Preskoči na sadržaj
OPALEVI

Ugovor o obradi podataka

Ovaj ugovor primjenjuje se između OPALEVI i svake ordinacije ili obrazovne ustanove koja koristi OPALEVI („klijent“), gdje god zakon zahtijeva pisani ugovor o obradi osobnih podataka u ime nekoga drugog. Dio je uvjeta koje je klijent prihvatio.

Uloge

Klijent je voditelj obrade osobnih podataka koje čuva u OPALEVI i odlučuje što se bilježi i zašto. OPALEVI L.L.C. („OPALEVI“) je izvršitelj obrade: obrađuje te podatke samo radi pružanja usluge i samo prema dokumentiranim uputama klijenta, a to su ovi uvjeti i klijentovo korištenje usluge.

Predmet, trajanje i svrha

Obrada je smještaj i rad OPALEVI za klijenta: pohranjivanje, dohvaćanje, prikaz, ispis i prijenos zapisa koje unose klijentovi korisnici. Traje koliko i račun klijenta, i do brisanja podataka nakon prestanka računa.

Podaci i osobe na koje se odnose

  • Korisnici: osoblje, nastavnici i studenti klijenta — imena, adrese e-pošte, brojevi telefona, uloge, zapisi prijava i zapis o njihovu radu.
  • Pacijenti i klijenti: zapisi koje ordinacija vodi o njima, a koji mogu uključivati podatke o zdravlju. U nastavnoj klinici OPALEVI for Education oni su izmišljeni i ne obrađuju se podaci nijednog stvarnog pacijenta.

Obveze OPALEVI

  • Podatke obrađuje samo prema dokumentiranim uputama klijenta i obavještava klijenta ako smatra da uputa krši zakon.
  • Svatko u OPALEVI tko može doći do podataka obvezan je čuvati ih kao povjerljive.
  • Podatke čuva sigurnima mjerama navedenima u nastavku.
  • Druge izvršitelje obrade koristi samo kako je navedeno u nastavku, prema pisanim uvjetima koji podacima daju jednaku zaštitu, i obavještava klijente prije dodavanja ili zamjene jednoga ažuriranjem ove stranice i pravila o privatnosti.
  • Pomaže klijentu odgovoriti na zahtjeve osoba koje ostvaruju svoja prava, te pri procjenama i savjetovanjima koje zahtijeva zakon.
  • Obavještava klijenta bez nepotrebnog odgađanja, a najkasnije u roku od 72 sata od saznanja, o povredi osobnih podataka koja utječe na klijentove podatke, s onim što zna i što poduzima u vezi s tim.
  • Kad račun prestane, briše podatke ili prvo vraća presliku ako klijent to zatraži, u roku od 30 dana od klijentova zahtjeva; sigurnosne kopije prepisuju se u daljnjih 30 dana.
  • Klijentu daje informacije potrebne za dokazivanje da su ove obveze ispunjene i odgovara na razumna pitanja o reviziji jednom godišnje ili nakon povrede.

Za klijenta u Nigeriji ove su obveze ujedno one koje izvršitelj obrade ima prema nigerijskom Zakonu o zaštiti podataka iz 2023. (NDPA), a stranke će surađivati s nigerijskim Povjerenstvom za zaštitu podataka gdje to zakon zahtijeva.

