اتفاقية معالجة البيانات الخاصة بـ Vetty Scribe

1. التعريفات

1.1 يكون للكلمات المعرَّفة في الشروط المعنى ذاته هنا. ويكون لمصطلحات «المتحكم» (Controller) و«المعالج» (processor) و«المعالجة» (processing) و«البيانات الشخصية» (personal data) و«صاحب البيانات» (data subject) و«خرق البيانات الشخصية» (personal data breach) و«السلطة الرقابية» (supervisory authority) المعاني التي تمنحها إياها اللائحة العامة لحماية البيانات. وفي اتفاقية معالجة البيانات هذه:

• يُقصد بـ «قانون حماية البيانات المعمول به» (Applicable Data Protection Law) اللائحة العامة لحماية البيانات، وقانون حماية البيانات الفرنسي (loi n° 78-17 du 6 janvier 1978)، وأي قانون آخر لحماية البيانات يسري على معالجة بيانات العيادة، بما في ذلك، حيثما تسري، قانون حماية البيانات الشخصية لعام 2012 في سنغافورة (Personal Data Protection Act 2012)، وقانون الخصوصية لعام 1988 في أستراليا (Privacy Act 1988 (Cth))، وقانون الخصوصية لعام 2020 في نيوزيلندا (Privacy Act 2020)، والمرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية في الإمارات العربية المتحدة.
• يُقصد بـ «العميل» (Client) الشخص الذي يُحضر حيواناً إلى العيادة، وأي شخص آخر يشارك في استشارة مسجَّلة بواسطة الخدمة.
• يُقصد بـ «العضو» (Member) الطبيب البيطري أو أي موظف آخر لديه حساب في العيادة، بمن في ذلك مشرفوها.
• يُقصد بـ «بيانات العيادة» (Practice Data) البيانات الشخصية الواردة في سجلات العيادة.
• يُقصد بـ «سجلات العيادة» (Practice Records) تسجيلات الاستشارات، والنصوص المفرَّغة، والوقائع المستخلصة منها، ومسودات التقارير والتقارير الموقَّعة مع نسخها وسجل التدقيق الخاص بها، وبيانات العميل والمريض التي تُدخلها العيادة، وكذلك، إذا استخدمت العيادة الخاصية الاختيارية لإرسال التقارير المبيّنة في البند 3.1(d)، سجل التقارير المرسَلة إلى العملاء.
• يُقصد بـ «المريض» (Patient) الحيوان الذي تعاينه العيادة.
• يُقصد بـ «البنود التعاقدية القياسية» (SCCs) البنود التعاقدية القياسية لنقل البيانات الشخصية إلى بلدان ثالثة التي اعتمدتها المفوضية الأوروبية بموجب القرار التنفيذي (الاتحاد الأوروبي) 2021/914.
• يُقصد بـ «الخدمة» (Service) Vetty Scribe، على النحو المبيّن في الشروط.
• يُقصد بـ «المعالج من الباطن» (Sub-processor) أي طرف ثالث تتعاقد معه Vetty لمعالجة بيانات العيادة.

1.2 بموجب قانون حماية البيانات الشخصية لعام 2012 في سنغافورة، تُعدّ Vetty «وسيط بيانات» (data intermediary) يعالج بيانات العيادة نيابةً عن العيادة، التي تُعدّ «المنظمة» (organisation) المسؤولة عنها. وحيثما يستخدم قانون آخر من قوانين حماية البيانات المعمول بها مصطلحات أخرى للمتحكم والمعالج، تُفسَّر تلك المصطلحات وفقاً لذلك.

2. النطاق والأدوار

2.1 تكون العيادة هي المتحكم، وتكون Vetty هي المعالج، فيما يخص بيانات العيادة. ويصف الملحق 1 المعالجة.

