1. Сфера дії та ролі

Ця DPA застосовується до персональних даних, які ви, члени вашої команди або ваші клієнти вносите до Vigore і які ми обробляємо, щоб надавати вам сервіс («Дані клієнтів»). Ви є контролером Даних клієнтів; ми — обробником. Обробку описано в Додатку 1.

Вона не поширюється на дані, які ми обробляємо як контролер для власних цілей, зокрема ваш обліковий запис, виставлення рахунків і наш вебсайт. Таку обробку описано в нашій Політиці конфіденційності.

2. Ваші обов’язки

• Ви забезпечуєте наявність дійсної правової підстави для Даних клієнтів, які вносите, а для даних про здоров’я чи інших особливих категорій — дійсного винятку відповідно до статті 9 GDPR.
• Ви інформуєте своїх клієнтів про те, як обробляєте їхні дані, зокрема про те, що використовуєте Vigore.
• Vigore — це інструмент для планування, а не система медичних записів. Ви не зберігаєте діагнози, відомості про лікування чи інші медичні записи в нотатках про клієнтів або формах запису.
• Ви вирішуєте, як довго зберігаються Дані клієнтів, і видаляєте клієнтів і записи у Vigore, коли вони вам більше не потрібні.

3. Наші обов’язки

Ми зобов’язуємося:

• Обробляти Дані клієнтів лише відповідно до ваших задокументованих вказівок. Вашими вказівками є ця DPA, Умови користування та спосіб, у який ви використовуєте й налаштовуєте Vigore. Ми повідомимо вас, якщо вважатимемо, що якась вказівка порушує законодавство про захист даних.
• Забезпечувати, щоб усі працівники Vigore, які мають доступ до Даних клієнтів, були зобов’язані дотримуватися конфіденційності.
• Вживати належних технічних та організаційних заходів для захисту Даних клієнтів, як описано в Додатку 2.
• Допомагати вам, наскільки це розумно можливо, відповідати на запити ваших клієнтів, які здійснюють свої права, і пересилати вам будь-який такий запит, що надійде безпосередньо до нас.
• Допомагати вам виконувати обов’язки щодо безпеки, порушень безпеки даних, оцінки впливу на захист даних і попередніх консультацій з урахуванням доступної нам інформації.
• Не використовувати Дані клієнтів для власних цілей і не продавати їх.

4. Порушення безпеки даних

Якщо нам стане відомо про порушення безпеки персональних даних, що стосується Даних клієнтів, ми повідомимо вас без невиправданої затримки і, за можливості, протягом 48 годин. Ми надамо вам інформацію, необхідну для оцінки порушення та, якщо це потрібно, для повідомлення про нього наглядовому органу протягом 72 годин та інформування постраждалих осіб. Ми вживемо розумних заходів для обмеження наслідків.

5. Субобробники

Ви надаєте нам загальний дозвіл на залучення субобробників. Чинних субобробників перелічено в Додатку 3. З кожним із них ми уклали письмову угоду із зобов’язаннями щодо захисту даних, які забезпечують щонайменше такий самий рівень захисту, як ця DPA, і ми залишаємося відповідальними за їхню роботу.

Ми повідомлятимемо вас електронною поштою або у Vigore щонайменше за 15 днів до того, як додамо або замінимо субобробника. Протягом цього строку ви можете заперечити з обґрунтованих міркувань захисту даних, написавши на [email protected]. Тоді ми спробуємо знайти рішення разом із вами. Якщо це не вдасться, ви можете припинити користування відповідним сервісом без штрафних санкцій.

Інтеграції, які ви самостійно вирішили під’єднати, як-от Google Calendar, Microsoft Outlook або ваш власний обліковий запис Stripe, не є нашими субобробниками. Ви користуєтеся ними відповідно до власної угоди з відповідним постачальником, а ми надсилаємо їм дані за вашою вказівкою.

6. Передавання за межі ЄЕЗ

Наш основний хостинг розташований у ЄС. Якщо субобробник обробляє Дані клієнтів за межами Європейської економічної зони, ми забезпечуємо захист такого передавання рішенням про адекватність (як-от Рамкова програма конфіденційності даних ЄС — США (EU-U.S. Data Privacy Framework) для сертифікованих постачальників) або Стандартними договірними положеннями Європейської комісії.

7. Інформація та аудити

На запит ми надамо вам інформацію, яка обґрунтовано потрібна вам, щоб підтвердити дотримання цієї DPA. Якщо цього недостатньо, ви можете раз на рік провести аудит самостійно або доручити його незалежному аудитору, зобов’язаному дотримуватися конфіденційності, з повідомленням щонайменше за 30 днів, у робочий час і за власний рахунок.

8. Видалення та повернення

Ви можете будь-коли експортувати свої дані з Vigore, доки існує ваш обліковий запис. Коли власник облікового запису видаляє обліковий запис, ми видаляємо Дані клієнтів з наших активних систем протягом 30 днів, якщо закон не зобов’язує нас їх зберігати. Видалені дані можуть залишатися в резервних копіях до 7 днів, доки їх не буде перезаписано.

Клієнт може записуватися до кількох практик, які користуються Vigore. Кожна практика є контролером власних даних про цього клієнта. Коли ви видаляєте свій обліковий запис, ми видаляємо ваші дані про клієнта, але зберігаємо дані клієнта для інших практик.

9. Відповідальність, строк дії та застосовне право

Обмеження відповідальності, передбачене Умовами користування, застосовується до цієї DPA в межах, дозволених законом. Ця DPA діє доти, доки ми обробляємо Дані клієнтів для вас. У разі суперечності між цією DPA та Умовами користування щодо захисту персональних даних переважну силу має ця DPA. Ця DPA регулюється правом Нідерландів, а спори передаються на розгляд компетентного суду в Амстердамі.

Використовуючи Vigore, ви погоджуєтеся з цією DPA. Якщо вам потрібен підписаний примірник, зв’яжіться з нами за адресою [email protected].

Додаток 1: Опис обробки

• Предмет і мета: надання сервісу запису та планування Vigore: сторінки запису та віджет, записи на прийом, керування клієнтами, платежі, електронні листи та інтеграції з календарями.
• Тривалість: протягом усього часу використання вами Vigore, а також строку видалення, зазначеного в розділі 8.
• Характер: збирання, зберігання, упорядкування, відображення, надсилання та видалення даних.
• Суб’єкти даних: ваші клієнти, а також члени вашої команди тією мірою, якою ви керуєте ними у Vigore.
• Типи даних: ім’я, адреса електронної пошти, номер телефону, відомості про запис (послуга, дата, час, місце, ціна, статус оплати), відповіді у формі запису, додані вами нотатки та повідомлення, надіслані через Vigore.
• Особливі категорії: деякі дані можуть розкривати інформацію про здоров’я, наприклад назва процедури або відповідь у формі запису. Ми обробляємо такі дані лише для надання сервісу за вашими вказівками.

Додаток 2: Заходи безпеки

• Шифрування даних під час передавання (HTTPS/TLS)
• Зашифроване зберігання, що забезпечується нашим хостинг-провайдером
• Додаткове шифрування токенів доступу до календаря та назв подій календаря
• Доступ на основі ролей у Vigore, щоб члени команди бачили лише те, що дозволяє їхня роль
• Доступ до виробничих систем лише для працівників, яким він потрібен
• Маскування персональних даних у продуктовій аналітиці
• Щоденне резервне копіювання зі зберіганням копій протягом 7 днів
• Зберігання журналів сервера протягом 30 днів

Додаток 3: Субобробники