Informativa sul trattamento dei dati personali (Privacy Policy)
Versione: 1.1 — in vigore dal 25/07/2026
Documento ufficiale — versione 1.1, in vigore dal 25/07/2026. Eventuali revisioni su indicazione del consulente legale verranno pubblicate come nuova versione.
Documento di natura contrattuale/informativa B2B. Destinatari: Clienti professionisti, referenti aziendali, informatori scientifici del farmaco e operatori autorizzati. Non destinato al pubblico dei consumatori.
1. Titolare del trattamento
Per il sito https://www.pharmareport.it e la piattaforma PharmaReport (https://my.pharmareport.it), il Titolare del trattamento dei dati personali è Mauriello Srl (P. IVA IT01749370621).
Privacy e diritti: privacy@pharmareport.it · PEC mauriellopec@pec.it · Assistenza: info@pharmareport.it
Il Titolare non ha designato un Responsabile della Protezione dei Dati (DPO) ai sensi dell'art. 37 GDPR. Per ogni questione relativa al trattamento dei dati personali: privacy@pharmareport.it — PEC mauriellopec@pec.it.
Il Fornitore agisce come Titolare per dati di account, fatturazione e sito web; come Responsabile per i dati CRM inseriti dal Cliente (§3). Definizioni al §2.
2. Definizioni
Ai fini della presente informativa:
| Termine | Significato |
|---|---|
| Fornitore | Mauriello Srl, erogatrice del Servizio PharmaReport |
| Servizio | la piattaforma software PharmaReport in modalità SaaS |
| Tenant | l’ambiente logico isolato sul Servizio che raggruppa gli Utenti, i Contenuti del Cliente e le configurazioni di un singolo Cliente (architettura multi-tenant) |
| Cliente | l’organizzazione o il professionista titolare di un Tenant sul Servizio, con account BUSINESS o PERSONAL |
| Utente | la persona fisica autorizzata dal Cliente ad accedere al Servizio (informatore scientifico del farmaco, area manager, ecc.) |
| Amministratore del Cliente | l’Utente con ruolo amministrativo del Tenant del Cliente |
| Contenuti del Cliente | i dati inseriti o generati dal Cliente e dagli Utenti nel Tenant (anagrafiche medici e farmacie, visite, note, messaggi, scorte, allegati, configurazioni, ecc.) |
| Titolare (del trattamento) | il soggetto che determina finalità e mezzi del trattamento ai sensi del GDPR: per i Contenuti del Cliente → il Cliente; per dati di account, fatturazione, sito web e marketing gestiti dal Fornitore → il Fornitore (§1 e §3). Nei riferimenti a export CRM o diritti su dati medici/farmacie, «Titolare» indica il Cliente |
| Personale autorizzato del Fornitore | dipendenti o collaboratori del Fornitore incaricati di assistenza, manutenzione e sicurezza del Servizio |
| Sessione di assistenza controllata | accesso temporaneo del Personale autorizzato del Fornitore all’account di un Utente o dell’Amministratore del Cliente, per assistenza tecnica, con registro di audit dedicato |
(Definizioni complete al §2 del presente documento.)
3. Ambito di applicazione
La presente informativa descrive le modalità di trattamento dei dati personali di:
- visitatori del sito web;
- Utenti registrati (informatori scientifici del farmaco, area manager, Amministratori del Cliente);
- referenti e firmatari delle organizzazioni Clienti (account BUSINESS o PERSONAL);
- soggetti che contattano il Fornitore per assistenza o esercizio dei diritti GDPR.
Per i dati relativi a medici, farmacie e altre anagrafiche professionali inseriti dagli utenti nell’ambito del servizio:
- Account PERSONAL: il professionista titolare dell’account è Titolare del trattamento dei dati CRM; il Fornitore è Responsabile (DPA).
- Account BUSINESS: l’organizzazione Cliente è Titolare; il legale rappresentante o referente che registra l’account agisce per conto della società. Il Fornitore è Responsabile (DPA).
