INFORMATIVA SULLA PRIVACY – GRUPPO IMPRESS

1) Chi è il responsabile?

Il responsabile principale del trattamento è SMILE2IMPRESS S.L., insieme alle entità del Gruppo Impress (di seguito, Gruppo Impress) che intervengono nella fornitura del servizio in ciascun paese, che potranno agire come contitolari del trattamento, se del caso, ai sensi dell'articolo 26 del RGPD con cui l'utente stipula un contratto o intrattiene rapporti (ad esempio, come paziente/utente, operatore sanitario, partner, fornitore, candidato o visitatore del sito web).Contatto privacy: gdpr@smile2impress.com
Responsabile della protezione dei dati (DPO): dpo@smile2impress.com

Le entità del Gruppo sono elencate nell'ALLEGATO II.

2) Quali dati trattiamo?

A. Dati clinici (dati sanitari - categoria speciale):
radiografie, scansioni 3D, fotografie cliniche, diagnosi, piano di trattamento, evoluzione e comunicazioni cliniche.

B. Dati commerciali e relativi al conto:
identificazione e contatto, appuntamenti, preferenze, incidenti, comunicazioni di supporto.

C. Dati economici:
fatturazione, pagamenti, finanziamenti (gli istituti finanziari agiscono solitamente come responsabili indipendenti).

D. Dati tecnici:
IP, log, dispositivo, navigazione e cookie (a scelta).

3) Per cosa utilizziamo i vostri dati?

• Per fornire assistenza odontoiatrica e follow-up.
• Pianificare e produrre dispositivi (allineatori e elementi associati) con laboratori e fornitori tecnici.
• Gestire appuntamenti, assistenza e qualità del servizio.
• Fatturazione e incassi, compreso il finanziamento se richiesto.
• Sicurezza e prevenzione delle frodi.
• Conformità legale (sanitaria, fiscale, ecc.).
• Marketing (solo secondo le regole chiare riportate di seguito).

4) Marketing

• Clienti/pazienti: possiamo inviare informazioni su servizi simili (soft opt-in in conformità con la normativa applicabile in materia di comunicazioni commerciali). Sempre con facile cancellazione.
• Non clienti: solo con consenso esplicito.
• Pubblicità personalizzata: solo se accetta i cookie pubblicitari o abilita gli "annunci personalizzati" nell'app/nelle impostazioni.

5) Utilizziamo l'intelligenza artificiale (IA)?

Possiamo utilizzare l'IA come supporto (ad esempio, per organizzare l'assistenza o aiutare a pianificare/visualizzare i trattamenti).
Non sostituisce mai la decisione clinica: c'è l'intervento umano e la convalida da parte di professionisti sanitari.

6) Con chi condividiamo i dati?

Solo quando necessario:

• Cliniche partner / professionisti sanitari
• Laboratori e fornitori tecnici di produzione
• Fornitori tecnologici (hosting, CRM, comunicazioni)
• Gateway di pagamento
• Enti finanziari (se si richiede un finanziamento)
• Autorità, quando previsto dalla legge

Non vendiamo mai dati personali.

7) Trasferimenti internazionali

Se un fornitore si trova al di fuori del SEE, utilizziamo garanzie legali (ad es. clausole contrattuali tipo o decisioni di adeguatezza) e, se necessario, misure tecniche e organizzative complementari per garantire un livello di protezione equivalente a quello europeo.

8) I tuoi diritti

Accesso, rettifica, cancellazione, opposizione, limitazione, portabilità, revoca del consenso e opposizione al marketing/profilazione.
Esercizio: gdpr@smile2impress.com
Puoi presentare un reclamo all'autorità di controllo del paese in cui risiedi abitualmente (in Spagna, AEPD).

POLITICA COMPLETA (SVILUPPO GIURIDICO)

1. AMBITO DI APPLICAZIONE E IMPEGNO

La presente Politica spiega come trattiamo i dati personali di:

• Utenti/Pazienti
• Operatori sanitari
• Partner (cliniche collaboratrici), fornitori e consulenti
• Investitori
• Candidati
• Potenziali clienti
• Visitatori del sito web

Ci impegniamo a trattare i dati con legalità, lealtà, trasparenza, minimizzazione e sicurezza, in conformità con il RGPD e le normative locali applicabili.

