ACCORDO SUL TRATTAMENTO DEI DATI

Ultimo aggiornamento: 29 ottobre 2026

La presente è una traduzione fornita per comodità. La versione inglese è la versione vincolante e prevale in caso di qualsiasi difformità.

1. INFORMAZIONI SUL PRESENTE ACCORDO

1.1 Le parti. Il presente Accordo sul trattamento dei dati (il «DPA» («DPA»)) è concluso tra Brahim Ouasti EI, che opera con la denominazione commerciale Inumbra Labs, imprenditore individuale (entrepreneur individuel) iscritto in Francia nel registro nazionale delle imprese (Registre national des entreprises) con numero SIREN 538 543 034, partita IVA intracomunitaria FR24538543034, che gestisce Vetty («Vetty» o «noi», con le relative forme), e la struttura veterinaria che ha accettato le Condizioni per le Strutture (la «Struttura» («Practice»), con le relative forme pronominali).

1.2 Ambito di applicazione. Il presente DPA costituisce parte integrante delle Condizioni per le Strutture all'indirizzo https://vetty.app/practice-terms, che lo incorporano per rinvio. Si applica a Vetty Pro come definito nelle Condizioni per le Strutture: il Portale all'indirizzo pro.vetty.app, le relative Postazioni, la presenza nel Marketplace e i Consulti, la documentazione e le relazioni gestiti tramite essi. Non riguarda Vetty Scribe, che ha un proprio accordo sul trattamento dei dati all'indirizzo https://vettyscribe.com/dpa.

1.3 Oggetto. Il presente DPA stabilisce le condizioni alle quali Vetty tratta dati personali per conto della Struttura, come richiesto dall'articolo 28 del Regolamento generale sulla protezione dei dati (UE) 2016/679 (il «GDPR» («GDPR»)) e dalle norme equivalenti dell'altra Normativa sulla Protezione dei Dati.

1.4 Ordine di prevalenza. Qualora il presente DPA e le Condizioni per le Strutture differiscano in merito al trattamento dei dati personali, prevale il presente DPA. Qualora le Clausole Contrattuali Tipo si applichino ai sensi della clausola 10 e differiscano dal presente DPA, prevalgono le Clausole Contrattuali Tipo.

1.5 Lingua. Il presente DPA è redatto in inglese e il testo inglese prevale. Pubblichiamo traduzioni in altre lingue; ciascuna di esse, compresa la presente traduzione italiana, è fornita solo per comodità.

2. DEFINIZIONI

2.1 I termini definiti nelle Condizioni per le Strutture (tra cui Cliente, Consulto, Ospite, Marketplace, Membro, Partecipante, Portale, Link della Struttura, Postazione e Veterinario) hanno lo stesso significato nel presente DPA.

2.2 «Titolare del trattamento», «responsabile del trattamento», «interessato», «dato personale», «trattamento», «violazione dei dati personali» e «autorità di controllo» hanno il significato loro attribuito dal GDPR. Ai sensi dell'altra Normativa sulla Protezione dei Dati, comprendono i termini equivalenti ivi utilizzati, quali «organizzazione» (organisation) e «intermediario di dati» (data intermediary) ai sensi della legge di Singapore.

2.3 Nel presente DPA:

• Copie del Cliente («Client Copies»): le copie che un Cliente conserva nel proprio account vetty.app delle proprie risposte al questionario di anamnesi e dei relativi allegati, dei messaggi e dei file scambiati nella chat di un Consulto e della versione di ciascuna relazione firmata redatta per lui.
• Normativa sulla Protezione dei Dati («Data Protection Laws»): il GDPR e la normativa francese sulla protezione dei dati; il Decreto-legge federale degli Emirati Arabi Uniti n. 45 del 2021 sulla protezione dei dati personali (il «PDPL EAU» («UAE PDPL»)); il Personal Data Protection Act 2012 di Singapore (il «PDPA» («PDPA»)); l'Australian Privacy Act 1988, compresi gli Australian Privacy Principles; e il Privacy Act 2020 della Nuova Zelanda; in ciascun caso nella misura in cui si applica al trattamento.
• Dati della Struttura («Practice Records»): i dati personali descritti alla clausola 3.1 e nell'Allegato 1.
• Clausole Contrattuali Tipo («Standard Contractual Clauses»): le clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi approvate dalla Commissione europea con la decisione di esecuzione (UE) 2021/914.
• Sub-responsabile («Sub-processor»): un terzo di cui Vetty si avvale per trattare Dati della Struttura.

3. RUOLI E AMBITO

3.1 Vetty quale responsabile del trattamento. La Struttura è il titolare del trattamento, e Vetty è il responsabile del trattamento, dei Dati della Struttura, che sono:

• (a) la documentazione della Struttura relativa a clienti e pazienti nel Portale: i clienti e i pazienti che essa aggiunge o importa e le sue note su clienti, pazienti e appuntamenti;
• (b) il contenuto di ciascun Consulto come detenuto per la Struttura: le risposte del Cliente al questionario di anamnesi e i relativi allegati; i messaggi e i file scambiati nella chat; la registrazione del microfono di ciascun Partecipante, fino alla sua cancellazione; la registrazione del consenso o del rifiuto di ciascun Partecipante alla registrazione; la trascrizione; e la bozza di relazione e la relazione firmata, sia la nota clinica sia la versione redatta per il Cliente;
• (c) i file che la Struttura aggiunge agli appuntamenti; e
• (d) qualsiasi altro dato personale che la Struttura o i suoi Membri inseriscono nel Portale in merito ai clienti e ai pazienti della Struttura.

