Tietosuoja- ja henkilötietojen käsittelyehdot

1. Yleiset määräykset ja rekisterinpitäjä

1.1. Nämä tietosuoja- ja henkilötietojen käsittelyehdot (jäljempänä ”ehdot”) selittävät, miten Eho Clinic OÜ (jäljempänä ”Klinikka” tai ”me”) käsittelee asiakkaiden, potilaiden, verkkosivuston kävijöiden ja muiden meille yhteyttä ottavien henkilöiden henkilötietoja verkkosivustoilla ehoclinic.ee ja shop.ehoclinic.ee, palvelujen varaamisen ja tarjoamisen, verkkokauppatilausten täyttämisen sekä asiakasviestinnän yhteydessä.

1.2. Rekisterinpitäjä on Eho Clinic OÜ, rekisterikoodi 16606489, rekisteröity osoite Tehnika tn 35-1, 10149 Tallinn, palvelupiste Sepapaja 12/1, 11415 Tallinn, sähköposti info@ehoclinic.ee, puhelin +372 5810 1356.

1.3. Jos tietyn palvelun tai tuotteen tarjoaa tai myy toinen oikeushenkilö, tämän henkilön tiedot ilmoitetaan kyseisen palvelun tai oston yhteydessä ennen sopimuksen tekemistä. Hänen henkilötietojensa käsittelyyn sovelletaan tarvittaessa erillistä ilmoitusta.

1.4. Toimimme Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus, GDPR), henkilötietojen suojaa koskevan lain, sähköisen viestinnän lain sekä terveydenhuollon palvelujen tarjoamista säätelevien säädösten mukaisesti. Tämä ilmoitus ei ole suostumus lääketieteelliseen toimenpiteeseen eikä lupa käyttää potilastietoja mainonnassa.

2. Käsiteltävien tietojen tyypit ja lähteet

2.1. Henkilö- ja yhteystiedot: etu- ja sukunimi, puhelin, sähköpostiosoite, asiointikieli, tarvittaessa postiosoite, syntymäaika tai henkilötunnus. Pyydämme syntymäaikaa ja henkilötunnusta vain perustellusta tarpeesta tai lakisääteisen velvollisuuden vuoksi.

2.2. Tiedustelu- ja varaustiedot: tiedustelun sisältö, kiinnostava palvelu, vastaanottoaika, varauksen tila, järjestelyihin liittyvä viestintä sekä palvelun tarjoamisen historia tarvittavassa laajuudessa.

2.3. Terveystiedot: oireet, anamneesi, tutkimustulokset, diagnoosit, hoitosuunnitelmat, vasta-aiheet, annetut terveydenhuollon palvelut, lääketieteelliset valokuvat, suostumukset ja terveydenhuollon asiakirjat. Ne ovat GDPR:n tarkoittamia erityisiä henkilötietoryhmiä.

2.4. Osto- ja maksutiedot: tilatut tuotteet, hinta, laskutus- ja maksutiedot, maksun tila, valittu toimitustapa, pakettiautomaatti tai toimitusosoite, palautukset ja reklamaatiot. Täydellisiä maksukorttitietoja käsittelee asianomainen maksupalveluntarjoaja valitun maksuratkaisun mukaisesti.

2.5. Verkkokäyttötiedot: IP-osoite, laitteen ja selaimen yleistiedot, istuntotiedot, tekniset lokit sekä käyttäjän valinnan mukaiset lisäanalytiikkaan ja mainontaan liittyvät tunnisteet.

2.6. Suoramarkkinointitiedot: sähköpostiosoite ja/tai puhelinnumero, asiointikieli, suostumuksen antamisen ja peruuttamisen aika, lähde, tekstiversio, valittu kanava ja tarvittavat todisteet.

2.7. Tiedot saadaan pääasiassa henkilöltä itseltään, hänen edustajaltaan, varausympäristöstä, verkkokauppatilauksesta tai suorasta yhteydenotosta. Laillisen perusteen ollessa olemassa voimme saada tietoja terveydenhuollon ammattilaiselta, terveyden tietojärjestelmästä tai tilauksen toteuttamiseen osallistuvalta palveluntarjoajalta. Jos tiedot eivät ole peräisin henkilöltä itseltään, täytämme GDPR:n 14 artiklan mukaisen tiedonantovelvollisuuden tai sovellettavan poikkeuksen.

