Accordo sul trattamento dei dati di Vetty Scribe

1. Definizioni

1.1 Le espressioni definite nei Termini hanno qui lo stesso significato. «Titolare del trattamento», «responsabile del trattamento», «trattamento», «dati personali», «interessato», «violazione dei dati personali» e «autorità di controllo» hanno il significato loro attribuito dal GDPR. Nel presente DPA:

• «Normativa Applicabile in materia di Protezione dei Dati» («Applicable Data Protection Law») indica il GDPR, la legge francese sulla protezione dei dati (loi n° 78-17 du 6 janvier 1978) e qualsiasi altra normativa in materia di protezione dei dati che si applichi al trattamento dei Dati della Struttura, compresi, ove applicabili, il Personal Data Protection Act 2012 di Singapore, il Privacy Act 1988 (Cth) australiano, il Privacy Act 2020 della Nuova Zelanda e il Decreto-legge federale degli Emirati Arabi Uniti n. 45 del 2021 sulla protezione dei dati personali.
• «Cliente» («Client») indica una persona che porta un animale presso la Struttura, e chiunque altro prenda parte a una visita registrata con il Servizio.
• «Membro» («Member») indica un veterinario o altro membro del personale che dispone di un account nella Struttura, compresi i suoi amministratori.
• «Dati della Struttura» («Practice Data») indica i dati personali contenuti nella Documentazione della Struttura.
• «Documentazione della Struttura» («Practice Records») indica le registrazioni delle visite, le trascrizioni, i fatti da esse estratti, i referti in bozza e firmati con le relative versioni e la traccia di audit, i dati dei Clienti e dei Pazienti inseriti dalla Struttura e, se la Struttura utilizza la funzionalità facoltativa di invio dei referti descritta alla clausola 3.1(d), il registro dei referti inviati ai Clienti.
• «Paziente» («Patient») indica un animale visitato dalla Struttura.
• «CCT» («SCCs») indica le clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi approvate dalla Commissione europea con la decisione di esecuzione (UE) 2021/914.
• «Servizio» («Service») indica Vetty Scribe, come descritto nei Termini.
• «Sub-responsabile» («Sub-processor») indica un terzo di cui Vetty si avvale per trattare i Dati della Struttura.

1.2 Ai sensi del Personal Data Protection Act 2012 di Singapore, Vetty è un «data intermediary» che tratta i Dati della Struttura per conto della Struttura, la quale è l’«organisation» che ne è responsabile. Qualora un’altra Normativa Applicabile in materia di Protezione dei Dati utilizzi termini diversi per titolare del trattamento e responsabile del trattamento, essi vanno intesi di conseguenza.

2. Oggetto e ruoli

2.1 La Struttura è titolare del trattamento, e Vetty responsabile del trattamento, dei Dati della Struttura. L’Allegato 1 descrive il trattamento.

2.2 Il presente DPA non riguarda i dati personali che Vetty tratta in qualità di titolare del trattamento per finalità proprie: gli account e i profili dei Membri, i dati dell’account, del team e di fatturazione della Struttura, i campioni vocali, i campioni di scrittura, i log di sicurezza e la corrispondenza con l’assistenza e, qualora la funzionalità facoltativa di invio dei referti venga mai utilizzata, l’account Vetty che un Cliente utilizza su vetty.app per leggere un referto inviatogli. L’informativa sulla privacy di Vetty Scribe disponibile su vettyscribe.com/privacy riguarda tali dati.

2.3 In caso di conflitto tra il presente DPA e i Termini in merito al trattamento dei Dati della Struttura, prevale il presente DPA. In caso di conflitto tra il presente DPA e le CCT, prevalgono le CCT.

3. Obblighi della Struttura

3.1 La Struttura è responsabile, in qualità di titolare del trattamento, del proprio rispetto della Normativa Applicabile in materia di Protezione dei Dati. In particolare, la Struttura:

• (a) dispone di una base giuridica per raccogliere i Dati della Struttura e per farli trattare da Vetty come descritto nel presente DPA;
• (b) informa i propri Clienti, prima che una visita sia registrata, che essa viene registrata e trascritta, che il referto è redatto con l’intelligenza artificiale e rivisto da un veterinario, e di come sono trattati i loro dati;
• (c) ottiene qualsiasi consenso alla registrazione richiesto dalla legge del luogo in cui si svolge la visita, e non registra alcuna persona che abbia rifiutato o revocato il consenso;
• (d) qualora attivi l’invio dei referti ai Clienti, funzionalità facoltativa non offerta al lancio che Vetty potrà offrire in seguito (descritta alla clausola 9 dei Termini), dispone di una base giuridica per inviare ciascun referto e inserisce l’indirizzo email corretto;
• (e) risponde alle richieste dei propri Clienti di esercitare i loro diritti sui Dati della Struttura;
• (f) conserva la documentazione richiesta dalla propria autorità di regolamentazione veterinaria o dalla legge, e la esporta prima che sia cancellata (clausola 10); e
• (g) impartisce istruzioni conformi alla Normativa Applicabile in materia di Protezione dei Dati.

