Studio Osteopatico OLOSDott. Obaida Ghrewati

Informativa sul trattamento dei dati personali dei pazienti

Art. 13 del Regolamento UE 2016/679 («GDPR») e D.Lgs. 196/2003 («Codice privacy»). Versione del 14/10/2026, aggiornata il 16/10/2026 (promemoria degli esercizi, video di esempio, copia sul telefono).

English: this full notice is in Italian. The short version in English is on the first page of your exercise plan. For an English copy of the full notice, write to the clinic: osteopatiaolos@gmail.com · +39 329 003 0335.

1. Chi tratta i suoi dati (titolare)

Dott. Obaida Ghrewati, Osteopata, iscrizione all'elenco speciale degli osteopati presso l'Ordine TSRM e PSTRP di Milano in corso — Studio Osteopatico OLOS — P. IVA 11769400968 (Studio Olos di Ghrewati Obaida).

Studio principale: Via Fratelli Vigorelli 1, 20054 Segrate (MI).
Studio di Milano: Spazio Zona 3, Via Crescenzago 36, 20134 Milano (MI).
Riceve anche presso: Via Atto Vannucci 2, 20135 Milano (zona Porta Romana / Crocetta).
Contatti: e-mail osteopatiaolos@gmail.com · telefono e WhatsApp 329 003 0335 · PEC obaidaghrewati@pec.it.

Lo studio non ha un Responsabile della protezione dei dati (DPO): non è obbligatorio per un singolo professionista che non tratta dati «su larga scala» (Garante, provvedimento 7 marzo 2019). Per qualsiasi domanda scriva ai contatti sopra.

2. Quali dati

Dati per riconoscerla e contattarla: nome e cognome, data e luogo di nascita, indirizzo, telefono, e-mail, codice fiscale.
Dati sulla salute: motivo della visita, storia clinica (anamnesi), traumi e interventi, farmaci, referti ed esami che lei porta (anche in foto), valutazione e trattamenti osteopatici, esercizi consigliati e come li sta facendo (giorni, minuti, dolore da 0 a 10).
Promemoria degli esercizi (solo se li attiva lei nella scheda): l'indirizzo tecnico delle notifiche del suo telefono, i giorni e gli orari scelti. Mai il nome.
Dati per la fattura: prestazioni, importi, pagamenti.
Per i minori: anche i dati del genitore o tutore.

3. Perché li usiamo e con quale base di legge

A · Curavalutazione, trattamento, scheda clinica, referti, esercizi a casa.

Base: art. 9.2.h GDPR (prestazione sanitaria di un professionista tenuto al segreto) e art. 6.1.b (contratto di cura); art. 2-septies Codice privacy. Obbligatorio: senza questi dati non possiamo curarla. Non serve il suo consenso (Garante, 7/3/2019).

B · Legge e fiscofattura, contabilità, Sistema Tessera Sanitaria se previsto, richieste delle autorità.

Base: art. 6.1.c GDPR. Obbligatorio.

C · Appuntamenticonferma e promemoria del giorno prima via WhatsApp, SMS, telefono o e-mail. Si mandano sempre, anche a chi ha detto NO ai messaggi facoltativi.

Base: art. 6.1.b GDPR (servizio che lei ci chiede, parte della cura). Può chiederci in ogni momento di non ricevere i promemoria.

D · Messaggi facoltativi«com'è andata?» dopo la visita, richiami e promemoria per un controllo (anche «è ora di un controllo» in questa scheda degli esercizi), auguri di compleanno (anche con eventuali offerte), richiesta di un'opinione o di una recensione, notizie dello studio.

Base: consenso (art. 6.1.a e, per i dati di salute, art. 9.2.a GDPR; art. 130 Codice privacy). Non obbligatorio: sceglie lei SÌ o NO quando firma il consenso informato al trattamento, e il Dott. Ghrewati segna la sua scelta. Li riceve solo se ha detto SÌ; se dice NO o non risponde, non li riceve. Può revocare il SÌ quando vuole, anche scrivendo «STOP». La cura non cambia.

E · Schede di esercizi onlineun link personale al suo telefono con i suoi esercizi; registra i giorni in cui li fa, i minuti e il dolore. Se lei li attiva, manda anche i promemoria degli esercizi sul telefono.

Base: art. 9.2.h GDPR (fa parte della cura). Per usare la scheda deve premere «Ho letto»: non è un consenso, è la conferma che ha letto come funziona. I promemoria sono facoltativi e si tolgono quando vuole.

