Politika privatnosti

01Uvod

Ova Politika privatnosti objašnjava kako se prikupljaju, upotrebljavaju, pohranjuju, štite i dijele osobni podaci korisnika aplikacije NERA – Neuroradiology Community (u daljnjem tekstu: „NERA” ili „Aplikacija”) i povezane internetske stranice.

NERA je zatvorena stručna zajednica namijenjena neuroradiolozima i drugim ovlaštenim zdravstvenim stručnjacima. Aplikacija omogućuje povezivanje članova, razmjenu stručnih informacija, sudjelovanje u raspravama, komunikaciju putem privatnih poruka, dijeljenje stručnih sadržaja te pristup informacijama o stručnim skupovima i edukacijama.

Privatnost korisnika i zaštita povjerljivih informacija važan su dio korištenja Aplikacije. Osobni podaci obrađuju se u skladu s primjenjivim propisima o zaštiti osobnih podataka, uključujući Uredbu (EU) 2016/679, odnosno Opću uredbu o zaštiti podataka (GDPR), te primjenjive propise Republike Hrvatske.

Molimo vas da ovu Politiku pažljivo pročitate prije registracije i korištenja Aplikacije.

02Voditelj obrade osobnih podataka

Voditelj obrade osobnih podataka odgovoran je za određivanje svrha i načina obrade osobnih podataka.

Podaci voditelja obrade:

• Naziv pravne osobe: SPREAD d.o.o.
• Sjedište i adresa: Pantovčak 192A, Zagreb, Hrvatska
• OIB: 40042339401
• Kontakt za pitanja o privatnosti: nera@spread.hr
• Internetska stranica: https://neuroradioloska-skola.eu/nera/

Ako je za pojedine obrade određeno da druga pravna osoba djeluje kao samostalni ili zajednički voditelj obrade, takva će se uloga i odgovornost utvrditi u skladu s primjenjivim propisima.

Za sva pitanja o ovoj Politici, ostvarivanju prava ili obradi osobnih podataka možete nam se obratiti na navedenu adresu e-pošte.

03Koje osobne podatke prikupljamo?

Ovisno o načinu korištenja Aplikacije, možemo obrađivati sljedeće kategorije podataka.

3.1. Podaci o korisničkom računu i identitetu

Prilikom registracije i korištenja Aplikacije obrađuju se podaci potrebni za stvaranje i upravljanje korisničkim računom, koji mogu uključivati:

• adresu e-pošte;
• lozinku u obliku sigurnog zapisa (hash), a ne čitljivog teksta, ako je tako implementirana autentifikacija;
• ime i prezime;
• stručnu titulu;
• profesionalni status, primjerice specijalist ili specijalizant;
• zdravstvenu ustanovu ili drugu profesionalnu pripadnost;
• profilnu fotografiju, ako je korisnik postavi;
• broj mobilnog telefona, ako ga korisnik dobrovoljno unese;
• interne identifikatore korisničkog računa;
• podatke o statusu i provjeri članstva u zajednici.

Podaci se koriste za stvaranje i održavanje računa, provjeru pristupa zatvorenoj zajednici, prikaz profesionalnog profila te omogućavanje komunikacije među članovima.

3.2. Profesionalni profil i imenik članova

NERA može obrađivati podatke koji se prikazuju u profesionalnom imeniku, kao što su ime, prezime, stručna titula, profesionalni status i zdravstvena ustanova.

Profil je dostupan samo verificiranim članovima zajednice, u skladu s funkcionalnostima i postavkama Aplikacije.

Broj mobilnog telefona nije obvezan podatak. Ako korisnik unese broj, on se prikazuje samo onim članovima kojima je korisnik omogućio pristup, u skladu s dostupnim postavkama privatnosti.

Korisnik je odgovoran za točnost svojih podataka i može zatražiti njihov ispravak ili ažuriranje.

3.3. Privatne poruke i komunikacija

Ako koristite funkciju privatnih poruka ili razgovora, obrađivati se mogu:

• sadržaj poslanih i primljenih poruka;
• identifikatori pošiljatelja i primatelja;
• datumi i vremena slanja;
• priložene datoteke, slike i drugi sadržaji;
• tehnički podaci nužni za isporuku poruka i funkcioniranje komunikacije.

Poruke se obrađuju kako bi se omogućila komunikacija među članovima i osigurala funkcionalnost Aplikacije.

Sadržaj privatnih poruka ne koristi se za oglašavanje. Pristup sadržaju može biti moguć ovlaštenim osobama samo kada je to nužno za tehničku podršku, sigurnost, obradu prijave zlouporabe ili postupanje prema zakonskoj obvezi, uz primjenu odgovarajućih ograničenja pristupa.

