Politika e Privatësisë.

1. Kush jemi dhe si të na kontaktoni

nxan.ai është produkt i AVENTURISTI L.L.C., shoqëri e regjistruar në Republikën e Kosovës.

• Adresa e regjistruar: Rr. Zeqir Rashica nr. 8, Vushtrri, Republika e Kosovës
• Numri unik identifikues (NUI): 812430445
• Email për privatësinë: privatesia@nxan.ai

Kjo politikë zbatohet sipas Ligjit Nr. 06/L-082 për Mbrojtjen e të Dhënave Personale të Republikës së Kosovës, i cili transpozon Rregulloren (BE) 2016/679 (GDPR), dhe sipas vetë GDPR-së kur ajo zbatohet drejtpërdrejt.

Zyrtari për mbrojtjen e të dhënave

Nuk kemi caktuar zyrtar për mbrojtjen e të dhënave, sepse veprimtaria jonë nuk plotëson kriteret e Nenit 37 të GDPR-së. Përgjegjësinë për këtë fushë e mban drejtimi i shoqërisë dhe kontaktohet në adresën më lart.

2. Rolet: kur jemi kontrollues dhe kur përpunues

Ky dallim përcakton kujt i drejtoheni për të ushtruar një të drejtë, prandaj vjen i pari.

Kontrollues

Për të dhënat e llogarisë së klinikës — personi që regjistrohet, të dhënat e biznesit, plani dhe faturat — qëllimet dhe mjetet i përcaktojmë ne. Këtu jemi kontrollues dhe kërkesat na drejtohen drejtpërdrejt.

Përpunues

Për të dhënat e pacientëve dhe klientëve — emrat, numrat, terminet, përmbajtja e bisedave — kontrolluesi është klinika. Ne i përpunojmë vetëm sipas udhëzimeve të saj të dokumentuara, sipas Marrëveshjes për Përpunimin e të Dhënave, e cila zbaton Nenin 28 të GDPR-së.

Praktikisht: nëse jeni pacient, kërkesa i drejtohet klinikës. Nëse ajo na e përcjell, e zbatojmë. Nëse na shkruani drejtpërdrejt, e përcjellim te klinika dhe ju njoftojmë.

3. Kategoritë e të dhënave dhe burimi i tyre

Neni 14 i GDPR-së kërkon të deklarohet edhe burimi kur të dhënat nuk merren drejtpërdrejt nga personi. Kjo ndodh rregullisht këtu: kur i shkruani një klinike në WhatsApp, të dhënat na vijnë nga Meta, jo nga ju.

Nuk mbledhim: të dhëna të kartelës bankare, të dhëna lokacioni, identifikues reklamash, dhe nuk blejmë lista kontaktesh nga palë të treta.

4. Qëllimet dhe bazat ligjore

Çdo përpunim ka një qëllim dhe një bazë ligjore sipas Nenit 6 të GDPR-së. Ku baza është interesi legjitim, kemi kryer balancimin e interesave dhe rezultati përmblidhet në kolonën e fundit.

5. Të dhënat shëndetësore (Neni 9)

Një termin te një klinikë dentare, fizioterapeutike ose estetike zbulon informacion për shëndetin e një personi. Neni 9 i GDPR-së i klasifikon si kategori të veçantë, me mbrojtje më të lartë: përpunimi ndalohet, përveç kur zbatohet një përjashtim i Nenit 9(2).

Për këto të dhëna klinika është kontrolluesi dhe asaj i takon të përcaktojë përjashtimin e zbatueshëm — zakonisht Neni 9(2)(h) (mjekësi parandaluese, diagnozë, ofrim kujdesi) ose Neni 9(2)(a) (pëlqimi i shprehur).

Nga ana jonë:

• Nuk nxjerrim dhe nuk nxjerrim përfundime shëndetësore nga përmbajtja e bisedave.
• Nuk i përdorim këto të dhëna për asnjë qëllim tjetër përveç ofrimit të shërbimit.
• Nuk i ndajmë me palë të treta jashtë listës së nënpërpunuesve më poshtë.
• Zbatojmë masat e Nenit 32 të përshkruara te seksioni i sigurisë.

6. Inteligjenca artificiale dhe vendimmarrja e automatizuar

Kur një klient i shkruan klinikës, teksti i dërgohet Anthropic për të kuptuar qëllimin — termin i ri, anulim, ndryshim ose pyetje — dhe për të formuluar përgjigjen.

