Elenco previsto dall'Accordo sul trattamento dei dati (DPA, § 3(d)) — Aggiornato al 27 ottobre 2026
Delphi~Med tratta i dati dei pazienti per conto dei medici che utilizzano il servizio, in qualità di responsabile del trattamento ai sensi dell'art. 28 del GDPR. Per erogare il servizio ci avvaliamo dei fornitori elencati di seguito (sub-responsabili), autorizzati in via generale dal DPA accettato da ciascun medico. Ogni sub-responsabile è vincolato da un contratto che gli impone obblighi equivalenti a quelli che Delphi~Med assume verso il medico.
| Fornitore | Servizio | Luogo di elaborazione | Garanzie per il trasferimento |
|---|---|---|---|
| Supabase | Database, autenticazione, archiviazione dei referti | Unione Europea — Francoforte | Accordo art. 28 + Clausole Contrattuali Standard + valutazione d'impatto sul trasferimento del fornitore; adesione all'EU-US Data Privacy Framework |
| Amazon Web Services | Invio delle email di servizio (Amazon SES: conferme, promemoria, notifiche, che riportano nome del paziente, medico, sede, data, ora, tipo e categoria della visita), elaborazione delle funzioni di intelligenza artificiale (Bedrock), gestione delle chiavi di cifratura dei referti (KMS), archiviazione protetta del registro degli accessi degli amministratori, copia di sicurezza dei referti cifrati e, dal 26 ottobre 2026, copia di sicurezza del database due volte al giorno (S3, con cancellazione automatica entro 90 giorni; programma della copia eseguito da Lambda con un'utenza di sola lettura) | Unione Europea — Francoforte (eu-central-1) per l'invio delle email, le chiavi di cifratura, il registro degli amministratori e le copie di sicurezza dei referti e del database; per le funzioni di intelligenza artificiale, una delle regioni europee del profilo UE di AWS: Francoforte, Irlanda, Parigi, Milano, Spagna, Stoccolma | Accordo art. 28 + Clausole Contrattuali Standard; per le funzioni di intelligenza artificiale, con i modelli oggi in uso, il fornitore non conserva i contenuti né li utilizza per addestramento |
| Vercel | Hosting dell'applicazione e funzioni serverless | Unione Europea — Francoforte (fra1) per le funzioni che trattano i dati; rete di distribuzione globale per i soli contenuti statici | Accordo art. 28 + Clausole Contrattuali Standard |
Nota sul fornitore del modello AI. Le funzioni di intelligenza artificiale utilizzano modelli sviluppati da Anthropic, eseguiti interamente su infrastruttura AWS nell'Unione Europea. Anthropic non ha accesso all'infrastruttura di elaborazione e non riceve alcun dato: per questo non compare nell'elenco dei sub-responsabili.
Nota sul prestatore dei pagamenti. Stripe gestisce, quando attivato, l'abbonamento del medico: tratta i dati del medico cliente (nome, email, metodo di pagamento tokenizzato, importi e stato dell'abbonamento) e nessun dato dei pazienti, in un rapporto distinto dalla catena del trattamento per conto del medico; per questo non compare in questo elenco ed è indicato nell'informativa per i medici all'attivazione del servizio economico.
I dati clinici risiedono nell'Unione Europea (Francoforte): database, archiviazione dei referti e chiavi di cifratura. Le funzioni di intelligenza artificiale li elaborano al momento della richiesta in una regione europea del profilo UE di AWS e, con i modelli oggi in uso, non li conservano. Il contenuto clinico (note, referti, sintesi) non lascia l'Unione. Alcuni fornitori hanno sede negli Stati Uniti: i relativi trasferimenti sono assistiti dalle Clausole Contrattuali Standard integrate dalle valutazioni d'impatto sul trasferimento e — finché vigente — dall'EU-US Data Privacy Framework per i fornitori aderenti. Delphi~Med monitora l'evoluzione del quadro (appello pendente presso la Corte di giustizia UE) e mantiene le Clausole Contrattuali Standard quale garanzia autonoma.
L'aggiunta o la sostituzione di un sub-responsabile è comunicata ai medici via email, all'indirizzo dell'account, con un preavviso di 30 giorni, entro i quali il medico può proporre opposizione motivata secondo quanto previsto dal DPA. La presente pagina è aggiornata contestualmente.
Storico delle modifiche: 10/09/2026 — prima pubblicazione dell'elenco. 17/10/2026 — l'invio delle email passa da Resend (Stati Uniti) ad Amazon SES nella regione di Francoforte: Amazon Web Services era già sub-responsabile e nessun medico reale era attivo; Resend non è più sub-responsabile (chiave revocata e account chiuso). 20/10/2026 — pagina aggiornata con SES e con la copia di sicurezza dei referti su S3. 21/10/2026 — Stripe tolto dall'elenco e descritto in nota: tratta solo i dati del medico cliente, non quelli dei pazienti. 27/10/2026 — riga Amazon Web Services estesa alla copia di sicurezza del database, attiva dal 26/10/2026 (due copie al giorno a Francoforte, cancellate entro 90 giorni).
Per domande su questa pagina o sul trattamento dei dati: privacy@delphi-med.com.