1. Účel dokumentu
Tento dokument (ďalej len „DPA“ alebo „Zmluva o spracúvaní“) upravuje podmienky spracúvania osobných údajov Poskytovateľom v postavení sprostredkovateľa v mene Fyzioterapeuta v postavení prevádzkovateľa podľa čl. 28 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (ďalej len „GDPR“) a § 34 zákona č. 18/2018 Z. z. o ochrane osobných údajov (ďalej len „zákon č. 18/2018 Z. z.“). Táto DPA tvorí neoddeliteľnú súčasť Podmienok používania platformy Rehabot (https://www.rehabot.sk/termsofservice) a je záväzná pre všetkých Fyzioterapeutov využívajúcich Službu. Prijatím Podmienok používania a Obchodných podmienok pri zriadení účtu Fyzioterapeut zároveň uzatvára túto DPA s Poskytovateľom.
2. Zmluvné strany a role
Prevádzkovateľom (controller) je Fyzioterapeut alebo Klinika (zdravotnícke či rehabilitačné pracovisko) používajúce Službu ako zákazník — fyzická alebo právnická osoba, ktorá určuje účely a prostriedky spracúvania osobných údajov svojich pacientov. Ak je zákazníkom Klinika, jej postavenie a povinnosti Prevádzkovateľa podľa tejto DPA sa vzťahujú rovnako aj na fyzioterapeutov, ktorí v jej mene pacientov v Službe spracúvajú; ďalej v tomto dokumente sa pojmom „Fyzioterapeut“ rozumie Fyzioterapeut aj Klinika v postavení Prevádzkovateľa. Sprostredkovateľom (processor) je Tomáš Solár, IČO: 57797480, sídlo: 082 61 Ražňany, Surdok 67/3, e-mail: info@rehabot.sk (ďalej len „Poskytovateľ“ alebo „Sprostredkovateľ“). Poskytovateľ spracúva osobné údaje výhradne v mene a na pokyn Prevádzkovateľa v rozsahu a na účely stanovené touto DPA a Podmienkami používania.
3. Predmet, doba, povaha a účel spracúvania
Predmetom spracúvania je poskytovanie digitálnej rehabilitačnej platformy Rehabot ako softvérovej služby (SaaS). Spracúvanie trvá po celú dobu trvania zmluvného vzťahu medzi Fyzioterapeutom a Poskytovateľom, t. j. od registrácie do zrušenia účtu, vrátane doby uchovávania podľa bodu 16. Povahou spracúvania je automatizované a čiastočne manuálne spracúvanie osobných údajov zahŕňajúce zhromažďovanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prispôsobovanie, vyhľadávanie, prehliadanie, používanie, poskytovanie prenosom, obmedzovanie a vymazávanie. Účelom spracúvania je umožnenie správy pacientov, tvorby cvičebných plánov, sledovania rehabilitačného pokroku, plánovania stretnutí a komunikácie medzi Fyzioterapeutom a Pacientom prostredníctvom Služby.
4. Kategórie dotknutých osôb a osobných údajov
Dotknutými osobami sú pacienti Fyzioterapeuta, zákonní zástupcovia pacientov (v prípade maloletých pacientov), personál a zamestnanci zdravotníckeho pracoviska Fyzioterapeuta (v rozsahu, v akom ich údaje vstupujú do Služby) a kontaktné osoby pacientov, ak sú do Služby zadané Fyzioterapeutom. Kategórie osobných údajov zahŕňajú najmä: identifikačné údaje (meno, priezvisko, titul), kontaktné údaje (e-mailová adresa, telefónne číslo), zdravotné a rehabilitačné údaje (diagnóza, anamnéza, cvičebné plány, poznámky, záznamy o pokroku, fotodokumentácia), údaje o stretnutiach (dátumy, časy, záznamy o účasti) a technické údaje súvisiace s používaním mobilnej aplikácie pacientom. Rodné číslo a zdravotné a rehabilitačné údaje sú pre svoju citlivosť venované samostatne bodom 5 a 6.
