Informativa sulla privacy - Diario Clinico AI

1. Chi siamo

Diario Clinico AI (sugli store in inglese Clinical Voice AI) è un'app di Local People Lab, il marchio con cui lavorano insieme («noi»):

• Marco Cuccaro, libero professionista, Via Don Pompeo Beretta 2, 20013 Magenta (MI), Italia, partita IVA 08529980966;
• Francesco Di Pierro, Via della Capinera 6, 20147 Milano (MI), Italia.

Per i dati di cui siamo titolari (sezione 5) lo siamo insieme (contitolari, art. 26 GDPR): abbiamo deciso fra noi chi si occupa di cosa, e per qualsiasi richiesta puoi rivolgerti indifferentemente a ciascuno dei due, all'indirizzo qui sotto.

• Email per la privacy e per ogni richiesta: info@localpeoplelab.com
• Sito: https://localpeoplelab.com

Non abbiamo nominato un responsabile della protezione dei dati (DPO): per la nostra attività non è obbligatorio.

2. In breve

• L'app è per professionisti sanitari (fisioterapisti, osteopati, medici, psicologi, nutrizionisti, ostetriche, logopedisti, neuropsicomotricisti e simili) che tengono il diario clinico dei propri pazienti. Non è pensata per i pazienti né per chi ha meno di 18 anni.
• Pazienti, agenda e note stanno sul tuo telefono, cifrati. Noi non abbiamo un archivio dei tuoi pazienti e non possiamo leggerli.
• Se usi la dettatura con l'IA, l'audio della dettatura passa dal nostro servizio a Google (Gemini su Vertex AI, nell'Unione europea), che lo trascrive e lo divide nelle sezioni della nota. Noi non conserviamo né l'audio né il testo.
• Di te teniamo solo il minimo: l'identificativo del tuo account Google, quante note IA hai usato ogni mese, se hai il Pro.
• Niente pubblicità, niente strumenti di statistica o di tracciamento, nessuna vendita di dati, nessun addestramento di modelli di IA con i tuoi dati.

3. Due ruoli diversi: i tuoi dati e quelli dei tuoi pazienti

I tuoi dati di professionista (account, contatore delle note, abbonamento): qui il titolare del trattamento siamo noi.

I dati dei tuoi pazienti (nomi, telefoni, appuntamenti, note cliniche, dettature): il titolare sei tu, professionista. Sei tu che decidi chi inserire, cosa scrivere, per quanto tempo tenerlo, e sei tu che devi informare i tuoi pazienti e avere una base giuridica per trattare i loro dati sanitari.

• Finché i dati stanno sul telefono, noi non li riceviamo e non li vediamo: per quella parte non siamo nemmeno responsabili del trattamento. Ti forniamo solo lo strumento.
• Quando usi la dettatura con l'IA, trattiamo per tuo conto l'audio (e quindi i dati sanitari che contiene) per il tempo che serve a scrivere la nota: per questo passaggio siamo responsabili del trattamento (art. 28 GDPR), e Google è un nostro sub-responsabile.

Cosa ti consigliamo di dire ai tuoi pazienti, nella tua informativa: che tieni il diario clinico su un'app, cifrato sul tuo telefono, e che le note possono essere dettate e trascritte da un servizio di intelligenza artificiale che tratta l'audio nell'Unione europea senza conservarlo.

4. I dati che restano sul tuo telefono

Nell'app inserisci, e restano solo sul telefono:

• i pazienti (nome, cognome, telefono se lo metti, una nota libera);
• l'agenda (appuntamenti, prestazioni, durata, prezzo);
• le note delle sedute (le sezioni della nota e, per le note dettate, la trascrizione di quello che hai detto);
• le tue impostazioni (nome del saluto, professione, sezioni della nota, colori);
• il nome e l'email del tuo account Google, ricevuti al momento dell'accesso.

Come sono protetti:

• tutto il diario sta in un file cifrato (AES-256-GCM) nella cartella privata dell'app, che le altre app non vedono;
• la chiave sta nella cassaforte del telefono (Android Keystore) e si apre solo con lo sblocco del telefono (impronta, volto, PIN o sequenza), oppure col tuo codice di recupero di 24 caratteri, che vedi solo tu;
• l'app si richiude da sola quando torna dal sottofondo (subito, dopo 1 o 5 minuti, come scegli);
• fra le app recenti lo schermo è coperto, e le schermate (screenshot) sono bloccate;
• il diario è escluso dal backup automatico di Android e dal trasferimento fra telefoni.

