Marrëveshja e përpunimit të të dhënave
1. Palët dhe fushëveprimi
Kjo marrëveshje lidhet ndërmjet klinikës („ju“) dhe Spics Digital Marketing SH.P.K. („DigiDent“, „ne“), Rruga Ukë Bytyqi, Prizren, Kosovë, NUI 812274893 në ARBK. Është kontrata e përpunimit sipas neneve 27 dhe 32 të Ligjit nr. 06/L-082 për Mbrojtjen e të Dhënave Personale („Ligji“) dhe pjesë e Kushteve të shërbimit. Pasi t’jua dërgojmë lidhjet e të dyjave, i pranoni bashkë me konfirmim me email; konfirmimin e ruajmë me versionin e pranuar dhe jua dërgojmë me kërkesë. Forma elektronike vlen si e shkruar (neni 27(8)).
Zbatohet që nga të dhënat e para personale, edhe gjatë provës falas, për të dhënat e klinikës: ato që futni, ngarkoni ose na dërgoni për mbështetje, regjistri i veprimeve, regjistrat teknikë dhe kopjet rezervë. Përpunimin tonë si kontrollues (faqja, kërkesat për demo, marrëdhënia me klientët, siguria e llogarive) e shpjegon Politika e privatësisë. Për mbrojtjen e të dhënave kjo marrëveshje ka përparësi ndaj Kushteve; mbizotëron versioni në shqip.
2. Rolet dhe përgjegjësitë e klinikës
Ju jeni kontrollues dhe vendosni pse dhe si përpunohen të dhënat; ne jemi përpunues dhe veprojmë sipas udhëzimeve tuaja të ligjshme. Ju përgjigjeni për bazën ligjore, edhe për të dhënat shëndetësore (neni 8), informimin (nenet 12 dhe 13), saktësinë, afatet e ruajtjes, kërkesat e pacientëve, llogaritë dhe rolet, fjalëkalimet, pajisjet, rrjetin, skedarët që shkarkoni ose printoni, çaktivizimin pa vonesë të llogarive të stafit që largohet dhe njoftimin e shkeljeve te Agjencia për Informim dhe Privatësi (AIP) dhe pacientët, kur kërkohet. Përpunuesi që vendos qëllimet dhe mjetet në kundërshtim me Ligjin konsiderohet kontrollues (neni 27(9)); ne nuk i vendosim.
3. Përshkrimi i përpunimit
| Elementi | Përshkrimi |
|---|---|
| Objekti, natyra, qëllimi | Ofrimi i DigiDent sipas Kushteve, që klinika të menaxhojë pacientët, kartelat dentare, vizitat, terminet, radiografitë, terapitë, faturat dhe pagesat: ruajtje, shfaqje, kërkim, ndryshim, fshirje, printim dhe shkarkim nga stafi, transmetim i enkriptuar, regjistri i veprimeve, siguria, rimëkëmbja dhe mbështetja me kërkesë. |
| Kohëzgjatja | E vazhdueshme, nga të dhënat e para deri në fshirjen sipas pikës 11. |
| Subjektet e të dhënave | Pacientët, edhe fëmijët; stafi me llogari (administratorët e klinikës, mjekët, recepsionistët); të tjerë në kartelë, si prindi ose kujdestari. |
| Pacientët | Të dhëna identifikuese dhe kontakti; të dhëna shëndetësore, si historia mjekësore, kartela dentare, vizitat, trajtimet, radiografitë dhe fotot, terapitë; terminet dhe kontrollet e radhës; faturat dhe pagesat (pa numra kartash bankare). |
| Stafi | Të dhënat e llogarisë: të dhëna identifikuese dhe kontakti, roli, të dhënat e hyrjes dhe të sigurisë. |
| Regjistrat dhe kopjet | Regjistri i veprimeve dhe regjistrat teknikë, që mund të përmbajnë të dhëna shëndetësore; kopjet rezervë. |
DigiDent nuk u dërgon mesazhe pacientëve: lidhjet për thirrje, SMS dhe WhatsApp hapin telefonin e vetë stafit dhe këto shërbime nuk janë nënpërpunues.