3.2 Prima di ogni registrazione, il Servizio chiede al Membro di confermare che il Cliente ha prestato il consenso, conserva tale conferma con il relativo orario e non consente la firma di un referto in sua assenza. Tale conferma costituisce una dichiarazione della Struttura nei confronti di Vetty. Essa non trasferisce a Vetty la responsabilità della Struttura ai sensi della clausola 3.1(c).

4. Obblighi di Vetty

4.1 Vetty si impegna a:

• (a) trattare i Dati della Struttura soltanto su istruzione documentata della Struttura, anche in caso di trasferimenti al di fuori dello Spazio economico europeo, salvo che il diritto dell’Unione europea o di uno Stato membro cui Vetty è soggetta disponga diversamente; in tal caso Vetty informerà la Struttura di tale obbligo giuridico prima del trattamento, a meno che tale diritto lo vieti;
• (b) informare immediatamente la Struttura qualora, a suo parere, un’istruzione violi la Normativa Applicabile in materia di Protezione dei Dati;
• (c) garantire che tutte le persone da essa autorizzate al trattamento dei Dati della Struttura siano vincolate alla riservatezza;
• (d) adottare le misure di sicurezza richieste dall’articolo 32 del GDPR, comprese quelle di cui all’Allegato 3;
• (e) ricorrere a Sub-responsabili solo nei limiti consentiti dalla clausola 6;
• (f) assistere la Struttura come descritto alla clausola 8;
• (g) notificare alla Struttura le violazioni dei dati personali come descritto alla clausola 9;
• (h) cancellare o restituire i Dati della Struttura al termine del Servizio come descritto alla clausola 10; e
• (i) mettere a disposizione le informazioni e consentire le attività di revisione descritte alla clausola 11.

4.2 Vetty non venderà i Dati della Struttura, non li utilizzerà per finalità proprie né li utilizzerà per addestrare modelli di intelligenza artificiale.

5. Istruzioni

5.1 Le istruzioni della Struttura sono costituite dai Termini, dal presente DPA, dalla configurazione e dall’utilizzo del Servizio da parte della Struttura e da qualsiasi altra istruzione scritta concordata tra le parti. La Struttura incarica Vetty di trattare i Dati della Struttura per fornire il Servizio come descritto nell’Allegato 1.

5.2 In particolare, la Struttura incarica Vetty di far trascrivere l’audio delle visite, e di far redigere e verificare i referti, dai fornitori di intelligenza artificiale elencati come Sub-responsabili. Nessuno di essi può effettuare addestramento sui Dati della Struttura. Ciascuno conserva gli input ricevuti per un breve periodo, in base alle proprie condizioni, al fine di monitorare eventuali abusi.

5.3 I periodi di conservazione dell’audio fanno parte delle presenti istruzioni e sono fissi: l’audio di una visita il cui referto non è stato firmato è cancellato 30 giorni dopo la registrazione, e l’audio di una visita il cui referto è stato firmato è cancellato 7 giorni dopo la prima firma. La trascrizione e il referto sono conservati come descritto alla clausola 10.

5.4 Un’istruzione che modificherebbe il Servizio, o che va oltre ciò che il Servizio fa, richiede il consenso scritto di Vetty.

6. Sub-responsabili

6.1 La Struttura concede a Vetty un’autorizzazione scritta generale a ricorrere a Sub-responsabili. I Sub-responsabili in uso al momento dell’accettazione del presente DPA da parte della Struttura sono quelli elencati su vettyscribe.com/subprocessors (Allegato 2), e la Struttura li autorizza.

6.2 Vetty ricorre a ciascun Sub-responsabile in base a un contratto scritto che impone obblighi in materia di protezione dei dati non meno protettivi di quelli del presente DPA, in particolare garanzie sufficienti di misure tecniche e organizzative adeguate.

