Umowa powierzenia przetwarzania danych

Ta umowa spełnia wymagania art. 28 ust. 3 RODO. Zawiera się ją przez akceptację w aplikacji, przy zakładaniu konta - co jest formą pisemną w rozumieniu art. 28 ust. 9 RODO, który wprost dopuszcza formę elektroniczną. Nie jest wymagany podpis odręczny ani udział notariusza. Umowa stanowi integralną część regulaminu i obowiązuje tak długo, jak trwa umowa o świadczenie usługi.

1. Strony

Administrator: praktyka korzystająca z Appointomat, zidentyfikowana danymi podanymi przy zakładaniu konta.

Podmiot przetwarzający: Nikita Cherevko, osoba fizyczna prowadząca działalność na terytorium Rzeczypospolitej Polskiej, nikita@appointomat.com. Pełne dane: informacja o usługodawcy.

Podmiotem przetwarzającym może być osoba fizyczna - art. 4 pkt 8 RODO definiuje go jako "osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot".

2. Przedmiot i czas powierzenia

Przedmiotem powierzenia jest przetwarzanie danych osobowych pacjentów administratora w zakresie niezbędnym do prowadzenia terminarza wizyt w Appointomat.

Powierzenie trwa od zawarcia umowy o świadczenie usługi do jej zakończenia, a następnie przez okres niezbędny do wykonania obowiązków z punktu 11, nie dłużej niż 30 dni.

Administrator zachowuje pełną kontrolę nad celami i sposobami przetwarzania. Podmiot przetwarzający działa wyłącznie na jego udokumentowane polecenie, którego treścią są: niniejsza umowa, regulamin oraz czynności wykonywane przez administratora i upoważnione przez niego osoby w aplikacji.

3. Charakter i cel przetwarzania

Prowadzenie terminarza wizyt: rezerwacja, potwierdzanie, przekładanie i odwoływanie terminów, wysyłka przypomnień oraz obsługa listy oczekujących.

Przetwarzanie obejmuje zbieranie, utrwalanie, przechowywanie, porządkowanie, wyświetlanie osobom upoważnionym przez administratora, przesyłanie wiadomości do pacjentów oraz usuwanie.

Notatki i dokumentacja medyczna

Wyłącznie dla administratora prowadzącego praktykę w Polsce - kraj praktyki jest wskazywany przy zakładaniu konta. Administrator może prowadzić przy pacjencie:

• notatki wewnętrzne - krótkie informacje organizacyjne widoczne dla wszystkich osób w praktyce, które administrator może zmieniać i usuwać;
• dokumentację medyczną fizjoterapii, jeżeli została włączona na wniosek administratora - domyślnie jest wyłączona - czyli wpisy o badaniu, przebiegu wizyt i zakończeniu terapii z kodami ICD-10, ICD-9 PL i ICF, załączniki, oświadczenia pacjenta oraz rejestr udostępnień dokumentacji. Dokumentacja jest widoczna wyłącznie dla osób prowadzących wizyty i właściciela praktyki; dane identyfikacyjne i oświadczenia także dla rejestracji. Wpis zatwierdzony jest podpisywany przez osobę prowadzącą mechanizmem wewnętrznym systemu, po ponownym potwierdzeniu tożsamości, i nie może zostać zmieniony ani usunięty; korekta jest dopisywana jako osobne uzupełnienie z autorem, datą i powodem.

Usługa przygotowuje zdarzenia medyczne do zgłoszenia do systemu P1, ale nie przekazuje ich jeszcze do P1. Do czasu uruchomienia tej funkcji, o którym podmiot przetwarzający poinformuje administratora, zgłoszenia dokonuje administrator innym narzędziem.

Za zakres, poprawność i przechowywanie dokumentacji przez okres wymagany przepisami odpowiada administrator; usługa zapewnia do tego środki z punktu 8 i 11. Podmiot przetwarzający nie odczytuje treści dokumentacji, nie ocenia jej i nie udostępnia jej w żadnym narzędziu administracyjnym usługi.

Migracja danych z innego systemu

Aplikacja pozwala administratorowi wczytać dane pacjentów i wizyt z pliku wyeksportowanego z innego systemu, a administratorowi z włączoną dokumentacją medyczną - także dokumentację medyczną z tego systemu. Jest to czynność o innym charakterze niż codzienne korzystanie z usługi i wymaga wyraźnego zapisu, bo dotyczy zbiorczego przeniesienia zbioru danych o stanie zdrowia w rozumieniu art. 9 RODO.

• Wczytanie pliku jest poleceniem administratora w rozumieniu punktu 2. To administrator odpowiada za to, że jest uprawniony do przeniesienia tych danych do nowego narzędzia i że przeniesienie mieści się w podstawie, na której je zebrał.
• Podmiot przetwarzający udostępnia mechanizm i nie ocenia podstawy prawnej migracji ani nie weryfikuje pochodzenia pliku.
• Import dokumentacji najpierw pokazuje wynik próbny bez zapisywania danych. Wczytane wpisy są zapisywane jako zatwierdzone i niezmienne, z datą i autorem z poprzedniego systemu.
• Wczytanie danych nie wywołuje wysyłki żadnej wiadomości do pacjentów, w szczególności potwierdzeń wizyt przeniesionych z poprzedniego systemu.

