Contratto di edizione e di servizio « Carnet » — Condizioni generali

Traduzione di cortesia — fa fede unicamente il testo francese. Traduzione della versione 2026-10-10 del contratto (docs/contrat-lien.md; in vigore dal 10 ottobre 2026; sostituisce la versione 2026-10-09). Il contratto si conclude e si interpreta esclusivamente nella sua versione francese; in caso di divergenza, di dubbio o di lacuna, fa fede il testo francese. Titoli e numerazione corrispondono a quelli dell'originale. Abbreviazioni degli atti normativi svizzeri secondo la versione italiana ufficiale della Raccolta sistematica (Fedlex): CO, CPC, CC, CP, LAMal, LPD, OPDa, LPSan, LATer, ODmed, LRDP; l'ordinanza sulle prestazioni (in francese « OPAS ») è citata come OPre. Diciture dei pulsanti e delle schermate tradotte come nell'applicazione, con la dicitura francese tra parentesi: si accetta il testo francese. Le note del traduttore sono tra parentesi quadre « [N.d.T.: …] ». Per un Cliente fuori dalla Svizzera, le condizioni del servizio gestito fuori dalla Svizzera e l'allegato di zona derogano al presente contratto clausola per clausola e prevalgono (I.4): prezzo, IVA, perimetro e diverse clausole qui sotto non si applicano così come sono scritte — le legga in francese accanto al presente testo (dell'allegato MONDO esiste una traduzione di cortesia italiana, docs/courtoisie/it/annexe-monde-lien.md).

Parti

• L'Editore: David Lambrecht, editore del software « Carnet », Sierre (Vallese), Svizzera.
• Il Cliente: il/la professionista sanitario/a indipendente che utilizza il software, agendo nell'ambito della propria attività professionale (non consumatore ai sensi dell'art. 32 CPC).

Versione: 2026-10-10, in vigore dal 10 ottobre 2026 (sostituisce la versione 2026-10-09; identificativo unico condiviso con l'applicazione: la versione accettata dal Cliente e la marca temporale della sua accettazione sono registrate dall'applicazione e trasmesse come ricevuta al server, cfr. sezione 14).

Prima di accettare — le clausole segnalate in modo particolare. Il presente contratto si accetta con un solo gesto, munito di marca temporale e collegato alla sua versione (sezione 14). Le clausole seguenti La vincolano più delle altre: ciascuna reca, nel testo, la menzione « clausola segnalata in modo particolare » e il suo contenuto essenziale vi è scritto in grassetto. Eccole, in chiaro:

- Responsabilità limitata dell'Editore: per colpa leggera, al massimo l'importo più elevato tra i canoni degli ultimi dodici mesi e CHF 10'000.—, per evento e in totale per un anno contrattuale, esclusi i danni indiretti; restano riservati il dolo, la colpa grave e le disposizioni imperative (7.4, 7.5); - Pretese dei pazienti e dei terzi: Lei libera l'Editore da quelle che nascono dal Suo utilizzo, dai Suoi dati o dalle Sue decisioni di cura (7.7); - Nessun recupero senza i Suoi segreti: se perde tutti i Suoi mezzi di accesso (password, chiave di recupero, Foglio di recupero e, se l'ha attivato, il contatto di recupero), i Suoi dati sono persi per sempre; l'Editore non può riaprirli (7.9, 10.5, 10.6); - Foro a Sierre (Vallese): una controversia è giudicata dai tribunali di Sierre, riservati i fori imperativi (13.2); - Modifiche del contratto: quelle minori si considerano accettate se Lei non disdice entro trenta giorni (12.1); una modifica sostanziale attende il Suo « Accetto (J'accepte) » o il Suo « Rifiuto (Je refuse) » — in assenza di risposta da parte Sua trenta giorni dopo che Le è stata presentata, la sincronizzazione attende la Sua risposta, mentre l'applicazione continua a funzionare sul Suo dispositivo (12.2); - Porta di recupero e depositari: ciò che l'Editore custodisce, e a quali condizioni lo restituisce (10.8, 9.11); - Nessuna assicurazione dell'Editore: alla data della presente versione, l'Editore non ha concluso alcuna assicurazione di responsabilità civile e non ne promette alcuna; risponde dei suoi impegni con il suo patrimonio, nei limiti della sezione 7, e la sua responsabilità legale (LRDP) resta intatta (3.5, 7.11); - Pazienti curati/e in Francia: Lei dichiara di non curarne con questo account — né con il servizio gestito, né con una funzione che deposita dati sul server (sostituzione, recupero, rete di sicurezza, trasferimento tra dispositivi); se tale dichiarazione è falsa, l'Editore può disdire il contratto, e Lei risponde da solo/a delle conseguenze legali in Francia (4.1ter); - Perimetro cantonale (2.5), accesso anticipato — fase beta (3.8), IVA (5.5), richieste delle autorità (9.14), cessione del contratto (12.4); - solo alla sottoscrizione: l'abbonamento a pagamento inizia soltanto con la Sua conferma, al termine della prova gratuita di trenta giorni — senza conferma, il servizio gestito si arresta e l'uso locale continua (5.1bis) —, la parte pagata anticipatamente trattenuta dall'Editore se egli disdice per una colpa da parte Sua — in tutti gli altri casi, Le è rimborsata pro rata (5.2) —, rimedi esclusivi in caso di indisponibilità (3.2), ritiro di una funzione per sicurezza o conformità (12.3), versione non installata (7.12), cessazione del servizio con preavviso di 90 giorni (11.3) — e le condizioni della sottoscrizione stessa (5.6).

Questo riquadro riassume; fa fede il testo delle clausole.

1. Situazione iniziale e intenzione delle parti

1.1 L'Editore sviluppa e pubblica « Carnet », applicazione web progressiva (PWA) zero-knowledge per la tenuta della documentazione delle cure, la pianificazione del giro e la fatturazione, destinata ai/alle professionisti/e sanitari/e indipendenti che esercitano in Svizzera (in primo luogo nella Svizzera romanda) — si veda la clausola 2.5 (perimetro cantonale).

1.2 Il software è pubblicato sotto la licenza libera GNU Affero General Public License version 3 (AGPLv3). Il codice sorgente è pubblicamente accessibile e verificabile all'indirizzo https://carnet.health/source/ (archivio di ogni versione distribuita, tag compresi), per tutta la durata di esercizio del servizio. L'Editore non vende una licenza d'uso del codice — libero per natura — ma prestazioni di servizio (hosting della sincronizzazione cieca, supporto, servizio di depositario, backup gestiti).

1.3 « Carnet » poggia su un'architettura zero-knowledge: l'intera documentazione è cifrata end-to-end sul dispositivo del Cliente, mediante chiavi derivate unicamente dalla sua password e dalla sua chiave di recupero. L'Editore non ha alcun accesso ai dati in chiaro e non detiene alcuna chiave che gli permetta, da solo o congiuntamente al server, di decifrare i dati del Cliente — né password di amministrazione, né porta di servizio nascosta (backdoor). Detiene unicamente la chiave privata di custodia del meccanismo di recupero (sezione 10.5), che dissigilla soltanto una parte di tale meccanismo, inoperante senza le 8 parole del Foglio di recupero — oppure, se il Cliente ha espressamente attivato un contatto di recupero, senza il codice consegnato a tale contatto — segreti che l'Editore non conosce mai e che non transitano mai attraverso il server. Questa proprietà è verificabile nel codice sorgente pubblico (AGPLv3). La sovranità del Cliente sui propri dati è una proprietà essenziale e voluta del prodotto, e non un difetto.

1.4 Le parti convengono che tale architettura comporta conseguenze che il Cliente dichiara di aver compreso e accettato, in particolare: la custodia della password e della chiave di recupero, l'esecuzione dei backup e la conservazione legale della documentazione incombono esclusivamente al Cliente (sezioni 4 e 10).

2. Oggetto del contratto

2.1 Il presente contratto disciplina la messa a disposizione del software « Carnet » e la fornitura delle prestazioni di servizio connesse, nonché la ripartizione dei diritti e delle responsabilità tra le parti. Esso è un contratto innominato di durata avente per oggetto servizi informatici continui (hosting, sincronizzazione, backup, supporto); le norme sulla compravendita (art. 197 segg. CO) non si applicano alla fornitura del software libero.

2.2 Prestazioni di servizio (fatturate, ad eccezione della lett. d): (a) hosting in Svizzera del servizio di sincronizzazione cieca tra i dispositivi del Cliente; (b) conservazione di backup cifrati; (c) supporto; (d) messa a disposizione del connettore di invio alla rete MediData (clausola 9.7bis), programma libero installato presso il Cliente, che si utilizza senza sottoscrizione (clausola 5.1ter lett. a); l'Editore non inoltra alcuna fattura e non detiene né consegna alcun certificato di accesso alla rete, poiché il Cliente ottiene il proprio da MediData nell'ambito del proprio collegamento; (e) se del caso, servizio di depositario della chiave di recupero.

2.3 Destinazione assegnata del software (intended purpose). L'Editore assegna al software la destinazione rigorosamente ed esclusivamente seguente: (i) tenere e conservare la documentazione delle cure sotto il controllo del/della professionista; (ii) organizzare i giri, le pianificazioni e i promemoria amministrativi; (iii) preparare e trasmettere le fatture e i documenti amministrativi (in particolare OPre/MediData); (iv) mettere a disposizione del/della professionista informazioni di riferimento documentali che riproducono fonti pubblicate e citate (schede di riferimenti usuali per sostanza, scale e istruzioni ufficiali degli strumenti di valutazione), senza applicazione automatica ai dati di un paziente determinato; i controlli del software si limitano alla qualità formale delle immissioni e dei documenti (scrittura delle dosi secondo le regole ISMP, unità mancanti, verosimiglianza della digitazione). Il software non è destinato né a stabilire una diagnosi, né a prescrivere, né a sorvegliare parametri fisiologici, né a determinare o raccomandare un trattamento per un paziente determinato, né a sostituirsi alla valutazione clinica.

2.4 Posizionamento rispetto al diritto dei dispositivi medici. Il software è destinato alla tenuta della documentazione delle cure, all'organizzazione dei giri e alla fatturazione. Non è immesso sul mercato in quanto dispositivo medico: non esegue alcuna funzione di diagnosi, di prevenzione, di sorveglianza, di previsione o di trattamento per un paziente determinato; i suoi controlli si limitano alla qualità formale delle immissioni e dei documenti, e le informazioni di riferimento che visualizza riproducono fonti pubblicate, citate, senza applicazione automatica ai dati di un paziente. In considerazione di tale destinazione, della funzionalità effettiva del software e dell'albero di qualificazione della guida MDCG 2019-11 Rev.1, l'Editore ritiene che il software non persegua alcuna delle finalità mediche enumerate all'art. 3 dell'ordinanza relativa ai dispositivi medici (ODmed, RS 812.213) né all'art. 2 punto 1 del regolamento (UE) 2017/745 (MDR), e che non costituisca pertanto un dispositivo medico soggetto a valutazione della conformità. Le parti riconoscono che la qualificazione di dispositivo medico è oggettiva: essa compete all'apprezzamento di Swissmedic e, se del caso, del giudice, e non all'accordo delle parti. Il presente contratto documenta l'inquadramento adottato dall'Editore; non qualifica il software in modo opponibile alle autorità. L'Editore si riserva la facoltà prevista alla sezione 12 di adeguare, limitare o ritirare una funzione in caso di evoluzione normativa o di parere contrario di un'autorità competente.

2.5 Perimetro cantonale (clausola segnalata in modo particolare). Il software è concepito per l'esercizio nella Svizzera romanda: Vallese, Vaud, Ginevra, Friburgo, Neuchâtel, Giura e Cantone di Berna (Giura bernese). I testi cantonali visualizzati — autorità di vigilanza, punti di riferimento per la continuità delle cure, linee d'urgenza, durata di conservazione della documentazione e regola di sostituzione — seguono il Cantone dello studio, dedotto dal suo numero postale d'avviamento o confermato dal Cliente; essi citano la legge cantonale letta dall'Editore, e un fatto che egli non ha potuto verificare non è visualizzato. Il repertorio delle località copre tutta la Svizzera. Il conteggio del finanziamento residuo delle cure è preparato sul dispositivo del Cliente e segue il Cantone di domicilio dell'assicurato il giorno della cura (art. 25a cpv. 5 LAMal), secondo l'indirizzo registrato nella documentazione; una cura il cui indirizzo non designa un solo Cantone non è attribuita ad alcuno finché l'indirizzo non è precisato. Per un assicurato domiciliato nel Cantone dello studio, il conteggio è preparato per il Vallese (modello ufficiale vallesano, centri medico-sociali), Ginevra (modello ufficiale), Friburgo (formulario ufficiale del Servizio della previdenza sociale, per le cure fornite dal 01.10.2026 al 31.03.2027; per le cure fornite dal 01.04.2027, tale servizio esige che il conteggio di un'infermiera autorizzata a Friburgo sia allestito da un organismo di fatturazione da esso riconosciuto, ciò che l'Editore non è e che il software non sostituisce), Berna (totali da immettere nel portale cantonale e foglio di prova), il Giura e Neuchâtel (modelli ufficiali). Per un assicurato domiciliato in un Cantone diverso da quello dello studio, il software prepara il documento richiesto da tale Cantone quando l'Editore ne conosce la procedura (Ginevra: conteggio dettagliato; Friburgo e Neuchâtel: il loro modello); in mancanza, non calcola alcun importo, e il Cliente dichiara tali cure secondo le regole del Cantone o del Comune di domicilio. Il Cliente deposita egli stesso ogni conteggio e ne verifica il contenuto, tariffe applicate comprese, prima di depositarlo. Per Vaud, egli dichiara il residuo secondo le regole del Cantone, al di fuori del software, fino a quando la sua copertura non sia stata annunciata per iscritto. Negli altri Cantoni, i testi cantonali sono neutri, e l'Editore non garantisce l'idoneità del software all'esercizio in un Cantone la cui copertura non è stata annunciata per iscritto. Il resto del software — documentazione delle cure, giri, prescrizioni OPre, fatturazione all'assicurazione obbligatoria delle cure medico-sanitarie e trasmissione MediData — poggia sul diritto federale e su convenzioni nazionali, e non ne è toccato. Spetta al Cliente verificare le esigenze del proprio Cantone; l'Editore lo assiste su richiesta senza risponderne. La presente clausola delimita l'idoneità promessa; non limita alcun diritto imperativo del Cliente.

