Privacy Policy

Informativa resa ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 (GDPR) e del D.lgs. 196/2003, come modificato dal D.lgs. 101/2018, a chi usa la piattaforma Levante (app.docfedericarecupito.com): pazienti che seguono un percorso psicologico online, persone che chiedono un primo contatto e professionisti dello studio.

1. Titolare del trattamento

Per i dati relativi al percorso psicologico ogni psicologa o psicologo dello studio tratta i dati dei pazienti che segue nel rispetto del segreto professionale. Il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO), non ricorrendone l'obbligo ai sensi dell'art. 37 GDPR. Per qualsiasi questione puoi scrivere all'indirizzo sopra indicato.

2. Quali dati trattiamo

Dati di accesso e di navigazione: email, password (conservata solo in forma cifrata), data e ora degli accessi, indirizzo IP, tipo di dispositivo e di browser, necessari al funzionamento e alla sicurezza della piattaforma.

Dati di contatto e richiesta di primo colloquio: se compili il questionario di contatto o ci scrivi: nome, cognome, telefono, email, le risposte che decidi di darci e le note sui contatti successivi (chiamate, messaggi).

Dati anagrafici e di fatturazione: nome, cognome, codice fiscale, indirizzo, data di nascita, necessari per il percorso e per emettere la fattura; i dati delle spese sanitarie trasmessi al Sistema Tessera Sanitaria, salvo tua opposizione.

Dati relativi alla salute (art. 9 GDPR): le informazioni sul tuo benessere psicologico necessarie al percorso: appuntamenti, note della professionista, obiettivi e loro andamento, esercizi assegnati, documenti che carichi, risposte ai questionari di andamento. Sono protetti dal segreto professionale previsto dal Codice Deontologico degli Psicologi italiani e sono trattati solo con il tuo consenso esplicito, raccolto con un documento separato prima dell'inizio del percorso.

Registrazioni delle sedute: solo se dai il consenso specifico, le sedute online possono essere registrate e trascritte dal servizio Fathom; la registrazione, il riassunto e la trascrizione servono alla professionista per preparare le sedute successive e, se previsto, alla supervisione clinica interna dello studio.

Elaborazione con intelligenza artificiale: solo se dai il consenso specifico, note e riassunti delle sedute possono essere elaborati da un servizio di intelligenza artificiale per preparare un promemoria per la professionista e una sintesi dell'andamento del percorso. Queste sintesi non sono mai visibili al paziente, non prendono decisioni automatiche su di te (art. 22 GDPR) e non sostituiscono il giudizio clinico.

Dati di pagamento: importo, data e stato dei pagamenti delle sedute e numero di fattura. I dati della carta o del conto non arrivano mai sulla piattaforma: il pagamento avviene sul servizio di Finom.

Notifiche: se le attivi, un identificativo tecnico del tuo dispositivo per inviarti promemoria e avvisi.

3. Perché li trattiamo e su quale base

• Funzionamento e sicurezza della piattaforma: legittimo interesse del Titolare (art. 6.1.f).
• Rispondere alla tua richiesta di contatto e organizzare il primo colloquio: misure precontrattuali richieste da te (art. 6.1.b).
• Svolgimento del percorso psicologico online, gestione degli appuntamenti, dell'area paziente e dei pagamenti: esecuzione del contratto (art. 6.1.b) e consenso esplicito per i dati relativi alla salute (art. 9.2.a), oltre alle finalità di cura previste dall'art. 9.2.h.
• Registrazione delle sedute e elaborazione con intelligenza artificiale: tuo consenso specifico (artt. 6.1.a e 9.2.a), revocabile in qualsiasi momento senza conseguenze sul percorso.
• Supervisione clinica e qualità del servizio all'interno dello studio: esecuzione del contratto e finalità di cura (art. 9.2.h), da parte di professionisti tenuti al segreto.
• Adempimenti fiscali, contabili e Sistema Tessera Sanitaria: obbligo di legge (art. 6.1.c).

4. Per quanto tempo

• Richieste di contatto che non portano a un percorso: fino a 12 mesi dall'ultimo scambio.
• Documentazione relativa al percorso psicologico (comprese note, obiettivi e consensi): almeno 5 anni dalla conclusione del rapporto professionale, come previsto dall'art. 17 del Codice Deontologico degli Psicologi.
• Registrazioni delle sedute: per il tempo indicato nel consenso specifico e comunque non oltre la conservazione della documentazione del percorso; puoi chiederne la cancellazione in qualsiasi momento.
• Documenti fiscali: 10 anni, come previsto dalla normativa fiscale.
• Dati di accesso: per la durata dell'account e fino a 12 mesi dalla sua chiusura, salvo obblighi di conservazione.

5. Come li proteggiamo

Comunicazioni cifrate (HTTPS/TLS); accesso alla piattaforma con credenziali personali; accesso ai dati clinici consentito solo alla professionista che ti segue e alla direzione clinica dello studio, mai al personale amministrativo; regole di accesso applicate direttamente nella banca dati; sedute svolte su videochiamata Google Meet con link personale; registro degli accessi.

