Informativa privacy e cookie

Versione dell'informativa: 10 settembre 2026

1. Titolare del trattamento

Il Titolare è APC - Scuola di Psicoterapia, con sede in chatbot@apc.it. Per richieste sul trattamento o per esercitare i tuoi diritti: chatbot@apc.it.

2. Quali dati trattiamo

• Dati dell'account: email, nome utente, ruolo, hash crittografico della password (la password non è conservata in chiaro), data di creazione e stato di verifica.
• Dati professionali e di associazione: rapporto tra terapeuta e paziente, codice monouso e dati identificativi inseriti dal terapeuta.
• Dati sanitari e contenuti: documenti clinici caricati, messaggi inviati all'assistente, risposte generate e cronologia della conversazione.
• Dati tecnici e di sicurezza: indirizzo IP usato per limitare i tentativi di accesso, identificativi tecnici, data e ora delle operazioni e conteggi di utilizzo dell'API.

3. Finalità e basi giuridiche

Il conferimento dei dati contrassegnati come obbligatori è necessario per usare le relative funzioni. Il mancato conferimento impedisce la registrazione, l'associazione o l'uso dell'assistente. Non utilizziamo i dati per pubblicità o profilazione commerciale.

4. Assistente basato su intelligenza artificiale

Per generare una risposta, l'applicazione invia tramite API a OpenAI la domanda, fino a otto messaggi recenti e le parti pertinenti dei documenti del paziente e dei materiali approvati. Quando l'indice di ricerca viene creato o aggiornato, il testo dei documenti viene inoltre inviato in parti all'API di embedding. Le risposte possono contenere errori: l'assistente è uno strumento di supporto, non sostituisce il giudizio del professionista e non prende decisioni con effetti giuridici o analogamente significativi sull'utente.

5. Destinatari e responsabili

I dati sono accessibili, nei limiti dei rispettivi ruoli, al Titolare, ai manager autorizzati, al terapeuta associato e al paziente interessato. Possono inoltre essere trattati da fornitori nominati responsabili o sub-responsabili, tra cui:

• il fornitore di hosting: Server locale presso la sede del Titolare; pubblicazione tramite Tailscale Funnel;
• Tailscale Inc. e i suoi fornitori, per la connessione pubblica HTTPS tramite Tailscale Funnel, inclusi i dati tecnici necessari a instradamento, sicurezza e funzionamento della connessione;
• il fornitore email configurato dal Titolare, per verifica e recupero dell'account;
• OpenAI Ireland Limited e i suoi sub-responsabili, per embedding e generazione delle risposte tramite API.

OpenAI dichiara che i dati inviati all'API non sono usati per addestrare i modelli salvo adesione volontaria del cliente. Nella configurazione standard, i log di monitoraggio degli abusi possono contenere contenuti del cliente ed essere conservati fino a 30 giorni. Il Titolare deve valutare e configurare, se disponibile, la residenza dei dati e i controlli Modified Abuse Monitoring o Zero Data Retention.

6. Trasferimenti fuori dallo Spazio economico europeo

Alcuni fornitori o loro sub-responsabili possono trattare dati fuori dallo Spazio economico europeo. In tali casi il Titolare deve usare un meccanismo valido ai sensi del GDPR, incluse, quando applicabili, decisioni di adeguatezza e Clausole Contrattuali Standard. Il Data Processing Addendum di OpenAI prevede garanzie per i trasferimenti successivi. Una copia o informazioni sulle garanzie possono essere richieste al contatto del Titolare.

7. Conservazione

• Account: per la durata dell'account; i dati di registrazione sono eliminati quando un manager elimina l'account, fatti salvi obblighi di conservazione.
• Documenti clinici e conversazioni: per la durata del percorso assistenziale e per gli obblighi di legge applicabili. Nell'app sono eliminati quando il terapeuta elimina il profilo paziente.
• Token di verifica e recupero: validi rispettivamente 24 ore e un'ora; sono invalidati dopo l'uso o quando ne viene emesso uno nuovo.
• Tentativi di accesso: usati in una finestra mobile di 15 minuti per prevenire attacchi.
• Dati presso OpenAI API: secondo i controlli dell'organizzazione e le condizioni contrattuali applicabili; nella configurazione standard i log di monitoraggio degli abusi sono conservati fino a 30 giorni.

8. Diritti dell'interessato

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e, quando applicabile, opporti al trattamento o revocare il consenso senza pregiudicare la liceità del trattamento precedente. Puoi inviare la richiesta a chatbot@apc.it. Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali o all'autorità di controllo competente.

9. Sicurezza

L'applicazione applica controllo degli accessi per ruolo, separazione dei profili dei terapeuti, password sottoposte ad hash, protezione CSRF, limitazione dei tentativi di login e collegamenti monouso. Nessun sistema è privo di rischi: il Titolare mantiene procedure organizzative, backup protetti, controllo degli accessi e gestione degli incidenti adeguati ai dati sanitari trattati.

10. Cookie

Questo sito usa un cookie tecnico di sessione, impostato direttamente dall'applicazione, necessario per autenticazione, sicurezza e protezione CSRF. Il cookie dura fino alla chiusura del browser, è limitato al sito e non è usato per analytics, pubblicità o profilazione.

Tailscale Funnel è utilizzato come collegamento HTTPS pubblico verso il server e non è configurato come strumento di analisi, pubblicità o profilazione. In questa configurazione non risultano cookie facoltativi impostati da Funnel.

Poiché viene usato soltanto il cookie tecnico necessario, non è richiesto il consenso e non viene mostrato un banner. Se saranno aggiunti analytics, contenuti incorporati o altri strumenti non essenziali, questi dovranno essere valutati e, quando richiesto, bloccati fino a una scelta valida, introducendo un pannello di consenso e aggiornando questa informativa.

11. Modifiche

Questa informativa può essere aggiornata quando cambiano il servizio, i fornitori o le norme applicabili. La versione pubblicata in questa pagina indica la data dell'ultimo aggiornamento sostanziale.