Informativa sul trattamento dei dati personali

Ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR) · Versione del

1. Titolare
2. Dati trattati
3. Dati dei pazienti
4. Dettatura vocale
5. Finalità e basi giuridiche
6. Fornitori
7. Trasferimenti extra UE
8. Conservazione
9. Cookie e archiviazione locale
10. I tuoi diritti
11. Altre informazioni

1. Titolare del trattamento

Il titolare del trattamento è (), con sede in , P.IVA .

Contatti per la privacy: · PEC .

Responsabile della protezione dei dati (DPO): .

2. Quali dati trattiamo

• Account: email, password (conservata solo in forma cifrata non reversibile), date di accesso, eventuale fattore di verifica in due passaggi.
• Profilo: nome e cognome (facoltativi; servono per la firma sul PDF e per il nome nei team).
• Libreria personale: metodiche, esami, indicazioni e frasi che crei o importi.
• Carte intestate: i file PDF che carichi e i relativi margini.
• Team: nome visualizzato, ruolo, canali, messaggi e inviti dei team di cui fai parte.
• Consensi: versione e data in cui hai accettato i Termini e preso visione di questa informativa.
• Dati tecnici: indirizzo IP e informazioni sul browser registrati dai fornitori di hosting e database per far funzionare il servizio e proteggerlo da abusi.

Per scelta di progetto non trattiamo categorie particolari di dati (art. 9 GDPR): vedi il punto 3.

3. Dati dei pazienti

ModReport è uno strumento di scrittura: ti aiuta a comporre il testo del referto, che poi copi nel sistema della struttura o stampi. È progettato perché i dati dei pazienti non arrivino ai nostri server:

• il referto che componi resta nel tuo browser; l'archivio dei referti è salvato solo sul tuo computer, non nel cloud;
• nella libreria e nei messaggi di team non vanno inseriti dati che identificano i pazienti; l'importazione dei referti blocca le frasi che sembrano contenerne (nomi, date, codici fiscali, numeri di accettazione);
• per i dati dei tuoi pazienti resti tu, o la struttura per cui lavori, il titolare del trattamento.

Se una struttura sanitaria desidera usare ModReport con dati dei pazienti serve un accordo specifico sul trattamento (art. 28 GDPR): scrivici.

4. Dettatura vocale

La dettatura usa il servizio di riconoscimento vocale integrato nel tuo browser: l'audio viene inviato ed elaborato dal fornitore del browser (Google per Chrome, Microsoft per Edge, Apple per Safari) secondo i suoi termini e la sua informativa. ModReport non riceve né conserva l'audio. Al primo utilizzo te lo ricordiamo e puoi disattivare la dettatura da "Il mio account". Non dettare dati che identificano i pazienti.

5. Finalità e basi giuridiche

• Fornirti il servizio (account, sincronizzazione della libreria, team, stampa): esecuzione del contratto, art. 6.1.b GDPR.
• Comunicazioni di servizio (conferma dell'email, recupero password, avvisi su modifiche): esecuzione del contratto, art. 6.1.b.
• Sicurezza e prevenzione degli abusi (log tecnici, limiti di utilizzo): legittimo interesse a proteggere il servizio e gli utenti, art. 6.1.f.
• Obblighi di legge (es. fiscali, se acquisti un piano a pagamento): art. 6.1.c.
• Difesa di un diritto in sede giudiziaria: legittimo interesse, art. 6.1.f.
• Novità sul prodotto: solo con il tuo consenso, revocabile in ogni momento (art. 6.1.a). Oggi non inviamo newsletter.

6. Fornitori che trattano i dati per nostro conto

Ci affidiamo a fornitori nominati responsabili del trattamento (art. 28 GDPR), che trattano i dati solo secondo le nostre istruzioni:

• Supabase Pte. Ltd. (Singapore): autenticazione, database e archiviazione dei file. Server in: .
• Hosting del sito: , che riceve l'indirizzo IP dei visitatori per consegnare le pagine.
• Email di servizio: .
• Quando saranno attivi i piani a pagamento: Stripe Payments Europe, Ltd. (Irlanda) per i pagamenti e un fornitore di fatturazione elettronica, che indicheremo qui prima dell'attivazione.

I dati possono essere comunicati anche a consulenti (es. commercialista, legale) vincolati alla riservatezza e alle autorità quando lo impone la legge. Non vendiamo né cediamo dati a terzi per pubblicità.

7. Trasferimenti fuori dall'Unione Europea

Alcuni fornitori hanno sede fuori dall'UE (Supabase a Singapore, GitHub e Cloudflare negli Stati Uniti). I trasferimenti avvengono sulla base delle clausole contrattuali standard approvate dalla Commissione europea (art. 46 GDPR) e, per i fornitori statunitensi aderenti, dell'EU-US Data Privacy Framework (art. 45). Puoi chiederci una copia delle garanzie ai contatti del punto 1.

8. Per quanto tempo conserviamo i dati

• Account e contenuti: finché l'account è attivo. Quando lo elimini cancelliamo subito i dati dal database; le copie di backup del fornitore vengono sovrascritte nei cicli ordinari (di norma entro 30 giorni).
• Log tecnici: per il periodo previsto dal fornitore, al massimo 90 giorni.
• Prova dei consensi: per la durata del rapporto; dopo l'eliminazione dell'account conserviamo solo data, versione dei documenti e un identificativo pseudonimo per 10 anni (prescrizione ordinaria), a tutela dei diritti delle parti.
• Dati fiscali (se acquisti un piano): 10 anni, come previsto dall'art. 2220 del codice civile.

9. Cookie e archiviazione sul tuo dispositivo

ModReport non usa cookie di profilazione né strumenti di analisi di terze parti. Usa l'archiviazione locale del browser solo per far funzionare il servizio (strumenti tecnici, per i quali non serve il consenso: art. 122 del Codice privacy e Linee guida del Garante del 10 giugno 2021):

• sb-…-auth-token (localStorage, oppure sessionStorage sulle postazioni condivise): la sessione di accesso;
• mr-shared-device, mr-team, mr-dictation-*: preferenze (postazione condivisa, team aperto, dettatura);
• database IndexedDB modreport: l'archivio dei referti che scegli di salvare, solo su questo computer.

Puoi cancellare questi dati dalle impostazioni del browser; uscendo dall'account la sessione viene rimossa.

10. I tuoi diritti

Puoi in ogni momento chiedere l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità (anche scaricando libreria e archivio dall'app), opporti ai trattamenti basati sul legittimo interesse e revocare i consensi (artt. 15-22 GDPR). Molte azioni sono disponibili direttamente in "Il mio account" (modifica dei dati, eliminazione dell'account); per il resto scrivi ai contatti del punto 1: rispondiamo entro 30 giorni.

Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

11. Altre informazioni

• Obbligo di conferimento: email e password sono necessarie per creare l'account; gli altri dati sono facoltativi.
• Decisioni automatizzate: nessuna. Le proposte automatiche (ad esempio la classificazione delle frasi importate) sono suggerimenti che decidi tu se accettare.
• Sicurezza: connessioni cifrate (HTTPS), regole di accesso per utente nel database, verifica in due passaggi facoltativa, modalità "postazione condivisa" con uscita automatica.
• Età: il servizio è riservato a maggiorenni che operano in ambito sanitario.
• Modifiche: questa informativa ha un numero di versione. Le modifiche rilevanti ti saranno comunicate nell'app o via email prima che entrino in vigore.