Polityka prywatności

1. Informacje ogólne

Niniejsza Polityka prywatności wyjaśnia, w jaki sposób Klinika JA sp. z o.o. przetwarza dane osobowe pacjentów, klientów, użytkowników strony internetowej, osób korzystających z formularza kontaktowego, osób umawiających wizyty oraz innych osób kontaktujących się z Kliniką.

Klinika JA sp. z o.o. jest prywatnym podmiotem leczniczym prowadzącym działalność w zakresie medycyny estetycznej, konsultacji lekarskich, zabiegów medycznych oraz usług kosmetologicznych. W związku z tym, Klinika JA sp. z o.o. może przetwarzać zarówno zwykłe dane osobowe, jak i dane szczególne na przykład dane dotyczące zdrowia, dane zabiegowe, dane kosmetologiczne oraz dane zawarte w dokumentacji medycznej.

Klinika JA sp. z o.o. przetwarza dane osobowe zgodnie z przepisami prawa, w szczególności z RODO, przepisami dotyczącymi działalności leczniczej, praw pacjenta, dokumentacji medycznej, rachunkowości, podatków, świadczenia usług drogą elektroniczną oraz komunikacji elektronicznej.

2. Administrator danych osobowych

Administratorem danych osobowych jest:

Klinika JA sp. z o.o.
ul. Jaktorowska 8, lok. 6
01-202 Warszawa
KRS: 0001069085
NIP: 1182273163
telefon: +48 453 630 680
e-mail: info@klinikaja.pl

Kontakt z Administratorem jest możliwy:

• pisemnie — pod adresem: ul. Jaktorowska 8 lok. 6, 01-202 Warszawa;
• mailowo — pod adresem: info@klinikaja.pl;
• telefonicznie — pod numerem: +48 453 630 680;
• osobiście — w miejscu udzielania świadczeń, w godzinach pracy Kliniki.

3. Kontakt w sprawach ochrony danych osobowych.

W sprawach dotyczących ochrony danych osobowych można kontaktować się z Administratorem mailowo pod adresem: info@klinikaja.pl albo pisemnie pod adresem: ul. Jaktorowska 8, lok. 6, 01-202 Warszawa lub z Inspektorem Ochrony Danych osobowych pod adresem joanna.obara@adwokatura.pl lub telefonicznie pod numerem: +48 453 630 680.

4. Kogo dotyczy Polityka prywatności?

Polityka prywatności dotyczy w szczególności:

• pacjentów korzystających ze świadczeń zdrowotnych;
• osób korzystających z konsultacji, zabiegów medycyny estetycznej i usług kosmetologicznych;
• osób umawiających wizyty przez stronę internetową, telefon, e-mail, formularz kontaktowy, eGabinet, Booksy albo inny kanał kontaktu;
• osób kontaktujących się z Kliniką JA w celu zadania pytania, uzyskania informacji, zmiany terminu wizyty albo przekazania zgłoszenia;
• użytkowników strony internetowej;
• osób korzystających z profili Kliniki w mediach społecznościowych;
• kontrahentów oraz osób reprezentujących kontrahentów.

5. Jakie dane osobowe mogą być przetwarzane?

Zakres przetwarzanych danych zależy od celu kontaktu, rodzaju usługi, charakteru świadczenia oraz obowiązków prawnych Administratora.

Administrator może przetwarzać w szczególności:

• dane identyfikacyjne, takie jak imię, nazwisko, PESEL, data urodzenia, płeć, numer dokumentu tożsamości — jeżeli jest to niezbędne;
• dane kontaktowe, takie jak numer telefonu, adres e-mail, adres zamieszkania albo adres korespondencyjny;
• dane rejestracyjne i organizacyjne, takie jak termin wizyty, rodzaj usługi, wybrany specjalista, historia rezerwacji, treść zgłoszenia, potwierdzenie wizyty, odwołanie albo zmiana terminu;
• dane podane w formularzu kontaktowym, czyli imię i nazwisko, adres e-mail, numer telefonu oraz treść wiadomości;
• dane dotyczące zdrowia, w tym informacje o stanie zdrowia, chorobach, alergiach, przyjmowanych lekach, przeciwwskazaniach, ciąży, karmieniu piersią, przebytych zabiegach, wynikach badań, rozpoznaniach, zaleceniach, reakcjach pozabiegowych, możliwych powikłaniach oraz inne informacje potrzebne do bezpiecznego udzielenia świadczenia;
• dane kosmetologiczne i zabiegowe, w tym informacje o stanie skóry, rodzaju cery, wskazaniach i przeciwwskazaniach do zabiegu, dotychczasowych zabiegach, oczekiwaniach pacjenta lub klienta, planie zabiegowym i zaleceniach pielęgnacyjnych;
• dane zawarte w dokumentacji medycznej i dokumentacji zabiegowej;
• dane dotyczące osób upoważnionych przez pacjenta do uzyskiwania informacji o stanie zdrowia albo dostępu do dokumentacji medycznej;
• dane rozliczeniowe, w tym dane potrzebne do wystawienia faktury, rachunku, paragonu lub innego dokumentu księgowego;
• dane utrwalone w dokumentacji fotograficznej – w szczególności zdjęcia dokumentujące stan przed zabiegiem, obszar zabiegowy, przebieg leczenia, kontrolę pozabiegową albo efekt zabiegu;
• dane techniczne związane z korzystaniem ze strony internetowej, takie jak: adres IP, pliki cookies, informacje o urządzeniu, przeglądarce, systemie operacyjnym, aktywności na stronie oraz ustawieniach zgód cookies.

