Gentile Utente,

ai sensi degli articoli 13 e 14 del Regolamento UE 2016/679 (di seguito "GDPR"), Le forniamo le informazioni relative al trattamento dei dati personali che saranno da Lei conferiti a Come Stai s.r.l. in fase di registrazione alla piattaforma e durante la fruizione dei servizi di consulenza da parte dei professionisti.

La presente informativa integra — senza sostituirla — l'informativa generale resa per la navigazione del sito web e disciplina specificamente i trattamenti connessi alla Sua registrazione e all'utilizzo dei servizi della piattaforma.

Il trattamento dei Suoi dati personali è effettuato da Come Stai s.r.l., con sede in Via Giuseppe de Camillis 8, 0019 Tivoli (RM), e-mail: info@comestai.com , in qualità di Titolare del trattamento, in regime di contitolarità con i professionisti sanitari che operano attraverso la piattaforma, ai sensi dell'articolo 26 del GDPR.

In particolare:

• Come Stai s.r.l. determina le finalità e i mezzi del trattamento relativamente alla gestione della piattaforma, alla registrazione e gestione dell'account, all'assesment iniziale, all'assegnazione del professionista sanitario, alla fatturazione e gestione amministrativa e alla sicurezza informatica;
• i professionisti sanitari (medici, nutrizionisti, psicologi etc.) determinano, in contitolarità con Come Stai s.r.l., le finalità e i mezzi del trattamento relativamente allo svolgimento delle sessioni di consulenza e ai dati clinici ivi generati, fermo restando che ciascun professionista opera come titolare autonomo per i trattamenti connessi allo svolgimento del proprio mandato professionale e nel rispetto del segreto professionale.

Ai sensi dell'art. 26, paragrafo 1, del GDPR, Come Stai s.r.l. e ciascun professionista sanitario hanno stipulato un accordo interno di contitolarità che definisce in modo trasparente le rispettive responsabilità in merito all'osservanza degli obblighi del Regolamento, con particolare riguardo all'esercizio dei diritti dell'interessato. Il contenuto essenziale di tale accordo è messo a Sua disposizione ai sensi dell'art. 26, paragrafo 2, del GDPR e può essere richiesto ai recapiti del Titolare.

In ogni caso, ai sensi dell'art. 26, paragrafo 3, del GDPR, Lei può esercitare i propri diritti nei confronti di e contro ciascun contitolare, indipendentemente da quanto stabilito nell'accordo interno.

La Società ha nominato un Responsabile della protezione dei dati ai sensi dell'art. 37 del GDPR, contattabile all'indirizzo: privacy@comestai.com

Dati anagrafici e di contatto

In fase di registrazione e per tutta la durata del rapporto, la Società raccoglie i seguenti dati personali: nome, cognome, indirizzo e-mail, numero di telefono, data di nascita, indirizzo di residenza, codice fiscale/p.iva ed eventuali ulteriori dati anagrafici necessari alla gestione del Suo account e all'erogazione dei servizi.

Il trattamento di tali dati è richiesto per l'attivazione di un account sulla piattaforma e per l'accesso ai servizi offerti da Comestai. Il trattamento di tali dati si basa sulla necessità di dare esecuzione al contratto di cui Lei è parte, ai sensi dell'art. 6, par. 1, lett. b), del GDPR, nonché sull'adempimento di obblighi legali in materia contabile, amministrativa e fiscale ai sensi dell'art. 6, par. 1, lett. c), del GDPR. Il rifiuto di fornire tali dati renderà non eseguibile la prestazione da parte di Comestai.

Dati relativi alla salute — ambito di trattamento del Titolare

I servizi offerti dalla piattaforma hanno ad oggetto la consulenza per disturbi alimentari. Già nella fase di registrazione e assessment iniziale, Come Stai s.r.l. tratta dati relativi al Suo stato di salute — quali abitudini alimentari, dati antropometrici, descrizione delle problematiche riferite, dati anamnestici essenziali, dati relativi alle prescrizioni mediche in essere, alle terapie in corso e ai farmaci eventualmente assunti — nella misura strettamente necessaria a consentire l'erogazione del servizio e, in particolare, l'assegnazione al professionista sanitario più idoneo.

Tali dati costituiscono categorie particolari di dati personali ai sensi dell'articolo 9, paragrafo 1, del GDPR, il cui trattamento è soggetto a un regime rafforzato di tutele.

Il trattamento dei dati relativi alla salute effettuato da Come Stai s.r.l. per la gestione della piattaforma e l'assessment iniziale si basa sul Suo consenso esplicito, libero e informato, prestato in fase di registrazione ai sensi dell'art. 9, par. 2, lett. a), del GDPR.

