Informativa sulla Privacy

1. Titolare del Trattamento

Per ogni comunicazione relativa alla protezione dei dati personali è possibile scrivere a: privacy@aifarmadesk.it.

Responsabile della Protezione dei Dati (DPO): ai sensi dell'art. 37 del GDPR, è stato nominato un Data Protection Officer contattabile ai seguenti recapiti:
Email: dpo@aifarmadesk.it
Il DPO è disponibile per ogni comunicazione relativa al trattamento dei dati personali e all'esercizio dei diritti previsti dal GDPR. Maggiori informazioni →

2. Categorie di Dati Personali Trattati

Il Titolare tratta le seguenti categorie di dati personali ai sensi degli artt. 13(1)(c) e 14(1)(d) del GDPR:

• Dati identificativi e di contatto: nome e cognome del titolare/legale rappresentante della farmacia, denominazione farmacia, indirizzo, email, PEC, numero di telefono, partita IVA, codice fiscale.
• Dati di autenticazione: email, password (conservata esclusivamente in forma di hash crittografico bcrypt), eventuale secondo fattore di autenticazione (TOTP).
• Dati di fatturazione: piano di abbonamento sottoscritto, storico dei pagamenti, dati della carta di pagamento (gestiti integralmente da Stripe Inc. in qualità di Responsabile del trattamento — Stripe non condivide con Farmadesk i dati completi della carta).
• Dati tecnici di navigazione: indirizzo IP, tipo e versione del browser (user agent), sistema operativo, data e ora di accesso, pagine visitate, durata della sessione.
• Dati di utilizzo della piattaforma: operazioni effettuate nei moduli (posta, automazioni mail, store builder), log delle azioni per audit trail.
• Dati della farmacia: tipologia (farmacia/parafarmacia), numero di autorizzazione per vendita online, dati di configurazione della vetrina online.

Dati particolari (art. 9 GDPR - categorie particolari): Farmadesk non richiede né tratta consapevolmente dati relativi alla salute, all'origine razziale o etnica, alle opinioni politiche, alle convinzioni religiose o filosofiche, all'appartenenza sindacale, a dati genetici, biometrici o relativi alla vita sessuale degli utenti della piattaforma SaaS.

Nota importante per Store Builder Farmacie: I dati dei clienti finali delle farmacie che utilizzano la vetrina online (inclusi eventuali dati sanitari desumibili dagli acquisti di farmaci) sono trattati da Farmadesk S.r.l. in qualità di Responsabile del trattamento ex art. 28 GDPR, mentre la Farmacia Aderente è l'unicoTitolare del trattamento con piena responsabilità della conformità GDPR. La farmacia deve ottenere il consenso esplicito dei clienti ai sensi dell'art. 9(2)(a) GDPR per il trattamento di dati sanitari. Vedi Sezione 15 per dettagli.

3. Finalità e Base Giuridica del Trattamento

4. Modalità del Trattamento

I dati personali sono trattati con strumenti informatici e telematici, con logiche strettamente connesse alle finalità indicate e, comunque, in modo da garantire la sicurezza e la riservatezza dei dati stessi, nel rispetto delle misure organizzative, fisiche e logiche previste dalle disposizioni vigenti.

5. Misure di Sicurezza (art. 32 GDPR)

Il Titolare adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza proporzionato al rischio, tra cui:

• Crittografia dei dati a riposo (AES-256-GCM) e in transito (TLS 1.2+).
• Hashing delle password con algoritmo bcrypt (costo 12).
• Autenticazione a due fattori (2FA/TOTP) disponibile per tutti gli utenti.
• Protezione CSRF (Cross-Site Request Forgery) e rate limiting sugli endpoint critici.
• Backup giornalieri automatizzati con retention di 30 giorni.
• Audit trail immutabile con conservazione minima di 5 anni.
• Controllo degli accessi basato su ruoli (RBAC).
• Monitoraggio continuo dell'infrastruttura e alerting automatico.

6. Periodo di Conservazione dei Dati (art. 13(2)(a) GDPR)

• Dati dell'account: per tutta la durata del rapporto contrattuale e per 12 mesi successivi alla cancellazione dell'account (per consentire eventuale riattivazione e per adempimenti di legge).
• Documenti fiscali e contabili: 10 anni dalla data di registrazione (art. 2220 c.c.; art. 43 D.P.R. 600/73; art. 57 D.P.R. 633/72).
• Log di sicurezza e audit trail: 5 anni.
• Dati tecnici di navigazione: 6 mesi, conformemente al principio di limitazione della conservazione (art. 5(1)(e) GDPR) e al Provvedimento del Garante sugli amministratori di sistema del 27 novembre 2008 (doc. web n. 1577499, come modificato il 25 giugno 2009). In caso di accertamento di illeciti, i dati potranno essere conservati per il tempo necessario alla tutela dei diritti del Titolare in sede giudiziaria.
• Dati per finalità di marketing: fino alla revoca del consenso o, in assenza di revoca, per 24 mesi dall'ultimo contatto attivo.

Decorsi i termini di conservazione, i dati personali vengono cancellati o resi anonimi in modo irreversibile.

