Effective Date: April 1, 2026.
Last Updated: March 22, 2026.

1. Introduzione

TheraFiles.ai (“TheraFiles”, “noi” o “nostro”) fornisce un software gestionale progettato per i professionisti della salute mentale, tra cui psichiatri, psicologi, psicoterapeuti, consulenti e cliniche o organizzazioni di salute mentale.

Questa Informativa sulla Privacy spiega come raccogliamo, utilizziamo, conserviamo, divulghiamo e trattiamo in altro modo i dati personali attraverso il nostro sito web, le nostre applicazioni macOS e iOS, la nostra infrastruttura di licenze e supporto e i servizi correlati.

Poiché TheraFiles è progettato per l’uso nella pratica della salute mentale, i Servizi possono comportare il trattamento di informazioni altamente sensibili, inclusi dati clinici e relativi alla salute inseriti dagli utenti professionisti. Pertanto, miriamo ad applicare misure di sicurezza adeguate alla natura e alla sensibilità dei dati trattati.

2. Chi siamo

Per i dati relativi ad account, sito web, abbonamento, licenze, supporto e amministrazione aziendale, il titolare del trattamento è:

CureClass | Dimitrios Papadimitriadis
11-15 Aristotelous st., Atene 104 32, Grecia
support @ therafiles.ai
therafiles.ai

Se sei un paziente o cliente il cui terapeuta, psichiatra, psicologo, psicoterapeuta, counselor o clinica utilizza TheraFiles, quel professionista o organizzazione è generalmente il titolare del trattamento dei tuoi dati clinici, e TheraFiles agisce generalmente come responsabile del trattamento per loro conto. (EUR-Lex)

3. Ambito di applicazione di questa Informativa sulla Privacy

Questa Informativa sulla Privacy si applica ai dati personali trattati attraverso:

• il sito web di TheraFiles;
• le applicazioni macOS e iOS di TheraFiles;
• registrazione e autenticazione dell’account;
• flussi di lavoro relativi a licenze, abbonamenti, rinnovi e fatturazione;
• il componente aggiuntivo Storage;
• il componente aggiuntivo Promemoria Email/WhatsApp;
• comunicazioni relative al supporto e all’account;
• l’API dell’applicazione e l’infrastruttura di convalida delle licenze;
• funzionalità assistite da AI disponibili all’interno dei Servizi.

Questa Informativa sulla Privacy non sostituisce alcuna informativa sulla privacy che un terapeuta, una clinica o un’organizzazione possa fornire direttamente ai propri pazienti o clienti.

4. Categorie di dati personali che trattiamo

A seconda di come vengono utilizzati i Servizi, potremmo trattare le seguenti categorie di dati personali.

4.1 Dati dell’account e professionali

• nome e cognome;
• indirizzo email;
• numero di telefono;
• titolo professionale;
• nome dello studio, della clinica o dell’organizzazione;
• paese;
• lingua preferita;
• dati di accesso, autenticazione e sicurezza dell’account.

4.2 Dati relativi a licenze, abbonamenti e fatturazione

• tipo e stato della licenza;
• dettagli dell’abbonamento;
• date di rinnovo;
• componenti aggiuntivi selezionati;
• indirizzo di fatturazione;
• informazioni relative a IVA o imposte;
• stato del pagamento;
• metadati relativi a transazioni e fatturazione.

4.3 Dati tecnici e di utilizzo

• indirizzo IP;
• informazioni sul dispositivo e sul sistema operativo;
• versione dell’app;
• log di autenticazione;
• log di sicurezza;
• log di utilizzo dell’API;
• diagnostica operativa;
• dati di risoluzione dei problemi.

4.4 Dati di gestione dello studio e comunicazione

• dettagli degli appuntamenti;
• stato di consegna dei promemoria;
• indirizzi email e numeri di telefono dei destinatari utilizzati per i promemoria;
• fatture e certificati di rimborso;
• identità, autorizzazioni e ruoli di accesso dei collaboratori.

4.5 Dati clinici e categorie particolari di dati

Quando inseriti, caricati, importati, dettati o altrimenti trattati dall’utente professionista, TheraFiles può trattare dati personali altamente sensibili, tra cui:

• note;
• registrazioni delle sedute;
• riepiloghi clinici;
• piani di trattamento;
• lettere di referral;
• dati psicometrici;
• informazioni relative alla salute mentale e ad altre condizioni di salute.

