Jelen Adatfeldolgozói szerződés („DPA") a GDPR 28. cikk (3) bekezdése alapján szabályozza a Szolgáltatást igénybe vevő fizioterapeuta („Adatkezelő") és a Bene Miklós e.v. („Adatfeldolgozó") közötti viszonyt a páciensadatok feldolgozásával kapcsolatban. A DPA az ÁSZF elválaszthatatlan részét képezi; az ott definiált fogalmak a DPA-ban is irányadók.
1. Az adatfeldolgozás tárgya és időtartama
Az Adatfeldolgozó az Adatkezelő utasítása alapján a PhysioCare szolgáltatás keretében technikai és szervezési eszközöket biztosít a páciens egészségügyi dokumentációjának tárolásához, kezeléséhez, lekérdezéséhez és a GDPR szerinti érintetti jogok érvényesítéséhez. A jogviszony a szolgáltatási szerződés (ÁSZF) hatályának időtartama alatt, illetve a megszűnést követő, Eüak. szerinti megőrzési idő alatt áll fenn.
2. A feldolgozás jellege és célja
Tárolás, szervezés, lekérdezés, biztonsági mentés, naplózás, az érintetti jogok érvényesítését támogató export és törlés. A feldolgozás célja a páciensek gyógytorna-, fizioterápiás ellátáshoz szükséges egészségügyi dokumentáció vezetése.
3. A feldolgozott személyes adatok típusai
- Páciens neve, születési ideje, neme, lakcíme, telefonszáma
- Páciens anamnézise, testsúlya, magassága
- A pácienssel kapcsolatos kezelések leírása és állapota
- A kezelésekhez fűzött megjegyzések
- A páciens által kezdeményezett adatkezelési kérelmekhez kapcsolódó adatok (cselekvő tokenek, e-mail-cím, ellenőrzési kísérletek száma)
Az adatok a GDPR 9. cikke szerinti különleges kategóriájú egészségügyi adatok közé tartoznak. A Bene Miklós e.v. ezeket az adatokat mezőszintű titkosítással, páciensenként eltérő DEK kulccsal tárolja.
4. Az érintettek kategóriái
Az Adatkezelőhöz forduló természetes személy páciensek (felnőttek és gyermekek, ez utóbbi esetében a törvényes képviselőjük). A Bene Miklós e.v. a Szolgáltatás kontextusában nem áll közvetlen kapcsolatban az érintettel.
5. Az Adatkezelő utasítása
Az Adatfeldolgozó kizárólag az Adatkezelő dokumentált utasítása alapján kezel személyes adatot. A Szolgáltatás funkcióinak (létrehozás, módosítás, korlátozás, exportálás, törlés) használata az Adatkezelő által egyúttal dokumentált utasításnak minősül.
6. Titoktartás
Az Adatfeldolgozó valamennyi olyan munkavállalója és alvállalkozója, aki a feldolgozott személyes adatokhoz hozzáférhet, írásbeli titoktartási nyilatkozatot tett, vagy jogszabályon alapuló titoktartási kötelezettség alatt áll.
7. Adatbiztonsági intézkedések (GDPR 32. cikk)
- Mezőszintű titkosítás (AES-GCM) páciensenkénti DEK-kel, KMS-ben tárolt mester-kulccsal
- Kripto-shred törlés — a DEK megsemmisítésével a titkosított adat sem a tárolóban, sem a biztonsági mentésekben nem fejthető vissza
- JWT alapú hitelesítés, e-mail megerősítés, jelszó-hash (argon2)
- Csak hozzáfűzéses („append-only") audit napló
- Páciens-kezdeményezett export tokenekhez 5 hibás születési dátum után végleges zárolás
- Rendszeres biztonsági mentés, EGT-régiós tárolás, titkosított archívum
- Sebezhetőség-kezelési folyamat és tervezett behatolásos teszt
8. Aladatfeldolgozók
Az Adatfeldolgozó az alábbi aladatfeldolgozókat veszi igénybe; az Adatkezelő ezek igénybevételét általános, írásbeli felhatalmazással előzetesen jóváhagyja. A lista változásáról az Adatfeldolgozó legalább 30 nappal előre értesíti az Adatkezelőt, aki indokolt esetben kifogással élhet.
