Zmluva o spracúvaní osobných údajov

Úlohy

Zákazník je prevádzkovateľom osobných údajov, ktoré uchováva v OPALEVI, a rozhoduje o tom, čo sa zaznamenáva a prečo. OPALEVI L.L.C. („OPALEVI“) je sprostredkovateľom: spracúva tieto údaje iba na poskytovanie služby a iba podľa zdokumentovaných pokynov zákazníka, ktorými sú tieto podmienky a používanie služby zákazníkom.

Predmet, trvanie a účel

Spracúvanie je hosting a prevádzka OPALEVI pre zákazníka: ukladanie, vyhľadávanie, zobrazovanie, tlač a prenos záznamov, ktoré zadávajú používatelia zákazníka. Trvá, kým trvá účet zákazníka, a kým sa údaje po skončení účtu nevymažú.

Dotknuté údaje a osoby

• Používatelia: zamestnanci, učitelia a študenti zákazníka — mená, e-mailové adresy, telefónne čísla, úlohy, záznamy o prihlásení a záznam o ich práci.
• Pacienti a klienti: záznamy, ktoré o nich prax vedie a ktoré môžu zahŕňať údaje o zdraví. Vo výučbovej klinike OPALEVI for Education sú tieto fiktívne a nespracúvajú sa údaje žiadneho skutočného pacienta.

Povinnosti OPALEVI

• Spracúva údaje iba podľa zdokumentovaných pokynov zákazníka a informuje zákazníka, ak sa domnieva, že pokyn porušuje právo.
• Každý v OPALEVI, kto má k údajom prístup, je viazaný povinnosťou mlčanlivosti.
• Udržiava údaje v bezpečí opatreniami uvedenými nižšie.
• Využíva iných sprostredkovateľov iba tak, ako je uvedené nižšie, na základe písomných podmienok, ktoré údajom poskytujú rovnakú ochranu, a informuje zákazníkov pred pridaním alebo výmenou jedného z nich aktualizáciou tejto stránky a zásad ochrany osobných údajov.
• Pomáha zákazníkovi odpovedať na žiadosti ľudí, ktorí uplatňujú svoje práva, a pri posúdeniach a konzultáciách, ktoré právo vyžaduje.
• Bez zbytočného odkladu a najneskôr do 72 hodín od okamihu, keď sa o tom dozvie, informuje zákazníka o porušení ochrany osobných údajov, ktoré sa týka údajov zákazníka, s tým, čo vie a čo v tejto veci robí.
• Keď účet skončí, údaje vymaže alebo najprv vráti ich kópiu, ak o to zákazník požiada, do 30 dní od žiadosti zákazníka; zálohy sa prepíšu v ďalších 30 dňoch.
• Poskytuje zákazníkovi informácie potrebné na preukázanie, že tieto povinnosti sú splnené, a odpovedá na primerané otázky auditu raz ročne alebo po porušení.

Pre zákazníka v Nigérii sú tieto povinnosti aj tými, ktoré dlhuje sprostredkovateľ údajov podľa nigérijského zákona o ochrane údajov z roku 2023 (Nigeria Data Protection Act 2023, NDPA), a strany budú spolupracovať s Nigérijskou komisiou pre ochranu údajov (Nigeria Data Protection Commission), ak to právo vyžaduje.

