Πολιτική Απορρήτου

Στο Reset Lab σεβόμαστε την ιδιωτικότητά σου. Εδώ εξηγούμε με απλά λόγια ποια προσωπικά δεδομένα επεξεργαζόμαστε όταν επισκέπτεσαι την ιστοσελίδα, κλείνεις ραντεβού ή χρησιμοποιείς την εφαρμογή μας, για ποιο λόγο, για πόσο καιρό και ποια είναι τα δικαιώματά σου, σύμφωνα με τον Γενικό Κανονισμό Προστασίας Δεδομένων (ΓΚΠΔ, Κανονισμός (ΕΕ) 2016/679) και τον ν. 4624/2019.

1. Ποιος είναι υπεύθυνος για τα δεδομένα σου

Υπεύθυνος επεξεργασίας είναι το Reset Lab by Marianna Malevri (Μαριάννα Μαλεύρη, Φυσικοθεραπεύτρια), Ρέας 2,166 71 Βουλιαγμένη. Για οτιδήποτε αφορά τα δεδομένα σου: info@resetlab.gr, τηλ. +30 697 005 3622.

2. Ποια δεδομένα επεξεργαζόμαστε

• Στοιχεία επικοινωνίας: ονοματεπώνυμο, κινητό τηλέφωνο, email, προτιμώμενη γλώσσα, καθώς και ό,τι μας στέλνεις με τη φόρμα επικοινωνίας. Στη φόρμα σε παρακαλούμε να μη γράφεις λεπτομέρειες για την υγεία σου· θα τα πούμε στο ραντεβού.
• Λογαριασμός εφαρμογής: email και κωδικός πρόσβασης. Ο κωδικός δεν αποθηκεύεται ποτέ σε αναγνώσιμη μορφή, μόνο ως μη αναστρέψιμο κρυπτογραφικό αποτύπωμα (hash).
• Ραντεβού: ημερομηνία, ώρα, θεραπεία, κατάσταση (π.χ. ολοκληρώθηκε, ακυρώθηκε) και ό,τι μας γράφεις στην κράτηση. Ακόμη και το ότι κλείνεις ραντεβού φυσικοθεραπείας είναι πληροφορία για την υγεία σου, γι’ αυτό το ιστορικό των ραντεβού σου το προστατεύουμε όπως και τα δεδομένα υγείας.
• Δεδομένα υγείας (ειδική κατηγορία): σημειώσεις της θεραπεύτριας για την πορεία σου, προγράμματα ασκήσεων, η καταγραφή των ασκήσεων που ολοκληρώνεις και πληροφορίες για την υγεία σου που μας δίνεις.
• Οικονομικά στοιχεία: πληρωμές (ποσό, ημερομηνία, τρόπος: μετρητά, κάρτα, IRIS) και πακέτα συνεδριών.
• Αποδοχή όρων και επιλογές σου: πότε αποδέχτηκες τους Όρους κράτησης και ποια έκδοσή τους, σε ποια γλώσσα και από πού (εγγραφή, κράτηση ή πρόσκληση της κλινικής), καθώς και πότε άνοιξες ή έκλεισες τις ειδοποιήσεις για νέα άρθρα και για ανακοινώσεις και προσφορές.
• Ειδοποιήσεις: αν τις ενεργοποιήσεις, ένα τεχνικό αναγνωριστικό της συσκευής σου που δημιουργεί ο browser (push subscription), ο τύπος του browser και της συσκευής σου, και οι προτιμήσεις σου (ποιες ειδοποιήσεις θέλεις).
• Τεχνικά στοιχεία λειτουργίας και ασφαλείας (logs): η Cloudflare, η Supabase και η Resend καταγράφουν για σύντομο διάστημα τη διεύθυνση IP, την ώρα και το είδος των αιτημάτων προς τους servers, καθώς και στοιχεία αποστολής των email (π.χ. παραλήπτης, θέμα, αν παραδόθηκε), για να λειτουργεί η υπηρεσία, να εντοπίζονται σφάλματα και να προστατεύεται από καταχρήσεις.

Δεν χρησιμοποιούμε διαφημιστικά εργαλεία ή pixels και δεν πουλάμε ούτε μοιραζόμαστε δεδομένα για διαφήμιση. Συγκεντρωτικά στατιστικά επισκεψιμότητας (Cloudflare Web Analytics) μετράμε μόνο αν το αποδεχτείς στο μήνυμα για τα cookies (βλ. ενότητα 9).

