Informativa sulla privacy

1. Titolare del Trattamento

Titolare del Trattamento dei dati personali raccolti tramite il sito web e i servizi reFortium è il Professionista.

Il Titolare del Trattamento non ha nominato un Responsabile della Protezione dei Dati (DPO): non essendo un’autorità pubblica e non effettuando, in qualità di libero professionista a titolo individuale, trattamenti su larga scala di categorie particolari di dati (cfr. Considerando 91 GDPR e Linee guida sui Responsabili della protezione dei dati, WP243, fatte proprie dal Comitato europeo per la protezione dei dati), non ricorrono i presupposti di obbligatorietà di cui all’art. 37 GDPR, né risultano presupposti di nomina obbligatoria di un Responsabile della protezione dei dati ai sensi dell’art. 2-quaterdecies del Codice Privacy, relativo ai soggetti operanti in ambito sanitario.

2. Ambito di applicazione

La presente Informativa si applica a chiunque acceda al sito reFortium, ne consulti i contenuti, prenoti una consulenza o un percorso di fisioterapia da remoto o in presenza presso lo studio, o comunque interagisca con i servizi offerti (blog, form di prenotazione, form di triage, videoconsulto).

reFortium eroga servizi di fisioterapia muscolo-scheletrica a distanza rivolti prevalentemente ad atleti di powerlifting, bodybuilding e CrossFit. Il servizio è riservato a utenti residenti in Italia. Il servizio può essere richiesto anche da o per conto di utenti minorenni ai sensi della presente Informativa.

3. Categorie di dati trattati

Dati di navigazione

Durante la normale consultazione del sito vengono raccolti, in forma aggregata e senza cookie né identificatori persistenti, dati come pagine visitate, provenienza del traffico e tempi di permanenza, tramite Umami.

Dati tecnici e di sicurezza

Per proteggere i form del sito da utilizzi abusivi, sono trattati l’indirizzo IP e alcuni dati tecnici del browser dell’Utente, tramite il servizio di verifica anti-bot Cloudflare Turnstile. L’indirizzo IP è inoltre utilizzato, per pochi minuti, per contare le richieste ravvicinate; in caso di richieste anomale, il Titolare del Trattamento registra un evento tecnico (indirizzo IP, tipo di evento, data). Dei file caricati dall’Utente è trasmessa a un servizio antivirus (VirusTotal) la sola impronta (hash), mai il contenuto.

Durante la compilazione del form di triage, una copia temporanea dei dati inseriti (esclusi i consensi e gli allegati) è conservata nella memoria di sessione del browser dell’Utente, sul suo dispositivo, e cancellata alla chiusura della scheda o all’invio del form.

Dati identificativi e di contatto

Nome, cognome, email, numero di telefono, forniti in fase di prenotazione tramite la piattaforma di booking (Cal.com) o di contatto diretto.

Dati relativi al pagamento

I dati di pagamento (numero carta, IBAN) sono trattati direttamente dai fornitori dei servizi di pagamento (Stripe per il pagamento anticipato con carta; l’istituto bancario del Titolare del Trattamento per i bonifici relativi al percorso R2L – Return to Lift) e non sono mai conservati dal Titolare del Trattamento.

Dati relativi alla salute (categorie particolari di dati, art. 9 GDPR)

Nell’ambito del form di triage pre-visita vengono raccolti, tramite domande strutturate, i seguenti dati relativi allo stato di salute dell’Utente: anamnesi, patologie pregresse o in corso, sintomatologia, storia dell’infortunio e obiettivi riabilitativi. Nel corso delle sedute e del percorso terapeutico, ulteriori dati sanitari sono raccolti tramite il colloquio clinico con il Titolare del Trattamento e, ove l’Utente scelga di condividerli, tramite referti, immagini diagnostiche o altra documentazione clinica caricata dall’Utente stesso. Tutti questi dati costituiscono categorie particolari di dati ai sensi dell’art. 9 GDPR e sono trattati con le garanzie rafforzate di cui al presente documento.

