1. Chi tratta i dati
1.1 Lo studio (Titolare per i dati dei pazienti)
Lo studio professionale che usa Ippocrate decide perché e come trattare i dati dei propri pazienti, dello staff e dei collaboratori. I suoi estremi (ragione sociale, sede, P.IVA, contatti, eventuale DPO) sono indicati nell'informativa che lo studio consegna ai pazienti. Per esercitare i diritti sui dati clinici, il paziente si rivolge allo studio che lo ha in cura.
1.2 Il Fornitore della piattaforma
- Digital-Tech Web Agency — ditta individuale di Nicholas Berardicurti
- Sede legale: Via Oreste Ranelletti 58, 67043 Celano (AQ)
- P.IVA: 02096070665
- Email privacy: privacy@ippocrate.cloud
- PEC: assistenza@pec.digital-tech.cloud
- Sito: www.digital-tech.cloud
2. Referente privacy e DPO
Il referente privacy della piattaforma risponde a privacy@ippocrate.cloud. Se lo studio ha nominato un proprio DPO, le richieste sui dati dei pazienti vanno rivolte prima di tutto allo studio o al suo DPO; quelle arrivate al Fornitore vengono inoltrate allo studio senza ritardo.
3. Quando il Fornitore è Titolare autonomo
Digital-Tech Web Agency decide in autonomia (e ne risponde come Titolare) per questi trattamenti, distinti da quelli svolti per conto degli studi:
- Account degli utenti (titolari, staff, collaboratori, laboratori): credenziali, sicurezza degli accessi, assistenza.
- Rapporto contrattuale con lo studio: offerte, abbonamento, fatturazione, pagamenti, comunicazioni di servizio.
- Versione dimostrativa e contatti commerciali con studi potenzialmente interessati (sezione 7).
- Sicurezza della piattaforma: log tecnici, prevenzione di abusi e frodi, gestione degli incidenti.
4. Quali dati
4.1 Dati inseriti dallo studio (trattati per suo conto)
- Anagrafici e di contatto di pazienti, familiari o tutori (anche di minori), staff, collaboratori e fornitori: nome, codice fiscale, data e luogo di nascita, indirizzo, telefono, email, tessera sanitaria.
- Dati sanitari (art. 9 GDPR): anamnesi, cartella clinica e parodontale, odontogramma, diario clinico, piani di cura, ricette, immagini diagnostiche e fotografie, consensi e documenti firmati.
- Agenda e comunicazioni: appuntamenti, promemoria, richiami, messaggi SMS/WhatsApp/email con i pazienti e relative risposte.
- Dati amministrativi: preventivi, fatture, pagamenti, trasmissioni al Sistema Tessera Sanitaria e allo SDI.
- Dati del personale: ruoli, permessi, turni, timbrature, assenze, compensi ove gestiti dallo studio.
4.2 Dati trattati dal Fornitore come Titolare
- Utenti: nome, email, ruolo, studio di appartenenza, impostazioni di sicurezza (es. secondo fattore di autenticazione).
- Studio cliente: dati fiscali, referente, piano sottoscritto, storico pagamenti (i dati della carta sono gestiti solo da Stripe, mai salvati da Ippocrate).
- Dati tecnici: indirizzo IP, data e ora degli accessi, tipo di browser e dispositivo, registro delle operazioni sensibili.
- Demo e contatti commerciali: vedi sezione 7.
