Privacy PRO

INFORMATIVA PRIVACY DOVEGOO — TITOLARI E COLLABORATORI PRO

La presente informativa descrive il trattamento dei dati personali effettuato nell'ambito dell'accesso e dell'utilizzo di Dovegoo PRO da parte di titolari di farmacia, rappresentanti, delegati, referenti e collaboratori autorizzati.

L'informativa è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR — Regolamento generale sulla protezione dei dati).

1. TITOLARE DEL TRATTAMENTO

Il titolare del trattamento è:

[DENOMINAZIONE / NOME E COGNOME DEL TITOLARE DI DOVEGOO] Sede: [INDIRIZZO] Partita IVA: [PARTITA IVA] Email privacy: [EMAIL PRIVACY] PEC: [PEC]

Gli eventuali ulteriori dati identificativi e di contatto del titolare sono riportati nella sezione Informazioni legali di Dovegoo.

Qualora venga nominato un Responsabile della protezione dei dati (RPD/DPO — Data Protection Officer), i relativi dati di contatto saranno pubblicati e mantenuti aggiornati nei documenti e nelle sezioni pertinenti di Dovegoo.

2. INTERESSATI

La presente informativa riguarda le persone fisiche che accedono o interagiscono con Dovegoo PRO in qualità di:

• titolare della farmacia;
• legale rappresentante;
• soggetto delegato o referente;
• collaboratore autorizzato;
• soggetto invitato a creare un account personale per accedere a una o più farmacie.

3. DATI PERSONALI TRATTATI

A seconda delle funzioni utilizzate, Dovegoo può trattare le seguenti categorie di dati personali:

• dati dell'account e identificativi tecnici dell'utente autenticato;
• indirizzo email utilizzato per l'accesso e le comunicazioni;
• ruolo associato all'account;
• farmacia o farmacie alle quali l'account è collegato;
• informazioni relative alla titolarità, rappresentanza, delega o autorizzazione ad operare;
• dati necessari alla gestione degli inviti dei collaboratori;
• dati fiscali, amministrativi e di fatturazione riferibili al titolare o all'attività;
• informazioni relative al piano Dovegoo PRO e al relativo stato;
• dati relativi alle comunicazioni amministrative, operative, contrattuali e di sicurezza;
• informazioni relative alle operazioni compiute nell'area PRO quando necessarie per sicurezza, accountability, assistenza o tutela del servizio;
• evidenze relative alla presa visione, accettazione o adesione a documenti e condizioni quando prevista;
• dati tecnici strettamente necessari al funzionamento, alla sicurezza e alla protezione della piattaforma.

Dovegoo PRO non costituisce un archivio di pazienti e non è progettato per raccogliere cartelle cliniche, referti, ricette, documentazione sanitaria o altri dati sanitari identificativi riferiti ai cittadini.

Le funzioni di prenotazione e partecipazione gestite tramite Dovegoo sono progettate secondo un principio di minimizzazione e, ove previsto dal relativo flusso, non richiedono l'inserimento in Dovegoo di nome, cognome, telefono o email della persona che prenota.

4. FINALITÀ E BASI GIURIDICHE

I dati personali sono trattati per le seguenti finalità.

Gestione dell'accesso e del rapporto Dovegoo PRO

Il trattamento è necessario per:

• creare e gestire l'account;
• verificare e amministrare l'accesso alle farmacie;
• gestire titolari e collaboratori;
• consentire l'utilizzo delle funzioni Dovegoo PRO;
• gestire il rapporto contrattuale e il relativo ciclo di vita.

Base giuridica: esecuzione di misure precontrattuali e del contratto, ai sensi dell'articolo 6, paragrafo 1, lettera b), GDPR.

Gestione amministrativa, fiscale e dell'abbonamento

Il trattamento può essere necessario per:

• fatturazione;
• gestione dell'abbonamento;
• pagamenti;
• conservazione della documentazione amministrativa e contabile;
• adempimento degli obblighi fiscali e normativi applicabili.

Base giuridica: esecuzione del contratto e adempimento di obblighi legali, ai sensi dell'articolo 6, paragrafo 1, lettere b) e c), GDPR.

Sicurezza, prevenzione degli abusi e tutela della piattaforma

Dovegoo può trattare dati strettamente necessari per:

• proteggere account e infrastruttura;
• prevenire utilizzi abusivi o non autorizzati;
• verificare anomalie;
• assicurare la continuità e l'integrità del servizio;
• documentare operazioni rilevanti ai fini della sicurezza e dell'accountability.

Base giuridica: legittimo interesse del titolare alla sicurezza, alla prevenzione degli abusi e alla tutela del servizio, ai sensi dell'articolo 6, paragrafo 1, lettera f), GDPR, nel rispetto dei principi di necessità e proporzionalità.

