Indagini sanitarie per studi ospedalieri
Questionari sanitari di cui non possiamo leggere i nomi.
Il responsabile dello studio costruisce il questionario, sceglie come includere i partecipanti (in modalità aperta, senza raccogliere identità; in modalità nominativa, con un'identità cifrata solo per il medico), apre lo studio e segue il reclutamento dal browser, senza sviluppatore. I partecipanti rispondono dal telefono. I risultati sono pubblicati senza che nessuno sia identificabile.
Auspex 1.10 — versione funzionalmente completa e testata. Una nuova versione è in fase di sviluppo, con ottimizzazioni. Lo stato attuale — fase pilota interna.
Il meccanismo centrale
In modalità nominativa, l'identità del partecipante viene cifrata sul suo telefono, solo per il suo medico
Canarin non detiene mai un'identità in chiaro: in modalità aperta non ne esiste alcuna; in modalità nominativa il server memorizza solo ciò che la chiave del medico può aprire.
Questo meccanismo riguarda la modalità nominativa. Nome e data di nascita vengono cifrati nel browser del partecipante verso la chiave pubblica del medico: ECDH P-256, derivazione HKDF-SHA256, cifratura AES-GCM. I dati associati legano il messaggio allo studio e al medico: spostato su un altro studio o modificato anche di un solo byte, non si apre più. La chiave privata del medico esiste in chiaro solo nella sessione del suo browser e non può essere estratta da essa.
SUL TELEFONO DEL PARTECIPANTE
La cifratura avviene qui
In modalità nominativa, al momento del consenso il telefono cifra nome e data di nascita. Ciò che parte verso il server è già illeggibile. L'indirizzo deve essere https: altrimenti la pagina rifiuta di funzionare piuttosto che cifrare male.
SUL SERVER CANARIN
Restano soltanto dati cifrati
Identità illeggibili (modalità nominativa), risposte archiviate sotto un codice casuale e gli indirizzi professionali. In modalità aperta non viene memorizzata alcuna identità. Chi ottenesse l'accesso completo al server non potrebbe collegare una risposta a una persona.
NEL BROWSER DEL MEDICO
La decifratura avviene qui
In modalità nominativa, il medico sblocca la propria chiave con la passphrase e vede i nomi dei suoi partecipanti accanto ai loro codici. Nessun altro, Canarin compreso, può fare questo collegamento.
Due modalità di inclusione
Ampia diffusione o follow-up nominativo: il responsabile sceglie, studio per studio
La modalità si sceglie alla creazione dello studio e si blocca alla sua apertura. Determina che cosa viene raccolto sui partecipanti, e quindi che cosa c'è da proteggere.
MODALITÀ APERTA — INDAGINI GLOBALI
Partecipare con una scansione, senza fornire la propria identità
Per una diffusione ampia, quando l'identità non ha alcuna utilità per lo studio.
- Ampia diffusione: locandine, codici QR in sala d'attesa, newsletter, stand, convegni. Il responsabile crea link globali; ogni medico dispone inoltre del proprio link personale.
- Partecipazione immediata, senza identità: consenso, codice PIN, poi il questionario. Nessun dato anagrafico viene richiesto né memorizzato.
- Ripresa con il codice partecipante e il PIN, anche da un altro dispositivo.
- Reclutamento in tempo reale: scansioni, iscrizioni e questionari inviati, per link. Sono contatori, mai persone.
MODALITÀ NOMINATIVA — INDAGINI MIRATE
Una coorte chiusa, seguita dal suo medico
Per gli studi in cui il medico deve poter ritrovare ogni partecipante.
- Inclusione da parte dei professionisti: il medico crea un codice monouso per ogni paziente, mostrato a schermo o stampato su un foglio di adesivi QR (nessun dato del paziente sul foglio).
- Identità cifrata end-to-end: nome e data di nascita vengono cifrati nel browser del partecipante verso la chiave del medico.
- Inclusione confermata automaticamente; il medico può annullarne la conferma o respingerla. Ogni codice vale una sola volta e scade dopo 30 giorni.
- Coorte chiusa, follow-up sicuro: solo chi possiede un codice può iscriversi, e il medico ritrova i propri.
GDPR e segreto medico. La modalità aperta applica la minimizzazione dei dati: non viene raccolta alcuna identità, quindi non c'è nulla da cifrare. La modalità nominativa applica la cifratura asimmetrica (ECDH P-256, AES-GCM, descritta sopra): solo la chiave del medico apre l'identità. In entrambe le modalità il responsabile dello studio supervisiona il reclutamento senza mai vedere un'identità e può cancellare lo studio in qualsiasi momento dopo la sua apertura: i dati personali vengono allora eliminati in modo irreversibile, mentre i risultati pubblicati e il registro di audit vengono conservati. In entrambe le modalità, i partecipanti possono interrompere in qualsiasi momento.