Ai sensi del GDPR, i dati relativi alla salute costituiscono una categoria particolare di dati personali che richiede una protezione rafforzata.

4.6 Dati relativi al trattamento AI

Quando un utente sceglie di utilizzare funzionalità assistite da AI, determinati dati possono essere trattati per generare:

• bozze di riepiloghi clinici;
• bozze di piani di trattamento;
• bozze di lettere di referral;
• output strutturati di redazione clinica o amministrativa.

5. Come raccogliamo i dati personali

Raccogliamo i dati personali:

• direttamente dagli utenti quando si registrano, si abbonano, acquistano, rinnovano, ci contattano o utilizzano in altro modo i Servizi;
• quando gli utenti inseriscono, caricano, dettano, importano, organizzano o condividono dati nell’app;
• quando gli utenti attivano o utilizzano componenti aggiuntivi;
• attraverso log di autenticazione, sicurezza, API e operativi;
• attraverso supporto clienti, notifiche di servizio e comunicazioni relative all’account;
• attraverso flussi di lavoro di pagamento e rinnovo.

6. Finalità del trattamento

Trattiamo i dati personali per le seguenti finalità:

• creare e gestire gli account;
• emettere, convalidare, rinnovare, sospendere e gestire le licenze software;
• fornire il software principale e tutti i componenti aggiuntivi acquistati;
• fornire funzionalità di backup sicuro quando il componente aggiuntivo Storage è abilitato;
• inviare promemoria degli appuntamenti via email e/o WhatsApp quando abilitato;
• supportare la condivisione e la collaborazione tra utenti autorizzati;
• generare fatture e documenti relativi ai rimborsi;
• fornire strumenti di redazione assistiti da AI;
• mantenere la sicurezza, prevenire frodi, rilevare abusi e proteggere l’integrità del servizio;
• fornire supporto e assistenza relativi all’account;
• inviare notifiche di servizio, avvisi di rinnovo e altre comunicazioni essenziali;
• adempiere agli obblighi legali, fiscali, contabili e normativi;
• stabilire, esercitare o difendere rivendicazioni legali;
• far rispettare i nostri diritti contrattuali e i termini.

7. Basi giuridiche del trattamento

Quando si applica il GDPR, ci basiamo su una o più delle seguenti basi giuridiche:

• esecuzione di un contratto, quando il trattamento è necessario per fornire i Servizi, le licenze, i componenti aggiuntivi, il supporto o le funzionalità correlate richieste dall’utente;
• adempimento di un obbligo legale, quando il trattamento è necessario per rispettare requisiti fiscali, contabili, di sicurezza o altri requisiti legali;
• interessi legittimi, tra cui sicurezza del servizio, prevenzione delle frodi, integrità del sistema, supporto clienti e funzionamento e miglioramento affidabile dei Servizi, salvo che tali interessi siano prevalsi da diritti e interessi applicabili;
• consenso, quando il consenso è richiesto dalla legge applicabile.

Quando i dati clinici o relativi alla salute vengono trattati attraverso la piattaforma, tale trattamento è generalmente effettuato dal relativo utente professionista o organizzazione che agisce come titolare, mentre TheraFiles tratta tali dati per loro conto in base agli accordi contrattuali applicabili.

8. Integrazione con Apple Calendar

TheraFiles consente agli utenti di creare, aggiornare ed eliminare eventi di appuntamento direttamente in Apple Calendar utilizzando il framework nativo EventKit di Apple — non è coinvolta alcuna API esterna o comunicazione con server.

• Tutte le operazioni del calendario avvengono localmente sul dispositivo con l’autorizzazione esplicita dell’utente per accedere ai dati del calendario.
• TheraFiles non memorizza, trasmette o sincronizza alcuna informazione di Apple Calendar su server esterni — tutti i dati degli eventi rimangono completamente all’interno dell’ecosistema Apple dell’utente, inclusi Calendar e iCloud.
• Gli utenti possono revocare l’accesso al calendario in qualsiasi momento tramite le impostazioni di sistema iOS/macOS, impedendo immediatamente ulteriori modifiche agli eventi dall’app.

9. Sincronizzazione dei dati di Google Calendar

TheraFiles accede ai dati di Google Calendar per creare, aggiornare ed eliminare eventi di appuntamento sul calendario selezionato dall’utente.

