Accordo sul trattamento dei dati su mandato

Titolare del trattamento è lo studio che usa Praxovi. Responsabile del trattamento è:

Subodh Yadav
Dr. med. dent. Jeong-Woo Yoo
c/o Smilezone
Bahnhofstrasse 32
6300 Zug
Schweiz

E-mail: subodh@praxovi.com

Mettiamo a disposizione dello studio un software per l’organizzazione e trattiamo a tal fine dati personali su suo incarico. L’accordo vale per la durata del contratto e oltre, finché trattiamo ancora dati dello studio.

Quali dati vengono trattati dipende dalle funzioni che lo studio usa:

• Collaboratori dello studio: nome, indirizzo e-mail, foto (se registrata), funzione, grado d’occupazione e durata dell’impiego; orari di lavoro, assenze con il loro tipo (per esempio malattia), vacanze e ore supplementari; compiti svolti, anche con foto come prova; voci del diario del collaboratore e documenti personali; messaggi nella chat dello studio; dati di accesso.
• Pazienti, nella misura in cui lo studio usa le funzioni corrispondenti: chiamate alla reception IA (numero, richiesta, numero di richiamata e svolgimento della chiamata); richieste tramite il sito dello studio (nome, numero di telefono, richiesta, orario desiderato); messaggi ai pazienti (l’indirizzo o il numero per l’invio, abbreviato nel protocollo) e risposte via SMS.
• Documenti che lo studio carica, con i dati che contengono.

Possono esserci dati personali degni di particolare protezione, per esempio dati sulla salute nel tipo di un’assenza o nella richiesta di una chiamata. Praxovi non gestisce cartelle dei pazienti né fatturazione; restano nel gestionale dello studio.

Trattiamo i dati solo per fornire, fatturare, proteggere e assistere il servizio, e secondo le istruzioni dello studio; ciò che lo studio imposta e avvia nell’applicazione vale come istruzione. Non usiamo i dati per pubblicità né per addestrare modelli di IA, e per scopi nostri in una sola forma: dai protocolli del server ricaviamo cifre d’uso settimanali dell’intera piattaforma, per migliorare il servizio, per esempio quanto spesso è stata usata una funzione. Non indicano né persone né studi, e conserviamo una cifra solo se almeno tre studi vi hanno contribuito.

Chi presso Praxovi ha accesso ai dati dello studio è tenuto al segreto e vi accede solo se l’esercizio e l’assistenza lo richiedono. Oggi sono in atto:

• Hosting presso Google Cloud a Zurigo; trasmissione e archiviazione cifrate.
• Accesso con un codice unico via e-mail invece di una password, sessioni firmate e ruoli che stabiliscono chi vede cosa. Ogni interrogazione è limitata al proprio studio.
• Un protocollo di determinati accessi ai dati dello studio, per esempio delle ricerche nella ricerca documentale IA, conservato separatamente dall’esercizio.
• Le foto che documentano i compiti d’igiene sono conservate, e cancellate solo dopo la scadenza del loro termine di conservazione, su conferma del nostro gestore.

Su richiesta, mettiamo a disposizione dello studio il dettaglio delle misure tecniche e organizzative.

Se veniamo a conoscenza di una violazione della sicurezza dei dati che riguarda dati dello studio, la comunichiamo allo studio il più rapidamente possibile.

Lo studio accetta che ci avvaliamo dei seguenti subresponsabili:

• Google Cloud: esercizio e archiviazione a Zurigo; le funzioni di IA, compresi il riconoscimento e la sintesi vocale, nell’UE.
• Twilio (Twilio Inc., USA): SMS e telefonia, anche per la reception IA, e l’invio di e-mail.
• Microsoft (USA): la nostra casella di posta quando lo studio ci scrive.
• Google (USA): copie degli avvisi al gestore, per esempio dei riscontri inviati dall’applicazione.
• I servizi push dei produttori di browser (per esempio Google, Apple, Mozilla): recapitano le notifiche sui dispositivi dei collaboratori.

Comunichiamo allo studio in anticipo via e-mail ogni ulteriore subresponsabile; lo studio può opporsi per motivi gravi.

I dati si trovano in Svizzera (Zurigo). Per le funzioni di IA sono trattati nell’UE, la cui protezione dei dati il Consiglio federale riconosce come adeguata; Twilio tratta gli SMS in Irlanda. Twilio, Microsoft, Google e i servizi push possono trattare dati anche negli USA, e i protocolli del server non hanno un’ubicazione fissa in Svizzera. In questi casi ci basiamo sulle garanzie dei fornitori, per esempio lo Swiss-U.S. Data Privacy Framework se vi sono certificati, o su clausole contrattuali tipo.

Assistiamo lo studio per quanto possibile quando risponde alle richieste delle persone interessate (informazione, rettifica, cancellazione, consegna), elabora una valutazione d’impatto o notifica all’IFPDT una violazione della sicurezza dei dati. Molte richieste lo studio può soddisfarle da sé nell’applicazione, per esempio con le esportazioni.

Per 30 giorni dopo la fine del contratto lo studio può esportare i suoi dati. Li cancelliamo poi entro 90 giorni.

Fanno eccezione le registrazioni che devono essere conservate, in particolare le prove d’igiene: le conserviamo fino alla scadenza del loro termine di conservazione e le cancelliamo una volta scaduto, su conferma del nostro gestore. Il protocollo degli accessi lo conserviamo separatamente per dieci anni.

Una prova d’igiene deve dire chi ha svolto ogni passo; per questo i nomi dei collaboratori che l’hanno svolto vi restano quanto la prova stessa.

Lo studio può chiederci per iscritto come rispettiamo questo accordo e riceve una risposta scritta. Una verifica più ampia si concorda caso per caso.