Informativa sulla privacy

Premessa

Noi, Pacsy GmbH, Puricellistraße 34, 93049 Regensburg (di seguito: «Pacsy», «noi» o «ci»), prendiamo sul serio la protezione dei Suoi dati personali. Pacsy è un sistema PACS in cloud (Picture Archiving and Communication System) che consente a studi medici, radiologi, poliambulatori (Medizinische Versorgungszentren, MVZ) e cliniche la gestione digitale e lo scambio sicuro di dati di immagini mediche. La presente informativa sulla privacy La informa sulle modalità con cui trattiamo i Suoi dati personali.

1. Definizioni

I «dati personali» (art. 4, n. 1, del regolamento (UE) 2016/679, regolamento generale sulla protezione dei dati, di seguito: «GDPR») sono tutte le informazioni relative a una persona fisica identificabile. Il «trattamento» (art. 4, n. 2, GDPR) è qualsiasi operazione relativa a dati personali. Il «titolare del trattamento» (art. 4, n. 7, GDPR) determina le finalità e i mezzi del trattamento. Il «responsabile del trattamento» (art. 4, n. 8, GDPR) tratta i dati per conto del titolare del trattamento.

2. Nome e indirizzo del titolare del trattamento

3. Responsabile della protezione dei dati (RPD)

4. Basi giuridiche del trattamento dei dati

• Art. 6, par. 1, primo comma, lett. a) GDPR: Consenso dell’interessato.
• Art. 6, par. 1, primo comma, lett. b) GDPR: Esecuzione di un contratto o di misure precontrattuali.
• Art. 6, par. 1, primo comma, lett. c) GDPR: Adempimento di un obbligo legale.
• Art. 6, par. 1, primo comma, lett. f) GDPR: Perseguimento del legittimo interesse del titolare del trattamento.
• Art. 9, par. 2, lett. a) GDPR: Consenso esplicito per i dati relativi alla salute.
• Art. 9, par. 2, lett. h) GDPR: Trattamento di dati relativi alla salute nell’ambito dell’assistenza sanitaria.

5. Cancellazione dei dati e periodo di conservazione

I Suoi dati personali vengono cancellati o bloccati non appena viene meno la finalità della conservazione, sempre che non vi ostino obblighi legali di conservazione (ad esempio § 257 del codice di commercio tedesco [Handelsgesetzbuch, HGB], § 147 del codice tributario tedesco [Abgabenordnung, AO]).

6. Sicurezza dei dati

Adottiamo misure di sicurezza tecniche e organizzative adeguate. L’applicazione Pacsy e tutti i dati di immagini mediche (DICOM) sono gestiti esclusivamente su server di Hetzner Online GmbH in Germania (Norimberga e Falkenstein, con certificazione ISO 27001). La posta elettronica è gestita su un server proprio presso RKOM Data Center 3, Keltenstraße 5, 93138 Lappersdorf. Tutti i server si trovano in Germania. La trasmissione dei dati avviene esclusivamente in forma cifrata (TLS). Gli account utente sono protetti mediante autenticazione a due fattori (2FA).

7. Pacsy come responsabile del trattamento

Nella misura in cui Pacsy conserva dati di immagini DICOM (dati relativi alla salute) per conto di studi medici, poliambulatori (MVZ) o cliniche, Pacsy agisce in qualità di responsabile del trattamento ai sensi dell’art. 28 GDPR. Il rispettivo studio resta titolare del trattamento. Con ciascuno studio viene stipulato un contratto per il trattamento dei dati per conto del titolare (Auftragsverarbeitungsvertrag, AVV). Per richieste sui propri dati relativi alla salute, i pazienti sono pregati di rivolgersi al proprio studio.

