Polityka prywatności Emmy Medical (część dla Świadczeniodawcy)

Niniejsza Polityka prywatności (zwana dalej „Polityką”) ma na celu zapewnienie przejrzystych informacji na temat przetwarzania danych osobowych w związku z działaniem aplikacji internetowej Emmy dostępnej pod adresem https://dr.mojaemmy.pl/ (zwanej dalej „Aplikacją”) dla podmiotów świadczących opiekę zdrowotną (zwanymi dalej „Świadczeniodawcami”, a każdy z osobna „Świadczeniodawcą”). Polityka stanowi integralną część Ogólnych warunków umowy aplikacji Emmy, części dla świadczeniodawców.

‍
1. Rola Emmy i podmioty

1.1. Spółka Emmy Medical Sp. z o.o. z siedzibą przy ul. Stanisława Leszczyńskiego 4 lok. 25, 50-078 Wrocław, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla Wrocławia Fabrycznej we Wrocławiu, VI Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS 0001139953, NIP 8971945687, REGON 540250411 (zwana dalej „Emmy”) może być administratorem lub podmiotem przetwarzającym w odniesieniu do przetwarzania danych osobowych w związku z działaniem Aplikacji. Rola Emmy zawsze zależy od celu przetwarzania.

1.2. Podmiotami przetwarzającymi dane osobowe na podstawie niniejszej Polityki jest Świadczeniodawca będący osobą fizyczną (zwany dalej „Świadczeniodawca – OF”) lub osoba reprezentująca Świadczeniodawcę, będąca osobą prawną (zwana dalej „Przedstawicielem”) oraz wszyscy użytkownicy konta klienta Świadczeniodawcy w Aplikacji (zwanego dalej „Konto Klienta”).


2. Emmy jako administrator

Przetwarzanie, o którym mowa w niniejszym artykule, nie obejmuje zautomatyzowanego podejmowania decyzji, w tym profilowania.

Emmy jest administratorem w następujących celach:

2.1. Administrowanie stosunkiem umownym z Świadczeniodawcą i prowadzenie Konta Klienta

Emmy może przetwarzać dane osobowe Świadczeniodawcy – OF lub Przedstawiciela w celu administrowania umową pomiędzy Emmy a Świadczeniodawcą (zwaną dalej „Umowa”) oraz w celu założenia i prowadzenia Konta Klienta, co obejmuje również umieszczenie danych osobowych Świadczeniodawcy – OF w części Aplikacji dotyczącej pacjentów lub w powiadomieniach dotyczących Aplikacji. Emmy jest wówczas uprawniona do umieszczenia danych Świadczeniodawcy – OF poza Aplikacją jako referencji w ramach Umowy. Ponadto cel ten obejmuje również świadczenie usług wsparcia dla Konta Klienta.

Podstawą prawną przetwarzania jest, w przypadku Świadczeniodawcy – OF, negocjowanie lub wykonanie umowy (art. 6 ust. 1 lit. b) RODO). W przypadku Przedstawiciela podstawą prawną jest uzasadniony interes Emmy i Świadczeniodawcy (art. 6 ust. 1lit. f) RODO) w wykonaniu stosunku umownego.

Kategoriami danych osobowych, których to dotyczy, mogą być:

‍dane identyfikacyjne (np. imię, nazwisko), dane kontaktowe (np. e-mail, telefon, adres), dane logowania, ustawienia i dane użytkowania (np. dane czasowe, adres IP), dane o związku z Świadczeniodawcą i Umową (np. funkcja, podpis), treść komunikacji (w zakresie wsparcia).

Źródłem danych jest bezpośrednio podmiot lub Świadczeniodawca. Bez podania danych identyfikacyjnych i kontaktowych Umowa nie może zostać zawarta.

Dane będą przetwarzane w tym celu przez okres obowiązywania Umowy, przy czym niektóre dane mogą być następnie dalej przetwarzane na podstawie uzasadnionych interesów Emmy (art. 6 ust. 1 lit. f) RODO) w celu obrony praw i własności, aż do upływu ustawowych terminów przedawnienia.

2.2. Zapewnienie działania Aplikacji i jej ulepszanie

Emmy może przetwarzać dane osobowe użytkowników Konta Klienta Aplikacji w celu zapewnienia bezpieczeństwa, dostępności i wydajności Aplikacji, a także w celu jej dalszego rozwoju. Podstawą prawną tego przetwarzania jest uzasadniony interes Emmy polegający na zapewnieniu wysokiej jakości usług (art. 6 ust. 1lit. f) RODO).

