Informativa Privacy

Versione 3.2 — 21 luglio 2026

La presente informativa descrive in modo trasparente come OmniNeo tratta i dati personali dei suoi utenti, ai sensi del Regolamento UE 2016/679 (GDPR) e del D.Lgs. 196/2003 (Codice Privacy) come modificato dal D.Lgs. 101/2018.

In sintesi. OmniNeo è uno strumento didattico per medici neonatologi/pediatri. Non raccogliamo né conserviamo dati di pazienti. I messaggi inviati all'AI Assistant non vengono memorizzati sui nostri server e sono filtrati lato server per bloccare l'invio accidentale di dati identificativi. Non utilizziamo cookie di profilazione o pubblicità.

1. Titolare del trattamento

Ciro Barone, in qualità di persona fisica titolare del progetto OmniNeo.
Email: privacy@omni-test.it
Sito: https://omni-test.it

OmniNeo è in fase di lancio commerciale; sarà costituita una società ad hoc al raggiungimento delle soglie di fatturato previste dalla normativa fiscale italiana. La presente informativa verrà aggiornata in tale evenienza.

2. Categorie di dati trattati

Il principio di minimizzazione (art. 5 GDPR) guida la raccolta: chiediamo il minimo necessario al servizio.

Categoria	Esempi	Origine
Identificativi account	Email, nome, password (memorizzata solo come hash bcrypt). In alternativa, identificatore federato Google/Apple (subject ID) per il login con un click.	Fornita dall'utente al momento della registrazione (o consensata via OAuth Google/Apple al primo accesso)
Dati professionali	Ruolo (medico/infermiere/ostetrica), numero di iscrizione all'albo, paese	Fornita dall'utente — verificabile tramite albo pubblico
Dati di accesso	Indirizzo IP, user agent, device, città/paese (geolocalizzazione approssimata)	Calcolata automaticamente al login (no servizi esterni: GeoLite2 in locale)
Dati di pagamento	Identificativo Stripe (stripe_customer_id), nessun dato di carta di credito sui nostri server	Stripe Inc. (US) processa i pagamenti
Dati di fatturazione	Codice Fiscale, indirizzo di fatturazione, eventuale Partita IVA — necessari per emettere la fattura elettronica al Sistema di Interscambio (SdI)	Forniti dall'utente al momento dell'acquisto (obbligo di fattura elettronica)
Utilizzo AI Assistant	Conteggi giornalieri (numero chiamate, modello usato, crediti consumati). NO contenuti dei messaggi.	Calcolata automaticamente
Forum / community	Post, risposte, profilo pubblico	Fornita dall'utente
Segnalazioni clinico-editoriali	Segnalazioni di errori sul prontuario farmaci e sulle schede cliniche	Fornita dall'utente
Eventi di sicurezza	Log audit di azioni sensibili (login, password change, delete account...)	Calcolata automaticamente

Categorie speciali (Art. 9 GDPR — dati sanitari). OmniNeo non tratta dati sanitari di pazienti. Il prodotto è uno strumento didattico destinato a operatori sanitari abilitati: i contenuti sono di letteratura medica e ragionamento clinico astratto, mai dati identificativi di pazienti reali. Il filtro automatico anti-PII descritto al §6 blocca tecnicamente l'invio accidentale di codici fiscali, IBAN, NHS/SSN, prefissi clinici (Sig./Mr./Sr. + Cognome), date di nascita anagrafiche, ecc. Se per errore l'utente trasmette tali dati, il sistema interrompe l'operazione e lo educa a riformulare in forma anonima.

3. Finalità e basi giuridiche

Finalità	Base giuridica (Art. 6 GDPR)
Erogare il servizio (registrazione, login, accesso ai contenuti)	Esecuzione del contratto (Art. 6.1.b)
Gestire abbonamenti e fatturazione	Esecuzione del contratto + obbligo di legge fiscale (Art. 6.1.b + 6.1.c)
Sicurezza account (rate limit, lockout, audit log, 2FA admin)	Legittimo interesse — protezione dell'utente (Art. 6.1.f)
Funzionamento dell'AI Assistant	Esecuzione del contratto (Art. 6.1.b) + legittimo interesse (no persistence dei prompt — Art. 6.1.f)
Verifica iscrizione albo professionale (badge "Verificato")	Legittimo interesse — affidabilità dell'audience clinica (Art. 6.1.f), dato già pubblico per legge sull'albo
Forum / community (post pubblici)	Consenso (Art. 6.1.a)
Cookie funzionali / sicurezza / statistiche	Consenso (Art. 6.1.a)
Emissione e trasmissione della fattura elettronica al SdI (Agenzia delle Entrate) e relativa conservazione a norma	Obbligo di legge (Art. 6.1.c)
Adempimento obblighi legali (fatturazione, antiriciclaggio, accountability GDPR)	Obbligo di legge (Art. 6.1.c)

