Trust center
Compliance e sovranità del dato
Prima che un dato paziente entri in un sistema esterno, il DPO deve dare il via libera: è qui che molti progetti si arenano. Da IusMedical la documentazione è pronta dal primo incontro, e il dato non lascia l'Europa.
Pronti alla verifica del DPO
I dati sanitari sono categorie particolari (art. 9 GDPR): base giuridica, sicurezza e tracciabilità vanno dimostrate prima ancora di iniziare. Le teniamo documentate servizio per servizio.
- Base giuridica per ogni servizio, con l'articolo applicabile (art. 9 c. 2 lett. h per la cura, lett. f per la tutela in giudizio)
- Dati sensibili cifrati a riposo e in transito
- Operazioni rilevanti tracciate, con conservazione allineata alle finalità
- Identificativi paziente pseudonimizzati nelle basi dati, assenti dai log
- Impianto verificato con il nostro partner legale
AI Act: la decisione resta al medico
La domanda vera non è sull'algoritmo, è sulla responsabilità: l'output è una proposta, la firma resta alla persona. Cartella Clinica Sicura opera sul livello della validazione documentale - completezza, coerenza e conformità, non diagnosi né decisione clinica. Referto Sicuro supporta la stesura del referto, senza sostituirsi al giudizio del medico. L'architettura di compliance è costruita sui requisiti sostanziali dell'AI Act: gestione del rischio, sorveglianza umana, tracciabilità.
La firma resta al medico
L'output è una proposta: sui referti firma il medico, sulle cartelle è lo strumento del revisore. Di ogni accettazione, correzione o rifiuto resta traccia.
Trasparenza sull'origine
Un avviso sempre visibile segnala che l'output è un supporto AI e che la decisione finale spetta al medico. Le istruzioni d'uso sono documentate e consegnabili.
Il rischio sotto osservazione
Ogni interazione è classificata per rischio clinico e monitorata; seguiamo nel tempo quanto il medico corregge. Documentazione di gestione del rischio aggiornata.
Ogni passaggio ricostruibile
Di ogni interazione resta una registrazione: cosa è stato chiesto, con quale esito, quando. Abbastanza per ripercorrere il flusso in audit o contenzioso.
Sovranità del dato
Dove va a finire il dato? Resta in Europa.
Elaborazione AI su data center dell'Unione, archiviazione e backup su infrastruttura europea, cifrati a riposo e in transito. L'intero ciclo del dato - elaborazione, archiviazione, backup, log - resta nel continente.
Il dossier del DPO, già sul tavolo
Al primo incontro consegniamo un dossier di compliance completo: i documenti su cui il DPO deve esprimersi sono già pronti da leggere e firmare.
| Documento | Contenuto | Riferimento |
|---|---|---|
| Valutazione d'impatto (DPIA) | Finalità, categorie di interessati, misure di sicurezza, valutazione del rischio | Art. 35 GDPR |
| Registro dei trattamenti | Categorie di dati, finalità, retention, sub-processor | Art. 30 GDPR |
| Base giuridica | Riferimento puntuale all'articolo applicabile per ogni servizio | Art. 6 / Art. 9 GDPR |
| Documentazione AI Act | Gestione del rischio, istruzioni d'uso, classificazione del rischio | Reg. UE 2024/1689 |
| Scheda di sicurezza fornitore | Misure tecniche e organizzative, residenza dati, sub-processor, continuità | Standard ENISA |
| DPA standard | Contratto pronto alla firma o adattabile al modello in uso | Art. 28 GDPR |
Sub-processor, DPA, segnalazioni
Chi tratta i dati
Pochi fornitori europei per elaborazione AI, archiviazione e backup. L'elenco dei sub-processor, con categorie di trattamento e regione di hosting, è a disposizione del DPO su richiesta.
DPA pronto alla firma
Data Processing Agreement standard, pronto da firmare. Se la struttura preferisce il proprio modello, ne discutiamo le clausole con il partner legale.
Segnalazioni di sicurezza
Vulnerabilità o incidenti di sicurezza: scrivere a privacy@iusmedical.it. Pratichiamo una divulgazione responsabile.
Parla con il team compliance
Due diligence, valutazioni di sicurezza, integrazione del DPA con il modello in uso, verifiche pre-contenzioso.