INFORMATIVA AGLI UTENTI AI SENSI DELL’ART. 13 – REGOLAMENTO UE (2016/679) SUL TRATTAMENTO DEI DATI PERSONALI
La presente Informativa viene resa ai sensi e per gli effetti dell’art. 13 del Regolamento UE (2016/679) sul trattamento dei dati personali (nel prosieguo, “GDPR”), relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali.
SOGGETTI DEL TRATTAMENTO
Upper Cervical Treviso Srls con sede a Villorba (TV), V.le della Repubblica 12\21, in persona del Suo Titolare dott. Zachary David Sedivy (e-mail
privacy@uppercervicaltreviso.com), Titolare del Trattamento dei dati personali, informa che conformemente alla normativa vigente, ogni operazione
concernente gli stessi sarà improntata ai principi di correttezza, liceità, trasparenza e responsabilizzazione. Il nostro Direttore Sanitario è il Dott.
Massimo Zona.
FINALITA’ DEL TRATTAMENTO E BASE GIURIDICA
Il trattamento avrà ad oggetto i seguenti dati:
– Dati personali identificativi di contatto
– Dati personali relativi allo stato di salute
– Dati genetici e biometrici (immagine posturale)
I dati che mi verranno forniti saranno trattati con modalità cartacea e elettronica per l’esecuzione della prestazione richiesta quale chiropratico a
tutela della salute e del benessere dell’interessato. Il trattamento è basato sul consenso da Lei manifestato ed è necessario per l’esecuzione della
prestazione richiesta, che, in mancanza, non potrebbe essere eseguita.
Il trattamento dei dati è necessario per erogare le prestazioni di cura e per la gestione degli appuntamenti, della documentazione clinica e delle
comunicazioni operative connesse. A tal fine la base giuridica è l’esecuzione del servizio richiesto (art. 6, par. 1, lett. B GDPR) insieme alla specifica
previsione per l’assistenza sanitaria prestata da professionisti tenuti al segreto (art. 9, par. 2, lett. H). Trattiamo inoltre dati per adempiere a obblighi
di legge, inclusi quelli fiscali e contabili e gli invii al Sistema Tessera Sanitaria e al Sistema di Interscambio dell’Agenzia delle Entrate; in questi casi
la base giuridica è l’obbligo legale (art. 6, par. 1, lett. C). Per finalità di sicurezza e organizzazione – come il controllo degli accessi ai locali tramite
sistema Xesar, la tenuta di log informatici, i backup e la tutela in sede giudiziaria – operiamo nel legittimo interesse del Titolare (art. 6, par. 1, lett. F).
Attività facoltative come newsletter, gruppi/community, immagini o video a fini informativi o promozionali e registrazioni interne non strettamente
necessarie alla cura sono svolte solo con il Suo consenso (art. 6, par. 1, lett. A e, se coinvolgono dati sanitari, art. 9, par. 2, lett. A).
MODALITA’ DEL TRATTAMENTO
Il trattamento è effettuato con modalità cartacea e/o automatizzata attraverso l’uso di computer, con modalità e strumenti volti a garantire la
massima sicurezza e riservatezza. In entrambi i casi vengono adottate misure di protezione per garantire la conservazione e l’uso corretto dei dati
anche da parte dei miei collaboratori, nel rispetto del segreto professionale. Sono tenuti a queste cautele anche i professionisti (il responsabile, gli
incaricati, lo specialista, il fiscalista) e le strutture che possono conoscerli in connessione con la prestazione effettuata.
Trattiamo esclusivamente le informazioni pertinenti alla Sua assistenza: dati identificativi e di contatto, dati sanitari, immagini cliniche e posturali (che
non consideriamo “biometriche” salvo trattamenti espressamente destinati all’identificazione univoca), dati amministrativo-contabili, dati tecnici e di
utilizzo dei sistemi e informazioni strettamente necessarie alla gestione dei pagamenti (esito e importo; non conserviamo i numeri completi di carta).
Il trattamento avviene con misure adeguate di sicurezza e riservatezza, sia su supporti informatici sia – ove necessario – in forma cartacea.
AMBITO DI COMUNICAZIONE E DIFFUSIONE DEI DATI
La comunicazione dei dati ai fini dell’erogazione delle prestazioni di chiropratica è obbligatoria in quanto necessaria per dare esecuzione agli
obblighi contrattuali e precontrattuali, nonché per l’adempimento degli obblighi di legge. Il loro mancato conferimento comporta la mancata o
parziale esecuzione del contratto e, a seconda dei casi, l’impossibilità di accedere alle prestazioni. I dati personali e quelli relativi allo stato di salute
sono stati forniti da Lei stesso o sono stati acquisiti attraverso cartelle cliniche, referti specialistici, esami clinici o radiologici e simili, ma sempre
con il suo consenso; I suoi dati non verranno comunicati a terzi se non nei casi previsti dalla legge e dal Regolamento europeo; potranno essere
comunicate informazioni sullo stato di salute a familiari e conoscenti solo in caso di sua espressa indicazione.
