Πολιτική Απορρήτου και Προστασία Δεδομένων Προσωπικού Χαρακτήρα

Ο ιατρός Βασίλειος Μπισμπίκος (εφεξής «ο Υπεύθυνος Επεξεργασίας», «ο Ιατρός» ή «εμείς») αντιμετωπίζει την προστασία των προσωπικών δεδομένων ως θεμελιώδη προτεραιότητα. Η παρούσα Πολιτική εξηγεί με διαφάνεια ποια δεδομένα συλλέγουμε, για ποιον σκοπό, με ποια νομική βάση, σε ποιους τα κοινοποιούμε, για πόσο χρόνο τα διατηρούμε και ποια είναι τα δικαιώματά σας.

Η Πολιτική εφαρμόζεται σε όλες τις επισκέψεις στον ιστότοπο drbismpikos.gr, στις τηλεφωνικές και ηλεκτρονικές επικοινωνίες, καθώς και στη συνολική ιατρική σχέση που αναπτύσσεται μέσω των κατ' οίκον ψυχιατρικών υπηρεσιών.

1. Υπεύθυνος Επεξεργασίας

Υπεύθυνος για την επεξεργασία των δεδομένων σας είναι ο:

Βασίλειος Μπισμπίκος
Ειδικός Ψυχίατρος
Διεύθυνση επικοινωνίας: Μιλήτου 92, Αργυρούπολη, 164 51
Τηλέφωνο: 693 306 1154
Email: info@drbismpikos.gr
Αρ. Μητρώου Ιατρικού Συλλόγου Αθηνών (ΙΣΑ): 081640
ΑΦΜ: 155258853 - ΔΟΥ: ΚΕΦΟΔΕ Αττικής

Λόγω της φύσης και του μεγέθους της ιατρικής πρακτικής, δεν υφίσταται νομική υποχρέωση ορισμού Υπευθύνου Προστασίας Δεδομένων (DPO) κατά το άρθρο 37 GDPR. Ο ίδιος ο Ιατρός αναλαμβάνει ευθέως την εποπτεία της συμμόρφωσης.

2. Ορισμοί

Για τους σκοπούς της παρούσας Πολιτικής:

• «Δεδομένα προσωπικού χαρακτήρα»: κάθε πληροφορία που ταυτοποιεί ή μπορεί να ταυτοποιήσει ένα φυσικό πρόσωπο (π.χ. ονοματεπώνυμο, τηλέφωνο, διεύθυνση, email, IP, ιατρικό ιστορικό).
• «Ειδικές κατηγορίες δεδομένων» (άρθρο 9 GDPR): δεδομένα που αποκαλύπτουν, μεταξύ άλλων, την κατάσταση υγείας (φυσικής ή ψυχικής). Αυτά απολαμβάνουν ενισχυμένης προστασίας.
• «Επεξεργασία»: κάθε πράξη σε προσωπικά δεδομένα (συλλογή, καταχώρηση, αποθήκευση, χρήση, διαβίβαση, διαγραφή).
• «Υποκείμενο των δεδομένων»: το φυσικό πρόσωπο στο οποίο αναφέρονται τα δεδομένα, εν προκειμένω, ο/η επισκέπτης/-τρια του ιστότοπου ή ο/η ασθενής.

3. Κατηγορίες δεδομένων που επεξεργαζόμαστε

α. Δεδομένα επικοινωνίας

Ονοματεπώνυμο, τηλέφωνο, διεύθυνση email, διεύθυνση για κατ' οίκον επίσκεψη. Τα παρέχετε εσείς όταν μας καλέσετε ή επικοινωνήσετε γραπτώς.

β. Δεδομένα υγείας (ειδική κατηγορία, άρθρο 9 GDPR)

Ιατρικό ιστορικό, συμπτώματα, διαγνώσεις, φαρμακευτική αγωγή, αποτελέσματα ιατρικών εξετάσεων, κλινικές σημειώσεις, ψυχιατρική αξιολόγηση, πληροφορίες από συνοδούς/οικογενειακό περιβάλλον που σχετίζονται με την κλινική εικόνα.

γ. Οικονομικά δεδομένα

Στοιχεία τιμολόγησης (ονοματεπώνυμο, ΑΦΜ, διεύθυνση) για την έκδοση νόμιμων ιατρικών αποδείξεων.

δ. Τεχνικά δεδομένα επίσκεψης του ιστότοπου

Διεύθυνση IP, τύπος προγράμματος περιήγησης (browser), λειτουργικό σύστημα, σελίδες που επισκεφθήκατε, χρόνος επίσκεψης. Τα δεδομένα αυτά καταγράφονται αυτόματα από τον πάροχο φιλοξενίας για λόγους ασφαλείας και τεχνικής λειτουργίας.

