Kusties privātuma politika

1. Kas ir atbildīgs par jūsu datiem#

Pakalpojumu Kusties (vietni kusties.com, tīmekļa lietotni kusties.app un Kusties atskaņotāja lietotni Android ierīcēm) nodrošina:

Šajā politikā «Kusties», «mēs» un «mūsu» nozīmē SIA "Kusties.com".

Datu aizsardzības speciālists. Mēs neesam iecēluši datu aizsardzības speciālistu. Visus jautājumus par personas datiem, lūdzu, sūtiet uz iepriekš norādīto e-pasta adresi.

2. Uz ko attiecas šī politika#

Šī politika izskaidro, kā mēs apstrādājam personas datus saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2016/679 (Vispārīgā datu aizsardzības regula, turpmāk – VDAR) un Fizisko personu datu apstrādes likumu. Tā attiecas uz:

• speciālistiem un citiem Kusties lietotājiem (fizioterapeitiem, masieriem, ārstiem, sporta treneriem u. c.), kuriem ir konts lietotnē kusties.app;
• vietnes kusties.com apmeklētājiem un personām, kuras aizpilda vietnes pieteikuma formas;
• personām, kuras sazinās ar mums;
• maksātāju kontaktpersonām, kad būs ieslēgta norēķinu funkcija;
• pacientiem un klientiem tiktāl, ciktāl mēs paši esam pārzinis (skatīt 3. sadaļu).

Ja esat speciālista pacients vai klients, jūsu datus, ko speciālists ievada Kusties (piemēram, piezīmes, klīniskos dokumentus, vingrinājumu programmas un vizītes), apstrādā jūsu speciālists kā pārzinis. Mēs tos apstrādājam tikai speciālista uzdevumā (skatīt 3.2. apakšsadaļu). Papildu informācija pacientiem ir paziņojumā pacientiem: https://kusties.com/pacientiem.

3. Mūsu loma: pārzinis vai apstrādātājs#

3.1. Kad esam pārzinis#

Mēs esam pārzinis (paši nosakām apstrādes nolūkus un līdzekļus) šādiem datiem:

• speciālistu un citu lietotāju konti, profils un pieslēgšanās, tostarp divpakāpju pierakstīšanās;
• pieslēgšanās sesijas un ierīces;
• drošības audita žurnāls;
• uzskaite par to, kurus dokumentus un kuras to versijas esat pieņēmis;
• norēķini un rēķini (kad funkcija ieslēgta);
• konta un pakalpojuma e-pasti lietotājiem, kā arī padomu un mārketinga e-pasti (kad tie ieslēgti);
• vietne kusties.com un tās pieteikuma formas;
• saziņa ar mums un atbalsts;
• pacientu IP adreses, ko izmantojam pieprasījumu ierobežošanai un pakalpojuma drošībai, kā arī vingrinājumu video un attēlu piegāde pacientu lapās (4.13. apakšsadaļa);
• publiskoto vingrinājumu rādīšana citiem speciālistiem (4.14. apakšsadaļa);
• klienta kabineta (pacientu kontu) daļa, kad tā ieslēgta: pacienta konts, saite starp kontu un speciālista klienta kartīti, piekrišanas un piekļuves uzskaite.

3.2. Kad esam apstrādātājs#

Speciālists, kurš izmanto Kusties savā darbā (vēlāk arī klīnika), ir pārzinis datiem par saviem pacientiem un klientiem. Mēs šos datus apstrādājam kā apstrādātājs (VDAR 28. pants) tikai speciālista uzdevumā un saskaņā ar datu apstrādes līgumu (https://kusties.com/datu-apstrades-ligums), kas ir Lietošanas noteikumu (https://kusties.com/noteikumi) pielikums. Tie ir:

• klienta kartīte: vārds, uzvārds, e-pasta adrese, tālruņa numurs, saziņas valoda un dzimšanas diena (ja norādīta);
• pacienta piezīmes, klīniskie dokumenti un veidlapas, ko pacients aizpilda pirms vizītes (saites /f/…); tajos var būt personas kods un veselības dati;
• pacienta brīdinājumi (piemēram, par elektrokardiostimulatoru);
• vingrinājumu programmas, programmas privātā piezīme un pacienta izpildes atzīmes ar atsauksmēm;
• vizītes, atgādinājumi un ziņas, ko speciālista vārdā sūtām pacientiem, kā arī šo ziņu žurnāls.

Šo datu apstrādes tiesisko pamatu, tostarp veselības datu apstrādes pamatu, nosaka speciālists.

Ja esat pacients un vēlaties izmantot savas tiesības attiecībā uz šiem datiem, vērsieties pie sava speciālista. Ja pieprasījumu nosūtīsiet mums, mēs to nodosim speciālistam un palīdzēsim viņam atbildēt.

Kusties darbinieku piekļuve. Kusties administratori (mūsu darbinieki) atbalsta un uzturēšanas nolūkā lietotnē var atvērt speciālistu klientu kartītes, programmas, pacientu izpildes atzīmes un atsauksmes, vizītes, kā arī pacientiem nosūtīto ziņu žurnālu, kurā ir adresāta kontaktinformācija un ziņas saturs. Pacientu piezīmes, klīniskos dokumentus, pacientu brīdinājumus un programmas privāto piezīmi redz tikai speciālists, kurš tos izveidojis; lietotnē administratoriem tiem piekļuves nav; sk. arī datu apstrādes līguma 7.2. punkta d) apakšpunktu (personas ar piekļuvi infrastruktūrai tehniski var piekļūt visiem datiem).