4. Fornitori (responsabili del trattamento — Art. 28)

Per fornire il servizio ci avvaliamo dei seguenti soggetti, vincolati da accordo di trattamento (DPA) o equipollenti:

Fornitore	Ruolo	Sede	Trasferimento
Netsons S.r.l.	Hosting cPanel, database MySQL, email SMTP	Italia (UE)	Nessuno extra-UE
Stripe Inc. / Stripe Payments Europe Ltd.	Pagamenti, abbonamenti, IAP web	USA / Irlanda (UE)	SCC 2021 + DPA
Openapi S.p.A.	Fatturazione elettronica: generazione e trasmissione della FatturaPA al Sistema di Interscambio (SdI), conservazione sostitutiva a norma	Italia (UE)	Nessuno extra-UE — DPA Art. 28
Anthropic PBC	Modelli AI (Claude Haiku/Sonnet)	USA	SCC 2021 + DPA — no persistence dei prompt
Intuition Machines / hCaptcha	Verifica anti-bot su registrazione e login	USA	SCC 2021
Google LLC	OAuth Sign-In ("Continua con Google"), Play Billing Android (futuro)	USA / Irlanda	SCC 2021 + DPA — attivo solo se l'utente sceglie OAuth Google
Apple Inc.	Sign in with Apple, IAP iOS (futuro)	USA	SCC 2021 + DPA — attivo solo se l'utente sceglie Sign in with Apple
Backblaze Inc. (futuro Fase 4c)	Backup cifrato	USA	SCC 2021 + DPA — chiave di cifratura non condivisa con il fornitore

L'elenco aggiornato e i relativi DPA sono disponibili scrivendo a privacy@omni-test.it.

5. Tempi di conservazione (retention)

Categoria	Tempo	Motivazione
Profilo utente	Fino a richiesta di cancellazione	Erogazione del servizio
Dati di fatturazione (Stripe, Openapi — conservazione a norma)	10 anni	Obbligo fiscale italiano (D.P.R. 633/1972, Art. 22 e 39)
Storico accessi (login_history)	12 mesi	Sicurezza dell'account (legittimo interesse)
Log tentativi di login (rate limit)	30 giorni	Sicurezza dell'account
Eventi di sicurezza (audit)	12 mesi	Accountability GDPR
Conteggi uso AI	Fino a richiesta di cancellazione	Statistica account / fatturazione
Contenuti dei messaggi AI	0 secondi (non memorizzati)	Privacy by design — Art. 25 GDPR
Forum: post pubblici	Fino a cancellazione utente (con anonimizzazione, salvo richiesta di cancellazione completa)	Continuità della community

6. Misure di sicurezza adottate

Implementiamo misure tecniche e organizzative adeguate (Art. 32 GDPR) coerenti con un trattamento fuori dall'Art. 9 (no dati sanitari di pazienti):

Trasporto: HTTPS obbligatorio, HSTS, certificati TLS 1.3, redirect 80→443
Password: hashing bcrypt cost 12, mai memorizzate in chiaro, mai trasmesse via email
Sessioni: cookie HttpOnly, Secure, SameSite=Strict, idle timeout 24h, session_version per logout-everywhere
Anti-bruteforce: rate limiting con sliding window, lockout temporaneo, sleep costante anti-timing
CSRF: token sincronizzato su tutti i metodi POST sensibili
Anti-bot: hCaptcha su registrazione e login
Filtro anti-PII verso Anthropic: 16 categorie regex (CF, IBAN, NHS, SSN, telefoni, prefissi clinici IT/EN/ES, date di nascita, codici cartella). Vedi security-ai.html per il dettaglio.
2FA admin obbligatoria + step-up reauth per azioni sensibili (in deploy in Fase 4a)
Audit log immutabile per accountability (in deploy in Fase 4a)
Backup cifrati offsite con chiave non condivisa col fornitore (in deploy in Fase 4c)
Headers HTTP: CSP, X-Frame-Options=DENY, Permissions-Policy restrittiva, Referrer-Policy strict-origin
Geolocalizzazione locale: GeoLite2 vendored in-app (no chiamate HTTP a servizi terzi USA)

Una descrizione tecnica completa è disponibile su security.html (sintesi non tecnica) e su security-ai.html (dettaglio anti-PII).

7. Trasparenza sull'intelligenza artificiale (Regolamento UE 2024/1689 — AI Act)

In conformità agli obblighi di trasparenza del Regolamento UE 2024/1689 (AI Act) ti informiamo che:

Assistente clinico basato su IA: l'assistente di OmniNeo è un sistema di intelligenza artificiale. Quando lo utilizzi stai interagendo con un'IA, non con una persona; questo ti è indicato in modo chiaro all'avvio della chat (Art. 50, par. 1). Le risposte hanno finalità didattica, possono contenere errori e non sostituiscono il giudizio clinico né costituiscono diagnosi o indicazione terapeutica.
Contenuti prodotti con l'ausilio dell'IA: alcuni testi e illustrazioni dell'app sono stati prodotti con l'ausilio di strumenti di intelligenza artificiale e sottoposti a revisione editoriale umana, sotto la responsabilità di BaronSoft.
Nessun profilo ad alto rischio: OmniNeo non è un dispositivo medico e non impiega l'IA per decisioni cliniche automatizzate; non rientra pertanto tra i sistemi di IA ad alto rischio ai sensi dell'Art. 6.

