Sicurezza e protezione dei dati

1. In breve

Cosa c'è oggi

• Collegamenti cifrati (HTTPS) per il sito, l'area dello studio, il portale dei pazienti e le app.
• Database cifrato dal fornitore. Si può riportare a un momento dei 7 giorni precedenti e ne resta una copia al giorno per 30 giorni.
• Copia settimanale dei file caricati su uno spazio di archiviazione separato dal server.
• Account personali con ruoli e permessi; blocco dello schermo dopo 15 minuti e uscita automatica dopo 60 minuti senza azioni; «Esci da tutti i dispositivi».
• Registro di chi apre le cartelle (lo vede il titolare dello studio) e registro delle operazioni principali.
• Contratto per il trattamento dei dati (art. 28 GDPR), che il titolare dello studio accetta dentro CiaoSalute.

Cosa non c'è ancora

• Il disco del server dove sono salvati i file caricati non è cifrato.
• La copia settimanale dei file non è cifrata con una chiave nostra. È prevista una copia giornaliera cifrata fuori dal server: è pronta e partirà appena scelte la destinazione e la chiave.
• La verifica in due passaggi all'accesso (per esempio un codice sul telefono) non c'è: si entra con email e password.
• Gli accessi del personale non sono ancora nel registro delle operazioni. Non sono registrati nemmeno gli accessi ai dati fatti dalle persone di GSEO per assistenza o guasti.
• I tempi di conservazione non sono ancora applicati in automatico, tranne che per la lista d'attesa.
• GSEO S.r.l. non ha certificazioni proprie sulla sicurezza (per esempio ISO/IEC 27001).

Nelle sezioni qui sotto trovi i dettagli e, dove c'è, che cosa è previsto.

2. Dove sono i dati

Gli altri fornitori

Ricevono solo i dati che servono alla loro funzione:

• Intelligenza artificiale: Anthropic (per i clienti europei, Anthropic Ireland, Limited). I dati sono conservati negli Stati Uniti e l'elaborazione può avvenire anche in altri paesi. Secondo le sue condizioni commerciali Anthropic non usa questi dati per addestrare i modelli; secondo le sue regole sulla privacy li cancella di norma entro 30 giorni. Nei testi che il programma prepara per l'AI non mettiamo nome e cognome del paziente; possono però comparire in quello che il medico scrive o detta e nei documenti caricati (per esempio la tessera sanitaria letta dall'AI).
• Email: MailerSend (MailerSend, Inc., Stati Uniti). I dati sono conservati nell'Unione Europea (Belgio).
• SMS: Brevo (Brevo SAS, Francia). Server nell'Unione Europea; per consegnare gli SMS passa dagli operatori telefonici.
• Videovisite: Daily (Daily, Co., Stati Uniti). Tratta i dati negli Stati Uniti. Le stanze sono private, si entra solo con un permesso creato da CiaoSalute e Daily non conserva registrazioni delle visite.
• Pagamenti: Stripe (Stripe Payments Europe, Limited, Irlanda). I dati possono andare anche negli Stati Uniti e in altri paesi. CiaoSalute non vede e non conserva i dati delle carte.
• WhatsApp: Twilio (Twilio Inc., Stati Uniti) oppure, per gli studi che collegano il proprio numero, Meta (WhatsApp Business), che tratta i messaggi nei suoi centri dati, che possono trovarsi anche fuori dall'Unione Europea, e li conserva al massimo 30 giorni.
• Notifiche delle app: Apple (iOS, Stati Uniti) e Google Firebase Cloud Messaging (Android, servizio globale di Google). Ricevono solo l'identificativo del dispositivo e testi generici, senza dati clinici.

Servizi che non sono nostri fornitori

• Dettatura e ascolto in visita. Usano il riconoscimento vocale del browser scelto dallo studio (per esempio Google in Chrome, Microsoft in Edge). Questo servizio non è un nostro fornitore e non è coperto dal contratto con lo studio: la voce va al produttore del browser, alle sue condizioni, anche fuori dall'Unione Europea. Lo studio decide se usare queste funzioni; prima di accenderle il medico vede un avviso. È previsto un servizio di trascrizione con contratto e server nell'Unione Europea.
• Sistema Tessera Sanitaria (Ministero dell'Economia e delle Finanze). Riceve le ricette elettroniche e le spese sanitarie per obbligo di legge, come titolare autonomo, solo quando il medico usa queste funzioni.

