Privaatsus- ja andmekaitsetingimused

1. Üldsätted ja vastutav töötleja

1.1. Käesolevad privaatsus- ja andmekaitsetingimused (edaspidi „tingimused“) selgitavad, kuidas Eho Clinic OÜ (edaspidi „Kliinik“ või „meie“) töötleb klientide, patsientide, veebikülastajate ja muude meie poole pöörduvate isikute isikuandmeid veebilehtedel ehoclinic.ee ja shop.ehoclinic.ee, teenuste broneerimisel ja osutamisel, veebipoe tellimuste täitmisel ning kliendisuhtluses.

1.2. Vastutav töötleja on Eho Clinic OÜ, registrikood 16606489, registrijärgne aadress Tehnika tn 35-1, 10149 Tallinn, teeninduskoht Sepapaja 12/1, 11415 Tallinn, e-post info@ehoclinic.ee, telefon +372 5810 1356.

1.3. Kui konkreetset teenust või kaupa osutab või müüb teine juriidiline isik, esitatakse selle isiku andmed enne lepingu sõlmimist vastava teenuse või ostu juures. Tema isikuandmete töötlemisele kohaldub vajaduse korral eraldi teavitus.

1.4. Lähtume Euroopa Parlamendi ja nõukogu määrusest (EL) 2016/679 (isikuandmete kaitse üldmäärus, IKÜM), isikuandmete kaitse seadusest, elektroonilise side seadusest ning tervishoiuteenuste osutamist reguleerivatest õigusaktidest. Käesolev teavitus ei ole nõusolek meditsiiniliseks sekkumiseks ega luba kasutada patsiendi andmeid reklaamis.

2. Töödeldavate andmete liigid ja allikad

2.1. Isiku- ja kontaktandmed: ees- ja perekonnanimi, telefon, e-posti aadress, suhtluskeel, vajaduse korral postiaadress, sünniaeg või isikukood. Sünniaega ja isikukoodi küsime üksnes põhjendatud vajaduse või seadusest tuleneva kohustuse korral.

2.2. Päringute ja broneeringute andmed: päringu sisu, huvipakkuv teenus, vastuvõtuaeg, broneeringu staatus, korralduslik suhtlus ning vajalikus ulatuses teenuse osutamise ajalugu.

2.3. Terviseandmed: kaebused, anamnees, uuringute tulemused, diagnoosid, raviplaanid, vastunäidustused, osutatud tervishoiuteenused, meditsiinilised fotod, nõusolekud ja tervishoiudokumendid. Need on IKÜMi tähenduses eriliiki isikuandmed.

2.4. Ostu- ja makseandmed: tellitud kaubad, hind, arve- ja makseandmed, makse staatus, valitud tarneviis, pakiautomaat või tarneaadress, tagastused ja pretensioonid. Täielikke maksekaardi andmeid töötleb asjaomane makseteenuse osutaja vastavalt valitud makselahendusele.

2.5. Veebikasutuse andmed: IP-aadress, seadme ja veebilehitseja üldandmed, seansiteave, tehnilised logid ning kasutaja valikul täiendavad analüütilised ja reklaamiga seotud tunnused.

2.6. Otseturustuse andmed: e-posti aadress ja/või telefoninumber, suhtluskeel, nõusoleku andmise ning tagasivõtmise aeg, allikas, tekstiversioon, valitud kanal ja vajalikud tõendid.

2.7. Andmed pärinevad peamiselt inimeselt endalt, tema esindajalt, broneerimiskeskkonnast, veebipoe tellimusest või otsekontaktist. Seadusliku aluse olemasolul võime saada andmeid tervishoiutöötajalt, tervise infosüsteemist või tellimuse täitmisel osalevalt teenuseosutajalt. Kui andmed ei pärine inimeselt endalt, täidame IKÜMi artikli 14 kohase teavitamiskohustuse või kohaldatava erandi.

