Условия конфиденциальности и защиты данных

1. Общие положения и оператор данных

1.1. Настоящие условия конфиденциальности и защиты данных (далее — «условия») объясняют, как Eho Clinic OÜ (далее — «Клиника» или «мы») обрабатывает персональные данные клиентов, пациентов, посетителей сайта и иных лиц, обращающихся к нам, на сайтах ehoclinic.ee и shop.ehoclinic.ee, при бронировании и оказании услуг, выполнении заказов интернет-магазина и в отношениях с клиентами.

1.2. Оператор данных — Eho Clinic OÜ, регистрационный код 16606489, юридический адрес Tehnika tn 35-1, 10149 Tallinn, место оказания услуг Sepapaja 12/1, 11415 Tallinn, email info@ehoclinic.ee, телефон +372 5810 1356.

1.3. Если конкретную услугу или товар оказывает либо продаёт другое юридическое лицо, его данные указываются рядом с соответствующей услугой или покупкой до заключения договора. При необходимости к обработке его персональных данных применяется отдельное уведомление.

1.4. Мы руководствуемся Регламентом (ЕС) 2016/679 Европейского парламента и Совета (GDPR), Законом о защите персональных данных, Законом об электронных коммуникациях и нормативными актами об оказании медицинских услуг. Это уведомление не является согласием на медицинское вмешательство и не разрешает использовать данные пациента в рекламе.

2. Виды и источники обрабатываемых данных

2.1. Персональные и контактные данные: имя и фамилия, телефон, email, язык общения, при необходимости почтовый адрес, дата рождения или личный код. Дату рождения и личный код мы запрашиваем только при обоснованной необходимости или обязанности по закону.

2.2. Данные запросов и бронирований: содержание запроса, интересующая услуга, время приёма, статус бронирования, организационная переписка и, в необходимом объёме, история оказания услуги.

2.3. Данные о здоровье: жалобы, анамнез, результаты исследований, диагнозы, планы лечения, противопоказания, оказанные медицинские услуги, медицинские фотографии, согласия и медицинская документация. Это специальные категории персональных данных по смыслу GDPR.

2.4. Данные о покупках и оплатах: заказанные товары, цена, данные счёта и оплаты, статус оплаты, выбранный способ доставки, почтомат или адрес доставки, возвраты и претензии. Полные данные банковской карты обрабатывает соответствующий поставщик платёжных услуг согласно выбранному способу оплаты.

2.5. Данные использования сайта: IP-адрес, общие сведения об устройстве и браузере, сведения о сессии, технические журналы, а также при выборе пользователя дополнительные аналитические и рекламные признаки.

2.6. Данные прямого маркетинга: email и/или номер телефона, язык общения, время предоставления и отзыва согласия, источник, версия текста, выбранный канал и необходимые доказательства.

2.7. Данные поступают преимущественно от самого человека, его представителя, из среды бронирования, заказа интернет-магазина или прямого контакта. При наличии правового основания мы можем получать данные от медицинского работника, из информационной системы здоровья или от поставщика услуг, участвующего в выполнении заказа. Если данные получены не от самого человека, мы исполняем обязанность уведомления по статье 14 GDPR либо применяем предусмотренное исключение.

3. Цели обработки и правовые основания

3.1. Ответ на запрос и действия до заключения договора: статья 6(1)(b) GDPR; для иных обоснованных обращений — пункт (f), законный интерес.

3.2. Бронирование и оказание немедицинской услуги, а также организация заказа интернет-магазина, оплаты и доставки: статья 6(1)(b) GDPR; для обязательной отчётности — пункт (c).

3.3. Планирование и оказание медицинской услуги, обеспечение безопасности и документирование: в зависимости от действия статья 6(1)(b) или (c) GDPR, а для данных о здоровье дополнительно статья 9(2)(h) с учётом специальных норм здравоохранения и обязанности сохранять тайну.

3.4. Бухгалтерский учёт, налоговый учёт и отчётность по закону: статья 6(1)(c) GDPR.

3.5. Необходимые не рекламные сообщения о бронировании, заказе или услуге: статья 6(1)(b) или (c) в соответствии с содержанием сообщения.

3.6. Прямой маркетинг по email и SMS: как правило, статья 6(1)(a) GDPR, согласие, и § 103¹ Закона об электронных коммуникациях. Контакты прежнего покупателя для предложения собственных аналогичных товаров или услуг используются без нового согласия только при соблюдении всех условий установленного законом исключения.

3.7. Необязательные аналитические и маркетинговые cookies и аналогичные технологии: когда это необходимо — предварительное согласие; при обработке персональных данных обычно статья 6(1)(a) GDPR.

3.8. Безопасность сайта, предотвращение злоупотреблений и защита правовых требований: статья 6(1)(f) или (c), а при необходимости для данных о здоровье — статья 9(2)(f). При законном интересе мы учитываем права и интересы человека.