4. Kādus datus apstrādājam, kāpēc un uz kāda pamata#

Šajā sadaļā aprakstīta apstrāde, kurā esam pārzinis. Glabāšanas termiņu kopsavilkums ir 5. sadaļā. Funkcijas, kas šīs versijas datumā vēl nav ieslēgtas, ir apzīmētas ar «(kad ieslēgta)»; līdz tam šie dati netiek vākti.

Ja apstrāde balstās uz mūsu leģitīmajām interesēm (VDAR 6. panta 1. punkta f) apakšpunkts), šīs intereses ir norādītas pie attiecīgā nolūka. Pret šādu apstrādi varat iebilst (skatīt 8. sadaļu).

Vārds, uzvārds, e-pasta adrese un parole ir nepieciešami līguma noslēgšanai: bez tiem kontu izveidot nevar. Norēķinu dati (kad norēķini ieslēgti) ir nepieciešami rēķina izrakstīšanai un grāmatvedības prasību izpildei; bez tiem maksas plānu aktivizēt nevar. Pārējo datu (piemēram, tālruņa numura, profesionālā reģistra numura) sniegšana ir brīvprātīga.

4.1. Konts un profils#

• Dati: vārds, uzvārds, e-pasta adrese, tālruņa numurs, vēlamā valoda un krāsu tēma; profesija (arī brīvā tekstā), profesionālā reģistra numurs, profesijas pārbaudes datums un administrators, kurš to pārbaudīja.
• Avots: jūs vai Kusties administrators, kurš izveidoja jūsu kontu. Šobrīd kontus izveido administrators; pašreģistrācija ar e-pastu būs pieejama, kad tā tiks ieslēgta.
• Nolūks: konta izveide un uzturēšana; pakalpojuma sniegšana; jūsu vārda un uzvārda norādīšana ziņās, ko jūsu vārdā sūtām jūsu pacientiem (piemēram, SMS atgādinājumā); jūsu vārda un profesijas rādīšana pacientiem klienta kabinetā (kad ieslēgts).
• Tiesiskais pamats: līguma izpilde (VDAR 6. panta 1. punkta b) apakšpunkts).
• Glabāšana: kamēr konts ir aktīvs. Slēdzot kontu, to deaktivizē; pašlaik deaktivizēta konta dati netiek automātiski dzēsti.

4.2. Pieslēgšanās un divpakāpju pierakstīšanās#

• Dati: paroles jaucējvērtība (bcrypt; pašu paroli mēs neglabājam) un konta drošības versijas numurs; ja ieslēgta divpakāpju pierakstīšanās – šifrēts autentifikācijas lietotnes noslēpums un rezerves kodu jaucējvērtības; paroles iestatīšanas un atjaunošanas saišu jaucējvērtības un derīguma termiņi; pieslēgšanās otrā soļa laikā – īslaicīgs pieprasījums ar IP adresi un pārlūkprogrammas un ierīces aprakstu (user agent).
• Nolūks: jūsu identitātes pārbaude pieslēdzoties un konta aizsardzība.
• Tiesiskais pamats: līguma izpilde (VDAR 6. panta 1. punkta b) apakšpunkts) un leģitīmās intereses (VDAR 6. panta 1. punkta f) apakšpunkts) – aizsargāt kontus un tajos glabātos pacientu datus pret nesankcionētu piekļuvi. Divpakāpju pierakstīšanās ir obligāta administratoriem un brīvprātīga pārējiem lietotājiem.
• Glabāšana: paroles jaucējvērtība – kamēr pastāv konts; divpakāpju pierakstīšanās dati – līdz to izslēdzat vai nomaināt; otrā soļa pieprasījums – 5 minūtes; paroles atjaunošanas saite ir derīga 1 stundu, paroles iestatīšanas saite – 72 stundas, un tās tiek dzēstas 7 dienas pēc derīguma beigām vai izmantošanas.

4.3. Pieslēgšanās sesijas un ierīces#

• Dati: pieslēgšanās laiks, pēdējās aktivitātes laiks, derīguma termiņš, izrakstīšanas laiks un iemesls, pieslēgšanās veids, IP adrese, pārlūkprogrammas un ierīces apraksts, ierīces veids, pārlūkprogramma un operētājsistēma.
• Nolūks: konta drošība; sadaļa «Manas ierīces», kurā redzat, kur konts ir atvērts, un varat izrakstīt jebkuru ierīci; atbalsts.
• Tiesiskais pamats: leģitīmās intereses (VDAR 6. panta 1. punkta f) apakšpunkts) – atklāt un novērst nesankcionētu piekļuvi kontam un ļaut jums pārvaldīt savas ierīces.
• Kas redz: jūs; Kusties administratori – to kontu sesijas, kurus viņi pārvalda.
• Glabāšana: sesijas ieraksts tiek automātiski dzēsts 90 dienas pēc sesijas beigām. Sesija beidzas, ja 7 dienas nav aktivitātes, un ne vēlāk kā 30 dienas pēc pieslēgšanās.