2.2 لا تشمل اتفاقية معالجة البيانات هذه البيانات الشخصية التي تعالجها Vetty بصفتها متحكماً لأغراضها الخاصة: حسابات الأعضاء وملفاتهم الشخصية، وبيانات حساب العيادة وفريقها وفوترتها، والعيّنات الصوتية، وعيّنات الكتابة، وسجلات الأمن، ومراسلات الدعم، وكذلك، إذا استُخدمت يوماً ما الخاصية الاختيارية لإرسال التقارير، حساب Vetty الذي يستخدمه العميل على vetty.app لقراءة تقرير مرسَل إليه. ويغطي إشعار الخصوصية الخاص بـ Vetty Scribe المنشور على vettyscribe.com/privacy تلك البيانات.

2.3 في حال التعارض بين اتفاقية معالجة البيانات هذه والشروط بشأن معالجة بيانات العيادة، تسود اتفاقية معالجة البيانات هذه. وفي حال التعارض بين اتفاقية معالجة البيانات هذه والبنود التعاقدية القياسية، تسود البنود التعاقدية القياسية.

3. التزامات العيادة

3.1 تكون العيادة مسؤولة عن امتثالها لقانون حماية البيانات المعمول به بصفتها متحكماً. وعلى وجه الخصوص، فإنها:

• (a) يتوفر لديها أساس مشروع لجمع بيانات العيادة ولتكليف Vetty بمعالجتها على النحو المبيّن في اتفاقية معالجة البيانات هذه؛
• (b) تُعلم عملاءها، قبل تسجيل أي استشارة، بأنها تُسجَّل وتُفرَّغ، وبأن التقرير يُصاغ بالذكاء الاصطناعي ويراجعه طبيب بيطري، وبكيفية التعامل مع بياناتهم؛
• (c) تحصل على أي موافقة على التسجيل يقتضيها قانون مكان الاستشارة، ولا تسجّل أي شخص رفض الموافقة أو سحبها؛
• (d) إذا فعّلت إرسال التقارير إلى العملاء، وهي خاصية اختيارية غير متاحة عند الإطلاق ويجوز لـ Vetty إتاحتها لاحقاً (ويبيّنها البند 9 من الشروط)، يتوفر لديها أساس مشروع لإرسال كل تقرير، وتُدخل عنوان البريد الإلكتروني الصحيح؛
• (e) ترد على طلبات عملائها لممارسة حقوقهم فيما يخص بيانات العيادة؛
• (f) تحتفظ بالسجلات التي تقتضيها الجهة التنظيمية البيطرية التي تخضع لها أو القانون، وتصدّرها قبل محوها (البند 10)؛
• (g) تُصدر تعليمات تتوافق مع قانون حماية البيانات المعمول به.

3.2 تطلب الخدمة من العضو أن يؤكد قبل كل تسجيل أن العميل قد وافق، وتحتفظ بذلك التأكيد مع وقته، ولا تسمح بتوقيع أي تقرير من دونه. ويُعدّ ذلك التأكيد إقراراً من العيادة إلى Vetty. ولا ينقل مسؤولية العيادة بموجب البند 3.1(c) إلى Vetty.

4. التزامات Vetty

4.1 تلتزم Vetty بما يلي:

• (a) عدم معالجة بيانات العيادة إلا بناءً على تعليمات العيادة الموثَّقة، بما في ذلك ما يتعلق بالنقل إلى خارج المنطقة الاقتصادية الأوروبية، ما لم يقتضِ خلاف ذلك قانونُ الاتحاد الأوروبي أو قانونُ دولة عضو تخضع له Vetty؛ وفي تلك الحالة تُعلم Vetty العيادةَ بذلك المقتضى القانوني قبل المعالجة، ما لم يحظر ذلك القانونُ ذلك؛
• (b) إبلاغ العيادة فوراً إذا رأت أن أي تعليمات تنتهك قانون حماية البيانات المعمول به؛
• (c) ضمان التزام كل من تخوّله معالجة بيانات العيادة بالسرية؛
• (d) اتخاذ التدابير الأمنية التي تقتضيها المادة 32 من اللائحة العامة لحماية البيانات، والتي تشمل التدابير الواردة في الملحق 3؛
• (e) عدم التعاقد مع معالجين من الباطن إلا وفق ما يسمح به البند 6؛
• (f) مساعدة العيادة على النحو المبيّن في البند 8؛
• (g) إخطار العيادة بخروقات البيانات الشخصية على النحو المبيّن في البند 9؛
• (h) حذف بيانات العيادة أو إعادتها عند انتهاء الخدمة على النحو المبيّن في البند 10؛
• (i) إتاحة المعلومات والسماح بعمليات التدقيق المبيّنة في البند 11.

