Privacy Policy

Informativa ai sensi degli artt. 13–14 del Regolamento UE 2016/679 (GDPR). Ultima revisione: 16 ottobre 2026.

1. Titolare del trattamento

Il Titolare del trattamento è Ri-Hub S.r.l. Società tra Professionisti, con sede legale in Italia. Per esercitare i diritti previsti dal GDPR e per ogni richiesta scrivere a privacy@ri-hub.it.

Responsabile della protezione dei dati (DPO). La nomina di un responsabile della protezione dei dati (art. 37 GDPR) è in valutazione con il nostro legale. Nel frattempo, per qualsiasi domanda sui tuoi dati scrivi a privacy@ri-hub.it: ti risponde direttamente il titolare.

Legal identification: Ri-Hub S.r.l. Società tra Professionisti — Registered office: Corso Assarotti 19/1, 16043 Chiavari (GE), Italy — VAT/Tax ID (P.IVA/C.F.): 02992670998 — REA GE-525421 — Share capital: €10,000 fully paid up — PEC: ri-hub@pec.it

2. Trattamento di dati sanitari (Art. 9 GDPR)

Ri-Hub è una piattaforma di fisioterapia online: nel corso dell'utilizzo del servizio raccogliamo e trattiamo dati relativi alla salute (categoria speciale ai sensi dell'art. 9 GDPR), in particolare: risposte ai questionari di anamnesi, livelli di dolore, descrizioni della sintomatologia, obiettivi terapeutici, piani di trattamento. Le videovisite vengono erogate in tempo reale e non sono registrate né conservate in alcuna forma audio o video.

Basi giuridiche. Trattiamo i dati sulla tua salute per curarti (valutazione, sedute, piano di trattamento, messaggi con il fisioterapista) perché è necessario per la prestazione sanitaria che ci chiedi, sotto la responsabilità di professionisti tenuti al segreto professionale (art. 9.2.h e 9.3 GDPR). Per questo trattamento, come indica il Garante per la protezione dei dati personali (provvedimento n. 55 del 7 marzo 2019), non ti chiediamo un consenso privacy: il consenso informato che firmi prima delle sedute riguarda la scelta di curarti, non l'uso dei dati. Ogni uso dei dati che non serve a curarti, per esempio la misura delle campagne pubblicitarie descritta al § 5.2, avviene solo con un tuo consenso esplicito e separato (art. 9.2.a GDPR), facoltativo e revocabile in qualsiasi momento, senza nessuna conseguenza sulla cura. Senza i dati necessari alla cura non è possibile erogare la prestazione.

Telemedicina. Le sedute online seguono le Indicazioni nazionali per l'erogazione di prestazioni in telemedicina (Accordo Stato-Regioni del 17 dicembre 2020) e il decreto del Ministro della Salute del 21 settembre 2022 (linee guida per i servizi di telemedicina). Per il trattamento dei dati sanitari ci atteniamo al provvedimento del Garante n. 55 del 7 marzo 2019.

Divieto di diffusione e di uso secondario. I dati sanitari sono trattati esclusivamente per le finalità di cura, diagnosi e gestione del percorso riabilitativo del singolo paziente. Ri-Hub NON diffonde, NON cede, NON vende e NON comunica i dati sanitari a terzi diversi dai soggetti espressamente autorizzati indicati al § 6 (fisioterapista assegnato e fornitori tecnologici nominati Responsabili del trattamento). Il contenuto clinico (anamnesi, dolore, sintomi, piani di trattamento, sedute, messaggi) non è mai usato per scopi pubblicitari, di profilazione o di marketing. Per misurare le pubblicità usiamo soltanto, e solo con il tuo consenso esplicito e separato, il fatto di aver prenotato o svolto il colloquio e il primo acquisto, comunicati a Google Ads come descritto al § 5.2.

Dove sono i dati. I dati sanitari che conserviamo (questionari, cartella, piani di trattamento, messaggi) stanno su infrastruttura cloud nello Spazio Economico Europeo (SEE), con cifratura sia in transito (TLS 1.3) sia a riposo. L'audio e il video delle videosedute, invece, passano in tempo reale dai server dei fornitori di videochiamata, società con sede negli Stati Uniti (§ 6): non vengono registrati né conservati, ma un trasferimento di questi dati fuori dall'UE non si può escludere. Gli altri fornitori extra-UE (per esempio Stripe per i pagamenti) trattano solo dati amministrativi e contabili, mai dati sanitari, sulla base delle Clausole Contrattuali Standard approvate dalla Commissione europea (art. 46 GDPR).

