Πολιτική Απορρήτου

Η παρούσα Πολιτική Απορρήτου περιγράφει τον τρόπο με τον οποίο η Physiologio (“εμείς”, “μας”), ο διαχειριστής του physiologio.com και της πλατφόρμας Physiologio, επεξεργάζεται προσωπικά δεδομένα σύμφωνα με τον Κανονισμό (ΕΕ) 2016/679 (“GDPR”) και την ισχύουσα εθνική νομοθεσία προστασίας δεδομένων στην Κύπρο και την Ευρωπαϊκή Ένωση.

Η παρούσα Πολιτική εφαρμόζεται σε:

• Επισκέπτες ιστότοπου που περιηγούνται στο physiologio.com.
• Συνδρομητές πλατφόρμας και το προσωπικό τους — ιδιοκτήτες κλινικής, διαχειριστές, φυσικοθεραπευτές και γραμματείς που διαθέτουν λογαριασμό στην πλατφόρμα Physiologio.
• Αρχεία ασθενών που διαχειρίζονται μέσω της πλατφόρμας — επεξεργάζονται για λογαριασμό της κλινικής ως εκτελών επεξεργασία (βλ. Τμήμα 2).

Η παρούσα Πολιτική δεν διέπει τον τρόπο με τον οποίο οι μεμονωμένες κλινικές (ως ανεξάρτητοι υπεύθυνοι επεξεργασίας) επεξεργάζονται δεδομένα ασθενών βάσει των δικών τους νομικών υποχρεώσεων. Οι κλινικές υποχρεούνται να διατηρούν τις δικές τους ειδοποιήσεις απορρήτου για ασθενείς.

Ο GDPR διακρίνει μεταξύ υπεύθυνου επεξεργασίας (που καθορίζει τους σκοπούς και τα μέσα επεξεργασίας) και εκτελούντος επεξεργασία (που επεξεργάζεται δεδομένα κατ’ εντολή του υπεύθυνου). Η Physiologio ενεργεί και με τις δύο ιδιότητες, ανάλογα με το πλαίσιο:

Physiologio ως Υπεύθυνος Επεξεργασίας

Είμαστε υπεύθυνοι επεξεργασίας για:

• Προσωπικά δεδομένα επισκεπτών ιστότοπου (αναλυτικά στοιχεία, υποβολές φόρμας επικοινωνίας).
• Προσωπικά δεδομένα συνδρομητών κλινικής και των μελών προσωπικού που διαθέτουν λογαριασμό Physiologio (όνομα, email, ρόλος, φωτογραφία προφίλ, δραστηριότητα σύνδεσης).
• Αρχεία χρέωσης και συνδρομής των κλινικών-πελατών.

Ως υπεύθυνος επεξεργασίας, τα στοιχεία μας είναι:
Physiologio, Κύπρος.
Επικοινωνία για θέματα προστασίας δεδομένων: contact@physiologio.com

Physiologio ως Εκτελών Επεξεργασία

Όταν μια κλινική φυσικοθεραπείας χρησιμοποιεί την πλατφόρμα μας για τη διαχείριση αρχείων ασθενών (ονόματα, στοιχεία επικοινωνίας, πληροφορίες υγείας, ιστορικό ραντεβού, αριθμοί ταυτότητας, φωτογραφίες προφίλ), η κλινική είναι υπεύθυνος επεξεργασίας και η Physiologio επεξεργάζεται αυτά τα δεδομένα αποκλειστικά βάσει εντολών της κλινικής ως εκτελών επεξεργασία, στο πλαίσιο Συμφωνίας Επεξεργασίας Δεδομένων (ΣΕΔ) που ενσωματώνεται στους Όρους & Προϋποθέσεις μας.

Εάν είστε ασθενής κλινικής που χρησιμοποιεί το Physiologio, επικοινωνήστε απευθείας με την κλινική σας για πληροφορίες σχετικά με τον τρόπο διαχείρισης των δεδομένων σας. Θα υποστηρίξουμε τις κλινικές στην εκπλήρωση αιτημάτων δικαιωμάτων υποκειμένων δεδομένων που σχετίζονται με δεδομένα που επεξεργαζόμαστε για λογαριασμό τους.