Ako Aplikacija koristi end-to-end enkripciju ili druge posebne sigurnosne mehanizme, njihove će se stvarne mogućnosti opisati u skladu s tehničkom implementacijom.

3.4. Objave, stručne rasprave i korisnički sadržaj

Kada objavljujete sadržaj u zajednici ili stručnim kanalima, možemo obrađivati:

• tekst objava i komentara;
• pitanja i stručna mišljenja;
• slike, dokumente i druge priloge;
• podatke o autoru objave;
• datum i vrijeme objave;
• reakcije, oznake sviđanja i komentare drugih članova;
• podatke o prijavljenom sadržaju i poduzete moderacijske mjere.

Ovi se podaci obrađuju radi omogućavanja stručne razmjene znanja, prikaza sadržaja članovima, održavanja funkcionalnosti zajednice i zaštite korisnika od neprimjerenog ponašanja.

Objavljeni sadržaj može biti dostupan drugim verificiranim članovima, ovisno o vrsti objave, kanalu i postavkama vidljivosti.

3.5. Medicinske slike i podaci o pacijentima

NERA je stručna zajednica u kojoj korisnici mogu razmjenjivati informacije o radiološkim i neuroradiološkim slučajevima. Takav sadržaj može uključivati podatke koji se odnose na zdravlje pacijenata i koji prema GDPR-u mogu predstavljati posebnu kategoriju osobnih podataka.

Korisnici smiju dijeliti samo sadržaj za čiju obradu i objavu imaju odgovarajuću pravnu osnovu i ovlaštenje.

Prije objave medicinskih slika, nalaza ili dokumentacije korisnici moraju ukloniti sve podatke koji mogu izravno ili neizravno identificirati pacijenta, uključujući imena, datume rođenja, identifikacijske brojeve, oznake na slikama i druge identifikatore.

Sama oznaka „Anonimizirano” ne jamči da je sadržaj doista anoniman. Korisnik mora provjeriti da iz objavljenog materijala nije moguće identificirati pacijenta, uključujući putem metapodataka ili kombinacije podataka.

NERA nije namijenjena objavljivanju nepotrebnih osobnih podataka pacijenata. Sadržaj koji sadrži identifikacijske ili druge neprimjereno objavljene podatke može biti uklonjen ili ograničen.

Ako je došlo do objave osobnih podataka pacijenta bez odgovarajuće pravne osnove, molimo korisnika da to bez odgode prijavi na nera@spread.hr.

3.6. Tehnički podaci i podaci o korištenju

Radi sigurnosti, održavanja i pravilnog funkcioniranja Aplikacije mogu se obrađivati tehnički podaci, primjerice:

• IP adresa;
• vrsta uređaja;
• operacijski sustav i njegova verzija;
• verzija Aplikacije;
• zapisi o pogreškama i tehničkim događajima;
• podaci o prijavi, odjavi i pokušajima pristupa;
• datum i vrijeme zahtjeva prema poslužitelju.

Opseg tih podataka ovisi o tehničkoj implementaciji Aplikacije, poslužitelja i integriranih usluga. Analitika, identifikatori uređaja i drugi podaci o korištenju obrađuju se samo ako se takve funkcije stvarno koriste i uz primjenu odgovarajuće pravne osnove.

04Svrhe i pravne osnove obrade

Osobne podatke obrađujemo samo kada postoji odgovarajuća pravna osnova.

Ovisno o konkretnoj obradi, to može uključivati:

4.1. Izvršavanje ugovora i pružanje usluge

Članak 6. stavak 1. točka (b) GDPR-a može biti pravna osnova za obradu nužnu za:

• registraciju i upravljanje korisničkim računom;
• autentifikaciju korisnika;
• omogućavanje pristupa zatvorenoj zajednici;
• prikaz profesionalnog profila;
• privatne poruke i stručne rasprave;
• pohranu i prikaz sadržaja koji korisnik objavljuje;
• pružanje funkcionalnosti Aplikacije.

4.2. Legitimni interesi

Članak 6. stavak 1. točka (f) GDPR-a može biti osnova za obradu koja je nužna radi legitimnih interesa voditelja obrade, primjerice za:

• zaštitu računa i sprječavanje neovlaštenog pristupa;
• otkrivanje tehničkih problema i otklanjanje pogrešaka;
• zaštitu zajednice od neželjenog sadržaja i zlouporabe;
• obradu prijava neprimjerenog ponašanja;
• zaštitu pravnih zahtjeva i dokazivanje poduzetih radnji.

Takva obrada provodi se samo nakon procjene legitimnog interesa, uz uvažavanje prava i sloboda korisnika.

4.3. Zakonske obveze

Članak 6. stavak 1. točka (c) GDPR-a može biti osnova za obradu kada je ona nužna radi ispunjavanja zakonskih obveza voditelja obrade.