4.4. Drošības audita žurnāls#

• Dati: kas veica darbību (lietotāja identifikators un loma), darbība, objekta identifikators, tehniskas detaļas (tikai identifikatori un kodi) un pieprasījuma identifikators. Neveiksmīgai pieslēgšanās reizei, atkārtoti izmantotam pieslēgšanās žetonam, ar paroli saistītiem notikumiem un administratoru darbībām tiek saglabāta arī pieprasījuma IP adrese. Veiksmīgu pieslēgšanos reģistrē bez IP adreses.
• Nolūks: pakalpojuma drošība, incidentu izmeklēšana un pārskatatbildība.
• Tiesiskais pamats: leģitīmās intereses (VDAR 6. panta 1. punkta f) apakšpunkts) – aizsargāt pakalpojumu un spēt pierādīt, kas un kad veica drošībai nozīmīgas darbības.
• Glabāšana: vismaz 3 gadus. Ierakstus nevar grozīt. Automātiska dzēšana pēc termiņa beigām vēl nav ieviesta, tāpēc pašlaik ieraksti tiek glabāti bez beigu termiņa.

4.5. Dokumentu pieņemšanas uzskaite#

• Dati: kuru dokumentu (Lietošanas noteikumi, privātuma politika, datu apstrādes līgums, klienta kabineta noteikumi) un kuru tā versiju pieņēmāt, kādā veidā un kad, kā arī IP adrese un pārlūkprogrammas un ierīces apraksts.
• Nolūks: pierādīt, ka dokumenti ir pieņemti, un zināt, kad jāprasa pieņemt jaunu versiju.
• Tiesiskais pamats: leģitīmās intereses (VDAR 6. panta 1. punkta f) apakšpunkts) – spēt pierādīt līguma noteikumus; ja apstrāde balstās uz piekrišanu, arī juridisks pienākums spēt pierādīt piekrišanu (VDAR 6. panta 1. punkta c) apakšpunkts un 7. panta 1. punkts).
• Glabāšana: pašlaik bez beigu termiņa.

4.6. Konta un pakalpojuma e-pasti lietotājiem#

• Dati: e-pasta adrese, vārds, valoda, ziņas veids un nosūtīšanas laiks.
• Ziņas: paroles iestatīšanas un atjaunošanas saites; drošības paziņojumi (parole nomainīta, divpakāpju pierakstīšanās izslēgta vai atiestatīta, izmantots rezerves kods); paziņojums, ka pacients iesniedzis veidlapu (tajā minēts tikai pacienta vārds); kad ieslēgti – izmēģinājuma, norēķinu, SMS limita un datu eksporta paziņojumi.
• Tiesiskais pamats: līguma izpilde (VDAR 6. panta 1. punkta b) apakšpunkts); drošības paziņojumiem arī leģitīmās intereses (VDAR 6. panta 1. punkta f) apakšpunkts) – brīdināt jūs par iespējamu nesankcionētu piekļuvi.
• Glabāšana: šo e-pastu saturu mūsu sistēmā neglabājam. Dažiem automātiskiem e-pastiem glabājam ierakstu par ziņas veidu un nosūtīšanas laiku, lai tos nenosūtītu atkārtoti; šis ieraksts tiek glabāts, kamēr pastāv konts. E-pasta pakalpojuma sniedzējs glabā savus nosūtīšanas žurnālus saskaņā ar savu glabāšanas politiku.

4.7. Padomu un mārketinga e-pasti (kad ieslēgti)#

• Dati: e-pasta adrese, vārds, jūsu izvēle par mārketinga ziņām, atrakstīšanās identifikators un informācija par konta iestatīšanas gaitu (piemēram, vai padomi ir izslēgti).
• Mārketinga e-pastus sūtām tikai ar jūsu piekrišanu (VDAR 6. panta 1. punkta a) apakšpunkts). Reģistrācijas formā piekrišanas lodziņš nav iepriekš atzīmēts. Piekrišanu varat atsaukt jebkurā laikā ar atrakstīšanās saiti e-pastā vai rakstot mums.
• Padomus par pakalpojuma lietošanu izmēģinājuma laikā sūtām, pamatojoties uz leģitīmajām interesēm (VDAR 6. panta 1. punkta f) apakšpunkts) – palīdzēt jums sākt lietot pakalpojumu. Katrā padomu e-pastā ir atrakstīšanās saite.
• Konta paziņojumi (piemēram, par izmēģinājuma beigām vai rēķinu) tiek sūtīti neatkarīgi no šīm izvēlēm, jo tie nepieciešami līguma izpildei.
• Mārketinga un padomu ziņas nekad netiek sūtītas SMS veidā.
• Glabāšana: kamēr pastāv konts vai līdz piekrišanas atsaukšanai.

4.8. Norēķini un rēķini (kad ieslēgti)#

• Dati: maksātāja veids (uzņēmums, pašnodarbinātais vai privātpersona); nosaukums vai vārds un uzvārds; reģistrācijas numurs (obligāts tikai uzņēmumiem; personas kodu nevācam); PVN numurs, tā pārbaudes rezultāts un laiks; adrese; valsts; e-pasta adrese rēķiniem; plāns, abonements, rēķinu numuri, periodi, summas un statuss, kredītrēķini, SMS izlietojums; pieprasījuma brīdī iesniegto datu kopija; Lietošanas noteikumu un datu apstrādes līguma pieņemšana ar IP adresi un pārlūkprogrammas un ierīces aprakstu.
• Nolūks: plāna aktivizēšana, rēķinu sagatavošana, maksājumu uzskaite, atgādinājumi par kavētiem maksājumiem, PVN numura pārbaude.
• Tiesiskais pamats: līguma izpilde (VDAR 6. panta 1. punkta b) apakšpunkts) un juridisks pienākums (VDAR 6. panta 1. punkta c) apakšpunkts) – grāmatvedības un nodokļu prasības.
• Kas redz: konta īpašnieks un Kusties galvenais administrators.
• Saņēmēji: Eiropas Komisijas VIES sistēma (tikai PVN numurs); grāmatvedis un grāmatvedības programmas nodrošinātājs.
• Glabāšana: tik ilgi, cik to nosaka grāmatvedības un nodokļu tiesību akti.

