Informativa sul trattamento dei dati personali

1. Titolare del trattamento

Il titolare del trattamento è COROSSANO MEDICAL HOUSE – Società a responsabilità limitata semplificata (di seguito «Centro» o «Titolare»), che gestisce il Centro con l'insegna Medical House, in persona dell'Amministratrice Unica e legale rappresentante pro tempore.

• Sede legale: Viale Sant'Angelo snc, 87064 Corigliano-Rossano (CS), frazione Rossano
• Sede operativa del Centro: Presso Centro Commerciale Sant'Angelo (1° piano), Viale Sant'Angelo, 87064 Rossano Stazione – Corigliano-Rossano (CS)
• Codice fiscale e Partita IVA: 03580970782 · REA CS-245188
• PEC: corossano@pec.it · Email: info@medicalhouse.it
• Telefono: 334 818 1512 · 0983 201886

2. Responsabile della protezione dei dati (RPD/DPO)

Per qualsiasi questione relativa al trattamento dei tuoi dati personali e all'esercizio dei tuoi diritti puoi rivolgerti direttamente al Titolare ai recapiti indicati al punto 1. Eventuali designazioni di un Responsabile della protezione dei dati (artt. 37-39 GDPR) saranno pubblicate in questa sezione.

3. A cosa si applica questa informativa

Questa informativa riguarda i dati personali trattati attraverso il sito www.medicalhouse.it e i servizi collegati:

• la richiesta di essere ricontattato inviata con i moduli del sito;
• la successiva gestione organizzativa dell'appuntamento da parte della segreteria (agenda, conferme, spostamenti, disdette);
• i contatti che ci rivolgi per telefono, email, PEC o WhatsApp;
• la navigazione sul sito, inclusi cookie e strumenti di tracciamento, descritti nel dettaglio nella cookie policy.

Il trattamento dei dati relativi alla salute connesso alle prestazioni sanitarie (visita, esami, referti, documentazione clinica) è oggetto di un'informativa specifica che ti viene fornita presso il Centro al momento dell'accettazione, anche in forma semplificata secondo gli artt. 77-82 del Codice privacy e il Provvedimento del Garante n. 55 del 7 marzo 2019. Tale informativa indica anche il ruolo del medico specialista che esegue la prestazione.

4. Quali dati trattiamo

a) Dati che ci fornisci con il modulo di ricontatto

Nome e cognome, numero di telefono, indirizzo email (facoltativo), fascia oraria preferita per essere richiamato, consenso facoltativo alle comunicazioni informative. Registriamo inoltre la pagina del sito da cui invii la richiesta, la provenienza della visita (ad esempio motore di ricerca, social network o campagna informativa) e la versione dell'informativa che hai accettato, per poter dimostrare il consenso come richiesto dall'art. 7 GDPR.

b) Dati che possono rivelare informazioni sulla salute

Il sito non ti chiede informazioni sulla tua salute e ti invitiamo a non inserirne. Tuttavia la specialistica dalla cui pagina invii la richiesta può far supporre un interesse per un determinato ambito sanitario. Per questo, in linea con la sentenza della Corte di giustizia UE del 4 ottobre 2024, causa C-21/23 (Lindenapotheke), trattiamo questa informazione con le tutele previste per le categorie particolari di dati (art. 9 GDPR; art. 2-septies Codice privacy): chiediamo il tuo consenso esplicito, la usiamo solo per organizzare la richiamata e non la comunichiamo mai alle piattaforme pubblicitarie.

c) Dati per la gestione degli appuntamenti

Quando fissi un appuntamento la segreteria registra nome e cognome del paziente, recapiti, medico e specialistica, data e ora, motivo sintetico della visita e note organizzative. Se l'appuntamento è richiesto da un familiare o da un'altra persona per conto del paziente, i dati del paziente ci vengono forniti da chi effettua la richiesta (art. 14 GDPR): in questo caso l'informativa viene resa al paziente al primo contatto utile e comunque all'accettazione.

