Informativa sulla privacy

Versione: privacy-v2.2 · Ultimo aggiornamento: 13 ottobre 2026

Questa informativa spiega come CareToDoc tratta i tuoi dati personali, secondo il Regolamento generale sulla protezione dei dati dell'Unione europea (GDPR, Regolamento (UE) 2016/679) e il Codice in materia di protezione dei dati personali (D.Lgs. 196/2003 e successive modifiche). CareToDoc ti aiuta a gestire informazioni sulla tua salute: una parte dei dati che trattiamo sono quindi dati sanitari, una categoria particolare di dati (articolo 9 del GDPR), che trattiamo con cautele in più.

Questa informativa copre l'app CareToDoc e i servizi di account e di cloud che la fanno funzionare. Il sito caretodoc.com ha una sezione dedicata («Questo sito») nella propria pagina privacy. Non copre i servizi di terzi che raggiungi dall'app (per esempio l'App Store di Apple, Google Play, l'app Salute di Apple o Health Connect su Android), che hanno le proprie informative.

Il sito caretodoc.com è solo informativo: non ha moduli né account e non carica pubblicità o contenuti da altri siti. L'unico strumento esterno è quello per le statistiche descritto qui sotto.

• Hosting e distribuzione. Il sito è ospitato e distribuito da Cloudflare, Inc. (Cloudflare Pages). Per consegnarti le pagine e proteggere il sito, Cloudflare tratta il tuo indirizzo IP e i dati tecnici della richiesta (per esempio pagina, data e ora, browser). Noi non conserviamo il tuo indirizzo IP; Cloudflare può tenerlo nei propri registri tecnici per un periodo limitato. Base giuridica: legittimo interesse a pubblicare il sito in modo sicuro (art. 6.1.f). Cloudflare agisce come nostro responsabile del trattamento; i trasferimenti verso gli Stati Uniti si basano sulla certificazione di Cloudflare nell'ambito dell'EU-U.S. Data Privacy Framework, con le Clausole contrattuali tipo della Commissione europea come garanzia di riserva.
• Statistiche del sito. Usiamo Cloudflare Web Analytics per contare in forma aggregata le visite (pagine viste, paese, tipo di dispositivo e browser, sito di provenienza). Non usa cookie, non salva nulla sul tuo dispositivo e non ti segue su altri siti; Cloudflare tratta l'indirizzo IP solo per consegnare il dato. Base giuridica: legittimo interesse a migliorare il sito (art. 6.1.f).
• Scelta della lingua. Quando apri l'indirizzo principale del sito ti mostriamo la lingua che hai scelto in precedenza; altrimenti l'italiano, se il tuo browser lo chiede, e in tutti gli altri casi l'inglese. Questa informazione serve solo a scegliere la pagina e il sito non la conserva.
• Cookie e memoria del browser. Il sito imposta un solo cookie tecnico, caretodoc_locale, che contiene solo il codice della lingua. Viene salvato solo se scegli una lingua dal menu e dura 1 anno. Quando chiudi l'avviso su cookie e privacy, il sito salva inoltre nella memoria del tuo browser (localStorage) un solo valore, caretodoc_privacy_note, per non riproportelo; non ha una scadenza e resta sul tuo dispositivo finché non lo cancelli. Per nessuno dei due serve il tuo consenso (art. 122 del Codice privacy e linee guida del Garante del 10 giugno 2021). Puoi cancellarli entrambi dalle impostazioni del browser.

Per l'app vale il resto di questa informativa.

Dati dell'account

• Il tuo indirizzo email, che serve a creare e identificare l'account. Se accedi con Google o, su iPhone, con Apple, l'indirizzo ce lo fornisce quel servizio; con l'opzione «Nascondi la mia email» di Apple può essere un indirizzo di inoltro generato da Apple.
• La password è gestita solo dal nostro fornitore di autenticazione (Firebase Authentication, un servizio di Google) e non viene mai salvata nell'app. Gli account creati con Google o Apple non hanno una password CareToDoc.
• Un identificativo tecnico dell'account e le date degli eventi dell'account (per esempio creazione e ultimo accesso).

Dati del profilo

• Obbligatori: nome, cognome e data di nascita. Nome e cognome compaiono nell'app e nell'intestazione dei referti. La data di nascita serve a verificare l'età minima (sezione 13) e a indicare l'età nei referti. Il sistema di misura ha un valore predefinito che puoi cambiare. Questi dati sono salvati con il tuo account perché l'app funzioni allo stesso modo su tutti i tuoi dispositivi.
• Il sesso, solo se lo indichi (è facoltativo). Serve solo a proporti un valore di partenza più adatto quando inserisci il peso; se lo indichi, è salvato con il tuo account come i dati qui sopra, e puoi toglierlo quando vuoi dal Profilo.
• Altezza e peso, solo se li indichi (sono facoltativi). Sono dati sanitari: compaiono nel profilo e nei referti, e CareToDoc non calcola nulla a partire da questi valori. Escono dal telefono solo con il backup nel cloud attivo (sezione 4).
• Una foto del profilo, se la aggiungi. Resta solo sul tuo telefono.
• Il tuo codice fiscale, solo se decidi di aggiungerlo. Serve a un'unica cosa: viene stampato nell'intestazione dei referti PDF, perché il medico ti riconosca e archivi il referto. È facoltativo per tutti; l'app ne controlla solo il formato e non ne ricava nulla. Puoi modificarlo o toglierlo quando vuoi dal Profilo.

