1. Organizzazione della protezione dei dati e attribuzione delle responsabilità per la protezione dei dati

Italiassistenza S.p.A., società con sede legale in Reggio Emilia, Viale IV Novembre 21, C.F.| P.IVA | n.Iscr. R.I. di RE: 01546770353 (nel seguito "Italiassistenza" o "Titolare"), raccoglie e tratta i dati personali dei pazienti che hanno scaricato l'APP MyHomecareApp (nel seguito "APP") Il Titolare si impegna a rispettare rigorosamente tutte le leggi e i regolamenti in vigore in materia di conservazione e trattamento dei dati personali.
L'APP consente al paziente (nel seguito, "Utente") di usufruire di una serie di servizi per l'organizzazione e il coordinamento delle proprie attività.
Il Titolare ha designato Responsabile del trattamento dei dati H&S S.p.A. (di seguito anche "H&S"), società con sede in Foro Buonaparte 70 - 20121 Milano, e-mail privacy@pec.hes.it, proprietaria dell'App.

3. Trattamento dei dati personali da parte di H&S

Per dati personali si intende qualsiasi informazione relativa a una persona fisica identificata o identificabile. Una persona fisica identificabile è qualcuno che può essere identificato, direttamente o indirettamente, in particolare facendo riferimento a un elemento come un nome, un numero di identificazione, dati di localizzazione, un identificativo online o uno o più fattori specifici caratteristici dell'identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale di tale persona.
Quando si utilizzano i prodotti e/o i servizi proposti, i seguenti tipi di dati vengono memorizzati da H&S sui propri server:

Dati sanitari
Dati contrattuali e di registrazione
Dati provenienti da operazioni tecniche

In conformità alle leggi sulla protezione dei dati, ci impegniamo a cancellare tutti i dati sanitari, i dati contrattuali, i dati di registrazione e i dati provenienti da operazioni tecniche dopo la cessazione del contratto, fatti salvi gli ulteriori termini relativi ai periodi di conservazione obbligatori previsti dalla legge che possono estendersi oltre la risoluzione del contratto. I dati provenienti da operazioni tecniche vengono memorizzati finché tecnicamente necessari e vengono cancellati dopo la cessazione del contratto.

3.1 Dati sanitari

Ai fini dell'utilizzo dell'applicazione, H&S tratta i seguenti dati personali dei pazienti/assistiti:

Nome e Cognome
Data di nascita
Sesso
CF (chiave univoca)
Numero di telefono/e-mail
Indirizzi

Questi dati sono mantenuti in un database separato e i dati identificativi sono opportunamente cifrati, in modo da impedirne l'associazione ai dati clinici se non tramite l'utilizzo del prodotto.
Dati clinici del paziente:

Esenzioni per status e patologia
Anamnesi e abitudini di vita
Diagnosi
Accertamenti diagnostici
Misurazioni di parametri vitali
Risultati degli accertamenti diagnostici
Esiti
Terapie e loro rispettivi risultati
Interventi e loro rispettivi risultati
Documentazione e informazioni sul consenso
Contatti (Medico curante, Parenti, Assistenti domiciliari, etc.)
Prescrizioni
- Farmaceutiche
- Richieste e accertamenti
- Ricoveri

3.2 Dati contrattuali e di registrazione

I dati relativi al contratto e alla registrazione identificano e gestiscono gli utenti che utilizzano il prodotto. Questi dati includono:

Dati relativi alla vostra organizzazione
- Ragione Sociale
- Tipo di organizzazione
- Indirizzo
- Numero di telefono/email

Dati relativi all'utente che agisce all'interno della vostra organizzazione o del care giver:
- Titolo
- Nome e cognome
- Data di nascita
- Ulteriori dettagli di contatto aziendale (telefono, email, ecc.)
- Profilo (Infermiere / MMG / Specialista) - Il sistema, in base al profilo utente, applica restrizioni alle funzionalità.

La memorizzazione e il trattamento dei dati personali comunicati a H&S . durante il rapporto commerciale e contrattuale servono ad adempiere al contratto e si limitano a questo scopo, in particolare per quanto riguarda il trattamento degli ordini e l'assistenza clienti.
I dati non potranno essere trasferiti o venduti a terzi, salvo quanto necessario per l'adempimento degli obblighi contrattuali o se espressamente autorizzato mediante una dichiarazione di consenso. A titolo esemplificativo, potrebbe essere necessario che H&S trasmetta l'indirizzo a una società di trasporto esterna allo scopo di inviare o prelevare i dispositivi di monitoraggio o i materiali di consumo.
Avete il diritto di essere informati sui vostri dati memorizzati, il diritto alla rettifica, il diritto alla limitazione del trattamento e il diritto alla cancellazione di questi dati.