Segreto professionale. I fisioterapisti che accedono ai dati sanitari sono iscritti all'Albo e tenuti al segreto professionale ai sensi dell'art. 622 c.p., dell'art. 200 c.p.p. e del Codice Deontologico della professione. L'accesso ai dati sanitari è limitato al solo paziente assegnato (principio di minimizzazione, art. 5.1.c GDPR) e tracciato in audit log non modificabili.

Pseudonimizzazione e minimizzazione. Dove tecnicamente possibile, i dati sanitari sono pseudonimizzati o cifrati a livello applicativo. Statistiche aggregate per uso interno o per cliniche/aziende convenzionate sono fornite esclusivamente in forma anonima e aggregata, senza possibilità di re-identificare il singolo paziente.

3. Categorie di dati personali trattate

Dati identificativi: nome, cognome, codice fiscale, data di nascita, indirizzo, recapiti.
Documenti di identità (immagine).
Credenziali di autenticazione: email, password sotto forma di hash, token Google se acceduto via OAuth.
Dati sanitari: anamnesi, dolore, sintomi, piani terapeutici, esiti questionari di valutazione. Le sedute video non vengono registrate.
Dati di pagamento: gestiti dal provider Stripe (non memorizziamo i dati della carta).
Dati tecnici: indirizzo IP, log di accesso, identificativi del dispositivo (se installato Capacitor).
Dati di utilizzo (pagine viste, pulsanti premuti), legati a un identificativo casuale del browser: solo se hai accettato i cookie analytics.
Dati di provenienza pubblicitaria: sorgente, campagna e identificativi di clic (es. gclid, fbclid) del cookie ri_utm (§ 5.4).
Codice del clic sugli annunci di Google, per la misura delle campagne: gclid, gbraid o wbraid, inviato a Google Ads solo se arrivi da un suo annuncio e hai dato il consenso esplicito descritto al § 5.2. Mai email, telefono, nome o dati di salute.

4. Finalità del trattamento

Erogazione del servizio di fisioterapia online (base: contratto; per i dati sanitari, finalità di cura sotto segreto professionale, art. 9.2.h e 9.3 GDPR, § 2).
Gestione amministrativa e contabile (base: obbligo legale).
Sicurezza dell'app, prevenzione frodi e diagnostica (base: legittimo interesse).
Comunicazioni di servizio e notifiche relative agli appuntamenti (base: contratto).
Marketing e newsletter solo se hai prestato consenso separato in fase di registrazione (base: consenso revocabile in ogni momento).
Statistiche d'uso del sito e dell'app (analytics) solo se hai accettato i cookie analytics (base: consenso, revocabile in ogni momento dal link «Gestisci cookie»).
Misura delle visite alle pagine del sito che non parlano di salute tramite i pixel di Meta e TikTok, solo se hai accettato la categoria "Marketing" nel banner cookie (base: consenso, revocabile dal link «Gestisci cookie» — § 5.1). Dall'app non mandiamo alcun evento ai pixel.
Misura dal nostro server, verso Google Ads, della prenotazione e dello svolgimento del primo colloquio conoscitivo gratuito e del primo acquisto, solo se arrivi da un annuncio di Google e hai dato il consenso esplicito e facoltativo nell'app (base: consenso, anche esplicito ex art. 9 — § 5.2).
Statistiche interne aggregate e anonime sulle visite al sito e all'app, per sapere da dove arrivano le persone (nessun consenso necessario, non è un trattamento di dati personali — § 5.3).

5. Pubblicità e misura delle campagne pubblicitarie

In questa sezione spieghiamo, in modo distinto dalla Cookie Policy, quali strumenti usiamo per capire se le nostre pubblicità funzionano: con quale consenso, cosa mandiamo e a chi. Per l'elenco dei singoli cookie (nome, durata) vedi la Cookie Policy.

