Sicurezza e dati
Le domande del tuo consulente, con le risposte
Le norme che ci si applicano, e a che punto siamo
- Art. 28 GDPRIl titolare sei tu. Accordo di trattamento pubblico, senza modulo da compilare.
- Dati in ItaliaInfrastruttura italiana, nessun intermediario, nessun trasferimento fuori dall’Unione.
- Misure di sicurezzaScheda tecnica pubblicata per intero.
- Foto cifrateOgni foto clinica è cifrata nel browser prima di partire.
- Accesso in due passaggiPassword più un'app di autenticazione sul telefono.
- Codice di condotta europeoChi ospita i dati aderisce a un codice di condotta approvato ai sensi dell'art. 40 GDPR.
- Art. 50 · trasparenzaDiciamo quando stai parlando con un’IA. La marcatura leggibile a macchina non c’è ancora.In corso
- Marcatura CE dal 2029Oggi non è apponibile da nessuno. Tre requisiti su quattro li rispettiamo già.In corso
Sono i nomi delle norme, non marchi rilasciati da un ente.
Dove stanno fisicamente i dati?
Su server di Aruba S.p.A., in Italia, quindi dentro l’Unione europea. Non su cloud statunitensi, e senza repliche fuori dall’Unione: la filiera clinica non lascia il territorio europeo in nessun passaggio. Lo verifichi con un «whois» sull’indirizzo del sito.
Chi è il titolare del trattamento?
Tu. I pazienti sono i tuoi, la cartella è la tua, le decisioni sul trattamento dei dati le prendi tu. Noi siamo responsabili del trattamento e agiamo su tua istruzione, con un accordo scritto ai sensi dell’art. 28 del GDPR che firmi prima di iniziare.
Come sono cifrati?
Il traffico viaggia in TLS. Le fotografie cliniche sono cifrate nel browser prima del caricamento, e la chiave che protegge ogni foto resta sul server; le copie di sicurezza sono cifrate prima di essere scritte. Il database invece non è ancora cifrato a riposo, né a livello di disco né campo per campo: è protetto dal controllo degli accessi alla macchina e dalla separazione fra gli studi.
Chi, dentro Fibonacci, può leggere una cartella?
Il personale tecnico che gestisce i server ha accesso all’infrastruttura, come in qualsiasi servizio ospitato. Gli accessi ai dati sono tracciati nello stesso registro che vedi tu. Non consultiamo cartelle per iniziativa nostra, e se ci chiedi assistenza su un caso concreto lo facciamo con te e resta scritto.
I dati dei pazienti addestrano modelli di intelligenza artificiale?
No. I fornitori dei modelli che usiamo si sono impegnati per contratto a non addestrare sui dati che passano dalle nostre chiamate. I contratti sono elencati nella pagina dei sub-responsabili.
E i backup?
Backup cifrati e quotidiani, con prova di ripristino periodica. Il registro storico consente di riportare il sistema a un istante preciso, non solo all’ultima notte.
Se smetto, cosa succede ai dati?
Esporti tutto in un formato standard leggibile senza di noi, in qualsiasi momento e senza chiedere il permesso. Alla chiusura del rapporto i dati vengono restituiti e poi cancellati nei termini che trovi nel contratto.
E se chiudete voi?
Vale lo stesso: l’esportazione è una funzione del prodotto. Il formato è FHIR, uno standard sanitario internazionale, quindi un altro fornitore può leggerlo senza doverlo reinventare.
I documenti
Girali al tuo consulente prima di parlare con noi
Sono pubblici, senza modulo da compilare.
Se trovi un problema
Segnalazioni di sicurezza
Se individui una vulnerabilità, scrivi a info@fibonaccimedica.it. Rispondiamo e diciamo cosa abbiamo corretto. Ti chiediamo solo di non toccare dati di pazienti reali mentre indaghi.