Privacy e Sicurezza

Il Regolamento Generale sulla Protezione dei Dati (GDPR) rappresenta uno dei cambiamenti più significativi nella normativa sulla privacy in Europa negli ultimi decenni. Introdotto dall’Unione Europea e in vigore dal 25 maggio 2018, il GDPR stabilisce linee guida rigorose su come le aziende e le organizzazioni devono gestire, trattare e proteggere i dati personali dei cittadini dell'UE. Con l'obiettivo di garantire maggiore trasparenza e controllo agli utenti sui loro dati, il GDPR ha implicazioni profonde, non solo per le grandi aziende tecnologiche, ma per qualsiasi attività che raccoglie, elabora o conserva informazioni personali.

Questa guida esplorerà i punti chiave del GDPR: dagli obblighi e responsabilità delle aziende alle modalità per conformarsi, fino ai diritti degli utenti e le conseguenze per il mancato rispetto delle norme. Forniremo una panoramica delle tecniche per implementare la protezione dei dati fin dalla progettazione (privacy by design) e suggerimenti per gestire le richieste di accesso ai dati, garantendo così un approccio responsabile e trasparente alla privacy.

Questa lezione video guida gli utenti attraverso le impostazioni essenziali di privacy e sicurezza da configurare al primo accesso al software. L’obiettivo è assicurarsi che ogni utente sia in grado di proteggere i propri dati e di personalizzare le preferenze di sicurezza in modo efficace. Durante il video, verranno illustrate le impostazioni principali, con consigli pratici su come ottimizzare la privacy e minimizzare i rischi di accesso non autorizzato.

Video corso che mostra le impostazioni di privacy e sicurezza da configurare al primo accesso al software.

Impostazioni Privacy

Voglio inviare comunicazioni di marketing: Gestisce il consenso dell'utente per inviare comunicazioni promozionali come email e notifiche.

Durata del trattamento per le finalità di marketing profilato: Imposta il periodo massimo per l'uso dei dati per marketing personalizzato, secondo l'informativa sulla privacy.

Anni durata conservazione dati per finalità contrattuali, di interesse legittimo e di legge: Definisce per quanto tempo conservare i dati relativi alle transazioni, in linea con le normative e l'informativa privacy.

É possibile cambiare anche successivamente i parametri tramite questa sezione

Questa sezione spiega come configurare il software per essere conforme al Regolamento Generale sulla Protezione dei Dati (GDPR). Verranno illustrate le impostazioni chiave necessarie per proteggere i dati personali degli utenti, gestire i consensi e rispondere alle richieste di accesso e cancellazione dei dati. Seguire questi passaggi consente di garantire la privacy degli utenti e di ridurre al minimo i rischi di sanzioni dovute alla non conformità.

Video corso che mostra le impostazioni di privacy e sicurezza da configurare al software.

Menu Privacy e GDPR

Accessibile a questa pagina: Privacy e GDPR

Gestione Privacy degli Utenti

In questa sezione, accessibile tramite questo link puoi gestire le informazioni relative alla privacy degli utenti. Qui troverai le impostazioni che ti permettono di configurare e aggiornare le preferenze di privacy e sicurezza, come indicato nella sezione Prima Configurazione.

Le informazioni riportate possono essere modificate in qualsiasi momento per adeguarsi alle esigenze o per rispondere a cambiamenti nelle normative. Assicurati di mantenere sempre aggiornate le impostazioni di privacy per garantire la protezione dei dati personali degli utenti e la conformità alle normative vigenti.

Template Privacy Policy

In questa sezione puoi trovare un template pronto all'uso che ti aiuterà a gestire la tua privacy policy. Il documento è stato progettato per semplificare la creazione della tua informativa sulla privacy, garantendo che tu possa essere conforme alle normative.

Per utilizzare il template, devi prima scaricarlo e compilare la sezione evidenziata in giallo con i dati della tua struttura. Se preferisci, puoi anche usare il documento come traccia e modificarlo secondo le tue specifiche necessità. Una volta pronto, puoi decidere se stamparlo e farlo firmare in modalità cartacea, oppure caricarlo su Wellness in Cloud nella sezione apposita per la Privacy e GDPR, permettendo ai tuoi clienti di accettarlo direttamente via WEB o APP.