Dati sanitari (categoria particolare, articolo 9)

• Il tuo piano di cura: farmaci, terapie e misurazioni da tenere sotto controllo, con orari, promemoria e scorte.
• Le tue registrazioni: dosi prese o saltate, valori delle misurazioni (per esempio pressione, frequenza cardiaca, glicemia, peso, temperatura, saturazione), eventi del calendario come visite e sintomi, con le note che aggiungi.
• Gli elementi che elimini e che restano per 90 giorni nel cestino, con il loro storico (sezione 4).
• Valori importati da Apple Health su iPhone o da Health Connect su Android (facoltativo, funzione Pro, solo se colleghi l'app e dai il permesso sul telefono): le misurazioni che approvi, limitate a frequenza cardiaca, frequenza cardiaca a riposo, ossigeno nel sangue, pressione, glicemia, peso e temperatura corporea. Scegli tu quanto indietro arrivare (30 giorni, 12 mesi, tutto o una data a tua scelta); lo storico più vecchio arriva come medie per periodo (su iPhone calcolate da Apple Health, su Android da CareToDoc sul telefono). Per ogni valore importato l'app conserva sul telefono anche la lettura originale (orario o periodo della media, numero di letture quando è noto, valore esatto, identificativo tecnico della lettura assegnato da Apple Health o da Health Connect).
• Intervalli personali (facoltativi): il minimo e il massimo che puoi indicare per una misurazione, con la data da cui valgono. Nei referti compaiono come «inseriti da te».
• Le impostazioni dei referti che crei per un medico o per chi ti assiste, e i referti PDF.

Dati dell'abbonamento

• Il tuo piano (Free o Pro, compreso il primo mese di Pro) e le sue date. Il pagamento lo gestisce lo store da cui acquisti, l'App Store di Apple o Google Play: non vediamo né conserviamo mai i dati della tua carta.
• La data di inizio del primo mese di Pro incluso, registrata nel tuo spazio account con l'ora dei nostri server, insieme all'impronta del tuo indirizzo email con cui il mese è partito (vedi «Dati anti-abuso»). Serve a far valere i giorni rimasti del mese su ogni telefono con cui accedi, anche dopo una reinstallazione.

Preferenze

• Le tue scelte sulle email (Consigli e Offerte).
• Le preferenze dell'app, come lingua, suoni, vibrazione e nomi nelle notifiche: restano sul telefono. La lingua viene comunicata a Firebase solo per scriverti nella tua lingua le email di conferma dell'indirizzo e di reimpostazione della password. Se non hai spento le statistiche d'uso anonime, la lingua dell'app arriva anche a TelemetryDeck, come segnale anonimo (vedi sotto).

Dati anti-abuso

• Il primo mese di Pro incluso spetta una sola volta per indirizzo email. Quando il tuo mese inizia conserviamo un'impronta (hash SHA-256) del tuo indirizzo email, insieme all'identificativo tecnico dell'account e alla data di inizio. L'impronta non contiene l'indirizzo, ma chi conosce già un indirizzo può verificare se corrisponde: per questo la trattiamo come dato personale (pseudonimizzato). Un segno dello stesso tipo resta anche sul telefono.

Registrazioni dei consensi

• Quando dai o revochi un consenso ne conserviamo traccia (quale consenso, la versione del testo, data e ora, come l'hai dato, l'email dell'account, il sistema del telefono (iOS o Android) e la lingua dell'app), per poterlo dimostrare come richiede il GDPR.

Dati tecnici di connessione

• Quando l'app si collega ai servizi descritti nella sezione 6, questi ricevono l'indirizzo IP e dati tecnici del dispositivo (per esempio modello, versione del sistema e dell'app), come accade per ogni collegamento via Internet. L'app non contiene strumenti di analisi degli errori o di pubblicità; le uniche statistiche sono le statistiche d'uso anonime descritte qui sotto.

Statistiche d'uso anonime

• Se non le spegni, l'app invia a TelemetryDeck segnali anonimi su come viene usata: l'apertura dell'app, le schede che apri, i passaggi della registrazione e del tutorial, l'aggiunta di qualcosa al piano di cura (senza dire cosa né di che tipo), il fatto che hai registrato o modificato qualcosa in Oggi, al massimo una volta per ogni avvio dell'app (senza dire cosa, quante volte, né se una dose è stata presa o saltata), la creazione e la condivisione di un referto (solo il formato), l'apertura della pagina dei piani, l'avvio, la conclusione, l'annullamento o il mancato completamento di un acquisto (solo mensile o annuale), il ripristino degli acquisti, l'accensione e lo spegnimento del backup, la lingua dell'app, l'apertura dell'app dal widget o, su iPhone, con Siri e il fatto che «Prendi tutto» nel widget abbia registrato delle dosi, al massimo una volta per ogni avvio dell'app (senza dire quali dosi, quante volte né di quale parte della giornata). Ogni segnale porta con sé dati tecnici generici aggiunti dalla libreria di TelemetryDeck: per esempio modello e versione del sistema, versione dell'app, lingua, paese e fuso orario impostati sul telefono, giorno e ora dell'invio, contatori d'uso (per esempio numero di sessioni e di giorni di utilizzo) e alcune impostazioni di accessibilità del telefono (dimensione del testo, testo in grassetto, riduzione del movimento e della trasparenza, colori invertiti o più scuri, differenziazione senza colore).
• I segnali non contengono mai dati sanitari, nomi di farmaci o di misurazioni, valori, note, il tuo nome, l'email, il codice fiscale, l'identificativo del tuo account o altro testo che scrivi. Per contare gli utilizzi senza sapere chi sei, la libreria di TelemetryDeck trasforma sul telefono un identificativo casuale del dispositivo in un'impronta (hash con sale) prima dell'invio; TelemetryDeck non conserva l'indirizzo IP.
• Puoi spegnerle quando vuoi in Profilo → Preferenze → «Statistiche d'uso anonime» (acceso per impostazione predefinita): da quel momento l'app non invia più nulla.