5.1 Pixel di Meta e TikTok sul sito (solo col consenso "Marketing" del banner e solo sulle pagine che non parlano di salute)

Sul sito ri-hub.it carichiamo il pixel di Meta (Meta Platforms Ireland Ltd.) e quello di TikTok (TikTok Technology Limited) solo se hai accettato la categoria "Marketing" nel banner cookie e solo sulle pagine che non parlano di salute: la home, chi siamo, come funziona, i formati e i prezzi, lavora con noi, i contatti e le pagine legali. Da queste pagine mandiamo al pixel soltanto la visita della pagina, nessun altro evento; dalle pagine che parlano di salute (articoli, condizioni, esercizi, servizi, pagine dei creator e tutte le altre) non parte nulla verso Meta o TikTok. Se scegli "Solo necessari", oppure escludi Marketing nella personalizzazione, i pixel non si caricano. Dall'app non mandiamo alcun evento ai pixel di Meta, TikTok o Google, nemmeno la visita di pagina, e sul sito non usiamo il pixel di Google Ads. I pixel servono esclusivamente a misurare l'efficacia delle nostre pubblicità: non li usiamo per mostrarti pubblicità personalizzata di terzi, né per profilarti a fini diversi dalla misurazione.

Base giuridica: il tuo consenso (art. 6.1.a GDPR), liberamente revocabile in ogni momento dal link «Gestisci cookie» in fondo a ogni pagina, senza pregiudicare la liceità di quanto già misurato prima della revoca. Trasferimenti extra-UE: Meta tratta questi dati anche negli Stati Uniti sulla base dell'EU-US Data Privacy Framework; TikTok sulla base delle Clausole Contrattuali Standard (art. 46 GDPR), ma i dati raccolti dal suo pixel possono essere accessibili anche dalla Cina (§ 6).

5.2 Misura dal nostro server verso Google Ads (consenso specifico e facoltativo, dato in app)

Per tre momenti che contano davvero — la prenotazione del primo colloquio conoscitivo gratuito, il colloquio effettivamente svolto e il primo acquisto — il nostro server può comunicarne il fatto a Google Ads (Google Ireland Limited), così la piattaforma capisce quali annunci portano a risultati reali e non solo a un clic. Lo facciamo solo se valgono entrambe le condizioni: sei arrivato da noi con un clic su un annuncio di Google (al massimo 90 giorni prima) e hai dato un consenso esplicito, specifico e facoltativo nell'app — una casella non preselezionata al momento della registrazione (o del questionario iniziale), oppure un interruttore che puoi attivare o disattivare quando vuoi dalle impostazioni privacy dell'app — distinto dal consenso ai cookie. Se non arrivi da un annuncio di Google non mandiamo nulla, anche se hai dato il consenso. Meta e TikTok non ricevono alcun evento dal nostro server.

Cosa mandiamo (solo l'indispensabile): il codice del clic sull'annuncio di Google che ti ha portato da noi (gclid, gbraid o wbraid: un codice creato da Google per quel clic, che serve a collegare l'evento all'annuncio); a quale dei tre momenti si riferisce l'evento; la data e l'ora; un codice casuale che serve solo a non contare due volte lo stesso evento; per il primo acquisto, l'importo pagato (al colloquio svolto associamo un valore convenzionale fisso, uguale per tutti). Indichiamo inoltre a Google che questi dati non possono essere usati per la pubblicità personalizzata. Non mandiamo mai: il tuo nome, la tua email o il tuo telefono (nemmeno cifrati), il tuo indirizzo IP, dati sulla tua salute, il contenuto delle sedute o dei messaggi. I profili dei figli (Ri-Hub Junior) non generano mai questi eventi, indipendentemente dal consenso dell'account del genitore.

Base giuridica. Il trattamento si fonda sul tuo consenso (art. 6.1.a GDPR); e poiché il solo fatto che tu abbia prenotato o svolto un colloquio presso una piattaforma di fisioterapia può di per sé rivelare un'informazione sulla tua salute, ci basiamo anche sul consenso esplicito previsto per le categorie particolari di dati (art. 9.2.a GDPR). Puoi revocare questo consenso in qualsiasi momento dalle impostazioni privacy dell'app: da quel momento non parte alcun nuovo evento, e un evento già in attesa di invio viene annullato.

Conservazione dei registri degli invii. Il codice del clic lo prendiamo, al momento dell'invio, dalla provenienza salvata con il tuo account (§ 5.4). Un evento che non riesce a partire entro 6 giorni viene annullato. Il registro di cosa è stato inviato — piattaforma, tipo di evento, data, esito, quali campi sono stati mandati (mai i valori) — resta per poter dimostrare che l'invio è avvenuto secondo il consenso dato, con la stessa conservazione dei dati di account indicata al § 9.

