1. Zakres i role

Niniejsza DPA ma zastosowanie do danych osobowych, które Ty, członkowie Twojego zespołu lub Twoi klienci wprowadzają do Vigore i które przetwarzamy w celu świadczenia na Twoją rzecz usługi („Dane Klientów”). Jesteś administratorem Danych Klientów; my jesteśmy podmiotem przetwarzającym. Przetwarzanie opisano w Załączniku 1.

Nie obejmuje ona danych, które przetwarzamy jako administrator do własnych celów, takich jak dane Twojego konta, rozliczenia i nasza strona internetowa. To przetwarzanie opisuje nasza Polityka prywatności.

2. Twoje obowiązki

• Zapewniasz, że dysponujesz ważną podstawą prawną dla wprowadzanych Danych Klientów, a w przypadku danych dotyczących zdrowia lub innych szczególnych kategorii danych — że spełniony jest jeden z wyjątków przewidzianych w art. 9 RODO.
• Informujesz swoich klientów o tym, w jaki sposób przetwarzasz ich dane, w tym o tym, że korzystasz z Vigore.
• Vigore jest narzędziem do planowania wizyt, a nie systemem dokumentacji medycznej. Nie zapisujesz diagnoz, szczegółów leczenia ani innej dokumentacji medycznej w notatkach o klientach ani w formularzach rezerwacji.
• Decydujesz, jak długo przechowywane są Dane Klientów, i usuwasz klientów oraz wizyty w Vigore, gdy nie są Ci już potrzebne.

3. Nasze obowiązki

Zobowiązujemy się:

• Przetwarzać Dane Klientów wyłącznie na Twoje udokumentowane polecenie. Twoimi poleceniami są niniejsza DPA, Warunki korzystania z usługi oraz sposób, w jaki korzystasz z Vigore i je konfigurujesz. Poinformujemy Cię, jeśli uznamy, że dane polecenie narusza przepisy o ochronie danych.
• Zapewnić, aby wszystkie osoby w Vigore mające dostęp do Danych Klientów były zobowiązane do zachowania poufności.
• Stosować odpowiednie środki techniczne i organizacyjne w celu ochrony Danych Klientów, opisane w Załączniku 2.
• Pomagać Ci, w rozsądnie możliwym zakresie, w odpowiadaniu na żądania Twoich klientów wykonujących swoje prawa oraz przekazywać Ci każde takie żądanie, które otrzymamy bezpośrednio.
• Pomagać Ci w wywiązywaniu się z obowiązków dotyczących bezpieczeństwa, naruszeń ochrony danych, oceny skutków dla ochrony danych oraz uprzednich konsultacji, z uwzględnieniem dostępnych nam informacji.
• Nie wykorzystywać Danych Klientów do własnych celów i ich nie sprzedawać.

4. Naruszenia ochrony danych

Jeśli stwierdzimy naruszenie ochrony danych osobowych dotyczące Danych Klientów, powiadomimy Cię o tym bez zbędnej zwłoki, a w miarę możliwości w ciągu 48 godzin. Przekażemy Ci informacje potrzebne do oceny naruszenia oraz, jeśli jest to wymagane, do zgłoszenia go organowi nadzorczemu w ciągu 72 godzin i do zawiadomienia osób, których ono dotyczy. Podejmiemy rozsądne działania w celu ograniczenia jego skutków.

5. Dalsze podmioty przetwarzające

Udzielasz nam ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających. Aktualne dalsze podmioty przetwarzające wymieniono w Załączniku 3. Z każdym z nich zawarliśmy pisemną umowę nakładającą obowiązki w zakresie ochrony danych zapewniające co najmniej taki sam poziom ochrony jak niniejsza DPA i pozostajemy odpowiedzialni za ich działania.

Powiadomimy Cię e-mailem lub w Vigore co najmniej 15 dni przed dodaniem lub zastąpieniem dalszego podmiotu przetwarzającego. W tym terminie możesz wnieść sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych, pisząc na adres [email protected]. Postaramy się wówczas wspólnie z Tobą znaleźć rozwiązanie. Jeśli nie będzie to możliwe, możesz zakończyć korzystanie z danej usługi bez ponoszenia kar.

Integracje, które postanowisz podłączyć, takie jak Google Calendar, Microsoft Outlook lub Twoje własne konto Stripe, nie są naszymi dalszymi podmiotami przetwarzającymi. Korzystasz z nich na podstawie własnej umowy z danym dostawcą, a my przekazujemy im dane na Twoje polecenie.