Messaggi che ci scrivi

• Se scrivi a support@caretodoc.com trattiamo il tuo indirizzo e quello che ci scrivi, solo per risponderti.

Trattiamo solo i dati che servono alla funzione che usi.

Sul telefono. L'app funziona prima di tutto sul telefono: il piano di cura, le registrazioni, i referti e il cestino sono salvati nel database dell'app sul tuo dispositivo, che resta la copia di riferimento. Se hai attivato il backup dell'iPhone (su iCloud o su un computer), i dati dell'app, compresi i dati sanitari, i referti e la foto del profilo, sono compresi in quel backup come gli altri dati del telefono: lo gestisci tu, con le regole di Apple. Su Android i dati di CareToDoc non sono inclusi nel backup del telefono (il backup di Google) né nel trasferimento dei dati a un nuovo telefono: per ritrovarli su un altro telefono usa il backup nel cloud di CareToDoc (sezione 4; il ripristino su un altro telefono è una funzione Pro).

Nel tuo spazio account privato, nell'Unione europea (Cloud Firestore, regione europea). Qui si trovano sempre: il profilo (nome, cognome, data di nascita, sistema di misura e, se lo hai indicato, il sesso), l'indirizzo email, le registrazioni dei tuoi consensi e una copia dello stato del tuo piano; da quando parte il primo mese di Pro incluso, anche la sua data di inizio con l'impronta dell'email (sezione 2). La copia dello stato del piano l'app non la rilegge: la teniamo solo come riferimento per l'assistenza, quando ci scrivi; lo stato che conta è quello gestito da RevenueCat e dallo store (App Store o Google Play). Se attivi il backup, qui si trova anche il backup (sezione 4). Togliere i dati da un telefono non cancella lo spazio account; eliminare l'account sì.

Dati di accesso. Email, credenziali e identificativo tecnico sono trattati da Firebase Authentication negli Stati Uniti, con le garanzie descritte nella sezione 6.

Cosa non viene mai caricato da CareToDoc sui suoi server: i file PDF dei referti, gli intervalli personali, la foto del profilo, i valori importati da Apple Health o da Health Connect che non hai corretto e le letture originali dietro di essi. Un valore importato che correggi a mano diventa un tuo dato e segue le regole del backup, mantenendo l'etichetta della sua fonte («Apple Health» o «Health Connect»).

I referti salvati stanno nella cartella di CareToDoc sul telefono. Su iPhone è visibile nell'app File di iOS: puoi aprirli, copiarli, spostarli o eliminarli anche senza passare dall'app. Su Android resta nella memoria riservata all'app: li apri, li condividi o li elimini dall'app. Chi riesce a sbloccare il telefono può vederli. Disinstallando l'app la cartella viene eliminata. Quando condividi un referto (email, messaggi…), lo ricevono l'app e le persone che scegli tu, secondo le loro regole.

Apple Health. CareToDoc legge Apple Health solo dopo che lo colleghi e approvi l'accesso in iOS, solo in lettura (non scrive mai in Apple Health) e solo per riempire valori che non hai inserito tu. I dati di Apple Health non vengono mai usati per pubblicità o marketing né ceduti a terzi. Puoi revocare l'accesso quando vuoi dall'app Salute o dalle Impostazioni di iOS. In CareToDoc la trovi in Profilo → Apple Health.

Health Connect (Android). CareToDoc legge Health Connect solo dopo che lo colleghi e approvi l'accesso sul telefono, solo in lettura (non scrive mai in Health Connect) e solo per riempire valori che non hai inserito tu. I dati di Health Connect restano sul telefono (non li carichiamo sui nostri server, salvo un valore che correggi a mano, come per Apple Health), non vengono mai usati per pubblicità o marketing né venduti o ceduti a terzi. L'uso delle informazioni ricevute da Health Connect rispetta le norme di Google sulle autorizzazioni di Health Connect, compresi i requisiti di uso limitato. Puoi revocare l'accesso quando vuoi dall'app Health Connect o dalle Impostazioni di Android. Revocare l'accesso non cancella i valori già importati: restano in CareToDoc finché non li elimini, togli i dati dal telefono, elimini l'account o disinstalli l'app. In CareToDoc lo trovi in Profilo → Health Connect.

Il backup è facoltativo e parte solo dopo che hai dato il tuo consenso esplicito, su qualunque piano. Senza backup, i tuoi dati sanitari restano sul telefono.

Cosa contiene: il piano di cura, le registrazioni, gli eventi, le impostazioni dei referti, gli elementi nel cestino e, se li hai indicati, altezza e peso e il codice fiscale. È conservato nel tuo spazio account privato nell'Unione europea.

