Umowa powierzenia przetwarzania danych

§1. Zawarcie i przedmiot

1. Umowa Powierzenia zostaje zawarta w formie elektronicznej (art. 28 ust. 9 RODO) przez jej akceptację przez Administratora w kreatorze konfiguracji Konta albo przy przyjęciu zaproszenia do Konta w roli terapeuty. Podmiot Przetwarzający utrwala fakt akceptacji wraz z wersją dokumentu, datą i godziną.
2. Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych w zakresie i celu określonym w Umowie Powierzenia, a Podmiot Przetwarzający zobowiązuje się przetwarzać je zgodnie z prawem i Umową Powierzenia.
3. Umowa Powierzenia jest nieodpłatna; wynagrodzenie Podmiotu Przetwarzającego obejmują opłaty z Regulaminu.

§2. Charakter, cel i czas przetwarzania

1. Charakter przetwarzania: przechowywanie, organizowanie, porządkowanie, wyświetlanie, przesyłanie (w tym wysyłka wiadomości e-mail i SMS w imieniu Administratora, przesyłanie faktur do KSeF), szyfrowanie, tworzenie kopii zapasowych, eksport, anonimizacja i usuwanie — wykonywane w sposób zautomatyzowany w Aplikacji.
2. Cel przetwarzania: wyłącznie świadczenie Usługi na rzecz Administratora zgodnie z Regulaminem, w szczególności prowadzenie kalendarza i rezerwacji, kart Pacjentów, notatek, pracy między sesjami, dokumentów i zgód, przypomnień, sesji wideo, płatności i faktur Administratora.
3. Czas przetwarzania: przez czas obowiązywania Umowy oraz przez okres niezbędny do usunięcia lub zwrotu danych zgodnie z §11.

§3. Kategorie osób i danych

1. Kategorie osób, których dane dotyczą:
   1. Pacjenci Administratora i osoby umawiające wizyty (w tym bez zakładania konta),
   2. osoby kontaktowe nabywców faktur wystawianych przez Administratora,
   3. Członkowie Zespołu Administratora — w zakresie, w jakim ich dane są przetwarzane w związku z obsługą Pacjentów,
   4. osoby kierujące do Administratora zapytania przez Stronę Gabinetu.
2. Kategorie danych zwykłych: imię i nazwisko, adres e-mail, numer telefonu, data urodzenia (jeżeli wprowadzona), adres i NIP nabywcy faktury, terminy i historia wizyt, dane płatności i zwrotów (bez pełnych danych kart), treść zapytań, identyfikatory techniczne, adres IP i dane urządzenia w zakresie zapisów zgód, dane połączeń sesji wideo (zdarzenia techniczne).
3. Szczególne kategorie danych (art. 9 ust. 1 RODO) — dane dotyczące zdrowia, w tym:
   1. sam fakt korzystania przez Pacjenta z pomocy psychologicznej lub psychoterapeutycznej oraz historia wizyt,
   2. notatki z sesji,
   3. zadania i wpisy w module pracy między sesjami (w tym wpisy dziennika tworzone przez Pacjenta),
   4. dokumenty, zgody i oświadczenia Pacjentów oraz zaświadczenia o obecności,
   5. wiadomości czatu w pokoju sesji wideo — przechowywane wyłącznie w czasie wizyty i usuwane po jej zakończeniu (ust. 4),
   6. materiały udostępnione Pacjentowi.
4. Podmiot Przetwarzający nie nagrywa sesji wideo. Obraz i dźwięk są przesyłane bezpośrednio między przeglądarkami uczestników, a w razie potrzeby — przez serwer pośredniczący (TURN) w postaci zaszyfrowanej, bez zapisu obrazu i dźwięku. Wiadomości czatu w pokoju sesji wideo są przechowywane w postaci zaszyfrowanej (§5 ust. 1 pkt 2) wyłącznie na potrzeby trwającej wizyty i są trwale usuwane po jej zakończeniu, to jest po oznaczeniu wizyty jako zakończonej albo odwołanej, a jeżeli wizyta nie zostanie tak oznaczona — po upływie 60 minut od planowanego zakończenia wizyty albo, gdy pokój pozostaje dostępny dla spóźnionego uczestnika dłużej, po upływie 30 minut od zamknięcia pokoju. Usunięcia dokonuje cykliczny proces uruchamiany co 10 minut. W kopiach zapasowych bazy danych wiadomości są usuwane w trybie §11 ust. 2 pkt 3. Funkcja czatu nie służy do prowadzenia dokumentacji; Administrator, który chce zachować treść wiadomości, utrwala ją w notatce przed zakończeniem wizyty. Akceptując Umowę Powierzenia, Administrator poleca usuwanie wiadomości czatu w sposób określony w zdaniach poprzedzających.

