GDPR i obrada podataka

Injectly je dizajniran kako bi estetskim klinikama, salonima ljepote i individualnim praktičarima omogućio upravljanje poslovnim procesima i podacima pacijenata uz podršku njihovim obvezama prema Općoj uredbi o zaštiti podataka (GDPR). Ova stranica opisuje naš pristup zaštiti podataka i sadrži Ugovor o obradi podataka (DPA) koji se primjenjuje kada Injectly obrađuje osobne podatke u ime korisnika.

1. Uloge prema GDPR-u

Za podatke pacijenata i klijenata koje korisnik unosi u Injectly, klinika ili individualni praktičar u pravilu određuje svrhe i način obrade te djeluje kao voditelj obrade. Injectly obrađuje podatke radi pružanja usluge i u pravilu djeluje kao izvršitelj obrade. Za vlastite podatke o računima, webu, sigurnosti i poslovnoj administraciji Injectly može djelovati kao voditelj obrade.

2. Vrste podataka

Podaci korisnika mogu uključivati identifikacijske i kontaktne podatke pacijenata, termine, zapise o tretmanima, privole, fotografije, komunikaciju, podatke o potrošnji proizvoda povezane s tretmanima i druge podatke koje korisnik odabere. Budući da zapisi o tretmanima i fotografije mogu otkrivati zdravstvene podatke, mogu sadržavati posebne kategorije osobnih podataka iz članka 9. GDPR-a.

3. Lokacija podataka i infrastruktura

Produkcijski podaci Injectlyja pohranjeni su u Europskoj uniji, u regiji Irska (eu-west-1). Trenutni pružatelji infrastrukture i usluga uključuju Supabase (baza podataka, pohrana datoteka i prijava), Vercel (hosting), Resend (e-pošta), Sentry (praćenje pogrešaka u regiji EU, uz uklanjanje podataka o pacijentima prije slanja), Stripe (naplata pretplate) te, ovisno o korištenim funkcionalnostima, Google i Microsoft (prijava i integracija kalendara). Pružatelje procjenjujemo i koristimo ugovorne i prijenosne zaštitne mjere kada su potrebne.

4. Sigurnost

Injectly primjenjuje tehničke i organizacijske mjere namijenjene zaštiti povjerljivosti, cjelovitosti i dostupnosti podataka. One uključuju kontrole pristupa prema ulogama koje provodi sama baza podataka, autentifikaciju, šifrirane veze, odvojena okruženja, sigurnu hostanu infrastrukturu, kontrolirani pristup pružatelja usluga, dnevne sigurnosne kopije baze i oporavak te procese za otkrivanje i odgovor na sigurnosne incidente. Sigurnosne mjere preispitujemo kako se usluga razvija.

5. Prava ispitanika i incidenti

Kada Injectly djeluje kao izvršitelj obrade, pomažemo korisnicima, uzimajući u obzir prirodu obrade i dostupne informacije, u odgovarajućim zahtjevima vezanim uz prava ispitanika, sigurnosne incidente, DPIA i upite regulatornih tijela kako zahtijeva GDPR.

Ugovor o obradi podataka (DPA)

Ovaj DPA čini dio ugovora između korisnika Injectlyja (Voditelj obrade) i Injectlyja (Izvršitelj obrade) kad god Injectly obrađuje osobne podatke u ime korisnika.

1. Predmet i trajanje

Predmet je obrada potrebna za pružanje, održavanje, zaštitu i podršku Injectly usluge. Obrada traje tijekom korištenja usluge i ograničeno razdoblje potrebno za brisanje, povrat, sigurnosne kopije ili zakonske obveze.

2. Priroda i svrha obrade

Obrada može uključivati prikupljanje, bilježenje, organizaciju, strukturiranje, pohranu, dohvat, uvid, korištenje, prijenos, ograničavanje, brisanje i druge radnje potrebne za pružanje Injectly funkcionalnosti prema dokumentiranim uputama korisnika.

3. Kategorije podataka i ispitanika

Ispitanici mogu uključivati pacijente, potencijalne pacijente, zaposlenike korisnika, praktičare i druge osobe čije podatke korisnik unese. Podaci mogu uključivati identifikacijske i kontaktne podatke, termine, podatke o tretmanima i zdravlju, fotografije, privole, komunikaciju i druge zapise koje odabere korisnik.

