Questo è un template tecnico-operativo. Richiede revisione legale e personalizzazione prima dell'utilizzo in qualsiasi contesto contrattuale.
Struttura del DPA
- Parti (Titolare e Responsabile del trattamento).
- Oggetto e finalità del trattamento.
- Durata, categorie di dati e interessati.
- Istruzioni documentate del Titolare.
- Obblighi del Responsabile del trattamento.
- Sub-responsabili e trasferimenti extra-SEE/UK.
- Misure di sicurezza e procedure in caso di violazione dei dati.
- Diritti degli interessati, diritti di audit e clausole di risoluzione.
Principali misure tecniche
- Controllo degli accessi basato sui ruoli e principio del privilegio minimo.
- Cifratura in transito (TLS) e a riposo ove applicabile.
- Segregazione degli ambienti: sviluppo / staging / produzione.
- Log di audit operativi e AI.
- Backup, ripristino e monitoraggio continuo.
- Gestione dei segreti tramite secret manager dedicato.
Sub-responsabili attuali
PappAI si avvale dei seguenti sub-responsabili per erogare il Servizio. Ogni voce indica la finalità principale, il paese del trattamento e la base giuridica per eventuali trasferimenti extra UE/SEE. L'elenco è mantenuto aggiornato e qualsiasi modifica sostanziale verrà comunicata in anticipo ai Titolari.
| Fornitore | Finalità | Paese del trattamento | Categorie di dati | Trasferimento / garanzie |
|---|---|---|---|---|
| Google Cloud Platform (Google LLC) | Cloud hosting (Cloud Run, Cloud SQL), object storage (GCS), logging e monitoring. | EU regions (europe-west1) — corporate USA | Tutti i dati del Servizio: clinici, account, fatturazione, log operativi. | EU SCC + DPA |
| Google Vertex AI (Google LLC) | Inferenza AI generativa a supporto della stesura piani e dell'analisi clinica. | EU multi-region — corporate USA | Input pseudonimizzato passato al modello; nessun PII; opt-out training. | EU SCC + DPA · no training opt-in |
| Firebase (Google LLC) | Autenticazione (token identità) e invio notifiche push (FCM/APNs). | USA — multi-region | Identità utente (email, telefono), token push del dispositivo. | EU SCC + DPA |
| Stripe Payments Europe Ltd | Fatturazione abbonamento, emissione fatture, elaborazione pagamenti. | Ireland (EU) | Dati account e fatturazione, storico transazioni. Nessun dato clinico. | Intra-EU |
| Brevo (Sendinblue SAS) | Invio email transazionali (account, notifiche fatturazione, template del professionista). | France (EU) | Email destinatario, contenuto messaggio, stato consegna. | Intra-EU |
| Twilio Ireland Ltd | Invio SMS / WhatsApp (canale legacy). | Ireland (EU) — corporate USA | Numero telefono destinatario, contenuto messaggio, metadata consegna. | EU SCC + DPA |
| Meta Platforms Ireland Ltd | WhatsApp Business Cloud API per comunicazioni paziente via template. | Ireland (EU) — corporate USA | Numero telefono destinatario, variabili template, metadata consegna. | EU SCC + DPA |
| Google Analytics 4 (Google LLC) | Analytics aggregati di utilizzo sul sito pubblico e nell'app autenticata. | USA — corporate | Identificativi pseudonimi, visualizzazioni pagina, eventi di interazione. Nessun dato clinico. | EU SCC + DPA · consent-gated |
| Microsoft Clarity (Microsoft Corporation) | Analytics UX anonimizzati (heatmap, session replay). | USA — corporate | Identificativi pseudonimi, eventi di interazione. Nessun dato clinico; campi sensibili mascherati. | EU SCC + DPA · consent-gated |
Tutti i sub-responsabili elencati trattano i dati sulla base di accordi scritti contenenti garanzie GDPR-compliant (DPA, Clausole Contrattuali Tipo UE ove applicabili). I dati clinici dei pazienti non vengono mai utilizzati per addestrare, ottimizzare o valutare modelli AI da nessun sub-responsabile.
Allegati previsti
- Allegato A: dettaglio del trattamento (Art. 28(3) GDPR).
- Allegato B: elenco aggiornato dei sub-responsabili.
- Allegato C: misure tecniche e organizzative (MTO).