Cinque domande da fare a un'app gestionale prima di metterci i dati dei clienti

Prima di caricare in un'app gestionale i dati dei clienti, cioè nomi, numeri di telefono, appuntamenti e pagamenti, conviene fare cinque domande a chi la vende. Le risposte stanno quasi sempre nell'informativa privacy e nei termini di servizio, ma vanno cercate, e a volte non ci sono.

Questa guida è per chi lavora su appuntamento in Italia, sanitario o no: estetiste, fisioterapisti, psicologi, personal trainer, consulenti. Per ogni domanda trovi cosa chiedere e dove il Regolamento europeo sulla protezione dei dati (GDPR) mette la regola. In fondo rispondiamo noi per primi alle nostre domande, compresa quella su cui ZeroDisdette oggi è indietro. Non è un parere legale.

Perché fare domande prima di scegliere un'app gestionale per i dati dei clienti?

Perché i dati dei clienti restano tuoi anche quando li tiene un'app. Tu decidi perché li raccogli, l'app li tratta per tuo conto.

Il GDPR lo dice con due definizioni dell'art. 4. Il titolare del trattamento è chi determina le finalità e i mezzi del trattamento: lo studio. Il responsabile è chi tratta i dati per conto del titolare: di solito il fornitore dell'app. L'art. 28 aggiunge che il titolare «ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti». Scegliere l'app, quindi, è una scelta che spetta a te, e le domande servono a farla con qualcosa in mano.

1. Dove stanno i dati, ed escono dall'Unione europea?

Chiedi in quale paese stanno i server e dove ha sede la società. Se sono fuori dall'Unione europea, chiedi su quale base i dati viaggiano.

L'art. 44 del GDPR mette regole per ogni trasferimento verso un paese terzo. L'art. 46 elenca le garanzie che lo permettono, e tra queste ci sono le clausole tipo di protezione dei dati adottate dalla Commissione europea. Una società con sede fuori dall'Unione può andare bene, purché la risposta sia scritta.

Già che ci sei, chiedi se i dati sono cifrati. L'art. 32 cita la cifratura tra le misure di sicurezza da valutare, insieme alla capacità di assicurare la riservatezza dei sistemi.

2. Chi è il titolare e chi il responsabile del trattamento?

Nei documenti dell'app deve essere scritto che lo studio è titolare dei dati dei suoi clienti e il fornitore è responsabile. Se i ruoli non compaiono, chiedili.

La differenza ha effetti pratici. Il responsabile tratta i dati solo su tue istruzioni documentate: è uno degli obblighi che l'art. 28 par. 3 elenca per il contratto. Un'app che si presenta come titolare dei dati dei tuoi clienti, per esempio per usarli in un elenco pubblico o per proporre loro altri studi, sta facendo un'altra cosa, e conviene saperlo prima.

3. C'è un accordo scritto, e chi sono gli altri fornitori?

Chiedi l'accordo sul trattamento dei dati, spesso chiamato DPA, e l'elenco degli altri fornitori che toccano i dati, per esempio chi fa partire i messaggi.

L'art. 28 par. 3 dice che il rapporto tra titolare e responsabile è regolato da un contratto o da un altro atto giuridico, che indica materia, durata, finalità, tipo di dati e categorie di persone. Il par. 2 dice che il responsabile non può ricorrere a un altro responsabile senza la tua autorizzazione scritta, specifica o generale. Se è generale, deve dirti chi aggiunge o sostituisce, così puoi opporti.

Per un'app di promemoria la domanda è concreta: il messaggio al cliente passa da almeno un servizio di messaggistica. WhatsApp, per esempio, è di Meta. Quel passaggio deve comparire tra i fornitori dichiarati.

4. Chi vede cosa dentro lo studio?

Chiedi cosa vedono i colleghi, la segreteria e il titolare, e se ognuno può tenere privati i propri clienti. Vale anche quando oggi lavori da sola: il collaboratore a volte arriva prima del previsto.

In uno studio con più persone la stessa agenda la aprono in tanti, spesso davanti ad altri. Il criterio di base è che ognuno veda quello che gli serve per lavorare, e niente di più. Se l'app non distingue tra chi condivide e chi no, l'unica difesa resta non scrivere nulla di delicato, e lo spieghiamo nella guida sulle note in agenda e in cartella.