2.6 Il Cliente riconosce di poter eseguire « Carnet » senza sottoscrivere il servizio gestito, essendo il codice libero; il canone remunera esclusivamente il servizio, non il software.

3. Obblighi dell'Editore (obbligazione di mezzi)

3.1 Natura della prestazione. L'Editore si impegna a fornire e a mantenere il software e i servizi con la diligenza richiesta a un prestatore del suo ramo (obbligazione di mezzi, non di risultato). Non garantisce né un determinato risultato clinico, amministrativo o finanziario, né un funzionamento ininterrotto ed esente da qualsiasi errore, essendo una tale assenza totale di difetti tecnicamente impossibile per qualsiasi software.

3.2 L'Editore mette a disposizione aggiornamenti correttivi e di sicurezza e si adopera per mantenere la disponibilità del servizio di sincronizzazione. Nessun livello di servizio quantificato (SLA) è garantito; per contro: un'indisponibilità del servizio di sincronizzazione imputabile all'Editore (riservata la forza maggiore di cui alla clausola 7.8) che superi dieci (10) giorni consecutivi dà diritto a un accredito pro rata sulla scadenza successiva; oltre trenta (30) giorni, il Cliente può disdire con rimborso pro rata. (Clausola segnalata in modo particolare, 14.2 lett. i:) Tali rimedi escludono qualsiasi altra pretesa per la stessa causa, restando riservati gli art. 100 e 101 CO. Si ricorda al Cliente che l'applicazione funziona in locale per la tenuta della documentazione, la pianificazione, la stampa e la preparazione delle fatture; la sincronizzazione tra dispositivi dipende invece dal servizio. La trasmissione delle fatture alla rete MediData non ne dipende: essa parte dal connettore installato presso il Cliente, sotto il suo proprio certificato (9.7bis).

3.3 L'Editore assicura una sicurezza dei dati adeguata al rischio (sezione 9): cifratura end-to-end (senza detenere alcuna chiave), cifratura dei trasporti (TLS), compartimentazione e restrizione degli accessi di amministrazione, backup cifrati fuori sede, hosting in Svizzera. I registri di accesso del servizio sono disattivati (clausola 9.3).

3.4 L'Editore mantiene pubblicamente accessibile il codice sorgente della versione ufficiale — all'indirizzo https://carnet.health/source/, archivio di ogni versione distribuita — per tutta la durata di esercizio commerciale del servizio.

3.5 Assicurazione di responsabilità civile dell'Editore — nessuna è promessa (clausola segnalata in modo particolare, 14.2 lett. f bis).

(a) Alla data della presente versione, l'Editore non ha concluso alcuna assicurazione di responsabilità civile che copra la sua attività di editore del software e di prestatore del servizio gestito. Non promette di concluderne una, né entro una data, né a una condizione di volume o di cifra d'affari, né per un'estensione o una somma determinate; nessun canone è subordinato all'esistenza di una tale assicurazione. Nessuna disposizione legale impone tale assicurazione all'Editore per l'attività che il presente contratto descrive.

(b) Che cosa significa per il Cliente. L'Editore è una persona fisica che esercita come ditta individuale: risponde dei suoi impegni, nei limiti della sezione 7, con l'insieme del suo patrimonio, e non fino a concorrenza di una somma assicurata. Il Cliente sa dunque, prima di accettare, che un credito di risarcimento del danno nei confronti dell'Editore non è garantito da alcun assicuratore. Tale informazione non estende né restringe la responsabilità dell'Editore: il massimale della clausola 7.4 si applica che l'Editore sia assicurato o no, e resta senza effetto, come la clausola 7.11, per il dolo, la colpa grave e la responsabilità che il diritto imperativo pone a suo carico.

(c) Il Cliente conserva la scelta. Se ritiene che l'assenza di assicurazione non gli convenga, può rifiutare la presente versione (clausola 12.2) o disdire (clausola 11.1) con rimborso pro rata della frazione pagata anticipatamente (clausola 5.2), e conserva l'uso locale del suo software e l'esportazione dei suoi dati (clausola 8.4). È invitato ad accertarsi che la propria assicurazione di responsabilità civile professionale copra l'uso di strumenti informatici per la tenuta della documentazione delle cure.

(d) Se l'Editore conclude un'assicurazione più tardi, può informarne il Cliente e pubblicare l'estensione della copertura sulla pagina dei prezzi; tale informazione non è una modifica del contratto ai sensi della sezione 12, non crea alcun obbligo di mantenerla e non limita né estende la responsabilità dell'Editore al di là di quanto prevedono la sezione 7 e il diritto imperativo.

(e) Versioni anteriori. Ciò che è stato gratuito sotto una versione anteriore del contratto, in particolare perché l'Editore si era impegnato a non incassare alcun canone prima di essere assicurato, non è mai fatturato a posteriori. Il Cliente che non ha accettato la presente versione resta retto dalla versione che ha accettato, compreso tale impegno (clausola 12.2, « Senza risposta »).

3.6 Supporto. L'Editore fornisce il supporto per posta elettronica (), con un termine di risposta indicativo di 48 ore lavorative; le anomalie di sicurezza (6.3) sono trattate in priorità. Il supporto è compreso nel canone (5.1). È fornito nella lingua del Cliente, tra quelle che l'applicazione offre: francese, inglese, tedesco, italiano o spagnolo; in mancanza, in francese. La lingua del supporto non cambia la lingua che fa fede (il testo francese del contratto).

3.7 Collegamento MediData. Il collegamento diretto alla rete MediData è operativo dal 6 agosto 2026, tramite il connettore installato sul computer del Cliente. Per un Cliente presso il quale non è ancora attivato, il software produce i file di fatturazione nel formato ufficiale (XML validato), che il Cliente deposita egli stesso sul portale di sua scelta; l'Editore lo indica lealmente prima della sottoscrizione.

3.8 Accesso anticipato — fase beta del servizio gestito (clausola segnalata in modo particolare). Il servizio gestito è aperto in accesso anticipato, che è una fase beta in senso tecnico: il software evolve rapidamente, più volte alla settimana, e sono possibili interruzioni, regressioni e difetti. L'Editore lo annuncia prima di qualsiasi sottoscrizione, sulla schermata di sottoscrizione e sul sito, anziché lasciarlo scoprire al Cliente a posteriori.

Tale fase non riduce alcuno degli obblighi dell'Editore: backup (3.3, 9.5), servizio di recupero (10.8), rimedi in caso di indisponibilità (3.2), esportazione dei dati (11.4) e durabilità del formato restano integralmente dovuti, e la responsabilità dell'Editore non è in alcun modo alleggerita a causa dell'accesso anticipato.

Uscita senza perdite. Durante tale fase come in seguito, il Cliente può disdire in qualsiasi momento, con effetto immediato, senza spese né giustificazione; la parte pagata anticipatamente e non utilizzata gli è rimborsata pro rata dei giorni restanti (clausole 5.2 e 11.1). L'Editore annuncia la fine dell'accesso anticipato nell'applicazione e sul sito, almeno trenta (30) giorni prima; tale fine non modifica né il prezzo né le condizioni di uscita.

4. Obblighi del Cliente — dovere di verifica

4.1 Il Cliente è un/una professionista sanitario/a abilitato/a, unico/a responsabile dei propri atti, delle proprie decisioni cliniche e della loro conformità alle regole dell'arte, alla legge federale sulle professioni sanitarie (LPSan, RS 811.21 — art. 11 segg. e 16), alla LATer e ai propri obblighi professionali e deontologici (Codice deontologico del CII per la professione infermieristica).

4.1bis Garanzia di abilitazione. Il Cliente garantisce di disporre dell'autorizzazione cantonale all'esercizio della professione richiesta (art. 11 segg. LPSan) nonché, per l'uso della fatturazione a carico dell'assicurazione obbligatoria delle cure medico-sanitarie e del collegamento MediData, di un numero RCC/ZSR valido. Informa l'Editore senza indugio di qualsiasi revoca o sospensione di tali abilitazioni. L'Editore non assume alcun dovere di verifica di tali elementi. Essendo il collegamento MediData quello del Cliente, stabilito sotto il suo proprio certificato (9.7bis lett. d), l'Editore non ha alcun mezzo per sospenderlo.

4.1ter Pazienti curati/e in Francia — dichiarazione del Cliente (clausola segnalata in modo particolare). Il diritto francese riserva l'hosting di dati sanitari per conto di un/una professionista a un fornitore di hosting certificato, che li conserva nell'Unione europea o nello Spazio economico europeo (art. L.1111-8 del codice della sanità pubblica francese); il servizio gestito, ospitato in Svizzera (9.7), non soddisfa tali condizioni. Di conseguenza, il Cliente non utilizza, per pazienti che cura in Francia, né il servizio gestito né alcuna funzione che deposita dati sul server dell'Editore — sostituzione (9.12), porta di recupero (10.5, 10.8), rete di sicurezza della modalità sostituzione (9.7 ④), inoltro del trasferimento tra dispositivi (9.7 ①) —, e rende la seguente dichiarazione:

Dichiarazione del Cliente: « Non curo pazienti in Francia con questo account. »

Tale dichiarazione fa parte del presente contratto: il Cliente la rende accettandolo, con il medesimo gesto, munito di marca temporale e collegato alla versione accettata — alla sottoscrizione del servizio gestito (5.6 lett. c bis) e a ogni nuova accettazione di una versione del contratto (12.2) fintanto che utilizza il servizio gestito o una di tali funzioni. Non richiede alcun gesto separato. L'uso locale dell'applicazione, senza alcuna di tali funzioni, non è interessato.

Dichiarazione inesatta. Se la dichiarazione è o diventa inesatta, l'Editore può disdire il contratto per tale motivo, che costituisce un motivo grave ai sensi della clausola 11.2. Il Cliente risponde da solo delle conseguenze legali in Francia dell'uso che ha fatto del servizio gestito o di tali funzioni per pazienti che vi cura, nei confronti di tali pazienti, delle autorità e di qualsiasi terzo; la clausola 7.7 si applica alle pretese che ne derivassero contro l'Editore. La disdetta non priva il Cliente né dei suoi dati, che restano sul suo dispositivo, né della loro esportazione (8.4), né dell'uso locale del software (8.7).

4.2 Dovere di verifica (fondamento dell'art. 44 CO). Prima di servirsene, di condividerli, di stamparli o di trasmetterli a un terzo (paziente, assicuratore, autorità, rete MediData), il Cliente verifica l'esattezza, la completezza e la verosimiglianza di qualsiasi dato, dose, calcolo, riferimento o documento prodotto o visualizzato dal software. I riferimenti del software non dispensano in alcun caso da tale verifica, dal ricorso al giudizio professionale e alle fonti ufficiali (informazione sul medicamento, Compendium, ordinanze federali applicabili).

4.3 L'inadempimento di tale dovere di verifica costituisce una colpa concorrente del Cliente che, ai sensi dell'art. 44 cpv. 1 CO, riduce o sopprime la responsabilità dell'Editore nella misura in cui ha contribuito al verificarsi o all'aggravarsi del danno.

4.4 Custodia dei segreti e backup (oneri). Il Cliente conserva la propria password e la propria chiave di recupero in modo sicuro, separato e durevole; esegue e verifica regolarmente i propri backup cifrati (.carnet) e, se del caso, ricorre al meccanismo di depositario (sezione 10).

4.5 Aggiornamenti. Il Cliente installa senza indugio gli aggiornamenti segnalati come correttivi o di sicurezza e utilizza l'ultima versione disponibile del software.

4.6 Uso conforme. Il Cliente utilizza il software conformemente alla destinazione assegnata (sezione 2.3) e al diritto applicabile. Fonda le proprie decisioni di cura sul proprio giudizio e non sui soli riferimenti del software.

4.7 Stampe e file esportati. Ogni documento stampato o esportato fuori dall'applicazione (piano terapeutico, scheda OPre, dossier di trasmissione, formulari legali, file PDF/ODT/DOCX, file di fatturazione) esce nominativo e in chiaro e lascia il perimetro cifrato. La sua custodia, il suo trasporto, la sua archiviazione e la sua distruzione sono di esclusiva responsabilità del Cliente, a titolo del segreto professionale (art. 321 CP) e della sicurezza dei dati (art. 8 LPD). La cancellazione effettuata in Carnet non riguarda tali copie. Quando un documento è contrassegnato come inviato in Carnet, una copia cifrata dell'esemplare è conservata nel classificatore del paziente, all'interno del perimetro cifrato; essa non sostituisce la custodia dell'esemplare uscito.