4.2 لا تبيع Vetty بيانات العيادة، ولا تستخدمها لأغراضها الخاصة، ولا تستخدمها لتدريب نماذج الذكاء الاصطناعي.

5. التعليمات

5.1 تتمثل تعليمات العيادة في الشروط، واتفاقية معالجة البيانات هذه، وإعداد العيادة للخدمة واستخدامها لها، وأي تعليمات كتابية أخرى يتفق عليها الطرفان. وتوجّه العيادة Vetty إلى معالجة بيانات العيادة لتقديم الخدمة على النحو المبيّن في الملحق 1.

5.2 وعلى وجه الخصوص، توجّه العيادة Vetty إلى تكليف مزوّدي الذكاء الاصطناعي المدرجين بوصفهم معالجين من الباطن بتفريغ الصوت المسجَّل للاستشارات، وبصياغة التقارير والتحقق منها. ولا يجوز لأيٍّ منهم التدريب على بيانات العيادة. ويحتفظ كل منهم بالمدخلات التي يتلقاها لمدة قصيرة، بموجب شروطه الخاصة، لرصد إساءة الاستخدام.

5.3 تُشكّل مدد الاحتفاظ بالصوت جزءاً من هذه التعليمات وهي ثابتة: يُحذف الصوت الخاص بالاستشارة التي لم يُوقَّع تقريرها بعد 30 يوماً من تسجيله، ويُحذف الصوت الخاص بالاستشارة التي وُقِّع تقريرها بعد 7 أيام من التوقيع الأول. ويُحتفظ بالنص المفرَّغ والتقرير على النحو المبيّن في البند 10.

5.4 تستلزم أي تعليمات من شأنها تغيير الخدمة، أو تتجاوز ما تؤديه الخدمة، موافقةً كتابية من Vetty.

6. المعالجون من الباطن

6.1 تمنح العيادة Vetty إذناً كتابياً عاماً بالتعاقد مع معالجين من الباطن. والمعالجون من الباطن المستعان بهم عند قبول العيادة لاتفاقية معالجة البيانات هذه هم المدرجون على vettyscribe.com/subprocessors (الملحق 2)، وتأذن العيادة بهم.

6.2 تتعاقد Vetty مع كل معالج من الباطن بموجب عقد مكتوب يفرض عليه التزامات بشأن حماية البيانات لا تقل حمايةً عمّا تنص عليه اتفاقية معالجة البيانات هذه، ولا سيما ضمانات كافية بشأن التدابير التقنية والتنظيمية المناسبة.

6.3 تمنح Vetty العيادةَ إشعاراً مسبقاً لا تقل مدته عن 30 يوماً قبل قيام أي معالج من الباطن جديد أو بديل بمعالجة بيانات العيادة، وذلك بتحديث القائمة المنشورة على vettyscribe.com/subprocessors وإرسال بريد إلكتروني إلى مشرفي العيادة.

6.4 يجوز للعيادة الاعتراض على التغيير لأسباب معقولة تتعلق بحماية البيانات، كتابةً إلى privacy@vetty.app، خلال مدة الإشعار تلك. ويناقش الطرفان الاعتراض بحسن نية. وإذا تعذّرت عليهما تسويته قبل سريان التغيير، يجوز للعيادة إلغاء اشتراكها في Vetty Scribe أو إغلاق العيادة، على النحو المبيّن في الشروط.

6.5 حيثما تعيّن استبدال أحد المعالجين من الباطن على وجه السرعة للحفاظ على أمن الخدمة أو إتاحتها، يجوز لـ Vetty إجراء التغيير بإشعار أقصر. وتُخطر العيادة في أقرب وقت ممكن، وتحتفظ العيادة بحقها في الاعتراض بموجب البند 6.4.

6.6 تظل Vetty مسؤولة تجاه العيادة عن تنفيذ كل معالج من الباطن لالتزاماته.

