Adatfeldolgozási megállapodás

Szerepek

Az ügyfél az OPALEVI-ben őrzött személyes adatok adatkezelője, és ő dönti el, mit és miért rögzít. OPALEVI L.L.C. („OPALEVI”) az adatfeldolgozó: ezeket az adatokat kizárólag a szolgáltatás nyújtásához és kizárólag az ügyfél dokumentált utasításai alapján dolgozza fel, amelyek ezek a feltételek és az ügyfél szolgáltatáshasználata.

Tárgy, időtartam és cél

A feldolgozás az OPALEVI tárhelyszolgáltatása és üzemeltetése az ügyfél számára: az ügyfél felhasználói által megadott nyilvántartások tárolása, lekérdezése, megjelenítése, nyomtatása és továbbítása. Az ügyfél fiókjának időtartama alatt tart, és addig, amíg az adatok a fiók megszűnése után törlésre nem kerülnek.

Az érintett adatok és személyek

• Felhasználók: az ügyfél személyzete, tanárai és hallgatói — nevek, e-mail-címek, telefonszámok, szerepkörök, bejelentkezési naplók és a munkájuk nyilvántartása.
• Páciensek és ügyfelek: a praxis által róluk vezetett nyilvántartások, amelyek egészségügyi adatokat is tartalmazhatnak. Az OPALEVI for Education programban működő oktatási klinikában ezek kitalált adatok, és valódi páciens adatait nem dolgozzák fel.

Az OPALEVI kötelezettségei

• Az adatokat kizárólag az ügyfél dokumentált utasításai alapján dolgozza fel, és értesíti az ügyfelet, ha úgy véli, hogy egy utasítás sérti a jogot.
• Az OPALEVI-nél mindenki, aki hozzáférhet az adatokhoz, köteles azokat bizalmasan kezelni.
• Az adatokat az alább felsorolt intézkedésekkel védi.
• Más adatfeldolgozókat csak az alább felsoroltak szerint vesz igénybe, olyan írásbeli feltételek mellett, amelyek ugyanazt a védelmet biztosítják az adatoknak, és ennek az oldalnak és az adatvédelmi irányelvnek a frissítésével értesíti az ügyfeleket, mielőtt egyet hozzáadna vagy lecserélne.
• Segíti az ügyfelet a jogaikat gyakorló személyek kérelmeinek megválaszolásában, valamint a jog által megkövetelt hatásvizsgálatokban és konzultációkban.
• Indokolatlan késedelem nélkül, és legkésőbb a tudomásszerzéstől számított 72 órán belül értesíti az ügyfelet az ügyfél adatait érintő adatvédelmi incidensről, azzal együtt, amit tud, és amit tesz az ügyben.
• A fiók megszűnésekor törli az adatokat, vagy az ügyfél kérésére előbb átad egy másolatot, az ügyfél kérelmétől számított 30 napon belül; a biztonsági mentések további 30 napon belül felülíródnak.
• Megadja az ügyfélnek a kötelezettségek teljesítésének igazolásához szükséges információkat, és évente egyszer, vagy incidens után válaszol az észszerű auditkérdésekre.

A nigériai ügyfél esetében ezek a kötelezettségek egyúttal azok is, amelyekkel az adatfeldolgozó a 2023. évi nigériai adatvédelmi törvény (NDPA) alapján tartozik, és a felek együttműködnek a nigériai adatvédelmi bizottsággal, ahol a jog ezt megköveteli.

