Sub-processor GDPR

Convex Inc. · USA (Delaware) · Aggiunto: 2025-12-01

Categoria

Infrastruttura

Sede dati

UE (Irlanda, AWS eu-west-1)

Scopo

Database transazionale + funzioni serverless. Memorizza schema completo Hydradent (pazienti, agenda, fatture, ecc.).

Tipologie dato

• Anagrafica paziente (CF, nome, contatti, data nascita)
• Anamnesi e note cliniche
• Fatture e pagamenti
• Appuntamenti
• Tooth events e parodontogrammi
• Audit log

Certificazioni

SOC 2 Type II

DPA

Leggi DPA

Backblaze Inc. · USA (Delaware) · Aggiunto: 2026-05-19

Categoria

Storage

Sede dati

UE (regione Backblaze eu-central-003)

Scopo

Storage S3-compatible per file Imaging Cloud (DICOM, foto cliniche, CBCT, video, modelli 3D). I file sono cifrati at-rest server-side da Backblaze.

Tipologie dato

• File imaging diagnostico (radiografie, foto cliniche, CBCT)
• Modelli 3D scanner intraorali
• Video endocamera
• Referti PDF

Certificazioni

SOC 2 Type II · ISO 27001

DPA

Leggi DPA

Clerk Inc. · USA (Delaware) · Aggiunto: 2025-12-01

Categoria

Autenticazione

Sede dati

USA (solo dati del personale dello studio)

Scopo

Identity provider per autenticazione studio (login, password reset, sessioni). NON ha accesso a dati paziente — solo identità staff studio.

Tipologie dato

• Email staff studio
• Nome cognome staff studio
• Password hash (mai plaintext)
• Session token

Certificazioni

SOC 2 Type II · ISO 27001

DPA

Leggi DPA

Resend Inc. · USA (Delaware) · Aggiunto: 2026-05-18

Categoria

Comunicazione

Sede dati

EU (Ireland)

Scopo

Provider email transazionale per reminder appuntamenti, magic link portale paziente, copie di fatture e preventivi inviate al paziente, notifiche share imaging, warning storage.

Tipologie dato

• Email destinatario (paziente o staff)
• Nome destinatario
• Contenuto email (link, dati appuntamento, prestazioni e importi di fatture e preventivi)

Certificazioni

SOC 2 Type II

DPA

Leggi DPA

Aruba S.p.A. · Italia (Arezzo) · Aggiunto: 2025-12-01

Categoria

Comunicazione

Sede dati

Italia

Scopo

Provider SMTP fallback per email transazionali quando Resend non risponde. Fallback automatico, mai primary.

Tipologie dato

• Email destinatario
• Contenuto email

Certificazioni

ISO 27001 · ISO 9001 · ISO 27017

DPA

Leggi DPA

Groq Inc. · USA (California) · Aggiunto: 2025-12-01

Categoria

Elaborazione AI

Sede dati

USA

Scopo

Fornitore AI principale: trascrizione dell'audio delle visite (Whisper) e modelli di testo (gpt-oss-120b / gpt-oss-20b) per mettere in forma la nota della visita, leggere i referti PDF, l'anamnesi in chat, le bozze di messaggi. Trascrive e mette in forma, non fa valutazioni cliniche. Riceve i dati senza nome, cognome, data di nascita, codice fiscale e contatti del paziente; l'audio della visita arriva com'e', solo con il consenso del paziente registrato ogni volta. Non si usa per i pazienti che hanno rifiutato l'AI. Oggi non c'e' un contratto di zero-retention firmato.

Tipologie dato

• Audio registrazioni visita (con consenso)
• Trascrizioni delle visite, risposte all'anamnesi in chat e testo dei referti, senza dati identificativi

Certificazioni

SOC 2 Type II in progress

DPA

Leggi DPA

Cloudflare Inc. · USA (Delaware) · Aggiunto: 2025-12-01

Categoria

Elaborazione AI

Sede dati

EU + USA (load balanced)

Scopo

Workers AI come riserva per i modelli di testo quando Groq non risponde (l'audio no), con gli stessi dati senza identificativi; Turnstile anti-bot sui moduli pubblici (prenotazione, registrazione dal QR).

