Informativa sul trattamento dei dati personali
1. Perché queste informazioni
Questa pagina descrive le modalità di trattamento dei dati personali degli utenti che consultano il sito web di Ca.St.A. – Castagna Studio Medico Associato (di seguito “Ca.St.A.” o “Studio”), accessibile all’indirizzo https://www.castamed.it, e di coloro che utilizzano i servizi online disponibili sul sito, in particolare il servizio di prenotazione delle visite.
L’informativa è resa solo per il sito sopra indicato e non per altri siti, pagine o servizi online eventualmente raggiungibili tramite collegamenti ipertestuali pubblicati sul sito ma riferiti a risorse esterne (ad esempio i profili social dello Studio, le piattaforme delle strutture sanitarie ospitanti o i siti delle assicurazioni sanitarie).
Per il trattamento dei dati sanitari raccolti nell’ambito delle prestazioni mediche erogate presso lo Studio è resa una informativa specifica, consegnata e sottoscritta in occasione della prima visita e disponibile alla pagina Informativa appuntamento.
2. Titolare del trattamento
Titolare del trattamento è Ca.St.A. – Castagna Studio Medico Associato, con sede in Via Antonio Locatelli 6, 20124 Milano (MI) – P. IVA 13274450967.
- E-mail: info@castamed.it
- PEC: Ca.St.A@pec.it
- Telefono: +39 02 86995349
Ciascun medico associato opera, per le prestazioni sanitarie di propria competenza, quale autonomo titolare del trattamento dei dati clinici del paziente, nel rispetto del segreto professionale.
3. Tipologie di dati trattati, finalità, basi giuridiche e conservazione
3.1 Dati di navigazione
I sistemi informatici e le procedure software preposte al funzionamento di questo sito acquisiscono, nel corso del loro normale esercizio, alcuni dati personali la cui trasmissione è implicita nell’uso dei protocolli di comunicazione di Internet: indirizzi IP, nomi a dominio dei terminali utilizzati, indirizzi in notazione URI/URL delle risorse richieste, orario della richiesta, metodo utilizzato, dimensione del file ottenuto in risposta, codice di stato della risposta del server e altri parametri relativi al sistema operativo e all’ambiente informatico dell’utente.
Tali dati sono utilizzati al solo fine di consentire la corretta erogazione del servizio web, verificare il regolare funzionamento del sito e garantirne la sicurezza (rilevazione di anomalie, tentativi di accesso non autorizzato, abusi). Non sono utilizzati per identificare gli utenti né per finalità di profilazione.
Base giuridica: legittimo interesse del Titolare alla sicurezza e al corretto funzionamento del sito (art. 6, par. 1, lett. f GDPR).
Conservazione: i log del server sono conservati per un massimo di 30 giorni, salve eventuali necessità di accertamento di reati da parte dell’Autorità giudiziaria.
3.2 Richieste di contatto (e-mail, telefono, WhatsApp)
L’invio facoltativo, esplicito e volontario di messaggi agli indirizzi di contatto indicati sul sito, comprese le comunicazioni inviate al numero WhatsApp della segreteria, comporta l’acquisizione dei dati di contatto del mittente e di tutti i dati personali contenuti nella comunicazione.
Avvertenza sull’uso di WhatsApp. Il servizio WhatsApp è fornito da un soggetto terzo (WhatsApp Ireland Ltd., gruppo Meta), che tratta i metadati della conversazione secondo le proprie condizioni. Si invitano gli utenti a non trasmettere tramite WhatsApp referti, immagini diagnostiche o altre informazioni relative alla propria salute, utilizzando per tali comunicazioni i canali indicati dalla segreteria.
Base giuridica: riscontro alla richiesta dell’interessato ed esecuzione di misure precontrattuali (art. 6, par. 1, lett. b GDPR); per gli aspetti organizzativi, legittimo interesse alla gestione delle relazioni con i pazienti (art. 6, par. 1, lett. f GDPR). Ove la comunicazione contenga spontaneamente dati sulla salute, il trattamento avviene ai fini della gestione dei servizi di assistenza sanitaria (art. 9, par. 2, lett. h GDPR).
Conservazione: per il tempo necessario a evadere la richiesta e, in caso di successiva instaurazione del rapporto di cura, secondo i termini indicati al punto 3.4.
3.3 Registrazione dell’account e prenotazione online delle visite
Per prenotare una visita tramite il servizio online l’utente crea un account sul sito e fornisce i dati necessari all’identificazione del paziente e alla gestione dell’appuntamento: nome e cognome, indirizzo e-mail, password (memorizzata in forma cifrata), numero di telefono, codice fiscale, data e luogo di nascita, indirizzo di residenza completo, oltre ai dati relativi alla prenotazione (medico, sede, data e ora). Sono inoltre trattati i dati relativi alla eventuale copertura assicurativa sanitaria, ove comunicati.
