根据 GDPR 第28条的数据处理协议

a) 在线预约和诊所管理：

• 在线预约系统（控制者网站上的预约插件）
• 用于预约和患者管理的诊所仪表板
• 数字新客户登记表
• 电子邮件通知系统（预约确认、取消、改期）

b) 视频问诊 (video.petla.app)——如控制者已订阅：

• 兽医与宠物主人之间的视频问诊
• 集成支付处理的在线预约
• 向兽医发送短信和语音通话通知
• 宠物主人上传医疗文件
• 兽医记录咨询摘要

a) 宠物主人主数据：

• 称谓（先生/女士/其他）、名、姓
• 电子邮件地址、电话号码
• 出生日期
• 地址（街道、邮政编码、城市）
• 地理位置数据（纬度/经度——仅用于上门出诊）

b) 动物数据：

• 名字、种类、品种、性别、出生日期
• 绝育状态
• 体重、颜色、原产国
• 芯片号码、欧盟宠物护照号码
• 饲养方式（室外/室内猫）

c) 宠物主人提供的健康信息：

• 既往病史、药物、过敏、手术（宠物主人在新客户表格中提供的信息）
• 咨询原因/症状
• 自由文本备注
• 上传文件（检查结果、照片——JPEG、PNG、PDF，最多3个文件，每个不超过 5 MB）

注意：这是指宠物主人提供的初步信息，不是兽医创建的治疗记录。

d) 保险数据（如宠物主人在新客户表格中提供）：

• 保险类型、保险公司、保单号
• 投保人、费率、保险起始日期

e) 预约相关数据：

• 预约日期、时间、时长
• 预约类型、分配的日历
• 上门出诊地址含地理坐标
• 预计行程时间

f) 同意数据：

• 条款接受（时间戳）
• 营销同意（是/否）
• 表格提交时的确认文本和时间戳
• 表格确认时的 IP 地址

g) 使用视频问诊服务时额外处理的数据：

• 音频和视频流（实时传输，处理者不录制）
• 参与者元数据（加入/离开时间、通话时长）
• 兽医创建的咨询摘要
• 技术连接质量评估
• 宠物主人反馈
• Stripe 客户 ID 和支付状态（不存储完整信用卡数据——仅由 Stripe 作为经 PCI-DSS 认证的支付服务提供商处理）

(4) 处理者协助控制者履行数据主体权利（GDPR 第15-22条），特别是通过：

• 在仪表板中提供客户数据删除功能
• 根据请求导出客户数据
• 通过仪表板更正主数据

A. 核心子处理者（所有服务）

B. 使用在线预约时额外聘用的子处理者

C. 使用视频问诊服务 (video.petla.app) 时额外聘用的子处理者

物理访问控制：

• 服务器基础设施由 DigitalOcean 托管于经认证的数据中心（SOC 2 Type II、ISO 27001）
• 处理者无法物理访问服务器

系统访问控制：

• 通过电子邮件/密码进行会话管理认证
• 基于角色的访问控制（诊所级别、日历级别、管理员）
• 内部接口的 API 密钥认证
• 生产数据库的访问仅限于管理层

数据访问控制：

• 租户隔离：每个诊所只能访问自己的数据（数据库级别基于 clinicId 过滤）
• 可使用日历限制访问
• 宠物主人通过表格确认的数据在仪表板中不可更改

输入控制：

• 所有写入操作需要经过认证的会话
• 所有记录的数据库时间戳 (createdAt, updatedAt)
• 表格提交记录 IP 地址和确认时间戳

传输加密：

• 所有数据传输采用 TLS/HTTPS
• 所有表单相关端点采用 CSRF 令牌保护（httpOnly Cookie）
• 系统间 Webhook 通讯采用 HMAC-SHA256 签名
• 加密数据库连接 (SSL)

可用性控制：

• 每日自动数据库备份（DigitalOcean Managed Backups）
• 公共端点的速率限制（基于 IP）
• 数字表单的蜜罐字段用于机器人检测

分离控制：

• 数据库级别通过 clinicId 实现严格租户隔离
• 独立的暂存和生产环境

保密性：

• 处理者的所有员工均受保密义务约束

(2) 通知应至少包括：

• 违规性质
• 受影响的数据类别和大约涉及的数据主体数量
• 可能的后果
• 已采取和建议采取的措施

(2) 控制者可随时使用仪表板中的删除功能删除客户数据。删除为级联删除：

• 删除客户将自动删除所有关联的动物和表格提交
• 预约数据以匿名形式保留（移除客户关联）
• 上传文件将与关联的预约一起删除