4. Obveze Voditelja obrade

Voditelj obrade odgovoran je da njegove upute i obrada budu u skladu s primjenjivim propisima, za potrebne obavijesti, pravnu osnovu i, kada je relevantno, uvjet iz članka 9. za posebne kategorije podataka, odgovaranje ispitanicima i pravilno upravljanje ovlaštenim pristupom.

5. Obveze Izvršitelja obrade

Injectly će obrađivati podatke samo prema dokumentiranim uputama Voditelja, uključujući prijenose, osim ako obradu zahtijeva zakon; osigurati obvezu povjerljivosti ovlaštenih osoba; primjenjivati odgovarajuće tehničke i organizacijske mjere; pomagati Voditelju u skladu s člankom 28. i člancima 32.–36. GDPR-a uzimajući u obzir prirodu obrade; te učiniti dostupnima informacije razumno potrebne za dokazivanje usklađenosti s člankom 28.

6. Podizvršitelji obrade

Voditelj daje opće odobrenje Injectlyju za angažiranje podizvršitelja potrebnih za pružanje usluge. Trenutni pružatelji mogu uključivati Supabase, Vercel, Resend, Sentry, Stripe, Google i Microsoft, ovisno o omogućenim funkcionalnostima. Injectly će na njih prenijeti odgovarajuće obveze zaštite podataka i zadržava odgovornost za svoje obveze izvršitelja u skladu s GDPR-om. O bitnim promjenama podizvršitelja korisnici će biti obaviješteni odgovarajućim kanalom.

7. Međunarodni prijenosi

Kada se podaci prenose izvan EGP-a u državu bez odluke o primjerenosti, Injectly će koristiti odgovarajući GDPR mehanizam, poput standardnih ugovornih klauzula, uz dodatne mjere gdje su potrebne.

8. Sigurnost

Injectly će održavati mjere primjerene riziku, uključujući mjere za očuvanje povjerljivosti, cjelovitosti, dostupnosti i otpornosti, kontrolu pristupa, podršku oporavku nakon incidenta gdje je primjenjivo te periodično preispitivanje sigurnosnih praksi.

9. Povrede osobnih podataka

Injectly će bez nepotrebnog odgađanja obavijestiti Voditelja nakon saznanja za povredu osobnih podataka koja utječe na podatke korisnika i pružiti razumno dostupne informacije potrebne za obveze iz članaka 33. i 34. GDPR-a.

10. Zahtjevi ispitanika

Ako Injectly primi zahtjev ispitanika koji se odnosi na podatke korisnika, prema potrebi će osobu uputiti Voditelju i neće samostalno odgovarati u njegovo ime osim prema uputi ili zakonskoj obvezi. Injectly će pružiti razumnu pomoć putem dostupnih funkcionalnosti i podrške.

11. DPIA i nadzorna tijela

Uzimajući u obzir prirodu obrade i dostupne informacije, Injectly će pružiti razumnu pomoć u procjenama učinka na zaštitu podataka i prethodnim savjetovanjima kada su potrebna prema člancima 35. i 36. GDPR-a.

12. Povrat i brisanje

Po prestanku usluge, prema izboru Voditelja i uz primjenjivo pravo, Injectly će obrisati ili vratiti podatke korisnika i obrisati preostale kopije prema svojim procesima brisanja i sigurnosnih kopija. Podaci mogu privremeno ostati u zaštićenim sigurnosnim kopijama do prepisivanja prema odgovarajućem ciklusu.

13. Informacije i revizija

Injectly će pružiti informacije razumno potrebne za dokazivanje usklađenosti s ovim DPA-om. Ako je dodatna revizija zakonski potrebna, strane će dogovoriti razuman opseg, vrijeme, povjerljivost i sigurnosne uvjete kako bi se smanjio utjecaj na uslugu i zaštitili podaci drugih korisnika.

14. Prednost i kontakt

Ako je ovaj DPA u sukobu s drugim uvjetima u vezi s obradom podataka korisnika, DPA ima prednost za tu obradu. Upiti vezani uz privatnost i DPA mogu se poslati na hello@injectly.io.