Qualora la prenotazione sia effettuata per conto di un minore o di altro soggetto, l’utente registrato dichiara di agire in qualità di genitore esercente la responsabilità genitoriale, tutore o legale rappresentante e si assume la responsabilità dell’esattezza dei dati conferiti.
Base giuridica: esecuzione del contratto e di misure precontrattuali richieste dall’interessato (art. 6, par. 1, lett. b GDPR); adempimento di obblighi di legge in materia contabile, fiscale e sanitaria (art. 6, par. 1, lett. c GDPR).
Conservazione: i dati dell’account sono conservati fino alla richiesta di cancellazione da parte dell’utente; i dati relativi agli appuntamenti e alle prestazioni erogate secondo i termini indicati al punto 3.4.
3.4 Dati relativi alla salute (categorie particolari di dati)
Nell’ambito dell’attività di prevenzione, diagnosi, cura e riabilitazione lo Studio tratta dati relativi alla salute dell’interessato, che confluiscono nella documentazione sanitaria (“Schede di Valutazione Medica”) conservata con misure di sicurezza adeguate.
Base giuridica: il trattamento è necessario per finalità di medicina preventiva, diagnosi, assistenza e terapia sanitaria ed è effettuato da professionisti sanitari soggetti al segreto professionale (art. 9, par. 2, lett. h GDPR, in combinato disposto con l’art. 75 del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018), nonché per l’adempimento di obblighi di legge in ambito sanitario, contabile e fiscale.
Ove il trattamento di dati particolari avvenga per finalità ulteriori rispetto alla cura — a titolo esemplificativo: fini di ricerca scientifica o didattica, refertazione online, pubblicazione di immagini o casi clinici — esso è effettuato esclusivamente sulla base del consenso esplicito dell’interessato (art. 9, par. 2, lett. a GDPR), liberamente revocabile in qualsiasi momento senza pregiudizio per la prestazione sanitaria.
Conservazione: la documentazione sanitaria è conservata per il tempo necessario alle finalità sopra indicate e comunque per non oltre 10 anni dalla cessazione del rapporto, fatti salvi i diversi termini previsti da specifiche disposizioni di legge e la conservazione necessaria all’accertamento, esercizio o difesa di un diritto in sede giudiziaria.
3.5 Invio dei dati al Sistema Tessera Sanitaria (MEF)
Gli erogatori di prestazioni sanitarie sono tenuti per legge a trasmettere al Sistema Tessera Sanitaria del Ministero dell’Economia e delle Finanze i dati anagrafici e i dati relativi alle spese sanitarie sostenute, ai fini della predisposizione della dichiarazione dei redditi precompilata.
L’interessato ha facoltà di opporsi a tale trasmissione, manifestando il proprio diniego al momento della prenotazione o della prestazione, oppure direttamente nell’area riservata del Sistema Tessera Sanitaria. In caso di opposizione, la spesa non viene comunicata e non comparirà nella dichiarazione precompilata.
Base giuridica: adempimento di un obbligo legale (art. 6, par. 1, lett. c GDPR; art. 9, par. 2, lett. g e h GDPR).
3.6 Ricerca degli ambulatori esterni e dati di geolocalizzazione
La pagina “Contatti” mette a disposizione uno strumento di ricerca delle sedi e degli ambulatori esterni presso i quali i medici dello Studio ricevono. Se l’utente sceglie la funzione “usa la mia posizione”, il browser richiede il consenso all’accesso ai dati di geolocalizzazione del dispositivo: tali dati sono utilizzati unicamente, in tempo reale, per calcolare le sedi più vicine e i relativi itinerari, non sono conservati dal Titolare e la funzione può essere disattivata in qualsiasi momento dalle impostazioni del browser o del dispositivo.
Lo strumento si appoggia ai servizi cartografici di Google (si veda il punto 8 sui cookie di terze parti).
Base giuridica: consenso dell’interessato, prestato tramite il browser (art. 6, par. 1, lett. a GDPR).
3.7 Recensioni pubblicate sul sito
Sul sito sono riprodotte alcune recensioni pubblicate dagli utenti su Google Maps in relazione allo Studio, con il nome pubblico e l’immagine del profilo scelti dall’autore della recensione. Si tratta di contenuti già resi pubblici dagli stessi interessati sulla piattaforma Google. L’autore può chiederne in qualsiasi momento la rimozione dal sito scrivendo a info@castamed.it, oltre a poter modificare o eliminare la recensione direttamente su Google.
Base giuridica: legittimo interesse del Titolare a dare conto della qualità percepita dei propri servizi, su dati manifestamente resi pubblici dall’interessato (art. 6, par. 1, lett. f GDPR).
