Acordo de Processamento de Dados

Este ATD faz parte integrante do contrato entre o Cliente (o "Responsável pelo Tratamento") e a TP53 S.r.l. (o "Subcontratante") e rege o tratamento de dados pessoais realizado pelo Subcontratante em nome do Responsável pelo Tratamento no âmbito da utilização do Scriva.

O Cliente, enquanto Responsável pelo Tratamento, determina as finalidades e os meios do tratamento. O Subcontratante trata os dados pessoais apenas mediante instruções documentadas do Responsável pelo Tratamento, inclusive no que diz respeito a transferências, a menos que seja obrigado a fazê-lo pela legislação aplicável.

O tratamento consiste na captação e processamento em tempo real do fluxo de áudio da consulta clínica, na sua transcrição automática em infraestrutura europeia, na geração de rascunhos de notas clínicas após a pseudonimização dos dados identificativos, e no armazenamento e disponibilização dos resultados através do Serviço, de acordo com os períodos escolhidos pelo Responsável pelo Tratamento.

Categorias de titulares dos dados

• Pacientes do Cliente
• Profissionais de saúde e pessoal do Cliente

Categorias de dados pessoais

• Dados de identificação e de contacto
• Fluxo de áudio processado em tempo real e respetivas transcrições
• Dados de saúde e outras categorias especiais de dados (Art.º 9.º do RGPD)

O tratamento prolonga-se por toda a duração do contrato. Após a cessação, o Subcontratante apagará ou devolverá os dados pessoais em conformidade com a secção relativa à devolução e eliminação de dados.

• Tratar os dados pessoais apenas mediante instruções documentadas do Responsável pelo Tratamento.
• Assegurar que as pessoas autorizadas a tratar os dados estão vinculadas ao dever de confidencialidade.
• Implementar medidas de segurança técnicas e organizativas adequadas (Art.º 32.º do RGPD).
• Auxiliar o Responsável pelo Tratamento na resposta aos pedidos dos titulares dos dados e na garantia do cumprimento dos Artigos 32.º a 36.º do RGPD.
• Disponibilizar toda a informação necessária para demonstrar a conformidade e permitir a realização de auditorias.

O Responsável pelo tratamento autoriza o Subcontratante a recorrer a subprocessadores (ex.: fornecedores de alojamento na nuvem e de infraestrutura). O Subcontratante impõe a cada subprocessador obrigações de proteção de dados equivalentes às estabelecidas neste DPA e permanece totalmente responsável pelo seu desempenho.

Os subprocessadores atualmente contratados, juntamente com a sua finalidade e localização do servidor, são os seguintes:

O Subcontratante notificará o Responsável pelo tratamento com pelo menos trinta (30) dias de antecedência antes de adicionar ou substituir um subprocessador, dando ao Responsável pelo tratamento a oportunidade de se opor.

A infraestrutura de armazenamento e processamento principal está localizada na União Europeia.

Um componente do Serviço envolve a transferência de dados pessoais para os Estados Unidos: a geração de rascunhos de notas clínicas. Tais transferências ocorrem com base nas Cláusulas Contratuais-Tipo adotadas pela Decisão de Execução (UE) 2021/914, incorporadas nos acordos celebrados com os respetivos fornecedores.

Ao aceitar este DPA, o Responsável pelo tratamento autoriza tais transferências como instruções documentadas na aceção da secção 1.

• Encriptação de dados em trânsito e em repouso
• Controlos de acesso baseados em funções e no princípio do privilégio mínimo
• Pseudonimização dos dados identificativos do doente antes da transmissão para o fornecedor de IA, com o mapeamento gerado em memória e eliminado no final do pedido
• Cópias de segurança regulares e procedimentos de continuidade de negócio

O Subcontratante notifica o Responsável pelo tratamento sem demora injustificada após tomar conhecimento de uma violação de dados pessoais, fornecendo as informações necessárias para permitir que o Responsável pelo tratamento cumpra as suas obrigações ao abrigo dos Artigos 33.º e 34.º do RGPD.

Após a cessação do Serviço, o Subcontratante irá, por escolha do Responsável pelo tratamento, devolver ou eliminar todos os dados pessoais e cópias existentes, a menos que a retenção seja exigida pela legislação aplicável.

Para assuntos relacionados com este DPA: TP53 S.r.l., Via Pomposa 153, 44123 Ferrara (FE), Itália. Privacidade: privacy@tp53health.com.