Polityka prywatności

1. Kto jest administratorem

Rozdział ról jest tu istotny i nie jest formalnością.

Administratorem danych pacjentów jest praktyka, a Appointomat jest podmiotem przetwarzającym, który działa na jej polecenie. Pacjent, który umawia wizytę, jest w relacji z gabinetem, a nie z nami; to gabinet decyduje, po co dane zbiera i jak długo je trzyma, w granicach, które opisuje umowa powierzenia.

Administratorem danych osoby, która zakłada konto i prowadzi praktykę, jesteśmy my. Ta sama polityka opisuje więc dwie różne rzeczy, i przy każdej kategorii danych niżej jest napisane, o którą chodzi.

Administrator w tym drugim znaczeniu to Nikita Cherevko, osoba fizyczna prowadząca działalność na terytorium Rzeczypospolitej Polskiej. Kontakt: nikita@appointomat.com. Pełne dane identyfikacyjne: informacja o usługodawcy.

Nie wyznaczono inspektora ochrony danych - nie zachodzi żadna z przesłanek art. 37 RODO.

2. Jakie dane trafiają do systemu

Dane pacjentów (administrator: praktyka)

Termin wizyty u fizjoterapeuty jest daną dotyczącą zdrowia w rozumieniu art. 9 RODO, nawet jeśli nie ma przy nim żadnej notatki - sama osoba specjalisty ujawnia informację o stanie zdrowia przez wnioskowanie. Zakres jest z tego powodu zamknięty: kto, kiedy, u kogo, jaka usługa i czy wizyta się odbyła.

Wyjątkiem są gabinety działające w Polsce, które mogą prowadzić przy pacjencie notatki wewnętrzne, a na własny wniosek także dokumentację medyczną: dane identyfikacyjne (PESEL albo dokument tożsamości, adres), oświadczenia pacjenta, wpisy o badaniu i przebiegu terapii z kodami rozpoznań i procedur, załączniki oraz rejestr udostępnień dokumentacji. Wpisy widzą wyłącznie osoby prowadzące wizyty i właściciel gabinetu - nie widzi ich rejestracja, a żadne nasze narzędzie administracyjne nie wyświetla ich treści. Każdy odczyt dokumentacji jest zapisywany w dzienniku dostępnym dla gabinetu. Gabinety spoza Polski tych pól nie mają.

Poza dokumentacją medyczną nie ma pola na rozpoznanie ani na PESEL, a pola na dane ubezpieczenia nie ma wcale. Data urodzenia jest nieobowiązkowa; adres zamieszkania mogą zapisać wyłącznie gabinety w Polsce.

Pełna lista pól:

Nazwa usługi widoczna w SMS-ie jest osobnym polem, które domyślnie brzmi neutralnie ("wizyta"), żeby przypomnienie nie wyświetlało rozpoznania na ekranie blokady. Gabinet może je zmienić i wtedy jest to jego decyzja.

Dane osoby prowadzącej praktykę i osób w niej pracujących (administrator: my)

Adres e-mail i identyfikator konta w Google Firebase Auth, nazwa praktyki, jej adres strony rezerwacji, strefa czasowa, waluta, wybrany plan oraz imię i nazwisko widoczne dla pacjentów na stronie rezerwacji. Dodatkowo dzienniki techniczne z identyfikatorem praktyki i konta, opisane w punkcie 6, oraz godzina ostatniego użycia każdego konta, z dokładnością do godziny. Przez 90 dni zapisujemy też, które ekrany aplikacji były otwarte i jak długo, oraz jakiego rodzaju zmiany wprowadzono i czy się udały - jako nazwy ekranów i funkcji (np. „godziny pracy: zapisanie”), nigdy z treścią, wyszukiwaniem ani danymi pacjentów. Dzięki temu wiemy, gdzie nowa praktyka utknęła, możemy zaproponować pomoc i poprawić produkt (prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO). Nie korzystamy przy tym z narzędzi zewnętrznych ani z nagrywania ekranu.