5. Costi e canoni

5.1 Prezzo. Il servizio gestito — presentato sul sito e nell'applicazione con il nome di « studio gestito » — è fatturato secondo un forfait mensile o annuale, a scelta del Cliente al momento della sottoscrizione: CHF 69.— al mese, oppure CHF 690.— all'anno (ossia dieci mensilità), per posto (clausola 5.1ter lett. d), tutto compreso: sincronizzazione multi-dispositivo, backup cifrati gestiti, sostituzione (clausola 9.12), supporto, servizio di depositario e aggiornamenti. Il canone remunera il servizio, non una licenza d'uso del codice (libero). Nessuna tariffa di lancio né alcun aumento è convenuto in anticipo: l'Editore può adeguare tale prezzo soltanto secondo la procedura della sezione 12. Fuori dalla Svizzera, in ogni Paese in cui la vendita è aperta e soltanto dalla sua apertura (la pagina dei prezzi indica quali Paesi lo sono), il prezzo è quello che tale pagina pubblica per il Paese del Cliente, al netto delle imposte, nella valuta di tale Paese (al mese, o all'anno per dieci mensilità), e il servizio gestito è venduto da un rivenditore: quello indicato, al momento della vendita, dalle condizioni del servizio gestito fuori dalla Svizzera e dalla pagina di pagamento (9.6). Questi incassa il prezzo, vi aggiunge l'imposta del Paese e ne rilascia la ricevuta. L'Editore fornisce il servizio. Finché la vendita non è aperta nel suo Paese, il Cliente non vi sottoscrive e non deve nulla.

5.1bis Prova di trenta giorni, poi abbonamento su conferma (clausola segnalata in modo particolare, 14.2 lett. g). La sottoscrizione del servizio gestito apre una prova gratuita di trenta (30) giorni, sostituzione compresa, che decorre dal giorno della prima sincronizzazione dell'account del Cliente, ossia il primo invio di dati cifrati che il server accetta; finché il Cliente non ha sincronizzato, la prova non è iniziata. L'Editore constata tali date senza vedere nulla dei dati e le comunica al Cliente su richiesta. Nessun canone è dovuto per la prova.

(a) L'abbonamento inizia soltanto se il Cliente lo conferma, con qualsiasi mezzo scritto o elettronico, scegliendo la formula mensile o annuale (clausola 5.1). Nessun canone è dovuto né fatturato senza tale conferma. Il primo periodo pagato inizia il giorno successivo al termine della prova, o il giorno della conferma se questa interviene più tardi; l'abbonamento decorre poi per periodi successivi, pagabili anticipatamente, finché una delle parti vi pone fine (sezione 11).

(b) In mancanza di conferma, il servizio gestito si mette in pausa da sé al termine della prova, nella misura in cui riguarda la sincronizzazione tra dispositivi, i backup gestiti e l'apertura di nuovi accessi di sostituzione (clausola 9.12). Un accesso di sostituzione già aperto non è ritirato, e l'uso locale del software continua, gratuitamente e senza limiti di durata (clausola 5.1ter lett. a). I blocchi cifrati del Cliente sono conservati almeno novanta (90) giorni; nessuna cancellazione interviene senza un preavviso scritto di trenta (30) giorni. Il Cliente può confermare l'abbonamento in qualsiasi momento durante tale termine: il servizio gestito riprende dalla sua conferma.

(c) La prova è aperta una sola volta per Cliente; la conferma di sottoscrizione (clausola 5.6 lett. d) ne indica la data di fine, o la regola che la fissa se il Cliente non ha ancora sincronizzato. Il Cliente che aveva già accesso al servizio gestito prima del 9 ottobre 2026, senza beneficiare della gratuità di cui alla clausola 5.1ter lett. e, dispone di una prova di trenta giorni a decorrere dal giorno in cui accetta per la prima volta la versione del 9 ottobre 2026 o una versione successiva; nessun canone gli è dovuto prima della sua conferma. La fine della prova, convenuta in anticipo, non costituisce una modifica ai sensi della sezione 12.

5.1ter Fatto generatore, posto, livello studio.

(a) Ciò che è gratuito. L'esecuzione strettamente locale del software — tenuta della documentazione, pianificazione, stampa, preparazione delle fatture, esportazione del file di fatturazione che il Cliente deposita egli stesso e invio delle fatture alla rete MediData tramite il connettore installato sul suo computer, sotto il suo proprio certificato (clausola 9.7bis) — è gratuita e senza limiti di durata: non richiede alcuna sottoscrizione, essendo il codice libero (clausola 2.6). Nessuna funzione vi è limitata, nessun dato vi è trattenuto. L'esportazione completa dei dati del Cliente (clausola 8.4bis) gli resta aperta in qualsiasi momento e gratuitamente, che abbia sottoscritto o no, durante la prova, l'abbonamento o una sospensione (clausola 5.4) come dopo la fine del contratto.

(b) Ciò che è fatturato. Il canone è dovuto per il servizio gestito, dalla conferma dell'abbonamento che segue la prova (clausola 5.1bis), e per questo solo servizio: sincronizzazione tra dispositivi, backup gestiti, sostituzione (clausola 9.12), supporto, servizio di depositario. In pratica, il Cliente ha bisogno di sottoscrivere soltanto nel momento in cui desidera tali prestazioni — vale a dire quando collega un secondo dispositivo, affida un mandato di sostituzione o deposita una porta di recupero. L'invio delle fatture alla rete MediData non ne fa parte (lett. a). Nessuna di tali prestazioni è un presupposto dell'uso locale, che resta integro e gratuito (lett. a). Il canone è un forfait fisso, mai una percentuale della cifra d'affari del Cliente, e l'Editore non misura né verifica il volume di attività del Cliente, che gli è comunque impossibile osservare (architettura zero-knowledge). Una volta confermato l'abbonamento, il canone decorre secondo la periodicità convenuta, indipendentemente dal numero di fatture effettivamente trasmesse.

(c) Posto. Un posto è l'uso del servizio gestito da parte di una persona fisica determinata, professionista sanitario/a, sotto il proprio account di sincronizzazione. L'account è personale e non condiviso.

L'accesso aperto a un/una sostituto/a su un mandato di sostituzione (clausola 9.12) è personale — il suo link, il suo token e la sua chiave di firma appartengono soltanto a lui/lei, e il Cliente può ritirarlo separatamente da quello degli altri — mentre la documentazione del mandato è comune ai/alle sostituti/e che il Cliente vi ha chiamato. Sul suo dispositivo, una password unica apre l'insieme degli accessi che vi detiene, compresi quelli affidati da altri/e curanti; essa gli/le appartiene esclusivamente, e il ritiro di un accesso da parte del Cliente resta pienamente efficace qualunque sia lo stato di tale dispositivo.

Fino a cinque (5) accessi simultanei aperti dal Cliente, tutte le sostituzioni considerate, non costituiscono posti supplementari e non sono fatturati. Oltre tale soglia, ogni accesso simultaneo supplementare è un posto ai sensi della presente clausola e della clausola 5.1. Il forfait si valuta sull'insieme dei mandati aperti dal Cliente, e non mandato per mandato: un Cliente che conduce tre sostituzioni contemporaneamente dispone di cinque accessi gratuiti in totale, non di quindici. Un accesso ritirato libera il suo posto: conta soltanto la simultaneità, mai il numero di persone che si sono succedute. L'applicazione avverte il Cliente che supera tale soglia prima che apra l'accesso; non lo rifiuta mai.

Portata precisata il 20.09.2026. La redazione anteriore contava i cinque accessi per mandato; poiché nulla limita il numero di mandati di uno stesso Cliente, il forfait si moltiplicava senza limite. La correzione interviene prima di qualsiasi incasso fondato su tale clausola e non toglie alcun diritto esercitato: nessun Cliente ha aperto più di cinque accessi simultanei a oggi.

(d) Un solo prezzo, per posto. Il canone della clausola 5.1 si applica a ciascun posto, qualunque sia il numero di posti e qualunque sia la loro appartenenza, salvo convenzione scritta particolare. Non esiste alcun forfait di gruppo: il livello studio da due a quattro posti (CHF 109.—/mese), che figurava qui, è soppresso il 06.09.2026 e non è mai stato fatturato ad alcuno.

(e) Gratuità promessa per iscritto. Il Cliente al quale l'Editore ha promesso per iscritto, prima del 9 ottobre 2026, la gratuità del servizio gestito la conserva, alle condizioni e per la durata di tale promessa: il presente contratto non la revoca né la riduce, e il canone della clausola 5.1 non gli è dovuto. Il suo account non è mai sospeso per mancato pagamento (clausola 5.4). Il presente contratto non concede alcun'altra gratuità né alcun prezzo garantito a vita.

5.2 Pagamento e rimborso pro rata. I canoni sono pagabili anticipatamente secondo la periodicità convenuta. Quando il contratto o il servizio gestito termina prima della scadenza del periodo pagato, la frazione pagata anticipatamente e non utilizzata è rimborsata al Cliente pro rata dei giorni restanti, senza ricalcolo né spese, in particolare in caso di: (a) disdetta da parte del Cliente, in qualsiasi momento (clausola 11.1); (b) disdetta da parte dell'Editore con preavviso (clausola 11.1); (c) motivi gravi imputabili all'Editore (clausola 11.2), rifiuto di una modifica (clausole 12.1 e 12.2), cessazione del servizio gestito (clausola 11.3) o cessione del contratto (clausola 12.4). (Clausola segnalata in modo particolare, 14.2 lett. h:) Unica eccezione: in caso di disdetta per motivi gravi imputabili al Cliente (clausola 11.2), la frazione pagata anticipatamente resta acquisita all'Editore, restando riservate le disposizioni imperative. In Svizzera, l'Editore rimborsa egli stesso, mediante bonifico sul conto indicato dal Cliente. Là dove la vendita è aperta fuori dalla Svizzera, il rimborso è eseguito dal rivenditore (9.6), sul mezzo di pagamento utilizzato quando è possibile, imposta corrispondente compresa: l'Editore lo decide e lo fa eseguire; il debito di rimborso resta suo nei confronti del Cliente.

5.3 L'Editore può adeguare le sue tariffe conformemente alla procedura di modifica della sezione 12.

5.4 Ritardo di pagamento e sospensione. In caso di canone non pagato, l'Editore invia un sollecito con un termine di pagamento di venti (20) giorni; alla scadenza infruttuosa di tale termine, può sospendere, previo annuncio, il servizio gestito unicamente nella misura in cui riguarda la sincronizzazione tra dispositivi, i backup gestiti e la sostituzione (clausola 9.12); un accesso di sostituzione già aperto non è ritirato dalla sospensione. La sospensione non riguarda mai: l'accesso locale del Cliente ai suoi dati e al software, l'esportazione .carnet, il meccanismo di recupero, l'invio delle fatture alla rete MediData — che parte dal connettore installato presso il Cliente, sotto il certificato proprio del Cliente, che l'Editore non detiene (clausola 9.7bis) —, né i diritti conferiti dall'AGPLv3. I blocchi cifrati del Cliente sono conservati almeno novanta (90) giorni dopo la sospensione; nessuna cancellazione interviene senza un preavviso scritto di trenta (30) giorni. Là dove la vendita è aperta fuori dalla Svizzera, l'Editore non rivolge al Cliente alcuna richiesta di pagamento: il rivenditore (9.6) ritenta il pagamento e sollecita il Cliente; i suoi solleciti tengono luogo del sollecito, e la sospensione non interviene prima di ventotto (28) giorni dopo la fine del periodo pagato. Quando il Cliente vi ha confermato l'abbonamento (clausola 5.1bis lett. a) senza mai pagarne il primo periodo, il rivenditore non ha nulla da sollecitare: l'Editore gli invia il link di pagamento con un'e-mail che fissa una scadenza, non prima di venti (20) giorni da tale invio e dall'inizio di questo primo periodo, e ne indica la conseguenza; in mancanza di pagamento a tale scadenza, il servizio gestito è sospeso da sé, senza altro avviso, e un pagamento ricevuto in seguito revoca la sospensione. Senza tale e-mail, nessuna sospensione interviene a questo titolo. Le garanzie della presente clausola restano integre.

5.5 Imposta sul valore aggiunto (clausola segnalata in modo particolare). I prezzi indicati nel presente contratto si intendono IVA esclusa. A oggi, l'Editore non è assoggettato all'IVA: la sua cifra d'affari imponibile resta inferiore alla soglia legale di assoggettamento, nessuna IVA è fatturata e nessuna imposta precedente è dedotta; le fatture dell'Editore non recano pertanto alcun numero IVA. Se l'Editore diventa assoggettato, l'IVA all'aliquota legale si aggiunge di pieno diritto ai prezzi convenuti dalla data dell'assoggettamento, con un preavviso di trenta (30) giorni; tale aggiunta non costituisce una modifica sostanziale ai sensi della sezione 12 e non apre un diritto di disdetta straordinaria, poiché l'Editore non fa che riversare un'imposta che è legalmente tenuto a riscuotere. Il Cliente, che esercita un'attività di cura esclusa dal campo dell'imposta, è reso attento al fatto che tale IVA costituirà per lui un onere definitivo (nessuna deduzione dell'imposta precedente).

5.6 Sottoscrizione — condizioni preliminari a qualsiasi canone (clausola segnalata in modo particolare). Il presente contratto è accettato una prima volta alla creazione della cassaforte, la quale è gratuita e puramente locale. Nessun canone è dovuto per il solo fatto di tale creazione. L'Editore non incassa alcun canone prima che il Cliente abbia, su una schermata di sottoscrizione distinta:

• (a) preso conoscenza del prezzo applicabile (per posto), della periodicità, della durata, delle modalità di disdetta e della sorte delle somme pagate anticipatamente (clausola 5.2);
• (b) ricevuto informazione della prova di trenta giorni, del fatto che l'abbonamento inizia soltanto con la sua conferma (clausola 5.1bis), dell'importo del canone che sarà allora dovuto e di ciò che accade senza conferma;
• (c) accettato espressamente il presente contratto, con un gesto distinto dalla prima accettazione (14.1 lett. b), presentandogli la schermata, messe in evidenza, le clausole onerose di natura economica enumerate alla clausola 14.2, lettere (g) a (l);
• (c bis) dichiarato, con questa stessa accettazione, di non curare alcun/alcuna paziente in Francia con questo account, essendo la dichiarazione della clausola 4.1ter riprodotta, messa in evidenza, sulla schermata di sottoscrizione;
• (d) ricevuto una conferma per posta elettronica che riprende tali elementi, la data della fine della prova (o, se non ha ancora sincronizzato, la regola che la fissa) e la versione del contratto accettata.

