Poznámka k dokumentu

Tieto Zásady sú spracované v podobe určenej na priame zverejnenie a sú zosúladené so Všeobecnými obchodnými podmienkami a so Zmluvou o spracúvaní osobných údajov (DPA). Nadobúdajú účinnosť najskôr ku dňu zápisu prevádzkovateľa (MedLoq s. r. o.) do obchodného registra, keď sa doplnia identifikačné údaje označené „dopĺňa sa ku dňu zápisu do OR". Dokument je zosúladený s rozsahom služby vrátane spracúvania pacientskych údajov v pozícii sprostredkovateľa (bod 1.1 a DPA).

Zásady ochrany osobných údajov

Platforma MedLoq

Účinné od: [deň spustenia — účinné najskôr ku dňu zápisu prevádzkovateľa do OR] Verzia dokumentu: 1.0 Dátum poslednej aktualizácie: [deň spustenia — účinné najskôr ku dňu zápisu prevádzkovateľa do OR]

1. Úvod a rozsah pôsobnosti týchto zásad

Tieto Zásady ochrany osobných údajov (ďalej len „Zásady“) vysvetľujú, ako prevádzkovateľ platformy MedLoq (ďalej len „MedLoq“, „my“, „poskytovateľ“ alebo „prevádzkovateľ“) spracúva osobné údaje v súlade s:

• Nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (ďalej len „GDPR“),
• zákonom č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov (ďalej len „zákon č. 18/2018 Z. z.“),
• zákonom č. 351/2011 Z. z. o elektronických komunikáciách (v rozsahu cookies a prístupu k informáciám uloženým v koncovom zariadení),
• zákonom č. 22/2004 Z. z. o elektronickom obchode a o zmene a doplnení niektorých zákonov.

MedLoq je multi-tenant SaaS platforma pre prevádzkovú agendu ambulancií a kliník na slovenskom a českom trhu (sklad, sterilizácia, rozpis/dochádzka, úlohy, cenník, interná komunikácia, protetické zákazky a konzíliá vrátane príloh k pacientom, prehliadač snímok a skenov, prehľady tržieb ako denné agregáty, AI asistent a prepis hlasoviek). MedLoq je určený podnikateľským subjektom (ambulancie, s. r. o., živnostníci).

1.1 Dôležité: v akej pozícii spracúvame pacientske údaje

V pozícii prevádzkovateľa (na vlastné účely) MedLoq nespracúva žiadne osobné údaje pacientov. Pacientske údaje, ktoré klinika do platformy vloží v rámci prevádzkovej agendy (najmä mená pacientov, röntgenové snímky, klinické fotografie, intraorálne a 3D skeny a stručné poznámky k pacientom — teda aj údaje týkajúce sa zdravia podľa čl. 9 GDPR), spracúva MedLoq výlučne ako sprostredkovateľ v mene kliniky podľa Zmluvy o spracúvaní osobných údajov (DPA). Platforma nie je zdravotníckym informačným systémom a neslúži na vedenie zdravotnej dokumentácie; rodné čísla pacientov ani kompletná zdravotná dokumentácia sa do platformy nevkladajú.

MedLoq je prevádzkový doplnok k pacientskym informačným systémom (napr. Semafor Dental a podobne) — zdravotnú dokumentáciu vedie klinika vo svojom systéme na to určenom. V pozícii prevádzkovateľa spracúva MedLoq výlučne účtové/registračné a fakturačné údaje; prevádzkové údaje kliniky vrátane údajov jej zamestnancov a pacientov spracúva ako sprostredkovateľ (bod 1.2). Modul „Tržby“ pracuje s dennými súhrnnými agregátmi bez väzby na konkrétneho pacienta.

1.2 Dve rôzne roly MedLoq vo vzťahu k údajom

Pri prevádzke platformy MedLoq vystupujeme v dvoch rozdielnych pozíciách podľa GDPR:

Tieto Zásady sa týkajú výlučne spracúvania, pri ktorom MedLoq vystupuje ako PREVÁDZKOVATEĽ, t. j.:

• registračných a účtových údajov vlastníka/správcu klientskeho konta,
• fakturačných údajov klienta,
• údajov návštevníkov webovej stránky a registrujúcich sa záujemcov.