Password e Regolamento Operatori

In questa sezione puoi caricare il regolamento che gli operatori devono accettare al primo login, e impostare la durata della validità delle password per migliorare la sicurezza degli accessi.

Regolamento Operatore Una volta caricato, gli operatori dovranno leggere e accettare le condizioni per proseguire con l'accesso al sistema. Questo passaggio assicura che tutti gli utenti siano consapevoli delle normative e delle politiche aziendali relative all'uso di Wellness in Cloud.

Giorni di validità password Indica il numero di giorni dopo i quali la password scadrà e dovrà essere cambiata, migliorando la sicurezza degli accessi.

In questa sezione puoi impostare le configurazioni relative alla privacy e caricare i documenti che i tuoi utenti finali dovranno accettare, come l'EULA (End User License Agreement), direttamente nell'app e sul web durante la registrazione. Qui puoi gestire i testi da definire per le normative di privacy, assicurandoti che i clienti siano correttamente informati e che i documenti vengano visualizzati in modo chiaro al momento della registrazione. Questo ti permette di rispettare le normative sulla privacy e garantire la trasparenza nelle condizioni d'uso della tua piattaforma.

Obbliga l'utente ad inserire una password sicura: Impone che la password scelta dall'utente soddisfi requisiti di sicurezza specifici, come lunghezza e complessità.
Numero di tentativi di login massimi concessi (prima del blocco account): Definisce il numero massimo di tentativi di accesso falliti consentiti prima di bloccare l'account.
Impedisci il salvataggio della password: Disabilita la possibilità di memorizzare la password nel browser o in altre applicazioni.
Deny loading inside frames: Impedisce il caricamento del sito o applicazione all'interno di frame o iframe, per motivi di sicurezza.
Documenti EULA Attivi: Gestisce i documenti di licenza (EULA) attivi, che l'utente deve accettare prima di utilizzare il software.

Documenti EULA Attivi

La sezione EULA (End User License Agreement) serve a gestire e caricare i documenti legali che devono essere accettati dai clienti prima di poter utilizzare il software o i servizi offerti. Questi documenti includono contratti di licenza, condizioni d'uso e normative sulla privacy che devono essere letti e sottoscritti dagli utenti durante la registrazione al portale web o all'app. L'inclusione di tali documenti garantisce che gli utenti siano informati sui termini legali e le condizioni di utilizzo del servizio.

In fase di registrazione, la piattaforma permette di caricare e associare diversi documenti EULA che gli utenti devono accettare prima di completare il processo di registrazione. Questo passaggio è fondamentale per tutelare sia il fornitore del servizio che l'utente, assicurando che entrambe le parti siano d'accordo sui termini legali in vigore. La sezione EULA semplifica la gestione di questi contratti e assicura la conformità alle normative legali, come il GDPR.

Tramite il menu Tipologia documento è possibile indicare:

Consenso Obbligatorio: Indica che l'utente è obbligato a fornire il proprio consenso per continuare con la registrazione. Questo consenso non è facoltativo e la sua mancanza impedisce l'iscrizione dell'utente.

Consenso facoltativo: Si riferisce a un consenso che l'utente può scegliere di fornire, ma non è obbligatorio. La mancata fornitura di tale consenso non impedisce il proseguimento della registrazione.

Consenso finalità marketing (facoltativo): Il consenso che riguarda l'uso dei dati personali dell'utente per finalità di marketing. Questo consenso è facoltativo, cioè l'utente può decidere liberamente se accettarlo o meno, e la sua mancanza non influisce sul resto delle funzionalità. L'accettazione aggiorna il consenso marketing in anagrafica utente.

⚠️ É possibile forzare l'aggiornamento GDPR agli utenti, tuttavia è una pratica sconsigliata.