Fintanto che tale meccanismo non è in servizio, l'uso del servizio gestito è gratuito e nessuna fattura è inviata al Cliente.

6. Collaborazione e supporto

6.1 L'Editore fornisce un supporto per via elettronica in misura ragionevole, al fine di aiutare il Cliente a utilizzare il servizio. Il supporto non costituisce mai una consulenza clinica né si sostituisce al giudizio professionale del Cliente.

6.2 Il Cliente collabora in buona fede, segnala senza indugio qualsiasi malfunzionamento e fornisce le informazioni necessarie al trattamento delle sue richieste. Nessun dato nominativo di pazienti deve essere trasmesso all'Editore nell'ambito del supporto; se del caso, il Cliente anonimizza le sue richieste.

6.3 Anomalie di sicurezza dell'informazione. L'Editore mantiene un canale di segnalazione dedicato () per qualsiasi anomalia di sicurezza dell'informazione che riguardi il software o il servizio. Tratta tali segnalazioni in modo prioritario e, con la diligenza di un'obbligazione di mezzi, pubblica un correttivo o neutralizza la funzione interessata (clausola 12.3) e informa i Clienti quando l'anomalia li riguarda (clausola 12.1). La presente clausola non crea alcun termine di correzione garantito.

7. Responsabilità

Sezione segnalata in modo particolare (clausole onerose). Le clausole 7.4 (limitazione e massimale), 7.5 (danni indiretti), 7.7 (manleva nei confronti dei terzi) e 7.9 (irreversibilità zero-knowledge) limitano o ripartiscono la responsabilità a scapito del Cliente. Sono messe in evidenza nel testo, richiamate nel riquadro posto in testa al contratto e presentate sulla schermata di accettazione prima del gesto che la accetta (sezione 14); il Cliente dichiara di averne preso conoscenza.

7.1 Colpa richiesta. La responsabilità contrattuale dell'Editore presuppone una mancanza di diligenza (art. 97 cpv. 1 CO). Il Cliente rimane unico responsabile delle sue decisioni professionali, delle cure che presta, dell'esattezza dei dati che immette e dei documenti che allestisce, stampa o trasmette per mezzo del software.

7.2 Informazioni di riferimento — documentazione non vincolante. Le informazioni di riferimento fornite dal software (schede documentali di riferimenti usuali per sostanza, segnalazione amministrativa di un doppione di immissione, scale citate degli strumenti di valutazione, limiti convenuti nel piano di cura IMMESSI dal Cliente) costituiscono una documentazione generica o una parametrizzazione del Cliente, indicative e non vincolanti, destinate a un/una professionista che conserva l'intera padronanza del proprio giudizio. Nessuna di tali informazioni è bloccante; nessuna costituisce un parere medico, una diagnosi, una prescrizione o una decisione automatizzata opponibile (art. 21 LPD). Una scheda assente (l'elenco delle sostanze coperte è breve e chiuso), una segnalazione non attivata, incompleta o errata non possono, di per sé, costituire un difetto: il livello di sicurezza legittimamente atteso da tali funzioni si valuta in considerazione del loro carattere puramente documentale.

7.3 Errori di visualizzazione o di stampa. Gli errori, inesattezze, omissioni o difetti di impaginazione nelle informazioni visualizzate, calcolate o stampate dal software rientrano nel regime della clausola 7.4 (riservati il dolo, la colpa grave e l'art. 100 cpv. 2 CO). Resta riservato il dovere di verifica del Cliente (sezione 4.2): il suo inadempimento costituisce una colpa concorrente (art. 44 cpv. 1 CO).

7.4 Limitazione e massimale (colpa leggera) — clausola segnalata in modo particolare (14.2 lett. a). Riservate le disposizioni imperative — in particolare l'art. 100 cpv. 1 CO (dolo e colpa grave), l'art. 100 cpv. 2 CO (potere di apprezzamento del giudice quando la responsabilità deriva dall'esercizio di un'attività soggetta ad autorizzazione o quando il creditore è al servizio del debitore) e la LRDP (RS 221.112.944), il cui art. 8 vieta di escludere o limitare in anticipo la responsabilità per danno da prodotti — la responsabilità dell'Editore derivante da una colpa leggera è limitata, per ogni evento dannoso, al più elevato dei due importi seguenti: (a) l'importo dei canoni effettivamente versati dal Cliente nel corso dei dodici mesi precedenti il fatto dannoso; oppure (b) una soglia minima fissa di CHF 10'000.—. Tale soglia minima ha lo scopo di escludere qualsiasi censura di esclusione dissimulata. Più danni che derivano dalla stessa causa o da fatti connessi formano un solo evento, attribuito all'anno contrattuale in cui si verifica il primo fatto dannoso. Massimale annuo. Inoltre, per l'insieme degli eventi di uno stesso anno contrattuale, la responsabilità dell'Editore è limitata allo stesso importo, calcolato il giorno del primo fatto dannoso dell'anno: il totale dei risarcimenti dovuti per quell'anno non può superarlo, e i due limiti non si sommano. Per anno contrattuale si intende ogni periodo di dodici mesi che inizia con l'accettazione del contratto da parte del Cliente, poi a ciascuno dei suoi anniversari. Tali limiti valgono soltanto per la colpa leggera: non limitano né il dolo, né la colpa grave (art. 100 cpv. 1 CO), né la responsabilità che la LRDP (art. 8) o un'altra disposizione imperativa pone a carico dell'Editore, e i danni di tale natura non vi si imputano.

7.5 Danni indiretti — clausola segnalata in modo particolare (14.2 lett. a). Nella stessa misura e con le stesse riserve, l'Editore non risponde dei danni indiretti o consequenziali, in particolare del lucro cessante, della perdita di clientela, del danno d'esercizio, del danno derivante da un ritardo, da un rifiuto o da un errore di fatturazione, né della perdita o dell'alterazione di dati non imputabile all'Editore.

7.6 Ausiliari e subfornitori (art. 101 cpv. 2 e 3 CO). La responsabilità dell'Editore per i suoi ausiliari e subfornitori (in particolare il fornitore di hosting, il prestatore della sincronizzazione cieca e il depositario) è, conformemente all'art. 101 cpv. 2 CO, limitata nella stessa misura della sua responsabilità propria ed esclusa per la loro colpa leggera. Le parti riconoscono che, conformemente all'art. 101 cpv. 3 CO, il giudice conserva il potere di apprezzare la validità di tale esclusione quando la responsabilità deriva dall'esercizio di un'attività soggetta ad autorizzazione. Restano riservati il dolo e la colpa grave.

7.7 Pretese di terzi (pazienti) — manleva circoscritta (art. 41 CO) — clausola segnalata in modo particolare (14.2 lett. b). I terzi, in particolare i pazienti, non sono parti del presente contratto. Il Cliente garantisce l'Editore e lo manleva da qualsiasi pretesa avanzata da un terzo (paziente, congiunto, assicuratore, autorità, datore di lavoro) in relazione all'uso che il Cliente fa del software, alle sue decisioni di cura, ai dati che immette o ai documenti che allestisce, trasmette o conserva, comprese le spese di difesa ragionevoli. Tale manleva non opera in alcun caso — nemmeno in caso di colpa leggera dell'Editore — per la responsabilità che la LRDP o un'altra disposizione imperativa pone a carico dell'Editore (in particolare morte e lesioni corporali), né per il dolo o la colpa grave dell'Editore, né per un difetto proprio del software. La manleva è circoscritta alle pretese nate dal fatto, dall'uso, dai dati o dalle decisioni del Cliente.

7.8 Forza maggiore e impedimento non colposo (art. 97, 103, 119 CO). L'Editore non è responsabile dell'inadempimento o del ritardo derivante da un evento che non poteva ragionevolmente prevedere né superare (interruzione della rete o dell'elettricità, guasto di un fornitore di hosting o di un servizio terzo, attacco informatico, decisione di un'autorità, epidemia, catastrofe). Per la durata di un tale impedimento non colposo, l'Editore non è in mora (art. 103 cpv. 2 CO) e gli obblighi interessati sono sospesi.

7.9 Carattere zero-knowledge — perdita di dati non colposa — clausola segnalata in modo particolare (14.2 lett. c). Il Cliente riconosce e accetta che l'Editore non può né leggere, né ripristinare i dati, né reimpostare una password. La perdita simultanea della password e della chiave di recupero comporta la perdita definitiva e irreversibile dei dati. L'Editore non risponde di tale perdita quando essa deriva dalla negligenza di custodia del Cliente (perdita, dimenticanza o divulgazione della sua password o della sua chiave di recupero), restando riservati la colpa grave e il dolo dell'Editore nella concezione del meccanismo di chiave di recupero o di depositario. Le parti convengono che l'inaccessibilità per l'Editore è una proprietà voluta del prodotto, non un difetto ai sensi dell'art. 4 LRDP o della garanzia contrattuale.

7.10 Garanzia per i difetti. Essendo il contratto un contratto innominato di durata avente per oggetto servizi informatici continui (sezione 2.1), la responsabilità è retta dagli art. 97, 100 e 101 CO. Il software è fornito « nello stato in cui si trova »; l'Editore non garantisce che sia esente da qualsiasi errore né adatto a un uso particolare non convenuto, al di là degli impegni di correzione previsti dal presente contratto. Restano riservati in ogni caso gli art. 100 (cpv. 1 e 2) e 101 CO, la LRDP e — nella misura in cui fosse nondimeno ritenuto il regime della compravendita — l'art. 199 CO (nullità dell'esclusione in caso di occultamento fraudolento di un difetto).

7.11 Responsabilità per danno da prodotti — riserva e trasparenza (clausola segnalata in modo particolare, 14.2 lett. f bis). Il Cliente è informato che la responsabilità dell'Editore per un danno derivante dalla morte o da lesioni corporali causato da un difetto del prodotto è retta dalla LRDP (RS 221.112.944), alla quale non si può derogare per convenzione (art. 8 LRDP). Nessuna pattuizione del presente contratto può escludere né limitare tale responsabilità, né quella per dolo o colpa grave (art. 100 cpv. 1 CO). La LRDP copre soltanto la morte, le lesioni corporali e i danni alle cose destinate all'uso privato (franchigia di CHF 900.—, art. 6 LRDP); il pregiudizio patrimoniale proprio del Cliente resta retto dalle sezioni 7.4 e 7.5. Non essendo l'Editore assicurato alla data della presente versione (clausola 3.5), tale danno è a carico del suo patrimonio; assicurato o no, resta a suo carico in tutta la misura prevista dalla LRDP, senza limitazione al massimale della clausola 7.4.

7.12 Aggiornamenti e rischio di sviluppo (art. 5 LRDP) — clausola segnalata in modo particolare (14.2 lett. k). L'Editore non risponde dei danni derivanti dall'uso di una versione obsoleta, da un difetto già corretto da un aggiornamento messo a disposizione e non installato, o da una modifica del software o del suo ambiente di esecuzione non autorizzata dall'Editore, nei limiti consentiti dal diritto imperativo.

7.13 Clausola di salvaguardia (riduzione alla misura lecita). Se una clausola del presente contratto, in particolare una limitazione o un'esclusione di responsabilità o di garanzia, dovesse essere giudicata nulla, invalida o inapplicabile, essa non sarebbe soppressa ma ridotta dal giudice alla portata massima ammessa dal diritto imperativo, senza che ne sia pregiudicata la validità delle altre clausole. Ogni limitazione prevista dal presente contratto si applica nella più ampia misura consentita dalla legge.

8. Proprietà intellettuale e licenza AGPLv3

8.1 Titolarità (art. 2 cpv. 3 e 10 LDA). Il software « Carnet » (codice sorgente e oggetto, interfacce, documentazione, elementi grafici originali) è un'opera protetta. L'Editore ne rimane unico titolare dei diritti d'autore, riservati i diritti dei terzi che vi hanno contribuito; i contributi di terzi sono retti dalla politica di contribuzione pubblicata con il repository (CONTRIBUTING.md: DCO, presentazione sotto AGPL-3.0-or-later). Il presente contratto non comporta alcuna cessione di tali diritti; né la firma, né il pagamento dei canoni, né l'uso fondano a favore del Cliente alcun diritto di proprietà intellettuale sul software.

8.2 Licenza libera. « Carnet » è pubblicato sotto AGPLv3. Il Cliente beneficia liberamente e gratuitamente dei diritti che tale licenza conferisce (esecuzione, studio, modifica, ridistribuzione del codice, alle condizioni dell'AGPLv3, in particolare del suo art. 13). Il presente contratto non limita, non sospende né condiziona tali diritti; in caso di contraddizione, l'AGPLv3 prevale per quanto riguarda l'uso del codice (conformemente al divieto di « ulteriori restrizioni » dell'AGPLv3 §10).

8.3 Assenza di porta di servizio nascosta. L'Editore garantisce che « Carnet » è concepito secondo un'architettura a conoscenza nulla: l'Editore non dispone di alcun accesso amministratore globale, password principale, porta di servizio nascosta (backdoor) o mezzo tecnico che gli permetta, da solo o congiuntamente al server, di leggere, decifrare o trasmettere a un terzo i dati del Cliente (la chiave di custodia del meccanismo di recupero, inoperante da sola, è descritta alle sezioni 1.3 e 10.5). Il server di sincronizzazione ospita soltanto blocchi cifrati inintelligibili. Il carattere libero del codice permette al Cliente, o a qualsiasi terzo di sua scelta, di verificare tale assenza di porta di servizio nascosta.

