Definicije
U nastavku su objašnjeni osnovni pojmovi koji se koriste u ovom pravilniku. Kako bismo olakšali razumijevanje, svaki pojam pratimo praktičnim primjerom vezanim uz usluge rehabilitacije i wellnessa za starije.
Prikupljanje podataka
Prikupljamo podatke koji su potrebni za sigurno i učinkovito pružanje naših programa. U objašnjenjima koristimo praktične slučajeve: prijava na program, izrada individualnog rehabilitacijskog plana, plaćanje i komunikacija o promjenama termina.
Podaci koje korisnik dostavlja
Korisnici izravno dostavljaju podatke prilikom prijave, procjene i komunikacije. U primjeru procjene: fizioterapeut traži podatke o zdravstvenoj povijesti kako bi prilagodio vježbe.
- Osnovni identifikacijski podaci: ime i prezime, datum rođenja, adresa, kontakt telefon i e‑mail.
- Zdravstveni podaci potrebni za terapiju: medicinska dijagnoza, alergije, popis lijekova, rezultati fizičkih testova (obrađujemo ih uz izričit pristanak kada je to potrebno).
- Podaci o osiguranju i plaćanju: broj police (ako postoji), informacije potrebne za račun ili uplatnicu, te podaci za naplatu usluga.
- Podaci kontakt osobe za hitne slučajeve i napomene o specifičnim potrebama ili ograničenjima tijekom tretmana.
- Preferencije komunikacije: privole za marketing, preferirani kanal obavještavanja (telefon, SMS, e‑mail) i raspored termina.
- Povratne informacije i evaluacije programa koje korisnici dostavljaju radi unaprjeđenja usluge (mogu biti anonimizirane za analize).
Podaci prikupljeni automatski
Dio podataka prikuplja se automatski prilikom korištenja web‑stranice ili digitalnih alata. U scenariju: analiza posjećenosti stranica radi poboljšanja korisničkog putovanja pri prijavi na program.
- IP adresa, tip uređaja i informacije o pregledniku radi dijagnostike i sigurnosti.
- Podaci o korištenju web‑stranice: posjećene stranice, trajanje sesije i putanja navigacije za optimizaciju procesa prijave.
- Podaci koje generiraju kolačići i slične tehnologije za pamćenje postavki korisnika.
- Podaci o pogreškama i rušenjima sustava radi tehničke podrške i poboljšanja aplikacije.
- Anonimizirani podaci za statističke analize učinka programa i zadovoljstva korisnika.
- Približna lokacija uređaja kada je potrebna za hitne obavijesti ili zakazivanje dolaska terapeuta (ograničeno i uz suglasnost).
Podaci od trećih strana
Ponekad primamo podatke od partnera uz pristanak korisnika ili kad je to nužno za pružanje usluge. Evo praktičnih primjera kako i kada dijelimo ili primamo podatke.
- Zdravstveni stručnjaci i ustanove koje upućuju korisnike: medicinski izvještaji i laboratorijski nalazi potrebni za planiranje rehabilitacije (s dopuštenjem korisnika).
- Pružatelji platnih usluga koji obrađuju uplate i izdaju račune (ograničeno na podatke potrebne za transakciju).
- Analitički i tehnološki partneri (npr. hosting ili sigurnosni alati) koji nam pomažu u održavanju usluge i anonimnom praćenju performansi.
Svrhe obrade podataka
Podatke obrađujemo isključivo radi jasno navedenih svrha. U svakom primjeru jasno navodimo pravni temelj i konkretan scenarij obrade.
- Pružanje i upravljanje rehabilitacijskim i wellness programima, uključujući izradu individualnih planova terapije.
- Komunikacija s korisnicima o terminima, promjenama u programu i sigurnosnim obavijestima vezanim uz terapeutske aktivnosti.
- Obrada plaćanja i izdavanje računa za usluge CareHmaxRest.
