Политика конфиденциальности

1. Кто обрабатывает ваши данные

Контролёр персональных данных — то есть тот, кто решает, зачем и как с вашими данными обращаются, — это я:

Практику я веду одна. У меня нет сотрудников, у которых был бы доступ к вашим записям, и я никого не привлекала к работе с вашими данными.

Ответственный за защиту данных (DPO)

DPO я не назначала и по статье 37 GDPR назначать не обязана: пункт 91 преамбулы GDPR прямо указывает, что обработка данных отдельным специалистом в сфере здравоохранения не считается масштабной. По всем вопросам защиты данных обращайтесь напрямую ко мне: petrova@psy20.eu.

2. Какие данные я обрабатываю

Когда вы записываетесь на консультацию

• имя или обращение, которое вы выберете сами;
• телефон, e-mail или ник в мессенджере;
• выбранный формат встречи и направление, с которым вы приходите;
• текст вашего сообщения — то, что вы сами напишете о своей ситуации.

Во время работы

• записи по консультациям: запрос, ход работы, договорённости;
• данные, нужные для счёта и бухгалтерии;
• история назначенных и состоявшихся встреч.

Когда вы просто смотрите сайт

На psy20.eu нет ни одного cookie, нет аналитики и счётчиков. Я не отслеживаю, кто зашёл на сайт, откуда и что смотрел. Автоматически передаётся только IP-адрес вашего устройства — хостинг-провайдеру и компании Google при загрузке шрифтов. Подробнее — в Политике cookies.

3. Данные о психическом здоровье — особая категория

То, что вы рассказываете на сессии о своём психическом состоянии, о диагнозе, о лечении, об отношениях в семье или о том, что крутится в голове в четыре утра, — это по статье 9 GDPR особая категория персональных данных. Закон защищает их строже, чем обычные данные вроде имени и телефона, и я обращаюсь с ними соответственно.

На практике это значит:

• Я обрабатываю такие данные только в объёме, который действительно нужен для работы. Я не записываю всё, что прозвучало.
• Храню их отдельно от обычной переписки и бухгалтерии.
• Никому не передаю — ни родственникам, ни врачу, ни другому специалисту — без вашего явного согласия, кроме ситуаций, описанных в разделе 9.
• Не использую их ни для чего, кроме нашей совместной работы. Они никогда не появятся в постах в соцсетях, в обучении или в примерах — если только вы не дали на это согласие и случай не полностью обезличен.

На каком правовом основании

Обработку этих данных я строю сразу на двух основаниях:

• Ст. 9(2)(a) GDPR — ваше явное согласие. Я получаю его в начале работы, понятным языком и отдельно от прочих договорённостей. Это основание применяется всегда.
• Ст. 9(2)(h) GDPR — оказание медицинской или социальной помощи. Это основание действует там, где услуги оказываются как услуги здравоохранения по закону № 372/2011 Sb. Условие ст. 9(3) GDPR выполняется тем, что я как специалист связана обязанностью хранить профессиональную тайну.
• Ст. 9(2)(f) GDPR применяется лишь в исключительных случаях, если понадобится установить, осуществить или защитить правовое требование — например, при споре об оплате или при жалобе.

4. Цели и правовые основания

Маркетинг и новости

Я не начну присылать вам рассылку только потому, что вы были моим клиентом. Если когда-нибудь я стану рассылать материалы, я запрошу на это отдельное согласие — непроставленную галочку, которая никак не влияет на то, возьму ли я вас в работу. Согласие отзывается ссылкой в каждом письме или письмом на petrova@psy20.eu. Содержание наших сессий я никогда не использую для рассылки и никогда не сегментирую по нему получателей.

5. Откуда я получаю данные

Только от вас — из формы на сайте, из сообщения в мессенджере, из письма или из того, что вы говорите на сессии. Данные о вас я не покупаю, не разыскиваю в интернете и не получаю из других источников.

Если на сессии вы рассказываете о третьем человеке — партнёре, родителе, ребёнке — я фиксирую только то, что необходимо для работы, и отношусь к этому с той же конфиденциальностью.

6. Кому я передаю данные

Ваши записи с консультаций я не передаю никому. Ни страховым, ни работодателям, ни родственникам, ни врачам. Если вы хотите, чтобы я что-то передала вашему врачу или в заключение, мне нужно ваше письменное согласие на конкретный случай.

При этом техническая сторона практики неизбежно означает, что некоторые данные проходят через сервисы других компаний:

7. Передача за пределы Европейского союза

Сама я никаких данных за пределы ЕС не отправляю. Но передача в третью страну может произойти через перечисленные выше сервисы:

• Google и Meta (WhatsApp, Instagram) — европейские подразделения находятся в Ирландии. Передача в США происходит на основании решения Европейской комиссии об адекватном уровне защиты в рамках EU–US Data Privacy Framework от 10 июля 2023 г., дополненного стандартными договорными положениями.
• Telegram — оператор не находится в ЕС и не подпадает под указанное решение об адекватности. Уровень защиты здесь я гарантировать не могу. Поэтому Telegram я использую только для согласования времени и никогда для передачи чувствительного содержания; то же рекомендую и вам.

Если вы хотите полностью избежать передачи за пределы ЕС — общайтесь со мной по телефону или почте, а встречи проводите очно.

8. Сколько я храню данные

По истечении срока записи я удаляю, бумажные — уничтожаю. Если вы хотите, чтобы записи с консультаций были удалены раньше, скажите мне — я иду навстречу всегда, когда этому не мешает обязанность по закону. То, что обязана хранить по закону о бухучёте, удалить не могу, но это не данные о здоровье, а имя, сумма и дата.