6.3 Vetty darà alla Struttura un preavviso di almeno 30 giorni prima che un Sub-responsabile nuovo o sostitutivo tratti Dati della Struttura, aggiornando l’elenco su vettyscribe.com/subprocessors e inviando un’email agli amministratori della Struttura.

6.4 La Struttura può opporsi alla modifica per ragionevoli motivi attinenti alla protezione dei dati, per iscritto a privacy@vetty.app, entro tale periodo di preavviso. Le parti discuteranno l’opposizione in buona fede. Se non riescono a risolverla prima che la modifica abbia effetto, la Struttura può disdire il proprio abbonamento Vetty Scribe o chiudere la Struttura, come descritto nei Termini.

6.5 Qualora un Sub-responsabile debba essere sostituito con urgenza per mantenere la sicurezza o la disponibilità del Servizio, Vetty può effettuare la modifica con un preavviso più breve. Ne informerà la Struttura il prima possibile, e la Struttura conserva il diritto di opporsi ai sensi della clausola 6.4.

6.6 Vetty resta responsabile nei confronti della Struttura dell’adempimento degli obblighi di ciascun Sub-responsabile.

7. Trasferimenti internazionali

7.1 Vetty conserva i Dati della Struttura nell’Unione europea, a Francoforte, in Germania.

7.2 Alcuni Sub-responsabili trattano i Dati della Struttura negli Stati Uniti, o possono accedervi da tale paese, come indicato nell’Allegato 2. Qualora un Sub-responsabile tratti i Dati della Struttura o vi acceda in un paese privo di una decisione di adeguatezza della Commissione europea, il trasferimento è coperto dal Data Privacy Framework UE–USA se il Sub-responsabile è certificato ai sensi dello stesso, altrimenti dalle CCT (Modulo Tre, da responsabile del trattamento a responsabile del trattamento) contenute nel contratto tra Vetty e tale Sub-responsabile, unitamente alle misure supplementari di cui all’Allegato 3. La Struttura autorizza tali trasferimenti.

7.3 Qualora la Struttura sia stabilita al di fuori dello Spazio economico europeo in un paese privo di una decisione di adeguatezza, e il GDPR qualifichi come trasferimento la messa a disposizione dei Dati della Struttura da parte di Vetty alla Struttura, le parti convengono di applicare il Modulo Quattro (da responsabile del trattamento a titolare del trattamento) delle CCT, che sono incorporate nel presente DPA mediante rinvio. A tal fine Vetty è l’esportatore dei dati e la Struttura l’importatore dei dati, l’Allegato 1 fornisce la descrizione del trasferimento, la clausola facoltativa di adesione successiva non si applica, e le CCT sono disciplinate dal diritto francese, con le controversie devolute ai tribunali francesi.

7.4 Qualora un’altra Normativa Applicabile in materia di Protezione dei Dati limiti i trasferimenti al di fuori del paese della Struttura, Vetty trasferirà i Dati della Struttura solo nei limiti consentiti da tale normativa, anche mediante garanzie contrattuali che assicurino ai dati un livello di protezione comparabile a quello previsto da tale normativa.

8. Assistenza

8.1 Richieste degli interessati. Il Servizio consente alla Struttura di consultare i Dati della Struttura, di rettificare un referto modificandolo e di cancellare l’audio di una visita. Vetty esporterà la Documentazione della Struttura su richiesta (clausola 10.1) e cancellerà la trascrizione e il referto di una visita, o i dati di un Cliente, su istruzione scritta della Struttura. Qualora Vetty riceva da un interessato una richiesta relativa ai Dati della Struttura, la trasmetterà alla Struttura senza ingiustificato ritardo e non vi risponderà se non su istruzione della Struttura o ove la legge lo richieda. Tenendo conto della natura del trattamento, Vetty assisterà la Struttura con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, nel dare seguito a tali richieste.

8.2 Altri obblighi. Tenendo conto della natura del trattamento e delle informazioni a sua disposizione, Vetty assisterà la Struttura nel garantire il rispetto dei propri obblighi di cui agli articoli da 32 a 36 del GDPR: sicurezza, notifica delle violazioni, valutazioni d’impatto sulla protezione dei dati e consultazione preventiva dell’autorità di controllo.

8.3 Le richieste di assistenza vanno inviate a privacy@vetty.app.

9. Violazioni dei dati personali

9.1 Vetty notificherà alla Struttura una violazione dei dati personali che riguardi i Dati della Struttura senza ingiustificato ritardo e, in ogni caso, entro 48 ore dal momento in cui ne è venuta a conoscenza, mediante email agli amministratori della Struttura.