E' possibile aggiornare massivamente i dati relativi al GDPR:

Accedere al menù Report e Analisi --> Utenti
Selezionare le anagrafiche desiderate (tramite un'analisi)
Selezionare la voce Altre operazioni --> Aggiornamento consenso comunicazioni di servizio

💡 Per poter proseguire è necessario specificare la password funzione speciale. Questa password è conosciuta solo dal titolare dell'account e viene consegnata al momento dell'acquisto del software. Se non si possiede la password, è possibile richiederla contattando il supporto tecnico

⚠️ ATTENZIONE: l'operazione è irreversibile!

Anonimizzazione singola anagrafica

Per procedere all'anonimizzazione di una anagrafica è sufficiente:

posizionarsi sull'anagrafica utente
cliccare su Nuova attività
cliccare sul bottone Anonimizza utente

⚠️ ATTENZIONE: l'operazione è irreversibile!

Anonimizzazione gruppo di anagrafiche

Per anonimizzare un gruppo di anagrafiche che soddisfano a determinati criteri è sufficiente accedere al menù Report e Analisi --> Utenti
Una volta selezionati gli utenti desiderati è possibile accedere alla voce Altre operazioni --> Anonimizzazione gruppo anagrafiche

⚠️ ATTENZIONE: l'operazione è irreversibile!

A chi si applica il Regolamento Europeo per la privacy?

Il GDPR si applica a qualsiasi azienda o organizzazione che, durante lo svolgimento della propria attività, tratti dati personali.
Non stiamo parlando esclusivamente di grandi aziende: il Regolamento si applica sia alle grandi società, sia alle piccole e medie imprese a prescindere dalle dimensioni.
È applicabile anche alle strutture sportive? Certamente.
Anche le strutture sportive sono aziende che raccolgono dati personali sui propri clienti.

Cosa cambia con l’introduzione del GDPR: le principali novità?

Il 24 maggio 2016 è entrato in vigore il Nuovo Regolamento Europeo (o General Data Protection Regulation, GDPR), applicato in tutti i Paesi UE dal 25 maggio 2018.
Le principali novità del GDPR sono:

il consenso e l’informativa sulla privacy
il Responsabile della Protezione dei Dati e il Registro dei Trattamenti
diritto di accesso ai dati, diritto all’oblio e diritto alla portabilità
l’accountability ovvero la "responsabilizzazione"

Sanzioni in caso di violazioni

La mancata compliance ai requisiti del Regolamento può comportare sanzioni pecuniarie fino a 20 mln EUR o fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
Link al sito del Garante per la protezione dei dati personali: http://www.garanteprivacy.it

GDPR: i punti base

Il GDPR si applica al trattamento di dati personali:

per trattamento si intende qualsiasi operazione o insieme di operazioni come ad esempio la raccolta, la registrazione, la conservazione, la modifica, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, la cancellazione, ecc.;
per dati personali si intende qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.

Il dati personali devono essere:

trattati in modo lecito, corretto e trasparente nei confronti dell’interessato
raccolti per finalità determinate, esplicite e legittime
adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati
conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati (tranne nel caso in cui siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici)
trattati in maniera da garantire un’adeguata sicurezza dei dati personali e da non precludere all’interessato di esercitare i propri diritti

Privacy by design e by default

Il GDPR introduce i concetti di:

privacy by default: significa che la tutela della protezione del dato deve essere l’impostazione predefinita e che occorre forzare il sistema per trattare i dati in maniera difforme rispetto al GDPR
privacy by design: significa protezione dei dati fin dalla fase di progettazione; significa impostare misure tecniche, procedure ed organizzazioni tali che permettono di rispettare il GDPR

Gli "attori" in campo

interessato: è la persona fisica a cui il dato personale si riferisce (es. il cliente del centro)
titolare del trattamento: è la a persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali (es. il centro)
responsabile del trattamento: è la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento (es. il fornitore del software gestionale del centro)

