Informativa Privacy

1. Titolare del trattamento

Il titolare del trattamento dei dati personali è il professionista o lo studio medico operante tramite la piattaforma éqvipe (di seguito "il Titolare"). Per qualsiasi richiesta relativa ai propri dati personali, l'interessato può contattare il Titolare utilizzando i recapiti forniti al momento della presa in carico.

Nota: éqvipe agisce come responsabile del trattamento (data processor) per conto del Titolare, ai sensi dell'art. 28 GDPR. L'informativa completa sulle misure di sicurezza di éqvipe è disponibile su richiesta scrivendo a info@eqvipe.app.

2. Data Protection Officer (DPO)

Il trattamento di dati sanitari (categoria particolare ex art. 9 GDPR) può richiedere la nomina di un Responsabile della Protezione dei Dati (DPO) ai sensi dell'art. 37 GDPR. Il Titolare è responsabile della valutazione di tale necessità e della relativa nomina. Per comunicazioni inerenti la protezione dei dati, l'interessato può rivolgersi al Titolare ai recapiti forniti.

3. Tipologie di dati raccolti

La piattaforma raccoglie e tratta le seguenti categorie di dati:

• Dati anagrafici e di contatto: nome, cognome, codice fiscale, email, telefono, indirizzo.
• Dati sanitari (categoria particolare ex art. 9 GDPR): anamnesi, allergie, farmaci, parametri vitali, prescrizioni, terapie, lesioni, dispositivi impiantati, note cliniche, foto lesioni, note vocali.
• Dati di acquisto: relativi agli ordini di dispositivi medici effettuati tramite il negozio.
• Dati tecnici: indirizzo IP, tipo di dispositivo, cookie (vedi informativa cookie).
• Dati di geolocalizzazione: indirizzi dei pazienti per il calcolo dei percorsi (elaborati da Google Maps).

4. Finalità e base giuridica

I dati sono trattati per le seguenti finalità:

• Erogazione della prestazione sanitaria (art. 9.2.h GDPR) — gestione cartella clinica, calendario, prescrizioni, terapie, monitoraggio.
• Adempimenti di legge (art. 6.1.c e 9.2.h GDPR) — conservazione documentale sanitaria, fatturazione, obblighi normativi.
• Evasione ordini (art. 6.1.b GDPR) — acquisto dispositivi medici tramite il negozio.
• Servizi AI (art. 9.2.h GDPR con consenso specifico, ove applicabile) — trascrizione vocale, estrazione dati, assistente intelligente per supporto organizzativo.
• Statistiche aggregate e miglioramento del servizio (legittimo interesse, art. 6.1.f GDPR) — dati anonimizzati e aggregati.

Il trattamento dei dati sanitari non richiede il consenso esplicito del Paziente quando è necessario per finalità di medicina preventiva, diagnosi, assistenza o trattamento sanitario (art. 9.2.h GDPR), e avviene sotto la responsabilità di un professionista soggetto al segreto professionale. Per le finalità non strettamente sanitarie (es. Servizi AI opzionali), può essere richiesto consenso specifico.

5. Conservazione dei dati

I dati sanitari sono conservati per la durata del rapporto terapeutico e per il periodo previsto dalla normativa vigente in materia di documentazione sanitaria (DM 18 novembre 1999 e norme regionali). I dati di acquisto sono conservati per gli obblighi fiscali e civilistici (10 anni). I dati tecnici (log) sono conservati per il tempo strettamente necessario alla sicurezza e al funzionamento del servizio.

6. Accesso ai dati

L'accesso ai dati è limitato al personale autorizzato del Titolare. Ciascun Operatore accede esclusivamente ai dati dei pazienti di propria competenza, secondo il principio di necessità (art. 5 GDPR). L'amministratore della piattaforma ha accesso all'intero archivio per finalità di gestione tecnica, fermo restando il rispetto del segreto professionale.

éqvipe, in qualità di responsabile del trattamento, accede ai dati esclusivamente per le finalità tecniche di manutenzione, sicurezza e supporto, e non utilizza i dati per scopi propri.

7. Trasferimento dati extra-UE

I dati sono custoditi su infrastrutture cloud che possono trovarsi al di fuori dell'Unione Europea (es. Stati Uniti). I trasferimenti avvengono in conformità all'art. 44 GDPR e alle clausole contrattuali standard adottate dai provider. L'elenco dei Paesi terzi destinatari e le garanzie applicate sono disponibili su richiesta. I Servizi AI possono elaborare dati su infrastrutture extra-UE; l'Operatore è responsabile della valutazione di compatibilità con il proprio ordinamento professionale.

8. Sicurezza e data breach

I dati sono custoditi su infrastrutture crittografate e trattati con misure tecniche e organizzative adeguate al rischio, in conformità all'art. 32 GDPR. I documenti clinici sono archiviati in storage privato accessibile solo tramite URL firmati a tempo. Le comunicazioni sono cifrate (TLS).

In caso di violazione dei dati (data breach) che comporti un rischio per i diritti e le libertà delle persone fisiche, éqvipe notifica l'evento al Titolare entro 72 ore (art. 33 GDPR). Il Titolare è responsabile della valutazione e dell'eventuale notifica al Garante e agli interessati (art. 33-34 GDPR).

9-bis. Valutazione d'impatto (DPIA)

Il trattamento di dati sanitari su larga scala può richiedere la previa valutazione d'impatto sulla protezione dei dati (DPIA) ai sensi dell'art. 35 GDPR. éqvipe, in qualità di responsabile del trattamento, ha condotto una propria valutazione d'impatto sulle misure tecniche e organizzative adottate (crittografia dei dati a riposo e in transito, isolamento dei dati per singolo operatore, accesso limitato tramite URL firmati a tempo, log di accesso). Il Titolare è responsabile della valutazione della propria DPIA in relazione all'attività professionale svolta; éqvipe mette a disposizione la documentazione tecnica di supporto su richiesta.

9. Decisioni automatizzate e profilazione

I Servizi AI (trascrizione, estrazione dati, assistente) costituiscono trattamento automatizzato ma non prendono decisioni cliniche autonome: l'output è sempre sottoposto a verifica e validazione da parte dell'Operatore. Non si configura quindi una decisione automatizzata ai sensi dell'art. 22 GDPR. Non è prevista profilazione dei Pazienti.

10. Diritti dell'interessato

L'interessato ha diritto di:

• Accedere ai propri dati (art. 15 GDPR)
• Ottenere la rettifica dei dati inesatti (art. 16 GDPR)
• Richiedere la cancellazione (art. 17 GDPR), ove non vi siano obblighi di conservazione sanitaria
• Richiedere la limitazione del trattamento (art. 18 GDPR)
• Richiedere la portabilità dei dati (art. 20 GDPR)
• Oporsi al trattamento (art. 21 GDPR)
• Revocare il consenso, ove prestato, senza pregiudicare la liceità del trattamento antecedente
• Proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it)

11. Minori

La piattaforma non è destinata all'utilizzo da parte di minori. I dati sanitari di pazienti minorenni sono trattati dal Titolare secondo le norme sulla responsabilità genitoriale e sul consenso dei rappresentanti legali (art. 2-3 Codice della Privacy, art. 8 GDPR).

12. Modifiche

La presente informativa può essere aggiornata per riflettere modifiche normative o di servizio. Le modifiche sostanziali saranno comunicate agli Operatori con preavviso.