Fornitori, trasferimenti e conservazione
Versione del 13 settembre 2026. Questo allegato completa l’informativa privacy e l’accordo sul trattamento dei dati.
1. Fornitori del servizio
| Fornitore | Attività e dati | Luoghi e informazioni sul trattamento |
|---|---|---|
| Vercel | Hosting, connessioni, sicurezza e transito delle richieste AI, che possono contenere testo clinico leggibile | Le funzioni dell’applicazione sono configurate a Francoforte. Vercel utilizza anche una rete globale e servizi di supporto. La regione delle funzioni non è una garanzia di trattamento esclusivamente europeo. Il servizio usa il piano Pro. DPA. |
| Neon, servizio Databricks | Database degli account e dell’applicazione, record clinici cifrati e metadati di sincronizzazione | Progetto nella regione AWS di Francoforte, Germania. Finestra di ripristino configurata: 6 ore. Le condizioni del servizio e gli accordi sul trattamento disciplinano anche supporto e infrastruttura. |
| Resend | Email di verifica, recupero e sicurezza; destinatario, contenuto e dati di consegna | Conservazione negli Stati Uniti anche quando la regione di invio è europea. La documentazione indica clausole contrattuali standard e Data Privacy Framework per i trasferimenti. Non inviamo note cliniche nelle email di servizio. DPA, protezione dei dati. |
| Stripe | Checkout, pagamenti, abbonamenti, fatturazione e prevenzione delle frodi | Trattamento da parte delle entità Stripe applicabili al servizio e dei loro fornitori, anche fuori dallo SEE. Per alcuni trattamenti Stripe opera come titolare autonomo. Non trasmettiamo note cliniche per i pagamenti. Privacy, DPA e garanzie di trasferimento. |
| PostHog | Copia facoltativa delle statistiche sulle funzioni utilizzate, quando il collegamento è attivo, senza contenuti clinici. La dashboard di Atlante usa gli eventi conservati nel proprio database. Le analisi facoltative dell'account usano un identificativo casuale separato e richiedono consenso. Le visite con consenso usano un codice casuale per collegare pagine e passaggi della registrazione. Il collegamento all'account richiede il consenso separato alle analisi del prodotto. | Progetto PostHog Cloud EU, con archiviazione a Francoforte. Informazioni sul trattamento. |
| OpenRouter e fornitori dei modelli | Focus delle ricerche; obiettivi e note per la formulazione; audio per la trascrizione; risultati e metadati delle richieste | Le richieste attraversano l’infrastruttura OpenRouter e i fornitori selezionati per il modello. Il normale endpoint non garantisce un trattamento esclusivamente europeo. Il DPA descrive i trasferimenti, i sub-responsabili e le condizioni specifiche per i dati sanitari. Si applica la precisazione seguente. |
Elaborazioni AI e dati sanitari
La formulazione usa il modello GLM di Z.ai tramite OpenRouter. La trascrizione usa modelli Microsoft e OpenAI tramite OpenRouter, con un percorso alternativo quando il primo tentativo non riesce. Il produttore del modello può essere diverso dal fornitore che lo esegue. Le informazioni sul modello non identificano quindi, da sole, tutti i destinatari del contenuto.
Il DPA standard OpenRouter richiede un accordo espresso per i dati sanitari e per le altre categorie sensibili. La documentazione pubblica non dimostra l’esistenza di tale accordo per Prima Era SRL. Alla data di questa versione, la copertura specifica e l’elenco completo dei destinatari delle richieste cliniche non sono confermati. Questa informativa non certifica l’idoneità contrattuale di tali flussi e non sostituisce quella verifica.
La formulazione richiede l’esclusione della raccolta da parte dei provider tramite il parametro previsto dall’intermediario. Il percorso audio usa un endpoint distinto. Queste impostazioni non costituiscono una garanzia generale di conservazione zero o di esclusione di ogni ulteriore trattamento. Le eventuali durate presso i fornitori dei modelli dipendono dal percorso applicato; non dichiariamo che le richieste siano sempre eliminate immediatamente. Informazioni OpenRouter sulla conservazione.
Per conoscere le garanzie applicabili o chiederne una copia, scrivi a contatti@atlanteclinico.it. I cambiamenti dei sub-responsabili restano soggetti alla procedura prevista nell’accordo sul trattamento.