• Dërgohet vetëm ajo që nevojitet: teksti i bisedës dhe konteksti i domosdoshëm i terminit.
• Anthropic nuk i përdor të dhënat e API-së tregtare për të trajnuar modelet e veta, sipas kushteve të saj tregtare.
• Anthropic i fshin hyrjet dhe daljet brenda 30 ditësh sipas politikës së saj të paracaktuar të ruajtjes.
• Të dhënat e marra nga WhatsApp Business nuk përdoren për të trajnuar apo zhvilluar modele — kjo është edhe kërkesë e vetë Meta-s.

Vendimmarrja e automatizuar sipas Nenit 22

Sistemi cakton, ndryshon dhe anulon termine automatikisht. Këto nuk janë vendime që prodhojnë efekte juridike ose ndikim të ngjashëm sinjifikativ në kuptim të Nenit 22(1) — janë veprime administrative të rezervimit, të kthyeshme dhe të ndryshueshme.

Sidoqoftë, sigurojmë gjithnjë ndërhyrjen njerëzore: stafi i klinikës e sheh çdo bisedë, mund të marrë kontrollin në çdo moment dhe të ndryshojë çdo veprim të sistemit. Nuk kryejmë profilizim dhe nuk marrim vendime për çmime, akses apo trajtim bazuar në analizë të automatizuar të personit.

7. Marrësit dhe nënpërpunuesit

Secili ofrues ka qasje vetëm te pjesa e të dhënave që i nevojitet për detyrën e vet, dhe me secilin kemi ose kërkojmë marrëveshje përpunimi sipas Nenit 28(3).

Përveç këtyre, të dhënat mund t'u zbulohen: autoriteteve publike kur e kërkon ligji, këshilltarëve profesionalë nën detyrim konfidencialiteti, dhe një blerësi të mundshëm në rast shitjeje të biznesit — në këtë rast ju njoftojmë paraprakisht.

Nuk i shesim të dhënat personale dhe nuk i ndajmë me ndërmjetës reklamash.

Kur shtojmë ose ndërrojmë një nënpërpunues, klinikat me marrëveshje përpunimi njoftohen paraprakisht dhe kanë të drejtë të kundërshtojnë, sipas Nenit 28(2).

8. Transferimet ndërkombëtare

Pjesa më e madhe e përpunimit ndodh brenda Zonës Ekonomike Evropiane. Për ofruesit në Shtetet e Bashkuara zbatohen këto mbrojtje:

• Korniza BE–SHBA për Privatësinë e të Dhënave. Komisioni Evropian e miratoi vendimin e përshtatshmërisë më 10 korrik 2023. Anthropic është e certifikuar nën këtë kornizë.
• Klauzolat Standarde Kontraktuale. Zbatojmë versionin e vitit 2021 të miratuar nga Komisioni Evropian, si bazë e pavarur ku korniza nuk zbatohet dhe si rezervë ku zbatohet.
• Vlerësimi i ndikimit të transferimit. Për secilin transferim jashtë ZEE-së mbajmë një vlerësim të dokumentuar të legjislacionit të vendit pritës dhe masave teknike shtesë.

Kopjen e klauzolave të zbatuara e merrni duke shkruar te privatesia@nxan.ai.

9. Afatet e ruajtjes

Pas skadimit, të dhënat fshihen ose anonimizohen në mënyrë të pakthyeshme.

10. Masat e sigurisë

Masat teknike dhe organizative sipas Nenit 32:

• Enkriptim gjatë transmetimit me TLS për çdo lidhje.
• Token-at e kanaleve të lidhura ruhen të enkriptuar me AES-256-GCM.
• Webhook-et hyrëse verifikohen me HMAC-SHA256 mbi trupin e papërpunuar; kërkesat e panënshkruara refuzohen në prodhim pa përjashtim.
• Ndarje e rreptë sipas biznesit: çdo kërkesë kontrollohet ndaj anëtarësisë aktive, kështu që një klinikë nuk arrin te të dhënat e një tjetre.
• Fjalëkalimet nuk ruhen nga ne; autentikimin e menaxhon Supabase Auth.
• Kufizim i shpeshtësisë së kërkesave kundër provave të forcës brutale.
• Parimi i privilegjit minimal për qasjen e brendshme dhe regjistrim i veprimeve.
• Kopje rezervë të përditshme të bazës së të dhënave, të mbajtura nga Supabase.

