Informativa privacy
Questa informativa spiega come trattiamo i dati personali, ai sensi del Regolamento (UE) 2016/679 (GDPR) e del Codice privacy italiano (D.lgs. 196/2003 come modificato dal D.lgs. 101/2018).
1. Titolare del trattamento
Misuia di Luca Auletta, Viale delle Azalee 5, 80040 Cercola (NA), partita IVA IT07307981212.
PEC: luca.auletta@pec.it
Per ogni questione sulla privacy: privacy@misuia.com.
2. Due ruoli distinti, ed è importante capirli
Su Misuia i dati si dividono in due categorie che trattiamo in modo diverso.
I dati del professionista — chi si iscrive e usa la piattaforma. Di questi siamo titolari del trattamento: decidiamo noi come e perché trattarli, nei limiti descritti qui.
I dati dei pazienti — quelli che il professionista inserisce nelle schede. Di questi il titolare è il professionista: noi siamo responsabili del trattamento e agiamo solo su sua istruzione, secondo l'articolo 28 del GDPR. Non li usiamo per finalità nostre, non li cediamo e non li usiamo per addestrare sistemi di intelligenza artificiale.
3. Dati del professionista: cosa trattiamo e perché
| Dati | Perché | Base giuridica |
|---|---|---|
| Nome, email, dichiarazione di maggiore età e codici di accesso (conservati come impronte crittografiche) | creare e proteggere l'account | esecuzione del contratto |
| Nome e codice fiscale dell'intestatario | intestazione della licenza e dei documenti prodotti | esecuzione del contratto |
| Dati di fatturazione (ragione sociale, P. IVA, indirizzo, SDI/PEC) | emettere le fatture | obbligo di legge |
| Dati di pagamento | incassare l'abbonamento — gestiti da Stripe, noi non li vediamo | esecuzione del contratto |
| Registri di utilizzo e accesso | sicurezza, assistenza, diagnosi dei malfunzionamenti | legittimo interesse |
| Accettazione dei termini (data, versione, IP) | dimostrare cosa è stato accettato e quando | obbligo di legge e legittimo interesse |
4. Dati dei pazienti: dati particolari
Le schede dei pazienti contengono dati relativi alla salute, che il GDPR definisce categorie particolari (articolo 9): peso, altezza, condizioni cliniche dichiarate, intolleranze e allergie.
Il professionista raccoglie questi dati dai propri pazienti e ne risponde: è tenuto a fornire loro l'informativa, individuare le basi giuridiche del trattamento e raccogliere il consenso quando richiesto dalla legge. Noi li conserviamo e li elaboriamo soltanto per erogare il servizio: calcolare il fabbisogno, generare i piani e produrre i documenti.
Non chiediamo mai il nome completo del paziente per finalità diverse dalla compilazione del piano, e raccomandiamo di non inserire nelle note dati non necessari.
5. L'assistente Selma e i dati
Quando usi Selma, il testo della tua richiesta e il contenuto del piano su cui stai lavorando vengono inviati ad OpenAI, che fornisce il modello di intelligenza artificiale. Le funzioni con contesto possono includere profilo, dati clinici e storia delle visite pertinenti alla richiesta. Il nome strutturato del paziente non è incluso nel contesto generato, ma il testo libero può contenere dati identificativi: evita di inserire informazioni non necessarie.
L’integrazione usa l’API con conservazione delle risposte disattivata (store: false). Questo non equivale a una garanzia di conservazione nulla: restano applicabili le condizioni del servizio, inclusi gli eventuali registri per la prevenzione degli abusi. OpenAI dichiara di non utilizzare per addestramento i dati API per impostazione predefinita. Puoi evitare l'invio di dati dei pazienti semplicemente non usando l'assistente: il resto della piattaforma funziona senza.
6. A chi comunichiamo i dati
Ci appoggiamo a fornitori che trattano dati per nostro conto come responsabili:
- Vercel Inc. — hosting dell'applicazione
- Neon Inc. — database, ospitato nell'Unione Europea (Francoforte)
- Stripe Payments Europe Ltd. — pagamenti e fatturazione
- OpenAI — assistente AI, solo quando lo usi
- Resend — invio dei codici di accesso e delle comunicazioni di servizio
- Cloudflare R2 — archiviazione privata degli allegati
Alcuni fornitori hanno sede fuori dall'Unione Europea: in quel caso il trasferimento avviene sulla base delle clausole contrattuali tipo approvate dalla Commissione europea. Non vendiamo dati a nessuno e non li comunichiamo a terzi per finalità commerciali.
7. Per quanto tempo li conserviamo
- Account e dati dei pazienti: finché l'abbonamento è attivo, più 30 giorni dopo la chiusura per permetterti di esportarli.
- Documenti fiscali: 10 anni, come impone la legge.
- Registri di accesso: 12 mesi.
- Accettazione dei termini: per tutta la durata del rapporto e 5 anni dopo.
8. I tuoi diritti
Puoi chiedere in ogni momento di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in formato leggibile da una macchina o opporti a trattamenti fondati sul legittimo interesse.
Scrivi a privacy@misuia.com: rispondiamo entro 30 giorni. Se ritieni che il trattamento violi la normativa puoi rivolgerti al Garante per la protezione dei dati personali (garanteprivacy.it).
Se i dati riguardano un paziente, la richiesta va rivolta al professionista che lo segue: è lui il titolare. Noi lo assistiamo nel darvi seguito.
9. Sicurezza
L’accesso avviene con un codice email monouso, valido dieci minuti e con un massimo di cinque tentativi. Nel database viene conservata un’impronta crittografica del codice. Le richieste sono soggette a limiti di frequenza. I dati tecnici scaduti vengono eliminati durante le successive richieste di accesso, trascorse ventiquattro ore dalla scadenza. Le comunicazioni viaggiano su connessione cifrata. L'accesso ai dati è riservato al personale che ne ha necessità e ogni intervento amministrativo resta registrato. I dati di ogni studio sono isolati da quelli degli altri.
10. Accesso dei minori al portale
Gli account professionali sono riservati a maggiorenni. Per i pazienti minorenni l’accesso al portale è attribuito a un genitore o tutore dopo la verifica da parte dello studio. Registriamo nominativo, email, modalità, data e autore della verifica. Lo studio può revocare l’autorizzazione; al compimento dei diciotto anni deve autorizzare il paziente maggiorenne. Questa verifica di accesso non sostituisce la valutazione della base giuridica per i dati sanitari.
11. Segnalazioni sui contenuti
Il modulo pubblico raccoglie riferimenti al contenuto, motivazione, dichiarazione di buona fede e, salvo l’eccezione indicata nel modulo, nome e contatto del segnalante. Usiamo questi dati per esaminare la richiesta, comunicare ricevuta e decisione e gestire le contestazioni; non per finalità promozionali. Non inserire documentazione sanitaria o dati di altre persone non necessari alla segnalazione.
12. Modifiche
Se aggiorniamo questa informativa in modo sostanziale te lo comunichiamo e ti chiediamo di prenderne visione al primo accesso successivo.