Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento dei dati personali raccolti tramite l'applicazione mobile e il gestionale web Cureasy (di seguito «Cureasy» o «il Servizio») è Pietroni Rocco, con sede in Via della Pedica 372, 00046 Grottaferrata (RM), Italia — P.IVA 18342531003 (di seguito «il Titolare»).

Per qualsiasi questione relativa al trattamento dei dati personali e per l'esercizio dei diritti descritti in questa informativa è possibile scrivere a privacy@cureasy.app. Il Titolare non ha nominato un Responsabile della protezione dei dati (DPO), non ricorrendone i presupposti di obbligatorietà; il recapito sopra indicato costituisce il punto di contatto per le materie privacy.

2. Natura del servizio e ruoli (titolare e responsabile)

Cureasy è un gestionale B2B destinato a residenze e case di riposo private per anziani. La struttura cliente («la Struttura») crea gli account del proprio personale, inserisce e gestisce i dati dei propri ospiti e invita i familiari a utilizzare l'app.

Rispetto ai dati trattati per la gestione della propria attività assistenziale (dati del personale, degli ospiti e dei familiari), la Struttura agisce in qualità di titolare autonomo del trattamento e determina finalità e mezzi del trattamento. Cureasy tratta tali dati in qualità di responsabile del trattamento per conto della Struttura, ai sensi dell'articolo 28 del GDPR, sulla base di un accordo di nomina che disciplina oggetto, durata, natura e finalità del trattamento, tipologia di dati e categorie di interessati, nonché gli obblighi di sicurezza e riservatezza.

Il Titolare tratta invece in qualità di titolare autonomo i dati necessari alla gestione del rapporto con la Struttura cliente e all'erogazione, manutenzione e sicurezza del Servizio (ad esempio: dati di contatto amministrativi, dati di utilizzo e log tecnici). La presente informativa descrive complessivamente i trattamenti effettuati tramite il Servizio; il rapporto diretto con l'interessato e la raccolta dei consensi restano in capo alla Struttura titolare quando i dati sono trattati per suo conto.

3. Categorie di interessati

I dati trattati tramite il Servizio riguardano tre categorie di persone:

• Staff della Struttura: titolari, coordinatori e operatori socio-sanitari (OSS) che utilizzano il gestionale e l'app per svolgere la propria attività.
• Familiari con account: i parenti degli ospiti che la Struttura invita a utilizzare l'app per ricevere aggiornamenti, fotografie e videochiamate.
• Ospiti della Struttura: le persone assistite, i cui dati sono trattati dalla Struttura tramite il Servizio anche quando l'interessato non dispone di un proprio account.

4. Categorie di dati personali trattati

In funzione del ruolo dell'interessato e delle funzioni utilizzate, tramite il Servizio sono trattate le seguenti categorie di dati:

• Dati identificativi e di contatto (staff e familiari): nome, cognome, indirizzo email e ruolo. La password è gestita in forma cifrata dal fornitore di autenticazione e non è conoscibile dal Titolare in chiaro.
• Dati della Struttura: denominazione della residenza, ragione sociale e partita IVA, recapiti, numero di posti letto.
• Dati degli ospiti: dati identificativi e di contatto, fotografie, annotazioni di assistenza quotidiana (il diario), piani di terapia e registrazioni delle somministrazioni, prenotazioni di servizi e videochiamate, informazioni sui consensi raccolti.
• Categorie particolari di dati (art. 9 GDPR): le annotazioni di assistenza, le terapie e le somministrazioni possono includere dati relativi alla salute degli ospiti. Ricevono una protezione rafforzata e sono trattati alle condizioni indicate al successivo punto 5.
• Dati tecnici e diagnostici: token per le notifiche push, registri di sistema (log) e dati di diagnostica sugli errori dell'applicazione, necessari al funzionamento, alla manutenzione e alla sicurezza del Servizio.

Cureasy non tratta dati per finalità di marketing o pubblicità, non effettua profilazione degli interessati e non utilizza identificatori per il tracciamento tra applicazioni o siti di terze parti.

