§ 1. Przedmiot Umowy i definicje

1. Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej: „Umowa DPA”) stanowi integralną część Regulaminu Świadczenia Usług Drogą Elektroniczną platformy Clareo.

2. Stronami Umowy są:

  • Administrator Danych Osobowych (Administrator): Psycholog, psychoterapeuta, psychiatra lub podmiot leczniczy/gabinet posiadający aktywne konto w Serwisie Clareo.
  • Podmiot Przetwarzający (Procesor): ITLight Maciej Wawryszuk, ul. Wspólna 13, 21-540 Małaszewicze, NIP: 5372684078, REGON: 529613090, adres e-mail: kontakt@clareo.pl.

3. Zawarcie Umowy DPA następuje z chwilą akceptacji Regulaminu Serwisu i rejestracji Konta Specjalisty w Serwisie Clareo.

§ 2. Charakter, cel i zakres powierzenia danych

1. Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych w celu świadczenia usług drogą elektroniczną w modelu SaaS, w tym zarządzania kalendarzem wizyt, kartoteką pacjentów, dokumentacją sesji, powiadomieniami oraz obsługą płatności online.

2. Kategorie osób, których dane dotyczą:

  • Pacjenci i klienci Administratora korzystający z konsultacji psychologicznych, psychoterapii i poradnictwa;
  • Personel, asystenci i współpracownicy Administratora korzystający z subkont gabinetu.

3. Rodzaje powierzonych danych osobowych:

  • Dane zwykłe: Imię, nazwisko, adres e-mail, numer telefonu, adres zamieszkania, dane do faktury (NIP, nazwa firmy), historia rezerwacji;
  • Dane szczególnych kategorii (art. 9 RODO – dane o stanie zdrowia): Informacje o odbytych wizytach, wywiadach psychologicznych, notatkach z sesji terapeutycznych, diagnozach i zaleceniach wprowadzanych do systemu przez Administratora.

§ 3. Obowiązki Podmiotu Przetwarzającego (Clareo)

1. Podmiot Przetwarzający zobowiązuje się przetwarzać powierzone dane osobowe wyłącznie na udokumentowane polecenie Administratora, za które uznaje się także korzystanie z funkcji Platformy Clareo.

2. Podmiot Przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.

3. Podmiot Przetwarzający podejmuje wszelkie środki techniczne i organizacyjne wymagane na mocy art. 32 RODO, w szczególności:

  • Szyfrowanie połączeń protokołem TLS/SSL w trakcie transmisji danych;
  • Szyfrowanie bazy danych i magazynów plików spoczynkowych (encryption at rest);
  • Codzienne automatyczne kopie zapasowe (backupy) z procedurą bezpiecznego odzyskiwania;
  • Mechanizmy kontroli dostępu oparte na rolach, unikalnych loginach i bezpiecznym uwierzytelnianiu;
  • Ścisłą izolację danych pomiędzy poszczególnymi gabinetami (multi-tenancy security).

4. Podmiot Przetwarzający pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO.

5. W przypadku stwierdzenia naruszenia ochrony danych osobowych, Podmiot Przetwarzający zgłasza je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od wykrycia zdarzenia.

§ 4. Podpowierzenie przetwarzania danych (Podprocesorzy)

1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot Przetwarzający z usług innych podmiotów przetwarzających (podprocesorów) niezbędnych do świadczenia usług Platformy.

2. Aktualna lista kluczowych podprocesorów:

  • Hetzner Online GmbH / OVHcloud: Dostawca bezpiecznej infrastruktury serwerowej i centrów danych zlokalizowanych na terytorium Unii Europejskiej;
  • Stripe Payments Europe, Ltd. (Irlandia): Dostawca bramki płatniczej i rozliczeń finansowych certyfikowany PCI-DSS Level 1;
  • Google Ireland Limited: Dostawca opcjonalnej integracji z Google Calendar i Google Meet na wyraźne żądanie Administratora.

3. Podprocesorzy są zobowiązani do przestrzegania standardów bezpieczeństwa nie niższych niż określone w niniejszej Umowie DPA.

§ 5. Czas trwania umowy i usunięcie danych

1. Umowa DPA zostaje zawarta na czas korzystania przez Administratora z Platformy Clareo i ulega rozwiązaniu wraz z zamknięciem Konta w Serwisie.

2. Po zakończeniu świadczenia usług Podmiot Przetwarzający, zależnie od decyzji Administratora, usuwa lub zwraca mu wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje przechowywanie danych osobowych.

§ 6. Postanowienia końcowe

1. W sprawach nieuregulowanych niniejszą Umową zastosowanie mają odpowiednie przepisy RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.

2. Wszelkie pytania i wnioski dotyczące ochrony danych osobowych i DPA należy kierować na adres: kontakt@clareo.pl.