Dati raccolti durante il videoconsulto

Le sedute a distanza si svolgono tramite Proton Meet, con cifratura end-to-end delle comunicazioni audio e video: durante la seduta sono pertanto trattati, in tempo reale, l’immagine e la voce dell’Utente. Il Titolare del Trattamento può inoltre annotare, durante o subito dopo la seduta, appunti clinici relativi a quanto osservato o riferito dall’Utente nel corso del videoconsulto, i quali confluiscono nella documentazione clinica del percorso terapeutico. Le sedute non vengono registrate in forma di file audio o video, non offrendo Proton Meet una funzione di registrazione nativa: l’eventuale registrazione può avvenire solo se l’Utente presta apposito e distinto consenso per una finalità specifica (ad esempio, la possibilità per l’Utente di rivedere gli esercizi assegnati), richiesto di volta in volta e realizzato con strumenti esterni a Proton Meet.

Dati raccolti durante le sedute in presenza

Le seduta in presenza si svolgono presso lo Studio, il Titolare del Trattamento tratta, oltre ai dati raccolti con il form di triage, i dati relativi alla salute emersi nel corso della visita: il colloquio clinico, l'esame obiettivo (osservazione, test funzionali e di mobilità, misurazioni di forza e di articolarità, palpazione), gli esercizi eseguiti e le valutazioni cliniche che ne derivano. Si tratta di categorie particolari di dati ai sensi dell'art. 9 GDPR, trattate con le garanzie previste dalla presente Informativa. Il personale dello Studio non ha accesso ai dati clinici dell'Utente; per la sola gestione degli appuntamenti può conoscere nome dell’Utente e orario della seduta.

Il Titolare annota quanto rilevato, durante o subito dopo la seduta, in appunti clinici redatti su dispositivo informatico e inseriti nella documentazione clinica del percorso. Su supporto cartaceo restano soltanto i documenti originali, come i moduli sottoscritti dall'Utente.

Il Titolare può acquisire fotografie o video (ad esempio per documentare la postura o l'esecuzione di un gesto) solo con il consenso specifico e distinto dell'Utente, richiesto di volta in volta. Il consenso può essere negato o revocato in ogni momento senza conseguenze sull'erogazione del servizio. Le immagini confluiscono nella documentazione clinica e non sono usate per finalità promozionali né pubblicate.

4. Finalità e basi giuridiche del trattamento

Il conferimento dei dati sanitari è necessario per l’erogazione del servizio: senza tali dati non è possibile effettuare la valutazione fisioterapica e prendere in carico l’utente. Il conferimento dei dati richiesti per l’analisi statistica è invece facoltativo e revocabile in ogni momento.

5. Consenso al trattamento dei dati sanitari

Modalità e momento di raccolta del consenso

Prima dell’invio del form di triage, all’Utente viene mostrata un’informativa specifica dedicata al trattamento dei dati relativi alla salute e viene richiesto un consenso esplicito, distinto e non preselezionato, separato dall’accettazione dei Termini di Utilizzo e da qualsiasi altra manifestazione di consenso (ad esempio, il consenso ai cookie analitici).

Revoca del consenso

L’Utente può revocare il consenso al trattamento dei dati sanitari in qualsiasi momento, scrivendo a privacy@refortium.it. La revoca non pregiudica la liceità del trattamento svolto prima della revoca stessa, ma può comportare l’impossibilità di proseguire il percorso terapeutico in corso, non potendo il Titolare del Trattamento continuare la valutazione o il trattamento fisioterapico senza accesso ai dati sanitari dell’Utente.

Conseguenze del mancato consenso

Il consenso al trattamento dei dati sanitari è condizione necessaria per l’erogazione del Servizio: in assenza di tale consenso, il Titolare del Trattamento non è nelle condizioni di effettuare la valutazione fisioterapica, né di prendere in carico l’Utente, e la prenotazione non può essere perfezionata.

