Politika privatnosti

1. Ko smo mi

RestartFizio je SaaS aplikacija za vođenje fizioterapeutskih ordinacija. Pružaoc usluge je Lazar Milanović pr Ambulanta za rehabilitaciju RESTART FIZIO, sa sedištem u Ljubovijska 19, 12000 Požarevac, Srbija, PIB 114568099, MB 67681070. U daljem tekstu: Pružaoc.

Politika je doneta u skladu sa Zakonom o zaštiti podataka o ličnosti (Sl. glasnik RS, br. 87/2018, u daljem tekstu: ZZPL), Uredbom (EU) 2016/679 (GDPR), Zakonom o pravima pacijenata (Sl. glasnik RS, br. 45/2013, 25/2019) i Zakonom o zdravstvenoj dokumentaciji i evidencijama u oblasti zdravstva (Sl. glasnik RS, br. 123/2014, 106/2015, 105/2017, 25/2019).

2. Koje podatke prikupljamo

• Podaci klinike (klijenta): ime klinike, kontakt podaci, podaci za fakturisanje, podaci o korisničkim nalozima zaposlenih (ime, email, uloga).
• Podaci klijenata: lični i kontakt podaci, anamneza, dijagnoze, planovi tretmana, evidencija sesija, dokumenti koje upload-uje klinika ili klijent. Ove podatke unose isključivo zaposleni klinike ili sami klijenti preko portala.
• Posebne kategorije fizioterapeutskih podataka: nalazi posturalne i biomehaničke procene, podaci o obimu pokreta (ROM), mišićnim testovima (MMT), foto i video evidencija pokreta i tretmana (ako klijent da posebnu saglasnost), podaci o domaćim vežbama i pridržavanju plana, NRS i VAS skala bola, kontraindikacije. Ove podatke smatramo posebnim kategorijama u smislu čl. 17 Zakona o zaštiti podataka o ličnosti i obrađujemo ih na osnovu čl. 17 st. 2 t. 8 ZZPL i izričite saglasnosti klijenta koju klinika pribavlja.
• Tehnički podaci: IP adresa, log o pristupu, audit log o izmenama na osetljivim modelima.
• Cookies: samo nužni cookies za sesiju i autentifikaciju. Ne koristimo trackere niti reklamne cookies.

3. Zašto obrađujemo podatke

• Da bismo pružili uslugu (storage, prikaz, obrada podataka u app-u).
• Da bismo komunicirali sa klinikom oko ugovora i podrške.
• Radi ispunjavanja zakonskih obaveza (poreske, računovodstvene, sudske naloge).
• Radi sigurnosti (audit log, detekcija zloupotreba).

Podatke klijenata ne koristimo za marketinške svrhe i ne prodajemo trećim licima. Možemo koristiti agregatne, potpuno anonimizovane statistike (broj klinika, prosečan broj termina po klinici, distribucija paketa) za interne potrebe i prikaz na sajtu, na način koji ne omogućava identifikaciju pojedinačne klinike, terapeuta ili klijenta.

4. Uloge u obradi podataka

U pogledu podataka klijenata, klinika je <strong>rukovalac podataka</strong> (data controller), a Pružaoc je <strong>obrađivač</strong> (data processor). Detalji obrade su definisani u GDPR / Ugovoru o obradi podataka.

5. Ko ima pristup podacima

• Zaposleni Pružaoca, samo u meri neophodnoj za pružanje usluge i tehničku podršku.
• Hosting provajder (cloud server u EU regionu) na osnovu ugovora.
• Državni organi, samo na osnovu pravosnažne sudske odluke ili zakonske obaveze.

Podaci jedne klinike nikada nisu vidljivi drugoj klinici. Tehnička izolacija na nivou baze podataka je osnova arhitekture.

