Fornitori che trattano dati per conto degli studi (sub-responsabili)
Studio Calmo — elenco pubblico dei sub-responsabili (Allegato C dell'accordo art. 28)
Bozza in revisione legale. Non è ancora il testo definitivo. I campi tra parentesi quadre saranno completati prima della pubblicazione.
| Versione | 0.2 — bozza del 2026-10-06 |
|---|---|
| Stato | Bozza da rivedere da un legale. Le località, le entità contraenti e le garanzie vanno verificate sui contratti firmati prima della pubblicazione. |
A chi serve questa pagina
Il medico o lo studio che usa Studio Calmo è il titolare dei dati dei suoi assistiti. [RAGIONE SOCIALE AGENTICA] fornisce Studio Calmo ed è responsabile del trattamento (art. 28 GDPR). Per erogare il servizio ci avvaliamo dei fornitori elencati qui. Sono sub-responsabili ai sensi dell'art. 28, par. 2 e 4, GDPR: trattano i dati solo per le finalità indicate, con un contratto che impone loro obblighi non meno rigorosi dei nostri.
Regole che valgono per tutti:
- I dati degli assistiti restano nello Spazio economico europeo. Le eccezioni sono indicate riga per riga, con la garanzia prevista dal GDPR.
- Nessun fornitore usa i dati degli assistiti per addestrare modelli o per fini propri.
- Audio, allegati e testi delle richieste sono cifrati da noi prima di essere salvati sullo storage. Chiavi e dati in chiaro restano sul nostro server in Germania.
- Gli ambienti di sviluppo e di prova usano solo dati inventati.
1. Sub-responsabili attivi
| Fornitore | Servizio | Dati trattati | Dove | Garanzie | Note |
|---|---|---|---|---|---|
| Hetzner Online GmbH, Gunzenhausen (Germania) | Server dedicato che ospita l'applicazione, il database e l'elaborazione delle richieste | Tutti i dati dello studio | Germania (data center di Falkenstein o Norimberga) | Contratto di trattamento dati (DPA) del fornitore ai sensi dell'art. 28; società UE, nessun trasferimento | [DA VERIFICARE] firma del DPA a nome della S.r.l.s. dopo il trasferimento dell'account (00 §V6); certificazione ISO/IEC 27001 dichiarata dal fornitore |
| Cloudflare, Inc. (USA) e affiliate UE | (a) DNS e protezione della rete; (b) ricezione delle email inoltrate dallo studio (Email Routing ed Email Worker); (c) object storage R2 con giurisdizione UE per audio e allegati cifrati e per i backup cifrati; (d) invio delle email di servizio (Cloudflare Email Sending): (d1) al personale dello studio, (d2) agli assistiti: l'avviso «lo studio ha risposto» con l'indirizzo sicuro monouso per leggere la risposta e, se lo studio la attiva, la conferma di ricezione | (a) indirizzi IP e metadati di rete; (b) email in transito, cifrate dal Worker prima di essere salvate; (c) solo file cifrati, senza chiavi; (d1) indirizzo email del personale e testo della notifica, senza dati degli assistiti; (d2) indirizzo email dell'assistito (destinatario), nome dello studio, indirizzo web sicuro monouso, tempi di risposta e orari dello studio e, in caso di assenza, i nomi del medico assente e del sostituto. Mai il testo della risposta, il nome dell'assistito o il tipo di pratica | (c) UE (giurisdizione UE di R2); (a), (b), (d) rete globale per il transito | DPA Cloudflare con clausole contrattuali tipo (art. 46, par. 2, lett. c) e adesione al Data Privacy Framework UE-USA (Decisione (UE) 2023/1795) | [DA VERIFICARE] entità contraente, località di elaborazione dell'Email Worker e di Email Sending, adesione DPF. Lo storage degli audio può passare a Hetzner Object Storage (Germania) se si vuole un fornitore in meno (decisione D13). [DA RIVEDERE LEGALE] (d2): indirizzo dell'assistito e indirizzo sicuro transitano dal fornitore |
| Soniox, Inc. (USA), regione UE | Trascrizione automatica dei messaggi vocali | Solo il file audio, senza nome, telefono o altri metadati | UE (endpoint regionale europeo) | DPA del fornitore con clausole contrattuali tipo; file cancellato tramite API subito dopo la trascrizione | [DA VERIFICARE] DPA firmato a nome della S.r.l.s. per questo progetto (oggi esiste solo per un altro prodotto); accesso alla regione UE confermato per il progetto; trattamento della società madre USA |
