Informativa sulla privacy

La presente informativa descrive come vengono trattati i dati personali attraverso ALS Connect, la piattaforma web con cui le case di riposo, le RSA e le case di cura convenzionate (le «Strutture») richiedono servizi di trasporto sanitario programmato ad ALS Soccorso («ALS») e ne seguono l’esecuzione, la documentazione e la fatturazione.

Nella piattaforma convivono due trattamenti distinti, con titolari diversi:

• Dati degli ospiti delle Strutture. Il titolare del trattamento è la singola Struttura convenzionata, che decide perché e come servirsi della piattaforma per i propri ospiti. ALS Soccorso agisce come responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 («GDPR»), sulla base dell’accordo di nomina (DPA) sottoscritto con ciascuna Struttura e seguendone le istruzioni documentate.
• Dati degli utenti della piattaforma (credenziali, profilo, registri di accesso e di attività). Il titolare del trattamento è ALS Soccorso, che li tratta per consentire e proteggere l’accesso alla piattaforma.

2.1 ALS Soccorso

Titolare del trattamento per i dati degli utenti della piattaforma e responsabile del trattamento per i dati degli ospiti: [DA COMPILARE] (ragione sociale di ALS), con sede in [DA COMPILARE] (indirizzo della sede legale di ALS).

• Email: [DA COMPILARE] (email di ALS)
• PEC: [DA COMPILARE] (PEC di ALS)
• Richieste in materia di protezione dei dati personali: [DA COMPILARE] (email per le richieste privacy)

2.2 Responsabile della protezione dei dati (DPO)

ALS Soccorso ha designato un responsabile della protezione dei dati: [DA COMPILARE] (nome del DPO), raggiungibile all’indirizzo [DA COMPILARE] (email del DPO).

2.3 Le Strutture

I recapiti del titolare e dell’eventuale DPO di ciascuna Struttura sono indicati nell’informativa che la Struttura rende ai propri ospiti.

3.1 Dati degli utenti della piattaforma

• Dati identificativi e di profilo: nome, cognome, indirizzo email, ruolo, struttura o sede di appartenenza, stato dell’account.
• Dati di accesso: credenziali (la password è conservata solo in forma di impronta crittografica) e dati necessari alla verifica in due passaggi (MFA).
• Dati di navigazione e registri: indirizzo IP, user agent del browser, data e ora degli accessi e delle azioni compiute nella piattaforma.

3.2 Dati degli ospiti delle Strutture

• Dati anagrafici: nome, cognome, data di nascita, sesso, codice fiscale.
• Dati relativi alla salute (categorie particolari di dati ex art. 9 GDPR), limitati a quanto necessario per eseguire il trasporto in sicurezza: grado di mobilità, necessità di ossigeno, isolamento o precauzioni di contatto, peso o esigenze bariatriche, presenza di accompagnatore, note cliniche essenziali.
• Dati del servizio: luogo e orario di partenza e destinazione, motivo del trasporto (ad esempio visita, dimissione, trasferimento, controllo, riabilitazione), esito e documentazione del servizio svolto.

3.3 Dati di geolocalizzazione dei mezzi

Posizione dei mezzi di ALS durante i servizi, quando la funzione di tracciamento è attiva. Il dato è riferito al mezzo e non all’ospite; l’eventuale riconducibilità all’equipaggio è gestita da ALS nel rispetto delle norme a tutela dei lavoratori.

3.4 Dati di fatturazione

Dati identificativi e fiscali della Struttura (ragione sociale, partita IVA, codice fiscale, codice IPA, CIG, recapiti) e importi dei servizi resi. Le fatture non riportano dati sanitari degli ospiti.

