Privacy e sicurezza

Dove stanno i dati e come sono protetti

Undici cose che uno studio o un laboratorio ha il diritto di sapere sul gestionale che custodisce i dati dei suoi pazienti · aggiornato al 15 ottobre 2026 · il fascicolo completo con le prove è disponibile su richiesta

Un gestionale odontoiatrico tratta dati relativi alla salute. Chi lo sceglie non deve fidarsi: deve poter verificare. Qui c'è quello che D² Digital fa, in parole semplici; per ogni punto esiste un documento che lo prova, consegnato con la nomina a responsabile del trattamento e disponibile per il DPO o il consulente privacy dello studio.

1. 1I dati stanno sui server della società, in Germania, cifrati.Portale e database girano su due server dedicati di D2 Digital S.r.l. presso Hetzner (data center di Norimberga e Falkenstein, certificati ISO/IEC 27001). I dischi dei dati sono cifrati (LUKS2, AES a 256 bit) e la chiave non sta sul disco: ogni server, all'accensione, si fa aprire dal suo gemello. Un disco portato via è illeggibile. L'intelligenza artificiale lavora in regione europea.Prova: Dossier GDPR, misure art. 32; registro dei controlli automatici.
2. 2I server sono chiusi a internet.Il database non ascolta su internet. Al portale si arriva solo attraverso Cloudflare, che filtra attacchi e traffico automatico: il firewall dei server scarta tutto ciò che non passa da lì. I due server parlano fra loro solo su una rete privata, con collegamento cifrato (TLS 1.3).Prova: Dossier GDPR, valutazione dei rischi; referto della simulazione di attacco.
3. 3Doppia copia, un server di riserva sempre pronto e un piano di emergenza.Ogni modifica è copiata in tempo reale sul secondo server, in un altro data center: se il primo si ferma, il secondo subentra da solo in pochi minuti. In più, ogni pochi minuti le modifiche, cifrate, vanno presso un altro fornitore europeo (Scaleway, Parigi), con una copia completa ogni notte: lì nessuno le può leggere. Se si fermassero insieme i due server, un server di emergenza riservato a noi presso Scaleway si accende da solo e riporta il gestionale online con i dati fino a pochi minuti prima. Ogni settimana la ricostruzione viene provata davvero.Prova: esiti di replica, copie e prove di ripristino nel pannello di controllo del gestore; lo stato del servizio è pubblico su stato.d2digital.it.
4. 4Ogni cliente è in un compartimento stagno.Nessuno studio o laboratorio vede i dati di un altro, nemmeno forzando gli identificativi. I permessi sono verificati sul server, non nella pagina: chi non ha il permesso di vedere gli importi non li riceve proprio.Prova: simulazione di attacco, righe «isolamento», «privilegi», «dati riservati».
5. 5Il laboratorio non conosce mai il paziente.Riceve il codice del lavoro e i dati tecnici; sulle etichette solo un QR e un numero. Lo studio può decidere altrimenti per un singolo laboratorio, e solo lui.Prova: condizioni generali art. 11; Dossier GDPR.
6. 6L'intelligenza artificiale non riceve mai un nome di paziente.Nemmeno se qualcuno lo scrive a mano nella chat o in una mail: uno schermo in cinque passi lo sostituisce con il codice della scheda prima dell'invio e lo ripristina solo nella risposta mostrata nel portale. Nessun addestramento sui dati, nessuna diagnosi, nessun giudizio sulle persone: l'IA propone, decide sempre una persona (AI Act). Come usiamo l'intelligenza artificiale.Prova: documento tecnico «Lo schermo delle identità».
7. 7I dati non restano oltre il necessario.I termini sono scritti nel contratto (art. 11.9) e applicati dal programma ogni notte, con traccia: file clinici cancellati 90 giorni dopo l'intervento, nome del paziente sostituito da uno pseudonimo dieci anni dopo la chiusura della scheda, messaggi a 24 mesi, registro a 24 mesi.Prova: condizioni generali v2.5, art. 11.9.
8. 8Le statistiche di filiera non hanno nessuno dentro.L'Osservatorio raccoglie solo righe anonime costruite dal programma (mai nomi, codici, email, importi esatti, date di nascita, dati clinici: del paziente resta solo una fascia di età di cinque anni); l'area compare come impronta crittografica che nessuna persona legge, e un numero si mostra solo se dietro ci sono almeno dieci aree. Si esce con una spunta nel profilo.Prova: condizioni generali v2.5, art. 11.10; spunta «Partecipo all'Osservatorio» nel profilo.
9. 9Gli accessi sono protetti e sorvegliati.Password con hash lento, blocco dei tentativi, sessioni che decadono al cambio password, registro di ogni operazione con autore e data. Una sentinella rilegge il registro ogni cinque minuti e avvisa il gestore entro pochi minuti da una raffica di accessi bloccati, errori o cancellazioni anomale.Prova: Dossier GDPR, misure art. 32.
10. 10Le difese sono state messe alla prova.Simulazione di attacco del 28 settembre 2026: 26 attacchi simulati — credenziali false, forza bruta, iniezione SQL, scavalcamento fra clienti, forzatura della manutenzione, fuga del nome del paziente, riuso di sessione, saturazione — 26 respinti. Le prove d'attacco fanno parte degli oltre 2.700 controlli automatici che girano a ogni modifica.Prova: referto della simulazione di attacco. Un test di terza parte indipendente è in programma.
11. 11I fornitori sono vincolati per contratto e certificati.Accordi di trattamento con Hetzner (server, ISO/IEC 27001), Cloudflare (scudo di rete, ISO/IEC 27001, SOC 2), Scaleway (copie cifrate e server di emergenza, ISO/IEC 27001, HDS), Google (ISO 27001/27017/27018) e Stripe (PCI DSS livello 1). I dati restano nell'Unione Europea; dove un fornitore statunitense tocca il traffico valgono il Data Privacy Framework e le clausole contrattuali standard.Prova: fascicolo dei fornitori con i certificati allegati.
12. 12Il rapporto è scritto.Nomina a responsabile del trattamento (art. 28 GDPR) firmata con ogni cliente: violazioni comunicate entro 48 ore, sub-fornitori con 30 giorni di preavviso, esportazione dei dati in formato aperto in ogni momento e per 30 giorni dopo la fine dell'abbonamento, poi cancellazione.Prova: nomina rev 1.0; condizioni generali v2.5.

Che cosa può chiedere un cliente

Scrivendo a gestionale@d2digital.it: il Dossier GDPR del gestionale con il registro dei trattamenti e la valutazione d'impatto; il fascicolo dei fornitori con le copie dei certificati; il documento tecnico sullo schermo delle identità; il referto della simulazione di attacco; l'esportazione dei propri dati; la conferma della regione in cui risiedono; l'assistenza nelle risposte alle richieste dei pazienti (accesso, rettifica, cancellazione, portabilità). Sono documenti pensati per essere letti da un DPO: rimandano ai capitoli e alle evidenze, non alle promesse.

Che cosa NON promettiamo

Nessun software è inattaccabile e nessuno può dichiararlo onestamente. Quello che promettiamo è verificabile: dove sono i dati, chi li vede, per quanto restano, cosa succede se qualcosa va storto e in quanto tempo lo sa il cliente. Le misure non ancora complete — un test di penetrazione di terza parte, l'autenticazione a due fattori sul portale — sono scritte nel Dossier con data e responsabile, prima che qualcuno debba chiederle.

Attiva una prova   Leggi l'art. 11 delle condizioni   Informativa del sito