dati: dati identificativi (se inseriti dal Titolare), registrazioni audio, testo della seduta, referti e Report, dati sanitari (art. 9.1 GDPR).

4. Istruzioni del Titolare

Il Responsabile tratta i dati esclusivamente sulla base delle istruzioni del Titolare, quali derivanti:

• dal presente DPA;
• dalle azioni compiute dal Titolare nel proprio account (es. caricamento o cancellazione di sedute e pazienti, generazione di Report, esportazione, eliminazione dell'account);
• da eventuali istruzioni specifiche aggiuntive, da fornire per iscritto a neurolens@yourdreamhub.com.

Il Responsabile informerà tempestivamente il Titolare qualora un'istruzione gli appaia in contrasto con la normativa applicabile.

4-bis. Conservazione del testo della seduta

Il testo integrale della seduta serve solo a produrre il referto: non è configurabile ed è cancellato automaticamente appena il referto è prodotto e strutturalmente conforme. Resta solo se il referto non è riuscito, finché non viene rigenerato. Il controllo di conformità è strutturale (sezioni presenti e complete) e non è una verifica clinica, che resta del Titolare (sezione 5). I referti sono conservati per 365 giorni dalla seduta, salvo cancellazione anticipata del Titolare; i Report (sintesi su più sedute) finché il Titolare non elimina il paziente o l'account. Per la fine dell'abbonamento vale la sezione 12.

5. Obblighi e dichiarazioni del Titolare

Il Titolare dichiara e garantisce:

• di essere un professionista sanitario abilitato e iscritto al rispettivo albo;
• di aver fornito ai propri pazienti l'informativa di cui all'art. 13 GDPR, che indica anche l'uso di strumenti di intelligenza artificiale (legge 132/2025);
• di disporre, prima di caricare dati su NeuroLens, di una base giuridica idonea per i dati sanitari dei pazienti: di norma l'art. 9.2.h GDPR (finalità di cura, sotto il vincolo del segreto professionale, art. 9.3), oppure il consenso esplicito del paziente (art. 9.2.a);
• di operare in conformità ai provvedimenti del Garante Privacy in materia sanitaria;
• di rispondere in via principale verso i propri pazienti per ogni aspetto del trattamento, restando NeuroLens un mero esecutore tecnico delle istruzioni ricevute;
• di aver raccolto, ove la seduta venga registrata, il consenso alla registrazione audio del paziente, conservandone prova;
• di verificare e correggere ogni documento prodotto dal Servizio prima di utilizzarlo, firmarlo o inserirlo nella cartella clinica: il documento e' una bozza generata automaticamente, non una diagnosi, e la responsabilita' clinica resta interamente del Titolare;
• di non caricare dati di soggetti che non siano propri pazienti senza una base giuridica idonea;
• di scaricare entro i termini di conservazione indicati i referti e i Report che intende conservare;
• di mantenere riservate le proprie credenziali e di non condividere l'account con terzi;
• di comunicare a NeuroLens senza ingiustificato ritardo ogni sospetta violazione dei dati di cui venga a conoscenza.

Il Titolare manleva e tiene indenne NeuroLens da ogni pretesa, costo o danno derivante dalla violazione di tali obblighi.

6. Riservatezza

Il personale autorizzato del Responsabile è vincolato a un obbligo di riservatezza contrattualmente equivalente al segreto professionale.

7. Misure di sicurezza (art. 32 GDPR)

Il Responsabile mette in atto misure tecniche e organizzative adeguate al rischio, tra cui:

• cifratura dei dati in transito e dei backup;
• mascheramento degli identificativi di contatto nel testo prima della sintesi (i nomi restano per la coerenza clinica); l'audio per la trascrizione è inviato non mascherato a un sub-responsabile nell'UE;
• cancellazione dei file audio originali al termine della trascrizione;
• accesso ai dati riservato al Titolare che li ha caricati, autenticato e registrato;
• backup giornalieri cifrati conservati nell'UE, con verifiche periodiche del ripristino;
• procedura di gestione dei data breach con notifica al Titolare entro 48 ore (art. 11).

Su richiesta del Titolare, il Responsabile fornisce una descrizione più dettagliata delle misure adottate (art. 28.3.h).

