1. Soggetto che tratta i dati

ARGHITTU GIORGIO
Persona fisica titolare di partita IVA
Via Giacomo Griziotti 4 - 20145 Milano
P.IVA: 14678340960

Contatti:
Email: [email protected]
PEC: [email protected]

1-bis. Ruoli GDPR per trattamento

Refertius è un servizio professionale rivolto a medici e strutture sanitarie. Il ruolo GDPR di Refertius non è unico, ma varia in funzione del singolo trattamento. La tabella seguente prevale su formulazioni generiche eventualmente presenti in altre parti del sito e si coordina con il punto 11-bis dei Termini di Servizio e con il Data Processing Agreement (/gdpr/dpa).

Trattamento	Titolare	Ruolo di Refertius
Dati clinici e sanitari dei pazienti, referti, audio della visita	Medico o struttura sanitaria utente	Responsabile del trattamento (Art. 28 GDPR)
Account, profilo e credenziali del professionista	Refertius	Titolare autonomo
Fatturazione e adempimenti fiscali	Refertius	Titolare autonomo (obbligo legale)
Log tecnici, sicurezza, prevenzione abusi	Refertius	Titolare autonomo (interesse legittimo)
Comunicazioni di servizio e assistenza	Refertius	Titolare autonomo
Statistiche aggregate di utilizzo, prive di contenuto clinico e non riconducibili al paziente	Refertius	Titolare autonomo

Refertius non utilizza i dati clinici dei pazienti per addestrare modelli di intelligenza artificiale propri o di terzi. Eventuali analisi finalizzate al miglioramento del servizio sono condotte su dati aggregati privi di contenuto clinico identificativo; la qualificazione giuridica definitiva di tali dati è oggetto di verifica legale in corso.

2. Contatto per la protezione dei dati

Il referente per qualsiasi questione relativa al trattamento dei dati personali e per l'esercizio dei diritti degli interessati è Giorgio Arghittu. Non è dichiarata la nomina formale di un Responsabile della Protezione dei Dati ai sensi dell'Art. 37 GDPR.

Referente privacy: Giorgio Arghittu
Email: [email protected]
PEC: [email protected]

3. Categorie di Dati Personali Trattati

3.1 Dati degli Utenti (Professionisti Sanitari)

Dati identificativi e professionali:
• Nome, cognome, codice fiscale, partita IVA
• Numero di iscrizione all'Ordine dei Medici, provincia di iscrizione
• Specializzazione medica, titolo professionale
• Struttura sanitaria di appartenenza

Dati di contatto:
• Indirizzo email, PEC, numero di telefono
• Indirizzo dello studio/struttura

Dati di accesso e sicurezza:
• Credenziali di autenticazione (password criptate con algoritmo bcrypt)
• Log di accesso con timestamp, indirizzo IP, user agent
• Token di sessione e codici OTP

Dati di utilizzo:
• Statistiche di utilizzo del servizio
• Preferenze di interfaccia

3.2 Dati dei Pazienti (Categorie Particolari ex Art. 9 GDPR)

Dati Sensibili - Categorie Particolari

I dati dei pazienti costituiscono "categorie particolari di dati personali" ai sensi dell'Art. 9 GDPR e sono trattati esclusivamente per finalità di medicina preventiva, diagnosi e assistenza sanitaria.

Dati identificativi:
• Nome, cognome, codice fiscale
• Numero tessera sanitaria (opzionale)
• Indirizzo email (opzionale, per invio referti)

Dati sanitari:
• Registrazioni audio delle visite mediche (temporanee)
• Trascrizioni testuali delle visite
• Referti medici generati e validati
• Anamnesi, diagnosi, indicazioni terapeutiche

Nota sulla minimizzazione: Le registrazioni audio sono temporanee e vengono eliminate mediante procedura automatica entro 24 ore dalla creazione, in coerenza con il principio di minimizzazione dei dati (Art. 5.1.c GDPR).