6. Utenti minorenni

Il Servizio può essere richiesto anche per utenti minorenni (ad esempio, giovani atleti). In tali casi, il Titolare del Trattamento applica le seguenti modalità operative:

1. Prenotazione e form di triage. La prenotazione e il form di triage devono essere compilati da chi esercita la responsabilità genitoriale sul minore (genitore o tutore), il quale fornisce al Titolare del Trattamento i propri dati identificativi oltre a quelli del minore.
2. Consenso al trattamento dei dati sanitari del minore. Il consenso esplicito al trattamento dei dati sanitari del minore è prestato dal genitore/tutore, che dichiara al Titolare del Trattamento di esercitare la responsabilità genitoriale e di agire con il consenso, ove necessario, dell’altro genitore.
3. Presenza di un adulto durante il videoconsulto e le sedute in presenza. Durante il videoconsulto con un minore è raccomandata, e può essere richiesta dal Titolare del Trattamento, la presenza di un adulto responsabile.
4. Esercizio dei diritti per conto del minore. I diritti dell’interessato sono esercitati dal genitore/tutore per conto del minore, fino al raggiungimento della maggiore età da parte di quest’ultimo. Il Titolare del Trattamento raccoglie la data di nascita dell’Utente nel form di prenotazione e di triage, al fine di individuare correttamente i casi in cui si applica la presente sezione e richiedere tempestivamente i dati e il consenso del genitore/tutore prima di dare corso alla prenotazione.

7. Destinatari e responsabili del trattamento

I dati personali possono essere comunicati, nei limiti strettamente necessari, ai seguenti soggetti terzi che agiscono in qualità di responsabili del trattamento ex art. 28 GDPR (previa sottoscrizione di apposito accordo) o di titolari autonomi per le rispettive finalità:

I dati non sono in alcun caso ceduti a terzi per finalità di marketing altrui, né sono oggetto di diffusione.

Il Titolare del Trattamento può nel tempo modificare i fornitori e i responsabili del trattamento indicati nella presente sezione, anche mediante sostituzione di un fornitore con un altro a parità di finalità e di garanzie di sicurezza e riservatezza. L’Informativa viene aggiornata di conseguenza; le variazioni sono comunicate tramite avviso sul sito.

8. Trasferimento dei dati extra-UE

Ove il trattamento comporti un trasferimento di dati verso paesi extra-UE, esso avviene sulla base di una decisione di adeguatezza della Commissione Europea (es. EU-U.S. Data Privacy Framework, ove applicabile al fornitore) o di Clausole Contrattuali Standard approvate dalla Commissione Europea, corredate da misure tecniche e organizzative supplementari ove necessario. L’interessato può richiedere copia delle garanzie adottate scrivendo a privacy@refortium.it.

9. Periodo di conservazione

10. Misure di sicurezza

Il Titolare del Trattamento adotta misure tecniche e organizzative adeguate al rischio, tra cui:

1. cifratura dei dati in transito (HTTPS/TLS) e a riposo sul database;
2. accesso al database (Supabase, regione UE — Francoforte) ristretto tramite policy di sicurezza a livello di riga (Row Level Security) e credenziali nominative;
3. accesso ai dati sanitari limitato al solo Titolare del Trattamento e agli eventuali collaboratori sanitari coinvolti nel percorso di cura, tenuti al segreto professionale;
4. aggiornamento regolare dei sistemi e dei fornitori terzi utilizzati;
5. procedura interna di gestione delle violazioni di dati personali.
6. archiviazione dei documenti clinici in uno spazio cloud con cifratura end-to-end (Proton Drive) e copia di lavoro su dispositivo del Titolare protetto da cifratura del disco e credenziali personali.

