Accordo sul Trattamento dei Dati (ATD)

1. Oggetto e durata del trattamento

Il presente Accordo sul Trattamento dei Dati (ATD) disciplina il trattamento dei dati personali da parte della Viali UG (haftungsbeschränkt), Bruder-Klaus-Str. 18, 78467 Konstanz, Germania (Responsabile del Trattamento), per conto della clinica (Titolare del Trattamento) nell'ambito dell'utilizzo della piattaforma Viali.app. Il trattamento ha la durata dell'intero periodo contrattuale.

2. Natura e finalità del trattamento

• Archiviazione ed elaborazione di documentazione clinica e amministrativa (tra cui cartelle pazienti, trattamenti, documentazione anestesiologica, pianificazione degli appuntamenti, CRM pazienti, fatturazione, gestione del personale e dei candidati)
• Fornitura dell'applicazione basata sul web
• Esecuzione di backup e manutenzione del sistema
• Assistenza tecnica e risoluzione dei problemi (accesso ai dati della clinica solo secondo il punto 6)

3. Tipologia dei dati personali

• Dati anagrafici del paziente (nome, data di nascita, peso, dati di contatto)
• Dati sanitari (parametri vitali, diagnosi, terapia farmacologica, documentazione dei trattamenti e anestesiologica)
• Dati degli utenti e del personale (nome, e-mail, ruolo utente, contratti, orari di lavoro, assenze)
• Dati dei candidati (dati di contatto, CV e documenti di candidatura)
• Dati di audit (registri di accesso, cronologia delle modifiche) e il registro IA (testi trasmessi ai fornitori di IA e relative risposte, chiamate effettuate tramite il connettore IA; si veda il punto 6)

4. Categorie di interessati

• Pazienti della clinica
• Dipendenti della clinica (utenti dell'applicazione)
• Candidati (portale carriere/offerte di lavoro)

5. Obblighi del Responsabile del Trattamento

• Trattamento esclusivamente sulla base di istruzioni documentate del Titolare del Trattamento
• Garanzia di riservatezza da parte di tutto il personale
• Accesso del personale del Responsabile del Trattamento ai dati della clinica solo con il consenso del Titolare del Trattamento; l'unica eccezione è l'accesso di emergenza di cui al punto 6
• Adozione di misure tecniche e organizzative adeguate
• Supporto nell'esercizio dei diritti degli interessati
• Notifica delle violazioni dei dati entro 24 ore

6. Misure tecniche e organizzative

• Cifratura di tutti i dati in transito (TLS 1.3) e a riposo
• Controllo degli accessi tramite autorizzazioni basate sui ruoli
• Accesso dell'assistenza solo con consenso: il personale di Viali vede i dati della clinica solo finché un amministratore della clinica ha concesso l'accesso – limitato a 1 ora, 24 ore o 7 giorni, in sola lettura per impostazione predefinita e solo per quella clinica. Viali può richiedere un accesso; senza consenso non viene creato alcun accesso.
• Accesso di emergenza: senza consenso preventivo Viali può accedere ai dati della clinica solo se (a) l'assistenza ai pazienti, il funzionamento continuo del servizio o la sicurezza dei dati sono a rischio e (b) la clinica non può essere raggiunta in tempo. L'accesso di emergenza è in sola lettura, dura al massimo 2 ore e richiede una motivazione scritta; tutti gli amministratori della clinica vengono informati immediatamente e l'accesso viene registrato. Ogni accesso – compreso quello di emergenza – termina automaticamente alla scadenza della sua durata e può essere revocato dalla clinica in qualsiasi momento con effetto immediato.
• Modifiche da parte dell'assistenza: l'assistenza può modificare i dati della clinica solo se la clinica ha concesso espressamente un accesso «lettura e modifica»; ogni altro accesso è tecnicamente limitato alla lettura. La persona dell'assistenza lavora con il proprio account personale presso Viali e mai con l'account di un collaboratore della clinica; ovunque l'applicazione registri chi ha effettuato una modifica, la modifica figura a nome di tale persona.
• Registrazione degli accessi dell'assistenza: la concessione, la richiesta, il rifiuto e la revoca di un accesso vengono registrati con persona, data e ora, durata e ambito e sono visibili alla clinica; ogni accesso dell'assistenza a una cartella paziente viene registrato ed è visibile alla clinica nella cartella, nella scheda «Accessi», come «Viali-Support» con il nome della persona. Questi registri e la cronologia degli accessi vengono conservati per tutto il tempo in cui sono conservate le cartelle dei pazienti della clinica.
• Verifiche di sicurezza periodiche
• Backup automatici periodici del database gestito da parte del fornitore di hosting (Exoscale, Svizzera)
• Registro di audit per tutte le azioni rilevanti per la sicurezza
• Ruoli limitati: chi in una clinica ha esclusivamente il ruolo «Personale delle pulizie» o «Marketing» (agenzia esterna) non ha accesso ai dati dei pazienti; ciò è imposto sul server. Il ruolo Marketing vede nelle proprie sezioni solo cifre aggregate.
• Registro IA: ogni richiesta a un fornitore di IA viene registrata con il testo trasmesso (dopo la de-identificazione) e la risposta, le immagini solo come segnaposto (tipo di file, dimensione, checksum); allo stesso modo ogni chiamata effettuata tramite il connettore IA (funzione, lettura o scrittura, esito, dati trasmessi alla funzione e risposta trasmessa). Finalità: tracciabilità e sicurezza. Accesso ai testi registrati: gli amministratori della clinica per la propria clinica. Per l'esercizio e la sicurezza Viali vede solo metadati tecnici (ad es. data e ora, funzione, modello, stato, costi); i testi stessi solo nell'ambito di un accesso dell'assistenza concesso dalla clinica secondo le regole che precedono. Poiché un testo registrato può contenere dati non riconosciuti dalla de-identificazione, ogni apertura di un testo registrato viene a sua volta registrata. Le voci vengono cancellate automaticamente dopo 6 mesi (183 giorni) e non vengono mai trasmesse a un fornitore di IA né tramite il connettore IA.
• Connettore IA: quando un utente della clinica collega a Viali il proprio account presso un assistente IA, il connettore non restituisce dati dei pazienti; ogni risposta viene verificata automaticamente prima dell'invio e trattenuta se contiene dati dei pazienti. Il collegamento agisce solo nei limiti del ruolo attuale della persona che lo ha configurato, ogni chiamata viene registrata nel registro IA e la clinica può revocare i collegamenti in qualsiasi momento.

