1. Ambito e soggetti
La presente informativa descrive il trattamento dei dati personali effettuato attraverso appgestione.it. Il gestore della piattaforma è il Dott. Giancarlo Bogo (contatto: giancarlobogo@tosmile.it). Per la gestione dei propri rapporti contrattuali, degli account e della sicurezza, il gestore agisce come titolare nei limiti delle finalità che determina autonomamente. Per i dati inseriti dalle strutture sanitarie che stabiliscono finalità e mezzi essenziali del trattamento, queste operano come titolari e il gestore tratta i dati per loro conto secondo le istruzioni e gli accordi applicabili ai sensi dell’art. 28 GDPR.
2. Contatti privacy
Gestore: Dott. Giancarlo Bogo — C.F. BGOGCR91H01A083W — giancarlobogo@tosmile.it. Referente DPO indicato: Andrea Rocca — info@aroccaconsulting.com.
3. Categorie di dati
La piattaforma può trattare dati identificativi e di contatto, credenziali e autorizzazioni, log tecnici e di accesso, dati contabili e finanziari, dati del personale e relativi a retribuzioni, cedolini e Certificazione Unica (CU, già CUD), nonché dati relativi alla salute. Possono essere presenti categorie particolari di dati ai sensi dell’art. 9 GDPR e dati di terzi caricati dalle strutture.
4. Finalità e basi giuridiche
Per i trattamenti di cui il gestore è titolare: erogazione e gestione del servizio (art. 6(1)(b) GDPR ove applicabile), adempimenti di legge (art. 6(1)(c)), sicurezza, prevenzione abusi e tutela dei diritti (art. 6(1)(f), previa valutazione del bilanciamento). Per i trattamenti svolti per conto delle strutture sanitarie, le basi giuridiche degli artt. 6 e 9 GDPR devono essere individuate e comunicate dalle strutture titolari; il gestore tratta tali dati soltanto secondo istruzioni documentate. Il consenso non è indicato come base generale per i trattamenti sanitari o del personale.
5. Natura del conferimento
I dati necessari all’autenticazione e all’erogazione delle funzionalità richieste sono indispensabili per usare il servizio. Per i dati caricati dalle strutture, obbligatorietà e conseguenze del mancato conferimento dipendono dai rispettivi trattamenti e dalle informative dei titolari.
6. Destinatari e fornitori
I dati possono essere accessibili a personale autorizzato, amministratori di sistema e fornitori tecnici debitamente incaricati, nei limiti necessari. Hosting dichiarato: infrastruttura server situata a Francoforte, Germania; i fornitori e gli eventuali sub-responsabili sono individuati nella documentazione contrattuale applicabile. L’ubicazione del server, da sola, non esclude accessi o trasferimenti verso Paesi terzi.
7. Trasferimenti internazionali
Eventuali trasferimenti al di fuori dello Spazio Economico Europeo sono ammessi solo in presenza dei presupposti previsti dal capo V GDPR, con garanzie adeguate e informazioni specifiche agli interessati.
8. Conservazione
I dati sono conservati per periodi proporzionati alle finalità e agli obblighi di legge. I periodi specifici o i criteri per determinarli dipendono dalla categoria di dati, dagli obblighi applicabili e, per i dati trattati per conto delle strutture, dalle istruzioni dei rispettivi titolari. Al termine del servizio, restituzione o cancellazione dei dati trattati per conto delle strutture segue l’accordo art. 28 GDPR, salvi obblighi legali.
9. Sicurezza
Considerata la sensibilità delle informazioni, sono necessarie misure adeguate al rischio, incluse gestione dei privilegi, autenticazione robusta, cifratura ove appropriata, tracciamento degli accessi, backup protetti, procedure di ripristino e gestione degli incidenti. Le misure adottate sono soggette a revisione in relazione ai rischi e all’evoluzione tecnica.
10. Diritti degli interessati
Nei casi e nei limiti previsti dagli artt. 15–22 GDPR, gli interessati possono richiedere accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, nonché revocare eventuali consensi senza pregiudicare la liceità del trattamento precedente. Le richieste sui dati gestiti per conto di una struttura devono essere indirizzate al rispettivo titolare, anche tramite i contatti privacy indicati dalla struttura. È possibile proporre reclamo al Garante per la protezione dei dati personali.
11. Decisioni automatizzate
Qualora siano introdotte decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o analogamente significativi, saranno fornite agli interessati le informazioni previste dalla normativa applicabile.
12. Aggiornamenti
La presente informativa può essere aggiornata quando cambiano le modalità di trattamento. La data di ultimo aggiornamento è riportata in calce.