Twoje dane i Twoja prywatność
Wiem, jak osobiste bywa to, z czym przychodzisz do mojego gabinetu. Poniżej wyjaśniam prosto i konkretnie, jakie dane przetwarzam, po co, jak długo i jakie masz prawa.
1. Kim jestem
Podstawą prawną tego dokumentu jest rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych, w skrócie RODO.
Administratorem Twoich danych osobowych jestem ja, Sylwia Bałazińska, prowadząca jednoosobową działalność gospodarczą, gabinet fizjoterapii uroginekologicznej przy alei Grunwaldzkiej 1C w Sieradzu (98-200).
- NIP 8272328629, REGON 520390837
- telefon: 663 033 634
- e-mail: balazinskasylwia@gmail.com
W sprawach dotyczących danych osobowych możesz skontaktować się ze mną bezpośrednio, telefonicznie lub mailowo. Nie wyznaczyłam inspektora ochrony danych, ponieważ przepisy tego ode mnie nie wymagają: prowadzę indywidualną praktykę, a przetwarzanie danych o zdrowiu nie odbywa się u mnie na dużą skalę w rozumieniu art. 37 ust. 1 lit. c RODO.
2. Najważniejsze w skrócie
- Sama strona internetowa nie zapisuje w Twoim urządzeniu żadnych własnych plików cookies i nie prowadzi statystyk odwiedzin.
- Dane o Twoim zdrowiu przetwarzam po to, żeby móc Ci pomóc, i chroni je tajemnica zawodowa fizjoterapeuty.
- Dokumentację medyczną mam obowiązek przechowywać przez 20 lat i nie mogę jej usunąć na żądanie. Ten obowiązek nakłada na mnie ustawa.
- Nie sprzedaję i nie udostępniam Twoich danych w celach marketingowych. Nikomu.
- Masz prawo wiedzieć, jakie dane o Tobie mam, otrzymać ich kopię i żądać sprostowania.
3. Kiedy i jakie dane przetwarzam
3.1. Odwiedziny na stronie internetowej
Strona jest udostępniana przez infrastrukturę Cloudflare. Podczas jej wyświetlania przetwarzane są techniczne dane połączenia, w tym adres IP, data i godzina żądania, adres podstrony, typ przeglądarki i systemu operacyjnego. Służą one wyłącznie temu, żeby strona działała i była zabezpieczona przed nadużyciami.
Podstawa prawna: art. 6 ust. 1 lit. f RODO, mój prawnie uzasadniony interes polegający na zapewnieniu prawidłowego i bezpiecznego działania strony. Nie stosuję żadnego narzędzia analitycznego działającego w Twojej przeglądarce. Dostawca hostingu udostępnia mi wyłącznie zbiorcze, nieidentyfikujące dane o ruchu na stronie; nie mam dostępu do surowych logów serwera i nie łączę tych danych z żadnymi innymi informacjami.
3.2. Kontakt telefoniczny i mailowy
Jeśli do mnie zadzwonisz lub napiszesz, przetwarzam Twój numer telefonu lub adres e-mail, imię, jeśli je podasz, oraz treść naszej rozmowy albo wiadomości.
Podstawa prawna: art. 6 ust. 1 lit. b RODO, jeśli kontakt zmierza do umówienia wizyty, albo art. 6 ust. 1 lit. f RODO, czyli prowadzenie bieżącej korespondencji. Jeśli w wiadomości sama opiszesz swoje dolegliwości, przetwarzam te informacje na podstawie art. 9 ust. 2 lit. h RODO w związku z art. 9 ust. 3 RODO, gdy kontakt prowadzi do udzielenia świadczenia.
Prośba praktyczna. Zwykła poczta elektroniczna nie jest kanałem w pełni bezpiecznym. Nie przesyłaj mi mailem szczegółowych informacji o stanie zdrowia, wyników badań ani dokumentacji medycznej. Spokojnie omówimy je na wizycie albo przez telefon.
3.3. Rezerwacja wizyty online
Rezerwacja odbywa się w module zewnętrznego systemu rezerwacji, osadzonym na stronie i opisanym w punkcie 9. Podajesz w nim imię i nazwisko, numer telefonu, adres e-mail, wybraną usługę i termin.