4.4. Privola

Ako se određena obrada temelji na privoli, ona će se zatražiti jasno i zasebno, kada je to potrebno. Korisnik može povući privolu u bilo kojem trenutku. Povlačenje privole ne utječe na zakonitost obrade provedene prije njezina povlačenja.

4.5. Posebne kategorije osobnih podataka

Za obradu podataka o zdravlju pacijenata ili drugih posebnih kategorija podataka potrebno je ispuniti i odgovarajući uvjet iz članka 9. GDPR-a, uz odgovarajuću pravnu osnovu iz članka 6. GDPR-a.

Činjenica da je korisnik zdravstveni stručnjak sama po sebi ne daje neograničeno pravo na obradu ili objavu podataka o pacijentima. Voditelj obrade i korisnici moraju osigurati da postoji primjenjiva pravna osnova i da se poštuju obveze profesionalne tajne i povjerljivosti.

05Tko može pristupiti osobnim podacima?

Pristup osobnim podacima ograničen je na opseg nužan za ostvarivanje svrha navedenih u ovoj Politici.

Ovisno o funkcionalnosti, primatelji ili kategorije primatelja mogu uključivati:

• verificirane članove NERA zajednice, u opsegu podataka dostupnih kroz profile, imenik, kanale i objave;
• osobe ovlaštene za administraciju i moderiranje Aplikacije;
• ovlaštene osobe zadužene za korisničku i tehničku podršku;
• pružatelje hostinga, poslužiteljske infrastrukture i pohrane podataka;
• pružatelje autentifikacije, slanja e-pošte i drugih nužnih tehničkih usluga;
• pružatelje sigurnosnih usluga i dijagnostike, ako se koriste;
• nadležna tijela, kada je otkrivanje propisano zakonom ili nužno radi ostvarivanja pravnih zahtjeva.

Pružatelji tehničkih usluga smiju obrađivati osobne podatke samo u okviru svojih ugovornih ovlasti i primjenjivih propisa, kada djeluju kao izvršitelji obrade.

Osobni podaci ne prodaju se trećim osobama.

Podaci se ne dijele s oglašivačima radi ciljanja oglasa, osim ako bi se takva obrada zasebno uvela uz odgovarajuću pravnu osnovu i prethodno jasno obavještavanje korisnika.

Prije objave ove Politike potrebno je navesti stvarne pružatelje usluga koji imaju pristup podacima, ako ih je moguće identificirati i ako je takva informacija potrebna radi transparentnosti.

06Međunarodni prijenos podataka

Osobni podaci mogu se obrađivati izvan Europskog gospodarskog prostora samo ako to proizlazi iz stvarne tehničke infrastrukture ili korištenih usluga.

Ako se podaci prenose u treću zemlju, prijenos se provodi uz poštovanje poglavlja V. GDPR-a, primjerice na temelju odluke o primjerenosti ili odgovarajućih zaštitnih mjera, kada su primjenjive.

Korisnici mogu zatražiti dodatne informacije o takvim prijenosima i primijenjenim zaštitnim mjerama putem adrese nera@spread.hr.

07Koliko dugo čuvamo osobne podatke?

Osobni podaci čuvaju se samo onoliko dugo koliko je potrebno za svrhe za koje se obrađuju, uzimajući u obzir zakonske obveze, sigurnosne potrebe i eventualne pravne zahtjeve.

Primjenjuju se sljedeća načela:

• Korisnički račun: podaci se čuvaju dok je račun aktivan i dok su potrebni za pružanje usluge.
• Profilni podaci: čuvaju se dok su potrebni za održavanje računa i prikaz profila, osim ako se ranije zatraži ispravak ili brisanje.
• Privatne poruke i objave: čuvaju se dok su potrebne za pružanje komunikacijskih funkcionalnosti, uzimajući u obzir zahtjeve za brisanje i eventualne pravne obveze.
• Tehnički i sigurnosni zapisi: čuvaju se tijekom razdoblja potrebnog za sigurnost, dijagnostiku i otkrivanje zlouporaba.
• Zahtjevi korisnika i prijave: čuvaju se koliko je potrebno za obradu zahtjeva, dokumentiranje postupanja i ostvarivanje ili obranu pravnih zahtjeva.
• Sigurnosne kopije: podaci se uklanjaju u skladu s primjenjivim postupcima ciklusa sigurnosnih kopija.

Točna razdoblja čuvanja određuju se prema stvarnoj tehničkoj konfiguraciji, svrsi obrade i primjenjivim zakonskim obvezama. Kada podaci više nisu potrebni, brišu se ili anonimiziraju na siguran način.

Prije objave potrebno je utvrditi i dokumentirati konkretne rokove čuvanja za glavne kategorije podataka te ih uskladiti s postupcima koji su stvarno implementirani.