5. Osobitná kategória osobných údajov — údaje o zdraví
Zdravotné a rehabilitačné údaje (diagnóza, anamnéza, cvičebné plány, poznámky, záznamy o pokroku, fotodokumentácia) sú osobitnou kategóriou osobných údajov podľa čl. 9 ods. 1 GDPR a § 16 ods. 1 zákona č. 18/2018 Z. z. a ich spracúvanie je vo všeobecnosti zakázané, pokiaľ sa neuplatní niektorá z výnimiek podľa čl. 9 ods. 2 GDPR a § 16 ods. 2 zákona č. 18/2018 Z. z. Nevyhnutnosť: tieto údaje nie sú vedľajším ani doplnkovým údajom, ale samotným predmetom Služby — bez záznamu diagnózy alebo dôvodu cvičenia nemožno Pacientovi zostaviť ani sprístupniť cvičebný plán a bez záznamu priebehu stretnutí a pokroku nemožno starostlivosť vyhodnocovať ani prispôsobovať. Poskytovateľ preto spracúva zdravotné údaje len v rozsahu, ktorý Fyzioterapeut sám zadá do Služby na tento účel, neanalyzuje ich na iný účel (napríklad marketing či profilovanie) a nesprístupňuje ich nikomu inému než osobám, ktoré ich potrebujú na poskytovanie starostlivosti danému Pacientovi alebo na nevyhnutnú technickú prevádzku a podporu. Právny základ: keďže Poskytovateľ je vo vzťahu k zdravotným údajom Pacienta sprostredkovateľom, právny základ ich spracúvania podľa čl. 9 ods. 2 GDPR zabezpečuje a zaň zodpovedá výlučne Fyzioterapeut ako Prevádzkovateľ. Fyzioterapeut sa pri poskytovaní zdravotnej alebo obdobnej starostlivosti spravidla opiera o výnimku podľa čl. 9 ods. 2 písm. h) GDPR a § 16 ods. 2 písm. h) zákona č. 18/2018 Z. z. (poskytovanie zdravotnej starostlivosti alebo liečby), doplnenú povinnosťou mlčanlivosti, ktorou je viazaný podľa predpisov upravujúcich jeho profesiu; ak sa v konkrétnom prípade opiera o výslovný súhlas Pacienta podľa čl. 9 ods. 2 písm. a) GDPR a § 16 ods. 2 písm. a) zákona č. 18/2018 Z. z., je povinný tento súhlas sám získať a vedieť ho preukázať. Zadaním zdravotných údajov Pacienta do Služby Fyzioterapeut potvrdzuje a zodpovedá za to, že takýto právny základ má. Pokyn na spracúvanie: touto DPA a používaním príslušných funkcií Služby (napríklad zadaním diagnózy, cvičebného plánu alebo poznámky k stretnutiu) dáva Fyzioterapeut Poskytovateľovi zdokumentovaný pokyn na spracúvanie zdravotných údajov Pacienta v rozsahu potrebnom na poskytnutie danej funkcie; Poskytovateľ nesmie zdravotné údaje spracúvať nad rámec tohto pokynu ani z vlastnej iniciatívy rozširovať ich rozsah či účel. Zdravotné a rehabilitačné údaje Pacienta sa v databáze Služby ukladajú šifrované v pokoji; technické opatrenia upravuje bod 9.
