La presente informativa descrive come SanitàNexus (di seguito "la Piattaforma") raccoglie, utilizza e protegge i dati personali degli utenti (professionisti sanitari e pazienti), in conformità al Regolamento UE 2016/679 (GDPR) e al D.Lgs. 196/2003 (Codice Privacy) come modificato dal D.Lgs. 101/2018.
1. Titolare del Trattamento
Il Titolare del Trattamento dei dati è:
- Denominazione: [INSERIRE RAGIONE SOCIALE / NOME COGNOME]
- Sede legale: [INSERIRE INDIRIZZO COMPLETO]
- P.IVA / C.F.: [INSERIRE P.IVA]
- Email: [INSERIRE EMAIL DI CONTATTO]
- PEC: [INSERIRE PEC]
2. Responsabile della Protezione dei Dati (DPO)
Il Titolare ha nominato un Responsabile della Protezione dei Dati contattabile via email all'indirizzo: [dpo@iltuodominio.it].
3. Categorie di Dati Personali Trattati
La Piattaforma tratta le seguenti categorie di dati:
3.1 Dati di identificazione e contatto
- Nome, cognome, data di nascita
- Email, numero di telefono, indirizzo di residenza
- Codice Fiscale (per pazienti) o numero di iscrizione all'Albo (per professionisti)
3.1-bis Dati raccolti nell'onboarding professionale (medici, infermieri, OSS)
Per garantire la sicurezza dei pazienti e la conformità normativa, i professionisti sanitari che si registrano sulla Piattaforma forniscono dati aggiuntivi, raccolti in tre livelli progressivi:
Tier 1 — Identificazione personale e sicurezza:
- Nome e cognome legali
- Codice Fiscale (validato solo nel formato, ai sensi del D.M. 12.03.1974)
- Indirizzo email e numero di cellulare (verificati tramite codice OTP)
- Preparazione per verifica di identità digitale SPID / CIE (integrazione futura; struttura dati predisposta con campo spid_verified)
Tier 2 — Verifica professionale:
- Numero di iscrizione all'Ordine professionale (Albo FNOMCeO per medici, OPI per infermieri, certificato di qualifica regionale per OSS)
- Specializzazione o area di competenza
- Sede primaria di lavoro (comune/provincia)
- Immagine/scansione del documento di iscrizione (screenshot Albo, tessera OPI, attestato OSS) — necessaria per la revisione manuale da parte del nostro team
- Curriculum Vitae in formato PDF (opzionale, max 8 MB)
Tier 3 — Dati operativi e fatturazione:
- Indirizzo fisico dello studio/clinica
- Partita IVA (validata solo nel formato di 11 cifre; utilizzata esclusivamente per l'emissione di fatture o ricevute per gli onorari ricevuti tramite la Piattaforma)
- Tariffe delle visite / consulenze
- Metodi di pagamento accettati (carta, bonifico, contanti, convenzione assicurativa)
- Orari operativi e disponibilità
Base giuridica: esecuzione del contratto (Art. 6.1.b GDPR) per i dati necessari all'erogazione del servizio; obbligo legale (Art. 6.1.c GDPR) per la Partita IVA e la conservazione dei documenti di iscrizione professionale, ai sensi del D.Lgs. 502/1992 e s.m.i. e delle norme deontologiche dei rispettivi Ordini professionali.
3.2 Dati particolari — categorie sanitarie (Art. 9 GDPR)
Nell'ambito dei servizi di telemedicina, la Piattaforma può trattare dati relativi alla salute, tra cui:
- Sintomi, anamnesi, patologie in corso
- Referti, prescrizioni, documenti medici caricati dall'utente
- Registrazioni e trascrizioni di visite in videoconsulto (solo se esplicitamente consentito)
- Informazioni sui farmaci assunti e allergie
Il trattamento di questi dati avviene esclusivamente previo consenso esplicitodell'interessato (Art. 9, par. 2, lett. a GDPR) e/o per finalità di medicina preventiva, diagnosi, assistenza o terapia sanitaria (Art. 9, par. 2, lett. h GDPR).
3.3 Dati tecnici
- Indirizzo IP, tipo di browser, sistema operativo
- Log di accesso e cronologia delle attività (audit log)
- Cookie tecnici (vedi Cookie Policy)
3.4 Dati di pagamento
I dati della carta di credito non sono mai memorizzati dalla Piattaforma. Sono gestiti direttamente dal provider di pagamento certificato PCI-DSS (Stripe Payments Europe Ltd.).