d) Dati di navigazione

• Log tecnici: i server che distribuiscono il sito registrano, come avviene per qualsiasi sito web, indirizzo IP, data e ora, pagina richiesta e tipo di browser, per garantirne il funzionamento e la sicurezza.
• Misure antiabuso: per proteggere i moduli da invii automatici e abusi, il nostro server calcola un codice derivato dall'indirizzo IP con una funzione crittografica (SHA-256) e un «sale» segreto che cambia ogni giorno. L'indirizzo IP non viene mai salvato in chiaro e il codice non permette di collegare tra loro giorni diversi.
• Statistiche anonime: conteggi aggregati di pagine viste e clic sui pulsanti di contatto, senza identificatori, senza indirizzo IP e senza incroci con altre fonti.
• Statistiche pseudonime, solo con consenso: un identificativo casuale associato al browser ci permette di riconoscere le visite di ritorno e il percorso tra le pagine.
• Dati raccolti da servizi di terze parti (mappa, Google Analytics, strumenti pubblicitari), solo con consenso: vedi la cookie policy.

e) Comunicazioni

Se ci scrivi per email, PEC o WhatsApp trattiamo i dati contenuti nel messaggio per risponderti. Quando usi WhatsApp, il servizio è fornito da WhatsApp Ireland Limited, che tratta i dati come titolare autonomo secondo la propria informativa.

5. Finalità, basi giuridiche e tempi di conservazione

Al termine dei periodi indicati i dati vengono cancellati o resi anonimi in modo irreversibile. Le procedure di cancellazione delle richieste di contatto, del registro modifiche, delle statistiche e dei backup sono automatiche.

6. Obbligatorietà del conferimento

Il conferimento dei dati richiesti nel modulo (nome, telefono e consenso al trattamento) è necessario per poterti richiamare: senza questi dati non possiamo dare seguito alla richiesta, ma puoi sempre telefonarci direttamente. Il consenso alle comunicazioni informative, alle statistiche pseudonime, alla mappa e agli strumenti pubblicitari è del tutto facoltativo: se non lo dai, o se lo revochi, non c'è alcuna conseguenza sulla possibilità di prenotare e ricevere le prestazioni. La revoca non pregiudica la liceità del trattamento svolto prima (art. 7.3 GDPR).

7. Modalità del trattamento e misure di sicurezza

I dati sono trattati con strumenti elettronici e, presso il Centro, anche cartacei, secondo i principi di liceità, correttezza, trasparenza, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza (art. 5 GDPR), con misure tecniche e organizzative adeguate al rischio (artt. 25 e 32 GDPR), tra cui:

• connessioni cifrate HTTPS con HSTS e politica di sicurezza dei contenuti (CSP) che impedisce l'esecuzione di codice non autorizzato;
• database ospitato nell'Unione Europea (Francoforte, Germania), cifrato a riposo, con controllo degli accessi riga per riga (Row Level Security): senza autorizzazione nessun dato è leggibile;
• area riservata accessibile solo al personale autorizzato, con autenticazione a due fattori obbligatoria; nessuna possibilità di registrazione o accesso per i visitatori;
• registro delle modifiche che traccia ogni creazione, modifica e cancellazione dei dati;
• backup giornalieri conservati 30 giorni, scaricabili solo con una password dedicata verificata sul server e con blocco dopo tentativi errati;
• notifiche email al personale prive di dati personali dei richiedenti;
• indirizzi IP mai memorizzati in chiaro e limiti di frequenza contro invii automatici;
• autorizzazione e istruzione del personale che tratta i dati (art. 29 GDPR; art. 2-quaterdecies Codice privacy) e vincolo di riservatezza.

I dati relativi alla salute non sono mai diffusi (art. 2-septies, c. 8, Codice privacy).