6. Przekazywanie danych poza EOG

Nasz główny hosting znajduje się w UE. Jeśli dalszy podmiot przetwarzający przetwarza Dane Klientów poza Europejskim Obszarem Gospodarczym, zapewniamy, że przekazanie jest chronione decyzją stwierdzającą odpowiedni stopień ochrony (taką jak EU-U.S. Data Privacy Framework w przypadku certyfikowanych dostawców) lub standardowymi klauzulami umownymi Komisji Europejskiej.

7. Informacje i audyty

Na żądanie przekażemy Ci informacje, których zasadnie potrzebujesz, aby wykazać przestrzeganie niniejszej DPA. Jeśli okażą się one niewystarczające, możesz raz w roku przeprowadzić audyt samodzielnie lub zlecić go niezależnemu audytorowi zobowiązanemu do zachowania poufności, z co najmniej 30-dniowym wyprzedzeniem, w godzinach pracy i na własny koszt.

8. Usunięcie i zwrot danych

Dopóki Twoje konto istnieje, możesz w każdej chwili eksportować swoje dane z Vigore. Gdy właściciel konta je usunie, usuwamy Dane Klientów z naszych aktywnych systemów w ciągu 30 dni, chyba że przepisy prawa nakładają na nas obowiązek ich przechowywania. Usunięte dane mogą pozostawać w kopiach zapasowych do 7 dni, do czasu ich nadpisania.

Klient może rezerwować wizyty w kilku gabinetach korzystających z Vigore. Każdy gabinet jest administratorem własnych danych dotyczących tego klienta. Gdy usuniesz swoje konto, usuniemy Twoje dane dotyczące klienta, ale zachowamy dane klienta na potrzeby pozostałych gabinetów.

9. Odpowiedzialność, okres obowiązywania i prawo właściwe

Ograniczenie odpowiedzialności określone w Warunkach korzystania z usługi ma zastosowanie do niniejszej DPA w zakresie dozwolonym przez prawo. Niniejsza DPA obowiązuje tak długo, jak przetwarzamy dla Ciebie Dane Klientów. W przypadku sprzeczności między niniejszą DPA a Warunkami korzystania z usługi w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza DPA. Niniejsza DPA podlega prawu niderlandzkiemu, a spory rozstrzyga właściwy sąd w Amsterdamie.

Korzystając z Vigore, akceptujesz niniejszą DPA. Jeśli potrzebujesz podpisanego egzemplarza, skontaktuj się z nami pod adresem [email protected].

Załącznik 1: Opis przetwarzania

• Przedmiot i cel: świadczenie usługi rezerwacji i planowania wizyt Vigore: strony rezerwacji i widżet, wizyty, zarządzanie klientami, płatności, wiadomości e-mail i integracje z kalendarzem.
• Czas trwania: przez cały okres korzystania z Vigore, powiększony o okres usuwania danych określony w punkcie 8.
• Charakter: zbieranie, przechowywanie, porządkowanie, wyświetlanie, przesyłanie i usuwanie danych.
• Osoby, których dane dotyczą: Twoi klienci oraz członkowie Twojego zespołu w zakresie, w jakim zarządzasz nimi w Vigore.
• Rodzaje danych: imię i nazwisko, adres e-mail, numer telefonu, szczegóły wizyty (usługa, data, godzina, miejsce, cena, status płatności), odpowiedzi w formularzu rezerwacji, dodane przez Ciebie notatki oraz wiadomości wysyłane za pośrednictwem Vigore.
• Szczególne kategorie danych: niektóre dane mogą ujawniać informacje o stanie zdrowia, na przykład nazwa zabiegu lub odpowiedź w formularzu rezerwacji. Przetwarzamy je wyłącznie w celu świadczenia usługi na Twoje polecenie.

Załącznik 2: Środki bezpieczeństwa

• Szyfrowanie danych podczas przesyłania (HTTPS/TLS)
• Szyfrowane przechowywanie zapewniane przez naszego dostawcę hostingu
• Dodatkowe szyfrowanie tokenów dostępu do kalendarza i tytułów wydarzeń w kalendarzu
• Dostęp oparty na rolach w Vigore, dzięki któremu członkowie zespołu widzą tylko to, na co pozwala ich rola
• Dostęp do systemów produkcyjnych ograniczony do pracowników, którzy go potrzebują
• Maskowanie danych osobowych w analityce produktu
• Codzienne kopie zapasowe przechowywane przez 7 dni
• Dzienniki serwera przechowywane przez 30 dni

Załącznik 3: Dalsze podmioty przetwarzające