Sicurezza e dati in Sanovia: dove sono, come sono protetti, chi ne risponde e cosa succede se te ne vai

Sanovia (sanovia.app) è il gestionale cloud per professionisti sanitari, studi e poliambulatori in Italia. Qui trovi in un'unica pagina dove sono i dati, come sono protetti, chi ne risponde e come te ne vai. Accanto a ogni punto c'è il documento che lo prevede, così lo puoi controllare.

Chi siamo

Sanovia non è collegata ad altre aziende con lo stesso nome, per esempio i fornitori di materiale medico o le farmacie che si chiamano «Sanovia».

Chi risponde dei dati

• Il titolare sei tu, o la tua struttura.
• Sanovia è il responsabile del trattamento (art. 28 GDPR). Custodisce i dati per conto tuo e su tue istruzioni.
• Il contratto che lo stabilisce è l'Accordo sul trattamento dei dati (DPA), pubblico. Contiene l'oggetto e la durata del trattamento, le misure di sicurezza, l'assistenza, gli audit e i sub-responsabili (Allegato C).
• Sanovia non vende, non affitta e non condivide i dati per marketing (Informativa privacy).

Dove sono i dati

• Su server in Germania (Spazio Economico Europeo), presso Hetzner Online GmbH: applicazione, database e archivio dei documenti.
• Per l'hosting non c'è nessun trasferimento fuori dallo SEE.
• I data center di Hetzner in Germania (Norimberga e Falkenstein) sono certificati ISO/IEC 27001:2022 da un ente terzo, SOCOTEC Certification, per infrastruttura, gestione e assistenza (pagina delle certificazioni di Hetzner). La certificazione è di Hetzner, il fornitore che ospita i server, non di Sanovia.
• Ogni altro fornitore che tratta dati per Sanovia (email, messaggi, pagamenti, AI) è elencato nell'Allegato C del DPA, con il Paese e la finalità. Se l'elenco cambia, lo comunichiamo con almeno 30 giorni di preavviso.

Come sono protetti

Le misure sono quelle dell'art. 32 GDPR descritte nella nostra Informativa privacy e nel DPA:

• Cifratura in transito (TLS 1.3) e a riposo (AES-256).
• Chiavi dedicate a ogni professionista per i dati della cartella clinica.
• Verifica in due passaggi per i professionisti, con app di autenticazione o passkey. Come si attiva: guida alla verifica in due passaggi.
• Accessi per ruolo: ogni persona dello studio vede solo le sezioni del suo ruolo; il commercialista, per esempio, vede solo la sezione Fiscale, mai l'agenda o le cartelle.
• Registro delle operazioni su ogni dato sanitario.
• Backup giornalieri cifrati, conservati in un luogo geograficamente separato.
• Procedure di risposta agli incidenti e notifica delle violazioni (artt. 33-34 GDPR).

L'intelligenza artificiale

• L'assistente incluso in ogni piano aiuta a usare l'app e non riceve mai dati dei pazienti.
• SanovIA, l'AI clinica, è un add-on opzionale in accesso anticipato. Si attiva solo con il tuo consenso esplicito e revocabile.
• Il trattamento avviene nell'Unione Europea tramite Mistral AI (Parigi), con accordo scritto di zero conservazione e divieto di addestramento sui dati.
• Ogni bozza dell'AI richiede la tua firma.

Se te ne vai

• Il contratto è mensile: disdici dalle impostazioni con 30 giorni di preavviso, senza PEC.
• Alla cessazione chiedi l'esportazione dei tuoi dati in formato interoperabile entro 90 giorni; poi le copie di Sanovia vengono cancellate in modo sicuro, salvi gli obblighi di legge (Termini di servizio, §9).
• Le fatture le hai già: il pacchetto per il commercialista lo scarichi quando vuoi da Fiscale.
• L'obbligo di conservare le cartelle cliniche (almeno 10 anni) resta a te come titolare: l'esportazione serve proprio a questo.

Cosa non abbiamo

• Nessuna certificazione ISO 27001 di Sanovia, oggi: è certificato il data center che ospita i server (vedi sopra), non la nostra organizzazione. Le nostre misure sono un impegno contrattuale nel DPA, non un certificato di terzi.
• I Termini prevedono che il servizio sia fornito «così com'è», come la gran parte dei servizi online: Sanovia si impegna alla massima disponibilità ma non garantisce un funzionamento senza interruzioni. Per questo i tuoi documenti fiscali li puoi sempre scaricare.

Per approfondire

• Il canale SdI di Sanovia: codice destinatario GN8XM7S e come verificare un invio.
• GDPR nello studio medico: titolare, responsabile e cosa firma il tuo gestionale.
• Sono forfettario: cosa pago con Sanovia?