7. النقل الدولي للبيانات

7.1 تخزّن Vetty بيانات العيادة في الاتحاد الأوروبي، في فرانكفورت بألمانيا.

7.2 يعالج بعض المعالجين من الباطن بيانات العيادة في الولايات المتحدة، أو قد يصلون إليها من هناك، على النحو المبيّن في الملحق 2. وحيثما يعالج معالج من الباطن بيانات العيادة أو يصل إليها في بلد لم يصدر بشأنه قرار كفاية من المفوضية الأوروبية، يكون النقل مشمولاً بإطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة متى كان المعالج من الباطن معتمداً بموجبه، وإلا فبالبنود التعاقدية القياسية (الوحدة الثالثة، من معالج إلى معالج) الواردة في عقد Vetty مع ذلك المعالج من الباطن، إلى جانب التدابير التكميلية الواردة في الملحق 3. وتأذن العيادة بعمليات النقل هذه.

7.3 حيثما تكون العيادة مؤسَّسة خارج المنطقة الاقتصادية الأوروبية في بلد لم يصدر بشأنه قرار كفاية، وتَعُدّ اللائحة العامة لحماية البيانات إتاحة Vetty لبيانات العيادة إلى العيادة نقلاً للبيانات، يتفق الطرفان على الوحدة الرابعة (من معالج إلى متحكم) من البنود التعاقدية القياسية، المدمجة في اتفاقية معالجة البيانات هذه بالإحالة. ولهذا الغرض، تكون Vetty هي مُصدِّر البيانات والعيادة هي مستورِد البيانات، ويقدّم الملحق 1 وصف النقل، ولا يسري بند الانضمام الاختياري، وتخضع البنود التعاقدية القياسية للقانون الفرنسي وتُعرض النزاعات المتعلقة بها على محاكم فرنسا.

7.4 حيثما يقيّد قانون آخر من قوانين حماية البيانات المعمول بها نقل البيانات إلى خارج بلد العيادة، لا تنقل Vetty بيانات العيادة إلا وفق ما يسمح به ذلك القانون، بما في ذلك بموجب ضمانات تعاقدية تمنح البيانات مستوى حماية مماثلاً لما يوفره ذلك القانون.

8. المساعدة

8.1 طلبات أصحاب البيانات. تتيح الخدمة للعيادة الاطلاع على بيانات العيادة، وتصحيح التقرير بتعديله، وحذف الصوت المسجَّل للاستشارة. وتصدّر Vetty سجلات العيادة عند الطلب (البند 10.1)، وتمحو النص المفرَّغ للاستشارة وتقريرها، أو بيانات العميل، بناءً على تعليمات كتابية من العيادة. وإذا تلقّت Vetty طلباً من صاحب بيانات بشأن بيانات العيادة، فإنها تحيله إلى العيادة دون تأخير غير مبرر ولا ترد عليه إلا بناءً على تعليمات العيادة أو حيثما يقتضي القانون ذلك. ومع مراعاة طبيعة المعالجة، تساعد Vetty العيادة من خلال تدابير تقنية وتنظيمية مناسبة، قدر الإمكان، على الرد على تلك الطلبات.

8.2 الواجبات الأخرى. مع مراعاة طبيعة المعالجة والمعلومات المتاحة لها، تساعد Vetty العيادة على الوفاء بواجباتها بموجب المواد من 32 إلى 36 من اللائحة العامة لحماية البيانات: الأمن، والإخطار بالخروقات، وتقييمات الأثر على حماية البيانات، والتشاور المسبق مع السلطة الرقابية.

8.3 تُوجَّه طلبات المساعدة إلى privacy@vetty.app.

9. خروقات البيانات الشخصية

9.1 تُخطر Vetty العيادة بأي خرق للبيانات الشخصية يطال بيانات العيادة دون تأخير غير مبرر، وفي جميع الأحوال خلال 48 ساعة من علمها به، بالبريد الإلكتروني الموجَّه إلى مشرفي العيادة.

