SumikiAccordo sul trattamento dei dati (DPA)
Ai sensi dell'Art. 28 del Regolamento UE 2016/679 (GDPR)
Questo documento è pubblicato per trasparenza, non è ancora un contratto firmabile. Prima di poterlo essere mancano due cose: la conferma dei dati identificativi, e la revisione di un legale — in particolare sulla domanda se e a quali condizioni una persona fisica possa fare da Responsabile del trattamento per dati sanitari trattati per conto di un professionista sanitario.
Fino ad allora, il rapporto con chi prova Sumiki Studio in fase di test resta informale, e nessun paziente reale di un professionista viene trattato sulla piattaforma.
Tra:
- Erika Piras, persona fisica che sviluppa e gestisce Sumiki (di seguito "Sumiki", o "Responsabile del trattamento") — codice fiscale indicato nella versione firmabile; e
- il Professionista o Studio nutrizionale che attiva un account su Sumiki Studio (di seguito il "Cliente", o "Titolare del trattamento").
Art. 1 — Ruoli
Il Cliente è Titolare del trattamento per tutti i dati personali e sanitari dei propri pazienti trattati tramite Sumiki Studio. Sumiki è Responsabile del trattamento per conto del Cliente.
Art. 2 — Categorie di dati e interessati
- Interessati: i pazienti del Cliente collegati tramite l'app Sumiki.
- Dati: anagrafici e di contatto; dati relativi alla salute ex Art. 9 GDPR (peso, altezza, BIA, circonferenze, diete, sostituzioni, note cliniche e di diario).
Art. 3 — Obblighi del Titolare (Cliente)
Il Cliente dichiara di aver raccolto dai propri pazienti un consenso valido ex Art. 9.2.a GDPR per il trattamento dei dati sanitari e per l'uso di strumenti di analisi automatizzata e AI integrati nella piattaforma.
La piattaforma raccoglie a sua volta un consenso proprio: al primo accesso l'app blocca tutto — onboarding compreso — finché il paziente non ha spuntato le caselle sull'informativa e sul trattamento dei dati di salute, e registra data e versione del consenso. Il consenso all'AI è separato e revocabile.
Art. 4 — Obblighi del Responsabile (Sumiki)
Sumiki si impegna a:
- trattare i dati solo su istruzione documentata del Titolare, per le sole finalità di erogazione del servizio;
- garantire riservatezza da parte di chiunque tratti i dati per conto di Sumiki;
- adottare misure di sicurezza adeguate (Art. 32 GDPR): cifratura in transito e a riposo tramite l'infrastruttura Supabase, autenticazione sicura, esclusione di nome e cognome del paziente dai contenuti inviati ai moduli di intelligenza artificiale (vedi Art. 5);
- assistere il Titolare nel rispondere alle richieste di esercizio dei diritti degli interessati — l'esportazione completa dei dati di un paziente è una funzione già disponibile;
- notificare al Titolare, senza indebito ritardo e comunque entro 48 ore dalla scoperta, qualunque violazione dei dati.
Art. 5 — Privacy by design e AI
- I 3 livelli di privacy scelti dal paziente (Completa / Statistiche / Privato) filtrano i dati prima che raggiungano la dashboard e prima che finiscano nei messaggi inviati ai moduli AI — con l'eccezione, dichiarata al paziente, delle note del diario, sempre visibili al nutrizionista.
- I messaggi inviati al fornitore AI (Anthropic, modello Claude) per l'analisi di un paziente non includono nome o cognome del paziente.
- Verificato il 9 agosto 2026 sulla documentazione ufficiale Anthropic: i dati inviati tramite l'API commerciale — quella usata da Sumiki — non vengono mai usati per addestrare i modelli senza permesso esplicito, e il contenuto delle conversazioni non è conservato oltre il tempo tecnicamente necessario; fanno eccezione un elenco ristretto di modelli ("Covered Models") che non comprende quello usato da Sumiki, e i contenuti segnalati dai sistemi anti-abuso, conservabili fino a 2 anni. Il DPA di Anthropic, con le Clausole Contrattuali Standard UE, è incorporato nei suoi Termini di Servizio Commerciali: accettarli, necessario per usare l'API, equivale ad accettare anche quel DPA.
- I server Supabase del progetto Sumiki si trovano nella regione eu-west-3 (Parigi, Francia), una regione UE.
Art. 6 — Sub-responsabili
Il Titolare autorizza Sumiki a servirsi di:
- Supabase Inc. — database, autenticazione, archiviazione dei file (regione eu-west-3, Parigi);
- Anthropic PBC — API di intelligenza artificiale (dati trasferiti su base SCC UE);
- Resend — invio delle e-mail di servizio;
- ImprovMX — inoltro dei messaggi ricevuti all'indirizzo di assistenza;
- Vercel Inc. — hosting di Sumiki Studio e del sito, statistiche di visita aggregate senza cookie;
- Stripe — pagamenti dell'abbonamento.
Sumiki comunicherà al Titolare eventuali modifiche a questo elenco, con possibilità di opposizione.
Art. 7 — Cancellazione e restituzione dei dati
Alla cessazione del rapporto, Sumiki cancella o restituisce, a scelta del Titolare, tutti i dati dei pazienti entro 60 giorni, salvi obblighi di legge.
Ultimo aggiornamento: 7 settembre 2026. Le verifiche su Anthropic e Supabase sono state fatte sulle fonti ufficiali il 9 agosto 2026.
Altri documenti: informativa per chi usa l'app · informativa per i nutrizionisti · termini di servizio.