1

Informativa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”)

sul trattamento dei dati personali nell’ambito dell’applicativo BRM Follow-up

Nella presente informativa sono riportate, ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 (“GDPR”) le

informazioni relative al trattamento dei dati personali connessi all’utilizzo dell’applicativo mobile BRM Follow-up

(di seguito, l’“App”). L’App è uno strumento digitale riservato ai medici (“Medico” o “Medici”), destinato a

1. I Titolari del trattamento

Il Medico e/o la struttura sanitaria

Il Medico che prende in cura il Paziente, oppure la struttura sanitaria per conto della quale il Medico opera, è

titolare del trattamento dei dati personali necessari per la diagnosi, l’assistenza sanitaria, la cura, la gestione

della documentazione clinica e il follow-up del Paziente. L’identità e i recapiti del titolare che eroga la prestazione

sanitaria sono comunicati al Paziente dal Medico e/o dalla struttura sanitaria nell’informativa relativa al rapporto

di cura. Il medico è responsabile di: utilizzare l’App esclusivamente per finalità di cura e follow-up; non inserire

nell’App dati identificativi diretti del paziente, salvo l’indirizzo e-mail nei limiti indicati nella presente informativa;

utilizzare codici identificativi che non consentano a BRM Extremities S.r.l. di risalire all’identità del paziente;

inserire esclusivamente dati pertinenti, adeguati e necessari e verificare la correttezza del codice utilizzato.

sesso e anno di nascita, utilizzati esclusivamente per analisi statistiche interne aggregate sull’impiego, sulla

distribuzione e sul posizionamento dei dispositivi BRM, nonché per valutazioni relative alla gestione del

portafoglio prodotti; dei dati necessari alla gestione della sicurezza dell’App e dei sistemi.

Per le predette finalità statistiche BRM non tratta nominativo, codice fiscale, recapiti, indirizzo e-mail o altri

identificativi diretti del Paziente e non dispone della chiave che consente di associare il codice identificativo

utilizzato nell’App all’identità del Paziente.

L’indirizzo e-mail raccolto per l’invio dell’informativa privacy è conservato in ambiente logicamente separato dal

dataset utilizzato per le elaborazioni statistiche e non è accessibile ai soggetti che svolgono tali elaborazioni.

indirizzo IP, dati del dispositivo e informazioni tecniche necessarie alla sicurezza dell’App;

• dati relativi all’utilizzo dell’App e ai dispositivi BRM utilizzati (es. tipologia di protesi con la quale il singolo

Medico lavora);

• immagine del profilo, se il Medico decide di inserirla.

Pazienti

Per le finalità di cura, il Medico può inserire nell’App i dati necessari e pertinenti al follow-up clinico, quali:

• dati relativi alla salute e al percorso di cura: diagnosi e informazioni cliniche pertinenti, dati relativi

all’intervento, data dell’intervento, dispositivo impiantato e relativi identificativi, esiti del follow-up, peso e

altri parametri clinici pertinenti;

• immagini dell’area interessata dall’intervento e altri accertamenti diagnostici strettamente pertinenti al

posizionamento dei dispositivi BRM per sesso ed età;

2

• l’indirizzo e-mail del Paziente che viene raccolto e trattato solo ed esclusivamente per l’invio

dell’informativa privacy.

Il Medico non può inserire nell’App nessun dato identificativo del Paziente, salvo la mail per l’invio dell’informativa

privacy, la quale, una volta inserita, non risulterà più accessibile al Medico, ma sarà conservata in backend e

accessibile al solo amministratore di sistema autorizzato e nei limiti strettamente necessari alla gestione tecnica

del servizio e all’adempimento dell’obbligo informativo.

Trattamenti del Medico o della struttura sanitaria: cura e follow-up

Per tali trattamenti, il titolare è il Medico e/o la struttura sanitaria in cui opera. Il trattamento dei dati relativi alla

salute è svolto, quando necessario per finalità di diagnosi, assistenza o terapia sanitaria, ai sensi dell’art. 9, par.

2, lett. h), GDPR e dell’art. 9, par. 3, GDPR, da o sotto la responsabilità di professionisti soggetti al segreto

professionale. La base giuridica ex art. 6, par. 1, lett. b) o e) GDPR è individuata dal Medico e/o dalla struttura

sanitaria in relazione al contesto assistenziale e alla disciplina applicabile.

Per il trattamento strettamente necessario alla cura non è richiesto il consenso del Paziente. Rimane fermo

l’obbligo del Medico e/o della struttura sanitaria di fornire al Paziente una propria informativa sul trattamento dei

dati nell’ambito del proprio rapporto di cura.

BRM tratta i dati dei Medici per:

• Inviare notifiche push al Medico, se impostato dal Medico nelle impostazioni dell’App.

La base giuridica è l’art. 6, par. 1, lett. b), GDPR, quando il trattamento è necessario per l’esecuzione del contratto

o di misure precontrattuali richieste dall’interessato; per le attività di sicurezza, prevenzione di abusi e tutela dei

sistemi, la base giuridica è l’art. 6, par. 1, lett. f), GDPR, in ragione del legittimo interesse di BRM a garantire la

sicurezza, integrità e continuità dell’App e dei propri sistemi.

