Condizioni di servizio

Art. 1 — Parti e oggetto

1. 1.1 Il presente contratto è concluso tra SCALEADS di Cristian Chiarelli, impresa individuale, P.IVA IT08833050720, con sede in Via Leonardo del Turco 4/E, 70128 Palese (Bari), email info@mediqa.it, che opera con il marchio Mediqa («Mediqa»), e lo studio, la clinica, il poliambulatorio, la farmacia o il professionista sanitario che attiva un'area di lavoro sulla piattaforma («Cliente»).
2. 1.2 Il Cliente dichiara di agire nell'esercizio della propria attività professionale o d'impresa. Il Servizio non è destinato ai consumatori e il Cliente non può essere qualificato come consumatore ai sensi del Codice del consumo (d.lgs. 206/2005).
3. 1.3 Oggetto del contratto è la fornitura in abbonamento, tramite internet, della piattaforma Mediqa nelle funzioni che il Cliente attiva nella propria area di lavoro («Servizio»), secondo le presenti Condizioni e i loro Allegati, che ne sono parte integrante.

Art. 2 — Definizioni

1. 2.1 «Area di lavoro»: lo spazio riservato del Cliente sulla piattaforma, con i suoi dati, le sue impostazioni e i suoi Utenti.
2. 2.2 «Utenti»: le persone a cui il Cliente dà accesso alla propria Area di lavoro (titolari, professionisti sanitari, personale di segreteria).
3. 2.3 «Pazienti»: le persone che contattano il Cliente o i cui dati il Cliente tratta attraverso il Servizio.
4. 2.4 «Dati Personali»: i dati personali che Mediqa tratta per conto del Cliente nell'erogare il Servizio, come descritti nell'Allegato A.
5. 2.5 «GDPR»: il Regolamento (UE) 2016/679. «Codice Privacy»: il d.lgs. 196/2003 come modificato dal d.lgs. 101/2018.
6. 2.6 «Sub-responsabile»: il fornitore di cui Mediqa si avvale per trattare Dati Personali per conto del Cliente, elencato nell'Allegato C.
7. 2.7 «Tariffe»: i corrispettivi dovuti dal Cliente per il piano scelto, come indicati nel Servizio al momento della scelta.

Art. 3 — Conclusione del contratto

1. 3.1 Chi agisce per una struttura sanitaria o per un professionista sanitario può registrarsi al Servizio e compilare il percorso di attivazione. La registrazione non dà accesso al Servizio: l'Area di lavoro si apre soltanto quando Mediqa ha verificato e approvato la configurazione, come previsto dal comma 3.
2. 3.2 Il contratto si conclude quando il Cliente, dopo aver potuto leggere le presenti Condizioni alla pagina in cui sono pubblicate, le accetta con l'apposita spunta. Il Cliente approva specificamente a parte le clausole elencate all'articolo 17, con la firma elettronica prevista dallo stesso articolo; finché non le ha approvate, l'Area di lavoro non si attiva. Mediqa registra di ciascuna accettazione e di ciascuna firma la data e l'ora, la versione del testo, l'indirizzo IP e il browser da cui sono avvenute e, per la firma, l'indirizzo email a cui è stato inviato il codice; il Cliente può consultarle nella pagina «Trattamento dei dati» della propria Area di lavoro.
3. 3.3 La configurazione dell'Area di lavoro raccolta nel percorso di attivazione diventa operativa dopo la verifica di Mediqa. Mediqa può non attivare un'Area di lavoro senza doverne indicare il motivo; in tal caso il contratto si scioglie, senza oneri per nessuna delle parti.
4. 3.4 Chi accetta per conto del Cliente dichiara di avere il potere di vincolarlo.