3. Γιατί τα επεξεργαζόμαστε και με ποια νομική βάση

Τα αντίγραφα ασφαλείας έχουν την ίδια νομική βάση με τα δεδομένα που περιέχουν. Για τη θεραπεία σου δεν σου ζητάμε συγκατάθεση: τι σημαίνει αυτό για τα δεδομένα υγείας σου εξηγείται στη σελίδα Δεδομένα υγείας: πώς τα χρησιμοποιούμε.

Η πολιτική αυτή σε ενημερώνει· δεν είναι κάτι που «αποδέχεσαι». Όταν δημιουργείς λογαριασμό ή κλείνεις ραντεβού online, αποδέχεσαι μόνο τους Όρους κράτησης.

Ειδοποιήσεις για νέα άρθρα και ανακοινώσεις. Είναι προωθητικές, γι’ αυτό είναι κλειστές από προεπιλογή. Η εφαρμογή σε ρωτά μία φορά αν τις θέλεις, με ξεχωριστό διακόπτη για τα «Νέα άρθρα» και για τις «Ανακοινώσεις και προσφορές». Τις κλείνεις οποτεδήποτε από το Λογαριασμός → Ειδοποιήσεις, το ίδιο εύκολα όσο τις άνοιξες, και καταγράφουμε πότε τις άνοιξες ή τις έκλεισες. Οι διακόπτες αυτοί δεν επηρεάζουν τα μηνύματα υπηρεσίας.

4. Ποιοι έχουν πρόσβαση

Στο σύστημα διαχείρισης της κλινικής έχουν πρόσβαση μόνο η θεραπεύτρια και, αν υπάρχουν, συνεργάτες της κλινικής που τη χρειάζονται για τη δουλειά τους (π.χ. για τα ραντεβού). Όλοι δεσμεύονται από επαγγελματικό απόρρητο ή από γραπτή υποχρέωση εχεμύθειας. Όταν κλείνεις ή ακυρώνεις ραντεβού, το προσωπικό λαμβάνει και ειδοποίηση στις συσκευές του. Εσύ βλέπεις στην εφαρμογή μόνο τα δικά σου στοιχεία, τα ραντεβού σου, τα προγράμματά σου και τις σημειώσεις που η θεραπεύτρια έχει επιλέξει να μοιραστεί μαζί σου. Για τη λειτουργία της υπηρεσίας χρησιμοποιούμε τους παρακάτω παρόχους («εκτελούντες την επεξεργασία»), με συμβάσεις που τους υποχρεώνουν να προστατεύουν τα δεδομένα και να τα χρησιμοποιούν μόνο κατ’ εντολή μας:

• Supabase: βάση δεδομένων, λογαριασμοί, αρχεία και αντίγραφα ασφαλείας, σε servers στην Ιρλανδία (ΕΕ).
• Cloudflare: φιλοξενία της ιστοσελίδας, της εφαρμογής και των λειτουργιών της, προώθηση του email της κλινικής και, μόνο με τη συγκατάθεσή σου, στατιστικά επισκεψιμότητας (βλ. ενότητα 9). Λειτουργεί σε παγκόσμιο δίκτυο, οπότε η επεξεργασία μπορεί να γίνει και εκτός ΕΕ.
• Resend: αποστολή email (επιβεβαιώσεις, υπενθυμίσεις, νέος κωδικός, μηνύματα της φόρμας επικοινωνίας προς την κλινική), από servers στην ΕΕ.
• Υπηρεσίες ειδοποιήσεων του browser σου (Apple, Google, Mozilla, Microsoft): μεταφέρουν τις ειδοποιήσεις push στη συσκευή σου. Το περιεχόμενο φτάνει κρυπτογραφημένο, ώστε οι υπηρεσίες αυτές να μην μπορούν να το διαβάσουν.
• Google (Gmail και Google Calendar της κλινικής): όταν κλείνεις, αλλάζεις ή ακυρώνεις ραντεβού, η κλινική λαμβάνει email με το όνομα, το τηλέφωνο, το email, τη θεραπεία και την ώρα, ώστε να εμφανίζεται στο πρόγραμμά της.
• Ροή ημερολογίου της κλινικής: τα ραντεβού της κλινικής εμφανίζονται στην εφαρμογή ημερολογίου της θεραπεύτριας (π.χ. Google Calendar) μέσω ιδιωτικού συνδέσμου, ώστε να βλέπει το πρόγραμμά της. Η ροή περιέχει τα ραντεβού από 30 ημέρες πριν έως 180 ημέρες μπροστά, με όνομα, τηλέφωνο και θεραπεία. Ο σύνδεσμος αλλάζει αμέσως αν χρειαστεί.
• Λογιστής / φοροτεχνικός της κλινικής, μόνο τα στοιχεία που απαιτεί η φορολογική νομοθεσία.
• Δημόσιες αρχές, μόνο όταν το επιβάλλει ο νόμος.