Fai anche una domanda sul telefono del cliente. Il promemoria lo legge chiunque guardi lo schermo bloccato, quindi conta cosa l'app ti lascia scrivere: ne parliamo in promemoria a telefono bloccato.

5. Come porto via o cancello i dati dei clienti?

Chiedi come esporti l'elenco dei clienti, come cancelli un singolo cliente e cosa succede ai dati quando chiudi l'abbonamento.

L'art. 28 par. 3 lett. g prevede che, finito il servizio, il responsabile cancelli o restituisca i dati, a scelta del titolare, salvo obblighi di conservazione. L'art. 20 dà al cliente il diritto di ricevere i propri dati in un formato strutturato e leggibile da un computer, quando il trattamento si basa sul consenso o su un contratto e avviene con mezzi automatizzati. Se un cliente te lo chiede, devi sapere da dove tirarli fuori.

Questa è la domanda che si dimentica più spesso, perché all'inizio nessuno pensa di andarsene. È anche quella che pesa di più dopo qualche anno di appuntamenti.

Una email pronta da mandare all'assistenza dell'app

Copiala, cambia i nomi tra parentesi e mandala prima di iscriverti. Se le risposte sono già nei documenti, chiedi in quale punto.

Buongiorno, sto valutando [nome dell'app] per il mio studio, [nome dello studio]. Prima di caricare i dati dei miei clienti vorrei sapere:
1. In quale paese stanno i server e dove ha sede la società? Se i dati escono dall'Unione europea, su quale base?
2. Nei vostri documenti lo studio è titolare e voi siete responsabili del trattamento?
3. Dove trovo l'accordo sul trattamento dei dati e l'elenco degli altri fornitori, compreso chi invia i messaggi?
4. Chi vede appuntamenti e clienti quando nello studio lavorano più persone?
5. Come esporto l'elenco dei clienti, come cancello un cliente e cosa succede ai dati se chiudo l'abbonamento?
Grazie, [nome e cognome]

Copia

Le risposte di ZeroDisdette, scritte da noi

ZeroDisdette è un gestionale con promemoria WhatsApp per chi lavora su appuntamento. Ci siamo fatti le stesse cinque domande. Le risposte vengono dalle nostre pagine pubbliche, che puoi leggere da te.

La riga 5 è il nostro punto debole, e preferiamo che tu lo legga qui invece di scoprirlo dopo. Se per il tuo lavoro l'esportazione è indispensabile, oggi tienine conto nella scelta.

C'è una seconda cosa da sapere: le nostre pagine non parlano di dati relativi alla salute. ZeroDisdette è pensata per agenda, pagamenti e promemoria, non come cartella clinica, e i messaggi contengono solo il testo che scrivi tu nel flusso.

Se sei uno psicologo o un altro professionista sanitario, cosa cambia?

Le domande sono le stesse, ma la quarta pesa di più: per te anche il solo fatto che una persona abbia un appuntamento può essere un'informazione da proteggere.

Il Codice deontologico degli psicologi, all'art. 11, dice che lo psicologo non rivela quanto appreso nel rapporto professionale «né informa circa le prestazioni professionali effettuate o programmate». La nostra lettura, prudente: un'agenda con nomi e orari è proprio un elenco di prestazioni programmate, quindi conta chi la apre. L'art. 15, sulla collaborazione con colleghi a loro volta tenuti al segreto, limita quello che si condivide a ciò che serve davvero a quella collaborazione.

L'art. 17 chiede di proteggere anche con la custodia e il controllo di «appunti, note, scritti o registrazioni di qualsiasi genere e sotto qualsiasi forma», e di conservare quella documentazione per almeno cinque anni dalla fine del rapporto, salvo norme specifiche. Due conseguenze pratiche: gli appunti di seduta non vanno nelle note dell'agenda, e se chiudi l'account di un'app quei cinque anni restano un tuo obbligo. Altri temi del mestiere sono nella pagina per gli psicologi.

Per tutti i sanitari vale l'art. 9 del GDPR, che mette i dati relativi alla salute tra le categorie particolari, trattabili solo nei casi elencati dallo stesso articolo. Come questo tocchi l'agenda del tuo studio dipende da come lavori.

Le norme citate qui sono un punto di partenza per fare le domande giuste a chi ti vende un'app. Per il tuo caso chiedi al tuo consulente o al tuo Ordine.