Niniejsza lista stanowi załącznik do Umowy Powierzenia Przetwarzania Danych (DPA) i wskazuje podmioty, którym Bartosz Krzyżaniak (Procesor) powierza przetwarzanie danych osobowych pacjentów w zakresie niezbędnym do świadczenia usługi MedEQ. Lista jest aktualizowana z wyprzedzeniem co najmniej 30 dni przed wprowadzeniem nowego subprocesora.
1. Subprocesorzy podstawowi
Z poniższych podmiotów korzystamy zawsze - są niezbędne do działania usługi:
| Subprocesor | Lokalizacja danych | Zakres usług | Podstawa transferu |
|---|---|---|---|
| OVHcloud (OVH Sp. z o.o.) | UE (Polska / Francja) | Infrastruktura serwerowa, hosting bazy danych i przechowywanie plików (skany, zdjęcia) | EOG - brak transferu poza UE |
| home.pl (H88 S.A.) | Polska (UE) | Serwer poczty wychodzącej - powiadomienia e-mail (przypomnienia, potwierdzenia, resety hasła) | EOG - brak transferu poza UE |
| PayPro S.A. (Przelewy24), NIP 779-236-98-87 | Polska (UE) | Obsługa płatności abonamentowych (subskrypcja) | EOG - brak transferu poza UE |
2. Subprocesorzy modułów opcjonalnych
Poniższe podmioty przetwarzają dane tylko wówczas, gdy placówka świadomie włączy dany moduł (kanał SMS lub funkcje AI). Bez włączenia tych modułów dane nie są im przekazywane.
| Subprocesor | Lokalizacja danych | Zakres usług | Podstawa transferu |
|---|---|---|---|
| SMSAPI (LINK Mobility Poland Sp. z o.o.) | Polska (UE) | Wysyłka powiadomień SMS (numer telefonu + treść wiadomości) | EOG - brak transferu poza UE |
| Google Ireland Ltd. / Google LLC | UE / USA | Wideokonsultacje e-wizyt (Google Meet) oraz synchronizacja kalendarza (Google Calendar) - gdy placówka włączy dodatek e-wizyt lub integrację kalendarza. Zakres: imię i nazwisko, termin, link do spotkania; sama wideorozmowa odbywa się na infrastrukturze Google. | Standardowe klauzule umowne (SCC), art. 46 RODO |
| Anthropic, PBC | USA | API AI - OCR faktur i dokumentów (faktury kosztowe, listy płac, raporty sterylizacji, wydruki terminala, tabliczki znamionowe) oraz strukturyzacja notatki medycznej z transkryptu wizyty (moduł AI Scribe) | Standardowe klauzule umowne (SCC), art. 46 RODO |
| OpenAI, L.L.C. | USA | API AI - transkrypcja nagrań audio z wizyt (moduł AI Scribe) oraz asystent AI | Standardowe klauzule umowne (SCC), art. 46 RODO |
Dane a trenowanie modeli: dostawcy AI (Anthropic, OpenAI) przetwarzają przekazane dane wyłącznie w celu realizacji konkretnego zapytania i - zgodnie z warunkami korzystania z ich API dla klientów biznesowych - nie wykorzystują przekazanych danych do trenowania swoich modeli.
3. Odbiorcy z mocy prawa
Niezależnie od powyższych, dane mogą być przekazywane podmiotom, którym przekazanie następuje na podstawie obowiązku prawnego - nie są to subprocesorzy w rozumieniu art. 28 RODO:
- Krajowy System e-Faktur (KSeF) - Ministerstwo Finansów (Polska): przekazywanie ustrukturyzowanych faktur, gdy wymagają tego przepisy.
4. Integracje na żądanie placówki
Jeżeli placówka zdecyduje się połączyć MedEQ z zewnętrzną platformą rezerwacji (np. ZnanyLekarz / DocPlanner), platforma ta staje się odrębnym administratorem lub subprocesorem w zakresie tej integracji - na podstawie odrębnych warunków danego dostawcy. Domyślnie integracje te są wyłączone.
Płatności za e-wizyty: jeżeli placówka włączy pobieranie opłat za wizyty online, podpina własne konto Przelewy24. Płatności pacjentów przechodzą przez to konto i trafiają bezpośrednio do placówki - MedEQ nie jest tu pośrednikiem płatności ani nie przechowuje danych kart pacjentów. Relacja z Przelewy24 w tym zakresie łączy placówkę z Przelewy24 na podstawie ich odrębnych warunków.
5. Sprzeciw i zmiany
O każdej planowanej zmianie na liście subprocesorów informujemy z wyprzedzeniem co najmniej 30 dni. Administrator danych (placówka) może w tym terminie zgłosić sprzeciw na adres kontakt@medeq.pl. W razie sprzeciwu strony podejmą rozmowy w celu znalezienia rozwiązania alternatywnego.