Pri spracúvaní prevádzkových údajov, ktoré klinika vkladá do platformy (mená a priezviská zamestnancov, pracovné role, rozpis, dochádzka, interná komunikácia, sklad, cenník, denné agregáty tržieb, ako aj pacientske údaje v prílohách protetických zákaziek a konzílií — snímky, fotografie, skeny a poznámky), vystupuje MedLoq ako sprostredkovateľ a prevádzkovateľom je klinika. Práva dotknutých osôb (zamestnancov aj pacientov klienta) sa v takom prípade uplatňujú primárne voči klinike ako prevádzkovateľovi. Podmienky tohto spracúvania upravuje samostatná Zmluva o spracúvaní osobných údajov (DPA).

2. Totožnosť a kontaktné údaje prevádzkovateľa

Pozn. pre vyplnenie: Spoločnosť (s. r. o.) ešte nie je založená. Všetky vyššie uvedené polia musia byť pred zverejnením doplnené skutočnými údajmi po jej zápise do obchodného registra. Do založenia spoločnosti a jej zápisu nesmie byť tento dokument zverejnený ako účinný.

2.1 Zodpovedná osoba (DPO)

Prevádzkovateľ ku dňu účinnosti nevymenoval zodpovednú osobu (DPO) — v pozícii prevádzkovateľa nespracúva osobitné kategórie údajov vo veľkom rozsahu ani nevykonáva rozsiahle systematické monitorovanie dotknutých osôb (čl. 37 ods. 1 GDPR, § 44 zákona č. 18/2018 Z. z.). Vzhľadom na spracúvanie údajov týkajúcich sa zdravia v pozícii sprostredkovateľa povinnosť určiť DPO priebežne posudzuje s rastom rozsahu spracúvania. Vo všetkých otázkach ochrany osobných údajov nás môžete kontaktovať na privacy@medloq.app.

3. Kategórie spracúvaných osobných údajov

Ako prevádzkovateľ spracúvame nasledujúce kategórie osobných údajov:

3.1 Registračné a účtové údaje (vlastník/správca konta kliniky)

• e-mailová adresa vlastníka/správcu konta (slúži ako záchranný a kontaktný kanál, na overenie registrácie a obnovu prístupu),
• názov kliniky / obchodné meno klienta,
• meno a priezvisko kontaktnej osoby, ak ho klient uvedie pri registrácii (nepovinné),
• prihlasovacie a bezpečnostné údaje súvisiace s párovaním zariadenia (device pairing), identifikátory spárovaných zariadení a relácií a hashovaný osobný PIN (SHA-256) — v rozsahu, v akom sa viažu na vlastníka/správcu konta.

3.2 Fakturačné a účtovné údaje

• fakturačné údaje klienta: obchodné meno, sídlo/adresa, IČO, DIČ, prípadne IČ DPH,
• údaje o predplatnom, skúšobnom období, vystavených faktúrach, platbách a stave úhrad,
• bankové spojenie klienta (len ak ho klient uvedie na účely úhrady).

3.3 Technické a bezpečnostné údaje

• IP adresa v hashovanej (pseudonymizovanej) podobe zaznamenaná pri registrácii (ochrana proti zneužitiu a podvodným registráciám),
• prevádzkové a bezpečnostné logy (časy prihlásení, technické udalosti, chybové záznamy),
• identifikátory spárovaných zariadení a relácií nevyhnutné pre fungovanie autentifikácie.

3.4 Údaje návštevníkov webovej stránky a registrujúcich sa záujemcov

• technické údaje nevyhnutné na zobrazenie a fungovanie stránky (IP adresa, typ prehliadača, údaje o relácii),
• údaje uložené vo funkčných úložiskách prehliadača (pozri bod 9),
• údaje z registračného formulára: e-mailová adresa, názov kliniky, krajina a zvolená subdoména.

V pozícii prevádzkovateľa nespracúvame žiadne osobitné kategórie osobných údajov podľa čl. 9 GDPR ani osobné údaje pacientov. Pacientske údaje vrátane údajov o zdraví spracúvame výlučne ako sprostredkovateľ v mene kliniky (pozri bod 1.1 a DPA).