Α. Κάτοχοι Λογαριασμού Πλατφόρμας (Προσωπικό Κλινικής)

Όταν μια κλινική εγγράφεται και τα μέλη του προσωπικού προσκαλούνται ή καταχωρούνται, συλλέγουμε:

• Πλήρες όνομα και διεύθυνση email
• Κωδικός πρόσβασης (αποθηκεύεται ως κρυπτογραφικό hash — ποτέ σε απλό κείμενο)
• Φωτογραφία προφίλ (προαιρετική, φορτώνεται από τον χρήστη)
• Ρόλος στην πλατφόρμα (Admin, Γραμματέας, Φυσικοθεραπευτής)
• Χρονικές σφραγίδες σύνδεσης, δραστηριότητα συνεδρίας και διεύθυνση IP (για λόγους ασφαλείας)
• Όνομα χρέωσης και σύνοψη μεθόδου πληρωμής (τελευταία 4 ψηφία, τύπος κάρτας — τα πλήρη στοιχεία κάρτας χειρίζονται αποκλειστικά από τους επεξεργαστές πληρωμών μας)

Β. Επισκέπτες Ιστότοπου

• Διεύθυνση IP και κατά προσέγγιση γεωγραφική τοποθεσία (επίπεδο χώρας/πόλης)
• Τύπος προγράμματος περιήγησης, τύπος συσκευής και λειτουργικό σύστημα
• Σελίδες που επισκέφθηκαν, χρόνος στη σελίδα και πηγή παραπομπής
• Υποβολές φόρμας επικοινωνίας (όνομα, διεύθυνση email και περιεχόμενο μηνύματος)
• Δεδομένα Google Analytics 4 — μόνο εφόσον έχετε δώσει συγκατάθεση για cookies (βλ. Πολιτική Cookies)

Γ. Αρχεία Ασθενών (Επεξεργασία ως Εκτελών Επεξεργασία)

Όταν το προσωπικό κλινικής εισάγει ή διαχειρίζεται δεδομένα ασθενών μέσω της πλατφόρμας, επεξεργαζόμαστε τις ακόλουθες κατηγορίες δεδομένων για λογαριασμό της κλινικής:

• Πλήρες όνομα, διεύθυνση email και κινητό τηλέφωνο
• Αριθμός ταυτότητας ή διαβατηρίου (όπου συλλέγεται από την κλινική για τιμολόγηση ή επαλήθευση ταυτότητας)
• Πληροφορίες υγείας (ειδική κατηγορία δεδομένων βάσει Άρθρου 9 GDPR): διαγνωστικές σημειώσεις, αρχεία θεραπείας, κλινικές παρατηρήσεις και ιατρικό ιστορικό που εισάγονται από φυσικοθεραπευτές
• Φωτογραφία προφίλ (προαιρετική, φορτώνεται από το προσωπικό κλινικής)
• Ιστορικό ραντεβού, δεδομένα προγραμματισμού, αρχεία παρακολούθησης
• Σημειώσεις και κλινικά σχόλια που προσθέτουν οι θεράποντες φυσικοθεραπευτές
• Ιστορικό πληρωμών και πληροφορίες ασφάλισης/ταμείου υγείας (όπου εισάγονται από το προσωπικό κλινικής)

Κάτοχοι Λογαριασμού Πλατφόρμας & Προσωπικό

• Άρθρο 6(1)(β) — Εκτέλεση σύμβασης: η επεξεργασία είναι απαραίτητη για την παροχή πρόσβασης στην πλατφόρμα Physiologio βάσει της συμφωνίας υπηρεσιών μας.
• Άρθρο 6(1)(στ) — Έννομα συμφέροντα: παρακολούθηση ασφαλείας, πρόληψη απάτης, βελτίωση υπηρεσιών και τήρηση αρχείων ελέγχου.
• Άρθρο 6(1)(γ) — Νομική υποχρέωση: όταν η επεξεργασία απαιτείται από ισχύουσα νομοθεσία (π.χ. φορολογικά αρχεία και αρχεία χρέωσης).