Per erogare i servizi ci avvaliamo di personale interno autorizzato – Doctors of Chiropractic, Direttore Sanitario, assistenti e personale amministrativo
– e di fornitori che trattano i dati per nostro conto in qualità di responsabili del trattamento sulla base di appositi accordi (art. 28 GDPR). Tra questi
rientrano, a titolo esemplificativo, la piattaforma clinica PracticeHub, i servizi Proton, Apple iCloud e Microsoft 365 per la produttività, Adobe Document
Cloud/Acrobat e Goodnotes con sincronizzazione su iCloud per la modulistica e le note professionali, Mailchimp per la gestione delle liste e degli invii
informativi, 1Password per la sicurezza delle credenziali, Pubblivision per attività di comunicazione limitate a nome ed e-mail, nonché il servizio cloud
PACS Insight CLA per immagini diagnostiche. Manteniamo inoltre sistemi locali, come Carestream e OsiriX, per la gestione delle immagini su NAS
interni senza sincronizzazione cloud.
Altri soggetti operano come titolari autonomi per finalità proprie: i prestatori di servizi di pagamento e la banca, le piattaforme di comunicazione e
marketing, i fornitori di connettività che non trattano dati di pazienti ma solo metadati di rete, e le autorità o enti competenti (come STS, Agenzia delle
Entrate/SDI, INPS, gestori PEC). Per le comunicazioni su app di messaggistica– servizi che agiscono come titolari autonomi – La invitiamo a non
condividere informazioni sanitarie; nei gruppi, il numero di telefono può essere visibile agli altri partecipanti. Utilizziamo strumenti di intelligenza
artificiale esclusivamente per testi, organizzazione o marketing e non inviamo dati sanitari identificabili. L’impresa di pulizie Cooperativa Trevigiana
Multiservizi accede ai locali con obbligo di riservatezza ma non tratta dati per nostro conto. Non vendiamo dati personali.
CONSERVAZIONE DEI DATI
Il luogo principale di conservazione è in Italia/UE; tuttavia, alcuni fornitori possono comportare trasferimenti verso Paesi terzi (ad esempio USA o UK).
In tali casi adottiamo le opportune garanzie previste dal GDPR – Standard Contractual Clauses, decisioni di adeguatezza o Data Privacy Framework
– insieme a misure tecniche come la cifratura e il controllo degli accessi. I tempi di conservazione sono commisurati alle finalità: la documentazione
sanitaria è normalmente conservata per dieci anni dall’ultimo contatto (salvo termini diversi previsti dalla legge); i documenti amministrativi e contabili
per dieci anni; le registrazioni audio/video interne non strettamente necessarie alla cura per ventiquattro mesi; i log del sistema Xesar per dodici mesi;
i dati per finalità di comunicazione e newsletter fino alla revoca del consenso o a ventiquattro mesi di inattività. I backup seguono cicli tecnici
documentati, con utilizzo di NAS locali e dischi cifrati offline.
Le misure di sicurezza comprendono password uniche e robuste gestite con gestori di password sicuri e YubiKey/2FA, cifratura dei dispositivi, server
e NAS non esposti verso l’esterno, uso di VPN/instradamento sicuro e controllo degli accessi fisici mediante Xesar. I file clinici sono conservati nel
gestionale sanitario e, quando necessario per l’operatività, in altri software in ambiente professionale. Lo studio utilizza un’area operativa open-space:
se desidera maggiore riservatezza, Le mettiamo volentieri a disposizione uno spazio dedicato.
CATEGORIE DEI DESTINATARI
Esclusivamente per le finalità sopra specificate, tutti i dati raccolti ed elaborati potranno essere comunicati a figure interne autorizzate al trattamento
in ragione delle rispettive mansioni e secondo i profili attribuiti agli stessi, nonché nei casi stabiliti da leggi, regolamenti o per svolgimento di funzioni
istituzionali, alle seguenti categorie di soggetti esterni:
a) Soggetti pubblici (Aziende Sanitarie) e\o privati (Strutture sanitarie private) coinvolti nel percorso di erogazione del servizio.
b) Autorità Giudiziaria e\o Autorità di Pubblica Sicurezza, nei casi espressamente previsti dalla legge.
c) Assicurazione in caso di controversia sulla responsabilità professionale.
TRASFERIMENTO DATI VERSO PAESE TERZO E/O ORGANIZZAZIONE INTERNAZIONALE
I Suoi dati personali non saranno oggetto di trasferimento presso Paesi Terzi non europei.
Il Titolare del Trattamento si riserva però la possibilità di utilizzare servizi in cloud: in tal caso i fornitori di tali servizi saranno selezionati tra coloro
che forniscono garanzie adeguate, così come previsto dall’art. 46 GDPR.
DIRITTI DEGLI INTERESSATI
Formulando apposita richiesta scritta all’indirizzo privacy@uppercervicaltreviso.com, Lei ha il diritto (ai sensi degli artt. 15-22 del GDPR) di chiedere
all’Azienda di accedere ai Suoi dati personali e di rettificarli se inesatti, di cancellarli o limitarne il trattamento se ne ricorrono i presupposti, nonché
di ottenere la portabilità dei dati da Lei forniti solo se oggetto di un trattamento automatizzato basato sul Suo consenso o sul contratto. Lei ha altresì
il diritto di revocare il consenso prestato per le finalità di trattamento che lo richiedono, ferma restando la liceità del trattamento effettuato sino al
momento della revoca. Da ultimo Le ricordo che ha diritto a proporre reclamo ad un’autorità di Controllo.
Si informa altresì che i Suoi dati non saranno sottoposti ad alcun processo decisionale automatizzato né a profilazioni cliniche.