5. Perché e su quale base giuridica
| Finalità | Base giuridica | Ruolo del Fornitore |
|---|---|---|
| Gestione clinica e amministrativa dei pazienti (cartella, agenda, documenti, preventivi, fatture) | Per lo studio: art. 6(1)(b) e (c); per i dati sanitari art. 9(2)(h) GDPR (finalità di cura) | Responsabile |
| Promemoria e conferme degli appuntamenti, richiami di controllo | Per lo studio: art. 6(1)(b) o legittimo interesse alla continuità delle cure (art. 6(1)(f)); il paziente può opporsi in qualsiasi momento | Responsabile |
| Invio delle spese sanitarie al Sistema Tessera Sanitaria | Obbligo di legge dello studio (D.Lgs. 175/2014 e decreti attuativi); il paziente può opporsi all'invio chiedendolo allo studio | Responsabile |
| Comunicazioni promozionali dello studio | Consenso del paziente (art. 6(1)(a)), revocabile in ogni momento | Responsabile |
| Erogazione del servizio, account, assistenza, fatturazione agli studi | Esecuzione del contratto (art. 6(1)(b)); obblighi fiscali (art. 6(1)(c)) | Titolare |
| Sicurezza, log di accesso, prevenzione di abusi, backup | Legittimo interesse (art. 6(1)(f)) e obbligo di sicurezza (art. 32) | Titolare (e Responsabile per i dati dello studio) |
| Versione dimostrativa e contatti commerciali con studi | Legittimo interesse a presentare il servizio a professionisti (art. 6(1)(f)); opposizione sempre possibile | Titolare |
| Funzioni di intelligenza artificiale (se attivate dallo studio) | Per lo studio: art. 6(1)(b) e art. 9(2)(h); il risultato è sempre verificato da un professionista | Responsabile |
6. Come vengono protetti i dati
- Server in Italia (Aruba S.p.A.) e un database separato per ogni studio: i dati di uno studio non sono mai nello stesso archivio di un altro.
- Connessioni cifrate (HTTPS/TLS); documenti del paziente cifrati con AES-256-GCM in un archivio con chiavi distinte per paziente.
- Password conservate solo in forma di hash; secondo fattore di autenticazione ove attivato; blocco dopo tentativi ripetuti.
- Ruoli e permessi decisi dallo studio (chi vede cosa); registro delle operazioni sensibili e dei consensi.
- Backup cifrati con chiave dello studio, a rotazione (giornaliero, quindicinale, mensile).
- File e codice della piattaforma non accessibili dall'esterno; aggiornamenti di sicurezza e monitoraggio degli errori.
- Assistenza tecnica: il Fornitore accede ai dati di uno studio solo quando serve per risolvere un problema segnalato, con un accesso in sola lettura, temporaneo (massimo 2 ore) e registrato.
7. Versione dimostrativa e contatti commerciali
Agli studi interessati il Fornitore può inviare un link alla versione dimostrativa (con pazienti e dati interamente di fantasia) o creare uno studio di prova. Per capire quali funzioni interessano e migliorare la presentazione, durante la demo vengono registrati: accessi e durata, pagine visitate, pulsanti e schede aperte, ricerche digitate nei campi di ricerca e quanto viene letta ogni pagina. Non vengono registrati password né il contenuto dei campi compilati. Questi dati sono conservati per 12 mesi e usati solo dal Fornitore.
I recapiti professionali degli studi contattati possono provenire da fonti pubbliche (es. Registro delle Imprese, schede pubbliche delle attività) o essere forniti direttamente dallo studio. In ogni momento è possibile chiedere di non essere più contattati scrivendo a privacy@ippocrate.cloud.
8. A chi vengono comunicati (sub-responsabili)
I dati sono accessibili solo al personale autorizzato dello studio e, per quanto necessario, del Fornitore. Per singole funzioni il Fornitore si avvale di questi fornitori, vincolati da contratto (art. 28(4) GDPR); quelli contrassegnati da * intervengono solo se lo studio attiva il servizio corrispondente:
| Fornitore | Servizio | Luogo / garanzie |
|---|---|---|
| Aruba S.p.A. | Server, database, backup; posta elettronica di servizio; SMS* | Italia |
| Twilio Inc.* | SMS e messaggi WhatsApp ai pazienti | USA / UE — Clausole Contrattuali Standard, Data Privacy Framework |
| Meta Platforms Ireland Ltd.* | Rete WhatsApp Business per i messaggi | UE / USA — CCS, DPF |
| Stripe Payments Europe Ltd. | Pagamenti dell'abbonamento e dei pacchetti (dati della carta) | UE / USA — CCS, DPF |
| OpenAPI S.p.A.* | Fatturazione elettronica (SDI), firma elettronica, SMS, dati camerali | Italia |
| InfoCert S.p.A. / Namirial S.p.A. / Aruba PEC S.p.A.* | Firma elettronica avanzata o qualificata di documenti | Italia |
| OpenAI Ireland Ltd. / Google Ireland Ltd.* | Funzioni di intelligenza artificiale (IppocrateAI) | UE / USA — CCS, DPF; dati minimizzati, non usati per addestrare i modelli |
| Apple Inc.* | Notifiche push delle app iOS | USA — CCS, DPF |
I dati possono inoltre essere comunicati alle amministrazioni destinatarie per legge (Sistema Tessera Sanitaria, Agenzia delle Entrate tramite SDI), a consulenti vincolati alla riservatezza e alle autorità che ne facciano richiesta legittima. I dati non vengono venduti né usati per pubblicità di terzi.