Dati relativi alla salute — ambito di trattamento del professionista sanitario

Una volta assegnato il professionista sanitario, i dati relativi alla salute generati o raccolti durante le sessioni di consulenza (colloqui, diario clinico, referti, documentazione da Lei caricata, messaggistica interna) sono trattati in contitolarità tra Come Stai s.r.l. e il professionista sanitario.

Per tali trattamenti, la base giuridica è costituita dall'art. 9, par. 2, lett. h), e par. 3, del GDPR, in quanto necessari per finalità di diagnosi, assistenza o terapia sanitaria, nell'ambito del rapporto professionale con il consulente sanitario da Lei scelto, conformemente a quanto previsto dall'art. 75 del D.Lgs. 196/2003.

In conformità all'art. 9, paragrafo 3, del GDPR, tali dati sono trattati da o sotto la responsabilità di un professionista soggetto al segreto professionale.

Si richiama la Sua attenzione sulla distinzione tra:

• il consenso al trattamento dei dati personali, disciplinato dal GDPR, che attiene alla protezione dei Suoi dati e che Lei esprime in fase di registrazione alla piattaforma con riferimento ai trattamenti di competenza del Titolare;
• il consenso informato al trattamento sanitario, disciplinato dalla normativa sanitaria (Legge n. 219/2017 e norme deontologiche), che attiene all'accettazione del percorso di consulenza e che Le sarà richiesto direttamente dal professionista sanitario al primo incontro, unitamente alla propria informativa sul trattamento dei dati.

Le due manifestazioni di volontà sono distinte e autonome: la revoca del consenso privacy non equivale alla revoca del consenso al trattamento sanitario, e viceversa. Ciascuna segue le regole e produce gli effetti previsti dalla rispettiva disciplina.

La piattaforma si avvale di agent di intelligenza artificiale per assistere i professionisti sanitari nell'elaborazione delle informazioni fornite dagli utenti, al fine di migliorare la qualità e l'efficienza del servizio di consulenza.

Che Agent AI usiamo?

Gli agent AI sfruttano un LLM (Large Language Model) open-weight interamente collocato su infrastruttura AWS controllata da Come Stai s.r.l., che svolge tre distinte funzioni: classificazione delle informazioni in fase di anamnesi, supporto agli appunti del professionista sanitario ed assistenza all’utente per la sezione “formazione” della piattaforma..

Il modello è ospitato su istanze dedicate, site nell'UE: non vengono utilizzati servizi AI di terze parti (OpenAI, Google, ecc.) e nessun dato clinico viene mai trasmesso a terze parti.

Fase di anamnesi

Le informazioni fornite dall’utente in fase di registrazione, ivi incluse le informazioni sanitarie, farmacologiche e sullo stato di salute, vengono ordinate in fase di anamnesi entro dei campi prestabiliti. Tale azione viene svolta da un agent AI, che sistema le informazioni in modo tale che i professionisti sanitari possano catalogarle e analizzarle in maniera omogenea per ogni paziente.

I dati non vengono utilizzati per addestrare l’agent AI, né a fini di profilazione, né per qualsiasi altro scopo diverso da quello di catalogazione in fase di anamnesi sopra descritto.

Una volta effettuata l’attività di riordino delle informazioni, l’agent AI non tiene traccia alcuna dei dati personali trattati (soggetti a rimozione immediata dalla “memoria” dell’agent stesso) né assume decisioni automatizzate (la decisione clinica resta sempre in capo al professionista)

Non è dunque possibile risalire ai dati personali all’esito dell’attività di catalogazione.

Il trattamento dei dati relativi alla salute effettuato da Come Stai s.r.l. mediante l’agent AI si basa sul Suo consenso esplicito, libero e informato, prestato in fase di registrazione ai sensi dell'art. 9, par. 2, lett. a), del GDPR. Poiché integrato nel servizio e coessenziale alla raccolta di informazioni

Appunti del professionista sanitario

I medesimi dati personali vengono trattati nell'ambito di una diversa funzionalità di un agent AI, che consente al professionista, in fase di trattamento e/o visita del paziente, di recuperare rapidamente informazioni sul paziente - dalla scheda clinica, dal piano terapeutico, dalla stessa chat e da ogni altra informazione presente sulla piattaforma - per un più efficiente inquadramento diagnostico e terapeutico. L'agente opera quale mero strumento di supporto all'attività professionale. senza conservare autonomamente i dati né assumere decisioni cliniche, Il trattamento, in conformità all'art. 9, par. 2, lett. h), e par. 3, del GDPR, trova fondamento nella necessità di garantire diagnosi, assistenza e terapia sanitaria sotto la responsabilità del professionista, senza richiedere il consenso dell'interessato.

