Traducción de cortesía. En caso de discrepancia, prevalece la versión italiana de este documento.

Subencargados del tratamiento

Versión 2.1 · Última revisión: 9 novembre 2026

Borrador no firmado, publicado con fines de consulta. La sociedad que presta el servicio tiene número de IVA; el número REA se añadirá cuando se complete la inscripción en el registro mercantil. Hasta entonces, este documento no se puede firmar.

El presente documento constituye el Anexo B del Acuerdo de Tratamiento de Datos (DPA) conforme al art. 28 del Reglamento (UE) 2016/679 (en adelante, "GDPR") suscrito entre el responsable del tratamiento (el médico cliente) y Fibonacci, en calidad de encargado del tratamiento, para la prestación del software SaaS Fibonacci. Enumera de forma nominativa los subencargados autorizados conforme a los arts. 28.2 y 28.4 del GDPR y se actualiza de forma continua.

1. Premisa y disciplina

1.1. Definición de subencargado. Se define como subencargado del tratamiento (en adelante, "Subencargado") al tercero, persona física o jurídica, al que recurre el Encargado para la ejecución de actividades de tratamiento específicas por cuenta del Responsable, en virtud del art. 28, apartados 2 y 4, del GDPR.

1.2. Autorización general ex art. 28.2 GDPR. Con la firma del DPA, el Responsable concede al Encargado autorización escrita general para recurrir a los Subencargados indicados en el presente Anexo B, reconociendo que cada uno de ellos ha sido seleccionado por el Encargado sobre la base de un juicio de fiabilidad y de adecuación de las garantías ofrecidas en términos de seguridad técnica y organizativa del tratamiento, de conformidad con el art. 28, apartado 1, del GDPR.

1.3. Cadena contractual. El Encargado celebra con cada Subencargado un contrato escrito que impone las mismas obligaciones de protección de datos previstas en el DPA entre el Responsable y el Encargado, en particular en materia de confidencialidad, medidas de seguridad, asistencia al Responsable en el ejercicio de los derechos de los interesados y cooperación con la Autoridad de control. El Encargado responde ante el Responsable del incumplimiento de las obligaciones de protección de datos por parte de los Subencargados, en virtud del art. 28, apartado 4, del GDPR.

1.4. Obligación de información y derecho de oposición. Cualquier modificación de la lista de Subencargados, incluidas la incorporación de un nuevo Subencargado, la sustitución de un Subencargado existente o la finalización de la relación con un Subencargado, es comunicada por el Encargado al Responsable con un preaviso de al menos 30 (treinta) días respecto a la fecha de efectividad de la modificación, mediante comunicación por correo electrónico a la dirección del Responsable que consta en el Contrato de Servicio y con la actualización simultánea de la presente página, publicada en https://fibonaccimedica.it/sub-responsabili.

1.5. Ejercicio del derecho de oposición. Dentro del plazo de 30 días indicado en el punto 1.4, el Responsable puede oponerse de forma motivada a la modificación propuesta. El procedimiento aplicable en caso de oposición se regula en el apartado 3 del presente Anexo.

1.6. Transparencia. La presente lista se hace pública para permitir al Responsable verificar, con anterioridad a la firma del Contrato de Servicio y durante toda la duración de la relación, la identidad y la ubicación de los sujetos que intervienen en la cadena del tratamiento.

2. Lista de subencargados autorizados

Los subencargados a la fecha de la última revisión de este documento son los siguientes. Para cada uno se indica también el estado del contrato: a la fecha de esta versión todavía no hay ningún acuerdo firmado por la sociedad que prestará el Servicio, y el Servicio no trata datos de pacientes reales.

2.1. Aruba S.p.A.

• Denominación legal: Aruba S.p.A.
• Domicilio social: Via San Clemente 53, 24036 Ponte San Pietro (BG), Italia
• Categoría de servicio: máquina virtual que aloja el Software: base de datos, fotos clínicas cifradas, copias de seguridad
• Tipo de datos tratados: todos los datos del Servicio, incluidas las categorías especiales con arreglo al art. 9 del GDPR
• Cifrado: las fotos clínicas se cifran en el navegador (AES-256-GCM) con claves gestionadas por el Encargado; las copias de seguridad se cifran antes de escribirse. ⚠️ La base de datos no está cifrada en reposo a nivel de disco a la fecha de esta versión
• Ubicación del tratamiento: infraestructura del proveedor en red italiana. El bloque de direcciones que aloja el Servicio está registrado en la base de datos RIPE como ARUBA-NET, Aruba S.p.A., país IT: la verificación está al alcance de cualquiera, con una consulta whois sobre la dirección pública del Servicio
• Transferencias fuera de la UE: ninguna
• Garantías declaradas por el proveedor: certificación ISO/IEC 27001 y adhesión al CISPE Data Protection Code of Conduct, código de conducta con arreglo al art. 40 del GDPR. La inscripción se puede verificar en el registro público de CISPE
• Política de privacidad del proveedor: https://www.aruba.it/documents/tc-files/it/11_it_privacy_policy_aruba_spa.aspx (se abre en una nueva pestaña)
• Registro público de CISPE: https://cispe.cloud/publicregister/ (se abre en una nueva pestaña)
• Estado del contrato: ⚠️ acuerdo del proveedor conforme al art. 28 pendiente de aceptar con la cuenta de la sociedad

