Umowa powierzenia przetwarzania danych (DPA)

Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: Umowa) jest zawierana w formie elektronicznej w chwili zaznaczenia przez Użytkownika odpowiedniego pola podczas rejestracji konta w Serwisie (albo potwierdzenia jej w panelu po zmianie wersji) pomiędzy:

1. Użytkownikiem — gabinetem medycznym lub specjalistycznym wskazanym w danych konta (nazwa, NIP i adres podane przy rejestracji), zwanym dalej Administratorem;
2. prostykalendarz — Maciej Lorens, ul. Francesco Nullo 28/25, 31-543 Kraków, e-mail: kontakt@prostykalendarz.pl (dalej: Usługodawca), zwanym dalej Podmiotem przetwarzającym.

Umowa uzupełnia Regulamin Serwisu i jest umową, o której mowa w art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Wersja, data i osoba akceptująca Umowę są zapisywane w koncie Administratora.

§ 1. Definicje

1. Serwis, Regulamin, Polityka prywatności, Portal pacjenta — mają znaczenie nadane w Regulaminie Serwisu i Regulaminie portalu pacjenta dostępnych na stronie prostykalendarz.pl.
2. Dane Pacjentów — dane osobowe pacjentów Administratora oraz osób kontaktowych, które Administrator wprowadza do Serwisu lub które trafiają do Serwisu w związku z korzystaniem przez pacjentów z Portalu pacjenta (kartoteka, wizyty, notatki, dokumentacja, prośby o wizytę i wiadomości do Administratora), z wyłączeniem danych wskazanych w § 3 ust. 4.
3. Dalszy podmiot przetwarzający — podmiot, któremu Podmiot przetwarzający powierza przetwarzanie Danych Pacjentów (art. 28 ust. 2 i 4 RODO).
4. Naruszenie — naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO dotyczące Danych Pacjentów.

§ 2. Przedmiot, cel, charakter i czas przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Danych Pacjentów w zakresie niezbędnym do świadczenia usług Serwisu, na zasadach określonych w Umowie.
2. Cel: umożliwienie Administratorowi prowadzenia terminarza wizyt, kartoteki pacjentów i notatek z wizyt, wysyłki powiadomień dla pacjentów (e-mail; SMS po uruchomieniu tego kanału), statystyk oraz Portalu pacjenta, a także wykonywanie kopii zapasowych i wsparcia technicznego.
3. Charakter: przechowywanie, udostępnianie Administratorowi i osobom przez niego upoważnionym, wyszukiwanie, aktualizacja, wysyłanie powiadomień w imieniu Administratora, tworzenie kopii zapasowych, eksport i usuwanie.
4. Czas: na czas obowiązywania umowy o świadczenie usług Serwisu (Regulamin), a po jej zakończeniu — do usunięcia danych zgodnie z § 10.
5. Szczegółowy opis przetwarzania zawiera Załącznik nr 1.

§ 3. Osoby, kategorie danych i role stron

1. Osoby, których dane dotyczą: pacjenci Administratora (w tym użytkownicy Portalu pacjenta) oraz osoby kontaktowe podane w kartotece.
2. Kategorie danych: dane identyfikacyjne i kontaktowe (imię, nazwisko, płeć, data urodzenia, PESEL, telefon, e-mail, adres) oraz dane dotyczące zdrowia (rozpoznanie, wywiad, przebyte urazy i zabiegi, leki, alergie, notatki i dokumentacja z wizyt, załączniki, terminy i historia wizyt, treść wiadomości przy prośbie o wizytę) — dane szczególnej kategorii w rozumieniu art. 9 RODO.
3. Administrator oświadcza, że posiada podstawę prawną przetwarzania Danych Pacjentów, w tym przesłankę z art. 9 ust. 2 RODO (w szczególności lit. h), oraz że wypełnia wobec pacjentów obowiązki informacyjne.
4. Wyłączenie: dane konta pacjenta w Portalu pacjenta (adres e-mail, skrót hasła, numer telefonu służący do rozpoznania konta, identyfikatory sesji, powiadomienia na koncie) są przetwarzane przez Podmiot przetwarzający jako odrębnego administratora, na zasadach opisanych w Polityce prywatności i Regulaminie portalu pacjenta. Podobnie dane członków zespołu Administratora (konta logowania) oraz dane rozliczeniowe Administratora nie są objęte Umową.

