Πολιτική Απορρήτου

1. Ποιος είναι ο υπεύθυνος επεξεργασίας

Για τα δεδομένα λογαριασμού σου (αν είσαι επαγγελματίας ή κέντρο με λογαριασμό στη Nerela — όνομα, email, στοιχεία τιμολόγησης της συνδρομής σου) και για τα δεδομένα όσων επισκέπτονται τους ιστότοπούς μας (nerela.eu και nerela.lat), υπεύθυνος επεξεργασίας είναι η LAGASTROEMIA VENTURES OÜ, με έδρα στη Sakala tn 7-2, Kesklinna linnaosa, 10141 Ταλίν, Εσθονία, αριθμός μητρώου ΦΠΑ EE102418024. Μπορείς να επικοινωνήσεις μαζί μας για οποιοδήποτε θέμα προστασίας δεδομένων στο admin@nerela.eu.

Για τα δεδομένα των ασθενών που ένας επαγγελματίας εισάγει στην Εφαρμογή (φάκελος ασθενή, σημειώσεις συνεδρίας, ραντεβού), υπεύθυνος επεξεργασίας είναι ο ίδιος ο επαγγελματίας ή το κέντρο — αυτός αποφασίζει ποια δεδομένα συλλέγει και για ποιον σκοπό. Η Nerela λειτουργεί εδώ ως εκτελών την επεξεργασία, επεξεργαζόμενη αυτά τα δεδομένα μόνο για την παροχή της υπηρεσίας και ακολουθώντας τις οδηγίες του επαγγελματία, ποτέ για δικούς της σκοπούς.

2. Ποια δεδομένα επεξεργαζόμαστε

• Δεδομένα λογαριασμού του επαγγελματία: όνομα, email, τηλέφωνο, τύπος λογαριασμού (ανεξάρτητος/κέντρο), προτιμώμενη γλώσσα.
• Δεδομένα τιμολόγησης της συνδρομής: ΑΦΜ, φορολογική διεύθυνση, IBAN (για το δικό σου πλάνο Nerela).
• Δεδομένα ασθενών που εισάγει ο επαγγελματίας: όνομα, στοιχεία επικοινωνίας (email/τηλέφωνο), διεύθυνση, δεδομένα ραντεβού, και — στην πιο ευαίσθητη κατηγορία — κλινικές σημειώσεις συνεδρίας.
• Ελάχιστα τεχνικά δεδομένα: αρχεία πρόσβασης και σφαλμάτων του διακομιστή, με τον καθαρισμό που περιγράφεται στην ενότητα 9.
• Δεδομένα όσων επισκέπτονται τους ιστότοπούς μας (nerela.eu και nerela.lat): η καμπάνια ή ο σύνδεσμος από τον οποίο έρχεσαι και, μόνο αν αποδεχτείς τη διαφήμιση, αναγνωριστικά του προγράμματος περιήγησης και συμβάντα της επίσκεψης (προβολή της σελίδας, πάτημα του κουμπιού εγγραφής ή του κουμπιού WhatsApp), όπως περιγράφεται στην ενότητα 11.
• Μόνο αν αποδέχτηκες τα cookies μάρκετινγκ στον δημόσιο ιστότοπό μας: τα δεδομένα που στέλνουμε στη Meta όταν δημιουργείς τον λογαριασμό σου (το email και το τηλέφωνό σου, αφού μετατραπούν σε μη αναστρέψιμο αποτύπωμα (hash SHA-256), η διεύθυνση IP σου, ο πράκτορας χρήστη (user agent) του προγράμματος περιήγησής σου και τα αναγνωριστικά της Meta για το πρόγραμμα περιήγησης και το κλικ σου). Δεν περιλαμβάνουν κανένα δεδομένο ασθενών.

