Auftragsverarbeitungsvertrag von Vetty Scribe

1. Begriffsbestimmungen

1.1 In den Bedingungen definierte Begriffe haben hier dieselbe Bedeutung. „Verantwortlicher“, „Auftragsverarbeiter“, „Verarbeitung“, „personenbezogene Daten“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen die DSGVO gibt. In diesem AVV gilt:

• „Anwendbares Datenschutzrecht“ („Applicable Data Protection Law“) bezeichnet die DSGVO, das französische Datenschutzgesetz (loi n° 78-17 du 6 janvier 1978) und jedes andere Datenschutzrecht, das auf die Verarbeitung von Praxisdaten anwendbar ist, einschließlich, soweit anwendbar, des singapurischen Personal Data Protection Act 2012, des australischen Privacy Act 1988 (Cth), des neuseeländischen Privacy Act 2020 und des Bundesgesetzesdekrets Nr. 45 von 2021 der Vereinigten Arabischen Emirate zum Schutz personenbezogener Daten (Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data).
• „Tierhalter“ („Client“) bezeichnet eine Person, die ein Tier in die Praxis bringt, sowie jede andere Person, die an einer mit dem Dienst aufgenommenen Konsultation teilnimmt.
• „Mitglied“ („Member“) bezeichnet einen Tierarzt oder ein anderes Mitglied des Personals, das ein Konto in der Praxis hat, einschließlich ihrer Administratoren.
• „Praxisdaten“ („Practice Data“) bezeichnet die personenbezogenen Daten in den Praxisunterlagen.
• „Praxisunterlagen“ („Practice Records“) bezeichnet die Aufnahmen der Konsultationen, die Transkripte, die daraus extrahierten Fakten, die Berichtsentwürfe und die unterzeichneten Berichte mit ihren Versionen und ihrem Prüfpfad, die von der Praxis eingegebenen Angaben zu Tierhaltern und Patienten sowie, falls die Praxis die in Klausel 3.1(d) beschriebene optionale Funktion zum Versand von Berichten nutzt, den Nachweis der an Tierhalter versandten Berichte.
• „Patient“ („Patient“) bezeichnet ein Tier, das von der Praxis behandelt wird.
• „SCC“ („SCCs“) bezeichnet die von der Europäischen Kommission im Durchführungsbeschluss (EU) 2021/914 genehmigten Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer.
• „Dienst“ („Service“) bezeichnet Vetty Scribe, wie in den Bedingungen beschrieben.
• „Unterauftragsverarbeiter“ („Sub-processor“) bezeichnet einen Dritten, den Vetty mit der Verarbeitung von Praxisdaten beauftragt.

1.2 Nach dem singapurischen Personal Data Protection Act 2012 ist Vetty ein „Datenintermediär“ („data intermediary“), der Praxisdaten im Auftrag der Praxis verarbeitet, die die dafür verantwortliche „Organisation“ („organisation“) ist. Soweit ein anderes Anwendbares Datenschutzrecht andere Begriffe für Verantwortlichen und Auftragsverarbeiter verwendet, sind diese entsprechend zu lesen.

2. Gegenstand und Rollen

2.1 Die Praxis ist der Verantwortliche und Vetty der Auftragsverarbeiter für die Praxisdaten. Anlage 1 beschreibt die Verarbeitung.

2.2 Dieser AVV gilt nicht für die personenbezogenen Daten, die Vetty als Verantwortlicher für eigene Zwecke verarbeitet: die Konten und Profile der Mitglieder, das Konto der Praxis, ihre Team- und Abrechnungsdaten, Stimmproben, Schreibproben, Sicherheitsprotokolle und die Korrespondenz mit dem Support sowie, falls die optionale Funktion zum Versand von Berichten jemals genutzt wird, das Vetty-Konto, das ein Tierhalter auf vetty.app verwendet, um einen ihm übersandten Bericht zu lesen. Diese Daten sind Gegenstand der Datenschutzhinweise von Vetty Scribe unter vettyscribe.com/privacy.

2.3 Widersprechen sich dieser AVV und die Bedingungen in Bezug auf die Verarbeitung von Praxisdaten, hat dieser AVV Vorrang. Widersprechen sich dieser AVV und die SCC, haben die SCC Vorrang.