4. Účely a právne základy spracúvania

Test proporcionality oprávneného záujmu (čl. 6 ods. 1 písm. f): Pri spracúvaní na základe oprávneného záujmu sme posúdili, že náš záujem (bezpečnosť platformy, ochrana pred zneužitím, prevádzka služby, vymáhanie splatných pohľadávok) prevažuje nad záujmami a základnými právami dotknutých osôb, pričom spracúvanie je obmedzené na nevyhnutný rozsah a netýka sa osobitných kategórií ani pacientskych údajov. Proti tomuto spracúvaniu máte právo namietať (pozri bod 8).

5. Príjemcovia a sprostredkovatelia

Osobné údaje neposkytujeme tretím stranám na ich vlastné účely a nepredávame ich. Na zabezpečenie prevádzky platformy využívame nasledujúcich sprostredkovateľov a poskytovateľov infraštruktúry, ktorí spracúvajú údaje výlučne na základe našich zdokumentovaných pokynov a zmluvy podľa čl. 28 GDPR:

Ďalšími príjemcami môžu byť:

• účtovník / účtovná spoločnosť prevádzkovateľa (konkrétny účtovník/účtovná spoločnosť sa doplní po jeho určení) — na účely vedenia účtovníctva,
• advokát / právny zástupca — v nevyhnutnom rozsahu pri uplatňovaní alebo obrane právnych nárokov,
• orgány verejnej moci (napr. súdy, daňový úrad, Úrad na ochranu osobných údajov SR) — ak nám to ukladá zákon.

Pozn. k AI a hlasovkám: Funkcie AI (asistent/FAQ) a prepisu hlasoviek spracúvajú prevažne prevádzkové údaje vložené klinikou. V tomto rozsahu vystupuje MedLoq ako sprostredkovateľ a uvedení poskytovatelia (Anthropic, OpenAI) ako ďalší sprostredkovatelia (sub-processors) — podrobnosti upravuje DPA s klinikou. Obsah hlasových poznámok môže zahŕňať aj údaje o pacientoch — tok údajov a podmienky sú transparentne opísané v Prílohe č. 4 DPA; klinika ako prevádzkovateľ zodpovedá za poučenie svojich používateľov a za minimalizáciu vkladaného obsahu.

6. Prenos údajov do tretích krajín

Primárne uchovávame a spracúvame osobné údaje v Európskej únii (Firebase europe-west3 / europe-west1, hosting Websupport v SR).

K prenosu osobných údajov do tretej krajiny (Spojené štáty americké) dochádza v súvislosti so službami Resend (transakčné e-maily), Anthropic (AI asistent/FAQ) a OpenAI (prepis hlasoviek). Tieto prenosy sú zabezpečené prostredníctvom:

• Štandardných zmluvných doložiek (SCC) schválených Európskou komisiou podľa čl. 46 ods. 2 písm. c) GDPR, a/alebo
• účasti príjemcu na EU-US Data Privacy Framework (DPF) podľa vykonávacieho rozhodnutia Európskej komisie (EÚ) 2023/1795 o primeranosti, ak je príjemca platne certifikovaný.

Na požiadanie vám poskytneme informáciu o uplatnených zárukách a o spôsobe, akým možno získať ich kópiu.

7. Doba uchovávania osobných údajov

Osobné údaje uchovávame len po dobu nevyhnutnú na dosiahnutie účelu, na ktorý boli získané, alebo po dobu vyžadovanú právnymi predpismi:

Po uplynutí doby uchovávania osobné údaje bezpečne vymažeme alebo anonymizujeme.

