1. Titolare del Trattamento

Il Titolare del trattamento dei dati personali è DottorBack Srl - Società Benefit, con sede legale in Via II Traversa L. Petrosino, 21 — 84015 Nocera Superiore (SA), Italia (di seguito "DottorBack" o il "Titolare").

• Email: info@dottorback.it
• PEC: dottorback@legalmail.it

DottorBack gestisce la piattaforma digitale accessibile tramite il sito web e le applicazioni correlate, che consente agli utenti di ricercare, prenotare e gestire prestazioni sanitarie private.

Non è stato nominato un Responsabile della Protezione dei Dati (DPO). Per qualsiasi questione relativa alla protezione dei dati personali, contattare info@dottorback.it.

2. Ruolo di DottorBack nel Trattamento

DottorBack agisce in qualità di Titolare autonomo del trattamento per quanto riguarda: gestione della piattaforma, creazione e gestione degli account utente, gestione delle prenotazioni, elaborazione dei pagamenti, gestione del wallet e del cashback, sicurezza della piattaforma.

Per quanto riguarda i dati sanitari relativi alle prestazioni erogate, il Professionista o la Struttura sanitaria che eroga la prestazione è Titolare autonomo del trattamento di tali dati. DottorBack tratta queste informazioni esclusivamente per finalità tecniche di erogazione del servizio di prenotazione, agendo quale intermediario tecnico.

3. Dati Personali Raccolti

I dati personali raccolti variano in base alla tipologia di utente e ai servizi utilizzati.

3.1 Dati raccolti per tutti gli Utenti

• Dati anagrafici: nome, cognome, data di nascita, codice fiscale
• Dati di contatto: indirizzo email, numero di telefono, indirizzo di residenza
• Credenziali di accesso: email e password (quest'ultima in forma crittografata)
• Dati di navigazione: indirizzo IP, tipo di browser, sistema operativo, pagine visitate

3.2 Dati aggiuntivi per Pazienti

• Documenti ISEE: valore ISEE e documento PDF (forniti volontariamente per accedere a bonus cashback)
• Dati di geolocalizzazione: coordinate geografiche per la ricerca di strutture nelle vicinanze
• Storico prenotazioni: date, orari, servizi prenotati, stato delle prenotazioni
• Dati di pagamento: transazioni effettuate, metodi di pagamento utilizzati
• Wallet e cashback: saldo wallet, movimenti, cashback maturato e utilizzato
• Codici referral: codici generati e utilizzati per il programma di invito

3.3 Dati aggiuntivi per Professionisti e Strutture Sanitarie

• Dati professionali: ordine professionale di appartenenza, numero di iscrizione, specializzazioni
• Documenti professionali: curriculum vitae, certificazioni, abilitazioni
• Dati fiscali: Partita IVA, codice fiscale della struttura
• Dati bancari: IBAN per accredito compensi, dati account Stripe Connect
• Token Google Calendar: credenziali OAuth per sincronizzazione calendario (se attivata)
• Disponibilità: orari di lavoro, giorni di chiusura, blocchi calendario
• Dati delle prestazioni: servizi offerti, prezzi, durate

3.4 Dati relativi alla salute e basi giuridiche del trattamento

Nell'ambito dell'utilizzo della Piattaforma vengono trattate informazioni che possono costituire categorie particolari di dati personali ai sensi dell'Art. 9 GDPR: in particolare, la tipologia di prestazione sanitaria che il Paziente prenota (es. nome del servizio, professionista scelto, struttura) consente di inferire informazioni sullo stato di salute o sulle scelte sanitarie dell'interessato, anche in assenza di contenuti clinici (referti, diagnosi, prescrizioni) che DottorBack non raccoglie né tratta.