4. Finalità e Base Giuridica del Trattamento
| Finalità | Base giuridica |
|---|---|
| Erogazione dei servizi (registrazione, prenotazione, videoconsulto) | Esecuzione del contratto (Art. 6.1.b GDPR) |
| Trattamento di dati sanitari per finalità di cura | Consenso esplicito (Art. 9.2.a) e finalità di cura (Art. 9.2.h GDPR) |
| Adempimenti fiscali e contabili | Obbligo legale (Art. 6.1.c GDPR) |
| Sicurezza informatica e prevenzione frodi | Legittimo interesse (Art. 6.1.f GDPR) |
| Comunicazioni promozionali (opzionali) | Consenso (Art. 6.1.a GDPR) — revocabile in qualsiasi momento |
5. Modalità del Trattamento
I dati sono trattati con strumenti elettronici, adottando misure di sicurezza tecniche e organizzative adeguate (Art. 32 GDPR), tra cui:
- Cifratura in transito (HTTPS/TLS 1.3) e a riposo (AES-256)
- Autenticazione a due fattori (2FA) opzionale
- Log di audit di tutti gli accessi e modifiche
- Controllo degli accessi basato su ruoli (RBAC)
- Backup crittografati e ridondati
- Videoconsulti in modalità peer-to-peer (WebRTC) end-to-end encrypted
6. Destinatari dei Dati e Sub-responsabili
I dati possono essere comunicati a soggetti terzi che agiscono in qualità di Responsabili del Trattamento (Art. 28 GDPR). L'elenco completo è disponibile nel documento Accordo sul Trattamento dei Dati (DPA).
7. Trasferimenti Extra-UE
Alcuni sub-responsabili possono trattare dati fuori dall'Unione Europea (es. Stati Uniti). In tali casi il trasferimento avviene sulla base di:
- Clausole Contrattuali Standard (SCC) approvate dalla Commissione UE
- Adesione al framework EU-US Data Privacy Framework (dove applicabile)
- Garanzie supplementari (cifratura, pseudonimizzazione)
8. Periodo di Conservazione
- Dati account: per la durata del rapporto contrattuale + 10 anni (obblighi fiscali).
- Dati sanitari: conservati per il periodo minimo necessario alla finalità di cura, comunque non oltre 10 anni dall'ultima prestazione (D.M. Sanità 14.02.1997).
- Documenti fatturati: 10 anni ex art. 2220 c.c.
- Log tecnici e audit: 24 mesi.
- Videoconsulti registrati: non registrati di default. Se registrati con consenso, eliminati dopo 30 giorni salvo diverse richieste.
9. Diritti dell'Interessato
Ai sensi degli artt. 15-22 del GDPR, hai diritto di:
- Accesso ai tuoi dati personali (Art. 15)
- Rettifica di dati inesatti (Art. 16)
- Cancellazione ("diritto all'oblio", Art. 17)
- Limitazione del trattamento (Art. 18)
- Portabilità dei dati in formato strutturato (Art. 20) — la Piattaforma offre l'esportazione in formato FHIR
- Opposizione al trattamento (Art. 21)
- Revoca del consenso in qualsiasi momento, senza pregiudizio della liceità del trattamento precedente
- Reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it)
Per esercitare i tuoi diritti scrivi a: [dpo@iltuodominio.it] oppure utilizza le funzioni disponibili nella sezione "Sicurezza e Privacy" del tuo account.
10. Minori
La Piattaforma non è destinata a minori di 16 anni. Se sei un genitore o tutore e ritieni che un minore ci abbia fornito dati personali, contattaci immediatamente per la cancellazione.
11. Processo Decisionale Automatizzato
La Piattaforma utilizza strumenti di intelligenza artificiale (Symptom Checker, suggerimenti clinici) con finalità di supporto al professionista. Nessuna decisione clinica automatizzata è presa senza l'intervento umano di un medico qualificato.
12. Modifiche all'Informativa
Il Titolare si riserva il diritto di aggiornare la presente informativa. Le modifiche saranno pubblicate su questa pagina e, se sostanziali, comunicate via email.
13. Contatti
Per qualsiasi domanda su questa informativa scrivi a: [privacy@iltuodominio.it].