Smlouva o zpracování údajů

Role

Zákazník je správcem osobních údajů, které uchovává v OPALEVI, a rozhoduje, co se zaznamenává a proč. OPALEVI L.L.C. („OPALEVI“) je zpracovatel: tyto údaje zpracovává pouze za účelem poskytování služby a pouze na základě zdokumentovaných pokynů zákazníka, kterými jsou tyto podmínky a využívání služby zákazníkem.

Předmět, doba trvání a účel

Zpracováním je hostování a provoz OPALEVI pro zákazníka: ukládání, vyhledávání, zobrazování, tisk a přenos záznamů, které zadávají uživatelé zákazníka. Trvá po dobu existence účtu zákazníka a do výmazu údajů po skončení účtu.

Údaje a dotčené osoby

• Uživatelé: zaměstnanci, učitelé a studenti zákazníka — jména, e-mailové adresy, telefonní čísla, role, záznamy o přihlášení a záznam o jejich práci.
• Pacienti a klienti: záznamy, které o nich praxe vede a které mohou zahrnovat zdravotní údaje. Ve výukové klinice OPALEVI for Education jsou smyšlené a nezpracovávají se údaje žádného skutečného pacienta.

Povinnosti OPALEVI

• Údaje zpracovává pouze na základě zdokumentovaných pokynů zákazníka a informuje zákazníka, pokud se domnívá, že pokyn porušuje právo.
• Každý v OPALEVI, kdo má k údajům přístup, je vázán mlčenlivostí.
• Údaje zabezpečuje opatřeními uvedenými níže.
• Další zpracovatele využívá pouze tak, jak je uvedeno níže, na základě písemných podmínek, které údajům zajišťují stejnou ochranu, a zákazníky informuje před přidáním nebo nahrazením některého z nich aktualizací této stránky a zásad ochrany osobních údajů.
• Pomáhá zákazníkovi odpovídat na žádosti osob, které uplatňují svá práva, a při posouzeních a konzultacích, které právo vyžaduje.
• Bez zbytečného odkladu a nejpozději do 72 hodin od okamžiku, kdy se o tom dozví, informuje zákazníka o porušení zabezpečení osobních údajů, které se týká údajů zákazníka, s tím, co ví a co v tom ohledu dělá.
• Po skončení účtu údaje vymaže, nebo nejprve vrátí kopii, pokud o to zákazník požádá, do 30 dní od žádosti zákazníka; zálohy se přepíší v dalších 30 dnech.
• Poskytuje zákazníkovi informace potřebné k prokázání, že jsou tyto povinnosti plněny, a odpovídá na přiměřené dotazy k auditu jednou ročně nebo po porušení zabezpečení.

Pro zákazníka v Nigérii jsou tyto povinnosti také těmi, které zpracovatel údajů dluží podle nigerijského zákona o ochraně údajů z roku 2023 (NDPA), a strany budou spolupracovat s nigerijskou komisí pro ochranu údajů tam, kde to právo vyžaduje.