3. Töötlemise eesmärgid ja õiguslikud alused

3.1. Päringule vastamine ja lepingu sõlmimisele eelnevad toimingud: IKÜMi artikli 6 lõike 1 punkt b; muude põhjendatud pöördumiste puhul punkt f (õigustatud huvi).

3.2. Mittemeditsiinilise teenuse broneerimine ja osutamine ning veebipoe tellimuse, makse ja tarne korraldamine: IKÜMi artikli 6 lõike 1 punkt b; kohustusliku aruandluse puhul punkt c.

3.3. Tervishoiuteenuse kavandamine, osutamine, ohutuse tagamine ja dokumenteerimine: vastavalt toimingule IKÜMi artikli 6 lõike 1 punkt b või c ning terviseandmete puhul täiendavalt artikli 9 lõike 2 punkt h koos tervishoiuvaldkonna erinormide ja saladuse hoidmise kohustusega.

3.4. Raamatupidamine, maksuarvestus ja õigusaktidest tulenev aruandlus: artikli 6 lõike 1 punkt c.

3.5. Broneeringu, tellimuse ja teenusega seotud vajalikud mittereklaamilised teated: artikli 6 lõike 1 punkt b või c vastavalt teatise sisule.

3.6. E-posti ja SMS-i otseturustus: üldjuhul artikli 6 lõike 1 punkt a (nõusolek) ning elektroonilise side seaduse § 103¹. Varasema ostja kontaktide kasutamine oma samalaadsete kaupade või teenuste pakkumiseks toimub ilma uue nõusolekuta üksnes juhul, kui kõik seaduses sätestatud erandi tingimused on täidetud.

3.7. Valikulised analüütilised ja turunduslikud küpsised ning sarnased tehnoloogiad: nõutaval juhul eelnev nõusolek; isikuandmete töötlemise korral üldjuhul artikli 6 lõike 1 punkt a.

3.8. Veebilehe turvalisus, väärkasutuse ärahoidmine ja õigusnõuete kaitsmine: artikli 6 lõike 1 punkt f või c ning vajaduse korral terviseandmete kohta artikli 9 lõike 2 punkt f. Õigustatud huvi rakendamisel arvestame inimese õiguste ja huvidega.

3.9. Kui teenuse osutamiseks vajalikud andmed jäävad esitamata, ei pruugi meil olla võimalik päringut lahendada, broneeringut kinnitada või tehingut täita. Turunduslikud nõusolekud on vabatahtlikud.

4. Patsiendi isiku- ja terviseandmete erikaitse

4.1. Patsiendiandmeid töödeldakse vaid õiguspärasel eesmärgil ja vajalikus ulatuses. Ligipääs on üksnes isikutel, kelle tööülesanded ja volitused seda eeldavad. Isiklik huvi patsiendi vastu ei anna õigust tema andmetega tutvuda.

4.2. Vajalik tervishoiudokumentide koostamine ja säilitamine põhineb õigusaktidel ega eelda üldjuhul eraldi IKÜMi nõusolekut. Seevastu patsiendi informeeritud nõusolek konkreetseks meditsiiniliseks sekkumiseks on eraldi õigusküsimus ja vormistatakse vastavalt võlaõigusseadusele.

4.3. Tervise infosüsteemile, pädevatele asutustele, teistele tervishoiutöötajatele ja tehnilistele töötlejatele edastatakse andmeid ainult õiguslikul alusel ning vajalikus ulatuses. Lähedase või kontaktisiku märkimine ei anna talle automaatset õigust tutvuda patsiendi terviseandmetega.

4.4. Üldine uudiskirja nõusolek ei anna õigust kasutada diagnoosi, raviajalugu, broneeritud meditsiinilist teenust ega muud terviseandmeid avaldavat teavet reklaamiauditooriumide moodustamiseks või turunduslikuks profileerimiseks.