3. Käsittelyn tarkoitukset ja oikeusperusteet

3.1. Tiedusteluun vastaaminen ja sopimuksen tekemistä edeltävät toimet: GDPR:n 6 artiklan 1 kohdan b alakohta; muiden perusteltujen yhteydenottojen osalta f alakohta (oikeutettu etu).

3.2. Muun kuin lääketieteellisen palvelun varaaminen ja tarjoaminen sekä verkkokauppatilauksen, maksun ja toimituksen järjestäminen: GDPR:n 6 artiklan 1 kohdan b alakohta; pakollisen raportoinnin osalta c alakohta.

3.3. Terveydenhuollon palvelun suunnittelu, tarjoaminen, turvallisuuden varmistaminen ja dokumentointi: toimenpiteen mukaan GDPR:n 6 artiklan 1 kohdan b tai c alakohta ja terveystietojen osalta lisäksi 9 artiklan 2 kohdan h alakohta yhdessä terveydenhuoltoalan erityissääntöjen ja salassapitovelvollisuuden kanssa.

3.4. Kirjanpito, verotus ja lainsäädännöstä johtuva raportointi: 6 artiklan 1 kohdan c alakohta.

3.5. Varausta, tilausta ja palvelua koskevat välttämättömät, ei-markkinoinnilliset ilmoitukset: 6 artiklan 1 kohdan b tai c alakohta ilmoituksen sisällön mukaan.

3.6. Sähköposti- ja tekstiviestisuoramarkkinointi: yleensä 6 artiklan 1 kohdan a alakohta (suostumus) sekä sähköisen viestinnän lain § 103¹. Aiemman ostajan yhteystietoja käytetään omien samankaltaisten tuotteiden tai palvelujen tarjoamiseen ilman uutta suostumusta vain, jos kaikki laissa säädetyn poikkeuksen ehdot täyttyvät.

3.7. Valinnaiset analytiikka- ja markkinointievästeet sekä vastaavat teknologiat: tarvittaessa ennakkosuostumus; henkilötietojen käsittelyssä yleensä 6 artiklan 1 kohdan a alakohta.

3.8. Verkkosivuston turvallisuus, väärinkäytön estäminen ja oikeudellisten vaatimusten puolustaminen: 6 artiklan 1 kohdan f tai c alakohta sekä tarvittaessa terveystietojen osalta 9 artiklan 2 kohdan f alakohta. Oikeutettua etua sovellettaessa otamme huomioon henkilön oikeudet ja edut.

3.9. Jos palvelun tarjoamiseen tarvittavia tietoja ei anneta, emme välttämättä voi käsitellä tiedustelua, vahvistaa varausta tai toteuttaa tapahtumaa. Markkinointisuostumukset ovat vapaaehtoisia.

4. Potilaan henkilö- ja terveystietojen erityissuoja

4.1. Potilastietoja käsitellään vain lainmukaiseen tarkoitukseen ja tarvittavassa laajuudessa. Pääsy on vain henkilöillä, joiden työtehtävät ja valtuudet sitä edellyttävät. Henkilökohtainen kiinnostus potilaaseen ei anna oikeutta tutustua hänen tietoihinsa.

4.2. Tarvittavien terveydenhuollon asiakirjojen laatiminen ja säilyttäminen perustuu säädöksiin eikä yleensä edellytä erillistä GDPR-suostumusta. Potilaan tietoon perustuva suostumus tiettyyn lääketieteelliseen toimenpiteeseen on sen sijaan erillinen oikeudellinen kysymys, ja se dokumentoidaan velvoiteoikeuslain mukaisesti.

4.3. Tietoja luovutetaan terveyden tietojärjestelmälle, toimivaltaisille viranomaisille, muille terveydenhuollon ammattilaisille ja teknisille käsittelijöille vain oikeusperusteen nojalla ja tarvittavassa laajuudessa. Läheisen tai yhteyshenkilön ilmoittaminen ei anna hänelle automaattisesti oikeutta tutustua potilaan terveystietoihin.

4.4. Yleinen uutiskirjasuostumus ei anna oikeutta käyttää diagnoosia, hoitohistoriaa, varattua lääketieteellistä palvelua tai muuta terveystietoja paljastavaa tietoa mainosyleisöjen muodostamiseen tai markkinointiprofilointiin.

