Informativa privacy

1. Chi tratta i Suoi dati

Il titolare del trattamento è la dott.ssa Irene De Simone, logopedista, professionista sanitaria che lavora in proprio (iscritta all’Albo dei Logopedisti n. 446, Ordine TSRM e PSTRP di Firenze, Arezzo, Prato, Pistoia, Lucca e Massa Carrara), P.IVA 02557520976.

• Recapito: presso Studio Itaca, Via Piero della Francesca 2, 59100 Prato (PO).
• Email: logopedistairene@gmail.com.
• PEC: irene.desimone@pec.tsrm-pstrp.org.
• Telefono e WhatsApp: +39 327 734 6259.

Per tutto quello che riguarda i Suoi dati può scrivere alla Titolare all’email, alla PEC o su WhatsApp. Lo Studio Itaca è il luogo dove la Titolare riceve: le richieste che arrivano dal sito non passano dallo studio.

2. Quali dati tratta la Titolare, perché e su quale base

Il sito non ha aree riservate, account o newsletter. I dati arrivano in questi modi:

I dati tecnici della visita servono a mostrarLe le pagine: senza, il sito non si può aprire.

Se vuole opporsi ai trattamenti basati sul legittimo interesse, legga la sezione 14.

3. Il modulo dei contatti

I campi

Sono obbligatori il nome, un telefono o un’email per ricontattarLa, il messaggio e la casella del consenso. L’età del bambino o ragazzo è facoltativa. Senza un campo obbligatorio o senza la casella la richiesta non arriva alla Titolare: se preferisce, può chiamarla o scriverle su WhatsApp (vedi la sezione 5).

Bastano poche righe: il motivo della richiesta in generale, i dettagli si vedono insieme al colloquio. Non scriva di altre persone (l’altro genitore, i fratelli, gli insegnanti) e non mandi referti o documenti: se serviranno, li porterà alla Titolare al colloquio.

Il consenso

Per inviare il modulo serve la casella del consenso, che Lei trova non spuntata. Il testo è questo:

Con il modulo la Titolare può chiederLe il consenso prima di ricevere i Suoi dati, e per questo lo chiede: è esplicito e Le lascia il controllo (se Lei lo revoca, la richiesta si cancella). Per un’email, un messaggio o una telefonata non può chiederlo prima, e la condizione è un’altra (sezione 5). Nell’email che la Titolare riceve c’è la riga del consenso, con la data e l’ora in cui Lei ha inviato il modulo e il testo della casella: le serve per dimostrare che Lei l’ha dato.

Lei può revocare il consenso in qualsiasi momento, scrivendo alla Titolare all’email o alla PEC della sezione 1, o con un messaggio su WhatsApp: basta una riga. La Titolare cancella la Sua richiesta e i messaggi scambiati con Lei senza ritardo, al più tardi entro un mese, in tutte le copie. Tiene solo il messaggio con cui Lei revoca e la risposta della Titolare, senza il nome del bambino e senza i dati sulla salute, per 12 mesi, per dimostrare di averLe risposto (vedi la sezione 10). La revoca non rende illecito quello che la Titolare ha fatto prima, cioè aver letto i Suoi messaggi e averLe risposto, e non tocca la documentazione clinica, se nel frattempo è cominciato un percorso: quella ha una sua base e una sua informativa (sezione 4).

Che cosa succede quando Lei lo invia

Il modulo va a un piccolo programma sul server del sito, che controlla i campi e il consenso e verifica con Turnstile che non sia spam. C’è anche un campo nascosto, che le persone non vedono e che di solito compilano solo i programmi automatici: se è pieno, la richiesta viene scartata senza avviso. Poi il programma manda la richiesta per email, attraverso il servizio di invio Brevo, nella casella della Titolare. Il sito non ne conserva nessuna copia: non c’è un database. Se Lei ha lasciato un’email, la Titolare Le risponde a quell’indirizzo; se ha lasciato un numero, La chiama. Su WhatsApp Le scrive solo se Lei lo chiede o se Lei le ha già scritto lì.