Iní sprostredkovatelia

• Paddle.com, náš registrovaný obchodník pre platby kartou, spracúva tieto platby a fakturačné údaje, ktoré potrebuje.
• Freemius, Inc., registrovaný obchodník pre predplatné platené cez jeho platobnú stránku, spracúva tieto platby a fakturačné údaje, ktoré potrebuje.
• Privy poskytuje pripojenie k peňaženke používané na platby v EURC alebo USDC.
• Poskytovateľ hostingu, ktorý prevádzkuje naše servery a databázu, uchováva údaje v našom mene.
• Supabase ukladá prihlasovacie údaje (každé heslo iba ako hash) a kontroluje ich pri prihlásení.
• Cloudflare doručuje túto webovú stránku a vykonáva bezpečnostnú kontrolu na jej verejných formulároch, ktorá skúma váš prehliadač a pripojenie, aby odlíšila ľudí od automatizovaných programov.
• PostHog (PostHog Inc., Spojené štáty) meria, ako sa používa naša verejná webová stránka: ktoré stránky sa otvárajú, kde ľudia klikajú a ako ďaleko posúvajú obrazovku, ako rýchlo sa stránky načítavajú a či bola dokončená registrácia alebo kontaktná správa. Taktiež uchováva obrazové záznamy návštev verejných stránok, pričom všetko zapísané do formulára je skryté, a môže položiť jednootázkovú anketu. Nenastavuje žiadne cookies, nič neukladá vo vašom prehliadači, nikdy nevidí samotnú aplikáciu a prijíma adresy stránok bez ich query reťazcov. Registračný formulár a doklad o platbe sa počítajú, ale nezaznamenávajú. Tieto údaje sa spracúvajú v Spojených štátoch podľa štandardných zmluvných doložiek Európskej komisie.
• Google Analytics (Google Ireland Limited; údaje môže spracúvať Google LLC v Spojených štátoch podľa rámca ochrany údajov EÚ–USA a štandardných zmluvných doložiek) meria, ako sa používa naša verejná webová stránka: ktoré stránky sa otvárajú, z ktorej krajiny a na akom type zariadenia, a ktorá stránka alebo kampaň návštevníka priviedla. Funguje iba na verejných stránkach a na registračnej stránke, nikdy v aplikácii, a neprijíma údaje o klinike ani o pacientoch. Reklamné funkcie sú vypnuté.
• Pre každú kliniku, identifikovanú iba jej číslom, PostHog tiež dostáva, ako sa služba používa: kedy sa klinika zaregistrovala, kedy pridala svojho prvého pacienta a prvú návštevu, zmeny v jej predplatnom a uskutočnené platby, a za každý deň používania počty, ako koľko zamestnancov v nej pracovalo a ktoré časti služby boli otvorené. Nie sú zahrnuté žiadne mená, e-mailové adresy ani údaje o pacientoch.
• Sentry (Functional Software, Inc., údaje sa ukladajú v EÚ, Frankfurt) dostáva technické hlásenia, keď služba zlyhá alebo je pomalá: druh chyby, miesto v našom kóde, kde k nej došlo, ktorá časť služby sa používala, číslo dotknutej kliniky a ako dlho trvali stránky a požiadavky. Mená, e-mailové adresy, čísla záznamov, čokoľvek napísané a query reťazce adries sa pred odoslaním hlásenia odstránia a obrazovky sa nikdy nenahrávajú.
• Brevo (Sendinblue SAS, Francúzsko) doručuje e-maily služby, ako sú pozvánky, obnovenia hesla, potvrdenia účtu a pripomienky, ich príjemcom.
• Infobip odosiela správy cez WhatsApp a textové správy (SMS), ktoré si prax zapla pre svojich pacientov. Dostáva mobilné číslo pacienta alebo majiteľa zvieraťa a pevný text správy.
• WhatsApp, služba spoločnosti Meta, doručuje správy cez WhatsApp na účet WhatsApp príjemcu a dostáva číslo a správu tak, ako pri každej správe cez WhatsApp.

Každý z nich spracúva údaje iba na poskytovanie svojej časti služby na základe písomnej zmluvy s OPALEVI.

Bezpečnostné opatrenia

• Údaje každého zákazníka sú oddelené: každá požiadavka je obmedzená na organizáciu, do ktorej prihlásený používateľ patrí.
• Prístup v rámci organizácie sa riadi úlohou každej osoby, ktorú určujú administrátori zákazníka.
• Heslá sa ukladajú iba ako haše; osoba si môže pridať druhý faktor k vlastnému prihláseniu.
• Služba funguje iba cez šifrované pripojenia HTTPS.
• Zmeny záznamov a administratívne úkony sa zapisujú do protokolu činnosti, ktorý nemožno upravovať.
• Databáza sa zálohuje každý deň a zálohy sa uchovávajú až 30 dní.

Kde sa údaje spracúvajú

Servery a databáza sú v dátových centrách v Európskej únii. Ak poskytovateľ uvedený vyššie spracúva údaje mimo nej, uvádza to politika ochrany osobných údajov a prenos sa opiera o záruky, ktoré GDPR poskytuje, napríklad štandardné zmluvné doložky Európskej komisie.

Rozhodné právo a spory

Táto dohoda sa riadi právom Republiky Kosovo. Strany sa najprv pokúsia vyriešiť každý spor vzájomným rozhovorom; spor, ktorý sa takto nepodarí vyriešiť, patrí príslušným súdom v Prištine.

Kontakt

S akoukoľvek otázkou k tomuto dokumentu, alebo so žiadosťou týkajúcou sa vašich údajov, nám napíšte na [email protected]. Odpovedáme do 30 dní.