L'elenco completo dei fornitori, con le garanzie per i dati che escono dall'Unione Europea, è nella Privacy Policy (sezioni 5 e 6).

3. Cifratura e copie di sicurezza

3.1 Mentre i dati viaggiano

• Il sito, l'area dello studio, il portale dei pazienti e le app usano solo collegamenti cifrati (HTTPS). Chi apre un indirizzo non cifrato viene rimandato sulla versione cifrata.
• Email, SMS e WhatsApp passano dai sistemi dei rispettivi fornitori. Per questo, quando lo studio manda un referto o un documento, il paziente non lo riceve in allegato: riceve un link personale che si apre solo con la sua data di nascita, scade dopo 14 o 30 giorni e può essere annullato dallo studio. Il testo del messaggio non dice di che documento si tratta. Fa eccezione il promemoria della ricetta elettronica, che arriva in allegato all'email solo se il paziente lo chiede.

3.2 Quando i dati sono fermi

• Database: cifrato da Google, con chiavi gestite da Google.
• File caricati (referti, foto, documenti, firme): sono sul disco del server, che oggi non è cifrato. Non stanno nella parte pubblica del sito: si aprono solo attraverso il programma, dopo il controllo di chi li chiede. La cifratura anche di questi file è prevista: modo e tempi sono da decidere.
• Password: salvate solo in forma non reversibile (bcrypt). Nessuno può rileggerle, nemmeno noi. Dei link per scegliere o cambiare la password salviamo solo un'impronta.
• Codici per firmare e per i consensi (inviati per SMS o email): valgono 10 minuti, si bloccano dopo alcuni errori e sono salvati cifrati.
• Credenziali del Sistema Tessera Sanitaria e collegamento WhatsApp dello studio: salvati cifrati (AES-256-GCM) e decifrati solo nel momento in cui servono.
• Foto: togliamo la posizione GPS dalle foto caricate.

3.3 Copie di sicurezza

• Database: Google permette di riportarlo a un momento qualsiasi dei 7 giorni precedenti e tiene una copia al giorno per 30 giorni.
• File caricati: ogni settimana il server ne fa una copia automatica, che viaggia su un collegamento cifrato fino a uno spazio di archiviazione separato di Hetzner, in un centro dati nell'Unione Europea. Oggi questa copia non è cifrata con una chiave nostra.
• Prevista: una copia giornaliera dei file, cifrata con una chiave nostra prima di uscire dal server. È pronta e partirà appena scelte la destinazione e la chiave.

4. Accessi e registri

4.1 Chi entra e che cosa vede

• Ogni persona dello studio ha un account personale, con email e password. Gli account non si condividono.
• I ruoli sono quattro: amministratore, medico, segreteria e infermiere/a. Con i permessi, chi gestisce lo studio decide che cosa può fare ciascuno.
• La casella «Vede i dati clinici» (cartella, misure, esami, ricette, messaggi) è accesa di base per amministratori e medici, spenta per segreteria e infermieri. Chi non vede i dati clinici non può nemmeno scrivere in cartella, firmare o fare ricette. Attenzione: chi aveva già ricevuto a mano cartelle, firma o ricette continua a vedere i dati clinici finché lo studio non spegne la casella nella sua scheda.
• I dati di ogni studio sono separati da quelli degli altri studi.
• Dopo alcuni tentativi di accesso sbagliati l'accesso si blocca per un po'. Il messaggio di errore non dice se è sbagliata l'email o la password.
• Un accesso dura al massimo 7 giorni: poi bisogna rientrare con la password. Prima si chiude con «Esci» o con l'uscita automatica (4.2).

4.2 Blocco dello schermo dopo 15 minuti e uscita automatica dopo 60 minuti

• Nell'area dello studio, dopo 15 minuti senza azioni (mouse, tastiera, tocco, scorrimento) lo schermo si copre e si riapre solo con la propria password. Gli aggiornamenti automatici della pagina non contano come azioni.
• Dopo 60 minuti senza azioni si esce da soli: bisogna rientrare con email e password.
• Conta anche il tempo passato a browser chiuso o a computer spento o sospeso: chi riapre l'area dello studio dopo 15 minuti trova lo schermo bloccato, dopo 60 minuti deve rientrare con email e password.
• Il blocco vale per tutte le schede aperte nello stesso browser e resta anche se si ricarica la pagina.
• Dopo alcuni tentativi sbagliati si esce e bisogna rientrare con email e password.
• Il blocco e l'uscita automatica non scattano durante una videovisita, per non interrompere la visita.
• Il pulsante «Schermo riservato» sfoca nomi e importi, per chi guarda lo schermo da vicino.

