1. Soggetti coinvolti e ruoli privacy
TURINGLAB SOCIETA' A RESPONSABILITA' LIMITATA SEMPLIFICATA, con sede legale in Catanzaro, Via Lucrezia Della Valle snc, c/o Le Aquile Business Center, P. IVA IT04036580795, gestisce l’applicazione Meta e la piattaforma Studio Pro/VisitaPro.
Per i dati dei clienti o pazienti e per il contenuto delle conversazioni, il singolo professionista o studio determina finalità, basi giuridiche e tempi di conservazione e opera di regola come titolare autonomo. TuringLab tratta tali dati per erogare il servizio secondo le istruzioni dello studio e gli accordi applicabili, di regola in qualità di responsabile del trattamento. TuringLab opera invece come titolare per i dati necessari alla gestione dei propri account, del rapporto contrattuale, della sicurezza, dell’assistenza e dell’onboarding dell’integrazione.
2. Come funziona l’integrazione
TuringLab utilizza una propria applicazione Meta per collegare alla WhatsApp Business Platform più studi indipendenti. Ogni studio autorizza il collegamento del proprio WhatsApp Business Account e del proprio numero business. La stessa applicazione tecnica può servire più studi, ma configurazioni, autorizzazioni e conversazioni sono separate per studio e non sono rese disponibili agli altri studi.
I messaggi in ingresso e i relativi aggiornamenti vengono ricevuti tramite webhook Meta; le risposte richieste dallo studio vengono inviate tramite Graph API. Il portale può mostrare la conversazione, associare il contatto a un paziente, scaricare gli allegati, registrare gli stati di consegna e inviare risposte manuali da un browser autorizzato e sbloccato. Le risposte automatiche ritardate sono disabilitate per non rendere disponibile al server la chiave privata dello studio o il recapito in forma reversibile.
3. Categorie di dati trattati
- Dati dello studio e dell’integrazione: denominazione, utenti autorizzati, identificativi del Business Portfolio, del WhatsApp Business Account (WABA) e del numero, numero visualizzato, autorizzazioni, token e stato della configurazione.
- Dati del contatto: numero o identificativo WhatsApp (wa_id), nome profilo reso disponibile da WhatsApp ed eventuale associazione al paziente registrato dallo studio.
- Dati delle comunicazioni: testo, immagini, audio, video, documenti, adesivi e altri allegati, data e ora, direzione, identificativo del messaggio, origine, stato di invio, consegna o lettura ed eventuali errori.
- Dati tecnici e di sicurezza: payload webhook, firme e verifiche tecniche, eventi applicativi, log, informazioni di sessione e dati necessari a diagnosticare malfunzionamenti o prevenire abusi.
4. Contenuti sanitari e responsabilità dello studio
Poiché il servizio è destinato anche a professionisti sanitari, una conversazione può contenere dati relativi alla salute o altre categorie particolari di dati. Lo studio deve limitare le informazioni a quanto necessario, fornire la propria informativa agli interessati e individuare una base giuridica valida ai sensi degli articoli 6 e 9 GDPR. Il cliente o paziente non deve usare WhatsApp per emergenze sanitarie.
TuringLab non utilizza i dati ottenuti tramite WhatsApp per pubblicità, profilazione commerciale o arricchimento di profili, non li vende e non li mette a disposizione di altri studi. I dati sono usati solo per fornire la messaggistica richiesta, proteggere il servizio e adempiere obblighi applicabili.
5. Finalità e basi giuridiche
Il trattamento consente di attivare e amministrare il collegamento con Meta, ricevere e mostrare i messaggi, inviare le risposte decise dallo studio, gestire allegati e stati, associare conversazioni e pazienti, prestare assistenza, mantenere sicurezza e continuità e adempiere obblighi di legge.
Per i trattamenti di cui TuringLab è titolare, le basi giuridiche sono l’esecuzione del contratto o di misure precontrattuali, gli obblighi legali e il legittimo interesse alla sicurezza e al corretto funzionamento del servizio. Per i dati trattati per conto dello studio, finalità e basi giuridiche sono stabilite dallo studio; l’autorizzazione concessa su Meta abilita tecnicamente l’integrazione ma non sostituisce la base giuridica richiesta dal GDPR.