3.2 Vetty quale titolare del trattamento. Vetty è titolare autonomo del trattamento, e il presente DPA non si applica, per gli account dei proprietari e i dati del marketplace, come descritto nella nostra Informativa sulla privacy all'indirizzo https://vetty.app/privacy-policy. Ciò riguarda:

• (a) gli account dei proprietari di animali su vetty.app, i loro profili e gli animali che vi registrano;
• (b) le Copie del Cliente;
• (c) le prenotazioni, i pagamenti, i rimborsi, gli annullamenti, le mancate presentazioni, le recensioni e la documentazione relativa alle Commissioni Nuovo Cliente;
• (d) il Marketplace: i profili pubblici e la presenza nell'elenco delle Strutture e dei Veterinari;
• (e) gli account dei Membri, le loro abilitazioni e la verifica delle abilitazioni;
• (f) le registrazioni del servizio relative a sicurezza, prevenzione delle frodi, limitazione della frequenza delle richieste ed errori, e le registrazioni del consenso ai cookie.

3.3 Dati detenuti in entrambi i ruoli. Alcuni contenuti esistono sia nei Dati della Struttura sia come Copia del Cliente: il questionario di anamnesi, la chat e la versione di ciascuna relazione firmata redatta per il Cliente. Vetty detiene la copia della Struttura in qualità di responsabile del trattamento ai sensi del presente DPA, e la Copia del Cliente in qualità di titolare del trattamento affinché il Cliente vi conservi l'accesso. La cessazione del presente DPA, o la chiusura della Struttura, pone fine alla prima e non alla seconda. Entrambe sono cancellate al termine del periodo di cui alla clausola 13.1.

3.4 Dettagli del trattamento. L'Allegato 1 stabilisce la materia disciplinata, la durata, la natura e la finalità del trattamento, nonché le categorie di dati personali e di interessati.

4. ISTRUZIONI E OBBLIGHI DELLA STRUTTURA

4.1 Istruzioni documentate. La Struttura incarica Vetty di trattare i Dati della Struttura per fornire Vetty Pro come descritto nelle Condizioni per le Strutture, anche per registrare, trascrivere e redigere relazioni come descritto alla clausola 7 e per conservarli e cancellarli come descritto alla clausola 13. Le Condizioni per le Strutture, il presente DPA, l'utilizzo e la configurazione del Portale da parte della Struttura e qualsiasi altra istruzione scritta che la Struttura impartisca e Vetty accetti costituiscono l'insieme completo delle istruzioni documentate della Struttura.

4.2 Obblighi della Struttura. La Struttura:

• (a) è responsabile di disporre di una base giuridica per i Dati della Struttura e per il loro trattamento da parte di Vetty ai sensi del presente DPA;
• (b) informa i propri clienti delle modalità di trattamento dei loro dati, compreso il fatto che un Consulto è registrato e trascritto solo con il consenso di ogni Partecipante, che le relazioni sono redatte con l'intelligenza artificiale ed esaminate e firmate dal Veterinario, e che la documentazione è conservata presso Vetty;
• (c) risponde alle richieste dei propri clienti relative ai Dati della Struttura, con l'assistenza di Vetty ai sensi della clausola 11;
• (d) conserva la documentazione richiesta dalla propria autorità di regolamentazione e dalla legge, esportandola qualora debba conservarla più a lungo di Vetty; e
• (e) impartisce a Vetty solo istruzioni conformi alla Normativa sulla Protezione dei Dati.

5. OBBLIGHI DI VETTY

5.1 Istruzioni. Vetty tratta i Dati della Struttura soltanto su istruzione documentata della Struttura, anche in caso di trasferimento verso un paese terzo, salvo che lo richieda il diritto dell'Unione europea o di uno Stato membro cui Vetty è soggetta. In tal caso, Vetty informa la Struttura di tale obbligo giuridico prima del trattamento, a meno che tale diritto vieti tale informazione per rilevanti motivi di interesse pubblico.

5.2 Istruzioni illecite. Vetty informa immediatamente la Struttura qualora, a suo parere, un'istruzione violi la Normativa sulla Protezione dei Dati. Vetty può sospendere il trattamento interessato finché la Struttura non conferma o modifica l'istruzione.

5.3 Riservatezza. Vetty garantisce che ogni persona da essa autorizzata a trattare i Dati della Struttura sia vincolata da un obbligo di riservatezza, contrattuale o legale, e li tratti solo nella misura necessaria per fornire il servizio.

5.4 Sicurezza. Vetty adotta le misure tecniche e organizzative di cui all'Allegato 3, concepite per soddisfare l'articolo 32 del GDPR. Vetty può modificarle nel tempo, a condizione che il livello complessivo di protezione non sia ridotto.