5.3 Contatore anonimo delle visite (nessun consenso richiesto)

Teniamo anche un contatore interno delle visite al sito e all'app, per sapere quante persone arrivano, da quale canale e quale campagna, senza identificare nessuno: nessun cookie, nessun indirizzo IP salvato, nessun identificativo personale o del dispositivo. Contiamo solo numeri aggregati per giorno (fuso orario di Roma), per sito, canale, campagna, annuncio e tipo di pagina — per esempio "230 visite dalla campagna X martedì". L'indirizzo IP è usato soltanto per un istante, per calcolare un'impronta tecnica che impedisce di contare più volte un flusso anomalo di richieste, e non viene mai salvato. Non essendo un trattamento di dati personali, questo contatore non richiede consenso: la finalità è esclusivamente statistica e interna a Ri-Hub.

5.4 Da dove arrivi (cookie `ri_utm`)

Quando arrivi da un annuncio o da un link con parametri di campagna, ricordiamo la sorgente, il mezzo, la campagna e gli identificativi di clic (per esempio gclid, fbclid, ttclid) del tuo arrivo. Solo se hai accettato la categoria Analytics o Marketing nel banner cookie li salviamo, per al massimo 90 giorni, in un cookie di prima parte chiamato ri_utm, condiviso fra ri-hub.it e app.ri-hub.it; senza consenso restano solo per la durata della visita, nella memoria della scheda del browser, e non diventano un cookie. Se ritiri entrambi i consensi, il cookie viene cancellato. Questa regola vale sia sul sito sia nell'app. Ci serve per sapere quale canale pubblicitario ti ha portato da noi, anche se ti registri o prenoti giorni dopo. Quando ti registri o prenoti, la provenienza della tua visita viene salvata insieme al tuo account, per le nostre statistiche interne su quali canali funzionano; a Google Ads arriva soltanto il codice del clic, e solo alle condizioni del § 5.2.

6. Destinatari e responsabili esterni

Tutti i soggetti elencati di seguito sono nominati Responsabili del trattamento ex art. 28 GDPR con apposito atto contrattuale. Nessun soggetto al di fuori di questa lista accede ai tuoi dati. I dati sanitari conservati sono accessibili esclusivamente al fisioterapista assegnato; i fornitori di videochiamata trasportano in tempo reale l'audio e il video delle sedute senza conservarli; tutti gli altri fornitori trattano dati strettamente tecnici o amministrativi.