Il trattamento di tali dati avviene su una doppia base giuridica, in ragione del duplice ruolo dei soggetti coinvolti:

• DottorBack — Art. 9.2.a (consenso esplicito dell'interessato): in qualità di intermediario tecnologico tra Paziente e Professionista/Struttura, DottorBack tratta i metadata di prenotazione (data, ora, tipologia prestazione, riferimenti del professionista) sulla base del consenso esplicito del Paziente. L'accettazione della presente Privacy Policy in fase di registrazione, e a ogni successivo aggiornamento sostanziale, costituisce manifestazione di consenso esplicito ai sensi dell'Art. 9.2.a GDPR al trattamento dei dati relativi alle prenotazioni sanitarie effettuate tramite la Piattaforma. Tale consenso è prestato in modo libero, specifico, informato e inequivocabile, ed è revocabile in qualsiasi momento (vedi Sez. 11). La data e la versione della Privacy Policy accettate sono registrate nel profilo dell'utente come prova del consenso (Art. 7.1 GDPR).
• Professionista o Struttura sanitaria — Art. 9.2.h (assistenza sanitaria): il Professionista o la Struttura sanitaria che eroga la prestazione tratta i dati sanitari del Paziente sulla base dell'Art. 9.2.h (medicina preventiva, diagnosi, assistenza sanitaria) nell'ambito del rapporto professionale-diretto col Paziente. Tale trattamento è di esclusiva titolarità del Professionista/Struttura e si svolge al di fuori della sfera di responsabilità di DottorBack (vedi Sez. 2).

Eventuali ulteriori informazioni sanitarie che il Paziente decida di fornire volontariamente (es. nelle note di prenotazione, nei reclami o nelle comunicazioni attraverso la Piattaforma) sono trattate sulla stessa base 9.2.a e con le misure di sicurezza descritte alla Sez. 10.

4. Facoltatività del Conferimento

Il conferimento dei dati identificativi e di contatto (nome, cognome, email, codice fiscale) è necessario per la registrazione e l'utilizzo dei servizi della Piattaforma. Il mancato conferimento comporta l'impossibilità di usufruire dei servizi offerti da DottorBack.

Il conferimento di dati facoltativi — quali documentazione ISEE, integrazione Google Calendar, dati di geolocalizzazione — è libero e il rifiuto non pregiudica l'accesso ai servizi base della Piattaforma.

5. Finalità del Trattamento

I dati personali sono trattati per le seguenti finalità:

• Erogazione dei servizi: gestione account, prenotazioni, pagamenti, comunicazioni relative ai servizi
• Verifica identità: conferma identità utenti e verifica qualifiche professionali
• Gestione pagamenti: elaborazione transazioni, accrediti, rimborsi, gestione wallet e cashback
• Sincronizzazione calendario: integrazione con Google Calendar per professionisti (previo consenso)
• Comunicazioni di servizio: notifiche su prenotazioni, promemoria e aggiornamenti di stato; avvisi su disservizi, manutenzioni programmate e problemi di sicurezza; comunicazioni sulle modifiche alle Condizioni Generali di Servizio, alla Privacy Policy e alle commissioni; informazioni sulle nuove funzionalità che cambiano il modo di usare i servizi. Non contengono offerte né contenuti promozionali
• Comunicazioni promozionali: solo con il tuo consenso, facoltativo, che puoi dare durante la registrazione o dalle impostazioni del tuo account: email con novità, iniziative e offerte di DottorBack, mai di terzi. Puoi revocarlo quando vuoi dalle stesse impostazioni; non darlo o revocarlo non cambia nulla nell'uso della Piattaforma
• Gestione reclami: trattamento segnalazioni e risoluzione controversie
• Gestione amministrativa di reclami: trattamento da parte del team DottorBack delle informazioni necessarie a triage, mediazione e risoluzione dei reclami aperti da Pazienti o Professionisti, inclusa la conoscenza della tipologia di prestazione oggetto del reclamo, accessibile esclusivamente al personale DottorBack autorizzato e alle parti coinvolte
• Form contatti pubblico: ricezione e gestione di segnalazioni, feedback e richieste inviate tramite il form della pagina Contattaci, sia da utenti registrati sia da soggetti terzi non registrati
• Obblighi legali: adempimento obblighi fiscali, sanitari e normativi
• Miglioramento servizi: analisi aggregate e anonime per ottimizzare l'esperienza utente
• Misurazione delle campagne pubblicitarie: conteggio, per giorno e tipo di account, delle registrazioni provenienti da ciascuna campagna, in forma aggregata e senza associare la campagna al singolo account né condividerla con le piattaforme pubblicitarie
• Completamento della registrazione: a chi si è registrato ma non ha confermato l'indirizzo email inviamo al massimo due promemoria automatici, e possiamo scrivergli direttamente al massimo due volte entro 30 giorni, solo per aiutarlo a completare la registrazione e senza contenuti promozionali
• Misurazione e ottimizzazione delle campagne pubblicitarie su Meta: solo con il consenso dato dal banner dei cookie, e solo su alcune pagine pubbliche, il pixel di Meta registra visite, clic sui pulsanti per registrarsi e registrazioni completate, per sapere quante iscrizioni arrivano dagli annunci su Facebook e Instagram e per mostrarli a chi è più probabile che sia interessato. Dettagli nella Cookie Policy, Sez. 6
• Contatti raccolti con i moduli di Meta: quando DottorBack utilizza i moduli delle inserzioni su Facebook e Instagram, riceve i dati inseriti nel modulo, indicati nel modulo stesso (ad esempio nome, email, telefono e professione), per ricontattare chi lo ha inviato e aiutarlo a registrarsi
• Sicurezza: prevenzione frodi, protezione della piattaforma e degli utenti

