Informativa sul trattamento dei dati personali

Ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") — sito e piattaforma Kurae

1. Chi siamo

Kurae S.r.l. (di seguito "Kurae"), con sede legale in [DA COMPLETARE — sede legale], P. IVA [DA COMPLETARE — partita IVA], è la società che sviluppa e gestisce la piattaforma software Kurae, un gestionale in cloud (SaaS) per strutture sanitarie di diagnostica per immagini e poliambulatori.

Contatti per la privacy: [DA COMPLETARE — email per la privacy], PEC: [DA COMPLETARE — PEC]. Responsabile della protezione dei dati (DPO): [DA COMPLETARE — nome e recapito del DPO].

2. I due ruoli di Kurae

Kurae come Titolare del trattamento — questa informativa: per i dati di chi visita il sito, per l'accesso e la sicurezza degli operatori che usano la piattaforma e per i dati dei referenti delle strutture clienti.
Kurae come Responsabile del trattamento (art. 28 GDPR). I dati dei pazienti appartengono alla struttura sanitaria che li ha presi in carico: è la struttura il titolare del trattamento. Lo stesso vale per i dati che la struttura registra sul proprio personale (ruoli, permessi, operazioni compiute, compensi). Kurae li tratta solo per conto della struttura e su sua istruzione, in base a un accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR. Finalità, tempi di conservazione e modo di esercitare i diritti su questi dati li indica la struttura nella propria informativa: il paziente si rivolge alla struttura.

3. I dati che trattiamo come titolare

Chi visita il sito: l'indirizzo IP, il tipo di browser e di sistema operativo, la pagina richiesta, la data e l'ora, che restano nei registri tecnici del fornitore di hosting. Il sito non usa strumenti di analisi né cookie di profilazione: il dettaglio è nella Cookie policy.
Gli operatori delle strutture: il nome utente e il codice della struttura con cui si accede; la password, di cui si conserva soltanto un'impronta non reversibile e mai il testo; il secondo fattore di autenticazione, quando la struttura lo attiva; la sessione di lavoro; gli eventi di sicurezza dell'accesso — accessi, tentativi non riusciti, blocchi temporanei, browser riconosciuti — con l'indirizzo IP da cui provengono.
Le segnalazioni di errore: quando il servizio va in errore, una segnalazione tecnica (il tipo di errore, il punto del programma, il servizio coinvolto), configurata per escludere il contenuto delle richieste, i cookie, l'indirizzo IP e i dati identificativi dell'account.
I referenti delle strutture clienti: i dati di contatto e quelli necessari al contratto, all'assistenza e alla fatturazione.

I dati dell'account sono necessari per usare la piattaforma; i dati tecnici di navigazione li produce il browser stesso, aprendo le pagine.

4. Finalità e basi giuridiche

Erogare il servizio alle strutture clienti e gestire gli account dei loro operatori — esecuzione del contratto con la struttura (art. 6.1.b GDPR) e legittimo interesse a fornire il servizio al personale che la struttura abilita (art. 6.1.f).
Proteggere la piattaforma e chi la usa: autenticazione, prevenzione degli accessi illeciti, diagnosi degli errori — obbligo di sicurezza (art. 32 GDPR, art. 6.1.c) e legittimo interesse (art. 6.1.f).
Adempimenti amministrativi, contabili e fiscali — obbligo legale (art. 6.1.c).
Difesa dei diritti in sede giudiziaria — legittimo interesse (art. 6.1.f).

Non prendiamo decisioni basate unicamente su trattamenti automatizzati, profilazione compresa, e non usiamo i dati per finalità di marketing.

5. Fornitori e destinatari

I dati sono trattati da fornitori che operano per conto di Kurae, ciascuno per il proprio servizio:

Supabase — banca dati, autenticazione e archiviazione dei file; i dati risiedono in Irlanda, nell'Unione europea.
Vercel — hosting dell'applicazione: le funzioni del server girano in Irlanda (Dublino), e le pagine passano dal nodo della rete del fornitore più vicino a chi le apre.
Sentry — raccolta delle segnalazioni di errore descritte al punto 3.

I dati possono inoltre essere comunicati alle autorità pubbliche quando la legge lo impone. Supabase, Vercel e Sentry hanno sede negli Stati Uniti: quando un fornitore tratta dati da un Paese fuori dall'Unione europea, il trasferimento avviene con le garanzie del Capo V del GDPR (una decisione di adeguatezza, compreso l'EU-U.S. Data Privacy Framework per i fornitori che vi aderiscono, o le Clausole Contrattuali Tipo della Commissione europea).

I fornitori a cui Kurae ricorre per i dati dei pazienti sono elencati nell'accordo sul trattamento dei dati che Kurae stipula con ciascuna struttura.

6. Per quanto tempo

Dati dell'account: per la durata del rapporto con la struttura che ha creato l'account. I dati che attribuiscono le operazioni a un operatore seguono il tracciato delle operazioni, che la piattaforma conserva per conto della struttura per almeno 10 anni, senza cancellazione automatica.
Eventi di sicurezza dell'accesso: i contatori dei tentativi non riusciti si azzerano da soli allo scadere della finestra di controllo; gli accessi e i blocchi restano nel tracciato delle operazioni.
Registri tecnici di chi visita il sito e segnalazioni di errore: per il periodo previsto dal servizio del fornitore che li tiene.
Dati amministrativi e fiscali: 10 anni (art. 2220 c.c.).
Dati dei referenti delle strutture: per la durata del rapporto; i documenti contrattuali e fiscali per 10 anni.

I tempi di conservazione dei dati dei pazienti li stabilisce la struttura, nel rispetto della normativa sanitaria.

7. Come proteggiamo i dati

Fra le misure adottate ai sensi dell'art. 32 GDPR:

connessioni cifrate (TLS) su tutti i canali pubblici;
separazione dei dati di ogni struttura imposta dalla banca dati, non solo dalle schermate, e ruoli e permessi verificati dal server;
autenticazione a due fattori attivabile per ogni operatore, verificata anche dalla banca dati;
disconnessione automatica dopo 30 minuti di inattività (il server rifiuta comunque la sessione dopo 60 minuti senza attività) e sessioni di durata limitata;
tracciato delle operazioni che non si può modificare né cancellare, con un sigillo verificato ogni notte;
copie di sicurezza cifrate, ogni notte, fuori dall'infrastruttura della banca dati, con ripristino provato;
monitoraggio esterno della disponibilità del servizio e una procedura per la gestione delle violazioni dei dati.

8. I diritti

Ai sensi degli artt. 15-22 GDPR è possibile chiedere l'accesso ai propri dati, la rettifica, la cancellazione, la limitazione, la portabilità, e opporsi ai trattamenti basati sul legittimo interesse, scrivendo ai contatti del punto 1. È inoltre possibile proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Se la richiesta riguarda dati che Kurae tratta per conto di una struttura, come quelli dei pazienti, Kurae la inoltra alla struttura senza ingiustificato ritardo e la assiste nella risposta.

9. Cookie

La piattaforma utilizza esclusivamente cookie tecnici. Per il dettaglio si rinvia alla Cookie policy.

Versione 0.9 — ultimo aggiornamento: 1 ottobre 2026.