BRM può inviare ai Medici comunicazioni strettamente necessarie relative all’App, alla sicurezza, agli

aggiornamenti del servizio, ai dispositivi e agli adempimenti regolatori. Tali comunicazioni sono effettuate,

quando necessarie per il rapporto contrattuale o per la sicurezza, senza richiedere il consenso. Per le notifiche

push, se attivate dal Medico nelle impostazioni dell’App, la base giuridica del trattamento è l’art. 6, par. 1, lett. b),

GDPR.

• analizzare la distribuzione e l’utilizzo dei dispositivi in relazione al sesso e alle fasce di età ricavate dall’anno

di nascita;

• comprendere, su base aggregata, la diffusione dei dispositivi BRM nei diversi segmenti demografici;

• supportare valutazioni interne relative alla qualità e alla gestione del portafoglio prodotti;

• monitorare dati aggregati relativi al follow-up;

• predisporre report interni aggregati e senza riferimenti diretti ai singoli Pazienti.

BRM non utilizza l’App per tracciare il paziente o il singolo prodotto in modo riconducibile all’identità del paziente.

La base giuridica dei trattamenti effettuati da BRM è costituita, a seconda dei casi, dall’art. 6, par. 1, lett. f), GDPR,

per il legittimo interesse di BRM a gestire, valutare e migliorare i propri dispositivi e a conoscere i dati aggregati di

utilizzo sul mercato e dall’art. 6, par. 1, lett. c), GDPR, quando il trattamento è necessario per adempiere obblighi

3

L’indirizzo e-mail del paziente è trattato esclusivamente per consentire l’invio dell’informativa privacy relativa

all’utilizzo dell’App e ai trattamenti connessi. Per tale finalità la base giuridica è l’art. 6, par. 1, lett. c), GDPR,

quando l’invio è necessario per adempiere agli obblighi informativi previsti dal GDPR, e/o l’art. 6, par. 1, lett. f),

GDPR, per il legittimo interesse a documentare e rendere effettiva l’informazione dell’interessato.

aggregate relative alla distribuzione e all’utilizzo dei dispositivi per caratteristiche demografiche. Il mancato

conferimento di tali informazioni può limitare la completezza delle elaborazioni statistiche interne.

L’attivazione delle notifiche push resta a discrezione del Medico. Se l’impostazione non viene attivata, le notifiche

push non saranno inviate.

I dati possono essere trattati, ciascuno nei limiti delle rispettive competenze e finalità, da:

del trattamento ai sensi dell’art. 28 GDPR quando operano per conto del titolare;

• consulenti, organismi notificati, autorità competenti, distributori, importatori e altri soggetti coinvolti nella

catena di fornitura o nella vigilanza dei dispositivi, quando la comunicazione sia necessaria per obblighi

normativi, qualità, sicurezza o tutela dei diritti;

• ulteriori soggetti che agiscano come titolari, quando previsto dalla legge o necessario per l’esercizio o la

difesa di un diritto in sede giudiziaria o stragiudiziale.

BRM conserva i dati per un periodo non superiore a quello necessario al conseguimento delle finalità per cui sono

trattati, nel rispetto dei principi di minimizzazione e limitazione della conservazione.

comunque, non oltre 5 anni dalla raccolta e/o dalla cessazione del rapporto con il Medico, salvo che

l’ulteriore conservazione sia necessaria per obblighi di legge, gestione di contestazioni e/o tutela dei diritti;

• i log tecnici e di sicurezza sono conservati per 6 mesi, salvo necessità di ulteriore conservazione per

accertare o gestire incidenti di sicurezza;

I tempi di conservazione della ulteriore documentazione sanitaria per finalità di cura sono determinati dal Medico

o dalla struttura sanitaria, quali titolari autonomi, secondo la normativa applicabile.

Alla scadenza dei periodi applicabili i dati sono cancellati oppure, ove tecnicamente e giuridicamente possibile,

trasformati in dati aggregati non riferibili a singoli Pazienti.

4

sono predisposti in forma aggregata e con misure idonee a evitare la divulgazione o l’inferenza di informazioni

riferibili a singoli Pazienti.

I dati sono conservati su server ubicati all’interno dell’Unione Europea. Per l’invio delle notifiche push BRM utilizza

Firebase Cloud Messaging, servizio fornito da Google. Tale servizio comporta il trattamento di identificativi tecnici

del dispositivo, token di notifica e, ove strettamente necessario, di identificativi interni associati al Paziente.

L’utilizzo del servizio può comportare il trasferimento di dati personali verso gli Stati Uniti. Il trasferimento verso

Nei confronti del rispettivo titolare, l’interessato ha diritto, nei limiti e alle condizioni previste dal GDPR, di

ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo

riguardano e in tal caso ha il diritto:

• di essere informato dell’esistenza di un processo decisionale automatizzato, compresa la profilazione;

• se espresso, di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento

basata sul consenso prestato prima della revoca (art. 13, par. II, lett. c, GDPR);

Il Paziente esercita i diritti relativi al trattamento per cura e follow-up rivolgendosi al Medico o alla struttura

sanitaria titolare del rapporto di cura.

Per i trattamenti effettuati da BRM, quale titolare, l’interessato può rivolgersi a BRM ai seguenti recapiti: Civate

(23862 – LC) Via Privata ai Campi, 7; Tel. +39 0341 1693087; Mail privacy@brm-extremities.com, indicando

possibilmente nell’oggetto della comunicazione “Privacy - BRM APP Follow-up”.