Informativa privacy e trasparenza AI

Ultimo aggiornamento: 20 agosto 2026 — Versione: 2.1

Questa informativa è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e integra gli obblighi di trasparenza previsti dal Regolamento (UE) 2024/1689 ("AI Act") per l'interazione con sistemi di intelligenza artificiale.

1. Chi tratta i tuoi dati

• Titolare del trattamento: lo studio medico / professionista sanitario presso cui prenoti la visita. I suoi dati identificativi e di contatto sono indicati nella pagina di prenotazione e nelle conferme che ricevi via email.
• Responsabile del trattamento (art. 28 GDPR): Bookimed, che fornisce allo studio la piattaforma di prenotazione, l'assistente AI e i servizi di notifica. Bookimed tratta i dati solo su istruzione documentata del titolare, sulla base di un accordo di nomina a responsabile.
• Contatti: per esercitare i tuoi diritti puoi scrivere allo studio medico oppure a privacy@bookimed.it; la richiesta viene inoltrata al titolare competente.

2. Quali dati raccogliamo

• Dati identificativi e di contatto: nome, cognome, email, numero di telefono.
• Dati della prenotazione: sede, prestazione richiesta, data e ora, stato dell'appuntamento, eventuali note che scegli di inserire.
• Dati relativi alla salute (categorie particolari, art. 9 GDPR): solo se e nella misura in cui derivano dalla prestazione scelta o da informazioni che inserisci volontariamente nelle note o in chat. Ti invitiamo a non inserire dati clinici dettagliati: per la prenotazione non sono necessari.
• Dati di interazione con l'assistente AI: contenuto dei messaggi scambiati, data/ora, esito della conversazione.
• Dati tecnici: indirizzo IP, tipo di browser/dispositivo, log di sicurezza e di accesso.
• Consensi: versione dell'informativa accettata, data/ora e modalità di raccolta del consenso.

Non utilizziamo cookie di profilazione né pubblicità comportamentale. Sono impiegati solo cookie/identificatori tecnici necessari al funzionamento del servizio.

3. Perché trattiamo i dati e su quale base giuridica

Il conferimento dei dati identificativi e di contatto è necessario per prenotare: senza di essi la prenotazione non può essere gestita. L'uso dell'assistente AI è invece sempre facoltativo, esiste un percorso alternativo tramite form o contatto diretto con lo studio.

4. Assistente AI: trasparenza ai sensi dell'AI Act

• Stai interagendo con un sistema di intelligenza artificiale, non con un essere umano (art. 50 AI Act). L'assistente è identificato come tale all'inizio di ogni conversazione.
• Cosa fa: risponde a domande su sedi, prestazioni, orari e informazioni pubblicate dallo studio; propone fasce orarie disponibili; crea, modifica o annulla prenotazioni su tua richiesta.
• Cosa non fa: non fornisce diagnosi, consigli medici, terapie o valutazioni cliniche e non è un dispositivo medico. Non prende decisioni che producono effetti giuridici o incidono in modo analogamente significativo sulla tua persona: non seleziona pazienti, non stabilisce priorità cliniche, non nega prestazioni.
• Nessuna decisione automatizzata rilevante (art. 22 GDPR): ogni prenotazione resta verificabile e modificabile dal personale dello studio, che mantiene la supervisione umana sul funzionamento del sistema.
• Limiti tecnici: le risposte generate possono contenere errori o imprecisioni. In caso di dubbio fa fede quanto confermato dallo studio via email o telefono.
• Intervento umano: in qualsiasi momento puoi chiedere di parlare con il personale dello studio e ottenere il medesimo servizio senza usare l'AI.
• Nessun addestramento sui tuoi dati: le conversazioni non sono utilizzate per addestrare o riaddestrare modelli di intelligenza artificiale, né dai fornitori di modelli né da Bookimed.
• Emozioni e biometria: il sistema non effettua riconoscimento delle emozioni, categorizzazione biometrica, identificazione biometrica né social scoring; usi vietati dall'art. 5 dell'AI Act sono esclusi.
• Alfabetizzazione AI: lo studio riceve da Bookimed istruzioni d'uso, indicazioni sui limiti del sistema e sulle modalità di supervisione, in attuazione dell'art. 4 dell'AI Act.

