Политика за поверителност
Тази политика описва как CallDesk обработва лични данни при използване на уебсайта, заявките за демонстрация, регистрацията на практики и услугата за AI телефонен асистент за медицински практики, в съответствие с Регламент (ЕС) 2016/679 (GDPR) и Закона за защита на личните данни.
1. Кой обработва вашите данни
Администратор на лични данни за уебсайта, маркетинговите запитвания и потребителските акаунти на практиките е операторът на CallDesk.
За въпроси относно поверителността и за упражняване на права пишете на privacy@calldeskbg.com.
2. Роли при обработването (администратор и обработващ)
CallDesk действа в две различни роли в зависимост от данните:
- Като АДМИНИСТРАТОР — за данните на посетителите на сайта, лицата, които изпращат запитвания и заявки за демонстрация, и представителите на практики, които създават потребителски акаунт.
- Като ОБРАБОТВАЩ лични данни — за данните на пациенти, които се обработват при приемане на обажданията от името и по указание на медицинската практика. В тези случаи администратор е самата практика (клиника, кабинет, лекар), а CallDesk обработва данните единствено за да предостави услугата.
3. Категории лични данни
| Категория субект | Данни | Източник |
|---|---|---|
| Посетители на сайта | IP адрес, тип устройство и браузър, действия на страницата, технически идентификатори от бисквитки (при съгласие). | Автоматично при посещение. |
| Заявители на демо / контакт | Име и фамилия, телефон, имейл, име на практика, град, брой локации, използван софтуер за записване, предпочитан начин за контакт, съобщение. | Формите за контакт и демо на сайта. |
| Представители на практики (акаунти) | Имейл, парола (съхранена в хеширан вид от доставчика на удостоверяване), име на практика, работно време, услуги, часова зона. | Регистрация и онбординг съветника. |
| Свързани Google акаунти | Google имейл, идентификатор на календар, OAuth токени за достъп и опресняване (за достъп до Google Calendar). | Доброволно свързване на Google Calendar. |
| Пациенти (от името на практиката) | Име, телефонен номер, съдържание на разговора, заявени/променени/отменени часове, аудиозапис и транскрипция на обаждането. | Входящи телефонни обаждания към практиката. |
4. Цели и правни основания
| Цел | Правно основание (GDPR) |
|---|---|
| Отговаряне на запитвания и организиране на демонстрации. | Чл. 6(1)(б) — стъпки преди договор; чл. 6(1)(е) — легитимен интерес за B2B комуникация. |
| Създаване и поддръжка на потребителски акаунт на практиката. | Чл. 6(1)(б) — изпълнение на договор. |
| Предоставяне на AI телефонния асистент (приемане на обаждания, записване на часове). | За пациентските данни администратор е практиката; CallDesk обработва по чл. 28 от нейно име. За CallDesk като доставчик — чл. 6(1)(б). |
| Изпращане на маркетингови съобщения (ако е приложимо). | Чл. 6(1)(а) — съгласие, или чл. 6(1)(е) — легитимен интерес, с право на възражение. |
| Аналитика и измерване чрез бисквитки/пиксели. | Чл. 6(1)(а) — съгласие (вижте Политика за бисквитки). |
| Сигурност, предотвратяване на злоупотреби и водене на журнали. | Чл. 6(1)(е) — легитимен интерес за сигурност на услугата. |
| Спазване на законови задължения (счетоводство, отговор на органи). | Чл. 6(1)(в) — законово задължение. |
5. Специални категории данни (здравни данни)
Самият факт, че дадено лице е пациент на определена медицинска практика, може да представлява данни за здравето по смисъла на чл. 9 от GDPR. CallDesk не цели да обработва диагнози или клинична информация, но при приемане на обаждания неизбежно обработва ограничени данни, свързани с организацията на посещение при лекар.
За тези данни администратор е медицинската практика, която разполага с правно основание по чл. 9(2)(з) от GDPR (предоставяне на здравни грижи и управление на здравни услуги) и действа при условията на професионална тайна по чл. 9(3). CallDesk обработва тези данни единствено по документирано указание на практиката и при подходящи технически и организационни мерки.