7. Responsabili del Trattamento Ulteriori

Vengono impiegati i seguenti responsabili del trattamento ulteriori:

• Exoscale AG, Svizzera - Hosting del server e archiviazione degli oggetti
• Exoscale (Svizzera) - Hosting del database
• Stripe Inc. - Elaborazione dei pagamenti (nessun dato del paziente)
• Resend Inc. - Invio di e-mail (solo notifiche di sistema)
• VADIAN.NET AG (ASPSMS), Svizzera - Comunicazioni SMS (notifiche di appuntamento, nessun dato del paziente)
• Anthropic PBC, USA - Elaborazione assistita da IA (testi dopo la de-identificazione; eccezione: foto del monitor, si veda sotto)
• OpenAI, L.L.C., USA - Elaborazione assistita da IA (testi dopo la de-identificazione; eccezione: foto del monitor, si veda sotto)
• Mistral AI SAS, Francia - Elaborazione assistita da IA (testi dopo la de-identificazione; eccezione: foto del monitor, si veda sotto)
• Functional Software, Inc. (Sentry), USA - Registri di errore e di arresto anomalo
• Google Ireland Limited - Distribuzione dei caratteri (trasmissione dell'indirizzo IP)

Per i responsabili del trattamento con sede al di fuori della Svizzera/dello SEE (ad es. i fornitori di IA statunitensi), il trasferimento è garantito dalle Clausole Contrattuali Tipo (SCC) dell'UE con l'addendum svizzero.

Trasmissione ai fornitori di IA: prima della trasmissione i dati personali contenuti nei testi vengono sostituiti da segnaposto – i dati noti (ad es. nomi, dati di contatto) e i formati tipici (ad es. date, numeri di telefono, indirizzi e-mail, numeri AVS), nonché ulteriori dati riconosciuti da un servizio di de-identificazione self-hosted. Se tale servizio non è raggiungibile, alcune funzionalità non trasmettono nulla; le altre trasmettono il testo dopo la rimozione dei dati noti e dei formati tipici. Le funzionalità che non trattano dati dei pazienti (ad es. annunci di lavoro, SOP, testi per il sito web e il marketing, foto di prodotti) trasmettono i propri contenuti senza questi passaggi. Eccezione – foto del monitor: se il personale fotografa un monitor paziente per acquisire i parametri vitali, l'immagine viene trasmessa a un fornitore di IA; il Titolare del Trattamento garantisce che, al momento della foto, il monitor non mostri dati che identificano il paziente (ad es. nome, data di nascita, numero del paziente). L'acquisizione automatica dello schermo del monitor tramite HDMI è disattivata. Gli input vocali vengono convertiti in testo sul server di Viali; la registrazione non viene trasmessa a un fornitore di IA.

Connettore IA: quando un utente della clinica collega a Viali il proprio account presso un assistente IA (ad es. Claude di Anthropic, ChatGPT di OpenAI), quanto viene recuperato tramite questo collegamento confluisce in tale account, sotto la responsabilità del Titolare del Trattamento o di tale utente e secondo le condizioni del rispettivo fornitore. Il fornitore dell'assistente IA non è, a tale riguardo, un responsabile del trattamento ulteriore di Viali. Le misure tecniche di protezione sono indicate al punto 6.

8. Cancellazione e restituzione dei dati

• Alla scadenza del contratto: cancellazione di tutti i dati entro 30 giorni
• Su richiesta, Viali mette a disposizione del Titolare del Trattamento un'esportazione dei dati prima della cancellazione.
• Conferma scritta della cancellazione su richiesta

9. Diritti di controllo

Il Titolare del Trattamento ha il diritto di verificare la conformità al presente contratto. Tale verifica può avvenire mediante esame di certificazioni, relazioni o, previo accordo, mediante audit in loco.