Σημείωση: Σύμφωνα με τη νομολογία του ΔΕΕ (C-582/14 Breyer κατά Γερμανίας), οι διευθύνσεις IP συνιστούν προσωπικά δεδομένα και τυγχάνουν πλήρους προστασίας κατά τον GDPR.

4. Σκοποί επεξεργασίας & νομικές βάσεις

Η επεξεργασία των δεδομένων σας πραγματοποιείται αποκλειστικά για τους ακόλουθους ρητούς και νόμιμους σκοπούς:

Δεν χρησιμοποιούμε τα δεδομένα σας για διαφημιστικούς, εμπορικούς ή προωθητικούς σκοπούς, ούτε για κατάρτιση προφίλ (profiling).

5. Πηγές δεδομένων

Τα δεδομένα που επεξεργαζόμαστε προέρχονται από τις ακόλουθες πηγές:

• Απευθείας από εσάς: κατά την τηλεφωνική μας επικοινωνία, στην αλληλογραφία μέσω email, καθώς και κατά την κατ' οίκον επίσκεψη.
• Από συνοδούς ή συγγενείς σας: σε περιπτώσεις ηλικιωμένων ασθενών ή ασθενών με περιορισμένη ικανότητα επικοινωνίας, με τη συναίνεσή σας ή βάσει ζωτικού συμφέροντος.
• Από τρίτους επαγγελματίες υγείας: μέσω παραπομπών ή προηγούμενου ιατρικού ιστορικού, εφόσον μας το κοινοποιήσετε.
• Αυτόματα: από τα αρχεία καταγραφής (logs) του ιστότοπου κατά την επίσκεψή σας.

6. Αποδέκτες & εκτελούντες την επεξεργασία

Τα δεδομένα σας ενδέχεται να κοινοποιηθούν, πάντα στον απολύτως ελάχιστο αναγκαίο βαθμό, στους εξής αποδέκτες:

Αρχές & δημόσιοι φορείς

• ΗΔΙΚΑ / ΕΟΠΥΥ: για ηλεκτρονική συνταγογράφηση και παραπεμπτικά.
• ΚΕΠΑ: για πιστοποιήσεις αναπηρίας, εφόσον ζητηθεί από εσάς.
• Δικαστικές / εισαγγελικές αρχές: όταν υπάρχει νόμιμη παραγγελία ή διάταξη.

Επαγγελματίες που υποστηρίζουν την πρακτική

• Λογιστής: αποκλειστικά για οικονομικά δεδομένα τιμολόγησης, υπό δέσμευση εχεμύθειας.
• Άλλοι επαγγελματίες υγείας: μόνο στο πλαίσιο παραπομπής ή συνεργασίας που εσείς γνωρίζετε και αποδέχεστε.

Πάροχοι τεχνολογικών υπηρεσιών (εκτελούντες επεξεργασία, άρθρο 28 GDPR)