§4. Obowiązki Podmiotu Przetwarzającego

1. Podmiot Przetwarzający:
   1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniem są Regulamin, Umowa Powierzenia oraz działania Administratora i jego Użytkowników w Aplikacji; jeżeli obowiązek przetwarzania wynika z prawa Unii lub prawa polskiego, Podmiot Przetwarzający informuje o nim Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania,
   2. niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych,
   3. dopuszcza do danych wyłącznie osoby upoważnione, zobowiązane do zachowania poufności, także po ustaniu zatrudnienia lub współpracy, i tylko w zakresie niezbędnym do świadczenia Usługi, usuwania Awarii lub realizacji obowiązków prawnych,
   4. stosuje środki, o których mowa w §5,
   5. przestrzega warunków korzystania z usług dalszych podmiotów przetwarzających (§7),
   6. biorąc pod uwagę charakter przetwarzania, pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO), w szczególności przez udostępnienie w Aplikacji funkcji eksportu, sprostowania i usunięcia danych Pacjenta; żądanie skierowane bezpośrednio do Podmiotu Przetwarzającego przekazuje Administratorowi bez zbędnej zwłoki i nie odpowiada na nie samodzielnie,
   7. uwzględniając charakter przetwarzania i dostępne mu informacje, pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO, w tym przy ocenie skutków dla ochrony danych (DPIA) i uprzednich konsultacjach, przez udostępnienie opisu środków bezpieczeństwa, listy dalszych podmiotów przetwarzających i informacji o przepływie danych,
   8. prowadzi rejestr kategorii czynności przetwarzania (art. 30 ust. 2 RODO),
   9. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia audyty zgodnie z §9,
   10. udostępnia w Aplikacji, w imieniu Administratora, Pacjentom i osobom umawiającym wizyty informację o przetwarzaniu ich danych osobowych (art. 13 RODO) — „Informację o przetwarzaniu danych pacjentów”, dostępną pod adresem https://visavi.pl/przetwarzanie-danych-pacjentow i wskazywaną przy rezerwacji wizyty i zakładaniu konta Pacjenta.
2. Podmiot Przetwarzający nie wykorzystuje powierzonych danych do własnych celów, w tym marketingowych lub do trenowania modeli sztucznej inteligencji, i nie sprzedaje ich. Tworzenie danych zanonimizowanych, o których mowa w §7 ust. 5 Regulaminu, nie obejmuje danych szczególnych kategorii.
3. Informacja, o której mowa w ust. 1 pkt 10, jest przekazywana w imieniu Administratora i na jego polecenie, wyrażone przez akceptację Umowy Powierzenia. Administrator zapoznaje się z jej treścią pod adresem wskazanym w ust. 1 pkt 10, odpowiada za jej zgodność z przetwarzaniem prowadzonym w swojej praktyce (w szczególności co do podstawy przetwarzania danych o zdrowiu i okresu przechowywania dokumentacji) i może przekazać Pacjentom informację uzupełniającą, w tym z użyciem wzorów dokumentów udostępnianych w Aplikacji. O zmianie treści informacji Podmiot Przetwarzający zawiadamia Administratora e-mailem przed jej wprowadzeniem, chyba że zmiana jest wyłącznie redakcyjna.