4. Udhëzimet dhe konfidencialiteti
Përpunojmë vetëm sipas udhëzimeve tuaja të dokumentuara, edhe për transferimet: Kushtet, kjo marrëveshje, përdorimi i DigiDent dhe udhëzimet me shkrim të administratorit të klinikës (neni 32(2)). Të dhënat nuk i përdorim kurrë për qëllimet tona (testim, analitikë, marketing, trajnim i inteligjencës artificiale) dhe nuk i kopjojmë në sisteme zhvillimi ose testimi. Nëse një ligj kërkon përpunim tjetër, ju njoftojmë paraprakisht, përveç kur ai ligj e ndalon njoftimin për arsye të rëndësishme të interesit publik. Për një udhëzim që e mendojmë të paligjshëm ju njoftojmë menjëherë dhe mund ta pezullojmë derisa ta konfirmoni ose ta ndryshoni.
Kushdo që vepron nën autoritetin tonë ndjek udhëzimet tuaja (nenet 28 dhe 31(4)) dhe ka detyrim konfidencialiteti, edhe pas largimit. Të dhënat i shohim vetëm aq sa duhet për ta drejtuar, mbrojtur ose rregulluar shërbimin, ose me kërkesën tuaj, dhe ua zbulojmë vetëm nënpërpunuesve ose kur e kërkon ligji, edhe pas përfundimit të marrëveshjes.
5. Masat e sigurisë
Masat tona, që janë edhe garancitë sipas nenit 27(1) (nenet 31 dhe 32(2)):
| Masa | Si funksionon |
|---|---|
| Enkriptimi | Çdo lidhje është e enkriptuar. |
| Fjalëkalimet | Ruhen vetëm në formë të mbrojtur e të pakthyeshme, të palexueshme edhe për ne. |
| Llogaritë | Personale, me role, të menaxhuara nga administratori i klinikës. |
| Keqpërdorimi | Mbrojtje nga kërkesat e falsifikuara dhe nga keqpërdorimi i shërbimit. |
| Regjistri i veprimeve | Regjistron kush, kur dhe çfarë ndryshoi te të dhënat e klinikës. |
| Skedarët | Ruajtje private, qasje vetëm për përdoruesit e autorizuar. |
| Kopjet rezervë | Të rregullta, në hapësirë private në BE. |
| Qasja | Në serverë, bazën e të dhënave dhe skedarë, vetëm personat që e drejtojnë shërbimin. |
Pjesë e masave janë edhe pikat 4, 6, 9 dhe 11. I rishikojmë kur ndryshon shërbimi ose rreziku, pa ulur mbrojtjen e përgjithshme. Përshkrim më të plotë teknik merrni me kontratën dhe me kërkesë në hello@digident.app.
6. Nënpërpunuesit
Na jepni autorizim të përgjithshëm me shkrim (neni 27(2)) për nënpërpunues në BE në dy kategori: ofruesin tonë të hostimit (platforma, baza e të dhënave, regjistrat dhe emaili) dhe ofruesin e ruajtjes së skedarëve dhe të kopjeve rezervë. Listën aktuale, me emrin, shërbimin dhe vendndodhjen e secilit, e merrni me kontratën dhe me kërkesë në hello@digident.app.
Për një nënpërpunues të ri ose zëvendësues ju njoftojmë me email të paktën 30 ditë përpara: kush, çfarë bën, cilat të dhëna, ku. Mund ta kundërshtoni me shkrim; nëse nuk gjejmë zgjidhje, mund ta ndërprisni kontratën pa penalitet para se ndryshimi të hyjë në fuqi. Çdo nënpërpunues është i lidhur me kontratë me shkrim me të njëjtat detyrime dhe garanci të mjaftueshme (neni 27(4)); për ta mbetemi plotësisht përgjegjës.
7. Ku ruhen të dhënat
Të dhënat e klinikës ruhen në BE, e cila është në listën e AIP-së të vendeve me mbrojtje të mjaftueshme (Vendimi nr. 22/2025), prandaj nuk nevojitet autorizim (nenet 45 dhe 46). Kur një ofrues ka kompani mëmë amerikane, në SHBA transferohen vetëm sipas Kornizës së Privatësisë së të Dhënave BE-SHBA ose me garanci tjetër ligjore. Në vende jashtë listës transferojmë vetëm me udhëzimin tuaj të dokumentuar dhe autorizimin paraprak të AIP-së (neni 49).