Come funziona. L'app aggiorna il backup da sola, circa 30 secondi dopo l'ultima modifica e, se una modifica è ancora in attesa, quando esci dall'app. Oltre a caricare, l'app legge il tuo backup, con le stesse protezioni, per questi scopi:

• con Pro, per tenere allineati i tuoi dispositivi: scarica le modifiche fatte altrove quando apri l'app, quando ci torni e, mentre è aperta, a intervalli regolari (ogni minuto, più di rado se non stai facendo nulla). Il ripristino dei dati su un nuovo telefono è una funzione Pro;
• su tutti i piani, per gestire le cancellazioni e le unioni: per chiederti se unire i dati di un telefono a un backup che ne contiene già; per segnare o togliere la data di cancellazione degli elementi che sposti nel cestino o ripristini; prima di cancellare un elemento al novantesimo giorno, per controllare che non sia stato ripristinato su un altro tuo dispositivo. Sul piano Free l'app usa solo le informazioni che servono a queste verifiche e non copia altro nei tuoi dati sul telefono; la libreria di Firebase può tenerne una copia temporanea nella propria memoria sul dispositivo, che viene svuotata quando togli i dati dal telefono o cambi account.

Dati di un altro account. Se su un telefono ci sono dati di cura che non risultano creati con il tuo account, prima di salvarli nel tuo backup l'app ti chiede se sono tuoi (anche se li hai inseriti per una persona che assisti). Finché non rispondi, da quel telefono non parte nulla.

Cestino. Quando elimini un farmaco o una misurazione, va nel cestino con tutto il suo storico, sul telefono e, se il backup è attivo, anche nel backup.

• Dopo 90 giorni viene cancellato definitivamente: sul telefono alla prima apertura dell'app dopo la scadenza; nel backup, dal cloud stesso, di norma entro 24 ore dalla scadenza, anche se nessun telefono si collega più. Fanno eccezione i due casi descritti più sotto (elemento ripristinato su un altro dispositivo, cestino con backup spento).
• «Elimina definitivamente», in Profilo → Recupera farmaci e misurazioni, lo cancella subito, su qualunque piano.
• «Ripristina» è una funzione Pro. Se il tuo piano Pro termina mentre un elemento è nel cestino, non potrai più ripristinarlo e sarà cancellato al novantesimo giorno.
• Se nel frattempo lo hai ripristinato su un altro tuo dispositivo, non viene cancellato. Su un telefono con il piano Free, che non scarica le modifiche dal backup, resta nascosto nel cestino di quel telefono, senza una data di scadenza, finché il telefono non riceve le modifiche dal backup (con Pro).
• Se sposti un elemento nel cestino mentre il backup è spento, nel backup resta la copia precedente (non nel cestino), che non ha la data di cancellazione dei 90 giorni.
• L'esportazione dei dati (sezione 11) comprende anche il cestino, su ogni piano.

Più dispositivi. Se usi lo stesso account su più dispositivi, i dati restano sul telefono di ciascuno, ma per il cloud vale l'ultima scelta che fai: spegnere il backup, eliminare la copia nel cloud o revocare il consenso ai dati sanitari vale per tutto l'account, e tutti i tuoi dispositivi smettono di caricare dati. Se poi riaccendi il backup su un dispositivo, riprende anche sugli altri, tranne quelli su cui hai scelto «Non ora» per la sincronizzazione. Se avevi eliminato la copia nel cloud, riaccendere il backup la ricostruisce da tutti i tuoi dispositivi: ognuno di quelli su cui la sincronizzazione è attiva carica di nuovo tutti i dati di cura che contiene, cestino compreso.

Doppioni. Se lo stesso farmaco o la stessa misurazione compare due volte nel tuo piano di cura (stesso nome, dose o unità, orari e ripetizione), per esempio perché è stato aggiunto su due dispositivi prima che si sincronizzassero, l'app unisce le due copie in una, con qualsiasi piano, conservando tutto quello che hai registrato. Se le due copie hanno risposte diverse per la stessa dose, la dose conta come presa e l'altra risposta resta come voce in più che il referto non conta; puoi correggerla nell'app.

Spegnere il backup. Da Profilo → Backup nel cloud puoi spegnerlo: i backup futuri si fermano su tutti i tuoi dispositivi e i dati restano sui telefoni. Altezza, peso e codice fiscale vengono tolti dal cloud già quando lo spegni. Spegnerlo non cancella il resto della copia nel cloud. Per cancellarla, scegli «Disattiva ed elimina» nel momento in cui lo spegni oppure, in seguito, «Elimina la copia nel cloud» nella stessa pagina, che compare quando il backup è spento e nel cloud c'è ancora una copia. La cancella anche la revoca del consenso ai dati sanitari (sezione 11).

