Informacja o przetwarzaniu danych osobowych

5.1. Administrator danych

Administratorem danych osobowych w zakresie opisanym w niniejszym dokumencie są wspólnicy spółki cywilnej działający wspólnie w ramach: Plaster Miodu Aleksandra Lutoborska, Adam Lis s.c.

5.2. Zakres danych i rozdzielenie sfery administracyjnej od terapeutycznej

Ośrodek przetwarza przede wszystkim dane potrzebne do obsługi zgłoszeń, organizacji wizyt i rozliczeń. W zależności od sytuacji mogą to być:

• dane identyfikacyjne i kontaktowe pacjenta oraz — przy osobach małoletnich — rodziców/opiekunów;
• dane płatników i osób powiązanych z pacjentem w zakresie potrzebnym do kontaktu lub rozliczeń;
• przypisany terapeuta, rodzaj pomocy, lokalizacja, pseudonimizowane oznaczenia kalendarzowe, terminy i historia wizyt, statusy odwołań i rozliczeń;
• numery rachunków bankowych użytych do płatności, opis transakcji, kwoty i dane konieczne do uzgodnienia płatności z wizytami;
• krótkie informacje organizacyjne wprowadzone przez biuro; nie powinny one zawierać opisu terapii, diagnozy ani klinicznych notatek;
• dane formularza internetowego: imię, telefon lub e-mail, opcjonalna wiadomość organizacyjna, preferowany typ terapii, terapeuta i lokalizacja;
• dane techniczne związane z korzystaniem ze strony, takie jak adres IP, informacje o urządzeniu/przeglądarce i logi bezpieczeństwa, w zakresie generowanym przez wykorzystywane usługi techniczne.

5.3. Cele i podstawy prawne

Dane osobowe przetwarzane są przez Administratora w następujących celach i na następujących podstawach prawnych:

1. Kontakt wstępny i obsługa zgłoszenia:
   Podstawa prawna: art. 6 ust. 1 lit. b RODO — działania na żądanie osoby przed zawarciem umowy; w pomocniczym zakresie art. 6 ust. 1 lit. f RODO — sprawna i bezpieczna komunikacja.
2. Organizacja i realizacja usług:
   Podstawa prawna: art. 6 ust. 1 lit. b RODO — wykonanie umowy, w tym terminy, kontakt organizacyjny i administracja wizyt.
3. Rozliczenia, podatki i księgowość:
   Podstawa prawna: art. 6 ust. 1 lit. c RODO — obowiązki prawne Administratora.
4. Ustalenie, dochodzenie lub obrona roszczeń:
   Podstawa prawna: art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora; jeżeli konieczne są dane szczególnej kategorii — art. 9 ust. 2 lit. f RODO.
5. Ograniczone dane dotyczące zdrowia:
   Podstawa prawna: art. 9 ust. 2 lit. h RODO w zw. z art. 9 ust. 3 RODO — przetwarzanie niezbędne do celów opieki zdrowotnej, realizowane przez osoby objęte obowiązkiem zachowania tajemnicy zawodowej; uzupełniająco art. 9 ust. 2 lit. a RODO — wyraźna zgoda w zakresie wykraczającym poza powyższe.
6. Newsletter:
   Podstawa prawna: art. 6 ust. 1 lit. a RODO i właściwe przepisy dotyczące komunikacji elektronicznej — dobrowolna zgoda, którą można wycofać.
7. Bezpieczeństwo strony / Turnstile / logi:
   Podstawa prawna: art. 6 ust. 1 lit. f RODO — ochrona serwisu, formularzy i infrastruktury przed nadużyciami.
8. Google Analytics / Google Ads:
   Podstawa prawna: wyłącznie po uzyskaniu wymaganej zgody użytkownika w mechanizmie zarządzania cookies; brak personalizacji reklam po stronie konfiguracji Ośrodka.

