1. Pe scurt
Audio șters automatÎnregistrarea consultației se șterge imediat după transcriere.
Date stocate în UEBaza de date și fișierele sunt pe servere din Frankfurt, Germania.
Fiecare clinică, datele eiO clinică nu poate vedea datele altei clinici.
Fără antrenarea AINu folosim datele pentru a antrena modele de inteligență artificială.
Incident anunțat în 48 de oreClinica e anunțată în cel mult 48 de ore de la constatare.
2. Cine răspunde de date
Pentru datele pacienților, clinica este operatorul: decide de ce și cât timp se folosesc datele. RADAR Dental este persoană împuternicită și prelucrează datele doar la instrucțiunile clinicii, pe baza unui acord de prelucrare a datelor încheiat cu fiecare clinică (art. 28 GDPR).
- datele se păstrează cât timp clinica are abonament activ și se șterg definitiv la 30 de zile după încetare, sau mai devreme, la cererea clinicii;
- clinica poate șterge oricând din aplicație o consultație sau dosarul unui pacient;
- cererile pacienților (acces, ștergere etc.) ajung la clinică, iar noi o ajutăm tehnic să le rezolve.
3. Înregistrările consultațiilor
- fișierul audio se încarcă direct din browser într-un spațiu de stocare privat, printr-un link temporar, valabil doar pentru acel fișier;
- fiecare fișier poate fi folosit doar pentru consultația și clinica căreia îi aparține;
- imediat ce transcrierea e salvată, fișierul audio se șterge automat; mai departe se lucrează doar pe text;
- înregistrarea se face numai cu acordul pacientului, obținut de clinică înainte.
4. Inteligența artificială
- AI-ul transcrie înregistrarea, pregătește un rezumat înainte de consultație și analizează discuția după consultație;
- analiza se face pe text (chestionar și transcriere); nu folosim recunoașterea emoțiilor din voce și nici date biometrice;
- instrucțiunile date sistemului cer omiterea din rapoarte a numărului de telefon, a adresei, a emailului și a numerelor de identificare;
- rezultatele sunt sugestii pentru echipa clinicii, nu sfat medical; deciziile le iau oameni;
- nu folosim datele clinicilor sau ale pacienților pentru a antrena modele de inteligență artificială.
5. Acces și izolarea datelor
- fiecare cont aparține unei singure clinici; regulile de acces din baza de date și verificările de pe server împiedică accesul la datele altei clinici;
- administratorul clinicii are drepturi în plus față de ceilalți membri (de exemplu, ștergerea unui dosar sau schimbarea termenilor);
- linkurile chestionarelor pentru pacienți sunt aleatorii, expiră și pot fi anulate de clinică;
- persoanele autorizate de RADAR accesează datele doar în măsura necesară pentru funcționare, suport și securitate.
6. Infrastructură și protecții tehnice
- toate conexiunile sunt criptate (HTTPS), iar browserul este obligat să folosească doar conexiuni securizate;
- paginile au reguli stricte despre ce cod au voie să încarce și nu pot fi afișate în interiorul altor site-uri;
- răspunsurile care conțin date ale pacienților nu se păstrează în memoria browserului sau a serverelor intermediare;
- numărul de cereri este limitat, ca să oprească încercările automate și abuzurile;
- jurnalele serverului nu conțin conținutul consultațiilor;
- statistica vizitelor pe site se face fără cookies, iar adresa IP nu se păstrează.
7. Furnizori
Folosim un număr mic de furnizori, care prelucrează datele doar ca să ne livreze serviciile lor, pe baza unor contracte de prelucrare a datelor.
| Furnizor | Ce face | Unde |
|---|
| Supabase Inc. | Baza de date, autentificarea și stocarea fișierelor | Serverele în UE (Frankfurt, Germania); companie din SUA |
| Railway Corp. | Găzduirea aplicației | Serverele în UE (Țările de Jos); companie din SUA |
| ElevenLabs | Transcrierea înregistrărilor audio | SUA |
| Anthropic PBC | Analiza cu inteligență artificială a chestionarelor și a transcrierilor | SUA |
| Google LLC (Google Fonts) | Livrarea fonturilor site-ului; primește adresa IP a vizitatorului | SUA |
Transferurile în afara Spațiului Economic European se fac pe baza clauzelor contractuale standard ale Comisiei Europene sau a cadrului UE-SUA pentru protecția datelor, acolo unde furnizorul este certificat. Detalii în Politica de confidențialitate.
8. Incidente de securitate
Dacă o încălcare a securității afectează datele pacienților, anunțăm clinica fără întârzieri nejustificate, în cel mult 48 de ore de la constatare, cu ce știm la acel moment: ce s-a întâmplat, ce date și câte persoane sunt afectate, consecințele probabile și ce măsuri am luat. Clinica, în calitate de operator, decide notificarea autorității și a pacienților.
9. Certificări și ce nu avem încă
Preferăm să spunem exact unde suntem.
| Cerință | Situația |
|---|
| Acord de prelucrare a datelor (GDPR, art. 28) | Da Inclus în contractul cu fiecare clinică |
| Audit SOC 2 | Nu încă |
| Certificare ISO 27001 | Nu încă |
| Acord BAA (HIPAA, pentru clinicile din SUA) | Nu încă |
| Autentificare în doi pași | Nu încă |
La cerere, trimitem acordul de prelucrare a datelor, lista actualizată a furnizorilor și răspunsurile la chestionarul de securitate al clinicii.
Pentru întrebări de securitate, pentru documente sau dacă ați găsit o problemă de securitate, scrieți-ne la contact@radardental.ro. Vă rugăm să nu faceți publică o vulnerabilitate înainte să o putem remedia.
Vitanic Sales LLC · 2232 Dell Range Blvd, Cheyenne, WY 82009, SUA