- Poboljšanje kvalitete usluge kroz anonimizirane analize učinkovitosti programa i povratnih informacija korisnika.
- Zadovoljavanje zakonskih obveza i suradnja s nadležnim tijelima u slučaju pravnih zahtjeva.
- Osiguranje sigurnosti korisnika kroz razmjenu ključnih podataka s hitnim službama u stvarnim situacijama opasnosti (sukladno zakonu i praksi).
- Istraživanje i razvoj novih programa uz prethodno izričitu privolu sudionika za korištenje njihovih podataka u anonimiziranom obliku.
- Slanje informativnih obavijesti i opcionalnih promotivnih materijala kad korisnik daje privolu; alati za prilagodbu sadržaja prema preferencijama.
Pravni temelji obrade
Obrade podataka temeljimo na propisanim pravnim osnovama. U opisu svake svrhe navodimo koji je pravni temelj primjenjiv u realnom scenariju.
- Sukladnost s ugovorom: obrada neophodna za ispunjenje ugovornih obveza, npr. pružanje terapije i zakazivanje termina.
- Privola: posebno za obradu osjetljivih zdravstvenih podataka ili za marketinške komunikacije kada korisnik izričito pristane.
- Pravna obveza: čuvanje podataka i izdavanje računa u skladu s poreznim i drugim propisima.
- Legitimni interes: u svrhu sprječavanja prijevara, osiguravanja sigurnosti korisnika i tehničkog održavanja sustava, uz procjenu ravnoteže prava korisnika.
Prava prema Općoj uredbi o zaštiti podataka (GDPR)
Korisnici imaju prava predviđena GDPR‑om. Donosimo praktične upute kako ih ostvariti na primjerima kao što su ispravak netočnih podataka u zdravstvenom kartonu ili zahtjev za kopijom podataka.
- Pravo na pristup: korisnik može zatražiti potvrdu obrađuju li se njegovi podaci i kopiju obrađenih podataka.
- Pravo na ispravak: zahtjev za ispravkom netočnih ili nepotpunih podataka, npr. korekcija podataka o alergijama.
- Pravo na izbrisu (pravo na zaborav): u određenim situacijama korisnik može tražiti brisanje podataka, uz obveze zadržavanja propisane zakonima.
- Pravo na ograničenje obrade: korisnik može zatražiti ograničenje obrade dok se, primjerice, ne riješi spor oko točnosti podataka.
- Pravo na prenosivost podataka: kada je obrada temeljena na pristanku ili ugovoru, korisnik može zatražiti prijenos podataka drugom pružatelju usluge.
- Pravo na prigovor: korisnik može prigovoriti obradi podataka temeljenoj na legitimnom interesu ili za izravni marketing.
Kolačići (cookies)
Kolačiće koristimo za osnovno funkcioniranje stranice i za poboljšanje korisničkog iskustva. U praksi: kolačić za pamćenje odabira termina ili za pohranu postavki pristupačnosti.
Koristimo sesijske kolačiće (privremeni), trajne kolačiće (za pamćenje preferencija) i kolačiće trećih strana za analitiku i izvedbu.
Kategorije: nužni kolačići (funkcionalnost stranice), analitički (poboljšanje usluge), funkcionalni (personalizacija) i ciljane/marketinške (sa suglasnošću).
Korisnik može upravljati kolačićima putem postavki preglednika ili putem postavki na stranici. Isključivanje nekih kolačića može ograničiti funkcionalnost prijave i personaliziranih sadržaja.
Detaljan pregled kolačića dostupan je na CareHmaxRest.info/politika-kolacica
Dijeljenje podataka
Dijelimo podatke isključivo s partnerima koji podržavaju pružanje usluge ili su zakonski nadležni. Za svako dijeljenje navodimo svrhu i pravni temelj te koristimo primjer scenarija.
- Zdravstveni partneri i specijalisti radi koordinacije terapije, uz izričit pristanak korisnika ili u skladu sa zakonom.