Formularz kontaktowy na stronie internetowej nie jest przeznaczony do przekazywania szczegółowej dokumentacji medycznej ani pilnych informacji o stanie zdrowia. Jeżeli jednak użytkownik samodzielnie poda w formularzu informacje dotyczące zdrowia, Administrator będzie je przetwarzał wyłącznie w zakresie niezbędnym do obsługi zgłoszenia, podjęcia działań przed wizytą, udzielenia świadczenia, ochrony praw Administratora lub osoby, której dane dotyczą.

6. Cele i podstawy prawne przetwarzania danych

1. Udzielanie świadczeń zdrowotnych

Dane osobowe, w tym dane dotyczące zdrowia, są przetwarzane w celu udzielania świadczeń zdrowotnych, przeprowadzenia konsultacji lekarskiej, kwalifikacji do zabiegu, wykonania zabiegu, zapewnienia bezpieczeństwa pacjenta, przekazania zaleceń oraz zachowania ciągłości opieki.

Podstawą prawną przetwarzania jest:

• art. 6 ust. 1 lit. c RODO — obowiązek prawny ciążący na Administratorze jako podmiocie leczniczym;
• art. 6 ust. 1 lit. b RODO — wykonanie umowy albo podjęcie działań przed jej zawarciem;
• art. 9 ust. 2 lit. h RODO — przetwarzanie danych dotyczących zdrowia niezbędne do celów profilaktyki zdrowotnej, diagnozy medycznej, zapewnienia opieki zdrowotnej lub leczenia.

2. Prowadzenie dokumentacji medycznej

Dane osobowe są przetwarzane w celu prowadzenia, przechowywania, zabezpieczania i udostępniania dokumentacji medycznej zgodnie z przepisami prawa.

Podstawą prawną przetwarzania jest art. 6 ust. 1 lit. c RODO oraz art. 9 ust. 2 lit. h RODO w związku z przepisami dotyczącymi praw pacjenta, dokumentacji medycznej oraz działalności leczniczej.

3. Usługi kosmetologiczne

Jeżeli dana usługa ma charakter kosmetologiczny, pielęgnacyjny, estetyczny lub organizacyjny i nie stanowi świadczenia zdrowotnego, dane są przetwarzane w celu wykonania usługi, kwalifikacji do usługi, ustalenia przeciwwskazań, zapewnienia bezpieczeństwa klienta, rozliczenia usługi oraz obsługi kontaktu.

Podstawą prawną przetwarzania jest:

• art. 6 ust. 1 lit. b RODO — wykonanie umowy albo podjęcie działań przed jej zawarciem;
• art. 6 ust. 1 lit. c RODO — realizacja obowiązków prawnych, w szczególności podatkowych i rachunkowych;
• art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na organizacji pracy, obsłudze klienta, zapewnieniu bezpieczeństwa usługi oraz ochronie przed roszczeniami;
• art. 9 ust. 2 lit. h RODO albo art. 9 ust. 2 lit. a RODO — jeżeli w związku z usługą konieczne jest przetwarzanie danych dotyczących zdrowia.

4. Rejestracja i obsługa wizyt

Dane osobowe są przetwarzane w celu umawiania, potwierdzania, zmiany i odwoływania wizyt, obsługi rezerwacji, przekazywania informacji organizacyjnych oraz zapewnienia prawidłowej organizacji pracy Kliniki.

Podstawą prawną przetwarzania jest:

• art. 6 ust. 1 lit. b RODO;
• art. 6 ust. 1 lit. c RODO;
• art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na sprawnej organizacji pracy i obsłudze pacjentów oraz klientów.

Rezerwacja wizyt może odbywać się także za pośrednictwem zewnętrznych platform, w szczególności eGabinet oraz Booksy. W takim przypadku dane mogą być przetwarzane również przez dostawców tych platform na zasadach określonych w ich własnych regulaminach i politykach prywatności.

5. Formularz kontaktowy, e-mail i telefon

Dane podane w formularzu kontaktowym, wiadomości e-mail albo rozmowie telefonicznej są przetwarzane w celu obsługi zgłoszenia, udzielenia odpowiedzi, kontaktu zwrotnego, umówienia wizyty albo podjęcia działań na żądanie osoby, której dane dotyczą.

Podstawą prawną przetwarzania jest:

• art. 6 ust. 1 lit. b RODO — jeżeli kontakt zmierza do zawarcia umowy, umówienia wizyty albo skorzystania z usługi;
• art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na obsłudze korespondencji i zapytań;
• art. 6 ust. 1 lit. c RODO — jeżeli kontakt dotyczy obowiązków prawnych Administratora;
• art. 9 ust. 2 lit. h RODO albo art. 9 ust. 2 lit. a RODO — jeżeli osoba kontaktująca się przekazuje dane dotyczące zdrowia.