9.2 يصف الإشعار، بقدر ما تعلمه Vetty، طبيعة الخرق، وفئات أصحاب البيانات والسجلات المعنية وعددهم التقريبي، والعواقب المحتملة، والتدابير المتخذة أو المقترحة لمعالجته والتخفيف من آثاره، وجهة اتصال. وحيثما يتعذّر على Vetty تقديم كل ذلك دفعة واحدة، فإنها تقدّمه على مراحل دون مزيد من التأخير غير المبرر.

9.3 تتخذ Vetty خطوات معقولة لاحتواء الخرق والحد من آثاره، وتحتفظ بسجل له. ويتولى Brahim Ouasti معالجة كل حادث نيابةً عن Vetty، وهو جهة الاتصال، على privacy@vetty.app.

9.4 تقرر العيادة ما إذا كانت ستُخطر السلطة الرقابية التي تتبعها وأصحاب البيانات، وتتولى ذلك بنفسها. ولا تُخطرهم Vetty بأي خرق لبيانات العيادة ما لم يقتضِ القانون ذلك أو تطلبه العيادة. وحيثما يطال الخرق ذاته أيضاً بيانات شخصية تكون Vetty هي المتحكم فيها، تُخطر Vetty هيئة CNIL خلال 72 ساعة من علمها به حيثما تقتضي اللائحة العامة لحماية البيانات الإخطار، وتُخطر أي سلطة أخرى خلال المهلة التي يقتضيها القانون المعمول به.

9.5 لا يُعدّ الإشعار المقدَّم بموجب هذا البند إقراراً بالخطأ أو بالمسؤولية.

10. الحذف والإعادة

10.1 ما دامت العيادة مفتوحة، يجوز لها حذف أي استشارة في أي وقت. ويؤدي ذلك إلى إزالة صوتها فوراً وإخفائها من قوائم العيادة؛ ويبقى نصها المفرَّغ وتقريرها ضمن سجلات العيادة إلى أن تُغلق العيادة، ما لم توجّه العيادة Vetty كتابياً إلى محوهما في وقت أسبق. ويجوز للعيادة أيضاً طلب نسخة مصدَّرة من سجلاتها بالكتابة إلى support@vettyscribe.com. وتظل صلاحية رابط التصدير 7 أيام. وإذا أُلغي الاشتراك أو انقضى، فلا تحذف Vetty أي سجلات للعيادة، باستثناء الصوت وفقاً للبند 5.3؛ بل تبقى إلى أن تُغلق العيادة.

10.2 تنتهي الخدمة بالنسبة إلى العيادة عند إغلاقها، من قِبل أحد المشرفين أو بسبب مغادرة آخر عضو فيها. ولمدة 30 يوماً بعد الإغلاق، يمكن للشخص الذي أغلقها تنزيل نسخة مصدَّرة: وهي ملف يتضمن كل تقرير موقَّع، والنصوص المفرَّغة بصيغة نصية، وقوائم بالاستشارات والعملاء والمرضى والملاحظات. ولا تتضمن النسخة المصدَّرة الصوت.

10.3 بعد انقضاء تلك الـ 30 يوماً، تمحو Vetty سجلات العيادة: الصوت المسجَّل للاستشارات، والاستشارات، والنصوص المفرَّغة، والتقارير مع نسخها وسجل التدقيق الخاص بها؛ والعملاء والمرضى والملاحظات بشأنهم؛ وقوالب التقارير وترويسة المراسلات والشعار؛ والنسخ المصدَّرة. وإذا كانت الخاصية الاختيارية لإرسال التقارير قد استُخدمت، فإن حساب العميل على vetty.app الذي أُنشئ لهذا الغرض يُمحى في الوقت ذاته، ما لم يكن العميل قد سجّل الدخول إليه أو أكده، أو ما لم تكن عيادة أخرى أو حجز ما يُحيل إليه.

10.4 بإغلاق العيادة، تختار العيادة الإعادة عن طريق النسخة المصدَّرة متبوعةً بالحذف، وفق ما تجيزه المادة 28(3)(g) من اللائحة العامة لحماية البيانات. ولا تحتفظ Vetty بأي نسخة من سجلات العيادة الممحوّة، إلا حيث يُلزمها قانون الاتحاد الأوروبي أو القانون الفرنسي بالاحتفاظ بها، وباستثناء ما يرد في النسخ الاحتياطية المشفَّرة لدى مزوّديها إلى أن يُكتب فوقها، وهو ما يحدث خلال 30 يوماً.