3.9. Если не предоставлены данные, необходимые для оказания услуги, мы можем не иметь возможности обработать запрос, подтвердить бронирование или выполнить сделку. Маркетинговые согласия добровольны.

4. Особая защита персональных данных и данных о здоровье пациента

4.1. Данные пациента обрабатываются только для законной цели и в необходимом объёме. Доступ имеют лишь лица, чьи должностные обязанности и полномочия этого требуют. Личный интерес к пациенту не даёт права знакомиться с его данными.

4.2. Необходимое составление и хранение медицинских документов основано на законе и обычно не требует отдельного согласия по GDPR. Информированное согласие пациента на конкретное медицинское вмешательство является отдельным правовым вопросом и оформляется согласно Закону об обязательствах.

4.3. Данные передаются в информационную систему здоровья, компетентным органам, другим медицинским работникам и техническим обработчикам только на правовом основании и в необходимом объёме. Указание близкого человека или контактного лица не даёт ему автоматического права на ознакомление с данными о здоровье пациента.

4.4. Общее согласие на рассылку не даёт права использовать диагноз, историю лечения, забронированную медицинскую услугу или другую информацию, раскрывающую данные о здоровье, для формирования рекламных аудиторий или маркетингового профилирования.

4.5. Фотографии, необходимые для документирования лечения, могут храниться как часть медицинской документации. Их публичное использование на сайте или в рекламе при необходимости требует отдельного конкретного согласия и должно соответствовать ограничениям Закона о рекламе.

4.6. Уведомление пациента о защите данных не заменяет его право получить понятную информацию о планируемой медицинской услуге, рисках и альтернативах, а также отдельное решение согласиться на вмешательство.

5. Получатели и передача данных

5.1. Персональные данные в пределах компетенции и необходимости оказания услуги могут получать уполномоченные сотрудники Клиники и поставщики IT, хостинга, бронирования, оплаты, доставки, бухгалтерских, коммуникационных и клиентских услуг. В предусмотренных законом случаях данные могут передаваться публичным органам.

5.2. Когда поставщик услуг обрабатывает данные от нашего имени, применяются договорные требования статьи 28 GDPR. Некоторые поставщики могут быть самостоятельными операторами данных. Дополнительную информацию о конкретных получателях и их ролях можно запросить по адресу info@ehoclinic.ee.

5.3. При передаче персональных данных за пределы Европейской экономической зоны применяется разрешённое главой V GDPR основание, например решение Европейской комиссии о достаточности защиты либо стандартные договорные положения с необходимыми гарантиями. О применяемых мерах защиты можно узнать по указанному выше контакту.

6. Сроки хранения данных

6.1. Мы храним персональные данные только столько, сколько необходимо для достижения цели или предусмотрено законом. Обычные сроки ниже применяются, если для конкретного вида данных не действует более длительный обязательный срок или обоснованная необходимость защиты правового требования.

6.2. Обычный запрос, не приведший к услуге или договору: как правило, до 12 месяцев с последнего содержательного общения. Организационные данные неподтверждённого или отменённого бронирования: как правило, до 12 месяцев с предполагаемого времени приёма, если они не являются частью медицинской документации.

6.3. Данные отношений с клиентом и договора по немедицинским услугам, не входящие в обязательную бухгалтерскую или медицинскую документацию: как правило, до 3 лет после оказания услуги или прекращения договора.

6.4. Первичные бухгалтерские документы: обычно 7 лет с конца соответствующего хозяйственного года, если законом не установлено иное. Данные, подтверждающие оказание медицинской услуги: срок, установленный законом, как правило для некоторых документов 30 лет с подтверждения данных с учётом вида документа и особенностей информационной системы здоровья.

6.5. Маркетинговые данные: до отзыва согласия или прекращения другого разрешённого основания. Необходимость активной базы контактов оценивается не реже одного раза в 24 месяца. Минимальные доказательства согласия и отзыва могут храниться до 3 лет после прекращения маркетинга; минимальные сведения для соблюдения отказа — дольше в обоснованном объёме.

6.6. Обычные журналы безопасности сайта: как правило, до 90 дней. При инциденте безопасности, споре или обязанности по закону необходимые данные могут храниться дольше. Сроки cookies указаны в разделе 8 настоящих условий и в фактическом перечне cookies сайта.

6.7. Указанные сроки — применяемые Клиникой правила хранения. Когда хранение больше не требуется, данные удаляются или обезличиваются. Обязательная медицинская или бухгалтерская документация не удаляется только из-за отзыва маркетингового согласия.

7. Прямой маркетинг и согласия

7.1. Клиника может направлять по email или SMS информацию о собственных новостях, разрешённых немедицинских услугах, товарах и предложениях с соблюдением Закона об электронных коммуникациях и Закона о рекламе. Для рекламы медицинских услуг действуют специальные ограничения.

7.2. Для прямого маркетинга по email и SMS мы запрашиваем отдельное добровольное согласие. Выбор одного канала не включает другой. Чекбоксы не выбраны заранее, а согласие на рекламу не является условием бронирования, покупки или получения медицинской услуги.