4.9. Viena izmēģinājuma kontrole (kad ieslēgta)#

• Dati: jaucējvērtība (HMAC-SHA-256), ko aprēķina no normalizētas e-pasta adreses ar slepenu atslēgu. Pašu adresi šim nolūkam neglabājam.
• Nolūks: nodrošināt, ka bezmaksas izmēģinājumu vienai e-pasta adresei piešķir tikai vienu reizi.
• Tiesiskais pamats: leģitīmās intereses (VDAR 6. panta 1. punkta f) apakšpunkts) – novērst izmēģinājuma ļaunprātīgu izmantošanu.
• Glabāšana: bez beigu termiņa, arī pēc konta slēgšanas.

4.10. Vietnes kusties.com apmeklējums#

• Dati: IP adrese, pārlūkprogrammas un ierīces apraksts un pieprasītā adrese mitināšanas pakalpojuma sniedzēja tehniskajos žurnālos.
• Nolūks: vietnes darbība, satura piegāde un drošība.
• Tiesiskais pamats: leģitīmās intereses (VDAR 6. panta 1. punkta f) apakšpunkts) – nodrošināt, ka vietne darbojas droši.
• Glabāšana: tehniskos žurnālus glabā vietnes mitināšanas pakalpojuma sniedzējs tik ilgi, cik to paredz tā glabāšanas politika.
• Vietne pati neiestata sīkdatnes un neizmanto analītiku vai izsekošanu; fontus ielādē no mūsu pašu servera. Saites uz Facebook, Instagram un LinkedIn ir parastas saites: šīs platformas saņem datus tikai tad, ja uz saites noklikšķināt.

4.11. Pieteikuma formas vietnē kusties.com#

• Dati: forma «Pieteikt demo» – e-pasta adrese; forma «Saņemt piedāvājumu klīnikai» – vārds, organizācija, e-pasta adrese un speciālistu skaits.
• Nolūks: sazināties ar jums par demonstrāciju vai sagatavot piedāvājumu.
• Tiesiskais pamats: pasākumi pēc jūsu pieprasījuma pirms līguma noslēgšanas (VDAR 6. panta 1. punkta b) apakšpunkts). Mārketinga ziņas uz šo adresi sūtīsim tikai ar jūsu piekrišanu.
• Saņēmējs: Mailchimp (Intuit); dati tiek glabāti ASV (skatīt 6. un 7. sadaļu). Iesniedzot formu «Pieteikt demo», jaunā cilnē atveras Mailchimp lapa. Forma «Saņemt piedāvājumu klīnikai» nosūta datus uz Mailchimp, neatverot citu lapu.
• Glabāšana: kamēr pieteikums vajadzīgs, lai ar jums sazinātos par demonstrāciju vai piedāvājumu; pēc jūsu pieprasījuma to dzēšam.

4.12. Saziņa ar mums un atbalsts#

• Dati: vārds, e-pasta adrese, ziņas saturs un pielikumi, ko mums sūtāt, un ieraksti par pieprasījuma izpildi.
• Nolūks: atbildēt uz jautājumiem, sniegt atbalstu lietotājiem, izpildīt datu subjektu tiesību pieprasījumus un izskatīt pieprasījumus noņemt saturu (piemēram, video).
• Tiesiskais pamats: leģitīmās intereses (VDAR 6. panta 1. punkta f) apakšpunkts) – atbildēt uz jums adresētiem jautājumiem; līguma izpilde (b) apakšpunkts) – atbalsts lietotājiem; juridisks pienākums (c) apakšpunkts) – datu subjektu tiesību pieprasījumi (VDAR 12.–22. pants).
• Glabāšana: kamēr sarakste vajadzīga jautājuma atrisināšanai, un pēc tam tik ilgi, cik tā var būt vajadzīga, lai pierādītu pieprasījuma izpildi vai aizstāvētu tiesiskas prasības.

4.13. Lietotnes kusties.app tehniskā darbība un drošība#

• Dati: IP adrese, ko izmantojam pieprasījumu skaita ierobežošanai (piemēram, pieslēgšanās mēģinājumiem, veidlapām un SMS sūtīšanai); tehniskie žurnāli ar pieprasījuma metodi, adresi, statusu, ilgumu un identifikatoru. Žurnālos netiek rakstītas IP adreses, pārlūkprogrammu un ierīču apraksti, e-pasta adreses, tālruņu numuri, žetoni un ziņu saturs.
• Nolūks: pakalpojuma darbība, kļūdu novēršana un aizsardzība pret ļaunprātīgu izmantošanu.
• Tiesiskais pamats: leģitīmās intereses (VDAR 6. panta 1. punkta f) apakšpunkts) – nodrošināt pakalpojuma drošu darbību.
• Glabāšana: pieprasījumu skaitītāji dzēšas automātiski pēc 1 minūtes līdz 24 stundām (atkarībā no ierobežojuma); tehniskos žurnālus glabā mitināšanas pakalpojuma sniedzējs DigitalOcean saskaņā ar savu glabāšanas politiku.
• Pacientu lapas (programmas saite /workout/… un veidlapas saite /f/…): vingrinājumu video un attēli tiek ielādēti no Cloudflare, kas saņem apmeklētāja IP adresi un pārlūkprogrammas un ierīces aprakstu.
• Android lietotne: Kusties atskaņotāja lietotne ierīcē glabā tikai izvēlēto krāsu tēmu. Tā neizmanto analītiku un kļūdu pārskatus un sazinās tikai ar Kusties serveriem un Cloudflare Stream (video).