- Passaggio PERSONAL → BUSINESS: se il professionista converte l’account in organizzazione societaria, il Titolare dei dati CRM diventa la società (rappresentata dal legale rappresentante o Amministratore del Cliente designato); il professionista originario può restare Utente senza essere più Titolare, salvo diversa configurazione contrattuale documentata.
4. Tipologie di dati trattati
| Categoria | Esempi | Fonte |
|---|---|---|
| Dati identificativi e di contatto | Nome, cognome, email, telefono | Utente / Cliente |
| Dati di autenticazione | Credenziali (password memorizzate in forma hash), log accessi | Utente |
| Dati contrattuali e di fatturazione | Ragione sociale, P.IVA, indirizzo, storico abbonamento | Cliente / Stripe Payments Europe, Ltd. |
| Dati di utilizzo | Log attività, IP, user-agent, timestamp, preferenze UI | Automatici |
| Dati CRM inseriti nel Servizio | Anagrafiche medici/farmacie, visite, pianificazione, scorte, messaggi agenda/bacheca | Utente del Cliente |
| Dati di pagamento | Token e identificativi transazione (gestiti da Stripe Payments Europe, Ltd.; il Fornitore non conserva PAN completi) | Stripe Payments Europe, Ltd. |
Non è obbligatorio fornire dati eccedenti il necessario; il mancato conferimento dei dati contrassegnati come obbligatori può impedire la registrazione o l’uso del Servizio.
5. Finalità e basi giuridiche (art. 6 GDPR)
| Finalità | Base giuridica | Necessità |
|---|---|---|
| Erogazione del servizio SaaS, account, autenticazione | Esecuzione del contratto (art. 6.1.b) | Necessaria |
| Assistenza tecnica e sicurezza (log, audit, CSRF, backup) | Legittimo interesse / obbligo di sicurezza (art. 6.1.f / 32 GDPR) | Necessaria |
| Fatturazione e adempimenti fiscali | Obbligo di legge (art. 6.1.c) | Necessaria |
| Comunicazioni transazionali (registrazione, reset password, avvisi di servizio, scadenza trial o abbonamento con invito ad attivare il Servizio per proseguire l’utilizzo — stato account) | Esecuzione del contratto (art. 6.1.b) | Necessaria |
| Comunicazioni promozionali (inviti upgrade, sconti, sequenze promo successive all’avviso di scadenza) | Consenso (art. 6.1.a) — revocabile su richiesta | Facoltativa |
| Assistenza tramite Sessione di assistenza controllata | Esecuzione del contratto (art. 6.1.b) — inclusa nell’accettazione delle condizioni generali in onboarding (Termini §4.4); non è richiesto consenso preventivo per ogni singola sessione | Necessaria per l’assistenza |
| Cookie analitici (statistiche, miglioramento Servizio e qualità) | Consenso (art. 6.1.a) — vedi Cookie policy | Facoltativa |
| Adempimenti richiesti da autorità | Obbligo di legge (art. 6.1.c) | Quando applicabile |
6. Modalità del trattamento
I dati sono trattati con strumenti elettronici, con misure tecniche e organizzative adeguate (art. 32 GDPR), inclusi:
- isolamento multi-tenant per
organization_id; - crittografia in transito (HTTPS/TLS);
- hash delle password;
- protezione CSRF sulle richieste modificanti lo stato;
- registro audit per azioni dell’Amministratore del Cliente;
- registro audit per Sessioni di assistenza controllata;
- backup periodici (Backup periodici del database e dei file di configurazione; retention backup 30 giorni.).
6.1 Sessione di assistenza controllata e distinzione tra ruoli
L’Amministratore del Cliente gestisce utenti e dati del proprio Tenant nell’ambito ordinario del Servizio e non dispone di funzionalità di impersonificazione verso altri Utenti. Solo il Personale autorizzato del Fornitore può avviare una Sessione di assistenza controllata per erogare assistenza tecnica, accedendo temporaneamente all’account di un Utente o dell’Amministratore del Cliente; ogni accesso è tracciato in un registro di audit dedicato.