8.4 Padronanza e reversibilità dei dati del Cliente. I dati immessi, generati o importati dal Cliente, compresi il registro cifrato e i dati nominativi dei pazienti, restano sotto la padronanza esclusiva del Cliente, titolare del trattamento ai sensi della LPD (RS 235.1). Le parti impiegano di proposito il termine di padronanza e non quello di proprietà: il diritto svizzero non conosce un diritto di proprietà sui dati, e le persone interessate conservano in ogni caso i loro diritti propri (diritto d'accesso, art. 25 LPD; obbligo di rendiconto del mandato, art. 400 cpv. 1 CO). L'Editore non acquisisce su tali dati alcun diritto di uso, di analisi, di valorizzazione o di cessione.

8.4bis Due strumenti distinti — da non confondere. Il software offre due esportazioni, che non hanno né lo stesso destinatario né lo stesso uso:

(a) Il backup « .carnet » — per il solo Cliente. In qualsiasi momento e gratuitamente, il Cliente esporta l'intera sua cassaforte in un file .carnet. Tale file è cifrato sotto la sua propria chiave principale: si ripristina soltanto sul suo proprio account, mediante la sua password, la sua chiave di recupero o il suo Foglio di recupero, e il software dell'Editore è oggi l'unico in grado di rileggerlo (il suo formato è descritto nel codice sorgente pubblico, ciò che permette a chiunque di scriverne un lettore, ma un tale lettore resta da scrivere). Esso contiene la documentazione di tutti i pazienti del Cliente. Costituisce dunque il suo backup integrale e, nei confronti dell'Editore, la sua restituzione completa — non avendo l'Editore nient'altro da restituire che possa leggere. Tale file non è destinato né consegnabile a un paziente: consegnarglielo sarebbe ad un tempo inutile (egli non può aprirlo) e costitutivo di una violazione del segreto professionale nei confronti di tutti gli altri pazienti.

(b) Il « Dossier completo del paziente — diritto d'accesso (art. 25 LPD) » — per il/la paziente. Il software produce, per paziente e su selezione delle rubriche, un documento leggibile — PDF, ODT o DOCX — intitolato « Dossier complet du patient — droit d'accès (art. 25 LPD) » (Dossier completo del paziente — diritto d'accesso), comprendente l'intera cronologia e, su opzione, le fotografie delle ferite. È questa esportazione che il Cliente consegna a una persona che esercita i suoi diritti.

8.4ter Diritto d'accesso dei pazienti — ripartizione dei ruoli. Il Cliente rimane debitore del diritto d'accesso dei suoi pazienti: il titolare del trattamento che ricorre a un responsabile del trattamento rimane tenuto a fornire le informazioni richieste (art. 25 cpv. 4 LPD). L'impossibilità tecnica dell'Editore non crea dunque alcuna lacuna — l'obbligo non ha mai lasciato il Cliente, che è il solo a poter decifrare. Le parti ricordano che nessuno può rinunciare anticipatamente al diritto d'accesso (art. 25 cpv. 5 LPD), che le informazioni sono di regola gratuite e fornite entro trenta (30) giorni (art. 25 cpv. 6 e 7 LPD), e che dati sulla salute possono, con il consenso della persona interessata, esserle comunicati per il tramite di un/una professionista sanitario/a da essa designato/a (art. 25 cpv. 3 LPD) — facoltà utile di fronte a una richiesta delicata. Il diritto alla consegna o alla trasmissione dei dati (art. 28 LPD) si esercita parimenti presso il Cliente, il solo in grado di darvi seguito.

8.5 Segni distintivi e integrità della versione ufficiale. Il logo e gli altri elementi grafici originali dell'Editore sono opere protette dal diritto d'autore; non sono coperti dall'AGPLv3 (riserve della sezione 7, lett. d ed e, di tale licenza, relative all'uso dei nomi a fini pubblicitari e ai marchi) e restano di proprietà dell'Editore. La denominazione « Carnet » è utilizzata dall'Editore come segno distintivo del suo prodotto; a oggi, nessun marchio è registrato e l'Editore non rivendica alcun diritto di marchio. Il Cliente può impiegare tali segni per designare il software così come fornito. Chi modifica e ridistribuisce il codice deve segnalare le sue modifiche e non può presentare una versione modificata come la versione ufficiale né utilizzare i segni distintivi in modo da generare confusione. L'Editore non risponde né del funzionamento, né della sicurezza, né della conformità di una versione modificata o distribuita da un terzo.

8.6 Ripartizione dell'onere normativo in caso di modifica. Conformemente alle libertà dell'AGPLv3, il Cliente può modificare il codice. Chi modifica il software e gli conferisce una finalità medica ai sensi dell'art. 3 ODmed / art. 2 punto 30 MDR diventa egli stesso fabbricante e ne assume da solo l'insieme degli obblighi normativi. La presente clausola non vieta la modifica (diritto garantito dall'AGPLv3); ripartisce la responsabilità normativa che ne deriva.

8.7 Continuità tramite il codice sorgente. In ragione della pubblicazione sotto AGPLv3, il Cliente conserva, indipendentemente dalla sopravvivenza dell'Editore o dalla prosecuzione del servizio gestito, il diritto di eseguire, di far ospitare e di far mantenere « Carnet » da sé o da qualsiasi terzo, a partire dal codice sorgente pubblicato. La cessazione del contratto, qualunque ne sia la causa, non estingue tale diritto.

8.8 Garanzia « nello stato in cui si trova » e riserva imperativa. Essendo il software fornito sotto licenza libera, è messo a disposizione « nello stato in cui si trova », senza garanzia di qualità o di idoneità a un uso particolare, nei limiti consentiti dal diritto applicabile (AGPLv3, sezioni da 15 a 17). Sono espressamente riservati l'art. 100 cpv. 1 e 2 CO, l'art. 101 CO, la LRDP (art. 8, inderogabile) e il diritto del Cliente alle informazioni necessarie all'interoperabilità (art. 21 LDA). Per il resto, la responsabilità legata al software soggiace alla sezione 7.

9. Protezione dei dati (DPA integrato — LPD RS 235.1, OPDa RS 235.11)

9.1 Ruoli. Il Cliente è unico titolare del trattamento (art. 5 lett. j LPD) dei dati dei suoi pazienti: ne determina le finalità e i mezzi, ne assume la liceità (art. 6 e 8 LPD) e rimane titolare del segreto professionale (art. 321 CP).

9.2 Trattamento per conto sui blocchi cifrati. Per il solo servizio di sincronizzazione e di conservazione di backup, l'Editore interviene in qualità di responsabile del trattamento (art. 5 lett. k e 9 LPD), esclusivamente su blocchi cifrati end-to-end che non può decifrare. Per concezione, non ha alcun accesso ai dati sanitari in chiaro né alle identità dei pazienti. Tale qualifica di responsabile del trattamento è adottata per precauzione e si estende soltanto a tali operazioni su dati cifrati.

9.3 Titolare autonomo per i metadati tecnici. Per i metadati e i dati che gli sono propri — marche temporali e volumi di sincronizzazione, dati di abbinamento e dati di fatturazione del Cliente — l'Editore agisce in qualità di titolare del trattamento autonomo, sulla base legale dell'esecuzione del contratto e della sicurezza del sistema (art. 31 LPD). Tali trattamenti non sono soggetti al regime della sola istruzione del Cliente; il Cliente ne è informato dal presente contratto. Tali dati non comprendono alcun dato di pazienti. I registri di accesso dei server sono disattivati: l'indirizzo IP è trattato soltanto nella memoria volatile, ai soli fini della limitazione del traffico, e non è registrato. Unica eccezione, il servizio di recupero dell'account: ciascuna delle sue fasi — configurazione, cambiamento del numero di verifica, aggiunta o revoca di un contatto di recupero, disattivazione del servizio, richiesta, veto, consegna — è registrata con un'impronta a chiave segreta dell'indirizzo (dal 23.09.2026; in precedenza l'indirizzo stesso) e la data, in un registro che nulla può modificare né cancellare, a titolo di protezione contro una richiesta fraudolenta. Rientrano nel medesimo regime i dati trattati nella procedura di rilascio del recupero (clausola 9.11): numero di telefono di verifica, elementi di verifica dell'identità presentati il giorno della richiesta e registro della procedura — trattamenti propri dell'Editore, necessari alla protezione del Cliente stesso.

9.4 Istruzioni e riservatezza. Sui blocchi cifrati, l'Editore tratta soltanto su istruzione documentata del Cliente e per le sole finalità del servizio (art. 9 cpv. 1 LPD). L'Editore, i suoi organi e i suoi ausiliari sono tenuti alla riservatezza, anche sui metadati; tale obbligo sopravvive al contratto. L'Editore si astiene da qualsiasi tentativo di decifrazione, di correlazione o di reidentificazione dei dati conservati, nonché da qualsiasi uso a fini propri.

9.5 Sicurezza (art. 8 LPD, art. 1–4 OPDa). L'Editore assicura una sicurezza adeguata al rischio: cifratura end-to-end (senza detenere alcuna chiave), TLS, compartimentazione e restrizione degli accessi di amministrazione, backup cifrati fuori sede, hosting descritto alla clausola 9.7. Mantiene tali misure allo stato della tecnica. Il Cliente riconosce che la solidità della protezione poggia in modo determinante sulla riservatezza della sua password e della sua chiave di recupero, che egli solo detiene.

9.6 Trattamento per conto ulteriore (art. 9 cpv. 3 LPD). Il Cliente dà un'autorizzazione generale al ricorso a ulteriori responsabili del trattamento (hosting, infrastruttura), a condizione che ciascuno sia soggetto a obblighi equivalenti. L'Editore informa il Cliente, su supporto durevole, di qualsiasi aggiunta o cambiamento prima della sua attuazione, in modo da permettere al Cliente di opporvisi per motivi gravi; in caso di opposizione fondata non risolta, il Cliente può disdire il servizio interessato. L'Editore risponde della buona esecuzione degli obblighi dell'ulteriore responsabile del trattamento come dei propri.

Prestatore di servizi di pagamento. Là dove la vendita è aperta fuori dalla Svizzera, il prezzo del servizio gestito è venduto e incassato da un rivenditore (« merchant of record »), indicato al momento della vendita dalle condizioni del servizio gestito fuori dalla Svizzera e dalla pagina di pagamento (alla data della presente versione, il rivenditore è Paddle.com Market Limited, Londra, nei paesi fuori dalla Svizzera che la pagina dei prezzi indica come aperti): questi vende in nome proprio, riscuote l'imposta del Paese del Cliente, rinnova, sollecita e rimborsa. Per i dati di pagamento che il Cliente gli fornisce egli stesso, tale prestatore agisce come titolare del trattamento autonomo, secondo le proprie condizioni; non è un responsabile del trattamento dei dati dei/delle pazienti e non riceve né blocchi cifrati, né dati di pazienti. L'Editore gli comunica soltanto l'identificativo opaco dell'account di sincronizzazione del Cliente, per collegare un pagamento a tale account, e i rimborsi che decide. Il regime di informazione e di opposizione del primo capoverso si applica a tale prestatore come a un ulteriore responsabile del trattamento: l'Editore informa il Cliente, su supporto durevole, di qualsiasi cambiamento del prestatore di servizi di pagamento o di qualsiasi aggiunta di un secondo prestatore, prima della sua attuazione; il Cliente può opporvisi per motivi gravi e, in mancanza di soluzione, disdire il servizio gestito, essendogli rimborsata pro rata la frazione pagata anticipatamente e non utilizzata (5.2). In Svizzera, l'Editore vende egli stesso, senza prestatore di servizi di pagamento.

9.7 Ubicazione. I blocchi cifrati affidati all'Editore sono ospitati su infrastrutture situate in Svizzera. Nessun dato di pazienti — cifrato o in chiaro — è comunicato all'estero, salvo eventuali backup cifrati replicati verso uno Stato con protezione adeguata (art. 16 cpv. 1 LPD) o mediante una garanzia di cui all'art. 16 cpv. 2 LPD, previa informazione del Cliente. Le identità nominative dei pazienti non sono mai leggibili dall'Editore né dal server, e non sono oggetto di alcuna sincronizzazione continua. Esse circolano soltanto attraverso quattro canali sigillati, tutti cifrati end-to-end e opachi per l'Editore come per il server: ① il trasferimento puntuale da dispositivo a dispositivo che il Cliente avvia, sigillato verso il solo dispositivo destinatario, con verifica umana; ② la porta di recupero — proposta all'attivazione della sincronizzazione, l'applicazione ponendo la domanda senza attivare nulla senza scelta espressa, rifiutabile e revocabile in qualsiasi momento, scelta che viene conservata — che deposita sul server una busta SOVRASIGILLATA (cifrata sotto la chiave principale del Cliente e poi sigillata verso la chiave di recupero), decifrabile esclusivamente sul dispositivo del Cliente mediante la ricombinazione delle sue 8 parole di recupero e della parte detenuta dall'Editore, rilasciata soltanto dopo un termine di attesa; il server detiene soltanto blocchi inerti; ③ la sostituzione (« modalità sostituzione », clausola 9.12), che sigilla verso i dispositivi della sostituta designata le identità e la documentazione dei pazienti che il Cliente ha egli stesso selezionato; ④ la rete di sicurezza della modalità sostituzione, che deposita sul server le sole identità dei pazienti affidati, cifrate sotto una chiave derivata dalla chiave di accesso (passkey) della sostituta — che il server non può ricostituire —, limitate alla fine del mandato e distrutte dal ritiro del suo accesso come dalla chiusura. Essa esiste affinché una sostituta che perde il suo dispositivo in piena sostituzione ritrovi la documentazione affidata senza che il Cliente debba ricominciare tutto.