08Brisanje korisničkog računa i podataka

Korisnik može zatražiti brisanje svog računa i povezanih osobnih podataka.

Zahtjev se može poslati na:

nera@spread.hr

Radi zaštite računa možemo zatražiti razumnu provjeru identiteta, primjerice slanje zahtjeva s adrese e-pošte povezane s računom.

Nakon potvrde zahtjeva, račun se briše, a osobni podaci povezani s računom uklanjaju se ili anonimiziraju, osim ako postoji zakonska osnova za njihovo daljnje čuvanje ili je njihovo zadržavanje nužno radi ostvarivanja ili obrane pravnih zahtjeva.

Ako pojedini sadržaji, poput stručnih rasprava, zahtijevaju posebno postupanje nakon brisanja računa, takvo postupanje mora biti transparentno opisano i tehnički provedivo. Primjerice, prije zadržavanja sadržaja uz uklanjanje identiteta autora potrebno je utvrditi pravnu osnovu i osigurati da se korisnik više ne može identificirati.

Brisanje podataka iz aktivnih sustava ne mora istodobno značiti trenutačno uklanjanje svih sigurnosnih kopija, koje se uklanjaju u skladu s utvrđenim ciklusom čuvanja.

Ako je brisanje ograničeno zakonskom obvezom ili drugim dopuštenim razlogom, korisnik će biti obaviješten o relevantnim ograničenjima.

09Prava korisnika

U skladu s primjenjivim propisima, korisnik može imati pravo na:

Pravo na pristup – zatražiti potvrdu obrađuju li se njegovi osobni podaci te pristup tim podacima i propisanim informacijama o obradi.

Pravo na ispravak – zatražiti ispravak netočnih ili dopunu nepotpunih osobnih podataka.

Pravo na brisanje – zatražiti brisanje osobnih podataka kada su ispunjeni uvjeti propisani GDPR-om.

Pravo na ograničenje obrade – zatražiti ograničenje obrade u okolnostima predviđenima GDPR-om.

Pravo na prenosivost podataka – kada su ispunjeni zakonski uvjeti, primiti podatke koje je korisnik dostavio u strukturiranom, uobičajeno upotrebljavanom i strojno čitljivom formatu ili zatražiti njihov prijenos drugom voditelju obrade.

Pravo na prigovor – uložiti prigovor na obradu koja se temelji na legitimnom interesu, iz razloga povezanih s njegovom posebnom situacijom.

Pravo na povlačenje privole – kada se obrada temelji na privoli, korisnik je može povući u bilo kojem trenutku.

Pravo na pritužbu nadzornom tijelu – podnijeti pritužbu nadležnom tijelu za zaštitu osobnih podataka.

Za ostvarivanje prava korisnik se može obratiti na nera@spread.hr.

Na zahtjeve ćemo odgovoriti u rokovima propisanima GDPR-om. U pravilu, odgovor se dostavlja u roku od mjesec dana od zaprimanja zahtjeva. Taj se rok može produljiti u slučajevima predviđenima GDPR-om, uz obavještavanje korisnika.

Ostvarivanje prava može biti podložno zakonskim ograničenjima, ovisno o okolnostima konkretnog zahtjeva.

10Sigurnost osobnih podataka

Primjenjuju se odgovarajuće tehničke i organizacijske mjere zaštite osobnih podataka, primjerene rizicima obrade i prirodi podataka.

Takve mjere, ovisno o stvarnoj implementaciji, mogu uključivati:

• ograničavanje pristupa podacima prema korisničkim ovlastima;
• autentifikaciju i upravljanje pristupom;
• zaštitu vjerodajnica;
• siguran prijenos podataka;
• ažuriranje i održavanje sustava;
• sigurnosne kopije;
• evidentiranje i nadzor sigurnosno relevantnih događaja;
• postupke za otkrivanje i rješavanje sigurnosnih incidenata.

Pristup administrativnim funkcijama i osobnim podacima ograničen je na ovlaštene osobe kojima je takav pristup nužan za obavljanje njihovih zadataka.

Iako se poduzimaju odgovarajuće mjere zaštite, nijedan sustav prijenosa ili pohrane podataka ne može jamčiti apsolutnu sigurnost.

U slučaju povrede osobnih podataka postupit će se u skladu s primjenjivim zakonskim obvezama, uključujući obavještavanje nadzornog tijela ili pogođenih osoba kada je to propisano.

11Obveze korisnika i povjerljivost medicinskih sadržaja

NERA je namijenjena stručnoj komunikaciji i razmjeni znanja među zdravstvenim stručnjacima.