• Πάροχος φιλοξενίας ιστότοπου (web hosting / CDN): ενδεικτικά Netlify, Inc., για τη λειτουργία και την ασφάλεια του drbismpikos.gr.
• Πάροχος πλατφόρμας τηλεϊατρικής (βιντεοκλήσεις): Doxy.me, LLC (ΗΠΑ), για τη διεξαγωγή των online ψυχιατρικών συνεδριών. Η σύνδεση του ασθενούς γίνεται χωρίς δημιουργία λογαριασμού, με εισαγωγή μόνο ενός ονόματος. Η μετάδοση ήχου και εικόνας είναι κρυπτογραφημένη, οι συνεδρίες δεν καταγράφονται και το περιεχόμενό τους δεν αποθηκεύεται στην πλατφόρμα· επεξεργάζονται μόνο τεχνικά δεδομένα σύνδεσης (π.χ. διεύθυνση IP, τύπος φυλλομετρητή) για τη λειτουργία της κλήσης. Ο ιατρικός φάκελος τηρείται αποκλειστικά από τον ιατρό, εκτός πλατφόρμας.
• Πάροχος πλατφόρμας online κρατήσεων: Cal.com, Inc. (ΗΠΑ) για τη διαχείριση των ραντεβού που κλείνονται μέσω της ηλεκτρονικής σελίδας κράτησης. Επεξεργάζονται μόνο τα δεδομένα που είναι αναγκαία για τον προγραμματισμό: ονοματεπώνυμο, διεύθυνση email, τηλέφωνο, ημερομηνία και ώρα του ραντεβού, τύπος υπηρεσίας (βιντεοκλήση ή κατ' οίκον), η διεύθυνση επίσκεψης εφόσον πρόκειται για κατ' οίκον ραντεβού, καθώς και τυχόν σύντομο σχόλιο που επιλέγετε να καταχωρίσετε. Σας συνιστούμε να μην καταχωρίζετε ιατρικές πληροφορίες στο πεδίο σχολίων· αυτές συζητούνται αποκλειστικά κατά τη συνεδρία. Η πλατφόρμα δεν έχει πρόσβαση στον ιατρικό φάκελο και δεν επεξεργάζεται δεδομένα υγείας. Τα δεδομένα κράτησης διατηρούνται για όσο διάστημα είναι αναγκαίο για τη διαχείριση του ραντεβού και των σχετικών επικοινωνιών (επιβεβαίωση, υπενθύμιση, ακύρωση) και εν συνεχεία διαγράφονται από την πλατφόρμα.
• Πάροχος υπηρεσιών πληρωμών: Stripe Payments Europe, Ltd. (Ιρλανδία) για την επεξεργασία πληρωμών με κάρτα, όπου αυτή προσφέρεται κατά την online κράτηση. Τα στοιχεία της κάρτας σας εισάγονται απευθείας στο ασφαλές περιβάλλον της Stripe και δεν διαβιβάζονται ούτε αποθηκεύονται στον ιστότοπο ή στα συστήματα του ιατρού. Η Stripe ενεργεί ως ανεξάρτητος υπεύθυνος επεξεργασίας για τα δεδομένα πληρωμής, σύμφωνα με τη δική της πολιτική απορρήτου. Οι πληρωμές μέσω τραπεζικού εμβάσματος (IRIS) διεκπεραιώνονται αποκλειστικά μέσω των τραπεζικών συστημάτων, χωρίς μεσολάβηση τρίτου παρόχου.
• Πάροχος email: για τη διεκπεραίωση της ηλεκτρονικής αλληλογραφίας.

Με όλους τους εκτελούντες επεξεργασία έχουν συναφθεί ή πρόκειται να συναφθούν συμβάσεις που πληρούν τις απαιτήσεις του άρθρου 28 GDPR (Data Processing Agreements, DPAs).

Ρητή δέσμευση: Δεν πωλούμε, δεν ανταλλάσσουμε και δεν εκμισθώνουμε τα προσωπικά σας δεδομένα σε τρίτους για εμπορικούς σκοπούς.

7. Διαβιβάσεις σε τρίτες χώρες

Ορισμένοι τεχνολογικοί πάροχοι (π.χ. Netlify, Doxy.me, Cal.com) έχουν έδρα στις ΗΠΑ, γεγονός που συνεπάγεται διαβίβαση τεχνικών δεδομένων (όπως IP διευθύνσεων) εκτός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ).

Οι διαβιβάσεις αυτές πραγματοποιούνται με τις εγγυήσεις των άρθρων 44–49 GDPR, ιδίως:

• Απόφαση επάρκειας: το EU–U.S. Data Privacy Framework (Εκτελεστική Απόφαση (ΕΕ) 2023/1795 της Επιτροπής) αναγνωρίζει επαρκές επίπεδο προστασίας για πιστοποιημένες εταιρείες των ΗΠΑ.
• Τυποποιημένες συμβατικές ρήτρες (SCCs): εφαρμόζονται συμπληρωματικά όπου απαιτείται.

Ειδικά για τις τηλεψυχιατρικές συνεδρίες: η διαβίβαση προς την Doxy.me, LLC καλύπτεται από τυποποιημένες συμβατικές ρήτρες (SCCs) ενσωματωμένες στη σύμβαση επεξεργασίας δεδομένων (DPA) που έχει συναφθεί με τον πάροχο. Η επιλογή online συνεδρίας από τον ασθενή γίνεται κατόπιν της ενημέρωσης που παρέχει η παρούσα Πολιτική.

Αντίστοιχα, η διαβίβαση των δεδομένων κράτησης προς την Cal.com, Inc. καλύπτεται από σύμβαση επεξεργασίας δεδομένων (DPA) με ενσωματωμένες τυποποιημένες συμβατικές ρήτρες (SCCs)· τα δεδομένα αυτά περιορίζονται στα στοιχεία επικοινωνίας και προγραμματισμού και δεν περιλαμβάνουν δεδομένα υγείας. Η Stripe Payments Europe, Ltd. εδρεύει εντός του ΕΟΧ.