§ 4. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający przetwarza Dane Pacjentów wyłącznie na udokumentowane polecenie Administratora. Poleceniami są: Umowa, Regulamin, ustawienia konta oraz działania Administratora w Serwisie (wprowadzanie, zmiana, usuwanie i eksport danych) i dodatkowe polecenia przekazane e-mailem przez właściciela konta. Jeżeli prawo Unii lub państwa członkowskiego nakłada na Podmiot przetwarzający obowiązek przetwarzania, informuje on o nim Administratora przed rozpoczęciem przetwarzania, chyba że prawo zabrania takiej informacji.
2. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.
3. Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania Danych Pacjentów zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi poufności. Dostęp do danych produkcyjnych mają wyłącznie Podmiot przetwarzający i osoby przez niego upoważnione.
4. Podmiot przetwarzający stosuje środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku (art. 32 RODO), opisane w Załączniku nr 3, i utrzymuje je przez cały czas trwania Umowy.
5. Podmiot przetwarzający nie wykorzystuje Danych Pacjentów do własnych celów (w szczególności marketingowych, profilowania, analitycznych poza świadczeniem usługi Administratorowi), nie sprzedaje ich ani nie łączy z danymi innych administratorów. Wgląd w treść Danych Pacjentów w ramach wsparcia technicznego następuje wyłącznie na zgłoszenie Administratora i w zakresie niezbędnym do jego realizacji.
6. Podmiot przetwarzający logicznie oddziela dane poszczególnych administratorów — każdy gabinet ma dostęp wyłącznie do własnych danych.
7. Podmiot przetwarzający prowadzi rejestr kategorii czynności przetwarzania (art. 30 ust. 2 RODO).

§ 5. Dalsze podmioty przetwarzające

1. Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych w Załączniku nr 2.
2. O zamiarze dodania lub zastąpienia dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora z wyprzedzeniem co najmniej 14 dni (e-mail do właściciela konta oraz zaktualizowany Załącznik nr 2 na stronie Umowy). W tym terminie Administrator może zgłosić e-mailem uzasadniony sprzeciw. Jeżeli strony nie uzgodnią rozwiązania w ciągu kolejnych 14 dni, Administrator może wypowiedzieć umowę o świadczenie usług ze skutkiem na koniec bieżącego okresu rozliczeniowego, bez dodatkowych kosztów.
3. Podmiot przetwarzający zawiera z dalszymi podmiotami przetwarzającymi umowy nakładające obowiązki ochrony danych nie niższe niż wynikające z Umowy (art. 28 ust. 4 RODO) i odpowiada wobec Administratora za wykonywanie tych obowiązków przez dalsze podmioty.

§ 6. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Podmiot przetwarzający nie przekazuje Danych Pacjentów do państw spoza EOG ani do organizacji międzynarodowych, z wyjątkiem danych technicznych przetwarzanych przez dalszy podmiot wskazany w Załączniku nr 2 (monitorowanie działania Serwisu — USA), na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (EU–U.S. Data Privacy Framework) lub standardowych klauzul umownych (art. 46 RODO). Treść formularzy i dane medyczne Pacjentów nie są do tego podmiotu przekazywane.
2. Każde inne przekazanie wymaga uprzedniej zgody Administratora.

§ 7. Pomoc Administratorowi

1. Prawa osób. Serwis udostępnia funkcje wyszukiwania, edycji, usuwania i eksportu danych pacjenta, które Administrator wykorzystuje do realizacji praw osób (art. 15–22 RODO). Żądanie otrzymane przez Podmiot przetwarzający bezpośrednio od osoby, której dane dotyczą, Podmiot przetwarzający przekazuje Administratorowi niezwłocznie, najpóźniej w ciągu 3 dni roboczych, i nie odpowiada osobie merytorycznie bez polecenia Administratora. Na wniosek Administratora Podmiot przetwarzający pomaga w realizacji żądania w rozsądnym terminie.
2. Obowiązki z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków dla ochrony danych, konsultacje z organem). Podmiot przetwarzający udziela Administratorowi pomocy, uwzględniając charakter przetwarzania i dostępne mu informacje.
3. Pomoc w ramach standardowych funkcji Serwisu i zwykłych próśb jest bezpłatna. Jeżeli wymaga ona nakładu pracy wykraczającego poza rozsądne granice, strony uzgodnią jej koszt przed rozpoczęciem pracy.

§ 8. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi stwierdzone Naruszenie bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail właściciela konta.
2. Zgłoszenie zawiera, w miarę dostępnych informacji: opis charakteru Naruszenia (kategorie i przybliżoną liczbę osób oraz rekordów), możliwe skutki, podjęte i proponowane środki zaradcze oraz dane kontaktowe do dalszych ustaleń. Informacje, których nie można podać od razu, są przekazywane etapami.
3. Podmiot przetwarzający niezwłocznie podejmuje działania ograniczające skutki Naruszenia i dokumentuje je. Zgłoszenie Naruszenia organowi nadzorczemu (art. 33 RODO) i zawiadomienie osób (art. 34 RODO) należą do Administratora.

