Tutti gli articoli

    Nota di architettura

    15 luglio 2026di Gustavo Teixeira Cuco3 min di lettura

    Architettura dei Dati Sanitari a Dubai — Quattro Domande Oltre la Sanità

    Contesto architetturale

    Decisione architetturale

    Fiducia e conformità

    Applicato a

    Q-LIRILusiberiaStays
    Architettura dei Dati Sanitari a Dubai — Quattro Domande Oltre la Sanità

    Sono partito da una domanda ampia su un prodotto di IA clinica in Medio Oriente. Le fonti hanno imposto un perimetro più stretto: l'architettura normativa dipende dalla giurisdizione e dal caso d'uso. Le norme pubbliche di Dubai erano la fonte pertinente, non una generalizzazione sugli EAU o sul MENA.

    Lo standard DHA sulla telemedicina integra la valutazione della piattaforma nel modello operativo e, per le informazioni coperte, richiede un cloud provider certificato DESC negli EAU. Fissa inoltre un minimo di 25 anni dall'ultimo incontro per le informazioni di telemedicina. Altri standard DHA e NABIDH richiedono minimo privilegio e audit trail protetti.

    Questi obblighi non si applicano automaticamente a una piattaforma immobiliare. Si trasferiscono le domande architetturali, non le regole sanitarie.

    Entrambi i settori trattano dati limitati da finalità, ruolo e giurisdizione. Dire che un record semplicemente “appartiene” alla persona descritta nasconde i ruoli giuridici di interessato, titolare e responsabile del trattamento. L'architettura deve rendere espliciti questi ruoli e diritti decisionali.

    Non ho trovato una base per affermare che il PropTech converga verso la normativa sanitaria di Dubai. Ho trovato quattro domande riutilizzabili: ubicazione, ciclo di vita, autorità e prova.

    Le domande si trasferiscono; le risposte normative no.

    Ubicazione. Dove può essere archiviata o trattata ogni classe di dati secondo le regole applicabili? Per un'operazione PT/ES la risposta deriva dal GDPR, dai contratti e dalla catena reale di trattamento, non dalla sanità.

    Ciclo di vita. Cosa crea il record, per quanto tempo deve restare disponibile e cosa ne autorizza la cancellazione? I 25 anni sono una risposta specifica della telemedicina di Dubai; la pratica riutilizzabile è definire ogni ciclo di vita.

    Autorità. Chi può vedere, modificare o divulgare ogni record e per quale finalità? Il minimo privilegio è il principio; RBAC e policy di database sono controlli possibili, non sostituti del modello di responsabilità.

    Prova. Cosa dimostra chi ha consultato o modificato un record, quando e con quale autorità? NABIDH richiede audit trail verificabili e protetti da alterazioni o cancellazioni non autorizzate; non giustifica la mia precedente affermazione che ogni log debba essere firmato, append-only o scritto prima del commit.

    Insieme, ubicazione, ciclo di vita, autorità e prova formano un'architettura più utile di una generica funzione di “compliance”. La configurazione può esprimere differenze, ma non rende intercambiabili regimi giuridici distinti.

    È un confronto architetturale, non un'equivalenza normativa, un'implementazione clinica o una certificazione. Q-LIRI ha esposto le domande; applicarle a LusiberiaStays richiede una base giuridica e controlli propri.

    L'evoluzione qui è trasformare un'analogia ampia in quattro decisioni esplicite e rimuovere, prima della pubblicazione, la certezza che le fonti non sostenevano.

    Sources