8. Destinatari dei dati

I dati sono trattati dal personale del Centro autorizzato e, per quanto necessario all'appuntamento, dal medico specialista che esegue la prestazione. Possono inoltre venirne a conoscenza:

• fornitori che agiscono come responsabili del trattamento (art. 28 GDPR), vincolati da contratto:
  • Supabase Pte. Ltd. (Singapore), con il supporto di Supabase, Inc. (USA): database, area riservata e backup, ospitati nella regione UE di Francoforte;
  • Netlify, Inc. (USA): pubblicazione e distribuzione del sito e relativi log tecnici;
  • Plus Five Five, Inc. – Resend (USA): invio delle email di notifica al personale, che non contengono i dati dei richiedenti;
  • consulenti e fornitori di servizi amministrativi, contabili, informatici e legali, quando necessario.
• titolari autonomi: autorità pubbliche e amministrazione finanziaria nei casi previsti dalla legge; Google, Meta, TikTok e Microsoft per i trattamenti successivi alla raccolta tramite i loro strumenti, solo se hai dato il consenso; WhatsApp Ireland Limited se ci contatti con WhatsApp.

L'elenco aggiornato dei responsabili del trattamento è disponibile su richiesta. I dati non sono venduti né ceduti a terzi per loro finalità commerciali.

9. Trasferimenti fuori dallo Spazio Economico Europeo

Il database e i backup restano nell'Unione Europea. Alcuni fornitori hanno sede o personale fuori dallo Spazio Economico Europeo; in questi casi il trasferimento avviene solo con le garanzie previste dal Capo V del GDPR:

• verso gli Stati Uniti, nei confronti delle organizzazioni certificate, sulla base della decisione di adeguatezza della Commissione (UE) 2023/1795 del 10 luglio 2023 sull'EU-U.S. Data Privacy Framework (art. 45 GDPR), confermata dal Tribunale dell'Unione Europea con sentenza del 3 settembre 2025, causa T-553/23 (è pendente l'impugnazione, causa C-703/25 P). Questo vale per Netlify, Resend, Google, Meta e Microsoft, che adottano anche le clausole contrattuali standard come garanzia alternativa;
• verso altri Paesi (ad esempio Singapore per Supabase, e i Paesi indicati da TikTok), sulla base delle clausole contrattuali standard approvate con decisione di esecuzione (UE) 2021/914 (art. 46.2.c GDPR) e delle misure supplementari indicate dai fornitori.

Puoi chiedere copia delle garanzie adottate scrivendo ai recapiti del punto 1.

10. I tuoi diritti e come esercitarli

In qualsiasi momento, gratuitamente, puoi esercitare i diritti previsti dagli artt. 15-22 GDPR:

• accesso (art. 15): sapere se trattiamo tuoi dati e riceverne copia con le relative informazioni;
• rettifica (art. 16) dei dati inesatti e integrazione di quelli incompleti;
• cancellazione (art. 17), salvo che la conservazione sia necessaria per obblighi di legge o per la difesa di un diritto;
• limitazione del trattamento (art. 18), ad esempio mentre verifichiamo una tua contestazione;
• portabilità (art. 20): ricevere in formato strutturato i dati trattati sulla base del consenso o del contratto con mezzi automatizzati;
• opposizione (art. 21) ai trattamenti basati sul legittimo interesse e, sempre e senza motivazione, a quelli con finalità di comunicazione informativa o promozionale;
• revoca del consenso (art. 7.3) in qualsiasi momento: per i cookie da «Preferenze cookie» in fondo a ogni pagina, per le comunicazioni rispondendo al messaggio o scrivendoci.

Per esercitarli scrivi a info@medicalhouse.it o via PEC a corossano@pec.it. Risponderemo senza ingiustificato ritardo e comunque entro un mese, prorogabile di due mesi nei casi complessi, dandotene notizia (art. 12 GDPR). Potremo chiederti informazioni utili a verificare la tua identità. Comunicheremo le rettifiche, cancellazioni e limitazioni ai destinatari a cui i dati sono stati trasmessi (art. 19 GDPR).

I diritti riferiti ai dati di una persona deceduta possono essere esercitati da chi ha un interesse proprio, agisce a tutela dell'interessato in qualità di suo mandatario o per ragioni familiari meritevoli di protezione (art. 2-terdecies Codice privacy).