Art. 4 — Il Servizio

1. 4.1 Il Servizio comprende, nelle funzioni che il Cliente attiva: l'assistente telefonico basato su intelligenza artificiale, che risponde alle chiamate indirizzate al numero del Cliente, dà le informazioni configurate dal Cliente, prende e modifica appuntamenti e passa la chiamata allo studio nei casi previsti dalla configurazione; l'agenda; l'anagrafica dei Pazienti; la cartella clinica e i documenti; la messaggistica verso i Pazienti (SMS, email, WhatsApp); la prenotazione online; il portale dei Pazienti; la fatturazione; gli strumenti di marketing.
2. 4.2 Fase beta. Il Servizio è offerto in fase beta: le funzioni possono cambiare, essere migliorate o rimosse, e possono verificarsi interruzioni. Durante la beta Mediqa non garantisce livelli di servizio né tempi di ripristino; le manutenzioni programmate sono comunicate quando prevedibili. Il Cliente ne tiene conto nell'organizzare il proprio lavoro.
3. 4.3 Dichiarazione della macchina. Come richiesto dall'articolo 50 del Regolamento (UE) 2024/1689, l'assistente dichiara di essere un sistema di intelligenza artificiale all'inizio di ogni conversazione e lo conferma se il Paziente lo chiede. Il Cliente non può rimuovere questa dichiarazione: il Servizio rifiuta di salvare un saluto che non la contiene.
4. 4.4 Registrazione e trascrizione delle chiamate. L'assistente trascrive le chiamate per erogare il Servizio e ne informa il Paziente nel primo messaggio, in cui gli dice che la chiamata verrà registrata e trascritta per migliorare il servizio e gli chiede il consenso alla registrazione. La registrazione parte soltanto dopo il sì del Paziente, si interrompe quando la chiamata passa a una persona del Cliente ed è conservata per novanta (90) giorni. Possono ascoltarla gli Utenti del Cliente con il ruolo di responsabile e il personale di Mediqa: per l'assistenza al Cliente Mediqa agisce per suo conto, per migliorare il prodotto e il Servizio come titolare autonomo (articolo 9, comma 1); ogni ascolto resta nel registro dell'Area di lavoro. Senza il sì la chiamata non è registrata. La voce e il contenuto della chiamata possono comprendere dati relativi alla salute.
5. 4.5 Servizi di terzi. Alcune funzioni dipendono da servizi di terzi (reti e operatori telefonici, connessione a internet del Cliente, agenda esterna, canali di messaggistica): il loro funzionamento non dipende da Mediqa.
6. 4.6 Requisiti tecnici. Per usare il Servizio il Cliente dispone di una connessione a internet stabile e di un browser aggiornato.

Art. 5 — Cosa il Servizio non è

1. 5.1 Il Servizio non è un dispositivo medico ai sensi del Regolamento (UE) 2017/745 e non è destinato a diagnosi, prevenzione, monitoraggio, previsione, prognosi o trattamento di malattie.
2. 5.2 L'assistente non esegue triage e non dà indicazioni cliniche: non valuta l'urgenza di un sintomo, non consiglia terapie, non risponde a domande cliniche. Davanti a sintomi gravi indirizza al 112/118 o al pronto soccorso e, se il Cliente ha attivato il trasferimento delle chiamate, passa la chiamata allo studio.
3. 5.3 Il Servizio non è un canale di emergenza e non sostituisce il 112/118 né i canali di reperibilità del Cliente. Il Cliente si impegna a non presentarlo ai Pazienti come tale.
4. 5.4 Il Servizio non sostituisce il personale del Cliente. Le decisioni cliniche, l'accettazione di un Paziente e ogni scelta professionale restano del Cliente e dei suoi professionisti.
5. 5.5 Trascrizioni, bozze di nota clinica e riassunti prodotti con l'intelligenza artificiale sono strumenti di lavoro: il Cliente li rivede prima di dar loro valore, e il Servizio chiede espressamente di confermare la revisione prima di consolidare una nota clinica.