4.3 Uscire e chiudere gli accessi

• «Esci» chiude l'accesso su quel browser.
• «Esci da tutti i dispositivi», nella pagina «Il mio profilo», chiude tutti gli accessi aperti della persona, anche su altri computer e telefoni. Usatelo se pensate che qualcuno abbia usato il vostro account, e poi cambiate la password.
• Cambiare o reimpostare la password chiude gli altri accessi aperti.
• Quando una persona viene disattivata, i suoi accessi si chiudono al massimo entro un minuto e i link per la password che le erano stati mandati non valgono più.
• Ruoli e permessi cambiati valgono al massimo entro un minuto.

4.4 Portale e app dei pazienti

• Il paziente entra con il codice personale che gli dà lo studio e con la sua data di nascita. Dopo alcuni tentativi sbagliati l'accesso si blocca per un po'.
• L'accesso dura al massimo 30 giorni. Se lo studio rigenera il codice o spegne l'accesso al portale, gli accessi del paziente si chiudono entro un minuto.
• Il portale non ha il blocco dello schermo: se usi un telefono o un computer condiviso, esci quando hai finito.

4.5 Registri

• Chi ha aperto la cartella: per ogni paziente resta scritto chi dello studio ha aperto la cartella, un documento, un PDF preparato da CiaoSalute (referto, ricetta, tabella degli esami, piano terapeutico) o «Esporta dati», e quando. Non contiene dati clinici. Più aperture a pochi minuti di distanza diventano una riga sola. Lo vede solo il titolare dello studio, nella scheda del paziente (Anagrafica › «Chi ha aperto»). Non sono ancora registrate le aperture della scheda anagrafica, dei file caricati (foto, esami e referti in PDF), della pagina «Esami e valori» e del riepilogo preparato dall'AI.
• Registro delle operazioni: firme, consensi, modifiche al personale, documenti creati, modificati, eliminati o ripristinati, esportazioni, messaggi, foto, terapie, appuntamenti, ricette elettroniche e accettazione del contratto. Per ogni riga: chi l'ha fatto (con il ruolo), quando, indirizzo IP e browser. Per alcune modifiche (terapia, allergie e anamnesi, valori di partenza) conserva anche il valore prima e dopo; per i promemoria dei farmaci, il nome del farmaco; per gli annullamenti e le correzioni, il motivo scritto. Non copia il testo di visite, referti e messaggi; le righe scritte prima del 28 ottobre 2026 possono contenere le prime parole delle risposte del medico in chat. Il pannello di amministrazione di GSEO mostra le operazioni senza questi valori.
• Invii: per documenti, referti, ricette e link della videovisita restano il canale, l'esito e chi li ha mandati. Le campagne, gli SMS e i promemoria automatici hanno registri propri. L'invio del codice del portale al paziente oggi non viene registrato: è previsto.
• Registri tecnici del server web: indirizzo IP, ora, pagina richiesta e browser. Vengono sostituiti man mano dai nuovi: oggi coprono circa gli ultimi 4 mesi.

4.6 Che cosa non registriamo, oggi

• Gli accessi del personale (riusciti o sbagliati) non sono nel registro delle operazioni: restano solo nei registri tecnici del server web. È previsto di registrarli anche nel registro delle operazioni.
• Per il personale non salviamo la data dell'ultimo accesso.
• Le letture fatte dalle persone di GSEO direttamente sul server o sul database, fuori dal programma, non sono registrate.
• I registri non hanno ancora una scadenza applicata in automatico: restano nel database. La durata prevista è di 10 anni, da confermare con il legale.
• Non usiamo strumenti di analisi di terze parti né strumenti che registrano le sessioni. Fino al 12 novembre 2026 contiamo soltanto quante volte si apre ogni pagina dell'area dello studio, per studio e per ruolo, senza nomi di persone né di pazienti. Solo nella pagina per collegare il numero WhatsApp dello studio si carica il programma di Meta che serve al collegamento (vedi la Cookie Policy).

