Politica di privacy

INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI (PRIVACY POLICY) — MOVIFISIO.APP

1. Titolarità del Trattamento e Dati di Contatto

La presente Informativa sulla Privacy descrive le modalità con cui vengono raccolti, utilizzati, conservati e protetti i dati personali degli utenti che navigano ed utilizzano il sito web movifisio.app, la relativa Progressive Web App ("PWA") e tutti i servizi digitali offerti da Movifisio.

 

I Servizi sono forniti e gestiti da:

 

  • Denominazione/Ragione Sociale: Skrzypczak Wojciech Wlodzimierz — Fisioterapia

  • Sede legale: Corso IV Novembre 9, 12058 Santo Stefano Belbo (CN), Italia

  • Partita IVA: 03315470041

  • Codice Fiscale: SKRWCC69T18Z127F

  • E-mail di contatto per la Privacy: [email protected]

2. Distinzione dei Ruoli Privacy (Art. 28 GDPR: Titolare vs Responsabile)

In conformità alle disposizioni del Regolamento (UE) 2016/679 ("GDPR") ed alle indicazioni delle Autorità di Garante per la Protezione dei Dati Personali in materia di piattaforme sanitarie, la struttura della piattaforma distingue chiaramente i ruoli privacy:

 

A. Movifisio quale Titolare del Trattamento

Movifisio agisce in qualità di Titolare autonomo del trattamento esclusivamente per i dati relativi agli utenti professionisti (fisioterapisti e professionisti sanitari) necessari a:

 

  • Gestire la creazione e l'amministrazione dell'account del professionista.

  • Erogare il periodo di prova gratuito di 14 giorni e gestire l'abbonamento alla piattaforma SaaS.

  • Adempiere agli obblighi amministrativi, contabili, fiscali e di fatturazione.

  • Gestire l'incasso dei pagamenti ed i rapporti con i gateway di pagamento.

  • Garantire la sicurezza informatica, la prevenzione di abusi e la continuità operativa della PWA e dei server.

  • Gestire le comunicazioni di servizio ed il supporto tecnico.

  • Inviare, previo specifico consenso facoltativo, comunicazioni promozionali o newsletter.

B. Movifisio quale Responsabile del Trattamento (Data Processor ex Art. 28 GDPR)

Qualora un professionista sanitario o fisioterapista utilizzi Movifisio per inserire, gestire ed elaborare i dati dei propri pazienti (es. cartella clinica digitale, anamnesi, diagnosi, piani di trattamento, schede di esercizio, allegati e appuntamenti):

 

  • Il Professionista Sanitario / Fisioterapista è il Titolare del Trattamento autonomo nei confronti dei propri pazienti.

  • Movifisio opera esclusivamente quale Responsabile del Trattamento (ex art. 28 GDPR), trattando i dati sanitari ed anagrafici dei pazienti esclusivamente per conto del professionista, secondo le sue istruzioni documentate ed in forza dell'Accordo sulla Protezione dei Dati (DPA) integrato nei Termini di Servizio.

3. Categorie di Dati Personali Trattati

A seconda della tipologia di utente e delle funzionalità utilizzate, la piattaforma raccoglie e tratta le seguenti categorie di dati:

 

  1. Dati di navigazione e identificativi tecnici: Indirizzi IP, URI/URL delle risorse richieste, orari delle richieste, log di sistema, parametri del browser, sistema operativo, identificativi del dispositivo e dati tecnici relativi all'utilizzo della PWA.

  2. Dati dell'Account del Professionista: Nome, cognome, indirizzo e-mail, numero di telefono, dati di qualifica professionale, credenziali di accesso, password crittografata e codici di autenticazione a due fattori (MFA).

  3. Dati Amministrativi e di Pagamento: Codice Fiscale, Partita IVA, indirizzo di fatturazione e riferimenti della transazione finanziaria. I dati bancari o relativi alle carte di credito/debito vengono elaborati ed archiviati direttamente da fornitori di servizi di pagamento terzi autorizzati (es. PayPal, Stripe) senza transito o memorizzazione sui server di Movifisio.

  4. Dati Anagrafici e di Contatto dei Pazienti: Nome, cognome, e-mail, numero di telefono, data di nascita e dati di associazione con un genitore o tutore legale in caso di pazienti minori.