Kategoriami danych osobowych, których to dotyczy, mogą być:

‍dane identyfikacyjne (np. imię, nazwisko), dane kontaktowe (np. adres e-mail), dane dotyczące użytkowania (np. liczba wizyt, liczba i rodzaje złożonych zgłoszeń, dane czasowe, adres IP, lokalizacja, urządzenie), informacje zwrotne.

Źródłem danych jest przede wszystkim ich automatyczne gromadzenie (rejestrowanie), do którego możemy wykorzystywać zarówno narzędzia stron trzecich, jak i dane dostarczone bezpośrednio przez podmiot w celu uzyskania informacji zwrotnej.

Dane będą przetwarzane przez okres niezbędny do realizacji danego celu, w niektórych przypadkach wynosi on 6 miesięcy.

2.3. Wysyłanie informacji handlowych

Cel ten obejmuje wysyłanie do Świadczeniodawcy – OF lub Przedstawiciela newsletterów i innych komunikatów, które nie są objęte żadnym innym celem przetwarzania określonym w niniejszej Polityce. Podstawą prawną tego przetwarzania jest uzasadniony interes Emmy polegający na utrzymywaniu kontaktu z klientem (art. 6 ust. 1 lit. f) RODO).

Kategorie danych osobowych, których to dotyczy, to:

‍dane identyfikacyjne (np. imię, nazwisko), dane kontaktowe (np. e-mail, telefon).

Źródłem danych jest podmiot lub sam Świadczeniodawca i są to dane wprowadzone podczas rejestracji.
Dane będą przetwarzane w tym celu do czasu, gdy użytkownik odmówi otrzymywania wiadomości (poprzez rezygnację z subskrypcji) lub sprzeciwi się takiemu przetwarzaniu, jednak nie dłużej niż przez okres obowiązywania Umowy.

2.4. Wypełnianie zobowiązań prawnych

Cel ten obejmuje przetwarzanie danych użytkowników Konta Klienta w celu wypełnienia obowiązków firmy Emmy wynikających z przepisów prawa – np. reagowanie na naruszenie ochrony danych, reagowanie na dochodzenie praw itp. Podstawą prawną tego przetwarzania jest wypełnienie obowiązku prawnego Emmy (art. 6 ust. 1 lit. c) RODO).

Kategoriami danych, których to dotyczy, mogą być:

‍dane identyfikacyjne (np. imię, nazwisko), dane kontaktowe (np. e-mail, telefon), dane dotyczące stosunku umownego, inne dane niezbędne do wypełnienia odpowiedniego obowiązku.

Źródłem danych może być bezpośrednio podmiot lub Świadczeniodawca, mogą to być również dane gromadzone automatycznie. Dane będą przetwarzane w tym celu przez okres niezbędny do wypełnienia odpowiedniego obowiązku prawnego lub bezpośrednio określony przez prawo.


3. Świadczeniodawca jako administrator i Emmy jako podmiot przetwarzający

‍W odniesieniu do większości danych osobowych użytkowników Konta Klienta przetwarzanych w Aplikacji, Emmy działa jako podmiot przetwarzający. W rzeczywistości, dla ogólnego celu przetwarzania określonego poniżej, Świadczeniodawca jest bezpośrednio administratorem danych.

Świadczeniodawca jako administrator danych zapewnia, że posiada podstawę prawną do przetwarzania danych oraz że wszelkie informacje o przetwarzaniu danych, którego dokonuje za pośrednictwem Aplikacji, są przekazywane użytkownikom Konta Klienta. Informacje podane w niniejszym punkcie 3 mają charakter wyłącznie ogólny i informacyjny, a ich dokładność i kompletność nie jest gwarantowana. Świadczeniodawcy przetwarzają dane użytkownika Konta Klienta w następujących celach:

3.1. Uzyskiwanie dostępu do Konta Klienta i korzystanie z niego
‍
‍Cel ten obejmuje zarządzanie użytkownikami Konta Klienta i ich uprawnieniami, a także prowadzenie rejestrów dostępu i aktywności użytkowników Konta Klienta, w tym umieszczanie danych osobowych w części Aplikacji dotyczącej pacjentów.

Podstawą prawną może być wykonanie umowy, zazwyczaj o pracę, między Świadczeniodawcą a użytkownikiem Konta Klienta (art. 6 ust. 1 lit. b) RODO) lub wykonanie obowiązku prawnego Świadczeniodawcy (art. 6 ust. 1 lit. c) RODO), lub prawnie uzasadnione interesy Świadczeniodawcy (art. 6 ust. 1 lit. f) RODO).

