Lista subprocessori ClinLoom
- Versione: 1.4
- Ultimo aggiornamento: 2026-06-10
Questa lista indica i fornitori tecnici che possono trattare dati personali nell'erogazione di ClinLoom. Per i dati clinici dei pazienti possono essere usati solo fornitori indicati come "Attivo" per la funzione descritta.
Stati
- Attivo: il fornitore e' usato per la funzione indicata.
- Attivo condizionale: il fornitore e' usato solo se la relativa funzione e' attiva per l'account o per il servizio.
- In valutazione: il fornitore non riceve dati clinici reali finche' non viene comunicato come attivo.
Fornitori
| Fornitore | Stato | Uso nel servizio | Dati trattati | Localizzazione e garanzie |
|---|---|---|---|---|
| OVH SRL (gruppo OVHcloud) | Attivo | Hosting VPS produzione, applicazione, worker, database e storage locale cifrato | dati account, contenuti clinici cifrati, metadati tecnici | infrastruttura in UE (datacenter OVH in Francia); entità contraente italiana (OVH SRL, Milano); DPA ex art. 28 in essere, con SCC UE (dec. 2021/914) allegate |
| Google Cloud / Vertex AI | Attivo | Trascrizione, sintesi DAP e funzioni AI configurate in Vertex AI | audio, prompt pseudonimizzati, trascrizioni, output clinici | configurazione Vertex AI in regione UE; Google Cloud DPA/CDPA; contenuti non usati per addestrare modelli del provider |
| Scaleway SAS | Attivo | Email operative e transazionali | email del terapeuta, contenuto delle email operative | infrastruttura UE; le email non devono contenere contenuti clinici o PHI |
| Google OAuth / Google Cloud | Attivo condizionale | Autenticazione tramite Google, se usata dall'utente; sincronizzazione Google Calendar, se il terapeuta collega il proprio calendario | email terapeuta, token tecnici OAuth, dati di login; se il calendario e' collegato: eventi del calendario Google del terapeuta (titoli, orari) | servizio dell'account Google del terapeuta, attivato su sua iniziativa; verso il calendario non vengono inviati nomi di pazienti (solo titoli pseudonimi, es. "Seduta" + iniziali) |
Per ogni fornitore indicato come Attivo è in essere un accordo sul trattamento dei dati ex art. 28 GDPR, con divieto di riuso dei contenuti clinici per addestrare modelli di intelligenza artificiale e con la localizzazione e le garanzie indicate sopra.
Il collegamento Google Calendar riguarda l'account Google personale del terapeuta, attivato su sua iniziativa e revocabile in qualsiasi momento: per questi dati Google opera come fornitore scelto dal terapeuta (titolare), non come subprocessore di ClinLoom; ClinLoom vi accede per conto del terapeuta. I dati del calendario non sono usati per l'inferenza AI e gli appuntamenti ClinLoom compaiono sul calendario solo con titoli pseudonimi, mai con il nome del paziente.
Modifiche ai subprocessori
ClinLoom puo' aggiornare questa lista quando attiva, sostituisce o rimuove un fornitore. Le modifiche materiali che incidono sul trattamento dei dati clinici saranno comunicate ai terapeuti secondo la Nomina a responsabile del trattamento.
Storico modifiche
- 2026-06-10 (v1.4): estesa la voce Google OAuth / Google Cloud alla sincronizzazione
facoltativa di Google Calendar (nuova funzione Agenda): riguarda l'account Google del terapeuta, su sua iniziativa; verso il calendario non vengono inviati nomi di pazienti (solo titoli pseudonimi). Nessun nuovo fornitore, nessun trasferimento di contenuti clinici.
- 2026-06-09 (v1.3): l'hosting dell'infrastruttura e' passato da Contabo GmbH a OVH SRL
(gruppo OVHcloud), con datacenter in UE (Francia). Nessun trasferimento extra-UE; DPA ex art. 28 in essere. Modifica comunicata ai terapeuti secondo la Nomina (sez. 9).