Η Cloudflare, η Supabase και η Resend κρατούν επίσης, για σύντομο διάστημα, αρχεία καταγραφής (logs) της λειτουργίας τους, για την ασφάλεια και τον εντοπισμό σφαλμάτων (έννομο συμφέρον, βλ. ενότητες 3 και 5).

Ορισμένοι πάροχοι (Supabase, Cloudflare, Resend, Google) είναι εταιρείες με έδρα στις ΗΠΑ. Όπου μπορεί να υπάρξει πρόσβαση ή διαβίβαση εκτός ΕΕ, αυτή στηρίζεται στο Πλαίσιο Προστασίας Δεδομένων ΕΕ–ΗΠΑ (EU-US Data Privacy Framework) για όσους παρόχους είναι πιστοποιημένοι σε αυτό και, όπου δεν ισχύει, στις Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής.

5. Πόσο καιρό τα κρατάμε

• Λογαριασμός εφαρμογής (σύνδεση, συσκευές ειδοποιήσεων, προτιμήσεις, «Ενημερώσεις»): όσο είναι ενεργός. Όταν τον διαγράψεις, διαγράφονται αμέσως.
• Θεραπευτικός φάκελος και ιστορικό ραντεβού: για όσο χρόνο απαιτούν οι υποχρεώσεις μας ως επαγγελματίες υγείας για την τήρηση αρχείων ασθενών, και στη συνέχεια διαγράφεται ή ανωνυμοποιείται.
• Οικονομικά στοιχεία: όσο ορίζει η φορολογική νομοθεσία.
• Καταγραφές αποδοχής των όρων και των επιλογών σου για τις ειδοποιήσεις: μαζί με τον φάκελό σου, για όσο τον κρατάμε.
• Μηνύματα της φόρμας επικοινωνίας: φτάνουν στην κλινική με email και στο σύστημα διαχείρισης, όπου τα βλέπει μόνο η κλινική και σου απαντά. Διαγράφονται αυτόματα 12 μήνες μετά (ή νωρίτερα, όταν ολοκληρωθεί η επικοινωνία).
• Αρχεία καταγραφής (logs) των παρόχων: για σύντομο διάστημα, όπως ορίζει ο κάθε πάροχος, και μετά διαγράφονται αυτόματα.
• Αντίγραφα ασφαλείας:
  • Κάθε νύχτα δημιουργείται αντίγραφο των δεδομένων της εφαρμογής σε ιδιωτικό χώρο αποθήκευσης στην ΕΕ (Supabase). Κρατιούνται τα αντίγραφα των τελευταίων 30 ημερών· τα παλαιότερα διαγράφονται αυτόματα.
  • Ο πάροχος της βάσης δεδομένων (Supabase) κρατά και δικά του καθημερινά αντίγραφα, για 7 ημέρες.
  • Η κλινική κρατά αντίγραφο και σε δικό της υπολογιστή, που προστατεύεται με κωδικό και κρυπτογράφηση. Στον φάκελο αντιγράφων της κλινικής, τα αυτόματα αντίγραφα που είναι παλαιότερα των 30 ημερών διαγράφονται όταν ανοίγει η διαχείριση σε εκείνον τον υπολογιστή. Όσα αντίγραφα κατεβαίνουν χειροκίνητα μένουν εκεί όπου αποθηκεύτηκαν, μέχρι να τα διαγράψει η κλινική.