Ostali izvršitelji obrade

  • Paddle.com, naš merchant of record, obrađuje plaćanja i naplatne podatke koji su im potrebni.
  • Freemius, Inc., merchant of record za pretplate plaćene putem njegove stranice naplate, obrađuje ta plaćanja i naplatne podatke koji su mu potrebni.
  • Privy pruža vezu novčanika koja se koristi za plaćanja u EURC ili USDC.
  • Pružatelj hostinga koji vodi naše poslužitelje i bazu podataka pohranjuje podatke u naše ime.
  • Supabase pohranjuje podatke za prijavu (svaku lozinku samo kao hash) i provjerava ih kada se prijavite.
  • Cloudflare isporučuje ovu web stranicu i provodi sigurnosnu provjeru na njezinim javnim obrascima, koja gleda vaš preglednik i vezu kako bi razlikovala ljude od automatiziranih programa.
  • PostHog (PostHog Inc., Sjedinjene Američke Države) mjeri kako se koristi naša javna web stranica: koje se stranice otvaraju, gdje ljudi kliknu i koliko skroliraju, koliko brzo se stranice učitavaju, i je li registracija ili poruka za kontakt dovršena. Također čuva snimke zaslona posjeta javnim stranicama, pri čemu je sve upisano u obrazac skriveno, i može postaviti anketu s jednim pitanjem. Ne postavlja kolačiće, ne pohranjuje ništa u vašem pregledniku, nikada ne vidi samu aplikaciju i prima adrese stranica bez njihovih query stringova. Obrazac za registraciju i potvrda o plaćanju se broje, ali se ne bilježe. Ovi se podaci obrađuju u Sjedinjenim Američkim Državama, u skladu sa standardnim ugovornim klauzulama Europske komisije.
  • Google Analytics (Google Ireland Limited; podatke može obrađivati Google LLC u Sjedinjenim Američkim Državama u skladu s Okvirom za privatnost podataka EU–SAD i standardnim ugovornim klauzulama) mjeri kako se koristi naša javna web stranica: koje se stranice otvaraju, iz koje države i s kakvog uređaja, te koja je stranica ili kampanja dovela posjetitelja. Radi samo na javnim stranicama i stranici za registraciju, nikada unutar aplikacije, i ne prima podatke klinike ni pacijenata. Značajke oglašavanja isključene su.
  • Za svaku kliniku, identificiranu samo njezinim brojem, PostHog također prima kako se usluga koristi: kada se klinika registrirala, kada je dodala svog prvog pacijenta i prvi pregled, promjene u pretplati i izvršena plaćanja, te za svaki dan korištenja, brojeve poput toga koliko je osoblja radilo u njoj i koji su dijelovi usluge otvoreni. Nijedna imena, adrese e-pošte niti podaci o pacijentima nisu uključeni.
  • Sentry (Functional Software, Inc., podaci se pohranjuju u EU, Frankfurt) prima tehnička izvješća kada usluga ne uspije ili je spora: vrstu pogreške, mjesto u našem kodu gdje se dogodila, koji je dio usluge bio u upotrebi, broj pogođene klinike i koliko su trajale stranice i zahtjevi. Imena, adrese e-pošte, brojevi zapisa, sve što je upisano i query stringovi adresa uklanjaju se prije slanja izvješća, a zasloni se nikada ne snimaju.
  • Brevo (Sendinblue SAS, Francuska) dostavlja e-poštu usluge, poput pozivnica, resetiranja lozinke, potvrda računa i podsjetnika, njihovim primateljima.
  • Infobip šalje WhatsApp poruke i tekstualne poruke (SMS) koje je ordinacija uključila za svoje pacijente. Prima mobilni broj pacijenta ili vlasnika životinje i fiksni tekst poruke.
  • WhatsApp, usluga tvrtke Meta, isporučuje WhatsApp poruke na WhatsApp račun primatelja te prima broj i poruku kao i za svaku drugu WhatsApp poruku.

Svaki od njih obrađuje podatke samo radi pružanja svojeg dijela usluge, prema pisanom ugovoru s OPALEVI.

Sigurnosne mjere

  • Podaci svakog klijenta drže se odvojeno: svaki je zahtjev ograničen na organizaciju kojoj prijavljeni korisnik pripada.
  • Pristup unutar organizacije slijedi ulogu svake osobe, koju određuju klijentovi administratori.
  • Lozinke se pohranjuju samo kao hash; svatko može dodati drugi faktor svojoj prijavi.
  • Usluga radi samo preko šifriranih HTTPS veza.
  • Izmjene zapisa i administrativne radnje upisuju se u dnevnik aktivnosti koji se ne može uređivati.
  • Baza podataka sigurnosno se kopira svaki dan, a kopije se čuvaju do 30 dana.

Gdje se podaci obrađuju

Poslužitelji i baza podataka nalaze se u podatkovnim centrima u Europskoj uniji. Kad pružatelj naveden gore obrađuje podatke izvan nje, pravila o privatnosti to navode, a prijenos se temelji na zaštitnim mjerama koje predviđa GDPR, kao što su standardne ugovorne klauzule Europske komisije.

Mjerodavno pravo i sporovi

Na ovaj sporazum primjenjuje se pravo Republike Kosovo. Stranke će svaki spor pokušati prvo riješiti razgovorom; spor koji se tako ne može riješiti ide nadležnim sudovima u Prištini.

Kontakt

Za svako pitanje o ovom dokumentu, ili zahtjev o vašim podacima, pišite nam na [email protected]. Odgovaramo unutar 30 dana.