Konta osób pracujących w praktyce. Osoba prowadząca praktykę może zaprosić inne osoby - adresem e-mail, z przypisaną rolą (pełne uprawnienia, kalendarz i usługi albo recepcja) i opcjonalnie kalendarzem. Przechowujemy wtedy ten adres, imię i nazwisko tej osoby, rolę, kto i kiedy wysłał zaproszenie, do kiedy jest ważne (7 dni) i czy zostało przyjęte albo odrzucone, a po przyjęciu identyfikator konta w Google Firebase Auth. Link w zaproszeniu przechowujemy wyłącznie jako skrót kryptograficzny. Zaproszenie, którego nikt nie przyjął, jest usuwane, gdy praktyka je odwoła. Konto, które było używane, po odwołaniu dostępu zostaje w systemie bez możliwości logowania, bo notatki wpisane przez tę osobę są podpisane jej kontem; praktyka może dostęp przywrócić. Jedno konto należy do jednej praktyki.

Zapis akceptacji dokumentów. Kiedy osoba prowadząca praktykę akceptuje regulamin i umowę powierzenia, zapisywane są: identyfikator i adres e-mail tej osoby, nazwa dokumentu, jego wersja oraz data i godzina. Zapis służy wyłącznie wykazaniu, kto i kiedy przyjął daną wersję, jest przechowywany bezterminowo i nie jest usuwany wraz z kontem - dokument bez dowodu przyjęcia nie dowodzi niczego.

Dane z formularza kontaktowego na tej stronie (administrator: my)

Imię, adres e-mail, nazwa praktyki, treść wiadomości i to, w której wersji językowej strony formularz został wypełniony. Trafiają do osobnej bazy, niepowiązanej z bazą produktu.

3. Podstawy prawne

4. Kto jeszcze przetwarza te dane

Dostawca hostingu aplikacji, dostawca bazy danych, bramka SMS, dostawca poczty i uwierzytelnianie kont pracowników praktyki.

Pełna lista z nazwami, rolami i lokalizacjami, wraz z zasadami jej zmiany, znajduje się na osobnej stronie: podprocesorzy. Lista jest tam, a nie tutaj, żeby jej aktualizacja nie wymagała zmiany całej polityki - a każda zmiana jest zapowiadana z 30-dniowym wyprzedzeniem na zasadach z punktu 6 umowy powierzenia.

Poza tym dane mogą być ujawnione organom uprawnionym na podstawie przepisów prawa oraz doradcom zawodowo zobowiązanym do zachowania poufności.

5. Gdzie dane są przechowywane

Dane pacjentów - wyłącznie na terenie Europejskiego Obszaru Gospodarczego. Baza danych i aplikacja znajdują się w Belgii. Wiadomości SMS wysyła dostawca z siedzibą w Irlandii, a pocztę dostawca z siedzibą we Francji.

Nie przekazujemy danych pacjentów poza EOG. Gdyby stało się to konieczne, wymagałoby to wcześniejszej zmiany listy podprocesorów, a więc powiadomienia z 30-dniowym wyprzedzeniem i wskazania podstawy przekazania.

Logowanie personelu jest jedynym przekazaniem. Adres e-mail i identyfikator konta osób pracujących w praktyce (punkt 2) przetwarza Google Firebase Authentication, usługa działająca wyłącznie w centrach danych w Stanach Zjednoczonych. Podstawą przekazania jest decyzja Komisji o adekwatności dla Ram ochrony danych UE-USA, w których uczestniczy Google LLC, a uzupełniająco standardowe klauzule umowne z warunków przetwarzania danych Google. Dane pacjentów nie przechodzą przez tę usługę.

