Informativa sul trattamento dei dati personali
MedYco – sito web e piattaforma digitale
Versione 1.0 – 1 settembre 2026
La presente informativa descrive come vengono trattati i dati personali degli utenti che visitano il sito MedYco e utilizzano la piattaforma MedYco, ai sensi degli articoli 12, 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”) e della normativa italiana applicabile.
1. Chi gestisce MedYco
MedYco è un servizio di: LAB421 SRL Via Monte Magno, 1 84020 Palomonte (SA) P. IVA 06050190658 di seguito anche “LAB421” o “MedYco”. Per le richieste relative alla protezione dei dati personali è possibile utilizzare i recapiti indicati nella sezione Contatti del sito MedYco oppure scrivere alla sede della società.
2. I diversi ruoli privacy all’interno di MedYco
MedYco consente agli utenti di entrare in contatto con professionisti sanitari e strutture sanitarie, prenotare prestazioni, effettuare prestazioni a distanza, scambiare comunicazioni e documentazione e utilizzare i servizi digitali messi a disposizione della piattaforma. A seconda del trattamento effettuato, LAB421 può operare con ruoli differenti. 2.1 LAB421 come Titolare del trattamento LAB421 opera come Titolare del trattamento per i dati trattati direttamente per le finalità proprie della piattaforma MedYco, tra cui: • navigazione del sito; • registrazione e gestione dell'account; • autenticazione; • gestione tecnica della piattaforma; • ricerca e selezione di strutture e professionisti; • prenotazione e gestione amministrativa degli appuntamenti; • gestione dei pagamenti effettuati tramite la piattaforma; • gestione di codici o voucher; • comunicazioni di servizio; • sicurezza informatica; • prevenzione di abusi e utilizzi fraudolenti; • assistenza tecnica; • gestione amministrativa e contabile; • adempimento di obblighi di legge; • tutela dei diritti di LAB421. Quando, per utilizzare tali funzioni, è necessario trattare informazioni relative alla salute dell'utente, si applicano anche le specifiche garanzie previste per le categorie particolari di dati personali. 2.2 Struttura sanitaria o professionista come Titolare del trattamento Quando MedYco viene utilizzato per l'erogazione di una prestazione sanitaria, il trattamento dei dati effettuato per finalità di prevenzione, diagnosi, assistenza, terapia, follow-up o comunque per finalità di cura è effettuato sotto la responsabilità del professionista sanitario o della struttura sanitaria che eroga la prestazione. In tali casi: • la struttura sanitaria, quando il professionista opera nell'ambito della struttura, oppure • il professionista sanitario, quando opera autonomamente, è Titolare del trattamento per le finalità sanitarie di propria competenza. LAB421 tratta tali informazioni quale fornitore tecnologico e, ove previsto, quale Responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base delle istruzioni ricevute dal Titolare sanitario. Il paziente può pertanto ricevere anche una specifica informativa privacy dalla struttura o dal professionista sanitario. MedYco non sostituisce il professionista sanitario e non assume decisioni cliniche, diagnostiche o terapeutiche nei confronti del paziente.