Non riceve un’email di conferma automatica: la conferma è il messaggio che compare sullo schermo, che non ripete quello che Lei ha scritto. Le risponde la Titolare stessa, appena possibile. Se dopo una settimana non ha notizie della Titolare, la chiami o le scriva in un altro modo: la richiesta potrebbe non esserle arrivata.

4. Dati sulla salute, bambini e ragazzi

La Titolare segue bambini e ragazzi. Una richiesta a una logopedista dice già qualcosa sulla salute di chi riguarda: per questo la Titolare la tratta come un insieme di dati sulla salute, anche se il messaggio è breve.

Di solito chi scrive è un genitore, e la richiesta riguarda suo figlio o sua figlia. Interessati, cioè persone di cui la Titolare tratta i dati, sono tutti e due: Lei, per i Suoi dati, e il bambino o ragazzo, per quello che Lei racconta di lui o di lei. I dati di Suo figlio o Sua figlia la Titolare non li riceve dal bambino o ragazzo ma da Lei (art. 14 GDPR): sono l’età e quello che Lei scrive sulla sua salute. Il modulo lo compila un genitore o chi ne fa le veci (il tutore), che dà il consenso anche per conto del figlio o della figlia, come suo rappresentante. Può scrivere anche la famiglia affidataria, se i genitori non sono più i rappresentanti legali del bambino.

Se Lei ha meno di 18 anni, chieda a un genitore di scrivere alla Titolare. Se le scrive comunque un ragazzo o una ragazza minorenne, la Titolare risponde solo per chiedere che la contatti un genitore, e cancella il messaggio. Lo stesso se le scrive dei dati di un bambino chi non è il genitore o il tutore del bambino, né la famiglia affidataria nel caso detto sopra (per esempio un nonno o un’insegnante): la Titolare chiede che la contatti un genitore e cancella il messaggio, in tutte le copie (sezione 10).

Se dalla richiesta nasce un percorso, la valutazione e la terapia sono un trattamento diverso, per la cura: si basa sul contratto di cura e sugli obblighi di legge sulla documentazione (art. 6, par. 1, lett. b e c, GDPR) e sulla necessità di prestare la cura a Suo figlio o Sua figlia, da parte di una professionista tenuta al segreto (art. 9, par. 2, lett. h, e par. 3, GDPR; artt. 2-septies e 75 del Codice privacy), non sul consenso del modulo. Prima di cominciare Lei riceve un’informativa a parte, che spiega anche per quanto tempo si conserva la documentazione clinica.

5. Se Lei scrive alla Titolare per email, per PEC o su WhatsApp, o la chiama

Finalità, riservatezza e tempi sono gli stessi del modulo: legge solo la Titolare, che usa i dati solo per risponderLe e fissare un colloquio, e li cancella come dice la sezione 10. Per risponderLe le serve almeno un modo per ricontattarLa; il resto è facoltativo.

Cambia la condizione per i dati sulla salute. Qui non c’è una casella del consenso, perché la Titolare non può chiederLe il consenso prima che Lei scriva: Le chiede di scrivere solo quello che serve per fissare il colloquio, cioè chi è Lei, come ricontattarLa, l’età del bambino o ragazzo e il motivo in poche parole. Quel poco che Lei scrive sulla salute di Suo figlio o Sua figlia (o Sua) la Titolare lo tratta perché serve a valutare la Sua richiesta e avviare la cura, se Lei la chiede, come professionista tenuta al segreto (art. 9, par. 2, lett. h, e par. 3, GDPR; artt. 2-septies e 75 del Codice privacy).

WhatsApp è un servizio di WhatsApp Ireland Limited, che tratta come titolare autonomo, cioè decidendo da sé come usarli, i dati del servizio (per esempio il Suo numero e quando Lei e la Titolare si scrivono); i messaggi sono cifrati da un capo all’altro mentre viaggiano. Vedi la sua informativa. Se preferisce, può sempre chiamare la Titolare o scriverle un’email.

6. La visita al sito: hosting, sicurezza e antispam

Il sito è ospitato da Cloudflare, che lo distribuisce dalla sua rete e lo protegge da attacchi e abusi. Per farlo riceve i dati tecnici di ogni richiesta (la riga «Lei visita il sito» della sezione 2). Cloudflare li tratta per conto della Titolare, come responsabile del trattamento (cioè solo per conto della Titolare e secondo le istruzioni della Titolare). Nessuno li esporta; chi aiuta la Titolare a gestire il sito li può vedere nel pannello di Cloudflare solo per la manutenzione e la sicurezza (sezione 8).