5.5 Nessun altro utilizzo. Vetty non vende i Dati della Struttura, non li utilizza per finalità proprie e non li utilizza, né consente a un Sub-responsabile di utilizzarli, per addestrare modelli di intelligenza artificiale.

5.6 Assistenza. Tenendo conto della natura del trattamento e delle informazioni a sua disposizione, Vetty assiste la Struttura nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36 del GDPR: sicurezza, notifica delle violazioni dei dati personali, valutazioni d'impatto sulla protezione dei dati e consultazione preventiva di un'autorità di controllo. Vetty fornisce le informazioni in suo possesso relative al trattamento, quali il presente DPA e i relativi allegati, e risponde a domande ragionevoli.

6. PERSONALE E RESPONSABILE DEGLI INCIDENTI

Brahim Ouasti è il referente per la privacy di Vetty ed è responsabile della protezione dei dati e degli incidenti presso Vetty. È contattabile all'indirizzo privacy@vetty.app. La clausola 15.4 illustra il suo ruolo ai sensi del PDPA.

7. REGISTRAZIONE, TRASCRIZIONE E REDAZIONE CON L'IA

7.1 Consenso raccolto per la Struttura. Prima di collegarsi a un Consulto, a ciascun Partecipante, Ospiti compresi, viene chiesto se acconsente alla registrazione e alla trascrizione dell'audio del Consulto. Vetty raccoglie e conserva ciascuna risposta, con l'ora in cui è stata data, per conto della Struttura. Se un qualsiasi Partecipante rifiuta, il Consulto si svolge senza registrazione e non vengono prodotte né una trascrizione né una bozza di relazione.

7.2 Che cosa viene registrato e quando viene cancellato. Viene registrato solo l'audio del microfono di ciascun Partecipante; il video e la condivisione dello schermo non vengono mai registrati. L'audio è conservato in un'area di archiviazione riservata a Francoforte, in Germania, trascritto dopo il Consulto e cancellato non appena la trascrizione è conservata. L'audio di un Consulto che non si conclude viene cancellato immediatamente e, in ogni caso, entro 24 ore.

7.3 Trascrizione. L'audio è trascritto dal Sub-responsabile per la conversione della voce in testo indicato nell'Allegato 2. Una volta che Vetty ha recuperato una trascrizione, chiede a tale Sub-responsabile di cancellarne la propria copia.

7.4 Redazione con l'IA. La bozza di relazione è preparata dai Sub-responsabili di IA indicati nell'Allegato 2 a partire dalla trascrizione, dalle risposte del Cliente al questionario di anamnesi e dal profilo del paziente. Il Veterinario esamina, corregge e firma la relazione, e solo una relazione firmata raggiunge il Cliente. Nessuna decisione che produca effetti giuridici per un Cliente, o che incida in modo analogo significativamente sulla sua persona, è adottata unicamente con mezzi automatizzati.

7.5 Fornitori di IA e addestramento. Vetty non ha alcun accordo di conservazione zero (zero-retention) con i propri fornitori di IA. Essi possono conservare i dati in ingresso per un breve periodo ai fini del monitoraggio degli abusi ai sensi delle proprie condizioni. Nessuno di essi può addestrare i propri modelli sui Dati della Struttura: le condizioni commerciali di Anthropic vietano l'addestramento sui contenuti dei clienti; OpenAI non utilizza per l'addestramento i dati inviati tramite la sua API salvo che il cliente vi acconsenta, cosa che Vetty non ha fatto, e conserva i log di monitoraggio degli abusi per un massimo di 30 giorni; e Vetty ha escluso l'addestramento nelle impostazioni di utilizzo dei dati del proprio account ElevenLabs.

8. SUB-RESPONSABILI

8.1 Autorizzazione generale. La Struttura concede a Vetty un'autorizzazione scritta generale a ricorrere a Sub-responsabili. I Sub-responsabili in essere alla data del presente DPA sono elencati nell'Allegato 2, e la Struttura li autorizza.

8.2 Contratti con i Sub-responsabili. Vetty si avvale di ciascun Sub-responsabile sulla base di un contratto scritto che impone obblighi in materia di protezione dei dati che garantiscono lo stesso livello di protezione del presente DPA, in particolare garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate. Vetty conserva nei confronti della Struttura l'intera responsabilità dell'adempimento degli obblighi di ciascun Sub-responsabile.

8.3 Modifiche. Vetty informa la Struttura almeno 30 giorni prima di aggiungere o sostituire un Sub-responsabile, via email agli Amministratori della Struttura e mediante aggiornamento dell'Allegato 2. Qualora una modifica sia urgentemente necessaria per mantenere il servizio sicuro o funzionante, Vetty può effettuarla prima e ne informa la Struttura non appena possibile, indicandone i motivi.

