Bilag til databehandleravtalen: AI-tilkoblinger

Dette bilaget legges til databehandleravtalen mellom Curus og hver virksomhet. Resten av databehandleravtalen gjelder som før.

1. Hva bilaget gjelder

Curus tilbyr en tilkobling (MCP) der virksomhetens eiere og terapeuter kan la en AI-assistent de selv velger, lese og endre opplysninger i Curus på deres vegne. Bilaget gjelder denne tilkoblingen.

2. Instruks

Virksomheten instruerer Curus om å:

1. gi en tilkoblet assistent tilgang til nøyaktig det brukeren selv har tilgang til i Curus, og ikke mer;
2. gi tilgang til helseopplysninger bare når brukeren har godtatt vilkårene for virksomheten og valgt det ved tilkoblingen, og i en klinikk bare når eieren har tillatt det;
3. registrere hver lesing av opplysninger om en klient, med bruker, tidspunkt, hva som ble lest og hvilken app;
4. avslutte en tilkobling straks når brukeren kobler den fra, når medlemskapet i virksomheten opphører, eller når virksomheten ber om det.

3. AI-leverandøren er ikke Curus sin underleverandør

Curus sender ikke opplysninger til noen AI-leverandør på eget initiativ. Opplysningene hentes av en app brukeren har koblet til. Leverandøren av den appen er virksomhetens databehandler, og virksomheten må selv ha databehandleravtale med den.

4. Sikkerhet

Curus skal sørge for at:

• innlogging skjer med Curus sin egen pålogging, med passnøkkel eller autentiseringsapp for alle som behandler pasientdata;
• tilgangsnøkler lever høyst 60 minutter og fornyes med en nøkkel som byttes ved hver bruk;
• tilkoblinger bare godtas fra apper på en liste over kjente adresser, eller fra brukerens egen maskin;
• endringer vises for brukeren før de utføres, og ingenting slettes gjennom tilkoblingen.

5. Innsyn og logg

Virksomheten kan be om utskrift av tilgangsloggen for en klient, med hvilke apper som har lest. Curus leverer den innen 30 dager.

6. Avslutning

En klinikk kan når som helst ta bort tillatelsen i innstillingene, og hver terapeut kan trekke sin godkjenning under Tilkoblede apper. Virksomheten kan også be Curus stenge alle tilkoblinger for virksomhetens brukere. Det skjer straks.

Mal: tekst til virksomhetens personvernerklæring

Virksomheten kan bruke denne teksten overfor klientene, med feltene i klammer fylt ut.

Bruk av AI-assistenter

[Virksomhetens navn] bruker Curus til skjemaer og treningsprogrammer. Terapeutene våre kan bruke en AI-assistent, [leverandør og abonnement], til å hjelpe seg med oppfølgingen din. Assistenten kan da lese [navnet ditt og hvilke skjemaer og programmer du har fått / også svarene dine på skjemaer og programmene dine].

Vi har databehandleravtale med [leverandør]. Opplysningene brukes ikke til å trene AI-modeller, og behandles [i EØS / i USA under EU–US Data Privacy Framework]. Terapeuten har taushetsplikt også når en assistent brukes, og henter bare det som trengs for behandlingen din.

Hver gang noen åpner opplysninger om deg i Curus, blir det registrert, også hvilken app det skjedde gjennom. Du kan be oss om å se denne loggen.