01 / SOLHEA
Dati organizzativi, per finalità definite
Identificativi tecnici, contatti necessari, Facility, evento, attività, scadenze e audit costituiscono il minimo operativo. Diagnosi, anamnesi, referti, esami e immagini diagnostiche restano fuori dal perimetro. Non esiste un repository di documenti clinici.
02 / SOLHEA
Accessi e isolamento verificati
Staff usa OIDC/OAuth2 e RBAC. Il server verifica scope Organization/Facility. Patient usa link sicuro e OTP, token a vita limitata e accesso circoscritto al Journey. I test di sicurezza coprono isolamento tenant, accessi cross-facility e privilege escalation.
03 / SOLHEA
Verifiche lungo lo sviluppo
CI include test backend/frontend, E2E, accessibilità, SAST, analisi delle dipendenze e scansioni. Migrazioni versionate, gestione dei segreti, comunicazioni minimizzate e log senza token o contenuti sensibili sostengono una release controllata. TLS e protezioni infrastrutturali vanno configurati per l’ambiente.
04 / SOLHEA
Prima di un Pilot reale
Privacy assessment/DPIA ove applicabile, DPA, retention e informative richiedono accordi e approvazioni. Monitoring, backup cifrati, restore testati, incident response, penetration test e RPO/RTO sono gate operativi da completare: non verifiche già concluse.