| Mistral AI SAS, Parigi (Francia) | Sintesi della richiesta e classificazione amministrativa (tipo di pratica) | Testo della trascrizione o del messaggio, con telefono, email e identificativo WhatsApp sostituiti da segnaposto | UE | DPA del fornitore; società UE; nessun addestramento sui dati inviati | [DA VERIFICARE] disponibilità e attivazione della conservazione nulla (zero data retention) o, in alternativa, del periodo massimo di conservazione per il monitoraggio degli abusi; regione di elaborazione |
| Resend (Plus Five Five, Inc., USA) | Riserva automatica per l'invio delle email di servizio, quando Cloudflare Email Sending non risponde (è attiva dove la chiave del fornitore è configurata, cioè in prova e in produzione) | Come Cloudflare (d1) e (d2): indirizzo email e testo della notifica al personale; indirizzo email dell'assistito, nome dello studio, indirizzo sicuro monouso, tempi e orari dello studio, nomi di medico assente e sostituto. Mai il testo della risposta, il nome dell'assistito o il tipo di pratica | Invio da regione UE (Irlanda); i dati dell'account restano negli USA | DPA con clausole contrattuali tipo e/o Data Privacy Framework | [DA VERIFICARE] entità contraente e adesione DPF. [DA RIVEDERE LEGALE]: trasferimento verso gli USA per gli indirizzi degli assistiti. Alternativa da valutare: escludere la riserva per le email agli assistiti (se Cloudflare non risponde l'invio si ripete, senza passare da Resend) |
2. Sub-responsabili previsti ma non ancora attivi
Si attivano solo con il preavviso di 30 giorni descritto al punto 5.
| Fornitore | Servizio | Dati | Dove | Garanzie | Quando |
|---|---|---|---|---|---|
| Meta Platforms Ireland Ltd | Numero WhatsApp dedicato dello studio (WhatsApp Business Cloud API; mai il numero personale del medico) | Contenuto dei messaggi e dei vocali, identificativo WhatsApp (numero), nome del profilo; in uscita: testi automatici di servizio (benvenuto, ricevuta, studio chiuso) e l'avviso «lo studio ha risposto» con l'indirizzo sicuro monouso. Mai il testo della risposta né contenuti clinici | Opzione "Local Storage" con dati a riposo in UE (Germania) su ogni numero; i file (vocali, foto, documenti) sono scaricati subito, cifrati e cancellati da Meta con la richiesta di cancellazione; Meta conserva i messaggi fino a 30 giorni per la ritrasmissione | WhatsApp Business Data Processing Terms (Meta Platforms Ireland per lo SEE; Data Privacy Framework per la parte USA) | Pilota, con l'attivazione del canale WhatsApp dello studio (funzione disattivata finché non è approvato il parere D26). Meta è titolare autonomo dei dati del proprio servizio lato utente: lo dice l'informativa ai pazienti e il messaggio di benvenuto. Stati di consegna (inviato, consegnato, letto, non consegnato) conservati senza contenuto per 12 mesi. [DA RIVEDERE LEGALE] clausola sanitaria della Business Policy di Meta, frase su Meta, testo dell'adesione (opt-in), eccezione R7 della ricevuta |
| 360dialog GmbH (Berlino, Germania) | Solo se lo studio usa il percorso partner (decisione D-W1 b): inoltra messaggi e file del numero WhatsApp dello studio tra Meta e il servizio | Come Meta (in transito) | UE (Germania) | DPA del fornitore | Solo con D-W1 b. [DA VERIFICARE] conservazione dei file sul proxy e intestazione segreta del webhook. [DA RIVEDERE LEGALE] |
| Operatore telefonico (da scegliere: Telnyx, Twilio o operatore VoIP italiano) | Segreteria telefonica dello studio | Registrazione vocale e numero del chiamante | [DA VERIFICARE] regione UE | DPA del fornitore | Con l'attivazione della segreteria telefonica. La registrazione viene cancellata dal fornitore subito dopo il download |
| OpenAI Ireland Ltd | Alternativa per trascrizione e sintesi | Come Soniox o Mistral | Progetto con residenza dei dati UE e conservazione nulla | DPA del fornitore | Solo se la residenza UE con conservazione nulla viene approvata dal fornitore |
| Monitoraggio degli errori (es. Sentry, regione UE) | Segnalazione degli errori dell'applicazione | Solo dati tecnici, con filtro dei dati personali | UE | DPA | Facoltativo |
3. Fornitori che non ricevono dati degli assistiti
Questi fornitori lavorano per [RAGIONE SOCIALE AGENTICA] nei trattamenti di cui è titolare (account, fatturazione, assistenza, sito). Non sono sub-responsabili per i dati degli assistiti. Sono descritti nella privacy policy del sito (documento 07).