8. Collaborazione con responsabili del trattamento

Per la fornitura dei nostri servizi ci avvaliamo dei seguenti responsabili del trattamento:

Hetzner Online GmbH

Industriestraße 25, 91710 Gunzenhausen. Server principali per applicazione, database, dati di immagini DICOM e backup. Sedi: Norimberga e Falkenstein, Germania. Certificazione ISO 27001. Base giuridica: art. 6, par. 1, lett. b) e f) GDPR.

Server di posta elettronica proprio (Mailcow) – RKOM Data Center 3

Keltenstraße 5, 93138 Lappersdorf. Gestione del server di posta elettronica proprio per le e-mail rilevanti per il funzionamento del sistema, comprese le e-mail di condivisione delle immagini. Trattamento esclusivamente in Germania. Base giuridica: art. 6, par. 1, lett. b) e f) GDPR.

Spryng B.V.

Hannie Dankbaarpassage 20-B, 1053 RT Amsterdam, Paesi Bassi. Invio di SMS transazionali (ad esempio codici 2FA). Fornitore dell’UE, conforme al GDPR. Informativa sulla privacy: https://www.spryng.de/datenschutzerklaerung/ – Base giuridica: art. 6, par. 1, lett. b) e f) GDPR.

Functional Software Inc. (Sentry) / GlitchTip ospitato in proprio su Hetzner

Attualmente: Sentry, 45 Fremont St., San Francisco, CA 94105, USA (trasferimento verso un paese terzo con clausole contrattuali tipo dell’UE). Previsto: migrazione a GlitchTip ospitato in proprio su infrastruttura Hetzner in Germania; a quel punto verrà meno il trasferimento verso un paese terzo. Finalità: telemetria degli errori dell’app; nessun dato dei pazienti né contenuto DICOM. Base giuridica: art. 6, par. 1, lett. f) GDPR.

Expo Technology Inc. (notifiche push e aggiornamenti dell’app / EAS)

650 Castro St., Mountain View, CA 94041, USA. Notifiche push (Expo Push Service) e aggiornamenti dell’app over-the-air (EAS). Trasferimento verso un paese terzo con clausole contrattuali tipo dell’UE. Le notifiche push possono essere disattivate in qualsiasi momento nelle impostazioni del dispositivo. Informativa sulla privacy: https://expo.dev/privacy-explained – Base giuridica: art. 6, par. 1, lett. a) e f) GDPR.

Google LLC (Firebase Cloud Messaging – notifiche push su Android)

1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Notifiche push sui dispositivi Android. Trasferimento verso un paese terzo con clausole contrattuali tipo dell’UE. Informativa sulla privacy: https://cloud.google.com/terms/cloud-privacy-notice – Base giuridica: art. 6, par. 1, lett. a) e f) GDPR.

Apple Inc. (Apple Push Notification Service – notifiche push su iOS)

One Apple Park Way, Cupertino, CA 95014, USA. Notifiche push sui dispositivi iOS. Trasferimento verso un paese terzo ai sensi dell’art. 46 GDPR. Informativa sulla privacy: https://www.apple.com/legal/privacy/ – Base giuridica: art. 6, par. 1, lett. a) e f) GDPR.

9. I Suoi diritti in qualità di interessato

• Accesso (art. 15 GDPR)
• Rettifica dei dati inesatti (art. 16 GDPR)
• Cancellazione / diritto all’oblio (art. 17 GDPR)
• Limitazione del trattamento (art. 18 GDPR)
• Portabilità dei dati (art. 20 GDPR)
• Opposizione al trattamento (art. 21 GDPR)
• Revoca del consenso prestato (art. 7, par. 3, GDPR), senza effetti sul trattamento precedente
• Reclamo presso l’Ufficio bavarese per la vigilanza sulla protezione dei dati (Bayerisches Landesamt für Datenschutzaufsicht, BayLDA), Promenade 18, 91522 Ansbach, e-mail: poststelle@datenschutz-bayern.de

10. Nessun processo decisionale automatizzato

Non utilizziamo processi decisionali automatizzati, compresa la profilazione, ai sensi dell’art. 22 GDPR.

