Sub-responsabili del trattamento

Versione 2.1 · Ultima revisione: 9 novembre 2026

Bozza non sottoscritta, pubblicata a scopo di consultazione. La società che eroga il servizio ha partita IVA; il numero REA si aggiunge appena completata l’iscrizione al registro delle imprese. Fino ad allora il documento non è sottoscrivibile.

Il presente documento costituisce l'Allegato B dell'Accordo per il Trattamento dei Dati (DPA) ex art. 28 del Regolamento (UE) 2016/679 (di seguito, "GDPR") stipulato tra il Titolare del trattamento (medico cliente) e Fibonacci in qualità di Responsabile del trattamento per la fornitura del software SaaS Fibonacci. Esso elenca in modo nominativo i sub-responsabili autorizzati ai sensi dell'art. 28.2 e 28.4 GDPR ed è soggetto ad aggiornamento continuo.

1. Premessa e disciplina

1.1. Definizione di sub-responsabile. Si definisce sub-responsabile del trattamento (di seguito, "Sub-responsabile") il soggetto terzo, persona fisica o giuridica, di cui il Responsabile si avvale per l'esecuzione di specifiche attività di trattamento per conto del Titolare, ai sensi dell'art. 28, paragrafi 2 e 4, del GDPR.

1.2. Autorizzazione generale ex art. 28.2 GDPR. Con la sottoscrizione del DPA il Titolare conferisce al Responsabile autorizzazione scritta generale al ricorso ai Sub-responsabili indicati nel presente Allegato B, riconoscendo che ciascuno di essi è stato selezionato dal Responsabile sulla base di un giudizio di affidabilità e di adeguatezza delle garanzie offerte in termini di sicurezza tecnica e organizzativa del trattamento, conformemente all'art. 28, paragrafo 1, GDPR.

1.3. Catena contrattuale. Il Responsabile stipula con ciascun Sub-responsabile un contratto scritto che impone i medesimi obblighi di protezione dei dati previsti nel DPA tra Titolare e Responsabile, in particolare in materia di riservatezza, misure di sicurezza, assistenza al Titolare nell'esercizio dei diritti degli interessati e cooperazione con l'Autorità di controllo. Il Responsabile risponde nei confronti del Titolare dell'inadempimento dei Sub-responsabili agli obblighi di protezione dei dati, ai sensi dell'art. 28, paragrafo 4, GDPR.

1.4. Obbligo informativo e diritto di obiezione. Qualsiasi modifica dell'elenco dei Sub-responsabili, ivi inclusa l'aggiunta di un nuovo Sub-responsabile, la sostituzione di un Sub-responsabile esistente o la cessazione del rapporto con un Sub-responsabile, è comunicata dal Responsabile al Titolare con preavviso di almeno 30 (trenta) giorni rispetto alla data di efficacia della modifica, mediante comunicazione email all'indirizzo del Titolare risultante dal Contratto di Servizio e contestuale aggiornamento della presente pagina pubblicata all'indirizzo https://fibonaccimedica.it/sub-responsabili.

1.5. Esercizio del diritto di obiezione. Entro il termine di 30 giorni di cui al punto 1.4, il Titolare ha facoltà di obiettare motivatamente alla modifica proposta. La procedura applicabile in caso di obiezione è disciplinata al paragrafo 3 del presente Allegato.

1.6. Trasparenza. Il presente elenco è reso pubblico al fine di consentire al Titolare di verificare, anteriormente alla sottoscrizione del Contratto di Servizio e durante l'intera durata del rapporto, l'identità e la collocazione dei soggetti che intervengono nella filiera del trattamento.

2. Elenco dei sub-responsabili autorizzati

I sub-responsabili alla data di ultima revisione del presente documento sono i seguenti. Per ciascuno è indicato anche lo stato del contratto: alla data di questa versione nessun accordo è ancora sottoscritto dalla società che erogherà il Servizio, e il Servizio non tratta dati di pazienti reali.

2.1. Aruba S.p.A.

• Denominazione legale: Aruba S.p.A.
• Sede legale: Via San Clemente 53, 24036 Ponte San Pietro (BG), Italia
• Categoria di servizio: macchina virtuale che ospita il Software: database, foto cliniche cifrate, copie di sicurezza
• Tipologia di dati trattati: tutti i dati del Servizio, comprese le categorie particolari ai sensi dell'art. 9 GDPR
• Cifratura: le foto cliniche sono cifrate nel browser (AES-256-GCM) con chiavi gestite dal Responsabile; le copie di sicurezza sono cifrate prima di essere scritte. ⚠️ Il database non è cifrato a riposo a livello di disco alla data di questa versione
• Localizzazione del trattamento: infrastruttura del fornitore su rete italiana. Il blocco di indirizzi che ospita il Servizio è registrato nel database RIPE come ARUBA-NET, Aruba S.p.A., paese IT: la verifica è alla portata di chiunque, con una interrogazione whois sull'indirizzo pubblico del Servizio
• Trasferimenti extra-UE: nessuno
• Garanzie dichiarate dal fornitore: certificazione ISO/IEC 27001 e adesione al CISPE Data Protection Code of Conduct, codice di condotta ai sensi dell'art. 40 GDPR. L'iscrizione è verificabile nel registro pubblico CISPE
• Privacy policy del fornitore: https://www.aruba.it/documents/tc-files/it/11_it_privacy_policy_aruba_spa.aspx (si apre in una nuova scheda)
• Registro pubblico CISPE: https://cispe.cloud/publicregister/ (si apre in una nuova scheda)
• Stato del contratto: ⚠️ accordo ex art. 28 del fornitore da accettare con l'account della società

