Jelen Adatkezelési tájékoztató („Tájékoztató") célja, hogy a természetes személyeket — a PhysioCare szolgáltatást használó fizioterapeutákat, valamint a webhelyre látogató érdeklődőket — tájékoztassuk a Bene Miklós e.v. adatkezelési gyakorlatáról. A Tájékoztató az Európai Parlament és a Tanács (EU) 2016/679 rendelete („GDPR") 13. és 14. cikke, valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény („Infotv.") alapján készült.
A Tájékoztató hatálya. Jelen Tájékoztató a PhysioCare webes felületére (physiocare.hu) és a PhysioCare mobilalkalmazásra (Google Play / App Store, csomagazonosító: hu.physiocare.app) egyaránt vonatkozik. A mobilalkalmazás ugyanazt a PhysioCare szolgáltatást teszi elérhetővé mobileszközről, az itt felsorolt adatokat ugyanazon jogalapokon és feltételekkel kezelve.
1. Az adatkezelő
- Név
- Bene Miklós e.v.
- Székhely
- 4030 Debrecen, Oláh Károly utca 20.
- Nyilvántartási szám
- 57041649
- Adószám
- 58692358-1-29
- Adatkezelési kapcsolattartó
- adatvedelem@physiocare.hu
- Általános e-mail
- info@physiocare.hu
- Telefon
- +36 30 496 4239
2. A kezelt adatok köre, célja és jogalapja
| Kategória | Adatok | Cél | Jogalap | Megőrzési idő |
|---|---|---|---|---|
| Fiók | Teljes név, e-mail, jelszó-hash, nyelvi beállítás | Hitelesítés és hozzáférés | GDPR 6. cikk (1) b) — szerződés teljesítése | A fiók megszűnését követő 1 év |
| Számlázás | Számlázási név és cím, adószám (céges számlázás esetén), számlatörténet, fizetésszolgáltató ügyfél-azonosító | Előfizetés kezelése, számlázás | GDPR 6. cikk (1) b) és c) — jogi kötelezettség (Sztv.) | 8 év (a számvitelről szóló 2000. évi C. tv. 169. §) |
| Audit napló | Művelet típusa, cselekvő azonosítója, időbélyeg, hash-elt IP, opcionális indok | Biztonság és elszámoltathatóság (GDPR 5. cikk (2)) | GDPR 6. cikk (1) f) — jogos érdek + Eüak. | 10 év |
| Ügyfélszolgálat | Megkereső e-mail-címe, megkeresés tartalma | Kérdés megválaszolása | GDPR 6. cikk (1) f) — jogos érdek | 2 év |
| Webelemzés | Hozzávetőleges ország, oldal-útvonal, hivatkozó forrás | Anonim közönségmérés (sütik használata nélkül) | GDPR 6. cikk (1) f) | 14 hónap (aggregált formában) |
3. Egészségügyi adatok — különleges kategória
A fizioterapeuta által rögzített páciensadatok a GDPR 9. cikk szerinti különleges kategóriájú egészségügyi adatok. A kezelés jogalapja a GDPR 9. cikk (2) bekezdés h) pontja (megelőző egészségügyi vagy munkahelyi egészségügyi célok, orvosi diagnózis felállítása, egészségügyi ellátás nyújtása), összhangban az Eüak. rendelkezéseivel. Az adatkezelő ezen adatok vonatkozásában a kezelő fizioterapeuta; a Bene Miklós e.v. adatfeldolgozóként, a kezelő dokumentált utasítása alapján kizárólag a Szolgáltatás nyújtásához szükséges műveleteket végzi. Az adatfeldolgozás részletes szabályait az Adatfeldolgozói szerződés tartalmazza.
Hangsúlyos. A páciens egészségügyi adatainak kezeléséhez a hozzájárulása jogalapként nem alkalmazható: az ellátás teljesítéséhez a kezelő fizioterapeutának jogszabály alapján kötelező a dokumentáció, így a hozzájárulás megtagadása érvénytelen lenne. A pácienst a fizioterapeuta — adatkezelőként — a saját adatkezelési tájékoztatójában tájékoztatja az adatkezelésről (GDPR 13. cikk).
4. Adatfeldolgozók és címzettek
A Szolgáltatás biztosításához az alábbi adatfeldolgozókat vesszük igénybe. Valamennyi adatfeldolgozó az EGT területén belül, vagy a Bizottság 2021/914/EU határozata szerinti Általános Szerződéses Feltételek („SCC") alapján működik.
