Accordo per il trattamento dei dati personali (Responsabile del trattamento — art. 28 GDPR)

Versione: 1.1 — in vigore dal 25/07/2026

Documento ufficiale — versione 1.1, in vigore dal 25/07/2026. Eventuali revisioni su indicazione del consulente legale verranno pubblicate come nuova versione.
Documento di natura contrattuale/informativa B2B. Destinatari: Clienti professionisti, referenti aziendali, informatori scientifici del farmaco e operatori autorizzati. Non destinato al pubblico dei consumatori.

Allegato ai Termini di servizio per Clienti BUSINESS e, ove applicabile, account PERSONAL con dati CRM.

Parti

Titolare del trattamento («Cliente»):
Organizzazione o professionista registrato su PharmaReport, titolare di un Tenant, identificato dai dati inseriti in fase di registrazione o contratto commerciale.

Responsabile del trattamento («Fornitore»):
Mauriello Srl (P. IVA IT01749370621) — privacy@pharmareport.it

Il presente Accordo («DPA») integra i Termini di servizio e regola il trattamento dei dati personali effettuato dal Fornitore per conto del Cliente nell’ambito del Servizio SaaS PharmaReport.

Definizioni: valgono i termini definiti in Privacy Policy §2.

1. Oggetto e durata

1.1. Il Fornitore tratta dati personali per conto del Cliente esclusivamente per erogare il Servizio, fornire assistenza, garantire sicurezza e adempiere agli obblighi contrattuali.

1.2. Il DPA ha durata coincidente con il contratto di servizio e sopravvive alla cessazione per il tempo necessario alla restituzione/cancellazione dei dati (§8 del presente Accordo).

1.3. Categorie di interessati: medici, farmacisti, altri operatori sanitari/commerciali, dipendenti e collaboratori del Cliente, referenti anagrafici inseriti nel CRM.

1.4. Categorie di dati: dati identificativi e professionali, recapiti, dati di visita e rapportazione, dati relativi a scorte/campioni, pianificazione, messaggi su agenda/bacheca, log di utilizzo collegati agli utenti del Cliente.

1.5. Operazioni: raccolta, registrazione, organizzazione, conservazione, consultazione, modifica, estrazione, cancellazione, backup, isolamento multi-tenant.

2. Istruzioni documentate del Cliente

2.1. Il Fornitore tratta i dati solo secondo istruzioni documentate del Cliente, espresse tramite configurazione del Servizio, documentazione ufficiale e presente DPA.

2.2. Se una disposizione di legge impone al Fornitore un trattamento ulteriore, il Fornitore informa il Cliente prima del trattamento, salvo divieto di legge.

2.3. Il Cliente garantisce di avere base giuridica valida per il trattamento e di rispettare gli obblighi di informativa verso gli interessati (art. 13/14 GDPR).

2.4. Sessione di assistenza controllata. Il Cliente è informato che, per l’assistenza tecnica, il Fornitore può avviare una Sessione di assistenza controllata tramite Personale autorizzato del Fornitore, accedendo temporaneamente all’account di un Utente o dell’Amministratore del Cliente. L’autorizzazione è inclusa nell’accettazione delle condizioni generali in onboarding (Termini §4.4); non è richiesto consenso o autorizzazione preventiva per ogni singola sessione. L’Amministratore del Cliente non dispone di funzionalità di impersonificazione verso altri Utenti. Dettagli e retention in Privacy Policy §6.1.

3. Obblighi del Fornitore

Il Fornitore si impegna a:

a) trattare i dati conformemente al GDPR e al presente DPA;
b) garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza;
c) adottare misure di sicurezza adeguate (art. 32 GDPR), incluse quelle descritte in Privacy Policy §6;
d) non coinvolgere sub-responsabili senza autorizzazione del Cliente (§4 del presente Accordo e art. 28.2 GDPR);
e) assistere il Cliente, nei limiti del ragionevole e proporzionato, per richieste degli interessati (§5) e valutazioni d’impatto (art. 35 GDPR), senza che ciò comporti obbligo di consulenza legale;
f) cancellare o restituire i dati a fine contratto (§8);
g) mettere a disposizione informazioni necessarie per dimostrare la conformità e consentire audit (§7), nei limiti di riservatezza, sicurezza e proporzionalità, senza divulgazione di segreti tecnici o commerciali del Fornitore.

4. Sub-responsabili

4.1. Il Cliente autorizza il Fornitore a avvalersi dei sub-responsabili elencati in SUBRESPONSABILI.md (versione pubblicata su https://my.pharmareport.it/legal/sub-responsabili).

4.2. Il Fornitore informa il Cliente con preavviso di 30 giorni su sostituzioni o aggiunte di sub-responsabili mediante pubblicazione dell’elenco aggiornato su https://my.pharmareport.it/legal/sub-responsabili e/o comunicazione all’Amministratore del Cliente. Il Cliente può opporsi per motivi legittimi e documentati entro 15 giorni dalla comunicazione. In assenza di opposizione tempestiva, la modifica si intende accettata. In caso di opposizione fondata e di impossibilità di alternative ragionevoli, ciascuna Parte può recedere dal Servizio con preavviso di 30 giorni, senza penali, limitatamente alla porzione di Servizio che richiede il sub-responsabile contestato.

4.3. Il Fornitore impone ai sub-responsabili obblighi equivalenti al presente DPA mediante contratto scritto.

4.4. Il Fornitore non risponde delle condotte dei sub-responsabili oltre quanto previsto dal contratto intercorrente e dalla legge applicabile, fermo restando l’obbligo di selezione diligente e monitoraggio ragionevole.