5. Finalità del trattamento e basi giuridiche

I dati personali sono trattati per le finalità e sulle basi giuridiche di seguito indicate:

• Erogazione delle funzionalità del Servizio (diario, terapie, consegne di turno, videochiamate, servizi, avvisi, gestione di account e inviti) e assistenza agli utenti — base giuridica: esecuzione del contratto o di misure precontrattuali, art. 6(1)(b) GDPR; per i dati trattati per conto della Struttura, esecuzione del contratto tra la Struttura e i propri interessati.
• Trattamento dei dati relativi alla salute degli ospiti per conto della Struttura, nell'ambito dell'assistenza — base giuridica: le condizioni di cui all'art. 9(2) GDPR, in particolare la lettera (h) (finalità di assistenza sanitaria o sociale) e, ove richiesto, la lettera (a) (consenso esplicito dell'interessato), raccolto dalla Struttura.
• Pubblicazione ai familiari di fotografie e contenuti relativi agli ospiti tramite l'app — base giuridica: il consenso specifico, informato e revocabile dell'interessato o di chi ne ha la rappresentanza, art. 6(1)(a) e art. 9(2)(a) GDPR, raccolto dalla Struttura.
• Adempimento di obblighi di legge (ad es. contabili, fiscali) cui è soggetto il Titolare o la Struttura — base giuridica: art. 6(1)(c) GDPR.
• Garanzia della sicurezza del Servizio, prevenzione di abusi e accessi non autorizzati, difesa in giudizio — base giuridica: legittimo interesse del Titolare e della Struttura, art. 6(1)(f) GDPR, previo bilanciamento con i diritti degli interessati.

6. Natura del conferimento dei dati

Il conferimento dei dati necessari all'attivazione e all'utilizzo del Servizio (dati di account e dati di assistenza inseriti dalla Struttura) è indispensabile: in mancanza non è possibile erogare le funzioni del gestionale e dell'app. È invece facoltativo il conferimento dei dati basati sul consenso, in particolare per la pubblicazione delle fotografie e per le altre attività soggette a consenso documentale: il rifiuto o la successiva revoca non pregiudicano l'assistenza, ma limitano le funzioni corrispondenti (ad esempio la visibilità delle foto ai familiari).

7. Consensi documentali degli ospiti

Alcuni trattamenti relativi agli ospiti — in particolare la pubblicazione delle fotografie, le videochiamate e l'accesso dei familiari all'app — si fondano su un consenso raccolto dalla Struttura mediante modulo firmato.

Il Servizio registra tali consensi (tipologia, firmatario, data e documento scansionato) al fine di consentire alla Struttura di comprovarne l'esistenza (accountability, art. 5(2) GDPR) e di governare la visibilità dei contenuti: ad esempio, le fotografie di un ospite sono rese visibili ai familiari soltanto se il relativo consenso risulta attivo. La raccolta materiale della firma, la verifica dei presupposti e dell'eventuale rappresentanza dell'interessato restano responsabilità della Struttura titolare. Il consenso può essere revocato in qualsiasi momento, senza pregiudizio per la liceità del trattamento effettuato prima della revoca; la revoca è tracciata dal sistema e comporta la cessazione del corrispondente trattamento.

8. Videochiamate

Il Servizio consente di prenotare e svolgere videochiamate tra gli ospiti e i loro familiari. I flussi audio e video sono veicolati tramite il fornitore dell'infrastruttura di videochiamata e non sono registrati né conservati dal Servizio: al termine della chiamata non permane alcuna registrazione audio o video. Sono trattati i soli dati necessari a organizzare la chiamata (prenotazione, orario, partecipanti).

9. Modalità del trattamento e misure di sicurezza

Il trattamento è effettuato con strumenti elettronici e con l'adozione di misure tecniche e organizzative adeguate a garantire un livello di sicurezza proporzionato al rischio, ai sensi degli artt. 25 e 32 GDPR (protezione dei dati fin dalla progettazione e per impostazione predefinita).

• Cifratura in transito delle comunicazioni tra l'app e i server (HTTPS/TLS).
• Controllo degli accessi basato su ruoli e isolamento logico dei dati di ciascuna Struttura, così che ogni utente acceda esclusivamente ai dati di propria competenza.
• Minimizzazione dei dati e limitazione delle finalità: i dati clinici e le note riservate degli ospiti non sono accessibili ai familiari, che visualizzano soltanto i contenuti espressamente condivisi dalla Struttura (foto autorizzate, aggiornamenti, avvisi e videochiamate).
• Registrazione degli eventi rilevanti per la sicurezza e monitoraggio degli errori applicativi.

10. Cookie e tecnologie analoghe

Il gestionale web utilizza esclusivamente cookie e tecnologie tecnicamente necessari al funzionamento del Servizio e alla gestione della sessione autenticata. Non sono impiegati cookie di profilazione o di marketing, né strumenti di tracciamento pubblicitario: per questa ragione non è richiesto un banner di consenso ai cookie. L'app mobile utilizza le sole tecnologie necessarie al funzionamento e all'invio delle notifiche.

11. Soggetti che trattano i dati (responsabili e sub-responsabili)

Per erogare il Servizio, il Titolare si avvale di fornitori che agiscono come responsabili (o sub-responsabili) del trattamento, nominati ai sensi dell'art. 28 GDPR e vincolati da adeguate garanzie contrattuali, con dati ospitati nell'Unione Europea ove possibile. I dati non sono oggetto di diffusione né di cessione a terzi per finalità di marketing.