8.4 Opposizione. La Struttura può opporsi per iscritto a un nuovo Sub-responsabile scrivendo a privacy@vetty.app entro tale termine di preavviso, per ragionevoli motivi attinenti alla protezione dei dati. Vetty esaminerà l'opposizione in buona fede e proporrà una soluzione ove ragionevolmente disponibile. Se le parti non riescono a risolvere l'opposizione, la Struttura può porre fine alle Condizioni per le Strutture chiudendo la Struttura prima che la modifica abbia effetto, e Vetty rimborsa la parte non utilizzata di qualsiasi periodo di Abbonamento pagato anticipatamente.

9. DOVE SONO TRATTATI I DATI DELLA STRUTTURA

9.1 Conservazione nell'Unione europea. Vetty è stabilita in Francia. I Dati della Struttura sono conservati nell'Unione europea, a Francoforte, in Germania, dove operano la banca dati, l'archiviazione di file e le funzioni server di Vetty.

9.2 Trattamento al di fuori dell'Unione europea. Alcuni Sub-responsabili trattano Dati della Struttura al di fuori dello Spazio economico europeo, come indicato nell'Allegato 2:

• (a) i Sub-responsabili per la conversione della voce in testo e per la redazione con l'IA li trattano negli Stati Uniti;
• (b) il Sub-responsabile per le email tratta nomi, indirizzi email e contenuto delle notifiche negli Stati Uniti;
• (c) il Sub-responsabile per il video, LiveKit, instrada l'audio e il video in diretta di ciascun Consulto attraverso il server LiveKit più vicino a ciascun Partecipante, che può trovarsi al di fuori dello Spazio economico europeo, e conserva le registrazioni di sessione e i log che mantiene nella regione dei dati del proprio progetto, gli Stati Uniti;
• (d) il Sub-responsabile per l'hosting, Vercel, è stabilito negli Stati Uniti e distribuisce il Portale attraverso la propria rete mondiale; e i Sub-responsabili stabiliti negli Stati Uniti, tra cui Supabase, Upstash e PostHog, possono accedere da tale paese ai Dati della Struttura conservati a Francoforte, ad esempio per fornire assistenza o manutenzione al proprio servizio.

10. TRASFERIMENTI INTERNAZIONALI

10.1 Trasferimenti ai Sub-responsabili. Qualora un Sub-responsabile tratti Dati della Struttura in un paese al di fuori dello Spazio economico europeo che non beneficia di una decisione di adeguatezza della Commissione europea, o vi acceda da tale paese, il trasferimento è coperto dal quadro UE-USA per la protezione dei dati personali (EU–US Data Privacy Framework) qualora il Sub-responsabile sia certificato ai sensi di esso, altrimenti dalle clausole contrattuali tipo della Commissione europea (Modulo 3, da responsabile a responsabile) contenute nel contratto del Sub-responsabile con Vetty, unitamente a eventuali misure supplementari richieste dal trasferimento. L'Allegato 2 indica la garanzia per ciascun Sub-responsabile.

10.2 Strutture stabilite al di fuori dello Spazio economico europeo. Vetty è un responsabile del trattamento stabilito nell'Unione europea. Qualora la Struttura sia stabilita in un paese al di fuori dello Spazio economico europeo che non beneficia di una decisione di adeguatezza della Commissione europea (alla data del presente DPA, gli Emirati Arabi Uniti, l'Australia e Singapore, ma non la Nuova Zelanda), e nella misura in cui il GDPR lo richieda, il Modulo 4 (da responsabile a titolare) delle Clausole Contrattuali Tipo si applica al trasferimento dei Dati della Struttura da Vetty alla Struttura ed è incorporato per rinvio nel presente DPA, con le seguenti scelte:

• (a) Vetty è l'esportatore di dati e la Struttura è l'importatore di dati;
• (b) la clausola facoltativa di adesione successiva (Clausola 7) non si applica;
• (c) Clausola 17: le clausole sono disciplinate dalla legge francese;
• (d) Clausola 18: le controversie sono risolte dai giudici di Pontoise, in Francia;
• (e) Allegato I.A: le parti sono quelle di cui alla clausola 1.1, con gli indirizzi ivi indicati e nel Portale; il referente dell'esportatore di dati è Brahim Ouasti all'indirizzo privacy@vetty.app, e il referente della Struttura è quello registrato nel Portale; l'Allegato I.B è l'Allegato 1 del presente DPA.

10.3 Trasferimenti ai sensi di altre leggi. Qualora la Normativa sulla Protezione dei Dati del paese della Struttura limiti il trasferimento dei Dati della Struttura a Vetty in Francia o il successivo trasferimento a un Sub-responsabile, le parti convengono che il presente DPA e, ove pertinenti, le Clausole Contrattuali Tipo costituiscono la garanzia contrattuale per tale trasferimento, e si applica la clausola 15.

11. RICHIESTE DEGLI INTERESSATI

11.1 Assistenza. Tenendo conto della natura del trattamento, Vetty assiste la Struttura con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare le richieste degli interessati per l'esercizio dei loro diritti sui Dati della Struttura. Il Portale consente alla Struttura di visualizzare, rettificare ed esportare i Dati della Struttura. Per quanto il Portale non consente, la Struttura può scrivere a privacy@vetty.app, e Vetty fornirà assistenza senza ingiustificato ritardo.