4. Rodzaj danych i kategorie osób

Kategorie osób: pacjenci praktyki oraz osoby zapisane na listę oczekujących.

Rodzaj danych: dane identyfikacyjne i kontaktowe oraz dane dotyczące zdrowia w rozumieniu art. 9 RODO - sam fakt umówionej wizyty u fizjoterapeuty jest taką daną. U administratora prowadzącego praktykę w Polsce obejmują one także notatki i dokumentację medyczną.

Zakres jest zamknięty. Pełna lista pól:

Poza zakresem: dane ubezpieczenia, recepty, skierowania wystawiane w usłudze i zwolnienia lekarskie. W schemacie bazy danych nie istnieją pola na te dane i ich dodanie wymagałoby zmiany niniejszej umowy. U administratora spoza Polski poza zakresem są także notatki, notatki do wizyt, dokumentacja medyczna, załączniki, PESEL i adres zamieszkania.

5. Obowiązki podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się, zgodnie z art. 28 ust. 3 lit. a-h RODO:

1. Przetwarzać dane wyłącznie na udokumentowane polecenie administratora, w tym w zakresie przekazywania danych poza EOG, chyba że obowiązek taki nakłada prawo Unii lub państwa członkowskiego - w takim wypadku informuje administratora przed przetwarzaniem, o ile prawo tego nie zabrania.
2. Zapewnić, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi zachowania tajemnicy. Zobowiązanie może wynikać z umowy albo z ustawy, co jest istotne wtedy, gdy podmiot przetwarzający jest jedną osobą.
3. Stosować środki, o których mowa w art. 32 RODO - opisane w punkcie 8.
4. Przestrzegać warunków korzystania z podprocesorów z art. 28 ust. 2 i 4 - opisanych w punkcie 6.
5. Pomagać administratorowi w realizacji praw osób, których dane dotyczą, przez udostępnienie w aplikacji funkcji eksportu kompletu danych jednego pacjenta - z notatkami i kartą wizyt - oraz jego trwałego usunięcia. Usunięcie pacjenta, przy którym istnieją zatwierdzone wpisy w karcie wizyt, jest odmawiane i niczego nie usuwa, bo obowiązek przechowywania dokumentacji medycznej wyłącza prawo do usunięcia danych (art. 17 ust. 3 lit. b RODO). Jeżeli żądanie wpłynie bezpośrednio do podmiotu przetwarzającego, przekazuje je administratorowi bez zbędnej zwłoki i nie odpowiada na nie samodzielnie.
6. Pomagać administratorowi w wypełnieniu obowiązków z art. 32-36 RODO, w zakresie odpowiadającym charakterowi przetwarzania i dostępnym informacjom.
7. Usunąć lub zwrócić dane po zakończeniu świadczenia - punkt 11.
8. Udostępniać informacje niezbędne do wykazania spełnienia obowiązków i umożliwiać audyty - punkt 10.

Podmiot przetwarzający nie wykorzystuje powierzonych danych do własnych celów, w szczególności nie buduje na nich profili, nie trenuje na nich modeli i nie udostępnia ich nikomu poza podprocesorami z punktu 6.

Jeżeli zdaniem podmiotu przetwarzającego polecenie administratora narusza RODO lub inne przepisy o ochronie danych, informuje go o tym niezwłocznie.

6. Podprocesorzy

Administrator udziela ogólnej zgody na korzystanie z podprocesorów, na warunkach poniżej.

Aktualna lista podprocesorów, wraz z ich rolą i lokalizacją, znajduje się pod adresem /subprocessors i stanowi część niniejszej umowy. Lista jest prowadzona osobno, żeby jej zmiana nie wymagała zmiany całej umowy.

Podmiot przetwarzający:

• nakłada na każdego podprocesora obowiązki nie mniej surowe niż wynikające z niniejszej umowy;
• odpowiada wobec administratora za działania i zaniechania podprocesora jak za własne;
• zawiadamia o zamiarze dodania lub zmiany podprocesora z wyprzedzeniem co najmniej 30 dni, mailem na adres przypisany do konta.

Administrator może w tym terminie wnieść uzasadniony sprzeciw. Jeżeli sprzeciwu nie da się rozwiązać, administrator może wypowiedzieć umowę o świadczenie usługi ze skutkiem natychmiastowym i żądać usunięcia danych zgodnie z punktem 11, bez ponoszenia z tego tytułu jakichkolwiek kosztów.

7. Przekazywanie poza EOG

Dane nie są przekazywane poza Europejski Obszar Gospodarczy. Wszyscy podprocesorzy z punktu 6 przetwarzają dane w państwach EOG, a lista wskazuje konkretne lokalizacje.

Przekazanie poza EOG wymagałoby wcześniejszej zmiany listy podprocesorów, a więc trybu i terminu z punktu 6, oraz wskazania podstawy z rozdziału V RODO.