Korisnici su obvezni:

• poštovati profesionalnu tajnu i pravila povjerljivosti;
• ne objavljivati osobne podatke pacijenata bez odgovarajuće pravne osnove i ovlaštenja;
• prije objave ukloniti identifikacijske podatke iz medicinskih slika, nalaza i dokumentacije;
• koristiti Aplikaciju u skladu s njezinom namjenom i pravilima zajednice;
• ne pokušavati pristupiti računima ili podacima drugih korisnika bez ovlaštenja;
• ne objavljivati tuđe osobne podatke bez odgovarajuće pravne osnove;
• bez odgode prijaviti sadržaj za koji smatraju da predstavlja povredu privatnosti.

Korisnik je odgovoran za sadržaj koji dostavlja ili objavljuje, u granicama odgovornosti utvrđenih primjenjivim propisima.

Ako se uoči sadržaj koji može ugroziti privatnost pacijenta ili drugog pojedinca, administrator može poduzeti odgovarajuće mjere, uključujući privremeno ograničavanje vidljivosti, uklanjanje sadržaja ili ograničavanje korisničkog računa, u skladu s pravilima Aplikacije i primjenjivim pravom.

12Automatizirano donošenje odluka i profiliranje

Osobni podaci neće se koristiti za automatizirano donošenje odluka koje proizvodi pravne učinke ili na sličan način značajno utječe na korisnika, niti za profiliranje u smislu članka 22. GDPR-a, osim ako se takva obrada uvede uz odgovarajuću pravnu osnovu i prethodno jasno obavještavanje korisnika.

Ako se u budućnosti uvedu funkcionalnosti koje uključuju automatizirano odlučivanje ili profiliranje, ova će se Politika ažurirati prema stvarnom načinu njihove primjene.

13Kolačići i slične tehnologije

Internetska stranica povezana s Nerom može koristiti kolačiće ili slične tehnologije potrebne za rad stranice, sigurnost i pamćenje korisničkih postavki.

Ako se koriste analitički, marketinški ili drugi neobvezni kolačići, korisniku će se pružiti odgovarajuće informacije te će se zatražiti privola kada je ona zakonski potrebna.

Korištenje kolačića na internetskoj stranici potrebno je razlikovati od obrade podataka unutar mobilne Aplikacije. Konkretne tehnologije, pružatelji i rokovi čuvanja moraju odgovarati stvarnoj konfiguraciji sustava.

14Poveznice i usluge trećih strana

Aplikacija ili povezana internetska stranica mogu sadržavati poveznice na internetske stranice ili usluge trećih strana.

Ova Politika ne uređuje obradu osobnih podataka koju provode neovisni pružatelji takvih usluga. Korisnicima preporučujemo da pročitaju njihove politike privatnosti prije korištenja njihovih usluga.

Ako NERA integrira vanjske usluge koje pristupaju osobnim podacima korisnika, takva će obrada biti obuhvaćena odgovarajućim informacijama o privatnosti.

15Privatnost djece

NERA je namijenjena profesionalnoj zajednici zdravstvenih stručnjaka, a ne djeci.

Aplikacija nije namijenjena stvaranju korisničkih računa za djecu niti prikupljanju njihovih osobnih podataka u svrhe korištenja zajednice.

Ako saznamo da su osobni podaci djeteta prikupljeni na način koji nije u skladu s primjenjivim propisima, poduzet ćemo odgovarajuće mjere za provjeru okolnosti i, kada je to potrebno, brisanje podataka.

Ova odredba ne mijenja posebne obveze koje se mogu primjenjivati na zdravstvene podatke djece ili na medicinsku dokumentaciju koju korisnici eventualno dostave.

16Izmjene Politike privatnosti

Ova Politika može se povremeno ažurirati zbog promjena u funkcionalnostima Aplikacije, tehničkoj infrastrukturi, načinu obrade podataka ili primjenjivim propisima.

Ažurirana verzija bit će objavljena na ovoj internetskoj stranici, uz datum posljednjeg ažuriranja.

Ako se uvedu značajne promjene koje utječu na prava korisnika ili način obrade njihovih podataka, korisnici će biti obaviješteni na odgovarajući način, kada je to potrebno.

Preporučujemo da povremeno provjerite ovu stranicu kako biste bili upoznati s važećom verzijom Politike.

17Nadležno nadzorno tijelo

Ako smatrate da se vaši osobni podaci obrađuju protivno primjenjivim propisima, možete podnijeti pritužbu nadležnom nadzornom tijelu za zaštitu osobnih podataka.

Agencija za zaštitu osobnih podataka (AZOP) Službena internetska stranica: https://azop.hr/

Podnošenje pritužbe nadzornom tijelu ne utječe na druga prava koja korisniku pripadaju prema primjenjivim propisima.

