Informativa sul Trattamento dei Dati Personali

La presente Informativa, resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (General Data Protection Regulation - GDPR) e della normativa italiana applicabile, descrive in modo trasparente e dettagliato le modalità di raccolta, utilizzo e protezione dei dati personali e particolari degli utenti (di seguito "Interessati") che interagiscono con il sito web e il sistema di prenotazione del Dott. Andrea Mistrazzoso.

1. Titolare del Trattamento

Il Titolare del Trattamento è il Dott. Andrea Mistrazzoso, Fisioterapista OMPT (Orthopaedic Manipulative Physical Therapist) e MTA (Manual Therapy Approach), con sede operativa e studio professionale in Via del Ciclismo 10, 00144 Roma (RM).
P.IVA: 02096120858.
Telefono/WhatsApp: .
Email: .

2. Tipologia di Dati Trattati

Nell'ambito dell'erogazione dei servizi fisioterapici e della gestione delle prenotazioni online, vengono trattate le seguenti categorie di dati:

Dati Identificativi e di Contatto: Nome, cognome, data di nascita, codice fiscale (indispensabile per la fatturazione sanitaria e la trasmissione al Sistema TS), indirizzo e-mail e numero di telefono.
Dati Particolari (Dati Sanitari): Ai sensi dell'art. 9 del GDPR, il Titolare tratta informazioni idonee a rivelare lo stato di salute, tra cui anamnesi clinica, sintomatologia riferita, sede del dolore, questionario OMPSQ-SF, referti di esami strumentali (RX, RMN, ecografie), valutazioni e note cliniche, storia clinica pregressa. Tali dati sono necessari per l'inquadramento diagnostico e la terapia fisioterapica.
Dati di Navigazione e Analitici: Indirizzi IP, browser utilizzato, tempi di permanenza. Per l'analisi del traffico viene utilizzato Umami Analytics, una piattaforma privacy-friendly che non utilizza cookie traccianti e non raccoglie dati personali identificativi, garantendo il rispetto del GDPR by design. Alcune pagine caricano inoltre risorse ospitate da fornitori terzi (font tipografici e widget recensioni): in quel momento l'indirizzo IP e i dati tecnici della connessione sono visibili al fornitore. L'elenco completo e le modalità per bloccarle sono nella Sezione 9.
Dati Finanziari: Le informazioni relative agli strumenti di pagamento (es. numeri di carta di credito) sono processate esclusivamente da Stripe Payments Europe, Ltd. tramite protocolli sicuri PCI-DSS Level 1. Il Titolare non ha accesso, né conserva, i dati completi della carta dell'Interessato, ricevendone unicamente un token identificativo per la gestione della prenotazione.

3. Finalità e Base Giuridica

Il trattamento dei dati è fondato sulle seguenti basi giuridiche:

Finalità Sanitarie e di Cura: Gestione degli appuntamenti, diagnosi funzionale e somministrazione del trattamento fisioterapico. Base giuridica: esecuzione di un contratto o di misure precontrattuali (art. 6.1.b) e trattamento necessario per finalità di diagnosi, assistenza o terapia sanitaria (art. 9.2.h), oltre al consenso esplicito (art. 9.2.a) raccolto al momento della prenotazione.
Adempimenti Legali e Fiscali: Emissione di fatture sanitarie, conservazione decennale e trasmissione dei dati al Sistema Tessera Sanitaria per la dichiarazione dei redditi precompilata (vedi Sezione 6). Base giuridica: adempimento di un obbligo legale (art. 6.1.c).
Comunicazioni di Servizio: Invio di conferme, reminder e comunicazioni operative via email tramite il fornitore di email transazionale. Base giuridica: esecuzione del contratto (art. 6.1.b).
Tutela Legale: Gestione di eventuali contenziosi o recupero crediti. Base giuridica: legittimo interesse del Titolare (art. 6.1.f).