2. Conservazione nell’applicazione
| Categoria | Durata o criterio |
|---|---|
| Account e preferenze | Per la durata dell’account; cancellazione alla chiusura, salvo obblighi legali o dati strettamente necessari a una controversia. |
| Codici invito dei partner associati all'account e relativi record di pagamento e rimborso | Per la durata dell'account, con cancellazione alla chiusura. L'associazione avviene solo alla nuova registrazione se mantieni il codice mostrato. I record applicativi verificano la prima conversione Premium e i rimborsi; sono distinti dalle statistiche facoltative di 30 giorni. Il database è su Neon e i fatti di pagamento sono verificati tramite Stripe. |
| Archivio clinico cifrato | Fino alla cancellazione dei record o dell’account su istruzione del cliente. Le copie esportate rimangono sotto il controllo del cliente. |
| Accettazione contrattuale | Per la durata dell’account. La registrazione conserva la versione accettata e la data. La cancellazione dell’account rimuove questi campi insieme all’account. Eventuali documenti separati relativi a obblighi legali o controversie seguono la loro finalità. |
| Sessione di autenticazione | Fino a 30 giorni, con rinnovo durante l’utilizzo. Può cessare prima per uscita, revoca o ragioni di sicurezza. |
| Eventi pseudonimi delle analisi facoltative | Gli eventi locali scadono entro 30 giorni. La procedura periodica sostituisce l’identificativo dopo 30 giorni e cancella la cronologia locale; richiede anche la cancellazione delle copie eventualmente esportate. La revoca cancella la cronologia locale e avvia la richiesta al fornitore. Il solo identificativo pseudonimo resta nella coda di cancellazione fino alla conferma del fornitore. Le statistiche essenziali prive di una cronologia individuale hanno una gestione distinta. |
| Statistiche facoltative sui canali di acquisizione | Le nuove visite con consenso hanno un codice casuale e una cronologia con scadenza a 30 giorni. La procedura periodica cancella gli eventi locali e richiede la cancellazione delle copie eventualmente inviate a PostHog. Il collegamento a un nuovo account richiede anche il consenso separato alle analisi del prodotto. I precedenti conteggi aggregati restano distinti. |
| Record diagnostici ordinari delle ricerche | 30 giorni. Non includono il testo del focus o le note. |
| Audit delle passkey | 30 giorni. Le riconciliazioni non risolte restano per la gestione dell’operazione; quelle risolte scadono dopo 30 giorni. |
| Notifiche di sicurezza | 30 giorni dalla consegna. Le notifiche ancora da consegnare restano per il completamento o la gestione dell’errore. |
| Feedback sulle tecniche | 180 giorni, con rimozione anche alla cancellazione dell’account. |
| Diagnostica inviata volontariamente | Il periodo indicato prima della conferma. L’anteprima scade dopo 15 minuti. |
| Assistenza | Per il tempo necessario a risolvere la richiesta e gestire eventuali contestazioni collegate. Non inserire note dei pazienti nelle richieste ordinarie. |
| Documenti contabili soggetti all’art. 2220 c.c. | Dieci anni dalla registrazione, fatti salvi ulteriori obblighi fiscali o procedimenti. |
La cancellazione dell’account avvia una procedura con nuovi tentativi in caso di errore. Una richiesta di esercizio dei diritti riceve risposta normalmente entro un mese, con le eventuali proroghe motivate previste dalla legge. Tale termine di risposta non viene presentato come una scadenza tecnica identica per ogni copia di ogni fornitore.
3. Copie di ripristino, log e fornitori
La finestra di ripristino attiva del database Neon è di 6 ore. È il periodo disponibile per recuperare una versione precedente; non attesta il momento in cui ogni copia interna del fornitore viene fisicamente eliminata. Le copie residue devono restare protette e non essere riutilizzate per normali attività dopo la cancellazione. Un ripristino richiede di riapplicare le cancellazioni intervenute.
Resend indica per i piani standard Free, Pro e Scale una conservazione di email e log di 30 giorni, backup di 7 giorni e rimozione degli altri dati del cliente entro 90 giorni dalla cessazione dell’account Resend. Quest’ultimo termine riguarda il rapporto tra Prima Era e Resend, non la chiusura del singolo account Atlante. Durate pubblicate da Resend.
I log di infrastruttura e sicurezza possono avere durate diverse da quelle dei record applicativi. Non è stata confermata una durata uniforme per tutti i servizi. La conservazione deve restare limitata alle necessità operative, agli incidenti e agli obblighi applicabili. Stripe conserva alcuni dati per obblighi propri di pagamento, antiriciclaggio, contabilità e gestione delle controversie, anche dopo la fine dell’abbonamento Atlante.
L’applicazione non salva l’audio dettato o le richieste di formulazione in chiaro nel database clinico. La conservazione presso i destinatari delle richieste AI è distinta, come spiegato sopra.
4. Cookie e memoria del dispositivo
| Strumento | Scopo e durata |
|---|---|
| Cookie di sessione Better Auth, con prefisso di sicurezza in produzione | Mantiene l’accesso. Durata della sessione fino a 30 giorni con rinnovo; revocabile tramite uscita e strumenti di sicurezza. |
IndexedDB, archivio atlante-clinical-vault-v1 separato per account |
Record clinici cifrati, chiavi protette del dispositivo e stato di sincronizzazione. Conservazione fino alla cancellazione prevista dall’applicazione o alla rimozione dei dati del sito dal browser. |
Identificativo locale atlante.device-id-v1 |
Riconosce il dispositivo per le funzioni di sicurezza. Rimane nella memoria locale fino alla rimozione; non è un identificativo pubblicitario. |
| Preferenze, prova di configurazione e cache del service worker | Aspetto dell’interfaccia e funzionamento locale. Restano fino alla sostituzione o cancellazione. La pulizia può richiedere una nuova configurazione o il recupero dell’archivio. |
| Analisi facoltative dell’utilizzo | Attive solo dopo il consenso in Impostazioni → Privacy. La registrazione non le attiva. Puoi revocare il consenso nelle stesse impostazioni. |
Scelta sulle statistiche delle campagne, atlante.landing-consent-v1 |
Memorizzata dopo una scelta di accettazione o rifiuto per 180 giorni. Modificabile tramite "Preferenze statistiche" nel sito e nella pagina di accesso. |
Provenienza della visita, atlante.landing-attribution-v1 |
Categorie predefinite e token firmato del codice casuale della visita, salvati nella memoria della scheda solo dopo consenso. Utilizzabili per 30 minuti, poi sostituite al successivo accesso alla funzione; la chiusura della scheda o la revoca le rimuove prima. |
| Pagine Stripe per il pagamento | Il checkout e il portale vengono aperti sul servizio Stripe, dove si applicano anche le relative informazioni su cookie e trattamento. |
Gli strumenti tecnici necessari non richiedono l’attivazione delle analisi facoltative. Il consenso alle analisi non è incluso nell’accettazione dei termini e non condiziona il salvataggio delle note.