11. Modifiche alla presente informativa sulla privacy

Ci riserviamo il diritto di adeguare la presente informativa sulla privacy. La versione attuale è disponibile all’indirizzo https://pacsy.de/it/datenschutz. Aggiornamento: settembre 2026.

1. Visita al nostro sito web (pacsy.de)

a) File di log del server

Quando accede al nostro sito web, sui nostri server Hetzner (Germania) vengono memorizzati automaticamente dati di log: URL, referrer, data/ora, tipo di browser, sistema operativo, codice di stato HTTP, indirizzo IP anonimizzato. Base giuridica: art. 6, par. 1, lett. f) GDPR. Periodo di conservazione: 30 giorni.

b) Contatto tramite e-mail o modulo di contatto

I Suoi dati (nome, e-mail, contenuto del messaggio) vengono trattati sul nostro server di posta proprio (Mailcow) presso RKOM Data Center 3, Keltenstraße 5, 93138 Lappersdorf. Base giuridica: art. 6, par. 1, lett. b) o lett. f) GDPR. Se tramite i nostri moduli richiede una demo o un appuntamento in fiera, trattiamo i dati da Lei forniti (nome, struttura, ruolo, indirizzo e-mail e, se indicati, numero di telefono e messaggio) per gestire la Sua richiesta e contattarLa. I dati confluiscono nel nostro sistema proprio di gestione dei clienti; non vengono comunicati a terzi. La base giuridica è l’art. 6, par. 1, lett. b) GDPR. Se apre il modulo tramite un link di campagna, ad esempio da un annuncio, memorizziamo il relativo identificativo (ad esempio «bvou») insieme alla Sua richiesta, per capire da dove provengono le richieste (art. 6, par. 1, lett. f) GDPR). Un numero di iscrizione a un’associazione professionale, indicato per ottenere uno sconto riservato agli iscritti, viene da noi utilizzato solo per concedere lo sconto. Per le richieste relative a fiere memorizziamo la fiera scelta e i giorni da Lei preferiti come messaggio nel nostro sistema di gestione dei clienti. L’orario esatto viene concordato personalmente con Lei; la richiesta non comporta la prenotazione di alcun appuntamento. Le richieste di demo e di appuntamenti in fiera a cui non diamo seguito vengono cancellate al più tardi dopo 90 giorni.

c) Registrazione e account utente

Per utilizzare Pacsy è necessario un account utente. Raccogliamo: nome, e-mail, nome dello studio, telefono (facoltativo), password (cifrata). Procedura di double opt-in (doppia conferma). I dati vengono conservati su infrastruttura Hetzner in Germania. Base giuridica: art. 6, par. 1, lett. b) GDPR.

2. Utilizzo dell’app Pacsy

a) Accesso alla fotocamera

Con il Suo consenso, l’app può accedere alla fotocamera (ad esempio codici QR). Le immagini acquisite vengono trattate solo localmente. Base giuridica: art. 6, par. 1, lett. a) GDPR. Revoca possibile in qualsiasi momento nelle impostazioni del dispositivo.

b) Telemetria degli errori (crash reporting)

In caso di errori tecnici vengono rilevati dati di telemetria: messaggio di errore, versione dell’app, versione del sistema operativo, ID di sessione anonimizzato, marca temporale. In questo contesto non vengono trasmessi dati dei pazienti né contenuti DICOM. Attualmente: Sentry (USA, clausole contrattuali tipo dell’UE). Previsto: migrazione a GlitchTip ospitato in proprio su Hetzner in Germania. Base giuridica: art. 6, par. 1, lett. f) GDPR. Periodo di conservazione: 90 giorni.