4. Finalità e Base Giuridica del Trattamento

Finalità	Base Giuridica	Riferimento GDPR
Erogazione del Servizio Creazione account, gestione abbonamento, trascrizione audio, generazione referti	Esecuzione del contratto	Art. 6.1.b
Trattamento Dati Sanitari Trascrizione visite, generazione referti, archiviazione documentazione clinica	Medicina preventiva, diagnosi, assistenza sanitaria	Art. 9.2.h
Archivio operativo e restituzione dei dati Consultazione, ricerca, gestione ed esportazione dei referti durante il rapporto contrattuale, per conto del medico/struttura (Titolare); restituzione alla cessazione	Trattamento per conto del Titolare ex Art. 28 GDPR; base giuridica determinata dal Titolare	Art. 28
Sicurezza e Audit Log accessi, monitoraggio sicurezza, prevenzione frodi	Legittimo interesse del Titolare	Art. 6.1.f
Comunicazioni di Servizio Notifiche tecniche, avvisi scadenza, aggiornamenti importanti	Esecuzione del contratto	Art. 6.1.b
Fatturazione Emissione fatture, gestione pagamenti	Obbligo legale fiscale	Art. 6.1.c
Miglioramento del Servizio Controllo qualità e verifica del servizio. I dati clinici usati a questo fine sono dati personali o pseudonimizzati, non anonimi; nessun addestramento di modelli sui dati dei clienti è attivo	Legittimo interesse (miglioramento servizio)	Art. 6.1.f

5. Periodo di Conservazione dei Dati

Applichiamo il principio di limitazione della conservazione (Art. 5.1.e GDPR), conservando i dati solo per il tempo strettamente necessario.

Tipologia Dati	Periodo	Base Normativa
Registrazioni audio	Entro 24 ore	Dalla creazione, mediante procedura automatica di pulizia (Art. 25 GDPR)
Referti medici (Archivio operativo)	Durata del rapporto	Trattati per conto del Titolare; alla cessazione restituzione e cancellazione secondo le istruzioni del Titolare e la politica di conservazione. La conservazione della documentazione sanitaria prevista dalla normativa resta in capo al medico/struttura.
Dati anagrafici pazienti	Durata del rapporto	Collegati ai referti; stesso regime di restituzione e cancellazione
Dati account utente	Fino alla chiusura dell'account	Cancellati al completamento della chiusura. Contratti e documentazione del rapporto: 10 anni dalla cessazione; fatture e scritture contabili: 10 anni (art. 2220 c.c.); log di sicurezza: 12 mesi; audit log: 5 anni; consensi: 5 anni dalla revoca; supporto: 24 mesi; richieste privacy: 5 anni (policy interna Refertius, salvo diverso obbligo di legge)
Log di accesso e sicurezza	12 mesi	Sicurezza e accountability (Art. 5.2 e 32 GDPR); cancellazione automatica
Dati di fatturazione	10 anni	Art. 2220 c.c., normativa fiscale
Backup crittografati	Retention del provider	Backup fisici giornalieri gestiti da Supabase (retention del provider secondo il piano del progetto); PITR non attivo; file Storage esclusi dai backup del database

5.1 Archivio operativo, esportazione e chiusura dell'account

L'Archivio operativo Refertius è lo spazio in cui il medico consulta, ricerca, verifica, gestisce ed esporta i documenti disponibili attraverso il servizio durante il rapporto contrattuale. Non costituisce l'archivio sanitario istituzionale del medico/struttura, non sostituisce gli obblighi di conservazione della documentazione sanitaria previsti dalla normativa applicabile e non trasferisce a Refertius obblighi clinici o documentali del medico/struttura.

L'esportazione dei dati è una funzione distinta dalla chiusura dell'account. La chiusura dell'account segue una procedura verificabile: esportazione obbligatoria dei dati (pacchetto ZIP con manifest SHA-256), download verificato, conferma di ricezione, controllo di conservazione e cancellazione dal database di produzione e dagli storage gestiti. Alla chiusura, i dati trattati per conto del Titolare sono restituiti e/o cancellati secondo le sue istruzioni, la normativa applicabile e la politica di conservazione. Restano conservati separatamente soltanto i dati che Refertius deve trattenere come Titolare per obblighi di legge (ad esempio i dati di fatturazione) o per la tutela di diritti; in presenza di un obbligo giuridico, di un contenzioso o di una richiesta dell'autorità, la cancellazione della sola categoria interessata può essere sospesa (legal hold limitato ai soli dati interessati; gli altri dati sono cancellati e l'account resta aperto finché il vincolo non è revocato). Le copie nei backup dell'infrastruttura sono rimosse secondo la retention dei backup giornalieri gestita da Supabase (retention del provider secondo il piano del progetto); il ripristino puntuale (PITR) non è attivo e i file in Storage non sono inclusi nei backup del database.

