Registro delle attività di trattamento (RoPA)

Tenuto dal responsabile del trattamento ai sensi dell'art. 30(2) GDPR — edizione: 2026-05-26

Responsabile del trattamento

Project Line (קו פרויקטים), n. 310333984 (D-U-N-S 532247086), Keren ha-Yesod 23/9, Ashdod 7740412, distretto Sud, Israele. Responsabile della protezione dei dati (DPO) / contatto: support@projectlineil.com.

Titolari del trattamento

Ogni studio che sottoscrive l'Accordo sul trattamento dei dati (DPA) è un titolare del trattamento autonomo. L'elenco dei titolari e i relativi contatti sono tenuti nel CRM interno di Project Line e forniti all'autorità di controllo su richiesta.

Attività di trattamento

N.	Operazione	Categorie di dati	Categorie di destinatari	Conservazione	Trasferimento extra-UE
1	Onboarding dello studio	Ragione sociale dello studio, identità del titolare, indirizzo di fatturazione	Azure (hosting), sub-responsabili pagamenti/fatturazione (vedi pagina Sub-responsabili)	Durata del contratto + 7 anni	Azure Israel Central — adeguato
2	Archiviazione delle cartelle pazienti	Nome, data di nascita, contatti, cartella, ricette	Azure (storage), sub-responsabili pagamenti/fatturazione (vedi pagina Sub-responsabili)	Conservazione di legge (7–30 anni a seconda del Paese)	Regione Azure per studio
3	Agente vocale IA	Numero chiamante, intento della chiamata, dettagli appuntamento (nessun audio o trascrizione)	OpenAI (transitorio), Twilio (instradamento chiamate)	Solo metadati della chiamata (numero, ora, durata); nessun audio o trascrizione conservati	OpenAI: SCC + API zero-retention; Twilio: SCC USA–UE
4	Promemoria in uscita (SMS / WhatsApp)	Telefono, nome, ora appuntamento	Twilio (SMS), Meta (WhatsApp Cloud API)	Log invii: 1 anno	Meta: SCC; Twilio: SCC
5	Addebito automatico su carta salvata	Strumento di pagamento tokenizzato (pm_…), non il PAN	Stripe (carta salvata — solo tramite Stripe)	Conforme al DPA Stripe; cancellato alla disconnessione dello studio	Stripe: SCC + DPF
6	Audit log	Azione + ID tenant + timestamp	Azure SQL (intra-tenant)	6 anni	Stessa regione dello studio
7	Backup / disaster recovery	Snapshot cifrato del database	Azure Backup (intra-regione)	PITR a finestra mobile di 7 giorni	Stessa regione

Misure di sicurezza

TLS 1.2+ su tutto il trasporto; AES-256 a riposo (Azure SQL TDE + Azure Storage SSE)
Ambito di autorizzazione per tenant (accesso inter-studio tecnicamente impossibile)
Audit log a catena hash, infalsificabile
Audit HTTP in uscita + budget giornaliero per studio
Segreti in Azure App Service Configuration (cifrati a riposo)
MFA oggi opzionale, in futuro obbligatoria per i ruoli clinici
Penetration testing annuale pianificato

Aggiornamenti

Aggiornato a ogni aggiunta/sostituzione di sub-responsabile (cfr. sub-responsabili) o all'avvio di una nuova attività di trattamento. Le modifiche rilevanti sono annunciate a tutti gli studi con preavviso di 30 giorni (art. 28(2) GDPR).