Security Center

Aduvera utilizza il Cloud Data Processing Addendum di Google Cloud e il Google Cloud HIPAA Business Associate Addendum per l'infrastruttura del servizio. Questa base contrattuale è importante per workflow documentali sensibili.

Aduvera non presenta questi accordi a monte come una dichiarazione generale secondo cui ogni configurazione cliente sia automaticamente conforme. La reale conformità dipende ancora dal workflow, dai controlli di accesso, dalla configurazione, dalla retention e dall'eventuale esecuzione di un BAA cliente separato.

For customers outside the U.S. and for customers processing ordinary business personal data, the main legal framework is Aduvera's Terms of Service, Privacy Policy, and, where applicable, DPA. U.S. HIPAA customers should also review the BAA.

• Authenticated backend access for consultation, transcription, and generation APIs.
• User-scoped consultation reads and writes enforced server-side.
• Audit events for access, mutation, generation, deletion, and purge actions.
• Production protections against unsafe full-payload LLM logging.
• Security headers including CSP, HSTS, anti-framing, and nosniff.
• Database connections default to TLS in production over TCP.

Temporary uploaded audio is deleted after successful transcription by default. Persisted consultation records are retained for up to 30 days after the last update, then soft-deleted and queued for permanent purge. Final hard deletion occurs after an additional 7-day grace period unless a legal hold applies.

Aduvera uses Google Vertex AI to transcribe visits, generate draft documentation, and retrieve transcript-backed note citations. Aduvera does not sell customer data, does not use customer data for advertising, and does not use customer data to train a proprietary Aduvera model.

Customer prompts, transcripts, and outputs are processed only to provide the requested service workflow. Google documents that customer data sent to Vertex AI is not used to train or fine-tune Google foundation models without customer permission or instruction.

Aduvera pubblica documenti pubblici su privacy, DPA, retention, uso dei dati IA e subprocessor in modo che i clienti internazionali possano valutare il servizio senza affidarsi solo a un quadro HIPAA statunitense.

Per i clienti SEE, inclusi Germania, Francia, Italia, Spagna e Paesi Bassi, oltre che per i clienti del Regno Unito e della Svizzera, la DPA è scritta per coprire termini da processor e trasferimenti internazionali. Per Canada, Australia e altri mercati, la stessa documentazione pubblica resta il riferimento della review.

Aduvera currently uses the following categories of subprocessors:

• Google Cloud Run, Cloud SQL for PostgreSQL, Cloud Storage: Application hosting, authenticated API delivery, consultation persistence, and temporary audio object storage.
• Vertex AI Gemini and Vertex embeddings: Transcription, note generation, patient-summary generation, pre-visit preparation, light patient-name extraction, and transcript citation retrieval.
• Firebase Authentication / Google Cloud Identity Platform: User authentication, session establishment, and sign-in support for Google and email magic-link workflows.
• Cloud Logging and Cloud Monitoring: Operational logging, request tracing, rate-limit visibility, and incident-response support.

I clienti possono richiedere documenti legali e di sicurezza, inclusi DPA e lista aggiornata dei subprocessor, tramite l'indirizzo di contatto indicato sotto.

Aduvera mette a disposizione termini BAA per i clienti sanitari statunitensi idonei che necessitano di copertura contrattuale HIPAA.

legal [at] aduvera.ai