6. Πώς τα προστατεύουμε

• Κρυπτογραφημένη σύνδεση (HTTPS) παντού και κρυπτογράφηση των δεδομένων στους servers.
• Έλεγχος πρόσβασης σε επίπεδο βάσης δεδομένων: κάθε πελάτης βλέπει αποκλειστικά τα δικά του δεδομένα και πρόσβαση στο σύνολο έχουν μόνο οι λογαριασμοί του προσωπικού της κλινικής.
• Κωδικοί μόνο ως μη αναστρέψιμα hash και επιβεβαίωση του email σε κάθε νέο λογαριασμό.
• Τα email και οι ειδοποιήσεις προς εσένα αναφέρουν την ημερομηνία, την ώρα και το είδος της θεραπείας (στις υπενθυμίσεις ασκήσεων, τον τίτλο του προγράμματος). Αν η θεραπεύτρια σού στείλει προσωπικό μήνυμα, η ειδοποίηση μπορεί να δείχνει την αρχή του. Οι σημειώσεις της θεραπεύτριας δεν στέλνονται ποτέ με email ή ειδοποίηση· μένουν μόνο στη βάση δεδομένων. Αν άλλοι βλέπουν την οθόνη του κινητού σου, μπορείς να κρύψεις το περιεχόμενο των ειδοποιήσεων από τις ρυθμίσεις του κινητού.
• Καθημερινά αντίγραφα ασφαλείας.

7. Τα δικαιώματά σου

Έχεις δικαίωμα:

• πρόσβασης και φορητότητας: από την εφαρμογή, με το κουμπί «Λήψη των δεδομένων μου», κατεβάζεις αμέσως όσα δεδομένα βλέπεις εκεί σε αρχείο. Για πλήρες αντίγραφο του φακέλου σου, ζήτησέ το από την κλινική·
• διόρθωσης: αλλάζεις όνομα, τηλέφωνο και γλώσσα από το προφίλ σου, ή μας ζητάς να διορθώσουμε οτιδήποτε άλλο·
• διαγραφής: με το κουμπί «Διαγραφή λογαριασμού» ο λογαριασμός σου διαγράφεται αμέσως και τα μελλοντικά ραντεβού ακυρώνονται. Όσα στοιχεία πρέπει να τηρήσουμε (π.χ. θεραπευτικός φάκελος, οικονομικά) διατηρούνται μόνο για όσο απαιτείται και δεν χρησιμοποιούνται για τίποτα άλλο. Ό,τι διαγράφεται παραμένει στα αντίγραφα ασφαλείας, χωρίς καμία άλλη χρήση, μέχρι να διαγραφούν κι αυτά όπως περιγράφει η ενότητα 5·
• περιορισμού της επεξεργασίας και εναντίωσης, όπου προβλέπεται. Για τα δεδομένα της θεραπείας, η διαγραφή, ο περιορισμός και η εναντίωση έχουν όρια όσο ισχύει η υποχρέωση τήρησης του φακέλου·
• εναντίωσης στα προωθητικά μηνύματα: οποτεδήποτε και χωρίς να δώσεις λόγο, κλείνοντας τους διακόπτες στοΛογαριασμός → Ειδοποιήσεις ή με ένα email. Από εκεί και πέρα δεν σου στέλνουμε κανένα·
• ανάκλησης της συγκατάθεσης, όπου η επεξεργασία στηρίζεται σε αυτήν (ειδοποιήσεις για νέα άρθρα και ανακοινώσεις, στατιστικά επισκεψιμότητας, χάρτης, και κάθε προαιρετική χρήση για την οποία σε ρωτήσαμε χωριστά), οποτεδήποτε και το ίδιο εύκολα όσο την έδωσες, χωρίς να επηρεάζεται η νομιμότητα της επεξεργασίας μέχρι τότε. Τα δεδομένα της θεραπείας δεν στηρίζονται σε συγκατάθεση· γι’ αυτά ισχύουν τα υπόλοιπα δικαιώματα αυτής της λίστας.

Για όλα τα παραπάνω γράψε μας στο info@resetlab.gr: απαντάμε το αργότερο μέσα σε έναν μήνα. Αν θεωρείς ότι δεν σεβαστήκαμε τα δικαιώματά σου, μπορείς να υποβάλεις καταγγελία στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (www.dpa.gr).