  5. Dati Relativi alla Salute dei Pazienti (Particolari Categorie di Dati ex Art. 9 GDPR): Informazioni relative a valutazioni fisioterapiche, diagnosi, sintomatologie, percorsi riabilitativi, note cliniche, immagini/documenti allegati e schede di esercizio assegnate.

  6. Dati di Agenda e Appuntamenti: Date, orari, stato e descrizioni sintetiche degli appuntamenti dello studio fisioterapico.

4. Finalità e Basi Giuridiche del Trattamento

I dati vengono trattati da Movifisio in base alle seguenti condizioni di liceità:

 

  • Esecuzione di un contratto o misure precontrattuali (Art. 6.1.b GDPR): Creazione dell'account, gestione della prova gratuita e dell'abbonamento, erogazione dei servizi della PWA, supporto clienti ed invio di schede di allenamento o promemoria via e-mail, SMS o notifiche push.

  • Adempimento di obblighi legali (Art. 6.1.c GDPR): Adempimento di obblighi fiscali, contabili, amministrativi e normativi stabiliti dal diritto nazionale o dell'Unione Europea.

  • Legittimo interesse del Titolare (Art. 6.1.f GDPR): Tutela della sicurezza informatica della PWA, rilevamento e prevenzione di frodi o accessi indebiti, conservazione degli audit log e difesa dei diritti in sede giudiziaria.

  • Consenso dell'Interessato (Art. 6.1.a GDPR): Invio di comunicazioni commerciali o promozionali e utilizzo di cookie o strumenti di tracciamento analitici/profilanti non essenziali. Il consenso è facoltativo e revocabile in qualsiasi momento.

5. Trattamento dei Dati Sanitari e Divieto di Uso per Intelligenza Artificiale

Per quanto concerne i dati relativi alla salute dei pazienti (Art. 9 GDPR):

 

  • Il trattamento effettuato dal professionista sanitario trova base giuridica nell'erogazione di prestazioni di assistenza o terapia sanitaria sotto la propria responsabilità professionale ed il rispetto del segreto professionale (Art. 9.2.h e Art. 9.3 GDPR).

  • Movifisio non utilizza mai i dati delle cartelle cliniche o i dati sanitari dei pazienti per proprie finalità autonome, né commerciali, né di marketing.

  • Divieto di addestramento AI: I dati sanitari, i contenuti delle cartelle cliniche ed i documenti caricati sulla piattaforma non vengono in alcun modo impiegati per l'addestramento di modelli di intelligenza artificiale (AI), algoritmi di apprendimento automatico o strumenti di analisi proprietari di terze parti.

6. Natura del Conferimento dei Dati

  • Il conferimento dei dati identificativi, tecnici e fiscali del professionista è obbligatorio per completare la registrazione, attivare la prova gratuita o l'abbonamento ed usufruire dei servizi della PWA. Il mancato conferimento rende impossibile la fornitura del servizio.

  • Il conferimento dei dati per finalità promozionali o per l'attivazione di funzionalità opzionali è facoltativo e non pregiudica la fruizione delle funzionalità principali della piattaforma.

7. Destinatari dei Dati e Sub-Responsabili

I dati personali raccolti potranno essere condivisi esclusivamente con soggetti autorizzati al trattamento e con terzi fornitori che erogano servizi funzionali alla piattaforma, nominati ove necessario quali Responsabili del Trattamento ex art. 28 GDPR:

 

  • OVHcloud (OVH SAS): Fornitore dell'infrastruttura di hosting, server cloud/VPS situati nell'Unione Europea e provider dei servizi di trasmissione SMS.

  • Google Ireland Limited / Google LLC: Fornitore del servizio d'autenticazione (Google Sign-In) e del servizio opzionale di sincronizzazione dell'agenda (Google Calendar).

  • Gateway di Pagamento (es. PayPal, Stripe): Gestori autonomi per la lavorazione delle transazioni economiche e degli abbonamenti.

  • Fornitori di messaggistica ed e-mail: Piattaforme incaricate dell'invio delle e-mail transazionali di sistema e delle notifiche push.

  • Consulenti fiscali e legali: Per l'adempimento degli obblighi contabili e per la tutela legale.

  • Autorità pubbliche o di controllo: Laddove richiesto da disposizioni di legge o da ordini vincolanti delle autorità competenti.

Un elenco aggiornato dei sub-responsabili del trattamento è disponibile inviando una richiesta a [email protected].