Formazione

Infine, nella sezione “Formazione”, è presente un agent AI che può supportare gli utenti nel rinvenire il materiale di interesse (video, presentazioni, testi, interventi etc.) dei corsi che questi hanno seguito, oltre a poter generare sintesi e appunti di detto materiale. L’agent non opera in questa fase alcuna attività di trattamento dei dati personali, fungendo da mero sintetizzatore dei materiali presenti nella sezione “Formazione”, previa richiesta del singolo utente.

La piattaforma consente all'utente di indicare — in via del tutto facoltativa — l'indirizzo email di un proprio caregiver di riferimento (familiare, convivente o altra persona di fiducia), al fine di ricevere comunicazioni di servizio relative al percorso di assistenza.

QUALI DATI RACCOGLIAMO

Raccogliamo esclusivamente l'indirizzo email del caregiver, fornito dall'utente in fase di registrazione o in un momento successivo tramite l'apposita funzione della piattaforma.

FONTE DEL DATO E DICHIARAZIONE DELL'UTENTE

Il dato non è raccolto direttamente presso il caregiver, ma è fornito a Comestai dall'utente. Utilizzando tale funzione, l'utente dichiara e garantisce di aver preventivamente informato il caregiver circa il trattamento dei suoi dati personali qui descritto e di averne ottenuto il consenso.

FINALITÀ E BASE GIURIDICA

L'email del caregiver è trattata esclusivamente per l'invio di comunicazioni di servizio strettamente connesse al percorso di assistenza del paziente che lo ha indicato, quali: promemoria degli appuntamenti, avvisi di modifica o cancellazione degli stessi e altre comunicazioni organizzative di analoga natura.

Nessun dato sanitario del paziente è mai trasmesso all'indirizzo email del caregiver.

La base giuridica del trattamento è il consenso del caregiver ex art. 6, par. 1, lett. a), GDPR, che viene richiesto al caregiver in occasione del primo contatto, conformemente a quanto previsto dall'art. 14, par. 3, lett. b), GDPR per i dati personali non raccolti presso l'interessato.

NATURA DEL CONFERIMENTO

L'inserimento dell'email del caregiver è facoltativo. Il mancato inserimento, o la mancata prestazione del consenso da parte del caregiver, non ha alcuna conseguenza sull'utilizzo della piattaforma, né sulla fruizione delle prestazioni sanitarie.

CONSERVAZIONE

L'email del caregiver è conservata fino alla revoca del consenso da parte del caregiver stesso, o fino alla richiesta di rimozione da parte del paziente, o fino alla cancellazione dell'account del paziente. In ogni caso, il dato è cancellato entro 30 giorni dal verificarsi di uno di tali eventi.

DIRITTI DEL CAREGIVER

Il caregiver, in quanto interessato, può esercitare in qualsiasi momento i diritti di cui agli artt. 15-22 GDPR (accesso, rettifica, cancellazione, limitazione, portabilità e opposizione) e revocare il consenso senza pregiudicare la liceità del trattamento effettuato prima della revoca, utilizzando i recapiti del Titolare e del DPO indicati nella presente informativa.

Il conferimento dei dati anagrafici, di contatto e relativi alla salute per le finalità connesse all'erogazione del servizio è necessario per consentirLe di registrarsi alla piattaforma e fruire dei servizi di consulenza. L'eventuale rifiuto di conferire tali dati comporta l'impossibilità di completare la registrazione e di usufruire dei servizi offerti.

Il consenso al trattamento dei dati relativi alla salute per le finalità di competenza del Titolare è revocabile in qualsiasi momento, ferma restando la liceità del trattamento effettuato prima della revoca. La revoca del consenso determina l'impossibilità di proseguire il percorso di consulenza in corso.