4.5. Hoidon dokumentointiin tarvittavia valokuvia voidaan säilyttää osana terveydenhuollon dokumentaatiota. Niiden julkinen käyttö verkkosivustolla tai mainonnassa edellyttää tarvittaessa erillistä nimenomaista suostumusta ja sen on oltava mainontalain rajoitusten mukaista.

4.6. Potilaan tietosuojaohjeistus ei korvaa hänen oikeuttaan saada ymmärrettävää tietoa suunnitellusta terveydenhuollon palvelusta, riskeistä ja vaihtoehdoista eikä hänen erillistä päätöstään suostua toimenpiteeseen.

5. Tietojen vastaanottajat ja siirrot

5.1. Henkilötietoja voivat toimivaltansa ja palvelun tarjoamisen tarpeen rajoissa saada Klinikan valtuutetut työntekijät sekä IT-, webhotelli-, varaus-, maksu-, toimitus-, kirjanpito-, viestintä- ja asiakassuhdepalvelujen tarjoajat. Tietoja voidaan luovuttaa julkisoikeudellisille viranomaisille laissa säädetyissä tapauksissa.

5.2. Jos palveluntarjoaja käsittelee henkilötietoja puolestamme, sovellamme GDPR:n 28 artiklan mukaisia sopimusvaatimuksia. Jotkin palveluntarjoajat voivat olla itsenäisiä rekisterinpitäjiä. Lisätietoja yksittäisistä tietojen vastaanottajista ja niiden rooleista voi pyytää osoitteesta info@ehoclinic.ee.

5.3. Jos henkilötietoja siirretään Euroopan talousalueen ulkopuolelle, se tehdään GDPR:n V luvussa sallitulla perusteella, kuten Euroopan komission tietosuojan riittävyyttä koskevan päätöksen tai asianmukaisten vakiolausekkeiden perusteella tarvittavin suojatoimin. Lisätietoja sovellettavista suojatoimista saa edellä mainitusta yhteystiedosta.

6. Tietojen säilytysajat

6.1. Säilytämme henkilötietoja vain niin kauan kuin se on tarpeen tarkoituksen saavuttamiseksi tai säädöksessä määrätyn ajan. Sovellamme alla mainittuja tavanomaisia määräaikoja edellyttäen, ettei tiettyyn tietolajiin sovelleta pidempää pakollista määräaikaa tai perusteltua tarvetta puolustaa oikeudellisia vaatimuksia.

6.2. Tavanomainen tiedustelu, jota ei seuraa palvelu tai sopimus: yleensä enintään 12 kuukautta viimeisestä asiallisesta yhteydenpidosta. Vahvistamattoman tai peruutetun varauksen järjestelytiedot: yleensä enintään 12 kuukautta suunnitellusta vastaanottoajasta, jos ne eivät ole osa terveydenhuollon dokumentaatiota.

6.3. Muiden kuin lääketieteellisten palvelujen asiakassuhde- ja sopimustiedot, jotka eivät kuulu pakolliseen kirjanpitoon tai terveydenhuollon dokumentaatioon: yleensä enintään 3 vuotta palvelun tarjoamisesta tai sopimuksen päättymisestä.

6.4. Kirjanpidon tositteet: yleensä 7 vuotta asianomaisen tilikauden päättymisestä, ellei laissa säädetä poikkeusta. Terveydenhuollon palvelun tarjoamista osoittavat tiedot: laissa määrätty aika, yleensä tiettyjen asiakirjojen osalta 30 vuotta tietojen vahvistamisesta ottaen huomioon asiakirjalajien ja terveyden tietojärjestelmän erityispiirteet.

6.5. Markkinointitiedot: suostumuksen peruuttamiseen tai muun sallitun perusteen päättymiseen asti. Arvioimme aktiivisen yhteystietokannan tarpeellisuuden vähintään 24 kuukauden välein. Voimme säilyttää suostumuksen ja peruuttamisen vähimmäistodisteita enintään 3 vuotta markkinoinnin päättymisestä; kieltäytymisen noudattamiseen tarvittavia vähimmäistietoja voimme säilyttää myös pidempään perustellussa laajuudessa.