9.2 La notifica descriverà, per quanto noti a Vetty, la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni dei dati personali in questione, le probabili conseguenze, le misure adottate o di cui si propone l’adozione per porvi rimedio e attenuarne gli effetti, nonché un punto di contatto. Qualora Vetty non possa fornire tutte queste informazioni contemporaneamente, le fornirà in fasi successive senza ulteriore ingiustificato ritardo.

9.3 Vetty adotterà misure ragionevoli per contenere la violazione e limitarne gli effetti, e ne terrà traccia in un registro. Brahim Ouasti gestisce ogni incidente per conto di Vetty ed è il punto di contatto, all’indirizzo privacy@vetty.app.

9.4 La Struttura decide se notificare la violazione alla propria autorità di controllo e agli interessati, e provvede a farlo. Vetty non effettuerà notifiche in merito a una violazione dei Dati della Struttura a meno che la legge non lo richieda o la Struttura non lo chieda. Qualora la medesima violazione riguardi anche dati personali di cui Vetty è titolare del trattamento, Vetty la notifica alla CNIL entro 72 ore dal momento in cui ne è venuta a conoscenza, ove il GDPR richieda la notifica, e a qualsiasi altra autorità entro il termine previsto dalla legge applicabile.

9.5 Una notifica ai sensi della presente clausola non costituisce ammissione di colpa o di responsabilità.

10. Cancellazione e restituzione

10.1 Finché la Struttura è aperta, può cancellare una visita in qualsiasi momento. Ciò ne rimuove immediatamente l’audio e la nasconde dagli elenchi della Struttura; la relativa trascrizione e il relativo referto restano nella Documentazione della Struttura fino alla chiusura della Struttura, a meno che la Struttura non dia istruzione scritta a Vetty di cancellarli prima. La Struttura può inoltre chiedere un’esportazione della propria documentazione scrivendo a support@vettyscribe.com. Il link di esportazione è valido per 7 giorni. Se l’abbonamento viene disdetto o scade, Vetty non cancella alcuna Documentazione della Struttura, ad eccezione dell’audio ai sensi della clausola 5.3; essa resta conservata fino alla chiusura della Struttura.

10.2 Il Servizio cessa per la Struttura quando questa viene chiusa, da un amministratore o perché il suo ultimo membro la lascia. Per 30 giorni dopo la chiusura, la persona che l’ha chiusa può scaricare un’esportazione: un file contenente tutti i referti firmati, le trascrizioni in formato testo e gli elenchi delle visite, dei Clienti, dei Pazienti e delle note. L’esportazione non comprende l’audio.

10.3 Trascorsi tali 30 giorni, Vetty cancella la Documentazione della Struttura: l’audio delle visite, le visite, le trascrizioni e i referti con le relative versioni e la traccia di audit; i Clienti e i Pazienti e le note che li riguardano; i modelli di referto, la carta intestata e il logo; e le esportazioni. Se è stata utilizzata la funzionalità facoltativa di invio dei referti, l’account Cliente su vetty.app creato a tal fine è cancellato contestualmente, a meno che il Cliente vi abbia effettuato l’accesso o lo abbia confermato, oppure un’altra struttura o una prenotazione vi faccia riferimento.

10.4 Chiudendo la Struttura, la Struttura sceglie la restituzione mediante l’esportazione seguita dalla cancellazione, come consentito dall’articolo 28(3)(g) del GDPR. Vetty non conserva alcuna copia della Documentazione della Struttura cancellata, salvo ove il diritto dell’Unione europea o della Francia ne imponga la conservazione, e salvo nei backup cifrati dei propri fornitori fino alla loro sovrascrittura, che avviene entro 30 giorni.

10.5 Su richiesta scritta della Struttura, Vetty confermerà per iscritto l’avvenuta cancellazione.

11. Informazioni e attività di revisione

11.1 Su richiesta, Vetty metterà a disposizione della Struttura le informazioni necessarie a dimostrare il rispetto dell’articolo 28 del GDPR e del presente DPA, compresa una descrizione delle proprie misure di sicurezza e i documenti di conformità dei Sub-responsabili, ove questi li pubblichino.