Art. 6 — Obblighi del Cliente

1. 6.1 Il Cliente usa il Servizio solo per la propria attività sanitaria e nel rispetto della legge; non lo usa per comunicazioni non richieste né per contattare numeri di cui non ha titolo.
2. 6.2 Il Cliente risponde dei contenuti che inserisce e della configurazione che sceglie, compreso ciò che l'assistente dirà ai Pazienti, e non inserisce dati dei Pazienti in campi destinati ad altro.
3. 6.3 Il Cliente gestisce i propri Utenti: assegna i ruoli, revoca l'accesso a chi lascia lo studio e fa in modo che le credenziali restino personali. L'accesso ai dati clinici richiede un secondo fattore di autenticazione: il Cliente provvede a che i propri Utenti lo attivino e ne conservino i codici di recupero.
4. 6.4 Il Cliente è titolare del proprio numero di telefono e ne cura gli adempimenti verso l'operatore, compresa l'attivazione e la disattivazione della deviazione delle chiamate verso il numero indicato da Mediqa.
5. 6.5 Il Cliente comunica senza ritardo a Mediqa ogni variazione dei propri dati identificativi, della sede e dei recapiti.

Art. 7 — Tariffe e pagamenti

1. 7.1 Le Tariffe sono quelle del piano scelto dal Cliente, indicate nel Servizio al momento della scelta. Gli importi si intendono al netto dell'IVA.
2. 7.2 Durante la fase beta il Servizio è offerto con il piano gratuito. Il passaggio a un piano a pagamento avviene solo su scelta espressa del Cliente nel Servizio, dopo aver visto le relative Tariffe.
3. 7.3 Nei piani a pagamento il canone è mensile e anticipato, e i consumi variabili previsti dal piano (come i minuti di chiamata) sono calcolati a consuntivo per ciascun mese. Il pagamento avviene con addebito sul metodo di pagamento indicato dal Cliente tramite il fornitore dei pagamenti di Mediqa. Le fatture sono emesse in formato elettronico.
4. 7.4 In caso di mancato pagamento, Mediqa sollecita il Cliente per email; se il pagamento non avviene entro quindici (15) giorni dal sollecito, Mediqa può sospendere il Servizio fino al pagamento, conservando i dati del Cliente.

Art. 8 — Sospensione del Servizio

1. 8.1 Mediqa può sospendere in tutto o in parte il Servizio: (a) in caso di mancato pagamento, secondo l'articolo 7; (b) se il Servizio è usato in modo illecito o in violazione degli articoli 5 e 6; (c) se è necessario per proteggere la sicurezza del Servizio, dei dati o di altri clienti; (d) su ordine di un'autorità.
2. 8.2 Salvo urgenza, Mediqa avvisa il Cliente prima della sospensione e, ove possibile, gli indica come rimediare. La sospensione dura quanto la causa che l'ha determinata.