8. Diritti dell'interessato

In ogni momento puoi esercitare i diritti previsti dagli artt. 15–22 GDPR:

Accesso (Art. 15): ottenere una copia dei tuoi dati. Pulsante "Scarica i miei dati" nel profilo — invia per email un archivio ZIP con tutti i dati strutturati in JSON (entro 60 secondi, link valido 24h, mono-uso). Frequenza: 1 ogni 30 giorni.
Rettifica (Art. 16): correggere dati inesatti. Direttamente dal profilo o scrivendo a privacy@omni-test.it.
Cancellazione / oblio (Art. 17): pulsante "Elimina account" nel profilo — richiede password + parola di conferma "ELIMINA". L'eliminazione è effettiva dopo 7 giorni di grace period (annullabile in qualsiasi momento facendo login). Trascorso il grace, l'eliminazione è completa e irreversibile (con pseudonimizzazione automatica dei post nel forum, oppure cancellazione completa se selezionata).
Limitazione (Art. 18): sospendere il trattamento. Scrivici a privacy@omni-test.it.
Portabilità (Art. 20): ricevere i dati in formato strutturato (JSON). Stesso pulsante "Scarica i miei dati".
Opposizione (Art. 21): opposizione al trattamento basato su legittimo interesse. Scrivici a privacy@omni-test.it.
Reclamo (Art. 77): proporre reclamo all'autorità di controllo italiana (Garante per la Protezione dei Dati Personali) o all'autorità del proprio Stato membro UE.

9. Cookie

OmniNeo utilizza tre categorie di cookie/SDK:

Tecnici (sempre attivi) — sessione, preferenze tema, accettazione disclaimer. Non richiedono consenso (art. 122 D.Lgs. 196/2003).
Funzionali (opt-in) — pre-fill email login, preferenze UI sincronizzate.
Sicurezza (opt-in) — hCaptcha (Intuition Machines, USA, SCC). Senza questo consenso registrazione e login non funzionano.
Statistiche (opt-in) — statistiche d'uso aggregate e anonime per capire quali funzioni vengono usate e migliorare l'app. Con il tuo consenso registriamo eventi categorici (apertura di una funzione, clic sui suggerimenti "Lo sapevi?", la destinazione di una ricerca, clic dai link della newsletter). Non registriamo mai dati di pazienti, né il testo libero delle ricerche, né indirizzi IP. I dati sono conservati per massimo 180 giorni e poi cancellati. Puoi revocare il consenso in qualsiasi momento dal banner cookie.

Non utilizziamo cookie di profilazione né pubblicitari. Il consenso è acquisito tramite banner conforme alle Linee Guida del Garante del 10 giugno 2021 (3 bottoni con stesso peso visivo: "Accetta tutti" / "Rifiuta tutti" / "Personalizza"). Persistenza: 12 mesi, con re-prompt automatico alla scadenza. Puoi modificare le tue scelte in qualsiasi momento riaprendo il banner dal footer della homepage.

10. Trasferimenti extra-UE

Alcuni fornitori hanno sede negli Stati Uniti. I trasferimenti avvengono nel rispetto delle Standard Contractual Clauses (SCC) approvate dalla Commissione Europea con Decisione 2021/914, integrate da misure supplementari ove richiesto dal CJEU C-311/18 (Schrems II): cifratura dei trasporti, no chiavi gestite dai provider per i dati più sensibili, no trasferimento di dati sanitari.

11. Designato della protezione dei dati (DPO)

Il Titolare ha valutato i criteri di nomina obbligatoria del DPO (Art. 37 GDPR + Linee Guida WP243) e non ha nominato un DPO in quanto:

Non si tratta di autorità o organismo pubblico
Non si effettua monitoraggio sistematico su larga scala di interessati
Non si trattano dati di categorie speciali (Art. 9) né dati relativi a condanne penali su larga scala — la posizione "fuori Art. 9" è dimostrata da misure tecniche (filtro anti-PII, no persistence prompt)

Per questioni privacy puoi sempre scrivere al Titolare a privacy@omni-test.it — riceverai risposta entro 30 giorni (Art. 12.3).

12. Modifiche all'informativa

Questa informativa può essere aggiornata per adeguamenti normativi o evoluzioni del servizio. Ti notificheremo per email le modifiche sostanziali. La versione corrente è sempre disponibile a https://omni-test.it/privacy_it.html. Storico versioni disponibile a richiesta.

Contatti

Privacy / DSAR: privacy@omni-test.it
Sicurezza / vulnerability disclosure: security@omni-test.it
Supporto generale: support@omni-test.it