§5. Środki bezpieczeństwa (art. 32 RODO)

Uwzględniając przetwarzanie danych szczególnych kategorii, Podmiot Przetwarzający stosuje co najmniej następujące środki techniczne i organizacyjne:

1. Szyfrowanie:
   1. transmisja danych wyłącznie szyfrowana (HTTPS/TLS; sesje wideo — szyfrowanie DTLS-SRTP wymagane przez standard WebRTC),
   2. notatki z sesji, treści modułu pracy między sesjami (zadania i wpisy dziennika), wiadomości czatu w pokoju sesji wideo oraz tokeny integracji z kalendarzami zewnętrznymi są szyfrowane w spoczynku na poziomie aplikacji algorytmem AES-256-GCM,
   3. pliki przechowywane w Amazon S3 są szyfrowane w spoczynku przez dostawcę.
2. Kontrola dostępu:
   1. hasła przechowywane wyłącznie w postaci skrótu bcrypt,
   2. blokada konta po 5 nieudanych próbach logowania na 15 minut, limity liczby żądań dla operacji uwierzytelniania,
   3. krótkotrwałe tokeny dostępowe (15 minut) i rotowane tokeny odświeżające (7 dni) w plikach cookies niedostępnych dla skryptów (HttpOnly), z wykrywaniem ponownego użycia tokenu,
   4. separacja danych poszczególnych Klientów (każdy rekord przypisany do Konta, zapytania ograniczone do Konta),
   5. w Planie Centrum — rozdzielenie ról: karta Pacjenta i notatki dostępne wyłącznie terapeucie prowadzącemu; recepcja bez dostępu do notatek,
   6. dostęp administracyjny do infrastruktury wyłącznie dla osób upoważnionych,
   7. osobna rola bazodanowa tylko do odczytu, bez dostępu do danych osobowych, dla monitoringu operacyjnego.
3. Minimalizacja i rozliczalność:
   1. dzienniki systemowe nie zawierają haseł, tokenów, treści notatek ani pełnych numerów telefonów; dane osobowe w logach są maskowane,
   2. wpisy w kalendarzu Google tworzone przez Aplikację nie zawierają danych Pacjenta,
   3. zdarzenia istotne dla zgodności (m.in. eksport danych, usunięcie danych, akceptacja zgód) są zapisywane w dzienniku zdarzeń w bazie danych,
   4. dokumenty potwierdzające akceptację dokumentów przez Pacjentów i dowody wysyłki faktur do KSeF są przechowywane w magazynie z blokadą modyfikacji i usunięcia na czas przechowywania.
4. Dostępność i odporność: kopie zapasowe bazy danych wykonywane przez dostawcę hostingu, monitorowanie dostępności i inwariantów danych z alertami, procedura reagowania na incydenty.
5. Lokalizacja: dane przechowywane są w centrach danych na terytorium Europejskiego Obszaru Gospodarczego, z zastrzeżeniem §8.
6. Testowanie: regularne testy automatyczne, przegląd zmian przed wdrożeniem, środowisko testowe bez danych produkcyjnych.
7. Podmiot Przetwarzający może zmieniać środki bezpieczeństwa, pod warunkiem że nie obniży to poziomu ochrony.
8. Administrator odpowiada za bezpieczeństwo po swojej stronie, w szczególności za urządzenia i hasła Użytkowników, nadawanie dostępu Członkom Zespołu oraz za niewpisywanie danych o zdrowiu do pól nieszyfrowanych (§8 ust. 1 pkt 5 Regulaminu).

§6. Naruszenia ochrony danych

1. Podmiot Przetwarzający zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, e-mailem na adres Konta oraz komunikatem w Aplikacji.
2. Zgłoszenie zawiera, w miarę dostępności, informacje wymienione w art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje, zastosowane i proponowane środki, dane kontaktowe. Informacje niedostępne w chwili zgłoszenia Podmiot Przetwarzający przekazuje etapami, bez zbędnej zwłoki.
3. Podmiot Przetwarzający dokumentuje naruszenia, współpracuje z Administratorem przy ich wyjaśnieniu i ograniczeniu skutków oraz — na polecenie Administratora — przy zawiadamianiu osób, których dane dotyczą. Podmiot Przetwarzający nie zawiadamia organu nadzorczego ani osób, których dane dotyczą, w imieniu Administratora, chyba że Administrator tego zażąda lub wymaga tego prawo.