4. Modalità del Trattamento e Sicurezza

Il trattamento avviene con modalità sia cartacee che digitali, nel rispetto delle misure di sicurezza tecniche e organizzative adeguate (art. 32 GDPR). L'infrastruttura tecnologica del sito e del database (Cloudflare D1) è protetta da crittografia in transit (TLS) e at-rest. L'accesso ai dati è rigorosamente limitato al Titolare, tenuto al segreto professionale e alla massima riservatezza.

5. Comunicazione dei Dati a Terzi

I dati potranno essere comunicati ai seguenti soggetti, designati Responsabili del Trattamento ai sensi dell'art. 28 GDPR:

Sistema Tessera Sanitaria (Sogei S.p.A. per conto dell'Agenzia delle Entrate) — per gli obblighi fiscali sanitari, salvo opposizione dell'Interessato (vedi Sezione 6).
Consulente fiscale/commercialista del Titolare, per la tenuta della contabilità.
Stripe Payments Europe, Ltd. — per il processing dei pagamenti (server UE/USA con clausole contrattuali standard).
Resend, Inc. — per l'invio delle email transazionali (server USA con DPA).
Cloudflare, Inc. — per hosting del sito, database (D1) e archivio fatture (R2), con server UE/USA e clausole contrattuali standard.
Umami Software, Inc. — per le statistiche di traffico in forma aggregata, senza cookie e senza dati identificativi (vedi Sezione 9).
Google Ireland Ltd. / Google LLC — per i font tipografici del sito e per il widget che mostra valutazione e recensioni pubbliche della scheda Google dello studio. Riceve l'indirizzo IP e i dati tecnici del browser di chi visita le pagine (vedi Sezione 9).
OpenRouter, Inc. — per il funzionamento dell'assistente virtuale PhisioGPT: riceve il testo dei messaggi scritti volontariamente dall'utente nella chat (vedi Sezione 10).

In nessun caso i dati dell'Interessato verranno ceduti a terzi per finalità commerciali o di marketing.

6. Sistema Tessera Sanitaria

In ottemperanza al D.M. 19 ottobre 2020 e al D.Lgs. 12 giugno 2025 n. 81, i fisioterapisti sono obbligati a trasmettere i dati delle prestazioni sanitarie al Sistema Tessera Sanitaria (gestito da Sogei S.p.A. per conto dell'Agenzia delle Entrate), che li rende disponibili al cittadino per la dichiarazione dei redditi 730 precompilata e per la detrazione fiscale del 19% (ex art. 1 c. 679-680 L. 160/2019, valida unicamente per pagamenti tracciati).

Per ogni fattura emessa vengono trasmessi: Codice Fiscale del paziente, importo, data del pagamento, tipologia di prestazione (codice "SR" - prestazioni sanitarie) e il flag pagamento tracciato.

Diritto di opposizione. L'Interessato ha il diritto di opporsi all'invio dei dati di una o più fatture al Sistema TS, in due modalità:

Al momento della prenotazione online: spuntando la casella "Mi oppongo all'invio dei dati al Sistema TS" nel modulo di prenotazione.
Direttamente sul portale dell'Agenzia delle Entrate: accedendo a sistemats1.sanita.finanze.it con SPID/CIE durante la finestra annuale (di norma 9 febbraio - 9 marzo).

L'opposizione non impedisce l'emissione della fattura né la sua validità fiscale: significa unicamente che il dato non viene incluso nel 730 precompilato. Se l'Interessato desidera comunque detrarre la spesa, dovrà inserirla manualmente in dichiarazione conservando la fattura originale.

7. Periodo di Conservazione

Nel rispetto dei principi di minimizzazione, i dati saranno conservati:

Cartella clinica e dati sanitari: 10 anni dall'ultima prestazione (DPCM 3/12/2013, indicazioni FNOMCeO).
Fatture e documenti fiscali: 10 anni (art. 2220 c.c., art. 39 DPR 633/72).
Dati di contatto: fino a revoca del consenso o cancellazione dell'account, salvo gli obblighi di conservazione di legge.