További adatfeldolgozók

• A Paddle.com, a kártyás fizetések nyilvántartott kereskedője, feldolgozza ezeket a fizetéseket és az ehhez szükséges számlázási adatokat.
• A Freemius, Inc., a saját fizetési oldalán keresztül fizetett előfizetések nyilvántartott kereskedője, feldolgozza ezeket a fizetéseket és az ehhez szükséges számlázási adatokat.
• A Privy biztosítja a EURC vagy USDC fizetésekhez használt pénztárcakapcsolatot.
• A tárhelyszolgáltató, amely a szervereinket és adatbázisunkat üzemelteti, a nevünkben tárolja az adatokat.
• A Supabase tárolja a bejelentkezési adatokat (minden jelszót csak hash formában), és bejelentkezéskor ellenőrzi azokat.
• A Cloudflare szolgáltatja ezt a weboldalt, és biztonsági ellenőrzést futtat a nyilvános űrlapjain, amely a böngészőjét és kapcsolatát vizsgálja, hogy megkülönböztesse az embereket az automatizált programoktól.
• A PostHog (PostHog Inc., Egyesült Államok) méri, hogyan használják nyilvános weboldalunkat: mely oldalak nyílnak meg, hol kattintanak az emberek és milyen messzire görgetnek, milyen gyorsan töltődnek be az oldalak, és hogy egy regisztráció vagy egy kapcsolatfelvételi üzenet befejeződött-e. Emellett képernyőfelvételeket is készít a nyilvános oldalak látogatásairól, ahol az űrlapba begépelt minden adat el van rejtve, és feltehet egy egykérdéses felmérést. Nem állít be cookie-kat, semmit nem tárol a böngészőjében, sosem látja magát az alkalmazást, és az oldalcímeket a lekérdezési karakterláncuk nélkül kapja meg. A regisztrációs űrlapot és a fizetési nyugtát megszámolja, de nem rögzíti. Ezeket az adatokat az Egyesült Államokban dolgozzák fel, az Európai Bizottság általános szerződési feltételei alapján.
• A Google Analytics (Google Ireland Limited; az adatokat a Google LLC dolgozhatja fel az Egyesült Államokban az EU–USA adatvédelmi keretrendszer és az általános szerződési feltételek alapján) méri, hogyan használják nyilvános weboldalunkat: mely oldalak nyílnak meg, melyik országból és milyen típusú eszközről, valamint melyik webhely vagy kampány hozta a látogatót. Csak a nyilvános oldalakon és a regisztrációs oldalon fut, sosem az alkalmazáson belül, és nem kap klinikai vagy páciensadatokat. A hirdetési funkciók ki vannak kapcsolva.
• Minden klinikánál, amelyet kizárólag a száma azonosít, a PostHog azt is megkapja, hogyan használják a szolgáltatást: mikor regisztrált a klinika, mikor adta hozzá első páciensét és első vizitjét, az előfizetésében történt változásokat és a teljesített kifizetéseket, valamint minden használati napra vonatkozóan olyan számadatokat, mint hány munkatárs dolgozott ott, és a szolgáltatás mely részeit nyitották meg. Nevek, e-mail címek és páciensadatok nem szerepelnek benne.
• A Sentry (Functional Software, Inc., az adatok az EU-ban, Frankfurtban tárolva) technikai jelentéseket kap, amikor a szolgáltatás meghibásodik vagy lassú: a hiba típusát, a kódunkban azt a helyet, ahol történt, a szolgáltatás melyik része volt használatban, az érintett klinika számát, és hogy mennyi ideig tartottak az oldalak és kérések. A neveket, e-mail címeket, nyilvántartási számokat, bármit, amit beírtak, és a címek lekérdezési karakterláncait a jelentés elküldése előtt eltávolítjuk, a képernyőket pedig sosem rögzítjük.
• A Brevo (Sendinblue SAS, Franciaország) kézbesíti a szolgáltatás e-mailjeit, például a meghívókat, jelszó-visszaállításokat, fiókmegerősítéseket és emlékeztetőket, azok címzettjeinek.
• Az Infobip küldi azokat a WhatsApp-üzeneteket és szöveges üzeneteket (SMS), amelyeket egy praxis bekapcsolt a pácienseinek. Megkapja a páciens vagy az állat tulajdonosának mobilszámát és az üzenet rögzített szövegét.
• A WhatsApp, a Meta szolgáltatása, a WhatsApp-üzeneteket a címzett WhatsApp-fiókjába kézbesíti, és megkapja a számot és az üzenetet, ahogyan bármely WhatsApp-üzenet esetében.

Mindegyikük az adatokat kizárólag a szolgáltatás rá eső részének nyújtásához dolgozza fel, az OPALEVI-vel kötött írásbeli megállapodás alapján.

Biztonsági intézkedések

• Minden ügyfél adatait elkülönítve tartjuk: minden kérés arra a szervezetre korlátozódik, amelyhez a bejelentkezett felhasználó tartozik.
• A szervezeten belüli hozzáférés az egyes személyek szerepkörét követi, amelyet az ügyfél adminisztrátorai határoznak meg.
• A jelszavakat kizárólag hash formájában tároljuk; bárki hozzáadhat egy második tényezőt a saját bejelentkezéséhez.
• A szolgáltatás kizárólag titkosított HTTPS-kapcsolatokon működik.
• A nyilvántartások módosításai és az adminisztratív műveletek egy nem szerkeszthető tevékenységnaplóba kerülnek.
• Az adatbázisról naponta készül biztonsági mentés, és a mentéseket legfeljebb 30 napig őrizzük.

Hol történik a feldolgozás

A szerverek és az adatbázis az Európai Unióban lévő adatközpontokban találhatók. Ahol egy fent felsorolt szolgáltató az Unión kívül dolgoz fel adatokat, az adatvédelmi irányelv ezt közli, és az adattovábbítás a GDPR által biztosított garanciákon alapul, például az Európai Bizottság általános szerződési feltételein.

Irányadó jog és viták

Erre a megállapodásra a Koszovói Köztársaság joga az irányadó. A felek minden vitát először egymással beszélve próbálnak rendezni; az így nem rendezhető vita a pristinai illetékes bíróságok elé kerül.

Kapcsolat

Ha kérdése van ezzel a dokumentummal kapcsolatban, vagy kérést szeretne benyújtani adataival kapcsolatban, írjon nekünk a(z) [email protected] címre. 30 napon belül válaszolunk.