6. Destinatari, Meta e trasferimenti
I dati sono accessibili agli utenti autorizzati dello studio e, nei limiti necessari, a personale TuringLab autorizzato e vincolato alla riservatezza. Possono essere trattati da fornitori di hosting, database, archiviazione, posta, assistenza e sicurezza. Meta Platforms Ireland Limited e/o le altre entità indicate nei termini applicabili forniscono WhatsApp e la WhatsApp Business Platform e trattano i dati secondo i propri termini e informative.
Alcuni fornitori possono trattare dati al di fuori dello Spazio Economico Europeo. Quando applicabile, i trasferimenti avvengono mediante decisioni di adeguatezza, clausole contrattuali standard o altre garanzie riconosciute dalla normativa.
7. Sicurezza e cifratura
L’integrazione utilizza collegamenti HTTPS, verifica delle firme dei webhook, controlli di autorizzazione e separazione logica per studio. Token Meta e segreti tecnici sono cifrati a riposo con AES-256-GCM mediante una chiave server dedicata, non sono restituiti dalle API e sono mostrati soltanto come valori mascherati. Il token di verifica è conservato come HMAC.
Testo, nome e recapito delle conversazioni e relativi allegati sono cifrati a riposo con RSA-OAEP-256 e AES-256-GCM usando la chiave pubblica dello studio. Il database e lo storage conservano solo ciphertext; la decifratura avviene nel browser sbloccato. Il recapito usato per ricerca e associazione è sostituito da un HMAC separato per studio. Il chiaro transita necessariamente e solo per il tempo tecnico della chiamata Graph API o della ricezione del webhook Meta, senza essere persistito o scritto nei log. Meta continua a trattare i messaggi sui propri sistemi.
8. Conservazione
I dati di configurazione sono conservati finché l’integrazione resta attiva o per il tempo necessario alla gestione del rapporto. Il manager dello studio può configurare nel centro Privacy e conformità i tempi di conservazione di conversazioni WhatsApp, allegati, SMS, notifiche concluse, richieste pubbliche gestite e log di audit, visualizzare un’anteprima ed eseguire la cancellazione. Cartelle cliniche e documenti fiscali non sono eliminati da scadenze generiche: la cancellazione richiede una pratica dell’interessato e la verifica degli obblighi legali. I backup seguono una distinta procedura di scadenza e cancellazione sicura.
WhatsApp e Meta applicano autonomamente i periodi di conservazione descritti nei propri termini e informative per i dati trattati sui loro sistemi.
9. Revoca dell’accesso e cancellazione dei dati
Il titolare o amministratore autorizzato dello studio può disattivare l’integrazione in Studio Pro/VisitaPro, revocare le autorizzazioni dell’applicazione dalle impostazioni Meta Business e chiedere a TuringLab la cancellazione dei dati collegati. La richiesta deve essere inviata a visitapro.support@turing-lab.it indicando denominazione dello studio, numero WhatsApp Business e, se disponibili, identificativo WABA e identificativo dell’account Studio Pro. Non occorre inviare token, password o copie delle conversazioni.
Dopo avere verificato identità e poteri del richiedente, TuringLab disattiva le credenziali e interrompe i nuovi flussi di dati, quindi cancella o restituisce i dati secondo le istruzioni dello studio e gli accordi applicabili, salvo quanto debba essere conservato per legge, sicurezza, prevenzione di abusi, backup o tutela dei diritti. La sola revoca su Meta interrompe i nuovi accessi, ma non cancella automaticamente i dati già conservati nel portale.
Un cliente o paziente che desidera esercitare diritti sui messaggi deve rivolgersi prima allo studio con cui ha conversato, che è il soggetto in grado di identificare la conversazione e impartire le istruzioni a TuringLab.
10. Diritti, reclami e aggiornamenti
Nei casi previsti dagli articoli 15-22 GDPR, l’interessato può chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opposizione e può revocare il consenso quando il trattamento vi si basa. Resta il diritto di proporre reclamo al Garante per la protezione dei dati personali. Le richieste relative ai dati trattati direttamente da TuringLab possono essere inviate al contatto indicato in questa pagina.
Questa informativa può essere aggiornata quando cambiano funzioni, fornitori o requisiti normativi. La versione vigente è quella pubblicata a questo indirizzo con la relativa data di aggiornamento.