5. Chi è il titolare e chi il responsabile del trattamento

GSEO S.r.l., società che gestisce la piattaforma CiaoSalute
Via Zenzalino Sud 6, 40055 Castenaso (BO) · P.IVA 04370971204
Email: info@gseo.it

• Responsabile della protezione dei dati (DPO): oggi GSEO S.r.l. non ne ha nominato uno. Per le domande sulla privacy scrivi a info@gseo.it (oggetto «Privacy»).
• Pazienti: per vedere, correggere, avere in copia o cancellare i dati della tua cartella rivolgiti al tuo studio medico, che ne è il titolare. Se scrivi a noi, giriamo la richiesta al tuo studio.
• Altri fornitori (sub-responsabili): sono elencati nella Privacy Policy e al punto 7 del contratto per il trattamento dei dati. Prima di aggiungere o cambiare un fornitore lo diciamo agli studi, che possono opporsi.
• Persone di GSEO: chi in GSEO gestisce il server e il database può tecnicamente vedere i dati. La regola è guardarli solo per assistenza chiesta dallo studio, sicurezza o guasti. Oggi questi accessi non sono registrati; gli impegni di riservatezza scritti sono in preparazione.

6. Contratto (DPA), valutazione d'impatto (DPIA) e registro dei trattamenti

• Contratto per il trattamento dei dati (art. 28 GDPR, detto anche DPA): c'è. Il testo è pubblico nella pagina Contratto per il trattamento dei dati. Il titolare dello studio lo accetta dentro CiaoSalute, nella pagina «Contratto per i dati»: restano registrati chi l'ha accettato, quando e quale versione. È la versione base del 28 ottobre 2026; il testo rivisto dal legale sarà proposto appena pronto. Fa parte del contratto l'allegato «Misure di sicurezza», con l'elenco completo delle misure, comprese quelle previste: lo mandiamo allo studio su richiesta, anche prima che accetti.
• Valutazione d'impatto (DPIA, art. 35 GDPR): spetta al titolare, cioè allo studio. Agli studi con contratto attivo diamo, su richiesta, una valutazione d'impatto di supporto.
• Registro dei trattamenti (art. 30 GDPR): GSEO S.r.l. lo tiene sia come responsabile sia come titolare e lo mostra al Garante se lo chiede. Agli studi diamo un modello di registro già compilato per la parte che riguarda CiaoSalute e, su richiesta, la parte del nostro registro che riguarda il loro studio.
• Violazioni dei dati: se scopriamo una violazione che riguarda i dati di uno studio, lo avvisiamo senza ingiustificato ritardo, con le informazioni che abbiamo, e lo aiutiamo nella notifica al Garante e nell'avviso ai pazienti. La procedura scritta la diamo agli studi con contratto attivo, su richiesta.

Per avere questi documenti scrivi a info@gseo.it.

7. Certificazioni

Riportiamo solo quello che abbiamo controllato sulle pagine ufficiali dei fornitori (ottobre 2026). Per MailerSend, Meta e Apple non indichiamo certificazioni.

8. Segnalare un problema di sicurezza

Se trovi un problema di sicurezza, o pensi che qualcuno abbia usato un account senza permesso, scrivi a info@gseo.it (oggetto «Sicurezza»), oppure per posta a GSEO S.r.l., Via Zenzalino Sud 6, 40055 Castenaso (BO). Racconta che cosa hai visto e come ci sei arrivato. Ti chiediamo di non usare il problema per vedere dati di altre persone e di darci il tempo di correggerlo prima di parlarne in pubblico.

Per gli studi: se sospettate un accesso non autorizzato, chi gestisce lo studio può disattivare subito la persona interessata; chi pensa che il proprio account sia stato usato da altri può usare «Esci da tutti i dispositivi» e cambiare la password. Poi scriveteci.

Per le domande sulla privacy: info@gseo.it (oggetto «Privacy»), oppure per posta a GSEO S.r.l., Via Zenzalino Sud 6, 40055 Castenaso (BO).

Ultimo aggiornamento di questa pagina: 28 ottobre 2026. La aggiorniamo quando cambiano le misure o i fornitori.