6. Rodné číslo
Rodné číslo Pacienta nie je osobitnou kategóriou osobných údajov podľa čl. 9 GDPR — ide o národný identifikátor, ktorého spracúvanie v Slovenskej republike osobitne upravuje § 78 zákona č. 18/2018 Z. z. Podľa tohto ustanovenia možno rodné číslo spracúvať len vtedy, ak jeho spracúvanie ustanovuje osobitný zákon (napríklad povinnosť viesť zdravotnú dokumentáciu s rodným číslom pacienta podľa zákona č. 576/2004 Z. z.), alebo so súhlasom dotknutej osoby; o právnom základe a rozsahu spracúvania rodného čísla svojich pacientov rozhoduje výlučne Fyzioterapeut, nie Poskytovateľ. Poskytovateľ spracúva rodné číslo Pacienta len vtedy a v takom rozsahu, v akom mu ho Fyzioterapeut zadá do Služby, čo sa považuje za jeho pokyn na spracúvanie; Fyzioterapeut zodpovedá za to, že na takéto spracúvanie má právny základ podľa § 78 zákona č. 18/2018 Z. z. Poskytovateľ rodné číslo v databáze neuchováva v čitateľnej podobe: pre všetky rodné čísla bez výnimky ukladá ich jednosmerný hash na overenie jedinečnosti a šifrovanú hodnotu (šifrovanie AES-256-GCM) na prípadné zobrazenie oprávnenej osobe. Táto úroveň ochrany presahuje rámec toho, čo GDPR pre rodné číslo výslovne vyžaduje — rodné číslo totiž nie je osobitnou kategóriou údajov podľa čl. 9 GDPR — a Poskytovateľ ju uplatňuje ako vlastné, plošné technické opatrenie podľa čl. 32 GDPR na úrovni celej platformy, a to z dôvodu citlivosti rodného čísla ako národného identifikátora a rizika zneužitia pri krádeži identity; neuplatňuje ju selektívne na základe osobitného pokynu Fyzioterapeuta k jednotlivému pacientovi. Fyzioterapeut môže kedykoľvek písomne požiadať o odlišný rozsah tejto ochrany pre svojich pacientov; zmenu vykoná Poskytovateľ len na základe jeho výslovného pokynu. Šifrovanie ostatných osobných údajov Pacienta v pokoji upravuje bod 9.
7. Spracúvanie na základe pokynov
Sprostredkovateľ spracúva osobné údaje výhradne na základe zdokumentovaných pokynov Prevádzkovateľa v súlade s čl. 28 ods. 3 písm. a) GDPR a § 34 ods. 2 písm. a) zákona č. 18/2018 Z. z. Pokyny Prevádzkovateľa sú obsiahnuté v tejto DPA, v Podmienkach používania a v individuálnych písomných pokynoch adresovaných Sprostredkovateľovi. Sprostredkovateľ nesmie spracúvať osobné údaje na iné účely ako tie, ktoré sú uvedené v tejto DPA, pokiaľ mu tak neukladá právny predpis Únie alebo členského štátu. Ak sa Sprostredkovateľ domnieva, že pokyn Prevádzkovateľa porušuje GDPR, zákon č. 18/2018 Z. z. alebo iné právne predpisy týkajúce sa ochrany údajov, bezodkladne o tom informuje Prevádzkovateľa.
8. Dôvernosť
Sprostredkovateľ zabezpečí, aby osoby oprávnené spracúvať osobné údaje boli zaviazané povinnosťou mlčanlivosti podľa čl. 28 ods. 3 písm. b) GDPR a § 79 zákona č. 18/2018 Z. z. Povinnosť mlčanlivosti trvá aj po skončení zmluvného vzťahu. Sprostredkovateľ zabezpečí, aby k osobným údajom mali prístup len tie osoby, ktoré ich potrebujú na plnenie svojich úloh.