4.14. Paša veidoti vingrinājumi un video (kad ieslēgti)#

• Dati: vingrinājumu teksti, video un to sākotnējais faila nosaukums, pārskatīšanas lēmumi un to iemesli. Video var būt redzamas personas.
• Nolūks: jūsu vingrinājumu glabāšana un rādīšana, publiskošanas pārskatīšana un satura noņemšana.
• Tiesiskais pamats: līguma izpilde (VDAR 6. panta 1. punkta b) apakšpunkts), ieskaitot licenci, kas noteikta Lietošanas noteikumos. Augšupielādētājs apliecina, ka ir saņēmis katras video redzamās personas piekrišanu; video nedrīkst ļaut identificēt pacientu.
• Loma: ja privātā vingrinājuma video ir pacientu dati, Kusties to apstrādā kā apstrādātājs saskaņā ar datu apstrādes līgumu; publiskotu vingrinājumu rādīšana citiem speciālistiem ir Kusties kā pārziņa apstrāde.
• Noņemšana: pieprasījumu noņemt video var iesniegt ikviens, arī video redzamā persona vai tās likumiskais pārstāvis (vecāks vai aizbildnis), rakstot uz [email protected]. Pēc noņemšanas video vairs netiek rādīts vingrinājumos, un tā atskaņošana tiek bloķēta.
• Glabāšana: vingrinājumi un to vēsture tiek glabāti; video glabājas Cloudflare Stream, līdz administrators to izdzēš.

4.15. Klienta kabinets (kad ieslēgts)#

Speciālists var uzaicināt savu pacientu izveidot kontu klienta kabinetā. Tur pacients redz savas programmas un vizītes.

• Dati: e-pasta adrese, paroles jaucējvērtība, vārds, uzvārds un valoda; saite starp kontu un speciālista klienta kartīti (kad un kādā veidā izveidota); ielūguma dati (saites jaucējvērtība, kanāls, daļēji paslēpta kontaktinformācija, adreses jaucējvērtība, mēģinājumu skaits un dzimšanas gada pārbaudes laiks); ielūguma apstiprināšanas dati (IP adrese un pārlūkprogrammas un ierīces apraksts); klienta kabineta noteikumu un privātuma politikas pieņemšana; paša ievadītās izpildes atzīmes; sesijas, audita žurnāls un brīvprātīga divpakāpju pierakstīšanās kā 4.2.–4.4. apakšsadaļā.
• Kabinetā redzams: programmas (bez speciālista privātās piezīmes), paša ievadītās izpildes atzīmes, vizītes (laiks, statuss un speciālists, bez vizītes nosaukuma un apraksta), speciālista vārds un profesija. Kabinetā nekad nav redzamas piezīmes, klīniskie dokumenti, brīdinājumi un ziņas.
• Saites atcelšana: saiti starp kontu un kartīti jebkurā laikā var atcelt pacients vai speciālists.
• Tiesiskais pamats: līguma izpilde (VDAR 6. panta 1. punkta b) apakšpunkts) saskaņā ar klienta kabineta noteikumiem.
• Glabāšana: ielūguma saite ir derīga 14 dienas; apstiprināšanas saite – 24 stundas, un tās dati tiek dzēsti 7 dienas pēc derīguma beigām. Pārējie dati – kā 5. sadaļā.
• Sīkāk: klienta kabineta noteikumi (https://kusties.com/klienta-kabineta-noteikumi) un paziņojums pacientiem (https://kusties.com/pacientiem).

5. Cik ilgi glabājam datus#

Datus glabājam tikai tik ilgi, cik tas nepieciešams attiecīgajam nolūkam vai ir noteikts tiesību aktos. Pašreizējie termiņi:

Dati, ko apstrādājam kā apstrādātājs (3.2. apakšsadaļa), tiek glabāti saskaņā ar speciālista norādījumiem un datu apstrādes līgumu. Pašlaik lietotne šos datus automātiski nedzēš: speciālista dzēstas klientu kartītes, piezīmes, vizītes un dokumentu melnraksti tiek atzīmēti kā dzēsti, bet ieraksts saglabājas; apstiprinātus klīniskos dokumentus dzēst nevar; programmas tiek pabeigtas, nevis dzēstas; speciālista dzēsti pacientu brīdinājumi tiek dzēsti neatgriezeniski; pacientiem nosūtīto ziņu žurnāls tiek glabāts bez beigu termiņa. Pēc speciālista līguma beigām šos datus dzēš manuāli saskaņā ar datu apstrādes līguma 13. sadaļu.

6. Kas saņem datus#

Mēs nepārdodam personas datus un neizmantojam tos reklāmai. Datus nododam tikai pakalpojumu sniedzējiem, kas mums palīdz nodrošināt pakalpojumu, un tikai tiktāl, cik tas nepieciešams:

Pilns apakšapstrādātāju saraksts datiem, ko apstrādājam speciālistu uzdevumā, ir datu apstrādes līgumā (https://kusties.com/datu-apstrades-ligums).

Rezerves kopijas. Datubāzes rezerves kopijas pašlaik tiek veidotas manuāli pirms katras datubāzes izmaiņu ieviešanas un tiek glabātas Kusties atbildīgās personas datorā; katras kopijas derīgumu pārbauda, to atjaunojot atsevišķā pagaidu vidē.

