Questa informativa descrive come Eleva Srl tratta i dati personali all'interno della piattaforma software Eleva, usata dalle cliniche clienti per gestire agenda, cartella paziente, comunicazioni e fatturazione. È un documento distinto dalla Privacy policy del sito geteleva.it, che riguarda invece i contatti commerciali.
1. Ruoli: chi tratta i tuoi dati
Se sei il paziente di una clinica che usa Eleva, o un membro dello staff della clinica: la clinica è titolare del trattamento, decide finalità e modalità del trattamento dei tuoi dati nell'ambito del rapporto di cura o di lavoro. Eleva Srl agisce come responsabile del trattamento (art. 28 GDPR) per conto della clinica, sulla base di un accordo di trattamento dati (DPA) allegato al contratto di abbonamento tra la clinica ed Eleva, ed elabora i dati solo su istruzione della clinica.
Eleva Srl (in qualità di responsabile del trattamento)
Via Gaetano Donizetti 7/b — 00198 Roma (RM), Italia
P.IVA 18572641001
Email: info@geteleva.it
2. Categorie di dati trattate e base giuridica
- Dati identificativi e di contatto del paziente: nome, cognome, email, telefono — base giuridica: esecuzione del rapporto di cura tra paziente e clinica (art. 6.1.b GDPR).
- Dati sanitari (categoria particolare, art. 9 GDPR): anamnesi, trattamenti eseguiti, consensi informati, documenti e fotografie cliniche, storico appuntamenti — base giuridica: consenso esplicito del paziente, raccolto dalla clinica (art. 9.2.a GDPR).
- Contenuto delle comunicazioni scambiate con la clinica tramite il chatbot di segreteria (WhatsApp) o via email/SMS — base giuridica: esecuzione del rapporto di cura, per le comunicazioni di servizio; consenso, per quelle non di servizio (es. richiesta di recensione).
- Dati dello staff della clinica (medici, operatori): credenziali di accesso, ruolo, dati di utilizzo della piattaforma — base giuridica: esecuzione del rapporto di lavoro con la clinica (art. 6.1.b GDPR).
Il consenso al trattamento dei dati sanitari è raccolto dalla clinica al momento dell'erogazione del servizio, secondo le proprie procedure e responsabilità professionali; Eleva non richiede né gestisce direttamente questo consenso.
3. Funzionalità con intelligenza artificiale
La piattaforma include funzionalità AI a supporto della clinica: il chatbot di segreteria (risposte automatiche ai pazienti su WhatsApp) e uno strumento di interrogazione dati in linguaggio naturale ad uso interno della clinica (es. "quali pazienti non tornano da 5 mesi"). Su questi punti:
- I dati di una clinica non vengono usati per addestrare modelli condivisi con altre cliniche: l'elaborazione AI resta scoped ai dati della singola clinica.
- Lo strumento di interrogazione dati è a supporto decisionale della clinica, non genera decisioni automatizzate che producono effetti legali o significativi sul paziente ai sensi dell'art. 22 GDPR: ogni azione verso il paziente (es. contatto per un richiamo) resta decisa ed eseguita dalla clinica.
- L'accesso ai contenuti delle conversazioni del chatbot è limitato al personale autorizzato della clinica e al supporto tecnico di Eleva, solo per finalità di erogazione del servizio, sicurezza o assistenza.
4. Comunicazioni automatiche ai pazienti
Su istruzione della clinica, la piattaforma invia ai pazienti comunicazioni automatiche per conto della clinica stessa, tramite i seguenti canali:
- WhatsApp (WhatsApp Business Platform di Meta): promemoria appuntamento, richiamo post-trattamento, richiesta di recensione, e risposte del chatbot di segreteria quando il paziente scrive alla clinica.
- Email: riepilogo post-trattamento e codice OTP per la firma di consensi/informative.
- SMS: solo come canale di riserva per il codice OTP, se email o WhatsApp non sono disponibili.
Le comunicazioni di servizio (promemoria appuntamento, richiamo, OTP) sono necessarie all'esecuzione del rapporto di cura tra paziente e clinica e non richiedono un consenso separato. Il paziente può in ogni momento chiedere alla clinica di non ricevere le comunicazioni non strettamente di servizio (es. richiesta di recensione).
5. Fornitori coinvolti (sub-responsabili)
Per erogare questi servizi, Eleva si avvale di fornitori terzi nominati sub-responsabili del trattamento, tra cui: Meta (WhatsApp Business Platform), un provider di invio email transazionale, un provider SMS, e Microsoft Azure per l'hosting dei dati (infrastruttura situata nello Spazio Economico Europeo, nessun trasferimento verso paesi terzi). Questi fornitori trattano i dati solo per l'esecuzione del servizio richiesto, secondo le istruzioni di Eleva e della clinica, e sono vincolati da propri accordi di trattamento dati.
6. Sicurezza e conservazione
Adottiamo misure tecniche e organizzative adeguate per proteggere i dati da accessi non autorizzati, perdita o divulgazione: cifratura dei dati in transito e a riposo, controlli di accesso basati sul ruolo (un operatore vede solo i pazienti della propria clinica), log delle attività, backup regolari.
Conserviamo i dati per la durata del contratto tra la clinica ed Eleva. Alla cessazione del contratto, la clinica può richiedere l'esportazione dei propri dati entro il periodo previsto contrattualmente (tipicamente 30-90 giorni), dopodiché i dati vengono cancellati dai sistemi Eleva, salvo obblighi di conservazione più lunghi che la clinica stessa deve rispettare per legge sulla cartella clinica (in capo alla clinica come titolare, non a Eleva). I log tecnici e i dati di fatturazione dell'abbonamento sono conservati per il periodo richiesto dalla normativa fiscale e contabile.
7. I tuoi diritti
Se sei un paziente o un membro dello staff di una clinica che usa Eleva, hai diritto di: accedere ai tuoi dati, chiederne la rettifica se inesatti, la cancellazione, la limitazione del trattamento, la portabilità in un formato strutturato, e di opporti al trattamento (incluso il diritto di revocare il consenso in ogni momento, quando il trattamento si basa su di esso). Per le funzionalità AI a supporto decisionale (sezione 3), hai inoltre diritto a chiedere una revisione umana di eventuali valutazioni che ti riguardano.
Queste richieste vanno indirizzate in primo luogo alla clinica (titolare del trattamento): Eleva, come responsabile, collabora con la clinica per dare seguito alla richiesta entro i tempi previsti dal GDPR. Resta sempre presente il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
8. Modifiche
Potremo aggiornare questa informativa: la versione vigente è sempre pubblicata su questa pagina con la data di ultimo aggiornamento. In caso di modifiche sostanziali, ne diamo comunicazione alle cliniche con ragionevole anticipo.