I vostri dati dei pazienti si trovano a Ginevra, Svizzera
Viali funziona su Exoscale, un fornitore cloud svizzero. Il server applicativo e il server di database si trovano nella zona Ginevra 2 (CH-GVA-2). Questa pagina indica il fornitore, la sede e le certificazioni, affinché il vostro reparto IT e il responsabile della protezione dei dati abbiano la risposta per iscritto.
Dove si trovano i dati
I quattro dati che ogni clinica richiede in una gara d'appalto.
Fornitore di hosting
Exoscale — Akenes SA, Boulevard de Grancy 19A, 1006 Losanna, Svizzera.
Sede dei server
Zona Ginevra 2 (CH-GVA-2), un centro dati Equinix a Ginevra.
Residenza dei dati
Il server applicativo e il database si trovano esclusivamente in Svizzera. I dati dei pazienti non lasciano il paese.
Trasmissione e backup
Ogni connessione utilizza TLS. I backup vengono eseguiti ogni giorno in modo automatico, anch'essi in Svizzera.
Certificazioni del fornitore di infrastruttura
Exoscale detiene queste certificazioni per i suoi centri dati e le sue operazioni. Non sono una certificazione del software Viali. Exoscale pubblica lo stato attuale su exoscale.com/compliance.
Sistema di gestione della sicurezza delle informazioni
Controlli di sicurezza per i servizi cloud
Protezione dei dati personali nel cloud
Efficacia dei controlli verificata su un periodo
Certificazione francese per l'hosting di dati sanitari
Catalogo di criteri del BSI tedesco per le operazioni cloud
Registro della Cloud Security Alliance
Standard di sicurezza per i dati di pagamento
Cosa fa Viali
- Ogni clinica lavora in un proprio tenant. Nessuna clinica accede ai dati di un'altra clinica.
- Controllo degli accessi basato sui ruoli: il ruolo determina quali aree dell'applicazione una persona utilizza.
- L'accesso all'ambiente di hosting è protetto da autenticazione a due fattori.
- Il server di database non è raggiungibile da internet. Solo il server applicativo può accedervi.
- I log di audit registrano gli accessi ai dati dei pazienti.
- È disponibile un contratto di trattamento dei dati ai sensi dell'art. 28 GDPR e della LPD svizzera.
- Viali non vende dati dei pazienti e non li divulga a scopi pubblicitari.
- Divulghiamo i dettagli tecnici dell'infrastruttura solo per iscritto e solo a una clinica identificata.
Accesso e registrazione
Chi può accedere ai dati dei pazienti di una clinica e cosa di ciò è tracciabile. La clinica è il titolare; Viali tratta i dati per suo conto.
Cosa è in atto
- L'accesso avviene esclusivamente tramite un login personale. Non esistono account condivisi.
- L'accesso è riservato al personale della clinica curante. Nessun'altra clinica può accedere ai dati.
- Il ruolo determina quali aree dell'applicazione una persona utilizza. La clinica assegna i ruoli e limita la cerchia alle persone coinvolte nel trattamento.
- Le modifiche alla cartella clinica sono registrate con la persona e l'ora.
- Le sessioni inattive terminano automaticamente.
Cosa oggi non esiste
- I singoli accessi in lettura non sono registrati oggi. La registrazione degli accessi è in preparazione.
- Non esiste un blocco tecnico delle singole cartelle. Le autorizzazioni agiscono a livello di clinica e di ruolo, non della singola cartella.
Il secondo punto è una scelta deliberata. Bloccare le singole cartelle escluderebbe, in un'emergenza, proprio la persona che necessita dell'accesso. La pratica clinica risponde con la tracciabilità anziché con l'impedimento: per questo la registrazione degli accessi ha la precedenza.
Chi altro tratta i dati
| Fornitore | Scopo | Sede |
|---|---|---|
| Exoscale (Akenes SA) | Gestione della piattaforma, del database e dei backup | Ginevra, Svizzera |
| Resend | Invio delle e-mail dai moduli su viali.app. Nessun dato dei pazienti. | USA |
Ricevete l'elenco completo e aggiornato dei sub-responsabili insieme al contratto di trattamento dei dati.
Questionari di sicurezza e domande di dettaglio
Rispondiamo per iscritto alle domande sull'infrastruttura. Inviate nome, funzione e clinica dal vostro indirizzo aziendale a hello@viali.app. Ricevete il contratto di trattamento dei dati, l'elenco dei sub-responsabili e un questionario di sicurezza compilato. Non forniamo dettagli tecnici per telefono.