Associazione di Volontariato Cuore d'Argento O.D.V.

MANUALE DELLA SICUREZZA DEI DATI E PROCEDURE OPERATIVE PRIVACY (GDPR)

Rif. Proc. 1.6 – Sistema Informativo: All. 3 (Policy Sicurezza e Privacy) e All. 4 (Piano di Continuità). Registro incidenti e test di ripristino: Incidenti · Test di ripristino. Nota: la Proc. 1.6 All. 4 indica ripristino da backup entro 24 ore (comunicazione al Direttivo entro 2 ore); questo manuale indica RTO 2 ore. Allineare i due valori.

Sede Operativa: Via della Stazione n. 51 – 05035 Narni Scalo (TR) | C.F. 91086460556 - P.IVA 01725470551

Aut. Sanitaria n. 8642 del 19/08/2025 | Accreditamento Sanitario D.D. n. 4825 del 18/05/2026 (Cod. Pratica: 2026-002-5253)

Convenzione Trasporto Sanitario e Dialisi con AUSL UMBRIA 2 | Vigilanza OTAR Regione Umbria

1. Quadro Generale e Campo di Applicazione

Il presente Manuale definisce il sistema delle misure tecniche e organizzative adottate da Cuore d'Argento O.D.V. per assicurare la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi di trattamento dei dati (Art. 32 del Regolamento UE 2016/679 - GDPR), con particolare riferimento ai dati particolari relativi alla salute (Art. 9 GDPR) trattati durante le attività di soccorso, trasporto sanitario ordinario e servizi emodialisi continuativi.

Il documento governa l'intero ecosistema software dell'Ente: Dashboard Direzionale di Centrale (`index.html`), Terminali Mobile di Bordo (`tablet.html`), Calcolatore Preventivi con accettazione automatica (`preventivi.html`), Registro Fiscale Ricevute (`ricevute.html`) e Database Cloud Realtime con crittografia TLS 1.3 e backup ridondato.

2. Organigramma e Ruoli di Trattamento

Titolare del Trattamento: Associazione Cuore d'Argento O.D.V., legalmente rappresentata dal Presidente pro tempore (Dott. Michele Bee).
Direzione Sanitaria: Medico Chirurgo responsabile della vigilanza clinica, della custodia del segreto professionale e della pertinenza dei dati sanitari registrati a bordo.
Referente del Sistema Informativo (RSI): Incaricato della sicurezza logica, gestione credenziali, crittografia, audit log e coordinamento dei ripristini da backup.
Soggetti Autorizzati (Incaricati): Autisti e Soccorritori operanti su terminale tablet e operatori di centrale radio, formalmente nominati e vincolati all'obbligo di segretezza e all'uso di PIN personali riservati.

3. Procedure Operative Standard (POS)

POS-01: Gestione Credenziali, Autenticazione PIN e Profilazione

Assegnazione di PIN univoci individuali a ciascun soccorritore; divieto assoluto di cessione del codice; blocco immediato delle postazioni e logout a fine turno; rigenerazione immediata delle credenziali in caso di sospetta compromissione.

POS-02: Nomina, Formazione e Revoca dei Volontari Autorizzati

Nomina scritta obbligatoria ex Art. 29 GDPR; blocco preventivo del tablet fino alla firma digitale dell'incarico privacy; corso di formazione iniziale di 2 ore e retraining biennale; revoca istantanea dell'accesso in caso di dimissioni o recesso.

POS-03: Raccolta del Consenso, Informativa e Firma su Tablet

Informativa breve esposta nel vano sanitario e integrale sulla Carta dei Servizi; raccolta della firma grafometrica touch dell'assistito su canvas digitale a fine missione; tracciamento di eventuali impedimenti fisici documentati.

POS-04: Manutenzione, Backup e Continuità del Dato

Replica geografica continua su server europei; esportazione settimanale di backup locale cifrato su supporto NVMe esterno in cassaforte; simulazione semestrale di ripristino con verbalizzazione a registro.

POS-05: Deterioramento, Corruzione e Ripristino dei Dati (Disaster Recovery)

Protocollo operativo in caso di crash o furto tablet: comando di cancellazione remota (Remote Wipe); attivazione cartelle cartacee sostitutive; RTO (Recovery Time Objective) massimo garantito entro 2 ore (Req. 3 R.R. 6/2024); RPO massimo 4 ore; redazione del Verbale di Integrità post-ripristino.

POS-06: Gestione Incidenti e Notifica Data Breach (Art. 33-34 GDPR)

Apertura scheda incidente entro 1 ora; valutazione dell'impatto clinico congiunta con il Direttore Sanitario; notifica telematica obbligatoria al Garante Privacy entro 72 ore in caso di rischio; comunicazione diretta agli assistiti in caso di rischio elevato.

4. Modulistica Ufficiale Integrata nel Documento

Il Manuale include i modelli conformi per gli organi di vigilanza (OTAR / Regione Umbria):

Modello A: Registro Interno delle Violazioni di Dati Personali (Data Breach Log ex Art. 33 GDPR);
Modello B: Verbale Tecnico di Ripristino Dati e Disaster Recovery (R.R. Umbria 6/2024);
Riquadro Formale: Convalida congiunta con firme autografe del Presidente, del Direttore Sanitario e del Referente Sistemi Informativi.