Sytuacja odwrotna dotyczy administratora spoza EOG. Udostępnienie danych administratorowi mającemu siedzibę w państwie trzecim jest przekazaniem, w którym eksporterem jest podmiot przetwarzający. Podstawą są wtedy standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914, moduł czwarty (podmiot przetwarzający do administratora), które w takim wypadku uznaje się za włączone do niniejszej umowy. Prawem właściwym dla klauzul jest prawo polskie, a sądem właściwym w rozumieniu klauzuli 18 lit. b - sąd polski. Klauzule nie mają zastosowania tam, gdzie przetwarzanie administratora jest już objęte art. 3 ust. 2 RODO.

8. Środki techniczne i organizacyjne

Podmiot przetwarzający stosuje w szczególności:

Wykaz może być aktualizowany w miarę rozwoju usługi, przy czym zmiana nie może obniżyć poziomu ochrony.

9. Naruszenia ochrony danych

Podmiot przetwarzający zawiadamia administratora o naruszeniu ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia, na adres e-mail przypisany do konta.

Zawiadomienie zawiera, w zakresie dostępnym w chwili jego wysłania: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i wpisów, których dotyczy, prawdopodobne konsekwencje oraz środki zastosowane lub proponowane. Informacje uzupełniane są sukcesywnie, jeżeli nie da się ich podać od razu.

Zawiadomienia organowi nadzorczemu oraz osobom, których dane dotyczą, dokonuje administrator - to jego obowiązek z art. 33 i 34 RODO. Podmiot przetwarzający udziela mu w tym pomocy.

10. Audyt

Podmiot przetwarzający udostępnia administratorowi na żądanie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w tym zapis akceptacji niniejszej umowy wraz z jej wersją i datą oraz aktualną listę podprocesorów.

Administrator może przeprowadzić audyt lub zlecić go audytorowi, nie częściej niż raz w roku kalendarzowym, za uprzednim powiadomieniem z wyprzedzeniem 30 dni, w godzinach pracy i w sposób nieutrudniający świadczenia usługi. Ograniczenie częstotliwości nie ma zastosowania po naruszeniu ochrony danych ani wtedy, gdy audytu żąda organ nadzorczy.

Audytor niebędący pracownikiem administratora zobowiązuje się do zachowania poufności. Koszty audytu ponosi administrator, chyba że audyt wykaże istotne naruszenie niniejszej umowy.

11. Usunięcie lub zwrot danych

Po zakończeniu świadczenia usługi administrator wybiera, czy dane mają zostać zwrócone, czy usunięte. Brak wyboru oznacza usunięcie.

Przez 30 dni od zakończenia umowy administrator może pobrać komplet danych: dane każdego pacjenta w formacie nadającym się do odczytu maszynowego, jego dokumentację medyczną w pliku PDF wraz z załącznikami oraz wykaz skrótów SHA-256 wszystkich plików. Ten sam eksport służy przekazaniu dokumentacji przy zakończeniu działalności praktyki.

Obowiązek przechowywania dokumentacji medycznej ciąży na administratorze. Na wniosek administratora złożony przed upływem tego terminu podmiot przetwarzający przechowuje dokumentację w trybie tylko do odczytu przez uzgodniony okres, na warunkach ustalonych odrębnie. Bez takiego wniosku po upływie terminu dane, wraz z kopiami, są usuwane, a ich odtworzenie nie jest możliwe.

W czasie trwania umowy dokumentacja pacjenta, który żąda usunięcia danych, nie jest usuwana, lecz archiwizowana - usuwane są dane kontaktowe - a po upływie okresu przechowywania wymaganego przepisami administrator może ją zniszczyć; zostaje protokół zniszczenia bez treści dokumentacji.

Usunięcie nie obejmuje danych, których przechowywanie nakazuje podmiotowi przetwarzającemu prawo Unii lub państwa członkowskiego, oraz rejestru usunięć, protokołów zniszczenia i zapisu akceptacji dokumentów, które nie zawierają treści danych pacjentów: rejestr i protokoły odnotowują wyłącznie, że usunięcie lub zniszczenie nastąpiło i kiedy, a zapis akceptacji dotyczy osoby prowadzącej praktykę i jest dowodem zawarcia niniejszej umowy.

Na żądanie podmiot przetwarzający potwierdza usunięcie na piśmie.

12. Postanowienia końcowe

Zmiana niniejszej umowy odbywa się na zasadach określonych w punkcie 9 regulaminu - z powiadomieniem co najmniej 30 dni wcześniej i z prawem wypowiedzenia umowy przed wejściem zmiany w życie.

Podmiot przetwarzający może przenieść niniejszą umowę na następcę prawnego na zasadach z punktu 10 regulaminu. Następca wstępuje w nią w niezmienionym brzmieniu oraz, w wypadku o którym mowa w punkcie 7, przystępuje do standardowych klauzul umownych jako importer danych. Nie wymaga to ponownej akceptacji przez administratora, któremu przysługuje prawo sprzeciwu i wypowiedzenia.

W sprawach nieuregulowanych stosuje się RODO oraz prawo polskie.