7. Datu nosūtīšana ārpus Eiropas Ekonomikas zonas#

Lietotnes datubāze un kešatmiņa atrodas ES (Frankfurtē, Vācijā). Daži mūsu pakalpojumu sniedzēji tomēr ir saistīti ar valstīm ārpus Eiropas Ekonomikas zonas (EEZ):

Nosūtot datus šiem pakalpojuma sniedzējiem, mēs balstāmies uz VDAR V nodaļā paredzētajiem mehānismiem: Eiropas Komisijas lēmumu par aizsardzības līmeņa pietiekamību (VDAR 45. pants), ja ASV uzņēmums ir sertificēts ES un ASV datu privātuma regulējumā, vai Komisijas pieņemtajām standarta datu aizsardzības klauzulām (VDAR 46. panta 2. punkta c) apakšpunkts), kas iekļautas pakalpojuma sniedzēja datu apstrādes noteikumos. Informāciju par konkrēto aizsardzības pasākumu un tā kopiju varat pieprasīt, rakstot uz [email protected].

8. Jūsu tiesības un kā tās izmantot#

8.1. Jūsu tiesības#

Saskaņā ar VDAR jums ir šādas tiesības:

• Piekļūt saviem datiem (15. pants): saņemt apstiprinājumu, vai apstrādājam jūsu datus, un to kopiju.
• Labot datus (16. pants): lielāko daļu profila datu varat labot lietotnē pats; citus labojumus veicam pēc pieprasījuma.
• Dzēst datus (17. pants), ja nav pamata tos turpināt glabāt.
• Ierobežot apstrādi (18. pants), piemēram, kamēr pārbaudām datu precizitāti.
• Pārnest datus (20. pants): saņemt datus, ko esat mums sniedzis, strukturētā, plaši izmantotā un mašīnlasāmā formātā. Kad ieslēgta funkcija «Lejupielādēt manus datus», to varat izdarīt profilā; līdz tam eksportu sagatavojam pēc pieprasījuma.
• Iebilst (21. pants) pret apstrādi, kas balstās uz mūsu leģitīmajām interesēm. Pret tiešo mārketingu varat iebilst jebkurā laikā, un tad šādas ziņas vairs nesūtīsim.
• Atsaukt piekrišanu jebkurā laikā (7. panta 3. punkts). Tas neietekmē apstrādes likumību pirms atsaukšanas.
• Netikt pakļautam lēmumam, kas balstīts tikai uz automatizētu apstrādi (22. pants); skatīt 9. sadaļu.

8.2. Kā izmantot tiesības#

• Rakstiet uz [email protected], vēlams no e-pasta adreses, kas saistīta ar jūsu kontu. Ja šaubāmies par pieprasītāja identitāti, varam lūgt papildu informāciju (VDAR 12. panta 6. punkts).
• Atbildēsim bez nepamatotas kavēšanās, ne vēlāk kā viena mēneša laikā. Ja pieprasījums ir sarežģīts vai pieprasījumu ir daudz, šo termiņu varam pagarināt vēl par diviem mēnešiem; par to jūs informēsim pirmā mēneša laikā (VDAR 12. panta 3. punkts).
• Tiesību izmantošana ir bez maksas. Ja pieprasījums ir acīmredzami nepamatots vai pārmērīgs, varam pieprasīt saprātīgu maksu vai atteikties to izpildīt (VDAR 12. panta 5. punkts).
• Lietotnē pats varat: labot profilu; sadaļā «Manas ierīces» redzēt un izrakstīt ierīces; pārvaldīt divpakāpju pierakstīšanos; kad ieslēgts – atrakstīties no padomu un mārketinga e-pastiem.

8.3. Konta slēgšana un dzēšana#

Pašlaik kontu slēdz Kusties administrators pēc jūsu pieprasījuma. Slēgtais konts tiek deaktivizēts, un dati netiek automātiski dzēsti. Pieprasījumu dzēst datus izvērtēsim saskaņā ar VDAR 17. pantu, ņemot vērā pienākumu atsevišķus datus glabāt (piemēram, grāmatvedības dokumentus un drošības audita žurnālu) un, attiecībā uz pacientu datiem, speciālista kā pārziņa norādījumus. Par lēmumu un tā iemesliem jūs informēsim.

8.4. Pacientiem#

Par datiem, ko speciālists ir ievadījis Kusties, vērsieties pie sava speciālista, jo viņš ir pārzinis. Ja rakstīsiet mums, pieprasījumu nodosim speciālistam un palīdzēsim viņam atbildēt. Tiesības uz informāciju par savu ārstēšanu un medicīniskajiem dokumentiem jums var būt arī saskaņā ar Pacientu tiesību likumu; tās nodrošina jūsu speciālists. Kad ieslēgts klienta kabinets, saiti starp savu kontu un speciālista kartīti varat atcelt pats.

8.5. Sūdzība uzraudzības iestādē#

Ja uzskatāt, ka jūsu datus apstrādājam nelikumīgi, jums ir tiesības iesniegt sūdzību Datu valsts inspekcijā (www.dvi.gov.lv) vai citas ES dalībvalsts uzraudzības iestādē, kurā ir jūsu pastāvīgā dzīvesvieta vai darbavieta vai kurā notika iespējamais pārkāpums (VDAR 77. pants). Aicinām vispirms sazināties ar mums, lai jautājumu varētu atrisināt ātrāk.

