Privacy Policy
Ultimo aggiornamento: 21 ottobre 2026
1. Ruolo di SprintIT e natura del servizio
SprintIT S.r.l.
Largo San Giorgio 21/2, 30033 Noale (VE) - Italia
P.IVA: IT04023960273
Email: assistenza@sprintit.net
Telefono e WhatsApp: (+39) 041.8876323
SprintIT S.r.l. eroga il servizio SprintWARE Medical in qualita' di Responsabile del Trattamento (Data Processor, Art. 28 GDPR) per conto dello studio medico cliente, che opera come Titolare del Trattamento. Per i dati dell'account dello studio e dei suoi utenti, per la fatturazione allo studio e per i dati tecnici delle applicazioni SprintWARE Companion, SprintIT agisce come titolare autonomo (Termini e Condizioni, art. 11.1). Per gli studi che hanno attivato il servizio plantari, SprintIT e' titolare autonomo anche per la vendita, la produzione e la fatturazione di plantari e prodotti ai pazienti, quando la fattura e' intestata al paziente, secondo l'informativa dedicata. Per tutti gli altri dati che gli studi inseriscono nel gestionale SprintIT resta responsabile del trattamento, come descritto sopra.
SprintWARE Medical e' una piattaforma vuota: non raccoglie dati dai pazienti, non richiede informazioni sanitarie e non determina quali dati vengano inseriti. E' lo studio medico cliente (Titolare) a decidere autonomamente quali dati inserire, con quali finalita' e su quale base giuridica. SprintIT tratta i dati esclusivamente su istruzione documentata del Titolare, limitandosi a fornire l'infrastruttura tecnologica.
SprintWARE Medical non e' un dispositivo medico ai sensi del Regolamento (UE) 2017/745 (MDR). Il software e' uno strumento di supporto all'attivita' professionale e non e' destinato alla diagnosi, prevenzione, monitoraggio, trattamento o attenuazione di malattie.
2. Dati trattati
I dati trattati si distinguono in due categorie in base a chi ne determina l'inserimento:
2.1 Dati generati automaticamente dal sistema
Questi dati sono necessari al funzionamento del servizio e vengono raccolti automaticamente:
| Dato | Finalita' | Base giuridica |
|---|---|---|
| Username e password (hashata) | Autenticazione | Contratto (Art. 6.1.b) |
| Indirizzo IP, timestamp login, user agent | Sicurezza e audit | Obbligo legale (Art. 6.1.c) |
| Log delle operazioni (audit trail) | Sicurezza e verificabilita' delle operazioni (Art. 5.2 e 32 GDPR) | Obbligo legale (Art. 6.1.c) |
| Dati contrattuali (accettazione T&C, DPA) | Prova contrattuale | Contratto (Art. 6.1.b) |
| Cookie tecnici (sessione; "resta collegato" facoltativo) | Autenticazione e sicurezza | Strettamente necessari, senza consenso (art. 122 D.Lgs. 196/2003) |
2.2 Dati inseriti volontariamente dal Titolare
Tutti i dati seguenti sono facoltativi e vengono inseriti dallo studio medico a propria discrezione. SprintWARE non li richiede e non ne determina la raccolta. L'unico dato necessario per creare una scheda paziente e' nome e cognome.
| Categoria | Esempi | Obbligatorio |
|---|---|---|
| Anagrafica paziente | Nome, cognome | Si' (minimo per creare la scheda) |
| Contatti paziente | Telefono, email, indirizzo | No |
| Dati sanitari (Art. 9 GDPR) | Esami posturali, immagini cliniche, referti, note cliniche | No |
| Allegati | Fotografie, documenti, file | No |
| Consenso informato | Firma digitale, terapie accettate | No |
Nota importante: qualora il Titolare inserisca dati di categorie particolari (Art. 9 GDPR, es. dati sanitari), e' sua esclusiva responsabilita' verificare la sussistenza di una valida base giuridica (tipicamente il consenso esplicito dell'interessato o la finalita' di cura ai sensi dell'Art. 9.2.h) e adottare le garanzie necessarie.