3.3 Dati provenienti da operazioni tecniche

I dati provenienti da operazioni tecniche sono necessari per la fornitura dei servizi contrattualmente garantiti. H&S raccoglie dati provenienti da operazioni tecniche solo per questo scopo. H&S si accerta regolarmente che vengano raccolti, memorizzati e trattati esclusivamente i dati necessari per fornire e migliorare le operazioni tecniche necessarie sul prodotto/servizi.
Le informazioni memorizzate come parte delle operazioni tecniche includono:

Sistema operativo del computer o dello smartphone
ID computer cliente

I dati provenienti dalle operazioni tecniche sono memorizzati sui server di H&S. I dati provenienti da operazioni tecniche vengono memorizzati finché tecnicamente necessario e cancellati al più tardi dopo la cessazione del contratto. Gli indirizzi IP in genere non vengono memorizzati.

3.5 Utilizzo dei dati di Posizione (MyHomecareApp)

MyHomecareApp è un'App, disponibile per smartphone Android e iOS, che fa parte di HealthPlatform e consente di fornire il servizio di Telemonitoraggio agli utenti, in funzione delle proprie necessità.
Per poter acquisire in modo automatico le misurazioni dai dispositivi in dotazione all'utente, MyHomecareApp necessita della possibilità di collegarsi a tali dispositivi mediante una connessione con protocollo Bluetooth e quindi richiede all'utente la concessione di uno specifico permesso. Negli smartphone Android tale permesso è contenuto in una serie più ampia di permessi, raggruppati sotto la voce Geolocalizzazione, che comprendono anche quelli relativi ai servizi di posizionamento (GPS). MyHomecareApp NON acquisisce né utilizza i dati di posizione dell'utente per i propri scopi, sia quando l'App è visibile in primo piano che quando non è visibile (background).

4. Trattamento dei dati personali in HealthPlatform

Questi dati vengono memorizzati e trattati nel database sul server della installazione utilizzata, che a seconda dei casi può essere presso il Cliente o in hosting presso il datacenter di H&S.
APP vi consente di modificare, limitare o cancellare dati individuali. E' vostra responsabilità determinare se eventuali normative sul periodo di conservazione prevalgono su una richiesta di cancellazione o modifica.
L'archiviazione, l'utilizzo e il trattamento dei dati del paziente sono ammessi solo con il consenso espresso del paziente stesso (soggetto interessato).
I dati sanitari sono una categoria speciale di dati personali e sono soggetti a una maggiore tutela dalla normativa sulla protezione dei dati. Per garantirne la sicurezza i dati che consentono l'identificazione del paziente sono mantenuti in forma cifrata all'interno dei server utilizzati da HealthPlatform. I server di H&S si trovano in Italia.
Le comunicazioni tra i moduli di HealthPlatform (Web, App su smartphone, SW su PC Windows) sono autenticate ed effettuate tramite protocolli di rete crittografati (HTTPS).

6. Obblighi di riservatezza, formazione sulla protezione dei dati

Come ulteriore misura atta a garantire un'adeguata sicurezza dei dati personali, tutti i dipendenti del Titolare e di H&S:

hanno firmato un accordo di riservatezza come parte del loro contratto di lavoro e un impegno separato che comprendono e rispettano le leggi sulla privacy;
sono stati opportunamente autorizzati al trattamento dei dati da parte del Titolare e di H&S e hanno ricevuto precise istruzioni in merito.
I dipendenti con funzioni di Amministratore di Sistema sono stati esplicitamente nominati da H&S previa valutazione delle competenze.

Non condivideremo mai le informazioni sensibili con uno dei nostri colleghi o con uno dei tuoi collaboratori a meno che la comunicazione non sia necessaria per la risoluzione di un guasto o il completamento di un'attività che ci hai chiesto di eseguire. Non condivideremo mai le informazioni con estranei a meno che non veniamo obbligati dalla legge.

H&S ha introdotto misure per verificare le pratiche di lavoro e applicare queste regole sulla privacy e sulla protezione dei dati. La direzione dell'azienda fornisce unità di formazione regolari in materia di riservatezza e protezione dei dati a tutti i dipendenti.

8. Misure tecniche e organizzative

Per garantire la sicurezza dei dati, H&S rivede regolarmente lo stato dell'arte delle tecnologie di sicurezza. Ciò include la determinazione di scenari di danno tipici, le esigenze di sicurezza e i livelli di sicurezza corrispondenti che ne derivano per diversi tipi di dati personali, raggruppati in categorie di possibili danni, nonché l'esecuzione di valutazioni del rischio.

Inoltre, vengono effettuati test di penetrazione dedicati per analizzare, esaminare e valutare regolarmente l'efficacia di queste misure tecniche e organizzative che devono garantire la sicurezza del trattamento.

I seguenti orientamenti disciplinano l'attuazione di misure tecniche e organizzative appropriate:

Backup dei dati

Per evitare perdite, i dati presenti nel data center di H&S sono regolarmente sottoposti ad apposite procedure backup secondo le policy interne e mantenuti in condizioni di sicurezza.