Fisioterapisti convenzionati: accedono ai dati sanitari del solo paziente assegnato per erogare la prestazione. Iscritti all'Albo, tenuti al segreto professionale ex art. 622 c.p. Nessun fisioterapista può visionare dati di pazienti non assegnati a sé.
Cloud hosting UE (data center localizzati nello Spazio Economico Europeo): infrastruttura applicativa e database, dove sono conservati i dati sanitari. Cifratura TLS in transito e cifratura a riposo sui volumi.
Stripe (Irlanda + USA): gestione pagamenti. Tratta esclusivamente dati amministrativi (importo, email, anagrafica fatturazione). Mai dati sanitari. Eventuale trasferimento extra-UE basato su Standard Contractual Clauses art. 46 GDPR.
Google LLC: solo se accedi con il tuo account Google (OAuth limitato a email + profilo) o se il fisioterapista ha attivato la sincronizzazione del proprio Google Calendar (scope calendar.events, lettura/scrittura limitata agli eventi creati da Ri-Hub). Mai dati sanitari del paziente. Trasferimento extra-UE basato su Standard Contractual Clauses.
PostHog (cloud UE, eu.i.posthog.com): statistiche d'uso del sito e dell'app, legate a un identificativo casuale del browser, solo dopo il consenso «Analytics» del banner cookie. Session replay disattivato; chiediamo di non salvare l'indirizzo IP negli eventi. Mai dati sanitari.
Brevo (Sendinblue): invio email transazionali e newsletter. Server UE. Tratta solo email + nome.
LiveKit (LiveKit, Inc., USA, servizio LiveKit Cloud): oggi è il fornitore principale delle videosedute. I suoi server inoltrano in tempo reale l'audio e il video tra fisioterapista e paziente, cifrati in transito, passando di norma dal server più vicino ai partecipanti. Le videosedute NON sono registrate né conservate.
Twilio (Twilio Inc., USA): videosedute di riserva con Twilio Video, quando si esaurisce il traffico mensile incluso nel nostro piano LiveKit, con le stesse garanzie (cifratura in transito, nessuna registrazione); invio dei messaggi WhatsApp di servizio, per esempio i promemoria degli appuntamenti. LiveKit e Twilio hanno sede negli Stati Uniti: non possiamo escludere che audio, video e dati tecnici delle sedute transitino o siano accessibili da lì. Stiamo verificando con entrambi la regione dei server e le garanzie per il trasferimento (Data Privacy Framework o Clausole Contrattuali Standard, artt. 45–46 GDPR).
Apple Inc. (USA): solo se accedi con il tuo Apple ID via "Sign in with Apple". Tratta esclusivamente identificativo Apple + email (relay anonimo opzionale). Mai dati sanitari. Trasferimento extra-UE basato su SCC.
Firebase Cloud Messaging (Google LLC, USA): per le notifiche push sull'app Android e iOS. Tratta solo token dispositivo opaco. Mai dati sanitari nel payload. Trasferimento extra-UE basato su SCC.
MinIO (storage object self-hosted, regione UE): conservazione dei documenti del consenso informato firmato (PDF + carta d'identità fronte/retro). Server interni Ri-Hub, accesso ristretto al solo personale tecnico autorizzato e al fisioterapista assegnato. Cifratura at-rest a livello volume.
CRM interno Ri-Hub (server self-hosted UE, dominio crm.ri-hub.it): sistema di gestione cartelle pazienti accessibile solo al personale clinico/amministrativo Ri-Hub vincolato da segreto professionale e accordi di riservatezza. Riceve sync automatica degli eventi: registrazione, anamnesi prenotata, consenso firmato, acquisto sedute, sedute completate.
Calendly (USA): se il fisioterapista ha collegato il proprio account Calendly per la sincronizzazione di disponibilità extra-Ri-Hub. Tratta solo metadati slot (date/ore), non dati clinici. Trasferimento extra-UE basato su SCC.
Google Analytics 4 (Google LLC, USA): metriche di utilizzo aggregate solo dopo consenso esplicito tramite il banner cookie. IP anonimizzato, ad personalization disattivato di default. Mai dati sanitari. SCC.
Ahrefs Web Analytics (Ahrefs Pte. Ltd., Singapore): conta le visite alle pagine del sito e la loro provenienza, solo dopo il consenso «Analytics» del banner cookie. Nelle nostre verifiche non scrive cookie sul dispositivo, ma riceve i dati tecnici della visita (pagina, sito di provenienza, indirizzo IP). Mai dati sanitari. Trasferimento extra-UE basato su Clausole Contrattuali Standard (art. 46 GDPR).
Meta Platforms Ireland Ltd. (Irlanda + USA): pixel pubblicitario sul sito, solo con consenso "Marketing" dal banner cookie e solo sulle pagine che non parlano di salute, da cui riceve soltanto la visita della pagina. Misura l'efficacia delle pubblicità su Facebook e Instagram. Non riceve alcun evento dall'app né dal nostro server (§ 5.1, § 5.2). Mai dati sanitari. Trasferimento extra-UE basato su EU-US Data Privacy Framework.
TikTok Technology Limited (Irlanda): pixel pubblicitario sul sito, solo con consenso «Marketing» dal banner cookie e solo sulle pagine che non parlano di salute, da cui riceve soltanto la visita della pagina. Non riceve alcun evento dall'app né dal nostro server (§ 5.1, § 5.2). Mai dati sanitari. Trasferimento extra-UE basato su Clausole Contrattuali Standard; i dati possono essere accessibili anche dalla Cina, a personale del gruppo TikTok: nel maggio 2025 l'autorità irlandese per la protezione dei dati (Data Protection Commission) ha sanzionato TikTok per 530 milioni di euro proprio per questi trasferimenti.
Google Ireland Limited — Google Ads: solo per chi arriva da un annuncio di Google e ha dato il consenso esplicito e facoltativo nell'app, riceve dal nostro server gli eventi di prenotazione del primo colloquio conoscitivo gratuito, colloquio svolto e primo acquisto: il codice del clic sull'annuncio (gclid, gbraid o wbraid), il tipo di evento, la data e, per la visita svolta e il primo acquisto, un valore in euro; mai email, telefono, nome, dati di salute o contenuto di sedute e messaggi. Sul sito non usiamo il pixel di Google Ads e dall'app non gli mandiamo eventi. Trasferimento extra-UE basato su EU-US Data Privacy Framework. Dettagli: § 5.2.