Come TeamSystem lavora con te

in conformità del nuovo GDPR, tutti i processi di gestione degli operatori di TeamSystem sono stati aggiornati in modo da poterti garantire i massimi standard di sicurezza nel trattamento dei tuoi dati
tutte le soluzioni TeamSystem sono state aggiornate con le funzionalità necessarie per aiutarti ad ottemperare correttamente al nuovo regolamento
il servizio di assistenza opera con nuove procedure finalizzate alla sicurezza nel trattamento dei dati
l’invio o la comunicazione a TeamSystem di dati personali a scopo di debug o assistenza è da eseguire solo in casi strettamente necessari e su esplicita indicazione dei ns. operatori
alcune procedure potrebbero necessitare di un maggiore impegno al fine di garantire i massimi livelli di sicurezza, faremo del nostro meglio per fornirvi il migliore servizio con il minor disagio possibile e chiediamo la vostra collaborazione nel rispetto delle nuove procedure

Non è solo una questione di software

Il GDPR non riguarda solo il software, ma coinvolge tutti i processi aziendali e tutti i dipendenti.
Si tratta di un atteggiamento consapevole e responsabile di tutto lo staff e in ogni singola operazione.
In particolare alcuni comportamenti che hai adottato finora nella tua gestione sono da modificare o persino vietati.

Esempio di operazioni da gestire con più attenzione:

stampa cartacea di report di dati personali
acquisizione dei consensi o di contratti cartacei (consigliata Firma grafometrica su app staff)
esportazione dati su file (e relativo invio o copia)
fornitori terze parti con cui si trattano i dati (es. invio email o sms, sistemi di allenamento, ecc.)

Esempio di operazioni "vietate":

contattare per fini commerciali i clienti e gli ex clienti che non hanno prestato esplicito consenso
raccogliere i referral dai propri clienti e contattarli per promozioni
conservare i dati dei clienti scaduti che non hanno rilasciato esplicito consenso

Gestione accurata account operatore

Sulla base del contenuto dell’art. 32 del GDPR (“Sicurezza del trattamento”), l’accesso ai dati personali presenti nei sistemi deve essere consentito unicamente per il tramite di una procedura di autenticazione e credenziali che consentano l’identificazione univoca del soggetto e la puntuale attribuzione delle attività svolte.

Soluzione Wellness in Cloud
Utilizzare account diversi per utenti diversi, sconsigliamo quindi l'uso di account tipo "amministrazione", "desk", "segreteria", "palestra".
Su Wellness in Cloud gli account operatore dal 25 Maggio in poi potranno essere creati solo impostando come USERNAME una mail, e ti invitiamo a creare un operatore per ogni collaboratore che ha accesso al sistema.

Sicurezza password operatori

Al fine di assicurare la riservatezza e l’integrità dei sistemi e dei servizi di trattamento (art. 32, lett. b) GDPR), ciascun utente deve autenticarsi attraverso l’utilizzo di credenziali di accesso che rispettino adeguati parametri di sicurezza.

Soluzione Wellness in Cloud
Nelle nuove impostazioni di sicurezza sarà possibile impostare un livello minimo di sicurezza della password consentito e una durata massima della password, scaduta la quale, dovrà essere cambiata.
Su Wellness in Cloud gli account operatore dal 25 Maggio in poi potranno essere creati solo impostando come USERNAME una mail, e ti invitiamo a creare un operatore per ogni collaboratore che ha accesso al sistema.

Norme operatori

L’art. 24 del GDPR richiede che il titolare del trattamento metta in atto misure adeguate per garantire, ed essere in grado di dimostrare, che il trattamento dei dati è effettuato in maniera conforme al GDPR.
E’ fondamentale pertanto che tutto lo staff sia consapevole delle nuove regole riguardanti il trattamento dei dati personali e che di questo il titolare del trattamento ne conservi prova.

Soluzione Wellness in Cloud
Nelle nuove impostazioni di sicurezza sarà possibile caricare un documento da mostrare e far accettare ai collaboratori al primo accesso alla piattaforma senza il quale non potranno operare.
E' il posto giusto dove inserire il regolamento aziendale e le norme sul trattamento dei dati.

