1. Titolare del trattamento
Titolare del trattamento ai sensi dell'Art. 4 n. 7 GDPR è CG Medical S.r.l., con sede legale in Italia, P.IVA [TODO:LEGAL - inserire codice fiscale e partita IVA a valle della costituzione societaria], PEC [email protected], e-mail [email protected].
La piattaforma è utilizzata da strutture sanitarie e professionisti (di seguito "Strutture") per erogare servizi clinici ai propri pazienti. Rispetto ai dati clinici dei pazienti, la Struttura è autonomo titolare del trattamento mentre CG Medical opera come responsabile del trattamentoai sensi dell'Art. 28 GDPR; il relativo Data Processing Agreement è pubblicato alla pagina /legale/dpa e forma parte integrante del contratto con la Struttura.
2. Finalità e basi giuridiche
I dati personali sono trattati per le finalità elencate nella tabella seguente, ciascuna supportata da una propria base giuridica.
- Erogazione del servizio di gestione sanitaria digitale (cartella clinica elettronica, agenda, prescrizioni, teleconsulto): base giuridica Art. 6.1.b GDPR (esecuzione del contratto) e, limitatamente ai dati sanitari, Art. 9.2.h (finalità di assistenza sanitaria) con presa in carico della responsabilità professionale da parte del medico.
- Adempimenti fiscali e amministrativi (fatturazione elettronica verso Sistema di Interscambio, conservazione documentale): Art. 6.1.c GDPR (obbligo legale).
- Invio al Fascicolo Sanitario Elettronico regionale quando il paziente ne fa richiesta o non si oppone: Art. 6.1.c (obbligo normativo ex D.L. 179/2012) e Art. 9.2.h GDPR.
- Sicurezza informatica, audit, prevenzione frodi: Art. 6.1.f GDPR (legittimo interesse del titolare alla tutela dell'integrità del servizio, bilanciato con le libertà dell'interessato).
- Funzionalità di AI clinica assistita (risk scoring, generazione di riassunti, suggerimenti di codifica): base giuridica Art. 9.2.h GDPR. Il modulo di risk scoring rientra nel campo di applicazione MDR 2017/745 (Classe IIa, certificazione CE in corso - vedi disclaimer medico).
- Comunicazioni promozionali (newsletter, inviti a webinar): solo previo consenso esplicito ex Art. 6.1.a GDPR, revocabile in qualsiasi momento dal link presente in ogni comunicazione.
3. Categorie di dati trattati
- Dati anagrafici e identificativi: nome, cognome, codice fiscale, data di nascita, sesso, documento di identità, tessera sanitaria.
- Dati di contatto: indirizzo e-mail, numero di telefono, indirizzo di residenza o domicilio.
- Dati relativi alla salute(Art. 9.1 GDPR): anamnesi, referti, esami di laboratorio, immagini diagnostiche, prescrizioni, dati di dispositivi indossabili quando forniti dall'utente. Trattati solo per la finalità di cui al punto 2.a-c.
- Dati di pagamento: solo token cifrati restituiti dai gateway (Stripe). Non conserviamo numeri di carta in chiaro.
- Dati tecnici di navigazione: indirizzo IP, user agent, log applicativi, identificativi di sessione; vedi anche cookie policy.
4. Destinatari e sub-responsabili
I dati possono essere comunicati a soggetti selezionati dal titolare, nominati responsabili ex Art. 28 GDPR, che forniscono servizi infrastrutturali necessari all'erogazione della piattaforma. L'elenco aggiornato dei sub-responsabili è:
- Microsoft Azure (Microsoft Ireland Operations Ltd., IE)- hosting, database, blob storage; regione West Europe (Amsterdam).
- Stripe Payments Europe Ltd. (IE) e Stripe Inc. (US)- processore pagamenti e KYC; trasferimento extra-UE coperto da SCC.
- Resend (Resend Inc., US) - delivery e-mail transazionali; SCC.
- Skebby S.r.l. (IT) e Twilio Inc. (US)- SMS e comunicazioni vocali; Twilio con SCC.
- aCube S.r.l. (IT) - intermediario Sistema di Interscambio per fatturazione elettronica.
- Anthropic PBC (US) e OpenAI via Azure OpenAI Service (West Europe) - elaborazione AI clinica; Anthropic con SCC, OpenAI residente UE tramite Azure. Nessun dato viene utilizzato per il training dei modelli.
L'elenco completo, con categorie di dati trattati da ciascun fornitore e link alle rispettive DPA, è disponibile nell'area riservata della Struttura e aggiornato almeno trimestralmente.
5. Trasferimenti extra-UE
Quando un sub-responsabile ha sede al di fuori dello Spazio Economico Europeo, il trasferimento avviene sulla base delle Clausole Contrattuali Tipo (SCC) approvate dalla Commissione europea con decisione di esecuzione 2021/914 e, ove rilevante, del Data Privacy Framework UE-USA. È disponibile a richiesta copia delle valutazioni di impatto sul trasferimento (TIA).
6. Conservazione dei dati
- Dossier sanitario e cartella clinica: conservati per il tempo previsto dalla normativa italiana di settore (di norma 10 anni dall'ultima prestazione, illimitato per le cartelle di ricovero - Circolare Ministero Sanità 900.2/AG.464/260).
- Documenti contabili e fatture: 10 anni dall'ultima registrazione (Art. 2220 c.c.).
- Log tecnici e di sicurezza: 12 mesi salvo conservazione più lunga imposta per scopi di indagine.
- Dati di marketing: fino a revoca del consenso e comunque non oltre 24 mesi dall'ultima interazione.
7. Diritti dell'interessato
L'interessato può esercitare in qualsiasi momento i diritti riconosciuti dagli Artt. 15-22 GDPR:
- accesso ai dati e ricezione di copia (Art. 15);
- rettifica di dati inesatti o aggiornamento (Art. 16);
- cancellazione quando non sussiste più un obbligo di conservazione (Art. 17);
- limitazione del trattamento (Art. 18);
- portabilità in formato strutturato e leggibile (Art. 20);
- opposizione al trattamento basato sul legittimo interesse (Art. 21);
- revoca del consenso quando il trattamento è fondato su di esso, senza pregiudicare la liceità dei trattamenti già eseguiti.
Per esercitare i diritti scrivere a [email protected]. Il titolare risponde entro 30 giorni (prorogabili di ulteriori 60 in casi complessi ai sensi dell'Art. 12.3 GDPR). Resta impregiudicato il diritto di proporre reclamo al Garante per la protezione dei dati personali (gpdp.it) o all'autorità di controllo dello Stato membro di residenza.
8. Contatti del Responsabile della protezione dei dati
CG Medical ha designato un Responsabile della Protezione dei Dati (DPO/RPD) raggiungibile agli indirizzi indicati alla pagina /legale/contatti-dpo.
9. Modifiche all'informativa
La presente informativa può essere aggiornata per riflettere modifiche ai servizi, ai sub-responsabili o alla normativa. La versione corrente è indicata in testa al documento. Le modifiche sostanziali vengono notificate agli utenti via e-mail e, per gli utenti professionali, attraverso banner nella dashboard almeno 30 giorni prima dell'entrata in vigore.