Informativa sul trattamento dei dati personali

PERCHÉ RICEVE QUESTA INFORMATIVA

Lei sta per fare, o ha appena fatto, una visita o un esame presso MedWork Srl. Per curarLa dobbiamo raccogliere e conservare dati che La riguardano, compresi dati sulla Sua salute. Questa informativa Le spiega, con parole semplici, quali dati usiamo, perché, chi li vede, per quanto tempo e quali diritti ha, come previsto dagli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR).

1. CHI TRATTA I SUOI DATI

Il Titolare del trattamento per i servizi del Poliambulatorio è MedWork Srl, con sede in Via L. Suardo 18 - Sarnico - BG, C.F./P.IVA 13387830154. Contatti: polimedwork@pec.it · info@polimedwork.it. Il Direttore Sanitario è il dott. Bruno Falconi. Per le attività svolte da professionisti o strutture in qualità di titolari autonomi, questi rendono le informazioni relative ai trattamenti di propria competenza.
Questa informativa riguarda i pazienti privati e la prenotazione delle loro prestazioni. La sorveglianza sanitaria dei lavoratori ha una propria informativa e un percorso distinto.

2. RESPONSABILE DELLA PROTEZIONE DEI DATI (RPD)

Responsabile della protezione dei dati (DPO): Pietro Dibilio.
Contatto diretto: legal@privacy-online.it.
Il Responsabile della protezione dei dati (RPD, in inglese DPO) è una figura indipendente che vigila sul rispetto delle regole sulla privacy: può rivolgersi direttamente a lui o a lei per qualunque domanda o richiesta sui Suoi dati.

3. INTERESSATO E ORIGINE DEI DATI

I dati sono forniti direttamente da Lei, dalla persona legittimata che prenota per Suo conto o da chi esercita la responsabilità genitoriale o la tutela. Le informazioni cliniche derivano inoltre dalle prestazioni svolte e dalla documentazione che Lei consegna o che viene acquisita legittimamente da altri professionisti e strutture. Quando i dati non sono raccolti direttamente presso di Lei, può chiederne l’origine al Titolare o al DPO.

4. QUALI DATI TRATTIAMO

• dati anagrafici e di contatto: nome, cognome, luogo e data di nascita, codice fiscale, residenza, sesso, nazionalità, telefono ed email se ce li lascia;

• dati sulla salute (art. 9 GDPR): motivo della visita, anamnesi, esito della visita, referti degli esami e delle indagini diagnostiche, immagini diagnostiche, prescrizioni e terapie;

• dati necessari alla verifica dell’identità. Può essere richiesta l’esibizione del documento o della tessera sanitaria; una copia è acquisita soltanto quando necessaria per una specifica pratica, non per il solo fatto che il documento sia stato mostrato;

• dati necessari a fatturare e incassare la prestazione;

• l’immagine della firma, soltanto per gli altri documenti che richiedano una sottoscrizione; per questa informativa non è richiesta una firma.

5. PERCHÉ LI TRATTIAMO E SU QUALE BASE

• per visitarLa, fare gli esami, formulare la diagnosi, curarLa e consegnarLe i referti. Presupposti: esecuzione del rapporto di cura (art. 6 par. 1 lett. b GDPR) e diagnosi, assistenza e terapia sanitaria da parte di professionisti soggetti al segreto professionale (art. 9 par. 2 lett. h GDPR; art. 2-septies D.Lgs. 196/2003). Per i trattamenti di dati necessari alla cura non viene richiesto un consenso privacy: la presa visione è distinta dal consenso informato alla prestazione sanitaria, raccolto separatamente quando previsto;

• per ricevere e gestire la richiesta di prenotazione, registrare l’appuntamento e le comunicazioni necessarie al servizio. Base giuridica: misure richieste dall’interessato ed esecuzione del rapporto (art. 6 par. 1 lett. b GDPR); per i dati sulla salute necessari alla prestazione si applicano anche l’art. 9 par. 2 lett. h e le condizioni di segretezza del par. 3. La scelta del professionista e della prestazione è trattata come informazione riservata;