I caratteri e le immagini del sito sono serviti dal sito stesso: per caricarli Lei non contatta altri servizi. I link a WhatsApp, MioDottore, Google Maps e al codice deontologico portano su altri siti, che hanno le loro informative.

Il modulo è protetto da Cloudflare Turnstile, un controllo antispam che di solito non chiede niente. Si carica solo quando Lei comincia a compilare un campo, non quando apre la pagina. Riceve i dati della riga «Lei comincia a compilare il modulo» della sezione 2; secondo Cloudflare, non legge quello che Lei scrive nei campi.

Per la verifica Cloudflare agisce per conto della Titolare. Usa gli stessi segnali anche per migliorare il riconoscimento dei programmi automatici, e per questo ne è titolare autonomo (informativa di Turnstile). Per la raccolta e la trasmissione a Cloudflare dei segnali che usa per questo fine, la Titolare e Cloudflare sono contitolari, cioè titolari insieme (art. 26 GDPR). La raccolta avviene sul sito della Titolare e serve a tutti e due: per questo la Corte di giustizia dell’UE (causa C-40/17, Fashion ID) considera comune questa fase. La base è il legittimo interesse (art. 6, par. 1, lett. f, GDPR), quello della Titolare ad avere un antispam che continui a riconoscere i programmi automatici e quello di Cloudflare a migliorarlo; Lei può opporsi (sezione 14). La Titolare e Cloudflare non hanno un accordo scritto su questo punto: i Suoi diritti può esercitarli con la Titolare o con Cloudflare.

Se non vuole questa verifica, può scrivere alla Titolare un’email o su WhatsApp, o chiamarla. Quello che Turnstile salva sul Suo dispositivo, e quello che legge, è nella cookie policy.

7. Cookie e mappa di Google

Sul Suo dispositivo il sito salva la Sua scelta sui cookie, che vale 6 mesi. Quando Lei comincia a compilare il modulo, Turnstile salva una sua informazione e legge alcune caratteristiche del browser e il modo in cui Lei lo usa sulla pagina, per la verifica antispam e, per Cloudflare, per migliorare il riconoscimento dei programmi automatici. Se Lei carica la mappa, Google può salvare o leggere i suoi cookie (qui sotto).

La mappa di Google, nella sezione «Dove ricevo», si carica solo se Lei dà il consenso ai contenuti di terze parti: prima, il Suo browser non contatta Google. Quando Lei la carica, Google riceve i dati della visita (come l’indirizzo IP, il browser e il fatto che Lei sta guardando il sito di una logopedista) e può salvare o leggere i suoi cookie, anche per fini suoi come la pubblicità. Per la raccolta e la trasmissione di questi dati a Google, la Titolare e Google sono contitolari (art. 26 GDPR; Corte di giustizia UE, causa C-40/17), sulla base del Suo consenso; quello che Google fa poi con i dati lo decide Google, come titolare autonomo, secondo la sua informativa. La Titolare e Google non hanno un accordo scritto: i Suoi diritti può esercitarli con la Titolare o con Google.

Può revocare il consenso quando vuole, con «Nascondi la mappa» tra i pulsanti sotto l’indirizzo dello studio o da «Preferenze cookie» in fondo alla pagina: da quel momento la mappa non si carica più, mentre quello che Google ha già ricevuto lo tratta secondo la sua informativa. Tutti i dettagli sono nella cookie policy.

8. Chi riceve i dati

Le richieste le legge solo la Titolare. Non le copia in fogli, agende o programmi gestionali, e nessun’altra persona legge la sua casella di posta. Se si fissa un colloquio, dell’appuntamento la Titolare segna solo il Suo nome e l’orario nella sua agenda (vedi la sezione 10). Per far funzionare il sito e le email la Titolare si serve di questi fornitori e di queste persone. Un responsabile del trattamento usa i dati solo per conto della Titolare e secondo le sue istruzioni; un titolare autonomo decide da sé come usarli, secondo le sue regole.