- Webalkalmazás tárhely (frontend): Websupport Magyarország Kft. — 1119 Budapest, Fehérvári út 97–99., e-mail: support@websupport.hu
- Alkalmazás-háttér tárhely (backend, páciensadatok tárolása): Server4You GmbH — Hessen-Homburg-Platz 1, 63452 Hanau, DE, e-mail: support@server4you.de
- E-mail kézbesítés: magyarországi székhelyű SMTP-szolgáltató
- Fizetés: Stripe Payments Europe Ltd. (Írország), illetve magyar partner (SimplePay / Barion) választás szerint — a fizetési adatokat a Bene Miklós e.v. nem ismeri meg.
- Kulcskezelés (KMS): EU-régiós felhőszolgáltató kulcskezelő szolgáltatása
Hatóságok részére kizárólag jogszabályon alapuló, írásbeli megkeresésre — például bíróság, ügyészség, NAIH, NEAK — adunk át adatot, az adatigénylés keretein belül.
5. Adattovábbítás harmadik országba
Személyes adatokat főszabály szerint az EGT területén belül kezelünk. Amennyiben kiegészítő szolgáltatás miatt EGT-n kívülre továbbítás történik, az kizárólag az SCC mechanizmus, illetve a megfelelőségi határozat alapján valósul meg, a GDPR V. fejezete szerint.
6. Az érintett jogai
Az érintett — kérelmére — a GDPR 15–22. cikke alapján jogosult:
- tájékoztatást kérni a róla kezelt adatokról és azokhoz hozzáférést kapni (15. cikk),
- kérni a pontatlan vagy hiányos adat helyesbítését (16. cikk),
- kérni az adatok törlését (17. cikk) — egészségügyi adatok esetén az Eüak. szerinti kötelező megőrzés keretei között,
- kérni az adatkezelés korlátozását (18. cikk),
- élni az adathordozhatósághoz való joggal (20. cikk),
- tiltakozni a jogos érdek alapú adatkezelés ellen (21. cikk),
- jogosulatlanul automatizált döntéshozatal alá ne kerüljön (22. cikk) — ilyen döntéshozatal a Szolgáltatás keretében nem történik.
A jogok gyakorlására irányuló kérelem a adatvedelem@physiocare.hu címre küldhető. A Szolgáltató a kérelmet legkésőbb a beérkezést követő 30 napon belül elbírálja és tájékoztatja az érintettet az intézkedésről. Páciens érintett kérelmét közvetlenül a kezelő fizioterapeutához nyújtsa be; a hozzánk tévedésből érkezett kérelmeket továbbítjuk a megfelelő kezelőnek.
7. Adatbiztonság
A páciensekhez tartozó érzékeny mezők (név, születési idő, cím, telefonszám, anamnézis, súly, magasság, kezelések, megjegyzések) mezőszintű titkosítással kerülnek tárolásra, páciensenként eltérő DEK kulccsal, amelyet egy KMS-ben tárolt mester-kulcs véd. A törlés művelete a páciens kulcsának megsemmisítésével (kripto-shred) valósul meg, így a titkosított adat sem a tárolóban, sem a biztonsági mentésekben nem fejthető vissza. Minden páciens-adatlekérés audit naplóba kerül (módosíthatatlan, csak hozzáfűzéssel bővíthető napló).
A kliens és a szerver közötti kommunikáció minden csatornán — webes felület és mobilalkalmazás API-hívásai egyaránt — HTTPS (TLS 1.2+) titkosítással történik, érvényes szervertanúsítvánnyal. A tanúsítvány automatikusan megújul; érvényes tanúsítvány nélkül a kapcsolat nem jön létre.
8. Adatvédelmi incidens
Adatvédelmi incidens észlelése esetén a Szolgáltató — amennyiben az valószínűsíthetően kockázattal jár — az incidens tudomásra jutásától számított 72 órán belül bejelenti azt a NAIH felé a GDPR 33. cikke alapján, és — ha az incidens magas kockázatú — tájékoztatja az érintetteket is (34. cikk).
9. Jogorvoslat
Az érintett a jogainak megsértése esetén jogosult a NAIH-hoz fordulni:
- Cím
- 1055 Budapest, Falk Miksa utca 9-11.
- Web
- https://www.naih.hu
- Telefon
- +36 1 391 1400
- ugyfelszolgalat@naih.hu
Bírósági jogorvoslatra is van mód: a per a Szolgáltató székhelye szerinti törvényszék, vagy az érintett választása szerint a lakóhelye szerinti törvényszék előtt kezdeményezhető.
10. A Tájékoztató módosítása
A Tájékoztató lényeges módosításáról a regisztrált felhasználókat e-mailben, legalább 30 nappal a hatálybalépés előtt értesítjük. A mindenkor hatályos verzió e dokumentum tetején feltüntetett dátumtól érvényes.