F · Aiuto dell'intelligenza artificialeper leggere un referto o riassumere il caso clinico (la decisione resta sempre dell'osteopata).

Base: art. 9.2.h GDPR (supporto alla cura), con le cautele del punto 4. Il testo viene mandato senza nome e cognome; nei documenti nome e codice fiscale vengono coperti prima dell'invio.

G · Difesa dello studioin caso di contestazioni.

Base: art. 6.1.f e art. 9.2.f GDPR.

H · Parlare della sua salute a terzi(medico curante, specialisti, familiari).

Base: consenso, nel modulo del consenso informato. Non obbligatorio.

Non facciamo profilazione né decisioni automatiche su di lei. I dati non vengono mai diffusi né venduti. Le foto e i video pubblicati sui social dello studio non contengono mai pazienti senza un consenso scritto a parte.

4. Come e dove sono tenuti i dati

I dati sono trattati dal Dott. Ghrewati, tenuto al segreto professionale, su carta e con strumenti digitali protetti da password:

App dello studio (usata solo dal Dott. Ghrewati, con accesso Google personale): scheda clinica, appuntamenti, messaggi. I dati stanno sui suoi dispositivi e, come copia di sicurezza, su Google Drive; appuntamenti su Google Calendar; rubrica su Google Contatti.
Schede esercizi online: archivio di Cloudflare con sede dei dati nell'Unione Europea. Lì non ci sono nome, telefono né e-mail: la scheda è riconosciuta solo da un codice lungo e casuale. Sul suo telefono resta una copia dei giorni in cui ha fatto gli esercizi: quando riapre la scheda, si cancellano i giorni più vecchi di 90 giorni.
Promemoria degli esercizi (solo se li attiva lei): nell'archivio si salvano l'indirizzo tecnico delle notifiche del suo telefono, i giorni e gli orari. La notifica la consegna il servizio di notifiche del suo telefono — Google (Android e Chrome), Apple (iPhone e Safari), Mozilla (Firefox) o Microsoft (Windows) — che riceve solo quell'indirizzo tecnico e la notifica cifrata; la notifica non dice mai il suo nome né il suo problema. Se ha detto SÌ ai messaggi facoltativi (punto D), 3 mesi dopo l'ultima visita arriva anche, una volta sola, un promemoria per il controllo; può rifiutarlo in ogni momento anche nelle Impostazioni della scheda («Non ricordarmi i controlli»).
Video di esempio: alcuni esercizi hanno un video di YouTube (Google). Si carica solo se lei lo tocca, dal dominio «youtube-nocookie»: toccandolo, Google riceve l'indirizzo internet del suo telefono e il video scelto. Se non lo tocca, a Google non arriva niente.
«Segnala un problema» (solo se lo usa lei): nell'archivio si salvano il suo messaggio e alcune informazioni tecniche — versione della pagina, tipo di telefono e browser, lingua, schermata aperta, ultimo errore della pagina — senza nome, solo per sistemare la pagina. Li legge solo il Dott. Ghrewati.
Notifiche al telefono dell'osteopata: servizio Cloudflare che manda solo numeri (es. «3 appuntamenti oggi»), mai nomi.
Messaggi: WhatsApp, inviati a mano dal Dott. Ghrewati (nessun invio automatico).
Intelligenza artificiale: Anthropic (modello Claude), usata tramite il servizio per aziende (API). Riceve il testo clinico senza nome e cognome. Prima di mandare la foto o il PDF di un referto o di un modulo, l'app dello studio copre nome e codice fiscale: il Dott. Ghrewati vede l'anteprima già coperta (e copre a mano altri dati che la identificano, se ci sono) e parte solo l'immagine coperta, anche per calcolare quanto costa l'analisi. Per contratto Anthropic non usa questi dati per addestrare i suoi modelli e li cancella di norma entro 30 giorni.

5. A chi possono arrivare i dati

Fornitori di servizi informatici che trattano i dati per conto dello studio e solo per far funzionare i servizi:

Google (Google Ireland Ltd / Google LLC)Drive, Calendar, Contatti, accesso; YouTube per i video di esempio (solo al tocco); consegna dei promemoria su Android e Chrome.

Dati in UE e Stati Uniti.

Cloudflare, Inc.sito dell'app e degli esercizi, archivio esercizi, notifiche.

Archivio esercizi in UE; la società è statunitense.

Apple, Mozilla, Microsoftconsegna dei promemoria degli esercizi, solo se lei li attiva e solo per il telefono o il browser che usa (iPhone e Safari, Firefox, Windows).