I Suoi dati personali sono trattati per le seguenti finalità:

• a) Registrazione alla piattaforma, creazione e gestione dell'account personale (competenza: Come Stai s.r.l.).
• b) Assessment iniziale e assegnazione al professionista sanitario più idoneo in base alle informazioni da Lei fornite (competenza: Come Stai s.r.l.);
• c) Svolgimento delle sessioni di consulenza, gestione del diario clinico, conservazione della documentazione sanitaria e messaggistica con il professionista (competenza: contitolarità Come Stai s.r.l. e professionista sanitario);
• d) Adempimento degli obblighi contabili, fiscali e amministrativi connessi al rapporto contrattuale (fatturazione, pagamenti, registrazioni obbligatorie) (competenza: Come Stai s.r.l.);

La base giuridica dei trattamenti che precedono è così ripartita:

• per le finalità sub a) e b): esecuzione del contratto di cui Lei è parte, ai sensi dell'art. 6, par. 1, lett. b), del GDPR, per i dati comuni; consenso esplicito, ai sensi dell'art. 9, par. 2, lett. a), del GDPR, per i dati relativi alla salute trattati da Comestai nella fase di assessment e assegnazione;
• per la finalità sub c): esecuzione del contratto, ai sensi dell'art. 6, par. 1, lett. b), del GDPR, per i dati comuni; art. 9, par. 2, lett. h), e par. 3, del GDPR, in quanto trattamento necessario per finalità di diagnosi, assistenza o terapia sanitaria, sotto la responsabilità del professionista sanitario. Per tale finalità il professionista opera in contitolarità con Comestai ai sensi dell'art. 26 del GDPR e Le fornirà, al primo incontro, una propria informativa distinta concernente i trattamenti effettuati nell'ambito del rapporto professionale;
• per la finalità sub d): adempimento di obblighi legali in materia contabile, amministrativa e fiscale, ai sensi dell'art. 6, par. 1, lett. c), del GDPR.

e) Invio di comunicazioni relative a nuovi servizi, articoli, iniziative o eventi inerenti ai servizi della piattaforma, previo Suo specifico e distinto consenso ai sensi dell'art. 6, c. 1 lett. a) Reg. GDPR, revocabile in ogni momento (competenza: Come Stai s.r.l.);

f) Sicurezza informatica, prevenzione di accessi abusivi e tutela dell'integrità dei sistemi, sulla base del legittimo interesse del Titolare ai sensi dell'art. 6, par. 1, lett. f), del GDPR (competenza: Come Stai s.r.l.);

g) Adempimento di obblighi previsti dalla legge, da regolamenti o da ordini dell'autorità giudiziaria ai sensi dell'art. 6, c. 1 lett. c) Reg. GDPR (adempimento di un obbligo di legge).

Il trattamento è effettuato con modalità prevalentemente informatiche e telematiche, mediante strumenti idonei a garantire la sicurezza, la riservatezza e l'integrità dei dati.

La Società ha adottato misure tecniche e organizzative adeguate, tra cui:

• cifratura dei dati in transito;
• accesso ai dati relativi alla salute limitato ai soli professionisti sanitari che la hanno in carico, mediante autenticazione a più fattori;
• segregazione logica dei dati identificativi dai dati clinici, ove tecnicamente possibile;
• registrazione degli accessi ai dati sanitari (log di accesso);
• sistema di autenticazione multifattoriale (obbligatorio per operatori della Società e i professionisti sanitari, suggerito per gli utenti);
• procedure di disaster recovery e backup periodici.

La Società ha inoltre effettuato una valutazione d'impatto sulla protezione dei dati (DPIA) ai sensi dell'art. 35 del GDPR, trattandosi di un trattamento su larga scala di dati relativi alla salute che può presentare un rischio elevato per i diritti e le libertà degli interessati.

Il trattamento da parte del professionista sanitario avviene inoltre nel rispetto delle misure di garanzia di cui all'art. 2-septies del D.Lgs. 196/2003 e delle misure di sicurezza di cui all'art. 32 del GDPR.

Ciascun professionista sanitario che opera attraverso la piattaforma, in qualità di contitolare del trattamento per i dati trattati nell'ambito delle sessioni di consulenza, La informa che, al primo incontro, Le sarà resa una propria informativa distinta concernente i trattamenti di dati personali effettuati nell'ambito del rapporto professionale, ivi incluse le modalità di gestione della cartella clinica e i termini di conservazione previsti dalle norme deontologiche.

Il contenuto essenziale dell'accordo di contitolarità tra Come Stai s.r.l. e il professionista, unitamente ai riferimenti per contattarlo, Le saranno comunicati con la medesima informativa.

I dati raccolti per le finalità che precedono possono essere comunicati a soggetti che svolgono funzioni strettamente connesse e strumentali all'erogazione dei servizi della piattaforma, previamente nominati responsabili del trattamento ai sensi dell'art. 28 del GDPR: fornitori di servizi di hosting e infrastruttura cloud, fornitore del software gestionale, consulenti informatici, studio di consulenza contabile e fiscale, professionisti legali.

I professionisti sanitari che operano attraverso la piattaforma non sono responsabili del trattamento di Come Stai s.r.l., bensì contitolari ai sensi dell'art. 26 del GDPR, limitatamente ai trattamenti di rispettiva competenza.