Art. 9 — Dati personali e nomina a responsabile del trattamento

1. 9.1 Ruoli. Per i dati dei Pazienti e degli Utenti che tratta attraverso il Servizio, il Cliente è titolare del trattamento. Con l'accettazione delle presenti Condizioni il Cliente nomina Mediqa responsabile del trattamento ai sensi dell'articolo 28 del GDPR per i Dati Personali descritti nell'Allegato A, per la durata del contratto. Per i dati trattati per gestire il rapporto contrattuale, la fatturazione e la sicurezza degli accessi, e per l'ascolto delle registrazioni delle chiamate a cui il Paziente ha detto sì al fine di migliorare il prodotto e il Servizio, Mediqa agisce come titolare autonomo, come descritto nell'informativa privacy pubblicata su mediqa.it/privacy; per quell'ascolto la base giuridica è il consenso del Paziente, chiesto dall'assistente a inizio chiamata.
2. 9.2 Istruzioni. Mediqa tratta i Dati Personali soltanto sulla base delle istruzioni documentate del Cliente, che sono costituite dalle presenti Condizioni, dall'Allegato A e dalla configurazione del Servizio scelta dal Cliente (ad esempio accendendo o spegnendo un canale), salvo che il diritto dell'Unione o italiano imponga altrimenti; in tal caso Mediqa informa il Cliente prima del trattamento, salvo divieto di legge. Se un'istruzione, a parere di Mediqa, viola il GDPR o altre norme sulla protezione dei dati, Mediqa ne informa immediatamente il Cliente e può sospenderne l'esecuzione fino alla sua conferma scritta.
3. 9.3 Riservatezza e segreto professionale. Mediqa garantisce che le persone autorizzate a trattare i Dati Personali siano vincolate alla riservatezza. I dati relativi alla salute sono trattati sotto la responsabilità del Cliente e dei professionisti sanitari da esso incaricati, soggetti al segreto professionale (articolo 9, paragrafo 3, del GDPR e articolo 75 del Codice Privacy).
4. 9.4 Sicurezza. Mediqa adotta le misure tecniche e organizzative adeguate al rischio descritte nell'Allegato B (articolo 32 del GDPR).
5. 9.5 Sub-responsabili. Il Cliente autorizza in via generale Mediqa ad avvalersi dei Sub-responsabili elencati nell'Allegato C. Mediqa comunica al Cliente per email, con almeno trenta (30) giorni di anticipo, l'aggiunta o la sostituzione di un Sub-responsabile; il Cliente può opporsi per motivi legittimi entro lo stesso termine e, se l'opposizione non si risolve, può recedere dal contratto senza oneri. Mediqa impone ai Sub-responsabili obblighi di protezione dei dati equivalenti a quelli di questo articolo e, ai sensi dell'articolo 28, paragrafo 4, del GDPR, resta pienamente responsabile verso il Cliente del loro adempimento. La pagina «Trattamento dei dati» dell'Area di lavoro indica quali Sub-responsabili trattano effettivamente i dati del Cliente, in base ai canali che ha attivato.
6. 9.6 Trasferimenti fuori dallo Spazio economico europeo. I trasferimenti verso i Sub-responsabili che trattano dati fuori dallo SEE avvengono con le garanzie previste dal Capo V del GDPR indicate nell'Allegato C.
7. 9.7 Nessun addestramento. Mediqa non usa i Dati Personali, né quanto ne deriva (trascrizioni, sintesi, rappresentazioni numeriche), per addestrare, mettere a punto o migliorare modelli di intelligenza artificiale propri o di terzi.
8. 9.8 Assistenza. Tenuto conto della natura del trattamento, Mediqa assiste il Cliente per dare seguito alle richieste con cui i Pazienti esercitano i loro diritti (articoli 15-22 del GDPR) e negli adempimenti degli articoli 32-36 del GDPR.
9. 9.9 Violazioni dei dati. Mediqa informa il Cliente di ogni violazione dei Dati Personali senza ingiustificato ritardo, e comunque entro quarantotto (48) ore da quando ne è venuta a conoscenza, con le informazioni disponibili utili al Cliente per le notifiche al Garante e ai Pazienti, che restano a carico del Cliente.
10. 9.10 Verifiche. Mediqa mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo articolo e consente verifiche, anche tramite un revisore incaricato dal Cliente e vincolato alla riservatezza, con un preavviso di almeno trenta (30) giorni, non più di una volta all'anno salvo violazioni accertate, con modalità che non compromettano la sicurezza degli altri clienti e a spese del Cliente.
11. 9.11 Fine del rapporto. Alla cessazione del contratto, se il Cliente lo chiede per email entro trenta (30) giorni, Mediqa gli restituisce i Dati Personali in un formato elettronico di uso comune. Trascorso questo termine, o dopo la restituzione, Mediqa cancella i Dati Personali entro i successivi trenta (30) giorni, salvo che una norma ne imponga la conservazione; le copie di sicurezza sono sovrascritte a rotazione entro sette (7) giorni. La conservazione della documentazione sanitaria per i termini di legge è un obbligo del Cliente, che vi provvede chiedendo la restituzione prima della cancellazione.
12. 9.12 Obblighi del Cliente come titolare. Il Cliente dichiara e garantisce di avere una base giuridica valida per i trattamenti che affida a Mediqa, compresa quella dell'articolo 9 del GDPR per i dati relativi alla salute; di aver informato i Pazienti ai sensi degli articoli 13 e 14 del GDPR, anche sull'uso di un assistente di intelligenza artificiale, sulla registrazione delle chiamate e sui Sub-responsabili; di aver raccolto i consensi eventualmente necessari; e di non immettere nel Servizio dati eccedenti rispetto alle finalità, rispettando la politica d'uso dell'Allegato D.