Comunicazioni amministrative, operative, contrattuali e di sicurezza

Dovegoo può inviare comunicazioni necessarie alla gestione del servizio, del rapporto PRO, dell'account, della sicurezza o delle condizioni applicabili.

Base giuridica: esecuzione del contratto, adempimento di obblighi legali o legittimo interesse, a seconda della natura della comunicazione.

5. RUOLO DI DOVEGOO E DELLA FARMACIA

Dovegoo e la farmacia operano, nell'assetto attuale della piattaforma, come titolari autonomi del trattamento per i rispettivi ambiti di competenza.

Dovegoo determina finalità e mezzi dei trattamenti necessari alla gestione della piattaforma, degli account, del rapporto Dovegoo PRO, della sicurezza, delle evidenze legali, dell'amministrazione del servizio e degli altri trattamenti direttamente riferibili alla propria attività.

La farmacia determina autonomamente finalità e mezzi dei trattamenti effettuati nei propri sistemi, nei propri archivi e nell'ambito della propria attività professionale e sanitaria.

L'eventuale futura introduzione di funzioni nelle quali Dovegoo debba trattare dati personali per conto della farmacia sarà preventivamente valutata sotto il profilo dei ruoli privacy e, quando ne ricorrano i presupposti, disciplinata ai sensi dell'articolo 28 GDPR prima dell'attivazione della relativa funzione.

6. EVIDENZE LEGALI E VERSIONAMENTO

Quando un'azione richiede la presa visione, l'accettazione o l'adesione a uno specifico documento, Dovegoo può conservare una prova versionata dell'operazione.

A seconda del contesto, l'evidenza può comprendere:

• soggetto o account interessato;
• farmacia interessata;
• ciclo Dovegoo PRO;
• tipo di azione compiuta;
• data e ora registrate dal sistema;
• tipo e versione del documento;
• copia o snapshot del testo applicabile;
• impronta crittografica SHA-256 del documento o del relativo insieme documentale;
• ulteriori informazioni strettamente necessarie a dimostrare il contesto dell'operazione.

L'indirizzo IP, lo User-Agent, identificatori del dispositivo o tecniche di fingerprinting non costituiscono la prova dell'accettazione dei documenti Dovegoo PRO.

7. ACCOUNT, MULTI-FARMACIA E COLLABORATORI

Un account può essere autorizzato ad accedere a più farmacie quando ne ricorrono i presupposti.

I collaboratori utilizzano un account personale e ricevono l'accesso alle farmacie per le quali risultano autorizzati.

Dovegoo può trattare i dati necessari a:

• inviare e gestire gli inviti;
• collegare l'account alla farmacia;
• attribuire il relativo ruolo;
• verificare lo stato dell'autorizzazione;
• revocare o modificare gli accessi;
• documentare le operazioni rilevanti.

Le credenziali personali non devono essere condivise tra più operatori.

8. STRIPE E PAGAMENTI DOVEGOO PRO

Dovegoo utilizza Stripe per la gestione dei pagamenti e dell'abbonamento Dovegoo PRO.

Dovegoo può ricevere e conservare informazioni amministrative necessarie alla gestione del rapporto, quali:

• identificativi del cliente Stripe;
• identificativi dell'abbonamento;
• identificativi delle fatture;
• stato dell'abbonamento e del pagamento;
• periodi di validità;
• importi e valuta;
• informazioni amministrative necessarie alla gestione del ciclo economico.

I dati completi degli strumenti di pagamento, quali il numero completo della carta, non sono conservati da Dovegoo.

Stripe tratta i dati secondo il ruolo applicabile alle specifiche operazioni e secondo la propria documentazione contrattuale e privacy.

Ulteriori informazioni sono disponibili nel documento Fornitori e trasferimenti.

9. RESEND E COMUNICAZIONI EMAIL

Dovegoo può utilizzare Resend per l'invio di email necessarie alla gestione del servizio.

Le comunicazioni possono riguardare, a seconda del contesto:

• account e accessi;
• inviti;
• comunicazioni operative;
• comunicazioni amministrative;
• comunicazioni contrattuali;
• sicurezza;
• variazioni rilevanti del servizio;
• altre comunicazioni necessarie alla gestione di Dovegoo PRO.

Dovegoo può ricevere dal provider informazioni tecniche relative all'esito della consegna, quali consegna avvenuta, ritardo, mancata consegna, rimbalzo o soppressione.

Dovegoo non utilizza tali eventi per profilazione commerciale degli operatori.

Ulteriori informazioni sul provider e sui trasferimenti sono disponibili nel documento Fornitori e trasferimenti.