Reclamo. Se ritieni che il trattamento violi la normativa puoi proporre reclamo al Garante per la protezione dei dati personali (art. 77 GDPR; artt. 140-bis e seguenti Codice privacy): Piazza Venezia 11, 00187 Roma · tel. +39 06 696771 · protocollo@gpdp.it · PEC protocollo@pec.gpdp.it · modalità di presentazione. Puoi inoltre ricorrere all'autorità giudiziaria (art. 79 GDPR) e chiedere il risarcimento dell'eventuale danno (art. 82 GDPR).

11. Minori

Il consenso ai servizi del sito che lo richiedono può essere prestato autonomamente da chi ha compiuto 14 anni (art. 8 GDPR; art. 2-quinquies Codice privacy). Per un minore di 14 anni la richiesta di ricontatto e ogni consenso devono provenire da chi esercita la responsabilità genitoriale o dal tutore. Il consenso alle prestazioni sanitarie del minore è espresso dai genitori o dal tutore secondo la legge 22 dicembre 2017 n. 219 (art. 3), tenendo conto della volontà del minore in relazione alla sua età e maturità.

12. Decisioni automatizzate

Non adottiamo decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione, che producano effetti giuridici o incidano in modo significativo sulla tua persona (art. 22 GDPR). Ogni richiesta di contatto è gestita da una persona della segreteria.

13. Violazioni dei dati

In caso di violazione dei dati personali il Titolare la documenta, la notifica al Garante entro 72 ore da quando ne è venuto a conoscenza, salvo che sia improbabile che presenti un rischio per i diritti delle persone, e la comunica senza ingiustificato ritardo agli interessati quando il rischio è elevato (artt. 33 e 34 GDPR; Provv. Garante n. 209 del 27 maggio 2021).

14. Modifiche all'informativa

Questa informativa può essere aggiornata per modifiche normative, organizzative o dei servizi utilizzati. La versione in vigore è sempre pubblicata in questa pagina con la data di aggiornamento; ogni richiesta di contatto registra la versione accettata. Se le modifiche riguardano trattamenti basati sul consenso, ti chiederemo nuovamente il consenso.

15. Riferimenti normativi

• Regolamento (UE) 2016/679 (GDPR), in particolare artt. 4-9, 12-22, 24-28, 32-34, 37-39, 44-49, 77-82.
• D.Lgs. 30 giugno 2003 n. 196 (Codice in materia di protezione dei dati personali), come modificato dal D.Lgs. 10 agosto 2018 n. 101, in particolare artt. 2-quinquies, 2-septies, 2-terdecies, 2-quaterdecies, 75, 77-82, 122, 130.
• Direttiva 2002/58/CE (ePrivacy), art. 5.3.
• Garante privacy: Provvedimento n. 55 del 7 marzo 2019 sul trattamento dei dati relativi alla salute in ambito sanitario (doc. web 9091942); Linee guida cookie e altri strumenti di tracciamento, Provv. n. 231 del 10 giugno 2021 (doc. web 9677876); Provv. n. 209 del 27 maggio 2021 sulla notifica delle violazioni.
• Comitato europeo per la protezione dei dati (EDPB): Linee guida 05/2020 sul consenso; 8/2020 sul targeting degli utenti dei social media; 2/2023 sull'ambito tecnico dell'art. 5.3 della direttiva ePrivacy.
• Corte di giustizia UE: C-40/17 Fashion ID (29/7/2019); C-673/17 Planet49 (1/10/2019); C-252/21 Meta Platforms (4/7/2023); C-21/23 Lindenapotheke (4/10/2024).
• Decisione di esecuzione (UE) 2023/1795 (EU-U.S. Data Privacy Framework); Decisione di esecuzione (UE) 2021/914 (clausole contrattuali standard).
• Legge 8 marzo 2017 n. 24 (sicurezza delle cure e responsabilità professionale); Legge 22 dicembre 2017 n. 219 (consenso informato).

Informativa versione 2026-10-17, aggiornata il 17 ottobre 2026. Titolare: Corossano Medical House S.r.l.s. – P.IVA 03580970782.