Modello di fiducia
Chi vede cosa, esattamente
Questa tabella risponde alla domanda posta dai comitati etici. Ogni riga è applicata dal database stesso, non soltanto dall'interfaccia.
| Ruolo | Nome del partecipante (modalità nominativa) | Risposte individuali | Codice partecipante | Reclutamento per centro | Esportazione pseudonimizzata |
|---|---|---|---|---|---|
| Medico sperimentatore | Sì solo i propri partecipanti, in modalità nominativa | Sì solo i propri partecipanti | Sì completo per i propri, mascherato per gli altri | No | No |
| Responsabile dello studio | No nessuna rotta lo consente | No nessun accesso alle righe dei partecipanti | No | Sì numeri di partecipanti, ultimo accesso dei medici | Sì dati del proprio promotore |
| Statistico | No | No nessuna riga di partecipante gli viene restituita | No | No | Sì studi autorizzati, revocabile in qualsiasi momento |
| Canarin, l'editore | No cifrato in modalità nominativa; nessuna identità in modalità aperta | Tecnicamente sì, ma sotto codice casuale, non riconducibile a una persona | Tecnicamente sì | No | No |
| Pubblico | No | No | No | No | No |
Il pubblico vede soltanto la pagina dei risultati: tabelle aggregate, nelle quali le basse numerosità sono mascherate. Nulla di individuale vi compare, mai.
Svolgimento di uno studio
Sei fasi, dal questionario vuoto ai risultati pubblicati
L'ordine conta: ogni fase sblocca la successiva. Uno studio non può aprirsi senza questionario e, in modalità nominativa, un medico non può creare codici paziente finché non ha creato le proprie chiavi.
Creare lo studio e costruire il questionario
Otto tipi di domande, condizioni di visualizzazione (una domanda compare solo se è stata data una determinata risposta) e sei lingue, in un editor con anteprima lato partecipante. Lo studio nasce in bozza. Il responsabile sceglie anche la modalità di inclusione, aperta o nominativa, che si blocca all'apertura dello studio.
Invitare i medici, aprire lo studio
I medici vengono aggiunti tramite indirizzo e-mail. Il link di attivazione è monouso e scade. Lo studio non può aprirsi senza questionario; una volta aperto, ogni modifica crea una nuova versione.
Attivare il proprio account, ottenere il link o le chiavi
Password di almeno dodici caratteri, più un'app di autenticazione. In modalità aperta, il medico riceve il proprio link personale e la scheda QR stampabile. In modalità nominativa genera anche le proprie chiavi di cifratura, indispensabili per creare i codici paziente; una chiave di recupero stampabile permette di cambiare la passphrase, e Canarin non può sostituirla.
Scansionare un codice QR o inserire il proprio codice, acconsentire, rispondere
Modalità aperta: consenso, scelta di un PIN, poi il questionario, senza nome né data di nascita. Modalità nominativa: il partecipante usa il codice monouso consegnato dal suo medico; nome e data di nascita vengono cifrati sul telefono prima dell'invio. In entrambi i casi, il codice partecipante e il PIN consentono di riprendere più tardi, da un altro dispositivo. Le risposte vengono salvate man mano.
Seguire, confermare o respingere le inclusioni
In modalità nominativa, il medico vede i nomi dei propri partecipanti e legge le risposte; l'inclusione è confermata automaticamente e la conferma può essere annullata. In modalità aperta segue i propri partecipanti tramite il codice, senza nomi, e il responsabile segue il reclutamento per link in tempo reale. Un rifiuto è definitivo, motivato da un elenco fisso e visibile a tutti i professionisti dello studio: codice completo per chi respinge, mascherato per gli altri.
Analizzare, chiudere, pubblicare
Un'analisi intermedia viene eseguita ogni giorno senza intervento. Alla data di fine, lo studio si chiude da solo, viene eseguita l'analisi finale e la pagina pubblica passa a quest'ultima. Account e sessioni vengono eliminati, i link e i codici di inclusione cessano di funzionare; le risposte restano leggibili dal loro medico e, in modalità nominativa, anche le identità. Il responsabile può inoltre cancellare lo studio in qualsiasi momento dopo la sua apertura: i dati personali scompaiono, mentre i risultati pubblicati e il registro di audit vengono conservati.