Le telefonate e la segreteria passano dall’operatore telefonico della Titolare, che tratta come titolare autonomo i dati del traffico e, se la Titolare usa la segreteria dell’operatore, i messaggi che Lei lascia, secondo la legge sulle comunicazioni. La Titolare comunica i dati ad autorità pubbliche solo se una legge glielo impone.

9. Dati fuori dallo Spazio economico europeo

Alcuni fornitori trattano i dati anche negli Stati Uniti o in altri paesi fuori dallo Spazio economico europeo (l’Unione europea con Islanda, Liechtenstein e Norvegia).

10. Per quanto tempo

Quando la Titolare cancella una richiesta, per qualunque motivo (sono passati 6 mesi, Lei ha revocato il consenso, Lei lo ha chiesto, le ha scritto un minorenne o chi non è il genitore o il tutore del bambino, né la famiglia affidataria nel caso detto sopra), la cancella da tutte le copie che ne ha: posta in arrivo e inviata, cestino, PEC, chat, registro delle chiamate e segreteria, e il Suo numero nella rubrica del telefono, se la Titolare l’ha salvato. Restano solo, se Lei ha scritto per i Suoi diritti o per revocare il consenso, la Sua richiesta e la risposta della Titolare, per i 12 mesi detti sopra. Il registro degli invii di Brevo e quello del gestore della PEC non si cancellano a richiesta: il primo si cancella da solo dopo un mese, il secondo dopo 30 mesi, come impone la legge.

11. Riservatezza e sicurezza

La Titolare è tenuta al segreto professionale: quello che Lei le scrive non lo racconta a nessuno, se non quando una legge glielo impone. Le email però restano nella sua casella Gmail, su un servizio di Google che le tratta come titolare (sezione 8). La casella Gmail della Titolare è protetta dalla verifica in due passaggi e il suo telefono da un codice o dall’impronta; nessun altro li usa.

I dati sulla salute la Titolare non li pubblica e non li diffonde mai. Oltre ai fornitori e alle persone elencati tra i destinatari (Cloudflare, Brevo, Gmail, la PEC, chi la aiuta a gestire il sito, l’operatore telefonico e, se Lei e la Titolare si scrivono lì, WhatsApp), li comunica ad altri solo se una legge glielo impone o se Lei lo chiede per iscritto.

Il sito funziona solo in HTTPS: quello che Lei invia viaggia cifrato dal Suo browser al sito. Le chiavi segrete dei servizi di invio e di verifica stanno sul server e non arrivano mai al browser, e il programma del modulo non scrive nei suoi registri né i campi né il Suo indirizzo IP.

12. Quello che il sito non fa

• Non usa da sé statistiche sulle visite, pubblicità, pixel o strumenti di profilazione (quello che Google può fare quando Lei carica la mappa è nella sezione 7).
• Non prende decisioni basate solo su un trattamento automatizzato che abbiano effetti giuridici su di Lei o che incidano in modo analogo sulla Sua persona (art. 22 GDPR), e non fa profilazione. Le uniche valutazioni automatiche sono quelle contro lo spam e gli abusi: il controllo di Turnstile, che fa Cloudflare analizzando il browser, il campo nascosto del modulo, il limite alla lunghezza dei campi e le protezioni di Cloudflare contro le richieste troppo frequenti. Possono solo bloccare un invio o, raramente, l’apertura di una pagina: se Le succede, scriva alla Titolare in un altro modo.
• Non pubblica recensioni o storie di pazienti con dati sulla salute: gli estratti delle recensioni vengono da MioDottore, senza nomi, iniziali o date.
• Non usa i Suoi dati per altre finalità. Se un giorno la Titolare volesse farlo, prima La informerebbe e, se serve, Le chiederebbe il consenso (artt. 6, par. 4, e 13, par. 3, GDPR).

La Titolare non ha nominato un responsabile della protezione dei dati (DPO), perché non è obbligatorio per una professionista sanitaria che lavora da sola: i dati dei suoi pazienti non sono trattati «su larga scala» (art. 37 e considerando 91 GDPR; Garante, provvedimento del 7 marzo 2019, doc. web 9091942). Per tutto quello che riguarda i Suoi dati scriva direttamente alla Titolare.