7. Destinatari e Comunicazione dei Dati (art. 13(1)(e) GDPR)

I dati personali possono essere comunicati a:

• Stripe Inc. (responsabile del trattamento ex art. 28 GDPR): per l'elaborazione dei pagamenti.
• Provider di hosting (Hostinger International Ltd.): per l'erogazione dell'infrastruttura server, con sede in UE.
• Autorità competenti: ove richiesto dalla legge (Agenzia delle Entrate, Guardia di Finanza, Autorità Giudiziaria).
• Consulenti professionali: commercialisti, legali e revisori, limitatamente ai dati strettamente necessari, vincolati da obbligo di riservatezza.

I dati personali non vengono venduti a terzi né utilizzati per profilazione o decisioni automatizzate con effetti giuridici o significativi (art. 22 GDPR).

8. Trasferimento dei Dati verso Paesi Terzi (artt. 44-49 GDPR)

I dati personali sono conservati su server situati nell'Unione Europea. Stripe Inc. può trasferire dati negli Stati Uniti sulla base del Data Privacy Framework (DPF) UE-USA (decisione di adeguatezza della Commissione Europea del 10 luglio 2023) e delle Clausole Contrattuali Standard (SCC) come garanzia supplementare ai sensi dell'art. 46(2)(c) GDPR. Nessun altro trasferimento di dati verso paesi terzi viene effettuato.

9. Diritti dell'Interessato (artt. 15-22 GDPR)

In qualità di interessato, l'utente ha diritto di:

• Accesso (art. 15): ottenere conferma dell'esistenza del trattamento e copia dei dati personali.
• Rettifica (art. 16): ottenere la correzione di dati inesatti o l'integrazione di dati incompleti.
• Cancellazione (art. 17): ottenere la cancellazione dei dati ("diritto all'oblio"), salvo che sussista un obbligo legale di conservazione.
• Limitazione (art. 18): ottenere la limitazione del trattamento nei casi previsti dalla legge.
• Portabilità (art. 20): ricevere i dati in formato strutturato, di uso comune e leggibile da dispositivo automatico (JSON, CSV), e trasmetterli a un altro titolare.
• Opposizione (art. 21): opporsi al trattamento basato sull'interesse legittimo, inclusa la profilazione.
• Revoca del consenso (art. 7(3)): revocare in qualsiasi momento il consenso prestato, senza pregiudizio per la liceità del trattamento anteriore alla revoca.
• Non essere sottoposto a decisioni automatizzate (art. 22): Farmadesk non effettua processi decisionali automatizzati con effetti giuridici sull'interessato.

10. Modalità di Esercizio dei Diritti

Le richieste possono essere inviate a:

• Email: privacy@aifarmadesk.it
• PEC: farmadesk@pec.it
• Posta raccomandata: Farmadesk S.r.l., Via Roma 1, 20100 Milano (MI)

Il Titolare fornisce riscontro entro 30 giorni dal ricevimento della richiesta (art. 12(3) GDPR), prorogabili di ulteriori 60 giorni in caso di complessità o numerosità delle richieste, previa comunicazione motivata. L'esercizio dei diritti è gratuito, salvo richieste manifestamente infondate o eccessive (art. 12(5) GDPR).

11. Diritto di Reclamo (art. 77 GDPR)

Qualora l'interessato ritenga che il trattamento dei propri dati personali avvenga in violazione del GDPR, ha diritto di proporre reclamo all'Autorità di controllo competente:

12. Violazione dei Dati Personali (Data Breach — artt. 33-34 GDPR)

In caso di violazione dei dati personali che presenti un rischio per i diritti e le libertà degli interessati, il Titolare provvede a:

• Notificare la violazione al Garante entro 72 ore dalla scoperta (art. 33).
• Comunicare la violazione agli interessati senza ingiustificato ritardo, qualora il rischio sia elevato (art. 34).
• Documentare ogni violazione, i suoi effetti e le misure correttive adottate.

13. Cookie

La piattaforma utilizza esclusivamente cookie tecnici strettamente necessari per l'autenticazione dell'utente e il corretto funzionamento del servizio (art. 122 D.Lgs. 196/2003; Linee guida del Garante del 10 giugno 2021). Non vengono utilizzati cookie di profilazione, cookie analitici di terze parti o strumenti di tracciamento pubblicitario. Per tali cookie tecnici non è richiesto il consenso dell'utente.

14. Natura del Conferimento dei Dati

Il conferimento dei dati contrassegnati come obbligatori (email, password, nome farmacia) è necessario per la registrazione e l'utilizzo del servizio. Il mancato conferimento comporta l'impossibilità di usufruire della piattaforma. Il conferimento dei dati per finalità di marketing è facoltativo e il mancato consenso non pregiudica l'accesso al servizio.

15. Trattamento dei Dati dei Clienti Finali delle Farmacie (Art. 28 GDPR - Data Processing Agreement)

16. Modifiche alla Presente Informativa

Il Titolare si riserva di aggiornare la presente informativa per adeguarla a nuove disposizioni normative o a variazioni del servizio. Le modifiche sostanziali saranno comunicate all'utente via email con almeno 15 giorni di preavviso e pubblicate su questa pagina con indicazione della data di aggiornamento.

17. Legge Applicabile e Foro Competente

La presente informativa è disciplinata dal Regolamento (UE) 2016/679, dal D.Lgs. 196/2003 (come modificato dal D.Lgs. 101/2018) e dalla normativa italiana in materia di protezione dei dati personali. Per qualsiasi controversia relativa all'interpretazione o all'applicazione della presente informativa è competente in via esclusiva il Foro di Milano.