2. RESPONSABILE DEL TRATTAMENTO, CONTATTO E DPO

2.1 Responsabile

Il responsabile è l'entità del Gruppo Impress con cui avete un rapporto. Come riferimento aziendale in Spagna:

SMILE2IMPRESS S.L.
NIF: B67402032
Sede: Av. Roma 81, 2º Núcleo E-F, 08029 Barcellona (Spagna)
Email: gdpr@smile2impress.com

2.2 Responsabile della protezione dei dati (DPO)

E-mail: dpo@smile2impress.com

2.3 Entità del Gruppo

Vedi ALLEGATO II.

3. CATEGORIE DI DATI TRATTATI (CLINICI VS COMMERCIALI)

3.1 Dati clinici (dati sanitari – art. 9 RGPD)

• Radiografie, scansioni 3D, foto cliniche
• Diagnosi e note cliniche
• Pianificazione del trattamento, evoluzione e controlli
• Informazioni fornite durante la visita o sul portale del paziente
• Comunicazioni cliniche (ove applicabile)

3.2 Dati commerciali e relativi al conto

• Registrazione, identità, contatti
• Appuntamenti e gestione dell'agenda
• Preferenze di servizio, incidenti e reclami
• Comunicazioni con l'assistenza (e-mail, chat, telefono)

3.3 Dati economici

• Fatturazione e incassi
• Dati necessari per i pagamenti
• Finanziamento (se richiesto)

3.4 Dati tecnici

• IP, log di sicurezza
• Dispositivo, browser, cookie (a scelta)

3.5 Dati provenienti da terzi

Possiamo ricevere dati se ci autorizzi (ad es. login social) o se interagisci con noi tramite social network/messaggistica.

4. ORIGINE DEI DATI

I dati possono provenire da:

• Da voi (moduli, app, clinica, chiamate, chat)
• Dalla tua attività nell'app/portale del paziente
• Fornitori necessari per prestare il servizio (ad es. gateway di pagamento)
• Terze parti autorizzate da te (ad es. login social)

5. FINALITÀ E BASI GIURIDICHE (MATRICE UNICA)

Nota chiave: i dati sanitari sono trattati, in generale, per l'assistenza sanitaria (art. 9.2.h RGPD) e/o l'adempimento degli obblighi sanitari, con accesso limitato al personale autorizzato.

5.1 Utenti/Pazienti. Finalità principali:

a) Prestazione di servizi odontoiatrici (diagnosi, pianificazione, follow-up)

• Base giuridica: esecuzione del contratto + art. 9.2.h RGPD + obblighi sanitari.

b) Produzione e logistica del dispositivo (allineatori e elementi associati)

• Base giuridica: esecuzione del contratto + art. 9.2.h RGPD (se necessario) + obblighi relativi al prodotto/dispositivo.
• Chiarimento dei ruoli (importante e "competitor-grade"):
• Responsabile della cartella clinica: l'ente sanitario del Gruppo che fornisce il trattamento e/o la clinica che lo esegue (a seconda dei casi).
• Produttore/laboratorio: tratta i dati strettamente necessari per la fabbricazione e il controllo del prodotto. A seconda del flusso, può agire come incaricato o come responsabile indipendente per la propria attività regolamentata; in ogni caso, esiste un contratto e garanzie di riservatezza e sicurezza.

c) Gestione amministrativa (appuntamenti, assistenza clienti, incidenti, qualità)

• Base giuridica: esecuzione del contratto + interesse legittimo (qualità e miglioramento) ove applicabile.

d) Fatturazione, incassi e contabilità

• Base giuridica: esecuzione del contratto + obbligo legale.

e) Finanziamento (se richiesto dall'utente)

• Base giuridica: esecuzione del contratto / misure precontrattuali su richiesta dell'interessato.
• Gli istituti finanziari/broker agiscono solitamente come responsabili indipendenti per l'analisi della solvibilità e la formalizzazione.

f) Sicurezza e prevenzione delle frodi

• Base giuridica: interesse legittimo (sicurezza e protezione della piattaforma, prevenzione delle frodi, sicurezza degli account).

g) Ricerca, statistiche e miglioramento (preferibilmente con dati anonimizzati o aggregati)

• Base giuridica: interesse legittimo e/o obbligo legale/standard clinici, a seconda dei casi.
• Ove possibile, utilizzeremo l'anonimizzazione o la pseudonimizzazione.

5.2 Marketing (regole "pulite")

a) Soft opt-in (solo clienti/pazienti):
Potremo inviare comunicazioni relative a servizi simili a quelli sottoscritti.

