Ochrona
Danych i DPA

Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej: DPA) została sformułowana w celu wypełnienia rygorystycznych wymogów nałożonych przez Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Dokument ten stanowi wiążące porozumienie między:

1. Administratorem (ADO): Użytkownikiem systemu Synapsa AI, będącym podmiotem wykonującym działalność leczniczą lub terapeutyczną, który powierza dane swoich pacjentów w celu digitalizacji dokumentacji medycznej.
2. Podmiotem Przetwarzającym (Procesorem): AETION LABS Sp. z o.o., odpowiedzialnym za dostarczenie, utrzymanie i zabezpieczenie infrastruktury technologicznej ekosystemu Synapsa AI.
3. Administrator oświadcza, iż posiada prawne podstawy do przetwarzania danych pacjentów, a powierzenie ich Procesorowi jest niezbędne do realizacji celów profilaktyki zdrowotnej, diagnozy medycznej lub opieki zdrowotnej.

Strony zgodnie ustalają, iż zakres powierzenia danych jest ściśle ograniczony do technicznych aspektów świadczenia usługi wsparcia klinicznego:

1. Kategorie danych: Przetwarzanie obejmuje dane szczególnych kategorii (dane medyczne), w tym transkrypcje wywiadów, notatki kliniczne, wyniki analiz psychologicznych oraz parametry biometryczne zawarte w nagraniach głosowych.
2. Operacje procesowe: Procesor wykonuje w imieniu Administratora operacje zbierania, rejestrowania, porządkowania, przechowywania, adaptowania oraz analizowania danych przy użyciu algorytmów uczenia maszynowego (AI).
3. Czas trwania: Niniejsza Umowa zostaje zawarta na czas trwania subskrypcji usługi i wygasa w momencie skutecznego usunięcia danych z infrastruktury chmurowej Procesora.

Usługodawca posiada rygorystyczny protokół postępowania w sytuacjach kryzysowych:

1. Powiadomienie: W przypadku wykrycia incydentu mającego wpływ na bezpieczeństwo danych, Procesor zawiadomi Administratora niezwłocznie, lecz nie później niż w ciągu 36 godzin.
2. Raportowanie: Zawiadomienie będzie zawierać szczegółowy opis naruszenia, jego skutki oraz wykaz podjętych działań mitygacyjnych.
3. Wsparcie: Procesor zobowiązuje się do pełnej współpracy z Administratorem oraz organami nadzorczymi (PUODO) w procesie wyjaśniania incydentu.

Procesor uznaje nadrzędną rolę Administratora jako dysponenta danych pacjenta:

1. Administrator posiada prawo do żądania pisemnych wyjaśnień dotyczących wdrożonych środków bezpieczeństwa raz w kwartale kalendarzowym.
2. Administrator ma prawo do zlecenia audytu bezpieczeństwa infrastrukturze Procesora raz w roku, po uprzednim zgłoszeniu terminu z 30-dniowym wyprzedzeniem. Audyt odbywa się na koszt Administratora i przy zachowaniu rygorów tajemnicy przedsiębiorstwa Procesora.

Dane kliniczne przetwarzane są w modelu ograniczonej retencji:

1. Dane operacyjne: Przechowywane do momentu wyraźnego usunięcia rekordów przez Użytkownika w interfejsie aplikacji (Hard Delete).
2. Dane backupowe: Przechowywane w formie zaszyfrowanej przez 90 dni od momentu ich modyfikacji, po czym ulegają automatycznej rotacji i nadpisaniu.
3. Zakończenie współpracy: W terminie 30 dni od wygaśnięcia subskrypcji, Procesor trwale usuwa wszelkie dane powierzone przez Administratora, chyba że odrębne przepisy prawa nakazują ich dalszą archiwizację.