Regione Supabase attuale vs requisiti per l'adozione ospedaliera/PA
Analisi — non un documento legale formaleIl database di NutriPlan-Pro è ospitato su Supabase, regione Irlanda (eu-west-1). È una regione UE: soddisfa il requisito GDPR di base (i dati non lasciano l'Unione Europea, salvo i trasferimenti verso sub-responsabili USA già coperti da Clausole Contrattuali Standard — vedi registro dei trattamenti).
Per il modello di business attuale (professionisti che acquistano un abbonamento direttamente, nessuna procedura di appalto pubblico) questo è sufficiente. Non ci sono requisiti aggiuntivi da soddisfare.
La domanda "serve un hosting italiano invece che irlandese?" inquadra il problema nei termini sbagliati. La vera barriera per una fornitura formale a un ospedale pubblico non è la posizione geografica del data center — è che il fornitore cloud (non l'applicazione che ci gira sopra) deve essere qualificato dall'ACN (Agenzia per la Cybersicurezza Nazionale) per poter trattare dati della PA.
| Livello | Ambito | Rilevante per NutriPlan-Pro? |
|---|---|---|
| QC1 | Dati ordinari | Insufficiente — i dati sanitari non rientrano qui |
| QC2 | Dati critici — include esplicitamente la sanità | ✅ Livello minimo richiesto per i dati clinici dei pazienti |
| QC3 | Dati strategici (impatto grave/catastrofico su sicurezza nazionale o continuità operativa) | Probabilmente non necessario per uno studio/ambulatorio, ma può essere richiesto per strutture ospedaliere maggiori |
Fonte: acn.gov.it, Polo Strategico Nazionale — pagine di qualificazione del cloud per la PA.
Supabase (e Vercel, per l'hosting applicativo) sono piattaforme cloud globali eccellenti per lo sviluppo, ma non sono fornitori qualificati ACN per la PA italiana, e non hanno alcun incentivo commerciale a perseguire una qualificazione così specifica per un mercato di nicchia. Questo vale a prescindere da quale regione UE si scelga: Irlanda, Francoforte o Parigi sono tutte ugualmente "non qualificate ACN", perché la qualificazione riguarda il fornitore e le sue procedure/certificazioni (tra cui tipicamente ISO 27001 — vedi il documento sul percorso di certificazione), non la sola posizione del data center.
Spostare il database da Irlanda a un'altra regione UE di Supabase non cambia nulla rispetto alla qualificazione ACN — il problema non si risolve scegliendo una regione diversa sullo stesso fornitore. La domanda utile non è "quale regione Supabase", ma "quale infrastruttura, se una fornitura diretta a un ospedale pubblico via appalto PA è davvero l'obiettivo".
Cliniche private, poliambulatori, RSA private, centri nutrizionali privati non sono generalmente vincolati alle stesse regole di procurement ACN di un'ASL/ospedale pubblico quando acquistano un software gestionale come servizio (SaaS) per uso interno — la loro due diligence è tipicamente GDPR-centrica, non ACN-centrica. Con l'attuale hosting (Supabase Irlanda + Vercel) questo mercato è già raggiungibile senza modifiche infrastrutturali, coerentemente con l'evidenza raccolta sull'aderenza/riduzione costi discussa in precedenza.
Concedere in licenza il software (o i suoi dati/algoritmi distintivi) a un vendor sanitario italiano che possiede già la qualificazione ACN QC2 e relazioni ospedaliere consolidate, che lo ospiterebbe sulla propria infrastruttura qualificata. Più lento da avviare commercialmente, ma evita del tutto una migrazione tecnica.
Migrare backend e hosting su un provider italiano/UE già qualificato o in percorso di qualificazione (es. le region "sovrane" annunciate da alcuni hyperscaler per la PA italiana, o un provider nazionale qualificato). È l'opzione più impegnativa: comporta la riscrittura dello strato di accesso ai dati (RLS/trigger/storage sono tutti specifici di Postgres/Supabase), non è un semplice cambio di region — e resterebbe comunque da ottenere la qualificazione ACN per il proprio deployment specifico, che è un processo lungo indipendentemente dal provider sottostante.
Data l'assenza di una trattativa ospedaliera concreta in corso, investire in una migrazione infrastrutturale (3.3) oggi sarebbe prematuro: il costo/tempo non è giustificato finché non c'è un cliente PA reale che lo richiede esplicitamente come condizione di fornitura. Le priorità utili nel frattempo sono quelle che rafforzano la posizione a prescindere dallo scenario finale — audit log affidabile, SSO, e (vedi documento dedicato) un percorso ISO 27001, che è comunque un prerequisito quasi universale per QC2 indipendentemente da dove si scelga di ospitare i dati in futuro.
Per domande relative alla presente valutazione, contatta il Titolare/Responsabile all'indirizzo indicato nell'Informativa Privacy.
Ultimo aggiornamento: Agosto 2026 — NutriPlan-Pro · Analisi v0.1, basata su fonti pubbliche disponibili alla data di stesura