4.5. Ravi dokumenteerimiseks vajalikke fotosid võib säilitada tervishoiudokumentatsiooni osana. Nende avalik kasutamine veebilehel või reklaamis eeldab vajaduse korral eraldi konkreetset nõusolekut ning peab olema kooskõlas reklaamiseaduse piirangutega.

4.6. Patsiendi teavitamine andmekaitsest ei asenda tema õigust saada arusaadavat teavet kavandatava tervishoiuteenuse, riskide ja alternatiivide kohta ega tema eraldi otsust sekkumisega nõustumise kohta.

5. Andmete saajad ja edastamine

5.1. Isikuandmeid võivad oma pädevuse ja teenuse osutamise vajaduse piires saada Kliiniku volitatud töötajad ning IT-, veebimajutuse-, broneerimise-, makse-, tarne-, raamatupidamis-, side- ja kliendisuhtlusteenuste osutajad. Andmeid võidakse edastada avalik-õiguslikele asutustele seaduses ettenähtud juhtudel.

5.2. Kui teenuseosutaja töötleb isikuandmeid meie nimel, rakendame IKÜMi artikli 28 kohaseid lepingulisi nõudeid. Mõned teenuseosutajad võivad olla sõltumatud vastutavad töötlejad. Täiendavat teavet konkreetsete andmesaajate ja nende rollide kohta saab küsida aadressilt info@ehoclinic.ee.

5.3. Kui isikuandmeid edastatakse väljapoole Euroopa Majanduspiirkonda, toimub see IKÜMi V peatükis lubatud alusel, näiteks Euroopa Komisjoni kaitse piisavuse otsuse või asjakohaste lepingu tüüptingimuste alusel koos vajalike tagatistega. Kohaldatavate kaitsemeetmete kohta saab lisateavet eeltoodud kontaktilt.

6. Andmete säilitustähtajad

6.1. Säilitame isikuandmeid üksnes eesmärgi saavutamiseks vajalikul ajal või õigusaktis sätestatud tähtaja jooksul. Allpool toodud tavapäraseid tähtaegu kohaldame tingimusel, et konkreetse andmeliigi suhtes ei kehti pikem kohustuslik tähtaeg või põhjendatud õigusnõude kaitsmise vajadus.

6.2. Tavapärane päring, millele ei järgne teenust ega lepingut: üldjuhul kuni 12 kuud viimasest sisulisest suhtlusest. Kinnitamata või tühistatud broneeringu korralduslikud andmed: üldjuhul kuni 12 kuud kavandatud vastuvõtuajast, kui need ei ole osa tervishoiudokumentatsioonist.

6.3. Mittemeditsiiniliste teenuste kliendisuhtluse ja lepingulised andmed, mis ei kuulu kohustusliku raamatupidamise või tervishoiudokumentatsiooni hulka: üldjuhul kuni 3 aastat teenuse osutamisest või lepingu lõppemisest.

6.4. Raamatupidamise algdokumendid: üldjuhul 7 aastat asjaomase majandusaasta lõpust, kui seadus ei näe ette erisust. Tervishoiuteenuse osutamist tõendavad andmed: seaduses määratud tähtaeg, üldreeglina teatavate dokumentide puhul 30 aastat andmete kinnitamisest, arvestades dokumentide liikide ja tervise infosüsteemi erisusi.

6.5. Turundusandmed: kuni nõusoleku tagasivõtmiseni või muu lubatud aluse lõppemiseni. Aktiivse kontaktibaasi vajalikkust hindame vähemalt iga 24 kuu järel. Nõusoleku ja tagasivõtmise minimaalseid tõendeid võime säilitada kuni 3 aastat turunduse lõppemisest; loobumise austamiseks vajalikku minimaalset teavet võime säilitada ka kauem põhjendatud ulatuses.