3. Pflichten der Praxis

3.1 Die Praxis ist als Verantwortlicher für die Einhaltung des Anwendbaren Datenschutzrechts verantwortlich. Insbesondere:

• (a) verfügt sie über eine Rechtsgrundlage, um die Praxisdaten zu erheben und sie von Vetty wie in diesem AVV beschrieben verarbeiten zu lassen;
• (b) informiert sie ihre Tierhalter, bevor eine Konsultation aufgenommen wird, darüber, dass sie aufgenommen und transkribiert wird, dass der Bericht mit künstlicher Intelligenz entworfen und von einem Tierarzt überprüft wird und wie mit ihren Daten umgegangen wird;
• (c) holt sie jede Einwilligung in die Aufnahme ein, die das Recht des Ortes der Konsultation verlangt, und nimmt niemanden auf, der seine Einwilligung verweigert oder widerrufen hat;
• (d) verfügt sie, falls sie den Versand von Berichten an Tierhalter aktiviert, eine optionale Funktion, die zum Start nicht angeboten wird und die Vetty später anbieten kann (Klausel 9 der Bedingungen beschreibt sie), über eine Rechtsgrundlage für den Versand jedes Berichts und gibt die richtige E-Mail-Adresse ein;
• (e) beantwortet sie die Anträge ihrer Tierhalter auf Ausübung ihrer Rechte in Bezug auf Praxisdaten;
• (f) bewahrt sie die Unterlagen auf, die ihre tierärztliche Aufsichtsbehörde oder das Gesetz verlangt, und exportiert sie, bevor sie gelöscht werden (Klausel 10); und
• (g) erteilt sie Weisungen, die mit dem Anwendbaren Datenschutzrecht im Einklang stehen.

3.2 Der Dienst fordert das Mitglied vor jeder Aufnahme auf zu bestätigen, dass der Tierhalter eingewilligt hat, speichert diese Bestätigung mit ihrem Zeitpunkt und lässt die Unterzeichnung eines Berichts ohne sie nicht zu. Diese Bestätigung ist eine Erklärung der Praxis gegenüber Vetty. Sie überträgt die Verantwortung der Praxis nach Klausel 3.1(c) nicht auf Vetty.

4. Pflichten von Vetty

4.1 Vetty wird:

• (a) Praxisdaten nur auf dokumentierte Weisung der Praxis verarbeiten, auch in Bezug auf Übermittlungen außerhalb des Europäischen Wirtschaftsraums, sofern Vetty nicht durch das Recht der Europäischen Union oder eines Mitgliedstaats, dem Vetty unterliegt, zu einer anderen Verarbeitung verpflichtet ist; in einem solchen Fall teilt Vetty der Praxis diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet;
• (b) die Praxis unverzüglich informieren, falls eine Weisung nach seiner Auffassung gegen Anwendbares Datenschutzrecht verstößt;
• (c) gewährleisten, dass alle Personen, die Vetty zur Verarbeitung von Praxisdaten befugt, zur Vertraulichkeit verpflichtet sind;
• (d) die nach Artikel 32 DSGVO erforderlichen Sicherheitsmaßnahmen ergreifen, zu denen die in Anlage 3 genannten gehören;
• (e) Unterauftragsverarbeiter nur nach Maßgabe von Klausel 6 in Anspruch nehmen;
• (f) die Praxis wie in Klausel 8 beschrieben unterstützen;
• (g) die Praxis über Verletzungen des Schutzes personenbezogener Daten wie in Klausel 9 beschrieben benachrichtigen;
• (h) Praxisdaten nach Abschluss der Erbringung des Dienstes wie in Klausel 10 beschrieben löschen oder zurückgeben; und
• (i) die Informationen zur Verfügung stellen und die Überprüfungen ermöglichen, die Klausel 11 beschreibt.

4.2 Vetty wird Praxisdaten weder verkaufen noch für eigene Zwecke verwenden noch zum Training von Modellen künstlicher Intelligenz nutzen.

5. Weisungen

5.1 Die Weisungen der Praxis sind die Bedingungen, dieser AVV, die Konfiguration und Nutzung des Dienstes durch die Praxis sowie jede andere schriftliche Weisung, die die Parteien vereinbaren. Die Praxis weist Vetty an, Praxisdaten zur Erbringung des Dienstes wie in Anlage 1 beschrieben zu verarbeiten.