 

8. Integrazione con Google Calendar e Privacy-by-Default

La sincronizzazione degli appuntamenti con Google Calendar è una funzionalità facoltativa attivabile dal professionista sanitario.

 

In ossequio al principio di minimizzazione dei dati (Art. 5 GDPR) e di Privacy-by-Default:

 

  • Per impostazione predefinita, l'evento sincronizzato su Google Calendar contiene esclusivamente un titolo neutro (es. "Appuntamento Movifisio"), senza trasmettere il nome, il cognome o i dati sanitari del paziente ai server di Google.

  • Il professionista può modificare tale configurazione sotto la propria esclusiva responsabilità professionale. In nessun caso Movifisio esporterà note anamnestiche, diagnosi o informazioni cliniche verso calendari esterni.

9. Trasferimento dei Dati Extra-UE

L'infrastruttura server principale e i database di Movifisio sono localizzati all'interno del territorio dell'Unione Europea (UE/SEE).

 

Qualora l'utilizzo di servizi integrati opzionali (es. Google) comporti il trasferimento di dati verso Paesi situati al di fuori dello Spazio Economico Europeo, tale trasferimento avverrà esclusivamente in presenza di decisioni di adeguatezza della Commissione Europea (es. EU-U.S. Data Privacy Framework) o sulla base dell'adozione delle Clausole Contrattuali Standard (Standard Contractual Clauses - SCC) approvate dalla Commissione Europea, garantendo un livello di protezione equivalente a quello europeo.

 

10. Conservazione dei Dati (Data Retention)

I dati personali vengono conservati per i tempi strettamente necessari a conseguire le finalità per cui sono stati raccolti:

 

  • Dati Account e Contabili del Professionista: Conservati per la durata del rapporto contrattuale e per i successivi 10 anni in adempimento degli obblighi di legge di natura fiscale e contabile.

  • Dati della Cartella Clinica ed Archivio Pazienti (Post-Scadenza Abbonamento): Alla scadenza dell'abbonamento non rinnovato, il professionista dispone di una finestra di 90 giorni in sola lettura (Read-Only) per consultare ed esportare il proprio archivio pazienti e le cartelle cliniche in formato strutturato (CSV/JSON/ZIP).

  • Cancellazione dei Dati Clinici: Trascorso il termine di 90 giorni di inattività, Movifisio procederà alla cancellazione sicura o alla restituzione dei dati delle cartelle cliniche gestiti per conto del professionista, salvo diversi obblighi di conservazione previsti dalla legge a carico del professionista sanitario.

  • Backup di Sicurezza: I backup automatizzati dei database vengono sovrascritti ed eliminati secondo un ciclo di rotazione tecnica della durata massima di 35 giorni.

  • Audit Log di Sicurezza: I registri degli accessi e delle modifiche alle cartelle cliniche sono conservati per un periodo massimo di 24 mesi ai fini di tracciabilità, sicurezza informatica e verifiche di conformità.

11. Misure di Sicurezza Tecniche e Organizzative

In conformità agli articoli 25 e 32 del GDPR ed alle Linee Guida applicabili ai dati sanitari, Movifisio adotta idonee misure di sicurezza tra cui:

 

  • Crittografia avanzata: Cifratura dei dati in transito mediante protocolli HTTPS (TLS 1.2/1.3) con HSTS e cifratura dei dati memorizzati su disco (encryption at rest con standard AES-256).

  • Autenticazione a Più Fattori (MFA): Obbligatoria per tutti gli account dei professionisti sanitari e per gli accessi di amministrazione di sistema.

  • Tracciabilità degli Accessi (Audit Logging): Registrazione automatica, protetta e non modificabile degli eventi di consultazione, creazione, modifica, esportazione o eliminazione delle schede e dei record sanitari.

  • Gestione delle Sessioni nella PWA: Chiusura automatica delle sessioni inattive (idle timeout) per prevenire accessi non autorizzati da dispositivi mobili condivisi o smarriti.

  • Isolamento Logico del Database: Separazione dei dati dei singoli clienti per garantire che ogni studio o professionista acceda esclusivamente ai propri dati pertinenti.

12. Chiusura dell'Account del Paziente e Conservazione della Cartella Clinica

L'eventuale chiusura, disattivazione o cancellazione dell'account utente da parte di un paziente comporta la sola disattivazione delle sue credenziali di accesso alla PWA.