11.2 Qualora tali informazioni non siano sufficienti, Vetty consentirà e contribuirà alle attività di revisione, comprese le ispezioni, realizzate dalla Struttura o da un revisore indipendente da essa incaricato, vincolato alla riservatezza e che non sia un concorrente di Vetty. La Struttura darà un preavviso scritto di almeno 30 giorni ed effettuerà non più di una revisione nell’arco di 12 mesi, salvo che un’autorità di controllo richieda una revisione o si sia verificata una violazione dei dati personali riguardante i Dati della Struttura. Le revisioni si svolgono in orario lavorativo, con modalità che non interrompano il Servizio né consentano l’accesso ai dati di altri clienti, e a spese della Struttura.

11.3 Vetty metterà a disposizione le relazioni di audit e le certificazioni dei Sub-responsabili, ove le loro condizioni lo consentano, in luogo di una revisione del Sub-responsabile.

12. Responsabilità

12.1 La responsabilità di ciascuna parte derivante dal presente DPA o ad esso connessa è soggetta alle esclusioni e alla limitazione di responsabilità previste nei Termini. Le pretese ai sensi del presente DPA e dei Termini condividono un unico massimale complessivo: i corrispettivi pagati dalla Struttura per Vetty Scribe nei 12 mesi precedenti l’evento che ha dato origine alla pretesa.

12.2 Nessuna disposizione del presente DPA limita la responsabilità di una parte nei confronti degli interessati ai sensi dell’articolo 82 del GDPR, né alcuna responsabilità che la legge non consente di limitare.

13. Durata, modifiche e legge applicabile

13.1 Il presente DPA si applica finché Vetty tratta i Dati della Struttura e cessa quando la Documentazione della Struttura è stata cancellata ai sensi della clausola 10. Le clausole 9, 10 e 12 sopravvivono per tutto il tempo necessario.

13.2 Vetty può modificare il presente DPA nei modi in cui i Termini consentono di modificare i Termini, oppure per conformarsi alla Normativa Applicabile in materia di Protezione dei Dati o a una decisione di un’autorità di controllo. Una modifica non ridurrà la protezione complessiva dei Dati della Struttura.

13.3 Il presente DPA è disciplinato dal diritto francese, e le relative controversie sono devolute ai tribunali indicati nei Termini, salvo che la clausola 7.3 o la Normativa Applicabile in materia di Protezione dei Dati dispongano diversamente.

Allegato 1. Dettagli del trattamento

• Oggetto: fornitura di Vetty Scribe alla Struttura.
• Natura e finalità: registrazione delle visite nel browser del Membro e loro caricamento; loro conservazione; trascrizione dell’audio; estrazione dei fatti clinici, redazione del referto nel modello scelto, verifica della bozza rispetto alla trascrizione e, ove utilizzate, traduzione o adattamento allo stile di scrittura del veterinario, il tutto con l’intelligenza artificiale; visualizzazione, modifica, firma e gestione delle versioni dei referti; esportazione; e cancellazione. Se Vetty offrirà in seguito, e la Struttura attiverà, l’invio facoltativo dei referti firmati ai Clienti, il trattamento comprenderà anche il loro invio via email con accesso su vetty.app.
• Durata: per tutto il tempo in cui la Struttura dispone di un account, e successivamente fino alla cancellazione ai sensi della clausola 10.
• Frequenza: continua, ogni volta che i Membri utilizzano il Servizio.
• Categorie di interessati: i Clienti e chiunque altro la cui voce sia catturata da una registrazione; i Membri, per come compaiono nella Documentazione della Struttura (la loro voce, le loro modifiche e la loro firma).
• Categorie di dati personali: nomi e indirizzi email dei Clienti; l’audio della visita e tutto ciò che vi viene detto; le trascrizioni; nome, specie, razza, sesso ed età dei Pazienti, nonché il loro stato di salute e i loro trattamenti, che si riferiscono al Cliente; le note, i referti e la firma del veterinario; le conferme del consenso con il relativo orario; e, se viene utilizzata la funzionalità facoltativa di invio dei referti, il registro dei referti inviati ai Clienti.
• Categorie particolari di dati: non è previsto il trattamento di alcuna di esse. Una registrazione può catturare tali dati qualora qualcuno li menzioni, ad esempio lo stato di salute di un Cliente. La Struttura dovrebbe evitare di registrarli quando non sono necessari. Le voci sono trascritte, non utilizzate per identificare alcuno.
• Conservazione: l’audio come descritto alla clausola 5.3; tutto il resto come descritto alla clausola 10.
• Trasferimenti: ai Sub-responsabili di cui all’Allegato 2, per il trattamento indicato nell’Allegato 2 per ciascuno di essi, con le garanzie di cui alla clausola 7.
• Autorità di controllo competente ai fini delle CCT: la Commission nationale de l’informatique et des libertés (CNIL) francese.

