# Sicurezza e dati in Sanovia: dove sono, come sono protetti, chi ne risponde e cosa succede se te ne vai > Dove sono i dati dei tuoi pazienti in Sanovia, come sono cifrati, chi può vederli, i backup, i sub-responsabili, l'intelligenza artificiale e l'uscita. Ogni punto con il documento contrattuale che lo prevede. Pubblicato: 2026-10-22 · Fonte: https://sanovia.app/blog/sicurezza-dati-sanovia **Sanovia (sanovia.app)** è il gestionale cloud per professionisti sanitari, studi e poliambulatori in Italia. Qui trovi in un'unica pagina dove sono i dati, come sono protetti, chi ne risponde e come te ne vai. Accanto a ogni punto c'è il documento che lo prevede, così lo puoi controllare. ## Chi siamo | | | |---|---| | Marchio | Sanovia, applicazione web su sanovia.app | | Società | SanoXvia LTD, Companies House 17345683, 124-128 City Road, London EC1V 2NX, Regno Unito | | Rappresentante nell'UE (art. 27 GDPR) | Data Protection Representative Limited (DataRep), Dublino, Irlanda | | Contatti | support@sanovia.app · privacy@sanovia.app | Sanovia non è collegata ad altre aziende con lo stesso nome, per esempio i fornitori di materiale medico o le farmacie che si chiamano «Sanovia». ## Chi risponde dei dati - **Il titolare sei tu**, o la tua struttura. - **Sanovia è il responsabile del trattamento** (art. 28 GDPR). Custodisce i dati per conto tuo e su tue istruzioni. - Il contratto che lo stabilisce è l'[Accordo sul trattamento dei dati (DPA)](/legal/dpa), pubblico. Contiene l'oggetto e la durata del trattamento, le misure di sicurezza, l'assistenza, gli audit e i sub-responsabili (Allegato C). - Sanovia non vende, non affitta e non condivide i dati per marketing ([Informativa privacy](/legal/informativa-privacy)). ## Dove sono i dati - Su server in **Germania** (Spazio Economico Europeo), presso **Hetzner Online GmbH**: applicazione, database e archivio dei documenti. - Per l'hosting non c'è nessun trasferimento fuori dallo SEE. - I data center di Hetzner in Germania (Norimberga e Falkenstein) sono **certificati ISO/IEC 27001:2022** da un ente terzo, SOCOTEC Certification, per infrastruttura, gestione e assistenza ([pagina delle certificazioni di Hetzner](https://www.hetzner.com/unternehmen/zertifizierung/)). La certificazione è di Hetzner, il fornitore che ospita i server, non di Sanovia. - Ogni altro fornitore che tratta dati per Sanovia (email, messaggi, pagamenti, AI) è elencato nell'Allegato C del DPA, con il Paese e la finalità. Se l'elenco cambia, lo comunichiamo con almeno 30 giorni di preavviso. ## Come sono protetti Le misure sono quelle dell'art. 32 GDPR descritte nella nostra [Informativa privacy](/legal/informativa-privacy) e nel DPA: - **Cifratura in transito** (TLS 1.3) e **a riposo** (AES-256). - **Chiavi dedicate a ogni professionista** per i dati della cartella clinica. - **Verifica in due passaggi** per i professionisti, con app di autenticazione o passkey. Come si attiva: [guida alla verifica in due passaggi](/help/2fa). - **Accessi per ruolo**: ogni persona dello studio vede solo le sezioni del suo ruolo; il commercialista, per esempio, vede solo la sezione Fiscale, mai l'agenda o le cartelle. - **Registro delle operazioni** su ogni dato sanitario. - **Backup giornalieri cifrati**, conservati in un luogo geograficamente separato. - **Procedure di risposta agli incidenti** e notifica delle violazioni (artt. 33-34 GDPR). ## L'intelligenza artificiale - L'**assistente** incluso in ogni piano aiuta a usare l'app e **non riceve mai dati dei pazienti**. - **SanovIA**, l'AI clinica, è un add-on opzionale in accesso anticipato. Si attiva solo con il tuo **consenso esplicito e revocabile**. - Il trattamento avviene **nell'Unione Europea** tramite Mistral AI (Parigi), con accordo scritto di **zero conservazione** e **divieto di addestramento** sui dati. - Ogni bozza dell'AI richiede la tua firma. ## Se te ne vai - Il contratto è **mensile**: disdici dalle impostazioni con 30 giorni di preavviso, senza PEC. - Alla cessazione chiedi l'**esportazione dei tuoi dati** in formato interoperabile entro 90 giorni; poi le copie di Sanovia vengono cancellate in modo sicuro, salvi gli obblighi di legge ([Termini di servizio](/legal/termini-e-condizioni), §9). - Le fatture le hai già: il pacchetto per il commercialista lo scarichi quando vuoi da Fiscale. - L'obbligo di conservare le cartelle cliniche (almeno 10 anni) resta a te come titolare: l'esportazione serve proprio a questo. ## Cosa non abbiamo - **Nessuna certificazione ISO 27001 di Sanovia**, oggi: è certificato il data center che ospita i server (vedi sopra), non la nostra organizzazione. Le nostre misure sono un impegno contrattuale nel DPA, non un certificato di terzi. - I Termini prevedono che il servizio sia fornito «così com'è», come la gran parte dei servizi online: Sanovia si impegna alla massima disponibilità ma non garantisce un funzionamento senza interruzioni. Per questo i tuoi documenti fiscali li puoi sempre scaricare. ## Per approfondire - [Il canale SdI di Sanovia](/blog/canale-sdi-sanovia-codice-destinatario): codice destinatario GN8XM7S e come verificare un invio. - [GDPR nello studio medico: titolare, responsabile e cosa firma il tuo gestionale](/blog/gdpr-studio-medico-titolare-responsabile). - [Sono forfettario: cosa pago con Sanovia?](/blog/iva-canone-sanovia-forfettario) ## Domande frequenti **Dove sono conservati i dati in Sanovia?** Su server in Germania, nello Spazio Economico Europeo, presso Hetzner Online GmbH. Database e archivio dei documenti sono cifrati. Per l'hosting non c'è nessun trasferimento fuori dallo SEE; l'elenco completo dei sub-responsabili è nell'Allegato C dell'Accordo sul trattamento dei dati. **Chi è il titolare dei dati dei pazienti?** Tu, o la tua struttura. Sanovia è responsabile del trattamento ai sensi dell'art. 28 del GDPR, sulla base dell'Accordo sul trattamento dei dati (DPA) pubblicato su sanovia.app/legal/dpa. Custodisce i dati per conto tuo e su tue istruzioni, e non li vende, non li affitta e non li usa per marketing. **Come sono protetti i dati?** Connessione cifrata (TLS 1.3) e dati cifrati a riposo (AES-256), con chiavi dedicate a ogni professionista per la cartella clinica. Verifica in due passaggi per i professionisti, accessi per ruolo, registro delle operazioni sui dati sanitari e backup giornalieri cifrati conservati in un luogo separato. **Sanovia usa i dati dei pazienti per addestrare l'intelligenza artificiale?** No. L'AI clinica (SanovIA) è un add-on opzionale e si attiva solo con il tuo consenso esplicito e revocabile. Il trattamento avviene nell'Unione Europea tramite Mistral AI (Parigi), con accordo scritto di zero conservazione e divieto di addestramento. L'assistente incluso nell'abbonamento base aiuta a usare l'app e non riceve dati dei pazienti. **Cosa succede ai miei dati se lascio Sanovia?** Alla cessazione puoi chiedere l'esportazione dei tuoi dati in formato interoperabile entro 90 giorni; dopo, le copie di Sanovia vengono cancellate in modo sicuro, salvi gli obblighi di legge (Termini di servizio, §9). Il contratto è mensile e si disdice dalle impostazioni con 30 giorni di preavviso, senza PEC. **Sanovia ha una certificazione ISO 27001?** Sanovia no, oggi. I data center di Hetzner in Germania che ospitano i server sono certificati ISO/IEC 27001:2022 da SOCOTEC Certification; le misure di Sanovia sono descritte nell'Accordo sul trattamento dei dati, che fa parte del contratto. Le elenchiamo tutte in questa pagina, ciascuna con il documento che la prevede.