• per gli obblighi di legge: fatturazione, contabilità, invio della spesa sanitaria al Sistema Tessera Sanitaria per la Sua dichiarazione dei redditi (salvo Sua opposizione al momento del pagamento), comunicazioni alle autorità sanitarie quando la legge lo impone (art. 6 par. 1 lett. c GDPR);

• per accertare, esercitare o difendere un diritto, quando necessario e nei limiti pertinenti: legittimo interesse alla tutela dei diritti (art. 6 par. 1 lett. f GDPR) e, per i dati sanitari, art. 9 par. 2 lett. f GDPR;

• per proteggere il servizio da accessi indebiti e richieste anomale e documentare le operazioni: obblighi di sicurezza e legittimo interesse alla protezione del servizio, nei limiti applicabili degli artt. 6 par. 1 lett. c e f e 32 GDPR.

La prenotazione e la presa visione non autorizzano pubblicità o promozioni. Eventuali comunicazioni promozionali richiedono informazioni e consenso separati, facoltativi e revocabili; non sono attivate dal modulo del portale.

6. QUALI DATI DEVE FORNIRE

I dati necessari all’identificazione, alla prestazione e agli obblighi amministrativi devono essere disponibili: senza di essi la richiesta o la prestazione possono non essere completate.
Nel modulo iniziale di prenotazione online nome, cognome e almeno un recapito telefonico (cellulare oppure fisso) sono obbligatori; l’email è facoltativa. Il codice fiscale si inserisce nella pagina di cortesia per confermare la prenotazione e viene verificato all’accettazione insieme all’identità: il controllo del formato online non certifica l’identità né l’attribuzione del codice da parte dell’Agenzia delle Entrate. Se non dispone di un codice fiscale, può rivolgersi alla segreteria per concordare la prenotazione attraverso un altro canale.
Se non può utilizzare il portale o non dispone dei recapiti richiesti dal modulo, può rivolgersi direttamente alla segreteria per concordare un altro canale. Non disporre di email, smartphone o firma elettronica non comporta di per sé il rifiuto della prestazione sanitaria o della documentazione che Le spetta.

7. CHI PUÒ VEDERE I SUOI DATI

I medici e il personale sanitario legittimato accedono ai dati clinici necessari alle proprie funzioni. La segreteria utilizza i dati identificativi, organizzativi e amministrativi necessari al servizio; l’accesso alla documentazione sanitaria è limitato alle specifiche attività autorizzate. Il personale è istruito e vincolato alla riservatezza (art. 29 GDPR). Possono riceverli, per la parte strettamente necessaria:

• laboratori di analisi, medici specialisti e strutture sanitarie a cui affidiamo esami o approfondimenti, come Responsabili del trattamento (art. 28 GDPR) o come Titolari autonomi per la parte di loro competenza;

• il Suo medico curante o altri medici, se Lei ce lo chiede;

• il Sistema Tessera Sanitaria, l'ASL e le autorità sanitarie e giudiziarie, quando la legge lo prevede o lo richiedono;

• il fornitore del programma con cui gestiamo agende, referti e documenti, e il fornitore dei servizi di posta elettronica, entrambi nominati Responsabili del trattamento.

Nessun dato viene diffuso e nessun dato viene venduto o usato per fini commerciali di terzi.

8. I DATI VANNO ALL'ESTERO?

La conservazione prevista dalla struttura è in Italia o nell’Unione Europea. Qualora un servizio comporti un trasferimento di dati verso Paesi terzi, devono essere applicate le condizioni del Capo V GDPR, comprese una decisione di adeguatezza o garanzie appropriate e, quando necessarie, misure supplementari. Può chiedere al Titolare o al DPO informazioni sui destinatari e sulle garanzie applicate e come ottenerne copia.

9. PER QUANTO TEMPO LI CONSERVIAMO

• referti, immagini diagnostiche e documentazione sanitaria: 10 anni dall'ultima prestazione, salvo termini diversi previsti per specifiche tipologie di documentazione o necessari per obblighi di legge o tutela di diritti;

• dati di prenotazione e di agenda: 24 mesi dall'ultimo appuntamento;

• documenti contabili e fiscali: 10 anni dall'emissione (art. 2220 codice civile);

• eventuale copia del documento d’identità: soltanto per il tempo necessario alla finalità specifica che ne ha giustificato l’acquisizione;

• immagine della firma: lo stesso tempo del documento firmato.