• Supabase — banca dati, autenticazione e archiviazione dei file (regione UE).
• Vercel — hosting del gestionale e delle pagine web.
• Resend — invio delle email di servizio (inviti, reimpostazione della password).
• Daily.co — infrastruttura per le videochiamate.
• Sentry — monitoraggio degli errori e diagnostica dell'applicazione.
• Expo, Apple e Google — consegna delle notifiche push all'app mobile.

L'elenco aggiornato dei responsabili del trattamento è disponibile su richiesta ai recapiti indicati in questa informativa.

12. Trasferimenti di dati fuori dall'Unione Europea

Alcuni fornitori possono trattare dati anche al di fuori dello Spazio Economico Europeo. In tali casi il trasferimento avviene nel rispetto degli artt. 44 e seguenti del GDPR, sulla base di una decisione di adeguatezza della Commissione Europea oppure di clausole contrattuali standard (Standard Contractual Clauses) integrate, ove necessario, da misure supplementari adeguate. Copia delle garanzie adottate può essere richiesta ai recapiti indicati.

13. Periodo di conservazione dei dati

I dati sono conservati per il tempo strettamente necessario alle finalità per cui sono trattati e, in ogni caso, secondo i seguenti criteri:

• Dati di account e di utilizzo: per la durata del rapporto con la Struttura; alla cessazione, cancellati o resi anonimi di norma entro 90 giorni, salvo diverse esigenze di legge.
• Dati di assistenza e dati relativi alla salute degli ospiti: conservati per il periodo stabilito dalla Struttura titolare in base agli obblighi di documentazione socio-sanitaria applicabili; il Servizio li conserva per conto della Struttura per la durata del contratto e, al termine, li restituisce o li cancella secondo le istruzioni della Struttura.
• Dati amministrativi, contabili e fiscali: per il tempo previsto dalla normativa applicabile (di regola 10 anni).
• Registri tecnici e dati diagnostici: per un periodo limitato, di norma non superiore a 12 mesi.

14. Diritti dell'interessato

Ai sensi degli articoli 15-22 del GDPR, ogni interessato ha diritto di ottenere l'accesso ai propri dati e la loro rettifica o cancellazione, la limitazione del trattamento, di opporsi al trattamento e di ottenere la portabilità dei dati, nonché di revocare in qualsiasi momento i consensi prestati (senza pregiudizio per la liceità del trattamento effettuato prima della revoca).

Le richieste possono essere inoltrate scrivendo a privacy@cureasy.app. Il Titolare riscontra le richieste senza ingiustificato ritardo e comunque entro un mese, prorogabile di ulteriori due mesi in caso di particolare complessità; l'esercizio dei diritti è di norma gratuito.

Poiché i dati degli ospiti, dello staff e dei familiari sono trattati dalla Struttura in qualità di titolare, la richiesta può essere rivolta anche direttamente alla Struttura di appartenenza, che il Titolare supporterà come responsabile. È inoltre riconosciuto il diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) o all'autorità di controllo dello Stato di residenza.

15. Processo decisionale automatizzato e profilazione

Il Servizio non adotta processi decisionali automatizzati, compresa la profilazione, che producano effetti giuridici o incidano in modo analogamente significativo sugli interessati ai sensi dell'art. 22 GDPR.

16. Cancellazione dell'account e dei dati

L'interessato può richiedere la cancellazione del proprio account e dei dati associati scrivendo a privacy@cureasy.app. La richiesta è evasa nei termini di legge, fatti salvi gli obblighi di conservazione previsti dalla normativa e le esigenze della Struttura titolare in relazione ai dati trattati per suo conto.

17. Minori

Il Servizio è destinato a un uso professionale nell'ambito dell'assistenza. L'app rivolta ai familiari è destinata a persone maggiorenni: il Titolare non tratta consapevolmente dati di minori tramite gli account familiari. Qualora dovesse rilevare un trattamento non intenzionale di dati di minori, provvederà a cancellarli senza ritardo.

18. Modifiche all'informativa

La presente informativa può essere aggiornata nel tempo per adeguarla a modifiche normative o del Servizio. Le modifiche saranno pubblicate su questa pagina con l'indicazione della data di ultimo aggiornamento; nei casi rilevanti, gli utenti saranno informati con adeguato preavviso.

19. Contatti

Per esercitare i propri diritti o per qualsiasi domanda relativa alla presente informativa è possibile contattare il Titolare all'indirizzo privacy@cureasy.app.