18Kontakt

Za pitanja o ovoj Politici privatnosti, obradi osobnih podataka, pristupu podacima, ispravku, brisanju računa ili prijavi povrede privatnosti obratite nam se:

NERA – Neuroradiology Community E-pošta: nera@spread.hr Internetska stranica: https://neuroradioloska-skola.eu/nera/

Molimo vas da u poruci ukratko opišete svoj zahtjev. Radi zaštite osobnih podataka nemojte slati lozinke ili druge nepotrebne osjetljive podatke.

01Introduction

This Privacy Policy explains how personal data of users of the NERA – Neuroradiology Community application (hereinafter “NERA” or the “App”) and the associated website are collected, used, stored, protected and shared.

NERA is a closed professional community intended for neuroradiologists and other authorized healthcare professionals. The App allows members to connect, exchange professional information, participate in discussions, communicate through private messages, share professional content, and access information about professional meetings and educational activities.

User privacy and the protection of confidential information are important aspects of using the App. Personal data are processed in accordance with applicable data protection laws, including Regulation (EU) 2016/679, the General Data Protection Regulation (GDPR), and applicable laws of the Republic of Croatia.

Please read this Policy carefully before registering for and using the App.

02Personal data controller

The personal data controller is responsible for determining the purposes and means of processing personal data.

Controller details:

• Legal entity name: Spread.d.o.o.
• Registered office and address: Pantovčak 192A, Zagreb, Croatia
• Croatian personal identification number (OIB): 40042339401
• Privacy contact: nera@spread.hr
• Website: https://neuroradioloska-skola.eu/nera/

Where another legal entity acts as an independent or joint controller in relation to particular processing activities, its role and responsibilities will be determined in accordance with applicable law.

For any questions about this Policy, exercising your rights or processing personal data, please contact us at the email address above.

03What personal data do we collect?

Depending on how the App is used, we may process the following categories of data.

3.1. Account and identity data

When you register for and use the App, we process data needed to create and manage an account, which may include:

• email address;
• a password stored as a secure hash rather than in plain text, if authentication is implemented in that way;
• first and last name;
• professional title;
• professional status, such as specialist or resident;
• healthcare institution or other professional affiliation;
• profile photo, if uploaded by the user;
• mobile phone number, if voluntarily provided;
• internal account identifiers;
• community membership status and verification data.

These data are used to create and maintain the account, verify access to the closed community, display the professional profile, and enable communication between members.

3.2. Professional profile and member directory

NERA may process information displayed in the professional directory, such as first and last name, professional title, professional status and healthcare institution.

The profile is accessible only to verified community members, in accordance with the App's features and settings.

A mobile phone number is not mandatory. If a user provides one, it is displayed only to members whom that user has authorized to access it, in accordance with the available privacy settings.

Users are responsible for the accuracy of their data and may request corrections or updates.

3.3. Private messages and communication

If you use private messaging or chat features, the following may be processed:

• content of sent and received messages;
• sender and recipient identifiers;
• sending dates and times;
• attached files, images and other content;
• technical data necessary for message delivery and communication functions.

Messages are processed to enable communication between members and ensure that the App functions properly.

Private message content is not used for advertising. Authorized persons may access such content only where necessary for technical support, security, handling an abuse report, or compliance with a legal obligation, subject to appropriate access restrictions.

If the App uses end-to-end encryption or other specific security mechanisms, their actual capabilities will be described in line with the technical implementation.

3.4. Posts, professional discussions and user content

When you post content in the community or professional channels, we may process:

• text of posts and comments;
• questions and professional opinions;
• images, documents and other attachments;
• information about the author;
• date and time of publication;
• reactions, likes and comments by other members;
• information about reported content and moderation measures taken.

These data are processed to enable professional knowledge exchange, display content to members, maintain community functionality and protect users against inappropriate conduct.

Published content may be accessible to other verified members, depending on the type of post, channel and visibility settings.

3.5. Medical images and patient data

NERA is a professional community in which users may exchange information about radiological and neuroradiological cases. Such content may include information concerning patients' health, which may constitute a special category of personal data under the GDPR.

Users may only share content for which they have an appropriate legal basis and authorization to process and publish it.

Before publishing medical images, reports or records, users must remove all information that could directly or indirectly identify a patient, including names, dates of birth, identification numbers, image labels and other identifiers.

The label “Anonymized” alone does not guarantee that content is genuinely anonymous. Users must check that a patient cannot be identified from the published material, including through metadata or combinations of data.

NERA is not intended for publishing unnecessary patient personal data. Content containing identifying or other improperly disclosed information may be removed or restricted.

If patient personal data have been published without an appropriate legal basis, please report this promptly to nera@spread.hr.

3.6. Technical and usage data

For security, maintenance and proper operation of the App, technical data may be processed, such as:

• IP address;
• device type;
• operating system and version;
• App version;
• error and technical event logs;
• sign-in, sign-out and access attempt data;
• dates and times of requests to the server.

