Bozza in attesa di revisione legale. Si accetta al momento della registrazione della clinica o dell'associazione protettrice.
1. Parti e oggetto
Questo contratto è concluso tra la clinica veterinaria o l'associazione protettrice che usa Mizuu (il «Titolare») e Mizuu (il «Responsabile»). Si accetta al momento della registrazione della clinica o dell'associazione protettrice e fa parte delle sue condizioni d'uso.
Oggetto: Mizuu tratta per conto del Titolare i dati personali che questi conserva sulla piattaforma, solo per prestargli il servizio contrattato (agenda e appuntamenti, storico clinico, clienti, fatture, avvisi e promemoria, importazione di dati da un altro programma, gestione degli animali, candidature, affidi temporanei e volontariato, e contratti di adozione).
2. Dati e interessati
- Interessati: clienti e responsabili degli animali, candidati all'adozione, persone che offrono affido temporaneo, volontari e membri del team del Titolare.
- Dati: identificativi e di contatto, indirizzo, dati degli animali e del loro storico, appuntamenti, fatture e pagamenti, messaggi, documenti d'identità degli adottanti (cifrati) e firme dei contratti.
- Non si trattano categorie particolari di dati dell'art. 9 GDPR, a meno che il Titolare le inserisca di propria iniziativa in campi di testo libero, cosa che deve evitare.
3. Durata
Dura finché il Titolare ha un account su Mizuu. Alla fine si applica il punto 11 (restituzione e cancellazione).
4. Istruzioni del Titolare
Mizuu tratta i dati solo seguendo le istruzioni documentate del Titolare: queste condizioni, la configurazione che il Titolare sceglie nel suo pannello e le richieste che fa per iscritto a [email protected]. Se Mizuu ritiene che un'istruzione violi la normativa sulla protezione dei dati, lo dirà subito al Titolare.
Mizuu non usa questi dati per i propri scopi, non li vende e non li cede, salvo obbligo di legge. Le famiglie che hanno un proprio account su Mizuu sono, per i dati di quell'account, utenti di Mizuu, e in quel caso Mizuu è titolare del proprio trattamento.
5. Riservatezza
Le persone di Mizuu che accedono ai dati sono obbligate a mantenere il segreto, anche dopo aver smesso di lavorare con Mizuu, e accedono solo quando serve per dare il servizio o per gestire un incidente o una segnalazione.
6. Misure di sicurezza (art. 32 GDPR)
- Cifratura in transito (TLS) e cifratura a riposo dei dati più sensibili (documenti d'identità, IBAN, telefoni e indirizzi) con AES-256-GCM.
- Password conservate con Argon2id, doppia autenticazione per gli account di associazione protettrice e di amministrazione, blocco dopo tentativi falliti e limiti di richieste.
- Permessi per ruolo all'interno del team del Titolare e registro di audit delle azioni sensibili.
- Copie di sicurezza cifrate e procedura di gestione degli incidenti.
7. Sub-responsabili
Il Titolare autorizza in via generale Mizuu a usare questi sub-responsabili, che trattano i dati con garanzie equivalenti a quelle di questo contratto:
- Cloudflare (rete, protezione e archiviazione dei file).
- Resend (invio di email).
- Google Firebase (notifiche push).
- Stripe (pagamenti).
- Google Play (pagamento dell'abbonamento dall'app Android).
- Anthropic (solo se si usa la scansione dei libretti con IA).
- OpenAI (solo per trascrivere in testo le note vocali).
Mizuu avviserà il Titolare con almeno 15 giorni di anticipo prima di aggiungere o cambiare un sub-responsabile, e il Titolare potrà opporsi. Se l'opposizione impedisce di prestare il servizio, il Titolare potrà recedere senza costi. I trasferimenti fuori dallo Spazio Economico Europeo si fondano sul Quadro per la protezione dei dati UE-USA o su clausole contrattuali tipo.
8. Aiuto con i diritti degli interessati
Se un interessato chiede a Mizuu di esercitare i suoi diritti su dati del Titolare, Mizuu li trasmetterà al Titolare entro un massimo di 5 giorni lavorativi. Mizuu aiuterà il Titolare con gli strumenti della piattaforma (esportare, correggere e cancellare dati) perché possa rispondere nei termini.
9. Violazioni di sicurezza
Mizuu avviserà il Titolare senza ingiustificato ritardo, e in ogni caso entro 48 ore da quando viene a conoscenza di una violazione che riguarda i suoi dati, con le informazioni disponibili: cosa è successo, quali dati e quante persone riguarda, probabili conseguenze e misure adottate. Così il Titolare può notificare l'autorità di controllo entro 72 ore (art. 33 GDPR) e, se c'è un rischio elevato, gli interessati (art. 34 GDPR).
10. Altri aiuti al Titolare
Mizuu darà al Titolare le informazioni ragionevoli di cui ha bisogno per fare valutazioni d'impatto o consultazioni preventive, quando siano necessarie.
11. Restituzione e cancellazione alla fine
Prima di cancellarsi, il Titolare può scaricare i suoi dati dal pannello (esportazione di clienti, storico e fatture). Dopo la cancellazione, Mizuu cancellerà i dati del Titolare entro un massimo di 90 giorni, salvo ciò che la legge obbliga a conservare (per esempio, le fatture), che verrà conservato in modo bloccato per il periodo legale. Lo storico clinico che fa parte del passaporto di un animale con proprietario su Mizuu si conserva in quel passaporto, come informazione dell'animale.
12. Informazioni e audit
Mizuu metterà a disposizione del Titolare le informazioni necessarie per dimostrare che rispetta questo contratto e consentirà audit ragionevoli, con preavviso di 30 giorni, al massimo una volta all'anno salvo che ci sia una violazione, a carico del Titolare e senza accesso ai dati di altri clienti.
13. Obblighi del Titolare
Il Titolare garantisce di avere una base giuridica per trattare i dati che carica su Mizuu (compresi quelli che importa da un altro programma) e di aver informato i suoi clienti, candidati e volontari. Se la normativa lo richiede, è lui a gestire i diritti degli interessati e a notificare le violazioni all'autorità.
