Ugovor o obradi podataka o ličnosti

Uloge

Klijent je rukovalac podacima o ličnosti koje čuva u OPALEVI i odlučuje šta se beleži i zašto. OPALEVI L.L.C. („OPALEVI“) je obrađivač: obrađuje te podatke samo radi pružanja usluge i samo prema dokumentovanim uputstvima klijenta, a to su ovi uslovi i korišćenje usluge od strane klijenta.

Predmet, trajanje i svrha

Obrada je hosting i rad OPALEVI za klijenta: čuvanje, preuzimanje, prikazivanje, štampanje i prenos zapisa koje unose korisnici klijenta. Traje koliko i nalog klijenta, i dok se podaci ne obrišu nakon prestanka naloga.

Podaci i osobe na koje se odnose

• Korisnici: osoblje, nastavnici i studenti klijenta — imena, adrese e-pošte, brojevi telefona, uloge, zapisi o prijavama i zapis o njihovom radu.
• Pacijenti i klijenti: zapisi koje ordinacija vodi o njima, a koji mogu uključivati podatke o zdravlju. U nastavnoj klinici OPALEVI for Education oni su izmišljeni i ne obrađuju se podaci nijednog stvarnog pacijenta.

Obaveze OPALEVI

• Obrađuje podatke samo prema dokumentovanim uputstvima klijenta i obaveštava klijenta ako smatra da uputstvo krši pravo.
• Svako u OPALEVI ko može pristupiti podacima obavezan je da ih čuva kao poverljive.
• Čuva podatke bezbednim merama navedenim ispod.
• Koristi druge obrađivače samo kako je navedeno ispod, prema pisanim uslovima koji podacima daju istu zaštitu, i obaveštava klijente pre dodavanja ili zamene jednog od njih ažuriranjem ove stranice i politike privatnosti.
• Pomaže klijentu da odgovori na zahteve osoba koje ostvaruju svoja prava, kao i u procenama i konsultacijama koje pravo zahteva.
• Obaveštava klijenta bez nepotrebnog odlaganja, a najkasnije u roku od 72 sata od saznanja, o povredi podataka o ličnosti koja utiče na podatke klijenta, sa onim što zna i onim što preduzima povodom toga.
• Kada nalog prestane, briše podatke, ili prethodno vraća kopiju ako klijent to zatraži, u roku od 30 dana od zahteva klijenta; rezervne kopije se prepisuju u daljih 30 dana.
• Daje klijentu informacije potrebne da pokaže da su ove obaveze ispunjene i odgovara na razumna pitanja revizije jednom godišnje, ili nakon povrede.

Za klijenta u Nigeriji ove obaveze su i one koje obrađivač podataka duguje prema nigerijskom Zakonu o zaštiti podataka iz 2023. (Nigeria Data Protection Act 2023, NDPA), a strane će sarađivati sa nigerijskom Komisijom za zaštitu podataka (Nigeria Data Protection Commission) gde to pravo zahteva.