• Creare e gestire l'account; tenere il profilo su tutti i tuoi dispositivi; verificare l'età minima. Dati: Account, profilo. Base giuridica: Contratto, art. 6.1.b.
• Far funzionare l'app con il tuo piano di cura e le tue registrazioni, compresi altezza e peso. Dati: Dati sanitari. Base giuridica: Consenso esplicito, art. 9.2.a e 6.1.a.
• Backup nel cloud, sincronizzazione, ripristino e gestione del cestino nel backup. Dati: Dati sanitari (compresi altezza e peso), codice fiscale. Base giuridica: Consenso esplicito, art. 9.2.a e 6.1.a.
• Stampare il codice fiscale nei referti. Dati: Codice fiscale. Base giuridica: Contratto, art. 6.1.b (funzione che chiedi tu).
• Gestire l'abbonamento Pro su più dispositivi (tramite RevenueCat). Dati: Identificativi tecnici, dati degli acquisti e dell'abbonamento. Base giuridica: Contratto, art. 6.1.b.
• Inviarti le email dell'account (conferma dell'indirizzo, reimpostazione della password). Dati: Email. Base giuridica: Contratto, art. 6.1.b.
• Collegare l'app ai servizi e proteggerli. Dati: Indirizzo IP, dati tecnici del dispositivo, attestazione che l'app è quella originale (App Check, sezione 8). Base giuridica: Contratto, art. 6.1.b; legittimo interesse alla sicurezza, art. 6.1.f.
• Far valere il primo mese di Pro incluso su tutti i tuoi dispositivi. Dati: Data di inizio del mese incluso, impronta dell'email. Base giuridica: Contratto, art. 6.1.b.
• Concedere il primo mese di Pro una sola volta per email. Dati: Impronta dell'email, identificativo tecnico, data di inizio. Base giuridica: Legittimo interesse, art. 6.1.f (prevenzione degli abusi).
• Conservare la prova dei consensi. Dati: Registrazioni dei consensi. Base giuridica: Legittimo interesse a dimostrare il rispetto del GDPR, art. 6.1.f (artt. 5.2 e 7.1 GDPR).
• Capire come viene usata l'app, per migliorarla (statistiche d'uso anonime). Dati: Segnali d'uso anonimi, dati tecnici generici del dispositivo, impronta di un identificativo casuale del dispositivo. Base giuridica: Legittimo interesse a migliorare l'app, art. 6.1.f; puoi opporti in ogni momento spegnendo le statistiche (sezione 11).
• Rispondere ai tuoi messaggi e darti assistenza. Dati: Email, contenuto del messaggio, copia dello stato del piano. Base giuridica: Contratto, art. 6.1.b; obbligo di legge, art. 6.1.c, per le richieste sui tuoi diritti; se ci scrivi dati sanitari, li usiamo solo per risponderti, sulla base della tua scelta esplicita di inviarceli (art. 9.2.a).
• Inviarti Consigli e Offerte, solo se acconsenti. Dati: Email, nome, piano, scelte sulle email. Base giuridica: Consenso, art. 6.1.a.

Il consenso ai dati sanitari è necessario per usare CareToDoc: senza, l'app non può funzionare. Non sei mai obbligato a darlo e puoi revocarlo quando vuoi (sezione 11). Dove ci basiamo sul legittimo interesse puoi opporti (art. 21).

CareToDoc non prende decisioni automatiche e non fa profilazione che produca effetti giuridici o simili su di te (art. 22). Non trae conclusioni mediche e non deduce malattie dai nomi dei farmaci.

Non vendiamo i tuoi dati e non usiamo mai i dati sanitari per la pubblicità. Usiamo pochi fornitori («responsabili del trattamento») che agiscono su nostre istruzioni, con un accordo sul trattamento dei dati:

• Google — Firebase Authentication, Cloud Firestore e Firebase App Check. Firebase Authentication tratta i dati di accesso (email, credenziali, identificativo) negli Stati Uniti; Cloud Firestore conserva nell'Unione europea il tuo spazio account e, se lo attivi, il backup; Firebase App Check verifica che le richieste ai servizi arrivino dall'app CareToDoc originale (sezione 8).
• Google — Google Workspace, per la casella support@caretodoc.com: riceve i messaggi che ci scrivi.
• Cloudflare, Inc. (Stati Uniti) — instrada le email che invii a support@caretodoc.com verso la casella di Google Workspace: le tratta solo in transito, senza conservarle.
• RevenueCat, Inc. — gestisce lo stato dell'abbonamento su più dispositivi. Riceve un identificativo anonimo creato all'apertura dell'app e, dopo l'accesso, l'identificativo tecnico del tuo account; i dati degli acquisti sull'App Store o su Google Play; lo stato dell'abbonamento; dati tecnici del dispositivo e l'indirizzo IP. Non riceve nome, email o dati sanitari. Conserva i dati negli Stati Uniti.
• Brevo (Sendinblue SAS, Francia) — recapita le email del tuo account (conferma dell'indirizzo e reimpostazione della password), che Firebase Authentication invia tramite il servizio di Brevo: per questo riceve il tuo indirizzo email e il testo del messaggio. Oggi non inviamo Consigli né Offerte; se lo faremo, sarà solo a chi ha acconsentito e tramite Brevo, che riceverà anche nome, stato del piano e scelte sulle email. Mai dati sanitari.
• TelemetryDeck GmbH (Germania) — riceve le statistiche d'uso anonime (sezione 2), se non le hai spente, e le conserva su server nell'Unione europea. Non riceve mai dati sanitari, nome, email, codice fiscale o l'identificativo del tuo account, e non conserva l'indirizzo IP.

Agiscono invece come titolari autonomi:

• Apple, per i pagamenti dell'App Store (CareToDoc non riceve i dati di pagamento), per «Accedi con Apple» su iPhone (ci fornisce solo l'email del tuo account o un indirizzo di inoltro), per App Attest (sezione 8) e per l'app Salute sul tuo iPhone;
• Google, per i pagamenti di Google Play (CareToDoc non riceve i dati di pagamento), per «Accedi con Google» (ci fornisce l'email del tuo account Google; Firebase può registrare anche il nome e l'immagine del profilo Google associati all'account, che CareToDoc non usa), per Play Integrity (sezione 8) e per Health Connect sul tuo telefono Android.

Trasferimenti fuori dallo Spazio economico europeo. Per Google, la certificazione nell'ambito dell'EU-U.S. Data Privacy Framework, con le Clausole contrattuali tipo della Commissione europea come garanzia di riserva; per RevenueCat, le Clausole contrattuali tipo; per Cloudflare, la certificazione nell'ambito dell'EU-U.S. Data Privacy Framework. Puoi chiederne copia a support@caretodoc.com.

