Umowa powierzenia danych

Niniejsza Umowa powierzenia przetwarzania danych osobowych („Umowa powierzenia”) jest częścią Regulaminu zawartego między Przychodnią („Administrator”) a Lessora sp. z o.o., ul. Stanisławowska 47, 54-611 Wrocław, Polska, KRS 0001273600, Sąd Rejonowy dla Wrocławia-Fabrycznej we Wrocławiu, VI Wydział Gospodarczy KRS („Podmiot przetwarzający”). Spełnia wymogi art. 28 rozporządzenia (UE) 2016/679, ogólnego rozporządzenia o ochronie danych („RODO”). Właściciel akceptuje ją w imieniu Przychodni przy zakładaniu konta.

1. Przedmiot i czas trwania

1.1. Podmiot przetwarzający świadczy usługę Lessora Med, czyli usługę online do prowadzenia rejestracji i obsługi administracyjnej przychodni i gabinetów, i w tym celu przetwarza dane osobowe w imieniu Administratora.

1.2. Umowa powierzenia obowiązuje tak długo, jak Podmiot przetwarzający przetwarza dane osobowe dla Administratora, w tym w czasie usuwania danych po zakończeniu usługi.

2. Co jest przetwarzane

Charakter i cel: przechowywanie, porządkowanie, wyświetlanie i wysyłanie danych, aby Administrator mógł prowadzić swoje gabinety, usługi, specjalistów oraz ich dyżury i nieobecności, pacjentów, kalendarz wizyt i ich historię, listę oczekujących, propozycje zwolnionych terminów i plany zmian wizyt po nieobecności, strony potwierdzenia i odwołania wizyty dla pacjentów, płatności (w tym linki do płatności online), pakiety wizyt, faktury dla pacjentów i ich wysyłkę do KSeF, rozliczenia specjalistów, zgody, wiadomości do pacjentów (SMS i e-mail), kalendarze dla specjalistów, powiadomienia dla pracowników, raporty oraz rejestr dostępu do danych pacjentów; wymiana dostępnych terminów, rezerwacji i danych pacjentów z platformą rezerwacji online połączoną przez Administratora; import danych Administratora na jego prośbę; wsparcie Administratora; zapewnienie bezpieczeństwa usługi.

Kategorie osób, których dane dotyczą: pacjenci Administratora, ich rodzice, opiekunowie prawni i inni przedstawiciele, osoby rezerwujące wizytę u Administratora przez platformę rezerwacji online, nabywcy wskazani na fakturach, właściciele, menedżerowie, pracownicy rejestracji i specjaliści Administratora oraz inne osoby, których dane Administrator zapisuje.

Kategorie danych osobowych:

• pacjenci: imiona i nazwiska, numer PESEL, rodzaj i numer dokumentu tożsamości, data urodzenia, płeć, numery telefonów, adresy e-mail, adresy pocztowe, język, dane opiekuna lub przedstawiciela, etykiety, notatki administracyjne, źródło pozyskania pacjenta, liczba nieodbytych wizyt, dane do faktury (osoby lub firmy), zgody wraz ze źródłem, czasem i osobą, która je zapisała;
• wizyty: data, godzina, specjalista, usługa, gabinet, cena, status i historia (przesunięcia, odwołania, późne odwołania, nieobecności i autor każdej zmiany), źródło rezerwacji, notatki administracyjne, wpisy na liście oczekujących, propozycje zwolnionych terminów i plany po nieobecności wraz z odpowiedziami pacjenta;
• pieniądze: płatności i zwroty, status płatności, pakiety wizyt i ich salda, potwierdzenia wpłat, faktury i korekty wraz z ich pozycjami, status i numer KSeF;
• wiadomości: wysłane SMS-y i e-maile, ich odbiorca i stan doręczenia (treść SMS-a nie jest przechowywana po jego doręczeniu);
• pracownicy: członkostwa, role, rodzaj umowy, tytuł, profil pokazywany pacjentom, oferowane usługi, dyżury, nieobecności, zasady rozliczeń, zestawienia rozliczeń i potrącenia w nich;
• dane techniczne: dane logowania i bezpieczeństwa, rejestr dostępu do danych pacjentów (kto otworzył lub wyeksportował dane którego pacjenta, kiedy i z jakiego adresu IP), wpisy w dzienniku zdarzeń, wiadomości otrzymane z platformy rezerwacji online (przechowywane w postaci zaszyfrowanej przez 30 dni), pliki przesłane do importu danych oraz wszelkie inne dane, które Administrator zdecyduje się wprowadzić.