L'applicazione su Wellness in cloud è descritta [Privacy_e_Sicurezza#Sicurezza_operatori|qui]]

Campi criptati

Wellness in Cloud utilizza banche dati che rispondono ai più alti standard di sicurezza. Per determinate tipologie di dato, come le password dei clienti o informazioni atte a identificare inclinazioni sessuali, politiche, di razza o religione e tutti gli altri generi di dati la cui diffusione indesiderata risulterebbe rischiosa, Wellness in Cloud utilizza procedure di crittografia ulteriori rendendo questi campi assolutamente illeggibili da qualsiasi operatore che non abbia la reale necessità di accedervi.
Nemmeno gli amministratori dei nostri server potranno mai vedere questi dati.

Deciderete voi che campi creare con queste caratteristiche e chi tra i vostri operatori sarà autorizzato a vedere ognuno di questi campi.

L'applicazione su Wellness in Cloud è descritta [Privacy_e_Sicurezza#Dati_protetti|qui]]

Trattamento a fine di Marketing

L’art. 21 del GDPR precisa che qualora i dati personali siano trattati per finalità di marketing diretto, l’interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei dati personali che lo riguardano effettuato per tali finalità.

Soluzione Wellness in Cloud
Wellness in Cloud mette a disposizione nella scheda utente una gestione completa del trattamento dati a scopo di marketing, con la data entro la quale si è autorizzati a comunicare con l'utente e un flag per gestire l'eventuale richiesta di non essere più contattato con questa finalità.
Tutte le operazioni a fine di marketing manuali o automatiche verificheranno che i destinatari delle comunicazioni rientrino tra quelli che vi hanno autorizzato a contattarli.

L'applicazione su Wellness in Cloud è descritta qui

Diritto all'oblio

In base all’art. 17 del GDPR l’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali (cd. diritto all’oblio).

Soluzione Wellness in Cloud
Wellness in Cloud mette a disposizione nella scheda utente la possibilità di eliminare definitivamente un utente.
E' inoltre presente la possibilità di Anonimizzare l'interessato in modo da eliminare qualsiasi riferimento che possa identificare l'utente, ma che comunque l'anagrafica in questione sia utilizzabile nelle analisi a fini statistici in forma anonima.
Queste procedure di anonimizzazione sono anche possibili in forma massiva dall'analisi utenti.

L'applicazione su Wellness in Cloud è descritta qui

Diritto ad avere i propri dati

In base all’art. 17 del GDPR l’interessato ha il diritto di ottenere dal titolare del trattamento tutti i propri dati in un formato standard.

Soluzione Wellness in Cloud
Wellness in Cloud mette a disposizione nella scheda utente la possibilità di estrarre tutti i dati del cliente.
Viene generata una cartella compressa con tutti i documenti dell'interessato e un file in formato JSON contenente tutte le informazioni anagrafiche e tutta la storia delle attività raccolte dal sistema durante l'erogazione del servizio al cliente.

Attenzione alle comunicazioni

Non è più possibile inviare comunicazioni agli utenti che non abbiano aderito consapevolmente.

Soluzione Wellness in Cloud
Wellness in Cloud consente oggi di indicare la finalità di ogni singola comunicazione dividendole in MARKETING, SERVIZIO, AMMINISTRATIVE.
Ognuna di queste comunicazioni potrà essere recapitata solo a quegli utenti che avranno aderito a quello specifico trattamento dei dati.
Questo coinvolge sia le comunicazioni dirette manuali che quelle automatiche.

Visibilità di un'anagrafica

Se non si ha alcuna adesione aggiornata di un cliente, non abbiamo diritti nel trattare i suoi dati e quelle informazioni devono essere cancellate dagli archivi.

Soluzione Wellness in Cloud
Se un utente non ha alcuna adesione valida, Wellness in Cloud avviserà l'operatore che sta entrando in una scheda senza gli opportuni permessi.
Sarà possibile quindi cancellare l'utente, anonimizzare la scheda levando ogni riferimento di riconoscimento ma mantenendo i dati a scopo statistico o entrare comunque magari per aggiornare l'adesione che l'utente ci ha firmato al desk.