9. Trasferimenti fuori dall'Unione Europea
I dati dello studio restano in Italia. Alcuni dei fornitori elencati, solo per le funzioni indicate, possono trattare dati negli Stati Uniti: avviene sulla base della decisione di adeguatezza UE–USA (Data Privacy Framework) o delle Clausole Contrattuali Standard approvate dalla Commissione (Decisione 2021/914), con le misure supplementari necessarie.
10. Per quanto tempo
- Dati clinici e amministrativi dei pazienti: per il tempo deciso dallo studio nel rispetto degli obblighi di legge (documentazione sanitaria e fiscale, di norma 10 anni).
- Alla fine del contratto: lo studio può scaricare i propri dati per 30 giorni; poi vengono cancellati dai sistemi attivi e, entro i successivi 60 giorni, dalle copie di backup.
- Backup: a rotazione, l'ultima copia mensile al massimo.
- Log di accesso e sicurezza: 12 mesi, salvo indagini o obblighi di legge.
- Demo e contatti commerciali: 12 mesi dall'ultimo contatto, o fino all'opposizione.
- Dati contrattuali e fiscali degli studi clienti: 10 anni, come previsto dalla normativa fiscale.
- Registro dei consensi: per tutta la durata del trattamento e almeno 5 anni dopo, per poterne dimostrare la raccolta.
11. I diritti dell'interessato
Chiunque abbia dati trattati con Ippocrate può chiedere accesso (art. 15), rettifica (art. 16), cancellazione nei casi previsti (art. 17), limitazione (art. 18), portabilità (art. 20), opporsi ai trattamenti basati sul legittimo interesse e al marketing (art. 21) e revocare i consensi in ogni momento (art. 7). Il paziente può inoltre opporsi all'invio delle proprie spese sanitarie al Sistema Tessera Sanitaria chiedendolo allo studio.
Pazienti: rivolgersi allo studio che vi ha in cura. Utenti, studi clienti e contatti commerciali: scrivere a privacy@ippocrate.cloud. Si risponde entro un mese. Resta sempre il diritto di presentare reclamo al Garante per la protezione dei dati personali.
12. Conferimento dei dati
I dati necessari alla cura e agli adempimenti di legge vanno forniti allo studio: senza di essi lo studio potrebbe non poter erogare la prestazione o emettere i documenti fiscali. Il consenso alle comunicazioni promozionali è facoltativo e il rifiuto non ha alcuna conseguenza sulle cure.
13. Intelligenza artificiale e decisioni automatizzate
Le funzioni di IppocrateAI (sintesi del diario, aiuto nella scrittura, lettura di etichette e documenti) aiutano lo staff ma non decidono: ogni risultato è controllato da un professionista e non vengono prese decisioni basate unicamente su trattamenti automatizzati (art. 22 GDPR). Ai fornitori di intelligenza artificiale vengono inviati solo i dati necessari alla singola richiesta; lo studio può disattivare queste funzioni in qualsiasi momento.
14. Violazioni dei dati
In caso di violazione dei dati personali il Fornitore informa lo studio entro 48 ore dalla scoperta, con le informazioni disponibili, per consentirgli di notificare il Garante entro 72 ore e, se necessario, gli interessati. Per i trattamenti di cui è Titolare, il Fornitore effettua direttamente le notifiche previste.
15. Modifiche
L'informativa può essere aggiornata per cambiamenti normativi o del servizio. La versione in vigore è sempre su questa pagina con la data di aggiornamento; le modifiche rilevanti vengono comunicate agli studi clienti.
16. Contatti
- Digital-Tech Web Agency — ditta individuale di Nicholas Berardicurti
- Sede legale: Via Oreste Ranelletti 58, 67043 Celano (AQ)
- P.IVA: 02096070665
- Email privacy: privacy@ippocrate.cloud
- PEC: assistenza@pec.digital-tech.cloud
- Sito: www.digital-tech.cloud
Documenti correlati: Termini di Servizio · Cookie Policy · Data Processing Agreement