6. Base Giuridica del Trattamento

Il trattamento dei dati personali si basa sulle seguenti basi giuridiche:

• Esecuzione del contratto (Art. 6.1.b GDPR): trattamento necessario per la registrazione, l'erogazione dei servizi prenotati e la gestione del rapporto contrattuale, comprese le misure precontrattuali chieste dall'interessato: i promemoria e i ricontatti per completare una registrazione avviata, e le risposte a chi ha inviato un modulo di Meta
• Consenso (Art. 6.1.a GDPR): per il trattamento di dati facoltativi come ISEE, integrazione Google Calendar, comunicazioni promozionali e misurazione delle campagne pubblicitarie tramite il pixel di Meta
• Obbligo legale (Art. 6.1.c GDPR): per adempiere a obblighi fiscali, sanitari e normativi
• Legittimo interesse (Art. 6.1.f GDPR): per la sicurezza della piattaforma, prevenzione frodi, miglioramento dei servizi e misurazione dell'efficacia delle campagne pubblicitarie

Per il trattamento di categorie particolari di dati personali ai sensi dell'Art. 9 GDPR (metadata di prenotazione che possono inferire informazioni sullo stato di salute — vedi Sez. 3.4), si applicano le seguenti basi giuridiche:

• Consenso esplicito (Art. 9.2.a GDPR): per il trattamento da parte di DottorBack quale intermediario tecnologico, manifestato attraverso l'accettazione della presente Privacy Policy in fase di registrazione e a ogni successivo aggiornamento sostanziale
• Finalità di assistenza sanitaria (Art. 9.2.h GDPR): per il trattamento da parte del Professionista o della Struttura sanitaria nell'ambito del rapporto professionale-diretto col Paziente, soggetto al segreto professionale ex Art. 9.3 GDPR

7. Condivisione con Terze Parti

I dati personali possono essere condivisi con le seguenti categorie di destinatari. La maggior parte di essi opera in qualità di Responsabile del trattamento ai sensi dell'Art. 28 GDPR; alcuni rapporti specifici (in particolare Stripe per gli adempimenti KYC/AML obbligatori in capo agli istituti di pagamento) configurano invece il fornitore come Titolare autonomo, come indicato in tabella e nelle note.

Per il pixel, DottorBack e Meta Platforms Ireland Ltd sono contitolari della raccolta e della trasmissione dei dati, secondo l'Addendum sul titolare del trattamento di Meta, che ne stabilisce le responsabilità; per i trattamenti successivi Meta è titolare autonomo (Privacy Policy di Meta). Puoi esercitare i tuoi diritti nei confronti di DottorBack (Sez. 16) o di Meta.