3. Servizi opzionali e relativi dati
Lo studio medico puo' attivare servizi aggiuntivi che comportano il trattamento di dati ulteriori. Questi servizi sono disattivati per impostazione predefinita e vengono abilitati solo su scelta esplicita del Titolare:
| Servizio | Dati trattati | Attivazione |
|---|---|---|
| Google Calendar | Eventi del calendario dell'operatore | L'operatore collega il proprio account Google tramite OAuth 2.0 |
| Prenotazione online | Nome paziente, slot orario scelto | Lo studio genera un link di prenotazione |
| Notifiche SMS | Numero di telefono, testo messaggio | Lo studio abilita il servizio SMS |
| Notifiche WhatsApp | Numero di telefono, testo messaggio | Lo studio abilita le notifiche WhatsApp |
| Firma digitale consenso (OTP) | Numero di telefono (per invio codice OTP) | Lo studio utilizza il modulo consenso con firma digitale |
| Esercizi riabilitativi | Punteggi e tempi di completamento | L'operatore assegna esercizi al paziente |
| SprintWARE Companion (computer, smartphone e tablet), componente opzionale | Dati tecnici della postazione e dell'abbinamento; dati delle misure e delle stampe gestite dall'applicazione (vedi 3.3 e 3.4) | Solo se lo studio installa l'applicazione e la abbina al proprio account dalla voce "SprintWARE Companion" |
| Ordini dispositivi | Misure, specifiche tecniche, indirizzo spedizione | Lo studio ordina un dispositivo (plantare, guanciale) |
3.1 Integrazione Google Calendar
Quando un operatore collega il proprio account Google Calendar:
- L'accesso avviene tramite OAuth 2.0 con consenso esplicito dell'operatore
- I dati del calendario esistenti su Google vengono letti e visualizzati in tempo reale, senza esserne copiati o archiviati permanentemente. Gli appuntamenti creati tramite SprintWARE sono salvati anche nel database dello studio (titolo, data/ora, paziente collegato) oltre che sul calendario Google
- Il token di accesso viene salvato nel database dello studio per mantenere la sessione attiva
- La prenotazione online utilizza solo l'informazione di disponibilita' (occupato/libero), senza esporre alcun dato degli eventi esistenti (privacy by design)
- L'operatore puo' revocare l'accesso in qualsiasi momento dalla pagina Agenda o da Google Account Permissions
3.2 Condivisione, trasferimento e divulgazione dei dati utente Google
SprintWARE Medical non vende i dati utente Google e non li condivide, trasferisce o divulga a terzi, con le sole seguenti eccezioni:
- Studio medico (Titolare del trattamento): gli appuntamenti creati tramite SprintWARE sono visibili allo studio a cui l'operatore appartiene, in quanto parte del normale funzionamento dell'agenda
- Fornitori di infrastruttura (sub-responsabili): Seeweb S.r.l. (hosting, Italia) e Amazon Web Services EMEA SARL (backup, UE), esclusivamente per l'erogazione tecnica del servizio e vincolati da accordi ai sensi dell'Art. 28 GDPR (vedi sezione 7)
- Obblighi di legge: qualora richiesto da un'autorita' competente ai sensi della normativa applicabile
I dati utente Google non vengono utilizzati per finalita' pubblicitarie, non vengono ceduti a data broker e non vengono letti da persone fisiche, salvo esplicito consenso dell'operatore per finalita' di assistenza tecnica, ove necessario per motivi di sicurezza, o per adempiere a obblighi di legge.
L'uso e il trasferimento a qualsiasi altra applicazione delle informazioni ricevute dalle API Google da parte di SprintWARE Medical sono conformi alla Google API Services User Data Policy, inclusi i requisiti di Limited Use. (SprintWARE Medical's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.)
3.3 SprintWARE Companion per computer
SprintWARE Companion e' un componente opzionale del servizio: un'applicazione per Windows e macOS, destinata agli studi clienti, che lo studio puo' installare e abbinare al proprio account. I trattamenti descritti in questa sezione avvengono solo presso gli studi che la installano e la abbinano. L'applicazione si installa sui computer dello studio e porta a SprintWARE Medical i dati dei dispositivi collegati al computer: sensori di movimento, pedane, baropodometri, lettori di codici a barre e, per i centri che producono plantari, le stampanti 3D. Funziona solo dopo l'abbinamento a un account dello studio, con un codice generato in piattaforma. Senza abbinamento l'applicazione non invia dati, salvo il controllo degli aggiornamenti descritto sotto.