Asnjë sistem nuk është i pathyeshëm. Nëse ndodh një shkelje që rrezikon të drejtat tuaja, njoftojmë autoritetin mbikëqyrës brenda 72 orësh sipas Nenit 33, dhe personat e prekur pa vonesë sipas Nenit 34.

11. Të drejtat tuaja dhe si i ushtroni

• Qasje (Neni 15) — kopje e të dhënave dhe informacion për përpunimin.
• Korrigjim (Neni 16) — ndreqja e të dhënave të pasakta ose të paplota.
• Fshirje (Neni 17) — heqja e të dhënave, me përjashtimet e Nenit 17(3).
• Kufizim (Neni 18) — ndalim i përkohshëm i përpunimit.
• Portabilitet (Neni 20) — marrja në format të strukturuar dhe të lexueshëm nga makina. Klientët dhe terminet eksportohen nga paneli kurdo.
• Kundërshtim (Neni 21) — ndaj përpunimit të bazuar në interes legjitim; ndaj marketingut të drejtpërdrejtë kundërshtimi është absolut.
• Tërheqje e pëlqimit (Neni 7(3)) — kurdo, pa ndikuar në ligjshmërinë e përpunimit të mëparshëm.

Si i ushtroni

Shkruani te privatesia@nxan.ai. Përgjigjemi brenda një muaji sipas Nenit 12(3); për kërkesa komplekse afati mund të zgjatet me dy muaj, duke ju njoftuar për arsyen brenda muajit të parë.

Ushtrimi është falas. Mund të kërkojmë informacion shtesë vetëm nëse është vërtet i nevojshëm për t'ju identifikuar, dhe atë e përdorim ekskluzivisht për këtë qëllim.

E drejta për ankesë

Nëse nuk jeni të kënaqur, keni të drejtë t'i ankoheni:

• Agjencisë për Informim dhe Privatësi të Republikës së Kosovës, autoriteti mbikëqyrës sipas Ligjit Nr. 06/L-082; ose
• autoritetit mbikëqyrës të shtetit anëtar ku banoni ose punoni, nëse ndodheni në BE.

Ankesa te autoriteti nuk kërkon të na kontaktoni ne më parë, edhe pse zakonisht është më e shpejtë.

12. Fshirja e të dhënave

Kërkesa bëhet nga tri rrugë, të gjitha falas dhe pa detyrim arsyetimi: drejtpërdrejt te klinika, nga cilësimet e llogarisë tuaj te Meta, ose me email te ne.

Çdo kërkesë merr një kod konfirmimi dhe një faqe ku ndiqet statusi. Fshirja kryhet brenda 30 ditësh; kopjet rezervë skadojnë brenda 90 ditësh.

Udhëzimet e plota, çka fshihet konkretisht dhe rastet kur ligji na detyron të mbajmë diçka: fshirja e të dhënave.

13. Cookies dhe ruajtja në pajisje

Faqja publike nuk përdor cookies gjurmimi, nuk ka reklama, piksela të palëve të treta apo mjete analitike që identifikojnë vizitorë.

Paneli e mban sesionin në cookies të sigurta HttpOnly, Secure dhe SameSite; token-et e hyrjes nuk ruhen në localStorage dhe nuk mund të lexohen nga JavaScript-i i faqes. Në localStorage ruhen vetëm identifikuesi i biznesit aktiv dhe disa preferenca jo-sekrete. Cookies e sesionit janë rreptësisht të domosdoshme për hyrjen dhe sigurinë e llogarisë.

Fontet ngarkohen nga Google Fonts, çka do të thotë se adresa juaj IP i bëhet e njohur atij shërbimi gjatë ngarkimit të faqes.

14. Fëmijët

Shërbimi u drejtohet bizneseve dhe nuk mbledh me vetëdije të dhëna nga persona nën 16 vjeç si përdorues të tij.

Kur një klinikë cakton termin për një fëmijë, të dhënat i përkasin dosjes së klinikës dhe kontrollues mbetet ajo, përfshirë përgjegjësinë për pëlqimin e prindit ose kujdestarit kur kërkohet.

15. Ndryshimet

Për ndryshime thelbësore njoftojmë me email të paktën 30 ditë përpara hyrjes në fuqi. Data dhe numri i versionit në krye tregojnë gjithnjë tekstin aktual, dhe versionet e mëparshme jepen me kërkesë.