7. Google API Services User Data — informativa specifica

Questa sezione è fornita in conformità alla Google API Services User Data Policy e ai Google APIs Terms of Service.

Importante — chi è interessato. L'integrazione con Google API è una funzionalità opt-in destinata esclusivamente ai fisioterapisti convenzionati con Ri-Hub, che possono scegliere di sincronizzare gli appuntamenti gestiti tramite l'app sul proprio Google Calendar. I pazienti non utilizzano alcuna Google API nell'ambito del servizio: l'autenticazione paziente avviene tramite email/password o "Sign in with Apple". Se sei un paziente, questa sezione non si applica al tuo utilizzo del servizio.

7.1 Dati Google a cui Ri-Hub accede ("Data Accessed")

Quando un fisioterapista esegue il flusso OAuth di Google in Ri-Hub, l'app richiede esclusivamente gli scope minimi indispensabili per la funzione attivata. Nessun altro scope è mai richiesto.

Identità Google del fisioterapista: scope https://www.googleapis.com/auth/userinfo.email. Ri-Hub riceve da Google solo l'indirizzo email verificato, usato per associare l'integrazione all'account fisio già esistente in Ri-Hub.
Sincronizzazione Google Calendar: scope https://www.googleapis.com/auth/calendar.events. Ri-Hub legge e scrive esclusivamente gli eventi creati e gestiti dall'app stessa. NON richiediamo lo scope calendar completo né calendar.readonly: gli altri eventi del calendario del fisioterapista rimangono completamente invisibili a Ri-Hub.

Ri-Hub NON accede MAI a: contenuto Gmail, Drive/Docs, Foto, Contatti, cronologia di ricerca, posizione, YouTube, alcun altro Google service.

7.2 Come Ri-Hub usa i dati Google ("Data Usage")

Email Google: solo per associare l'integrazione Calendar all'account fisioterapista corretto in Ri-Hub. Nessun altro uso. Mai per profilazione né per addestrare modelli AI/ML.
Eventi Google Calendar: per scrivere sul calendario del fisioterapista gli appuntamenti che lui conferma con i pazienti tramite Ri-Hub (l'evento è creato come "Ri-Hub: Sessione con [Paziente]"); per leggere indietro solo gli eventi precedentemente creati da Ri-Hub, al fine di rilevare cancellazioni o modifiche fatte direttamente dal fisioterapista su Google Calendar e mantenere coerente la disponibilità sull'app. Ogni evento creato è marcato con un metadato proprietario che ne consente l'identificazione univoca.

7.3 Condivisione dei dati Google con terzi ("Data Sharing")

Ri-Hub NON trasferisce, NON vende e NON condivide con alcuna terza parte i dati ottenuti tramite Google APIs, fatte salve due eccezioni espresse e necessarie al servizio:

Hosting cloud nello Spazio Economico Europeo (data center UE) dove il backend Ri-Hub è eseguito: i dati Google ricevuti vi transitano e vi risiedono come parte normale dell'erogazione del servizio. Il provider è nominato Responsabile del trattamento ex art. 28 GDPR.
Restituzione del dato al fisioterapista stesso all'interno dell'interfaccia Ri-Hub (es. mostro al fisio lo stato di sincronizzazione di un evento Calendar che lui ha appena gestito).

I dati Google non vengono mai utilizzati per advertising, profilazione, marketing, addestramento di modelli AI/ML, né per scopi diversi dalla funzionalità OAuth descritta sopra. I dati Google non sono mai trasferiti al di fuori del SEE nel contesto dell'utilizzo da parte di Ri-Hub.

7.4 Conservazione e protezione ("Data Storage & Protection")

Cifratura in transito: tutte le chiamate alle Google APIs avvengono via HTTPS/TLS 1.3.
Cifratura at-rest: l'access token e il refresh token Google sono cifrati a livello applicativo prima del salvataggio in database, in aggiunta alla cifratura at-rest del volume.
Controllo accessi: i token Google e i dati derivati sono accessibili solo al backend Ri-Hub eseguito sull'infrastruttura UE. Nessun dipendente accede ai token in chiaro: l'eventuale accesso operativo richiede deroga documentata e tracciata in audit log.
Localizzazione: i dati Google ricevuti sono memorizzati esclusivamente nello Spazio Economico Europeo.
Audit log: ogni utilizzo significativo dei token (refresh, chiamata Calendar) è registrato per finalità di sicurezza.