Art. 10 — Riservatezza

1. 10.1 Ciascuna parte mantiene riservate le informazioni dell'altra di cui viene a conoscenza in esecuzione del contratto e non le usa per scopi diversi dal contratto stesso, salvo che siano già pubbliche o che la loro comunicazione sia imposta dalla legge o da un'autorità. L'obbligo dura per tutto il contratto e per i cinque (5) anni successivi.

Art. 11 — Proprietà intellettuale

1. 11.1 Il Servizio, il software, i contenuti e i marchi restano di Mediqa. Il Cliente riceve, per la durata del contratto, un diritto d'uso del Servizio non esclusivo e non trasferibile, limitato alla propria attività.
2. 11.2 I dati che il Cliente inserisce nel Servizio, e quelli dei suoi Pazienti, restano del Cliente.

Art. 12 — Responsabilità

1. 12.1 Nella misura massima consentita dalla legge, il Servizio è fornito nello stato in cui si trova, in fase beta, senza garanzie ulteriori rispetto a quelle espressamente previste dalle presenti Condizioni.
2. 12.2 Mediqa non risponde: (a) dei contenuti e delle informazioni inseriti dal Cliente o dai suoi Utenti; (b) delle decisioni cliniche e professionali del Cliente; (c) di interruzioni, ritardi o malfunzionamenti dovuti a reti, operatori telefonici, fornitori di connessione o altri servizi di terzi non controllati da Mediqa, né alla connessione o ai dispositivi del Cliente; (d) delle interruzioni dovute a manutenzione; (e) delle conseguenze di un uso del Servizio in contrasto con gli articoli 5 e 6.
3. 12.3 Nella misura massima consentita dalla legge, Mediqa non risponde in nessun caso di danni indiretti o consequenziali, di mancato guadagno, perdita di avviamento, di clientela o di opportunità, né di costi di interruzione dell'attività.
4. 12.4 In ogni caso, la responsabilità complessiva di Mediqa verso il Cliente, contrattuale o extracontrattuale, per ogni danno, costo o perdita connessi al contratto non può superare l'importo delle Tariffe pagate dal Cliente a Mediqa nei dodici (12) mesi precedenti l'evento che ha dato origine al danno.
5. 12.5 Le limitazioni di questo articolo non si applicano in caso di dolo o colpa grave (articolo 1229 del codice civile), né ai danni alla persona, e non riguardano la responsabilità verso i Pazienti prevista dall'articolo 82 del GDPR, che non può essere limitata per contratto.
6. 12.6 Ciascuna parte tiene indenne l'altra dalle pretese di terzi, dalle sanzioni e dai costi ragionevoli che derivino dalla violazione, da parte propria, degli obblighi di protezione dei dati previsti dagli articoli 6 e 9; per Mediqa questo obbligo è soggetto ai limiti del comma 4, salvo i casi del comma 5.

Art. 13 — Durata, recesso, risoluzione e cessione

1. 13.1 Il contratto è a tempo indeterminato.
2. 13.2 Il Cliente può recedere in qualsiasi momento, senza penali, con una comunicazione a Mediqa per email o per raccomandata alla sede. Il recesso ha effetto alla fine del periodo di fatturazione in corso; per il piano gratuito, dal giorno della comunicazione.
3. 13.3 Mediqa può recedere dal contratto con un preavviso di trenta (30) giorni comunicato per email.
4. 13.4 Mediqa può risolvere il contratto con effetto immediato, ai sensi dell'articolo 1456 del codice civile, dandone comunicazione per email, se il Cliente usa il Servizio in modo illecito, viola in modo grave gli articoli 5, 6 o 9, oppure non paga le Tariffe entro trenta (30) giorni dal sollecito.
5. 13.5 Alla cessazione del contratto, per qualunque causa, si applica il comma «Fine del rapporto» dell'articolo 9. Restano efficaci dopo la cessazione gli articoli 9 (per quanto necessario alla restituzione e alla cancellazione dei dati), 10, 11, 12 e 16.
6. 13.6 Cessione. Il Cliente acconsente fin d'ora, ai sensi dell'articolo 1407 del codice civile, che Mediqa ceda il contratto a una società da essa costituita o controllata, o a chi subentri nella sua attività, dandone comunicazione al Cliente per email: la cessione ha effetto dalla comunicazione, e il Cliente che non intende proseguire può recedere senza oneri entro trenta (30) giorni. Il Cliente non può cedere il contratto senza il consenso scritto di Mediqa.