2.2. Mistral AI SAS

• Denominazione legale: Mistral AI SAS (RCS Parigi 952 418 325)
• Sede legale: 15 rue des Halles, Parigi, Francia
• Categoria di servizio: modelli di intelligenza artificiale usati da Fibonacci: trascrizione della dettatura e, se il paziente lo sceglie, della videochiamata; ordinamento dei testi dettati; assistente sulla scheda aperta
• Tipologia di dati trattati: testo clinico privo di nome e codice fiscale del paziente; tracce audio della dettatura; le risposte dei modelli. Possono contenere categorie particolari di dati ai sensi dell'art. 9 GDPR
• Modelli in uso: Mistral Small per i testi e Voxtral Mini Transcribe per la trascrizione, tramite il punto di accesso europeo api.eu.mistral.ai; il Software rifiuta qualunque altro indirizzo
• Localizzazione del trattamento: Unione europea (Francia). I sub-responsabili di Mistral sono pubblicati dal fornitore su trust.mistral.ai, con 10 giorni per opporsi
• Conservazione e addestramento: l'addestramento sui dati inviati tramite API è disattivato nell'organizzazione del Responsabile. La conservazione dei contenuti per il controllo degli abusi si esclude con l'opzione di conservazione zero, che il fornitore riserva ai piani a pagamento: alla data di questa versione non è attiva
• Accordo del fornitore: https://legal.mistral.ai/terms/data-processing-addendum (si apre in una nuova scheda) (in vigore dal 27 luglio 2026), incorporato per rinvio nei termini commerciali
• Stato del contratto: ⚠️ i termini di Mistral e il suo accordo sul trattamento valgono con l'accettazione all'iscrizione; non c'è un accordo firmato separato, e alla data di questa versione il fornitore non ha confermato per iscritto la conservazione zero né la validità dell'accordo per l'organizzazione del Responsabile. Fino a quelle conferme le funzioni di intelligenza artificiale non si usano per pazienti reali (DPA, art. 7.6)

2.3. Hostinger International Ltd

• Denominazione legale: Hostinger International Ltd
• Sede legale: 61 Lordou Vironos str., 6023 Larnaca, Cipro
• Categoria di servizio: posta elettronica del dominio tramite server SMTP autenticato (inviti, primo accesso, promemoria, avvisi, consegna di documenti al paziente) e DNS autoritativo del dominio del Servizio
• Tipologia di dati trattati: indirizzo email e nome del destinatario, testo del messaggio, log di invio e, quando il Titolare invia un documento al paziente (consenso, informativa, foglio di visita), il documento in allegato, che contiene dati sanitari
• Inoltro a monte: la posta in uscita di Hostinger passa da un fornitore di inoltro scelto da Hostinger (MailChannels, rilevato nelle intestazioni dei messaggi). Sede e garanzie di questo passaggio sono in corso di verifica
• Localizzazione del trattamento: fornitore stabilito nell'Unione europea (Cipro); l'ubicazione dei server di posta è in corso di verifica
• Privacy policy del fornitore: https://www.hostinger.com/legal/privacy-policy (si apre in una nuova scheda)
• Accordo del fornitore: https://www.hostinger.com/legal/dpa (si apre in una nuova scheda)
• Stato del contratto: ⚠️ accordo del fornitore da leggere e accettare con l'account della società

2.4. Stripe

• Denominazione legale: Stripe Payments Europe Limited (Irlanda), con Stripe, Inc. (Stati Uniti)
• Sede legale: 1 Grand Canal Street Lower, Grand Canal Dock, Dublino, Irlanda
• Categoria di servizio: per il Titolare, l'abbonamento al Servizio (dati del medico, non dei pazienti). Solo se il Titolare attiva il pagamento alla prenotazione, l'incasso dal paziente sul conto Stripe del Titolare
• Tipologia di dati trattati: per l'abbonamento, dati anagrafici e di pagamento del Titolare. Per il pagamento alla prenotazione, email del paziente, importo e descrizione dell'appuntamento
• Localizzazione del trattamento: Irlanda e Stati Uniti
• Base giuridica del trasferimento: Stripe, LLC aderisce all'EU-U.S. Data Privacy Framework (verificato sulla lista ufficiale il 6 agosto 2026); clausole contrattuali tipo nell'accordo di Stripe
• Privacy policy del fornitore: https://stripe.com/it/privacy (si apre in una nuova scheda)
• Accordo del fornitore: https://stripe.com/it/legal/dpa (si apre in una nuova scheda)
• Stato: pagamenti non attivi alla data di questa versione

2.5. Sub-responsabili previsti e non ancora attivi

Prima di essere usati sono aggiunti a questo elenco con la procedura del paragrafo 3:

• un archivio delle copie di sicurezza fuori sede, presso un fornitore diverso da Aruba con sede nell'Unione europea;
• un fornitore di SMS per il codice di firma dei consensi e i promemoria.

