Bezpieczeństwo i RODO

Bezpieczeństwo danych: co robimy naprawdę

Serwery stoją w Unii Europejskiej. Profile logopedów pochodzą z publicznego rejestru CEIDG i każdy z nich ma działający przycisk usunięcia danych. Skany dyplomów trzymamy poza katalogiem publicznym. Placówkom podpisujemy umowę powierzenia danych.

Ta strona opisuje wyłącznie to, co serwis faktycznie robi dzisiaj. Nie ma tu certyfikatów, których nie mamy, ani audytów, których nie przeszliśmy.

Zgłoszenie dotyczące danych

Wszystkie sprawy związane z danymi osobowymi, w tym usunięcie profilu i umowa powierzenia, prowadzimy pod adresem [email protected]. Odpowiadamy najpóźniej w ciągu 30 dni, zwykle szybciej.

Sześć konkretów

Jak chronimy dane dziecka, pacjenta i logopedy

Hosting w Unii Europejskiej

Aplikacja i baza danych działają na serwerach w UE. Dane nie są przekazywane poza Europejski Obszar Gospodarczy, poza przypadkami opisanymi w polityce prywatności, gdzie wymienieni są nasi dostawcy.

Dane z CEIDG, jawnie oznaczone

Profile logopedów pochodzą z Centralnej Ewidencji i Informacji o Działalności Gospodarczej, czyli z rejestru publicznego. Na każdym nieprzejętym profilu piszemy to wprost, razem z linkiem do usunięcia wpisu.

Działający opt-out, nie obietnica

Prawo do usunięcia danych z art. 17 RODO realizujemy przyciskiem na profilu. Żądanie potwierdzasz kodem z e-maila, żeby nikt obcy nie usunął cudzego wpisu. Po potwierdzeniu profil znika z katalogu i z wyszukiwarki.

Skany dyplomów poza katalogiem

Dyplom i certyfikaty, które logopeda wgrywa przy przejęciu profilu, trafiają do prywatnego magazynu plików. Nie są publikowane na profilu i nie da się do nich dojść z poziomu przeglądarki. Ogląda je człowiek, który prowadzi weryfikację.

Płatności po stronie Stripe

Numeru karty nigdy nie widzimy i nie przechowujemy. Płatności obsługuje Stripe jako nasz podmiot przetwarzający. My przechowujemy tylko identyfikator klienta i status subskrypcji.

Opinie tylko po odbytej wizycie

Opinię może wystawić wyłącznie osoba, która zarezerwowała wizytę w serwisie i na niej była. Dzięki temu nie musimy zbierać dodatkowych danych, żeby odsiać opinie fałszywe.

Dane dzieci

Badania przesiewowe: umowa powierzenia przed pierwszym dzieckiem

Wynik badania przesiewowego dotyczy zdrowia dziecka, więc traktujemy go jak dane szczególnej kategorii. Zanim placówka przekaże nam cokolwiek, podpisujemy umowę powierzenia przetwarzania danych (DPA). Zamawiasz badanie na stronie dla placówek.

Zasady przetwarzania danych z badań przesiewowych
Pytanie placówki	Jak jest u nas
Kto jest administratorem danych dziecka?	Placówka. My jesteśmy podmiotem przetwarzającym i działamy na jej polecenie, zapisane w umowie powierzenia.
Gdzie leżą dane?	Na serwerach w Unii Europejskiej.
Kto ma do nich dostęp?	Logopeda prowadzący badanie i osoba przygotowująca raport. Dostęp jest nadawany rolą, a nie „wszystkim z zespołu".
Jak długo je trzymacie?	Do czasu zakończenia usługi i upływu terminu na reklamację, chyba że umowa z placówką mówi inaczej.
Czy używacie ich do reklam?	Nie. Nie profilujemy dzieci i nie sprzedajemy żadnych danych.
Czy dostaniemy rejestr dostępu?	Tak. Zapisujemy, kto i kiedy otwierał dane badania, i udostępniamy ten rejestr placówce na żądanie.

Jesteś logopedą i widzisz tu swoje nazwisko

Masz trzy wyjścia i każde działa

1

Przejmij profil

Potwierdzasz tożsamość, wgrywasz dyplom, poprawiasz dane. Profil staje się Twój, razem z kalendarzem i rezerwacjami. Szczegóły opisaliśmy na stronie dla logopedów.
2

Popraw dane

Jeśli adres albo specjalizacja są nieaktualne, napisz na [email protected]. Poprawiamy bez zakładania konta, to jest prawo do sprostowania z art. 16 RODO.
3

Zażądaj usunięcia

Na każdym nieprzejętym profilu jest przycisk usunięcia danych. Potwierdzasz kodem z e-maila i wpis znika z katalogu. To prawo do bycia zapomnianym z art. 17 RODO.

Podstawę prawną, na której publikujemy dane z CEIDG, opisaliśmy w polityce prywatności.

Dlaczego w ogóle weryfikujemy dyplom

Krajowy Rejestr Logopedów, prowadzony przez Polski Związek Logopedów, jest zawieszony. Zawód logopedy nie jest w Polsce uregulowany ustawą: nie ma licencji ani izby zawodowej. W praktyce rodzic nie ma dziś żadnego oficjalnego sposobu, żeby sprawdzić, czy osoba naprzeciwko naprawdę skończyła logopedię.

Dlatego oglądamy dyplom i certyfikaty ręcznie, a dopiero potem nadajemy odznakę. Profil, którego nikt nie potwierdził, ma widoczny status „niezweryfikowany". Katalog, w którym wszyscy są zweryfikowani, nie znaczyłby nic.

Co robimy

Szyfrujemy połączenie z serwisem (HTTPS) i hasła przechowujemy wyłącznie w postaci skrótu.
Ograniczamy dostęp do panelu administracyjnego do wskazanych kont.
Zapisujemy, kto i kiedy zatwierdził weryfikację dyplomu.
Zbieramy tylko te dane, które są potrzebne do rezerwacji, weryfikacji i rozliczenia.
Udostępniamy placówkom umowę powierzenia (DPA) przed rozpoczęciem współpracy.

Czego nie robimy

Nie sprzedajemy danych pacjentów, dzieci ani logopedów.
Nie przechowujemy numerów kart płatniczych. Robi to Stripe.
Nie publikujemy dokumentów, które logopeda wgrywa do weryfikacji.
Nie kopiujemy opisów z profili konkurencji. Notki w katalogu piszemy sami, z danych rejestrowych.
Nie twierdzimy, że mamy certyfikat ISO ani audyt bezpieczeństwa, bo ich nie mamy.

Znalazłeś błąd bezpieczeństwa? Napisz na [email protected] i daj nam czas na poprawkę, zanim opiszesz to publicznie. Odpowiadamy każdemu, kto zgłosi realny problem.