Allegato 2. Sub-responsabili

L’elenco dei Sub-responsabili, con l’entità giuridica, il servizio, i dati ricevuti, l’ubicazione e la garanzia per il trasferimento di ciascuno, è disponibile su vettyscribe.com/subprocessors. Tale elenco, come aggiornato ai sensi della clausola 6, costituisce il presente Allegato.

Allegato 3. Misure tecniche e organizzative

Hosting e cifratura

• Il database e l’archiviazione dei file sono ospitati a Francoforte, in Germania, dove sono eseguite anche le funzioni server dell’applicazione.
• I dati sono cifrati in transito tra gli utenti, il Servizio e i Sub-responsabili, e cifrati a riposo nel database e nell’archiviazione dei file.

Controllo degli accessi

• Regole di sicurezza a livello di riga nel database mantengono separati i dati di ciascuna Struttura e limitano l’accesso a una visita al veterinario che l’ha registrata e agli amministratori della Struttura. I modelli di referto personali di un veterinario sono visibili solo a quel veterinario.
• L’audio delle visite, i campioni vocali e le esportazioni sono conservati in bucket di archiviazione privati e accessibili solo tramite richieste autenticate verificate in base alle stesse regole. Un’esportazione è scaricabile solo tramite una richiesta autenticata della persona che l’ha chiesta, mai tramite un link pubblico.
• Il fornitore del servizio di trascrizione riceve l’audio tramite un link firmato che scade dopo un’ora.
• Ogni azione nella console di amministrazione di Vetty è verificata rispetto a un elenco di operatori autorizzati, e le decisioni relative a licenze, fatturazione ed esoneri sono registrate in un log di audit.
• L’accesso da parte del personale di Vetty è limitato alle persone che ne hanno bisogno per gestire il Servizio o fornirne assistenza, le quali sono vincolate alla riservatezza.

Autenticazione e prevenzione degli abusi

• I Membri accedono con una password da 8 a 72 caratteri dopo aver confermato il proprio indirizzo email con un codice di sei cifre, oppure con Google.
• La creazione di un account è limitata a cinque tentativi all’ora da uno stesso indirizzo di rete, e l’accesso e le altre richieste sono soggetti a limiti di frequenza.

Minimizzazione e cancellazione

• L’audio delle visite è cancellato automaticamente: 30 giorni dopo la registrazione se il referto non è firmato, e 7 giorni dopo la prima firma se è firmato.
• La copia di ciascuna trascrizione detenuta dal fornitore del servizio di trascrizione è cancellata dopo che Vetty l’ha recuperata e ha terminato l’elaborazione della visita.
• Vetty richiama OpenAI, quando è selezionata, con l’archiviazione delle risposte disattivata, e ha disattivato l’uso dei dati per l’addestramento nel proprio account ElevenLabs.
• I campioni di scrittura sono de-identificati prima di essere conservati.
• Al lancio Vetty Scribe non invia email ai Clienti; se la funzionalità facoltativa di invio dei referti sarà offerta in seguito, tali email non conterranno alcun contenuto clinico né allegati. Le notifiche push ai Membri indicano soltanto il Paziente, e il loro contenuto è cifrato in modo che il servizio push non possa leggerlo.

Integrità e responsabilizzazione

• Una registrazione non può iniziare senza la conferma del Membro che il Cliente ha prestato il consenso, e un referto non può essere firmato in sua assenza.
• Ciascun referto conserva le proprie versioni e una traccia di audit degli eventi relativi alla visita, compresi la firma e le modifiche.
• Il risultato grezzo del fornitore del servizio di trascrizione è conservato insieme alla documentazione come prova alla base della trascrizione.

Disponibilità e resilienza

• L’audio è salvato nella memoria del browser del dispositivo di registrazione prima del caricamento, in modo che un’interruzione della connessione non comporti la perdita di una visita.
• Il database e l’archiviazione dei file sono sottoposti a backup dal fornitore di hosting, e i backup sono sovrascritti entro 30 giorni.

Incidenti e Sub-responsabili

• Brahim Ouasti è responsabile della risposta agli incidenti e informa la Struttura entro 48 ore (clausola 9).
• Ciascun Sub-responsabile è incaricato in base a un contratto scritto contenente obblighi in materia di protezione dei dati (clausola 6).