 

La disattivazione dell'account non comporta la cancellazione automatica della cartella clinica o della documentazione sanitaria custodita dal fisioterapista. La conservazione o la cancellazione dei dati clinici resta di esclusiva competenza e responsabilità del professionista sanitario Titolare del trattamento, tenuto al rispetto dei termini di conservazione stabiliti dalle normative sanitarie e deontologiche vigenti.

 

13. Gestione dei Dati dei Pazienti Minori

L'utilizzo della piattaforma per l'erogazione di prestazioni sanitarie a pazienti di età inferiore a 18 anni prevede la registrazione e la gestione dell'associazione con il genitore o tutore legale esercitante la responsabilità genitoriale.

 

Il professionista sanitario Titolare del trattamento è l'unico responsabile della raccolta del consenso informato e della verifica dell'autorizzazione da parte del genitore/tutore legale secondo la normativa applicabile.

 

14. Diritti dell'Interessato (Artt. 15-22 GDPR)

In qualunque momento, l'utente (professionista o paziente, per i dati per cui Movifisio è Titolare) può esercitare i seguenti diritti:

 

  • Diritto di Accesso (Art. 15): Ottenere conferma del trattamento in corso ed accedere ai propri dati personali.

  • Diritto di Rettifica (Art. 16): Chiedere l'aggiornamento o la correzione dei dati inesatti o incompleti.

  • Diritto alla Cancellazione / Diritto all'Oblio (Art. 17): Chiedere la cancellazione dei dati nei casi previsti dalla legge.

  • Diritto di Limitazione di Trattamento (Art. 18): Chiedere il blocco temporaneo del trattamento al ricorrere di determinate condizioni.

  • Diritto alla Portabilità dei Dati (Art. 20): Ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico (CSV/JSON) o chiederne il trasferimento ad un altro titolare.

  • Diritto di Opposizione (Art. 21): Opporsi in qualsiasi momento al trattamento per motivi connessi alla propria situazione particolare o per finalità di marketing diretto.

  • Diritto di Revoca del Consenso: Revocare in qualsiasi momento i consensi facoltativi precedentemente prestati, senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca.

Per esercitare i propri diritti, l'utente può inviare una richiesta scritta a:

[email protected]

 

(Nota: Qualora la richiesta di cancellazione o esercizio dei diritti inviata da un paziente riguardi la cartella clinica gestita dal fisioterapista, Movifisio provvederà ad inoltrare tempestivamente la richiesta al professionista sanitario Titolare del trattamento).

 

Gli interessati hanno inoltre il diritto di proporre reclamo all'Autorità di Controllo competente:

Garante per la Protezione dei Dati Personali

Sito web: www.garanteprivacy.it

 

15. Cookie e Strumenti di Tracciamento

La PWA ed il sito web utilizzano cookie tecnici essenziali e marcatori di sessione indispensabili per consentire la navigazione sicura, l'autenticazione dell'utente e l'erogazione dei servizi.

 

L'eventuale utilizzo di cookie analitici o di tracciamento di terze parti non essenziali è subordinato all'acquisizione del consenso preventivo ed esplicito dell'utente tramite l'apposito Banner Cookie (CMP). Per maggiori dettagli, si invita a consultare la Cookie Policy estesa presente sul sito.

 

16. Periodo di Prova, Abbonamento e Diritto di Recesso

  • Movifisio offre un periodo di prova gratuita di 14 giorni privo di rinnovo automatico.

  • L'eventuale successivo acquisto dell'abbonamento SaaS ha durata determinata e non si rinnova automaticamente alla scadenza, salvo diversa selezione dell'utente.

  • In ottemperanza alle norme sui contratti a distanza e servizi digitali, l'utente ha diritto di recedere dal contratto di abbonamento entro 14 giorni dalla data di acquisto iniziale, azionando la funzione dall'area riservata o inviando comunicazione e-mail a [email protected].

17. Modifiche a questa Privacy Policy

Il Titolare del Trattamento si riserva il diritto di apportare modifiche alla presente Privacy Policy in qualsiasi momento per adeguarla ad evoluzioni legislative, tecniche o di servizio. Le modifiche saranno pubblicate su questa pagina con indicazione della data di ultimo aggiornamento. Qualora le modifiche siano rilevanti, gli utenti verranno informati tramite notifica e-mail o avviso all'interno della PWA.

 

Ultimo aggiornamento: 30 settembre 2026