Drugi obrađivači

• Paddle.com, naš trgovac evidencije, obrađuje uplate i podatke za naplatu koji su im potrebni.
• Freemius, Inc., trgovac evidencije za pretplate plaćene preko njegove naplate, obrađuje ta plaćanja i podatke za naplatu koji su mu potrebni.
• Privy obezbeđuje vezu sa novčanikom koja se koristi za plaćanja u EURC ili USDC.
• Pružalac hostinga koji pokreće naše servere i bazu podataka čuva podatke u naše ime.
• Supabase čuva podatke za prijavu (svaku lozinku samo kao heš) i proverava ih kada se prijavite.
• Cloudflare isporučuje ovaj sajt i sprovodi bezbednosnu proveru na njegovim javnim obrascima, koja pregleda vaš pregledač i vezu kako bi razlikovala ljude od automatizovanih programa.
• PostHog (PostHog Inc., Sjedinjene Američke Države) meri kako se koristi naša javna veb-stranica: koje se stranice otvaraju, gde ljudi kliknu i koliko skroluju, koliko brzo se stranice učitavaju, i da li je registracija ili kontakt poruka završena. Takođe čuva snimke ekrana poseta javnim stranicama, pri čemu je sve upisano u obrazac skriveno, i može postaviti anketu sa jednim pitanjem. Ne postavlja kolačiće, ne čuva ništa u vašem pregledaču, nikada ne vidi samu aplikaciju i prima adrese stranica bez njihovih query stringova. Obrazac za registraciju i potvrda o plaćanju se broje, ali se ne beleže. Ovi podaci se obrađuju u Sjedinjenim Američkim Državama, u skladu sa standardnim ugovornim klauzulama Evropske komisije.
• Google Analytics (Google Ireland Limited; podatke može da obrađuje Google LLC u Sjedinjenim Američkim Državama u skladu sa Okvirom EU–SAD za privatnost podataka i standardnim ugovornim klauzulama) meri kako se koristi naša javna veb-stranica: koje se stranice otvaraju, iz koje zemlje i sa kakvog uređaja, i koja stranica ili kampanja je dovela posetioca. Radi samo na javnim stranicama i na stranici za registraciju, nikada unutar aplikacije, i ne prima podatke klinike ni pacijenata. Reklamne funkcije su isključene.
• Za svaku kliniku, identifikovanu samo njenim brojem, PostHog takođe prima kako se usluga koristi: kada se klinika registrovala, kada je dodala svog prvog pacijenta i prvi pregled, promene u njenoj pretplati i izvršena plaćanja, i za svaki dan korišćenja, brojeve kao što je koliko osoblja je radilo u njoj i koji delovi usluge su otvoreni. Nijedna imena, e-mail adrese niti podaci o pacijentima nisu uključeni.
• Sentry (Functional Software, Inc., podaci se čuvaju u EU, Frankfurt) prima tehničke izveštaje kada usluga ne uspe ili je spora: vrstu greške, mesto u našem kodu gde se dogodila, koji deo usluge je bio u upotrebi, broj pogođene klinike i koliko su trajale stranice i zahtevi. Imena, e-mail adrese, brojevi zapisa, sve što je uneto i query stringovi adresa uklanjaju se pre nego što se izveštaj pošalje, a ekrani se nikada ne snimaju.
• Brevo (Sendinblue SAS, Francuska) dostavlja e-poštu usluge, poput pozivnica, resetovanja lozinke, potvrda naloga i podsetnika, njihovim primaocima.
• Infobip šalje WhatsApp poruke i tekstualne poruke (SMS) koje je ordinacija uključila za svoje pacijente. Prima broj mobilnog telefona pacijenta ili vlasnika životinje i unapred određen tekst poruke.
• WhatsApp, usluga kompanije Meta, isporučuje WhatsApp poruke na WhatsApp nalog primaoca i prima broj i poruku kao i za svaku WhatsApp poruku.

Svaki od njih obrađuje podatke samo radi pružanja svog dela usluge, prema pisanom ugovoru sa OPALEVI.

Bezbednosne mere

• Podaci svakog klijenta čuvaju se odvojeno: svaki zahtev je ograničen na organizaciju kojoj prijavljeni korisnik pripada.
• Pristup unutar organizacije sledi ulogu svake osobe, koju određuju administratori klijenta.
• Lozinke se čuvaju samo kao heševi; osoba može dodati drugi faktor svojoj prijavi.
• Usluga radi samo preko šifrovanih HTTPS veza.
• Izmene zapisa i administrativne radnje upisuju se u dnevnik aktivnosti koji se ne može menjati.
• Baza podataka se kopira svakog dana, a rezervne kopije se čuvaju do 30 dana.

Gde se podaci obrađuju

Serveri i baza podataka nalaze se u data centrima u Evropskoj uniji. Gde navedeni provajder obrađuje podatke van nje, politika privatnosti to navodi, a prenos se zasniva na zaštitnim merama koje GDPR predviđa, kao što su standardne ugovorne klauzule Evropske komisije.

Merodavno pravo i sporovi

Ovaj sporazum uređen je pravom Republike Kosovo. Strane će prvo pokušati da svaki spor reše međusobnim razgovorom; spor koji se tako ne može rešiti ide nadležnim sudovima u Prištini.

Kontakt

Za svako pitanje o ovom dokumentu, ili da podnesete zahtev o svojim podacima, pišite nam na [email protected]. Odgovaramo u roku od 30 dana.