Wyjątek dotyczy praktyk spoza EOG, które korzystają z usługi: udostępnienie danych takiej praktyce jest przekazaniem, dla którego podstawą są standardowe klauzule umowne. Mówi o tym umowa zawierana z taką praktyką, nie ta polityka.

6. Jak długo

7. Prawa osoby, której dane dotyczą

Każdej osobie przysługuje prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie.

Pacjent kieruje żądanie do gabinetu, a nie do nas - to gabinet jest administratorem jego danych i to on ocenia żądanie. My dostarczamy narzędzia: gabinet może z poziomu aplikacji pobrać komplet danych jednego pacjenta w formacie do odczytu maszynowego oraz w postaci do wydruku, a także trwale je usunąć. Obie czynności są dostępne wyłącznie dla właściciela praktyki, bo odpowiedź na żądanie osoby, której dane dotyczą, jest odpowiedzią gabinetu na żądanie prawne, a nie codzienną czynnością rejestracji.

Jeżeli przy pacjencie istnieje dokumentacja medyczna, usunięcie zastępuje archiwizacja - obowiązek przechowywania dokumentacji wyłącza prawo do usunięcia danych (art. 17 ust. 3 lit. b RODO). Archiwizacja usuwa dane kontaktowe i wpisy na liście oczekujących, a dokumentację zachowuje do końca okresu przechowywania; po nim gabinet może ją zniszczyć.

Usunięcie danych pacjenta usuwa także jego wizyty - nie zastępuje ich zapisem bez nazwiska. To, co jest usuwane, to fakt "ta osoba była na wizycie we wtorek o 14:00", a wiersz, który zachowuje godzinę i traci nazwisko, nie usuwa tego faktu, tylko etykietę na nim. Praktyka traci przez to te godziny ze swoich statystyk i jest to świadomy koszt tej decyzji.

Osoba prowadząca praktykę kieruje swoje żądania na adres z punktu 1.

Organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa. Każdej osobie przysługuje prawo wniesienia do niego skargi.

8. Pliki cookie i pomiar ruchu

Bez Twojej zgody ta strona nie zapisuje niczego w Twojej przeglądarce i nie wczytuje niczego od Google. Zgody dotyczy jedna rzecz: tag Google Ads.

Przy pierwszej wizycie strona pyta, czy wczytać tag Google Ads. Odmowa jest tak samo łatwa jak zgoda; bez zgody do Google nie trafia żadne zapytanie. Po zgodzie Google Ireland Limited zapisuje pliki cookie (_gcl_*) i dowiaduje się, że wizyta z reklamy zakończyła się kliknięciem „Załóż konto” - wyłącznie po to, żeby policzyć, ile kont przynosi kampania. Personalizacja reklam pozostaje wyłączona. Podstawą jest zgoda (art. 6 ust. 1 lit. a RODO i art. 173 ust. 1 Prawa komunikacji elektronicznej). Możesz ją wycofać w każdej chwili linkiem „Ustawienia cookies” w stopce; wycofanie usuwa te pliki cookie. Google przetwarza te dane jako odrębny administrator, na zasadach własnej polityki prywatności, i może przekazywać je do USA na podstawie EU-US Data Privacy Framework. Samą odpowiedź zapisujemy w pamięci przeglądarki, żeby nie pytać na każdej stronie - to jest niezbędne i zgody nie wymaga.

Po zgodzie strona zapamiętuje też w przeglądarce, najdłużej przez 90 dni, identyfikator kliknięcia reklamy (gclid) i oznaczenia kampanii (utm_*) z adresu, pod który prowadziła reklama, i dołącza je do linku „Załóż konto”. Gdy konto zostanie założone, zapisujemy je razem z praktyką i przekazujemy Google sam identyfikator kliknięcia z czasem założenia konta - żeby kampania liczyła założone konta, a nie kliknięcia. Podstawą jest ta sama zgoda; jej wycofanie usuwa je z przeglądarki. Zapisane przy praktyce znikają razem z nią.