Misure ed esami. I dati dei dispositivi passano dalla Companion alla pagina di SprintWARE Medical aperta nel browser dello stesso computer, che li salva nella scheda del paziente come ogni altro esame (sezione 2.2). La Companion non conserva e non invia per conto proprio i dati delle misure.
Importazione da altri programmi. Su richiesta dell'operatore, la Companion legge l'archivio di un software per pedana stabilometrica gia' installato sul computer (anagrafiche e prove dei pazienti) e lo passa a SprintWARE Medical per l'importazione nell'archivio dello studio. L'archivio originale resta sul computer.
Dati che la Companion invia a SprintIT. Servono a far funzionare l'applicazione, a dare assistenza e a garantirne la sicurezza. Per questi dati SprintIT agisce come titolare (sezione 1).
| Dato | Quando |
|---|---|
| Abbinamento: utente e studio a cui e' abbinata, nome del dispositivo indicato all'abbinamento | all'abbinamento e a ogni utilizzo |
| Registro di funzionamento ed errori: versione, sistema operativo, tempo di attivita', eventi dell'applicazione, dati tecnici dei dispositivi collegati (modello, numero di serie, firmware, indirizzo Bluetooth, batteria) | ogni ora e quando si verifica un errore |
| Profilo tecnico del computer: sistema operativo, processore, memoria, scheda grafica, adattatori Bluetooth e relativi driver | all'avvio, poi quando cambia o dopo 7 giorni |
| Controlli di funzionamento e, per le stampanti 3D, nome, numero di serie, indirizzo nella rete locale e stato delle stampanti | ogni 5 minuti; stato delle stampanti durante l'uso |
Prima di salvare questi dati sul server di SprintIT, ne vengono tolti i nomi dei pazienti e il nome utente del computer. La Companion non raccoglie il nome del computer, la posizione o i contatti; come per ogni collegamento a internet, il server riceve l'indirizzo IP da cui arriva la richiesta.
Stampa 3D dei plantari. Riguarda solo i centri che producono per SprintIT i plantari ordinati con il servizio plantari, e il laboratorio di SprintIT. Per loro la Companion riceve dalla piattaforma i file dei plantari da stampare con i dati dell'ordine (paziente, lato, taglia), li invia alle stampanti della rete locale e, a fine stampa, salva nell'ordine una foto del plantare stampato ripresa dalla stampante. Sono dati degli ordini del servizio plantari: SprintIT li tratta come titolare per i plantari che vende ai pazienti e per conto dello studio che ha ordinato negli altri casi. Negli studi che non producono plantari la Companion non riceve file o dati di ordini.
Aggiornamenti. La Companion controlla ogni ora se ci sono nuove versioni e le installa in automatico. Il controllo non invia dati dello studio o dell'utente: il server riceve solo la versione dell'applicazione e, come per ogni collegamento, l'indirizzo IP. Aggiornamenti e dati passano solo da www.sprintware.net in HTTPS; l'applicazione non usa servizi di terzi.
Dati che restano sul computer. Nella cartella dell'applicazione (Windows: %LOCALAPPDATA%\SprintIT\Companion; macOS: ~/Library/Application Support/SprintIT/Companion) restano il codice di abbinamento, la configurazione dei dispositivi e delle stampanti e il registro di funzionamento degli ultimi 30 giorni; per i centri con stampanti 3D anche le foto di fine stampa, e in questo caso il registro puo' contenere i nomi dei pazienti degli ordini stampati. I file temporanei di stampa vengono cancellati dopo l'uso. La sicurezza del computer e di questi file e' a cura dello studio.
Scollegare e rimuovere. Lo studio scollega un computer dalla voce "SprintWARE Companion" della piattaforma: da quel momento il codice non e' piu' valido. L'abbinamento smette comunque di funzionare dopo 6 mesi senza utilizzo, 20 giorni dopo la scadenza dell'abbonamento e all'archiviazione dell'account dello studio. Su Windows la disinstallazione rimuove l'applicazione e la sua cartella. Su macOS si eliminano l'applicazione, la cartella indicata sopra e il file ~/Library/LaunchAgents/it.sprintit.companion.plist.