11.2 Richieste rivolte a Vetty. Se Vetty riceve da un interessato una richiesta relativa a Dati della Struttura, la trasmette alla Struttura senza ingiustificato ritardo e non vi risponde direttamente, salvo per informare la persona che la richiesta è stata trasmessa o qualora la legge imponga a Vetty di rispondere. Una richiesta che riguarda dati di cui Vetty è titolare del trattamento, comprese le Copie del Cliente, riceve risposta da Vetty ai sensi della propria Informativa sulla privacy.

12. VIOLAZIONI DEI DATI PERSONALI

12.1 Notifica alla Struttura. Vetty notifica alla Struttura senza ingiustificato ritardo, e in ogni caso entro 48 ore dal momento in cui ne è venuta a conoscenza, qualsiasi violazione dei dati personali che riguardi i Dati della Struttura. La notifica è effettuata via email agli Amministratori della Struttura.

12.2 Contenuto della notifica. La notifica descrive, nei limiti di quanto noto a Vetty in quel momento: la natura della violazione, comprese le categorie e il numero approssimativo di interessati e di registrazioni di dati in questione; le sue probabili conseguenze; le misure adottate o di cui si propone l'adozione per porvi rimedio e per attenuarne gli effetti; e il punto di contatto presso cui ottenere più informazioni. Qualora Vetty non possa fornire tutte queste informazioni contestualmente, le fornisce in fasi successive senza ulteriore ingiustificato ritardo.

12.3 Chi effettua la notifica alle autorità e alle persone interessate. La Struttura, in qualità di titolare del trattamento dei Dati della Struttura, decide in merito a qualsiasi notifica alla propria autorità di controllo e agli interessati e la effettua. Vetty fornisce alla Struttura le informazioni e l'assistenza di cui essa ragionevolmente necessita a tal fine. Vetty non notifica una violazione dei Dati della Struttura all'autorità di controllo della Struttura o ai clienti della Struttura per conto di quest'ultima, salvo che la Struttura glielo chieda o la legge lo imponga. Qualora la stessa violazione riguardi anche dati di cui Vetty è titolare del trattamento, comprese le Copie del Cliente, Vetty effettua le proprie notifiche: alla CNIL senza ingiustificato ritardo e, ove il GDPR imponga la notifica, entro 72 ore dal momento in cui è venuta a conoscenza della violazione; a qualsiasi altra autorità competente entro il termine previsto dalla legge applicabile; e alle persone interessate ove la legge lo imponga.

12.4 Contenimento. Vetty adotta misure ragionevoli per contenere la violazione, limitarne gli effetti e impedire che si ripeta. Una notifica ai sensi della presente clausola non costituisce ammissione di colpa o di responsabilità.

13. CONSERVAZIONE, CANCELLAZIONE E RESTITUZIONE

13.1 Conservazione durante il servizio. Su istruzione della Struttura di cui alla clausola 4.1, Vetty cancella il contenuto di ciascun Consulto (il questionario di anamnesi, i messaggi e i file della chat, la trascrizione e la relazione) 5 anni dopo l'ultimo Consulto del Cliente con la Struttura. L'audio è cancellato prima, come descritto alla clausola 7.2. L'altra documentazione della Struttura relativa a clienti e pazienti è conservata finché l'account della Struttura è aperto. La Struttura può chiedere per iscritto a Vetty di cancellare anticipatamente determinati Dati della Struttura, e Vetty vi provvederà salvo che la legge le imponga di conservarli; ciò non incide sulle Copie del Cliente.

13.2 Restituzione. Finché la Struttura è aperta, un Amministratore può scaricare in qualsiasi momento un'esportazione dei Dati della Struttura dalle impostazioni della struttura: un file ZIP contenente la documentazione dei consulti e le relazioni firmate, le trascrizioni in formato testo e gli elenchi dei Consulti, dei clienti, dei pazienti e delle note. L'audio non è incluso, poiché viene cancellato una volta trascritto.

13.3 Al termine del servizio. Quando la Struttura è chiusa, o le Condizioni per le Strutture cessano per qualsiasi altro motivo, la persona che ha chiuso la Struttura può scaricare l'esportazione per 30 giorni. Al termine di tali 30 giorni, Vetty cancella i Dati della Struttura come descritto alla clausola 16 delle Condizioni per le Strutture, salvo che il diritto dell'Unione europea o di uno Stato membro imponga a Vetty di conservarli. Accettando il presente DPA, la Struttura sceglie tale combinazione di restituzione e cancellazione. Le Copie del Cliente non sono Dati della Struttura e restano nell'account del Cliente fino al termine del periodo di cui alla clausola 13.1.

13.4 Copie di backup. I dati cancellati restano nelle copie di backup di Vetty finché queste non vengono sovrascritte, il che avviene entro 30 giorni. Vetty non ripristina dati cancellati dalle copie di backup se non per far fronte a un incidente.

13.5 Conferma. Su richiesta scritta della Struttura, Vetty conferma per iscritto che i Dati della Struttura sono stati cancellati.