5.2 Insbesondere weist die Praxis Vetty an, das Audio der Konsultationen von den als Unterauftragsverarbeiter aufgeführten Anbietern künstlicher Intelligenz transkribieren und die Berichte von ihnen entwerfen und überprüfen zu lassen. Keiner von ihnen darf mit Praxisdaten trainieren. Jeder bewahrt die erhaltenen Eingaben nach seinen eigenen Bedingungen für einen kurzen Zeitraum auf, um Missbrauch zu überwachen.

5.3 Die Fristen für das Audio sind Bestandteil dieser Weisungen und sind fest: Das Audio einer Konsultation, deren Bericht nicht unterzeichnet wurde, wird 30 Tage nach seiner Aufnahme gelöscht, und das Audio einer Konsultation, deren Bericht unterzeichnet wurde, wird 7 Tage nach der ersten Unterzeichnung gelöscht. Das Transkript und der Bericht werden wie in Klausel 10 beschrieben aufbewahrt.

5.4 Eine Weisung, die den Dienst ändern würde oder über das hinausgeht, was der Dienst leistet, bedarf der schriftlichen Zustimmung von Vetty.

6. Unterauftragsverarbeiter

6.1 Die Praxis erteilt Vetty eine allgemeine schriftliche Genehmigung zur Inanspruchnahme von Unterauftragsverarbeitern. Die bei Annahme dieses AVV durch die Praxis eingesetzten Unterauftragsverarbeiter sind die unter vettyscribe.com/subprocessors (Anlage 2) aufgeführten, und die Praxis genehmigt sie.

6.2 Vetty beauftragt jeden Unterauftragsverarbeiter auf Grundlage eines schriftlichen Vertrags, der ihm Datenschutzpflichten auferlegt, die nicht weniger schützend sind als dieser AVV, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen.

6.3 Vetty wird die Praxis mindestens 30 Tage im Voraus informieren, bevor ein neuer oder ersetzender Unterauftragsverarbeiter Praxisdaten verarbeitet, indem Vetty die Liste unter vettyscribe.com/subprocessors aktualisiert und die Administratoren der Praxis per E-Mail benachrichtigt.

6.4 Die Praxis kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen schriftlich an privacy@vetty.app Einspruch gegen die Änderung erheben. Die Parteien werden den Einspruch nach Treu und Glauben erörtern. Können sie ihn nicht ausräumen, bevor die Änderung wirksam wird, kann die Praxis ihr Vetty-Scribe-Abonnement kündigen oder die Praxis schließen, wie es die Bedingungen beschreiben.

6.5 Muss ein Unterauftragsverarbeiter dringend ersetzt werden, um die Sicherheit oder Verfügbarkeit des Dienstes zu gewährleisten, kann Vetty die Änderung mit kürzerer Frist vornehmen. Vetty wird die Praxis so bald wie möglich benachrichtigen, und die Praxis behält ihr Einspruchsrecht nach Klausel 6.4.

6.6 Vetty haftet gegenüber der Praxis weiterhin für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters.

7. Internationale Übermittlungen

7.1 Vetty speichert Praxisdaten in der Europäischen Union, in Frankfurt, Deutschland.

7.2 Einige Unterauftragsverarbeiter verarbeiten Praxisdaten in den Vereinigten Staaten oder können von dort aus auf sie zugreifen, wie Anlage 2 zeigt. Soweit ein Unterauftragsverarbeiter Praxisdaten in einem Land ohne Angemessenheitsbeschluss der Europäischen Kommission verarbeitet oder von dort aus auf sie zugreift, ist die Übermittlung durch den EU-US-Datenschutzrahmen (EU–US Data Privacy Framework) abgesichert, sofern der Unterauftragsverarbeiter danach zertifiziert ist, andernfalls durch die SCC (Modul Drei, Übermittlung von Auftragsverarbeiter zu Auftragsverarbeiter) im Vertrag von Vetty mit diesem Unterauftragsverarbeiter, zusammen mit den ergänzenden Maßnahmen in Anlage 3. Die Praxis genehmigt diese Übermittlungen.

7.3 Ist die Praxis außerhalb des Europäischen Wirtschaftsraums in einem Land ohne Angemessenheitsbeschluss niedergelassen und behandelt die DSGVO die Bereitstellung von Praxisdaten durch Vetty an die Praxis als Übermittlung, vereinbaren die Parteien Modul Vier (Übermittlung von Auftragsverarbeiter zu Verantwortlichem) der SCC, die durch Bezugnahme in diesen AVV einbezogen werden. Zu diesem Zweck ist Vetty der Datenexporteur und die Praxis der Datenimporteur, Anlage 1 enthält die Beschreibung der Übermittlung, die fakultative Kopplungsklausel findet keine Anwendung, und die SCC unterliegen französischem Recht, wobei Streitigkeiten vor den Gerichten Frankreichs ausgetragen werden.