3. Dati trattati
A seconda delle funzioni utilizzate, MedYco può trattare le seguenti categorie di dati. 3.1 Dati identificativi e anagrafici Possono comprendere: • nome e cognome; • data di nascita; • sesso; • codice fiscale; • indirizzo di residenza; • città, CAP e provincia; • Paese di residenza. 3.2 Dati di contatto Possono comprendere: • indirizzo e-mail; • numero di telefono. 3.3 Dati relativi all'account Possono comprendere: • identificativo dell'utente; • credenziali e informazioni relative all'autenticazione; • stato dell'account; • preferenze; • lingua; • fuso orario; • informazioni relative alle sessioni; • verifiche di sicurezza e autenticazione a più fattori. Le password non sono conservate in chiaro. 3.4 Dati relativi alle prenotazioni Possono comprendere: • struttura selezionata; • professionista selezionato; • specializzazione; • data e ora dell'appuntamento; • tipologia di servizio; • stato della prenotazione; • eventuale motivo della richiesta; • codici o voucher utilizzati; • informazioni necessarie alla gestione dell'appuntamento. Alcune di queste informazioni possono, direttamente o indirettamente, rivelare informazioni relative alla salute dell'utente. 3.5 Dati relativi alla salute Nell'ambito dell'utilizzo dei servizi sanitari possono essere trattati, tra gli altri: • motivo della prestazione; • referti; • documentazione sanitaria; • risultati di esami; • immagini diagnostiche; • file in formato DICOM; • documenti caricati dal paziente o dal professionista; • informazioni contenute nelle comunicazioni tra paziente e professionista; • altre informazioni relative alla salute liberamente comunicate dall'utente o inserite dal professionista sanitario. MedYco invita gli utenti e i professionisti a non inserire informazioni non necessarie rispetto alla prestazione richiesta. 3.6 Comunicazioni Possono essere trattati: • messaggi tra paziente e professionista; • comunicazioni relative agli appuntamenti; • notifiche di servizio; • informazioni necessarie allo svolgimento delle prestazioni a distanza. Le sessioni audio/video non vengono registrate da MedYco salvo che una futura specifica funzione di registrazione venga attivata e comunicata preventivamente agli interessati. 3.7 Dati relativi ai pagamenti Possono essere trattati: • importo; • valuta; • stato del pagamento; • identificativi della transazione; • riferimento della prenotazione; • informazioni necessarie alla gestione amministrativa, contabile e fiscale. I dati completi degli strumenti di pagamento, come il numero completo della carta, non sono conservati direttamente da MedYco quando il pagamento viene gestito attraverso sistemi esterni dedicati. 3.8 Dati tecnici e di sicurezza Durante l'utilizzo del sito e della piattaforma possono essere raccolti automaticamente: • indirizzo IP; • data e ora di accesso; • informazioni sul browser e dispositivo; • user agent; • identificativi di sessione; • log di autenticazione; • log relativi alle operazioni effettuate; • informazioni necessarie alla sicurezza e diagnosi di anomalie.
4. Finalità e basi giuridiche
4.1 Navigazione del sito I dati tecnici strettamente necessari vengono trattati per: • consentire la navigazione; • garantire il funzionamento del sito; • prevenire abusi; • garantire la sicurezza informatica. Il trattamento si basa sull'esecuzione del servizio richiesto dall'utente e, ove applicabile, sul legittimo interesse di LAB421 a garantire sicurezza, integrità e corretto funzionamento dei propri sistemi. 4.2 Registrazione e gestione dell'account I dati vengono trattati per: • creare l'account; • autenticare l'utente; • consentire l'accesso ai servizi; • gestire il rapporto con MedYco; • fornire assistenza. La base giuridica è l'esecuzione del contratto o delle misure precontrattuali richieste dall'interessato ai sensi dell'art. 6, par. 1, lett. b) GDPR. 4.3 Ricerca, prenotazione e gestione delle prestazioni I dati vengono trattati per consentire all'utente di: • individuare una struttura o un professionista; • scegliere una prestazione; • prenotare; • modificare o gestire l'appuntamento; • utilizzare codici e voucher; • ricevere comunicazioni di servizio. Per i dati personali ordinari la base giuridica è l'art. 6, par. 1, lett. b) GDPR. Quando queste attività comportano il trattamento da parte di LAB421 di informazioni relative alla salute, viene richiesto, ove necessario, il consenso esplicito dell'interessato ai sensi dell'art. 9, par. 2, lett. a) GDPR. Il consenso può essere revocato in qualsiasi momento, senza pregiudicare la liceità dei trattamenti effettuati prima della revoca. La revoca potrebbe rendere impossibile utilizzare determinate funzioni della piattaforma che richiedono necessariamente il trattamento di dati relativi alla salute. 