6. Destinatari e Categorie di Destinatari

I dati personali possono essere comunicati alle seguenti categorie di destinatari, secondo i ruoli e lo stato di due diligence riportati nel DPA 2.0:

Fornitori di Infrastruttura Cloud

Il progetto applicativo utilizza una regione primaria UE; localizzazione, accessi di supporto e backup seguono la configurazione e le condizioni del provider. I fornitori dichiarano nella propria documentazione pubblica certificazioni di sicurezza quali ISO 27001 e SOC 2 Type II: tali certificazioni riguardano i fornitori e non costituiscono una certificazione di Refertius.

Fornitori di Servizi AI

Servizi di trascrizione e generazione o verifica testi: Deepgram per la trascrizione, con OpenAI come trascrizione di riserva; OpenAI e Anthropic per l’elaborazione del testo clinico, OpenAI anche per la sintesi del teleconsulto. Daily gestisce la televisita dal browser: audio/video a Francoforte con riserva a Londra (Regno Unito, paese adeguato), cifrati e non registrati, link di 60 minuti. API, ingresso e autenticazione, log e metriche sono trattati negli Stati Uniti; log e metriche sono disponibili 3 giorni, con Data Privacy Framework e SCC Modulo 3 come riserva. Cloudflare fornisce rete, CDN e hosting tramite Lovable, inclusi dati in transito. Con ciascuno è in vigore un accordo sul trattamento dei dati (art. 28 GDPR). Google (Gemini): lettura di carta intestata, logo e firma caricati dal medico; non riceve dati dei pazienti.

Fornitori di Servizi di Pagamento

Stripe Inc. per l'elaborazione dei pagamenti, che dichiara la conformità PCI-DSS Level 1 nella propria documentazione pubblica. Refertius non memorizza dati delle carte di credito.

Fornitori di Servizi Email

Resend è utilizzato per la consegna email. Quando il medico autenticato decide l'invio e la titolarità del referto è verificata lato server, il paziente riceve un link valido 45 giorni protetto dalla data di nascita, senza PDF allegato. La copia al medico mantiene l’allegato. DPA nei termini del fornitore (31/12/2025), con Clausole Contrattuali Standard ed EU-US Data Privacy Framework.

Consulenti e Professionisti

Commercialisti, consulenti legali e revisori dei conti, limitatamente agli adempimenti di legge e con vincolo di riservatezza professionale.

Autorità Competenti

Autorità giudiziarie, amministrative o sanitarie, quando richiesto dalla legge o da provvedimenti vincolanti.

7. Trasferimento Dati verso Paesi Terzi

Regione primaria UE e trattamenti esterni

Il progetto applicativo utilizza una regione primaria UE per database e storage. Alcune elaborazioni di trascrizione, generazione, verifica e consegna email possono comportare trasferimenti extra-UE o accessi da paesi terzi. Localizzazione, garanzie e stato della due diligence sono riportati nel DPA 2.0 senza presumere dati non documentati. Il teleconsulto usa QR personale e data di nascita: risposte vocali trascritte e riassunte anche con IA, decisione del medico. Audio risposte: entro 7 giorni dalla firma del referto e, in ogni caso, entro 30 giorni dalla chiusura del teleconsulto; referto e trascrizione restano nell’archivio. La televisita, con adesione rispondendo, è indicata per il controllo di diagnosi già formulate in presenza, non sostituisce la prima visita e non è un servizio di emergenza (Indicazioni nazionali del 17/12/2020). Il referto indica «televisita (visita a distanza)».