2.2. Mistral AI SAS

• Denominación legal: Mistral AI SAS (RCS París 952 418 325)
• Domicilio social: 15 rue des Halles, París, Francia
• Categoría de servicio: modelos de inteligencia artificial que usa Fibonacci: transcripción del dictado y, si el paciente lo elige, de la videollamada; ordenación de los textos dictados; asistente en la ficha abierta
• Tipo de datos tratados: texto clínico sin nombre ni Codice Fiscale del paciente; pistas de audio del dictado; las respuestas de los modelos. Pueden contener categorías especiales de datos conforme al art. 9 del RGPD
• Modelos en uso: Mistral Small para los textos y Voxtral Mini Transcribe para la transcripción, a través del punto de acceso europeo api.eu.mistral.ai; el Software rechaza cualquier otra dirección
• Ubicación del tratamiento: Unión Europea (Francia). Los subencargados de Mistral los publica el proveedor en trust.mistral.ai, con 10 días para oponerse
• Conservación y entrenamiento: el entrenamiento con los datos enviados por API está desactivado en la organización del Responsable. La conservación de los contenidos para el control de abusos se excluye con la opción de conservación cero, que el proveedor reserva a los planes de pago: a la fecha de esta versión no está activa
• Acuerdo del proveedor: https://legal.mistral.ai/terms/data-processing-addendum (se abre en una nueva pestaña) (en vigor desde el 27 de julio de 2026), incorporado por remisión a los términos comerciales
• Estado del contrato: ⚠️ los términos de Mistral y su acuerdo de tratamiento de datos rigen con la aceptación al registrarse; no hay un acuerdo firmado aparte, y a la fecha de esta versión el proveedor no ha confirmado por escrito la conservación cero ni la validez del acuerdo para la organización del Responsable. Hasta esas confirmaciones, las funciones de inteligencia artificial no se usan con pacientes reales (DPA, art. 7.6)

2.3. Hostinger International Ltd

• Denominación legal: Hostinger International Ltd
• Domicilio social: 61 Lordou Vironos str., 6023 Larnaca, Chipre
• Categoría de servicio: correo electrónico del dominio mediante servidor SMTP autenticado (invitaciones, primer acceso, recordatorios, avisos, entrega de documentos al paciente) y DNS autoritativo del dominio del Servicio
• Tipo de datos tratados: dirección de correo electrónico y nombre del destinatario, texto del mensaje, registros de envío y, cuando el Responsable envía un documento al paciente (consentimiento, información, hoja de visita), el documento adjunto, que contiene datos sanitarios
• Reenvío previo: el correo saliente de Hostinger pasa por un proveedor de reenvío elegido por Hostinger (MailChannels, detectado en las cabeceras de los mensajes). La ubicación y las garantías de este paso se están verificando
• Ubicación del tratamiento: proveedor establecido en la Unión Europea (Chipre); la ubicación de los servidores de correo se está verificando
• Política de privacidad del proveedor: https://www.hostinger.com/legal/privacy-policy (se abre en una nueva pestaña)
• Acuerdo del proveedor: https://www.hostinger.com/legal/dpa (se abre en una nueva pestaña)
• Estado del contrato: ⚠️ acuerdo del proveedor pendiente de leer y aceptar con la cuenta de la sociedad

2.4. Stripe

• Denominación legal: Stripe Payments Europe Limited (Irlanda), con Stripe, Inc. (Estados Unidos)
• Domicilio social: 1 Grand Canal Street Lower, Grand Canal Dock, Dublín, Irlanda
• Categoría de servicio: para el Responsable, la suscripción al Servicio (datos del médico, no de los pacientes). Solo si el Responsable activa el pago al reservar, el cobro al paciente en la cuenta Stripe del Responsable
• Tipo de datos tratados: para la suscripción, datos identificativos y de pago del Responsable. Para el pago al reservar, correo electrónico del paciente, importe y descripción de la cita
• Ubicación del tratamiento: Irlanda y Estados Unidos
• Base jurídica de la transferencia: Stripe, LLC está adherida al EU-U.S. Data Privacy Framework (verificado en la lista oficial el 6 de agosto de 2026); cláusulas contractuales tipo en el acuerdo de Stripe
• Política de privacidad del proveedor: https://stripe.com/it/privacy (se abre en una nueva pestaña)
• Acuerdo del proveedor: https://stripe.com/it/legal/dpa (se abre en una nueva pestaña)
• Estado: pagos no activos a la fecha de esta versión

2.5. Subencargados previstos y aún no activos

Antes de usarse, se añaden a esta lista con el procedimiento del apartado 3:

• un archivo de copias de seguridad fuera de sede, en un proveedor distinto de Aruba con sede en la Unión Europea;
• un proveedor de SMS para el código de firma de los consentimientos y los recordatorios.