Szczególne kategorie danych: powyższe dane obejmują dane dotyczące zdrowia (art. 9 ust. 1 RODO). Nawet bez dokumentacji medycznej to, że ktoś jest pacjentem Administratora, usługi, specjalizacje i specjaliści, do których się zapisuje, terminy wizyt i to, czy się na nie stawił, wpisy na liście oczekujących, pakiety i płatności oraz pozycje faktur z nazwą usługi mogą ujawniać informacje o jego zdrowiu. Podmiot przetwarzający traktuje wszystkie dane pacjentów jako dane dotyczące zdrowia. Administrator odpowiada za podstawę ich przetwarzania na podstawie art. 9 ust. 2 RODO i przepisów o ochronie zdrowia. Usługa nie służy do prowadzenia dokumentacji medycznej: notatki administracyjne nie mogą zawierać rozpoznań, wyników badań, informacji o leczeniu ani innych informacji klinicznych, a Administrator nie może wprowadzać danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO).

3. Polecenia

3.1. Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora. Poleceniami Administratora są Regulamin, niniejsza Umowa powierzenia oraz sposób korzystania z usługi i jej ustawienia. Wysłanie faktury do KSeF, gdy Administrator włączył tę funkcję, wymiana danych z platformą rezerwacji online połączoną przez Administratora oraz wysłanie SMS-a lub e-maila ustawionego przez Administratora są przetwarzaniem na polecenie Administratora. Dalsze polecenia muszą mieć formę pisemną (wystarczy e-mail).

3.2. Podmiot przetwarzający informuje Administratora, jeśli uzna, że polecenie narusza przepisy o ochronie danych.

3.3. Jeśli prawo Unii lub państwa członkowskiego wymaga innego przetwarzania, Podmiot przetwarzający najpierw informuje o tym Administratora, chyba że to prawo tego zabrania.

4. Poufność i tajemnica zawodowa

4.1. Każda osoba u Podmiotu przetwarzającego, która ma dostęp do danych osobowych, jest na piśmie zobowiązana do zachowania poufności, także po zakończeniu pracy dla Podmiotu przetwarzającego, i ma dostęp tylko w zakresie potrzebnym do jej pracy.

4.2. Podmiot przetwarzający przyjmuje do wiadomości, że dane pacjentów mogą być objęte tajemnicą lekarską i innymi tajemnicami zawodowymi Administratora i jego specjalistów. Wykorzystuje takie dane wyłącznie do świadczenia usługi i nigdy ich nie ujawnia, poza dalszymi podmiotami przetwarzającymi zgodnie z punktem 6 albo gdy wymaga tego prawo. Zachowanie tajemnicy wobec pacjentów, przestrzeganie praw pacjenta i prowadzenie dokumentacji medycznej pozostają obowiązkami Administratora; Lessora Med nie jest systemem dokumentacji medycznej.

5. Bezpieczeństwo

5.1. Podmiot przetwarzający stosuje środki techniczne i organizacyjne opisane w Załączniku, aby chronić dane osobowe, z uwzględnieniem stanu wiedzy technicznej, kosztów i wysokiego ryzyka, jakie przetwarzanie danych dotyczących zdrowia stwarza dla osób, których dane dotyczą (art. 32 RODO).

5.2. Podmiot przetwarzający może zmieniać te środki, pod warunkiem że poziom ochrony nie spadnie.

6. Dalsze podmioty przetwarzające

6.1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Obecne dalsze podmioty przetwarzające to:

Firma	W jakim celu	Gdzie
Webdock	Serwery, baza danych i kopie zapasowe	Unia Europejska
Hetzner Online GmbH	Zaszyfrowana kopia zapasowa poza serwerem	Unia Europejska
Cloudflare	DNS, szyfrowanie transmisji i ochrona przed atakami	Sieć światowa
Stripe	Subskrypcje i płatności online	Unia Europejska i Stany Zjednoczone
ImprovMX	Wysyłanie e-maili	Unia Europejska i Stany Zjednoczone
LINK Mobility Poland (SMSAPI)	Wysyłanie SMS-ów do pacjentów przychodni	Unia Europejska
Sentry	Raporty błędów z aplikacji webowej	Unia Europejska

6.2. Podmiot przetwarzający informuje Administratora (e-mailem do właściciela lub w aplikacji) co najmniej 30 dni przed dodaniem lub zastąpieniem dalszego podmiotu przetwarzającego. W tym czasie Administrator może zgłosić sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych. Jeśli strony nie rozwiążą sprawy, Administrator może przed zmianą zakończyć korzystanie z usługi, której ona dotyczy, z proporcjonalnym zwrotem opłat wniesionych z góry.

6.3. Podmiot przetwarzający nakłada na każdy dalszy podmiot przetwarzający w drodze umowy te same obowiązki w zakresie ochrony danych i odpowiada za niego wobec Administratora.