7.4 Soweit ein anderes Anwendbares Datenschutzrecht Übermittlungen aus dem Land der Praxis beschränkt, wird Vetty Praxisdaten nur übermitteln, soweit dieses Recht es erlaubt, einschließlich auf Grundlage vertraglicher Garantien, die den Daten ein mit diesem Recht vergleichbares Schutzniveau gewährleisten.

8. Unterstützung

8.1 Anträge betroffener Personen. Der Dienst ermöglicht es der Praxis, Praxisdaten einzusehen, einen Bericht durch Änderung zu berichtigen und das Audio einer Konsultation zu löschen. Vetty wird Praxisunterlagen auf Anfrage exportieren (Klausel 10.1) und auf schriftliche Weisung der Praxis das Transkript und den Bericht einer Konsultation oder die Angaben zu einem Tierhalter löschen. Erhält Vetty von einer betroffenen Person einen Antrag in Bezug auf Praxisdaten, leitet Vetty ihn unverzüglich an die Praxis weiter und beantwortet ihn nur auf Weisung der Praxis oder soweit das Gesetz dies verlangt. Unter Berücksichtigung der Art der Verarbeitung unterstützt Vetty die Praxis nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung solcher Anträge.

8.2 Sonstige Pflichten. Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt Vetty die Praxis bei der Einhaltung ihrer Pflichten nach den Artikeln 32 bis 36 DSGVO: Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation einer Aufsichtsbehörde.

8.3 Ersuchen um Unterstützung sind an privacy@vetty.app zu richten.

9. Verletzungen des Schutzes personenbezogener Daten

9.1 Vetty wird die Praxis über eine Verletzung des Schutzes personenbezogener Daten, die Praxisdaten betrifft, unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem Vetty davon Kenntnis erlangt hat, per E-Mail an die Administratoren der Praxis benachrichtigen.

9.2 Die Benachrichtigung beschreibt, soweit Vetty sie kennt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Auswirkungen sowie eine Anlaufstelle. Kann Vetty nicht alle diese Informationen zur gleichen Zeit bereitstellen, stellt Vetty sie ohne weitere unangemessene Verzögerung schrittweise zur Verfügung.

9.3 Vetty wird angemessene Schritte unternehmen, um die Verletzung einzudämmen und ihre Auswirkungen zu begrenzen, und wird sie dokumentieren. Brahim Ouasti bearbeitet jeden Vorfall für Vetty und ist die Anlaufstelle, unter privacy@vetty.app.

9.4 Die Praxis entscheidet, ob sie ihre Aufsichtsbehörde und die betroffenen Personen benachrichtigt, und nimmt diese Benachrichtigung vor. Vetty wird diese nicht über eine Verletzung des Schutzes von Praxisdaten benachrichtigen, es sei denn, das Gesetz verlangt es oder die Praxis bittet darum. Betrifft dieselbe Verletzung auch personenbezogene Daten, für die Vetty der Verantwortliche ist, meldet Vetty sie der CNIL innerhalb von 72 Stunden, nachdem Vetty davon Kenntnis erlangt hat, soweit die DSGVO eine Meldung verlangt, und jeder anderen Behörde innerhalb der Frist, die das anwendbare Recht vorschreibt.

9.5 Eine Benachrichtigung nach dieser Klausel ist kein Eingeständnis eines Verschuldens oder einer Haftung.

10. Löschung und Rückgabe

10.1 Solange die Praxis nicht geschlossen ist, kann sie eine Konsultation jederzeit löschen. Dadurch wird ihr Audio sofort entfernt und sie wird in den Listen der Praxis ausgeblendet; ihr Transkript und ihr Bericht verbleiben bei den Praxisunterlagen, bis die Praxis geschlossen wird, es sei denn, die Praxis weist Vetty schriftlich an, sie früher zu löschen. Die Praxis kann außerdem einen Export ihrer Unterlagen anfordern, indem sie an support@vettyscribe.com schreibt. Der Exportlink ist 7 Tage gültig. Wird das Abonnement gekündigt oder läuft es aus, löscht Vetty keine Praxisunterlagen, mit Ausnahme des Audios nach Klausel 5.3; sie verbleiben, bis die Praxis geschlossen wird.