Επισκέπτες Ιστότοπου

• Άρθρο 6(1)(στ) — Έννομα συμφέροντα: ασφάλεια ιστότοπου και πρόληψη κατάχρησης.
• Άρθρο 6(1)(α) — Συγκατάθεση: cookies αναλυτικών στοιχείων (Google Analytics 4) — συλλέγονται μόνο εφόσον έχετε δώσει ρητή συγκατάθεση μέσω του banner cookies μας.
• Άρθρο 6(1)(β) — Προσυμβατικά βήματα: επεξεργασία υποβολών φόρμας επικοινωνίας για απάντηση στο αίτημά σας.

Αρχεία Ασθενών (ως Εκτελών Επεξεργασία)

Βασιζόμαστε στη νομική βάση που καθορίζει η κλινική ως υπεύθυνος επεξεργασίας. Κοινές νομικές βάσεις που χρησιμοποιούν οι κλινικές:

• Άρθρο 6(1)(β): εκτέλεση σύμβασης παροχής υπηρεσιών υγειονομικής περίθαλψης με τον ασθενή.
• Άρθρο 6(1)(γ): συμμόρφωση με νομικές υποχρεώσεις (απαιτήσεις διατήρησης ιατρικών αρχείων βάσει κυπριακού/ευρωπαϊκού δικαίου).
• Άρθρο 9(2)(η): επεξεργασία δεδομένων υγείας για σκοπούς προληπτικής ή επαγγελματικής ιατρικής, ιατρικής διάγνωσης, παροχής υγειονομικής ή κοινωνικής περίθαλψης.
• Άρθρο 9(2)(α): ρητή συγκατάθεση του υποκειμένου των δεδομένων (όπου εφαρμόζεται και όπου η κλινική την έχει λάβει απευθείας).

Για Χρήστες Πλατφόρμας

• Δημιουργία λογαριασμού, πιστοποίηση ταυτότητας και διαχείριση πρόσβασης
• Παροχή και συντήρηση λειτουργιών πλατφόρμας Physiologio
• Χρέωση, τιμολόγηση και διαχείριση συνδρομών
• Υποστήριξη πελατών και τεχνική βοήθεια
• Παρακολούθηση ασφαλείας πλατφόρμας και πρόληψη απάτης
• Ειδοποιήσεις υπηρεσιών, ενημερώσεις και επικοινωνίες προϊόντος

Για Επισκέπτες Ιστότοπου

• Αναλυτικά στοιχεία και μέτρηση απόδοσης ιστότοπου (με συγκατάθεση)
• Απάντηση σε αιτήματα επικοινωνίας και πωλήσεων
• Ασφάλεια ιστότοπου και πρόληψη DDoS

Για Αρχεία Ασθενών (ως Εκτελών Επεξεργασία)

• Αποθήκευση και ανάκτηση προφίλ ασθενών για λογαριασμό της κλινικής
• Προγραμματισμός και διαχείριση ραντεβού κατ’ εντολή του προσωπικού κλινικής
• Αποστολή ειδοποιήσεων υπενθύμισης ραντεβού μέσω SMS και email για λογαριασμό της κλινικής
• Δημιουργία ανωνυμοποιημένων ή συγκεντρωτικών στατιστικών ραντεβού και αναφορών για διαχειριστές κλινικής
• Υποστήριξη της κλινικής στην εκπλήρωση αιτημάτων δικαιωμάτων υποκειμένων δεδομένων

Δεν πωλούμε προσωπικά δεδομένα. Δεν κοινοποιούμε προσωπικά δεδομένα σε τρίτους για δικούς τους σκοπούς μάρκετινγκ. Συνεργαζόμαστε με τους ακόλουθους τρίτους επεξεργαστές βάσει γραπτών Συμφωνιών Επεξεργασίας Δεδομένων:

Μπορεί επίσης να κοινοποιούμε προσωπικά δεδομένα όταν απαιτείται από νόμο, δικαστική απόφαση ή αρμόδια αρχή, και μόνο στον απολύτως αναγκαίο βαθμό.