9. Bezpečnosť spracúvania
Sprostredkovateľ prijíma primerané technické a organizačné opatrenia na zabezpečenie úrovne bezpečnosti zodpovedajúcej riziku podľa čl. 32 GDPR a § 39 zákona č. 18/2018 Z. z., najmä: šifrovanie osobných údajov pri prenose (TLS); šifrovanie osobných údajov Pacienta v pokoji algoritmom AES-256-GCM — v databáze sa šifrujú identifikačné a kontaktné údaje Pacienta (meno a priezvisko, dátum narodenia, adresa, telefónne číslo), jeho zdravotné a rehabilitačné údaje (diagnóza, poznámky v cvičebnom pláne a k stretnutiam) a rodné číslo, ktoré sa navyše hashuje podľa bodu 6; v čitateľnej podobe zostáva iba e-mailová adresa nevyhnutná na prihlásenie a vyhľadanie účtu; prístup na základe rolí (RBAC) — Fyzioterapeut má prístup len k údajom svojich pacientov; pravidelné zálohovanie a schopnosť obnovy údajov; logovanie prístupov a bezpečnostných udalostí; hashované ukladanie hesiel; a pravidelné testovanie, posudzovanie a hodnotenie účinnosti bezpečnostných opatrení. Sprostredkovateľ uplatňuje zásadu ochrany údajov od návrhu a štandardne (data protection by design and by default) podľa čl. 25 GDPR a § 32 zákona č. 18/2018 Z. z. pri vývoji a prevádzke Služby a pravidelne prehodnocuje primerané bezpečnostné opatrenia podľa aktuálneho stavu techniky a rizík.
10. Subdodávatelia / ďalší sprostredkovatelia
Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné písomné povolenie na zapojenie ďalších sprostredkovateľov (subdodávateľov) podľa čl. 28 ods. 2 GDPR a § 34 ods. 2 zákona č. 18/2018 Z. z. Aktuálny zoznam ďalších sprostredkovateľov poskytne Sprostredkovateľ Prevádzkovateľovi na základe písomnej žiadosti zaslanej na info@rehabot.sk. Sprostredkovateľ informuje Prevádzkovateľa o plánovanom pridaní alebo nahradení subdodávateľa najmenej 30 dní vopred prostredníctvom e-mailu alebo oznámenia v Službe; Prevádzkovateľ má právo vzniesť námietku voči novému subdodávateľovi do 15 dní od oznámenia, a ak sa strany nedosiahnu dohodu, je oprávnený vypovedať túto DPA a ukončiť používanie Služby. Sprostredkovateľ zabezpečí, aby na každého ďalšieho sprostredkovateľa boli zmluvne prenesené rovnaké povinnosti ochrany údajov, aké sú uvedené v tejto DPA (čl. 28 ods. 4 GDPR).
11. Pomoc pri uplatňovaní práv dotknutých osôb
Sprostredkovateľ pomáha Prevádzkovateľovi vhodnými technickými a organizačnými opatreniami pri plnení povinnosti reagovať na žiadosti dotknutých osôb o výkon ich práv podľa čl. 15 – 22 GDPR a § 21 – 28 zákona č. 18/2018 Z. z. (čl. 28 ods. 3 písm. e) GDPR). Ak Sprostredkovateľ obdrží žiadosť priamo od dotknutej osoby, bezodkladne o tom informuje Prevádzkovateľa a bez jeho pokynov žiadosť nevybavuje, pokiaľ mu tak neukladá právny predpis. Sprostredkovateľ poskytne Prevádzkovateľovi súčinnosť pri exporte údajov dotknutej osoby v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte na žiadosť zaslanú na info@rehabot.sk.
12. Oznamovanie porušení ochrany osobných údajov
Sprostredkovateľ je povinný oznámiť Prevádzkovateľovi akékoľvek porušenie ochrany osobných údajov bez zbytočného odkladu po tom, ako sa o porušení dozvedel, a to najneskôr do 48 hodín, aby Prevádzkovateľ mohol splniť svoju oznamovaciu povinnosť voči Úradu na ochranu osobných údajov SR v lehote 72 hodín podľa čl. 33 GDPR a § 40 zákona č. 18/2018 Z. z. Oznámenie Sprostredkovateľa musí obsahovať minimálne opis povahy porušenia vrátane, pokiaľ je to možné, kategórií a približného počtu dotknutých osôb a záznamov, meno a kontaktné údaje kontaktného bodu, opis pravdepodobných dôsledkov porušenia a opis opatrení prijatých alebo navrhovaných na jeho riešenie. Sprostredkovateľ poskytne Prevádzkovateľovi súčinnosť aj pri plnení jeho oznamovacej povinnosti voči dotknutým osobám podľa čl. 34 GDPR a § 41 zákona č. 18/2018 Z. z.