8. Diritti dell'Interessato

Ai sensi degli artt. 15-22 del GDPR, l'Interessato può in ogni momento:

Accedere ai propri dati personali e ottenerne copia.
Rettificare i dati inesatti o incompleti.
Richiedere la cancellazione dei dati ("diritto all'oblio"), salvo gli obblighi di conservazione di legge.
Limitare il trattamento.
Opporsi al trattamento, incluso l'invio al Sistema TS (vedi Sezione 6).
Ricevere i propri dati in formato strutturato (portabilità).
Revocare in qualsiasi momento il consenso prestato per il trattamento dei dati di salute.
Proporre reclamo al Garante per la Protezione dei Dati Personali (garanteprivacy.it).

Le richieste vanno inoltrate via email a .

Questo sito non installa cookie di profilazione, non usa cookie di marketing e non conserva dati sul dispositivo dell'utente (né localStorage né sessionStorage) per finalità di tracciamento. Per questo motivo non viene mostrato alcun banner di consenso ai cookie: non c'è alcun consenso da raccogliere per i cookie, perché non ce ne sono.

Alcune pagine caricano però risorse ospitate su server di terze parti. È una caratteristica tecnica del web: nel momento in cui il browser richiede quella risorsa, il fornitore vede necessariamente l'indirizzo IP e i dati tecnici della connessione (tipo di browser, sistema operativo, pagina di provenienza). Per trasparenza, ecco l'elenco completo:

Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — carica i caratteri tipografici usati nel sito e nelle pagine legali.
Google Maps JavaScript API (maps.googleapis.com) — alimenta il riquadro che mostra la valutazione e le recensioni pubbliche della scheda Google dello studio.
Umami Analytics (cloud.umami.is) — statistiche di traffico in forma aggregata. Non usa cookie e non registra dati che identifichino il singolo visitatore.

Trasferimento fuori dall'Unione Europea. Google LLC ha sede negli Stati Uniti: il trasferimento avviene sulla base delle clausole contrattuali standard e della certificazione EU-US Data Privacy Framework. Nessuna di queste connessioni comporta la comunicazione a terzi di dati sanitari, dati di prenotazione o dati di fatturazione, che restano nell'infrastruttura descritta alle Sezioni 4 e 5.

Come bloccarle. L'utente che preferisca evitare del tutto queste connessioni può impedirle tramite le impostazioni del proprio browser o estensioni di blocco dei contenuti di terze parti. Il sito resta consultabile e le prenotazioni continuano a funzionare: potrebbero cambiare l'aspetto dei caratteri e non essere visibile il riquadro delle recensioni.

10. Assistente virtuale (PhisioGPT)

Il sito mette a disposizione un assistente conversazionale automatico chiamato PhisioGPT, che risponde a domande generali sullo studio, sui servizi e sull'approccio terapeutico.

Dove finisce quello che si scrive. Il testo dei messaggi inseriti nella chat viene trasmesso a OpenRouter, Inc. (società con sede negli Stati Uniti), che lo inoltra al modello linguistico incaricato di generare la risposta. Il trattamento avviene soltanto se l'utente decide volontariamente di scrivere nella chat: non c'è alcuna raccolta automatica.

Si raccomanda di non inserire nella chat dati personali, dati identificativi o informazioni sul proprio stato di salute. PhisioGPT non è un canale clinico: le conversazioni non vengono inserite nella cartella clinica, non sono lette dal Titolare nel corso della conversazione e non costituiscono una richiesta di prestazione sanitaria.

Non è uno strumento diagnostico. Le risposte hanno finalità puramente informativa e non sostituiscono in alcun modo una valutazione fisioterapica, una diagnosi o un consulto professionale. Per qualsiasi questione clinica, o per comunicare informazioni sulla propria salute, occorre utilizzare i recapiti diretti dello studio indicati alla Sezione 1 o il modulo di prenotazione.

11. Modifiche all'informativa

La presente informativa può essere aggiornata in qualsiasi momento. La versione corrente è sempre consultabile a questa pagina; le modifiche sostanziali vengono comunicate via email agli Interessati attivi. La data dell'ultimo aggiornamento è indicata in apertura del documento.

Informativa sul Trattamento Dati.