Pubblicazione
Perché una tabella pubblica non consente di risalire a una persona
Mascherare le basse numerosità non basta
Se una cella conta meno di dieci persone, viene mascherata. Ma mascherare una sola cella di una riga non protegge nulla: basta sottrarre le altre dal totale per ritrovarla. Auspex maschera quindi anche una cella supplementare, scelta in modo che la sottrazione non restituisca più nulla.
| Fascia | Pubblicato | Senza la seconda soppressione |
|---|---|---|
| 18–39 | 42 | 42 |
| 40–59 | mascherato | mascherato |
| 60+ | mascherato | 35 |
| Totale | 84 | 84 |
A destra, si deduce immediatamente che la fascia 40–59 conta 7 persone. A sinistra, no.
Le altre regole
- La tabella complessiva e le tabelle per centro sono trattate come un'unica tabella, in modo che non sia possibile differenziarle tra loro.
- I centri di piccole dimensioni sono raggruppati anziché pubblicati separatamente.
- Nessun minimo né massimo viene pubblicato: un valore estremo designa spesso una persona.
- Nessuna risposta a testo libero viene mai pubblicata — un partecipante potrebbe avervi scritto il proprio nome.
- Le domande a scelta multipla sono esaminate insieme alle loro complementari.
- Una verifica automatica rifiuta di scrivere il rapporto se una di queste regole non è rispettata. Non esiste pubblicazione « forzata ».
Verifica
Ciò che è verificato da test, e non semplicemente affermato
Ogni promessa di questa pagina corrisponde a un test che fallisce se la promessa cessa di essere vera.
Chiavi, sigillatura, sostituzione di chiave, riproduzione tra studi.
Diritti per ruolo, blocco, registro di audit, chiusura.
Proprietà della soppressione, tabelle, esecuzione reale.
Dodici scene, tutti i ruoli, in un vero browser.
- Una chiave di medico sostituita viene rifiutata all'iscrizione: il telefono confronta l'impronta riportata dal link — che non viene mai inviata al server — con quella dichiarata dal server.
- Un codice partecipante sottratto non basta: serve il PIN. Cinque errori bloccano il codice per quindici minuti, e il ritardo raddoppia ogni volta. Lo stesso errore viene mostrato per un codice errato e per un PIN errato.
- Un link di inclusione che circola — scheda smarrita, messaggio inoltrato — consente di iscriversi come partecipante di quel medico, che vede l'iscrizione e la respinge. Il rifiuto resta visibile.
- Il registro di audit è concatenato tramite impronte. Una modifica effettuata da un amministratore del database, con le protezioni disattivate, viene rilevata: è testato.
- L'esportazione contiene soltanto le risposte inviate e non respinte: nessun codice, nessuna identità, nessun testo libero, identificativi di riga irreversibili e stabili da un'esportazione all'altra. Ogni download viene registrato e una revoca ha effetto immediato.
- Il responsabile non può designare sé stesso come statistico, e un medico non può esportare.
Se partecipa a uno studio
Che cosa Le viene chiesto e che uso ne viene fatto
Arriva qui tramite un codice QR, un link o un codice, non cercando in questo sito
A seconda dello studio, scansiona un codice QR (locandina, sala d'attesa, newsletter o scheda del suo medico) oppure apre il link o il codice monouso che il suo medico le consegna. In ogni caso non proviene da questo sito. Lo apre sul telefono. Che cosa accade poi:
- Le viene spiegato lo studio e Le viene chiesto il Suo consenso. Può rifiutare.
- A seconda della modalità dello studio: in modalità nominativa le vengono chiesti nome e data di nascita, cifrati sul telefono prima dell'invio, e solo il suo medico potrà leggerli; in modalità aperta, non le viene chiesta alcuna identità.
- Sceglie un PIN e riceve un codice partecipante. Li conservi: Le permettono di tornare a completare il questionario in un secondo momento, anche da un altro dispositivo.
- Risponde. Ogni risposta viene salvata man mano: se chiude la pagina, non perde nulla.
- Le sue risposte individuali non vengono mai pubblicate. Ciò che viene pubblicato sono totali, in cui il suo caso si perde in mezzo agli altri.
Canarin, che fa funzionare la piattaforma, non può leggere il suo nome. In modalità aperta non esiste; in modalità nominativa non è una promessa commerciale: la cifratura avviene sul suo telefono e non possediamo la chiave che la apre.
Tabella di marcia
Che cosa verrà dopo
Auspex 1.10 è completo sul piano funzionale e testato. La versione successiva è in sviluppo; ecco che cosa apporta.