§ 9. Informacje i audyt

1. Podmiot przetwarzający udostępnia Administratorowi na żądanie informacje niezbędne do wykazania wypełnienia obowiązków z art. 28 RODO.
2. Administrator (lub audytor przez niego wskazany i zobowiązany do poufności) może przeprowadzić audyt w zakresie przetwarzania Danych Pacjentów — nie częściej niż raz na 12 miesięcy (z wyjątkiem Naruszenia lub żądania organu nadzorczego), po zgłoszeniu z 14-dniowym wyprzedzeniem, w godzinach pracy, bez zakłócania działania Serwisu i bez dostępu do danych innych administratorów. W pierwszej kolejności audyt polega na weryfikacji dokumentacji i odpowiedziach na pytania; kontrola zdalna lub na miejscu — tylko jeśli jest niezbędna. Koszty audytu ponosi Administrator.

§ 10. Zakończenie przetwarzania

1. Po zakończeniu umowy o świadczenie usług Podmiot przetwarzający udostępnia na żądanie Administratora eksport Danych Pacjentów (w ciągu 7 dni roboczych od żądania) w formacie umożliwiającym dalsze wykorzystanie. Żądanie można zgłosić w okresie 30 dni od zakończenia umowy.
2. Po upływie 30 dni od zakończenia umowy — albo wcześniej na żądanie właściciela konta — Podmiot przetwarzający usuwa Dane Pacjentów z systemów produkcyjnych, chyba że przepisy prawa nakazują ich dalsze przechowywanie (wówczas informuje o tym Administratora).
3. Dane zawarte w kopiach zapasowych są usuwane automatycznie po upływie ich okresu przechowywania (kopie dzienne — 35 dni, kopie miesięczne — około 13 miesięcy). W tym czasie kopie są zaszyfrowane, nie są wykorzystywane do żadnych celów ani przywracane, z wyjątkiem odtwarzania całego Serwisu po awarii; dane objęte wcześniej wykonanym usunięciem są wówczas niezwłocznie usuwane ponownie.
4. Na żądanie Podmiot przetwarzający potwierdza usunięcie danych e-mailem.
5. Administrator odpowiada za pobranie eksportu przed usunięciem oraz za przechowywanie dokumentacji medycznej przez okresy wynikające z przepisów, które go dotyczą.

§ 11. Obowiązki Administratora

1. Administrator wprowadza do Serwisu dane zgodnie z prawem i zasadą minimalizacji, w szczególności zapewnia poprawność adresu e-mail i numeru telefonu pacjentów zapraszanych do Portalu pacjenta (służą do weryfikacji zaproszenia).
2. Administrator zaprasza do Portalu pacjenta wyłącznie osoby, które obsługuje, informuje pacjentów o istnieniu Portalu i dobrowolności korzystania z niego oraz rozpatruje ich prośby o wizytę niezwłocznie.
3. Administrator odpowiada za konta swojego zespołu: nadaje role zgodnie z zakresem obowiązków (konta recepcji nie mają dostępu do danych medycznych), chroni hasła i niezwłocznie dezaktywuje konta osób, które przestały być upoważnione.
4. Administrator odpowiada za to, że sposób prowadzenia dokumentacji w Serwisie spełnia wymogi przepisów o dokumentacji medycznej właściwych dla jego działalności. Serwis dostarcza narzędzia do prowadzenia kartoteki i notatek, ale nie gwarantuje zgodności z wymaganiami szczególnymi (w szczególności dotyczącymi elektronicznej dokumentacji medycznej i systemów P1).
5. Administrator niezwłocznie zgłasza Podmiotowi przetwarzającemu podejrzenie Naruszenia lub nieuprawnionego dostępu do konta (kontakt@prostykalendarz.pl).

§ 12. Odpowiedzialność

1. Strony odpowiadają za szkody związane z przetwarzaniem danych na zasadach art. 82 RODO oraz przepisów Kodeksu cywilnego.
2. Odpowiedzialność Podmiotu przetwarzającego wobec Administratora z tytułu Umowy podlega postanowieniom Regulaminu dotyczącym odpowiedzialności (pkt 10) w zakresie, w jakim nie narusza bezwzględnie obowiązujących przepisów, w tym art. 82 RODO oraz odpowiedzialności za szkodę wyrządzoną umyślnie.

