Protezione dei dati – Web RSA, gestionale per RSA conforme al GDPR

Chi fa che cosa

Titolare del trattamento

La struttura (RSA, casa di riposo, comunità): decide perché e come trattare i dati, abilita gli utenti, informa ospiti, familiari e dipendenti.

Responsabile del trattamento

Savesoft, nominata dalla struttura (art. 28 GDPR): tratta i dati solo per conto della struttura e secondo le sue istruzioni, per far funzionare, custodire e assistere il gestionale.

Sub-responsabili

I fornitori dell'infrastruttura: mettono a disposizione il server e lo spazio per i backup, senza accedere al contenuto dei dati.

Il percorso dei dati

StrutturaGli operatori usano Web RSA dal browser, dal tablet o dal telefono

Connessione cifrataHTTPS, come per l'home banking

Server nell'UEData center in Germania, disco cifrato

Backup notturnoArchivio cifrato e verificato

Copia a MilanoNon modificabile per 30 giorni

Nessun dato fuori dall'Unione Europea. Ogni struttura ha il proprio database e la propria cartella dei documenti: i dati di una struttura non sono mai mescolati con quelli di un'altra.

Le misure di sicurezza

Cifratura in ogni fase

In viaggio con HTTPS (TLS 1.2 o superiore, versioni vecchie disattivate), sul disco del server (AES 256 bit) e nei backup. Le chiavi sono custodite solo da Savesoft.

Backup ogni notte

Database e documenti salvati in un archivio cifrato, verificato subito e copiato a Milano. Una copia al mese viene conservata per 12 mesi.

Copie non modificabili

Per 30 giorni nessuno, nemmeno Savesoft, può cancellare o alterare le copie: restano intatte anche in caso di attacco informatico (ransomware).

Prove di ripristino

Almeno ogni sei mesi una copia viene ripristinata in un ambiente di prova e confrontata con i dati in uso. Ultima prova: 8 novembre 2026, esito positivo.

Accesso con due fattori

Oltre alla password, un codice di 6 cifre valido una sola volta. Con impronta o volto (passkey) i dati biometrici restano sul dispositivo: Savesoft non li riceve.

Utenti e profili

Un utente per ogni persona; ogni profilo vede solo i dati necessari al suo ruolo. I permessi li decide l'amministratore della struttura.

Obblighi di riservatezza

Ogni utente accetta un'informativa che vieta screenshot, foto dello schermo e diffusione dei dati, anche nelle chat, e richiama le conseguenze previste dalla legge.

Server e programma protetti

Firewall, database non raggiungibili da internet, aggiornamenti di sicurezza e antivirus; il programma è protetto dagli attacchi di tipo SQL injection.

Registrazioni e controlli

Operazioni sui dati sanitari registrate con utente, data e ora; accessi degli amministratori di sistema conservati in un archivio non modificabile.

I fornitori dell'infrastruttura

Fornitore	Dove sono i dati	Che cosa fa
Contabo GmbH Germania	Data center della regione UE, in Germania	Fornisce il server. Sistema operativo, programma, database e sicurezza sono gestiti esclusivamente da Savesoft.
OVH SAS Francia	Data center di Milano (Italia)	Conserva le copie dei backup, già cifrate da Savesoft, in modalità non modificabile. Non possiede la chiave e non può leggerle.

Con entrambi i fornitori esistono accordi di trattamento dei dati conformi all'art. 28 GDPR; nessuno dei due trasferisce dati fuori dall'Unione Europea.

Principi del GDPR applicati

Solo i dati necessari: i moduli non attivi non raccolgono dati e le notifiche automatiche sono avvisi generici, senza dati sulla salute.
Conservazione limitata: i backup si cancellano da soli alla scadenza; a fine contratto i dati sono restituiti alla struttura e poi cancellati.
Diritti degli interessati: Savesoft aiuta la struttura a rispondere alle richieste di accesso, rettifica, cancellazione e portabilità.
Violazioni dei dati: in caso di incidente Savesoft lo comunica alla struttura senza ingiustificato ritardo e la aiuta nella notifica al Garante e nel recupero dei dati.
Amministratori di sistema designati secondo il provvedimento del Garante del 27 novembre 2008; ogni intervento sul server è preceduto da una copia dello stato precedente e registrato.

WebRsa.itProtezione dei dati – Web RSA

Come proteggiamo i dati in Web RSA