6.6. Tavapärased veebilehe turvalisuse logid: üldjuhul kuni 90 päeva. Turvaintsidendi, vaidluse või seadusest tuleneva kohustuse puhul võib vajalikku teavet säilitada kauem. Küpsiste säilitustähtajad esitatakse käesolevate tingimuste 8. jaos ja veebilehe tegelikus küpsiste loendis.

6.7. Eelnimetatud tähtajad on Kliiniku rakendatavad säilitamisreeglid. Kui andmeid pole enam vajalik säilitada, kustutame või anonüümime need. Kohustuslikku tervishoiu- või raamatupidamisdokumenti ei kustutata ainuüksi turundusnõusoleku tagasivõtmise tõttu.

7. Otseturustus ja nõusolekud

7.1. Kliinik võib saata e-postiga või SMS-i teel teavet enda uudiste, lubatud mittemeditsiiniliste teenuste, kaupade ja pakkumiste kohta, järgides elektroonilise side seadust ja reklaamiseadust. Tervishoiuteenuste reklaamile kohaldatakse eripiiranguid.

7.2. E-posti ning SMS-i otseturustuseks küsime eraldi vabatahtliku nõusoleku. Ühe kanali valimine ei hõlma teist kanalit. Märkeruudud ei ole eelnevalt valitud ning reklaamiga nõustumine ei ole broneerimise, ostu ega tervishoiuteenuse saamise tingimus.

7.3. Nõusoleku tõendamiseks säilitame valitud kanali, kuupäeva, nõusoleku andmise koha või allika, teksti versiooni ja hilisema tagasivõtmise. Kui seaduse § 103¹ lõikes 3 ettenähtud tingimused on täidetud, võime kasutada varasema ostja elektroonilist kontakti oma samalaadsete kaupade või teenuste pakkumiseks, andes lihtsa tasuta loobumisvõimaluse kontakti kogumisel ning iga järgneva sõnumi juures.

7.4. Igas turunduslikus e-kirjas on toimiv loobumislink. SMS-sõnumis antakse lihtne ja tasuta elektrooniline loobumisviis. Nõusoleku saab tagasi võtta ka aadressil info@ehoclinic.ee. Pärast loobumist lõpetame vastava kanali reklaamsõnumid, kuid vajalikud broneeringu- ja tellimusteated võivad jätkuda muu õigusliku aluse olemasolul.

7.5. Nõusolek e-posti uudiskirja saamiseks ei ole nõusolek analüütiliste või turunduslike küpsiste paigaldamiseks. Need valikud tehakse eraldi küpsiste seadetes. Nõusoleku tagasivõtmine ei mõjuta enne selle tagasivõtmist toimunud õiguspärase töötlemise seaduslikkust.

8. Küpsised ja sarnased tehnoloogiad

8.1. Küpsis on veebilehitsejasse salvestatav väike andmekogum. Veebileht võib kasutada ka muid seadmesse salvestatavaid või sealt loetavaid tunnuseid, kohaliku salvestusruumi andmeid ja veebimajakaid.

8.2. Hädavajalikud küpsised võimaldavad turvalisust, seansihaldust, veebipoe ostukorvi, tellimuse vormistamist ja küpsise-eelistuste talletamist. Neid kasutatakse ilma eraldi nõusolekuta üksnes siis, kui seadus seda võimaldab.

8.3. Valikulised funktsionaalsed küpsised võimaldavad täiendavaid eelistusi. Analüütilised küpsised aitavad hinnata veebilehe kasutamist. Turunduslikud küpsised ja pikslid võivad mõõta reklaami tulemuslikkust ning toetada lubatud reklaamitegevusi. Nõusolekut nõudvad tehnoloogiad ei aktiveeru enne nõuetekohast valikut.

8.4. Külastaja saab küpsiste bänneris valida „Nõustun kõigiga“, „Keeldun valikulistest“ või „Muudan seadeid“. Valikulised kategooriad on algselt välja lülitatud. Vaikimine ja lehe edasine kasutamine ei ole nõusolek. Valikuid saab hiljem muuta veebilehe jaluses oleva lingi „Küpsiste seaded“ kaudu.