• Erogazione del servizio e gestione dell’account (creazione e gestione degli utenti, registrazione e gestione delle richieste di trasporto, assegnazione di mezzi ed equipaggi, esecuzione e documentazione dei servizi). Base giuridica: esecuzione del contratto di servizio e delle misure precontrattuali (art. 6, par. 1, lett. b, GDPR).
• Fatturazione e obblighi fiscali e contabili (emissione, trasmissione e conservazione dei documenti fiscali, anche in formato FatturaPA). Base giuridica: adempimento di obblighi legali (art. 6, par. 1, lett. c).
• Sicurezza della piattaforma, prevenzione di abusi e frodi, registro delle attività (audit). Base giuridica: legittimo interesse di ALS a proteggere i sistemi e i dati trattati (art. 6, par. 1, lett. f), previo bilanciamento con i diritti degli interessati; per i dati degli ospiti la registrazione degli accessi è inoltre una misura di sicurezza dovuta ai sensi dell’art. 32 GDPR.
• Tutela di un diritto in sede giudiziaria e riscontro alle richieste delle autorità. Base giuridica: legittimo interesse e obbligo di legge (art. 6, par. 1, lett. f e c).

4.1 Dati relativi alla salute degli ospiti

Il trattamento dei dati sulla salute è necessario per consentire alla Struttura di far eseguire un trasporto sanitario compatibile con le condizioni dell’ospite. Riguarda finalità di assistenza sanitaria e di gestione dei servizi sanitari (art. 9, par. 2, lett. h, GDPR) e, ove ne ricorrano i presupposti, motivi di interesse pubblico nel settore della sanità pubblica (art. 9, par. 2, lett. i), nel rispetto della disciplina nazionale (D.Lgs. 196/2003) e con il vincolo del segreto professionale o di un analogo obbligo di riservatezza.

Il conferimento dei dati degli utenti è necessario per creare e mantenere l’account: senza di essi non è possibile accedere alla piattaforma. Il conferimento dei dati degli ospiti è necessario perché il trasporto possa essere richiesto, valutato e svolto in sicurezza; un conferimento incompleto o inesatto può impedire o ritardare il servizio.

Non è svolta alcuna attività di profilazione né sono adottate decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici sugli interessati (art. 22 GDPR). La conferma, la modifica e il rifiuto delle richieste sono decisioni assunte da personale di ALS.

I dati sono trattati con strumenti informatici, da personale autorizzato e istruito, secondo il principio di minimizzazione. ALS adotta misure tecniche e organizzative adeguate al rischio, tra cui:

• Cifratura: nome, cognome, codice fiscale e note cliniche degli ospiti sono cifrati a livello di campo con AES-256-GCM; le comunicazioni viaggiano su connessione cifrata (HTTPS).
• Isolamento dei dati tra Strutture: ogni Struttura accede solo ai propri dati. L’isolamento è applicato dal database stesso (Row Level Security) e non soltanto dall’applicazione.
• Autenticazione forte: la verifica in due passaggi (MFA) è obbligatoria per gli amministratori delle Strutture e per il personale della centrale ALS.
• Registro delle attività: le operazioni sui dati degli ospiti e le azioni amministrative sono registrate in un registro di audit non modificabile e non cancellabile.
• Residenza dei dati: database e applicazione sono ospitati in regione dell’Unione europea.
• Altre misure: controllo degli accessi per ruolo, limitazione dei tentativi di accesso, intestazioni di sicurezza HTTP, copie di sicurezza e aggiornamento periodico delle componenti software.

I dati non sono diffusi. Possono essere comunicati, oltre al personale autorizzato di ALS e della Struttura interessata, ai seguenti soggetti che operano come sub-responsabili del trattamento, designati da ALS con contratto che impone obblighi di protezione equivalenti a quelli assunti verso la Struttura:

• Supabase Inc. — hosting del database, autenticazione e archiviazione dei file (regione UE).
• Vercel Inc. — hosting e distribuzione dell’applicazione (regione UE).
• Fornitore del servizio di posta elettronica transazionale — invio degli inviti, dei messaggi di attivazione e di recupero della password.
• Fornitore della conservazione digitale a norma — conservazione dei documenti fiscali elettronici.
• Fornitore dei servizi cartografici (tile) — la mappa della torre di controllo, usata solo dal personale di ALS, carica le immagini cartografiche da un server esterno, che riceve l’indirizzo IP dell’operatore e la zona visualizzata. Non sono trasmessi dati di ospiti, richieste o mezzi.