3.4 App SprintWARE Companion per smartphone e tablet
L'app per Android e iOS e' un componente opzionale del servizio, che lo studio puo' installare e abbinare al proprio account: i trattamenti descritti qui avvengono solo presso gli studi che la installano e la abbinano. Si collega via Bluetooth ai sensori di movimento e mostra le misure in tempo reale. Senza abbinamento a un account dello studio non raccoglie, non conserva e non invia dati personali.
Dopo l'abbinamento, fatto inquadrando un codice QR generato in piattaforma, l'app:
- scarica l'elenco dei pazienti dello studio (nome, cognome, data di nascita, categoria, data dell'ultimo esame) per scegliere il paziente della sessione, e lo conserva sul dispositivo cifrato con la protezione del sistema operativo;
- invia gli esami eseguiti (articolarita', salto, sessione libera) alla scheda del paziente nella piattaforma, che registra l'operazione con utente, data, dispositivo e indirizzo IP;
- comunica a SprintIT produttore e modello del dispositivo, che lo studio vede nell'elenco dei dispositivi abbinati.
L'app non contiene pubblicita' ne' strumenti di analisi o di tracciamento e invia i dati solo a www.sprintware.net. Su Android il codice QR si legge con il lettore di Google Play Services: l'immagine resta sul dispositivo, ma Google riceve dati statistici sull'uso e sul funzionamento del lettore, secondo la propria informativa. Scollegando il dispositivo dall'app o dalla piattaforma l'abbinamento termina; l'elenco dei pazienti sul dispositivo si cancella scollegando l'app o disinstallandola. Informativa dell'app: https://www.sprintware.net/medical/privacy_companion.html
4. Finalita' del trattamento
- Erogazione del servizio SaaS di gestione studio medico
- Autenticazione e sicurezza dell'accesso
- Audit e tracciabilita' delle operazioni (Art. 5.2 e 32 GDPR)
- Gestione contrattuale e fatturazione
- Servizi opzionali (calendario, notifiche, prenotazioni), solo se attivati dal Titolare
- Funzionamento, assistenza e sicurezza delle applicazioni SprintWARE Companion, compresi gli aggiornamenti
5. Base giuridica
| Trattamento | Base giuridica |
|---|---|
| Erogazione del servizio | Contratto (Art. 6.1.b) |
| Log di sicurezza e audit trail | Obbligo legale (Art. 6.1.c) |
| Dati tecnici e registri delle applicazioni SprintWARE Companion | Contratto (Art. 6.1.b) |
| Integrazione Google Calendar | Consenso dell'operatore (Art. 6.1.a) |
| Dati sanitari dei pazienti | Responsabilita' del Titolare — tipicamente consenso esplicito (Art. 9.2.a) o finalita' di cura (Art. 9.2.h) |
6. Conservazione dei dati
- Dati dei pazienti: conservati per la durata del contratto. Alla scadenza, lo studio ha 20 giorni solari per l'esportazione; poi i dati non sono piu' accessibili e sono conservati, solo per un'eventuale riattivazione, per un massimo di 12 mesi dalla scadenza, quindi cancellati, salvo diversa istruzione scritta dello studio (ad esempio un servizio di archiviazione a lungo termine concordato). Almeno 30 giorni prima della cancellazione lo studio riceve un avviso via email e PEC. Lo studio puo' chiederne prima la restituzione o la cancellazione; le copie di sicurezza si estinguono secondo il ciclo indicato sotto. Il Titolare e' responsabile della conservazione a lungo termine secondo gli obblighi della propria professione
- Log di sistema: i log di sicurezza e degli amministratori di sistema sono conservati per 18 mesi (Provvedimento del Garante sugli Amministratori di Sistema); l'audit trail delle operazioni degli utenti segue la conservazione dei dati dello studio