Kategorie danych osobowych, których to dotyczy, to:

dane identyfikacyjne (np. imię, nazwisko), dane kontaktowe (np. e-mail, telefon, adres), dane logowania, ustawienia i uprawnienia, dane dotyczące związku z Świadczeniodawcą (funkcja, miejsce pracy), dane dotyczące dostępu i aktywności (np. dane czasowe, zmiany).

Źródłem danych jest bezpośrednio podmiot lub Świadczeniodawca, mogą to być również dane zebrane podczas wykonywania zadań służbowych przez podmiot. Odbiorcami danych są pracownicy Świadczeniodawcy, pacjenci (użytkownicy części Aplikacji przeznaczonej dla pacjentów) oraz Emmy jako podmiot przetwarzający.

W tym celu dane będą przetwarzane przez Świadczeniodawcę w Aplikacji przez okres niezbędny do realizacji celu przetwarzania. Dane zostaną usunięte z Aplikacji w przypadku zakończenia stosunku umownego pomiędzy Emmy a Świadczeniodawcą.

3.2. Organizacja świadczenia usług zdrowotnych

Emmy jest podmiotem przetwarzającym dane na rzecz Świadczeniodawcy w celu organizacji świadczenia usług zdrowotnych. Cel ten obejmuje prowadzenie katalogu pacjentów, weryfikację i otrzymywanie zgłoszeń od pacjentów oraz, w stosownych przypadkach, tworzenie zgłoszeń przez Świadczeniodawcę. Obejmuje również obsługę zarejestrowanych zgłoszeń, w tym umawianie wizyt osobistych i prowadzenie powiązanej komunikacji, tj. wysyłanie wiadomości do Aplikacji lub przypomnień.

Po aktywnym wybraniu Świadczeniodawcy, który korzysta z rozszerzeń AI i OCR, włączone zostanie również wykorzystanie technologii OCR i AI w celu poprawy i przyspieszenia świadczenia usług zdrowotnych przez tego Świadczeniodawcę (w profilu Świadczeniodawcy będzie widoczna informacja, że korzysta z tych rozszerzeń). Emmy będzie korzystać z tej technologii wyłącznie na podstawie instrukcji Świadczeniodawcy. Dokumenty przesłane do Aplikacji zostaną następnie przekonwertowane do postaci tekstowej przy użyciu technologii OCR, a informacje, które Emmy przesyła do Świadczeniodawcy, będą przygotowywane w zamkniętym środowisku AI. Świadczeniodawca nie polega w żaden sposób na tych danych wyjściowych i musi zawsze sprawdzać ich zgodność z oryginałem. Informacje na temat środków bezpieczeństwa podczas korzystania z AI i OCR znajdują się w klauzuli 5.4. niniejszej Polityki.

Podstawą prawną może być negocjowanie lub wykonanie umowy (art. 6 ust. 1 lit. b) RODO), lub wykonanie obowiązku prawnego przez Świadczeniodawcę (art. 6 ust. 1 lit. c) RODO). Wrażliwe dane dotyczące zdrowia są następnie zasadniczo przetwarzane przez Świadczeniodawcę na podstawie prawnej świadczenia opieki zdrowotnej zgodnie z art. 9 ust. 2 lit. h) RODO lub na podstawie wyraźnej zgody, jeśli taka została udzielona Świadczeniodawcy, zgodnie z art. 9 lit. a) RODO.

Kategoriami danych osobowych, których to dotyczy, mogą być:

‍dane identyfikacyjne pacjenta (np. imię, nazwisko, data urodzenia), dane kontaktowe pacjenta (np. e-mail, telefon, adres), dane związane ze Zgłoszeniem pacjenta (np. dane o stanie zdrowia, dane o umawianiu wizyt do Świadczeniodawcy, dane o zatrudnieniu), dane o ubezpieczeniu pacjenta (np. rodzaj, numer ubezpieczenia), dane o rejestracji u Świadczeniodawcy (w tym np. język komunikacji).

Dane te mogą zostać pozyskane  bezpośrednio od pacjenta lub podczas świadczenia opieki zdrowotnej, w tym mogą to być dane z rejestrów państwowych lub rejestrów ubezpieczenia zdrowotnego. Odbiorcami danych są pracownicy Świadczeniodawcy i Emmy (głównie jako podmiot przetwarzający).