Restano in chiaro sul telefono solo piccole preferenze senza dati personali (colori, carattere, vista dell'agenda, consigli già visti, tempo di chiusura).

L'audio della dettatura non viene salvato sul telefono: resta in memoria mentre registri e finché la nota non è scritta.

Se tocchi Chiama o WhatsApp nella scheda di un paziente, il suo numero passa all'app del telefono o a WhatsApp: è una tua scelta, e da lì vale l'informativa di quell'app.

5. I dati che trattiamo noi, come titolari

Nei nostri archivi non salviamo mai: nomi o dati dei pazienti, note, trascrizioni, registrazioni.

Senza accesso con Google l'app non si usa: serve per riconoscerti e per il contatore delle note.

6. La dettatura con l'IA

Quando detti una nota (al massimo 5 minuti) e premi «Fine»:

1. dal telefono partono, cifrati in HTTPS, l'audio della dettatura, le sezioni della nota che hai scelto (i loro titoli e la descrizione di cosa ci va) e la professione che hai scelto. Non partono il nome né altri dati del paziente; partono solo le cose che dici a voce;
2. arrivano al nostro servizio (Google Cloud Run, regione di Milano), che controlla il tuo accesso e il contatore e li inoltra a Google Gemini su Vertex AI, nell'area dell'Unione europea;
3. Gemini restituisce la trascrizione e la nota divisa nelle sezioni; il nostro servizio le rimanda al telefono, dove vengono salvate, cifrate.

Il nostro servizio non conserva l'audio né il testo: li tiene in memoria il tempo della richiesta, e nei suoi registri non scrive né l'uno né l'altro.

Google tratta questi dati come nostro sub-responsabile, secondo i termini di Google Cloud e il Cloud Data Processing Addendum, e non li usa per addestrare i suoi modelli. Abbiamo spento la memoria temporanea (cache) di Vertex AI: Google non tiene l'audio per rispondere più in fretta. Resta solo il controllo degli abusi previsto dai termini di Google Cloud, per un tempo limitato.

Base giuridica per i dati sanitari contenuti nella dettatura: il trattamento è svolto per conto del professionista, che ne è titolare, nell'ambito della sua attività di cura e sotto il segreto professionale (art. 9.2.h e 9.3 GDPR).

L'IA può sbagliare: può fraintendere parole o tralasciare informazioni. Rileggi sempre la nota prima di considerarla definitiva; puoi correggerla a mano. L'app non dà diagnosi né consigli clinici e non prende decisioni al posto tuo. Non è un dispositivo medico.

Se non vuoi usare l'IA, non sei obbligato: le note si scrivono anche a mano o col microfono della tastiera del telefono, e in quel caso non parte niente.

7. I backup

Backup a mano (Altro → Backup): l'app crea un file con il diario cifrato e lo consegni tu dove vuoi (Drive, email, file). Si apre solo con il tuo codice di recupero. Noi non lo riceviamo.

Salvataggio automatico su Google Drive (se lo attivi da Altro → Backup): l'app salva lo stesso file cifrato nella cartella privata dell'app sul tuo Google Drive (una cartella nascosta che vede solo l'app; il resto del tuo Drive l'app non lo vede). Si aggiorna al massimo ogni 30 minuti. Il file è cifrato sul telefono prima di partire, con una chiave che Google non ha: né Google né noi possiamo leggerlo. Il rapporto con Google Drive è fra te e Google; noi non riceviamo la copia. Puoi spegnere il salvataggio quando vuoi e cancellare la copia (sezione 13).

8. L'abbonamento Pro

Il Pro si compra dentro l'app, con Google Play: pagamento, fattura e disdetta sono gestiti da Google, e noi non vediamo i dati della tua carta. Per sapere se il tuo Pro è attivo usiamo RevenueCat, che riceve da Google Play lo storico dei tuoi acquisti e l'identificativo del tuo account Google (non l'email, non dati dei pazienti). La libreria di RevenueCat nell'app non raccoglie l'identificativo pubblicitario.

9. L'accesso con Google

Entri con il tuo account Google. Google ci dà il tuo nome, la tua email e un identificativo del tuo account; per l'accesso vale anche l'informativa di Google (https://policies.google.com/privacy). Puoi togliere all'app l'accesso al tuo account da https://myaccount.google.com/connections.