Misure di sicurezza fisiche e organizzative

Per le sedute in presenza il Titolare del Trattamento adotta, oltre alle misure informatiche sopra indicate, le seguenti misure:

1. gli appunti clinici sono redatti su dispositivo informatico dotato di cifratura del disco, blocco automatico dello schermo e accesso protetto da credenziali, e sono conservati nel database della scheda paziente; la documentazione cartacea è limitata agli originali (ad esempio i moduli sottoscritti dall'Utente);
2. la documentazione cartacea è conservata in armadio chiuso a chiave presso la sede legale del Titolare; durante il trasporto dallo Studio alla sede legale è custodita in un contenitore chiuso a chiave, tenuto con il Titolare e non lasciato incustodito nel veicolo.
3. durante la seduta nessun documento contenente dati dell'Utente è lasciato in vista; le conversazioni cliniche si svolgono a porta chiusa, in modo da non essere udite da terzi.
4. i dati dell'Utente non sono comunicati al personale del Centro, che può conoscere soltanto nome dell’Utente e orario dell'appuntamento ai fini dell'accoglienza.
5. la documentazione cartacea non più necessaria è distrutta in modo sicuro (distruggidocumenti).
6. le chiavi dell'armadio sono nella sola disponibilità del Titolare.

11. Diritti dell’interessato

Ai sensi degli artt. 15-22 GDPR, l’interessato ha diritto di ottenere in qualsiasi momento, scrivendo a privacy@refortium.it:

1. accesso ai propri dati personali.
2. rettifica di dati inesatti o incompleti;
3. cancellazione dei dati, nei limiti compatibili con gli obblighi di conservazione della documentazione sanitaria e fiscale;
4. limitazione del trattamento;
5. portabilità dei dati forniti;
6. opposizione al trattamento fondato sul legittimo interesse;
7. revoca del consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento svolto in precedenza.

Il Titolare del Trattamento risponde alle richieste entro 30 giorni, salvo proroga motivata nei casi previsti dal GDPR.

12. Violazioni dei dati personali (data breach)

In caso di violazione dei dati personali che comporti un rischio per i diritti e le libertà degli interessati, il Titolare del Trattamento notifica l’evento al Garante per la protezione dei dati personali entro 72 ore dalla scoperta, ai sensi dell’art. 33 GDPR, e comunica l’accaduto agli interessati coinvolti senza ingiustificato ritardo qualora la violazione presenti un rischio elevato, ai sensi dell’art. 34 GDPR. La procedura operativa interna che disciplina questo processo è riportata nel documento “Procedura interna di gestione dei data breach”.

13. Reclamo all’Autorità di controllo

Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento dei propri dati violi il GDPR ha il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’Autorità di controllo dello Stato membro UE in cui risiede o lavora, ai sensi dell’art. 77 GDPR.

14. Miscellanea

Modifiche alla presente informativa

Il Titolare del Trattamento si riserva di modificare o aggiornare la presente Informativa, anche in relazione a modifiche normative o all’introduzione di nuovi servizi. Le modifiche sostanziali saranno comunicate tramite avviso sul sito. Si invita a consultare periodicamente questa pagina.

Contatti

Per qualsiasi informazione relativa alla presente Informativa, l’interessato può scrivere a: privacy@refortium.it.

15. Definizioni

Informativa

significa il presente documento.

Titolare del Trattamento

significa Matteo Congiu, libero professionista fisioterapista, P.IVA 12322920963, con sede in Via Ugo Frigerio 43/A, Milano.

Servizio

significa i servizi di fisioterapia muscolo-scheletrica a distanza e in presenza erogati da reFortium, incluse la consulenza singola e il percorso R2L (Return to Lift).

Sito

significa il sito web reFortium e gli strumenti collegati (prenotazione, form di triage, videoconsulto).

Utente / Interessato

significa la persona fisica i cui dati personali sono trattati ai sensi della presente Informativa; se minorenne, si intende accompagnato da chi esercita la responsabilità genitoriale (genitore o tutore).

GDPR

significa il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali.

Codice Privacy

significa il D.Lgs. 30 giugno 2003, n. 196, come modificato dal D.Lgs. 10 agosto 2018, n. 101.

Studio

significa i locali del Centro San Giuseppe, in Via Lombardia 11, Arluno (MI), presso i quali il Professionista eroga le sedute in presenza.