3.8 Pagine e profili social
Il sito contiene collegamenti ai profili dello Studio su Facebook, Instagram e LinkedIn. La semplice presenza del collegamento non comporta la trasmissione di dati alle piattaforme. I dati eventualmente trattati in occasione dell’interazione dell’utente con tali profili (commenti, messaggi privati, statistiche di pagina) sono soggetti alle informative dei rispettivi gestori, ai quali l’utente è invitato a fare riferimento.
4. Natura del conferimento dei dati
Il conferimento dei dati di navigazione è implicito nell’uso dei protocolli internet. Il conferimento dei dati richiesti per la registrazione dell’account e per la prenotazione è facoltativo, ma il mancato conferimento dei dati contrassegnati come obbligatori rende impossibile completare la prenotazione online; resta sempre possibile prenotare telefonicamente o via e-mail.
Il conferimento dei dati necessari all’erogazione della prestazione sanitaria e all’adempimento degli obblighi di legge è necessario: in loro assenza non è possibile erogare la prestazione né rilasciare certificazioni, referti o prescrizioni mediche.
5. Modalità del trattamento e misure di sicurezza
I dati sono trattati con strumenti elettronici e, ove necessario, su supporto cartaceo, da personale autorizzato e istruito ai sensi dell’art. 29 GDPR, per il tempo strettamente necessario a conseguire le finalità indicate. Il Titolare adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio (art. 32 GDPR), tra cui la trasmissione cifrata dei dati tramite protocollo HTTPS, la cifratura delle credenziali di accesso, il controllo degli accessi, il backup periodico e l’aggiornamento dei sistemi.
I dati non sono oggetto di diffusione a soggetti indeterminati né di processi decisionali automatizzati o di profilazione ai sensi dell’art. 22 GDPR.
6. Destinatari dei dati
I dati possono essere conosciuti, nei limiti delle rispettive competenze, da:
- personale autorizzato dello Studio: medici, personale di segreteria, addetti alla contabilità e alla fatturazione;
- soggetti che forniscono servizi al Titolare e che agiscono in qualità di responsabili del trattamento ai sensi dell’art. 28 GDPR, sulla base di apposito atto di nomina: il fornitore dei servizi di hosting, sviluppo e manutenzione del sito (Lightage S.r.l.), il consulente fiscale e il fornitore del gestionale amministrativo;
- strutture sanitarie ospitanti presso le quali i medici dello Studio erogano prestazioni, per quanto di rispettiva competenza;
- compagnie assicurative e fondi sanitari, nei casi di prestazioni in convenzione o di richiesta di rimborso da parte dell’interessato;
- autorità pubbliche e organi giudiziari, quando la comunicazione è imposta da un obbligo di legge o richiesta nell’esercizio delle loro funzioni (a titolo esemplificativo: Agenzia delle Entrate, Sistema Tessera Sanitaria, ATS territorialmente competente);
- professionisti e consulenti del Titolare, nei limiti necessari allo svolgimento dell’incarico e con vincolo di riservatezza.
L’elenco aggiornato dei responsabili del trattamento è disponibile su richiesta scrivendo a info@castamed.it.
7. Trasferimento dei dati fuori dall’Unione Europea
I dati sono trattati su server ubicati all’interno dell’Unione Europea. L’utilizzo di alcuni servizi tecnici di terze parti descritti al punto 8 (servizi cartografici, librerie e font distribuiti tramite reti CDN) può comportare la trasmissione dell’indirizzo IP dell’utente a fornitori stabiliti in Paesi terzi, tra cui gli Stati Uniti. Tali trasferimenti avvengono sulla base delle garanzie previste dal Capo V del GDPR, ossia decisioni di adeguatezza della Commissione europea (per i fornitori aderenti al EU–U.S. Data Privacy Framework) o clausole contrattuali tipo.
8. Cookie e altri strumenti di tracciamento
I cookie sono piccoli file di testo che i siti visitati inviano al terminale dell’utente, dove vengono memorizzati per essere ritrasmessi agli stessi siti alla visita successiva. Oltre ai cookie, tecnologie analoghe (local storage, richieste a risorse esterne) possono consentire la memorizzazione di informazioni sul dispositivo o la trasmissione di dati a terze parti.