9. Automatizēti lēmumi#

Mēs nepieņemam lēmumus, kas balstīti tikai uz automatizētu apstrādi, tostarp profilēšanu, un kas jums rada tiesiskas sekas vai līdzīgi būtiski ietekmē jūs (VDAR 22. pants). Mēs neveicam profilēšanu.

Pakalpojumā darbojas automātiski noteikumi, kas nepieciešami tā darbībai un drošībai:

• pieprasījumu skaita ierobežojumi un pieslēgšanās mēģinājumu ierobežošana;
• programmas automātiska noslēgšana nākamajā dienā pēc beigu datuma;
• SMS sūtīšanas dienas limits;
• kad ieslēgti: plāna maiņa pēc izmēģinājuma vai apmaksātā perioda beigām; viens izmēģinājums vienai e-pasta adresei; klienta kabineta ielūguma atteikums nepilngadīgajiem un dzimšanas gada pārbaude ar ierobežotu mēģinājumu skaitu.

Ja uzskatāt, ka kāds no šiem noteikumiem jūs ietekmējis nepamatoti, rakstiet mums, un situāciju izvērtēs cilvēks.

10. Kā aizsargājam datus#

Mēs izmantojam tehniskus un organizatoriskus pasākumus, kas atbilst datu jutīgumam (VDAR 32. pants). Galvenie no tiem:

• Atrašanās vieta. Lietotnes datubāze un kešatmiņa atrodas ES (Frankfurtē).
• Šifrēts savienojums. Savienojums ar kusties.app un kusties.com tiek šifrēts (HTTPS).
• Jutīgāko datu šifrēšana. Pacientu piezīmes, klīniskie dokumenti, pacientu brīdinājumi, programmas privātā piezīme un divpakāpju pierakstīšanās noslēpumi datubāzē tiek glabāti šifrēti (AES-256-GCM) ar atslēgu, kas netiek glabāta datubāzē. Pārējie dati, piemēram, klientu vārdi un kontaktinformācija, dzimšanas dienas, vizīšu nosaukumi un apraksti, programmu nosaukumi, pacientu atsauksmes un ziņu žurnāls, atsevišķi šifrēti netiek.
• Paroles un saites. Paroles glabājam tikai kā jaucējvērtības (bcrypt). Vienreizējām saitēm (paroles iestatīšana un atjaunošana, veidlapas, ielūgumi) glabājam tikai jaucējvērtību, un katra saite ir derīga ierobežotu laiku.
• Divpakāpju pierakstīšanās ir obligāta administratoriem un pieejama visiem lietotājiem. Jutīgām administratoru darbībām un datu eksportam vajadzīga pieslēgšanās pēdējo 10 minūšu laikā (ar otro soli, ja divpakāpju pierakstīšanās ir ieslēgta vai lomai obligāta); eksportam – arī atkārtoti ievadīta parole.
• Piekļuves kontrole. Katrs speciālists redz tikai savus ierakstus. Piezīmes, klīniskos dokumentus un brīdinājumus lietotnē var atvērt tikai to autors; lietotnē administratoriem tiem piekļuves nav; sk. arī datu apstrādes līguma 7.2. punkta d) apakšpunktu (personas ar piekļuvi infrastruktūrai tehniski var piekļūt visiem datiem). Par administratoru piekļuvi skatīt 3.2. apakšsadaļu.
• Sesiju kontrole. Sadaļā «Manas ierīces» varat izrakstīt jebkuru ierīci. Pēc paroles maiņas, konta bloķēšanas, lomas vai e-pasta adreses maiņas visas sesijas tiek slēgtas.
• Ļaunprātīgas izmantošanas ierobežošana. Pieslēgšanās mēģinājumiem, veidlapām, e-pasta un SMS sūtīšanai ir skaita ierobežojumi.
• Personas dati žurnālos. Tehniskajos žurnālos nav IP adrešu, e-pasta adrešu, tālruņu numuru, žetonu un ziņu satura.
• Ziņu saturs. SMS un atgādinājumos nav vizītes nosaukuma, pacienta vārda un veselības datu (par vizīšu e-pastiem skatīt 13. sadaļu).
• Rezerves kopijas tiek veidotas pirms katras datubāzes izmaiņu ieviešanas, un to derīgums tiek pārbaudīts (skatīt 6. sadaļu).

Pacienta saite ir personīga. Ikviens, kam ir programmas saite, var atvērt programmu un atzīmēt izpildi. Tāpēc speciālistiem saite jānosūta tikai pacientam, bet pacientiem – jāglabā drošībā.

Pārkāpumi. Ja notiks personas datu aizsardzības pārkāpums, rīkosimies saskaņā ar VDAR 33. un 34. pantu: vajadzības gadījumā ne vēlāk kā 72 stundu laikā ziņosim Datu valsts inspekcijai un informēsim skartās personas, ja pārkāpums var radīt augstu risku to tiesībām un brīvībām. Kā apstrādātājs mēs par pārkāpumu bez nepamatotas kavēšanās informēsim speciālistu.

11. Sīkdatnes un pārlūkprogrammas krātuve#

11.1. kusties.com#

Vietne kusties.com pati neiestata sīkdatnes un neizmanto pārlūkprogrammas krātuvi. Tā neizmanto analītikas, reklāmas vai izsekošanas rīkus. Kad iesniedzat formu «Pieteikt demo», atveras Mailchimp lapa, kurā Mailchimp var iestatīt savas sīkdatnes saskaņā ar savu privātuma politiku. Forma «Saņemt piedāvājumu klīnikai» nosūta datus uz Mailchimp, neatverot citu lapu. Cloudflare, kas nodrošina vietnes darbību un satura piegādi, drošības nolūkos var iestatīt tehniski nepieciešamas sīkdatnes.

