1. Uvod
PhysioSense ("mi", "naš"), registrovan u Crnoj Gori, upravlja web stranicom physiosense.net. Ova politika opisuje kako prikupljamo, koristimo i štitimo vaše osobne podatke u skladu sa GDPR-om, crnogorskim Zakonom o zaštiti podataka o ličnosti i važećim zakonima o zaštiti podataka.
PhysioSense je namijenjen korisnicima starijim od 16 godina. Ako imate manje od 16 godina, možete koristiti PhysioSense samo uz pristanak roditelja ili zakonskog staratelja.
2. Podaci koje prikupljamo
Podaci o računu:
- Email adresa (za autentifikaciju)
- Ime (za prikaz u profilu)
- Uloga (npr. fizioterapeut, student)
- Broj profesionalne licence (neobavezno)
- Odabir pretplate (tier)
- Podaci o plaćanju (obrađuje Paddle — mi ne pohranjujemo podatke o kartici)
Zdravstveni podaci (GDPR članak 9 — posebna kategorija):
- Zdravstvena procjena (dijagnoza, faza oporavka, trajanje simptoma, razina boli, funkcionalni status, dob pacijenta, spol, komorbiditeti, oprema, ciljevi, okruženje liječenja)
- Ishodi koje prijavljuje pacijent (rezultati boli, funkcionalni rezultati, klinički napredak, podaci o pridržavanju terapije)
- Generirani izvještaji (personalizirani obrazovni sadržaj temeljen na dokazima, PDF dokumenti)
Pravna osnova za zdravstvene podatke
Kada kreirate personalizirani plan, prikupljamo zdravstvene podatke koji predstavljaju „posebnu kategoriju podataka“ prema GDPR članku 9. Ove podatke obrađujemo na temelju vašeg eksplicitnog pristanka (članak 9(2)(a)), koji dajete prilikom kreiranja plana. Pristanak možete povući u bilo kojem trenutku brisanjem svojih planova ili računa u Postavkama.
3. Kako koristimo vaše podatke
- Za pružanje i personalizaciju platforme — Ugovor, čl. 6(1)(b); Eksplicitni pristanak za zdravstvene podatke, čl. 9(2)(a)
- Za obradu pretplate i plaćanja — Ugovor, čl. 6(1)(b)
- Za slanje transakcijskih emailova (potvrda računa, reset lozinke, podsjetnici za mjerenje ishoda) — Ugovor, čl. 6(1)(b)
- Za sigurnost platforme i praćenje tehničkih grešaka — Legitimni interes, čl. 6(1)(f)
- Za poboljšanje platforme na temelju agregirane upotrebe (uz pristanak) — Pristanak, čl. 6(1)(a)
4. Pohrana i sigurnost podataka
- Baza podataka i autentifikacija: Supabase (EU — Frankfurt). Row-Level Security (RLS) na svim tablicama.
- Hosting aplikacije: Vercel (EU — Frankfurt, fra1). HTTPS/TLS enkripcija, HSTS s 2-godišnjim trajanjem.
- Lozinke: hashirane putem bcrypt (Supabase Auth). Nikada ne pohranjujemo lozinke u čistom tekstu.
- Sigurnosna zaglavlja: Content-Security-Policy, X-Frame-Options: DENY, X-Content-Type-Options: nosniff, CSRF zaštita na svim mutacijama.
- Backup ishoda: enkriptirani i pohranjeni u Supabase Storage (dnevni backup).
5. Podprocesori podataka
Koristimo sljedeće podprocesore za obradu vaših podataka:
| Usluga | Svrha | Lokacija | Zaštita prijenosa |
|---|
| Supabase | Autentifikacija i baza podataka | EU (Frankfurt) | EU — nema prijenosa |
| Vercel | Hosting aplikacije i CDN | EU (Frankfurt) | EU — nema prijenosa |
| Paddle | Obrada plaćanja (MoR) | UK / EU | Odluka o primjerenosti UK |
| Resend | Transakcijski emailovi | US | EU-US DPF. Samo email adrese. |
| Sentry | Praćenje grešaka | EU | EU — nema prijenosa |
Ne prodajemo, ne iznajmljujemo niti ne dijelimo vaše osobne podatke s trećim stranama u marketinške svrhe. Ugovori o obradi podataka (DPA) potpisani su sa svim podprocesorima.
6. Vaša prava (GDPR)
- Pristup (Art. 15) — pregledajte svoje podatke u Postavkama
- Ispravka (Art. 16) — ažurirajte podatke u Postavkama
- Brisanje (Art. 17) — zatražite brisanje računa u Postavkama > Profil
- Izvoz (Art. 20) — preuzmite sve svoje podatke u JSON formatu putem Postavki > Izvoz podataka
- Ograničenje obrade (Art. 18) — kontaktirajte privacy@physiosense.net
- Povlačenje pristanka (Art. 7(3)) — povucite pristanak za obradu zdravstvenih podataka u bilo kojem trenutku putem Postavki > Upravljanje pristankom. Povlačenje ne utječe na zakonitost obrade izvršene prije povlačenja.
- Prigovor (Art. 21) — kontaktirajte privacy@physiosense.net
- Pritužba nadzornom tijelu (Art. 77) — imate pravo podnijeti pritužbu nadzornom tijelu za zaštitu podataka. Za Crnu Goru: Agencija za zaštitu ličnih podataka (AZLP), www.azlp.me. Za EU: vaše lokalno tijelo.
7. Automatizirano odlučivanje
PhysioSense ne donosi automatizirane odluke o vama. Generiranje izvještaja filtrira objavljene dokaze na temelju vašeg unosa, ali ne predstavlja automatizirano donošenje odluka ili profiliranje prema GDPR članku 22. Sve kliničke odluke ostaju na liječniku/terapeutu.
8. Čuvanje podataka
- Podaci o računu: dok je račun aktivan. Brisanje na zahtjev putem Postavki.
- Zdravstveni podaci: dok postoji pristanak. Povlačenje pristanka pokreće brisanje.
- Generirani izvještaji: zadržavaju se anonimizirani za kvalitetu. Po brisanju računa — sve se trajno briše.
- Podaci o plaćanju: 7 godina (zakonska obaveza).
- Dnevnici grešaka: 90 dana (Sentry automatsko brisanje).
9. Promjene politike
Ako napravimo materijalne promjene u ovoj politici, obavijestit ćemo vas putem e-pošte ili obavijesti u aplikaciji najmanje 14 dana prije stupanja na snagu.
10. Kontakt
Za pitanja o privatnosti kontaktirajte nas na: privacy@physiosense.net
Nismo imenovali službenika za zaštitu podataka (DPO) jer naša obrada ne ispunjava pragove iz GDPR članka 37.
Odgovaramo u roku od 30 dana sukladno GDPR zahtjevima.