Privacy policy del sito e degli account
Studio Calmo — informativa per visitatori del sito, contatti commerciali e utenti degli studi (artt. 13 e 14 GDPR)
Bozza in revisione legale. Non è ancora il testo definitivo. I campi tra parentesi quadre saranno completati prima della pubblicazione.
| Versione | 0.1 — bozza del 2026-10-05 |
|---|---|
| Stato | Bozza da rivedere da un legale. |
| Titolare | [RAGIONE SOCIALE AGENTICA] |
Prima di tutto: questa pagina non riguarda i pazienti
Se Lei è un paziente e ha mandato un messaggio allo studio del suo medico tramite Studio Calmo, il titolare dei suoi dati è il suo medico. Trova l'informativa dello studio nel primo messaggio che ha ricevuto, sul sito o in sala d'attesa dello studio. [RAGIONE SOCIALE AGENTICA] tratta quei dati solo per conto del medico, come responsabile del trattamento (art. 28 GDPR). Se ci scrive per i suoi dati di paziente, inoltriamo la richiesta al suo medico entro 2 giorni lavorativi.
Questa pagina riguarda invece:
- chi visita il sito di Studio Calmo;
- chi ci contatta per informazioni o per una dimostrazione;
- i medici, i pediatri e il personale degli studi che hanno un account Studio Calmo.
1. Titolare del trattamento
[RAGIONE SOCIALE AGENTICA], sede legale in [SEDE], P.IVA [P.IVA], PEC [___].
Contatto per la privacy: privacy@[DOMINIO].
Responsabile della protezione dei dati (DPO): [da nominare; quando nominato sarà raggiungibile a dpo@[DOMINIO]]. [DA RIVEDERE LEGALE]
2. Quali dati, perché, su quale base, per quanto tempo
| # | Trattamento | Dati | Finalità | Base giuridica | Conservazione |
|---|---|---|---|---|---|
| A | Navigazione del sito | Indirizzo IP, data e ora, pagina richiesta, tipo di browser | Erogare il sito e proteggerlo da abusi | Legittimo interesse alla sicurezza (art. 6, par. 1, lett. f) | Log di sicurezza del fornitore di rete: [___ giorni] [DA VERIFICARE]. Nessuna analisi statistica individuale |
| B | Richieste di informazioni e dimostrazioni | Nome, email, telefono, studio, contenuto del messaggio | Rispondere e, se richiesto, preparare un'offerta | Misure precontrattuali su richiesta dell'interessato (art. 6, par. 1, lett. b) | 24 mesi dall'ultimo contatto, se non diventa cliente |
| C | Account degli utenti degli studi | Nome, email, ruolo, studio, impostazioni, dati del secondo fattore (conservati cifrati), sessioni attive, data, ora, indirizzo IP e dispositivo degli accessi | Creare e gestire l'account, autenticare gli utenti, proteggere gli accessi | Per il medico cliente: esecuzione del contratto (art. 6, par. 1, lett. b). Per il personale dello studio: legittimo interesse nostro e del cliente a fornire un servizio sicuro (art. 6, par. 1, lett. f) [DA RIVEDERE LEGALE] | Per la durata del contratto, poi 12 mesi. Log di sicurezza: da 6 a 12 mesi |
| D | Verifica della qualifica del medico | Nome, PEC, iscrizione all'Ordine, esito della verifica | Attivare la ricezione di dati sanitari solo per professionisti verificati, come raccomanda il Garante (Compendio 28-3-2024, punto 10.a) | Legittimo interesse e obbligo di sicurezza (art. 6, par. 1, lett. f; art. 32 GDPR) | Durata del contratto, poi 12 mesi |
| E | Fatturazione e adempimenti fiscali | Dati del cliente e dello studio, codice fiscale, P.IVA, codice destinatario o PEC, importi | Fatturare ed eseguire gli obblighi fiscali e contabili | Obbligo di legge (art. 6, par. 1, lett. c) | 10 anni (art. 2220 c.c.) |
| F | Pagamenti | Dati di pagamento trattati dal fornitore di pagamenti; noi vediamo solo esito, ultime cifre e scadenza | Incassare i corrispettivi | Esecuzione del contratto (art. 6, par. 1, lett. b) | Come E |
| G | Assistenza clienti | Nome, email, studio, contenuto della richiesta, dati tecnici (identificativo dello studio, versione, browser) | Rispondere alle richieste di assistenza | Esecuzione del contratto (art. 6, par. 1, lett. b) | 24 mesi dalla chiusura della richiesta. I dati di pazienti eventualmente inviati per errore sono cancellati appena individuati |
| H | Comunicazioni di servizio | Email dell'utente | Inviare codici di accesso, avvisi di sicurezza, conteggi delle richieste in attesa, avvisi sul contratto | Esecuzione del contratto (art. 6, par. 1, lett. b); obbligo di sicurezza | Registro degli invii senza contenuto: 12 mesi |
| I | Novità sul servizio ai clienti | Email del cliente | Informare i clienti su nuove funzioni di Studio Calmo | Art. 130, comma 4, D.Lgs. 196/2003 (servizi analoghi); opposizione in ogni momento | Fino all'opposizione o alla fine del contratto |
| J | Newsletter e comunicazioni commerciali a chi non è cliente | Email, nome, professione | Inviare informazioni su Studio Calmo | Consenso (art. 6, par. 1, lett. a; art. 130, comma 1, D.Lgs. 196/2003) | Fino alla revoca del consenso |
| K | Sicurezza e segnalazioni di vulnerabilità | Dati contenuti nelle segnalazioni a security@[DOMINIO] | Gestire le segnalazioni | Legittimo interesse (art. 6, par. 1, lett. f) | 24 mesi |
| L | Tutela dei diritti | Dati necessari | Difendersi o agire in giudizio | Legittimo interesse (art. 6, par. 1, lett. f) | Per la durata del contenzioso e dei termini di prescrizione |
[DA RIVEDERE LEGALE] Uso di indirizzi PEC o email di medici tratti da elenchi pubblici (albi, INI-PEC) per contatti commerciali: di regola non ammesso senza consenso.