8. Práva dotknutej osoby

Ako dotknutá osoba máte vo vzťahu k osobným údajom, ktoré spracúvame ako prevádzkovateľ, nasledujúce práva podľa GDPR a zákona č. 18/2018 Z. z.:

• Právo na prístup (čl. 15 GDPR) — získať potvrdenie, či spracúvame vaše osobné údaje, a kópiu týchto údajov.
• Právo na opravu (čl. 16 GDPR) — opraviť nesprávne alebo doplniť neúplné údaje.
• Právo na výmaz / „na zabudnutie“ (čl. 17 GDPR) — za podmienok stanovených GDPR (neuplatní sa, ak údaje musíme uchovávať zo zákona, napr. účtovné doklady).
• Právo na obmedzenie spracúvania (čl. 18 GDPR).
• Právo na prenosnosť údajov (čl. 20 GDPR) — pri spracúvaní na základe súhlasu alebo zmluvy a automatizovanými prostriedkami.
• Právo namietať (čl. 21 GDPR) — proti spracúvaniu založenému na oprávnenom záujme (čl. 6 ods. 1 písm. f), ako aj proti priamemu marketingu.
• Právo odvolať súhlas (čl. 7 ods. 3 GDPR) — kedykoľvek, ak je spracúvanie založené na súhlase; odvolanie nemá vplyv na zákonnosť spracúvania pred odvolaním.
• Právo podať sťažnosť / návrh na začatie konania dozornému orgánu (čl. 77 GDPR; § 100 zákona č. 18/2018 Z. z.):

Úrad na ochranu osobných údajov Slovenskej republiky Hraničná 12, 820 07 Bratislava 27 Tel.: +421 /2/ 32 31 32 14 E-mail: statny.dozor@pdp.gov.sk Web: https://dataprotection.gov.sk

8.1 Ako uplatniť práva

Svoje práva môžete uplatniť e-mailom na privacy@medloq.app alebo písomne na adresu sídla prevádzkovateľa (bod 2). Žiadosť vybavíme bez zbytočného odkladu, najneskôr do jedného mesiaca od doručenia; túto lehotu môžeme v odôvodnených prípadoch predĺžiť o ďalšie dva mesiace, o čom vás budeme informovať. Z dôvodu overenia totožnosti vás môžeme požiadať o dodatočné informácie.

Upozornenie: Ak sa vaša žiadosť týka prevádzkových údajov vložených klinikou (napr. údaje zamestnanca kliniky v rozpise, dochádzke alebo internej komunikácii), prevádzkovateľom týchto údajov je klinika, nie MedLoq. V takom prípade vám žiadosť postúpime príslušnej klinike, resp. vás nasmerujeme priamo na ňu.

9. Cookies a lokálne úložiská

MedLoq je navrhnutý s minimalizáciou cookies. Na zabezpečenie základnej funkčnosti aplikácie používame predovšetkým funkčné (technicky nevyhnutné) lokálne úložiská prehliadača:

• sessionStorage — uchovanie údajov o prihlasovacej relácii počas práce s aplikáciou,
• localStorage — uchovanie technických nastavení a údaja o poslednej aktivite (napr. pre automatické uzamknutie / opätovné prihlásenie pomocou PIN).

Tieto úložiská sú striktne nevyhnutné na poskytovanie služby, ktorú ste si vyžiadali (prihlásenie, bezpečnosť relácie). Podľa § 109 ods. 8 zákona č. 351/2011 Z. z. ukladanie informácií alebo prístup k informáciám už uloženým v koncovom zariadení nevyžaduje súhlas, ak je nevyhnutne potrebné na poskytnutie služby výslovne vyžiadanej používateľom.

MedLoq v súčasnosti nepoužíva analytické ani marketingové cookies. Ak by v budúcnosti boli nasadené, doplníme mechanizmus súhlasu (opt-in) a tabuľku jednotlivých cookies podľa § 109 zákona č. 351/2011 Z. z.

Na meranie návštevnosti tejto webovej stránky (nie samotnej aplikácie) používame službu Cloudflare Web Analytics (Cloudflare, Inc., USA). Táto služba neukladá do vášho zariadenia žiadne cookies ani iné údaje, nepristupuje k údajom už uloženým, nevytvára identifikátor návštevníka a nesleduje vás naprieč inými webovými stránkami. Preto sa na ňu § 109 ods. 8 zákona č. 351/2011 Z. z. nevzťahuje a jej používanie nevyžaduje váš súhlas. Spracúvajú sa iba agregované technické údaje o zobrazeniach stránok (navštívená stránka, odkazujúca stránka, typ prehliadača a zariadenia, krajina). Právnym základom je oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR — zistiť, či a odkiaľ na našu stránku prichádzajú návštevníci. Proti takémuto spracúvaniu môžete kedykoľvek namietať na kontaktoch uvedených vyššie.