8. Kërkesat e pacientëve dhe ndihma tjetër
Ju u përgjigjeni kërkesave për qasje, korrigjim, fshirje, kufizim të përpunimit, transferueshmëri dhe kundërshtim; ne ju ndihmojmë aq sa e lejon natyra e përpunimit (neni 27(3.5)). Eksportin e plotë të të dhënave të një pacienti ose fshirjen e kartelës së tij i bëjmë me kërkesë të administratorit në hello@digident.app, pa vonesë, brenda afatit njëmujor (neni 11(3)). Kërkesën që na dërgon një pacient jua kalojmë pa vonesë dhe pacientin e drejtojmë te ju; nuk i përgjigjemi vetë.
Ju ndihmojmë për sigurinë, shkeljet, vlerësimin e ndikimit dhe konsultimin paraprak me AIP-në (nenet 21 deri në 36), edhe me përshkrimin e shërbimit dhe të masave për regjistrin tuaj ose për të dhëna të ndjeshme në shërbime cloud (Rregullorja nr. 05/2022 mbi masat e sigurisë gjatë përpunimit të të dhënave personale, neni 22). Mbajmë regjistrin tonë të përpunimit (neni 29) dhe kemi akte të brendshme sigurie dhe persona përgjegjës të caktuar me shkrim (neni 40).
9. Shkeljet e të dhënave personale
Për një shkelje të të dhënave të klinikës ju njoftojmë me email, në adresën e kontratës dhe te administratorët, pa vonesë të panevojshme dhe brenda 48 orëve nga marrja dijeni, që të njoftoni AIP-në brenda 72 orëve (neni 33) dhe pacientët kur kërkohet (neni 34). Njoftimi përmban natyrën e shkeljes, kategoritë dhe numrin e përafërt të personave dhe të regjistrimeve, pasojat e mundshme, masat e marra ose të propozuara dhe personin e kontaktit; informacioni tjetër jepet në faza. E ndalim shkeljen, kufizojmë pasojat dhe jua japim dokumentimin. AIP-në dhe pacientët i njoftojmë vetë vetëm me kërkesën tuaj me shkrim ose kur e kërkon ligji.
10. Informacioni dhe auditimet
Me kërkesë, ju japim informacionin që tregon përmbushjen e kësaj marrëveshjeje dhe të nenit 27; ju i mbikëqyrni masat tona (neni 32(3)). Ju ose një auditor i autorizuar prej jush, i detyruar për konfidencialitet, mund të kontrolloni, edhe me vizitë në zyrën nga e cila drejtojmë shërbimin, një herë në vit ose pas një shkeljeje, me njoftim të arsyeshëm, në orar pune, pa ndërprerë shërbimin dhe pa parë të dhënat e klinikave të tjera. Për qendrat e të dhënave japim informacionin e sigurisë të ofruesve tanë. Bashkëpunojmë me AIP-në dhe autoritetet e tjera mbikëqyrëse (neni 30).
11. Kthimi dhe fshirja e të dhënave
Deri në fshirje, gjatë ose pas kontratës apo provës, mund të kërkoni eksport: e dorëzojmë brenda 30 ditëve, në formate të zakonshme dhe me skedarët origjinalë. Fshijmë të gjitha të dhënat e klinikës dhe kopjet brenda 90 ditëve nga mbarimi i kontratës; pas një prove pa abonim, 30 ditë pas provës ose, nëse keni kërkuar eksport, menjëherë pas dorëzimit të tij dhe jo më vonë se 90 ditë pas provës.
Nga kopjet rezervë nuk fshijmë të dhëna një nga një: ato fshihen kur skadon kopja, deri atëherë të mbrojtura dhe të papërdorura, dhe rikthehen vetëm për rimëkëmbjen e shërbimit pas një incidenti; të dhënat e klinikës që një rikthim i sjell përsëri pas afatit të fshirjes, i fshijmë menjëherë. Të dhënat i ruajmë më gjatë vetëm aq sa e kërkon ligji, si Ligji për arkivat (neni 27(3.7)). Me kërkesë, fshirjen jua konfirmojmë me shkrim. Në rast mosmarrëveshjeje, me kërkesën tuaj jua kthejmë menjëherë të dhënat, ndalojmë përpunimin dhe nuk mbajmë kopje (neni 32(4)). Nëse DigiDent pushon veprimtarinë, të dhënat jua kthejmë menjëherë (neni 32(5)) dhe pastaj i fshijmë.