| Fornitore | Uso |
|---|---|
| Stripe Payments Europe Ltd (Irlanda) | Pagamenti e abbonamenti |
| Connettore per la fatturazione elettronica (SdI) [DA SCEGLIERE] con il commercialista | Fatture elettroniche |
| Google Ireland Ltd / Google Workspace [DA VERIFICARE] entità | Casella di assistenza (support@, privacy@). Non deve ricevere dati degli assistiti: lo ricordano la pagina di assistenza e la risposta automatica |
| Cloudflare Pages | Ospitalità del sito pubblico, senza strumenti di tracciamento |
4. Fornitori esclusi
Per contratto e per scelta tecnica, questi strumenti non trattano dati degli assistiti: Telegram; Google Sheets e Gmail come archivio o canale di richieste; n8n; OpenRouter. OpenRouter può essere usato solo dal nostro team di sviluppo e solo con dati inventati.
5. Come vi avvisiamo dei cambiamenti
- Prima di aggiungere o sostituire un sub-responsabile, scriviamo al contatto privacy dello studio e mostriamo un avviso nell'applicazione, almeno 30 giorni prima (accordo art. 28, art. 8.2).
- Lo studio può opporsi per motivi legati alla protezione dei dati entro lo stesso termine. Se non troviamo una soluzione, lo studio può recedere senza penali e con rimborso della quota non goduta.
- Ogni versione di questa pagina resta consultabile con data e modifiche.
6. Storico delle versioni
| Versione | Data | Modifiche |
|---|---|---|
| 0.1 | 2026-10-05 | Prima bozza |
| 0.2 | 2026-10-06 | Email agli assistiti (avviso di risposta, conferma di ricezione) elencate tra i dati trattati da Cloudflare Email Sending e da Resend; Resend indicato come riserva automatica attiva |
Punti aperti per il legale
- Cloudflare Email Routing ed Email Worker elaborano le email in transito sulla rete globale: valutazione del trasferimento e formulazione per l'informativa. [DA RIVEDERE LEGALE]
- Soniox è una società USA con regione UE: garanzie per un eventuale accesso dagli USA (clausole contrattuali tipo, valutazione d'impatto del trasferimento). [DA RIVEDERE LEGALE]
- Resend come riserva automatica anche per le email agli assistiti (indirizzo email, nome dello studio, indirizzo sicuro monouso): i dati dell'account restano negli USA; valutare se escludere la riserva per le email agli assistiti o se bastano clausole contrattuali tipo e DPF. [DA RIVEDERE LEGALE] 3 bis. Cloudflare Email Sending invia anche le email agli assistiti: formulazione per l'informativa (documento 03) e per il registro (documento 10). [DA RIVEDERE LEGALE]
- Meta come sub-responsabile per il contenuto e titolare autonomo per i dati del servizio. [DA RIVEDERE LEGALE]
- Google Workspace per la casella di assistenza: rischio che un medico invii dati di assistiti per errore; procedura di cancellazione. [DA RIVEDERE LEGALE]