Tipologie dato

• Trascrizioni, risposte all'anamnesi in chat e testo dei referti, senza dati identificativi (riserva di Groq)
• Token anti-bot e indirizzo IP del visitatore

Certificazioni

SOC 2 Type II · ISO 27001

DPA

Leggi DPA

Functional Software Inc. · USA (Delaware) · Aggiunto: 2026-05-15

Categoria

Monitoring

Sede dati

UE (Germania)

Scopo

Monitoraggio degli errori. Prima dell'invio si tolgono corpo delle richieste, cookie, query, token dei link, codici fiscali, email e telefoni; niente registrazione dello schermo.

Tipologie dato

• Stack trace
• Pagina dell'errore, senza token
• Versione del browser

Certificazioni

SOC 2 Type II · ISO 27001

DPA

Leggi DPA

Vercel Inc. · USA (Delaware) · Aggiunto: 2025-12-01

Categoria

Infrastruttura

Sede dati

UE (funzioni a Francoforte, fra1) + rete di distribuzione globale

Scopo

Hosting del sito e dell'app. I dati dei pazienti si leggono dal browser direttamente da Convex; passano da Vercel solo alcune richieste: invio della firma (con IP e browser del firmatario), messaggi WhatsApp in arrivo, verifica anti-bot, collegamento a Google Calendar.

Tipologie dato

• Pagine e file statici
• IP e browser di chi firma un documento
• Messaggi WhatsApp in arrivo (numero e testo)

Certificazioni

SOC 2 Type II · ISO 27001

DPA

Leggi DPA

Sogei S.p.A. · Italia · Aggiunto: 2025-12-01

Categoria

Compliance fiscale

Sede dati

Italia

Scopo

Trasmissione spese sanitarie 730 precompilato (Sistema TS). Lo studio è il titolare verso Sogei; Hydradent solo trasmette.

Tipologie dato

• CF paziente
• Importo fattura sanitaria
• Tipo spesa (visita, prestazione, ecc.)
• Data emissione

Certificazioni

Provider istituzionale Agenzia Entrate

DPA

Leggi DPA

Meta Platforms Ireland Ltd. · Irlanda · Aggiunto: 2026-04-01

Categoria

Comunicazione

Sede dati

EU (Ireland)

Scopo

Cloud API WhatsApp Business per reminder appuntamenti via WhatsApp. Lo studio approva ogni template prima dell'invio.

Tipologie dato

• Numero telefono paziente (E.164)
• Nome paziente
• Data/ora appuntamento

Certificazioni

ISO 27001 · SOC 2 Type II

DPA

Leggi DPA

Google Ireland Ltd. · Irlanda · Aggiunto: 2026-04-27

Categoria

Comunicazione

Sede dati

Server Google (UE e USA)

Scopo

Sincronizzazione facoltativa dell'agenda con Google Calendar, solo per gli operatori che la collegano: gli appuntamenti vanno su Google e gli eventi di Google tornano in agenda. Il nome del paziente si puo' nascondere nelle impostazioni.

Tipologie dato

• Nome paziente (se non nascosto) e tipo di prestazione
• Data e ora dell'appuntamento
• Note dell'appuntamento

Certificazioni

ISO 27001 · SOC 2 Type II

DPA

Leggi DPA

Aruba PEC S.p.A. · Italia (Arezzo) · Aggiunto: 2026-05-19

Categoria

Compliance fiscale

Sede dati

Italia

Scopo

Conservazione a norma AgID delle fatture elettroniche B2B. Non ancora attiva: l'integrazione non e' completa e oggi nessun dato viene inviato.

Tipologie dato

• XML FatturaPA
• Ricevuta SdI
• Metadata fattura

Certificazioni

AgID conservatore accreditato n. 24/2013

DPA

Leggi DPA

Stripe Payments Europe Ltd. · Irlanda · Aggiunto: 2026-Q3 (in arrivo con activation checkout)

Categoria

Pagamento

Sede dati

EU (Ireland)

Scopo

Subscription billing per piani Hydradent (Starter/Solo/Studio/Clinica). NON ha accesso a dati paziente — solo dati billing dello studio.

Tipologie dato

• Nome legale studio
• P.IVA / CF studio
• IBAN / carta studio
• Storico pagamenti

Certificazioni

PCI DSS Level 1 · SOC 1+2 Type II · ISO 27001

DPA

Leggi DPA