Art. 14 — Modifiche delle Condizioni

1. 14.1 Mediqa può modificare le presenti Condizioni, comprese le Tariffe. Ogni versione è datata, conservata e pubblicata alla pagina delle Condizioni.
2. 14.2 Le modifiche che non incidono in modo sostanziale sui diritti e sugli obblighi del Cliente, come chiarimenti, correzioni, aggiornamenti della descrizione del Servizio e miglioramenti, hanno effetto dalla pubblicazione della nuova versione.
3. 14.3 Sono sostanziali le modifiche che aumentano le Tariffe, riducono i diritti o le garanzie del Cliente o ne aumentano gli obblighi o le responsabilità. Mediqa le comunica al Cliente per email con almeno trenta (30) giorni di anticipo, indicando la data da cui hanno effetto; il Cliente che non le accetta può recedere senza oneri prima di quella data. Se il Cliente continua a usare il Servizio dopo quella data, le modifiche si intendono accettate. Per i Sub-responsabili resta fermo l'articolo 9, comma 5.
4. 14.4 Le modifiche alle clausole elencate all'articolo 17 hanno effetto per il Cliente solo con una nuova approvazione specifica, data con la firma prevista dallo stesso articolo; fino ad allora, per il Cliente, quelle clausole restano nella versione già approvata.
5. 14.5 Le modifiche imposte da una legge o da un provvedimento di un'autorità hanno effetto dalla data da questi prevista; Mediqa le comunica al Cliente per email appena possibile.

Art. 15 — Comunicazioni

1. 15.1 Le comunicazioni previste dal contratto si inviano per email: a Mediqa all'indirizzo info@mediqa.it, al Cliente all'indirizzo del titolare dell'Area di lavoro. Si considerano ricevute il giorno lavorativo successivo all'invio. Resta sempre possibile l'invio per raccomandata o PEC all'indirizzo che la parte destinataria abbia comunicato.

Art. 16 — Legge applicabile e foro competente

1. 16.1 Il contratto è regolato dalla legge italiana.
2. 16.2 Per ogni controversia relativa al contratto, alla sua interpretazione, esecuzione o cessazione è competente in via esclusiva il Foro di Bari.

Art. 17 — Approvazione specifica

Version of the specific approval: 1 October 2026.

1. 17.1 Ai sensi degli articoli 1341 e 1342 del codice civile, il Cliente approva specificamente, a parte e con la firma elettronica prevista dal comma 2, le seguenti clausole (artt. 3.3, 4.2, 7.4, 8, 9.5, 12, 13.3, 13.4, 13.6, 14 e 16.2): articolo 3, comma 3 (facoltà di Mediqa di non attivare l'Area di lavoro); articolo 4, comma 2 (fase beta e assenza di livelli di servizio); articolo 7, comma 4, e articolo 8 (sospensione del Servizio); articolo 9, comma 5 (autorizzazione generale ai Sub-responsabili); articolo 12 (limitazioni di responsabilità e manleva); articolo 13, commi 3 e 4 (recesso e risoluzione da parte di Mediqa); articolo 13, comma 6 (cessione del contratto da parte di Mediqa); articolo 14 (modifiche delle Condizioni); articolo 16, comma 2 (foro esclusivo di Bari).
2. 17.2 La firma si appone con un codice monouso che Mediqa invia all'indirizzo email con cui accede al Servizio chi firma per il Cliente: il codice contenuto nel link di conferma dell'indirizzo, che si usa premendo «Conferma e firma» nella pagina di conferma accanto alla frase che richiama le clausole del comma 1, spuntate all'iscrizione; oppure un codice di sei cifre da inserire nel Servizio accanto alla stessa frase. Usando il codice, il Cliente sottoscrive l'approvazione del comma 1. È una firma elettronica ai sensi del Regolamento (UE) n. 910/2014 e dell'articolo 20 del d.lgs. 7 marzo 2005, n. 82; Mediqa ne conserva la prova come previsto dall'articolo 3, comma 2.