3. Δεδομένα υγείας: νομική βάση και ειδική μέριμνα

Οι σημειώσεις συνεδρίας και κάθε κλινική πληροφορία αποτελούν «ειδικές κατηγορίες δεδομένων» σύμφωνα με το άρθρο 9 του ΓΚΠΔ. Ο επαγγελματίας (υπεύθυνος επεξεργασίας απέναντι στον ασθενή του) είναι αυτός που πρέπει να διασφαλίζει έγκυρη νομική βάση — συνήθως τη ρητή συγκατάθεση του ασθενή ή την ανάγκη της ίδιας της θεραπευτικής παρακολούθησης (άρθρο 9 παρ. 2, στοιχεία α ή η).

Από την πλευρά μας, προστατεύουμε αυτά τα δεδομένα με τεχνική απομόνωση ανά επαγγελματία (Row Level Security στο Supabase — κάθε επαγγελματίας μπορεί να έχει πρόσβαση, σε επίπεδο βάσης δεδομένων, μόνο στους δικούς του ασθενείς) και με την πολιτική καθαρισμού στην παρακολούθηση σφαλμάτων που περιγράφεται στην ενότητα 9.

4. Σκοποί και νομική βάση της επεξεργασίας

• Παροχή της υπηρεσίας (ημερολόγιο, φάκελοι, σημειώσεις, τιμολόγηση, ηλεκτρονική κράτηση) — εκτέλεση της σύμβασης μαζί σου.
• Διαχείριση της συνδρομής και της τιμολόγησής σου — εκτέλεση της σύμβασης και συμμόρφωση με νομικές φορολογικές υποχρεώσεις.
• Αποστολή υπενθυμίσεων ραντεβού μέσω email/WhatsApp στους ασθενείς, κατόπιν αιτήματος του επαγγελματία — εκτέλεση της σύμβασης μεταξύ επαγγελματία και ασθενή, μέσω της Nerela ως εκτελούντος την επεξεργασία.
• Ασφάλεια και εντοπισμός σφαλμάτων — έννομο συμφέρον να διατηρείται η υπηρεσία σε αξιόπιστη και ασφαλή λειτουργία, με καθαρισμό προσωπικών δεδομένων (ενότητα 9).
• Μέτρηση και βελτιστοποίηση των διαφημίσεών μας στην Google και στη Meta — η συγκατάθεσή σου (άρθρο 6 παρ. 1 στοιχείο α του ΓΚΠΔ και, για τα cookies, οι κανόνες ePrivacy), την οποία μπορείς να ανακαλέσεις οποτεδήποτε από τον σύνδεσμο «Cookies» στο υποσέλιδο του ιστότοπου.
• Γνώση του από ποια καμπάνια ή σύνδεσμο προέρχεται κάθε εγγραφή, με τα cookies δικής μας μέτρησης που περιγράφονται στην Πολιτική Cookies — έννομο συμφέρον να μετράμε την αποτελεσματικότητα της δικής μας διαφήμισης χωρίς να μοιραζόμαστε αυτά τα δεδομένα με τρίτους.

5. Για πόσο διάστημα διατηρούμε τα δεδομένα

Όσο ο λογαριασμός σου είναι ενεργός, διατηρούμε τα δεδομένα που είναι απαραίτητα για την παροχή της υπηρεσίας. Αφού ακυρώσεις, τα διαγράφουμε ή τα ανωνυμοποιούμε εντός εύλογου διαστήματος, εκτός αν υπάρχει νομική υποχρέωση να τα διατηρήσουμε για μεγαλύτερο χρόνο (για παράδειγμα, τα φορολογικά έγγραφα της συνδρομής σου).

Τα κλινικά αρχεία των ασθενών σου έχουν δικά τους διαστήματα διατήρησης, καθορισμένα από τον νόμο και τους κανόνες του επαγγελματικού σου φορέα. Ως υπεύθυνος επεξεργασίας αυτών των δεδομένων, εσύ πρέπει να τηρείς αυτά τα διαστήματα: αν χρειαστεί να διατηρήσεις πληροφορίες πέρα από τη διάρκεια του λογαριασμού, μίλησε μαζί μας πριν ακυρώσεις (admin@nerela.eu).