2-bis. Sujetos que no son subencargados

Ninguna red de distribución de contenidos (CDN), ningún proxy inverso de terceros, ningún Web Application Firewall gestionado por terceros. El dominio del Servicio resuelve directamente a la dirección de la infraestructura indicada en el punto 2.1, verificable con una consulta DNS.

Reciben algo del Software, pero no datos de los pacientes, y por eso no son subencargados:

• servicios de notificación de los navegadores (Google, Mozilla, Apple): reciben una notificación sin contenido;
• sellado de tiempo (FreeTSA): recibe solo la huella del documento, no el documento;
• búsqueda bibliográfica (PubMed de la National Library of Medicine, Estados Unidos; Europe PMC): recibe el texto de la búsqueda escrito por el médico, que no debe contener datos de pacientes.

Los elige el Titular, no el Encargado: los programas externos que el Titular conecta con una clave propia y WhatsApp, si el médico decide enviar desde ahí el enlace de la videollamada desde su propio dispositivo.

Consecuencia sobre el Capítulo V del GDPR: la cadena que trata los datos clínicos no incluye proveedores con sede fuera de la Unión Europea. Constituye una excepción el pago en la reserva (punto 2.4), solo si el Titular lo activa.

3. Procedimiento de modificación de la lista y derecho de oposición

3.1. Notificación previa. Cualquier modificación de la presente lista (alta de un nuevo Subencargado, sustitución de un Subencargado existente, cese de una relación de subencargo) es notificada por el Encargado al Responsable con un preaviso de al menos 30 (treinta) días respecto a la fecha de efectividad de la modificación. La notificación se envía por correo electrónico a la dirección de contacto del Responsable que consta en el Contrato de Servicio y, al mismo tiempo, se actualiza esta página.

3.2. Contenido de la notificación. La notificación indica: la denominación y el domicilio social del Subencargado afectado, la categoría de servicio encomendado, el tipo de datos tratados, la ubicación del tratamiento, la base jurídica de la transferencia cuando proceda, las garantías adoptadas y la fecha de efectividad.

3.3. Derecho de oposición. En un plazo de 30 días desde la recepción de la notificación, el Responsable puede oponerse por escrito a la modificación propuesta, indicando los motivos de la oposición. La oposición se envía a la dirección info@fibonaccimedica.it, o bien por correo electrónico certificado (PEC) o carta certificada con acuse de recibo a la dirección del domicilio social del Encargado.

3.4. Gestión de la oposición. Recibida la oposición, el Encargado valora de buena fe soluciones alternativas adecuadas para satisfacer la necesidad técnica u organizativa que motiva la modificación, sin perjuicio del derecho del Encargado a adoptar la solución técnica que considere más adecuada para la continuidad del Servicio.

3.5. Falta de acuerdo. Si las Partes no alcanzan un acuerdo en un plazo razonable posterior a la oposición, cada Parte puede resolver el Contrato de Servicio mediante preaviso escrito, sin perjuicio de la aplicación de las disposiciones contractuales en materia de devolución y supresión de los datos al término de la relación.

3.6. Modificaciones urgentes por motivos de seguridad. Cuando la modificación resulte necesaria con carácter urgente por motivos de seguridad, de continuidad del servicio o para cumplir una obligación legal, el Encargado puede proceder con un preaviso inferior, comunicando sin demora los motivos al Responsable. En tal caso, el derecho de oposición del Responsable y las disposiciones de los puntos 3.3, 3.4 y 3.5 se aplican igualmente, aunque sea a posteriori.

3.7. Ausencia de oposición. La falta de oposición del Responsable en el plazo de 30 días equivale a la aceptación de la modificación.

4. Registro de versiones

5. Contactos

Para cualquier solicitud de aclaración, ejercicio del derecho de oposición o petición de documentación complementaria relativa a los subencargados autorizados, el Titular puede dirigirse a los siguientes contactos:

• Contacto para la protección de datos: info@fibonaccimedica.it
• Oficina de privacidad: info@fibonaccimedica.it
• Encargado del tratamiento: Fibonacci Works S.r.l. · domicilio social: Via Brigata Liguria 105 R, 16121 Genova (GE)

El presente documento está actualizado a la fecha indicada al inicio y está sujeto a revisión continua. El Titular puede solicitar en cualquier momento confirmación por escrito de la versión vigente de esta lista, escribiendo a la dirección info@fibonaccimedica.it. En caso de discrepancia entre la copia impresa y la versión publicada en https://fibonaccimedica.it/sub-responsabili, prevalece la versión publicada en línea.