10.2 Der Dienst endet für die Praxis, wenn sie geschlossen wird, durch einen Administrator oder weil ihr letztes Mitglied sie verlässt. Während 30 Tagen nach der Schließung kann die Person, die sie geschlossen hat, einen Export herunterladen: eine Datei mit allen unterzeichneten Berichten, den Transkripten als Text und Listen der Konsultationen, Tierhalter, Patienten und Notizen. Der Export enthält kein Audio.

10.3 Nach Ablauf dieser 30 Tage löscht Vetty die Praxisunterlagen: das Audio der Konsultationen, die Konsultationen, die Transkripte und die Berichte mit ihren Versionen und ihrem Prüfpfad; die Tierhalter und Patienten und die Notizen zu ihnen; die Berichtsvorlagen, den Briefkopf und das Logo; und die Exporte. Wurde die optionale Funktion zum Versand von Berichten genutzt, wird ein dafür angelegtes Tierhalterkonto auf vetty.app zur gleichen Zeit gelöscht, es sei denn, der Tierhalter hat sich darin angemeldet oder es bestätigt, oder eine andere Praxis oder eine Buchung nimmt darauf Bezug.

10.4 Mit der Schließung der Praxis wählt die Praxis die Rückgabe durch den Export mit anschließender Löschung, wie es Artikel 28 Absatz 3 Buchstabe g DSGVO erlaubt. Vetty bewahrt keine Kopie gelöschter Praxisunterlagen auf, außer soweit das Recht der Europäischen Union oder Frankreichs Vetty zu ihrer Aufbewahrung verpflichtet, und außer in den verschlüsselten Sicherungskopien seiner Anbieter, bis diese überschrieben werden, was innerhalb von 30 Tagen geschieht.

10.5 Auf schriftliche Anfrage der Praxis bestätigt Vetty schriftlich, dass die Löschung erfolgt ist.

11. Informationen und Überprüfungen

11.1 Auf Anfrage stellt Vetty der Praxis die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO und dieses AVV erforderlich sind, einschließlich einer Beschreibung seiner Sicherheitsmaßnahmen und der eigenen Compliance-Dokumente der Unterauftragsverarbeiter, soweit diese sie veröffentlichen.

11.2 Reichen diese Informationen nicht aus, ermöglicht Vetty Überprüfungen, einschließlich Inspektionen, durch die Praxis oder einen von ihr beauftragten unabhängigen Prüfer, der zur Vertraulichkeit verpflichtet und kein Wettbewerber von Vetty ist, und trägt dazu bei. Die Praxis kündigt eine Überprüfung mindestens 30 Tage im Voraus schriftlich an und führt höchstens eine Überprüfung innerhalb von 12 Monaten durch, es sei denn, eine Aufsichtsbehörde verlangt eine Überprüfung oder es ist eine Verletzung des Schutzes von Praxisdaten eingetreten. Überprüfungen finden während der Geschäftszeiten statt, in einer Weise, die den Dienst nicht stört und keinen Zugang zu Daten anderer Kunden von Vetty verschafft, und auf Kosten der Praxis.

11.3 Vetty stellt die Prüfberichte und Zertifizierungen der Unterauftragsverarbeiter zur Verfügung, soweit deren Bedingungen dies erlauben, anstelle einer Überprüfung des Unterauftragsverarbeiters.

12. Haftung

12.1 Die Haftung jeder Partei aus oder im Zusammenhang mit diesem AVV unterliegt den Haftungsausschlüssen und der Haftungsbeschränkung der Bedingungen. Ansprüche aus diesem AVV und aus den Bedingungen unterliegen einer gemeinsamen Gesamthöchstgrenze: den Entgelten, die die Praxis in den 12 Monaten vor dem anspruchsbegründenden Ereignis für Vetty Scribe gezahlt hat.

12.2 Dieser AVV beschränkt weder die Haftung einer Partei gegenüber betroffenen Personen nach Artikel 82 DSGVO noch eine Haftung, deren Beschränkung gesetzlich nicht zulässig ist.

13. Laufzeit, Änderungen und anwendbares Recht

13.1 Dieser AVV gilt, solange Vetty Praxisdaten verarbeitet, und endet, wenn die Praxisunterlagen nach Klausel 10 gelöscht worden sind. Die Klauseln 9, 10 und 12 gelten fort, solange dies erforderlich ist.