6. Με ποιους μοιραζόμαστε δεδομένα (εκτελούντες την επεξεργασία για λογαριασμό μας)

Δεν πουλάμε δεδομένα σε κανέναν. Μοιραζόμαστε δεδομένα μόνο με τους παρόχους που είναι απαραίτητοι για τη λειτουργία της υπηρεσίας, όλοι με τη δική τους δέσμευση προστασίας δεδομένων — δες τον πίνακα στο τέλος αυτής της σελίδας. Η Meta δεν είναι εκτελούσα την επεξεργασία και γι' αυτό δεν περιλαμβάνεται στον πίνακα: αν αποδεχτείς τη διαφήμιση στον ιστότοπο, λαμβάνει τα δεδομένα του pixel ως υπεύθυνη επεξεργασίας (ενότητα 11).

7. Διεθνείς διαβιβάσεις

Τα κλινικά δεδομένα που καταχωρίζεις στη Nerela — φάκελοι ασθενών, ραντεβού, σημειώσεις συνεδρίας και συνημμένες εικόνες — φιλοξενούνται στο Supabase (βάση δεδομένων, ταυτοποίηση και αρχεία), στην περιοχή ΕΕ του Παρισιού, στη Γαλλία (eu-west-3). Ο κώδικας διακομιστή της Εφαρμογής εκτελείται στη Vercel, επίσης στο Παρίσι (περιοχή cdg1)· οι στατικοί πόροι και η δρομολόγηση των αιτημάτων περνούν από το παγκόσμιο δίκτυο της Vercel.

Ορισμένοι πάροχοι επεξεργάζονται δεδομένα στις Ηνωμένες Πολιτείες, και προτιμούμε να το πούμε με σαφήνεια αντί να ισχυριστούμε ότι δεν υπάρχει κανένας. Η Resend στέλνει τα email της Εφαρμογής (υπενθυμίσεις και προσκλήσεις ραντεβού, τιμολόγια, αναφορές για τον λογιστή σου και ειδοποιήσεις προς εσένα) και επεξεργάζεται αυτά τα δεδομένα στις Ηνωμένες Πολιτείες. Η Twilio συμμετέχει μόνο αν χρησιμοποιείς το WhatsApp (υπενθυμίσεις μέσω WhatsApp ή Εικονική Γραμματέα) και επεξεργάζεται τα μηνύματα στις Ηνωμένες Πολιτείες, την προεπιλεγμένη περιοχή της. Η Stripe χρεώνει τη συνδρομή σου και, αν ενεργοποιήσεις τις πληρωμές με κάρτα, και τις πληρωμές των ασθενών σου, από την Ιρλανδία και με διαβιβάσεις προς τις Ηνωμένες Πολιτείες. Η Anthropic συμμετέχει μόνο αν ενεργοποιήσεις την Εικονική Γραμματέα: το μοντέλο τεχνητής νοημοσύνης που συντάσσει τις απαντήσεις στο WhatsApp χρειάζεται να διαβάσει τα μηνύματα αυτής της συνομιλίας. Κανένας από αυτούς τους παρόχους δεν λαμβάνει τις σημειώσεις συνεδρίας σου.

Αν ενεργοποιήσουμε την παρακολούθηση σφαλμάτων (Sentry), οι αναφορές σφαλμάτων, που φιλτράρονται πριν φύγουν από τον διακομιστή μας (ενότητα 9), μπορεί να υφίστανται επεξεργασία στις Ηνωμένες Πολιτείες, ανάλογα με την περιοχή του project. Κάθε διαβίβαση εκτός ΕΟΧ στηρίζεται σε μια εγγύηση του κεφαλαίου V του ΓΚΠΔ — το Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ ή τις Τυποποιημένες Συμβατικές Ρήτρες που έχει εγκρίνει η Ευρωπαϊκή Επιτροπή — η οποία αναφέρεται στον πίνακα στο τέλος αυτής της σελίδας.