5. A chi comunichiamo i dati

I dati sono accessibili al personale autorizzato dello studio e possono essere comunicati a soggetti che agiscono come responsabili o sub-responsabili del trattamento, tutti vincolati contrattualmente alla riservatezza:

• fornitore di hosting e database della piattaforma (server nell'Unione europea);
• fornitore del servizio di invio email transazionali (conferme e promemoria);
• fornitore del modello di intelligenza artificiale che elabora i messaggi della chat, in modalità senza conservazione per addestramento;
• Google Calendar, solo se lo studio attiva la sincronizzazione: in tal caso nel calendario dello studio vengono scritti data, ora, sede, prestazione e riferimento del paziente.

I dati non sono ceduti, venduti o diffusi a terzi per finalità commerciali.

6. Trasferimenti fuori dallo Spazio economico europeo

L'infrastruttura principale è collocata nell'Unione europea. Alcuni fornitori tecnologici possono comportare trasferimenti verso paesi terzi: in tal caso il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione europea oppure di Clausole contrattuali standard (art. 46 GDPR) accompagnate da misure supplementari. Puoi richiedere copia delle garanzie adottate scrivendo ai contatti indicati.

7. Per quanto tempo conserviamo i dati

Il titolare stabilisce i termini di conservazione nel proprio pannello di gestione, entro i limiti massimi indicati di seguito. I periodi predefiniti applicati dalla piattaforma sono:

Anonimizzazione al posto della cancellazione. Alla scadenza del termine i dati identificativi (nome, email, telefono, note) non vengono semplicemente eliminati: vengono sostituiti in modo irreversibile con un codice privo di riferimenti alla persona. Lo storico dell'appuntamento resta così disponibile al titolare per finalità contabili e statistiche, ma non costituisce più un trattamento di dati personali.

Sospensione della cancellazione per esigenze di difesa (legal hold). Quando una prenotazione è oggetto di reclamo, contestazione o procedimento, il titolare può bloccarne la conservazione: quel record e la relativa conversazione con l'assistente AI vengono esclusi da ogni cancellazione o anonimizzazione automatica per tutto il tempo necessario all'accertamento, all'esercizio o alla difesa di un diritto in sede giudiziaria (art. 17.3.e GDPR e, per i dati sanitari, art. 9.2.f GDPR). Il blocco viene rimosso e la normale conservazione ripristinata al termine della vicenda. Questa sospensione può prevalere anche su una richiesta di cancellazione dell'interessato, nei limiti previsti dall'art. 17.3 GDPR; in tal caso ne vieni informato con la relativa motivazione.

Le operazioni di cancellazione e anonimizzazione sono eseguite automaticamente ogni notte.

8. Come proteggiamo i dati

Adottiamo misure tecniche e organizzative adeguate (art. 32 GDPR): cifratura in transito (TLS) e a riposo, controllo degli accessi basato su ruoli e isolamento dei dati fra studi diversi, autenticazione degli operatori, registrazione degli accessi, minimizzazione dei dati richiesti, backup periodici, procedure di gestione delle violazioni con notifica all'autorità di controllo entro 72 ore quando prevista dall'art. 33 GDPR. Il personale autorizzato è vincolato al segreto professionale e alla riservatezza.

9. I tuoi diritti

Puoi in ogni momento esercitare i diritti previsti dagli articoli 15-22 GDPR:

• accesso ai dati e copia degli stessi;
• rettifica dei dati inesatti e integrazione di quelli incompleti;
• cancellazione ("diritto all'oblio") nei casi previsti;
• limitazione del trattamento;
• portabilità dei dati in formato strutturato e leggibile da dispositivo automatico;
• opposizione al trattamento fondato sul legittimo interesse;
• revoca del consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento svolto in precedenza;
• non essere sottoposto a decisioni automatizzate significative;
• proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o ricorso all'autorità giudiziaria.

Rispondiamo alle richieste entro 30 giorni, prorogabili di ulteriori 60 giorni in casi complessi.

10. Minori

Il servizio è rivolto a persone maggiorenni. Le prenotazioni per minori devono essere effettuate da chi esercita la responsabilità genitoriale, che risponde della veridicità dei dati inseriti e presta il consenso in nome e per conto del minore.

11. Modifiche all'informativa

Ogni versione dell'informativa è numerata e datata. In caso di modifiche sostanziali ti verrà richiesta una nuova accettazione prima della successiva prenotazione. Lo storico delle versioni accettate è conservato a fini di prova.