10. A chi arrivano i dati

Non vendiamo dati e non li diamo a nessuno per pubblicità. Li trattano per nostro conto, come responsabili o sub-responsabili:

• Google Cloud EMEA Limited (Irlanda): il nostro servizio (Cloud Run, Milano), il contatore (Firestore, Milano), i registri tecnici, la trascrizione con Gemini (Vertex AI, area Unione europea);
• RevenueCat, Inc. (Stati Uniti): lo stato dell'abbonamento.

Sono invece titolari autonomi, per i servizi che usi con loro: Google (accesso con Google, Google Drive) e Google Play (pagamenti).

Potremmo dover comunicare dati alle autorità, solo se la legge lo impone.

11. Dati fuori dall'Unione europea

Il nostro servizio, il contatore e la trascrizione sono nell'Unione europea. Fuori dall'Unione vanno:

• verso RevenueCat negli Stati Uniti: l'identificativo dell'account e lo storico degli acquisti, sulla base delle clausole contrattuali standard approvate dalla Commissione europea, incluse nell'accordo sul trattamento dei dati di RevenueCat;
• verso Google, che può usare sub-responsabili fuori dall'Unione per l'assistenza e la sicurezza, con le garanzie previste dal suo Cloud Data Processing Addendum.

12. Cosa non facciamo

• Non mostriamo pubblicità.
• Non usiamo strumenti di statistica, di tracciamento o di raccolta degli arresti anomali di terzi.
• Non usiamo l'identificativo pubblicitario del telefono.
• Non usiamo i tuoi dati né quelli dei tuoi pazienti per addestrare modelli di IA.
• Non prendiamo decisioni automatizzate che ti riguardano (art. 22 GDPR).

13. Eliminazione dell'account e dei dati

Qui sotto c'è come cancellare tutto quello che riguarda Diario Clinico AI di Local People Lab.

1. Se hai il Pro, prima disdici l'abbonamento su Google Play (Play Store → icona del profilo → Pagamenti e abbonamenti → Abbonamenti → Diario Clinico AI → Annulla). Eliminare l'account non ferma i pagamenti: li gestisce Google.

2. Dall'app: Altro → Elimina account. In un passo solo cancella per sempre il diario dal telefono (pazienti, agenda, note e la loro chiave), la copia su Google Drive e i dati che teniamo noi (identificativo dell'account, contatore delle note, cliente su RevenueCat). Serve la connessione. Non si torna indietro: il diario si recupera solo da un backup fatto a mano prima, col codice di recupero.

3. Se non hai più l'app, o non riesci a usarla:

• la copia su Google Drive la cancelli da Google Drive sul computer: Impostazioni (ingranaggio) → Gestisci app → Diario Clinico AI → Opzioni → Elimina dati app nascosti;
• per i dati che teniamo noi scrivi a info@localpeoplelab.com con oggetto «Eliminazione account Diario Clinico AI», dall'indirizzo del tuo account Google (o indicandolo nel messaggio). Non serve reinstallare l'app. Cancelliamo tutto entro 30 giorni e ti rispondiamo quando è fatto.

4. I backup fatti a mano (Altro → Backup e dati) li cancelli tu, dove li hai salvati.

Dopo la cancellazione restano solo:

• i registri tecnici di Google Cloud (indirizzo IP, ora della richiesta), che si cancellano da soli entro 30 giorni;
• i dati che Google Play tiene per i pagamenti e per gli obblighi fiscali, come venditore, secondo la sua informativa.

5. Togli all'app l'accesso al tuo account Google, se vuoi: https://myaccount.google.com/connections.

14. I tuoi diritti

Puoi chiederci in ogni momento di accedere ai tuoi dati, correggerli, cancellarli, limitarne l'uso, riceverli in un formato leggibile (portabilità), e opporti al trattamento basato sul legittimo interesse (artt. 15-21 GDPR), scrivendo a info@localpeoplelab.com. Rispondiamo entro un mese.

Hai diritto di proporre reclamo al Garante per la protezione dei dati personali (https://www.garanteprivacy.it) o all'autorità del paese dove vivi o lavori.

I pazienti che vogliono esercitare i loro diritti sui dati del diario devono rivolgersi al professionista che li ha in cura, che ne è titolare: noi non abbiamo i loro dati. Se ci scrivono, li indirizziamo a lui.

15. Minori

L'app è per professionisti maggiorenni e non raccoglie consapevolmente dati di minori come utenti. I dati di pazienti minorenni che un professionista inserisce nel diario restano sotto la sua responsabilità di titolare.

16. Modifiche

Se cambiamo questa informativa aggiorniamo la data in alto e, se il cambiamento è importante, lo diciamo nell'app.