Η πλατφόρμα Physiologio φιλοξενείται στην Amazon Web Services (AWS) στην Ιρλανδία (eu-west-1), εντός του ΕΟΧ. Όλα τα δεδομένα πλατφόρμας — συμπεριλαμβανομένων αρχείων ασθενών και δεδομένων λογαριασμού — παραμένουν εντός ΕΟΧ ανά πάσα στιγμή. Οι μεταφορές εκτός ΕΟΧ περιορίζονται στα εξής:

• Vercel Inc. (φιλοξενία ιστότοπου): Η Vercel είναι εγγεγραμμένη στις ΗΠΑ και φιλοξενεί τον marketing ιστότοπο physiologio.com. Τα αρχεία καταγραφής αιτημάτων ιστού (IP, σελίδες) ενδέχεται να υποβάλλονται σε επεξεργασία στην υποδομή της Vercel. Τα δεδομένα μεταφέρονται βάσει Τυπικών Συμβατικών Ρητρών (ΤΣΡ) που υιοθετήθηκαν από την Ευρωπαϊκή Επιτροπή. Η Vercel λειτουργεί βάσει υπογεγραμμένης ΣΕΔ.
• Google Analytics 4: Η Google LLC είναι εγγεγραμμένη στις ΗΠΑ. Τα αναλυτικά δεδομένα μεταφέρονται βάσει ΤΣΡ. Το GA4 δεν φορτώνεται έως ότου δώσετε ρητή συγκατάθεση μέσω του banner cookies μας. Εάν αρνηθείτε, τα scripts GA4 δεν φορτώνονται ποτέ και δεν συλλέγονται αναλυτικά δεδομένα. Μπορείτε επίσης να αποτρέψετε τη συλλογή δεδομένων GA4 χρησιμοποιώντας το Πρόσθετο Εξαίρεσης Google Analytics.

Εάν στο μέλλον εμπλακούν πρόσθετοι πάροχοι εκτός ΕΟΧ, αυτό το τμήμα θα ενημερωθεί πριν από την έναρξη της μεταφοράς και θα υπάρχουν κατάλληλες εγγυήσεις (ΤΣΡ ή απόφαση επάρκειας).

Μετά τη λήξη της ισχύουσας περιόδου διατήρησης, τα προσωπικά δεδομένα διαγράφονται με ασφάλεια ή ανωνυμοποιούνται μη αναστρέψιμα, ώστε να μην μπορούν πλέον να αποδοθούν σε κανένα φυσικό πρόσωπο.

Η πλατφόρμα Physiologio επιτρέπει στο προσωπικό κλινικής τη δημιουργία αρχείων ασθενών για άτομα κάτω των 18 ετών. Σε όλες αυτές τις περιπτώσεις:

• Οι ανήλικοι δεν έχουν άμεση πρόσβαση στην πλατφόρμα. Δεν υπάρχει σύνδεση για ασθενείς· όλη η εισαγωγή δεδομένων και η διαχείριση ραντεβού γίνεται αποκλειστικά από εξουσιοδοτημένο προσωπικό κλινικής.
• Τα ραντεβού ανηλίκων διαχειρίζονται σε συνεννόηση με τους γονείς ή νόμιμους κηδεμόνες τους.
• Η κλινική, ως υπεύθυνος επεξεργασίας, είναι υπεύθυνη για τη λήψη και τεκμηρίωση κατάλληλης γονικής ή κηδεμονικής συγκατάθεσης πριν από την επεξεργασία προσωπικών δεδομένων και δεδομένων υγείας ανηλίκου.
• Επεξεργαζόμαστε δεδομένα ανήλικων ασθενών αποκλειστικά σύμφωνα με τις εντολές της κλινικής και δεν τα χρησιμοποιούμε για κανένα σκοπό πέραν της παράδοσης της συμβατικής υπηρεσίας.