"Privacy by design"

H&S garantisce che i principi di protezione / privacy dei dati e di sicurezza dei dati siano presi in considerazione durante i processi di progettazione e sviluppo dei sistemi IT. L'obiettivo è quello di prevenire un'attività di programmazione aggiuntiva, dispendiosa in termini di costi e di tempo, che sarebbe necessaria se i requisiti di privacy e sicurezza dei dati dovessero essere attuati dopo l'installazione dei sistemi IT. All'inizio del processo di sviluppo vengono prese in considerazione misure come la disattivazione di alcune funzionalità software, l'autenticazione o la crittografia.

"Privacy by default"

I prodotti H&S sono dotati di impostazioni di fabbrica ottimizzate per la privacy dei dati, in modo che vengano trattati solo i dati personali necessari per il relativo scopo.

Comunicazione via e-mail (organizzazione / H&S)

Nel caso in cui si desideri contattare il Titolare o H&S tramite e-mail, tenere presente che la privacy delle informazioni trasmesse non può essere garantita, poiché il contenuto delle e-mail può essere visualizzato anche da terzi. Si consiglia di contattare il Titolare o H&S ogni volta che si desidera trasmettere informazioni riservate.

Amministrazione da remoto

Dipendenti o subappaltatori del Titolare o di H&S potrebbero dover accedere ai dati dei pazienti o dei clienti e occasionalmente ai dati dell'organizzazione. Tale accesso è disciplinato da specifiche regole generali.

L'accesso all'amministrazione da remoto è chiuso per impostazione predefinita e viene autorizzato solo dai clienti, i quali avranno la possibilità di monitorare gli interventi.
Le password per accedere ai sistemi IT dei clienti vengono rilasciate solo per le finalità oggetto dei trattamenti.
Utilizziamo strumenti di amministrazione da remoto richiedendo al cliente di concedere attivamente l'accesso e consentendogli di monitorare gli interventi.
L'accesso all'amministrazione da remoto viene registrato nel sistema CRM. Vengono registrati i seguenti dati: persona responsabile, data e ora, durata, sistema di destinazione, breve descrizione dell'attività svolta e, in caso di interventi critici.
La registrazione delle sessioni di amministrazione da remoto è vietata, salvo i casi in cui sia necessaria per la risoluzione dei problemi segnalati dal cliente.

Misure di sicurezza IT

Firewall o sicurezza perimetrale Le reti informatiche di H&S sono protette da sistemi di sicurezza perimetrale (c.d. Firewall) e da altre apparecchiature all'uopo destinate mantenute aggiornate allo stato dell'arte

Protezione Anti-virus

Ogni postazione di lavoro di H&S è protetta da sistemi di sicurezza contro le minacce informatiche (antivirus) e ne è consentito l'utilizzo unicamente mediante appositi sistemi di autenticazione e profilazione.

9. Diritti del soggetto interessato

Dati personali del professionista e dei dipendenti della Vs organizzazione Avete il diritto di essere informati sui dati memorizzati che vi riguardano e il diritto di accedere a questi dati, avete il diritto alla rettifica, cancellazione, limitazione del trattamento, portabilità dei dati e il diritto di opporvi al trattamento dei vostri dati personali. Avete il diritto di revocare il vostro consenso in qualsiasi momento. La revoca ha effetto da quel momento. Avete il diritto di presentare un reclamo all'autorità di controllo responsabile se pensate che stiamo trattando i vostri dati in modo inappropriato. Ci impegniamo a cancellare tutti i dati contrattuali, i dati di registrazione e tutti i dati provenienti da operazioni tecniche dopo la cessazione del contratto senza la vostra preventiva richiesta. Siamo tuttavia obbligati dalla legislazione in materia commerciale e fiscale a rispettare i periodi di conservazione legale, che possono estendersi oltre la cessazione del contratto. I dati provenienti da operazioni tecniche restano memorizzati solo fino a quando tecnicamente necessario e vengono cancellati al più tardi dopo la cessazione del contratto.

Dati personali del paziente
I pazienti hanno il diritto di essere informati sui dati memorizzati che li riguardano, nonché il diritto di ricevere e trasmettere i loro dati personali (portabilità dei dati) e diritto alla rettifica, cancellazione, limitazione del trattamento e diritto di opporsi al trattamento dei loro dati personali.
Quando si ricevono richieste di cancellazione da parte di pazienti, si ha tuttavia l'obbligo di rispettare i periodi di conservazione applicabili.
I pazienti hanno il diritto di revocare il loro consenso in qualsiasi momento e la revoca ha effetto da quel momento.
I pazienti hanno il diritto di presentare un reclamo all'autorità di controllo responsabile se pensano che stiate trattando i loro dati in modo inappropriato.