§7. Dalsze podmioty przetwarzające

1. Administrator udziela Podmiotowi Przetwarzającemu ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających. Aktualna lista stanowi Wykaz nr 1 do Umowy Powierzenia i jest dostępna pod adresem https://visavi.pl/umowa-powierzenia#podprocesorzy.
2. O zamierzonym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego Podmiot Przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej.
3. Administrator może w tym terminie zgłosić sprzeciw z uzasadnieniem dotyczącym ochrony danych. Strony podejmą w dobrej wierze próbę rozwiązania problemu. Jeżeli nie jest to możliwe, Administrator może wypowiedzieć Umowę ze skutkiem na dzień przed wprowadzeniem zmiany i otrzymać zwrot opłaty za niewykorzystaną część Okresu Rozliczeniowego. Brak sprzeciwu oznacza zgodę.
4. W sytuacji nagłej, gdy zmiana jest niezbędna dla zapewnienia ciągłości lub bezpieczeństwa Usługi, Podmiot Przetwarzający może dokonać zmiany niezwłocznie, informując Administratora z podaniem przyczyny; uprawnienie z ust. 3 stosuje się odpowiednio.
5. Podmiot Przetwarzający nakłada na dalsze podmioty przetwarzające, w drodze umowy, obowiązki ochrony danych zapewniające poziom ochrony nie niższy niż w Umowie Powierzenia i odpowiada wobec Administratora za ich wykonanie.

Wykaz nr 1 — dalsze podmioty przetwarzające

Nie są dalszymi podmiotami przetwarzającymi: Stripe — przedpłaty Pacjentów trafiają bezpośrednio na konto Administratora u Stripe na podstawie umowy, którą Administrator zawiera ze Stripe; Podmiot Przetwarzający przekazuje do Stripe na polecenie Administratora wyłącznie adres e-mail Pacjenta, nazwę usługi, termin i identyfikatory techniczne rezerwacji; Ministerstwo Finansów (KSeF i wykaz podatników VAT) — odbiorca danych na podstawie przepisów prawa, któremu Podmiot Przetwarzający przesyła faktury na polecenie Administratora; dostawcy usług powiadomień przeglądarkowych (Web Push) — w zakresie, w jakim Użytkownik sam włączył powiadomienia. Kanał alertów operacyjnych (Discord) nie otrzymuje danych osobowych: alerty zawierają wyłącznie liczby, statusy, daty i identyfikatory techniczne, a pola przepuszcza lista dozwolonych wartości.

§8. Przekazywanie danych poza EOG

1. Podmiot Przetwarzający przekazuje dane do państwa trzeciego wyłącznie, gdy zapewniona jest jedna z podstaw z rozdziału V RODO: decyzja Komisji stwierdzająca odpowiedni stopień ochrony (w tym w ramach EU-US Data Privacy Framework dla podmiotów certyfikowanych) albo standardowe klauzule umowne przyjęte przez Komisję, wraz z dodatkowymi środkami, jeżeli są wymagane.
2. Dane szczególnych kategorii w spoczynku (baza danych i pliki) przechowywane są na terytorium EOG. Transfer może dotyczyć dostępu technicznego dostawców z siedzibą poza EOG, danych technicznych (adresów IP) przy serwowaniu interfejsu oraz — przy sesjach wideo — danych technicznych połączenia i zaszyfrowanego strumienia obrazu i dźwięku, który może przechodzić przez centra danych dostawcy serwerów STUN i TURN poza EOG.

§9. Audyty

1. Administrator może sprawdzić przestrzeganie Umowy Powierzenia przez:
   1. skierowanie pisemnych pytań — Podmiot Przetwarzający odpowiada w terminie 14 dni,
   2. audyt dokumentacji lub audyt w miejscu przetwarzania, przeprowadzany przez Administratora albo niezależnego audytora związanego obowiązkiem poufności.
2. Audyt, o którym mowa w ust. 1 pkt 2, może odbyć się nie częściej niż raz na 12 miesięcy, po zawiadomieniu z wyprzedzeniem co najmniej 30 dni, w Dni Robocze w godzinach 9:00–17:00, bez zakłócania świadczenia Usługi innym Klientom i bez dostępu do danych innych Klientów. Ograniczenia częstotliwości i wyprzedzenia nie stosuje się, jeżeli audyt jest uzasadniony naruszeniem ochrony danych albo żądaniem organu nadzorczego.
3. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie Umowy Powierzenia przez Podmiot Przetwarzający.
4. Podmiot Przetwarzający może spełnić obowiązek z ust. 1 przez udostępnienie aktualnych certyfikatów lub raportów z audytów dalszych podmiotów przetwarzających oraz dokumentacji własnych środków bezpieczeństwa.