5.4. Dane dotyczące zdrowia

Sam fakt zgłoszenia do psychologa/psychoterapeuty, wybór rodzaju pomocy lub informacja o regularnym korzystaniu z terapii może ujawniać dane dotyczące zdrowia. Dlatego Ośrodek traktuje tę kategorię danych jako szczególnie chronioną nawet wtedy, gdy nie zna treści procesu terapeutycznego.

5.5. Źródła danych

Co do zasady dane pozyskujemy bezpośrednio od pacjenta lub jego przedstawiciela ustawowego. W niektórych przypadkach dane mogą pochodzić także od:

• drugiego rodzica/opiekuna lub osoby dokonującej zgłoszenia w imieniu pacjenta;
• płatnika lub banku — w zakresie danych wynikających z przelewu i rozliczenia;
• terapeuty — wyłącznie w zakresie informacji organizacyjnych potrzebnych biuru (np. zmiana terminu, decyzja o nienaliczaniu opłaty);
• Google Calendar — w zakresie informacji o terminach i oznaczeniach wydarzeń udostępnionych Ośrodkowi do obsługi grafiku;
• innego specjalisty lub instytucji wyłącznie wtedy, gdy istnieje ku temu właściwa podstawa prawna i zakres przekazania jest zgodny z prawem.

5.6. Odbiorcy danych i dostawcy usług

Dane mogą być ujawniane wyłącznie w zakresie niezbędnym do danego celu. Odbiorcami lub podmiotami przetwarzającymi mogą być w szczególności:

• terapeuta prowadzący — w zakresie danych organizacyjnych niezbędnych do umówienia i przeprowadzenia spotkań; w odniesieniu do własnej dokumentacji terapeutycznej terapeuta występuje jako odrębny administrator danych, a nie odbiorca danych Administratora — Ośrodek nie ma do tej dokumentacji dostępu ani nie decyduje o celach i sposobach jej przetwarzania;
• Hetzner Online GmbH — infrastruktura serwerowa CMS i bazy danych; serwery zlokalizowane na terytorium Unii Europejskiej (Niemcy / Finlandia);
• Google Ireland Limited / Google LLC — Google Workspace, poczta i Google Calendar; po zgodzie użytkownika także narzędzia analityczne i reklamowe;
• Cloudflare, Inc. — hosting/obsługa strony i zabezpieczenie formularzy (m.in. Turnstile);
• Brevo / Sendinblue SAS — poczta transakcyjna związana z formularzem internetowym oraz newsletter;
• Backblaze, Inc. — przechowywanie zaszyfrowanych kopii zapasowych CMS; kopie są szyfrowane przed wysłaniem do usługi zewnętrznej;
• biuro księgowe, banki, operatorzy płatności oraz inne podmioty, którym dane muszą być przekazane na podstawie prawa lub w celu rozliczenia usługi.

5.7. Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG)

Część wykorzystywanych dostawców technologicznych działa globalnie. W związku z tym określone dane — zwłaszcza dane techniczne, komunikacyjne lub kopie zapasowe — mogą w konkretnych przypadkach być przetwarzane poza Europejskim Obszarem Gospodarczym.

Jeżeli dochodzi do takiego transferu, Administrator stosuje mechanizmy przewidziane w rozdziale V RODO, odpowiednio do danej usługi, w szczególności decyzje Komisji Europejskiej stwierdzające odpowiedni stopień ochrony, standardowe klauzule umowne zatwierdzone przez Komisję Europejską oraz wymagane zabezpieczenia dodatkowe — w tym decyzję wykonawczą Komisji Europejskiej dotyczącą EU-US Data Privacy Framework, do którego przystąpili wykorzystywani dostawcy amerykańscy. Informację o stosowanych zabezpieczeniach można uzyskać, kontaktując się z Administratorem.