10. SUPABASE, LOVABLE E INFRASTRUTTURA TECNICA

Dovegoo utilizza servizi tecnologici esterni necessari allo sviluppo, all'hosting, al funzionamento e alla sicurezza della piattaforma.

In particolare:

• Supabase è utilizzato per componenti di database, autenticazione, backend, funzioni applicative, storage e servizi infrastrutturali connessi;
• Lovable è utilizzato nell'ambito dello sviluppo, della pubblicazione, dell'hosting e della gestione tecnica dell'applicazione.

Tali fornitori possono trattare dati tecnici necessari all'erogazione, alla sicurezza, alla diagnostica e all'amministrazione dei rispettivi servizi.

Il trattamento effettuato dai fornitori è disciplinato dai relativi accordi, dalle configurazioni adottate e dalla normativa applicabile.

Ulteriori informazioni sono riportate nel documento Fornitori e trasferimenti.

11. DESTINATARI E CATEGORIE DI FORNITORI

I dati possono essere comunicati, nei limiti necessari, a soggetti che forniscono servizi funzionali a Dovegoo, tra cui:

• provider di infrastruttura e database;
• provider di autenticazione;
• provider di hosting e sviluppo;
• provider di pagamento e fatturazione;
• provider per l'invio di comunicazioni;
• fornitori di sicurezza e servizi tecnici;
• consulenti e professionisti quando necessario;
• autorità pubbliche o altri soggetti quando la comunicazione sia prevista dalla legge.

I fornitori sono selezionati e gestiti secondo il ruolo privacy applicabile e, quando operano come responsabili del trattamento, sono disciplinati ai sensi dell'articolo 28 GDPR.

L'elenco e le informazioni pertinenti sono approfonditi nel documento Fornitori e trasferimenti.

12. TRASFERIMENTI DI DATI FUORI DALLO SPAZIO ECONOMICO EUROPEO

Alcuni fornitori o loro sub-responsabili possono comportare trattamenti o trasferimenti di dati personali verso Paesi situati al di fuori dello Spazio economico europeo (SEE).

La localizzazione della regione primaria di un servizio nello SEE non implica necessariamente che ogni trattamento effettuato dal provider o dai suoi sub-responsabili avvenga esclusivamente nello SEE.

Quando ricorrono trasferimenti internazionali di dati personali, Dovegoo applica i meccanismi previsti dagli articoli 44-49 GDPR, a seconda del caso, quali:

• decisioni di adeguatezza;
• Clausole Contrattuali Standard;
• eventuali ulteriori garanzie richieste dalla normativa applicabile.

Le informazioni aggiornate sui principali fornitori e sui relativi meccanismi di trasferimento sono riportate nel documento Fornitori e trasferimenti.

13. CONSERVAZIONE DEI DATI

Dovegoo applica periodi di conservazione differenziati in funzione della natura e della finalità dei dati.

In particolare, nell'assetto attuale:

• le richieste PRO concluse e i relativi messaggi sono normalmente conservati per 12 mesi dalla chiusura, salvo legal hold;
• le comunicazioni operative sono normalmente conservate per 12 mesi;
• le comunicazioni contrattuali o probatorie possono essere conservate fino a 10 anni;
• le evidenze legali relative a titolari e collaboratori collegate a un ciclo PRO possono essere conservate fino a 10 anni dalla cessazione del relativo ciclo, quando necessarie a finalità probatorie;
• le ricevute di adesione PRO possono essere conservate fino a 10 anni dalla cessazione del relativo ciclo;
• gli eventi tecnici Stripe utilizzati per l'elaborazione e l'idempotenza sono normalmente conservati per 90 giorni;
• lo storico applicativo dei pagamenti può essere conservato fino a 10 anni;
• le statistiche riferibili alla singola farmacia sono normalmente conservate per 24 mesi;
• i log tecnici dei processi statistici sono normalmente conservati per 90 giorni;
• i metadati degli export possono essere conservati per 12 mesi dopo la rimozione del relativo file;
• gli eventi tecnici del provider email utilizzati per registrare l'esito della consegna sono normalmente conservati per 90 giorni;
• gli audit ordinari degli operatori PRO sono normalmente conservati per 90 giorni;
• alcune evidenze amministrative concluse, quali quelle relative a rivendicazioni, sospensioni amministrative, pratiche di modifica dell'email o cessazione del rapporto PRO, possono essere conservate fino a 5 anni, quando necessario per accountability, sicurezza o tutela del servizio.

I periodi indicati costituiscono limiti o criteri di conservazione applicati da Dovegoo e possono essere ridotti quando i dati non siano più necessari.