L’Utente/Cliente, accettando le condizioni generali in fase di onboarding (Termini §4.4), autorizza il Fornitore ad avviare Sessioni di assistenza controllata per l’erogazione dell’assistenza tecnica senza richiedere un ulteriore consenso o autorizzazione preventiva per ciascuna sessione. Il Fornitore può informare l’Utente dell’accesso in corso mediante indicazione in app ove tecnicamente previsto; l’assenza di tale indicazione non invalida la sessione se giustificata da esigenze tecniche.
Durante una Sessione di assistenza controllata, il Personale autorizzato del Fornitore può visualizzare e, ove necessario per la risoluzione del ticket, modificare i dati accessibili all’Utente oggetto di assistenza (inclusi dati CRM), nel rispetto del principio di minimizzazione e con tracciamento in log conservati per 180 giorni.
7. Destinatari e sub-responsabili
I dati possono essere comunicati a:
- personale autorizzato del Fornitore;
- fornitori di servizi (hosting, email, pagamenti) che agiscono come Responsabili del trattamento o sub-responsabili, elencati in Sub-responsabili;
- consulenti professionali (legali, commercialisti) soggetti a obbligo di riservatezza;
- autorità competenti, ove richiesto dalla legge.
L’elenco aggiornato dei sub-responsabili è pubblicato su https://my.pharmareport.it/legal/sub-responsabili.
8. Trasferimenti extra-UE/SEE
Eventuali trasferimenti verso Paesi terzi avvengono solo in presenza di garanzie adeguate (art. 46 GDPR), come Clausole Contrattuali Standard approvate dalla Commissione europea, o decisioni di adeguatezza. Dettaglio per fornitore in Sub-responsabili.
9. Periodo di conservazione
| Dati | Conservazione indicativa |
|---|---|
| Account attivo | Durata del contratto + eventuale periodo di prova |
| Account dormiente (§ Termini 11.5) | Fino a cessazione o ripristino abbonamento; PERSONAL e BUSINESS — stesse regole; accesso subordinato a riverificazione email |
| Cessazione automatica (§ Termini 11.6) | Dopo 12 mesi da T0 senza abbonamento attivo, con preavviso 30 giorni |
| Tenant sospeso dal Fornitore (§ Termini 11.8) | Fino a riattivazione da parte del Fornitore; no riattivazione autonoma del Cliente |
| Log audit Amministratore del Cliente | 90 giorni (prune al login admin) |
| Log Sessioni di assistenza controllata | 180 giorni |
| Notifiche lette (agenda/bacheca) | 45 giorni |
| Sessione / cookie tecnici | Cookie di sessione: durata sessione o scadenza configurata dal browser; massimo 24 ore di inattività salvo diversa configurazione. |
| Dati post-cessazione contratto | Dati inseriti dal Cliente (medici, farmacie, visite): eliminazione o restituzione entro 12 mesi dalla cessazione del contratto, salvo obblighi di legge, backup in rotazione o richiesta anticipata di cancellazione da parte del Cliente. |
| Log invii email transazionali | Log tecnici degli invii transazionali (metadati: destinatario, data/ora, tipo messaggio, esito consegna): conservati per 24 mesi, salvo obblighi di legge. |
| Log invii email marketing | Log tecnici degli invii marketing: conservati per 24 mesi dall'ultimo invio, salvo obblighi di legge. |
| Consenso comunicazioni marketing | Il consenso alle comunicazioni marketing resta valido fino a revoca esplicita dell'interessato; alla revoca gli invii promozionali cessano senza ritardo. |
| Obblighi fiscali | Termini di legge (in genere 10 anni) |
10. Diritti dell’interessato
Per i dati di cui il Fornitore è Titolare (account, fatturazione, sito), l’interessato può esercitare i diritti di cui agli artt. 15–22 GDPR nei confronti del Fornitore.