Další zpracovatelé

• Paddle.com, náš registrovaný obchodník pro platby kartou, zpracovává tyto platby a fakturační údaje, které k tomu potřebuje.
• Freemius, Inc., registrovaný obchodník pro předplatná placená přes svou platební stránku, zpracovává tyto platby a fakturační údaje, které k tomu potřebuje.
• Privy poskytuje připojení k peněžence používané pro platby v EURC nebo USDC.
• Poskytovatel hostingu, který provozuje naše servery a databázi, uchovává údaje naším jménem.
• Supabase ukládá přihlašovací údaje (každé heslo pouze jako hash) a kontroluje je při přihlášení.
• Cloudflare doručuje tento web a provádí bezpečnostní kontrolu na jeho veřejných formulářích, která zkoumá váš prohlížeč a připojení, aby odlišila lidi od automatizovaných programů.
• PostHog (PostHog Inc., Spojené státy) měří, jak se používají naše veřejné webové stránky: které stránky se otevírají, kde lidé klikají a jak daleko posouvají obrazovku, jak rychle se stránky načítají a zda byla dokončena registrace nebo kontaktní zpráva. Rovněž uchovává obrazové záznamy návštěv veřejných stránek, přičemž vše zapsané do formuláře je skryté, a může položit jednootázkovou anketu. Neukládá žádné cookies, neukládá nic ve vašem prohlížeči, nikdy nevidí samotnou aplikaci a přijímá adresy stránek bez jejich query řetězců. Registrační formulář a doklad o platbě se počítají, ale nezaznamenávají. Tyto údaje jsou zpracovávány ve Spojených státech na základě standardních smluvních doložek Evropské komise.
• Google Analytics (Google Ireland Limited; údaje může zpracovávat Google LLC ve Spojených státech na základě Rámce EU–USA pro ochranu osobních údajů a standardních smluvních doložek) měří, jak se používá náš veřejný web: které stránky se otevírají, z jaké země a z jakého druhu zařízení a který web nebo kampaň návštěvníka přivedl. Běží pouze na veřejných stránkách a na stránce registrace, nikdy uvnitř aplikace, a nedostává žádné údaje o klinice ani o pacientech. Reklamní funkce jsou vypnuty.
• Pro každou kliniku, identifikovanou pouze jejím číslem, PostHog rovněž dostává, jak je služba používána: kdy se klinika zaregistrovala, kdy přidala svého prvního pacienta a první návštěvu, změny v jejím předplatném a provedené platby, a za každý den používání počty, jako kolik zaměstnanců v ní pracovalo a které části služby byly otevřeny. Nejsou zahrnuta žádná jména, e-mailové adresy ani údaje o pacientech.
• Sentry (Functional Software, Inc., údaje se ukládají v EU, Frankfurt) dostává technická hlášení, když služba selže nebo je pomalá: druh chyby, místo v našem kódu, kde k ní došlo, která část služby se používala, číslo dotčené kliniky a jak dlouho trvaly stránky a požadavky. Jména, e-mailové adresy, čísla záznamů, cokoli napsaného a query řetězce adres se před odesláním hlášení odstraní a obrazovky se nikdy nenahrávají.
• Brevo (Sendinblue SAS, Francie) doručuje e-maily služby, jako jsou pozvánky, resetování hesla, potvrzení účtu a připomenutí, jejich příjemcům.
• Infobip odesílá zprávy přes WhatsApp a textové zprávy (SMS), které praxe pro své pacienty zapnula. Dostává mobilní číslo pacienta nebo majitele zvířete a pevný text zprávy.
• WhatsApp, služba společnosti Meta, doručuje zprávy přes WhatsApp na účet příjemce ve službě WhatsApp a přijímá číslo a zprávu stejně jako u každé zprávy přes WhatsApp.

Každý z nich zpracovává údaje pouze za účelem poskytování své části služby, na základě písemné smlouvy s OPALEVI.

Bezpečnostní opatření

• Údaje každého zákazníka jsou drženy odděleně: každý požadavek je omezen na organizaci, ke které přihlášený uživatel patří.
• Přístup uvnitř organizace se řídí rolí každé osoby, kterou nastavují administrátoři zákazníka.
• Hesla se ukládají pouze jako hashe; osoba si může ke svému přihlášení přidat druhý faktor.
• Služba funguje pouze přes šifrovaná spojení HTTPS.
• Změny záznamů a administrativní úkony se zapisují do protokolu aktivit, který nelze upravovat.
• Databáze se zálohuje každý den a zálohy se uchovávají až 30 dní.

Kde se údaje zpracovávají

Servery a databáze jsou v datových centrech v Evropské unii. Pokud poskytovatel uvedený výše zpracovává údaje mimo ni, zásady ochrany osobních údajů to uvádějí a předání se opírá o záruky, které GDPR poskytuje, například o standardní smluvní doložky Evropské komise.

Rozhodné právo a spory

Tato smlouva se řídí právem Republiky Kosovo. Strany se nejprve pokusí každý spor vyřešit vzájemným jednáním; spor, který nelze takto vyřešit, patří příslušným soudům v Prištině.

Kontakt

S jakýmkoli dotazem k tomuto dokumentu nebo se žádostí týkající se vašich údajů nám napište na [email protected]. Odpovídáme do 30 dnů.