§ 13. Czas obowiązywania, zmiany i postanowienia końcowe

1. Umowa wchodzi w życie z chwilą akceptacji i obowiązuje przez czas trwania umowy o świadczenie usług Serwisu oraz do usunięcia danych zgodnie z § 10.
2. Zmiany Umowy. Podmiot przetwarzający może opublikować nową wersję Umowy, informując właściciela konta z wyprzedzeniem co najmniej 14 dni (e-mail i komunikat w panelu). Nowa wersja wchodzi w życie z chwilą jej potwierdzenia przez właściciela konta w panelu; do tego czasu obowiązuje wersja zaakceptowana wcześniej. Poprzednie wersje pozostają dostępne pod własnym adresem. Jeżeli Administrator nie zaakceptuje nowej wersji wymaganej przepisami prawa, obie strony mogą wypowiedzieć umowę o świadczenie usług.
3. Zapis w koncie Administratora (wersja Umowy, data i godzina akceptacji, imię i nazwisko oraz adres e-mail akceptującego) stanowi dowód zawarcia Umowy w formie elektronicznej (art. 28 ust. 9 RODO).
4. W sprawach ochrony danych osobowych Umowa ma pierwszeństwo przed Regulaminem. W sprawach nieuregulowanych stosuje się RODO oraz prawo polskie.
5. Spory rozstrzyga sąd właściwy według zasad określonych w Regulaminie (pkt 11).
6. Kontakt w sprawach Umowy i ochrony danych: kontakt@prostykalendarz.pl.

Załącznik nr 1. Opis przetwarzania

Załącznik nr 2. Dalsze podmioty przetwarzające

Poniższe podmioty uczestniczą w przetwarzaniu Danych Pacjentów. Aktualizacja listy następuje zgodnie z § 5 ust. 2.

Miejsce przetwarzania. Baza danych i załączniki są przechowywane na serwerze zlokalizowanym w Polsce (Kraków), utrzymywanym przez Podmiot przetwarzający.

Podmioty niemające dostępu do Danych Pacjentów (informacyjnie): Stripe Payments Europe, Ltd. (płatności i subskrypcje — wyłącznie dane rozliczeniowe Administratora) oraz podmioty świadczące Podmiotowi przetwarzającemu usługi księgowe i prawne (wyłącznie dane rozliczeniowe i dokumentacja umowna).

Załącznik nr 3. Środki techniczne i organizacyjne

• Kontrola dostępu. Konta imienne chronione hasłem (min. 8 znaków, zapisywane wyłącznie jako skrót bcrypt); trzy role (właściciel, specjalista, recepcja) z różnym zakresem dostępu — recepcja nie ma dostępu do danych medycznych; separacja danych gabinetów (każde zapytanie jest ograniczone do danych danego gabinetu); sesje wygasające po 14 dniach; ograniczenie liczby prób logowania, rejestracji i odzyskiwania hasła; zaproszenia do Portalu pacjenta weryfikowane dodatkowym kodem i blokowane po 5 błędnych próbach.
• Szyfrowanie. Transmisja szyfrowana protokołem TLS; kopie zapasowe szyfrowane przed wysłaniem do magazynu; notatki PDF wysyłane pacjentom e-mailem szyfrowane algorytmem AES-256; ciasteczka sesji podpisane lub szyfrowane (HttpOnly).
• Minimalizacja i ochrona w logach. Dane formularzy i parametry żądań są maskowane w logach systemowych i nie trafiają do narzędzi monitorujących; numer PESEL jest maskowany na listach; adresy stron zawierające jednorazowe tokeny są wyłączone z monitoringu.
• Dostępność i odtwarzanie. Codzienna automatyczna kopia zapasowa bazy danych i załączników do magazynu w UE (retencja: dzienne 35 dni, miesięczne około 13 miesięcy), z powiadomieniem o nieudanym wykonaniu; możliwość odtworzenia Serwisu z kopii.
• Rozwój i utrzymanie. Automatyczne testy oraz analiza statyczna kodu i skanowanie zależności pod kątem znanych podatności w procesie wytwarzania; bieżące aktualizacje zabezpieczeń.
• Organizacja. Dostęp do danych produkcyjnych wyłącznie dla Podmiotu przetwarzającego i osób upoważnionych na piśmie, zobowiązanych do poufności; wgląd w dane Administratora w ramach wsparcia tylko na jego zgłoszenie; rejestr czynności przetwarzania; procedura postępowania w razie Naruszenia (ocena, zgłoszenie Administratorowi w terminie z § 8, dokumentacja).
• Zabezpieczenie fizyczne. Serwer w Polsce (Kraków) w miejscu pod kontrolą Podmiotu przetwarzającego, z ograniczeniem dostępu fizycznego i zdalnego do osób upoważnionych.