Καμία διαβίβαση ιατρικών δεδομένων σε τρίτες χώρες δεν λαμβάνει χώρα χωρίς ρητή ενημέρωση και, όπου απαιτείται, συγκατάθεσή σας.

8. Χρόνος διατήρησης

Διατηρούμε τα δεδομένα σας μόνο για όσο διάστημα είναι απολύτως αναγκαίο για τους σκοπούς που περιγράφονται παραπάνω ή για όσο επιβάλλει ο νόμος:

Μετά την παρέλευση των ανωτέρω χρονικών διαστημάτων, τα δεδομένα είτε διαγράφονται με ασφάλεια είτε ανωνυμοποιούνται αμετάκλητα.

9. Ιατρικό απόρρητο

Όλα τα δεδομένα υγείας καλύπτονται από το ιατρικό απόρρητο, όπως κατοχυρώνεται στο άρθρο 13 του Ν. 3418/2005 (Κώδικας Ιατρικής Δεοντολογίας), στον όρκο του Ιπποκράτη και στον Κώδικα Δεοντολογίας του Πανελλήνιου Ιατρικού Συλλόγου.

Το ιατρικό απόρρητο υπερισχύει ακόμη και του δικαιώματος τρίτων (π.χ. συγγενών) στην ενημέρωση. Εξαιρούνται μόνο οι περιπτώσεις που προβλέπονται ρητά στον νόμο (π.χ. άρση απορρήτου με εισαγγελική παραγγελία, άμεσος κίνδυνος ζωής, υποχρεωτικές δηλώσεις λοιμωδών νοσημάτων).

10. Μέτρα ασφαλείας

Εφαρμόζουμε κατάλληλα τεχνικά και οργανωτικά μέτρα, σύμφωνα με το άρθρο 32 GDPR, για την προστασία των δεδομένων σας από μη εξουσιοδοτημένη πρόσβαση, τυχαία απώλεια, καταστροφή ή αλλοίωση. Ενδεικτικά:

• Οι τηλεψυχιατρικές συνεδρίες διεξάγονται μέσω κρυπτογραφημένης βιντεοκλήσης· το περιεχόμενό τους δεν καταγράφεται και δεν αποθηκεύεται.
• Κρυπτογραφημένη επικοινωνία μέσω του ιστότοπου (HTTPS / TLS 1.3).
• Προστασία ηλεκτρονικών αρχείων με ισχυρούς κωδικούς πρόσβασης και πολυπαραγοντική ταυτοποίηση.
• Περιορισμός φυσικής πρόσβασης στα αρχεία.
• Τακτικά αντίγραφα ασφαλείας σε κρυπτογραφημένα μέσα.
• Αυστηρή εφαρμογή της αρχής ελαχιστοποίησης δεδομένων (άρ. 5(1)(γ) GDPR).
• Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα με κίνδυνο για τα δικαιώματά σας, θα σας ενημερώσουμε χωρίς αδικαιολόγητη καθυστέρηση (άρθρα 33–34 GDPR).

11. Τα δικαιώματά σας

Ως υποκείμενο των δεδομένων, έχετε τα ακόλουθα δικαιώματα:

1. Δικαίωμα πρόσβασης (άρ. 15): Να ενημερωθείτε αν επεξεργαζόμαστε δεδομένα σας και να λάβετε αντίγραφό τους.
2. Δικαίωμα διόρθωσης (άρ. 16): Να ζητήσετε τη διόρθωση ανακριβών ή ελλιπών δεδομένων.
3. Δικαίωμα διαγραφής, «δικαίωμα στη λήθη» (άρ. 17): Να ζητήσετε τη διαγραφή των δεδομένων σας. Το δικαίωμα αυτό περιορίζεται ως προς τον ιατρικό φάκελο, τον οποίο οφείλουμε εκ του νόμου να διατηρούμε για 10 έτη (άρ. 14 Ν. 3418/2005).
4. Δικαίωμα περιορισμού της επεξεργασίας (άρ. 18): Να ζητήσετε την «πάγωμα» της επεξεργασίας υπό συγκεκριμένες προϋποθέσεις.
5. Δικαίωμα φορητότητας (άρ. 20): Να λάβετε τα δεδομένα σας σε δομημένη, κοινώς χρησιμοποιούμενη και αναγνώσιμη από μηχανήματα μορφή, και να τα διαβιβάσετε σε άλλον υπεύθυνο επεξεργασίας.
6. Δικαίωμα εναντίωσης (άρ. 21): Να αντιταχθείτε στην επεξεργασία δεδομένων σας που βασίζεται σε έννομο συμφέρον.
7. Δικαίωμα ανάκλησης συγκατάθεσης (άρ. 7§3): Όπου η επεξεργασία βασίζεται σε συγκατάθεση, μπορείτε να την ανακαλέσετε ανά πάσα στιγμή, χωρίς αυτό να θίγει τη νομιμότητα της μέχρι τότε επεξεργασίας.
8. Δικαίωμα καταγγελίας στην εποπτική αρχή (άρ. 77): Να υποβάλετε καταγγελία στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (βλ. ενότητα 16).