2-bis. Soggetti che non sono sub-responsabili

Nessuna rete di distribuzione di contenuti (CDN), nessun proxy inverso di terze parti, nessun Web Application Firewall gestito da terzi. Il dominio del Servizio risolve direttamente sull'indirizzo dell'infrastruttura di cui al punto 2.1, verificabile con una interrogazione DNS.

Ricevono qualcosa dal Software, ma non dati dei pazienti, e per questo non sono sub-responsabili:

• servizi di notifica dei browser (Google, Mozilla, Apple): ricevono una notifica senza contenuto;
• marca temporale (FreeTSA): riceve solo l'impronta del documento, non il documento;
• ricerca bibliografica (PubMed della National Library of Medicine, Stati Uniti; Europe PMC): riceve il testo della ricerca scritto dal medico, che non deve contenere dati di pazienti.

Li sceglie il Titolare, non il Responsabile: i programmi esterni che il Titolare collega con una chiave propria e WhatsApp, se il medico sceglie di mandare da lì il collegamento della videochiamata dal proprio dispositivo.

Conseguenza sul Capo V del GDPR: la filiera che tratta i dati clinici non comprende fornitori con sede fuori dall'Unione europea. Fa eccezione il pagamento alla prenotazione (punto 2.4), solo se il Titolare lo attiva.

3. Procedura di modifica dell'elenco e diritto di obiezione

3.1. Notifica preventiva. Qualsiasi modifica del presente elenco (aggiunta di un nuovo Sub-responsabile, sostituzione di un Sub-responsabile esistente, cessazione di un rapporto di sub-responsabilità) è notificata dal Responsabile al Titolare con preavviso di almeno 30 (trenta) giorni rispetto alla data di efficacia della modifica. La notifica è inviata via email all'indirizzo di contatto del Titolare risultante dal Contratto di Servizio e contestualmente la presente pagina è aggiornata.

3.2. Contenuto della notifica. La notifica indica: la denominazione e la sede del Sub-responsabile interessato, la categoria di servizio affidata, la tipologia di dati trattati, la localizzazione del trattamento, la base giuridica del trasferimento ove applicabile, le garanzie adottate, la data di efficacia.

3.3. Diritto di obiezione. Entro 30 giorni dalla ricezione della notifica, il Titolare può obiettare per iscritto alla modifica proposta, indicando le ragioni dell'obiezione. L'obiezione è inviata all'indirizzo info@fibonaccimedica.it, ovvero per posta elettronica certificata o raccomandata con avviso di ricevimento all'indirizzo della sede del Responsabile.

3.4. Gestione dell'obiezione. Ricevuta l'obiezione, il Responsabile valuta in buona fede soluzioni alternative idonee a soddisfare l'esigenza tecnica o organizzativa sottesa alla modifica, fermo restando il diritto del Responsabile di adottare la soluzione tecnica ritenuta più adeguata per la prosecuzione del Servizio.

3.5. Mancato accordo. In assenza di accordo tra le Parti entro un termine ragionevole successivo all'obiezione, ciascuna Parte ha facoltà di recedere dal Contratto di Servizio con preavviso scritto, ferma restando l'applicazione delle previsioni contrattuali in materia di restituzione e cancellazione dei dati al termine del rapporto.

3.6. Modifiche urgenti per ragioni di sicurezza. Qualora la modifica si renda necessaria con carattere d'urgenza per ragioni di sicurezza, continuità del servizio o per ottemperare a un obbligo di legge, il Responsabile può procedere con un preavviso inferiore, comunicandone tempestivamente le ragioni al Titolare. In tale ipotesi, il diritto di obiezione del Titolare e le previsioni dei punti 3.3, 3.4 e 3.5 si applicano comunque, ancorché ex post.

3.7. Assenza di obiezione. La mancata obiezione del Titolare entro il termine di 30 giorni equivale ad accettazione della modifica.

4. Registro versioni

5. Contatti

Per qualsiasi richiesta di chiarimento, esercizio del diritto di obiezione o richiesta di documentazione integrativa relativa ai sub-responsabili autorizzati, il Titolare può rivolgersi ai seguenti recapiti:

• Contatto per la protezione dei dati: info@fibonaccimedica.it
• Ufficio privacy: info@fibonaccimedica.it
• Responsabile del trattamento: Fibonacci Works S.r.l. · sede legale: Via Brigata Liguria 105 R, 16121 Genova (GE)

Il presente documento è aggiornato alla data indicata in apertura ed è soggetto a revisione continua. Il Titolare può richiedere in qualsiasi momento conferma scritta della versione vigente del presente elenco, scrivendo all'indirizzo info@fibonaccimedica.it. In caso di discordanza tra la copia stampata e la versione pubblicata all'indirizzo https://fibonaccimedica.it/sub-responsabili, prevale la versione pubblicata online.