Accordo sul trattamento dei dati

I ruoli

La clinica è titolare del trattamento dei dati personali che inserisce in Labrador. YUFU CAPITAL, che edita Labrador, li tratta per suo conto, in qualità di responsabile del trattamento ai sensi dell'articolo 28 del GDPR. L'accordo si applica per tutta la durata del contratto e poi durante il periodo di restituzione che lo segue.

Che cosa facciamo dei dati

Li ospitiamo, li conserviamo, li visualizziamo e li impaginiamo, per fornire il servizio, l'assistenza e il supporto all'avvio. Nient'altro.

Agiamo solo su istruzione della clinica: il contratto e l'uso che essa fa di Labrador. Se un'istruzione ci sembra contraria alla legge, gliene informiamo subito.

Le persone e i dati interessati

Sono interessati due gruppi di persone.

• I proprietari di animali, clienti della clinica: identità, recapiti, fatture e incassi, informazioni sull'animale e sul suo monitoraggio (identificazione, cartella clinica, analisi, prescrizioni, promemoria, appuntamenti, documenti, foto), note del team.
• I membri del team della clinica: identità, e-mail, credenziali di accesso, ruolo, registri degli accessi e delle azioni.
• Non è atteso alcun dato sensibile ai sensi dell'articolo 9 del GDPR: le informazioni mediche riguardano l'animale. La clinica si astiene dall'inserirne, anche nelle note libere.

Per quanto tempo

Per tutta la durata del contratto, poi 12 mesi per consentire alla clinica di recuperare i propri dati. I registri tecnici sono conservati 12 mesi. Dopodiché, o prima se la clinica lo chiede, cancelliamo i dati e le loro copie, salvo obbligo di legge di conservarli. Attestiamo la cancellazione su richiesta.

Sicurezza

Applichiamo le misure dell'articolo 32 del GDPR, in particolare:

• la cifratura delle comunicazioni e quella dei dati archiviati presso il fornitore di hosting;
• password mai conservate in chiaro;
• l'isolamento dei dati di ciascuna clinica, applicato dal database stesso, riga per riga;
• accessi in base al ruolo di ciascuno, nella misura strettamente necessaria;
• un accesso del nostro team allo spazio di una clinica, motivato, limitato a quattro ore e annotato nel registro;
• componenti software mantenuti aggiornati e una procedura di gestione degli incidenti.

Riservatezza

Le persone che trattano i dati si impegnano a mantenerli riservati, oppure vi sono tenute per legge.

Sub-responsabili del trattamento

La clinica autorizza il ricorso ai fornitori indicati di seguito. Ogni aggiunta o sostituzione le viene comunicata per iscritto con almeno 30 giorni di anticipo. La clinica può opporsi per un motivo legittimo; in mancanza di una soluzione, può recedere senza costi, con il rimborso del periodo non fruito. Ogni fornitore è tenuto a obblighi equivalenti e noi restiamo responsabili del suo operato.

• Supabase Pte. Ltd.: database e autenticazione. Unione europea (Irlanda).
• Vercel Inc.: hosting dell'applicazione ed esecuzione del server. Stati Uniti e rete globale.
• Plus Five Five, Inc. (Resend): invio delle e-mail. Stati Uniti.

La marcatura temporale della cassa

Ogni notte, un'impronta della cassa viene datata da servizi di marcatura temporale (Sectigo, DigiCert). Essi ricevono solo questa impronta, un calcolo che non contiene alcun dato personale: non sono sub-responsabili.

Fuori dall'Unione europea

I dati sono archiviati in Irlanda. Tuttavia il server dell'applicazione funziona negli Stati Uniti, e l'invio delle e-mail passa attraverso una società americana. Questi trasferimenti sono disciplinati da una decisione di adeguatezza della Commissione europea, come il quadro per la protezione dei dati tra l'Unione europea e gli Stati Uniti per le società che vi aderiscono, oppure dalle clausole contrattuali tipo della Commissione.

I diritti delle persone

Aiutiamo la clinica a rispondere alle richieste dei suoi clienti e del suo team: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione. Una richiesta che ci arriva direttamente le viene trasmessa entro 5 giorni lavorativi.

Violazione dei dati

Avvisiamo la clinica senza ritardo, e al più tardi 48 ore dopo esserne venuti a conoscenza, via e-mail all'indirizzo indicato nel contratto, con le informazioni previste dall'articolo 33 del GDPR. Adottiamo subito le misure per limitarne le conseguenze.

Assistenza, documentazione e audit

Aiutiamo la clinica, nella misura del possibile, per una valutazione d'impatto o una consultazione dell'autorità di controllo. Per quanto va oltre la documentazione disponibile, questo aiuto può essere oggetto di un preventivo. Teniamo a sua disposizione la documentazione che dimostra il nostro rispetto di questo accordo, e un registro dei trattamenti effettuati per conto dei nostri clienti.

La clinica può far eseguire un audit una volta all'anno, a proprie spese, con un preavviso scritto di 30 giorni, da parte di un revisore indipendente tenuto al segreto e che non sia un nostro concorrente. Un ulteriore audit è possibile dopo una violazione dei dati.

Scriverci

Per qualsiasi domanda sui dati personali: bonjour@labrador.vet.