Αν αποδεχτείς τη διαφήμιση στον ιστότοπο, η Meta Platforms Ireland Limited (Ιρλανδία) λαμβάνει τα δεδομένα του pixel της Meta (ενότητα 11) και μπορεί να τα διαβιβάσει στις Ηνωμένες Πολιτείες, με μια εγγύηση του κεφαλαίου V του ΓΚΠΔ: το Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ ή τις Τυποποιημένες Συμβατικές Ρήτρες που έχει εγκρίνει η Ευρωπαϊκή Επιτροπή.

8. Τα δικαιώματά σου

Αν είσαι επαγγελματίας με λογαριασμό στη Nerela, ή ασθενής επαγγελματία που τη χρησιμοποιεί, έχεις δικαίωμα πρόσβασης, διόρθωσης, διαγραφής, περιορισμού της επεξεργασίας, εναντίωσης, και φορητότητας των προσωπικών σου δεδομένων. Αν είσαι ασθενής, το αίτημα πρέπει συνήθως να απευθύνεται πρώτα στον επαγγελματία σου (τον υπεύθυνο επεξεργασίας των κλινικών σου δεδομένων)· εμείς υποστηρίζουμε τεχνικά αυτό το αίτημα.

Για να ασκήσεις αυτά τα δικαιώματα πάνω στα δεδομένα του επαγγελματικού σου λογαριασμού, γράψε στο admin@nerela.eu. Τα δεδομένα των ασθενών σου μπορείς να τα βλέπεις, να τα διορθώνεις και να τα διαγράφεις απευθείας στην Εφαρμογή. Για τη φορητότητα, μπορείς να εξαγάγεις τα δεδομένα από τις Ρυθμίσεις, στην ενότητα για το απόρρητο και τα δεδομένα, όταν η επιλογή αυτή είναι διαθέσιμη στον λογαριασμό σου, ή να μας ζητήσεις αντίγραφο στο admin@nerela.eu, το οποίο σου στέλνουμε εντός 30 ημερών, σε δομημένο και κοινώς χρησιμοποιούμενο μορφότυπο.

9. Ασφάλεια και παρακολούθηση σφαλμάτων

Τα δεδομένα σε μεταφορά ταξιδεύουν πάντα κρυπτογραφημένα (HTTPS/TLS). Η απομόνωση μεταξύ επαγγελματιών γίνεται σε επίπεδο βάσης δεδομένων (Row Level Security στο Supabase), όχι μόνο στην εφαρμογή.

Αν ενεργοποιήσουμε το Sentry (παρακολούθηση σφαλμάτων), είναι ρυθμισμένο με αυστηρή πολιτική απορρήτου: δεν στέλνουμε το σώμα των αιτημάτων, παραμέτρους ερωτημάτων (query), cookies συνεδρίας, ούτε το περιεχόμενο σημειώσεων συνεδρίας. Δεν χρησιμοποιούμε καταγραφή συνεδρίας («session replay») ούτε καμία οπτική καταγραφή της οθόνης. Τα μηνύματα σφαλμάτων περνούν από ένα φίλτρο που προσπαθεί να αφαιρέσει αυτόματα emails, τηλέφωνα και αριθμούς φορολογικής ταυτοποίησης πριν βγουν από τον διακομιστή μας.

10. Ανήλικοι

Η Nerela είναι ένα εργαλείο για επαγγελματίες, όχι για άμεση χρήση από ανήλικους ασθενείς. Δεδομένα ανήλικων ασθενών μπορούν να τύχουν επεξεργασίας από τον επαγγελματία που είναι υπεύθυνος για την παρακολούθησή τους, υπό την ίδια νομική βάση που ισχύει για τη θεραπευτική σχέση.

11. Επισκέπτες των ιστοτόπων μας: διαφήμιση και μέτρηση

Στο nerela.eu και στο nerela.lat — ο δημόσιος ιστότοπος· η εφαρμογή app.nerela.eu δεν έχει διαφήμιση — υπεύθυνος επεξεργασίας είναι η εταιρεία της ενότητας 1. Χωρίς την άδειά σου κρατάμε μόνο από ποια καμπάνια ή σύνδεσμο έρχεσαι (τα cookies nerela_attrib και nerela_utm, που περιγράφονται στην Πολιτική Cookies), ώστε να ξέρουμε τι φέρνει κάθε εγγραφή.

