Zgoda na przetwarzanie danych EEG i danych o zdrowiu

Zapisy EEG to dane o Twoim zdrowiu. Dla tych szczególnych kategorii danych osobowych art. 9 RODO wymaga wyraźnej zgody. Ten dokument zawiera pełne brzmienie zgód udzielanych przy rejestracji oraz informację dla uczestnika. Stanowi uzupełnienie Polityki prywatności.

1. Kto jest administratorem?

W badaniach zlecanych przez firmę lub instytucję administratorem jest zleceniodawca, a my działamy wtedy jako podmiot przetwarzający. Kto jest administratorem w konkretnym przypadku, zobaczysz przed przystąpieniem — na ekranie zgody.

2. Jakie dane przetwarzamy?

• surowe dane EEG z opaski: cztery kanały po 256 wartości na sekundę oraz jakość sygnału każdej elektrody;
• znaczniki czasu i synchronizacji wiążące zapis z odtwarzanym filmem;
• dane sesji: film i jego wersja, początek i czas trwania, typ przeglądarki i urządzenia, przyczyny przerwania;
• dane profilu z Twojego konta w zakresie potrzebnym do przypisania do grupy porównawczej: rok urodzenia, płeć, ręczność;
• wskaźniki pochodne, wykresy i raporty z analizy.

Nie rejestrujemy obrazu ani dźwięku z Twojego otoczenia. Połączenie z opaską istnieje wyłącznie między opaską a Twoim własnym urządzeniem.

3. W jakim celu wykorzystujemy dane?

Udzielasz dwóch odrębnych zgód. Pierwsza jest warunkiem wykonania pomiaru, druga jest w pełni dobrowolna — bez niej także możesz korzystać z Usługi w pełnym zakresie.

Zgoda (a) — wykonanie Twoich pomiarów

Wyrażam wyraźną zgodę na przetwarzanie przez Adama Kocha zarejestrowanych przeze mnie danych EEG oraz powiązanych danych sesji i profilu w celu wykonania rozpoczętych przeze mnie pomiarów, ich analizy i przedstawienia mi wyników na moim koncie — w tym porównania z moimi wcześniejszymi pomiarami oraz z istniejącymi grupami odniesienia. Przyjmuję do wiadomości, że są to dane dotyczące zdrowia w rozumieniu art. 9 RODO.

Podstawa prawna: art. 9 ust. 2 lit. a w związku z art. 6 ust. 1 lit. a RODO.

Zgoda (b) — baza porównawcza i badania

Wyrażam dodatkowo zgodę na włączenie moich danych EEG i powiązanych danych profilu w formie pseudonimizowanej do bazy porównawczej (normatywnej) NeuroScreen oraz na ich wykorzystanie do analiz i badań prowadzonych na platformie. Zgoda ta obejmuje wyraźnie wykorzystanie międzymodułowe: moje zapisy mogą być używane także w innych badaniach platformy jako zmienna towarzysząca oraz do trenowania i walidacji metod analizy. Przyjmuję do wiadomości, że wyniki są publikowane lub udostępniane osobom trzecim wyłącznie w formie zagregowanej lub zanonimizowanej i że nie jestem w nich możliwy do zidentyfikowania.

Podstawa prawna: art. 9 ust. 2 lit. a RODO, uzupełniająco art. 89 RODO wraz z przewidzianymi tam zabezpieczeniami (pseudonimizacja, minimalizacja danych, ograniczenie celu).

Pojedyncze badania z własnym protokołem — na przykład sesje we dwoje w różnych miejscach — wymagają dodatkowej zgody dla danego badania, przedstawianej odrębnie przed przystąpieniem.

4. Jak chronimy dane?

• Pseudonimizacja: dane pomiarowe zapisujemy pod identyfikatorem uczestnika, oddzielnie od danych konta.
• Szyfrowanie: transmisja wyłącznie przez TLS; kopie zapasowe surowych zapisów przechowywane w postaci zaszyfrowanej.
• Dostęp: według zasady najmniejszych uprawnień, ograniczony do osób, którym dane są potrzebne do prowadzenia serwisu lub analizy.
• Miejsce: przetwarzanie i przechowywanie wyłącznie w niemieckich centrach danych Hetzner Online GmbH (podmiot przetwarzający, art. 28 RODO); brak przekazywania do państw trzecich.
• Wykazywalność: zapisy mogą być opatrywane kryptograficznymi znacznikami czasu, aby dało się później wykazać, że powstały w określonym momencie i nie były potem zmieniane. Znaczniki nie zawierają treści osobowych, wyłącznie sumy kontrolne.

5. Jak długo przechowujemy dane?

Do odwołania zgody lub usunięcia konta. Po odwołaniu usuwamy surowe dane niezwłocznie, najpóźniej w ciągu 30 dni; zaszyfrowane kopie zapasowe wygasają w ramach właściwego cyklu kopii, najdłużej po 90 dniach. Dowody udzielonej zgody przechowujemy do upływu terminów przedawnienia (zwykle trzy lata), ponieważ musimy móc wykazać wobec organu nadzorczego, na co wyraziłeś zgodę.

6. Jak odwołać zgodę?

Obie zgody są dobrowolne i można je odwołać w każdej chwili, osobno, ze skutkiem na przyszłość — w ustawieniach konta albo zwykłą wiadomością na info@advena-partners.com. Zgodność z prawem przetwarzania dokonanego do momentu odwołania pozostaje nienaruszona. Odwołanie nie pociąga za sobą żadnych niekorzystnych skutków poza następującymi:

• odwołanie zgody (a): pomiary nie mogą być dalej wykonywane, a zarejestrowane surowe dane zostają usunięte;
• odwołanie zgody (b): Twoje dane zostają usunięte z bazy porównawczej. Analiz już zanonimizowanych lub zagregowanych oraz wyników już opublikowanych nie da się wycofać, ponieważ nie mają już związku z Twoją osobą.

7. Co warto wiedzieć o wynikach

• NeuroScreen jest narzędziem wellness i badawczym, a nie wyrobem medycznym. Raporty nie są diagnozą i nie zastępują badania ani porady lekarskiej.
• Nie podejmujemy zautomatyzowanych decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na Ciebie w rozumieniu art. 22 RODO.
• Czterokanałowe EEG nie pozwala stwierdzić pojedynczych emocji pojedynczych osób w pojedynczych momentach. Dlatego wyniki innych uczestników widzisz wyłącznie jako krzywe porównawcze z zaznaczoną niepewnością.
• Jeżeli w pomiarze pojawią się wartości odbiegające od typowych, nie jest to rozpoznanie. Gdy się niepokoisz, omów to z lekarzem.

8. Twoje prawa

Przysługują Ci prawa dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu, a także prawo wniesienia skargi do organu nadzorczego. Szczegóły i adresy znajdziesz w punkcie 9 Polityki prywatności. Dane pomiarowe wydajemy na życzenie w powszechnie używanym formacie nadającym się do odczytu maszynowego.

9. Udział bez własnego konta

Jeżeli bierzesz udział w panelu przez link zaproszeniowy, niniejsza informacja stosuje się odpowiednio; identyfikatorem jest wtedy Twój adres e-mail, którym możesz też żądać usunięcia danych. Dane uczestników paneli nie zasilają bazy normatywnej. Kto jest administratorem w danym badaniu, zobaczysz przed rozpoczęciem.