10.5 بناءً على طلب كتابي من العيادة، تؤكد Vetty كتابياً أن المحو قد تم.

11. المعلومات وعمليات التدقيق

11.1 عند الطلب، تتيح Vetty للعيادة المعلومات اللازمة لإثبات امتثالها للمادة 28 من اللائحة العامة لحماية البيانات ولاتفاقية معالجة البيانات هذه، بما في ذلك وصف لتدابيرها الأمنية ووثائق الامتثال الخاصة بالمعالجين من الباطن حيثما ينشرونها.

11.2 حيثما لا تكفي تلك المعلومات، تسمح Vetty بعمليات التدقيق، بما فيها عمليات التفتيش، وتسهم فيها، سواء أجرتها العيادة أو مدقق مستقل تكلّفه، يكون ملتزماً بالسرية وليس منافساً لـ Vetty. وتمنح العيادة إشعاراً كتابياً مسبقاً لا تقل مدته عن 30 يوماً، ولا تُجري التدقيق أكثر من مرة واحدة في أي فترة مدتها 12 شهراً، ما لم تقتضِ سلطة رقابية إجراء تدقيق أو يقع خرق للبيانات الشخصية يطال بيانات العيادة. وتُجرى عمليات التدقيق خلال ساعات العمل، وبطريقة لا تُعطّل الخدمة ولا تتيح الوصول إلى بيانات عملاء آخرين، وعلى نفقة العيادة.

11.3 تتيح Vetty تقارير التدقيق والشهادات الخاصة بالمعالجين من الباطن حيثما تسمح شروطهم بذلك، عوضاً عن إجراء تدقيق على المعالج من الباطن.

12. المسؤولية

12.1 تخضع مسؤولية كل طرف الناشئة عن اتفاقية معالجة البيانات هذه أو المتعلقة بها للاستثناءات ولتحديد المسؤولية الواردة في الشروط. وتخضع المطالبات المقدَّمة بموجب اتفاقية معالجة البيانات هذه والشروط لحدٍّ أقصى إجمالي واحد مشترك: الرسوم التي دفعتها العيادة مقابل Vetty Scribe خلال الـ 12 شهراً السابقة للواقعة التي نشأت عنها المطالبة.

12.2 لا يوجد في اتفاقية معالجة البيانات هذه ما يحدّ من مسؤولية أي طرف تجاه أصحاب البيانات بموجب المادة 82 من اللائحة العامة لحماية البيانات، أو من أي مسؤولية لا يجيز القانون الحد منها.

13. المدة والتغييرات والقانون الواجب التطبيق

13.1 تسري اتفاقية معالجة البيانات هذه طوال مدة معالجة Vetty لبيانات العيادة، وتنتهي عند محو سجلات العيادة بموجب البند 10. وتظل البنود 9 و10 و12 سارية طوال المدة اللازمة لذلك.

13.2 يجوز لـ Vetty تغيير اتفاقية معالجة البيانات هذه وفق ما تجيزه الشروط بشأن التغييرات على الشروط، أو للامتثال لقانون حماية البيانات المعمول به أو لقرار صادر عن سلطة رقابية. ولا يؤدي أي تغيير إلى خفض المستوى العام لحماية بيانات العيادة.

13.3 تخضع اتفاقية معالجة البيانات هذه للقانون الفرنسي، وتُعرض النزاعات المتعلقة بها على المحاكم التي تحددها الشروط، ما لم يقتضِ البند 7.3 أو قانون حماية البيانات المعمول به خلاف ذلك.