Un flusso sfugge a tali canali e non è né sigillato né opaco: la fattura all'assicurazione, che parte IN CHIARO. L'art. 42 LAMal impone al fornitore di prestazioni di consegnare all'assicuratore una fattura dettagliata; questa contiene necessariamente il cognome, il nome, la data di nascita, il sesso, il numero AVS e l'indirizzo della persona assicurata, le prestazioni fatturate, l'identità e l'indirizzo del medico prescrivente, nonché un'indicazione medica in testo libero (fino a 350 caratteri). Tale trasmissione è imposta dalla legge e indirizzata all'assicuratore, egli stesso tenuto al segreto. Il Cliente la avvia EGLI STESSO dal proprio dispositivo, a destinazione della rete MediData; il contenuto del campo di indicazione medica rientra nel suo solo apprezzamento e nel suo dovere di proporzionalità.

9.7bis Il connettore di invio — impegno di architettura (clausola essenziale).

(a) Regola. La fattura di un paziente non transita mai attraverso un'infrastruttura dell'Editore. Le parti convengono che tale regola è una caratteristica essenziale del prodotto, e non una modalità tecnica: è essa che fa sì che l'Editore non sia mai messo in presenza del contenuto di una fattura nominativa. L'Editore si impegna a mantenerla; potrebbe derogarvi soltanto con il consenso espresso e preventivo del Cliente, raccolto secondo la procedura delle modifiche sostanziali (clausola 12.2), non valendo mai il silenzio come accettazione.

(b) Come funziona. L'invio diretto alla rete MediData avviene mediante un connettore, piccolo programma libero fornito dall'Editore e installato sul computer del Cliente. Su ordine del Cliente, il software gli consegna la fattura tramite un'interfaccia propria di tale computer; il connettore la trasmette direttamente alla rete e ne riporta al software la risposta dell'assicuratore. Il Cliente può inoltre designargli espressamente una cartella locale da cui il connettore invia le fatture che vi sono depositate; nessuna cartella è sorvegliata in assenza di una tale designazione. L'esportazione manuale del file ufficiale, che il Cliente deposita egli stesso sul portale di sua scelta, resta disponibile in permanenza: se il connettore o la rete si arresta, la fatturazione non è mai bloccata.

(c) Ciò che l'Editore viene a sapere. Nulla. Il connettore non comunica con alcun server dell'Editore: l'Editore non viene a sapere né che è stato avviato, né che una fattura è partita, né alcuna fattura, alcun paziente, alcun importo, alcun indirizzo IP.

(d) Il certificato di accesso alla rete. MediData autentica il connettore mediante il certificato client proprio del Cliente, che questi ottiene egli stesso da MediData nell'ambito del proprio collegamento, sotto il suo identificativo di collegamento. Tale certificato e la sua chiave privata restano sul computer del Cliente; non sono né trasmessi all'Editore né conservati da lui, e l'Editore non detiene alcun certificato che gli permetterebbe di inviare una fattura a nome del Cliente o di leggere le risposte a lui destinate. Ne consegue che: (i) il Cliente è autenticato da un segreto che gli è proprio; (ii) l'Editore non può né sospendere né interrompere l'invio diretto, che la sospensione della clausola 5.4 non tocca; (iii) il rinnovo del certificato alla sua scadenza incombe al Cliente, presso MediData, indicandogliene il connettore la scadenza.

9.8 Violazione della sicurezza dei dati (art. 24 LPD). L'Editore notifica al Cliente senza indugio e al più tardi entro quarantotto (48) ore da quando ne viene a conoscenza qualsiasi violazione che riguardi i dati affidati; la notifica è indirizzata all'indirizzo di posta elettronica comunicato dal Cliente e, in mancanza, mediante visualizzazione nell'applicazione; l'Editore può essere raggiunto a tale riguardo all'indirizzo . La notifica indica almeno la natura della violazione, le categorie e l'ordine di grandezza dei dati interessati, le conseguenze probabili e le misure adottate o proposte, nonché un punto di contatto; è completata man mano se non tutto è noto fin dall'inizio — un fatto incompleto non giustifica l'attesa. L'obbligo dell'Editore verso il Cliente deriva dall'art. 24 cpv. 3 LPD. Sono ricordate due protezioni a favore del Cliente: una notifica fondata sull'art. 24 LPD può essere utilizzata in un procedimento penale contro chi notifica soltanto con il suo consenso (art. 24 cpv. 6 LPD) — ciò che importa al Cliente, tenuto al segreto professionale (art. 321 CP); e il Cliente può limitare, differire o rinunciare a l'informazione delle persone interessate quando un obbligo di segreto lo esige (art. 24 cpv. 5 LPD). La cifratura end-to-end dei blocchi costituisce un fattore pertinente nella valutazione del rischio per le persone interessate — valutazione che rimane casistica e che incombe in ultima istanza al Cliente (titolare del trattamento), al quale l'Editore presta l'assistenza ragionevole. L'Editore documenta ogni violazione e le misure adottate e conserva tale documentazione almeno due (2) anni (art. 15 OPDa).

9.9 Diritti delle persone, registro. Le richieste dei pazienti (art. 25 segg. LPD) sono trattate dal Cliente, il solo in grado di decifrare e di identificare i dati; l'Editore, privo di accesso al contenuto, non vi è tenuto e trasmette senza indugio al Cliente qualsiasi richiesta ricevuta. L'Editore fornisce al Cliente, su richiesta, le informazioni necessarie al suo registro (art. 12 LPD). Il Cliente, trattando dati concernenti la salute (art. 5 lett. c n. 2 LPD), è reso attento al fatto che gli incombe di tenere il proprio registro, potendo l'esenzione di cui all'art. 24 OPDa non essergli applicabile.

9.10 Cancellazione alla fine del contratto. L'Editore cancella o anonimizza i blocchi cifrati che conservava entro un termine ragionevole dopo la fine del contratto, riservate le durate tecniche strettamente necessarie (registri, backup a rotazione) e i suoi propri obblighi legali. Riguardando la cancellazione dati già inintelligibili per l'Editore, essa non pregiudica la capacità del Cliente di disporre dei suoi dati tramite la sua esportazione. Su richiesta, l'Editore attesta per iscritto la cancellazione.

9.11 Servizio di recupero e di depositario (clausola segnalata in modo particolare, 14.2 lett. f). Quando la porta di recupero è attiva (proposta all'attivazione della sincronizzazione, senza opzione preselezionata, rifiutabile e revocabile — sezione 10.5), l'Editore conserva per conto del Cliente: la parte crittografica sigillata del meccanismo, la busta sovrasigillata (identità comprese) e il numero di telefono di verifica; il server detiene soltanto blocchi inintelligibili, che nessun elemento detenuto dall'Editore permette, da solo o congiuntamente al server, di decifrare. La procedura di rilascio comprende, per principio: un termine di attesa di settantadue (72) ore per impostazione predefinita, su una soglia minima incomprimibile di ventiquattro (24) ore scritta in modo fisso nel codice del server — nessuna parametrizzazione può abbassarla, soltanto allungarla —, la notifica ai dispositivi attivi del Cliente con facoltà di veto, una verifica dell'identità prima di qualsiasi rilascio (videochiamata al solo numero registrato al momento della configurazione, documento d'identità presentato, o incontro di persona), e la tenuta di un registro inalterabile (append-only) di ogni fase. Il registro della procedura è conservato dieci (10) anni; in caso di revoca (opt-out), gli elementi conservati sono distrutti e l'Editore lo attesta per iscritto su richiesta. Tale servizio è descritto dal punto di vista dei dati nell'informativa sulla protezione dei dati (sezione 2).

9.12 Sostituzione (« modalità sostituzione », in francese « mode relève ») — comunicazione di dati coperti dal segreto professionale. La parola francese « relève » designa qui la sostituzione professionale; non ha alcun rapporto con la manleva nei confronti dei terzi della clausola 7.7, che il testo francese chiama anch'essa « relève ».

(a) Ciò che fa il software. Quando il Cliente affida tutto o parte del suo giro a un/una sostituto/a, il software trasmette a costui o costei, in forma sigillata verso i suoi dispositivi, la documentazione dei soli pazienti che il Cliente ha designato, identità comprese, fintanto che l'accesso che il Cliente gli ha aperto lo è — accesso che egli può estendere, limitare o revocare in qualsiasi momento, e che si estingue con la chiusura della sostituzione, con il ritiro di quel solo accesso, con la sua revoca o, da sé, 90 giorni dopo la fine prevista del mandato (rete di sicurezza contro la dimenticanza; un mandato senza fine non ne ha).

Il Cliente può chiamare più sostituti/e su uno stesso mandato. L'account di sincronizzazione è allora dedicato al mandato; ciascuna vi riceve un accesso personale — link, token e chiave di firma propri — che il Cliente può ritirare separatamente senza interrompere quello delle altre. La documentazione del mandato è comune: ciascuna legge e alimenta ciò che le altre scrivono, e ogni scrittura reca il nome e la firma della sua autrice. Soltanto il Cliente chiama una sostituta su un mandato; una sostituta non può chiamarvi nessuno. La sostituta vi tiene la documentazione di tali pazienti come la tiene il Cliente, recando ciascuna delle sue scritture il suo nome e la sua firma; la dichiarazione delle cure all'assicuratore (OPre, in francese « OPAS 7 ») rimane al Cliente, che risponde del mandato: la sostituta la consulta e può stamparla, senza poterla modificare. L'Editore crea a tal fine un account di sincronizzazione dedicato alla sostituta e ospita i blocchi cifrati corrispondenti.

(b) La cifratura non scioglie dal segreto. Tale trasmissione è una comunicazione di dati coperti dal segreto professionale (art. 321 CP). La cifratura protegge i dati durante il loro trasporto e la loro conservazione; non scioglie in alcun modo il Cliente dal suo segreto nei confronti della sostituta, né dal suo dovere di valutare, paziente per paziente, ciò che è necessario e proporzionato trasmettere. Il Cliente rimane titolare del trattamento (clausola 9.1) per la documentazione così affidata.

(c) Adempimenti a carico del Cliente. Il Cliente raccoglie il consenso dei suoi pazienti alla condivisione della loro documentazione con i/le curanti che intervengono presso di loro — fondamento della comunicazione (art. 321 n. 2 CP; art. 36 cpv. 2 LS/VS, legge sulla salute del Cantone del Vallese) —, ne tiene traccia e informa i suoi pazienti del ricorso a un/una sostituto/a. L'applicazione gli segnala qualsiasi opposizione di un/una paziente e la registra nella sua documentazione; non ritira alcuna documentazione al suo posto: la decisione di affidare o meno una documentazione nonostante un'opposizione — e la sua giustificazione, in particolare in caso di urgenza — rientra nel solo apprezzamento e nella sola responsabilità del Cliente. Egli si assicura che la sostituta sia abilitata a esercitare.

(d) L'Editore non verifica nulla e non può farlo. L'Editore non ha alcun mezzo di verificare tali adempimenti e non vi procede: non conosce né l'identità dei pazienti interessati, né il contenuto trasmesso (blocchi cifrati), né il fatto che un'informazione sia stata data o un'opposizione raccolta. La sua prestazione si limita al meccanismo descritto sotto (a).

(e) Impegno della sostituta, nell'applicazione. Prima di qualsiasi visualizzazione nominativa, la sostituta deve accettare delle « Condizioni d'uso della modalità sostituzione » con numero di versione, in modo bloccante al primo accesso; l'accettazione è munita di marca temporale e registrata. Quando tali condizioni cambiano nel corso del mandato, la nuova accettazione le è chiesta al suo ingresso successivo nell'applicazione, senza interrompere una cura in corso: nulla si chiude e nulla scompare fino ad allora — la documentazione continua a pervenirle, poiché la sicurezza delle cure lo esige, e le sue scritture continuano a pervenire al Cliente; un banner le chiede di accettare la nuova versione. Tali condizioni coprono: il fondamento dell'accesso — il consenso dei pazienti alla condivisione della loro documentazione, raccolto e registrato dal Cliente —, il segreto professionale (art. 321 CP), l'accesso limitato alle cure dei pazienti affidati fintanto che l'accesso accordato è aperto, il carattere personale dell'ACCESSO — link, token e chiave di firma — e il carattere COMUNE della documentazione del mandato, che tutte le sostitute chiamate dal Cliente leggono e alimentano, il divieto di comunicare tale documentazione a terzi — non essendo le altre sostitute del medesimo mandato terzi ai sensi della presente clausola —, ciò che conserva dopo il ritiro del suo accesso: il riepilogo dei propri atti, e soltanto quello, l'estinzione dell'accesso alla sua chiusura, al ritiro di quel solo accesso o alla sua revoca, e la soppressione del compartimento, la responsabilità della propria documentazione, il carattere personale e non condiviso dell'accesso, la segnalazione senza indugio di una perdita, di un furto o di un accesso non autorizzato, il divieto di comunicare tale documentazione a terzi e di farne copia fuori da Carnet, e il richiamo che l'informazione dei pazienti incombe al Cliente. Non esiste alcun documento cartaceo: l'impegno è preso nell'applicazione. Tali condizioni vincolano la sostituta nei confronti del Cliente; non creano alcun obbligo dell'Editore quanto al comportamento della sostituta.

9.13 Segreto professionale e liceità del trattamento per conto (art. 9 cpv. 1 lett. b LPD; art. 321 CP). La legge permette di affidare un trattamento a un responsabile del trattamento soltanto se nessun obbligo legale o contrattuale di segretezza lo vieta. Le parti convengono della costruzione seguente:

(a) In via principale — non vi è rivelazione. Il Cliente rimane titolare del segreto. Ciò che affida all'Editore è cifrato end-to-end: l'Editore riceve blocchi inintelligibili, senza identità né contenuto, che nessun elemento in suo possesso permette di aprire (sezioni 1.3 e 8.3). Affidare un contenuto che il destinatario non può leggere non significa rivelarglielo; il segreto non è dunque messo in causa, e la condizione dell'art. 9 cpv. 1 lett. b LPD è soddisfatta.