Decorsi questi termini i dati sono cancellati in modo sicuro o resi anonimi in via irreversibile.

10. COME LI PROTEGGIAMO

I dati sono trattati con strumenti informatici e cartacei, con accessi riservati al personale autorizzato, credenziali personali, registro degli accessi, cifratura e copie di sicurezza (art. 32 GDPR). L’eventuale consegna elettronica della documentazione sanitaria avviene mediante il canale riservato predisposto per quel documento, con verifica dell’identità e delle abilitazioni. La ricevuta di prenotazione non è un referto né abilita altre persone a leggere documenti sanitari. Non inserisca diagnosi o documentazione clinica nei campi del modulo di prenotazione.

11. CONSEGNA DELL’INFORMATIVA E DOCUMENTAZIONE

Questa informativa non richiede una firma. È disponibile prima dell’invio del modulo e nella pagina di cortesia. Se ha indicato un’email, il testo dell’informativa viene incluso nella conferma della prenotazione. Senza email resta disponibile online e può esserne richiesta una copia alla segreteria.
Per documentare le informazioni rese conserviamo la versione e il testo forniti, la data, il canale, il destinatario e l’esito dell’invio; registriamo inoltre l’eventuale consultazione e la conferma di presa visione. L’accettazione del messaggio da parte del fornitore di posta non viene presentata come prova della lettura da parte del paziente. Queste registrazioni riguardano la consegna o presa visione dell’informativa e non sostituiscono il consenso informato alla prestazione sanitaria, quando richiesto, né eventuali consensi separati per finalità ulteriori.
Per altri documenti da sottoscrivere può essere acquisita, se il servizio è utilizzato, l’immagine della firma su tablet o telefono: non vengono registrati pressione, velocità o altri parametri biometrici e tale modalità non viene presentata come firma elettronica avanzata.

12. DECISIONI AUTOMATICHE

Nessuna decisione che La riguarda è presa in modo automatico e non facciamo profilazione (art. 22 GDPR): diagnosi e cure sono sempre decise dai medici.

13. I SUOI DIRITTI

Può chiederci, quando ne ricorrono i presupposti: di accedere ai Suoi dati e averne copia (art. 15 GDPR); di correggerli (art. 16); di cancellarli quando la legge lo permette (art. 17); di limitarne l'uso (art. 18); di riceverli in formato elettronico (art. 20); di opporsi a un trattamento che non sia imposto dalla legge (art. 21); di revocare un consenso che avesse dato, senza che questo tocchi quanto fatto prima (art. 7). Il riscontro è fornito senza ingiustificato ritardo e comunque entro un mese; nei casi consentiti un’eventuale proroga fino a ulteriori due mesi è comunicata e motivata entro il primo mese. La prima copia dei dati richiesta ai sensi dell’articolo 15 è di regola gratuita, salve le eccezioni del GDPR.
Le richieste si mandano al Titolare ai contatti del punto 1 oppure al Responsabile della protezione dei dati del punto 2. Se ritiene che i Suoi dati siano trattati in modo scorretto può fare reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, protocollo@gpdp.it, www.garanteprivacy.it (art. 77 GDPR).