6.6. Tavanomaiset verkkosivuston turvallisuuslokit: yleensä enintään 90 päivää. Tietoturvapoikkeaman, riidan tai lakisääteisen velvollisuuden yhteydessä tarvittavia tietoja voidaan säilyttää pidempään. Evästeiden säilytysajat esitetään näiden ehtojen 8 kohdassa ja verkkosivuston todellisessa evästeluettelossa.

6.7. Edellä mainitut määräajat ovat Klinikan soveltamia säilytyssääntöjä. Kun tietoja ei enää tarvitse säilyttää, poistamme tai anonymisoimme ne. Pakollista terveydenhuolto- tai kirjanpitoasiakirjaa ei poisteta pelkästään markkinointisuostumuksen peruuttamisen vuoksi.

7. Suoramarkkinointi ja suostumukset

7.1. Klinikka voi lähettää sähköpostitse tai tekstiviestillä tietoa omista uutisistaan, sallituista muista kuin lääketieteellisistä palveluista, tuotteista ja tarjouksista sähköisen viestinnän lakia ja mainontalakia noudattaen. Terveydenhuollon palvelujen mainontaan sovelletaan erityisrajoituksia.

7.2. Pyydämme erillisen vapaaehtoisen suostumuksen sähköposti- ja tekstiviestisuoramarkkinointiin. Yhden kanavan valitseminen ei kata toista kanavaa. Valintaruutuja ei ole valmiiksi valittu, eikä mainontaan suostuminen ole varauksen, oston tai terveydenhuollon palvelun saamisen edellytys.

7.3. Suostumuksen osoittamiseksi säilytämme valitun kanavan, päivämäärän, suostumuksen antopaikan tai lähteen, tekstiversion ja myöhemmän peruuttamisen. Jos lain § 103¹ 3 momentissa säädetyt ehdot täyttyvät, voimme käyttää aiemman ostajan sähköistä yhteystietoa omien samankaltaisten tuotteiden tai palvelujen tarjoamiseen, antaen helpon maksuttoman kieltäytymismahdollisuuden yhteystiedon keräämisen yhteydessä ja jokaisen seuraavan viestin yhteydessä.

7.4. Jokaisessa markkinointisähköpostissa on toimiva peruutuslinkki. Tekstiviestissä tarjotaan helppo ja maksuton sähköinen kieltäytymistapa. Suostumuksen voi peruuttaa myös osoitteessa info@ehoclinic.ee. Kieltäytymisen jälkeen lopetamme kyseisen kanavan mainosviestit, mutta välttämättömät varaus- ja tilausilmoitukset voivat jatkua muun oikeusperusteen ollessa olemassa.

7.5. Suostumus sähköpostiuutiskirjeen vastaanottamiseen ei ole suostumus analytiikka- tai markkinointievästeiden asettamiseen. Nämä valinnat tehdään erikseen evästeasetuksissa. Suostumuksen peruuttaminen ei vaikuta ennen peruuttamista tapahtuneen lainmukaisen käsittelyn laillisuuteen.

8. Evästeet ja vastaavat teknologiat

8.1. Eväste on selaimeen tallennettava pieni tietokokonaisuus. Verkkosivusto voi käyttää myös muita laitteeseen tallennettavia tai sieltä luettavia tunnisteita, paikallisen tallennustilan tietoja ja verkkojäljitteitä.

8.2. Välttämättömät evästeet mahdollistavat turvallisuuden, istunnonhallinnan, verkkokaupan ostoskorin, tilauksen tekemisen ja evästeasetusten tallentamisen. Niitä käytetään ilman erillistä suostumusta vain, jos laki sen sallii.

8.3. Valinnaiset toiminnalliset evästeet mahdollistavat lisäasetuksia. Analytiikkaevästeet auttavat arvioimaan verkkosivuston käyttöä. Markkinointievästeet ja pikselit voivat mitata mainonnan tehokkuutta ja tukea sallittua mainontaa. Suostumusta edellyttävät teknologiat eivät aktivoidu ennen asianmukaista valintaa.

8.4. Vierailija voi evästebannerissa valita ”Hyväksyn kaikki”, ”Kieltäydyn valinnaisista” tai ”Muuta asetuksia”. Valinnaiset luokat ovat alun perin poissa käytöstä. Hiljaisuus ja sivuston käytön jatkaminen eivät ole suostumus. Valintoja voi myöhemmin muuttaa verkkosivuston alatunnisteen linkin ”Evästeasetukset” kautta.