7.5 Conservazione e cancellazione ("Data Retention & Deletion")

Token OAuth (access + refresh): conservati finché l'integrazione è attiva. Cancellati immediatamente quando l'utente disconnette l'integrazione dall'app oppure quando Google li revoca.
Email Google del fisioterapista: conservata finché l'integrazione Calendar è attiva (vedi § 9 di questa policy per i criteri generali di account).
Eventi Google Calendar creati da Ri-Hub: l'evento sul calendario del fisioterapista rimane finché lui non lo cancella; il riferimento interno in Ri-Hub viene rimosso quando l'appuntamento è cancellato dall'app o quando l'integrazione è disconnessa.

Come revocare/cancellare i dati Google da Ri-Hub:

Dall'app Ri-Hub: sezione Impostazioni → Integrazioni / Calendario Google → "Disconnetti" — rimuove access/refresh token, smette di scrivere sul Calendar e cancella i metadati di sincronizzazione.
Da Google: Gestisci i permessi del tuo account Google → revoca l'accesso a "Ri-Hub". Ri-Hub si accorge della revoca alla prima chiamata e ripulisce i token.
Cancellazione completa dell'account Ri-Hub: scrivi a privacy@ri-hub.it oppure usa la funzione Elimina account in app. La rimozione dei dati Google associati avviene contestualmente alla cancellazione dell'account.

Limited Use disclosure. L'uso da parte di Ri-Hub delle informazioni ricevute dalle Google APIs aderisce alla Google API Services User Data Policy, inclusi i requisiti di Limited Use.

8. I tuoi diritti (Artt. 15–22 GDPR)

Hai diritto di: accedere ai tuoi dati, rettificarli, ottenerne la cancellazione ("diritto all'oblio"), limitarne il trattamento, riceverli in formato portabile, opporti al trattamento, revocare in qualsiasi momento i consensi prestati (anche cookie analytics e marketing, e il consenso specifico alla misura delle campagne pubblicitarie dato in app, § 5.2) senza pregiudizio per la liceità del trattamento basata sul consenso prestato prima della revoca.

Puoi inoltre proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

Per esercitare i diritti scrivi a privacy@ri-hub.it. La cancellazione dell'account dall'app comporta la rimozione dei dati personali entro 30 giorni; per obblighi fiscali e contrattuali alcuni record (es. fatturazione, appuntamenti) sono mantenuti in forma pseudonimizzata per il tempo previsto dalla legge.

9. Periodo di conservazione

Dati account e sanitari: per tutta la durata del rapporto e fino a 10 anni dalla sua fine. Il motivo è la tutela dei diritti, tuoi e nostri: 10 anni è il termine ordinario di prescrizione (art. 2946 c.c.) entro cui possono essere fatte valere eventuali richieste legate alle prestazioni sanitarie (L. 24/2017). I documenti fiscali e contabili si conservano per il tempo previsto dalla legge.
Token di autenticazione: refresh token rinnovato a ogni accesso, validità massima 365 giorni di inattività.
Dati analytics (PostHog): 12 mesi.
Log tecnici di sicurezza: 6 mesi.
Misura delle campagne pubblicitarie (§ 5.2): un evento che non parte entro 6 giorni viene annullato; il registro di cosa è stato inviato, quando e con quale esito (mai i valori) segue la stessa conservazione dei dati di account di questa tabella.
Cookie di attribuzione ri_utm (§ 5.4): 90 giorni.
Contatore anonimo delle visite (§ 5.3): conteggi aggregati per giorno, senza dati personali; non è previsto un termine di cancellazione in quanto non è un trattamento di dati personali.

