Aquest Acord de Processament de Dades ("DPA") forma part dels Termes d'Ús entre Clara ("Encarregat", "nosaltres") i vostè ("Responsable", "vostè") i regula el processament de dades personals en relació amb l'ús dels serveis de Clara. Aquest DPA està dissenyat per complir amb els requisits de l'Article 28 del Reglament General de Protecció de Dades (RGPD).
1. Definicions
- Dades Personals: Qualsevol informació relativa a una persona física identificada o identificable, incloent dades de pacients, gravacions de sessions, transcripcions i notes clíniques processades a través de Clara.
- Tractament: Qualsevol operació realitzada sobre Dades Personals, incloent recollida, registre, emmagatzematge, recuperació, ús, transmissió, supressió o destrucció.
- Responsable: Vostè, el professional de salut autoritzat que determina les finalitats i mitjans del tractament de Dades Personals utilitzant Clara.
- Encarregat: Clara, que processa Dades Personals per compte del Responsable.
- Subencarregat: Qualsevol tercer contractat per Clara per processar Dades Personals per compte del Responsable.
- Interessat: La persona les Dades Personals de la qual són processades, principalment els seus pacients.
- Violació de Dades: Una violació de seguretat que ocasioni la destrucció, pèrdua, alteració accidental o il·lícita, la comunicació no autoritzada o l'accés a Dades Personals.
2. Àmbit i Rols
Vostè actua com a Responsable de les dades de pacients i és responsable de garantir un tractament lícit, obtenir el consentiment del pacient i complir amb els drets dels interessats. Clara actua com a Encarregat i només processarà Dades Personals segons les seves instruccions documentades i segons sigui necessari per proporcionar els Serveis. Clara no determina les finalitats del tractament de dades de pacients i no les utilitza per a cap altre propòsit que no sigui la prestació dels Serveis.
3. Objecte del Tractament
Aquest DPA regula el tractament de Dades Personals per part de Clara en relació amb la prestació de serveis de gravació de sessions de teràpia, transcripció i documentació clínica. Aquest DPA també cobreix la recollida digital del consentiment, la validació, la generació de PDF, l'emmagatzematge privat de proves, el seguiment de l'estat i la recuperació seguint les instruccions del Responsable.
4. Tipus de Dades Personals
Clara processa les següents categories de Dades Personals per compte seu:
- Informació identificativa del pacient (noms, dades de contacte) segons els introdueixi vostè
- Gravacions d'àudio de sessions
- Transcripcions automatitzades de sessions de teràpia
- Notes clíniques i resums generats per IA
- Metadades de sessions (dates, hores, durada)
- Informació clínica discutida durant les sessions
- Identificadors de compte professional necessaris per autenticar sol·licituds, aplicar controls d'accés i dirigir instruccions de tractament
- Dades identificatives i de contacte de pacients i tutors, seleccions de consentiment, notes, signatures escrites, dates de signatura, estat i marques temporals, i documents de consentiment generats
5. Categories d'Interessats
- Els seus pacients les sessions de teràpia dels quals són gravades
- Pacients i tutors o altres signants que completin formularis de consentiment
- Vostè, com a professional de salut que utilitza Clara
6. Obligacions de l'Encarregat (Clara)
Clara es compromet a les següents obligacions:
- Processar Dades Personals únicament segons les seves instruccions documentades, llevat que el Dret de la UE o dels Estats membres ho exigeixi
- Garantir que les persones autoritzades per processar Dades Personals estiguin subjectes a obligacions de confidencialitat
- Implementar mesures tècniques i organitzatives de seguretat apropiades segons es descriu a la Secció 10
- Contractar Subencarregats únicament amb la seva autorització prèvia i sota contractes escrits que imposin obligacions equivalents de protecció de dades
- Assistir-lo en la resposta a sol·licituds d'interessats per exercir els seus drets sota el RGPD
- Assistir-lo en el compliment de les obligacions del RGPD relatives a seguretat, notificació de violacions i avaluacions d'impacte
- Eliminar o retornar totes les Dades Personals després de la terminació dels Serveis, a la seva elecció, llevat que el Dret de la UE o dels Estats membres exigeixi la seva conservació
- Posar a disposició tota la informació necessària per demostrar el compliment i permetre auditories
- Informar-lo immediatament si considerem que una instrucció infringeix el RGPD o altres lleis de protecció de dades
7. Obligacions del Responsable (Vostè)
Com a Responsable, vostè és responsable de:
- Assegurar que té una base jurídica vàlida per al tractament de dades de pacients, incloent l'obtenció del consentiment informat per gravar sessions
- Proporcionar als pacients avisos de privacitat apropiats explicant com es tractaran les seves dades
- Garantir l'exactitud i pertinència de les Dades Personals proporcionades a Clara
- Respondre a les sol·licituds dels interessats i informar Clara de qualsevol sol·licitud rellevant
- Realitzar avaluacions d'impacte de protecció de dades quan sigui necessari
- Complir amb totes les lleis de protecció de dades aplicables en el seu ús de Clara
- Proporcionar a Clara instruccions de tractament lícites
- Mantenir registres d'activitats de tractament segons ho exigeix l'Article 30 del RGPD
8. Subencarregats
Vostè autoritza Clara a contractar els següents Subencarregats per assistir en la prestació de Serveis de tractament de dades de pacients. Cada Subencarregat està vinculat per obligacions contractuals consistents amb aquest DPA. El proveïdor de facturació de subscripcions de Clara es descriu a la Política de privacitat i als Termes i no s'utilitza per tractar Dades Personals de pacients sota aquest DPA.