• Base giuridica: interesse legittimo / normativa applicabile in materia di comunicazioni commerciali - LSSI in Spagna.
• Diritto di opposizione: cancellazione in ogni comunicazione e/o tramite e-mail.

b) Non clienti (lead):
Solo marketing con consenso esplicito.

c) Pubblicità personalizzata / audience:
Solo se:

• accetta i cookie pubblicitari, oppure
• attiva l'opzione corrispondente nelle impostazioni ("annunci personalizzati"), o
• concedi un consenso esplicito equivalente.

d) Partner (cessione a terzi per finalità di marketing):
Solo con consenso esplicito, informato e inequivocabile, identificando il destinatario/le categorie.

6. DESTINATARI (CHI RICEVE I DATI E PERCHÉ)

Potremo condividere i dati solo quando necessario, con le seguenti categorie:

1. Cliniche partner e professionisti sanitari
   Per diagnosi, acquisizione di immagini, revisioni, supporto clinico ed esecuzione del trattamento.
2. Laboratori odontotecnici e fornitori tecnici
   Per scansioni, progettazione e produzione di allineatori o altri dispositivi medici e logistica associata.
3. Fornitori tecnologici
   Hosting, archiviazione sicura, CRM, comunicazioni, sicurezza (ad es. reCAPTCHA), analisi (in base ai cookie).
4. Piattaforme di pagamento
   Per elaborare i pagamenti (non memorizziamo i dati completi della carta; tokenizzazione ove applicabile).
5. Enti finanziari/broker (se si richiede un finanziamento)
   Per la valutazione, la formalizzazione e la gestione del pagamento rateale (di norma in qualità di responsabili indipendenti).
6. Assicurazioni
   Quando necessario per la gestione di incidenti o sinistri associati.
7. Autorità pubbliche
   Quando necessario per l'adempimento di obblighi legali (sanitari, fiscali, giudiziari).

Non vendiamo mai dati personali.

7. TRASFERIMENTI INTERNAZIONALI

Se trasferiamo dati al di fuori del SEE (ad esempio, alcuni servizi di assistenza/call center, telecomunicazioni o fornitori di tecnologia), lo faremo applicando:

• Clausole contrattuali tipo della Commissione Europea e misure complementari, e/o
• decisioni di adeguatezza, ove esistenti.

È possibile richiedere ulteriori informazioni sulle garanzie applicate scrivendo a gdpr@smile2impress.com.

8. DECISIONI AUTOMATIZZATE E PROFILAZIONE

8.1 Decisioni automatizzate (art. 22 RGPD)

Non adottiamo decisioni che producono effetti giuridici o che incidono in modo significativo sulla base del solo trattamento automatizzato in ambito clinico.

8.2 Profilazione/segmentazione

Possiamo effettuare una segmentazione non clinica per:

• personalizzare l'esperienza,
• mostrare contenuti rilevanti,
• migliorare il servizio,
• limitare le frodi,
• o personalizzare il marketing (solo quando applicabile).

È possibile opporsi alla profilazione con effetti rilevanti e, in ogni caso, opporsi sempre al marketing diretto.

9. INTELLIGENZA ARTIFICIALE (IA) — APPROCCIO MODERNO E TRASPARENTE

Possiamo utilizzare l'IA in processi quali:

• Assistenza clienti (ad es. chatbot assistiti da modelli linguistici) per risolvere dubbi amministrativi o di supporto.
• Supporto alla pianificazione e visualizzazione del trattamento mediante analisi di immagini/foto cliniche (ove applicabile).

Principi di sicurezza e controllo nell'IA

• Intervento umano: ogni decisione clinica rilevante viene convalidata da professionisti sanitari.
• Minimizzazione: utilizziamo il minimo dei dati necessari per lo scopo.
• Non addestriamo modelli pubblici con i tuoi dati: richiediamo contrattualmente ai fornitori di non utilizzare i dati per addestrare modelli pubblici.
• Protezione dei dati identificativi: applichiamo misure per evitare un'esposizione non necessaria e rafforzare la riservatezza.

10. MISURE DI SICUREZZA

Applichiamo misure tecniche e organizzative adeguate al rischio, tra cui:

• controllo degli accessi in base ai ruoli e alla necessità di conoscere,
• crittografia in transito e, se del caso, a riposo,
• registri e monitoraggio della sicurezza,
• valutazione dei fornitori e contratti RGPD,
• tokenizzazione dei pagamenti e standard PCI DSS nei fornitori di servizi di pagamento,
• misure per prevenire accessi non autorizzati, alterazioni o perdite.

