Sporazum o obradi podataka

Uloge

Klijent je kontrolor ličnih podataka koje čuva u programu OPALEVI i odlučuje šta se bilježi i zašto. OPALEVI L.L.C. („OPALEVI“) je obrađivač: te podatke obrađuje samo radi pružanja usluge i samo prema dokumentiranim uputama klijenta, a to su ovi uvjeti i korištenje usluge od strane klijenta.

Predmet, trajanje i svrha

Obrada je hosting i rad programa OPALEVI za klijenta: pohranjivanje, preuzimanje, prikazivanje, štampanje i prenošenje zapisa koje unose korisnici klijenta. Traje koliko i račun klijenta, i do brisanja podataka nakon prestanka računa.

Podaci i osobe na koje se odnose

• Korisnici: osoblje, nastavnici i studenti klijenta — imena, adrese e-pošte, brojevi telefona, uloge, zapisi o prijavama i zapis o njihovom radu.
• Pacijenti i klijenti: zapisi koje ordinacija o njima vodi, a koji mogu uključivati podatke o zdravlju. U učioničkoj klinici programa OPALEVI for Education oni su izmišljeni i ne obrađuju se podaci nijednog stvarnog pacijenta.

Obaveze OPALEVI

• Podatke obrađuje samo prema dokumentiranim uputama klijenta i obavještava klijenta ako smatra da neka uputa krši zakon.
• Svi u OPALEVI koji mogu pristupiti podacima obavezni su da ih čuvaju kao povjerljive.
• Podatke čuva sigurnima mjerama navedenim u nastavku.
• Druge obrađivače koristi samo kako je navedeno u nastavku, na osnovu pisanih uvjeta koji podacima daju istu zaštitu, a klijente obavještava prije dodavanja ili zamjene nekog od njih ažuriranjem ove stranice i politike privatnosti.
• Pomaže klijentu da odgovori na zahtjeve osoba koje ostvaruju svoja prava te pri procjenama i savjetovanjima koje zakon zahtijeva.
• Obavještava klijenta bez nepotrebnog odgađanja, a najkasnije u roku od 72 sata od saznanja, o povredi ličnih podataka koja utiče na podatke klijenta, s onim što zna i onim što poduzima povodom toga.
• Kada račun prestane, briše podatke, ili prvo vraća kopiju ako klijent to zatraži, u roku od 30 dana od zahtjeva klijenta; sigurnosne kopije se prepisuju u daljnjih 30 dana.
• Klijentu daje informacije potrebne da pokaže da su ove obaveze ispunjene i odgovara na razumna pitanja o reviziji jednom godišnje ili nakon povrede.

Za klijenta u Nigeriji ove obaveze su ujedno one koje obrađivač podataka duguje prema Zakonu o zaštiti podataka Nigerije iz 2023. (NDPA), a strane će sarađivati s Komisijom za zaštitu podataka Nigerije gdje to zakon zahtijeva.