In particolare, i trasferimenti verso paesi terzi si configurano nei seguenti casi:

• Trascrizione audio: Deepgram; OpenAI come trascrizione di riserva
• Elaborazione clinica: OpenAI e Anthropic
• Consegna del referto: Resend, link al paziente senza PDF allegato e copia al medico con allegato

Per tali trasferimenti si applicano, quando documentate e pertinenti, le garanzie previste dal GDPR:

• Decisioni di adeguatezza della Commissione Europea (Art. 45 GDPR), ove applicabili
• Clausole Contrattuali Standard (SCC) approvate dalla Commissione (Art. 46.2.c GDPR)
• Certificazioni approvate, ove applicabili (es. EU-US Data Privacy Framework)

Con Deepgram, OpenAI, Anthropic, Supabase e Resend è in vigore un accordo sul trattamento dei dati (art. 28 GDPR) con Clausole Contrattuali Standard; i dettagli sono riportati nel DPA.

8. Misure di Sicurezza Tecniche e Organizzative

Ai sensi dell'Art. 32 GDPR, Refertius adotta misure tecniche e organizzative adeguate al rischio, tenendo conto dello stato dell'arte e dei costi di attuazione:

Crittografia

• AES-256 per dati at-rest
• TLS 1.3 per dati in-transit
• Rotazione chiavi ogni 90 giorni

Controllo Accessi

• Autenticazione a due fattori (OTP)
• RBAC (Role-Based Access Control)
• Session timeout automatico

Infrastruttura

• Data center di fornitori che dichiarano certificazione ISO 27001
• Backup automatici cifrati gestiti dal provider cloud
• Procedure di disaster recovery secondo la configurazione documentata del provider

Monitoraggio

• Audit log completi (24 mesi)
• Alerting real-time anomalie
• Verifiche tecniche delle invarianti di sicurezza nel processo di sviluppo

9. Diritti dell'Interessato

Ai sensi degli Artt. 15-22 GDPR, l'interessato ha diritto di:

Diritto di Accesso

Ottenere conferma del trattamento e copia dei propri dati personali

Art. 15

Diritto di Rettifica

Ottenere la correzione di dati inesatti o l'integrazione di dati incompleti

Art. 16

Diritto alla Cancellazione ("Diritto all'Oblio")

Richiedere la cancellazione dei propri dati, salvo obblighi di conservazione

Art. 17

Diritto alla Limitazione del Trattamento

Limitare il trattamento in caso di contestazione o illiceità

Art. 18

Diritto alla Portabilità

Ricevere i propri dati in formato strutturato e trasferirli ad altro titolare

Art. 20

Diritto di Opposizione

Opporsi al trattamento basato su legittimo interesse

Art. 21

Diritto di Revoca del Consenso

Revocare il consenso in qualsiasi momento senza pregiudizio per il trattamento precedente

Art. 7.3

Come Esercitare i Propri Diritti

Le richieste possono essere inviate a:
• Email: [email protected]
• PEC: [email protected]
• Raccomandata A/R: Giorgio Arghittu (Refertius) - Via Giacomo Griziotti 4, 20145 Milano (MI)

Tempo di risposta: 30 giorni dalla ricezione della richiesta, prorogabili di ulteriori 60 giorni in caso di complessità, con comunicazione motivata.

10. Diritto di Reclamo all'Autorità di Controllo

Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l'interessato che ritenga che il trattamento che lo riguarda violi il GDPR ha il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali:

Garante per la Protezione dei Dati Personali
Piazza Venezia, 11 - 00187 Roma
Telefono: (+39) 06.696771
Fax: (+39) 06.69677.3785
Email: [email protected]
PEC: [email protected]
Sito web: www.garanteprivacy.it

11. Processo Decisionale Automatizzato e Profilazione

Refertius utilizza algoritmi di intelligenza artificiale per la trascrizione audio e la generazione assistita di referti medici. Tuttavia:

• Nessuna decisione è interamente automatizzata: tutti i referti devono essere verificati e validati dal medico prima dell'emissione
• Nessuna profilazione: non vengono creati profili comportamentali degli utenti o dei pazienti per finalità diverse dall'erogazione del servizio
• Intervento umano garantito: l'utente può sempre richiedere l'intervento di un operatore umano

12. Modifiche all'Informativa

La presente informativa può essere soggetta a modifiche. Le modifiche sostanziali saranno comunicate tramite email all'indirizzo registrato e/o banner informativo sulla piattaforma con almeno 30 giorni di preavviso prima dell'entrata in vigore.

