Contrato de subcontratação de dados

Por um lado, a clínica identificada no contrato particular, doravante a Responsável ou a Clínica.

Por outro, Miguel Monllau Monfort, NIF ES73383415Y, com domicílio em Calle Doctor Coca 1, planta 1, puerta 1, 08700 Igualada, Barcelona, que opera sob a marca «Clynalia», doravante o Subcontratante ou Clynalia.

Ambas as partes acordam regular o tratamento de dados pessoais necessário para prestar a Clynalia de acordo com as cláusulas seguintes.

A Responsável encarrega a Clynalia da prestação dos serviços de software para a gestão clínica e administrativa descritos no contrato principal. Para isso, a Clynalia tratará dados pessoais por conta da Responsável e unicamente segundo as suas instruções documentadas.

O objeto, a duração, as operações, as finalidades, as categorias de dados e os titulares são detalhados nos anexos.

Este contrato entra em vigor na data fixada no contrato particular e mantém-se em vigor enquanto a Clynalia tratar dados por conta da Responsável.

As obrigações de confidencialidade, segurança, devolução, eliminação e cooperação que devam subsistir continuam durante o prazo legal aplicável.

A Clínica determina as finalidades e os meios essenciais do tratamento dos dados dos seus pacientes e atua como responsável pelo tratamento.

A Clynalia atua como subcontratante quando trata esses dados para prestar o serviço. A designação contratual não prevalecerá sobre a realidade do tratamento. Se a Clynalia considerar que uma instrução altera os papéis ou infringe a legislação, informará a Responsável sem demora e poderá suspender a instrução na medida necessária para evitar um tratamento ilícito.

A Clynalia:

• tratará os dados unicamente para prestar o serviço contratado;
• não os utilizará para fins próprios incompatíveis;
• não venderá dados de pacientes;
• não utilizará históricos clínicos para treinar modelos;
• não comunicará dados salvo instrução, obrigação legal ou subcontratação autorizada;
• documentará as instruções recebidas através do contrato, da configuração da clínica e dos pedidos autorizados dos seus utilizadores.

Quando exista uma obrigação legal de tratar ou comunicar dados à margem das instruções, a Clynalia informará previamente a Responsável, salvo proibição legal.

A Clynalia garantirá que as pessoas autorizadas a tratar dados:

• acedem apenas quando necessário para as suas funções;
• estão sujeitas ao dever de confidencialidade;
• recebem formação adequada;
• utilizam credenciais individuais;
• perdem o acesso quando deixa de ser necessário.

O acesso excecional de suporte deverá ser justificado, limitado e registado.

A Clynalia aplicará medidas técnicas e organizativas adequadas ao risco e manterá evidência do seu funcionamento. As medidas iniciais constam do anexo correspondente e incluem cifragem, isolamento por clínica, controlo de acesso, auditoria, cópias de segurança, gestão de chaves e segurança do desenvolvimento.

As medidas poderão evoluir para manter ou melhorar o nível de proteção, sem o reduzir materialmente durante a vigência.

A Clínica compromete-se a administrar utilizadores e permissões, proteger os seus dispositivos e redes, e comunicar incidentes ou saídas de utilizadores sem demora.

A Responsável autoriza a Clynalia, nos termos fixados no contrato particular, a utilizar os subcontratantes identificados nos anexos.

Em caso de autorização geral, a Clynalia:

• informará, pelo canal e com a antecedência fixados no contrato particular, sobre incorporações ou substituições;
• facultará identidade, função e localização;
• permitirá objeções fundamentadas relacionadas com a proteção de dados;
• proporá uma solução razoável quando a objeção seja fundada;
• imporá ao subcontratante obrigações equivalentes;
• continuará a responder perante a Responsável pelo cumprimento do subcontratante, nos termos legais.

A Clynalia não realizará transferências internacionais nem permitirá que um subcontratante as realize, salvo:

• instrução documentada da Responsável;
• necessidade para prestar o serviço descrita nos anexos; e
• existência de um mecanismo válido e de garantias adequadas.

O inventário deverá identificar localização, mecanismo e documentação aplicável. A mera escolha de um fornecedor europeu ou de uma região europeia não substitui esta avaliação contratual.

A Clínica atenderá os pedidos dos seus pacientes. Se a Clynalia receber um pedido relacionado com dados tratados por conta da Clínica:

• encaminhá-lo-á sem demora para o contacto designado;
• não responderá em nome da Clínica, salvo instrução;
• facilitará, dentro das suas possibilidades, pesquisa, exportação, retificação, limitação, oposição, portabilidade ou eliminação.

O contacto da Responsável e o prazo operacional de encaminhamento e assistência são fixados no contrato particular.

A Clynalia notificará a Responsável sem demora injustificada após ter conhecimento de uma violação que afete os dados confiados.