Mierzymy ruch przy użyciu Umami - programu, który uruchamiamy sami, w Google Cloud w Belgii (region europe-west1); dane nie trafiają do jego autorów. Pomiar nie ustawia plików cookie i nie korzysta z pamięci przeglądarki; odwiedzający są liczeni na podstawie skrótu wyliczanego po stronie serwera z adresu IP i nagłówka przeglądarki razem z kluczem zmienianym co dobę. Sam adres IP nie jest zapisywany: służy do ustalenia przybliżonej lokalizacji i jest odrzucany. Z każdym odczytem zapisywane są: czas, adres i tytuł podstrony, czas czytania podstrony widocznej na ekranie, jako przedział, np. 30-60 sekund, i dopiero po 10 sekundach, adres strony odsyłającej, parametry zapytania, kraj, region i miasto, język przeglądarki, system operacyjny, przeglądarka i typ urządzenia, a także kliknięcia w „Załóż konto” i w stronę demonstracyjną, otwarte pytania z sekcji FAQ oraz temat wysłanego formularza kontaktowego (bez jego treści). Przeglądarka wysyłająca sygnał Do Not Track albo Global Privacy Control nie jest liczona.

Ponieważ nic nie jest zapisywane ani odczytywane z Twojego urządzenia, nie ma zastosowania wymóg zgody z art. 173 ustawy Prawo komunikacji elektronicznej. Sam skrót pozostaje przetwarzaniem danych osobowych w rozumieniu RODO i odbywa się na podstawie uzasadnionego interesu, którym jest wiedza o tym, które strony są czytane. Możesz wnieść sprzeciw na adres z punktu 1.

W aplikacji dla praktyki jest inaczej i jest to opisane osobno. Aplikacja pod adresem app.appointomat.com zapisuje w przeglądarce token uwierzytelniający oraz trzy drobne ustawienia tego urządzenia: wybrany język, ukrycie listy zadań początkowych i wybrany plan w trakcie zakładania konta. Wszystkie są niezbędne albo ustawiane na wyraźne życzenie i żadne nie służy śledzeniu ani nie opuszcza przeglądarki. W trakcie zakładania konta przechowuje też oznaczenia reklamy opisane wyżej - tylko gdy na tej stronie padła zgoda. Publiczne strony rezerwacji nie zapisują niczego w przeglądarce.

Publiczne strony rezerwacji gabinetów nie korzystają z tego pomiaru. Liczymy tam tylko wejścia na pierwszą stronę rezerwacji z zewnątrz, żeby wiedzieć, czy jej promowanie przynosi odwiedziny. Każde wejście to jeden zapis: czas, gabinet, domena strony odsyłającej (bez adresu podstrony), parametry utm_source, utm_medium i utm_campaign z linku, jeżeli je zawiera, oraz kraj, ustalany z adresu IP na naszym serwerze na podstawie bazy DB-IP (IP Geolocation by DB-IP). Nie zapisujemy adresu IP, przeglądarki, urządzenia ani żadnego identyfikatora czy skrótu, więc taki zapis nie pozwala wskazać osoby ani połączyć dwóch jej wejść.

9. Zmiany

Zmiana tej polityki jest ogłaszana na tej stronie wraz z nową wersją i datą wejścia w życie.

Zmiana istotna - nowa kategoria danych, nowy cel, nowy podprocesor albo skrócenie zakresu praw - jest dodatkowo zapowiadana z wyprzedzeniem co najmniej 30 dni, mailem na adres przypisany do konta praktyki. Zmiana redakcyjna, która nie zmienia tego, co robimy z danymi, wchodzi w życie z chwilą publikacji.

Polityka prywatności jest informacją, a nie umową: nie wymaga akceptacji i jej zmiana nie wymaga od nikogo żadnego działania. Umową są regulamin i umowa powierzenia, a ich zmiana odbywa się na zasadach opisanych w każdym z nich.