- Pružatelji platnih usluga radi obrade plaćanja i izdavanja računa.
- Tehnološki i hosting partneri koji omogućuju rad platforme i pohranu podataka uz primjenjive tehničke mjere zaštite.
- Hitne službe i nadležna tijela u situacijama kada je prijenos podataka nužan radi zaštite života ili ispunjenja zakonskih obveza.
- Istraživačke organizacije samo s prethodnom privolom korisnika i u obliku koji onemogućuje identifikaciju pojedinaca.
- Savjetodavne službe i administrativni partneri uključeni u upravljanje terminima i korisničkom podrškom.
Međunarodni transferi podataka
Podaci se ponekad prenose izvan Europske unije, npr. kada koristimo hosting ili alate trećih strana. Takvi transferi provode se samo uz odgovarajuće mjere zaštite i pravne osnove.
Zaštitne mjere uključuju ugovorne zaštite poput standardnih ugovornih klauzula EU, odluke o odgovarajućoj razini zaštite i tehničke mjere poput enkripcije podataka u prijenosu i mirovanju.
Čuvanje podataka
Podaci se čuvaju samo onoliko dugo koliko je nužno za ostvarenje svrhe obrade, uzimajući u obzir zakonske obveze i legitimne poslovne potrebe. Donosimo primjere zadržavanja za uobičajene situacije.
Podaci računa: zadržavamo podatke aktivnih korisnika tijekom trajanja suradnje. Nakon prestanka korištenja, podaci se zadržavaju u svrhu računovodstvenih i zakonskih obveza do 5 godina, osim ako korisnik zatraži brisanje i ne postoje zakonske prepreke.
Poruke i komunikacija: e‑mailovi i poruke čuvaju se razumno kako bi se omogućila povijest komunikacije o dogovorenim terapijama i uplatama, obično do 2 godine osim ako nije drugačije potrebno.
Sistemski logovi i zapisi pristupa: čuvaju se vremenski ograničeno radi sigurnosti i otkrivanja prijevara, obično do 1 godine uz anonimizaciju gdje je moguće.
Brisanje i anonimizacija: na zahtjev korisnika podaci se brišu osim onih potrebnih za ispunjavanje zakonskih obveza; podaci za analize mogu biti anonimizirani i zadržani dulje bez mogućnosti identifikacije pojedinca.
Sigurnost podataka
Primjenjujemo tehničke i organizacijske mjere za zaštitu podataka. U praksi to znači šifriranje osjetljivih podataka, kontrolu pristupa osoblju te redovite provjere i testiranja. Primjer scenarija: u slučaju pokušaja neautoriziranog pristupa aktivira se procedura provjere i obavijesti nadležnih tijela.
- Šifriranje podataka u prijenosu (TLS) i enkripcija osjetljivih podataka u pohrani.
- Kontrole pristupa temeljene na principu najmanjih ovlasti i dvofaktorska autentifikacija za osoblje s pristupom zdravstvenim podacima.
- Redoviti auditi, sigurnosni testovi i planovi za oporavak nakon incidenta kako bismo smanjili utjecaj eventualnih povreda podataka.
Prava korisnika i postupak
Korisnici mogu ostvariti svoja prava slanjem zahtjeva na kontakt ispod. U praksi navodimo primjer: zahtjev za ispravkom netočnog podatka o alergiji ili zahtjev za kopijom podataka za prijenos drugom pružatelju usluga.
- Kako zatražiti pristup: pošaljite pisani zahtjev na adresu ili e‑mail s jasno naznačenim podacima za identifikaciju i opisom traženih podataka.
- Ispravak podataka: navedite koje podatke želite ispraviti i priložite dokumentaciju ako je potrebna (npr. medicinski nalaz).
- Brisanje i ograničenje obrade: navedite razlog i kontekst zahtjeva; analizirat ćemo zahtjev u skladu sa zakonskim obvezama i povratno odgovoriti primjerom postupka.