- Websupport Magyarország Kft. — webalkalmazás tárhely (frontend, EU)
- Server4You GmbH — alkalmazás-háttér tárhely (backend, páciensadatok tárolása, EU)
- SMTP szolgáltató — e-mail kézbesítés (EGT)
- EU-régiós KMS szolgáltató — kulcskezelés (EGT)
- Fizetésszolgáltató (Stripe / SimplePay / Barion) — a páciens adatait nem ismeri meg
9. Érintetti jogok támogatása
Az Adatfeldolgozó a Szolgáltatás funkcióin keresztül segíti az Adatkezelőt az érintettek jogainak teljesítésében:
- Hozzáférés / hordozhatóság (15. és 20. cikk): az Adatkezelő bármikor letöltheti a páciens teljes rekordját, vagy a páciens számára egyszer használatos, e-mailben érkező igazoló linket küldhet.
- Helyesbítés (16. cikk): a Szolgáltatás auditált módosítási funkciókat biztosít. A kérelmet közvetlenül az Adatkezelő kezeli; az Adatfeldolgozó nem jogosult önállóan módosítani a páciensadatokat.
- Korlátozás (18. cikk): az Adatkezelő egy kattintással korlátozhatja a páciens adatkezelését; ezt követően minden módosítási művelet le van tiltva, az olvasás és export továbbra is engedélyezett.
- Törlés (17. cikk): az Eüak. szerinti megőrzési kötelezettség hatálya alatt a törlés főszabály szerint megtagadandó. Lejárt megőrzés esetén a Szolgáltatás támogatja a kripto-shred műveletet.
10. Adatvédelmi incidens kezelése
Az Adatfeldolgozó az általa észlelt adatvédelmi incidensről az észleléstől számított 24 órán belül értesíti az Adatkezelőt, és segíti az Adatkezelőt a GDPR 33. cikk szerinti, 72 órán belüli NAIH bejelentés elkészítésében (incidens leírása, érintettek száma, ténymegállapítások, megtett intézkedések).
11. Adatok visszaszolgáltatása és törlése
A szolgáltatási szerződés megszűnését követően az Adatfeldolgozó az Adatkezelő választása szerint:
- az Eüak. szerinti megőrzési időre az adatokat megőrzi (alapértelmezett),
- vagy — ha a megőrzési kötelezettség már nem áll fenn — az Adatkezelő írásbeli kérelmére a páciens DEK-jét megsemmisíti, ezzel az adatot visszaállíthatatlanná teszi.
12. Ellenőrzés és audit
Az Adatfeldolgozó az Adatkezelő részére — előzetes egyeztetés alapján, évente legfeljebb egy alkalommal — lehetőséget biztosít a feldolgozási tevékenység ellenőrzésére (dokumentumalapú audit). Az ellenőrzés költségeit a felek között az audit eredménye határozza meg: ha lényeges nem-megfelelőség derül ki, a költséget az Adatfeldolgozó viseli, egyébként az Adatkezelő.
13. Felelősség
Az Adatfeldolgozó kizárólag akkor felel az adatkezeléssel okozott kárért, ha nem tartotta be a GDPR-ban kifejezetten az adatfeldolgozót terhelő kötelezettségeket, vagy az Adatkezelő jogszerű utasításától eltérően kezelt személyes adatot (GDPR 82. cikk (2)).
14. Záró rendelkezések
A DPA hatálybalépésének időpontja a Megrendelő szervezeti regisztrációjának napja. A DPA a magyar jog szerint értelmezendő. Jogvita esetén az ÁSZF 12. pontjában rögzített illetékesség az irányadó.