13.2 Vetty kann diesen AVV so ändern, wie es die Bedingungen für Änderungen der Bedingungen erlauben, oder um dem Anwendbaren Datenschutzrecht oder einer Entscheidung einer Aufsichtsbehörde nachzukommen. Eine Änderung wird das Gesamtschutzniveau der Praxisdaten nicht verringern.

13.3 Dieser AVV unterliegt französischem Recht, und Streitigkeiten daraus werden vor den in den Bedingungen benannten Gerichten ausgetragen, sofern Klausel 7.3 oder das Anwendbare Datenschutzrecht nichts anderes verlangt.

Anlage 1. Einzelheiten der Verarbeitung

• Gegenstand: die Bereitstellung von Vetty Scribe für die Praxis.
• Art und Zweck: Aufnahme von Konsultationen im Browser des Mitglieds und deren Hochladen; ihre Speicherung; Transkription des Audios; Extraktion der klinischen Fakten, Entwurf des Berichts in der gewählten Vorlage, Überprüfung des Entwurfs anhand des Transkripts und, soweit genutzt, seine Übersetzung oder Anpassung an den Schreibstil des Tierarztes, jeweils mit künstlicher Intelligenz; Anzeige, Bearbeitung, Unterzeichnung und Versionierung von Berichten; Export; und Löschung. Bietet Vetty später den optionalen Versand unterzeichneter Berichte an Tierhalter an und aktiviert die Praxis ihn, umfasst die Verarbeitung auch deren Versand per E-Mail mit Zugriff auf vetty.app.
• Dauer: solange die Praxis ein Konto hat, und danach bis zur Löschung nach Klausel 10.
• Häufigkeit: fortlaufend, wann immer Mitglieder den Dienst nutzen.
• Kategorien betroffener Personen: Tierhalter und jede andere Person, deren Stimme eine Aufnahme erfasst; Mitglieder, soweit sie in Praxisunterlagen erscheinen (ihre Stimme, ihre Bearbeitungen und ihre Unterschrift).
• Kategorien personenbezogener Daten: Namen und E-Mail-Adressen der Tierhalter; das Audio der Konsultation und alles darin Gesagte; Transkripte; Namen, Tierart, Rasse, Geschlecht und Alter der Patienten sowie ihre Gesundheit und Behandlung, die sich auf den Tierhalter beziehen; die Notizen, Berichte und die Unterschrift des Tierarztes; Einwilligungsbestätigungen mit ihrem Zeitpunkt; und, falls die optionale Funktion zum Versand von Berichten genutzt wird, der Nachweis der an Tierhalter versandten Berichte.
• Besondere Kategorien von Daten: Es ist keine Verarbeitung solcher Daten beabsichtigt. Eine Aufnahme kann solche Daten erfassen, wenn jemand sie erwähnt, beispielsweise die eigene Gesundheit eines Tierhalters. Die Praxis sollte vermeiden, sie aufzunehmen, wenn sie nicht benötigt werden. Stimmen werden transkribiert, nicht zur Identifizierung von Personen verwendet.
• Aufbewahrung: Audio wie in Klausel 5.3 beschrieben; alles andere wie in Klausel 10 beschrieben.
• Übermittlungen: an die Unterauftragsverarbeiter in Anlage 2, für die Verarbeitung, die Anlage 2 jeweils angibt, mit den Garantien in Klausel 7.
• Zuständige Aufsichtsbehörde für die SCC: die französische Commission nationale de l’informatique et des libertés (CNIL).

Anlage 2. Unterauftragsverarbeiter

Die Liste der Unterauftragsverarbeiter, mit dem Rechtsträger, der Leistung, den erhaltenen Daten, dem Standort und der Garantie für die Übermittlung jedes einzelnen, ist unter vettyscribe.com/subprocessors abrufbar. Diese Liste in ihrer nach Klausel 6 aktualisierten Fassung bildet diese Anlage.

Anlage 3. Technische und organisatorische Maßnahmen

Hosting und Verschlüsselung

• Die Datenbank und die Dateispeicherung werden in Frankfurt, Deutschland, gehostet, und die Serverfunktionen der Anwendung laufen ebenfalls dort.
• Daten werden bei der Übertragung zwischen Nutzern, dem Dienst und den Unterauftragsverarbeitern verschlüsselt und im Ruhezustand in der Datenbank und der Dateispeicherung verschlüsselt.