4.4 Prestazioni sanitarie I dati trattati dal professionista o dalla struttura per finalità di cura sono trattati sotto la responsabilità del relativo Titolare sanitario. Il professionista o la struttura determina le basi giuridiche applicabili al trattamento sanitario e, quando ne ricorrono le condizioni, può trattare i dati relativi alla salute per finalità di diagnosi, assistenza o terapia ai sensi dell'art. 9, par. 2, lett. h) GDPR e della normativa sanitaria applicabile. LAB421, quando opera quale Responsabile del trattamento, utilizza tali dati esclusivamente secondo le istruzioni del Titolare sanitario e per l'erogazione e gestione tecnica del servizio MedYco. 4.5 Pagamenti, amministrazione e contabilità I dati vengono trattati per: • gestire i pagamenti; • verificare l'esito delle transazioni; • gestire commissioni e rapporti economici; • adempiere agli obblighi amministrativi, contabili e fiscali. Le basi giuridiche sono l'esecuzione del contratto e l'adempimento degli obblighi di legge. 4.6 Sicurezza e prevenzione degli abusi I dati possono essere trattati per: • autenticazione; • protezione degli account; • prevenzione degli accessi abusivi; • individuazione di comportamenti anomali; • analisi di incidenti di sicurezza; • mantenimento di log e registri di sicurezza; • gestione di eventuali data breach. Il trattamento si basa sul legittimo interesse di LAB421 alla sicurezza dei sistemi e sull'adempimento degli obblighi previsti dalla normativa sulla protezione dei dati. 4.7 Tutela dei diritti I dati possono essere conservati e utilizzati nella misura necessaria per: • gestire reclami e contestazioni; • prevenire frodi; • esercitare o difendere un diritto; • rispondere alle richieste delle autorità. La base giuridica è il legittimo interesse di LAB421 alla tutela dei propri diritti e, ove applicabile, l'adempimento di obblighi di legge.
5. Accesso ai dati da parte del personale tecnico e amministrativo
Per garantire il corretto funzionamento di MedYco, personale specificamente autorizzato da LAB421 può avere accesso ai dati presenti nella piattaforma. In particolare, gli amministratori tecnici autorizzati possono accedere anche a documenti, referti, immagini diagnostiche, messaggi e altri contenuti relativi alla salute quando ciò è necessario per: • sviluppo e manutenzione del servizio; • verifica del corretto funzionamento; • controllo qualità; • test e validazione delle nuove versioni; • verifiche successive a modifiche software; • diagnosi e risoluzione di anomalie; • assistenza tecnica; • sicurezza informatica; • verifica dell'integrità, corretta visualizzazione, trasmissione e conservazione dei dati. Tali verifiche possono essere effettuate anche proattivamente, senza attendere la segnalazione di un problema da parte dell'utente, quando necessario per verificare il corretto funzionamento della piattaforma. Gli accessi ai dati clinici sono effettuati esclusivamente da soggetti autorizzati, tenuti alla riservatezza e nell'ambito delle mansioni loro attribuite. Le operazioni rilevanti di accesso ai sistemi e ai contenuti sono soggette a registrazione e controllo. I dati clinici ai quali il personale tecnico può accedere non possono essere utilizzati per finalità personali, commerciali, pubblicitarie, di profilazione, ricerca non autorizzata o per finalità diverse da quelle necessarie alla gestione del servizio.
6. Destinatari dei dati
I dati possono essere comunicati, nei limiti necessari alle rispettive funzioni, a: • professionisti sanitari; • strutture sanitarie; • personale autorizzato delle strutture; • personale autorizzato di LAB421; • fornitori di infrastrutture informatiche e hosting; • fornitori di servizi di comunicazione elettronica; • fornitori di sistemi di autenticazione e sicurezza; • fornitori di servizi di pagamento; • fornitori di strumenti necessari allo svolgimento delle prestazioni a distanza; • consulenti legali, fiscali e amministrativi, quando necessario; • soggetti incaricati di attività tecniche, manutenzione o sicurezza; • autorità pubbliche, giudiziarie o di controllo nei casi previsti dalla legge. I soggetti che trattano dati per conto di LAB421 sono, ove necessario, nominati Responsabili del trattamento ai sensi dell'art. 28 GDPR e sono vincolati da specifici obblighi contrattuali. L'elenco aggiornato delle categorie di Responsabili e sub-responsabili utilizzati da LAB421 è disponibile su richiesta. LAB421 non vende i dati personali degli utenti. I dati sanitari non vengono messi a disposizione di terzi per finalità pubblicitarie.