Podstawa prawna: art. 6 ust. 1 lit. b RODO, czyli czynności zmierzające do zawarcia i wykonania umowy o świadczenie usług fizjoterapeutycznych. Ponieważ sam wybór usługi mówi coś o Twoim zdrowiu, dodatkowo art. 9 ust. 2 lit. h RODO w związku z art. 9 ust. 3 RODO.
Podanie danych jest dobrowolne, ale bez nich rezerwacja online nie jest możliwa. Zawsze możesz umówić się telefonicznie.
3.4. Opieka fizjoterapeutyczna w gabinecie
Jeśli zostajesz moją pacjentką, przetwarzam dane niezbędne do prowadzenia dokumentacji medycznej: imię i nazwisko, PESEL albo datę urodzenia, adres, dane kontaktowe, dane przedstawiciela ustawowego lub osoby upoważnionej, a przede wszystkim informacje o Twoim zdrowiu, czyli wywiad, diagnostykę funkcjonalną, plan i przebieg terapii.
Podstawa prawna: art. 6 ust. 1 lit. c RODO w związku z art. 9 ust. 2 lit. h RODO oraz przepisami wskazanymi w punkcie 4. Podanie danych wymaganych w dokumentacji medycznej jest obowiązkiem ustawowym, bez nich nie mogę udzielić świadczenia.
3.5. Rozliczenia
Wystawiając dokumenty księgowe, przetwarzam dane niezbędne do rozliczeń. Podstawa prawna: art. 6 ust. 1 lit. c RODO w związku z art. 86 § 1 Ordynacji podatkowej.
4. Dane o zdrowiu, czyli dlaczego mogę je przetwarzać
Informacje, które powierzasz mi w gabinecie, należą do szczególnych kategorii danych osobowych z art. 9 RODO. Traktuję je z najwyższą starannością, bo wiem, jak osobiste potrafią być.
Mogę je przetwarzać na podstawie art. 9 ust. 2 lit. h RODO, czyli w celu profilaktyki zdrowotnej, diagnozy i zapewnienia opieki zdrowotnej, w związku z art. 9 ust. 3 RODO oraz przepisami prawa polskiego:
- art. 5 ust. 1 i ust. 2 pkt 2 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej,
- art. 24 ust. 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta,
- art. 9 pkt 3 i 4 ustawy z dnia 25 września 2015 r. o zawodzie fizjoterapeuty,
- art. 13 i art. 14 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta.
Jako fizjoterapeutka jestem osobą objętą ustawowym obowiązkiem zachowania tajemnicy zawodowej, co spełnia warunek z art. 9 ust. 3 RODO.
Jeżeli kiedykolwiek miałabym wykorzystać Twoje dane poza opieką fizjoterapeutyczną, na przykład opublikować zdjęcie albo opinię, poproszę Cię wcześniej o osobną, wyraźną zgodę na podstawie art. 9 ust. 2 lit. a RODO. Taką zgodę możesz w każdej chwili wycofać.
5. Dokumentacja medyczna
Mam ustawowy obowiązek prowadzenia dokumentacji medycznej. Dla fizjoterapeuty jej rodzaje i wzory określa rozporządzenie Ministra Zdrowia z dnia 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania.
Dokumentację przechowuję przez 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu, zgodnie z art. 29 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. Ustawa przewiduje przypadki szczególne z innym okresem, między innymi 30 lat w razie zgonu pacjenta wskutek uszkodzenia ciała lub zatrucia, 22 lata dla dokumentacji dzieci do ukończenia 2. roku życia oraz 5 lat dla skierowań na badania i zleceń lekarza. Po upływie tych okresów dokumentacja jest niszczona w sposób uniemożliwiający identyfikację pacjenta.
6. Komu przekazuję dane
6.1. Dostawcy usług
- Cloudflare, Inc. (101 Townsend St., San Francisco, USA), hosting i udostępnianie strony internetowej. Przetwarza techniczne dane połączenia, w tym adres IP, na warunkach Cloudflare Data Processing Addendum.
- Operator systemu rezerwacji zarejestrowani.pl, obsługa rezerwacji terminów. Szczegóły w punkcie 9.
- Google, w zakresie, w jakim korzystam z poczty elektronicznej Gmail do prowadzenia korespondencji.
- Biuro rachunkowe, w zakresie dokumentów księgowych.