Le notifiche sono create e mostrate dal telefono stesso: nessun server le invia.

• Promemoria di cura. Per impostazione predefinita le notifiche mostrano il nome di farmaci, misurazioni ed eventi. Puoi nasconderli da Profilo → Preferenze → «Nascondi i nomi nelle notifiche e nel widget». Il widget (su iPhone nella schermata Home e di blocco, su Android nella schermata Home) mostra la parte della giornata in corso, quanti farmaci restano da prendere e quante misurazioni da fare in quella parte (solo il numero: mai il nome o il valore di una misurazione), il prossimo farmaco e la percentuale di oggi (farmaci e misurazioni); segue la stessa impostazione dei nomi. Il pulsante «Prendi tutto» del widget segna come presi i farmaci di quella parte della giornata ancora da prendere senza aprire l'app. Quando in quella parte della giornata non resta nulla da prendere, il pulsante diventa «Tutto preso» con la spunta verde: premerlo di nuovo rimette da prendere tutti i farmaci di quella parte, anche quelli saltati, e su iPhone, a telefono bloccato, chiede prima di sbloccarlo. Nell'app puoi correggere ogni dose. Il primo tocco, come «Prendi» e «Salta», può funzionare anche senza sbloccare il telefono.
• «Prendi» e «Salta». I promemoria di un singolo farmaco hanno questi due pulsanti, che funzionano anche a telefono bloccato, senza sbloccarlo (su Android, se il telefono mostra le notifiche sulla schermata di blocco). Chiunque abbia in mano il telefono può quindi rispondere; la dose resta registrata nell'app, dove puoi correggerla, e con il backup attivo arriva nel cloud come ogni altra modifica.
• Avvisi sul piano. Quando Pro ha una data di fine e non si rinnova da solo (sempre, durante il primo mese incluso), l'app mostra tre notifiche informative, alle 10: 7 giorni prima («Il tuo Pro termina il …»), 1 giorno prima («Domani termina il tuo Pro») e il giorno stesso («Oggi termina il tuo Pro»), quest'ultima solo se a quell'ora Pro è ancora attivo. Il testo è sempre «Rinnova il tuo piano per non perdere i vantaggi del Pro.» Non contengono dati sanitari. Puoi disattivarle in Profilo → Preferenze → «Avvisi sul piano Pro» (acceso per impostazione predefinita).

• Sul telefono i dati sono protetti dalla cifratura del sistema (iOS o Android), che li protegge davvero quando imposti un blocco dello schermo (codice, PIN, sequenza o password).
• Se attivi il blocco dell'app in Profilo → Preferenze («Richiedi Face ID per aprire CareToDoc» su iPhone, «Richiedi lo sblocco biometrico per aprire CareToDoc» su Android), l'app chiede Face ID, l'impronta o il riconoscimento del volto, oppure il blocco schermo del telefono, quando si apre. La verifica la fa il sistema del telefono: CareToDoc non riceve mai i tuoi dati biometrici e l'impostazione resta su questo telefono. Il widget e i pulsanti «Prendi» e «Salta» delle notifiche continuano a funzionare come descritto nella sezione 7.
• Il tuo spazio account e il backup sono protetti da regole di accesso per singolo account (ogni account raggiunge solo i propri dati) e sono cifrati durante il trasferimento e sui server del fornitore.
• Per proteggere i servizi dagli abusi, l'app chiede al sistema del telefono di attestare che è l'app CareToDoc originale (App Attest su iPhone, Play Integrity su Android) e invia questa attestazione a Firebase App Check (sezione 6). Oltre all'attestazione del dispositivo non contiene dati personali: mai i tuoi dati di cura, il tuo nome o la tua email.
• L'app non salva mai le password.
• «Rimuovi i miei dati da questo dispositivo», quando esci dall'account, cancella dal telefono i dati di cura e la memoria temporanea di Firebase.

Nessun sistema è sicuro al cento per cento, ma adottiamo misure tecniche e organizzative adeguate (art. 32).

• Giovanni Trebini
• Indirizzo postale: all'inizio dei Termini e condizioni
• Email: support@caretodoc.com

Non abbiamo nominato un responsabile della protezione dei dati (DPO). Per la privacy scrivi a support@caretodoc.com.

• Account, profilo e spazio account, compresa la data di inizio del mese incluso: finché non elimini l'account.
• Backup nel cloud: finché non lo cancelli («Disattiva ed elimina» o «Elimina la copia nel cloud»), non revochi il consenso ai dati sanitari o non elimini l'account. Spegnere il backup senza cancellarlo lascia la copia nel cloud, tranne altezza, peso e codice fiscale, che vengono tolti.
• Elementi nel cestino: 90 giorni, sul telefono e nel backup, salvo quanto indicato nella sezione 4 per l'elemento ripristinato su un altro dispositivo e per il backup spento.
• Dati sul telefono: finché non li rimuovi, non revochi il consenso ai dati sanitari, non elimini l'account o non disinstalli l'app.
• Registrazioni dei consensi, compresa la cronologia di ogni concessione e revoca con la data e la versione del testo: finché esiste l'account, anche dopo una revoca, per poter dimostrare quando hai dato e revocato ciascun consenso; vengono cancellate con l'account.
• Impronta anti-abuso nel cloud: resta anche dopo l'eliminazione dell'account, perché il mese incluso non si possa ottenere più volte, e viene cancellata entro 3 anni dalla data di inizio del mese. Il segno sul telefono resta fino alla disinstallazione dell'app, anche se togli i dati o esci dall'account.
• Dati presso RevenueCat: l'eliminazione dell'account non li cancella in automatico; li facciamo cancellare se ce lo chiedi a support@caretodoc.com.
• Statistiche d'uso anonime: TelemetryDeck le tiene consultabili per il periodo previsto dal piano che usiamo (90 giorni con il piano gratuito, fino a 2 anni con i piani a pagamento); poi le sposta in un archivio non consultabile, per il quale TelemetryDeck oggi non indica una data di cancellazione. Non contengono dati che ti identificano direttamente.
• Account mai completati (registrazione interrotta prima del profilo): cancellati dopo 12 mesi di inattività.
• Copie residue nei sistemi di sicurezza del nostro fornitore cloud: rimosse entro al massimo 180 giorni dalla cancellazione, come previsto dal suo accordo.
• Messaggi al supporto: il tempo necessario a gestire la richiesta.