8.5. Veebilehe küpsiste seadete vaates avaldatakse eraldi mõlema domeeni kohta tegelikult kasutatava küpsise või sarnase tehnoloogia nimi, pakkuja, eesmärk, kategooria, kestus ja vajaduse korral kolmandate osapoolte ligipääsu või piiriülese edastamise teave. Loendit muudetakse siis, kui tehnilised lahendused muutuvad. Veebilehe küpsiste seadetes kuvatud tegelik loend on käesoleva jao osa.

8.6. Meditsiiniliste päringute sisu, diagnoose, raviplaane ega muid eriliigilisi isikuandmeid ei edastata automaatselt reklaamipikslitele. Tervishoiuteenuste lehtede ja broneerimisvoogude tehnilist jälgimist hinnatakse eraldi ning lubatakse ainult õiguslikult põhjendatud ulatuses.

8.7. Avalike päringu- ja tagasikutsumisvormide automatiseeritud väärkasutuse vähendamiseks võib kasutada Cloudflare Turnstile’i. Teenust laaditakse vormi turvakontrolli jaoks; selle kasutamist kirjeldab Cloudflare’i privaatsuspõhimõte.

Cloudflare’i privaatsuspõhimõte

9. Inimese õigused ja pöördumised

9.1. IKÜMis sätestatud tingimustel on inimesel õigus saada teavet ja juurdepääsu oma isikuandmetele, nõuda ebatäpsete andmete parandamist või kustutamist, töötlemise piiramist, esitada vastuväiteid, kasutada andmete ülekandmise õigust ning võtta tagasi antud nõusolek.

9.2. Otseturustuse eesmärgil isikuandmete töötlemisele saab igal ajal vastu vaielda. Mõned õigused ei ole absoluutsed: seadusest tulenevat kohustuslikku tervishoiu- ja raamatupidamisdokumentatsiooni ei pruugi saada kustutada.

9.3. Taotlused palume saata aadressile info@ehoclinic.ee. Vastame põhjendamatu viivituseta, üldjuhul ühe kuu jooksul; seaduses sätestatud juhul võime tähtaega pikendada ning sellest teavitada. Põhjendatud kahtluse korral võime kontrollida pöörduja isikusamasust.

9.4. Isikul on õigus esitada kaebus Andmekaitse Inspektsioonile (www.aki.ee) või pöörduda kohtusse. Tervishoiuteenuse kvaliteedi või patsiendikahjuga seotud küsimustele võivad lisaks kohalduda tervishoiuvaldkonna ja patsiendikindlustuse erireeglid.

10. Turvalisus, alaealised ja tingimuste muutmine

10.1. Rakendame isikuandmete konfidentsiaalsust, terviklust ja kättesaadavust arvestavaid tehnilisi ning korralduslikke kaitsemeetmeid, sh ligipääsu piiramist vastavalt tööülesannetele. Isikuandmetega seotud rikkumiste puhul täidame vajaduse korral IKÜMi artiklitest 33 ja 34 tulenevad teavitamiskohustused.

10.2. Alaealiste andmete töötlemisel arvestame lapse õigusi, esindusõigust ja tervishoiuteenustele kehtivaid erireegleid. Alaealise terviseandmed ei lähe automaatselt turundusnimekirja.

10.3. Kui rakendame üksnes automatiseeritud otsustamist, millel on inimesele õiguslik või samaväärselt oluline mõju, esitame seadusega nõutud täiendava teabe. Tavaline broneerimisautomaatika ei tähenda iseenesest niisugust otsustamist.

10.4. Tingimusi võidakse ajakohastada õigusaktide, töötlemisviiside või kasutatavate tehnoloogiate muutumisel. Ajakohane redaktsioon avaldatakse veebilehel; olulisest muudatusest teavitame seaduses ettenähtud juhtudel eraldi.