Dane będą przetwarzane przez Świadczeniodawcę w Aplikacji przez okres niezbędny do realizacji celu przetwarzania. Świadczeniodawca, jako administrator danych, jest uprawniony do usunięcia wszystkich danych z Aplikacji w dowolnym momencie. Dane zostaną również usunięte z Aplikacji w przypadku zakończenia stosunku umownego pomiędzy Emmy a Świadczeniodawcą.

‍
4. Odbiorcy i przesyłanie danych

4.1. Dane osobowe przetwarzane przez Emmy jako administratora mogą być ujawniane w niezbędnym zakresie osobom zaangażowanym w ich przetwarzanie. Są to pracownicy Emmy i starannie wybrane podmioty przetwarzające, w szczególności podmioty zaangażowane w utrzymanie i wsparcie Aplikacji oraz dostawcy usług IT, których aktualną listę można znaleźć na końcu niniejszego dokumentu.

4.2. Dane Świadczeniodawcy – OF i Przedstawiciela, przetwarzane przez Emmy jako administratora danych, mogą być udostępniane użytkownikom Konta Klienta. Ponadto odbiorcami danych Świadczeniodawcy– OF mogą być również pacjenci (użytkownicy sekcji Aplikacji przeznaczonej dla pacjentów) lub publiczność. Alternatywnie dane przetwarzane przez Emmy mogą być ujawniane w niezbędnym zakresie doradcom Emmy zobowiązanym do zachowania poufności (np. adwokatom) oraz, w zakresie przewidzianym przez prawo, organom publicznym.

4.3. Emmy nie będzie ujawniać przetwarzanych danych osobowych stronom trzecim w sposób inny niż określony w niniejszej Polityce.

4.4. Przetwarzane dane osobowe są przechowywane na serwerach w centrum danych autoryzowanego podmiotu przetwarzającego Amazon Web Services EMEA SARL (zwanym dalej „AWS”), znajdującego się w UE. Przekazywanie danych użytkownika do państw trzecich (zwykle USA) może mieć miejsce tylko w ograniczonym zakresie (np. w związku z korzystaniem z Google Analytics). Wówczas zapewniane są odpowiednie gwarancje: tzw. standardowe klauzule umowne (których kopię można otrzymać na żądanie) lub zarejestrowanie naszych przetwarzających w tzw. EU-U.S. Data Privacy Framework, co oznacza, że na podstawie decyzji Komisji Europejskiej o adekwatności zapewniają taką samą ochronę, jak gdyby dane były przechowywane w UE.

‍
5. Bezpieczeństwo

5.1. Dbamy o bezpieczeństwo danych użytkowników i pacjentów, dlatego podczas ich przetwarzania, zarówno jako administrator, jak i podmiot przetwarzający, stosujemy rygorystyczne środki bezpieczeństwa.

5.2. Wszystkie dane wymieniane między pacjentami a Świadczeniodawcą są szyfrowane zarówno podczas transmisji, jak i podczas przechowywania („at rest”). Nasz przeszkolony personel uzyskuje dostęp do danych pacjentów tylko wtedy, gdy jest to konieczne i zgodne z niniejszą Polityką, a tylko minimalna liczba wyznaczonych pracowników jest upoważniona do uzyskiwania dostępu do danych pacjentów, którzy są również zobowiązani do zachowania poufności.

5.3. AWS, którego Emmy używa jako dostawcy infrastruktury IT, posiada certyfikaty bezpieczeństwa ISO 27001, ISO 27017 i ISO 27018 i jest używany przez dostawców usług bankowych, finansowych i opieki zdrowotnej na całym świecie. Więcej informacji na temat bezpieczeństwa centrów danych AWS (w języku angielskim) można znaleźć tutaj.

5.4. Po aktywnym wybraniu Świadczeniodawcy w Aplikacji wykorzystywana będzie funkcja OCR i AI. Dane osobowe pacjentów są wtedy przetwarzane tylko przez czas niezbędny do zapewnienia tych funkcji (tj. od kilku sekund do kilku minut), a następnie dane te są przechowywane wyłącznie w Aplikacji. Funkcjonalność zapewniana przez sztuczną inteligencję gwarantuje, że osadzone dane nie są wykorzystywane do dalszego szkolenia modeli językowych. Więcej informacji na temat bezpieczeństwa i prywatności AI (w języku angielskim) można znaleźć tutaj.
‍