L’interessato ha diritto di chiedere:
- accesso, rettifica, cancellazione;
- limitazione del trattamento;
- portabilità dei dati (ove applicabile);
- opposizione al trattamento basato su legittimo interesse;
- revoca del consenso (senza pregiudicare la liceità del trattamento precedente).
Per i dati CRM di medici/farmacie di cui il Cliente è Titolare, le richieste potranno essere inoltrate al Cliente stesso; il Fornitore coopererà come Responsabile ove applicabile.
10.1 Export e portabilità
| Ambito | Chi può esportare | Modalità |
|---|---|---|
| Dati account (nome, email, preferenze, consensi) | L’Utente interessato | Self-service in app (area «Privacy e consensi») o richiesta a privacy@pharmareport.it |
| Dati CRM del Tenant (scope minimo) | Solo il Titolare — Amministratore del Cliente (account BUSINESS) o professionista PERSONAL | Funzione dedicata in app; in alternativa richiesta a privacy@pharmareport.it / info@pharmareport.it |
I singoli Utenti del Servizio (es. informatore scientifico non Amministratore) non dispongono di export self-service dei dati CRM inseriti nel Tenant: per tali dati il Titolare è il Cliente; eventuali richieste vanno indirizzate al Titolare, con cooperazione del Fornitore come Responsabile.
10.1.1 Export CRM in corso d’uso (Titolare)
Il Titolare può esportare solo il sottoinsieme seguente dei Contenuti del Cliente:
| Incluso | Escluso |
|---|---|
| Anagrafiche medici e farmacie (identificativi, recapiti, indirizzi, specializzazione/area, categorizzazioni strutturate, assegnazione Utente) | Allegati e documenti |
| Registro visite essenziale (data, soggetto, tipo visita, esito/categoria strutturata) | Note libere, commenti, messaggi agenda/bacheca |
| Dati scorte, campioni e inventario | |
| Log di audit, sessioni di assistenza, metadati di sistema | |
| Statistiche e report aggregati |
10.1.2 Export alla cessazione del Servizio
Alla cessazione del Servizio, il Titolare può richiedere export entro 30 giorni (Termini di servizio §11.3 e DPA §8.1), ove tecnicamente disponibile, secondo lo stesso scope di §10.1.1 con l’aggiunta dei dati scorte del Tenant (modulo scorte/campioni). Restano esclusi allegati, note libere, messaggi, log di audit e statistiche aggregate, salvo obblighi di legge diversi.
Richieste di export oltre questi scope possono essere valutate dal Fornitore solo se motivate e nei limiti di legge; non costituiscono obbligo standard del Servizio.
Formato export: CSV e/o JSON strutturato.
Come esercitare i diritti: email a privacy@pharmareport.it (oggetto: «Richiesta GDPR — [diritto]»). Riscontro entro 1 mese (prorogabile di 2 mesi in casi complessi, con motivazione).
Reclamo: Autorità Garante per la protezione dei dati personali — www.garanteprivacy.it.
11. Processi decisionali automatizzati
PharmaReport non adotta decisioni basate unicamente su trattamento automatizzato che producano effetti giuridici significativi sull’interessato (art. 22 GDPR), salvo future funzionalità esplicitamente comunicate.
12. Cookie e tecnologie simili
Vedi Cookie policy.
13. Modifiche all’informativa
Il Fornitore, in qualità di Titolare del trattamento, può aggiornare la presente informativa. La versione in vigore è identificata da numero di versione e data in testa. Versione 1.0 in vigore dal 25/07/2026 per i nuovi Utenti e, per quelli già registrati, dalla data di accettazione esplicita di questa versione; nessuna efficacia retroattiva su trattamenti anteriori. Per modifiche sostanziali, gli Utenti registrati saranno informati con mezzi appropriati (email o avviso in app) e, ove richiesto, dovranno accettare la nuova versione.