Analisi
- Soppressione incrociata tra domande: oggi due tabelle di domande collegate potrebbero in linea di principio essere differenziate l'una dall'altra.
- Modelli statistici oltre le tabelle descrittive, per gli studi che ne hanno bisogno.
Esercizio
- Rotazione della chiave per un medico, senza intervento manuale.
- Invio degli inviti tramite e-mail: oggi il link circola attraverso il canale scelto dal responsabile.
Stato attuale
Cosa è stato fatto prima di un primo studio ospedaliero
Auspex è in una fase pilota interna: nessuno studio ospedaliero reale è ancora iniziato. I punti di sicurezza e di esercizio seguenti sono stati trattati; l'elenco è tenuto aggiornato insieme al codice.
Tecnici (ottobre 2026)
- Revisione indipendente del codice di cifratura e della gestione delle chiavi, e test di intrusione: rilievi di gravità alta e media corretti
- Configurazione TLS del proxy (HSTS) e script di verifica
- Monitoraggio: stato dell'API, errori dello scheduler, verifica del registro di audit, backup cifrati
Giuridici e organizzativi
- Hosting conforme ai requisiti HDS, su un account separato dalla piattaforma sensori
- Procedura scritta di conservazione ed eliminazione, con un responsabile designato; eliminazione automatica alla scadenza
- Procedura per gli incidenti: chi reinvita, chi legge il registro, cosa fare se la catena di audit si interrompe
La custodia dei dati spetta al medico, e non è una carenza: è la conseguenza della scelta di progettazione. La decifratura avviene nel suo browser. Dal momento in cui sblocca la propria chiave, i nomi e le risposte dei suoi partecipanti sono leggibili sulla sua postazione — e la loro sicurezza dipende allora da lui: la postazione stessa, la sessione aperta e la chiave di recupero che conserva offline. Canarin non può né aiutarlo né sostituirsi a lui, poiché non abbiamo la chiave.
Questa custodia pratica non sposta le responsabilità giuridiche: il titolare del trattamento resta l'ospedale promotore, il medico sperimentatore agisce sotto la sua responsabilità e Canarin rimane responsabile del trattamento ai sensi dell'articolo 28. Il dettaglio è nel quadro giuridico.
Questo elenco è pubblicato perché un comitato etico lo richiederà comunque, e perché una piattaforma di dati sanitari che non mostra a che punto si trova non è credibile. È mantenuto aggiornato insieme al codice.
Quadro giuridico
Chi è responsabile di che cosa
L'ospedale è promotore
Resta titolare del trattamento. I dati dello studio sono suoi; l'esportazione pseudonimizzata gli appartiene.
Canarin è responsabile del trattamento
Ai sensi dell'articolo 28 del GDPR.
Gli adempimenti restano in capo al promotore
Parere del comitato etico, dichiarazione CNIL — in generale nell'ambito delle metodologie di riferimento MR-001 o MR-003. Forniamo la documentazione tecnica del fascicolo.
Studi multicentrici
Un promotore, più centri. Gli studi medici privati partecipano come centri di uno studio guidato da un ospedale.
Domande frequenti
Per ospedali e studi medici
Le domande sui sensori di qualità dell'aria sono trattate su canarin-sensors.com.
Chi può commissionare uno studio?
Gli ospedali, in qualità di promotori. Uno studio medico privato può partecipare come centro di uno studio guidato da un ospedale, il che consente a uno stesso studio di estendersi a più strutture.
Servono uno sviluppatore o un'integrazione informatica?
No. Il responsabile dello studio fa tutto dal proprio browser: questionario, inviti, monitoraggio, analisi, chiusura. Per la struttura non c'è nulla da installare. L'unico vincolo tecnico è che i medici dispongano di un'applicazione di autenticazione sul proprio telefono.
Qual è la differenza tra un'indagine aperta e un'indagine nominativa?
Un'indagine aperta è pensata per l'ampia diffusione (locandina, newsletter, sala d'attesa): si partecipa scansionando un codice QR, senza che vengano richiesti nome o data di nascita, e il responsabile segue il reclutamento in tempo reale (scansioni, iscrizioni, questionari inviati). Un'indagine nominativa è una coorte chiusa: il medico consegna a ogni paziente un codice monouso e l'identità viene cifrata nel browser del paziente solo per il medico.
La modalità si sceglie alla creazione dello studio e non può più cambiare una volta aperto. Scelga la modalità aperta se l'identità delle persone non apporta nulla allo studio (minimizzazione dei dati); la modalità nominativa se il medico deve poter ritrovare i propri pazienti.
Come viene costruito il questionario?