11. CONSERVAZIONE DEI DATI

Conserviamo i dati per:

• il tempo necessario allo scopo,
• durante il rapporto contrattuale e,
• successivamente, i termini legali di conservazione e prescrizione delle azioni.

I termini indicativi e i riferimenti legali sono riportati nell'ALLEGATO I.
Se del caso, possiamo conservare determinate informazioni fino a 15 anni se necessario per la difesa in caso di reclami complessi o prescrizione penale/fiscale, sempre con accesso limitato e minimizzazione dei dati.

12. DIRITTI DELLE PERSONE

L'utente può esercitare:

• Accesso
• Rettifica
• Cancellazione
• Opposizione
• Limitazione
• Portabilità
• Revoca del consenso (ove applicabile)
• Opposizione al marketing diretto e alla profilazione

Come esercitarli: gdpr@smile2impress.com
È inoltre possibile contattare il DPO: dpo@smile2impress.com

Se ritiene che la sua richiesta non sia stata gestita correttamente, può presentare un reclamo all'autorità di controllo del paese in cui risiede abitualmente (in Spagna, AEPD).

13. MINORI

I servizi sono rivolti a persone maggiorenni, salvo che la normativa applicabile consenta il trattamento con autorizzazione/rappresentanza legale e ciò sia verificato.

14. SOCIAL NETWORK E CANALI DI MESSAGGERIA

Se ci contatta tramite social network (ad es. Instagram, Facebook) o messaggistica (ad es. WhatsApp), tratteremo i dati necessari per:

• rispondere alle richieste di informazioni,
• fornire assistenza al paziente/cliente,
• gestione degli incidenti.

Il trattamento può anche essere soggetto alla politica sulla privacy di ciascuna piattaforma.

15. VIDEOSORVEGLIANZA E CONTROLLO DEGLI ACCESSI (se applicabile nei centri)

Nei centri e nelle cliniche può essere presente un sistema di videosorveglianza sulla base del legittimo interesse alla sicurezza delle persone e delle strutture, in conformità con la normativa applicabile e la segnaletica informativa.

16. CANALE ETICO

Il Canale Etico consente di segnalare comportamenti o violazioni normative/etiche.
I dati trattati saranno utilizzati per:

• elaborare le comunicazioni,
• indagare sui fatti,
• proporre risoluzioni,
• e, se del caso, comunicare alle autorità o adottare misure interne.

Vengono adottate misure per proteggere la riservatezza dell'identità dell'informatore e delle persone interessate, con accesso limitato.

Contatto: compliance@smile2impress.com (o quello indicato nel canale abilitato)

17. INIZIATIVE SOCIALI / FUNZIONALITÀ DELL'APP (se applicabile)

Se l'app consente funzioni sociali (ad es. "aggiungi contatti"):

• si accederà alla sua agenda solo se lei lo autorizza esplicitamente,
• verranno mostrati i contatti che sono già utenti,
• e l'utente controlla chi aggiungere e cosa condividere (aggiunta o identificativo).

18. MODIFICHE ALLA PRESENTE POLITICA

Potremo aggiornare la presente Informativa quando necessario.
In caso di modifiche sostanziali, provvederemo a darne adeguata comunicazione.

19. LINGUA E PREVALENZA

In caso di discrepanza tra le traduzioni, prevarrà la versione in spagnolo.

ALLEGATO I — TERMINI GENERALI DI CONSERVAZIONE (INDICATIVI)

I termini possono variare a seconda del Paese, del tipo di rapporto (paziente, professionista, fornitore, ecc.) e dello scopo specifico. Conserveremo i dati solo per il tempo necessario e applicheremo il blocco/la limitazione quando opportuno.

ALLEGATO II — SOCIETÀ DEL GRUPPO IMPRESS

ALLEGATO III — DEFINIZIONI (BREVE)

• Titolare del trattamento: decide le finalità e i mezzi del trattamento.
• Responsabile del trattamento: tratta i dati per conto del Titolare e secondo le sue istruzioni.
• RGPD: Regolamento (UE) 2016/679.
• Dati sanitari: dati relativi alla salute fisica o mentale, compresi i dati clinici odontoiatrici e le immagini.
• Profilazione: trattamento automatizzato per valutare aspetti personali (ad es. preferenze).
• Decisione automatizzata: decisione basata esclusivamente sul trattamento automatizzato con effetti giuridici o simili.