7.3. Для доказательства согласия мы храним выбранный канал, дату, место или источник согласия, версию текста и последующий отзыв. При соблюдении условий § 103¹(3) закона мы можем использовать электронный контакт прежнего покупателя для предложения аналогичных собственных товаров или услуг, предоставляя простой бесплатный отказ при сборе контакта и в каждом последующем сообщении.

7.4. Каждое маркетинговое письмо содержит работающую ссылку отказа. В SMS предоставляется простой бесплатный электронный способ отказа. Согласие также можно отозвать по адресу info@ehoclinic.ee. После отказа рекламные сообщения соответствующего канала прекращаются, но необходимые уведомления о бронировании и заказах могут продолжаться при наличии другого правового основания.

7.5. Согласие на email-рассылку не является согласием на аналитические или маркетинговые cookies. Эти выборы делаются отдельно в настройках cookies. Отзыв согласия не влияет на законность обработки, проведённой до отзыва.

8. Cookies и аналогичные технологии

8.1. Cookie — небольшой набор данных, сохраняемый в браузере. Сайт также может использовать другие идентификаторы, сохраняемые на устройстве или считываемые с него, данные локального хранилища и веб-маяки.

8.2. Необходимые cookies обеспечивают безопасность, управление сессией, корзину интернет-магазина, оформление заказа и сохранение предпочтений cookies. Без отдельного согласия они используются только когда это разрешено законом.

8.3. Необязательные функциональные cookies обеспечивают дополнительные предпочтения. Аналитические cookies помогают оценивать использование сайта. Маркетинговые cookies и пиксели могут измерять эффективность рекламы и поддерживать разрешённую рекламную деятельность. Технологии, требующие согласия, не активируются до надлежащего выбора.

8.4. В баннере cookies посетитель может выбрать «Согласиться со всеми», «Отклонить необязательные» или «Изменить настройки». Необязательные категории первоначально выключены. Молчание и дальнейшее использование сайта не являются согласием. Выбор можно позднее изменить по ссылке «Настройки cookies» в футере.

8.5. В настройках cookies сайта отдельно для каждого домена публикуются название фактически используемой cookie или аналогичной технологии, поставщик, цель, категория, срок и при необходимости сведения о доступе третьих лиц или трансграничной передаче. Список изменяется при изменении технических решений и является частью этого раздела.

8.6. Содержание медицинских запросов, диагнозы, планы лечения и другие специальные категории данных не передаются автоматически рекламным пикселям. Техническое отслеживание страниц медицинских услуг и потоков бронирования оценивается отдельно и допускается только в юридически обоснованном объёме.

8.7. Для снижения автоматизированных злоупотреблений в публичных формах запроса и обратного звонка может использоваться Cloudflare Turnstile. Сервис загружается для проверки безопасности формы; его использование описано в политике конфиденциальности Cloudflare.

Политика конфиденциальности Cloudflare

9. Права человека и обращения

9.1. На условиях GDPR человек имеет право получать информацию и доступ к своим данным, требовать исправления или удаления неточных данных, ограничения обработки, возражать, пользоваться правом переноса данных и отзывать данное согласие.

9.2. Против обработки данных для прямого маркетинга можно возражать в любое время. Некоторые права не абсолютны: обязательную медицинскую и бухгалтерскую документацию, требуемую законом, удалить может быть нельзя.

9.3. Просим направлять заявления на info@ehoclinic.ee. Мы отвечаем без необоснованной задержки, как правило, в течение одного месяца; в предусмотренных законом случаях срок может быть продлён с уведомлением. При обоснованном сомнении мы можем проверить личность обратившегося.

9.4. Лицо вправе подать жалобу в Andmekaitse Inspektsioon (www.aki.ee) или обратиться в суд. К вопросам качества медицинской услуги или вреда пациенту дополнительно могут применяться специальные правила здравоохранения и страхования пациентов.

10. Безопасность, несовершеннолетние и изменение условий

10.1. Мы применяем технические и организационные меры защиты, учитывающие конфиденциальность, целостность и доступность персональных данных, включая ограничение доступа по должностным обязанностям. При нарушениях, связанных с персональными данными, при необходимости исполняются обязанности уведомления по статьям 33 и 34 GDPR.

10.2. При обработке данных несовершеннолетних учитываются права ребёнка, представительские полномочия и специальные правила для медицинских услуг. Данные о здоровье несовершеннолетнего не попадают автоматически в маркетинговый список.

10.3. Если мы применяем исключительно автоматизированное принятие решений, имеющее для человека юридическое или сопоставимо значимое влияние, предоставляется требуемая законом дополнительная информация. Обычная автоматизация бронирования сама по себе таким решением не является.

10.4. Условия могут обновляться при изменении законов, способов обработки или используемых технологий. Актуальная редакция публикуется на сайте; о существенном изменении мы отдельно уведомляем в предусмотренных законом случаях.