Direttamente dal Suo team nell'editor, oppure da noi a partire dai Suoi documenti — protocollo, questionario cartaceo, raccomandazioni. In entrambi i casi l'esperto rilegge e convalida prima della messa online, e la versione convalidata è congelata: qualsiasi modifica dopo l'apertura crea una nuova versione, tracciata.
È possibile verificare come sono stati calcolati i risultati?
Sì. L'analisi viene eseguita in Python e il suo codice è comunicato, con la formula alla base di ciascun indicatore. Anche le regole di mascheramento delle basse numerosità sono pubbliche e testate.
E se un medico perde la propria passphrase?
Utilizza la propria chiave di recupero, stampata all'attivazione, per definirne una nuova. Senza questa chiave, le identità dei suoi partecipanti sono definitivamente illeggibili: Canarin non può recuperarle. È la contropartita diretta del fatto che non deteniamo la chiave. La chiave di recupero deve essere conservata offline.
Uno studio può essere ripetuto?
Sì. Una nuova ondata o un nuovo centro riutilizza lo stesso questionario convalidato; cambiano soltanto i link di inclusione e la campagna.
Viene utilizzata l'intelligenza artificiale?
Non nella piattaforma. Auspex 1.10 produce tabelle descrittive, calcolate da codice leggibile, e nient'altro: nessun modello interviene nei risultati pubblicati.
I lavori di analisi più avanzati — esplorazione di profili di rischio a livello di popolazione, trattamento delle risposte a testo libero — rientrano in una prestazione di studio distinta, discussa caso per caso, in cui qualsiasi risultato è qualificato come esplorativo. Non viene prodotto alcun punteggio di rischio individuale.
Dove sono ospitati i dati?
In Francia, su un hosting conforme ai requisiti HDS, separato dalla piattaforma sensori.
Le due attività di Canarin
Canarin fa due cose distinte
Una stessa domanda le collega: a che cosa siamo esposti e che effetto ha sulla nostra salute? Ma sono due mestieri, due siti e due database separati.
I due nomi dicono la stessa cosa. Il canarino scendeva nella miniera per avvertire prima degli uomini. L'augure, a Roma, osservava il volo degli uccelli per trarne ciò che sarebbe accaduto — da lui deriva la parola « auspicio ». Due modi di leggere gli uccelli.
canarin-sensors.com
Canarin Capteurs
Misurare l'aria di un luogo, in continuo, e renderla leggibile. Hardware e accesso alla piattaforma.
- Per scuole, enti locali e imprese
- Dati di misura, nessun dato personale
- Obblighi del decreto sulla qualità dell'aria interna
auspex.canarin-sensors.com
Canarin Auspex
Questionari sanitari per studi condotti da ospedali, i cui risultati sono pubblicati senza che nessuno sia identificabile.
- Per responsabili di studio, medici sperimentatori e statistici
- Dati sanitari, sotto la responsabilità del promotore
- Il partecipante arriva tramite un codice QR, un link o il codice del suo medico
Si trova qui
Nulla circola tra le due. Nessuna misura di sensore confluisce in uno studio e nessuna risposta di partecipante risale verso la piattaforma sensori. Ogni attività ha il proprio hosting, il proprio database, la propria informativa sulla privacy e la propria base giuridica. Un eventuale collegamento, qualora un giorno fosse pertinente per uno studio, richiederebbe un proprio accordo e un proprio passaggio davanti a un comitato.
Accesso
Entrare in Auspex
Area professionale
Medici e responsabili di studio. L'accesso si crea su invito nominativo, mai in libero accesso.
Riprendere un questionario
Con il suo codice partecipante e il suo PIN. Una prima partecipazione inizia sempre con un codice QR, un link o un codice consegnato dal suo medico o dal team dello studio, mai da questo sito.
Editor del questionario
Costruire, tradurre e visualizzare in anteprima il questionario così come lo vedrà un partecipante. Riservato ai responsabili di studio.
Avviare uno studio
Cominciamo col parlarne. Ci indichi l'argomento, il numero di centri previsti e la scadenza: risponderemo con ciò che è fattibile oggi e con ciò che richiede prima il soddisfacimento di un prerequisito, senza abbellire nulla.
E se il Suo capitolato richiede altro, ne parliamo: i nostri team possono valutare un adattamento delle funzionalità esistenti o uno sviluppo specifico. Uno studio non rientra in uno schema rigido — domande, lingue, percorso di inclusione, formato del rapporto. Valutiamo insieme che cosa è possibile, a quali condizioni e che cosa non lo è: è discutendone che lo si sa.
auspex@canarin-sensors.com