6.4. Dalszymi podmiotami przetwarzającymi nie są: Krajowy System e-Faktur (KSeF), prowadzony przez polską administrację skarbową, bo faktury trafiają tam do organu publicznego w ramach obowiązku prawnego samego Administratora; Stripe w zakresie płatności między Administratorem a jego pacjentami, które obsługuje na podstawie własnej umowy Administratora ze Stripe; ani platforma rezerwacji online połączona przez Administratora, która działa na podstawie własnej umowy Administratora z tą platformą.

6.5. Asystent AI jest wyłączony. Nie jest używany do danych Administratora, dopóki jego dostawca nie zostanie dodany jako dalszy podmiot przetwarzający zgodnie z punktem 6.2.

7. Przekazywanie danych poza EOG

Podmiot przetwarzający utrzymuje usługę w Unii Europejskiej. Przekazanie danych do państwa trzeciego następuje wyłącznie przez dalsze podmioty przetwarzające wymienione w punkcie 6 i wyłącznie z odpowiednimi zabezpieczeniami zgodnie z rozdziałem V RODO, takimi jak decyzja stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule umowne Komisji Europejskiej.

8. Pomoc Administratorowi

8.1. Żądania osób, których dane dotyczą. Usługa pozwala Administratorowi samodzielnie uzyskiwać dostęp do danych osobowych pacjentów, poprawiać je, eksportować i usuwać, w tym sprawdzać, kto otwierał dane pacjenta. Jeśli Podmiot przetwarzający otrzyma żądanie bezpośrednio, przekazuje je Administratorowi i sam na nie nie odpowiada, chyba że Administrator postanowi inaczej.

8.2. Podmiot przetwarzający w rozsądnym zakresie pomaga Administratorowi w zapewnieniu bezpieczeństwa, zgłaszaniu naruszeń, ocenach skutków dla ochrony danych i konsultacjach z organem nadzorczym (art. 32–36 RODO) oraz przekazuje Administratorowi informacje potrzebne do jego własnej oceny skutków przetwarzania danych dotyczących zdrowia.

9. Naruszenia ochrony danych osobowych

Podmiot przetwarzający bez zbędnej zwłoki, a jeśli to możliwe w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego danych Administratora, zawiadamia o nim Administratora. Zawiadomienie opisuje, w zakresie, w jakim jest to wiadome, co się stało, jakich danych i osób dotyczy, możliwe skutki oraz podjęte lub proponowane środki.

10. Usunięcie i zwrot danych

10.1. W czasie korzystania z usługi Administrator może w każdej chwili wyeksportować wszystkie swoje dane.

10.2. Usługa sama usuwa niektóre dane: wgrane pliki importu po 30 dniach, pliki eksportu danych po 7 dniach i wiadomości z platformy rezerwacji online po 30 dniach.

10.3. Gdy Administrator usunie swoją Przychodnię, dane można przywrócić przez 30 dni, a potem są usuwane. Przychodnia zamknięta z powodu braku płatności jest usuwana zgodnie z punktem 7.2 Regulaminu. Kopie w zaszyfrowanych kopiach zapasowych są usuwane wraz z ich wygaśnięciem, w ciągu 30 dni. Dane, które Podmiot przetwarzający musi przechowywać na podstawie przepisów (na przykład własne faktury wystawione Administratorowi), są przechowywane tylko w tym celu. Administrator zachowuje własne kopie dokumentów, które musi przechowywać na podstawie przepisów, takich jak jego faktury i historia wizyt.

10.4. Konta pracowników Administratora nie są Danymi Przychodni i nie są usuwane wraz z Przychodnią; zapisy Przychodni zachowują imię i nazwisko osoby, która dokonała danego wpisu.

11. Audyty

Podmiot przetwarzający udostępnia informacje niezbędne do wykazania zgodności z Umową powierzenia. Administrator może przeprowadzić audyt, w tym inspekcję, samodzielnie lub przez niezależnego audytora zobowiązanego do zachowania poufności, z co najmniej 30-dniowym wyprzedzeniem, w godzinach pracy i nie częściej niż raz w roku, chyba że wymaga tego naruszenie lub organ nadzorczy. Każda strona ponosi własne koszty.

12. Dostęp pracowników Podmiotu przetwarzającego

Pracownicy wsparcia mogą zalogować się na konto Administratora tylko z podaniem powodu, w celach wsparcia lub bezpieczeństwa. Każde takie wejście jest zapisywane w dzienniku zdarzeń Przychodni, a pracownicy zalogowani w ten sposób nie mogą zmieniać haseł, ustawień uwierzytelniania dwuskładnikowego ani rozliczeń. Otwarcie danych pacjenta w trakcie takiego wejścia jest zapisywane w rejestrze dostępu do danych pacjentów tak samo jak każde inne.