Inoltre, i dati relativi alle prenotazioni vengono condivisi tra Pazienti e Professionisti/Strutture nella misura necessaria all'erogazione delle prestazioni sanitarie prenotate.

8. Trasferimenti Extra-UE

Alcuni dei nostri fornitori di servizi hanno sede al di fuori dell'Unione Europea (in particolare negli Stati Uniti). I trasferimenti di dati verso tali soggetti avvengono nel rispetto delle garanzie previste dal GDPR:

• Clausole Contrattuali Standard (SCC): adottate dalla Commissione Europea
• Data Privacy Framework UE-USA: per i fornitori certificati
• Misure supplementari: crittografia dei dati, pseudonimizzazione dove applicabile
• Meta: i dati raccolti tramite il pixel o i moduli delle inserzioni possono essere trasferiti da Meta Platforms Ireland Ltd a Meta Platforms, Inc. negli Stati Uniti, sulla base del Data Privacy Framework UE-USA o delle Clausole Contrattuali Standard, come indicato nell'informativa di Meta

Caso specifico — LocationIQ (Unwired Labs India Pvt Ltd):

Il servizio di geocodifica indirizzi è attualmente fornito da Unwired Labs India Pvt Ltd, con sede in India. L'India non beneficia di una decisione di adeguatezza della Commissione Europea, e DottorBack non ha allo stato confermato l'esistenza di Clausole Contrattuali Standard o di altre garanzie di cui all'Art. 46 GDPR per questo specifico trasferimento. L'impatto sostanziale del trasferimento è valutato basso, in considerazione del fatto che:

• i dati trasferiti sono esclusivamente stringhe di indirizzo geografico, prive di identificativi personali del Paziente
• le query geografiche del Paziente sono transitorie e non vengono persistite da DottorBack in forma associata all'utente
• l'unico identificativo lato DottorBack associato a coordinate geografiche è l'indirizzo pubblico della struttura sanitaria del Professionista

Gli interessati che desiderino opporsi a questo specifico trattamento possono contattare DottorBack ai recapiti indicati nella Sez. 16.

9. Periodo di Conservazione

I dati personali vengono conservati per il tempo necessario alle finalità per cui sono stati raccolti:

10. Sicurezza dei Dati

DottorBack adotta misure tecniche e organizzative appropriate per proteggere i dati personali:

• Crittografia: tutti i dati sono trasmessi tramite connessioni HTTPS/TLS
• Politiche di accesso: controlli granulari a livello di database che garantiscono che ogni utente possa accedere esclusivamente ai propri dati
• Autenticazione sicura: password crittografate, sessioni con scadenza automatica
• Token OAuth crittografati: i token di accesso a servizi terzi (es. Google Calendar) sono conservati in forma crittografata
• Backup regolari: copie di sicurezza dei dati con retention appropriata
• Monitoraggio: log delle attività per rilevare accessi non autorizzati

11. Diritti dell'Interessato

Ai sensi del Regolamento UE 2016/679 (GDPR), l'utente ha i seguenti diritti:

• Diritto di accesso (Art. 15): ottenere conferma del trattamento e copia dei dati
• Diritto di rettifica (Art. 16): correggere dati inesatti o incompleti
• Diritto alla cancellazione (Art. 17): richiedere la cancellazione dei dati ("diritto all'oblio"), salvo obblighi legali di conservazione
• Diritto di limitazione (Art. 18): limitare il trattamento in determinate circostanze
• Diritto alla portabilità (Art. 20): ricevere i dati in formato strutturato e leggibile
• Diritto di opposizione (Art. 21): opporsi al trattamento per finalità di marketing o profilazione
• Diritto di revoca del consenso: revocare in qualsiasi momento i consensi prestati

Per esercitare i tuoi diritti, puoi contattarci tramite le modalità indicate nella sezione "Contatti".