- Applicazioni SprintWARE Companion: registri, controlli di funzionamento ed eventi sono conservati per 18 mesi e poi cancellati in automatico; i dati di avanzamento delle stampe per 90 giorni; dello stato delle stampanti si conserva solo l'ultimo rilevamento. Nelle copie di sicurezza restano per i tempi indicati alla voce "Backup"
- Dati contrattuali: log di accettazione T&C e DPA conservati per 10 anni dalla cessazione del rapporto
- Backup: copia completa settimanale conservata 60 giorni, copia del primo sabato del mese conservata 190 giorni, modifiche giornaliere conservate 90 giorni, nell'Unione Europea. I dati cancellati restano nelle copie fino alla loro scadenza e sono usati solo per il ripristino in caso di incidente
7. Sub-responsabili del trattamento
SprintIT S.r.l. si avvale dei seguenti sub-responsabili (Art. 28 GDPR). Ciascun sub-responsabile e' coinvolto esclusivamente quando il relativo servizio e' attivo:
| Sub-responsabile | Sede | Funzione | Condizione di attivazione |
|---|---|---|---|
| Seeweb S.r.l. | Italia | Hosting e data center | Sempre attivo (infrastruttura) |
| Amazon Web Services EMEA SARL | Lussemburgo (UE) | Storage copie di sicurezza (region Francoforte) | Sempre attivo (backup) |
| Google LLC | USA (possibile trasferimento extra-UE, vedi sezione 8) | API Google Calendar | Solo se l'operatore collega il proprio Google Calendar |
| Esendex Italia S.r.l. (Skebby) | Italia | Invio SMS (promemoria, OTP) | Solo se lo studio abilita SMS o firma digitale OTP |
| 360dialog GmbH | Germania (UE) | Notifiche WhatsApp Business (ordini, spedizioni, pagamenti) | Solo per ordini di dispositivi con notifiche WhatsApp |
| Meta Platforms Ireland Ltd | Irlanda (UE) | Notifiche WhatsApp (promemoria appuntamenti) | Solo se lo studio abilita notifiche WhatsApp via Meta Cloud API |
| The Rocket Science Group LLC (Mailchimp / Mandrill) | USA (trasferimento extra-UE, vedi sezione 8) | Invio delle email di servizio e di ordine | Sempre attivo per le email inviate dalla piattaforma |
| Google LLC (Places) | USA (trasferimento extra-UE, vedi sezione 8) | Suggerimento dell'indirizzo di spedizione nel modulo d'ordine | Solo per ordini inseriti dallo studio |
| Qapla' S.p.A. Societa' Benefit | Italia | Tracking spedizioni e notifiche di consegna | Solo per ordini di dispositivi con spedizione |
| Anthropic, PBC | USA (trasferimento extra-UE, vedi sezione 8) | Bozze di risposta per la chat con il progettatore: nome del paziente e recapiti sono sostituiti da segnaposto, il contenuto clinico della conversazione resta; ogni bozza e' verificata da un operatore prima dell'invio | Solo per le conversazioni con il progettatore (ordini plantari) |
L'elenco aggiornato dei sub-responsabili e' disponibile su richiesta. Eventuali modifiche saranno comunicate con almeno 30 giorni di preavviso.
Per la consegna dei dispositivi ordinati, i dati di spedizione (nominativo, indirizzo, eventuale importo del contrassegno) sono comunicati a General Logistics Systems Italy S.p.A. (GLS) o a BRT S.p.A., che operano come titolari autonomi del trattamento per il servizio di trasporto.
8. Localizzazione dei dati
L'infrastruttura del servizio e' situata nell'Unione Europea:
- Server di produzione e database: Italia
- Copie di sicurezza: Germania
I servizi opzionali e le funzioni che si appoggiano a fornitori appartenenti a gruppi extra-UE (Google Calendar, Google Places, WhatsApp, email, bozze di risposta della chat con il progettatore) possono comportare trasferimenti di dati verso gli Stati Uniti da parte dei rispettivi fornitori; tali trasferimenti avvengono con le garanzie previste dagli artt. 44-49 del GDPR (decisione di adeguatezza o clausole contrattuali standard, secondo il fornitore).