8.5. Verkkosivuston evästeasetusten näkymässä ilmoitetaan erikseen kummankin verkkotunnuksen osalta tosiasiallisesti käytetyn evästeen tai vastaavan teknologian nimi, tarjoaja, tarkoitus, luokka, kesto ja tarvittaessa tiedot kolmansien osapuolten pääsystä tai rajat ylittävästä siirrosta. Luetteloa muutetaan teknisten ratkaisujen muuttuessa. Verkkosivuston evästeasetuksissa näkyvä todellinen luettelo on osa tätä kohtaa.

8.6. Lääketieteellisten tiedustelujen sisältöä, diagnooseja, hoitosuunnitelmia tai muita erityisiä henkilötietoja ei luovuteta automaattisesti mainospikseleille. Terveydenhuollon palvelusivujen ja varausvirtojen teknistä seurantaa arvioidaan erikseen ja se sallitaan vain oikeudellisesti perustellussa laajuudessa.

8.7. Cloudflare Turnstile -palvelua voidaan käyttää vähentämään automatisoitua väärinkäyttöä julkisissa tiedustelu- ja takaisinsoittolomakkeissa. Palvelu ladataan lomakkeen turvatarkistusta varten; sen käyttöä kuvataan Cloudflaren tietosuojakäytännössä.

Cloudflaren tietosuojakäytäntö

9. Henkilön oikeudet ja yhteydenotot

9.1. GDPR:ssä säädetyin edellytyksin henkilöllä on oikeus saada tietoa henkilötiedoistaan ja pääsy niihin, vaatia virheellisten tietojen oikaisua tai poistamista, käsittelyn rajoittamista, vastustaa käsittelyä, käyttää oikeutta tietojen siirtämiseen sekä peruuttaa annettu suostumus.

9.2. Henkilötietojen käsittelyä suoramarkkinointitarkoituksessa voi vastustaa milloin tahansa. Jotkin oikeudet eivät ole ehdottomia: lakisääteistä pakollista terveydenhuolto- ja kirjanpitodokumentaatiota ei välttämättä voi poistaa.

9.3. Pyydämme lähettämään pyynnöt osoitteeseen info@ehoclinic.ee. Vastaamme ilman aiheetonta viivytystä, yleensä yhden kuukauden kuluessa; laissa säädetyissä tapauksissa voimme pidentää määräaikaa ja ilmoittaa siitä. Perustellun epäilyn tapauksessa voimme tarkistaa yhteyttä ottavan henkilöllisyyden.

9.4. Henkilöllä on oikeus tehdä valitus tietosuojaviranomaiselle (www.aki.ee) tai kääntyä tuomioistuimen puoleen. Terveydenhuollon palvelun laatua tai potilasvahinkoa koskeviin kysymyksiin voidaan lisäksi soveltaa terveydenhuoltoalan ja potilasvakuutuksen erityissääntöjä.

10. Turvallisuus, alaikäiset ja ehtojen muuttaminen

10.1. Sovellamme henkilötietojen luottamuksellisuuden, eheyden ja saatavuuden huomioon ottavia teknisiä ja organisatorisia suojatoimia, mukaan lukien työtehtävien mukainen pääsyn rajoittaminen. Henkilötietoihin liittyvissä loukkauksissa täytämme tarvittaessa GDPR:n 33 ja 34 artiklasta johtuvat ilmoitusvelvollisuudet.

10.2. Alaikäisten tietoja käsiteltäessä otamme huomioon lapsen oikeudet, edustusoikeuden ja terveydenhuollon palveluihin sovellettavat erityissäännöt. Alaikäisen terveystiedot eivät siirry automaattisesti markkinointiluetteloon.

10.3. Jos sovellamme yksinomaan automatisoitua päätöksentekoa, jolla on henkilölle oikeudellisia tai vastaavasti merkittäviä vaikutuksia, annamme laissa vaadittavat lisätiedot. Tavanomainen varausautomaatio ei sellaisenaan tarkoita tällaista päätöksentekoa.

10.4. Ehtoja voidaan päivittää säädösten, käsittelytapojen tai käytettävien teknologioiden muuttuessa. Ajantasainen versio julkaistaan verkkosivustolla; merkittävästä muutoksesta ilmoitamme erikseen laissa säädetyissä tapauksissa.