(b) In via sussidiaria e senza riconoscimento — la qualità di ausiliario. Per il caso in cui un'autorità o un giudice ritenesse nondimeno che vi sia una rivelazione, le parti convengono che l'Editore interviene come ausiliario del Cliente ai sensi dell'art. 321 n. 1 CP: è tenuto al medesimo segreto, per la medesima durata, anche dopo la fine del contratto (clausola 9.4), e lo estende ai propri ausiliari. Tale pattuizione è sussidiaria e non comporta alcun riconoscimento che l'architettura descritta sotto (a) sarebbe insufficiente.

(c) Ciò che, per contro, esce in chiaro — la fattura all'assicuratore (clausola 9.7) — non transita mai attraverso un'infrastruttura dell'Editore (clausola 9.7bis): l'Editore non ne è dunque in alcun momento il depositario.

9.14 Richieste delle autorità (clausola segnalata in modo particolare). L'Editore può essere destinatario di una richiesta, di un ordine di produzione o di un sequestro (in particolare art. 265 CPP).

(a) Ciò che può consegnare: blocchi cifrati inintelligibili, i metadati tecnici descritti alla clausola 9.3 e — se la porta di recupero è attiva — la parte di custodia, che è matematicamente insufficiente da sola (clausola 10.8). Non può consegnare né il contenuto di una documentazione, né l'identità di un paziente, né una cronologia delle connessioni, che non esiste (clausola 9.3).

(b) Ciò che farà: salvo divieto legale di farlo, l'Editore informa il Cliente senza indugio di qualsiasi richiesta che lo riguardi, prima di qualsiasi consegna se il termine lo permette, affinché egli possa far valere i suoi diritti — in particolare il suo segreto professionale; si limita a quanto strettamente richiesto dalla decisione, esige un titolo scritto e invoca il carattere protetto dei dati quando il diritto lo permette.

(c) Ciò che non farà: l'Editore non ha porte di servizio nascoste e si impegna a non crearne, né a indebolire la cifratura, né a modificare il software per carpire un segreto del Cliente — sia spontaneamente sia su richiesta di un terzo. Qualsiasi evoluzione che rendesse inesatto tale impegno costituirebbe una modifica sostanziale (clausola 12.2), soggetta al consenso espresso del Cliente. Il carattere libero del codice permette di verificare tale impegno a ogni versione pubblicata.

10. Zero-knowledge, conservazione legale, backup e chiave di recupero

10.1 Impossibilità tecnica e giuridica di conservare per il Cliente. Non avendo l'Editore alcun accesso ai dati in chiaro, egli è nell'impossibilità di assicurare la conservazione, l'archiviazione o la restituzione del contenuto della documentazione: tali obblighi incombono esclusivamente al Cliente.

10.2 Obbligo legale di conservazione. Il Cliente, professionista sanitario indipendente, rimane unico debitore dell'obbligo di conservare la documentazione di ogni paziente per la durata richiesta dal diritto applicabile — ossia, salvo disposizione più lunga, venti (20) anni dall'ultima annotazione (ipotesi prudente: art. 128a e 60 cpv. 1bis CO — prescrizione delle lesioni corporali; doveri professionali dell'art. 16 LPSan; ordinanza sulla cartella informatizzata del paziente; il Vallese impone almeno 20 anni, art. 32 cpv. 2 LS-VS). Conserva parimenti, per almeno dieci (10) anni, i documenti di fatturazione e di contabilità (art. 958f CO, OLC). Il Cliente provvede personalmente al rispetto di tali termini: gli incombe di esportare regolarmente la sua documentazione (clausola 10.3) e di conservare tali esportazioni per tutta la durata legale, anche dopo la fine del presente contratto. L'Editore non assicura tale conservazione e non è tecnicamente in grado di farlo, non avendo alcun accesso ai dati in chiaro: « Carnet » non è un servizio di archiviazione legale e l'Editore non può essere chiamato a rispondere a tale titolo.

10.3 Backup (onere). Il Cliente esegue, sotto la sua sola responsabilità e con una frequenza adeguata (almeno mensile e dopo ogni immissione significativa), backup completi mediante l'esportazione cifrata « .carnet », e ne conserva almeno una copia fuori dal dispositivo di lavoro. Verifica periodicamente la leggibilità e la ripristinabilità dei suoi backup.

10.4 Sincronizzazione ≠ backup ≠ archiviazione. La sincronizzazione cieca ha come sola finalità la replica tra i dispositivi del Cliente di dati già cifrati; non costituisce né un backup di sicurezza, né un'archiviazione legale, e non dispensa dagli oneri della clausola 10.3.

10.5 Irreversibilità (clausola segnalata in modo particolare, 14.2 lett. c). Il recupero dell'accesso è possibile soltanto tramite la chiave di recupero, tramite il Foglio di recupero (8 parole, ricombinate sul dispositivo del Cliente con la parte di custodia detenuta dall'Editore — sezione 1.3) o, se il Cliente lo ha attivato, tramite il contatto di recupero. Il Cliente comprende e accetta espressamente che la perdita simultanea della password, della chiave di recupero E del Foglio di recupero comporta la perdita definitiva e irreversibile dell'accesso all'insieme dei dati — non esiste alcuna procedura di reimpostazione e l'Editore da solo non può recuperare nulla. Il Cliente conserva dunque tali elementi in modo sicuro, separato e durevole.

10.6 Esclusione correlativa (clausola segnalata in modo particolare, 14.2 lett. c). L'Editore non risponde della perdita di accesso o di dati derivante dalla perdita, dalla dimenticanza o dalla divulgazione da parte del Cliente della sua password o della sua chiave di recupero, essendo tale impossibilità di recupero la contropartita inerente e voluta della protezione zero-knowledge, portata a conoscenza del Cliente prima della conclusione del contratto. Restano riservati il dolo e la colpa grave dell'Editore, in particolare nella concezione del meccanismo di chiave di recupero o di depositario.

10.7 Informazione ricevuta. Il Cliente dichiara di essere stato chiaramente informato, prima della conclusione del contratto, del fatto che la custodia durevole della documentazione, dei segreti e dei backup rientra nella sua sola responsabilità, e che « Carnet » è uno strumento di tenuta e non un servizio di archiviazione legale gestito per suo conto dall'Editore.

10.8 Porta di recupero e depositari (clausola segnalata in modo particolare). Il contratto impiega il termine « depositario » in due sensi distinti, che la presente clausola delimita: (a) il depositario di fiducia che il Cliente può designare liberamente (clausola 10.5) è un terzo scelto dal Cliente; l'Editore non riceve nulla e non interviene in tale rapporto; (b) la porta di recupero poggia su due parti: la parte « 8 parole » (Foglio di recupero), detenuta dal solo Cliente, e una parte crittografica detenuta dall'Editore, conservata sigillata fuori dal server e matematicamente insufficiente da sola; la ricombinazione avviene esclusivamente su un dispositivo del Cliente; (c) la parte detenuta dall'Editore è consegnata soltanto risigillata verso un dispositivo del Cliente, al termine della procedura verificata della clausola 9.11 — mai in chiaro, e mai a eredi o terzi al di fuori della procedura. Le parti precisano espressamente che un certificato di morte, un certificato ereditario o la qualità di avente diritto non conferiscono alcun diritto alla consegna della parte di custodia: il segreto professionale del Cliente non si trasmette per successione, e l'apertura della cassaforte consegnerebbe la documentazione dell'insieme dei suoi pazienti. La sorte della documentazione in caso di decesso del Cliente è retta dalle regole della professione e dall'autorità cantonale competente, non dal presente contratto; (d) in caso di sequestro o di richiesta (art. 265 CPP), gli elementi sequestrabili presso l'Editore non permettono, da soli, la decifrazione dei dati del Cliente — proprietà tecnica verificabile nel codice sorgente pubblico.

11. Durata, disdetta e cessazione del servizio gestito

11.1 Durata e disdetta. Il contratto è concluso per una durata indeterminata. Il Cliente può porre fine al servizio gestito, o al contratto, in qualsiasi momento, con qualsiasi mezzo scritto o elettronico, senza spese né giustificazione, con effetto immediato o alla data che indica; la frazione pagata anticipatamente e non utilizzata gli è rimborsata pro rata (clausola 5.2). L'Editore può disdire per la fine di un periodo di abbonamento in corso, con un preavviso di trenta (30) giorni, con qualsiasi mezzo scritto o elettronico.

11.2 Motivi gravi. Ciascuna parte può disdire con effetto immediato per motivi gravi, in particolare in caso di violazione grave di un obbligo essenziale rimasta senza rimedio entro un termine ragionevole dopo una diffida.

11.3 Cessazione del servizio gestito da parte dell'Editore (clausola segnalata in modo particolare, 14.2 lett. l). L'Editore può cessare tutto o parte del servizio gestito con un preavviso di novanta (90) giorni. Grazie al carattere locale e libero del software (8.7) e all'esportazione (8.4), il Cliente resta in grado di accedere ai suoi dati e di conservarli. La cessazione non pregiudica né la padronanza del Cliente sui suoi dati (8.4), né il suo obbligo di conservazione, e non dà diritto ad alcuna indennità diversa, se del caso, dal rimborso della frazione di abbonamento pagata anticipatamente e non utilizzata, restando riservati gli art. 100 cpv. 1 e 2 e 101 CO.

11.4 Obbligo persistente. La disdetta non pone fine all'obbligo legale di conservazione (10.2): incombe al Cliente, prima di qualsiasi disdetta o cessazione d'uso, procedere all'esportazione completa della sua documentazione e assicurarne la conservazione durante i termini legali residui. L'Editore non conserva dopo la fine del contratto alcun dato utilizzabile e non assume alcun obbligo di restituzione successivo.

11.5 Continuità in caso di decesso o di incapacità dell'Editore. (a) In deroga all'art. 405 cpv. 1 CO, il decesso o l'incapacità durevole dell'Editore non pone fine al contratto di pieno diritto; il contratto prosegue secondo il regime di cessazione della clausola 11.3, decorrendo il preavviso di novanta (90) giorni dalla notifica ai Clienti. (b) L'Editore designa un mandatario tecnico contrattuale (istruzioni sigillate conservate con la copia fisica della chiave di custodia), affiancato da direttive all'esecutore testamentario; tale mandatario è incaricato di notificare i Clienti entro trenta (30) giorni, di mantenere la sincronizzazione in lettura e l'esportazione per la durata del preavviso (hosting pagato in anticipo), quindi di consegnare o distruggere gli elementi di custodia con verbale — mai una trasmissione nella massa ereditaria al di fuori della procedura. (c) I segreti di esercizio (accessi al fornitore di hosting, token di amministrazione, busta di custodia) sono posti in custodia a tal fine; non permettono alcuna lettura dei dati dei Clienti (architettura zero-knowledge). (d) Il collegamento MediData, contratto di terzi, non è garantito oltre la notifica. La presente clausola è pattuita a favore del Cliente; in ogni caso, i diritti delle clausole 8.4 (esportazione) e 8.7 (continuità tramite il codice) sussistono.

12. Modifiche del contratto e del servizio

12.1 Modifiche minori (clausola segnalata in modo particolare, 14.2 lett. e). L'Editore può adeguare le presenti condizioni per motivi minori (precisazioni, evoluzioni tecniche che non toccano l'equilibrio del contratto). Ogni modifica minore è comunicata almeno trenta (30) giorni prima della sua entrata in vigore, mediante visualizzazione nell'applicazione o per via elettronica; in assenza di disdetta prima di tale data, essa si considera accettata. Il Cliente che rifiuta una modifica minore può, in deroga alla clausola 11.1, disdire per iscritto prima della sua entrata in vigore, con effetto a tale data e rimborso pro rata della frazione pagata anticipatamente. Le modifiche non si applicano retroattivamente alle prestazioni già eseguite.

12.2 Modifiche sostanziali — accettazione espressa. Ogni modifica sostanziale — in particolare del prezzo, del regime di responsabilità, della protezione dei dati o del foro — richiede l'accettazione espressa del Cliente. L'Editore gliela presenta nell'applicazione, e per posta elettronica al Cliente che ha sottoscritto il servizio gestito, in un'unica comunicazione che comprende:

• (a) la menzione che le condizioni sono cambiate, con l'identificativo della nuova versione;
• (b) un riassunto di ciò che cambia, clausola per clausola;
• (c) l'accesso al testo completo della nuova versione, in cui le clausole segnalate in modo particolare restano messe in evidenza (14.2), e che il Cliente può salvare o stampare (PDF) prima di rispondere;
• (d) la scelta tra accettare e rifiutare, e ciò che il rifiuto comporta (qui di seguito).

Il Cliente accetta con un gesto unico (« Accetto (J'accepte) »), munito di marca temporale e collegato alla versione; nessuna casella è da spuntare. Il silenzio non vale accettazione di una modifica sostanziale. Una modifica sostanziale che il riassunto (lett. b) tacesse non è opponibile al Cliente.

Senza risposta (clausola segnalata in modo particolare, 14.2 lett. e). Finché il Cliente non ha né accettato né rifiutato, continuano ad applicarsi le condizioni anteriori. Per trenta (30) giorni dalla comunicazione, l'Editore gli ricorda la modifica, nell'applicazione e, se ha sottoscritto il servizio gestito, per posta elettronica, senza interrompere nulla. Alla scadenza di tale termine, la sincronizzazione del suo account attende la sua risposta; riprende non appena accetta. La risposta data su uno dei suoi dispositivi vale per il suo account, e dunque per tutti i suoi dispositivi. Tale attesa si applica soltanto al Cliente che ha già accettato una versione del contratto che la prevede: alla modifica che la introduce, il promemoria prosegue senza interrompere nulla fino alla sua risposta. Tale attesa non è né una sospensione ai sensi della clausola 5.4, né una disdetta: l'uso dell'applicazione sul suo dispositivo continua, ed essa non riguarda mai l'accesso locale del Cliente ai suoi dati, l'esportazione .carnet, il meccanismo di recupero né i diritti conferiti dall'AGPLv3; i blocchi cifrati già affidati restano conservati. I giorni di attesa di un Cliente che ha sottoscritto non sono fatturati: gli sono accreditati pro rata sul periodo successivo, o rimborsati se il contratto termina (5.2).