11.2. kusties.app#

kusties.app izmanto tikai sīkdatnes un pārlūkprogrammas krātuvi, kas nepieciešamas pakalpojuma darbībai vai atceras jūsu izvēles. Neviena no tām netiek izmantota analītikai vai reklāmai.

Padoms pacientiem. Ja veidlapu aizpildāt koplietošanas datorā, pēc tās iesniegšanas aizveriet pārlūkprogrammu vai notīriet tās datus, jo nenosūtītās atbildes glabājas pārlūkprogrammā līdz saites derīguma beigām.

11.3. Android lietotne#

Kusties atskaņotāja lietotne ierīcē glabā tikai izvēlēto krāsu tēmu (workout-theme).

11.4. Analītika#

Šobrīd ne kusties.com, ne kusties.app neizmanto analītikas, reklāmas vai izsekošanas sīkdatnes vai skriptus. Ja nākotnē tos vēlēsimies ieviest, vispirms atjaunināsim šo politiku un ieviesīsim piekrišanas logu: šādi rīki tiks ielādēti tikai pēc jūsu piekrišanas un nekad netiks ielādēti pacientu, klienta kabineta un pieslēgšanās lapās.

12. Pieslēgšanās ar trešo pušu kontiem#

Šīs versijas datumā pieslēgšanās ar trešo pušu kontiem nav pieejama. Šī sadaļa attieksies uz lietotājiem, kuri šo iespēju izvēlēsies, kad tā tiks ieslēgta:

• no pakalpojuma sniedzēja saņemsim jūsu unikālo identifikatoru šajā pakalpojumā, e-pasta adresi, vārdu un profila attēla saiti;
• jūsu paroli šim pakalpojumam mēs nesaņemam;
• pakalpojuma sniedzējs uzzina, ka pieslēdzaties Kusties, un šos datus apstrādā kā atsevišķs pārzinis saskaņā ar savu privātuma politiku;
• tiesiskais pamats: līguma izpilde (VDAR 6. panta 1. punkta b) apakšpunkts);
• pieslēgšanās laikā uz 10 minūtēm tiek iestatīta sīkdatne __Host-oauth_state (skatīt 11.2. apakšsadaļu);
• kad kontam pievienojat jaunu pieslēgšanās veidu, nosūtām drošības paziņojumu uz jūsu e-pasta adresi;
• sasaisti ar pakalpojuma sniedzēju varat atcelt profilā; dati tiek glabāti, kamēr pastāv sasaiste vai konts.

13. E-pasti un SMS#

Visi e-pasti tiek sūtīti no adreses [email protected]. SMS un e-pastus nosūta Brevo (skatīt 6. sadaļu).

13.1. Ziņas lietotājiem (Kusties ir pārzinis)#

Konta un drošības e-pasti, kā arī (kad ieslēgti) izmēģinājuma, norēķinu, padomu un mārketinga e-pasti, kā aprakstīts 4.6. un 4.7. apakšsadaļā. Speciālistiem SMS netiek sūtītas.

13.2. Ziņas pacientiem speciālista vārdā (Kusties ir apstrādātājs)#

Katra pacientam nosūtītā ziņa tiek reģistrēta ziņu žurnālā: kanāls, adresāta e-pasta adrese vai tālruņa numurs, ziņas saturs (bez vienreizējām saitēm), valoda, nolūks, statuss un izmaksas. Žurnāls kalpo kā nosūtīšanas pierādījums un izmaksu uzskaite, un to glabā bez beigu termiņa (skatīt 5. sadaļu).

14. Bērni un nepilngadīgie#

• Speciālistu kontus var izveidot tikai pilngadīgas personas (Lietošanas noteikumu 4.2. punkts); konta izveidē vecums netiek pārbaudīts.
• Vietne kusties.com nav vērsta uz bērniem.
• Pacienti var būt nepilngadīgi. Viņu datus ievada un par tiem atbild speciālists kā pārzinis, arī ar vecāka vai aizbildņa (likumiskā pārstāvja) piekrišanas veidlapu, kurā ir viņa vārds, personas kods, statuss un kontaktinformācija.
• Klienta kabinets (kad ieslēgts): ielūgumam nepieciešama pacienta dzimšanas diena. Personai, kas jaunāka par 14 gadiem, ielūgumu nosūtīt nevar. Personai no 14 līdz 17 gadiem ielūgumu pašlaik arī nevar nosūtīt.

15. Izmaiņas šajā politikā#

Politiku atjauninām, kad mainās pakalpojums, pakalpojumu sniedzēji vai tiesību akti. Katrai versijai ir numurs un spēkā stāšanās datums, kas norādīti dokumenta sākumā. Lietotne reģistrē, kuru politikas versiju esat pieņēmis. Par būtiskām izmaiņām reģistrētos lietotājus informēsim pa e-pastu vai lietotnē pirms izmaiņu stāšanās spēkā. Ja izmaiņām būs nepieciešama jūsu piekrišana (piemēram, ieviešot analītiku), to lūgsim atsevišķi.

16. Kontakti#

SIA "Kusties.com"
Reģistrācijas numurs: 50203259371
Juridiskā adrese: Ābolu iela 14C, Mārupe, Mārupes nov., LV-2167
PVN maksātāja numurs: LV50203259371
E-pasts: [email protected]

Uzraudzības iestāde: Datu valsts inspekcija, www.dvi.gov.lv.