Δεν συλλέγουμε εν γνώσει μας προσωπικά δεδομένα απευθείας από παιδιά μέσω του ιστότοπου physiologio.com. Εάν πιστεύετε ότι ένα παιδί μας έχει υποβάλει δεδομένα απευθείας, επικοινωνήστε μαζί μας στο contact@physiologio.com και θα λάβουμε άμεσα μέτρα για τη διαγραφή των πληροφοριών.

Εάν βρίσκεστε στην ΕΕ/ΕΟΧ, έχετε τα ακόλουθα δικαιώματα βάσει του GDPR. Τα δικαιώματα αυτά εφαρμόζονται σε δεδομένα για τα οποία η Physiologio είναι υπεύθυνος επεξεργασίας (βλ. Τμήμα 2). Για δεδομένα ασθενών, επικοινωνήστε απευθείας με την κλινική σας.

• Δικαίωμα πρόσβασης (Άρθρο 15): Μπορείτε να ζητήσετε επιβεβαίωση για το αν επεξεργαζόμαστε τα προσωπικά σας δεδομένα και να λάβετε αντίγραφο τους, μαζί με πληροφορίες για τον τρόπο χρήσης τους.
• Δικαίωμα διόρθωσης (Άρθρο 16): Μπορείτε να ζητήσετε τη διόρθωση ανακριβών ή ελλιπών προσωπικών δεδομένων.
• Δικαίωμα διαγραφής (Άρθρο 17): Μπορείτε να ζητήσετε τη διαγραφή των προσωπικών σας δεδομένων σε ορισμένες περιστάσεις. Σημειώστε ότι ορισμένα δεδομένα ενδέχεται να διατηρηθούν για νομικές υποχρεώσεις.
• Δικαίωμα περιορισμού της επεξεργασίας (Άρθρο 18): Μπορείτε να ζητήσετε τον περιορισμό της επεξεργασίας των δεδομένων σας σε συγκεκριμένες περιστάσεις.
• Δικαίωμα φορητότητας δεδομένων (Άρθρο 20): Μπορείτε να ζητήσετε τα προσωπικά σας δεδομένα σε δομημένη, κοινώς χρησιμοποιούμενη, αναγνώσιμη από μηχανήματα μορφή.
• Δικαίωμα εναντίωσης (Άρθρο 21): Μπορείτε να εναντιωθείτε στην επεξεργασία που βασίζεται σε έννομα συμφέροντα.
• Δικαιώματα σχετικά με αυτοματοποιημένη λήψη αποφάσεων (Άρθρο 22): Η Physiologio δεν λαμβάνει αποφάσεις αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας που παράγουν νομικές ή ανάλογης σημασίας επιπτώσεις.
• Δικαίωμα ανάκλησης συγκατάθεσης (Άρθρο 7(3)): Όπου η επεξεργασία βασίζεται στη συγκατάθεσή σας (π.χ. cookies αναλυτικών στοιχείων), μπορείτε να την ανακαλέσετε ανά πάσα στιγμή.

Για να ασκήσετε οποιοδήποτε από τα παραπάνω δικαιώματα, επικοινωνήστε μαζί μας στο contact@physiologio.com. Θα απαντήσουμε εντός 30 ημερών όπως ορίζει το Άρθρο 12 GDPR.

