Strony:
- Administrator: Klient korzystający z Usługi, wskazany w danych Gabinetu w Usłudze, reprezentowany przez Właściciela akceptującego umowę („Administrator").
- Podmiot przetwarzający: Damian Grzegolec, os. Na Stoku 66, 25-437 Kielce, NIP 6572602128, e-mail hello@physys.pl („Procesor").
- Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.
§1 Przedmiot, zawarcie i czas trwania
- Administrator powierza Procesorowi przetwarzanie danych osobowych w związku z korzystaniem z Usługi Physys.
- Umowa zostaje zawarta w formie elektronicznej z chwilą jej akceptacji przez Administratora w Usłudze (przy zakładaniu konta gabinetu lub przy pierwszym logowaniu po udostępnieniu umowy). Aktualna treść umowy jest dostępna w Usłudze.
- Czas trwania: na czas obowiązywania umowy o świadczenie Usługi.
§2 Charakter i cel przetwarzania
- Przechowywanie, organizowanie, modyfikowanie, udostępnianie (w zakresie funkcji Usługi), usuwanie.
- Cel: świadczenie Usługi SaaS dla gabinetu (harmonogram, dokumentacja, moduł AI).
§3 Rodzaj danych i kategorie osób:
- Dane pacjentów: imię i nazwisko, PESEL albo numer dokumentu tożsamości, data urodzenia, adres, dane kontaktowe, terminy i daty wizyt, opis przebiegu wizyty, diagnoza fizjoterapeutyczna, skala bólu, notatki z leczenia, nagrania głosowe i zdjęcia dokumentów, zgody wraz z datą i adresem IP, dane dotyczące zdrowia (art. 9 ust. 1 RODO).
- Dane osób upoważnionych przez pacjenta: imię i nazwisko, telefon, zakres upoważnienia.
- Dane personelu gabinetu (Użytkowników): imię, nazwisko, e-mail, telefon, dane logowania, historia dostępu do kart pacjentów.
- Kategorie osób: pacjenci gabinetu, osoby upoważnione przez pacjentów, osoby upoważnione przez Administratora do korzystania z Usługi.
§4 Obowiązki Procesora (zgodnie z art. 28 ust. 3 RODO):
- Przetwarza dane wyłącznie na udokumentowane polecenie Administratora, także w zakresie przekazywania danych do państwa trzeciego.
- Niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych.
- Zapewnia poufność osób mających dostęp do danych.
- Wdraża środki techniczne i organizacyjne zgodnie z art. 32 RODO, opisane w Załączniku 2.
- Podwykonawcy: Administrator udziela ogólnej zgody na korzystanie z podwykonawców wymienionych w Załączniku 1. Procesor nakłada na każdego podwykonawcę, w drodze umowy, te same obowiązki ochrony danych, które wynikają z niniejszej umowy (art. 28 ust. 4 RODO), i odpowiada wobec Administratora za ich wykonanie. Zmiana podwykonawcy wymaga uprzedniej informacji Administratorowi (z możliwością sprzeciwu w terminie 14 dni). Lista podwykonawców: Hetzner, Cloudflare R2, Lettermint, SMSAPI, Polar, Mistral AI, Sentry.
- Przekazywanie poza EOG: dane pacjentów są przetwarzane wyłącznie w Europejskim Obszarze Gospodarczym. Przekazanie danych poza EOG (dotyczy wyłącznie danych rozliczeniowych gabinetu przekazywanych Polar) odbywa się na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO) lub decyzji stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework, art. 45 RODO), jeżeli odbiorca jest nią objęty.
- Pomoc Administratorowi w realizacji praw osób (dostęp, usunięcie itp.) — w zakresie, w jakim to możliwe technicznie.
- Zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, i pomaga w zgłoszeniu do PUODO oraz zawiadomieniu osób, których dane dotyczą.
- Po zakończeniu: usunięcie lub zwrócenie danych według wyboru Administratora, usunięcie kopii zapasowych w terminie do 13 miesięcy, chyba że prawo nakazuje dłuższe przechowywanie.