7. Получатели и подизпълнители
Споделяме лични данни само с доставчици на услуги (обработващи лични данни), които ни помагат да предоставяме платформата, на основание сключени договори за обработване. Към момента това са:
| Доставчик | Роля | Местоположение / трансфер |
|---|---|---|
| Netlify, Inc. | Хостинг на уебсайта и сървърните функции. | САЩ — Стандартни договорни клаузи (SCC). |
| Supabase, Inc. | База данни и удостоверяване на акаунти. | Подходящи гаранции по GDPR; при трансфер извън ЕИП — Стандартни договорни клаузи (SCC). |
| Google Ireland Ltd. | Google Calendar и OAuth интеграция; обработка на онбординг данни. | ЕС/САЩ — Стандартни договорни клаузи (SCC) и Data Privacy Framework. |
| Twilio Inc. | Телефония и пренос на гласовите обаждания (SIP). | САЩ — Стандартни договорни клаузи (SCC). |
| Resend | Транзакционни и известителни имейли. | САЩ — Стандартни договорни клаузи (SCC). |
| Meta Platforms Ireland Ltd. | Meta Pixel (маркетинг/аналитика) — само при съгласие. | ЕС/САЩ — Стандартни договорни клаузи (SCC) и Data Privacy Framework. |
| Доставчик за гласова обработка и транскрипция | Обработка и транскрипция на гласа на обажданията. | Подходящи гаранции по GDPR; при трансфер извън ЕИП — Стандартни договорни клаузи (SCC). |
Можем да разкриваме данни и на компетентни органи, когато това се изисква по закон. Не продаваме лични данни.
8. Международни трансфери
Някои от нашите доставчици обработват данни извън Европейското икономическо пространство (напр. в САЩ). В тези случаи трансферът се основава на решения за адекватност, Стандартни договорни клаузи (SCC) на Европейската комисия и/или сертификация по EU–US Data Privacy Framework, заедно с допълнителни технически мерки.
9. Срокове на съхранение
Съхраняваме лични данни само толкова дълго, колкото е необходимо за съответната цел или колкото изисква законът. Сроковете за пациентските данни се конфигурират от практиката.
| Данни | Срок (по подразбиране) |
|---|---|
| Аудиозаписи на обаждания | 30 дни, освен ако практиката не конфигурира друг срок. |
| Транскрипции на разговори | Конфигурируем от практиката. |
| История на записаните часове | Според конфигурацията на практиката и законовите ѝ задължения. |
| Запитвания за демо/контакт | До 24 месеца от последния контакт, освен при наличие на договор. |
| Данни на акаунти на практики | За срока на договора и до 6 месеца след прекратяването му. |
| Счетоводни документи | Съгласно приложимото счетоводно и данъчно законодателство. |
| Журнали за сигурност (логове) | Съгласно вътрешната ни политика за сигурност. |
10. Вашите права
Съгласно GDPR имате право на: достъп, коригиране, изтриване („право да бъдеш забравен"), ограничаване на обработването, преносимост на данните, възражение срещу обработване, основано на легитимен интерес, и оттегляне на дадено съгласие по всяко време.
За да упражните правата си, пишете на privacy@calldeskbg.com. Ако сте пациент, чиито данни се обработват от практика чрез CallDesk, насочете искането си към съответната практика (администратор); ние ще съдействаме на практиката за изпълнението му. Повече детайли — на страницата „Права по GDPR".
11. Сигурност
Прилагаме технически и организационни мерки за защита на данните — криптиране при пренос, контрол на достъпа на принципа на най-малки права, удостоверяване и журнали. Подробности са описани на страницата „Сигурност и защита на данните".
12. Автоматизирано обработване и AI
AI асистентът автоматизира административни задачи (приемане на обаждания, записване на часове). Той не взема решения с правни или подобни значими последици за лицата по смисъла на чл. 22 от GDPR и не дава медицински съвети. Повече — в „AI отказ от отговорност".
13. Деца
Услугата е насочена към медицински практики, а не директно към деца. Когато практиката организира часове за непълнолетни пациенти, тя отговаря като администратор за съответното правно основание и съгласие.
14. Промени в политиката
Можем да актуализираме тази политика. Съществените промени ще бъдат отбелязани чрез датата на последна актуализация и – при необходимост – чрез допълнително уведомление.
15. Контакт и право на жалба
Имате право да подадете жалба до надзорния орган: Комисия за защита на личните данни (КЗЛД), гр. София 1592, бул. „Проф. Цветан Лазаров" № 2, тел. 02/915 3518, имейл kzld@cpdp.bg, уебсайт www.cpdp.bg.
Контакт за поверителност
Ако имате въпроси относно тази политика, искате да упражните свои права или ви е нужна допълнителна информация за обработването на лични данни, свържете се с нас.