Εάν πιστεύετε ότι επεξεργαστήκαμε τα προσωπικά σας δεδομένα παράνομα, έχετε το δικαίωμα να υποβάλετε καταγγελία σε αρμόδια αρχή προστασίας δεδομένων. Μπορείτε να το πράξετε στη χώρα ΕΕ/ΕΟΧ όπου διαμένετε, εργάζεστε ή όπου έλαβε χώρα η εικαζόμενη παράβαση:

• Κύπρος: Γραφείο Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα
  Ιστότοπος: www.dataprotection.gov.cy
  Τηλ: +357 22 818 456  |  Email: commissioner@dataprotection.gov.cy
• Ελλάδα: Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ)
  Ιστότοπος: www.dpa.gr
  Τηλ: +30 210 6475 600  |  Email: contact@dpa.gr

Σας ενθαρρύνουμε να επικοινωνήσετε πρώτα μαζί μας στο contact@physiologio.com ώστε να προσπαθήσουμε να επιλύσουμε το ζήτημα απευθείας.

Εφαρμόζουμε κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας για την προστασία προσωπικών δεδομένων από μη εξουσιοδοτημένη πρόσβαση, τροποποίηση, αποκάλυψη ή καταστροφή, σύμφωνα με το Άρθρο 32 GDPR. Τα μέτρα αυτά περιλαμβάνουν, μεταξύ άλλων:

• Κρυπτογράφηση όλων των δεδομένων κατά τη μεταφορά χρησιμοποιώντας TLS 1.2 ή υψηλότερο
• Κρυπτογράφηση δεδομένων σε κατάσταση ηρεμίας με αλγορίθμους βιομηχανικού προτύπου
• Κρυπτογραφικό hashing όλων των κωδικών πρόσβασης χρηστών
• Έλεγχος πρόσβασης βάσει ρόλων (RBAC) εντός της πλατφόρμας
• Αυστηρός εσωτερικός έλεγχος πρόσβασης για προσωπικό μηχανικής και λειτουργιών Physiologio
• Αρχεία καταγραφής ελέγχου για ενέργειες λογαριασμού και διαχειριστικές λειτουργίες
• Τακτικές αξιολογήσεις ασφαλείας και ενημερώσεις εξαρτήσεων
• Δεδομένα πλατφόρμας φιλοξενούμενα στο AWS Ιρλανδίας (eu-west-1), εντός ΕΟΧ

Ενώ καταβάλλουμε κάθε δυνατή προσπάθεια για την προστασία των δεδομένων σας, κανένα σύστημα δεν είναι 100% ασφαλές. Θα σας ειδοποιήσουμε και θα ειδοποιήσουμε την αρμόδια εποπτική αρχή για οποιαδήποτε παραβίαση δεδομένων εντός 72 ωρών, σύμφωνα με το Άρθρο 33 GDPR.

Ενδέχεται να ενημερώνουμε την παρούσα Πολιτική Απορρήτου κατά καιρούς για να αντικατοπτρίζει αλλαγές στις πρακτικές επεξεργασίας δεδομένων, στην ισχύουσα νομοθεσία ή στις υπηρεσίες μας. Όταν το κάνουμε, θα ενημερώνουμε την ημερομηνία “Τελευταία ενημέρωση” στην κορυφή αυτής της σελίδας.

Για ουσιαστικές αλλαγές — εκείνες που επηρεάζουν σημαντικά τον τρόπο επεξεργασίας των προσωπικών σας δεδομένων — θα ειδοποιούμε τους ενεργούς συνδρομητές μέσω email ή ειδοποίησης εντός της πλατφόρμας τουλάχιστον 14 ημέρες πριν από την εφαρμογή της αλλαγής.

Συνιστούμε να ελέγχετε αυτή τη σελίδα περιοδικά. Προηγούμενες εκδόσεις αυτής της Πολιτικής είναι διαθέσιμες κατόπιν αιτήματος.

Για όλα τα ερωτήματα προστασίας δεδομένων, αιτήματα πρόσβασης υποκειμένου ή άλλα ερωτήματα σχετικά με το απόρρητο, επικοινωνήστε μαζί μας:

• Email: contact@physiologio.com
• Υπεύθυνος Προστασίας Δεδομένων: Δεν έχει οριστεί ακόμη — επικοινωνήστε με την παραπάνω διεύθυνση email