c) Notifiche push

Con il consenso inviamo notifiche push tramite Expo Push Service (USA). A seconda del dispositivo viene integrato Firebase Cloud Messaging (Android, Google LLC, USA) o Apple Push Notification Service (iOS, Apple Inc., USA). Trasferimento verso un paese terzo con clausole contrattuali tipo dell’UE o, rispettivamente, ai sensi dell’art. 46 GDPR. Disattivazione possibile in qualsiasi momento nelle impostazioni del dispositivo. Base giuridica: art. 6, par. 1, lett. a) GDPR.

d) Aggiornamenti dell’app (over-the-air tramite EAS)

L’app può ricevere aggiornamenti tramite Expo EAS (USA). Trasmissione: dati tecnici del dispositivo (versione dell’app, piattaforma); nessun dato degli utenti o dei pazienti. Trasferimento verso un paese terzo con clausole contrattuali tipo dell’UE. Base giuridica: art. 6, par. 1, lett. b) e f) GDPR.

e) Trattamento di dati di immagini mediche (DICOM)

I dati di immagini DICOM sono dati relativi alla salute ai sensi dell’art. 9 GDPR. Pacsy li tratta esclusivamente in qualità di responsabile del trattamento per conto del rispettivo studio. I dati DICOM sono conservati esclusivamente su server di Hetzner Online GmbH in Germania (Norimberga e Falkenstein). Non ha luogo alcun trattamento al di fuori della Germania. Base giuridica: art. 9, par. 2, lett. h) GDPR in combinato disposto con l’art. 28 GDPR.

f) Condivisione delle immagini via e-mail

Pacsy consente agli studi di trasmettere dati di immagini via e-mail ai pazienti o a destinatari autorizzati. Questa funzione viene attivata esclusivamente dallo studio in qualità di titolare del trattamento. L’invio avviene tramite il server di posta proprio (Mailcow) presso RKOM Data Center 3, 93138 Lappersdorf. Base giuridica a livello di studio: art. 9, par. 2, lett. a) o lett. h) GDPR.

3. Notifiche via SMS

Per gli SMS transazionali (ad esempio codici 2FA) ci avvaliamo di Spryng B.V., Hannie Dankbaarpassage 20-B, 1053 RT Amsterdam, Paesi Bassi. Fornitore dell’UE, conforme al GDPR. Base giuridica: art. 6, par. 1, lett. b) e f) GDPR.

4. Cookie e consenso

I cookie tecnicamente necessari e le tecnologie di memorizzazione analoghe sono da noi utilizzati senza consenso, nella misura in cui sono indispensabili per il funzionamento del sito web. Ciò comprende la memorizzazione della Sua scelta nel banner dei cookie da parte della piattaforma di gestione del consenso Usercentrics (Usercentrics GmbH, Sendlinger Str. 7, 80331 München). Base giuridica: § 25, comma 2, n. 2, della legge tedesca sulla protezione dei dati nelle telecomunicazioni e nei servizi digitali (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, TDDDG), art. 6, par. 1, lett. f) GDPR. Altri servizi vengono caricati solo se Lei presta il consenso nel banner dei cookie: Google Tag Manager, tramite il quale vengono integrati i servizi seguenti, Google Analytics per l’analisi statistica dell’utilizzo del nostro sito web, nonché Google Ads con Conversion Linker e DoubleClick per misurare se un annuncio ha portato a una richiesta. Il fornitore è Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda. In tale contesto i dati possono essere trasferiti negli USA; Google LLC è certificata ai sensi dell’EU-US Data Privacy Framework (quadro UE-USA per la protezione dei dati personali; art. 45 GDPR). Base giuridica: § 25, comma 1, TDDDG, art. 6, par. 1, lett. a) GDPR. Può modificare o revocare il Suo consenso in qualsiasi momento tramite «Impostazioni cookie» nel piè di pagina del sito web. Lì troverà anche il periodo di conservazione dei singoli cookie.

5. Presenza sui social media

Pacsy è presente su Instagram e Facebook (Meta Platforms Ireland Ltd.). Alle Sue interazioni si applicano le rispettive informative sulla privacy.

Contatto per richieste in materia di protezione dei dati