7. Trasferimenti di dati fuori dallo Spazio Economico Europeo
LAB421 privilegia, ove possibile, infrastrutture e servizi localizzati nello Spazio Economico Europeo. Alcuni servizi tecnici possono tuttavia comportare il trattamento o l'accesso a determinate informazioni da Paesi situati al di fuori dello Spazio Economico Europeo. In tali casi LAB421 verifica l'esistenza di una base legittima per il trasferimento ai sensi del Capo V del GDPR, attraverso, a seconda dei casi: • decisioni di adeguatezza della Commissione europea; • clausole contrattuali standard; • altri strumenti riconosciuti dal GDPR; • ulteriori misure tecniche e organizzative ove necessarie.
8. Conservazione dei dati
I dati vengono conservati per un periodo non superiore a quello necessario rispetto alle finalità per cui sono stati raccolti. In particolare: Dati dell'account Sono conservati per tutta la durata dell'account e successivamente per il periodo necessario a completare le operazioni di chiusura, adempiere agli obblighi di legge e tutelare eventuali diritti. Dati amministrativi, contabili e fiscali Sono conservati per i periodi previsti dalla normativa applicabile. Dati relativi alla salute trattati da LAB421 come Titolare Sono conservati per il tempo strettamente necessario alla finalità per cui sono stati raccolti e, quando il trattamento è fondato sul consenso, fino alla revoca dello stesso, salvo che sussista un'altra base giuridica che ne renda necessaria la conservazione. Dati clinici trattati per conto di strutture e professionisti Quando LAB421 agisce quale Responsabile del trattamento, i tempi di conservazione sono determinati dal professionista o dalla struttura sanitaria Titolare del trattamento, in funzione della natura della documentazione e degli obblighi previsti dalla normativa sanitaria applicabile. Log tecnici e di sicurezza I log vengono conservati per il tempo necessario a garantire sicurezza, accountability, diagnosi degli incidenti e tutela dei sistemi, normalmente per un periodo non superiore a 24 mesi, salvo necessità di ulteriore conservazione connesse a incidenti di sicurezza, indagini, contenziosi o obblighi di legge. Alla scadenza dei periodi di conservazione i dati vengono cancellati, anonimizzati o resi non più direttamente riconducibili all'interessato, ove appropriato.
9. Sicurezza
LAB421 adotta misure tecniche e organizzative finalizzate a garantire un livello di sicurezza adeguato al rischio. Le misure adottate comprendono, a seconda della tipologia di dato e sistema: • protezione delle comunicazioni mediante protocolli cifrati; • cifratura di determinate informazioni e documenti; • sistemi di autenticazione; • autenticazione a più fattori per i profili privilegiati; • separazione dei ruoli e controllo degli accessi; • registrazione delle operazioni rilevanti; • protezioni contro tentativi di accesso abusivo; • backup; • procedure di ripristino; • aggiornamento e manutenzione dei sistemi; • misure per la gestione degli incidenti di sicurezza. Nessun sistema informatico può garantire un rischio pari a zero; LAB421 mantiene pertanto le misure adottate sotto periodica revisione.
10. Comunicazioni e videocollegamenti
MedYco può consentire lo scambio di messaggi e lo svolgimento di collegamenti audio/video tra paziente e professionista sanitario. Le comunicazioni sono protette mediante misure tecniche adeguate. MedYco non utilizza il contenuto delle conversazioni per finalità pubblicitarie o di profilazione. Le sessioni audio/video non sono normalmente registrate. Eventuali future funzioni di registrazione saranno attivate solo dopo una specifica valutazione normativa e previa adeguata informazione degli interessati.
11. Processi automatizzati e intelligenza artificiale
MedYco non utilizza attualmente processi decisionali automatizzati destinati a prendere decisioni cliniche sul paziente. La piattaforma non formula autonomamente diagnosi, prescrizioni o raccomandazioni terapeutiche. Non viene effettuata profilazione sanitaria degli utenti per finalità pubblicitarie. Qualora in futuro vengano introdotte funzionalità che comportino trattamenti automatizzati ulteriori, la presente informativa sarà aggiornata e, ove necessario, saranno richieste specifiche autorizzazioni o consensi.