5.8. Okres przechowywania

Dane osobowe przechowywane są przez okresy uzależnione od celu ich przetwarzania:

• dane potrzebne do obsługi zgłoszenia, które nie zakończyło się zawarciem umowy — przez okres niezbędny do udzielenia odpowiedzi i zamknięcia ustaleń organizacyjnych, nie dłużej niż 12 miesięcy od ostatniego kontaktu;
• dane organizacyjne związane z terapią — przez czas trwania współpracy, a następnie przez okres niezbędny do rozliczenia usług i ochrony przed roszczeniami;
• dane księgowe i podatkowe — przez okres wymagany przepisami, co do zasady 5 lat liczonych od końca roku kalendarzowego, w którym upłynął termin płatności podatku;
• dane przetwarzane na podstawie zgody — do jej wycofania lub ustania celu; cofnięcie zgody nie wpływa na wcześniejsze zgodne z prawem przetwarzanie;
• dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń — do upływu właściwego okresu przedawnienia;
• dane newslettera — do chwili wycofania zgody / rezygnacji z subskrypcji;
• wybór ustawień cookies na stronie — jest obecnie zapamiętywany przez okres do 365 dni, po czym użytkownik może zostać ponownie poproszony o wybór;
• korespondencja e-mail potwierdzająca zawarcie umowy, przekazanie dokumentów i złożone oświadczenia — przez okres przedawnienia roszczeń wynikających z umowy.

5.9. Prawa osoby, której dane dotyczą

W zależności od podstawy i charakteru przetwarzania przysługuje Ci prawo do:

• dostępu do danych i uzyskania ich kopii,
• sprostowania danych,
• usunięcia danych,
• ograniczenia przetwarzania,
• przenoszenia danych,
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.

Jeżeli przetwarzanie odbywa się na podstawie zgody, zgodę można wycofać w dowolnym momencie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Przysługuje również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

5.10. Dobrowolność podania danych i konsekwencje ich niepodania

Podanie danych potrzebnych do odpowiedzi na zgłoszenie, umówienia wizyty, zawarcia i wykonania umowy oraz rozliczenia usługi jest dobrowolne, ale ich niepodanie może uniemożliwić wykonanie tych czynności. Dane oznaczone jako opcjonalne nie są warunkiem otrzymania pomocy.

Zgoda newsletterowa oraz zgody analityczne/reklamowe na stronie są całkowicie dobrowolne i nie wpływają na możliwość korzystania z usług Ośrodka.

5.11. Zautomatyzowane podejmowanie decyzji i profilowanie

Ośrodek nie podejmuje wobec pacjentów decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nich wpływały. Ośrodek nie wykorzystuje danych pacjentów do automatycznego profilowania terapeutycznego.

Narzędzia analityczne i pomiar reklam na stronie są uruchamiane zgodnie z wyborem użytkownika dotyczącym cookies.

5.12. Strona internetowa, cookies i formularz kontaktowy

1. Mechanizmy techniczne i ochrona formularzy: Strona korzysta z niezbędnych mechanizmów technicznych potrzebnych do działania serwisu i zabezpieczenia formularzy. Cloudflare Turnstile służy do ochrony przed botami i spamem.
2. Narzędzia analityczne i pomiar reklam: Google Analytics i pomiar Google Ads są uruchamiane dopiero po udzieleniu odpowiedniej zgody w banerze cookies. Ośrodek nie włącza personalizacji reklam ani remarketingu w opisanym mechanizmie.
3. Formularz kontaktowy: Formularz kontaktowy jest formularzem wstępnego zgłoszenia, a nie samodzielnym mechanizmem zawierania odpłatnej umowy o konkretną wizytę. Dane z formularza są przekazywane przez infrastrukturę Cloudflare i Brevo do skrzynki Ośrodka.
4. Informacje o plikach cookies: Szczegółowe informacje o plikach cookies i możliwości zmiany wyboru znajdują się w dokumencie: Polityka cookies.

5.13. Zasada minimalizacji i bezpieczeństwa

5.14. Kontakt i zmiany informacji

Pytania dotyczące przetwarzania danych można kierować na adres e-mail: osrodek@plastermiodu.waw.pl.

Informacja może być aktualizowana, jeżeli zmienią się przepisy, sposób działania Ośrodka lub wykorzystywani dostawcy. Aktualna wersja jest dostępna na stronie internetowej Ośrodka pod adresem plastermiodu.waw.pl/polityka-prywatnosci.

Wersja z 6 września 2026 r.