Controllo minorenni

Nella normativa una attenzione particolare viene posta ai minori.

Soluzione Wellness in Cloud
In fase di iscrizione viene verificato che il soggetto non sia un minore.
In caso contrario sarà obbligatorio anche inserire i dati di un tutore adulto di cui verrà verificato il codice fiscale per garantirne per quanto possibile la veridicità dell'età.

Criteri visibilità certificati di idoneità

Gli operatori non devono aver accesso a documenti che non siano indispensabili al fine di offrire il loro servizio.

Soluzione Wellness in Cloud
Oltre ai vari campi criptati la cui visibilità è impostabile operatore per operatore, viene aggiunto ai criteri anche la possibilità di vedere o meno i certificati di idoneità.

Attenzione agli export

La normativa impone una gestione accurata anche di tutti i documenti al di fuori del gestionale.

Soluzione Wellness in Cloud
Su qualsiasi esportazione dalle analisi, oggi Wellness in Cloud aggiunge le 4 colonne relative al consenso al trattamento dei soggetti inclusi nel file.
Si avrà quindi una immediata percezione se stiamo trattando indebitamente dati di soggetti che non ci hanno dato il consenso.

Log di sistema

Wellness in Cloud introduce un sistema di log che ci consentirà di risalire alle operazioni principali effettuate dagli operatori sui dati degli utenti.
Il Log risiede in una struttura protetta esterna e non accessibile al centro per garantirne completa terzietà e sicurezza.

Modulistica d'adesione ai trattamenti in fase d'iscrizione online

La normativa prevede che l'utente debba esplicitamente aderire ai diversi trattamenti avendone piena consapevolezza.

Soluzione Wellness in Cloud
Per quei centri che utilizzano l'App Wellness in Cloud e consentono l'iscrizione del cliente direttamente dal portale web, sarà oggi possibile inserire una successione di documenti diversi ognuno con lo scopo di ottenere una specifica adesione per uno specifico trattamento.
Ogni accettazione (che il cliente farà attraverso una casella di consenso sotto ogni documento), verrà tracciata e registrata nella scheda anagrafica dell'utente.

Disclaimer

Questa procedura è stata creata esclusivamente per offrire all’utente un supporto per la configurazione dei nuovi parametri del software come precisato in premessa.
Il contenuto qui riprodotto non rappresenta pertanto una trattazione esaustiva sull’argomento e non può altresì essere in alcun modo diffuso, riprodotto o citato.
E’ responsabilità esclusiva del Titolare del Trattamento assicurare che il trattamento sia condotto concretamente nel rispetto di quanto previsto dalla legislazione in materia di protezione dei dati personali

Per facilitare te e la tua struttura nel percorso di gestione del GDPR in Wellness in Cloud, abbiamo fatto redarre a dei consulenti legali dei documenti in linea con la nuova normativa.
Qui sotto troverai quindi un modulo di consenso al trattamento dati che può servirti da spunto per modificare la modulistica che già utilizzi e un esempio di informativa in materia di protezione dei dati personali. Considerati libero di modificarli e adattarli alla tua realtà.

Scarica l'adesione al trattamento dati per l'utente finale:
https://Fliptonicstoragedeploy.blob.core.windows.net/ft-publicimages-inst000001-img/Consenso-aziende-sportive.docx
Scarica l'informativa in materia di protezione dati:
https://Fliptonicstoragedeploy.blob.core.windows.net/ft-publicimages-inst000001-img/Informativa-aziende-sportive.docx

Qui sotto invece abbiamo creato un breve documento con un esempio guida del modulo da far accettare ai tuoi collaboratori all'apertura del software.
Anche in questo caso ti suggeriamo di integrarlo con tutte le regole di condotta del tuo centro.

Scarica il modulo di consenso per gli operatori
https://Fliptonicstoragedeploy.blob.core.windows.net/ft-publicimages-inst000001-img/regoleoperatori.pdf