La cancellazione può essere sospesa quando ricorra un'esigenza documentata di conservazione, ad esempio per esercitare o difendere un diritto, adempiere a un obbligo di legge o gestire una controversia. In tali casi può essere applicato un legal hold, limitato ai dati e al periodo necessari.

I dati possono inoltre essere eliminati o anonimizzati anticipatamente quando non siano più necessari rispetto alle finalità per le quali sono stati raccolti.

14. SICUREZZA E ACCOUNTABILITY

Dovegoo adotta misure tecniche e organizzative proporzionate alla natura dei dati e ai rischi del trattamento, secondo i principi di protezione dei dati fin dalla progettazione e per impostazione predefinita.

Le misure comprendono, a seconda del contesto:

• controllo degli accessi;
• separazione dei ruoli;
• limitazione delle autorizzazioni;
• segregazione delle evidenze e dei dati amministrativi;
• tracciamento delle operazioni rilevanti;
• protezione delle funzioni privilegiate;
• minimizzazione dei dati;
• politiche di conservazione e cancellazione;
• procedure di sicurezza, continuità e gestione degli incidenti.

15. DIRITTI DELL'INTERESSATO

Nei casi previsti dal GDPR, l'interessato può esercitare i diritti di:

• accesso ai propri dati personali;
• rettifica dei dati inesatti;
• cancellazione;
• limitazione del trattamento;
• opposizione al trattamento;
• portabilità dei dati, quando applicabile;
• revoca dell'eventuale consenso, qualora uno specifico trattamento sia fondato sul consenso, senza pregiudicare la liceità del trattamento precedente alla revoca.

Quando il trattamento è fondato sul legittimo interesse, l'interessato può esercitare il diritto di opposizione ai sensi dell'articolo 21 GDPR.

L'esercizio di un diritto può essere soggetto alle condizioni, limitazioni ed eccezioni previste dalla normativa applicabile.

Le richieste possono essere inviate ai recapiti indicati nella presente informativa.

L'interessato ha inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali o all'autorità di controllo competente.

16. NATURA OBBLIGATORIA O FACOLTATIVA DEI DATI

Il conferimento dei dati necessari alla creazione dell'account, alla verifica del ruolo, alla gestione della farmacia, alla sicurezza e all'esecuzione del rapporto Dovegoo PRO è necessario per utilizzare le relative funzioni.

Il mancato conferimento dei dati indispensabili può impedire la creazione o il mantenimento dell'account, l'accesso alla farmacia o l'utilizzo delle funzioni interessate.

Le informazioni indicate come facoltative possono invece essere omesse senza impedire l'utilizzo delle altre funzioni non dipendenti da esse.

17. PROCESSI AUTOMATIZZATI E REGOLE DEL SERVIZIO

Dovegoo non utilizza processi automatizzati per profilare titolari, collaboratori o altri operatori, né per valutarne caratteristiche personali, affidabilità, comportamento o merito professionale.

La piattaforma applica alcuni automatismi tecnici o contrattuali basati su condizioni oggettive del servizio, quali scadenze, stato dell'abbonamento, decorso di periodi di tolleranza, requisiti di accesso e controlli di sicurezza. Tali automatismi possono determinare, secondo le regole applicabili al rapporto Dovegoo PRO, limitazioni delle funzioni, variazioni dello stato del rapporto o l'avvio di procedure di cessazione.

Quando un processo automatizzato possa produrre nei confronti dell'interessato effetti giuridici o effetti analogamente significativi riconducibili all'articolo 22 GDPR, Dovegoo applica la base giuridica e le garanzie previste dalla normativa applicabile, compresa, nei casi previsti, la possibilità di richiedere un intervento umano, esprimere il proprio punto di vista e contestare la decisione.

Gli automatismi descritti non sono utilizzati per finalità di profilazione commerciale o pubblicitaria.

18. PRESA VISIONE DEI DOCUMENTI

Quando Dovegoo richiede all'operatore di dichiarare di aver preso visione di un'informativa privacy, tale dichiarazione serve a documentare che l'informativa è stata resa disponibile all'interessato.

La presa visione dell'informativa privacy non costituisce consenso al trattamento.

Quando uno specifico trattamento richieda il consenso come base giuridica, il relativo consenso viene richiesto separatamente e con modalità appropriate alla finalità interessata.

19. AGGIORNAMENTI DELL'INFORMATIVA

La presente informativa può essere aggiornata per riflettere modifiche normative, organizzative, contrattuali o tecniche rilevanti.

Dovegoo mantiene versionate le informative e i documenti rilevanti.

Quando una modifica richieda una nuova presa visione, accettazione o altra azione dell'operatore, Dovegoo può richiederla mediante le funzioni della piattaforma e conservarne la relativa evidenza.

La versione applicabile è identificata dalla relativa versione documentale e data di efficacia.