14. PRENOTAZIONE ONLINE, COOKIE E DOCUMENTI

Il portale mostra professionisti, prestazioni e disponibilità dello Studio. La conferma di una prenotazione non costituisce diagnosi né consenso informato alla prestazione. Per prenotazioni relative a minori o persone rappresentate, lo Studio verifica all’accettazione l’identità e la legittimazione di chi agisce per loro.
La prenotazione e le variazioni rilevanti sono comunicate tramite email, se indicata e il canale è disponibile, oppure SMS al cellulare. Se è disponibile soltanto un numero fisso, senza email, la segreteria gestisce il contatto. Le conferme e gli aggiornamenti contengono un collegamento riservato alla pagina di cortesia. Il collegamento da solo non consente di leggere l’appuntamento: occorre verificare un codice monouso inviato all’email della prenotazione, oppure al cellulare se l’email non è presente. Il codice dura dieci minuti e ammette cinque tentativi. Dopo la verifica è autorizzato un browser per volta; una nuova verifica da un altro browser sostituisce l’accesso precedente.
La pagina mostra il promemoria e l’informativa, non referti o altre prenotazioni. Resta disponibile fino alla fine del giorno dell’appuntamento; un annullamento o un cambio dei recapiti può rendere inutilizzabile il vecchio collegamento. Per spostare o annullare l’appuntamento è necessario contattare la segreteria. Non condivida il collegamento o il codice di verifica.
Può chiedere di essere contattato su WhatsApp mediante l’apposita scelta facoltativa, disponibile soltanto con un cellulare. In tal caso la segreteria può inviare manualmente il collegamento al numero indicato; la scelta non autorizza messaggi promozionali. La presentazione dello specialista e i dati personali sono consultabili in riquadri che si aprono e si richiudono nella stessa pagina. Nel riquadro “I tuoi dati” può completare e correggere le informazioni anagrafiche e di contatto. Le modifiche vengono conservate come dati dichiarati, con data e traccia delle variazioni, e verificate dallo studio in accettazione: non associano automaticamente la prenotazione a una diversa persona già in archivio. I recapiti per i codici di accesso restano quelli verificati nella prenotazione finché lo studio non verifica e aggiorna i nuovi contatti.
Il pulsante “Scrivi allo studio” apre una conversazione riservata, collegata al solo appuntamento, nella sezione Ambulatorio della chat aziendale. Il personale autorizzato di MedWork può leggere i messaggi e rispondere; le risposte sono consultabili nella stessa pagina dopo la verifica di accesso e fino alla scadenza del collegamento. Il contenuto, il mittente e la data dei messaggi sono conservati nell’archivio delle comunicazioni di servizio dello studio, per le finalità e secondo i criteri di conservazione descritti in questa informativa. Le conversazioni non sono visibili agli altri pazienti o ai clienti aziendali.
Se è già paziente, può chiedere la compilazione dei dati esistenti indicando codice fiscale e telefono comunicati allo Studio e inserendo il codice monouso ricevuto su quel telefono. Il codice dura dieci minuti, ammette cinque tentativi e non sostituisce i controlli di identità all’accettazione. Può comunque compilare il modulo senza usare questa funzione; il portale non crea automaticamente una nuova scheda anagrafica. Sono consentite al massimo due prenotazioni future per paziente.
Per proteggere il servizio dagli abusi registriamo contatori tecnici associati a rappresentazioni crittografiche degli indirizzi di collegamento e dei recapiti, conservati per un massimo di quarantotto ore. Non sono usati per pubblicità o profilazione commerciale. I codici di verifica sono conservati in forma non leggibile, diventano inutilizzabili alla scadenza o dopo l’uso e vengono rimossi dai controlli periodici.

Il portale usa cookie tecnici per la sessione e la protezione del modulo. Il collegamento della pagina di cortesia viene conservato nella memoria temporanea della scheda del browser per permetterne la riapertura; il suo identificativo è rimosso dalla barra degli indirizzi dopo l’apertura. Nel browser viene conservata per sei mesi la presa visione dell’avviso cookie. Le risorse delle pagine, comprese foto e caratteri, sono servite localmente: il portale non carica tracciatori pubblicitari o statistici. I collegamenti verso siti esterni sono soggetti alle informative di quei siti.
Quando il portale è indicato come ANTEPRIMA, la conferma conclude una prova e non registra un appuntamento; i dati del modulo non vengono salvati nell’agenda. La pagina indica esplicitamente questa modalità prima dell’invio.
Per ricevere copia dei documenti sanitari o concordare un canale alternativo si rivolga alla segreteria: la richiesta viene indirizzata al personale competente e l’identità è verificata in modo proporzionato. Per dubbi sull’uso dei dati può rivolgersi direttamente al DPO ai recapiti del punto 2.

15. AGGIORNAMENTI

Questa informativa può essere aggiornata quando cambiano le norme o i nostri servizi. La versione in vigore è sempre disponibile presso la segreteria e sul sito del Poliambulatorio.

PRESA VISIONE

La consegna e l’eventuale conferma di lettura sono registrate senza richiedere la firma dell’interessato. La presa visione riguarda soltanto l’informativa, non autorizza finalità ulteriori e non sostituisce il consenso informato alle prestazioni sanitarie.