الملحق 1. تفاصيل المعالجة

• موضوع المعالجة: تقديم Vetty Scribe إلى العيادة.
• طبيعة المعالجة والغرض منها: تسجيل الاستشارات في متصفح العضو ورفعها؛ وتخزينها؛ وتفريغ الصوت؛ واستخلاص الوقائع السريرية، وصياغة التقرير وفق القالب المختار، والتحقق من المسودة بمقارنتها بالنص المفرَّغ، وترجمتها أو تكييفها مع أسلوب الطبيب البيطري في الكتابة، حيثما يُستخدم ذلك، وكل ذلك بالذكاء الاصطناعي؛ وعرض التقارير وتعديلها وتوقيعها وحفظ نسخها؛ والتصدير؛ والحذف. وإذا أتاحت Vetty لاحقاً، وفعّلت العيادة، الإرسال الاختياري للتقارير الموقَّعة إلى العملاء، فستشمل المعالجة أيضاً إرسالها بالبريد الإلكتروني مع إتاحة الوصول إليها على vetty.app.
• المدة: طوال مدة امتلاك العيادة لحساب، ثم إلى حين المحو بموجب البند 10.
• التكرار: مستمرة، كلما استخدم الأعضاء الخدمة.
• فئات أصحاب البيانات: العملاء، وأي شخص آخر يلتقط التسجيل صوته؛ والأعضاء، بالقدر الذي يظهرون فيه في سجلات العيادة (أصواتهم وتعديلاتهم وتوقيعاتهم).
• فئات البيانات الشخصية: أسماء العملاء وعناوين بريدهم الإلكتروني؛ والصوت المسجَّل للاستشارة وكل ما قيل فيها؛ والنصوص المفرَّغة؛ وأسماء المرضى وأنواعهم وسلالاتهم وجنسهم وأعمارهم، وحالتهم الصحية وعلاجهم، وهي بيانات تتصل بالعميل؛ وملاحظات الطبيب البيطري وتقاريره وتوقيعه؛ وتأكيدات الموافقة مع وقتها؛ وكذلك، إذا استُخدمت الخاصية الاختيارية لإرسال التقارير، سجل التقارير المرسَلة إلى العملاء.
• الفئات الخاصة من البيانات: لا يُقصد معالجة أي منها. وقد يلتقط التسجيل مثل هذه البيانات إذا ذكرها أحد الأشخاص، كالحالة الصحية للعميل نفسه على سبيل المثال. وينبغي للعيادة تجنّب تسجيلها حيثما لا تكون ضرورية. وتُفرَّغ الأصوات، ولا تُستخدم لتحديد هوية أي شخص.
• الاحتفاظ: الصوت على النحو المبيّن في البند 5.3؛ وكل ما عداه على النحو المبيّن في البند 10.
• النقل: إلى المعالجين من الباطن المذكورين في الملحق 2، لأغراض المعالجة التي يحددها الملحق 2 لكل منهم، مع الضمانات المبيّنة في البند 7.
• السلطة الرقابية المختصة لأغراض البنود التعاقدية القياسية: اللجنة الوطنية الفرنسية للمعلوماتية والحريات (Commission nationale de l’informatique et des libertés، CNIL).

الملحق 2. المعالجون من الباطن

تتوفر قائمة المعالجين من الباطن، مع الكيان القانوني لكل منهم، والخدمة التي يقدّمها، والبيانات التي يتلقاها، وموقعه، وضمانة النقل، على vettyscribe.com/subprocessors. وتُشكّل تلك القائمة، بصيغتها المحدَّثة بموجب البند 6، هذا الملحق.

الملحق 3. التدابير التقنية والتنظيمية

الاستضافة والتشفير

• تُستضاف قاعدة البيانات ووحدات تخزين الملفات في فرانكفورت بألمانيا، وتعمل الوظائف الخادمية للتطبيق هناك أيضاً.
• تُشفَّر البيانات أثناء نقلها بين المستخدمين والخدمة والمعالجين من الباطن، وتُشفَّر أثناء تخزينها في قاعدة البيانات ووحدات تخزين الملفات.