Drugi obrađivači

• Paddle.com, naš registrirani prodavac, obrađuje plaćanja i podatke za naplatu koji su im potrebni.
• Freemius, Inc., registrirani prodavac za pretplate plaćene preko njegove naplate, obrađuje ta plaćanja i podatke za naplatu koji su mu potrebni.
• Privy pruža vezu novčanika koja se koristi za plaćanja u EURC ili USDC.
• Pružalac hostinga koji vodi naše servere i bazu podataka pohranjuje podatke u naše ime.
• Supabase pohranjuje podatke za prijavu (svaku lozinku samo kao heš) i provjerava ih kada se prijavite.
• Cloudflare isporučuje ovu web stranicu i provodi sigurnosnu provjeru na njenim javnim obrascima, koja gleda vaš preglednik i vezu kako bi razlikovala ljude od automatiziranih programa.
• PostHog (PostHog Inc., Sjedinjene Američke Države) mjeri kako se koristi naša javna web stranica: koje se stranice otvaraju, gdje ljudi kliknu i koliko skroluju, koliko brzo se stranice učitavaju, i da li je registracija ili kontakt poruka završena. Također čuva snimke ekrana posjeta javnim stranicama, pri čemu je sve što je upisano u obrazac skriveno, i može postaviti anketu s jednim pitanjem. Ne postavlja kolačiće, ne čuva ništa u vašem pregledniku, nikada ne vidi samu aplikaciju i prima adrese stranica bez njihovih query stringova. Obrazac za registraciju i potvrda o plaćanju se broje, ali se ne bilježe. Ovi podaci se obrađuju u Sjedinjenim Američkim Državama, u skladu sa standardnim ugovornim klauzulama Evropske komisije.
• Google Analytics (Google Ireland Limited; podatke u Sjedinjenim Američkim Državama može obrađivati Google LLC u skladu s Okvirom EU–SAD o privatnosti podataka i standardnim ugovornim klauzulama) mjeri kako se koristi naša javna web stranica: koje se stranice otvaraju, iz koje zemlje i s kakvog uređaja, te koja stranica ili kampanja je dovela posjetitelja. Radi samo na javnim stranicama i na stranici za registraciju, nikada unutar aplikacije, i ne prima podatke o klinici ni o pacijentima. Funkcije oglašavanja su isključene.
• Za svaku kliniku, identifikovanu samo njenim brojem, PostHog također prima kako se usluga koristi: kada se klinika registrovala, kada je dodala svog prvog pacijenta i prvi pregled, promjene u pretplati i izvršena plaćanja, i za svaki dan korištenja, brojeve kao što je koliko osoblja je radilo u njoj i koji dijelovi usluge su otvoreni. Nijedna imena, e-mail adrese niti podaci o pacijentima nisu uključeni.
• Sentry (Functional Software, Inc., podaci se čuvaju u EU, Frankfurt) prima tehničke izvještaje kada usluga ne uspije ili je spora: vrstu greške, mjesto u našem kodu gdje se dogodila, koji dio usluge je bio u upotrebi, broj pogođene klinike i koliko su trajale stranice i zahtjevi. Imena, e-mail adrese, brojevi zapisa, sve što je upisano i query stringovi adresa uklanjaju se prije nego što se izvještaj pošalje, a ekrani se nikada ne snimaju.
• Brevo (Sendinblue SAS, Francuska) dostavlja e-poštu usluge, poput pozivnica, resetovanja lozinke, potvrda naloga i podsjetnika, njihovim primaocima.
• Infobip šalje WhatsApp poruke i tekstualne poruke (SMS) koje je ordinacija uključila za svoje pacijente. Prima broj mobitela pacijenta ili vlasnika životinje i utvrđeni tekst poruke.
• WhatsApp, usluga kompanije Meta, isporučuje WhatsApp poruke na WhatsApp račun primaoca te prima broj i poruku kao i za svaku WhatsApp poruku.

Svaki od njih obrađuje podatke samo radi pružanja svog dijela usluge, na osnovu pisanog sporazuma s OPALEVI.

Sigurnosne mjere

• Podaci svakog klijenta čuvaju se odvojeno: svaki zahtjev je ograničen na organizaciju kojoj prijavljeni korisnik pripada.
• Pristup unutar organizacije slijedi ulogu svake osobe, koju postavljaju administratori klijenta.
• Lozinke se pohranjuju samo kao hash vrijednosti; osoba može dodati drugi faktor vlastitoj prijavi.
• Usluga radi isključivo putem šifriranih HTTPS veza.
• Promjene zapisa i administrativne radnje upisuju se u dnevnik aktivnosti koji se ne može uređivati.
• Baza podataka se svakodnevno sigurnosno kopira, a kopije se čuvaju do 30 dana.

Gdje se podaci obrađuju

Serveri i baza podataka nalaze se u podatkovnim centrima u Evropskoj uniji. Gdje pružalac naveden gore obrađuje podatke izvan nje, politika privatnosti to navodi, a prijenos se temelji na zaštitnim mjerama koje predviđa GDPR, kao što su standardne ugovorne klauzule Evropske komisije.

Mjerodavno pravo i sporovi

Na ovaj sporazum primjenjuje se pravo Republike Kosovo. Strane će prvo pokušati riješiti svaki spor međusobnim razgovorom; spor koji se tako ne može riješiti ide pred nadležne sudove u Prištini.

Kontakt

Za svako pitanje o ovom dokumentu, ili zahtjev o Vašim podacima, pišite nam na [email protected]. Odgovaramo u roku od 30 dana.