Per adempiere a obblighi legali, i Suoi dati potranno essere comunicati ad Autorità ed Enti Pubblici competenti, che operano in qualità di titolari autonomi.

I dati non sono oggetto di diffusione né di comunicazione a soggetti terzi diversi da quelli sopra indicati, salvo Suo esplicito consenso o obbligo di legge.

I Suoi dati personali sono conservati su server ubicati all'interno dell'Unione Europea e non sono soggetti a trasferimenti verso paesi terzi.

Qualora, per specifiche esigenze tecniche o organizzative, si rendesse necessario un trasferimento extra-UE, la Società assicura che esso avverrà esclusivamente verso paesi che garantiscono un livello di protezione adeguato sulla base di una decisione di adeguatezza della Commissione Europea, oppure previa stipula delle Clausole Contrattuali Standard (SCC) ai sensi dell'art. 46 del GDPR, integrate da misure supplementari ove necessarie.

I Suoi dati personali sono conservati per il solo tempo necessario a dare seguito a ciascuna finalità:

• Dati anagrafici, di contatto e relativi ai pagamenti: per la durata del rapporto contrattuale e, successivamente, per il tempo necessario all'adempimento degli obblighi fiscali e contabili (10 anni) salvo ulteriori obblighi di legge;
• Dati relativi alla salute trattati da Come Stai s.r.l.: per tutta la durata del rapporto contrattuale e, successivamente, per un periodo non eccedente i 36 mesi dalla cessazione dello stesso, nel rispetto dei principi di minimizzazione e limitazione della conservazione di cui all'art. 5, par. 1, lett. c) ed e), del GDPR;
• Dati relativi alla salute trattati dal professionista sanitario (cartella clinica, diario delle sessioni): secondo quanto indicato nell'informativa resa dal professionista al primo incontro e in conformità alle norme deontologiche applicabili;
• Dati trattati per finalità di comunicazioni promozionali: fino alla revoca del consenso e, comunque, non oltre 24 mesi dall'ultima interazione con la Società.

Alla scadenza dei termini di conservazione, i dati sono cancellati o anonimizzati in modo irreversibile.

In relazione ai trattamenti descritti nella presente Informativa, in qualità di interessato, Lei potrà esercitare i diritti sanciti dagli articoli da 15 a 22 del Regolamento Europeo 2016/679 e, in particolare, i seguenti diritti:

• diritto di accesso – diritto di ottenere conferma che sia o meno in corso un trattamento di dati personali che La riguardano e, in tal caso, ottenere l'accesso ai Suoi dati personali;
• diritto di rettifica – diritto di ottenere, senza ingiustificato ritardo, la rettifica dei dati personali inesatti che La riguardano e/o l'integrazione dei dati personali incompleti;
• diritto alla cancellazione (diritto all'oblio) – diritto di ottenere, senza ingiustificato ritardo, la cancellazione dei dati personali che La riguardano. Il diritto alla cancellazione non si applica nella misura in cui il trattamento sia necessario per l'adempimento di un obbligo legale o per l'esecuzione di un compito svolto nel pubblico interesse o per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria;
• diritto di limitazione di trattamento – diritto di ottenere la limitazione del trattamento;
• diritto alla portabilità dei dati – diritto di ricevere, in un formato strutturato, di uso comune e leggibile da un dispositivo automatico, i dati personali che La riguardano e di fornirli ad altro Titolare;
• diritto di opposizione – diritto di opporsi al trattamento dei dati personali che La riguardano per motivi legati alla Sua situazione particolare e in ogni caso all'uso dei Suoi dati a fini di marketing;
• diritto a non essere sottoposto a un processo decisionale automatizzato – diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che La riguardano o che incida in modo analogo significativamente sulla Sua persona;
• diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali;
• diritto di revocare il consenso prestato in ogni occasione e con la stessa facilità con cui è stato fornito senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca.

Potrà agevolmente esercitare uno o tutti i precedenti diritti inviando una mail all'indirizzo privacy@comestai.com

Ai sensi dell'art. 26, paragrafo 3, del GDPR, Lei può esercitare i propri diritti nei confronti di e contro ciascun contitolare del trattamento, indipendentemente da quanto stabilito nell'accordo interno di contitolarità.

La presente informativa può essere soggetta a modifiche e aggiornamenti. La Società provvederà a pubblicare la versione aggiornata sulla piattaforma e, in caso di modifiche sostanziali, a darne comunicazione agli utenti registrati all'indirizzo e-mail fornito in fase di registrazione.