Για την άσκηση οποιουδήποτε δικαιώματός σας, απευθυνθείτε εγγράφως στο info@drbismpikos.gr. Θα απαντήσουμε χωρίς χρέωση εντός ενός (1) μηνός, με δυνατότητα παράτασης κατά δύο ακόμη μήνες σε περίπτωση πολύπλοκων αιτημάτων (άρ. 12§3 GDPR). Ενδέχεται να σας ζητηθεί επιβεβαίωση ταυτότητας για λόγους ασφαλείας.

12. Πολιτική Cookies

Ο ιστότοπος drbismpikos.gr δεν χρησιμοποιεί cookies παρακολούθησης, στόχευσης ή διαφήμισης. Δεν εγκαθιστούμε αναλυτικά εργαλεία τύπου Google Analytics ή συστήματα remarketing, σε πλήρη συμμόρφωση με τον Ν. 3471/2006 και τις κατευθυντήριες οδηγίες της ΑΠΔΠΧ.

Ενδέχεται να εγκατασταθούν αποκλειστικά αυστηρώς απαραίτητα τεχνικά cookies (π.χ. από τον πάροχο φιλοξενίας για ασφάλεια δικτύου ή προστασία DDoS), τα οποία, σύμφωνα με το άρθρο 4§5 Ν. 3471/2006, δεν απαιτούν προηγούμενη συγκατάθεση.

Εάν μελλοντικά ενσωματωθούν άλλες κατηγορίες cookies, θα σας ζητηθεί ρητή συγκατάθεση μέσω cookie banner πριν την εγκατάστασή τους.

13. Αυτοματοποιημένη λήψη αποφάσεων & κατάρτιση προφίλ

Δεν εφαρμόζουμε αυτοματοποιημένη λήψη αποφάσεων ούτε κατάρτιση προφίλ (profiling) κατά την έννοια του άρθρου 22 GDPR. Κάθε κλινική απόφαση λαμβάνεται προσωπικά από τον Ιατρό, βάσει επιστημονικής αξιολόγησης.

14. Ανήλικοι

Οι υπηρεσίες μας απευθύνονται αποκλειστικά σε ενήλικες (άνω των 18 ετών). Δεν συλλέγουμε εν γνώσει μας δεδομένα ανηλίκων. Εάν διαπιστωθεί ότι έχουν υποβληθεί τέτοια δεδομένα χωρίς νόμιμη βάση, θα διαγραφούν άμεσα κατόπιν ενημέρωσης.

15. Τροποποιήσεις της Πολιτικής

Ενδέχεται να επικαιροποιούμε την παρούσα Πολιτική σε περίπτωση νομοθετικών αλλαγών, αλλαγών στην ιατρική πρακτική ή στη χρήση του ιστότοπου. Η εκάστοτε ισχύουσα έκδοση φέρει την ημερομηνία τελευταίας ενημέρωσης στο επάνω μέρος της σελίδας. Ουσιώδεις αλλαγές θα ανακοινώνονται ευδιάκριτα στην αρχική σελίδα του ιστότοπου.

16. Επικοινωνία & καταγγελία στην εποπτική αρχή

Προς τον Υπεύθυνο Επεξεργασίας

Για οποιαδήποτε ερώτηση σχετική με την παρούσα Πολιτική ή την άσκηση των δικαιωμάτων σας:
Email: info@drbismpikos.gr
Τηλέφωνο: 693 306 1154

Προς την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ)

Εάν θεωρείτε ότι η επεξεργασία των δεδομένων σας παραβιάζει τον GDPR, έχετε δικαίωμα υποβολής καταγγελίας:

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα
Λεωφόρος Κηφισίας 1-3, 115 23, Αμπελόκηποι, Αθήνα
Τηλέφωνο: +30 210 6475600
Email: contact@dpa.gr
Ιστότοπος: www.dpa.gr
Υποβολή καταγγελίας: dpa.gr/el/polites/katagelia_stin_arxi