Allegato A — Dettagli del trattamento

Interessati

Pazienti e persone che contattano il Cliente; familiari o accompagnatori indicati dai Pazienti; Utenti del Cliente.

Categorie di dati

Dati anagrafici e di contatto; dati di appuntamenti e prenotazioni; registrazioni audio e trascrizioni delle chiamate; contenuto dei messaggi; dati relativi alla salute contenuti nella cartella clinica, nei documenti, nelle note e in quanto il Paziente comunica; dati di fatturazione verso i Pazienti; dati di accesso e di utilizzo degli Utenti.

Finalità

Erogazione del Servizio al Cliente: risposta alle chiamate e ai messaggi, informazioni, prenotazione e gestione degli appuntamenti, promemoria, gestione dell'anagrafica e della documentazione clinica, portale dei Pazienti, fatturazione, sicurezza del Servizio; miglioramento della qualità del servizio del Cliente e assistenza al Cliente tramite l'ascolto delle registrazioni facoltative delle chiamate, da parte degli Utenti responsabili del Cliente e del personale di Mediqa addetto all'assistenza. L'ascolto per migliorare il prodotto e il Servizio non è un trattamento per conto del Cliente: Mediqa lo fa come titolare autonomo (articolo 9, comma 1).

Operazioni

Raccolta, registrazione, organizzazione, conservazione, consultazione, trascrizione, elaborazione con sistemi di intelligenza artificiale per le finalità indicate, comunicazione ai Sub-responsabili, estrazione, cancellazione.

Durata

Per la durata del contratto e fino alla cancellazione prevista dall'articolo 9, comma «Fine del rapporto».

Allegato B — Misure di sicurezza

• Cifratura delle comunicazioni (HTTPS) su tutte le pagine del Servizio e verso tutti i Sub-responsabili.
• Separazione dei dati per Area di lavoro: ogni dato porta l'identificativo dell'Area di lavoro e le letture avvengono filtrando sull'Area di lavoro della sessione.
• Isolamento delle conversazioni dell'assistente: ogni chiamata porta un contrassegno firmato che la lega alla sua Area di lavoro, verificato prima di ogni risposta.
• Controllo degli accessi per ruolo, verificato prima di ogni operazione clinica sensibile.
• Secondo fattore di autenticazione per l'accesso ai dati clinici e alle funzioni amministrative.
• Registrazione degli accessi alla cartella clinica, con il motivo dell'accesso.
• Cifratura dei segreti di integrazione con i servizi esterni prima della loro conservazione.
• Mascheramento di numeri di telefono e recapiti nei registri tecnici.
• Difesa dall'iniezione di istruzioni: trascrizioni, note, documenti e contenuti inseriti entrano nell'assistente come dati non fidati, che non possono cambiarne ruolo o regole.
• Registro delle accettazioni e dei consensi, con documento, versione, data e ora, indirizzo IP e browser.
• Copie di sicurezza giornaliere del database, conservate per sette (7) giorni.
• Sessioni cliniche da dispositivo mobile a scadenza (48 ore).

Non sono oggi disponibili, e quindi non sono promesse: la cancellazione anticipata di una singola registrazione su richiesta del Cliente, prima dei novanta (90) giorni; la cifratura a riposo con chiavi gestite dal Cliente; tempi di conservazione di registrazioni e trascrizioni diversi dai novanta (90) giorni.