• L’app memorizza solo il token di aggiornamento OAuth nel Portachiavi iCloud dell’utente e l’ID/nome del calendario selezionato. Nessun dato del calendario viene memorizzato su alcun server di TheraFiles.
• Tutta la comunicazione con l’API di Google Calendar avviene direttamente tra il dispositivo dell’utente e i server di Google.
• Gli utenti possono disconnettere Google Calendar in qualsiasi momento dalle impostazioni dell’app, eliminando tutti i token memorizzati.
• L’uso e il trasferimento di informazioni ricevute dalle API di Google da parte di TheraFiles aderisce alla Politica sui dati utente dei servizi API di Google, inclusi i requisiti di uso limitato.

10. Ruoli di titolare/responsabile del trattamento

10.1 Agiamo come titolare del trattamento per:

• dati di utilizzo del sito web;
• dati di registrazione dell’account;
• dati relativi a licenze, abbonamenti e fatturazione;
• comunicazioni di supporto;
• dati di amministrazione aziendale;
• log di sicurezza, autenticazione e operativi relativi alla nostra infrastruttura e ai nostri Servizi.

10.2 Agiamo come responsabile del trattamento per:

• cartelle di pazienti o clienti;
• note cliniche e documentazione;
• dati relativi ad appuntamenti e promemoria trattati per conto dell’utente professionista;
• file, registrazioni e contenuti memorizzati dagli utenti professionisti nell’applicazione.

11. Dove vengono conservati e trattati i dati

In base alla nostra attuale configurazione dell’infrastruttura:

• i dati inseriti nell’applicazione vengono memorizzati nell’ambiente dell’applicazione;
• quando il componente aggiuntivo Storage è abilitato, i dati di backup vengono memorizzati utilizzando l’infrastruttura IDrive® situata a Francoforte, Germania;
• l’hosting delle licenze e l’API dell’applicazione sono ospitati sull’infrastruttura Leaseweb® situata ad Amsterdam, Paesi Bassi;
• le comunicazioni relative a WhatsApp sono fornite tramite l’infrastruttura Meta® in Irlanda;
• le funzionalità assistite da AI sono fornite utilizzando l’infrastruttura Mistral® situata a Parigi, Francia, come configurata per i Servizi.

Progettiamo la nostra infrastruttura in modo che i dati personali siano destinati a essere ospitati e trattati all’interno dell’Unione Europea/Spazio Economico Europeo.

11.1 Trasferimenti internazionali

In base alla nostra attuale architettura di servizio e configurazione dei fornitori, non intendiamo trasferire dati personali al di fuori dell’Unione Europea/Spazio Economico Europeo. Se ciò dovesse cambiare, aggiorneremo questa Informativa sulla Privacy e, ove richiesto, implementeremo garanzie adeguate in conformità con la legge applicabile. Il quadro del GDPR per i trasferimenti internazionali e gli obblighi di titolare/responsabile del trattamento è stabilito nel Regolamento e nei relativi materiali di attuazione dell’UE.

12. Funzionalità assistite da AI

TheraFiles include funzionalità assistite da AI destinate a ridurre il carico amministrativo e supportare i flussi di lavoro clinici.

Quando un utente professionista sceglie di utilizzare queste funzionalità:

• determinati dati possono essere trattati allo scopo di generare bozze di output;
• gli output vengono generati automaticamente e possono essere in parte imprecisi, incompleti o inappropriati;
• tutto il materiale generato dall’AI deve essere rivisto, verificato e approvato dal professionista responsabile prima dell’uso;
• l’output dell’AI non sostituisce il giudizio professionale, la diagnosi, la responsabilità del trattamento, la revisione legale o gli obblighi di conformità normativa.

TheraFiles non utilizza file clinici, note o registrazioni dei clienti per addestrare modelli AI generici, salvo accordo espresso in un accordo scritto separato.

13. Promemoria e comunicazioni

Quando il relativo componente aggiuntivo è abilitato, TheraFiles può inviare promemoria di appuntamenti o comunicazioni correlate via email e/o WhatsApp per conto dell’utente professionista.

L’utente professionista rimane l’unico responsabile per:

• la liceità della comunicazione;
• l’accuratezza dei dati di contatto del destinatario;
• garantire che la formulazione del promemoria sia adeguatamente discreta e proporzionata;
• ottenere eventuali autorizzazioni, istruzioni o consensi necessari ai sensi della legge applicabile, dei doveri di riservatezza e degli obblighi professionali.