13. I Suoi diritti

Lei ha diritto di chiedere alla Titolare, in ogni momento e gratuitamente:

• l’accesso: sapere se la Titolare tratta dati Suoi o di Suo figlio o Sua figlia, quali, e averne una copia (art. 15 GDPR);
• la rettifica dei dati sbagliati o incompleti (art. 16);
• la cancellazione (art. 17);
• la limitazione del trattamento, per esempio mentre la Titolare verifica una Sua contestazione (art. 18);
• la portabilità: ricevere in un formato di uso comune i dati che Lei le ha dato, quando il trattamento si basa sul consenso o su un contratto ed è fatto con mezzi automatizzati (art. 20);
• la revoca del consenso, in qualsiasi momento, senza conseguenze su quello che è stato fatto prima (art. 7, par. 3).

Finché Suo figlio o Sua figlia è minorenne, i suoi diritti li esercita ciascun genitore che ha la responsabilità genitoriale, o il tutore; la famiglia affidataria, nel caso detto nella sezione 4, può chiedere alla Titolare della richiesta che ha mandato. Se a chiedere è l’altro genitore, la Titolare gli dà i dati del figlio o della figlia, non i Suoi, perché il suo accesso non può ledere i Suoi diritti (art. 15, par. 4, GDPR).

14. Il diritto di opporsi

Lei può opporsi in qualsiasi momento, per motivi legati alla Sua situazione particolare, ai trattamenti che si basano sul legittimo interesse della Titolare: i dati tecnici della visita e la verifica antispam di Turnstile (art. 21 GDPR). La Titolare valuta la Sua richiesta e smette, a meno che dimostri motivi legittimi cogenti che prevalgono sui Suoi interessi, diritti e libertà, o che i dati le servano per difendere un diritto in giudizio. Tenga presente che senza i dati tecnici il sito non può mostrarLe le pagine; se non vuole passare da Turnstile, può scrivere alla Titolare un’email o su WhatsApp, o chiamarla; per i segnali che Cloudflare ha già raccolto per sé può scrivere alla Titolare, che gira la Sua richiesta a Cloudflare, oppure rivolgersi direttamente a Cloudflare.

15. Come esercitare i diritti

Scriva alla Titolare all’email logopedistairene@gmail.com, alla PEC irene.desimone@pec.tsrm-pstrp.org o su WhatsApp. La Titolare Le risponde entro un mese da quando riceve la richiesta; se è complessa può prendere altri due mesi, e in quel caso La avvisa entro il primo mese (art. 12, par. 3, GDPR). Se non può accogliere la richiesta, Le dice perché senza ritardo, al più tardi entro un mese, e che Lei può proporre reclamo al Garante o rivolgersi al giudice (art. 12, par. 4).

Se la Titolare ha dubbi ragionevoli sulla Sua identità, potrebbe chiederLe qualche informazione per essere sicura che la richiesta venga proprio da Lei, per non dare i Suoi dati a qualcun altro (art. 12, par. 6, GDPR).

16. Reclamo al Garante

Se pensa che la Titolare tratti i Suoi dati in modo non corretto, può proporre reclamo al Garante per la protezione dei dati personali (art. 77 GDPR), oppure rivolgersi al giudice (art. 79): Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma; email protocollo@gpdp.it, PEC protocollo@pec.gpdp.it; come si propone un reclamo. Può rivolgersi anche all’autorità del paese dello Spazio economico europeo in cui vive, lavora o pensa che sia avvenuta la violazione. Il reclamo al Garante e il ricorso al giudice per la stessa questione sono alternativi (art. 140-bis del Codice privacy); contro la decisione del Garante può comunque ricorrere al tribunale (art. 78 GDPR).

17. Modifiche a questa informativa

La Titolare aggiorna questa pagina quando cambia qualcosa nel modo in cui tratta i dati descritti qui: la data in alto dice quando è successo l’ultima volta. Se un cambiamento riguarda il consenso che Lei ha dato, la Titolare Le chiede di darlo di nuovo.