Gdy Administrator prosi Podmiot przetwarzający o import swoich danych (migrację danych), dołącza pliki do zgłoszenia do wsparcia w aplikacji. Pliki pozostają na serwerach Podmiotu przetwarzającego, nie są wysyłane e-mailem, mogą je otworzyć tylko pracownicy wsparcia, a każde pobranie jest zapisywane w dzienniku zdarzeń Przychodni. Są wykorzystywane tylko do tego importu i usuwane po jego zakończeniu: najpóźniej 30 dni po przesłaniu albo 7 dni po zamknięciu zgłoszenia. Administrator może usunąć je wcześniej w aplikacji.

13. Odpowiedzialność i pierwszeństwo postanowień

Odpowiedzialność na podstawie Umowy powierzenia określają Regulamin i art. 82 RODO. W razie sprzeczności między Umową powierzenia a Regulaminem w sprawach ochrony danych pierwszeństwo ma Umowa powierzenia.

Załącznik: środki techniczne i organizacyjne

• Hosting: serwery i baza danych w Unii Europejskiej.
• Szyfrowanie: HTTPS (TLS) dla całego ruchu, z HSTS; numer PESEL, numer dokumentu tożsamości, data urodzenia, notatki o pacjencie i wizycie, dane do faktury oraz wiadomości z platformy rezerwacji online szyfrowane w bazie danych osobnym kluczem, a numer PESEL wyszukiwany wyłącznie przez skrót z kluczem; codzienne kopie zapasowe szyfrowane kluczem przechowywanym poza serwerem i przechowywane przez 30 dni, z zaszyfrowaną kopią w drugiej lokalizacji w UE; hasła przechowywane wyłącznie jako silne skróty; token KSeF Przychodni przechowywany w postaci zaszyfrowanej i nigdy więcej niewyświetlany.
• Rozdzielenie: dane każdej Przychodni są oddzielone w aplikacji; każde zapytanie jest ograniczone do bieżącej Przychodni, a dostęp do danych innej Przychodni jest odmawiany. Specjalista pracujący dla kilku Przychodni widzi dane każdej z nich tylko w tej Przychodni; strona osobista obejmująca wszystkie Przychodnie pokazuje godziny zajętości bez danych pacjentów.
• Linki dla pacjentów: strony wizyty, płatności i propozycji terminu wysyłane pacjentom korzystają z długich, losowych linków, które otwierają tylko daną wizytę, płatność lub propozycję i pokazują najwyżej termin, miejsce i specjalistę; linki do płatności wygasają. SMS-y i e-maile nie zawierają nazwy usługi, chyba że Przychodnia to włączy, a kalendarze specjalistów pokazują tylko inicjały pacjentów.
• Kontrola dostępu: role i uprawnienia w każdej Przychodni (właściciel, menedżer, rejestracja, specjalista); uwierzytelnianie dwuskładnikowe albo klucz dostępu (passkey), obowiązkowe dla właściciela i menedżerów Przychodni i dostępne dla pozostałych Użytkowników; sesja kończy się po okresie bezczynności ustawionym przez Przychodnię (domyślnie 30 minut) i najpóźniej po 12 godzinach; panel administracyjny platformy wymaga aplikacji uwierzytelniającej dla każdego konta pracownika.
• Rozliczalność: rejestr dostępu do danych pacjentów obejmujący każde otwarcie danych pacjenta i każdy eksport danych pacjentów, przechowywany przez 5 lat i dostępny dla właścicieli i menedżerów; dziennik zmian dotyczących ról, ustawień, pieniędzy, faktur i rozliczeń oraz każdego logowania wsparcia, przechowywany przez 730 dni.
• Minimalizacja danych w działaniu usługi: brak danych pacjentów w logach aplikacji, raportach błędów i danych zadań w tle; raporty błędów trafiają do Sentry w UE bez danych osobowych; dane pacjentów nigdy nie są wykorzystywane do statystyk.
• Bezpieczeństwo aplikacji: nagłówki bezpieczeństwa i polityka bezpieczeństwa treści (CSP), ochrona przed fałszowaniem żądań (CSRF), limity prób logowania, wysyłania formularzy i otwierania linków dla pacjentów, aktualne zależności.
• Dostępność: monitorowanie nieudanych zadań w tle i błędów; przetestowane odtwarzanie z kopii zapasowych.
• Prawa osób, których dane dotyczą: wbudowany eksport danych pacjenta (wraz z historią dostępu do nich) i całej Przychodni oraz usunięcie danych identyfikujących i kontaktowych pacjenta.
• Pracownicy: pisemne zobowiązanie do zachowania poufności; dostęp tylko w zakresie potrzebnym do zadania.