Політика конфіденційності

1. Хто є володільцем ваших даних

Володільцем персональних даних (адміністратором у розумінні GDPR) є Centrum Rehabilitacji „Pomoc" Kateryna Melnyk — фізична особа-підприємець, зареєстрована за адресою ul. Pańska 96 / lokal 207A, 00-837 Warszawa, NIP 5273054463, REGON 525178770. Далі — «Центр» або «ми».

Контакт у справах щодо персональних даних: kontakt@crpomoc.pl, телефон +48 573 323 068, або листом на адресу, вказану вище.

Ми не призначали інспектора із захисту даних (IOD). Усі питання щодо персональних даних розглядаємо за наведеними вище контактами.

2. Які дані ми збираємо і звідки

Ми збираємо лише ті дані, які потрібні, щоб записати вас на візит, провести його та вести документацію, до якої нас зобовʼязує закон.

• Контактна форма на сайті: імʼя, номер телефону, за бажанням адреса електронної пошти та — якщо ви вирішите його заповнити — опис скарг. Опис скарг є даними про стан здоровʼя, тобто особливою категорією даних. Це поле необовʼязкове.
• Запис на візит: обрана послуга, спеціаліст і час, а також контактні дані, вказані у формі запису.
• Кабінет пацієнта: номер телефону та одноразовий код у SMS, яким ви підтверджуєте, що номер належить вам. Як альтернатива — електронна пошта з паролем або вхід через акаунт Google; у цьому разі ми отримуємо від Google вашу адресу пошти, імʼя та ідентифікатор акаунта.
• Візити та документація: дати, виконані послуги, оплати, нотатки фізіотерапевта та файли, якими ви обмінюєтеся зі своїм фізіотерапевтом.
• Історія з попередньої системи: дані пацієнтів і візитів, які раніше велися в системі запису Altegio, перенесено до нашої системи, щоб зберегти безперервність документації.
• Технічні дані: IP-адреса пристрою, з якого ви користуєтеся формами та входом. IP-адресу ми не зберігаємо у відкритому вигляді — зберігається лише її незворотний криптографічний відбиток, який слугує для підрахунку спроб і виявлення зловживань.

3. Навіщо і на якій правовій підставі

Правові підстави випливають із Регламенту GDPR (2016/679) та з норм польського медичного права.

• Зворотний контакт і запис на візит — ст. 6(1)(b) GDPR, тобто дії на ваш запит перед укладенням договору.
• Опис скарг, надісланий через форму до того, як ви стали нашим пацієнтом, — ст. 9(2)(a) GDPR, тобто ваша явна згода, надана позначенням поля під формою. Згоду можна відкликати будь-коли; це не впливає на законність обробки до відкликання.
• Надання медичних послуг, ведення та зберігання медичної документації — ст. 6(1)(c) і ст. 9(2)(h) GDPR у звʼязку із законом про медичну діяльність (ustawa o działalności leczniczej) і законом про права пацієнта (ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta). Дані обробляють особи, зобовʼязані зберігати професійну таємницю.
• Ведення облікового запису в Кабінеті пацієнта — ст. 6(1)(b) GDPR.
• Розрахунки, рахунки та бухгалтерія — ст. 6(1)(c) GDPR у звʼязку з податковим законодавством і законом про бухгалтерський облік.
• Безпека системи: обмеження кількості спроб входу та надсилань SMS-кодів, журнал адміністративних подій — ст. 6(1)(f) GDPR, тобто наш законний інтерес у захисті даних пацієнтів від несанкціонованого доступу.
• Встановлення, реалізація та захист правових вимог — ст. 6(1)(f) GDPR.
• Ми не ведемо маркетингу щодо пацієнтів, перенесених із попередньої системи, і не надсилаємо їм маркетингових повідомлень. Нагадування про призначений візит не є маркетингом — це частина послуги, яку ви замовили.

4. Чи є надання даних обовʼязковим

Надання даних добровільне, але без імені та номера телефону ми не зможемо передзвонити чи записати вас на візит. Опис скарг цілком необовʼязковий — можете залишити лише імʼя й номер, а решту розповісти телефоном або на візиті.

Коли ви станете нашим пацієнтом, частину даних ми зобовʼязані зібрати на підставі приписів про медичну документацію — тут свободи вибору немає.

5. Як довго ми зберігаємо дані

• Медична документація — 20 років від кінця календарного року, у якому було зроблено останній запис (ст. 29 абз. 1 закону про права пацієнта, ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta).
• Винятки з тієї самої норми: 30 років у разі смерті пацієнта внаслідок тілесного ушкодження або отруєння, 22 роки для документації дітей до 2 років, 10 років для рентгенівських знімків, які зберігаються поза документацією, 5 років для направлень і призначень лікаря.
• Звернення з контактної форми, які не завершилися візитом, — до закриття справи рецепцією. Ви будь-коли можете попросити видалити таке звернення, і ми видаляємо його із системи.
• Розрахункові дані — 5 років від кінця податкового року, у якому виник податковий обовʼязок.
• Одноразові коди входу — 10 хвилин, після чого втрачають чинність; код можна використати лише один раз.
• Сесія користувача, який увійшов у систему, — завершується після кільканадцяти хвилин без активності та після закриття браузера. Сесію можна завершити самостійно, вийшовши з облікового запису.
• Записи подій безпеки та журнал доступу персоналу до документації — протягом строку, потрібного для підтвердження правомірності обробки та для реалізації й захисту правових вимог.