| Subencarregat | Finalitat | Ubicació |
|---|---|---|
| Microsoft Azure | Infraestructura cloud, allotjament de base de dades, emmagatzematge d'àudio, transcripció i processament d'IA (Azure OpenAI) | Unió Europea |
| Google Calendar API | Sincronització opcional de calendari quan l'habilita el Responsable | Unió Europea / ubicacions de tractament aplicables de Google sota salvaguardes contractuals |
| PostHog | Analítica limitada de producte, diagnòstics del gravador i repetició emmascarada per a resolució d'incidències | Unió Europea / ubicacions de tractament aplicables sota salvaguardes contractuals |
| Resend | Lliurament de correu transaccional per a consentiments, factures, missatges de compte i notificacions al professional | Estats Units / ubicacions de tractament aplicables sota salvaguardes contractuals |
Clara li notificarà qualsevol canvi previst en els Subencarregats, donant-li l'oportunitat d'oposar-s'hi. Si té motius raonables per oposar-s'hi, pot rescindir els Serveis afectats.
9. Transferències Internacionals de Dades
La infraestructura principal de l'aplicació de Clara i les dades del servei s'allotgen dins de la Unió Europea. Si una integració opcional o un Subencarregat tracta Dades Personals limitades fora de la UE/EEE, Clara garantirà que existeixin salvaguardes contractuals i legals apropiades, com les Clàusules Contractuals Tipus aprovades per la Comissió Europea quan siguin aplicables.
10. Mesures de Seguretat
Clara implementa mesures tècniques i organitzatives apropiades per garantir un nivell de seguretat adequat al risc, incloent:
- Xifrat de Dades Personals en trànsit (TLS 1.2+) i en repòs (AES-256)
- Controls d'accés i mecanismes d'autenticació per prevenir accés no autoritzat
- Avaluacions de seguretat regulars i proves de vulnerabilitats
- Pràctiques de desenvolupament segur i processos de revisió de codi
- Acords de confidencialitat amb empleats i formació en protecció de dades
- Procediments de resposta a incidents i plans de continuïtat de negoci
- Eliminació automàtica de l'àudio de sessions 14 dies després del processament
- Separació lògica de dades de clients
- Còpies de seguretat regulars amb xifrat
- Registre i monitorització de l'accés al sistema
11. Drets dels Interessats
Clara l'assistirà en el compliment de les seves obligacions de respondre a sol·licituds d'interessats sota el RGPD, incloent drets d'accés, rectificació, supressió, limitació, portabilitat i oposició. Si Clara rep una sol·licitud directament d'un interessat, li notificarem sense demora i esperarem les seves instruccions, llevat que estiguem legalment obligats a respondre directament. Pot gestionar les dades de pacients, incloses les sol·licituds d'eliminació, a través de la interfície de Clara.
12. Notificació de Violació de Dades Personals
En cas d'una Violació de Dades Personals, Clara li notificarà sense dilació indeguda després de tenir coneixement de la violació. La notificació inclourà:
- Una descripció de la naturalesa de la violació, incloent les categories i el nombre aproximat d'interessats i registres afectats
- Dades de contacte per obtenir més informació
- Una descripció de les conseqüències probables de la violació
- Una descripció de les mesures adoptades o proposades per abordar la violació i mitigar els seus efectes
13. Drets d'Auditoria
Clara posarà a la seva disposició tota la informació raonablement necessària per demostrar el compliment d'aquest DPA i l'Article 28 del RGPD. Previ avís raonable, Clara permetrà i contribuirà a auditories, incloses inspeccions, realitzades per vostè o un auditor independent que vostè designi. Les auditories es realitzaran durant l'horari comercial normal, amb avís previ raonable, i no interferiran de manera irraonableamb les operacions de Clara. Vostè assumirà els costos de qualsevol auditoria, llevat que l'auditoria reveli un incompliment material per part de Clara.
14. Devolució i Eliminació de Dades
Després de la terminació dels Serveis o a la seva sol·licitud, Clara, a la seva elecció, eliminarà o retornarà totes les Dades Personals i eliminarà les còpies existents, llevat que el Dret de la UE o dels Estats membres exigeixi la seva conservació continuada. Quan el professional dona instruccions a Clara per conservar proves de consentiment i preservar la prova de la base jurídica, Clara conserva aquestes proves durant el període indicat a la Política de privacitat abans d'eliminar-les o retornar-les. L'àudio de les sessions s'elimina automàticament 14 dies després del processament. La devolució de dades es gestiona prèvia sol·licitud a Clara. Actualment, Clara no ofereix una funció general d'exportació d'autoservei de Dades Personals. Després de l'eliminació del compte, Clara eliminarà les altres Dades Personals en un termini de 30 dies, excepte quan la retenció sigui legalment requerida.
15. Responsabilitat
La responsabilitat de cada part sota aquest DPA està subjecta a les limitacions i exclusions de responsabilitat establertes en els Termes d'Ús. Clara serà responsable dels danys causats per un tractament que no compleixi amb les obligacions del RGPD específicament dirigides als encarregats, o quan Clara hagi actuat fora o en contra de les seves instruccions lícites.
16. Vigència i Terminació
Aquest DPA entra en vigor quan comença a utilitzar els Serveis de Clara i roman vigent fins que totes les Dades Personals siguin eliminades o retornades. Les obligacions d'aquest DPA sobreviuen a la terminació en la mesura necessària per complir el seu propòsit. Qualsevol de les parts pot rescindir aquest DPA d'acord amb les disposicions de terminació dels Termes d'Ús.
Informació de Contacte
Per a preguntes sobre aquest DPA o per exercir els seus drets com a Responsable, contacti amb el nostre Delegat de Protecció de Dades a privacy@heyclara.app.