8. Παιδιά

Για παιδιά και εφήβους κάτω των 18 που ακολουθούν θεραπεία, τον λογαριασμό τον δημιουργεί και τον διαχειρίζεται ο γονέας ή ο κηδεμόνας, ο οποίος αποδέχεται και τους Όρους κράτησης και ασκεί τα δικαιώματα της ενότητας 7. Αν χρειαστεί ποτέ κάποια προαιρετική συγκατάθεση για το παιδί, αποφασίζει γι’ αυτήν ο γονέας ή ο κηδεμόνας. Δεν στέλνουμε προωθητικά μηνύματα (νέα άρθρα, ανακοινώσεις, προσφορές) σε ανηλίκους.

9. Cookies και αποθήκευση στη συσκευή σου

Η ιστοσελίδα δεν έχει cookies διαφήμισης. Οι γραμματοσειρές και οι φωτογραφίες φορτώνονται από τον δικό μας server. Ό,τι δεν είναι απαραίτητο φορτώνει μόνο αν το επιτρέψεις στο μήνυμα που εμφανίζεται στην πρώτη σου επίσκεψη. Εκεί «Αποδοχή» και «Απόρριψη» είναι ισότιμα, και με «Απόρριψη» η ιστοσελίδα και οι κρατήσεις λειτουργούν κανονικά. Την επιλογή σου την αλλάζεις όποτε θέλεις από τις «Ρυθμίσεις cookies» στο κάτω μέρος κάθε σελίδας. Αν απορρίψεις, σε ξαναρωτάμε το νωρίτερο σε 6 μήνες· αν αποδεχτείς, σε 12 μήνες ή όταν αλλάξει κάτι σε αυτή την ενότητα.

Με τη συγκατάθεσή σου

• Στατιστικά επισκεψιμότητας (Cloudflare Web Analytics). Μετράμε συγκεντρωτικά ποιες σελίδες διαβάζονται και πόσο γρήγορα φορτώνουν. Ο browser σου στέλνει στην Cloudflare Inc. τη σελίδα που ανοίγεις και από πού ήρθες, χρόνους φόρτωσης, τύπο browser και συσκευής και έναν τυχαίο κωδικό για τη συγκεκριμένη φόρτωση. Η Cloudflare λαμβάνει και τη διεύθυνση IP σου και τα επεξεργάζεται για λογαριασμό μας (εκτελών την επεξεργασία), με πιθανή διαβίβαση στις ΗΠΑ με βάση το EU-US Data Privacy Framework. Δεν βάζει cookies. Δεν φορτώνεται ποτέ στις σελίδες κράτησης, στην εφαρμογή ή στη διαχείριση. Νομική βάση: η συγκατάθεσή σου (ν. 3471/2006 άρθρο 4 παρ. 5, GDPR άρθρο 6(1)(α)).
• Χάρτης Google στη σελίδα Επικοινωνίας (Google Ireland Ltd.). Φορτώνει μόνο αν πατήσεις «Εμφάνιση χάρτη Google» ή αν το ενεργοποιήσεις στις ρυθμίσεις. Τότε η Google λαμβάνει τη διεύθυνση IP και στοιχεία του browser σου και μπορεί να αποθηκεύσει cookies για δικούς της σκοπούς, με πιθανή διαβίβαση στις ΗΠΑ. Για τη συλλογή και τη μετάδοση αυτών των στοιχείων τη στιγμή της φόρτωσης είμαστε από κοινού υπεύθυνοι με την Google· για ό,τι κάνει μετά η Google, υπεύθυνη είναι η ίδια (policies.google.com/privacy).

Απαραίτητα (χωρίς συγκατάθεση, γιατί χωρίς αυτά δεν λειτουργεί ό,τι ζήτησες)

Η γλώσσα μένει στη συσκευή και μετά την αποσύνδεση. Όλα τα παραπάνω τα σβήνεις και από τις ρυθμίσεις του browser σου («Διαγραφή δεδομένων ιστότοπου»).

10. Αλλαγές

Αν αλλάξει κάτι ουσιαστικό σε αυτή την πολιτική, θα το δεις εδώ με νέα ημερομηνία και, αν έχεις λογαριασμό, θα σε ενημερώσουμε στην εφαρμογή. Αν μια αλλαγή αφορά κάτι που στηρίζεται στη συγκατάθεσή σου, θα σε ρωτήσουμε ξανά.