12. Cookie e tecnologie analoghe
Il sito e la piattaforma possono utilizzare cookie o strumenti tecnici strettamente necessari per: • autenticazione; • mantenimento della sessione; • sicurezza; • memorizzazione di preferenze tecniche; • corretto funzionamento del servizio. Tali strumenti non richiedono il consenso dell'utente quando sono strettamente necessari all'erogazione del servizio richiesto. MedYco non utilizza cookie di profilazione pubblicitaria senza il preventivo consenso dell'utente. Qualora vengano introdotti strumenti di analisi, profilazione o tracciamento che richiedano il consenso, verrà preventivamente aggiornato il sistema di gestione delle preferenze e la relativa informativa.
13. Conferimento dei dati
Il conferimento dei dati contrassegnati come obbligatori è necessario per utilizzare le relative funzioni della piattaforma. Il mancato conferimento può impedire: • la creazione dell'account; • la prenotazione; • il pagamento; • lo svolgimento della prestazione; • la gestione dei documenti; • l'utilizzo di determinate funzionalità. Le informazioni non necessarie sono facoltative.
14. Dati dei minori
Nella configurazione attuale il servizio MedYco è destinato a utenti maggiorenni. La registrazione autonoma e l'utilizzo del servizio sono pertanto riservati a persone che abbiano compiuto 18 anni. Eventuali future funzionalità rivolte ai minori saranno disciplinate attraverso specifiche procedure per la gestione del genitore, tutore o altro soggetto legittimato.
15. Diritti dell'interessato
Nei confronti di LAB421, per i trattamenti per i quali LAB421 opera come Titolare, l'interessato può esercitare, quando applicabili, i diritti previsti dagli artt. 15-22 GDPR, tra cui: • ottenere conferma dell'esistenza di dati personali che lo riguardano; • accedere ai propri dati; • ottenere la rettifica dei dati inesatti; • richiedere la cancellazione nei casi previsti dalla legge; • richiedere la limitazione del trattamento; • opporsi al trattamento nei casi previsti; • ricevere i dati in formato strutturato quando ricorrono i presupposti per la portabilità; • revocare il consenso in qualsiasi momento per i trattamenti fondati sul consenso. La revoca del consenso non pregiudica la liceità del trattamento effettuato prima della revoca. Il diritto alla cancellazione non è assoluto e può non trovare applicazione, ad esempio, quando la conservazione è necessaria per obblighi di legge, documentazione sanitaria, adempimenti fiscali o tutela di diritti. Per i trattamenti sanitari per i quali il Titolare è la struttura o il professionista, le richieste devono essere rivolte prioritariamente al relativo Titolare sanitario. Qualora LAB421 riceva una richiesta relativa a dati trattati esclusivamente quale Responsabile del trattamento, collaborerà con il Titolare competente secondo quanto previsto dall'art. 28 GDPR.
16. Reclamo al Garante
L'interessato che ritenga che il trattamento dei propri dati personali avvenga in violazione della normativa applicabile ha il diritto di proporre reclamo al: Garante per la protezione dei dati personali secondo le modalità pubblicate sul sito istituzionale dell'Autorità. Resta salvo il diritto dell'interessato di rivolgersi all'autorità giudiziaria competente.
17. Modifiche alla presente informativa
LAB421 può modificare la presente informativa per: • adeguarla a modifiche normative; • introdurre nuove funzionalità; • modificare l'organizzazione dei trattamenti; • migliorare la chiarezza delle informazioni fornite. La versione aggiornata sarà pubblicata sul sito e resa disponibile all'interno della piattaforma. Quando le modifiche incidono in maniera sostanziale sui trattamenti o richiedono un nuovo consenso, gli utenti saranno informati con modalità adeguate e, ove necessario, sarà richiesto nuovamente il consenso.
18. Versionamento e prova della presa visione
MedYco può registrare: • la versione dell'informativa resa disponibile; • la data e l'ora della presa visione; • la versione degli eventuali consensi espressi; • la data e l'ora del consenso o della relativa revoca. Tali informazioni vengono conservate per finalità di accountability e per dimostrare il rispetto degli obblighi previsti dalla normativa sulla protezione dei dati.