9. Конфиденциальность и её законные пределы

Всё, что вы мне доверяете, конфиденциально. Обязанность молчать сохраняется и после окончания работы и не ограничена по времени.

Чешское право устанавливает несколько исключений, которые я не могу обойти даже по вашей просьбе. Я нарушу конфиденциальность только если:

• есть непосредственная угроза вашей жизни или здоровью либо жизни и здоровью другого человека, и иначе её предотвратить нельзя;
• мне станут известны обстоятельства, указывающие на жестокое обращение с ребёнком, злоупотребление или пренебрежение — обязанность сообщить по § 10(4) закона № 359/1999 Sb. о социально-правовой охране детей;
• закон обязывает меня сообщить о преступлении или воспрепятствовать ему — § 367 и § 368 Уголовного кодекса;
• меня вызывает для дачи показаний или требует материалы суд либо орган уголовного производства — в том объёме, в каком закон освобождает меня от обязанности хранить тайну.

Если такая ситуация возникнет, я вам об этом скажу — если только само сообщение не сорвёт цель меры и никого не поставит под угрозу. Я всегда передаю необходимый минимум, никогда не всё дело целиком.

10. Защита данных

• Устройства, на которых я работаю, защищены паролем и шифрованием диска.
• Записи с консультаций хранятся отдельно от контактов и бухгалтерии; доступ к ним есть только у меня.
• Во всех аккаунтах, где это возможно, включена двухфакторная аутентификация.
• Бумажные заметки хранятся в запертом месте и уничтожаются по истечении срока.
• Сайт psy20.eu работает через шифрованное соединение HTTPS.
• Сессии я не записываю. Если запись когда-нибудь окажется полезной для работы, я заранее спрошу вашего согласия и без него записывать не буду.

Если всё же произойдёт нарушение защиты, создающее для вас высокий риск, я без неоправданной задержки сообщу вам об этом и уведомлю Управление по защите персональных данных согласно статьям 33 и 34 GDPR.

11. Ваши права

У вас есть перечисленные ниже права. Реализовать их можно письмом на petrova@psy20.eu, по телефону или почтой на адрес.

• Право на доступ (ст. 15). Вы можете спросить, какие данные о вас у меня есть, и запросить их копию.
• Право на исправление (ст. 16). Если что-то неточно или неполно — я исправлю.
• Право на удаление (ст. 17). Вы можете требовать удаления данных, которые больше не нужны или которые я обрабатываю на основании отозванного согласия.
• Право на ограничение обработки (ст. 18). Вы можете потребовать, чтобы я временно не работала с данными — например, пока проверяю их точность.
• Право на переносимость (ст. 20). Данные, которые вы мне предоставили и которые я обрабатываю на основании согласия или договора, я передам в машиночитаемом формате.
• Право на возражение (ст. 21). Против обработки на основании законного интереса вы можете возразить в любой момент.
• Право отозвать согласие (ст. 7(3)). В любой момент и без объяснения причин. Законность обработки до отзыва это не затрагивает.
• Право не подпадать под автоматизированные решения (ст. 22). См. раздел 14.

Я отвечу в течение одного месяца с получения запроса. По сложным запросам срок может быть продлён максимум на два месяца; о продлении и его причинах я вас уведомлю. Рассмотрение бесплатно. При явно необоснованных или повторяющихся запросах я вправе по ст. 12(5) GDPR потребовать разумную компенсацию расходов либо отказать.

Чтобы не выдать данные не тому человеку, я сначала должна убедиться, что запрос действительно от вас. Поэтому по чувствительным запросам я могу попросить подтверждения по телефону или личной встречи.

12. Жалоба в надзорный орган

Если вы считаете, что я обращаюсь с вашими данными неправомерно, буду рада, если вы сначала напишете мне — большинство вопросов решается разговором. Независимо от этого вы вправе обратиться с жалобой прямо в надзорный орган:

У вас также есть право на эффективную судебную защиту по статьям 78 и 79 GDPR и право на возмещение ущерба по статье 82 GDPR.

13. Дети и подростки

Сайт и услуги не предназначены для лиц младше 18 лет без участия законного представителя. Если клиент несовершеннолетний, я запрашиваю согласие законного представителя; по статье 8 GDPR для услуг информационного общества в Чешской Республике действует порог 15 лет.

В работе с несовершеннолетним я в самом начале объясняю и ему, и родителю, что из содержания встреч остаётся конфиденциальным, а что я сообщаю родителю. Без этой ясности работу не начинаю.

14. Автоматизированные решения и профилирование

Я не использую автоматизированное принятие решений и профилирование в смысле статьи 22 GDPR. Я не использую инструменты искусственного интеллекта для обработки содержания ваших сессий. Решения о том, как с вами работать, всегда принимаю я как человек и обсуждаю их с вами.

15. Изменения политики

Со временем политика может меняться — например, если изменится закон или в практике появится новая услуга. Актуальная редакция всегда находится по этому адресу; дата вступления в силу и номер версии — в шапке документа.

О существенном изменении, затрагивающем объём обработки данных о вашем здоровье, я сообщу напрямую — письмом или на ближайшей сессии. Если изменение потребует нового согласия, я запрошу его заранее.

Если по любому пункту этого документа возник вопрос — напишите на petrova@psy20.eu. Отвечу по-человечески, а не ссылкой на параграф.