13. Posúdenie vplyvu a konzultácie (DPIA)
Sprostredkovateľ pomáha Prevádzkovateľovi pri vykonávaní posúdenia vplyvu na ochranu údajov (DPIA) podľa čl. 35 GDPR a § 42 zákona č. 18/2018 Z. z. a pri predchádzajúcej konzultácii s dozorným orgánom podľa čl. 36 GDPR a § 43 zákona č. 18/2018 Z. z. (čl. 28 ods. 3 písm. f) GDPR). Sprostredkovateľ poskytne Prevádzkovateľovi informácie potrebné na posúdenie vplyvu, najmä opis technických a organizačných opatrení, kategórie spracúvaných údajov a informácie o subdodávateľoch.
14. Prenosy mimo EHP
Sprostredkovateľ nesmie preniesť osobné údaje do tretej krajiny alebo medzinárodnej organizácii bez predchádzajúceho písomného súhlasu Prevádzkovateľa, pokiaľ mu tak neukladá právny predpis (čl. 28 ods. 3 písm. a) GDPR, § 47 – 51 zákona č. 18/2018 Z. z.). Prevádzkovateľ udeľuje súhlas s prenosom osobných údajov subdodávateľom podľa bodu 10, ktorí môžu spracúvať údaje mimo EHP, za predpokladu, že prenos je zabezpečený prostredníctvom štandardných zmluvných doložiek (SCC) podľa čl. 46 ods. 2 písm. c) GDPR a § 48 ods. 2 písm. c) zákona č. 18/2018 Z. z., rozhodnutia Európskej komisie o primeranosti podľa čl. 45 GDPR, alebo iných vhodných záruk podľa čl. 46 GDPR. Sprostredkovateľ na žiadosť Prevádzkovateľa poskytne kópiu príslušných SCC alebo informácie o inom použitom mechanizme zabezpečenia prenosu.
15. Audit a preukázanie súladu
Sprostredkovateľ poskytne Prevádzkovateľovi všetky informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a § 34 zákona č. 18/2018 Z. z. a umožní audity vrátane inšpekcií vykonávaných Prevádzkovateľom alebo ním povereným audítorom (čl. 28 ods. 3 písm. h) GDPR). Prevádzkovateľ je povinný oznámiť zámer vykonať audit najmenej 30 dní vopred; audit sa vykoná počas bežnej pracovnej doby a spôsobom, ktorý neprimerane nenaruší prevádzku Sprostredkovateľa. Náklady auditu znáša Prevádzkovateľ, pokiaľ audit neodhalí podstatné porušenie povinností Sprostredkovateľa. Sprostredkovateľ bezodkladne informuje Prevádzkovateľa, ak podľa jeho názoru pokyn Prevádzkovateľa porušuje GDPR alebo iné právne predpisy (čl. 28 ods. 3 druhý pododsek GDPR).
16. Ukončenie spracúvania
Po ukončení poskytovania Služby (zrušenie účtu, ukončenie zmluvy) Sprostredkovateľ podľa voľby Prevádzkovateľa všetky osobné údaje buď vráti Prevádzkovateľovi v štruktúrovanom formáte, alebo vymaže vrátane existujúcich kópií, pokiaľ právny predpis Únie alebo členského štátu nevyžaduje ďalšie uchovávanie osobných údajov (čl. 28 ods. 3 písm. g) GDPR). Vymazanie údajov sa uskutoční do 30 dní od ukončenia poskytovania Služby, pokiaľ sa strany písomne nedohodnú inak; Sprostredkovateľ na žiadosť Prevádzkovateľa potvrdí vymazanie údajov písomným vyhlásením. Údaje, ktoré musia byť uchovávané na základe právnych predpisov (účtovné doklady podľa zákona č. 431/2002 Z. z., zdravotná dokumentácia podľa zákona č. 576/2004 Z. z.), budú uchované po dobu stanovenú príslušným právnym predpisom a následne vymazané.