Zugriffskontrolle

• Sicherheitsregeln auf Zeilenebene in der Datenbank halten die Daten jeder Praxis getrennt und beschränken eine Konsultation auf den Tierarzt, der sie aufgenommen hat, und die Administratoren der Praxis. Die eigenen Berichtsvorlagen eines Tierarztes sind nur für diesen Tierarzt sichtbar.
• Das Audio der Konsultationen, Stimmproben und Exporte werden in privaten Speicherbereichen gehalten und sind nur über authentifizierte Anfragen zugänglich, die anhand derselben Regeln geprüft werden. Ein Export wird nur über eine authentifizierte Anfrage der Person heruntergeladen, die ihn angefordert hat, niemals über einen öffentlichen Link.
• Der Transkriptionsanbieter erhält das Audio über einen signierten Link, der nach einer Stunde abläuft.
• Jede Handlung in der Verwaltungskonsole von Vetty wird anhand einer Liste befugter Bediener geprüft, und Entscheidungen über Zulassungen, Abrechnung und Gebührenerlasse werden in einem Prüfprotokoll erfasst.
• Der Zugriff durch Personal von Vetty ist auf die Personen beschränkt, die ihn zum Betrieb oder zur Unterstützung des Dienstes benötigen und die zur Vertraulichkeit verpflichtet sind.

Authentifizierung und Missbrauchsverhinderung

• Mitglieder melden sich mit einem Passwort von 8 bis 72 Zeichen an, nachdem sie ihre E-Mail-Adresse mit einem sechsstelligen Code bestätigt haben, oder mit Google.
• Die Registrierung ist auf fünf Versuche pro Stunde von einer Netzwerkadresse aus begrenzt, und für die Anmeldung und andere Anfragen gilt eine Ratenbegrenzung.

Datenminimierung und Löschung

• Das Audio der Konsultationen wird automatisch gelöscht: 30 Tage nach der Aufnahme, wenn der Bericht nicht unterzeichnet ist, und 7 Tage nach der ersten Unterzeichnung, wenn er unterzeichnet ist.
• Die beim Transkriptionsanbieter vorhandene Kopie jedes Transkripts wird gelöscht, sobald Vetty es abgerufen und die Verarbeitung der Konsultation abgeschlossen hat.
• Vetty ruft OpenAI, wenn es ausgewählt ist, mit deaktivierter Speicherung der Antworten auf und hat in seinem ElevenLabs-Konto die Nutzung der Daten für das Training abgewählt.
• Schreibproben werden vor ihrer Speicherung von identifizierenden Angaben bereinigt.
• Vetty Scribe sendet zum Start keine E-Mails an Tierhalter; wird die optionale Funktion zum Versand von Berichten später angeboten, enthalten diese E-Mails keine klinischen Inhalte und keinen Anhang. Push-Benachrichtigungen an Mitglieder nennen nur den Patienten, und ihr Inhalt ist so verschlüsselt, dass der Push-Dienst ihn nicht lesen kann.

Integrität und Rechenschaftspflicht

• Eine Aufnahme kann nicht ohne die Bestätigung des Mitglieds beginnen, dass der Tierhalter eingewilligt hat, und ein Bericht kann ohne sie nicht unterzeichnet werden.
• Jeder Bericht bewahrt seine Versionen und einen Prüfpfad der Ereignisse zur Konsultation, einschließlich Unterzeichnung und Änderung.
• Das Rohergebnis des Transkriptionsanbieters wird als Nachweis für das Transkript beim Datensatz aufbewahrt.

Verfügbarkeit und Belastbarkeit

• Das Audio wird vor dem Hochladen im Browserspeicher des Aufnahmegeräts gespeichert, damit bei einer unterbrochenen Verbindung keine Konsultation verloren geht.
• Die Datenbank und die Dateispeicherung werden vom Hosting-Anbieter gesichert, und Sicherungskopien werden innerhalb von 30 Tagen überschrieben.

Vorfälle und Unterauftragsverarbeiter

• Brahim Ouasti ist für die Reaktion auf Vorfälle verantwortlich und benachrichtigt die Praxis innerhalb von 48 Stunden (Klausel 9).
• Jeder Unterauftragsverarbeiter wird auf Grundlage eines schriftlichen Vertrags mit Datenschutzpflichten beauftragt (Klausel 6).