5. Assistenza agli interessati

5.1. Il Fornitore inoltra al Cliente senza ingiustificato ritardo le richieste degli interessati ricevute direttamente al Fornitore, relative a dati di cui il Cliente è Titolare.

5.2. Il Fornitore mette a disposizione strumenti tecnici ragionevoli (export CRM nel scope minimo indispensabile di Privacy Policy §10.1.1 per il Titolare — Amministratore del Cliente o professionista PERSONAL —, cancellazione del Tenant) per facilitare l’adempimento da parte del Cliente. I singoli Utenti del Servizio non dispongono di export self-service dei Contenuti del Cliente. Richieste manifestamente infondate, eccessive o ripetitive possono essere rifiutate o subordinate al rimborso dei costi amministrativi ragionevoli, nei limiti di legge.

5.3. Procedura interna documentata del Fornitore (non pubblica).

6. Violazioni dei dati personali (data breach)

6.1. Il Fornitore notifica al Cliente senza ingiustificato ritardo (e comunque entro 72 ore dalla consapevolezza) ogni violazione dei dati personali che riguardi dati trattati per conto del Cliente, fornendo informazioni disponibili ai sensi dell’art. 33 GDPR.

6.2. Il Cliente resta responsabile delle notifiche al Garante e agli interessati ove richiesto (art. 33–34 GDPR).

7. Audit e documentazione

7.1. Il Fornitore mantiene registro interno delle attività di trattamento (art. 30 GDPR) e log di audit per azioni dell’Amministratore del Cliente e per Sessioni di assistenza controllata (retention: 90 / 180 giorni).

7.2. Audit on-site, ispezioni fisiche o questionari di sicurezza estesi: su richiesta motivata del Cliente, al massimo una volta ogni 12 mesi salvo violazione accertata dei dati personali imputabile al Fornitore. Preavviso di 30 giorni lavorativi. Il Fornitore può soddisfare l’obbligo mediante report di terze parti (es. SOC 2, ISO 27001), attestazioni o audit remoti documentati, ove disponibili. I costi di audit on-site non previsti da obblighi di legge restano a carico del Cliente richiedente, salvo diversa pattuizione scritta.

7.3. Il Cliente non può accedere a sistemi, codice sorgente, credenziali o dati di altri Tenant del Fornitore; ogni verifica è limitata ai propri Contenuti del Cliente e alle informazioni strettamente necessarie alla conformità.

8. Restituzione e cancellazione dei dati

8.1. Alla cessazione del Servizio, il Cliente può richiedere export dei Contenuti del Cliente nel scope minimo di Privacy Policy §10.1.1 più i dati scorte (Privacy Policy §10.1.2) entro 30 giorni, ove tecnicamente disponibile.

8.2. Successivamente, il Fornitore cancella i dati personali trattati per conto del Cliente entro 12 mesi, salvo obblighi di legge o backup in rotazione con scadenza massima coerente con 30 giorni.

8.3. Dati anonimizzati o aggregati non identificativi possono essere conservati per statistiche di servizio.

9. Trasferimenti extra-SEE

Trasferimenti verso Paesi terzi solo con garanzie art. 46 GDPR (SCC, decisioni di adeguatezza). Dettaglio per sub-responsabile in SUBRESPONSABILI.md.

10. Responsabilità

10.1. Ciascuna Parte risponde delle proprie violazioni del GDPR nei limiti di legge. Il Cliente è responsabile delle istruzioni di trattamento, della liceità delle basi giuridiche e dell’informativa verso gli interessati.

10.2. Nei limiti massimi consentiti dalla legge applicabile, la responsabilità complessiva del Fornitore verso il Cliente per danni diretti derivanti dal presente DPA non supera l’importo complessivamente corrisposto dal Cliente al Fornitore nei 12 mesi precedenti l’evento dannoso, salvo dolo o colpa grave del Fornitore.

10.3. Fatto salvo quanto inderogabilmente previsto, il Fornitore non risponde di danni indiretti, consequenziali, perdita di profitto, mancato guadagno o sanzioni amministrative irrogate al Cliente per condotte imputabili al Cliente stesso o a terzi.

10.4. Per quanto non espressamente regolato dal presente DPA, valgono i limiti di responsabilità di cui ai Termini di servizio §9.

11. Accettazione

11.1. L’accettazione del presente DPA avviene esclusivamente in fase di onboarding/registrazione, mediante la checkbox obbligatoria 2 che elenca espressamente i documenti accettati (incluso il DPA, con link al testo integrale) e/o tramite il pulsante «Accetta tutto e prosegui» di cui ai Termini di servizio §4.4. Le checkbox non possono essere pre-selezionate.

11.2. L’accettazione è obbligatoria per:

• tutti i Clienti con account BUSINESS;
• i Clienti con account PERSONAL che utilizzano funzionalità CRM (inserimento anagrafiche medici/farmacie e dati collegati).

11.3. Il Fornitore conserva prova dell’accettazione (timestamp, versione documento, identificativo Cliente/Utente, IP, testo UI) per tutta la durata del rapporto contrattuale e per il periodo successivo previsto dagli obblighi di legge o da policy interna documentata.

11.4. La firma cartacea o l’order form firmato restano possibili solo per contratti enterprise negoziati separatamente, ove espressamente pattuito; in assenza di tali pattuizioni prevale l’accettazione elettronica di cui al §11.1.

Allegati

• A — Elenco sub-responsabili
• B — Misure di sicurezza tecniche §6
• C — Registro trattamenti (estratto Cliente su richiesta motivata)

Fornitore: Mauriello Srl

(Accettazione standard: checkbox onboarding §11. Firma sotto solo per contratti enterprise cartacei ove applicabile.)

Cliente: _________________________________
Data: _________________