6. A chi possono essere comunicati

I dati non vengono diffusi. Possono essere trattati, solo per le finalità indicate, da fornitori che agiscono come responsabili del trattamento:

• Lovable e Supabase: hosting della piattaforma e della banca dati;
• Google (Google Workspace, Calendar, Meet): calendario degli appuntamenti, videochiamate e accesso con l'account Google;
• Fathom: registrazione, trascrizione e riassunto delle sedute, solo con il tuo consenso;
• servizio di intelligenza artificiale (modelli Google Gemini tramite Lovable AI): elaborazione di note e riassunti, solo con il tuo consenso;
• Finom: fatturazione e incasso dei pagamenti;
• Tally: questionario di primo contatto; Zapier: invio automatico della conferma di pagamento;
• servizi di invio email e notifiche, per promemoria e comunicazioni sul percorso;
• il commercialista, per gli adempimenti fiscali; il Sistema Tessera Sanitaria, salvo tua opposizione;
• WhatsApp (Meta Platforms Ireland Ltd.), se scegli di contattarci tramite questa app, secondo la sua informativa privacy.

L'elenco aggiornato dei responsabili è disponibile su richiesta.

7. Trasferimenti fuori dall'UE

Alcuni fornitori (ad esempio Fathom, Zapier e i servizi di intelligenza artificiale) trattano dati negli Stati Uniti o in altri Paesi extra UE/SEE. In questi casi il trasferimento avviene sulla base di decisioni di adeguatezza della Commissione Europea (incluso l'EU-U.S. Data Privacy Framework) o di Clausole Contrattuali Standard.

8. Dati provenienti da Google

Quali dati riceviamo. Con «Accedi con Google» la piattaforma riceve da Google solo nome, indirizzo email e foto del profilo del tuo account (ambiti openid, email, profile). Se una professionista dello studio collega il proprio Google Calendar, la piattaforma riceve l'indirizzo email di quell'account e il permesso di gestire gli eventi del calendario (ambito calendar.events).

Come li usiamo. Nome ed email servono solo a riconoscerti e a farti entrare nella tua area. Il permesso sul calendario serve solo a creare, aggiornare e cancellare gli eventi delle sedute confermate, con il relativo link Google Meet. La piattaforma non legge gli altri eventi del calendario, non accede a Gmail, Drive o contatti e non usa i dati Google per altri scopi.

Dove li conserviamo. Nome ed email restano nel profilo dell'account. Il codice di accesso al calendario (token) è conservato nella banca dati della piattaforma, in un'area non accessibile dagli utenti, solo finché il calendario resta collegato.

Con chi li condividiamo. Con nessuno. I dati ricevuti da Google non vengono venduti, non sono usati per pubblicità, non sono trasferiti a terzi e non sono usati per addestrare modelli di intelligenza artificiale.

Come si cancellano. La professionista può scollegare Google Calendar in qualsiasi momento dalla sua Area personale: il token viene cancellato subito. Chiunque può revocare l'accesso anche da myaccount.google.com/permissions e chiedere la cancellazione di tutti i dati scrivendo a privacy@docfedericarecupito.com; rispondiamo entro 30 giorni.

L'uso e il trasferimento delle informazioni ricevute dalle API di Google rispettano le Google API Services User Data Policy, inclusi i requisiti di Limited Use.

Google user data – summary in English. Levante is the private management platform of an online psychology practice. With "Sign in with Google" we receive only your name, email address and profile picture (scopes openid, email, profile), used solely to identify you and sign you in. When a practitioner connects Google Calendar we request the calendar.events scope and the account email, used solely to create, update and delete the calendar events of confirmed therapy sessions with their Google Meet link; no other calendar data is read. OAuth tokens are stored securely in our database, are not accessible to other users and are deleted as soon as the calendar is disconnected. Google user data is never sold, never shared with third parties, never used for advertising and never used to train AI models. You can revoke access at any time at myaccount.google.com/permissions or request deletion of all your data by writing to privacy@docfedericarecupito.com. Levante's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.

9. Minori

Il servizio è rivolto a persone maggiorenni.

10. I tuoi diritti

Ai sensi degli artt. 15–22 GDPR puoi chiedere in qualsiasi momento l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità, opporti al trattamento e revocare i consensi (anche solo quelli per la registrazione delle sedute o per l'intelligenza artificiale). Scrivi a privacy@docfedericarecupito.com.

Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma, garanteprivacy.it).

11. Situazioni di emergenza

Il servizio non è adatto a situazioni di emergenza. In caso di pericolo per te o per altri chiama il 112 o rivolgiti al Pronto Soccorso più vicino.

12. Modifiche

Questa informativa può essere aggiornata. La versione in vigore è sempre pubblicata su questa pagina, con la data dell'ultimo aggiornamento. Vedi anche la privacy policy del sito.