Informativa sul trattamento dei dati personali

Resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR). Ultimo aggiornamento: 10/08/2026.

1. Titolare del trattamento

[Da definire — es. Paideia Hospital, oppure il nominativo del titolare]
[Indirizzo completo del titolare]
Email: [email del titolare]

2. Responsabile della protezione dei dati (DPO)

[DPO — se nominato] — Email: [email del DPO]

3. Quali dati trattiamo

• Dati dei pazienti, in forma pseudonimizzata (iniziali/codice, non il nome completo), inclusi dati relativi alla salute (categorie particolari, art. 9 GDPR): diagnosi, parametri, valutazioni cliniche, lesioni.
• Dati del personale: nominativo, ruolo, turni, disponibilità, contatti di servizio.
• Dati di autenticazione: credenziali di accesso e, se attivata, la passkey biometrica (impronta/Face ID), che resta sul dispositivo dell'utente e non viene trasmessa né conservata sui nostri sistemi.
• Dati tecnici: registro degli accessi (utente, data/ora, IP, paziente consultato) per finalità di sicurezza.

4. Finalità e base giuridica

• Coordinamento clinico-assistenziale interno tra professionisti sanitari — base giuridica: art. 9(2)(h) GDPR (finalità di cura) e art. 6(1)(e)/(f).
• Organizzazione dei turni del personale — base giuridica: esecuzione del rapporto di lavoro/obblighi connessi.
• Sicurezza degli accessi e prevenzione abusi — base giuridica: legittimo interesse (art. 6(1)(f)).

Lo strumento è di supporto organizzativo interno e non sostituisce la cartella clinica ufficiale della struttura.

5. Strumenti di intelligenza artificiale (trasparenza)

Alcune funzioni si avvalgono dell'intelligenza artificiale come supporto alla documentazione (es. trascrizione di referti, descrizione e misura delle lesioni, stesura di bozze di testo). L'AI non formula diagnosi né prescrizioni e non adotta decisioni automatizzate che producano effetti sulle persone (art. 22 GDPR): ogni contenuto è una proposta che il professionista verifica e valida (supervisione umana). L'elaborazione AI dei dati clinici avviene presso fornitori con hosting nell'Unione Europea e apposito accordo sul trattamento (art. 28 GDPR); le immagini non vengono usate per addestrare i modelli.

6. Destinatari e responsabili del trattamento

I dati possono essere trattati, per nostro conto, da fornitori di servizi nominati responsabili (art. 28 GDPR): hosting dell'applicazione e del database, servizio di elaborazione AI (UE), servizio di invio email, monitoraggio tecnico degli errori, canale di notifica. I dati non sono diffusi né ceduti a terzi per finalità di marketing o profilazione.

7. Trasferimenti fuori dall'Unione Europea

Il trattamento avviene di norma nell'UE. Qualora un fornitore operasse al di fuori dell'UE, il trasferimento è assistito dalle garanzie adeguate previste dagli artt. 44-49 GDPR (es. clausole contrattuali standard).

8. Periodo di conservazione

I dati sono conservati per il tempo necessario alle finalità indicate. Il registro degli accessi è conservato per un periodo limitato (di norma 12 mesi) e poi cancellato. I dati clinici pseudonimizzati sono conservati per il periodo necessario al coordinamento interno e successivamente cancellati o anonimizzati.

9. I tuoi diritti

Hai diritto di chiedere l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione e l'opposizione al trattamento, nonché la portabilità (artt. 15-22 GDPR). Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

10. Come esercitare i diritti

Per esercitare i tuoi diritti puoi scrivere a: [email di contatto per le richieste privacy].

11. Misure di sicurezza

Adottiamo misure tecniche e organizzative adeguate (art. 32 GDPR): pseudonimizzazione dei pazienti, cifratura delle immagini cliniche, registro degli accessi, scadenza automatica della sessione, protezione contro accessi non autorizzati e limitazione dei dati ai soli ruoli autorizzati.