Ricevono l'indirizzo tecnico e la notifica cifrata; società statunitensi.

Anthropic (Anthropic PBC)intelligenza artificiale per referti e casi clinici.

Stati Uniti.

WhatsApp Ireland Ltd (gruppo Meta)messaggi.

UE e Stati Uniti; messaggi cifrati da un capo all'altro.

Inoltre, solo quando serve: commercialista (fatture), Agenzia delle Entrate / Sistema Tessera Sanitaria se previsto, assicurazione di responsabilità professionale in caso di sinistro, autorità giudiziarie o sanitarie quando la legge lo impone, e le persone che lei stesso indica (punto H). Lo strumento per i post sui social (Buffer) non riceve mai dati dei pazienti.

6. Dati fuori dall'Unione Europea

Google, Cloudflare, Apple, Mozilla, Microsoft, Anthropic e Meta sono società statunitensi o fanno parte di gruppi statunitensi, quindi i dati possono essere trattati anche negli Stati Uniti. Il trasferimento è permesso dal GDPR (artt. 45–46) grazie a:

la decisione di adeguatezza UE–USA «Data Privacy Framework» (Commissione europea, 10 luglio 2023) per le società certificate;
le clausole contrattuali standard approvate dalla Commissione europea (decisione 2021/914), contenute negli accordi sul trattamento dei dati dei fornitori (per Anthropic: Data Processing Addendum, moduli 2 e 3).

Può chiedere copia di queste garanzie scrivendo ai contatti del punto 1.

7. Per quanto tempo

Scheda clinica (anamnesi, valutazioni, trattamenti, referti, consenso informato)

10 anni dall'ultima prestazione. Nessuna legge fissa un termine per lo studio di un libero professionista sanitario (l'obbligo di conservazione «illimitata» della circolare del Ministero della Sanità n. 900.2/2.7/190 del 19/12/1986 riguarda le cartelle cliniche di ospedali e strutture). Si usa quindi il termine di 10 anni in cui il paziente può far valere la responsabilità del professionista che lo ha in cura direttamente (art. 2946 c.c.; art. 7 legge 24/2017 «Gelli-Bianco»).

Fatture e documenti fiscali

10 anni (art. 2220 c.c. e norme fiscali).

Appuntamenti in agenda

Come la scheda clinica (10 anni dall'ultima prestazione): provano le prestazioni fatte.

Dati d'uso delle schede esercizi (giorni, minuti, dolore)

12 mesi dopo la fine della scheda; se la scheda non viene chiusa, 12 mesi dopo l'ultima apertura; poi si cancellano dall'archivio online. Gli esercizi prescritti restano nella scheda clinica. Sul suo telefono: quando riapre la scheda, si cancellano i giorni più vecchi di 90 giorni.

Segnalazioni di problemi della pagina

12 mesi, poi si cancellano dall'archivio online.

Promemoria degli esercizi

Finché li tiene attivi: si cancellano quando tocca «Smetti di ricordarmelo», quando il telefono non li riceve più, o al più tardi 12 mesi dopo la fine della scheda.

Messaggi facoltativi (punto D)

Finché lei non revoca il consenso; il modulo firmato con la sua scelta si tiene con la scheda clinica, come prova.

Testi mandati all'intelligenza artificiale

Presso Anthropic: di norma cancellati entro 30 giorni; il risultato utile resta nella scheda clinica.

Persone che hanno solo chiesto informazioni o un appuntamento, senza visita

Massimo 12 mesi: non c'è una scheda clinica da conservare.

8. I suoi diritti

Può chiedere in ogni momento, gratis:

di vedere i suoi dati e averne copia (art. 15), anche della scheda clinica;
di correggerli (art. 16);
di cancellarli (art. 17) — tranne quelli che lo studio deve tenere per legge o per difendersi (es. scheda clinica e fatture per 10 anni);
di limitarne l'uso (art. 18) o di opporsi (art. 21);
di riceverli in un formato digitale comune (art. 20);
di revocare il consenso ai messaggi facoltativi quando vuole, anche solo scrivendo «STOP» su WhatsApp; la revoca non rende illegale quello che è stato fatto prima.

Risponderemo entro un mese (art. 12). Per esercitare i diritti: osteopatiaolos@gmail.com · 329 003 0335 · PEC obaidaghrewati@pec.it.

Reclamo: se pensa che i suoi dati siano usati male può fare reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it — protocollo@pec.gpdp.it (art. 77 GDPR), oppure rivolgersi al giudice.