10. Misure di sicurezza

Adottiamo misure tecniche e organizzative adeguate al rischio ai sensi dell'art. 32 GDPR:

Cifratura in transito: TLS 1.3 obbligatorio su tutti i collegamenti tra app/sito e backend, nessuna comunicazione in chiaro.
Cifratura at-rest: i volumi su cui risiedono i dati sanitari sono cifrati a livello disco; i token OAuth e i dati più sensibili sono ulteriormente cifrati a livello applicativo.
Autenticazione: refresh token con hashing SHA-256 e rotazione automatica; password mai memorizzate in chiaro (hash con algoritmi standard PBKDF2/argon2).
Minimizzazione nella misura delle campagne: a Google Ads mandiamo solo il codice del clic sull'annuncio, mai email, telefono o nome, nemmeno cifrati (§ 5.2); a Meta e TikTok non mandiamo nulla dal nostro server né dall'app.
Controllo accessi (RBAC): ruoli distinti paziente / fisioterapista / amministratore con privilegi minimi; il fisioterapista vede solo i dati dei pazienti a lui assegnati.
Audit log: registrazione immutabile degli accessi ai dati sanitari, conservata 6 mesi per finalità di sicurezza.
Backup: backup cifrati e versionati, storicizzati in regione UE, testati periodicamente.
Localizzazione UE: i dati sanitari che conserviamo risiedono su infrastruttura cloud nello Spazio Economico Europeo. L'audio e il video delle videosedute passano in tempo reale dai fornitori di videochiamata (§ 6) e non vengono conservati.
Standard di sicurezza dei provider: i fornitori di hosting e cloud utilizzati operano con certificazioni ISO 27001 / SOC 2 e sono GDPR-compliant.
Formazione e procedure: il personale è formato su privacy + sicurezza; piano di gestione data breach con notifica al Garante entro 72 ore (art. 33 GDPR) e all'interessato in caso di rischio elevato (art. 34).

11. Minori

Un minorenne non può creare un account Ri-Hub da solo: l'account è sempre di un adulto. Un genitore che esercita la responsabilità genitoriale, un tutore nominato dal giudice o un affidatario può aggiungere al proprio account il profilo di un figlio minorenne, seguito con il formato Ri-Hub Junior.

Prima della prima seduta, il genitore firma in app, per conto del figlio, il consenso informato al trattamento fisioterapico e una dichiarazione sostitutiva di atto di notorietà (artt. 46–47 D.P.R. 445/2000) in cui indica se l'altro genitore è informato e d'accordo, oppure se decide da solo perché unico titolare della responsabilità genitoriale. Chiediamo la firma anche dell'altro genitore solo in caso di dubbio, disaccordo o su indicazione del direttore sanitario: senza le firme necessarie le sedute non iniziano.

I dati sulla salute del figlio sono trattati dal fisioterapista, soggetto al segreto professionale, esclusivamente per erogare la prestazione sanitaria richiesta (art. 9.2.h e 9.3 GDPR), e non sono mai usati per marketing, profilazione o pubblicità. L'altro genitore che esercita la responsabilità genitoriale ha diritto, una volta verificata la sua identità, di essere informato sul percorso e di chiederne la sospensione. I profili dei figli (Ri-Hub Junior) sono sempre esclusi dalla misura delle campagne pubblicitarie descritta al § 5: nessun evento li riguarda mai, qualunque sia il consenso dato sull'account del genitore.

L'art. 2-quinquies del Codice privacy (D.Lgs. 196/2003, introdotto dal D.Lgs. 101/2018) riguarda i servizi della società dell'informazione offerti direttamente al minore: per questi servizi, dai 14 anni il consenso del minore stesso è valido anche senza quello dei genitori. Non è il caso di Ri-Hub: il nostro servizio sanitario non è offerto direttamente al minore, e l'account resta sempre di un genitore, di un tutore o di un affidatario maggiorenne. Se sospetti che un minorenne abbia creato un account a proprio nome dichiarandosi maggiorenne, scrivi a privacy@ri-hub.it per la verifica e l'eventuale cancellazione.

Per informazioni dettagliate sull'uso dei cookie (necessari, analytics, marketing) e sui dati tecnici dell'app consulta la nostra Cookie Policy. Puoi cambiare la tua scelta in ogni momento dal link «Gestisci cookie» in fondo a ogni pagina (e nell'app: Impostazioni → Privacy e dati). Il cookie di attribuzione ri_utm e la misura delle campagne pubblicitarie sono descritti al § 5 di questa informativa.

13. Modifiche

Questa informativa può essere aggiornata. La versione corrente è pubblicata su ri-hub.it/it/privacy ed è mirrorata nell'app app.ri-hub.it/privacy per garantire l'accesso anche in modalità Capacitor offline. Ultima revisione: 16 ottobre 2026.