12. Përgjegjësia
Përgjegjësia ndërmjet palëve rregullohet sipas Kushteve të shërbimit dhe kufizimeve të tyre, pa cenuar të drejtën e pacientëve dhe të personave të tjerë për kompensim sipas nenit 56 të Ligjit. Sipas këtij neni, përpunuesi përgjigjet vetëm kur shkel detyrimet e veta ose udhëzimet e ligjshme të kontrolluesit.
13. Klinikat në Shqipëri
Kur klinika është e themeluar në Shqipëri, jeni kontrollues sipas Ligjit nr. 124/2024 „Për mbrojtjen e të dhënave personale“, nën mbikëqyrjen e Komisionerit për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale (IDP). Kjo pikë e plotëson marrëveshjen sipas nenit 26 të këtij ligji dhe, kur është më e rreptë, ka përparësi. Sipas këtij ligji zbatohen: pika 4 (neni 26(3)(a) dhe (f); neni 30(1) dhe (3)); pika 5 (nenet 26(1) dhe 28); pika 6 (neni 26(2) dhe (4)); pika 8, me afatin 30-ditor të nenit 12(4), edhe për nenet 31 dhe 32; pika 10 (neni 26(3)(f)); pika 11 (neni 26(3)(ë)); pika 2 (neni 26(8)). Mbajmë regjistër të kategorive të përpunimit (neni 27(2)). Për shkeljen (cenimin, sipas këtij ligji) ju njoftojmë menjëherë dhe brenda 48 orëve (neni 29(2)), që të njoftoni IDP-në brenda 72 orëve (neni 29(1)).
Kosova dhe BE-ja janë në Aneksin 1 të Vendimit nr. 01, datë 30.04.2025 të IDP-së, prandaj transferimi te ne nuk kërkon autorizim (neni 40); në SHBA, vetëm te marrës të certifikuar sipas Kornizës së Privatësisë së të Dhënave BE-SHBA ose me garanci sipas neneve 39 deri në 42.
Udhëzimi nr. 02, datë 30.04.2025 i IDP-së „Për mbrojtjen e të dhënave personale shëndetësore“ vlen edhe për përpunuesit (neni 1(2)): afatet e ruajtjes i caktoni ju (neni 5(4)); kontrollet tona sipas nenit 8(3) janë ato të pikës 5, ku qasjen fizike në qendrat e të dhënave (shkronja a) e kontrollojnë ofruesit tanë dhe kopjet rezervë ruhen në hapësirë private në BE (shkronja e); kemi rregullore të brendshme (neni 8(4)) dhe ju japim çfarë ju duhet për tuajën; masat vlejnë edhe në telefona dhe tabletë (neni 10(2)); me kërkesë, eksportojmë të dhënat e një pacienti në format të strukturuar (neni 7(4)). Neni 4(4) ndalon ndarjen e të dhënave shëndetësore me email personal ose WhatsApp; ju vendosni nëse stafi përdor lidhjen e WhatsApp-it (pika 3) për pacientët në Shqipëri.
14. Ndryshimet dhe kontakti
Ky version zëvendëson versionin e mëparshëm. Për ndryshimet thelbësore ju njoftojmë me email të paktën 30 ditë përpara dhe i publikojmë këtu, sipas pikës 13 të Kushteve; për nënpërpunuesit vlen pika 6. Nëse AIP-ja miraton klauzola standarde kontraktuale (neni 27(7) i Ligjit) ose IDP-ja i publikon ato (neni 26(7) i ligjit shqiptar), do t’ju propozojmë ta përshtatim këtë marrëveshje me to. Kontakti: hello@digident.app. Nuk kemi caktuar zyrtar për mbrojtjen e të dhënave. Spics Digital Marketing SH.P.K., Rruga Ukë Bytyqi, Prizren, Kosovë.