The scope of these data depends on the technical implementation of the App, servers and integrated services. Analytics, device identifiers and other usage data are processed only if such functions are actually used and an appropriate legal basis applies.

04Purposes and legal bases of processing

We process personal data only where an appropriate legal basis exists.

Depending on the specific processing activity, this may include:

4.1. Performance of a contract and provision of the service

Article 6(1)(b) GDPR may provide the legal basis for processing necessary for:

• account registration and management;
• user authentication;
• access to the closed community;
• display of the professional profile;
• private messages and professional discussions;
• storage and display of content published by the user;
• provision of App functionality.

4.2. Legitimate interests

Article 6(1)(f) GDPR may be the basis for processing necessary for the controller's legitimate interests, for example:

• protecting accounts and preventing unauthorized access;
• detecting technical issues and resolving errors;
• protecting the community against spam and misuse;
• handling reports of inappropriate conduct;
• protecting legal claims and documenting actions taken.

Such processing is undertaken only after a legitimate interests assessment, taking users' rights and freedoms into account.

4.3. Legal obligations

Article 6(1)(c) GDPR may provide the legal basis where processing is necessary to comply with the controller's legal obligations.

4.4. Consent

Where a particular processing activity is based on consent, consent will be requested clearly and separately when required. A user may withdraw consent at any time. Withdrawal does not affect the lawfulness of processing carried out before the withdrawal.

4.5. Special categories of personal data

Processing patients' health data or other special categories of personal data also requires an appropriate condition under Article 9 GDPR, in addition to an appropriate legal basis under Article 6 GDPR.

Being a healthcare professional does not, in itself, give a user an unrestricted right to process or publish patient data. The controller and users must ensure that an applicable legal basis exists and that professional secrecy and confidentiality obligations are respected.

05Who may access personal data?

Access to personal data is limited to what is necessary to achieve the purposes set out in this Policy.

Depending on the functionality, recipients or categories of recipients may include:

• verified NERA community members, to the extent information is accessible through profiles, the directory, channels and posts;
• persons authorized to administer and moderate the App;
• authorized customer support and technical support personnel;
• hosting, server infrastructure and data storage providers;
• authentication, email delivery and other necessary technical service providers;
• security and diagnostics service providers, if used;
• competent authorities, where disclosure is required by law or necessary for legal claims.

Where technical service providers act as processors, they may process personal data only within the scope of their contractual authorization and applicable law.

Personal data are not sold to third parties.

Data are not shared with advertisers for ad targeting unless such processing is introduced separately, with an appropriate legal basis and clear advance notice to users.

Before this Policy is published, the actual service providers with access to data should be identified where possible and where such information is needed for transparency.

06International data transfers

Personal data may be processed outside the European Economic Area only where this follows from the actual technical infrastructure or services used.

If data are transferred to a third country, the transfer will comply with Chapter V GDPR, for example through an adequacy decision or appropriate safeguards, where applicable.

Users may request further information about such transfers and the safeguards applied by emailing nera@spread.hr.

07How long do we retain personal data?

Personal data are retained only as long as necessary for the purposes for which they are processed, taking into account legal obligations, security needs and possible legal claims.

The following principles apply:

• User account: data are kept while the account is active and while needed to provide the service.
• Profile data: retained while necessary to maintain the account and display the profile, unless correction or erasure is requested earlier.
• Private messages and posts: retained while needed for communication features, taking into account erasure requests and any legal obligations.
• Technical and security logs: retained for the period necessary for security, diagnostics and detection of misuse.
• User requests and reports: retained as needed to handle requests, document responses and establish, exercise or defend legal claims.
• Backups: data are removed according to the applicable backup lifecycle procedures.

Exact retention periods are determined according to the actual technical configuration, purpose of processing and applicable legal obligations. When data are no longer required, they are securely deleted or anonymized.

Before publication, specific retention periods for the main categories of data must be established and documented, and aligned with the procedures actually implemented.

08Deletion of accounts and data

A user may request deletion of their account and associated personal data.

A request may be sent to:

nera@spread.hr

To protect accounts, we may require reasonable identity verification, for example by requesting that the email be sent from the address associated with the account.

Once the request is confirmed, the account is deleted and related personal data are removed or anonymized, unless a legal basis exists for continued retention or retention is necessary to establish, exercise or defend legal claims.

If certain content, such as professional discussions, requires special handling after account deletion, this must be described transparently and be technically feasible. For example, before retaining content while removing the author's identity, the legal basis must be established and it must be ensured that the user can no longer be identified.

Deletion from active systems may not mean immediate removal from all backups; those data are removed according to the established retention cycle.

If deletion is restricted by a legal obligation or another permitted reason, the user will be informed of the relevant restrictions.

09Users' rights

Under applicable law, a user may have the following rights:

Right of access – to request confirmation of whether their personal data are processed, access to those data and the prescribed information about processing.