- Google oraz dostawcy sieci dostarczania treści, w zakresie połączeń wykonywanych wewnątrz modułu rezerwacji, jeżeli wyrazisz na niego zgodę. Otrzymują wówczas Twój adres IP i dane techniczne przeglądarki. Pełną, zmierzoną listę podaję w polityce cookies.
6.2. Podmioty uprawnione na podstawie przepisów prawa
Dokumentacja medyczna może być udostępniona podmiotom wskazanym w art. 26 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta, między innymi Tobie i osobie przez Ciebie upoważnionej, innym podmiotom udzielającym świadczeń zdrowotnych, gdy jest to niezbędne dla ciągłości leczenia, sądom, prokuraturze, Rzecznikowi Praw Pacjenta oraz zakładom ubezpieczeń za Twoją zgodą.
Nie przekazuję danych podmiotom reklamowym ani marketingowym. Nigdy.
6.3. Przekazywanie danych poza Europejski Obszar Gospodarczy
Część dostawców, z których usług korzystam, ma siedzibę w Stanach Zjednoczonych albo korzysta z infrastruktury poza EOG. Dotyczy to w szczególności Cloudflare oraz usług Google. Przekazanie danych odbywa się na podstawie:
- decyzji wykonawczej Komisji Europejskiej (UE) 2023/1795 z dnia 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony w ramach EU-U.S. Data Privacy Framework, wobec dostawców posiadających aktualną certyfikację w tym programie (art. 45 RODO), oraz
- standardowych klauzul umownych przyjętych decyzją wykonawczą Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r., jako podstawy uzupełniającej lub samodzielnej (art. 46 ust. 2 lit. c RODO).
Kopię zabezpieczeń zastosowanych przy przekazaniu danych możesz uzyskać, kontaktując się ze mną. Śledzę postępowanie odwoławcze dotyczące decyzji o odpowiednim stopniu ochrony; w razie jej unieważnienia przekazania będą się opierać wyłącznie na standardowych klauzulach umownych.
7. Jak długo przechowuję dane
| Rodzaj danych | Okres | Dlaczego tyle |
|---|---|---|
| Dokumentacja medyczna | 20 lat od końca roku ostatniego wpisu | art. 29 ust. 1 ustawy o prawach pacjenta |
| Dokumenty księgowe | 5 lat od końca roku, w którym upłynął termin płatności podatku | art. 86 § 1 Ordynacji podatkowej |
| Korespondencja niezakończona wizytą | do 12 miesięcy od ostatniej wiadomości | bieżąca obsługa zapytania |
| Dane rezerwacyjne w systemie online | do 12 miesięcy od terminu wizyty; jeżeli wizyta się odbyła, dane trafiają do dokumentacji medycznej i podlegają jej okresowi | obsługa kalendarza wizyt, usunięcie na moje polecenie |
| Dane przetwarzane na podstawie zgody | do czasu wycofania zgody | art. 7 ust. 3 RODO |
8. Twoje prawa
Przysługuje Ci prawo dostępu do danych i otrzymania ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, wniesienia sprzeciwu oraz cofnięcia zgody, jeżeli przetwarzanie odbywa się na jej podstawie. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania sprzed cofnięcia.
Ograniczenia wobec dokumentacji medycznej, uczciwie
Nawet jeśli o to poprosisz, nie mogę usunąć dokumentacji medycznej z Twojej terapii. To nie jest moja decyzja: obowiązek przechowywania jej przez 20 lat nakłada na mnie ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta. RODO wprost przewiduje taką sytuację w art. 17 ust. 3 lit. b i lit. c.
Ten przepis chroni również Ciebie. Dokumentacja jest dowodem tego, jak przebiegała Twoja terapia, i może być potrzebna Tobie, kolejnemu terapeucie albo lekarzowi nawet po latach.
Możesz natomiast żądać usunięcia danych przetwarzanych na innej podstawie, na przykład rezerwacji, która nie zakończyła się wizytą, albo korespondencji niezwiązanej ze świadczeniem.
Podobnie ograniczone jest prawo do przenoszenia danych, które dotyczy przetwarzania opartego na zgodzie lub umowie, oraz prawo sprzeciwu, które nie obejmuje przetwarzania wynikającego z obowiązku prawnego. Błędnego wpisu w dokumentacji nie usuwa się, lecz skreśla w sposób pozostawiający go czytelnym, z datą i podpisem, tak nakazuje rozporządzenie o dokumentacji medycznej.