14. INFORMAZIONI E ATTIVITÀ DI REVISIONE

14.1 Informazioni. Vetty mette a disposizione della Struttura tutte le informazioni necessarie per dimostrare il rispetto dell'articolo 28 del GDPR e del presente DPA, a cominciare dal presente DPA e dai relativi allegati e dalle proprie risposte scritte alle domande ragionevoli della Struttura.

14.2 Attività di revisione. Qualora tali informazioni non siano sufficienti a dimostrare il rispetto, o qualora un'autorità di controllo lo richieda, Vetty consente e contribuisce alle attività di revisione, comprese le ispezioni, realizzate dalla Struttura o da un revisore indipendente da essa incaricato, alle seguenti condizioni:

• (a) la Struttura dà un preavviso scritto di almeno 30 giorni e propone un ambito;
• (b) non si svolge più di una revisione in un periodo di 12 mesi, salvo che un'autorità di controllo ne richieda un'altra o si sia verificata una violazione dei dati personali relativa ai Dati della Struttura;
• (c) la revisione si svolge durante l'orario lavorativo, senza perturbare irragionevolmente l'attività di Vetty, ed è limitata al trattamento dei Dati della Struttura propri della Struttura;
• (d) il revisore è vincolato alla riservatezza, non è un concorrente di Vetty e non accede ai dati di altri clienti né a informazioni la cui divulgazione comprometterebbe la sicurezza del servizio;
• (e) ciascuna parte sostiene i propri costi, e la Struttura paga il revisore.

Vetty informa immediatamente la Struttura qualora ritenga che un'istruzione impartita nel corso di una revisione violi la Normativa sulla Protezione dei Dati.

15. CONDIZIONI SPECIFICHE PER PAESE

15.1 Funzionamento della presente clausola. Il resto del presente DPA si applica a ogni Struttura. La presente clausola aggiunge quanto ulteriormente richiesto dalla Normativa sulla Protezione dei Dati del paese della Struttura. Ciascuna parte rispetta la Normativa sulla Protezione dei Dati ad essa applicabile.

15.2 Unione europea. Per una Struttura stabilita a Cipro, in Spagna, in Grecia, in Italia o in Portogallo, il presente DPA è il contratto richiesto dall'articolo 28, paragrafo 3, del GDPR, e l'autorità di controllo della Struttura è l'autorità del proprio Stato membro. L'autorità di controllo capofila di Vetty è la Commission nationale de l'informatique et des libertés (CNIL) francese.

15.3 Emirati Arabi Uniti. Per una Struttura stabilita negli Emirati Arabi Uniti, al di fuori delle zone franche finanziarie dotate di una propria normativa sulla protezione dei dati, Vetty agisce in qualità di responsabile del trattamento della Struttura ai sensi del PDPL EAU. Vetty tratta i Dati della Struttura solo su istruzione della Struttura e per le finalità di cui all'Allegato 1, applica le misure di cui all'Allegato 3, notifica alla Struttura le violazioni come descritto alla clausola 12 e cancella i Dati della Struttura come descritto alla clausola 13. La Struttura resta responsabile di qualsiasi notifica all'UAE Data Office e agli interessati, nonché della liceità del trasferimento dei Dati della Struttura a Vetty al di fuori degli Emirati Arabi Uniti.

15.4 Singapore. Per una Struttura a Singapore, Vetty agisce in qualità di intermediario di dati (data intermediary) della Struttura ai sensi del PDPA. Il Responsabile della protezione dei dati (Data Protection Officer) di Vetty ai fini del PDPA è Brahim Ouasti, all'indirizzo privacy@vetty.app. Vetty protegge i Dati della Struttura mediante ragionevoli misure di sicurezza, cessa di conservarli quando non sono più necessari per le finalità di cui all'Allegato 1, come descritto alla clausola 13, e informa la Struttura senza ingiustificato ritardo, ed entro le 48 ore di cui alla clausola 12.1, quando ha motivo di ritenere che si sia verificata una violazione dei dati in relazione ad essi. La Struttura resta responsabile di valutare se una violazione debba essere notificata e di notificarla alla Personal Data Protection Commission e alle persone interessate entro il termine richiesto dal PDPA. Ai fini del Transfer Limitation Obligation, il presente DPA vincola Vetty, e tramite i relativi contratti i suoi Sub-responsabili, a garantire ai Dati della Struttura un livello di protezione comparabile a quello del PDPA.

15.5 Australia. Per una Struttura in Australia vincolata dal Privacy Act 1988, Vetty tratta i Dati della Struttura in modo coerente con gli Australian Privacy Principles applicabili alla loro sicurezza, al loro utilizzo, alla loro comunicazione e alla loro comunicazione all'estero, e assiste la Struttura nel valutare una sospetta violazione dei dati rilevante (eligible data breach) ai sensi del Notifiable Data Breaches scheme entro i 30 giorni consentiti da tale regime. La Struttura resta responsabile della notifica all'Office of the Australian Information Commissioner e alle persone interessate.

15.6 Nuova Zelanda. Per una Struttura in Nuova Zelanda, Vetty detiene i Dati della Struttura in qualità di agente (agent) della Struttura ai fini della sezione 11 del Privacy Act 2020, al solo scopo di fornire il servizio, e non li utilizza né li comunica per finalità proprie. La Struttura resta responsabile della notifica di una violazione della privacy soggetta a notifica (notifiable privacy breach) al Privacy Commissioner e alle persone interessate.