14. Condivisione dei dati

Non vendiamo dati personali.

Possiamo condividere dati personali solo quando necessario e proporzionato con:

• fornitori di hosting e infrastruttura;
• fornitori di backup e storage;
• fornitori di hosting API e licenze;
• fornitori di consegna email e promemoria;
• Meta® per la consegna WhatsApp quando abilitata;
• fornitori di AI utilizzati per fornire funzionalità assistite da AI;
• processori di pagamento e fornitori di servizi relativi alla fatturazione;
• consulenti legali, fiscali, di revisione o professionali quando necessario;
• autorità competenti, regolatori, tribunali o forze dell’ordine quando la divulgazione è richiesta dalla legge o da un processo legalmente vincolante;
• successori o controparti in caso di fusione, acquisizione, ristrutturazione o vendita di asset, soggetti ad adeguata riservatezza e gestione lecita.

15. Conservazione dei dati

Salvo che un periodo di conservazione più lungo sia richiesto dalla legge:

• i dati associati a una licenza o componente aggiuntivo attivo vengono conservati per la durata dell’abbonamento o del periodo di licenza attivo;
• quando una licenza o il componente aggiuntivo Storage scade, i dati memorizzati associati possono essere conservati fino a un (1) mese dopo la scadenza;
• durante tale periodo, l’utente può essere avvisato via email dell’eliminazione imminente;
• dopo tale periodo, i dati pertinenti sono destinati a essere eliminati definitivamente, fatti salvi i processi tecnici standard di eliminazione ed eventuali registrazioni o log residui minimi che devono essere conservati per motivi di sicurezza, prevenzione delle frodi, audit, contabilità, imposte o conformità legale.

Gli utenti sono gli unici responsabili dell’esportazione di tutti i dati che desiderano conservare prima della scadenza e dell’eliminazione.

16. Misure di sicurezza

Applichiamo misure tecniche e organizzative progettate per proteggere i dati personali da accesso non autorizzato, divulgazione, alterazione, perdita o uso improprio, tra cui, ove applicabile:

• crittografia in transito;
• crittografia dei backup;
• controlli di autenticazione e accesso;
• autorizzazioni basate sui ruoli;
• registrazione della sicurezza;
• rafforzamento dell’infrastruttura;
• accesso amministrativo limitato;
• obblighi di riservatezza;
• processi di risposta agli incidenti.

Il GDPR richiede misure tecniche e organizzative adeguate, e la HIPAA Security Rule richiede analogamente misure di salvaguardia amministrative, fisiche e tecniche per le informazioni sanitarie protette elettroniche quando si applica l’HIPAA.

17. Diritti degli interessati

Quando si applica il GDPR, le persone possono avere diritti tra cui il diritto di:

• essere informate;
• accedere ai propri dati personali;
• richiedere la rettifica;
• richiedere la cancellazione in determinate circostanze;
• richiedere la limitazione del trattamento;
• opporsi a determinati trattamenti;
• richiedere la portabilità dei dati ove applicabile;
• revocare il consenso quando il trattamento si basa sul consenso;
• presentare un reclamo presso un’autorità di controllo competente.

La Commissione Europea pubblica linee guida su questi diritti e sulle informazioni che devono essere fornite alle persone ai sensi della legge UE sulla protezione dei dati. (Commissione Europea)

Se sei un paziente o cliente il cui terapeuta o clinica utilizza TheraFiles, le richieste relative alle cartelle cliniche dovrebbero generalmente essere indirizzate prima a quel terapeuta, clinica o organizzazione.

18. Distribuzione diretta

TheraFiles può essere distribuito direttamente da noi anziché esclusivamente tramite un marketplace di app di terze parti. Quando ciò si applica, trattiamo i dati personali necessari per fornire download, attivazione, aggiornamenti, convalida delle licenze, rinnovi, supporto e servizi correlati.

19. Modifiche a questa Informativa sulla Privacy

Potremmo aggiornare questa Informativa sulla Privacy di tanto in tanto per riflettere cambiamenti tecnici, legali, operativi o aziendali. Ove appropriato, forniremo un avviso tramite il sito web, l’applicazione o via email.

20. Contatti

Per domande o richieste relative alla privacy, contatta:

CureClass
11-15 Aristotelous st., Atene 104 32, Grecia
support @ therafiles.ai
therafiles.ai