Dati
La riservatezza non è un’impostazione
Questa pagina è scritta in modo da poter essere inoltrata a un responsabile della protezione dei dati senza doverla prima tradurre.
Audio
Il riconoscimento vocale avviene sul dispositivo
Una seduta nello studio viene trascritta sull’iPad del clinico. L’audio non lascia il dispositivo e non esiste alcun file audio da recuperare, ascoltare o far trapelare. Ciò che viene inviato è testo.
Nei videoconsulti la registrazione avviene solo se è il cliente stesso a premere sì all’interno del videoconsulto — non per sola iniziativa del clinico. Le registrazioni restano cifrate nell’area dello studio stesso e vengono cancellate dallo studio, non da noi e non automaticamente.
I nomi
Pseudonimizzazione prima che qualcosa lasci il server
Prima che una trascrizione venga usata per redigere la bozza
di una nota, i nomi del cliente e del clinico, i numeri CPR, i numeri di
telefono, gli indirizzi e-mail e gli indirizzi postali vengono sostituiti
da segnaposto. Il modello linguistico vede [KLIENT], non un
nome. I segnaposto vengono reinseriti localmente, dopo che il testo è
tornato indietro.
Un dettaglio che ci è costato un errore: il modo consueto di individuare i confini di parola in JavaScript non riconosce Å come lettera. Un cognome come «Åkjær» è quindi sfuggito alla prima versione. Il test che lo ha rilevato fa parte della suite di test fissa del sistema e viene eseguito ogni volta.
Cifratura
Una chiave per ogni clinico
La cartella clinica e le registrazioni sono cifrate con AES-256-GCM. La chiave è derivata dalla chiave di accesso personale del clinico e da un salt casuale, e non risiede mai su disco.
La conseguenza è che due clinici dello stesso studio non possono leggere il materiale l’uno dell’altro — e che noi non possiamo leggere né l’uno né l’altro. Significa anche che una chiave dimenticata non può essere reimpostata da noi. È uno svantaggio che accettiamo deliberatamente.
Collocazione
Dove risiedono i dati e chi li tratta
- Server Germania, all’interno dell’UE/SEE.
- Modello linguistico Anthropic, con accordo sul trattamento dei dati. Le trascrizioni sono pseudonimizzate prima dell’invio.
- SMS GatewayAPI, fornitore danese con conservazione dei dati in Europa. I messaggi non contengono dati sanitari e il nome del mittente non rivela la specializzazione dello studio.
- Rendicontazione Sygeforsikringen «danmark», quando il cliente ha diritto a un rimborso. È una comunicazione di dati a terzi e deve figurare nel registro dei trattamenti dello studio.
Questo elenco è completo. Se esiste un sub-responsabile del trattamento che non abbiamo indicato, si tratta di un errore — scriveteci e correggiamo la pagina.
Uscita
Un’esportazione che potete portare con voi
L’intera cartella clinica può essere scaricata come archivio zip di file ordinari: una nota per pagina HTML in una cartella per ogni cliente, l’elenco dei clienti e gli appuntamenti in CSV, il tutto anche in JSON, e i checksum, così potete dimostrare che quanto avete ricevuto è quanto avete.
Niente di tutto ciò richiede il nostro software. Non è una comodità: uno studio di psicologia ha un obbligo di conservazione di cinque anni, e l’obbligo è dello studio. Se non potete estrarre la cartella clinica in una forma utilizzabile, non potete disdire il contratto con noi e restare al tempo stesso in regola con la legge.