16. RESPONSABILITÀ

16.1 Si applicano le Condizioni per le Strutture. La responsabilità di ciascuna parte derivante dal presente DPA o ad esso connessa, sia essa contrattuale, extracontrattuale o di altra natura, è soggetta alle esclusioni e ai limiti di cui alla clausola 21 delle Condizioni per le Strutture, e concorre al raggiungimento dell'unico massimale ivi stabilito. Il presente DPA non crea un secondo massimale.

16.2 Interessati e autorità. Nessuna disposizione del presente DPA limita la responsabilità di ciascuna parte nei confronti degli interessati ai sensi dell'articolo 82 del GDPR o dell'altra Normativa sulla Protezione dei Dati, né i diritti degli interessati ai sensi delle Clausole Contrattuali Tipo. Ciascuna parte sostiene qualsiasi sanzione inflittale da un'autorità di controllo.

17. DURATA, LEGGE APPLICABILE E MODIFICHE

17.1 Durata. Il presente DPA ha effetto dal momento in cui la Struttura accetta le Condizioni per le Strutture e dura per tutto il tempo in cui Vetty tratta Dati della Struttura. Le clausole 12, 13, 14 e 16 sopravvivono per tutto il tempo in cui sono rilevanti.

17.2 Legge applicabile e foro competente. Il presente DPA è disciplinato dalla legge francese, e i giudici di Pontoise, in Francia, hanno competenza esclusiva, come previsto dalla clausola 24 delle Condizioni per le Strutture, salvo ove le Clausole Contrattuali Tipo dispongano diversamente.

17.3 Modifiche. Vetty può modificare il presente DPA come descritto alla clausola 23 delle Condizioni per le Strutture, con un preavviso di almeno 30 giorni per una modifica sostanziale, salvo per una modifica dell'Allegato 2, che segue la clausola 8.3. Nessuna modifica può ridurre la protezione che il presente DPA garantisce ai Dati della Struttura al di sotto di quanto richiesto dalla Normativa sulla Protezione dei Dati.

18. CONTATTI

Brahim Ouasti EI, che opera con la denominazione commerciale Inumbra Labs
Imprenditore individuale (entrepreneur individuel) iscritto in Francia (RNE), SIREN 538 543 034, partita IVA intracomunitaria FR24538543034
Referente per la privacy, la protezione dei dati e gli incidenti: Brahim Ouasti, privacy@vetty.app

ALLEGATO 1. DETTAGLI DEL TRATTAMENTO

Materia disciplinata. Ospitare e gestire i Dati della Struttura affinché la Struttura possa svolgere Consulti video con i propri clienti tramite Vetty Pro, tenere la propria documentazione relativa a clienti e pazienti e ricevere bozze di relazioni di consulto che i propri Veterinari esaminano e firmano.

Durata. Per tutto il tempo in cui la Struttura utilizza Vetty Pro, quindi fino alla cancellazione descritta alla clausola 13. L'audio di un Consulto è conservato solo fino alla sua trascrizione e, al massimo, per 24 ore se il Consulto non si conclude.

Natura del trattamento. Raccolta, registrazione, conservazione, organizzazione, trascrizione mediante conversione della voce in testo, redazione automatizzata mediante modelli di IA, visualizzazione da parte dei Membri della Struttura, trasmissione delle relazioni firmate ai Clienti, esportazione e cancellazione. L'audio e il video in diretta sono trasmessi ma non conservati, ad eccezione dell'audio del microfono registrato con il consenso di ogni Partecipante.

Finalità. Fornire il Consulto e la relativa chat; raccogliere e registrare il consenso di ciascun Partecipante alla registrazione; registrare, trascrivere e redigere una relazione da sottoporre all'esame del Veterinario; consegnare la relazione firmata al Cliente; conservare, visualizzare ed esportare la documentazione della Struttura relativa a clienti e pazienti; e cancellarla al termine del periodo di conservazione o del servizio.

Categorie di interessati.

• i clienti della Struttura (proprietari di animali), comprese le persone che essa aggiunge o importa nel Portale;
• gli Ospiti che un Cliente invita a un Consulto;
• i Membri della Struttura, nella misura in cui compaiono nei Dati della Struttura (ad esempio come autori o firmatari di una nota o di una relazione, o come voce in una registrazione).

Gli animali non sono interessati, ma i dati che li riguardano sono collegati ai loro proprietari.

Categorie di dati personali.

• dati identificativi e di contatto dei clienti: nome, indirizzo email, numero di telefono e indirizzi postali, ove forniti;
• dati del paziente collegati al cliente: nome, specie, razza, data di nascita, sesso, stato di sterilizzazione, peso, numero di microchip, fotografia, allergie, farmaci, patologie croniche e anamnesi dell'animale;
• risposte al questionario di anamnesi e relativi allegati (immagini);
• messaggi e file della chat (immagini e documenti PDF);
• l'audio del microfono di ciascun Partecipante che ha prestato il consenso, il suo nome come mostrato nella chiamata e la registrazione del consenso o del rifiuto di ciascun Partecipante alla registrazione, con la relativa ora;
• la trascrizione, con gli interlocutori identificati in base al ruolo;
• la bozza di relazione e la relazione firmata, le note del Veterinario e le note della Struttura;
• i file che la Struttura aggiunge agli appuntamenti.