Usiamo anche statistiche aggregate e anonime sull'uso del servizio (per esempio quante richieste arrivano in media per studio). Non contengono dati personali né contenuti delle richieste.
3. Cookie e strumenti di tracciamento
Il sito e l'applicazione usano solo cookie tecnici. Non usiamo cookie di profilazione, pixel pubblicitari o strumenti di analisi che tracciano le persone. Dettagli nella cookie policy (/cookie, documento 08).
4. Obbligo di fornire i dati
Per i trattamenti C, E, F, G e H i dati sono necessari: senza di essi non possiamo fornire il servizio o adempiere agli obblighi di legge. Per B sono necessari per rispondere. Per J il conferimento è facoltativo.
5. A chi comunichiamo i dati
I dati sono trattati dal nostro personale autorizzato e dai fornitori che ci aiutano a erogare il servizio, nominati responsabili del trattamento (art. 28 GDPR):
| Fornitore | Servizio | Dove |
|---|---|---|
| Hetzner Online GmbH | Server dell'applicazione | Germania |
| Cloudflare | Rete, sito pubblico, ricezione e invio email | UE e rete globale [DA VERIFICARE] |
| Resend | Invio email di riserva (anche per conto degli studi: vedi l'elenco dei sub-responsabili, documento 02) | Invio UE, account USA [DA VERIFICARE] |
| Google (Workspace) | Caselle di posta di assistenza e contatto | [DA VERIFICARE] entità e località |
| Stripe Payments Europe Ltd | Pagamenti | Irlanda, con trasferimenti verso Stripe, Inc. (USA) [DA VERIFICARE] |
| Connettore di fatturazione elettronica [DA SCEGLIERE] | Fatture elettroniche | Italia/UE |
| Commercialista | Adempimenti fiscali e contabili | Italia |
| Strumento di assistenza (se attivato) | Gestione delle richieste di assistenza | UE |
I dati possono essere comunicati alle autorità quando la legge lo richiede (per esempio l'Agenzia delle Entrate tramite il Sistema di Interscambio).
6. Trasferimenti fuori dall'Unione europea
Alcuni fornitori hanno sede negli Stati Uniti o possono accedere ai dati da lì. In questi casi il trasferimento si basa sulla decisione di adeguatezza UE-USA (Data Privacy Framework, Decisione di esecuzione (UE) 2023/1795) per le società certificate, oppure sulle clausole contrattuali tipo della Commissione europea (art. 46, par. 2, lett. c, GDPR; Decisione di esecuzione (UE) 2021/914). Può chiederne copia a privacy@[DOMINIO].
7. I suoi diritti
Può chiedere in ogni momento di accedere ai suoi dati (art. 15 GDPR), di correggerli (art. 16), di cancellarli (art. 17), di limitarne il trattamento (art. 18) e di riceverli in un formato strutturato (art. 20, per i trattamenti basati sul contratto o sul consenso).
Può opporsi in ogni momento ai trattamenti basati sul legittimo interesse (art. 21, par. 1) e, senza bisogno di motivazione, alle comunicazioni commerciali (art. 21, par. 2). Può revocare il consenso quando vuole, senza effetti sul trattamento già fatto (art. 7, par. 3).
Scriva a privacy@[DOMINIO]. Rispondiamo entro un mese (art. 12, par. 3). Ha anche il diritto di presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it), art. 77 GDPR.
8. Decisioni automatizzate
Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producono effetti giuridici o che la riguardano in modo significativo (art. 22 GDPR).
9. Sicurezza
Proteggiamo i dati con le misure descritte nella pagina Sicurezza (/sicurezza): connessioni cifrate, accesso senza password con secondo fattore obbligatorio, server dedicato in Germania, backup cifrati.
10. Minori
Il sito e gli account sono destinati a professionisti e al loro personale. Non raccogliamo consapevolmente dati di minori attraverso il sito.
11. Modifiche
Possiamo aggiornare questa informativa. La versione in vigore è sempre su questa pagina, con la data di aggiornamento. Le modifiche rilevanti per gli utenti degli studi sono comunicate via email.
Ultimo aggiornamento: [DATA].
Punti aperti per il legale
- Base giuridica per gli account del personale dello studio (che non è parte del contratto). [DA RIVEDERE LEGALE]
- Contatti commerciali verso medici: soft spam ai clienti (art. 130, comma 4) e consenso per i potenziali clienti; uso di elenchi pubblici. [DA RIVEDERE LEGALE]
- Tempi di conservazione dei log di Cloudflare per il sito statico e configurazione dei log. [DA VERIFICARE]
- Ruolo di Stripe (responsabile o titolare autonomo per alcuni trattamenti antifrode). [DA RIVEDERE LEGALE]
- Necessità del DPO e data di nomina. [DA RIVEDERE LEGALE]