Hai diritto di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, opporti, riceverli in un formato leggibile (portabilità) e revocare un consenso in qualsiasi momento, senza effetti sul trattamento fatto prima.

Molti li eserciti direttamente nell'app:

• Accesso e correzione: vedi e modifichi profilo e dati di cura nell'app.
• Portabilità: Profilo → Account → Proprietà e controllo dell'account → Esporta i miei dati. Ricevi un file .zip con fogli CSV creati dai dati presenti su questo telefono: profilo (con altezza e peso), codice fiscale se presente, piano di cura e orari, registrazioni ed eventi, promemoria degli eventi, intervalli personali, letture originali di Apple Health o di Health Connect, elenco dei referti salvati, cestino, e i consensi con le date e, quando è registrata, l'email dell'account. Fa eccezione la cronologia dei consensi (ogni concessione e revoca), che viene letta dal cloud al momento dell'esportazione: serve la connessione, e se non è disponibile l'archivio lo segnala. È disponibile su ogni piano, anche Free. Se usi il backup, il suo contenuto coincide con l'esportazione solo quando il telefono è allineato con il backup. Non comprende la foto del profilo (resta sul telefono), i dati di accesso, lo stato del piano (compresa la data di inizio del mese incluso) e l'impronta anti-abuso: per questi, o per una copia del backup, scrivi a support@caretodoc.com.
• Revoca del consenso ai dati sanitari: Profilo → Note legali → Revoca il consenso ai dati sanitari. È facile come darlo. Prima spegne il backup per tutto l'account, così nessun tuo dispositivo carica più dati, e cancella la copia nel cloud (piano di cura, registrazioni, codice fiscale, altezza e peso), anche quella di un backup che avevi già spento. Poi cancella dal telefono i dati sanitari e, con essi, tutti i dati dell'app su questo telefono, compresi i referti salvati, la foto del profilo e il codice fiscale. Se la copia nel cloud non si può cancellare (per esempio senza connessione), sul telefono non viene cancellato nulla e puoi riprovare. L'account e l'accesso restano e puoi dare di nuovo il consenso quando vuoi; senza consenso non puoi usare le funzioni dell'app. Resta anche la registrazione del consenso e della sua revoca, che conserviamo come prova finché esiste l'account (sezione 10).
• Revoca del solo backup: Profilo → Backup nel cloud → spegnilo e, se vuoi, scegli «Disattiva ed elimina» per cancellare la copia nel cloud; puoi cancellarla anche più tardi con «Elimina la copia nel cloud». Vale per tutti i tuoi dispositivi; i dati restano sui telefoni.
• Cancellazione singola: Profilo → Recupera farmaci e misurazioni → Elimina definitivamente.
• Cancellazione di tutto: «Elimina account», in Profilo → Account → Proprietà e controllo dell'account, e anche nella schermata di conferma dell'email, nell'avviso sull'età e nel modulo del profilo iniziale. Cancella l'account, il tuo spazio account, il backup e i dati sul telefono. Se hai usato «Accedi con Apple» ed elimini l'account da un iPhone, chiediamo ad Apple di revocare anche l'autorizzazione concessa a CareToDoc (l'account viene eliminato anche se questa richiesta non va a buon fine). Se lo elimini da Android, puoi togliere l'autorizzazione tu, dalle impostazioni del tuo Account Apple (Accedi con Apple).
• Opposizione alle statistiche d'uso anonime: Profilo → Preferenze → «Statistiche d'uso anonime». Spegnile e l'app smette subito di inviarle.
• Opposizione al trattamento basato sul legittimo interesse: scrivi a support@caretodoc.com.
• Email: Profilo → Preferenze → Preferenze email.

Per qualsiasi altra richiesta scrivi a support@caretodoc.com. Rispondiamo entro un mese, prorogabile di altri due per richieste complesse, avvisandoti.

Puoi anche presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del paese in cui vivi.

Consigli e Offerte via email si attivano solo con le caselle separate al momento della registrazione: sono spente se non le attivi tu, e lasciarle spente non limita l'app. Puoi cambiare idea quando vuoi da Profilo → Preferenze → Preferenze email. Oggi non inviamo email di questo tipo; quando lo faremo, ognuna conterrà un link per disiscriverti e partirà tramite Brevo (sezione 6).

Per creare un account devi avere almeno 18 anni. Se vivi nell'Unione europea o nello Spazio economico europeo basta l'età minima prevista dalla legge del tuo paese per il consenso ai servizi online: 14 anni in Italia, da 13 a 16 anni negli altri paesi. Il paese è quello del tuo account dello store (App Store o Google Play); se non è disponibile, il minimo è 18 anni. Non raccogliamo consapevolmente dati di minori sotto l'età minima attraverso un loro account. Un genitore o un tutore può usare CareToDoc per un minore dal proprio account.