Right to rectification – to request correction of inaccurate data or completion of incomplete personal data.

Right to erasure – to request deletion of personal data where the conditions set out in the GDPR are met.

Right to restriction of processing – to request restriction in the circumstances provided for by the GDPR.

Right to data portability – where legal requirements are met, to receive data provided by the user in a structured, commonly used and machine-readable format, or to request their transfer to another controller.

Right to object – to object, on grounds relating to their particular situation, to processing based on legitimate interests.

Right to withdraw consent – where processing is based on consent, to withdraw it at any time.

Right to lodge a complaint with a supervisory authority – to lodge a complaint with the competent data protection authority.

To exercise their rights, users may contact nera@spread.hr.

We will respond within the deadlines prescribed by the GDPR. As a rule, a response will be provided within one month of receiving the request. This period may be extended in cases permitted by the GDPR, with notice to the user.

The exercise of rights may be subject to legal limitations, depending on the circumstances of the particular request.

10Personal data security

Appropriate technical and organizational measures are applied to protect personal data, proportionate to processing risks and the nature of the data.

Depending on the actual implementation, these measures may include:

• restricting data access according to user permissions;
• authentication and access management;
• protection of credentials;
• secure data transmission;
• system updates and maintenance;
• backups;
• logging and monitoring security-relevant events;
• procedures for detecting and responding to security incidents.

Access to administrative functions and personal data is limited to authorized persons who need it to perform their duties.

Although appropriate safeguards are implemented, no data transmission or storage system can guarantee absolute security.

In the event of a personal data breach, we will comply with applicable legal obligations, including notification of the supervisory authority or affected individuals where required.

11User obligations and confidentiality of medical content

NERA is intended for professional communication and knowledge exchange among healthcare professionals.

Users must:

• respect professional secrecy and confidentiality rules;
• not publish patient personal data without an appropriate legal basis and authorization;
• remove identifying information from medical images, reports and documents before publication;
• use the App in accordance with its purpose and community rules;
• not attempt to access other users' accounts or data without authorization;
• not publish another person's personal data without an appropriate legal basis;
• promptly report content they believe violates privacy.

Users are responsible for content they submit or publish, within the limits of liability established by applicable law.

If content that may compromise a patient's or another person's privacy is identified, an administrator may take appropriate measures, including temporarily restricting visibility, removing the content or restricting an account, in accordance with the App's rules and applicable law.

12Automated decision-making and profiling

Personal data will not be used for automated decision-making that produces legal effects or similarly significantly affects the user, or for profiling within the meaning of Article 22 GDPR, unless such processing is introduced with an appropriate legal basis and clear advance notice to users.

If features involving automated decision-making or profiling are introduced in the future, this Policy will be updated to reflect their actual use.

13Cookies and similar technologies

The website associated with NERA may use cookies or similar technologies necessary for website functionality, security and remembering user preferences.

If analytics, marketing or other optional cookies are used, users will be provided with appropriate information and consent will be requested where legally required.

Cookie use on the website must be distinguished from data processing within the mobile App. The specific technologies, providers and retention periods must reflect the system's actual configuration.

14Third-party links and services

The App or associated website may contain links to third-party websites or services.

This Policy does not govern personal data processing by independent providers of such services. We recommend that users read their privacy policies before using their services.

If NERA integrates external services that access users' personal data, that processing will be covered by appropriate privacy information.

15Children's privacy

NERA is intended for a professional community of healthcare professionals, not for children.

The App is not intended to allow children to create accounts or to collect their personal data for purposes of using the community.

If we become aware that a child's personal data have been collected contrary to applicable law, we will take appropriate steps to investigate the circumstances and, where necessary, delete the data.

This provision does not alter special obligations that may apply to children's health data or medical records that users may submit.

16Changes to this Privacy Policy

This Policy may be updated from time to time due to changes in App features, technical infrastructure, data processing practices or applicable law.

The updated version will be published on this website together with the last updated date.

If significant changes affecting user rights or the processing of their data are introduced, users will be notified appropriately where required.

We recommend checking this page periodically to stay informed about the current version of the Policy.

17Competent supervisory authority

If you believe your personal data are being processed in breach of applicable law, you may lodge a complaint with the competent data protection supervisory authority.

Croatian Personal Data Protection Agency (AZOP)
Official website: https://azop.hr/

Lodging a complaint with the supervisory authority does not affect any other rights available to users under applicable law.

18Contact

For questions about this Privacy Policy, personal data processing, access to data, corrections, account deletion or reports of privacy violations, contact:

NERA – Neuroradiology Community
Email: nera@spread.hr
Website: https://neuroradioloska-skola.eu/nera/

Please briefly describe your request in your message. To protect personal data, do not send passwords or other unnecessary sensitive information.