- Zahtjev za prenosivost: dostavit ćemo podatke u strukturiranom, uobičajeno korištenom i strojno čitljivom obliku kada je to primjenjivo.
- Povlačenje privole: na bilo koji trenutak korisnik može povući privolu za obradu podataka za koje je prethodno dao suglasnost; povlačenje ne utječe na zakonitost obrade prije povlačenja.
- Prigovor i žalba: ako smatrate da su vaša prava povrijeđena, možete podnijeti prigovor CareHmaxRest putem kontakta ispod ili pritužbu nadzornom tijelu za zaštitu podataka u Hrvatskoj.
- Pravo na ostavljanje pritužbe kod nadzornog tijela: Ako smatrate da je obrada vaših osobnih podataka protivna zakonima, možete podnijeti pritužbu nadzornom tijelu u Hrvatskoj.
- Pravo na povlačenje pristanka: Ako ste dali pristanak za obradu podataka (npr. za marketing), imate pravo taj pristanak u bilo kojem trenutku povući za buduću obradu.
Kako ostvariti svoja prava vezana uz podatke
Za ostvarivanje prava na pristup, ispravak, brisanje, ograničenje obrade, prijenos podataka ili prigovor, pošaljite pisani zahtjev na adresu CareHmaxRest ili e‑mailom. U zahtjevu navedite ime, prezime, adresu i opis traženog prava. Primjeri: 1) Zahtjev za kopijom plana rehabilitacije vašeg člana obitelji; 2) Zahtjev za brisanje marketinških kontakata. Za složenije zahtjeve možemo tražiti dodatne informacije radi potvrde identiteta.
Odgovorit ćemo na vaš zahtjev u roku od 30 dana od zaprimanja potpune dokumentacije. Ako je zahtjev složen ili zahtijeva dodatnu provjeru, obavijestit ćemo vas o produljenju roka i razlozima.
Korištenje podataka za marketing
CareHmaxRest može koristiti kontakt podatke za slanje informacija o radionicama, rehabilitacijskim programima i promjenama u uslugama. Marketinške poruke šaljemo samo uz pristanak ili sukladno zakonitoj obradi podataka. Primjer scenarija: obavijest o novoj grupnoj terapiji za poboljšanje ravnoteže koju vodimo u Vukovaru.
Za odjavu s marketinške liste koristite link za odjavu u svakoj poruci ili pošaljite zahtjev na kontakt e‑mail. Praktični slučaj: član obitelji koji želi samo informativne poruke o prehrambenim radionicama može se odjaviti od drugih tipova obavijesti.
Podaci djece i maloljetnika
Naš sadržaj i usluge ciljaju odrasle i starije osobe. Ne prikupljamo namjerno osobne podatke maloljetnika bez suglasnosti roditelja ili skrbnika. Ako dobijemo informaciju da su podaci maloljetne osobe prikupljeni bez odgovarajuće suglasnosti, poduzet ćemo korake za brisanje podataka nakon upravne provjere i komunikacije sa zakonskim zastupnikom.
Poveznice na treće strane
Na stranicama CareHmaxRest mogu se nalaziti poveznice na vanjske usluge, npr. partneri za medicinsku opremu ili lokalne udruge za starije osobe. Ti sadržaji su izvan naše kontrole i podliježu politikama tih pružatelja. Primjer: poveznica na sustav lokalnog Doma zdravlja vodi na stranicu s vlastitim pravilima o privatnosti.
Promjene ove politike privatnosti
CareHmaxRest povremeno ažurira politiku privatnosti radi usklađivanja s propisima i boljim praksama. Svaka bitna promjena će biti objavljena na webu s navedenim datumom izmjene i kratkim opisom promjena. Scenarij primjene: nakon uvođenja novog alata za zakazivanje, objavit ćemo dodatne detalje o prijenosu podataka.