Brak profilowania
Nie podejmuję wobec Ciebie decyzji w sposób wyłącznie zautomatyzowany i nie profiluję Cię. Nie stosuję narzędzi, które oceniałyby Cię automatycznie ani przewidywały Twoje zachowania.
Jak zgłosić żądanie
Wystarczy, że napiszesz albo zadzwonisz. Odpowiadam bez zbędnej zwłoki, nie później niż w terminie miesiąca. Jeżeli sprawa okaże się skomplikowana, mogę przedłużyć ten termin o kolejne dwa miesiące, informując Cię o tym w ciągu pierwszego miesiąca wraz z podaniem przyczyn. Realizacja Twoich praw jest bezpłatna.
Skarga
Jeżeli uznasz, że przetwarzam Twoje dane niezgodnie z prawem, możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.
W sprawach dotyczących praw pacjenta, w tym prawa do tajemnicy i dostępu do dokumentacji medycznej, możesz zwrócić się także do Rzecznika Praw Pacjenta, bezpłatna infolinia 800 190 590, gov.pl/web/rpp.
9. Moduł rezerwacji osadzony na stronie
W sekcji „Umów wizytę online" osadzony jest moduł zewnętrznego systemu rezerwacji zarejestrowani.pl. Nie jest to mój kod, tylko ramka z systemem jego operatora.
Moduł nie wczytuje się bez Twojej zgody. Dopóki jej nie wyrazisz, Twoja przeglądarka nie łączy się z serwerami operatora modułu ani z jego dostawcami, a w miejscu kalendarza widnieje informacja z przyciskiem. Kontakt z infrastrukturą hostingową, która dostarcza Ci tę stronę, zachodzi zawsze i opisuję go w punkcie 3.1. Zgodę udzielisz i wycofasz w panelu Ustawienia cookies, dostępnym w stopce każdej podstrony.
Podstawą wczytania modułu i związanego z tym przekazania Twojego adresu IP dostawcy oraz usługom Google jest Twoja zgoda: art. 6 ust. 1 lit. a RODO, a ponieważ samo zainteresowanie ofertą gabinetu może wskazywać na informacje o zdrowiu, także art. 9 ust. 2 lit. a RODO, w związku z art. 399 i art. 400 ustawy Prawo komunikacji elektronicznej. Zgodę możesz wycofać w każdej chwili, bez wpływu na zgodność z prawem przetwarzania sprzed wycofania (art. 7 ust. 3 RODO). Odmowa nie ogranicza dostępu do żadnej treści, a wizytę umówisz telefonicznie.
Po wczytaniu modułu Twoja przeglądarka łączy się z serwerami operatora i jego dostawców, a operator może zapisać w Twoim urządzeniu własne dane, w tym w pamięci lokalnej przeglądarki. Szczegółowy, zmierzony opis znajdziesz w polityce cookies.
Dane, które podajesz w formularzu rezerwacji, są mi potrzebne do umówienia wizyty i przetwarzam je jako administrator. Operator systemu przetwarza je w celu obsługi rezerwacji oraz, w zakresie funkcjonowania własnego serwisu, na zasadach określonych we własnej polityce prywatności, dostępnej pod adresem zarejestrowani.pl.
10. Statystyki i pliki cookies
Ta strona nie prowadzi statystyk odwiedzin i nie zapisuje własnych plików cookies. Pełny, zmierzony opis tego, co dzieje się w Twojej przeglądarce, oraz informację o planach na przyszłość znajdziesz w osobnym dokumencie: polityka cookies.
11. Bezpieczeństwo
Połączenie ze stroną jest szyfrowane protokołem HTTPS. Dokumentację medyczną i dane pacjentek zabezpieczam przed dostępem osób nieupoważnionych, a wszystkie informacje, które mi powierzasz, obejmuje tajemnica zawodowa fizjoterapeuty.
12. Zmiany polityki
Ta polityka może się zmieniać, na przykład w razie zmiany przepisów, wdrożenia nowych narzędzi na stronie albo zmiany dostawców usług. O każdej zmianie poinformuję, publikując nową wersję dokumentu wraz z numerem wersji i datą wejścia w życie. Zmiany istotne, dotyczące celów przetwarzania, podstaw prawnych, odbiorców danych albo okresów przechowywania, wejdą w życie nie wcześniej niż 14 dni od opublikowania.