6. Pliki cookie

6.1. Aplikacja wykorzystuje pliki cookie w sposób opisany w Polityce plików cookie, dostępnej tutaj.


7. Komunikaty handlowe

7.1. O ile Świadczeniodawca – OF lub Przedstawiciel nie odmówi tego przy zawieraniu Umowy, Emmy jest uprawniona do korzystania z zarejestrowanych kontaktów (e-mail, telefon) w celu wysyłania wiadomości o charakterze informacji handlowych. Przetwarzanie danych osobowych w tym przypadku zostało opisane w art. 2.3. Wysyłanie komunikatów można później odrzucić w sposób określony w każdej wiadomości, na przykład za pomocą linku do rezygnacji z subskrypcji.


8. Prawa podmiotów

W związku z przetwarzaniem danych osobowych podmioty, których dane dotyczą, mają następujące prawa, o ile spełnione są warunki określone w przepisach. Prawa te można wykonywać wobec Emmy jako administratora danych za pośrednictwem danych kontaktowych podanych w art. 8. W odniesieniu do przetwarzania, w przypadku którego administratorem danych jest Świadczeniodawca (zob. art. 3), prawa te należy wykonywać bezpośrednio u Świadczeniodawcy.

Podmiotowi danych przysługują poniższe prawa:

8.1. Prawo dostępu do danych osobowych, tj. prawo do żądania potwierdzenia, czy dane użytkownika są przetwarzane, a jeśli tak, do uzyskania informacji o danym przetwarzaniu lub kopii przetwarzanych danych;

8.2. Prawo do żądania korekty niedokładnych lub niekompletnych danych;

8.3. Prawo do żądania natychmiastowego usunięcia przetwarzanych danych, jeśli ma zastosowanie jedna z podstaw wynikających z przepisów;

8.4. Prawo do żądania tymczasowego ograniczenia przetwarzania danych osobowych, jeśli ma zastosowanie jedna z podstaw wynikających z przepisów;

8.5. Prawo do sprzeciwu wobec przetwarzania danych na podstawie prawnej uzasadnionych interesów lub do celów marketingu bezpośredniego;

8.6. Prawo do wycofania zgody na przetwarzanie danych osobowych w dowolnym momencie;

8.7. Prawo do przenoszenia danych osobowych, tj. prawo do żądania przetwarzanych danych w ustrukturyzowanym formacie nadającym się do odczytu maszynowego, jeśli spełnione są warunki określone w przepisach.


9. Kontakt

9.1. Użytkownik może skontaktować się z naszym Inspektorem Ochrony Danych, wysyłając wiadomość e-mail na adres inspektor@mojaemmy.pl, lub skontaktować się z nami pisemnie poda dresem naszej siedziby, składając wniosek o skorzystanie z przysługujących mu praw lub zadając pytania dotyczące przetwarzania jego danych osobowych. W przypadku skargi dotyczącej przetwarzania danych osobowych osoba, której dane dotyczą, ma prawo skontaktować się bezpośrednio z organem nadzorczym, którym jest Prezes Urzędu Ochrony Danych Osobowych.


LISTA PODMIOTÓW PRZETWARZAJĄCYCH DANE OSOBOWE

- Amazon Web Services EMEA SARL, Czech Branch, IČO 09049266, z siedzibą pod adresem Sokolovská 689/115, 186 00 Praha, Czechy;
- Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA, 94043, USA;
- Microsoft Corporation, One Microsoft Way, Redmond, WA 98052-6399, USA;
- Zendesk Inc., 989 Market Street, San Francisco, CA 94103, USA;
- Formagrid Inc. (AirTable), 799 Market Street Fl 8, San Francisco, CA 94103, USA;
- Pipedrive Inc., 530 5th Ave Ste 802, New York, NY 10036, USA;
- Solitea, a.s. (operator serwisu iDoklad), IČO 01572377, z siedzibą pod adresem Drobného 555/49, Ponava, 602 00 Brno, Czechy;
- Vocalls Inc s.r.o., IČO 06413421, z siedzibą pod adresem Rostovská 314/14, Vršovice, 101 00 Praha 10, Czechy;
- ROBOTEER AUTOMATION LIMITED, 15 Bridge Road, Wellington, Telford, TF1 1EB, Wielka Brytania;
- SENDINBLUE – 106 boulevard Haussmann, 75008 Paris, Francja

Wersja 1.0
‍
‍Obowiązujeod: 22 listopada 2024

Pobierz dokument tutaj.