Allegato C — Sub-responsabili

• Supabase Inc. — Database e archivio dei dati del Servizio. Dati: Tutti i dati dell'Area di lavoro, compresi quelli clinici. Luogo: Unione europea (Irlanda); assistenza tecnica anche dagli Stati Uniti. Garanzia: Clausole contrattuali tipo della Commissione europea (Decisione (UE) 2021/914) contenute nell'accordo sul trattamento del fornitore, e EU-US Data Privacy Framework ove il fornitore vi aderisca.
• Vercel Inc. — Infrastruttura su cui gira l'applicazione. Dati: Le richieste all'applicazione e i dati che vi transitano. Luogo: Esecuzione nell'Unione europea (Francoforte); società negli Stati Uniti. Garanzia: Clausole contrattuali tipo della Commissione europea (Decisione (UE) 2021/914) contenute nell'accordo sul trattamento del fornitore, e EU-US Data Privacy Framework ove il fornitore vi aderisca.
• OpenAI — Trascrizione dell'audio, bozze di nota clinica, comprensione delle chiamate. Dati: Audio e trascrizioni di visite e chiamate, che possono contenere dati relativi alla salute. Luogo: Stati Uniti. Garanzia: Clausole contrattuali tipo della Commissione europea (Decisione (UE) 2021/914) contenute nell'accordo sul trattamento del fornitore, e EU-US Data Privacy Framework ove il fornitore vi aderisca.
• ElevenLabs — Voce e conversazione dell'assistente telefonico. Dati: Audio e contenuto delle telefonate dei Pazienti. Luogo: Stati Uniti. Garanzia: Clausole contrattuali tipo della Commissione europea (Decisione (UE) 2021/914) contenute nell'accordo sul trattamento del fornitore, e EU-US Data Privacy Framework ove il fornitore vi aderisca.
• Twilio Inc. — Numeri, chiamate e loro registrazione con il sì del Paziente, SMS e, salvo diverso canale scelto, WhatsApp. Dati: Numeri di telefono, chiamate, registrazioni delle chiamate a cui il Paziente ha detto sì (possono contenere dati relativi alla salute), contenuto degli SMS e dei messaggi. Luogo: Stati Uniti. Garanzia: Clausole contrattuali tipo della Commissione europea (Decisione (UE) 2021/914) contenute nell'accordo sul trattamento del fornitore, e EU-US Data Privacy Framework ove il fornitore vi aderisca.
• Google — Invio delle email ai Pazienti con il mittente di Mediqa; agenda esterna, solo se il Cliente la collega. Dati: Indirizzo email e contenuto dei messaggi; data, ora e titolo degli appuntamenti. Luogo: Unione europea e Stati Uniti. Garanzia: Clausole contrattuali tipo della Commissione europea (Decisione (UE) 2021/914) contenute nell'accordo sul trattamento del fornitore, e EU-US Data Privacy Framework ove il fornitore vi aderisca.
• Meta Platforms Ireland Ltd. — WhatsApp, solo se il Cliente sceglie il collegamento diretto. Dati: Messaggi WhatsApp scambiati con i Pazienti. Luogo: Unione europea e Stati Uniti. Garanzia: Clausole contrattuali tipo della Commissione europea (Decisione (UE) 2021/914) contenute nell'accordo sul trattamento del fornitore, e EU-US Data Privacy Framework ove il fornitore vi aderisca.
• 360dialog GmbH — WhatsApp, solo se il Cliente sceglie questo fornitore. Dati: Messaggi WhatsApp scambiati con i Pazienti. Luogo: Unione europea (Germania). Garanzia: Trattamento nello Spazio economico europeo.

Il fornitore dei pagamenti non è un Sub-responsabile: la fatturazione del Cliente è un trattamento di cui Mediqa è titolare autonomo. Quali Sub-responsabili trattano effettivamente i dati di un Cliente dipende dai canali che ha attivato, e si legge nella pagina «Trattamento dei dati» della sua Area di lavoro.

Allegato D — Politica d'uso dei canali

• L'assistente e i canali di messaggistica sono destinati a informazioni, smistamento e prenotazione. Non sono destinati allo scambio di contenuti clinici: l'assistente non li sollecita e li indirizza allo studio.
• Il Cliente istruisce il proprio personale a non inviare referti, diagnosi o immagini cliniche via WhatsApp o SMS, e a usare il portale dei Pazienti per i documenti clinici.
• L'assistente non esegue triage clinico. Nessuna configurazione può attivarlo.
• Sono disattivati, e non possono essere attivati, il riconoscimento delle emozioni e l'identificazione del chiamante dalla voce.