Categorie particolari. I Dati della Struttura non sono destinati a contenere categorie particolari di dati personali. Un Consulto può rivelarne alcune incidentalmente, ad esempio un fatto relativo alla salute di un Cliente menzionato durante la chiamata, e Vetty applica ad esse le stesse misure. Vetty non utilizza le voci per identificare alcuno.

Frequenza. Continuativa, per tutto il tempo in cui la Struttura utilizza Vetty Pro.

Autorità di controllo competente per Vetty. La Commission nationale de l'informatique et des libertés (CNIL), Francia.

ALLEGATO 2. SUB-RESPONSABILI

I seguenti Sub-responsabili trattano Dati della Struttura per Vetty Pro alla data del presente DPA. Ciascuno è incaricato ai sensi della clausola 8. Nell'ultima colonna, «DPF o SCC» («DPF or SCCs») indica l'EU–US Data Privacy Framework qualora il Sub-responsabile sia certificato ai sensi di esso, altrimenti le clausole contrattuali tipo (Modulo 3), come descritto alla clausola 10.1.

Stripe non è un Sub-responsabile ai sensi del presente DPA. La Struttura contratta direttamente con Stripe per il proprio Account Stripe, e l'utilizzo dei dati Stripe da parte di Vetty per finalità proprie è disciplinato dalla sua Informativa sulla privacy.

ALLEGATO 3. MISURE TECNICHE E ORGANIZZATIVE

Ubicazione e hosting. I Dati della Struttura sono conservati nell'Unione europea, a Francoforte, in Germania, presso un hosting provider affermato la cui archiviazione è cifrata a riposo.

Cifratura in transito. Tutto il traffico verso vetty.app e pro.vetty.app è servito tramite HTTPS, e ai browser viene indicato di utilizzare esclusivamente HTTPS (HTTP Strict Transport Security). Il video e l'audio sono trasmessi tramite connessioni WebRTC cifrate.

Controllo degli accessi. Le regole di accesso alla banca dati limitano ciascun utente ai dati della propria Struttura o del proprio account, e a ogni nuova tabella e funzione sono attribuiti diritti di accesso espliciti. I Dati della Struttura sono detenuti in un archivio riservato. L'accesso di un Membro ai Dati della Struttura cessa immediatamente quando questi viene rimosso o lascia la Struttura. Gli Amministratori stabiliscono chi appartiene alla Struttura e con quale ruolo.

Audio dei consulti. L'audio è conservato in un'area di archiviazione riservata separata, che nessun account utente può raggiungere, ma solo i server di Vetty. Ciascuna credenziale di caricamento è limitata a un singolo file e scade dopo 6 ore. L'audio è cancellato una volta conservata la trascrizione, e il nome del Partecipante viene quindi rimosso dalla scheda della registrazione. Il video e la condivisione dello schermo non vengono mai registrati.

File. Si accede ai file tramite link firmati che scadono dopo 6 ore, o tramite richieste autenticate ai server di Vetty. Le esportazioni sono scaricate solo tramite una richiesta autenticata, mai tramite un link pubblico. Il tipo di ciascun file caricato è verificato in base al suo contenuto, e le dimensioni sono limitate.

Autenticazione. Ogni indirizzo email è confermato con un codice monouso prima dell'uso. Le password devono contenere almeno 8 caratteri e sono conservate dal servizio di autenticazione in forma di hash. I Membri possono in alternativa accedere con Google. L'iscrizione e le altre richieste sensibili sono soggette a limitazione della frequenza.

Accesso degli operatori. La console operativa di Vetty può essere utilizzata solo da account operatore nominativi autorizzati da Vetty, e ogni azione di un operatore è registrata in un log di audit.

Dati di pagamento. I dati delle carte sono raccolti e detenuti da Stripe e non raggiungono mai i server di Vetty.

Minimizzazione e conservazione dei dati. L'audio è cancellato una volta trascritto. La copia di ciascuna trascrizione detenuta dal fornitore di conversione della voce in testo è cancellata una volta recuperata. Il contenuto dei consulti è cancellato 5 anni dopo l'ultimo Consulto del Cliente con la Struttura, e i Dati della Struttura 30 giorni dopo la chiusura della Struttura, come descritto alla clausola 13. Le copie di backup sono sovrascritte entro 30 giorni.

Sub-responsabili. Ciascun Sub-responsabile è incaricato sulla base di un contratto scritto contenente obblighi in materia di protezione dei dati, e nessuno di essi può addestrare modelli di IA sui Dati della Struttura.

Persone. Chiunque Vetty autorizzi a trattare Dati della Struttura è vincolato alla riservatezza. Brahim Ouasti è responsabile della protezione dei dati e della gestione degli incidenti.