17. Zodpovednosť
Každá strana zodpovedá za škodu spôsobenú spracúvaním, ktoré porušuje GDPR alebo zákon č. 18/2018 Z. z., v súlade s čl. 82 GDPR a § 38 zákona č. 18/2018 Z. z. Sprostredkovateľ zodpovedá za škodu spôsobenú spracúvaním len vtedy, ak nesplnil povinnosti, ktoré GDPR ukladá výslovne sprostredkovateľom, alebo ak konal nad rámec alebo v rozpore s pokynmi Prevádzkovateľa. Strana, ktorá uhradila celú náhradu škody dotknutej osobe, je oprávnená požadovať od druhej strany vrátenie časti náhrady zodpovedajúcej jej podielu zodpovednosti (čl. 82 ods. 5 GDPR). Obmedzenie zodpovednosti Sprostredkovateľa podľa Podmienok používania sa vzťahuje aj na zodpovednosť podľa tejto DPA v rozsahu, v akom to umožňujú kogentné právne predpisy.
18. Verejná rezervácia termínu
Ak má Fyzioterapeut alebo Klinika zapnutú verejnú rezervačnú stránku, môže si záujemca o prvé stretnutie rezervovať voľný termín bez registrácie v Službe. Prostredníctvom rezervačného formulára sa spracúvajú meno, priezvisko, e-mailová adresa, telefónne číslo, zvolený termín a nepovinný popis problému; popis problému môže obsahovať údaje týkajúce sa zdravia podľa čl. 9 GDPR, a preto sa vypĺňa dobrovoľne a výlučne v rozsahu, ktorý dotknutá osoba sama uzná za potrebný. Právnym základom spracúvania je výslovný súhlas dotknutej osoby udelený pred odoslaním formulára; bez jeho udelenia rezerváciu nemožno odoslať. Poskytovateľ pri každej rezervácii uchováva dátum a čas udelenia súhlasu a označenie verzie znenia, s ktorým dotknutá osoba súhlasila, aby bolo možné súhlas preukázať podľa čl. 7 ods. 1 GDPR. Prevádzkovateľom týchto údajov je Fyzioterapeut alebo Klinika, ktorej sa rezervácia týka; Poskytovateľ ich spracúva ako sprostredkovateľ podľa tejto DPA. Rezerváciu, ktorú Fyzioterapeut nepotvrdí, Poskytovateľ automaticky a nenávratne vymaže vrátane všetkých kontaktných údajov a popisu problému najneskôr 30 dní po uplynutí požadovaného termínu, keďže odpadol účel jej spracúvania. Rezerváciu, ktorú Fyzioterapeut potvrdí, sa stáva záznamom o stretnutí a uchováva sa podľa bodu 16 a podľa právnych predpisov upravujúcich zdravotnú dokumentáciu; kontaktné údaje a popis problému uvedené v rezervačnom formulári zostávajú súčasťou tohto záznamu po celú dobu jeho uchovávania, aby Fyzioterapeut vedel dotknutú osobu kontaktovať a preukázať okolnosti dohodnutého stretnutia. O výmaz týchto údajov môže dotknutá osoba požiadať Fyzioterapeuta ako prevádzkovateľa postupom podľa bodu 11. Rezerváciu môže Fyzioterapeut kedykoľvek zamietnuť, čím sa záznam vymaže okamžite. Na ochranu formulára pred zneužitím Poskytovateľ využíva službu Cloudflare Turnstile a obmedzenie počtu požiadaviek; v tejto súvislosti sa prechodne spracúva IP adresa odosielateľa, ktorá sa v Službe neuchováva.
19. Kontakt
Kontaktným bodom Sprostredkovateľa pre účely tejto DPA je Tomáš Solár, e-mail info@rehabot.sk, sídlo 082 61 Ražňany, Surdok 67/3. Kontaktným bodom Prevádzkovateľa je e-mailová adresa uvedená pri registrácii jeho účtu v Službe.