8. Sub-responsabili

Il Titolare autorizza il Responsabile a utilizzare i sub-responsabili elencati alla pagina Sub-responsabili (autorizzazione generale ex art. 28.2). NeuroLens darà comunicazione al Titolare di ogni modifica all'elenco con almeno 30 giorni di preavviso via email; il Titolare può opporsi alla modifica entro tale termine, restando inteso che — in caso di opposizione — il rapporto contrattuale potrà essere risolto.

Tutti i sub-responsabili sono vincolati da accordi ex art. 28.4 equivalenti a quelli qui previsti.

Il sub-responsabile per la trascrizione e la sintesi (Mistral AI, Francia) non ha attiva la modalità a conservazione zero: conserva l'audio e il testo ricevuti fino a 30 giorni per il solo controllo degli abusi, nell'Unione Europea, e non li usa per addestrare modelli. Il Titolare ne prende atto con l'accettazione del presente DPA.

9. Trasferimenti extra-UE

Vedi Privacy Policy, sezione 6. Eventuali trasferimenti saranno effettuati nel rispetto degli artt. 44-49 GDPR.

10. Assistenza al Titolare

Il Responsabile fornisce al Titolare ragionevole assistenza per:

• rispondere a richieste degli interessati (artt. 15–22) attraverso le funzionalità di export e cancellazione disponibili nel pannello;
• adempiere agli obblighi degli artt. 32–36 (sicurezza, data breach, DPIA);
• fornire tutte le informazioni necessarie a dimostrare la conformità.

11. Data breach

In caso di violazione dei dati personali, il Responsabile informa il Titolare senza ingiustificato ritardo, e in ogni caso entro 48 ore dalla conoscenza, fornendo le informazioni di cui all'art. 33.3. La notifica al Garante (entro 72 ore) e agli interessati resta in capo al Titolare, salvo specifico accordo scritto.

12. Restituzione e cancellazione dei dati

Prima della cessazione, il Titolare può ottenere i propri dati in qualsiasi momento tramite la funzione di export nel pannello (archivio completo).

• Eliminazione dell'account da parte del Titolare: account e dati clinici sono cancellati subito dai sistemi di produzione.
• Fine dell'abbonamento: i dati clinici (pazienti, referti, Report) restano disponibili per 15 giorni se la disdetta è volontaria, per 30 giorni se è dovuta a un pagamento non riuscito o contestato; poi sono cancellati. Lo stesso termine di 15 giorni si applica a un account di prova gratuita inutilizzato da 90 giorni. Il Titolare riceve un avviso via email alla fine dell'abbonamento e 3 giorni prima della cancellazione; riattivando un piano entro il termine non si cancella nulla.
• L'account, privo di dati clinici, resta inattivo per 24 mesi dall'ultimo accesso e poi è eliminato.

In tutti i casi i dati cancellati escono dai backup cifrati entro il ciclo di rotazione (massimo 14 giorni). Restano conservati esclusivamente i dati che NeuroLens (o i suoi sub-responsabili, es. il fornitore di pagamento) debba mantenere per obbligo di legge, in particolare i documenti fiscali (art. 17.3.b GDPR), e i dati di consumo e pagamento non più collegati all'email.

13. Audit

Il Titolare può richiedere, con preavviso ragionevole, evidenza documentale delle misure di sicurezza in atto. Audit on-site possono essere richiesti in casi straordinari, con costi a carico del Titolare salvo difetti gravi imputabili al Responsabile.

14. Limitazione di responsabilità

Si applicano le limitazioni di cui ai Termini di Servizio, sezione 7. In aggiunta, il Responsabile non risponde verso terzi (pazienti compresi) per il contenuto, l'accuratezza o la liceità dei dati caricati dal Titolare.

14-bis. Modifiche

Le modifiche non sostanziali al presente DPA (chiarimenti e correzioni che non incidono sulle istruzioni del Titolare né riducono le garanzie del trattamento) sono pubblicate con nuova versione e segnalate con un avviso al primo accesso; si intendono accettate con l'uso del Servizio dopo l'avviso. Le modifiche sostanziali richiedono una nuova accettazione. Restano ferme le regole sui sub-responsabili della sezione 8.

15. Legge e foro

Si rinvia ai Termini di Servizio.