Act adițional privind datele de sănătate

Împuternicit: D.O.D.O. OFFICE OUTLET S.R.L. (marca Vocalyy), CUI 48578743, ONRC J23/4990/2023, cu sediul în Sat Dudu, Comuna Chiajna, Str. Rezervelor nr. 54, bl. 7, ap. 23, județul Ilfov. Prezentul act adițional constituie Anexa 4 la DPA Vocalyy.

Domeniu de aplicare: Se aplică unui Client, și numai unui Client, a cărui utilizare a Serviciului implică date cu caracter personal din categorii speciale (art. 9 RGPD), în special date privind sănătatea (de exemplu cabinete medicale, stomatologice, farmacii sau cabinete de optică). Fără un exemplar semnat al prezentului Act adițional, Clientul nu trebuie să utilizeze Serviciul pentru prelucrarea datelor din categorii speciale.

Art. 1: Definiții

Date din categorii speciale

Datele enumerate la art. 9(1) RGPD, inclusiv date privind sănătatea.

Date privind sănătatea

Date referitoare la sănătatea fizică sau mentală, inclusiv furnizarea de servicii de îngrijire a sănătății, conform art. 4(15) RGPD.

Date interzise

Codul numeric personal (CNP), numerele cardurilor de plată (PAN) și datele conturilor bancare (IBAN); nepermise în Serviciu (a se vedea art. 5).

Art. 2: Responsabilitățile și garanțiile Operatorului

2.1. Clientul este Operatorul datelor din categorii speciale prelucrate prin Serviciu și garantează că, înainte de orice astfel de prelucrare, deține o condiție validă conform art. 9(2) RGPD, în special consimțământul explicit (art. 9(2)(a)) sau temeiul privind asistența medicală (art. 9(2)(h)) împreună cu garanțiile de secret profesional de la art. 9(3), alături de un temei conform art. 6.

2.2. Clientul furnizează informarea necesară a apelantului (înregistrare, dezvăluirea AI și prelucrarea datelor de sănătate) și aplică minimizarea datelor: nu își configurează agentul să solicite mai multe date din categorii speciale decât strict necesar.

2.3. Ca între părți, Clientul este responsabil de legalitatea a ceea ce agentul său întreabă, afirmă și colectează (DPA art. 3.3) și despăgubește Vocalyy pentru pretențiile care decurg din configurarea Clientului sau din lipsa temeiului conform art. 9. Aceasta nu limitează drepturile persoanei vizate sau atribuțiile autorității de supraveghere.

Art. 3: Angajamentele Vocalyy ca împuternicit (măsuri consolidate conform art. 32)

3.1. Accesul la transcrierile și înregistrările clienților de sănătate este restrâns la personal desemnat, pe roluri, pe baza principiului necesității de a cunoaște, și este jurnalizat.

3.2. Criptare în tranzit și în repaus.

3.3. Fără utilizare secundară și fără antrenarea modelelor pe datele de sănătate, de către Vocalyy sau orice subîmputernicit (consolidează art. 6.5 din DPA).

3.4. Subîmputerniciții care primesc date de sănătate sunt obligați la termeni echivalenți; lista curentă este dezvăluită conform anexei de subîmputerniciți din DPA (pagina de subîmputerniciți).

3.5. Prelucrarea se face numai pe baza instrucțiunilor documentate ale Clientului (Serviciul configurat).

Art. 4: Funcții AI interne

Acolo unde un asistent AI din platformă prelucrează transcrieri ce pot conține date de sănătate, se aplică jurnalizarea accesului de la art. 3.1 și interdicția de antrenare de la art. 3.3, iar funcția și accesul la ea sunt dezvăluite Clientului.

Art. 5: Date interzise (detectare și anonimizare)

5.1. Clientul nu își configurează agentul să solicite CNP, numere de card sau date de cont bancar.

5.2. Vocalyy aplică detectarea și anonimizarea automată a acestor valori în transcrieri și jurnale. Vocalyy nu acționează ca procesator de plăți, iar Serviciul nu este în domeniul PCI-DSS pentru date de card.

Art. 6: Păstrare

Datele de sănătate urmează regulile de păstrare ale Serviciului (audio 30 de zile; transcrieri și metadate 90 de zile), cu excepția cazului în care Clientul stabilește o perioadă mai scurtă. Nicio păstrare a datelor de sănătate peste regula menționată, cu excepția unui schelet minim de facturare conform Legii 82/1991.

Art. 7: Notificarea încălcărilor

Pentru o încălcare a securității datelor care implică date din categorii speciale, Vocalyy notifică Clientul fără întârziere nejustificată și, în orice caz, în termen de 24 de ore de la luarea la cunoștință, cu informațiile necesare Clientului pentru obligațiile sale conform art. 33/34.

Art. 8: Ordinea de prioritate

Legislația imperativă > Comanda executată > DPA > prezentul Act adițional > Termenii. Prezentul Act adițional completează și nu reduce DPA.