Diritto di rifiutare. Il Cliente può rifiutare la modifica, con un gesto unico (« Rifiuto (Je refuse) »), munito di marca temporale e collegato alla versione. L'applicazione trasmette il rifiuto all'Editore, che ne conserva una ricevuta con marca temporale (versione rifiutata, data del rifiuto, data di effetto scelta) e la mostra al Cliente.

• (a) Il Cliente che ha sottoscritto il servizio gestito e rifiuta la modifica disdice il servizio gestito, senza spese né indennità. La disdetta ha effetto, a sua scelta, immediatamente o alla fine del periodo di abbonamento in corso — in assenza di un periodo pagato in corso, alla fine del mese civile che segue il rifiuto, e al più presto alla fine del trentesimo giorno che segue il rifiuto —, ma mai prima che l'Editore abbia ricevuto il rifiuto — tramite la ricevuta dell'applicazione o tramite una richiesta scritta a ; fino ad allora, continuano ad applicarsi le condizioni anteriori e la sincronizzazione prosegue. La frazione pagata anticipatamente e non utilizzata gli è rimborsata pro rata (5.2 lett. c). Alla data di effetto, egli si trova nella situazione della lett. (b).
• (b) Il Cliente che non ha sottoscritto il servizio gestito conserva l'uso locale del software sul suo dispositivo, alle condizioni anteriori, senza sincronizzazione. I suoi dati restano sul suo dispositivo e la loro esportazione (8.4) gli resta aperta. Può accettare la nuova versione più tardi, dall'applicazione; la sincronizzazione gli torna allora accessibile, alle condizioni della nuova versione.

Il rifiuto non priva il Cliente né dei suoi dati né della loro esportazione; gli spetta conservare la sua documentazione durante i termini legali (10.2, 11.4).

La fine della prova (clausola 5.1bis), convenuta in anticipo, non è una modifica ai sensi della presente sezione.

12.3 Evoluzione del software e riserva normativa (clausola segnalata in modo particolare, 14.2 lett. j). L'Editore può far evolvere le funzionalità, aggiungerne o ritirarne, per motivi di sicurezza, di conformità o di miglioramento, purché le funzioni essenziali convenute restino sostanzialmente assicurate. Se un'autorità competente, un'evoluzione legislativa o una nuova versione della guida MDCG dovesse qualificare come dispositivo medico tutta o parte di una funzione, l'Editore può modificarla, limitarla o ritirarla al fine di preservare la conformità, senza che ciò costituisca un inadempimento. Il carattere libero (AGPLv3) garantisce al Cliente la disponibilità duratura delle versioni anteriori. Restano riservate le disposizioni imperative (in particolare la LRDP).

12.4 Cessione del contratto e cambiamento di controllo (clausola segnalata in modo particolare). L'Editore detiene una parte di chiave di recupero e, quando la porta è attiva, una busta contenente le identità sovrasigillate dei pazienti del Cliente: l'identità di chi detiene tali elementi è determinante per il Cliente. Di conseguenza:

(a) l'Editore non può cedere il presente contratto, la sua impresa o il servizio gestito, né trasferirne il controllo a un terzo, senza informarne il Cliente per iscritto almeno sessanta (60) giorni prima, indicando l'identità, la sede e la giurisdizione dell'acquirente;

(b) il Cliente può allora disdire senza spese con effetto alla data del trasferimento, essendogli rimborsata pro rata la frazione di canone pagata anticipatamente;

(c) il Cliente può, in ogni caso e senza disdire, esigere la distruzione attestata degli elementi di custodia che lo riguardano (parte crittografica, busta sovrasigillata, numero di verifica) anziché il loro trasferimento all'acquirente; l'Editore vi procede prima del trasferimento e lo attesta per iscritto. La porta di recupero è allora disattivata, e il Cliente ne assume la conseguenza (clausola 10.5);

(d) l'acquirente è tenuto a riprendere l'integralità degli obblighi del presente contratto, compresi l'impegno di architettura della clausola 9.7bis e l'assenza di porte di servizio nascoste (clausola 9.14 lett. c).

Il decesso o l'incapacità dell'Editore rientrano nella clausola 11.5, non nella presente clausola.

13. Diritto applicabile e foro

13.1 Diritto applicabile. Il presente contratto è soggetto esclusivamente al diritto svizzero, ad esclusione delle norme di conflitto e della Convenzione delle Nazioni Unite sui contratti di compravendita internazionale di merci.

13.2 Foro (clausola segnalata in modo particolare, 14.2 lett. d). Il Cliente che agisce nell'ambito della sua attività professionale è un non consumatore (l'art. 35 CPC non si applica). Le parti convengono che il foro esclusivo è presso la sede dell'Editore, a Sierre (Cantone del Vallese), per l'una come per l'altra parte, riservati i fori imperativi. Concretamente: una controversia nata dal presente contratto si porta davanti ai tribunali di Sierre, e non davanti a quelli del domicilio del Cliente, qualunque sia la parte che agisce. Tale clausola, onerosa per il Cliente, è messa in evidenza nel testo, richiamata nel riquadro posto in testa al contratto e presentata sulla schermata di accettazione (14.2). La sua accettazione, munita di marca temporale e collegata a una versione il cui testo integrale è conservato (14.4), costituisce la « forma che consente la prova per testo » di cui all'art. 17 cpv. 2 CPC.

14. Conclusione, accettazione e attenzione particolare alle clausole onerose

14.1 Formazione del contratto — due momenti distinti. (a) Alla creazione della cassaforte, gratuita e puramente locale, il Cliente accetta le presenti condizioni con un gesto unico nell'applicazione — la pressione sul pulsante « Creare l’account (Créer le compte) », immediatamente preceduta dalla frase « Toccando « Creare l’account (Créer le compte) », Lei dichiara: « Accetto il contratto, comprese le clausole segnalate in modo particolare » » (14.2 n. 4) —, dopo che il testo completo e le sue clausole segnalate in modo particolare gli sono stati presentati (14.2); la versione accettata e la marca temporale dell'accettazione sono registrate come prova. Tale accettazione non fa nascere alcun obbligo di pagare: disciplina l'uso, non l'abbonamento. (b) Alla sottoscrizione del servizio gestito, il Cliente accetta inoltre, su una schermata distinta e con un nuovo gesto unico, munito di marca temporale e collegato alla versione, gli elementi economici del contratto, le sue clausole onerose di natura economica e la dichiarazione della clausola 4.1ter (clausola 5.6). Le clausole di natura economica — prezzo, prova e conferma dell'abbonamento, sorte delle somme pagate anticipatamente, durata e disdetta — sono opponibili soltanto a decorrere da tale seconda accettazione. Lo stesso vale per la clausola di foro (13.2): chi non ha mai sottoscritto è soggetto ai fori legali ordinari. Le clausole relative alla responsabilità e all'irreversibilità zero-knowledge si applicano invece fin dalla prima accettazione, essendo l'uso gratuito esso stesso fornito « nello stato in cui si trova » (clausola 8.8).

14.2 Attenzione particolare alle clausole onerose (regola dell'insolito). Le parti riconoscono che il Cliente non è esperto del diritto delle licenze né della responsabilità del software. Le clausole onerose qui di seguito non sono dunque annegate in un'accettazione globale: l'Editore richiama in modo particolare l'attenzione del Cliente su ciascuna di esse, e lo fa con quattro mezzi cumulativi:

• (1) nel testo, ciascuna reca la menzione « clausola segnalata in modo particolare » e il suo contenuto essenziale è scritto in grassetto;
• (2) un riquadro posto in testa al contratto le enumera e ne illustra la portata in linguaggio corrente;
• (3) la schermata di accettazione presenta questo stesso riquadro, e dà accesso al testo completo, prima del pulsante di accettazione, in modo che non si possa accettare senza averlo avuto sotto gli occhi; permette anche, prima di tale pulsante, di salvare o stampare il contratto (PDF);
• (4) il pulsante di accettazione, o la frase che lo precede immediatamente, le nomina: « Accetto il contratto, comprese le clausole segnalate in modo particolare (J'accepte le contrat, y compris les clauses spécialement signalées) ».

Il Cliente accetta il contratto, clausole segnalate comprese, con tale gesto unico, munito di marca temporale e collegato alla versione; nessuna casella è da spuntare. Lo stesso vale per ogni nuova accettazione di una versione modificata (12.2). La giurisprudenza del Tribunale federale ritiene l'attenzione sufficientemente richiamata quando la clausola è redatta in modo chiaro, inequivocabile e messa in evidenza con procedimenti tipografici quali i caratteri in grassetto (sentenza del TF 4A_372/2022 dell'11.07.2023, consid. 3.3; si vedano anche DTF 138 III 411 consid. 3.1 e 3.5; DTF 135 III 1 consid. 2.1).

Primo gruppo — alla creazione della cassaforte, nell'applicazione:

• (a) limitazione di responsabilità e massimale (7.4) ed esclusione dei danni indiretti (7.5);
• (b) manleva nei confronti dei terzi / hold harmless (7.7);
• (c) irreversibilità zero-knowledge e perdita di dati (7.9, 10.5, 10.6);
• (d) foro presso la sede dell'Editore (13.2);
• (e) modifica per silenzio per le modifiche minori (12.1), e attesa della sincronizzazione in mancanza di risposta a una modifica sostanziale entro trenta giorni (12.2);
• (f) porta di recupero e depositari (10.8, 9.11);
• (f bis) assenza di assicurazione dell'Editore: nessuna assicurazione di responsabilità civile è conclusa né promessa; l'Editore risponde con il suo patrimonio, nei limiti della sezione 7; la responsabilità legale (LRDP) resta intatta (3.5, 7.11);
• (m) perimetro cantonale: l'idoneità del software non è garantita al di fuori dei Cantoni e delle procedure che la clausola indica (2.5);
• (n) accesso anticipato — fase beta: interruzioni, regressioni e difetti possibili; uscita in qualsiasi momento con rimborso pro rata, durante tale fase come in seguito (3.8);
• (o) pazienti curati/e in Francia: la dichiarazione del Cliente e le sue conseguenze — disdetta da parte dell'Editore, e responsabilità esclusiva del Cliente per le conseguenze legali in Francia (4.1ter);
• (p) richieste delle autorità: ciò che l'Editore può consegnare, ciò che farà e ciò che non farà (9.14);
• (q) cessione del contratto e cambiamento di controllo (12.4).

Le lettere da (m) a (q) sono state aggiunte dalla versione dell'8 ottobre 2026, dopo le lettere esistenti, affinché i rinvii del contratto a 14.2 lett. da a a l (3.2, 3.5, 5.1bis, 5.2, 9.11, 10.5, 11.3, 12.1, 12.3, 13.2) restino esatti. Queste cinque clausole recavano già la menzione « clausola segnalata in modo particolare » e figuravano nel riquadro iniziale; mancavano in questo elenco, che ne fonda l'opponibilità.

Secondo gruppo — alla sottoscrizione del servizio gestito (clausola 5.6), sulla schermata di sottoscrizione:

• (g) arresto del servizio gestito al termine della prova di trenta giorni, in mancanza di conferma (5.1bis): sincronizzazione, backup gestiti e apertura di nuove sostituzioni si arrestano, i blocchi cifrati sono conservati almeno novanta giorni (5.1bis);
• (h) parte pagata anticipatamente acquisita all'Editore in caso di disdetta per motivi gravi imputabili al Cliente — unica eccezione al rimborso pro rata (5.2);
• (i) carattere esclusivo dei rimedi in caso di indisponibilità: accredito pro rata oltre 10 giorni, disdetta oltre 30 giorni, ad esclusione di qualsiasi altra pretesa per la stessa causa (3.2);
• (j) facoltà di ritirare o limitare una funzione per motivi di sicurezza o di conformità, senza che ciò costituisca un inadempimento (12.3);
• (k) decadenza in caso di versione non installata: l'Editore non risponde dei danni derivanti dall'uso di una versione obsoleta o da un difetto già corretto da un aggiornamento non installato (7.12);
• (l) cessazione del servizio gestito con un preavviso di 90 giorni (11.3), e aggiunta di pieno diritto dell'IVA in caso di assoggettamento dell'Editore (5.5).

Una clausola di questo elenco che non fosse stata presentata al Cliente nel modo descritto qui sopra prima della sua accettazione gli è inopponibile, restando in vigore il resto del contratto.

14.3 Portata del dispositivo. Il Cliente riconosce che il presente contratto non è che un livello di un dispositivo di protezione che comprende anche l'inquadramento nell'applicazione « aiuto, non dispositivo medico, non decisionale » e l'ottenimento, se del caso, di un parere scritto di qualificazione di Swissmedic.

14.4 Firme / accettazione elettronica.

Per l'Editore: ____________________ Data: __________

Il Cliente dichiara di aver letto, compreso e accettato il presente contratto, comprese le clausole onerose segnalate in modo particolare alla clausola 14.2 e, se utilizza il servizio gestito, la dichiarazione della clausola 4.1ter. Non essendo il contratto soggetto ad alcuna forma legale (art. 11 CO), l'accettazione elettronica è sufficiente a concluderlo; l'Editore conserva il testo integrale di ogni versione accettata, e lo allega alla conferma di sottoscrizione (5.6 lett. d):

Cognome / nome: ____________________ Data e marca temporale: __________ Versione accettata: __________

Traduzione di cortesia — fa fede unicamente il testo francese (docs/contrat-lien.md, versione 2026-10-10).