- Udostępnianie informacji niezbędnych do wykazania zgodności; umożliwienie audytu (z rozsądnym wyprzedzeniem i bez zakłócania działania Usługi).
- Procesor zapewnia, że w procesie usuwania konta lub danych w interfejsie użytkownika zostanie wyświetlone wyraźne przypomnienie, informujące Administratora o konieczności samodzielnego eksportu dokumentacji medycznej, której przechowywanie jest wymagane przez przepisy prawa, przed usunięciem danych.
§5 Obowiązki Administratora:
- Zapewnia, że posiada podstawę prawną do przetwarzania danych pacjentów.
- Wydaje polecenia dotyczące przetwarzania w formie pisemnej lub e-mailowej. Poleceniem są także czynności wykonane przez Administratora lub upoważnione przez niego osoby w Usłudze (np. wprowadzenie, eksport lub usunięcie danych pacjenta).
- Odpowiada za treść danych wprowadzanych do Usługi.
§6 Odpowiedzialność:
- Kluczowe: Procesor nie odpowiada za treść dokumentacji medycznej ani za decyzje kliniczne podejmowane przez Administratora. Moduł AI generuje sugestie, które Administrator musi zweryfikować.
§7 Rozwiązanie:
- Umowa rozwiązuje się wraz z umową o świadczenie Usługi.
- Po rozwiązaniu: procedura usunięcia/eksportu danych.
Załącznik 1: Lista podwykonawców
| Podwykonawca | Zakres | Lokalizacja |
|---|---|---|
| Hetzner | Hosting aplikacji i bazy danych | Niemcy (UE) |
| Cloudflare R2 | Kopie zapasowe, przechowywanie nagrań głosowych i zdjęć | UE |
| Lettermint | E-maile transakcyjne | Holandia (UE) |
| SMSAPI | SMS | Polska (UE) |
| Polar | Płatności i faktury — wyłącznie dane rozliczeniowe gabinetu, bez danych pacjentów | Stany Zjednoczone (SCC, zob. §4) |
| Mistral AI | Przetwarzanie AI (moduł wspomagania dokumentacji) | Francja (UE) |
| Sentry | Monitoring błędów (bez danych pacjentów) | UE |
Załącznik 2: Środki bezpieczeństwa
- Szyfrowanie połączeń (TLS) między przeglądarką a Usługą.
- Kopie zapasowe bazy danych wykonywane codziennie, szyfrowane przed wysłaniem (age) i przechowywane w Cloudflare R2 w UE; kopie dzienne przez 35 dni, miesięczne przez 13 miesięcy.
- Nagrania i zdjęcia przechowywane w Cloudflare R2 w UE, szyfrowane w spoczynku przez dostawcę.
- Aplikacja na urządzeniu Użytkownika przechowuje w pamięci przeglądarki, wyłącznie na potrzeby pracy bez dostępu do internetu: imiona i nazwiska najwyżej 20 pacjentów (z bieżącego dnia, ostatnich wizyt i ostatnio zmienianych kart; bez danych medycznych) oraz nagrania i zdjęcia, których nie udało się jeszcze wysłać. Lista pacjentów przestaje być używana po 48 godzinach, nagranie jest usuwane z urządzenia po wysłaniu, a wszystkie te dane — przy wylogowaniu. Zabezpieczenie urządzenia (blokada ekranu, szyfrowanie pamięci) należy do Administratora.
- Kontrola dostępu oparta na rolach (właściciel, administrator, terapeuta, recepcja); recepcja nie ma dostępu do dokumentacji medycznej.
- Hasła o długości co najmniej 10 znaków, przechowywane wyłącznie w postaci skrótu; wymagane potwierdzenie adresu e-mail; ograniczenie liczby prób dla formularzy publicznych.
- Rejestrowanie zdarzeń: historia dostępu do kart pacjentów i dokumentacji wizyt, historia korekt dokumentacji, historia zgód, rejestr trwałych usunięć pacjentów.
- Monitoring błędów bez danych osobowych pacjentów.