التحكم في الوصول

• تفصل قواعد الأمن على مستوى الصفوف في قاعدة البيانات بين بيانات كل عيادة، وتقصر الوصول إلى الاستشارة على الطبيب البيطري الذي سجّلها وعلى مشرفي العيادة. ولا يطّلع على قوالب التقارير الخاصة بطبيب بيطري إلا ذلك الطبيب البيطري.
• يُحفظ الصوت المسجَّل للاستشارات والعيّنات الصوتية وملفات التصدير في حاويات تخزين خاصة، ولا يُوصل إليها إلا عبر طلبات مُصادَق عليها يُتحقق منها وفق القواعد ذاتها. ولا تُنزَّل النسخة المصدَّرة إلا عبر طلب مُصادَق عليه من الشخص الذي طلبها، ولا تُنزَّل أبداً عبر رابط عام.
• يتلقى مزوّد خدمة التفريغ الصوت عبر رابط موقَّع تنتهي صلاحيته بعد ساعة واحدة.
• يُتحقق من كل إجراء في وحدة التحكم الإدارية الخاصة بـ Vetty بمطابقته مع قائمة المشغّلين المخوَّلين، وتُسجَّل القرارات المتعلقة بالتراخيص والفوترة والإعفاءات في سجل تدقيق.
• يقتصر وصول موظفي Vetty على الأشخاص الذين يحتاجون إليه لتشغيل الخدمة أو دعمها، والذين يلتزمون بالسرية.

المصادقة ومنع إساءة الاستخدام

• يسجّل الأعضاء الدخول بكلمة مرور تتألف من 8 إلى 72 حرفاً بعد تأكيد عنوان بريدهم الإلكتروني برمز مكوَّن من ستة أرقام، أو عبر Google.
• يقتصر التسجيل على خمس محاولات في الساعة من عنوان شبكة واحد، ويخضع تسجيل الدخول والطلبات الأخرى لتقييد معدّل الطلبات.

تقليل البيانات وحذفها

• يُحذف الصوت المسجَّل للاستشارات تلقائياً: بعد 30 يوماً من التسجيل إذا كان التقرير غير موقَّع، وبعد 7 أيام من التوقيع الأول إذا كان موقَّعاً.
• تُحذف النسخة المحفوظة لدى مزوّد خدمة التفريغ من كل نص مفرَّغ فور استرجاع Vetty لها وإتمامها معالجة الاستشارة.
• تستدعي Vetty خدمات OpenAI، عند اختيارها، مع تعطيل خاصية تخزين الردود، وقد اختارت عدم المشاركة في التدريب في حسابها لدى ElevenLabs.
• تُجرَّد عيّنات الكتابة من الهوية قبل تخزينها.
• لا ترسل Vetty Scribe أي بريد إلكتروني إلى العملاء عند الإطلاق؛ وإذا أُتيحت لاحقاً الخاصية الاختيارية لإرسال التقارير، فلن تتضمن تلك الرسائل أي محتوى سريري ولا أي مرفق. ولا تذكر الإشعارات الفورية الموجَّهة إلى الأعضاء إلا اسم المريض، ويُشفَّر محتواها بحيث يتعذّر على خدمة الإشعارات الفورية قراءته.

السلامة والمساءلة

• لا يمكن بدء التسجيل دون تأكيد العضو بأن العميل قد وافق، ولا يمكن توقيع التقرير من دونه.
• يحتفظ كل تقرير بنسخه وبسجل تدقيق للأحداث المتعلقة بالاستشارة، بما في ذلك التوقيع والتعديل.
• يُحتفظ بالنتيجة الأولية الصادرة عن مزوّد خدمة التفريغ مع السجل بوصفها الدليل الذي يستند إليه النص المفرَّغ.

الإتاحة والمرونة

• يُحفظ الصوت في وحدة التخزين الخاصة بمتصفح جهاز التسجيل قبل رفعه، بحيث لا يؤدي انقطاع الاتصال إلى فقدان الاستشارة.
• يتولى مزوّد الاستضافة إجراء النسخ الاحتياطي لقاعدة البيانات ووحدات تخزين الملفات، ويُكتب فوق النسخ الاحتياطية خلال 30 يوماً.

الحوادث والمعالجون من الباطن

• يتولى Brahim Ouasti مسؤولية الاستجابة للحوادث ويُخطر العيادة خلال 48 ساعة (البند 9).
• يُتعاقد مع كل معالج من الباطن بموجب عقد مكتوب يتضمن التزامات بشأن حماية البيانات (البند 6).