Puoi registrare in CareToDoc i dati sanitari di un'altra persona solo se ne sei il genitore o il tutore (o ne hai comunque la rappresentanza legale), oppure se quella persona ti ha dato il suo consenso esplicito. In ogni caso informala che usi CareToDoc per lei e di come vengono trattati i suoi dati, per esempio mostrandole questa informativa. CareToDoc tratta questi dati come i tuoi. Lo stesso vale per il codice fiscale: aggiungi quello di un'altra persona solo se serve al medico che riceve il referto e alle stesse condizioni.

Possiamo aggiornare questa informativa. Se una modifica è sostanziale te lo segnaliamo e, quando serve, ti chiediamo di nuovo il consenso. In alto trovi la data dell'ultimo aggiornamento.

support@caretodoc.com, oppure per posta all'indirizzo indicato all'inizio dei Termini e condizioni.

Questa sezione si aggiunge al resto dell'informativa, che vale ovunque. I tuoi dati sono trattati come descritto nelle sezioni precedenti, con gli stessi fornitori e nei paesi indicati nella sezione 6, qualunque sia il paese in cui vivi. Se vivi in uno dei paesi qui sotto hai anche questi diritti. Per esercitarli scrivi a support@caretodoc.com: rispondiamo entro i tempi previsti dalla legge del tuo paese, al più tardi entro 30 giorni.

Stati Uniti

• Non vendiamo i tuoi dati, non li usiamo né li condividiamo per pubblicità mirata e non li usiamo per profilarti.
• In base alla legge del tuo Stato puoi chiedere di sapere quali dati teniamo, riceverne una copia, correggerli, cancellarli e revocare il consenso. Gran parte lo puoi fare dall'app (Esporta i miei dati, Elimina account, Preferenze, Revoca il consenso ai dati sanitari); per il resto scrivici. Se respingiamo una richiesta puoi chiederci di riesaminarla scrivendo allo stesso indirizzo.
• Per i dati sulla salute dei consumatori di Washington e del Nevada c'è un'informativa apposita, la «Consumer Health Data Privacy Policy», su https://caretodoc.com/consumer-health-data.html.
• Se una violazione di sicurezza riguarda i tuoi dati sanitari, ti avvisiamo come prevede la Health Breach Notification Rule della FTC, senza ritardo e al più tardi entro 60 giorni dalla scoperta.
• California: le informazioni sulla tua salute restano riservate, come richiede il Confidentiality of Medical Information Act; non le comunichiamo a nessuno senza la tua autorizzazione, salvo i fornitori tecnici della sezione 6 che le trattano per nostro conto, o quando la legge lo impone.

Canada

• Il responsabile della protezione dei dati personali è Giovanni Trebini, support@caretodoc.com.
• I tuoi dati sono conservati e trattati fuori dal Canada (e fuori dal Québec), nei paesi della sezione 6, con protezioni adeguate.
• Puoi accedere ai tuoi dati, correggerli e revocare il consenso. Puoi presentare un reclamo al Commissariato alla protezione della vita privata del Canada o, se vivi in Québec, alla Commission d'accès à l'information.

Australia

• Trattiamo i tuoi dati secondo gli Australian Privacy Principles; raccogliamo i dati sulla salute solo con il tuo consenso.
• I tuoi dati sono conservati fuori dall'Australia, nei paesi della sezione 6.
• Puoi accedere ai tuoi dati e correggerli. Se hai un reclamo scrivici: lo esaminiamo e ti rispondiamo entro 30 giorni. Se la nostra risposta non ti soddisfa, puoi presentare un reclamo all'Office of the Australian Information Commissioner (OAIC), oaic.gov.au.

Nuova Zelanda

• Il responsabile per la privacy è Giovanni Trebini, support@caretodoc.com.
• I tuoi dati sono conservati fuori dalla Nuova Zelanda, nei paesi della sezione 6, con protezioni paragonabili a quelle della legge neozelandese.
• Puoi accedere ai tuoi dati e correggerli; puoi presentare un reclamo all'Office of the Privacy Commissioner, privacy.org.nz.

Singapore

• Il responsabile della protezione dei dati (Data Protection Officer) è Giovanni Trebini, support@caretodoc.com.
• I tuoi dati sono conservati fuori da Singapore, nei paesi della sezione 6, con una protezione paragonabile a quella della legge di Singapore.
• Puoi accedere ai tuoi dati, correggerli e revocare il consenso; puoi presentare un reclamo alla Personal Data Protection Commission (PDPC).

Svizzera

• I tuoi dati vengono comunicati all'estero in questi paesi: paesi dell'Unione europea (Belgio, Paesi Bassi e Finlandia: Cloud Firestore di Google), Germania (statistiche d'uso anonime, TelemetryDeck), Francia (email dell'account, Brevo) e Stati Uniti (accesso all'account con Firebase Authentication, stato dell'abbonamento con RevenueCat, casella del supporto con Google Workspace, instradamento delle email con Cloudflare), con le garanzie della sezione 6 (per la Svizzera: lo Swiss-U.S. Data Privacy Framework e le Clausole contrattuali tipo adattate al diritto svizzero).
• Puoi rivolgerti all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT).

Hong Kong

• Usiamo i tuoi dati solo per gli scopi descritti in questa informativa. Puoi chiedere di accedervi e di correggerli; puoi presentare un reclamo al Privacy Commissioner for Personal Data (PCPD).