10. Automatizované individuálne rozhodovanie a profilovanie

Nevykonávame automatizované individuálne rozhodovanie vrátane profilovania s právnymi alebo podobne významnými účinkami na dotknuté osoby v zmysle čl. 22 GDPR.

Funkcie umelej inteligencie (AI asistent, FAQ chatbot, prepis hlasoviek) slúžia ako pomocné nástroje a nevedú k automatizovaným rozhodnutiam o dotknutých osobách.

11. Bezpečnosť spracúvania

Prijali sme primerané technické a organizačné opatrenia na ochranu osobných údajov podľa čl. 32 GDPR, najmä:

• uchovávanie a spracúvanie dát v EÚ (Firebase europe-west3 / europe-west1, hosting v SR),
• šifrovanie prenosu (HTTPS/TLS) a šifrovanie údajov v pokoji na úrovni cloudovej infraštruktúry poskytovateľa,
• autentifikáciu cez párovanie zariadenia (device pairing) a osobný PIN, pričom PIN sa ukladá výlučne v hashovanej podobe (SHA-256) — nikdy nie v čitateľnej forme,
• automatické uzamknutie pri neaktivite a kontrolu platnosti relácie,
• model „default-deny“ v bezpečnostných pravidlách databázy a multi-tenant izoláciu (oddelenie dát jednotlivých klientov),
• hashovanie IP adresy zaznamenanej pri registrácii,
• riadenie prístupových oprávnení a vedenie bezpečnostných logov.

Žiadne technické opatrenie neposkytuje absolútnu záruku bezpečnosti; v prípade porušenia ochrany osobných údajov postupujeme podľa čl. 33 a 34 GDPR (oznámenie dozornému orgánu do 72 hodín, prípadne oznámenie dotknutým osobám).

12. Povinnosť poskytnutia údajov

Poskytnutie registračných, účtových a fakturačných údajov je zmluvnou požiadavkou nevyhnutnou na uzatvorenie a plnenie zmluvy o poskytovaní platformy MedLoq. Bez ich poskytnutia nie je možné konto zriadiť ani službu poskytovať. Poskytnutie údajov na základe súhlasu (ak je relevantné) je dobrovoľné a nemá vplyv na poskytovanie základnej služby.

13. Postavenie klienta (B2B vzťah)

Klientmi MedLoq sú podnikateľské subjekty (zubné ambulancie, s. r. o., živnostníci). Zmluvný vzťah sa spravuje Obchodným zákonníkom (zákon č. 513/1991 Zb.) a súvisiacimi predpismi vrátane zákona č. 22/2004 Z. z. o elektronickom obchode. Keďže klienti vystupujú ako podnikatelia (nie spotrebitelia), zákon č. 250/2007 Z. z. o ochrane spotrebiteľa sa na tento vzťah spravidla neuplatňuje (vrátane práva na odstúpenie od zmluvy uzavretej na diaľku v 14-dňovej lehote, ktoré je viazané na spotrebiteľa).

14. Zmeny týchto Zásad

Tieto Zásady môžeme priebežne aktualizovať (napr. pri zmene právnych predpisov, subdodávateľov alebo funkcií platformy). Aktuálne znenie je vždy dostupné na https://medloq.app/ochrana-osobnych-udajov. O podstatných zmenách budeme klientov informovať vhodným spôsobom (napr. e-mailom alebo oznámením v aplikácii). Dátum poslednej aktualizácie je uvedený v záhlaví dokumentu.

15. Kontakt

V akýchkoľvek otázkach týkajúcich sa ochrany osobných údajov nás kontaktujte:

• E-mail: privacy@medloq.app
• Poštová adresa: [sídlo — dopĺňa sa ku dňu zápisu do OR]
• Zodpovedná osoba (DPO): Prevádzkovateľ nevymenoval DPO (pozri bod 2.1); kontakt: privacy@medloq.app

Tieto Zásady nadobúdajú účinnosť ku dňu uvedenému v záhlaví, najskôr však ku dňu zápisu prevádzkovateľa do obchodného registra. Aktuálne znenie je zverejnené na https://medloq.app/ochrana-osobnych-udajov.