6. Кому ми передаємо дані

Ми не продаємо дані й не передаємо їх нікому з маркетинговою метою. Дані потрапляють лише до тих субʼєктів, які потрібні нам для роботи кабінету, і лише в обсязі, необхідному для цього.

• Vercel Inc. — постачальник хостингу цього сайту.
• Altegio — система запису, у якій рецепція веде поточний графік візитів.
• Google Ireland Limited — лише тоді, коли ви самі клікнете карту й перейдете до Google Карт. Карта на нашому сайті є зображенням з нашого сервера і сама собою нічого Google не передає.
• Google Ireland Limited — якщо ви вирішите увійти через акаунт Google.
• SMSAPI (ComVision sp. z o.o.) — оператор, який доставляє одноразові коди та SMS-нагадування. Отримує лише номер телефону та текст повідомлення.
• Особи та компанії, які обслуговують наші інформаційні системи, — на підставі договорів про доручення обробки.
• Субʼєкти й органи, уповноважені законом, якщо вони звернуться з вимогою, що ґрунтується на нормі права.
• Інші пацієнти та сторонні особи доступу до ваших даних не мають. У системі фізіотерапевт бачить лише власний графік і власних пацієнтів; повний огляд мають тільки рецепція та адміністрація.

7. Передавання даних за межі Європейського економічного простору

Частина наших постачальників — американські компанії або їхні європейські підрозділи, інфраструктура яких може перебувати за межами ЄЕП. У таких випадках передавання відбувається на підставі стандартних договірних положень, затверджених Європейською Комісією, або рішення про належний рівень захисту (EU–US Data Privacy Framework).

Медичну документацію, яку веде Центр, ми не надаємо за межі ЄЕП з жодною метою, крім зазначених вище.

8. Файли cookie та памʼять браузера

Ми використовуємо виключно рішення, необхідні для роботи сайту, про які йдеться у ст. 399 закону «Prawo komunikacji elektronicznej». Ми не ведемо вебаналітики, не вбудовуємо рекламних пікселів і не профілюємо відвідувачів — тому не показуємо банер згоди на cookie.

Карта проїзду на сторінці контактів — це звичайне зображення з нашого сервера: ми завантажили її один раз і зберегли в себе. Переглядаючи наш сайт, ви не звертаєтеся до серверів Google. Лише клік по карті відкриває Google Карти в новій вкладці, і це вже ваше рішення.

• Файл cookie сесії користувача, який увійшов у систему, — дає змогу залишатися в обліковому записі; зникає після закриття браузера або виходу.
• Файл cookie з обраною мовою — запамʼятовує, чи ви переглядаєте сайт польською, українською чи англійською.
• Запис у локальній памʼяті браузера з обраною темою — світлою чи темною — залишається на вашому пристрої й ніколи не надсилається до нас.
• Шрифти ми віддаємо з власного сервера, а не із зовнішніх.

9. Ваші права

Щодо своїх даних ви маєте такі права:

• право доступу до даних і отримання їх копії, зокрема копії медичної документації,
• право на виправлення неправильних або неповних даних,
• право на видалення даних,
• право на обмеження обробки,
• право на перенесення даних, які обробляються на підставі згоди або договору,
• право заперечити проти обробки, що ґрунтується на нашому законному інтересі,
• право відкликати згоду будь-коли, без впливу на законність обробки до відкликання.

Два з цих прав мають законодавчі межі, і ми чесно про них попереджаємо: доки триває встановлений законом строк зберігання медичної документації, ми не можемо ні видалити її, ні припинити обробку за вашим запереченням, навіть якщо ви про це попросите. Натомість ми можемо видалити дані, які не є частиною документації, — наприклад звернення з форми або обліковий запис у Кабінеті пацієнта.

Щоб скористатися будь-яким із цих прав, напишіть на kontakt@crpomoc.pl або зателефонуйте на +48 573 323 068.

10. Скарга до наглядового органу

Якщо ви вважаєте, що ми обробляємо ваші дані незаконно, ви можете подати скаргу до Голови Управління охорони персональних даних (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa. Будемо вдячні, якщо спершу дасте нам можливість зʼясувати справу напряму.

11. Автоматизовані рішення та профілювання

Ми не ухвалюємо щодо вас рішень, які ґрунтуються виключно на автоматизованій обробці, зокрема на профілюванні. Час візиту, спеціаліста та перебіг терапії визначає людина.

12. Як ми захищаємо дані

• Паролі зберігаємо лише у вигляді стійких до зламу відбитків; ніхто з персоналу не знає вашого пароля.
• Доступ до документації привʼязаний до ролі: фізіотерапевт бачить тільки власних пацієнтів, а рецепція не має доступу до клінічних нотаток.
• Кожен доступ персоналу до даних пацієнта фіксується в журналі подій.
• Резервні копії бази зашифровані.
• IP-адреси зберігаємо лише як незворотний відбиток, а відомості про стан здоровʼя ніколи не потрапляють ані до системних журналів, ані до адрес сторінок.

13. Зміни політики

Ми оновлюємо політику, коли змінюється спосіб роботи наших систем або законодавство. Дата останнього оновлення вказана на початку цієї сторінки.