§10. Odpowiedzialność

1. Każda ze Stron odpowiada za szkody wyrządzone naruszeniem Umowy Powierzenia lub RODO na zasadach art. 82 RODO.
2. [B2B] — w stosunkach między Stronami, w tym w zakresie roszczeń regresowych Administratora (art. 82 ust. 5 RODO), odpowiedzialność Podmiotu Przetwarzającego jest ograniczona zgodnie z §9 ust. 3 Regulaminu; limit odpowiedzialności z Umowy Powierzenia i z Regulaminu jest wspólny. Ograniczenie nie dotyczy szkody wyrządzonej umyślnie ani odpowiedzialności wobec osób, których dane dotyczą, i organów nadzorczych.
3. [KONSUMENT] / [JDG-K] — odpowiedzialność Podmiotu Przetwarzającego nie jest ograniczona.

§11. Zakończenie powierzenia. Zwrot i usunięcie danych

1. Przed zakończeniem Umowy Administrator może wyeksportować dane zgodnie z §13 ust. 7 Regulaminu; eksport stanowi zwrot danych.
2. Po zakończeniu Umowy Podmiot Przetwarzający usuwa powierzone dane:
   1. przy usunięciu Konta przez Administratora — niezwłocznie: notatki, praca między sesjami, materiały i pliki są usuwane, a dane identyfikujące Pacjentów anonimizowane,
   2. przy rozwiązaniu Umowy przez Podmiot Przetwarzający — po upływie 30-dniowego okresu eksportu,
   3. w kopiach zapasowych — w drodze ich nadpisania w cyklu przechowywania kopii u dostawcy hostingu,
   4. przy rozwiązaniu Umowy z upływem okresu wstrzymania Konta (§6.9 Regulaminu) — w dniu rozwiązania; okres wstrzymania jest okresem eksportu.
   2a. Niezależnie od ust. 2 Podmiot Przetwarzający, na udokumentowane polecenie Administratora zawarte w §3 ust. 7 pkt 5 i §13 ust. 4 pkt 5 Regulaminu, przetwarza po usunięciu Konta dane płatności, zwrotów i sporów dotyczących płatności dokonanych na konto Administratora u Operatora Płatności — w zakresie niezbędnym do zlecenia zwrotów należnych Pacjentom oraz do pobierania informacji o stanie tych zwrotów i o tych sporach — nie dłużej niż 180 dni od dnia usunięcia Konta. Po upływie tego terminu Podmiot Przetwarzający usuwa powiązanie konta Administratora u Operatora Płatności z Kontem i nie przetwarza tych danych na polecenie Administratora. Przechowuje wyłącznie, jako odrębny administrator, w celu wykazania należytego wykonania poleceń Administratora oraz ustalenia, dochodzenia i obrony roszczeń:

   1. dziennik zdarzeń płatności, zwrotów i sporów (identyfikatory techniczne, kwoty, daty i statusy) — przez 6 lat od końca roku kalendarzowego, w którym zdarzenie nastąpiło,
   2. identyfikator konta Administratora u Operatora Płatności — przez 6 lat od końca roku kalendarzowego, w którym upłynęło 180 dni od usunięcia Konta.

   Dane, o których mowa w pkt 1 i 2, nie obejmują danych kontaktowych Pacjentów. Zasady ich przetwarzania określa Polityka prywatności.
3. Podmiot Przetwarzający nie usuwa danych, których przechowywanie jest wymagane przepisami prawa — w szczególności faktur (także przesłanych do KSeF) i dokumentów rozliczeniowych, przechowywanych co najmniej do upływu terminu przedawnienia zobowiązania podatkowego, oraz dowodów akceptacji dokumentów objętych blokadą usunięcia do końca okresu blokady. Dane te są przechowywane bez powiązania z tożsamością Pacjenta, o ile przepisy na to pozwalają.
4. Na żądanie Administratora Podmiot Przetwarzający potwierdza usunięcie danych w formie dokumentowej.

§12. Postanowienia końcowe

1. Umowa Powierzenia obowiązuje przez czas obowiązywania Umowy.
2. W sprawach nieuregulowanych stosuje się Regulamin oraz RODO. W razie sprzeczności między Regulaminem a Umową Powierzenia w zakresie ochrony danych osobowych pierwszeństwo ma Umowa Powierzenia.
3. Zmiany Umowy Powierzenia następują w trybie §15 Regulaminu, a zmiany Wykazu nr 1 — w trybie §7.