12. Cookie e Tecnologie di Tracciamento

La Piattaforma non imposta cookie tecnici propri: utilizza tecnologie di archiviazione del browser equivalenti ai cookie tecnici, necessarie in particolare all'autenticazione e a ricordare le tue scelte sui cookie, e una misurazione aggregata delle registrazioni per campagna assimilata a quelle tecniche. Queste non richiedono consenso ai sensi dell'art. 122 del D.Lgs. 196/2003 e delle Linee Guida del Garante per la protezione dei dati personali del 10 giugno 2021. Solo con il consenso dato dal banner, e solo su alcune pagine pubbliche, la Piattaforma utilizza inoltre il pixel di Meta, che imposta cookie di marketing; il consenso si può revocare in ogni momento da «Preferenze cookie».

Per il dettaglio completo dei cookie utilizzati, consulta la Cookie Policy.

13. Dati dei Minori

I servizi della Piattaforma sono destinati esclusivamente a utenti maggiorenni (18 anni o più). DottorBack non raccoglie consapevolmente dati personali di minori. Qualora venisse a conoscenza di dati raccolti da un minore senza il consenso del genitore o tutore, provvederà alla loro immediata cancellazione.

14. Prenotazioni inserite dal Professionista per conto del Paziente esterno

La Piattaforma consente al Professionista o alla Struttura sanitaria di inserire prenotazioni anche per conto di pazienti che non sono registrati alla Piattaforma (cosiddette "prenotazioni manuali"). In questi casi, il Professionista o la Struttura inserisce nome, cognome ed eventuali annotazioni relative al paziente esterno per finalità di gestione interna del proprio calendario.

Per tali prenotazioni:

• Il Professionista o la Struttura sanitaria agisce come Titolare autonomo del trattamento dei dati del paziente esterno e si fa carico, ai sensi delle Condizioni Generali di Servizio sottoscritte con DottorBack, dell'obbligo informativo verso il paziente di cui all'Art. 14 GDPR
• DottorBack agisce come mero intermediario tecnico: i dati inseriti dal Professionista vengono conservati con accesso limitato al solo Professionista che li ha inseriti e al personale tecnico DottorBack autorizzato, senza essere utilizzati per finalità ulteriori (es. cashback, marketing, analytics)
• Stante l'impossibilità per DottorBack di contattare direttamente il paziente esterno (di cui non dispone di recapiti né di account verificato), si applica l'esonero parziale dall'informativa di cui all'Art. 14, par. 5, lett. b) GDPR (sproporzione dello sforzo richiesto)
• Eventuali richieste di esercizio dei diritti di cui agli Artt. 15-22 GDPR da parte di pazienti esterni possono comunque essere indirizzate a DottorBack ai recapiti indicati nella Sez. 16, e verranno gestite congiuntamente al Professionista titolare del trattamento

15. Modifiche alla Privacy Policy

DottorBack si riserva il diritto di modificare la presente Privacy Policy in qualsiasi momento. Le modifiche saranno comunicate attraverso:

• Pubblicazione della versione aggiornata sulla Piattaforma
• Notifica via email per modifiche sostanziali
• Notifica in-app al primo accesso successivo alla modifica
• Registrazione automatica nel profilo dell'utente della versione di Policy accettata e del relativo timestamp (campi privacy_policy_version e accepted_privacy_at) per documentare il consenso ai sensi dell'Art. 7.1 GDPR

L'utilizzo continuato dei servizi dopo la pubblicazione delle modifiche costituisce accettazione della nuova Privacy Policy. Per modifiche che richiedono un nuovo consenso, verrà richiesta esplicita accettazione.

16. Contatti

Per qualsiasi domanda relativa al trattamento dei dati personali o per esercitare i tuoi diritti, puoi contattare DottorBack attraverso:

• Email: info@dottorback.it
• PEC: dottorback@legalmail.it
• Il sistema di supporto integrato nella Piattaforma
• La sezione "Reclami e Segnalazioni" del tuo account

Ti risponderemo entro 30 giorni dalla ricezione della richiesta, come previsto dal GDPR.

17. Reclami all'Autorità di Controllo

Qualora ritenessi che il trattamento dei tuoi dati personali violi il GDPR, hai il diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali: