Informativa sul trattamento dei dati personali dei Pazienti Registrati

Ai sensi e per gli effetti degli artt. 13 e 14 del Regolamento UE 2016/679 ("GDPR")

---

PREMESSA — Ruolo di BIDOC SRL e del Terapeuta

Funzionabene è una piattaforma tecnologica gestita da BIDOC SRL che consente di mettere in contatto persone che desiderano intraprendere un percorso di supporto psicologico ("Pazienti" o "Utenti") con psicologi e psicoterapeuti liberi professionisti ("Terapeuti"), regolarmente iscritti al rispettivo Albo professionale.

BIDOC SRL non è una struttura sanitaria ai sensi della normativa italiana e non eroga direttamente prestazioni psicologiche, cliniche o sanitarie. La prestazione professionale è resa in piena autonomia clinica dal Terapeuta scelto dall'Utente, il quale opera sotto la propria esclusiva responsabilità professionale e deontologica ai sensi della Legge 56/1989 e del Codice Deontologico degli Psicologi Italiani.

Ai fini della presente informativa il trattamento dei dati personali del Paziente è organizzato su due livelli autonomi e distinti:

• Sezione A — Trattamenti di titolarità autonoma di BIDOC SRL, relativi alla gestione della piattaforma, dell'account, dei pagamenti, del matching iniziale e delle comunicazioni di servizio;
• Sezione B — Trattamenti di titolarità autonoma del Terapeuta scelto dall'Utente, relativi ai dati clinici raccolti nell'ambito del percorso di cura. Per tali trattamenti BIDOC SRL agisce come Responsabile del Trattamento ex art. 28 GDPR, limitandosi all'ospitalità tecnica dei dati per conto del Terapeuta.

---

SEZIONE A — Trattamenti di titolarità di BIDOC SRL

A.1 Titolare del trattamento

BIDOC SRL

• Sede legale: Via Mazzini, 62 – 33097 Spilimbergo (PN)
• P. IVA e Codice Fiscale: 01985930930
• Iscrizione REA: PN-377600
• PEC: bidocsrl@pecimprese.it
• Email: info@bidoc.it
• Marchio commerciale: Funzionabene (www.funzionabene.it)

A.2 Responsabile della Protezione dei Dati (DPO)

• Caio Silvestre Richieri – C.F.: SLVCAI76D16Z602F
• Email dedicata: privacy@bidoc.it

A.3 Categorie di dati trattati da BIDOC SRL

Nell'ambito delle finalità di titolarità di BIDOC SRL sono trattate le seguenti categorie di dati personali:

• Dati anagrafici e identificativi: nome, cognome, data di nascita, sesso, codice fiscale;
• Dati di contatto: indirizzo email, numero di telefono, indirizzo di residenza;
• Dati di autenticazione: username, password (memorizzata in forma cifrata tramite hashing bcrypt);
• Dati di pagamento: informazioni sulla carta trattate direttamente da Stripe; BIDOC riceve unicamente l'esito della transazione e un token identificativo;
• Dati fiscali: quelli necessari per l'emissione della fattura elettronica in nome e per conto del Terapeuta ai sensi del rapporto di mandato all'incasso con rappresentanza;
• Dati del questionario iniziale: risposte fornite dall'Utente per ricevere la proposta dei Terapeuti più adatti, comprensive di informazioni sullo stato d'animo, tipologia di supporto ricercato, preferenze relative al Terapeuta (che possono costituire categorie particolari di dati ex art. 9 GDPR – dati relativi alla salute);
• Dati di utilizzo della piattaforma: log di accesso, indirizzo IP, dispositivo, cronologia delle prenotazioni e degli appuntamenti;
• Dati di comunicazione: contenuti dei messaggi di supporto o assistenza scambiati con Funzionabene.

In caso di account creato per un minore da parte di chi esercita la responsabilità genitoriale potranno essere richiesti anche documenti di identità e provvedimenti giudiziali relativi all'affidamento del minore, al fine di garantire il rispetto del quadro civilistico e la tutela del minore.

A.4 Finalità, basi giuridiche e conservazione

#	Finalità	Base giuridica	Conservazione
A1	Registrazione e gestione dell'account (creazione utenza, autenticazione, gestione profilo, comunicazioni di servizio)	Art. 6.1.b GDPR – Esecuzione del contratto	Per tutta la durata dell'account e successivamente 36 mesi dalla cessazione dell'utenza
A2	Gestione del questionario iniziale e proposta dei Terapeuti più adatti all'Utente sulla base delle risposte fornite	Dati comuni: Art. 6.1.b GDPR (misure precontrattuali). Dati particolari (salute): Art. 9.2.a GDPR – consenso esplicito dell'interessato	12 mesi dalla compilazione se non seguita da prenotazione; le risposte sono trasmesse al Terapeuta scelto in occasione della prima seduta e da quel momento sono trattate dal Terapeuta ai sensi della Sezione B
A3	Gestione delle prenotazioni, degli appuntamenti e delle sedute televisita (calendario, promemoria, link videochiamata Daily.co, riprogrammazione, cancellazione)	Art. 6.1.b GDPR – Esecuzione del contratto	36 mesi dalla cessazione dell'utenza
A4	Gestione dei pagamenti e delle fatture con il modello di mandato all'incasso con rappresentanza conferito dal Terapeuta a BIDOC SRL	Art. 6.1.b GDPR (contratto) + Art. 6.1.c GDPR (obblighi di legge fiscali e contabili)	10 anni per obblighi civilistici e fiscali (art. 2220 c.c., DPR 600/1973)
A5	Rimborsi e gestione delle controversie relative alle transazioni	Art. 6.1.b GDPR + Art. 6.1.f GDPR (legittimo interesse alla tutela dei propri diritti)	10 anni
A6	Comunicazioni di servizio (email transazionali via Resend, SMS via Twilio: reminder appuntamento, conferme, notifiche di modifica)	Art. 6.1.b GDPR – Esecuzione del contratto	Per la durata del contratto
A7	Marketing diretto via email, SMS, notifiche relative a servizi, contenuti, iniziative promozionali di Funzionabene o di partner selezionati	Art. 6.1.a GDPR – Consenso specifico e revocabile	Fino a revoca del consenso e comunque non oltre 36 mesi dall'ultima interazione
A8	Analisi statistica e miglioramento del servizio su dati aggregati o pseudonimizzati (es. sondaggi di gradimento, analisi delle prenotazioni)	Art. 6.1.f GDPR – Legittimo interesse al miglioramento del servizio	36 mesi dalla cessazione dell'utenza, poi anonimizzazione irreversibile
A9	Adempimenti fiscali, contabili, antiriciclaggio e altri obblighi normativi	Art. 6.1.c GDPR – Obblighi di legge	Per il periodo previsto dalle normative applicabili (10 anni per obblighi fiscali)
A10	Difesa in sede giudiziaria o stragiudiziale di eventuali diritti del Titolare, propri o di terzi	Art. 6.1.f GDPR + Art. 9.2.f GDPR (per dati particolari, ove necessari)	Per il tempo necessario alla difesa e successivi termini prescrizionali

Il conferimento dei dati per le finalità A1, A2, A3, A4, A6, A9 è necessario per la fruizione del servizio; il mancato conferimento comporta l'impossibilità di erogare il servizio.

Il conferimento per le finalità A7 (marketing) e per l'utilizzo delle risposte del questionario ai fini della proposta del Terapeuta (finalità A2, componente sanitaria) è facoltativo e subordinato al consenso specifico dell'interessato, revocabile in qualsiasi momento senza pregiudizio per la fruizione del servizio (fatta eccezione per la componente di matching della A2, senza la quale non è possibile ricevere la proposta del Terapeuta).

A.5 Utente cessato

L'Utente si considera cessato dopo 36 mesi di inattività (nessuna azione sulla piattaforma) o a seguito di richiesta esplicita di cancellazione. Trascorso tale termine i dati vengono anonimizzati in modo irreversibile o cancellati in modo sicuro, salvo obblighi di conservazione previsti dalla legge (es. dati fiscali per 10 anni).

A.6 Destinatari dei dati

I dati personali possono essere comunicati a:

• Personale autorizzato di BIDOC SRL specificamente istruito;
• Terapeuta scelto dall'Utente: al momento della prenotazione, il Terapeuta riceve i dati identificativi del Paziente e le risposte al questionario iniziale (con consenso ex art. 9.2.a). Da quel momento il Terapeuta è titolare autonomo del trattamento dei dati clinici (vedi Sezione B);
• Fornitori tecnologici nominati Responsabili del Trattamento ex art. 28 GDPR:
  • Hosting cloud in UE;
  • Resend – email transazionali;
  • Twilio – SMS e verifica telefonica;
  • Stripe – gestione pagamenti;
  • Daily.co – piattaforma videochiamate;
• Consulenti professionali (commercialista, legale, revisore) nei limiti dello stretto necessario;
• Autorità competenti in caso di richieste legittime ai sensi di legge.

I dati non vengono in alcun caso diffusi a soggetti indeterminati.

A.7 Trasferimento extra-UE

I dati sono conservati su server situati all'interno del SEE. Nel caso di trasferimenti verso Paesi terzi (in particolare per servizi come Twilio, Stripe o strumenti di analisi/marketing di terze parti), il trasferimento avverrà esclusivamente sulla base di:

• decisione di adeguatezza della Commissione Europea (art. 45 GDPR, es. EU-U.S. Data Privacy Framework);
• garanzie adeguate (art. 46 GDPR – Clausole Contrattuali Standard);
• deroghe specifiche (art. 49 GDPR).

A.8 Videochiamata televisita (Daily.co)

Le sedute in televisita sono erogate tramite la piattaforma tecnica Daily.co. BIDOC SRL non registra, non memorizza e non conserva in alcun modo audio, video, immagini o comunicazioni scambiate durante la seduta. Il flusso video e audio è trattato in tempo reale ed esclusivamente per la durata della seduta. Eventuali registrazioni sono possibili unicamente su iniziativa del Terapeuta, previo consenso informato specifico dell'Utente, e restano di titolarità esclusiva del Terapeuta stesso (vedi Sezione B).

---

SEZIONE B — Trattamenti di titolarità autonoma del Terapeuta

B.1 Titolare del trattamento clinico

Titolare autonomo del trattamento dei dati clinici raccolti nell'ambito del percorso di cura è il Terapeuta scelto dall'Utente, in qualità di libero professionista iscritto all'Albo degli Psicologi. I dati identificativi del Terapeuta (nome, cognome, iscrizione all'Ordine, sede, P. IVA) sono resi disponibili all'Utente sulla propria pagina profilo pubblicata sulla piattaforma Funzionabene.

Ogni Terapeuta pubblica sulla propria pagina profilo la propria informativa privacy specifica ex art. 13 GDPR, che integra la presente e disciplina in dettaglio il trattamento dei dati clinici.

B.2 Categorie di dati trattati dal Terapeuta

Il Terapeuta, nell'ambito del rapporto professionale con il Paziente, tratta le seguenti categorie di dati:

• Dati identificativi e di contatto del Paziente ricevuti dalla piattaforma;
• Dati del questionario iniziale condivisi dall'Utente con il Terapeuta al momento della prima prenotazione;
• Categorie particolari di dati ex art. 9 GDPR – dati relativi alla salute: anamnesi, storia clinica, informazioni sullo stato di salute psicologica, note terapeutiche, diario delle sedute;
• Contenuto della comunicazione clinica paziente-terapeuta (chat, email);
• Eventuali registrazioni delle sedute effettuate dal Terapeuta previo esplicito consenso informato dell'Utente.

B.3 Finalità e basi giuridiche del trattamento clinico

#	Finalità	Base giuridica	Conservazione
B1	Erogazione della prestazione professionale di consulenza, sostegno psicologico e psicoterapia, incluse la valutazione, la diagnosi, il percorso terapeutico e la relazione clinica	Art. 9.2.h GDPR – Necessità di diagnosi, assistenza o terapia sanitaria + Art. 2-septies D.Lgs. 196/2003 (Codice Privacy)	Minimo 5 anni ai sensi dell'art. 17 del Codice Deontologico degli Psicologi Italiani, o per il maggior termine previsto dalla legge
B2	Tenuta della documentazione clinica (cartella clinica, note terapeutiche)	Art. 9.2.h GDPR + obblighi deontologici	Minimo 5 anni
B3	Adempimenti fiscali del Terapeuta relativi alla prestazione erogata (con emissione della fattura anche tramite mandato all'incasso conferito a BIDOC SRL)	Art. 6.1.c GDPR	10 anni
B4	Difesa in sede giudiziaria del Terapeuta	Art. 6.1.f + Art. 9.2.f GDPR	Per il tempo necessario alla difesa

B.4 Ruolo di BIDOC SRL nella Sezione B

Con riferimento ai trattamenti di cui alla Sezione B, BIDOC SRL agisce come Responsabile del Trattamento ex art. 28 GDPR per conto del Terapeuta, limitandosi all'ospitalità tecnica dei dati sui propri server, alle infrastrutture di comunicazione (email, SMS, videochiamata) e alle misure di sicurezza tecnica. BIDOC SRL non accede al contenuto delle comunicazioni cliniche, delle sedute, delle note e delle cartelle, salvo nei limiti strettamente necessari alla manutenzione tecnica, alla sicurezza o all'adempimento di ordini dell'Autorità.

Le condizioni di tale rapporto sono disciplinate dall'Accordo di nomina a Responsabile del Trattamento sottoscritto tra BIDOC SRL e ciascun Terapeuta all'atto dell'onboarding, il cui estratto è consultabile nella Informativa Privacy Terapeuti.

B.5 Destinatari dei dati clinici

I dati clinici trattati dal Terapeuta possono essere condivisi esclusivamente con:

• Colleghi in eventuale équipe clinica, previo consenso dell'interessato;
• Autorità competenti in caso di obblighi di legge;
• Autorità giudiziarie in caso di procedimenti;
• BIDOC SRL come Responsabile del Trattamento per la sola ospitalità tecnica.

I dati clinici non sono comunicati a terzi per finalità di marketing o commerciali.

---

SEZIONE C — Diritti dell'interessato e disposizioni comuni

C.1 Diritti dell'interessato

L'Utente può in qualsiasi momento esercitare i diritti previsti dagli artt. 15-22 GDPR:

• Accesso ai dati personali (art. 15);
• Rettifica di dati inesatti (art. 16);
• Cancellazione ("diritto all'oblio") (art. 17);
• Limitazione del trattamento (art. 18);
• Portabilità dei dati (art. 20);
• Opposizione al trattamento (art. 21);
• Revoca del consenso (art. 7);
• Reclamo al Garante Privacy (art. 77).

C.2 Modalità di esercizio dei diritti

Per i trattamenti di Sezione A (BIDOC SRL) — richieste da inviare a:

• Email: privacy@bidoc.it
• PEC: bidocsrl@pecimprese.it
• Posta: BIDOC SRL, Via Mazzini 62, 33097 Spilimbergo (PN)
• oppure tramite l'apposita sezione "Privacy e i miei dati" disponibile nell'area personale dell'Utente sulla piattaforma.

Per i trattamenti di Sezione B (Terapeuta) — richieste da inviare direttamente al Terapeuta secondo i contatti indicati sulla sua pagina profilo. In alternativa, l'Utente può indirizzare la richiesta a privacy@bidoc.it: BIDOC SRL provvederà a trasmetterla al Terapeuta competente entro 5 giorni lavorativi.

C.3 Diritto di reclamo

L'Utente ha diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali – www.garanteprivacy.it – o all'autorità di controllo dello Stato UE di residenza abituale, di lavoro o del luogo dove si è verificata la presunta violazione (art. 77 GDPR).

C.4 Sicurezza del trattamento

BIDOC SRL adotta misure tecniche e organizzative adeguate al rischio ai sensi dell'art. 32 GDPR, tra cui:

• Cifratura in transito (HTTPS/TLS) e a riposo dove tecnicamente possibile;
• Controllo degli accessi basato su ruoli (RBAC) e principio del minimo privilegio;
• Autenticazione multi-fattore per il personale interno;
• Sistemi di logging, monitoraggio e rilevamento intrusioni;
• Backup periodici crittografati;
• Procedure di risposta agli incidenti e di notifica delle violazioni entro 72 ore ai sensi degli artt. 33-34 GDPR;
• Formazione del personale in materia di protezione dei dati;
• Data Processing Agreement (DPA) con tutti i fornitori nominati Responsabili ex art. 28 GDPR.

C.5 Modifiche alla presente informativa

La presente informativa potrà essere soggetta a modifiche. In caso di modifiche sostanziali l'Utente sarà informato via email e/o tramite avviso sulla piattaforma con adeguato preavviso.

---