Sub-responsabili e trasferimenti di Kia
Versione 2026-10-12.2 — pubblicata il 12 ottobre 2026
Mappa pubblica, datata e versionata, dei sub-responsabili a cui NOVIAMIND ricorre per Kia, dei dati che trattano, del loro paese e dei meccanismi che regolano ogni trasferimento o accesso remoto fuori dallo Spazio economico europeo (GDPR art. 28 e 44 ss.; Code de la santé publique art. R.1111-11 III per gli studi francesi).
| Sub-responsabile | Paese | Funzione | Dati | Conservazione | Trasferimento fuori dal SEE e meccanismo |
|---|---|---|---|---|---|
| Google Cloud (Google Cloud EMEA Limited, Irlanda; Google LLC, Stati Uniti) | Belgio, regione europe-west1 (data center di Ghlin) | Hosting dell’applicazione (Cloud Run), database medico (Cloud SQL, PostgreSQL), copie di sicurezza cifrate (Cloud Storage), segreti, log tecnici, immagini software | Tutti i dati dello studio, cifrati a riposo e in transito; identità del medico; log tecnici senza contenuto clinico | Dati: per la durata del contratto e del periodo di conservazione del paese. Copie di sicurezza: 30 giorni, poi 7 giorni di recupero. Log tecnici: durata limitata | Archiviazione e trattamento nell’UE. Google LLC è soggetta al diritto statunitense (CLOUD Act, FISA 702): clausole contrattuali standard della Commissione europea incluse nel Google Cloud Data Processing Addendum; iscrizione di Google LLC al Data Privacy Framework UE–USA da verificare nel registro ufficiale. Nessun accesso remoto da fuori SEE richiesto da NOVIAMIND. Servizi usati elencati nel certificato HDS v2.0 di Google (n. 2022-013, attività 1–5); addendum HDS Google da firmare da parte di NOVIAMIND |
| Vertex AI (Google Cloud) | Regione UE (endpoint regionale europeo) | Messa in bella copia di un referto dettato, solo su richiesta del medico — funzione chiusa finché non qualificata | Testo del referto trasmesso dal medico | Nessuna conservazione presso il fornitore: cache disattivata, nessuna registrazione delle richieste né uso per l’addestramento | Stesso meccanismo di Google Cloud; nessun endpoint globale o extra-UE |
| Supabase (Supabase Inc., Stati Uniti; dati in Irlanda, regione eu-west-1) | Irlanda, UE | Solo autenticazione del medico (email, telefono, fattori di accesso); nessun dato di pazienti | Email, numero di telefono, date di accesso del medico | Per la durata dell’account; cancellazione alla chiusura | Hosting nell’UE; casa madre statunitense: clausole contrattuali standard (accordo di trattamento Supabase). Nessun accesso remoto da fuori SEE richiesto |
| Twilio (Twilio Inc., Stati Uniti; Twilio Ireland Limited) | Stati Uniti e Irlanda | Invio dei codici di verifica via SMS | Numero di telefono del medico, codice monouso, data e ora | Log di invio del fornitore, durata limitata | Trasferimento verso gli Stati Uniti coperto da clausole contrattuali standard e dalle norme vincolanti d’impresa di Twilio; nessun dato di pazienti |
| Resend (Resend Inc., Stati Uniti; invio dalla regione eu-west-1) | Irlanda, UE; società statunitense | Email di accesso e avvisi di sicurezza al medico | Email del medico, contenuto dell’email di servizio | Log di invio del fornitore, durata limitata | Invio dall’UE; casa madre statunitense: clausole contrattuali standard (accordo di trattamento Resend); nessun dato di pazienti |
| Cloudflare Turnstile (Cloudflare, Inc., Stati Uniti) | Rete mondiale | Protezione anti-robot della pagina di accesso, quando attiva | Token di verifica, indirizzo IP e caratteristiche tecniche del browser | Durata limitata presso il fornitore | Clausole contrattuali standard; nessun dato di pazienti |
| PubMed — National Library of Medicine (NIH, Stati Uniti) | Stati Uniti | Ricerca di letteratura biomedica, su richiesta del medico | Solo parole chiave generiche; Kia rifiuta prima dell’invio qualsiasi dato di un paziente | Nessuna conservazione da parte di Kia; log tecnici del NIH | La richiesta non contiene dati personali per costruzione; viene trasmesso l’indirizzo IP del server Kia |
| CIMA — Agencia Española de Medicamentos y Productos Sanitarios (AEMPS) | Spagna, UE | Consultazione delle schede dei farmaci autorizzati in Spagna, su richiesta del medico | Solo parole chiave generiche | Nessuna conservazione da parte di Kia | Nessun trasferimento fuori dal SEE |
Note
- Accesso remoto da fuori SEE: nessuno. NOVIAMIND non effettua né fa effettuare alcun accesso ai dati dello studio da un paese terzo.
- Le funzioni che trattano dati di pazienti sono chiuse durante la qualificazione; questa pagina descrive l’architettura adottata, non un’apertura.
- Leggi extra-europee applicabili a Google LLC, Twilio Inc., Resend Inc., Supabase Inc. e Cloudflare, Inc.: CLOUD Act (18 U.S.C. § 2713) e FISA sezione 702. Rischio residuo: una richiesta di accesso di un’autorità statunitense rivolta al fornitore; misure: archiviazione e trattamento nell’UE, cifratura, nessun dato di pazienti presso fornitori diversi da Google Cloud, contestazione contrattuale delle richieste da parte del fornitore, informazione dello studio. La valutazione dettagliata dei trasferimenti è consegnata a ogni studio con il contratto.
- Ogni cambio di sub-responsabile è notificato agli studi prima di diventare effettivo; gli studi possono opporsi alle condizioni del contratto.
Informativa sulla privacy di Kia · Condizioni d’uso · privacy@ciaoalfred.com