6. Gde i koliko dugo čuvamo podatke

• Server u EU regionu (Frankfurt, Nemačka). Podaci ne napuštaju EU, osim u slučajevima opisanim u GDPR dokumentu (npr. AI funkcionalnost, koja je opciona).
• Tokom trajanja ugovora - podaci aktivno obrađivani.
• 90 dana po prestanku ugovora - mogućnost da klinika izvuče zdravstvenu dokumentaciju i ostale podatke u CSV ili JSON formatu.
• Posle isteka tog roka - nepovratno brisanje iz aktivne baze i backupa.
• Backupi se čuvaju 30 dana, enkriptovani.

Važno za zdravstvenu dokumentaciju: U skladu sa Zakonom o zdravstvenoj dokumentaciji i evidencijama u oblasti zdravstva (Sl. glasnik RS br. 92/2023, primena od 1. januara 2025), klinika kao rukovalac dužna je da:

• Fizioterapeutski karton i istoriju tretmana čuva najmanje 10 godina nakon poslednjeg upisa, odnosno 10 godina nakon smrti klijenta (čl. 39 ZZD).
• Foto i video dokumentaciju pokreta čuva 5 godina od poslednjeg tretmana, odnosno do povlačenja saglasnosti klijenta.
• Po prestanku rada klinike, dokumentaciju preda nadležnom arhivu u skladu sa čl. 39 stav 2 ZZD.

Klinika je isključivo odgovorna da pre prestanka ugovora sa Pružaocem preuzme i obezbedi čuvanje zdravstvene dokumentacije u zakonskim rokovima. Pružaoc obezbeđuje tehničke alate za izvoz (CSV, JSON, PDF), ali ne preuzima obavezu daljeg čuvanja podataka po prestanku ugovora.

Pružaoc čuva sopstvenu poslovnu dokumentaciju (računi, fakture) u zakonskim rokovima propisanim Zakonom o porezu na dobit i Zakonom o porezu na dodatu vrednost.

7. Maloletni klijenti

Za klijente do navršene 15. godine života, saglasnost za obradu podataka i pristanak na medicinsku meru daje roditelj ili zakonski zastupnik, u skladu sa Zakonom o pravima pacijenata (čl. 19). Maloletnik koji je navršio 15 godina i sposoban je za rasuđivanje može samostalno dati pristanak na medicinsku meru i ima pravo na poverljivost podataka. Klinika kao rukovalac dužna je da pribavi i evidentira odgovarajuću saglasnost u sistemu pre obrade podataka maloletnika.

8. Vaša prava

U skladu sa Zakonom o zaštiti podataka o ličnosti, GDPR-om i Zakonom o pravima pacijenata, imate pravo na:

• Pristup svojim podacima i informaciju o obradi.
• Ispravku netačnih podataka.
• Brisanje (pravo na zaborav) pod uslovima propisanim zakonom.
• Prenosivost podataka u strukturiranom formatu.
• Prigovor na obradu.
• Podnošenje pritužbe Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti RS.

Za klijente, prava se ostvaruju preko klinike kao rukovaoca podataka. Klinika može da prosledi zahtev Pružaocu radi tehničke realizacije.

9. Bezbednost

• HTTPS / TLS 1.3 enkripcija saobraćaja.
• Lozinke heshovane (bcrypt). Dvofaktorska autentifikacija opciona.
• Audit log na osetljivim modelima.
• Dnevni backupi sa 30-dnevnom retencijom.
• Multi-tenant izolacija na nivou baze podataka.

10. Promene Politike

Pružaoc može izmeniti Politiku privatnosti uz obaveštenje korisnicima emailom najmanje 15 dana pre stupanja izmena na snagu. Ako se izmenama bitno menjaju vaša prava, imate pravo da otkažete uslugu pre nego što promene stupe na snagu.

11. Lice za zaštitu podataka i kontakt

Pitanja, zahtevi i pritužbe vezane za obradu podataka možete uputiti Licu za zaštitu podataka (DPO) Pružaoca:

Email: restartfizio@gmail.com
Adresa: Ljubovijska 19, 12000 Požarevac, Srbija

Pravo na pritužbu nadzornom organu:
Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti
Bulevar kralja Aleksandra 15, 11000 Beograd
www.poverenik.rs

Vidi i: Uslovi korišćenja · GDPR / Ugovor o obradi podataka