9. Misure di sicurezza
SprintWARE Medical adotta misure tecniche e organizzative appropriate ai sensi dell'Art. 32 GDPR, tra cui:
- Connessioni cifrate (HTTPS/TLS) per tutti gli accessi
- Password hashate con algoritmi sicuri (bcrypt)
- Protezione CSRF su tutti i form e le richieste AJAX
- Separazione completa dei dati per studio (architettura multi-tenant con database isolati)
- Backup automatici con copie cifrate in data center UE separato
- Audit log di tutte le operazioni su dati personali
- Timeout sessione automatico dopo periodo di inattivita'
- Cookie di sessione protetti (HttpOnly, Secure, SameSite)
- Intestazioni di sicurezza HTTP (HSTS, X-Frame-Options, Content-Security-Policy)
- Applicazioni SprintWARE Companion abbinate solo con un codice generato in piattaforma, revocabile dallo studio e non piu' valido all'archiviazione dell'account o 20 giorni dopo la scadenza dell'abbonamento
- Aggiornamenti della Companion scaricati solo da www.sprintware.net in HTTPS e verificati con impronta SHA-256 prima dell'installazione; il canale con il browser e' raggiungibile solo dallo stesso computer
10. Notifica violazione dati (Data Breach)
In caso di violazione dei dati personali ai sensi dell'Art. 33 GDPR, SprintIT S.r.l. notifichera' il Cliente senza ingiustificato ritardo e comunque entro 12 ore dal momento in cui ne e' venuta a conoscenza. La notifica includera': descrizione della natura della violazione, categorie e numero approssimativo di interessati coinvolti, probabili conseguenze, misure adottate o proposte.
Il Cliente, in qualita' di Titolare del trattamento, rimane responsabile della notifica all'Autorita' Garante e, ove necessario, agli interessati.
11. Diritti dell'interessato
Gli interessati (pazienti del Cliente) possono esercitare i seguenti diritti rivolgendosi al proprio studio medico (Titolare del trattamento):
- Accesso (Art. 15): ottenere conferma del trattamento e copia dei dati
- Rettifica (Art. 16): correggere dati inesatti o incompleti
- Cancellazione (Art. 17): ottenere la cancellazione dei dati, nei limiti di legge
- Limitazione (Art. 18): limitare il trattamento in determinate circostanze
- Portabilita' (Art. 20): ricevere i dati in formato strutturato e leggibile da dispositivo automatico
- Opposizione (Art. 21): opporsi al trattamento per motivi legittimi
- Revoca del consenso (Art. 7.3): revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceita' del trattamento precedente alla revoca
SprintWARE Medical mette a disposizione del Titolare le funzionalita' necessarie per soddisfare le richieste degli interessati: esportazione dati paziente (incluso formato machine-readable), modifica dati anagrafici e clinici, eliminazione schede, consultazione audit trail.
Per i dati relativi al proprio account operatore: privacy@sprintit.net
L'interessato ha diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
12. Cookie
SprintWARE Medical utilizza esclusivamente cookie tecnici:
- un cookie di sessione, per l'autenticazione e la protezione CSRF (Cross-Site Request Forgery), che scade dopo 4 ore di inattivita';
- solo se l'utente sceglie al login di restare collegato, un cookie di autenticazione che dura al massimo 14 giorni.
I cookie tecnici non richiedono consenso (art. 122 D.Lgs. 196/2003). I cookie sono configurati con i flag di sicurezza HttpOnly, Secure e SameSite. Non vengono utilizzati cookie di profilazione, cookie pubblicitari o strumenti di tracciamento di terze parti.
13. Responsabile della Protezione dei Dati (DPO)
Avv. Alessandra Donzi
Email: dpo@sprintit.net
Il DPO e' contattabile per qualsiasi questione relativa al trattamento dei dati personali e all'esercizio dei diritti previsti dal GDPR.
14. Contatti
SprintIT S.r.l.
Largo San Giorgio 21/2, 30033 Noale (VE)
Email: assistenza@sprintit.net
Privacy: privacy@sprintit.net
Telefono e WhatsApp: (+39) 041.8876323
PEC: sprintitsrl@pec.it
Sito web: www.sprintit.net
Assistenza: Lun-Ven 09:00-12:30, 14:30-17:00
Versione documento: 3.5 — I Termini e Condizioni completi e il Contratto sul Trattamento dei Dati (DPA) sono disponibili dopo l'accesso all'applicazione nella sezione Gestione GDPR.