Sub-responsabili del trattamento
Elenco aggiornato dei soggetti che NeuroLens utilizza come sub-responsabili del trattamento ex art. 28 GDPR. Ogni sub-responsabile è vincolato da un accordo che riproduce gli obblighi di NeuroLens verso il Titolare.
Eventuali modifiche all'elenco saranno comunicate via email con almeno 30 giorni di preavviso. Il Titolare potrà opporsi alla modifica entro tale termine ai sensi del DPA, sez. 8.
| Sub-responsabile | Servizio fornito | Categorie di dati | Sede / Regione dati | Base trasferimento | DPA |
|---|---|---|---|---|---|
| Hetzner Online GmbH | Hosting infrastrutturale (server, database, storage, backup) | Tutti i dati elaborati dalla piattaforma | Germania (Nuremberg) — Unione Europea | UE, non applicabile | AVV/DPA standard Hetzner |
| Mistral AI SAS | Trascrizione vocale (speech-to-text, Voxtral) e sintesi clinica tramite modelli di IA | Audio della seduta (per la trascrizione) e testo trascritto con identificativi di contatto mascherati — i nomi restano per la coerenza clinica | Francia — Unione Europea | UE, non applicabile | DPA Mistral + Zero Data Retention richiesta (in attesa di conferma) |
| Stripe Payments Europe, Ltd. | Elaborazione dei pagamenti e gestione abbonamenti/fatturazione | Dati di fatturazione (nome, email, indirizzo, P.IVA/Tax ID) e dati della carta — nessun dato clinico/sanitario | Irlanda — UE (con possibili trasferimenti a Stripe, Inc., USA) | SCC + EU-US Data Privacy Framework | DPA Stripe |
Note
- Tutti i sub-responsabili attualmente in elenco operano all'interno dello Spazio Economico Europeo (SEE).
- Prima della sintesi, il testo trascritto è sottoposto a mascheramento automatico degli identificativi di contatto e strutturati (telefoni, email, codice fiscale, indirizzi, date complete, numeri di pratica), sostituiti con segnaposto. I nomi di paziente e professionista non sono mascherati, perché servono al modello per la coerenza clinica del referto.
- Per Mistral AI è stata richiesta l'attivazione della modalità Zero Data Retention; fino alla conferma si applica il periodo di conservazione per il monitoraggio anti-abuso previsto dal fornitore (massimo 30 giorni), al termine del quale i dati vengono eliminati. L'elaborazione avviene su endpoint nell'Unione Europea.
- L'audio della seduta è inviato a Mistral AI (Voxtral) per la sola trascrizione, su endpoint nell'Unione Europea; non è pseudonimizzabile per sua natura ed è eliminato da NeuroLens subito dopo la trascrizione.