Αν αποδεχτείς τη διαφήμιση στην ειδοποίηση για τα cookies, μετράμε και βελτιστοποιούμε τις διαφημίσεις μας με την Google Ads και με το pixel της Meta (Facebook και Instagram). Το pixel της Meta φορτώνεται μόνο αφού αποδεχτείς τη διαφήμιση και στέλνει στη Meta τα αναγνωριστικά του προγράμματος περιήγησης (τα cookies _fbp και _fbc και, αν έρχεσαι από διαφήμιση, το αναγνωριστικό κλικ του Facebook), τη διεύθυνση IP, το πρόγραμμα περιήγησης, τη σελίδα που επισκέπτεσαι και τα συμβάντα της επίσκεψης: προβολή της σελίδας, πάτημα του κουμπιού εγγραφής ή πάτημα του κουμπιού WhatsApp. Δεν στέλνουμε στη Meta τίποτα από την εφαρμογή ούτε δεδομένα ασθενών. Η νομική βάση είναι η συγκατάθεσή σου (άρθρο 6 παρ. 1 στοιχείο α του ΓΚΠΔ), την οποία μπορείς να ανακαλέσεις όποτε θέλεις από τον σύνδεσμο «Cookies» στο υποσέλιδο του ιστότοπου, χωρίς να επηρεάζεται η επεξεργασία που έγινε πριν.

Αν έχεις αποδεχτεί τη διαφήμιση και στη συνέχεια δημιουργήσεις λογαριασμό, ο διακομιστής μας μπορεί να ενημερώσει τη Meta ότι εγγράφηκες, χωρίς κανένα κλινικό δεδομένο, ώστε να μετράμε ποια διαφήμιση δημιούργησε την εγγραφή: χρησιμοποιεί τα παραπάνω αναγνωριστικά του προγράμματος περιήγησης και στοιχεία επικοινωνίας του λογαριασμού, κρυπτογραφημένα με hash πριν βγουν από τον διακομιστή μας. Αν δεν έχεις αποδεχτεί τη διαφήμιση, δεν στέλνεται τίποτα.

Η Meta δεν είναι εκτελούσα την επεξεργασία για λογαριασμό μας: για τα δεδομένα του pixel ενεργεί ως υπεύθυνη επεξεργασίας, είτε ανεξάρτητα είτε από κοινού με εμάς, ανάλογα με το στάδιο της επεξεργασίας, και επεξεργάζεται αυτά τα δεδομένα σύμφωνα με τους δικούς της όρους και τη δική της πολιτική απορρήτου. Για να ασκήσεις τα δικαιώματά σου πάνω στα δεδομένα αυτής της ενότητας, γράψε στο admin@nerela.eu.

12. Αλλαγές σε αυτή την πολιτική

Μπορούμε να ενημερώσουμε αυτή την πολιτική ώστε να αντικατοπτρίζει αλλαγές στην υπηρεσία ή στην ισχύουσα νομοθεσία. Ουσιώδεις αλλαγές κοινοποιούνται μέσω email ή μέσω ειδοποίησης στην Εφαρμογή.

13. Εποπτική αρχή

Έχεις δικαίωμα να υποβάλεις καταγγελία στην αρμόδια εποπτική αρχή — στην Πορτογαλία, την Comissão Nacional de Proteção de Dados (CNPD)· στην Ισπανία, την Agencia Española de Protección de Datos (AEPD) — με την επιφύλαξη κάθε άλλης διοικητικής ή δικαστικής οδού.

14. Επικοινωνία

Για οποιαδήποτε ερώτηση σχετικά με αυτή την πολιτική ή με την επεξεργασία των δεδομένων σου, γράψε στο admin@nerela.eu. Απαντάμε από την ίδια διεύθυνση που αναφέρεται στην ενότητα 1.