8.1 Cookie tecnici
Questo sito utilizza esclusivamente cookie tecnici, necessari al suo funzionamento e all’erogazione dei servizi richiesti dall’utente. Per la loro installazione non è richiesto il consenso preventivo (art. 122 D.Lgs. 196/2003).
| Cookie | Finalità | Durata |
|---|---|---|
| cookie_notice_accepted | Memorizza la scelta dell’utente relativa all’informativa sui cookie, per non riproporre il banner a ogni pagina | 1 mese |
| PHPSESSID | Identificativo di sessione generato dal server, necessario alla navigazione e al corretto funzionamento del modulo di prenotazione | Sessione |
| wordpress_sec_*, wordpress_logged_in_* | Autenticazione e mantenimento della sessione degli utenti registrati all’area prenotazioni | Sessione / 14 giorni |
| wp-settings-*, wp-settings-time-* | Memorizzazione delle preferenze di visualizzazione dell’utente registrato | 1 anno |
Il sito non utilizza cookie di profilazione né strumenti di analisi statistica o di marketing che comportino il tracciamento del comportamento dell’utente.
8.2 Servizi e risorse di terze parti
Alcune pagine del sito incorporano contenuti o risorse forniti da soggetti terzi. La visualizzazione di tali contenuti comporta la trasmissione al fornitore dell’indirizzo IP dell’utente e può comportare l’installazione di cookie da parte dello stesso, sui quali il Titolare non ha controllo diretto.
| Servizio | Fornitore | Dove e perché | Informativa |
|---|---|---|---|
| Google Maps | Google Ireland Ltd. | Mappa della sede e ricerca degli ambulatori esterni nella pagina Contatti | policies.google.com/privacy |
| Google Fonts | Google Ireland Ltd. | Caricamento dei caratteri tipografici utilizzati nella grafica del sito | policies.google.com/privacy |
| Rete di distribuzione contenuti (CDN) | unpkg / Cloudflare, Inc. | Caricamento delle librerie software necessarie al funzionamento del modulo di prenotazione online | cloudflare.com/privacypolicy |
I contenuti di terze parti che comportano l’installazione di cookie non tecnici sono attivati solo previo consenso dell’utente, manifestato tramite il banner presente alla prima visita.
8.3 Come gestire o revocare il consenso ai cookie
L’utente può modificare in qualsiasi momento le proprie scelte tramite il banner richiamabile dal sito, nonché configurare il proprio browser per bloccare o cancellare i cookie già installati. La disabilitazione dei cookie tecnici può compromettere il corretto funzionamento di alcune sezioni del sito, in particolare dell’area di prenotazione. Le istruzioni sono disponibili alle pagine di supporto dei principali browser: Chrome, Mozilla Firefox, Microsoft Edge, Safari, Opera.
9. Diritti dell’interessato
L’interessato può esercitare in qualsiasi momento nei confronti del Titolare i diritti previsti dagli artt. 15-22 GDPR, e in particolare:
- accesso (art. 15): ottenere conferma dell’esistenza di un trattamento e copia dei dati, con indicazione di origine, finalità, categorie di dati, destinatari, periodo di conservazione;
- rettifica (art. 16): ottenere la correzione o l’integrazione dei dati inesatti o incompleti;
- cancellazione (art. 17): ottenere la cancellazione dei dati, nei limiti in cui ciò non contrasti con obblighi di legge o con la necessità di conservare la documentazione sanitaria;
- limitazione del trattamento (art. 18);
- portabilità (art. 20): ricevere in formato strutturato e di uso comune i dati forniti, ove il trattamento si basi sul consenso o sul contratto e avvenga con mezzi automatizzati;
- opposizione (art. 21): opporsi per motivi legittimi al trattamento fondato sul legittimo interesse del Titolare;
- revoca del consenso (art. 7, par. 3): revocare in qualsiasi momento il consenso eventualmente prestato, senza che ciò pregiudichi la liceità del trattamento effettuato in precedenza né l’erogazione delle prestazioni sanitarie.
Le richieste vanno indirizzate a info@castamed.it oppure inviate per posta alla sede dello Studio. Il Titolare fornisce riscontro entro un mese dal ricevimento, prorogabile di due mesi in caso di particolare complessità.
Si invita inoltre a segnalare tempestivamente alla segreteria ogni variazione dei propri dati personali, affinché gli stessi siano esatti e aggiornati.
10. Reclamo all’Autorità di controllo
L’interessato che ritenga che il trattamento dei propri dati avvenga in violazione del GDPR ha diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma – www.garanteprivacy.it) o di adire le competenti sedi giudiziarie.
11. Minori
I servizi online del sito non sono destinati a minori di età. La prenotazione di prestazioni a favore di un minore può essere effettuata esclusivamente dal genitore esercente la responsabilità genitoriale o dal tutore, che risponde della veridicità dei dati conferiti e presta gli eventuali consensi necessari nell’interesse del minore.
12. Modifiche alla presente informativa
Il Titolare si riserva di aggiornare la presente informativa in conseguenza di modifiche normative, dei servizi offerti o delle tecnologie utilizzate. Le versioni aggiornate sono pubblicate su questa pagina, con indicazione della data di ultimo aggiornamento. Si invita l’utente a consultarla periodicamente.