La versione aggiornata è sempre disponibile all'indirizzo: www.refertius.com/privacy

13. Riferimenti Normativi

• Regolamento UE 2016/679 (GDPR)
• D.Lgs. 196/2003 (Codice Privacy), come modificato dal D.Lgs. 101/2018
• D.Lgs. 82/2005 (Codice dell'Amministrazione Digitale)
• D.P.R. 128/1969 (Ordinamento interno dei servizi ospedalieri)
• D.M. 18 febbraio 1982 (Direttive per la tenuta dell'archivio sanitario)
• Provvedimenti del Garante Privacy in materia di dati sanitari
• Linee guida EDPB applicabili

14. Biblioteca Clinica

Refertius include una Biblioteca Clinica che elabora casi clinici pubblicati in letteratura, provenienti da PubMed (National Library of Medicine, USA), per supportare i medici nella documentazione clinica. Nessun dato del paziente viene utilizzato per popolare la Biblioteca Clinica.

15. Provider Tecnologici (Sub-Processori)

I dati trattati attraverso Refertius vengono elaborati dai seguenti fornitori tecnologici in qualità di sub-processori:

• Deepgram (USA) — trascrizione audio primaria (DPA firmato 04/08/2026, SCC)
• OpenAI (OpenAI Ireland Ltd) — elaborazione del testo, sintesi del teleconsulto e trascrizione di riserva; DPA sottoscritto il 29/08/2026, con Clausole Contrattuali Standard o decisione di adeguatezza per i trasferimenti successivi
• Anthropic — elaborazione del testo (DPA nei Commercial Terms, 24/02/2025, SCC)
• Google (Gemini) — lettura di carta intestata, logo e firma caricati dal medico; non riceve dati dei pazienti
• Supabase (società con sede USA) — infrastruttura applicativa, database, storage e autenticazione; DPA sottoscritto il 30/03/2026 con Clausole Contrattuali Standard
• Resend (USA) — email al paziente con link sicuro di 45 giorni, protetto dalla data di nascita, senza PDF allegato; copia al medico con allegato; DPA del fornitore con Clausole Contrattuali Standard e adesione dichiarata all'EU-US Data Privacy Framework (DPA nei termini, 31/12/2025)
• Daily — televisita cifrata e non registrata, audio/video a Francoforte con riserva a Londra (Regno Unito adeguato); dati tecnici negli Stati Uniti per 3 giorni, Data Privacy Framework e SCC Modulo 3 come riserva; DPA art. 28 firmato il 30/10/2026
• Cloudflare — rete, CDN e hosting tramite Lovable, inclusi dati in transito; catena contrattuale da verificare
• Sentry — monitoraggio degli errori tecnici del browser, configurato per non ricevere contenuti clinici
• Stripe — provider distinto per pagamenti e fatturazione, non sub-responsabile del trattamento clinico

L'elenco aggiornato dei sub-responsabili, con le rispettive attività e garanzie di trasferimento, è riportato anche nel Data Processing Agreement (/gdpr/dpa); in caso di divergenza fa fede il DPA. I trasferimenti extra-UE e le relative garanzie sono descritti nel DPA.

16. Fonti esterne, codifiche e limiti del supporto informativo

Per supportare la redazione del documento clinico, il servizio consulta e presenta informazioni provenienti da fonti istituzionali e pubbliche di terzi: banche dati regolatorie sui farmaci e relativi codici (ad esempio ATC e AIC), nomenclatori e cataloghi regionali delle prestazioni, cataloghi nazionali usati come raffronto o ripiego quando la fonte regionale non risolve il termine, e classificazioni diagnostiche. Ove disponibile, il servizio indica la provenienza del dato.

L'impiego di una fonte ufficiale non costituisce garanzia di correttezza, completezza, aggiornamento, applicabilità territoriale o appropriatezza clinica del risultato nel singolo caso: le fonti possono essere aggiornate, ritirate, temporaneamente indisponibili o contenere errori propri. Le segnalazioni automatiche di possibili incongruenze non sono decisioni cliniche e possono non rilevare tutti gli errori. La verifica del contenuto e la decisione finale restano in capo al medico, come previsto ai punti 6-bis, 6-ter e 9 dei Termini di Servizio.

Informativa sulla Privacy

Sintesi dei Punti Chiave