Informativa privacy ClinLoom
- Versione: 1.2
- Ultimo aggiornamento: 2026-06-10
- Titolare: Michele Gaeta, operante il servizio ClinLoom come persona fisica
- Indirizzo: Via Val d'Ala 20, 00141 Roma, Italia
- Email privacy: michele.gaeta.90@gmail.com
Questa informativa riguarda i dati per cui ClinLoom determina finalita' e mezzi del trattamento:
account del terapeuta, sicurezza, comunicazioni, lista d'attesa e gestione dell'accesso anticipato.
I dati clinici dei pazienti inseriti dal terapeuta sono normalmente trattati da ClinLoom come
responsabile del trattamento per conto del terapeuta, secondo la DPA.
1. Dati trattati da ClinLoom come titolare
ClinLoom puo' trattare:
- dati account del terapeuta: nome, cognome, email, password cifrata/hash, impostazioni account;
- dati di autenticazione e sicurezza: sessioni, indirizzo IP, log tecnici, eventi di accesso, 2FA;
- dati di invito e lista d'attesa: email, nome, messaggi inviati volontariamente;
- dati di assistenza: richieste inviate via email o altri canali concordati;
- se il terapeuta collega Google Calendar: token OAuth cifrati, email dell'account Google collegato,
eventi del calendario sincronizzati (cifrati a riposo) — vedi sezione 5;
- metadati tecnici e metriche aggregate necessarie a sicurezza e funzionamento.
Nella fase attuale non sono attivi pagamenti nel prodotto. Se saranno attivati pagamenti, l'informativa e la lista subprocessori saranno aggiornate.
I dati clinici dei pazienti, le registrazioni, le trascrizioni, le note e gli allegati sono trattati come contenuti del terapeuta nell'ambito della DPA, non per finalita' autonome di ClinLoom.
2. Finalita' e basi giuridiche
| Finalita' | Base giuridica |
|---|---|
| Creazione e gestione account su invito | misure precontrattuali o esecuzione del rapporto di accesso anticipato |
| Autenticazione, sicurezza, prevenzione abusi | rapporto con l'utente, legittimo interesse, obblighi di sicurezza |
| Erogazione del servizio | rapporto con l'utente |
| Assistenza tecnica e comunicazioni operative | rapporto con l'utente, legittimo interesse |
| Lista d'attesa e inviti | consenso o richiesta dell'interessato |
| Miglioramento tecnico su dati aggregati/non clinici | legittimo interesse |
ClinLoom non usa contenuti clinici dei pazienti per addestrare modelli, migliorare prodotti, fare analytics, benchmarking o creare dataset.
3. Dati clinici trattati per conto del terapeuta
Quando il terapeuta inserisce dati di pazienti, ClinLoom agisce normalmente come responsabile del trattamento. Il terapeuta resta titolare del trattamento e determina:
- finalita' del trattamento;
- base giuridica verso il paziente;
- dati da inserire;
- tempi di conservazione;
- risposte alle richieste dei pazienti;
- informativa e consenso/autorizzazione eventualmente necessari per l'uso di IA esterna.
ClinLoom tratta questi dati solo secondo istruzioni documentate e nei limiti della DPA.
4. Fornitori e subprocessori
La lista aggiornata dei fornitori tecnici e' nella Lista subprocessori ClinLoom.
Per i dati clinici possono essere usati solo subprocessori indicati come Attivo nella lista e coperti da garanzie contrattuali adeguate. Alla data di questa versione, Google Cloud Vertex AI e' il provider AI attivo per la produzione in configurazione UE.
5. Collegamento Google Calendar (opzionale)
Il terapeuta puo' collegare il proprio account Google per sincronizzare l'agenda. Il collegamento e' facoltativo e revocabile in qualsiasi momento dalle Impostazioni dell'app o da myaccount.google.com/permissions.
Se il collegamento e' attivo, ClinLoom:
- legge gli eventi del calendario Google collegato per mostrarli nell'agenda dell'app;
- crea e aggiorna sul calendario Google gli appuntamenti creati in ClinLoom, indicando solo un titolo
pseudonimo (es. "Seduta" con le iniziali) e mai il nome del paziente, che resta soltanto nell'app;
- conserva i token OAuth e gli eventi sincronizzati cifrati a riposo sui server UE del servizio.
I dati del calendario non sono usati per l'inferenza AI, non alimentano modelli, non sono usati per pubblicita' e non sono condivisi con terzi oltre ai fornitori indicati nella lista subprocessori. Alla disconnessione, ClinLoom revoca l'autorizzazione presso Google ed elimina gli eventi sincronizzati; i token sono eliminati con la disconnessione o con la chiusura dell'account.
L'uso dei dati ricevuti dalle API Google rispetta la Google API Services User Data Policy, inclusi i requisiti "Limited Use".
ClinLoom's use and transfer to any other app of information received from Google APIs will adhere
to the Google API Services User Data Policy
(https://developers.google.com/terms/api-services-user-data-policy), including the Limited Use
requirements.
6. Trasferimenti extra UE
La configurazione prevista per i dati clinici e' trattamento e inferenza AI in UE/SEE.
Eventuali trasferimenti extra UE per servizi non clinici o per subprocessori con casa madre extra UE sono gestiti con garanzie appropriate quando richieste, incluse clausole contrattuali standard o decisioni di adeguatezza, e sono indicati nella lista subprocessori.
7. Conservazione
| Categoria | Conservazione indicativa |
|---|---|
| Account terapeuta | durata dell'accesso anticipato e fino a 90 giorni dopo chiusura, salvo richieste o obblighi |
| Log sicurezza senza contenuti clinici | fino a 12 mesi, salvo indagini o obblighi |
| Comunicazioni di supporto | fino a 24 mesi o tempo necessario alla gestione |
| Lista d'attesa/inviti | fino a revoca, rifiuto dell'invito o 24 mesi di inattivita' |
| Dati clinici | secondo istruzioni del terapeuta e Nomina a responsabile del trattamento |
8. Sicurezza
ClinLoom adotta misure tecniche e organizzative proporzionate, tra cui:
- cifratura in transito tramite TLS;
- cifratura a riposo dei contenuti clinici;
- isolamento per account/terapeuta;
- controllo accessi;
- password con hashing robusto;
- 2FA dove disponibile;
- audit log senza dati clinici in chiaro nei metadati;
- pseudonimizzazione prima dell'inferenza AI quando disponibile;
- backup cifrati dove configurati.
9. Diritti
Gli interessati possono esercitare, nei casi previsti, i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilita'.
Per dati dell'account ClinLoom o della lista d'attesa, scrivere a michele.gaeta.90@gmail.com.
Per dati dei pazienti inseriti dal terapeuta, ClinLoom agisce come responsabile: le richieste dei pazienti devono essere indirizzate al terapeuta titolare. Se ClinLoom riceve direttamente una richiesta relativa a dati clinici, la segnala al terapeuta nei limiti consentiti.
10. Reclamo
E' possibile proporre reclamo all'autorita' di controllo competente, inclusa l'Autorita' Garante per la protezione dei dati personali.
11. Modifiche
ClinLoom puo' aggiornare questa informativa. Le modifiche materiali saranno comunicate con modalita' proporzionate al tipo di modifica e al rapporto in essere.