Possono inoltre ricevere dati, nei limiti di quanto previsto dalla legge, il Sistema di Interscambio (SdI) per le fatture elettroniche, le autorità giudiziarie e di vigilanza, e i consulenti di ALS vincolati a obblighi di riservatezza. L’elenco aggiornato dei sub-responsabili è disponibile a richiesta a [DA COMPILARE] (email per le richieste privacy).

7.1 Trasferimenti verso Paesi terzi

I dati sono conservati in regione UE. Alcuni fornitori hanno sede negli Stati Uniti: qualunque trasferimento o accesso da Paesi extra-UE (ad esempio per l’assistenza tecnica) avviene solo se assistito da garanzie adeguate ai sensi degli artt. 44 e seguenti del GDPR, cioè una decisione di adeguatezza della Commissione europea (compreso il Data Privacy Framework UE-USA per i fornitori certificati) oppure le clausole contrattuali standard, insieme alle misure supplementari necessarie.

• Dati degli utenti: per la durata del rapporto contrattuale. Dopo la cessazione sono conservati, limitatamente a quanto necessario per adempiere agli obblighi di legge, per 10 anni (art. 2220 del codice civile e normativa fiscale applicabile).
• Dati degli ospiti e delle richieste: per il tempo stabilito dalla Struttura, titolare del trattamento, e comunque nei limiti indicati nell’accordo di nomina (DPA). Alla cessazione del rapporto con la Struttura i dati sono restituiti e cancellati secondo il DPA.
• Documenti fiscali: 10 anni dalla data del documento, anche mediante conservazione digitale a norma.
• Registri di accesso e di audit: [DA COMPILARE] (periodo di conservazione dei registri (mesi)) mesi.
• Dati di geolocalizzazione dei mezzi: [DA COMPILARE] (periodo di conservazione dei dati GPS (giorni)) giorni.

Ai sensi degli artt. 15-22 del GDPR hai il diritto di ottenere dal titolare del trattamento:

• l’accesso ai tuoi dati personali e le informazioni sul loro trattamento;
• la rettifica dei dati inesatti e l’integrazione di quelli incompleti;
• la cancellazione dei dati, nei casi previsti dalla legge;
• la limitazione del trattamento;
• la portabilità dei dati forniti, in un formato strutturato e di uso comune;
• l’opposizione al trattamento fondato sul legittimo interesse, per motivi connessi alla tua situazione particolare.

Per i dati di cui ALS è titolare scrivi a [DA COMPILARE] (email per le richieste privacy), indicando l’account interessato e il diritto che intendi esercitare. Risponderemo entro un mese dalla richiesta, prorogabile di due mesi nei casi di particolare complessità (art. 12 GDPR). Per i dati degli ospiti rivolgiti alla Struttura titolare; ALS, quale responsabile del trattamento, la assiste nel dare riscontro.

Se ritieni che il trattamento violi la normativa, hai diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità giudiziaria.

La piattaforma utilizza esclusivamente cookie tecnici necessari al funzionamento e all’autenticazione, per i quali non è richiesto il consenso. L’elenco dei cookie e le istruzioni per gestirli sono nella cookie policy. I termini che regolano l’uso della piattaforma sono nei termini e condizioni d’uso.

ALS può aggiornare questa informativa per adeguarla a modifiche normative o del servizio. La data dell’ultima revisione è indicata nella parte alta e in fondo alla pagina. ALS comunica agli utenti le modifiche sostanziali, ad esempio con un avviso nella piattaforma o per email.