A comunicação incluirá, à medida que esteja disponível:

• natureza e impacto provável;
• categorias e volume aproximados;
• medidas adotadas ou previstas;
• pessoa de contacto;
• informação necessária para que a Clínica avalie as suas notificações.

A Clínica decide as comunicações à autoridade e aos titulares, salvo obrigação direta da Clynalia. As partes manterão o canal de emergência fixado no contrato particular.

A Clynalia assistirá razoavelmente a Clínica em:

• análise de riscos;
• avaliações de impacto sobre a proteção de dados;
• consulta ao encarregado de proteção de dados;
• consulta prévia à autoridade quando aplicável;
• documentação de medidas e funcionamento técnico.

A Clynalia facultará informação reutilizável do serviço. A Clínica deverá completá-la com o seu contexto, volume, grupos, bases jurídicas e processos assistenciais.

A Clynalia colocará à disposição da Responsável a informação necessária para demonstrar o cumprimento deste contrato e permitirá auditorias razoáveis.

As auditorias:

• serão coordenadas com antecedência, salvo incidente urgente;
• respeitarão a confidencialidade e a segurança de outras clínicas;
• darão prioridade a certificações, relatórios e evidências remotas quando sejam suficientes;
• não permitirão o acesso a segredos ou a dados de terceiros desnecessários;
• seguirão o regime de custos fixado no contrato particular.

No fim da prestação, a Clynalia devolverá ou eliminará os dados segundo a instrução da Responsável, salvo obrigação legal de conservação.

Os anexos definem os formatos de exportação, a janela para descarregar, o tratamento de documentos, base de dados, chaves, auditoria e cópias, o bloqueio dos dados sujeitos a conservação, a certificação da operação, e os prazos e exceções.

Não se executará qualquer eliminação irreversível de históricos clínicos até que a Clínica confirme os prazos de conservação aplicáveis ao seu território e a cada categoria de dados.

A Clynalia manterá medidas razoáveis de cópia, recuperação e continuidade adequadas ao risco. Os objetivos de recuperação e qualquer compromisso de nível de serviço constarão do contrato particular ou dos anexos.

O regime de responsabilidade será coordenado com o contrato principal e não limitará direitos ou obrigações que legalmente não possam ser limitados.

Em caso de contradição em matéria de proteção de dados, prevalecem este contrato e os seus anexos.

Por parte da Clynalia: privacidade e proteção de dados, privacy@clynalia.com; assuntos contratuais, hello@clynalia.com. Os contactos da Clínica são designados no contrato particular.

O contrato é assinado pela pessoa que representa a Clínica e por Miguel Monllau Monfort em nome da Clynalia, com data, antes de se tratar qualquer dado de pacientes.

Funções opcionais com IA. Se a clínica ativar a função correspondente e uma pessoa autorizada a pedir, a Clynalia utiliza a Amazon Bedrock para: (a) transcrever literalmente o texto visível de um documento; (b) organizar a sua informação escrita; ou (c) redigir um rascunho de relatório de visita ou de episódio a partir de notas já escritas pelo profissional.

Nas duas primeiras funções é enviado o PDF ou a imagem selecionados, com instruções técnicas. Nos relatórios de visita são enviadas as notas de anamnese, exame, tratamento, evolução e recomendações. Nos de episódio são enviadas as notas das suas visitas, com data e número de sessão, e o motivo da consulta; não é enviado o campo diagnóstico do episódio. A Clynalia não acrescenta outros campos identificativos da ficha, mas o ficheiro ou as notas podem conter identificadores e dados de saúde.

O resultado pode conter erros ou omissões. A finalidade é documental: o sistema não deve fornecer novas interpretações, diagnósticos ou recomendações clínicas. Um profissional deve compará-lo com as fontes, corrigi-lo ou descartá-lo e decidir expressamente se o incorpora ou emite. A identidade no relatório é acrescentada depois, fora da chamada ao modelo. O profissional entrega o relatório ao doente; a Clynalia não o envia automaticamente a terceiros.

A AWS presta a inferência no âmbito UE verificado. A utilização exige a avaliação das condições contratuais e de conservação. As fontes, o rascunho IA, o texto revisto e os seus registos são conservados segundo a política aplicável a cada categoria. A lista de subcontratantes descreve serviços e garantias. A Clynalia não utiliza processos clínicos para treinar modelos.

• Anexo I: descrição dos tratamentos.
• Anexo II: subcontratantes e localizações.
• Anexo III: medidas técnicas e organizativas.
• Anexo IV: devolução, conservação e eliminação.
• Anexo V: funções opcionais de transcrição, organização documental e rascunhos de relatórios de consulta ou episódio com IA.

Os anexos são entregues com o contrato particular. Referências: artigo 28.º do RGPD e o guia da autoridade espanhola de proteção de dados (AEPD) sobre o conteúdo do contrato de subcontratação.