Sub-responsabili del trattamento
Elenco aggiornato dei soggetti che NeuroLens utilizza come sub-responsabili del trattamento ex art. 28 GDPR. Ogni sub-responsabile è vincolato da un accordo che riproduce gli obblighi di NeuroLens verso il Titolare.
Eventuali modifiche all'elenco saranno comunicate via email con almeno 30 giorni di preavviso. Il Titolare potrà opporsi alla modifica entro tale termine ai sensi del DPA, sez. 8.
| Sub-responsabile | Servizio fornito | Categorie di dati | Sede / Regione dati | Base trasferimento | DPA |
|---|---|---|---|---|---|
| Hetzner Online GmbH | Hosting infrastrutturale (server, database, storage, backup) | Tutti i dati elaborati dalla piattaforma | Germania (Nuremberg) — Unione Europea | UE, non applicabile | AVV/DPA standard Hetzner |
| Mistral AI SAS | Trascrizione vocale (speech-to-text, Voxtral) e sintesi clinica tramite modelli di IA | Audio della seduta (per la trascrizione) e testo trascritto con identificativi di contatto mascherati — i nomi restano per la coerenza clinica | Francia — Unione Europea | UE, non applicabile | DPA Mistral — Zero Data Retention non attiva: si applica la conservazione anti-abuso di 30 giorni |
| Stripe Payments Europe, Ltd. | Elaborazione dei pagamenti e gestione abbonamenti/fatturazione | Dati di fatturazione (nome, email, indirizzo, P.IVA/Tax ID) e dati della carta — nessun dato clinico/sanitario | Irlanda — UE (con possibili trasferimenti a Stripe, Inc., USA) | SCC + EU-US Data Privacy Framework | DPA Stripe |
Note
- Tutti i sub-responsabili attualmente in elenco operano all'interno dello Spazio Economico Europeo (SEE).
- Prima della sintesi, il testo trascritto è sottoposto a mascheramento automatico degli identificativi di contatto e strutturati (telefoni, email, codice fiscale, indirizzi, date complete, numeri di pratica), sostituiti con segnaposto. I nomi di paziente e professionista non sono mascherati, perché servono al modello per la coerenza clinica del referto.
- Per Mistral AI la modalità Zero Data Retention non è attualmente attiva: si applica quindi il periodo di conservazione per il monitoraggio anti-abuso previsto dal fornitore, pari a un massimo di 30 giorni, al termine del quale i dati vengono eliminati. Ciò riguarda sia l'audio inviato per la trascrizione sia il testo inviato per la sintesi. L'elaborazione avviene su endpoint nell'Unione Europea e i dati non sono usati per addestrare modelli (opt-out attivo). Questa voce sarà aggiornata quando la Zero Data Retention verrà attivata.
- L'audio della seduta è inviato a Mistral AI (Voxtral) per la sola trascrizione, su endpoint nell'Unione Europea; non è pseudonimizzabile per sua natura ed è eliminato da NeuroLens subito dopo la trascrizione. Presso il fornitore resta invece soggetto ai 30 giorni di conservazione anti-abuso indicati sopra.