Dane z formularza kontaktowego zapisują się w bazie strony internetowej oraz są wysyłane mailem do Kliniki.

Formularz kontaktowy nie służy do udzielania pilnych porad medycznych i nie zastępuje konsultacji lekarskiej. W stanach nagłych należy kontaktować się z numerem alarmowym 112 albo z właściwą jednostką pomocy medycznej.

6. Dokumentacja fotograficzna

Klinika JA sp. z o.o. może wykonywać dokumentację fotograficzną w celu udokumentowania stanu przed zabiegiem, kwalifikacji do zabiegu, przebiegu leczenia, efektów terapii, kontroli pozabiegowej, oceny bezpieczeństwa oraz ochrony przed roszczeniami.

Jeżeli zdjęcia stanowią część dokumentacji medycznej lub zabiegowej, są one przetwarzane na podstawie przepisów dotyczących udzielania świadczeń zdrowotnych, dokumentacji medycznej, wykonania umowy oraz prawnie uzasadnionego interesu Administratora.

Wykorzystanie zdjęć do celów marketingowych, promocyjnych, edukacyjnych, publikacji w mediach społecznościowych, na stronie internetowej albo w materiałach reklamowych wymaga odrębnej, dobrowolnej zgody osoby, której zdjęcie dotyczy.

Brak zgody na marketingowe wykorzystanie zdjęć nie wpływa na możliwość skorzystania ze świadczenia albo usługi.

7. Rozliczenia, rachunkowość i podatki

Dane osobowe są przetwarzane w celu obsługi płatności, wystawiania faktur, rachunków, paragonów, prowadzenia ksiąg rachunkowych, dokumentacji podatkowej oraz realizacji obowiązków finansowo-księgowych.

Podstawą prawną przetwarzania jest art. 6 ust. 1 lit. c RODO oraz przepisy podatkowe i rachunkowe.

8. Skargi, reklamacje, roszczenia i obrona praw

Dane osobowe mogą być przetwarzane w celu obsługi skarg, reklamacji, zgłoszeń, postępowań wyjaśniających, kontroli, audytów, ustalenia, dochodzenia lub obrony roszczeń.

Podstawą prawną przetwarzania jest:

• art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na ochronie praw i interesów Administratora;
• art. 9 ust. 2 lit. f RODO — jeżeli sprawa obejmuje dane dotyczące zdrowia i jest to niezbędne do ustalenia, dochodzenia lub obrony roszczeń.

9. Marketing własny

Dane osobowe mogą być przetwarzane w celu prowadzenia marketingu własnych usług Administratora, w tym informowania o ofercie, promocjach, wydarzeniach albo nowych usługach, wyłącznie wtedy, gdy istnieje odpowiednia podstawa prawna.

Wysyłka informacji marketingowych drogą elektroniczną albo kontakt marketingowy telefoniczny następuje na podstawie odrębnej zgody wymaganej przepisami prawa.

Brak zgody marketingowej nie wpływa na możliwość korzystania ze świadczeń lub usług Kliniki.

10. Strona internetowa, statystyki i bezpieczeństwo

Dane techniczne użytkowników strony internetowej są przetwarzane w celu zapewnienia prawidłowego działania strony, bezpieczeństwa, diagnozowania błędów, obsługi zgód cookies oraz prowadzenia statystyk i analityki — w zakresie wynikającym z ustawień cookies.

Podstawą prawną przetwarzania jest art. 6 ust. 1 lit. f RODO, a w zakresie plików cookies i podobnych technologii — także przepisy dotyczące komunikacji elektronicznej.

Strona korzysta z hostingu domena.pl. Zgodnie z przekazaną informacją serwery znajdują się w Polsce lub Unii Europejskiej.

Strona korzysta z Google Analytics 4 za pośrednictwem Google Tag Manager.

Google Analytics służy do prowadzenia statystyk odwiedzin strony. Dane mogą być przekazywane do Google, w tym do Stanów Zjednoczonych, zgodnie z mechanizmami przewidzianymi w RODO i zasadami Google. Google Analytics powinien być uruchamiany dopiero po wyrażeniu przez użytkownika zgody na cookies analityczne.

Zgodnie z przyjętym założeniem wdrożeniowym strona nie powinna ładować czcionek bezpośrednio z serwerów Google Fonts. W celu ograniczenia zbędnych połączeń z zewnętrznymi dostawcami rekomenduje się stosowanie czcionek systemowych albo lokalne hostowanie plików fontów na serwerze strony.

7. Źródła danych

Dane są pozyskiwane przede wszystkim bezpośrednio od osoby, której dotyczą.

Dane mogą pochodzić również od:

• przedstawiciela ustawowego, opiekuna faktycznego albo osoby upoważnionej;
• osoby umawiającej wizytę w imieniu pacjenta lub klienta;
• zewnętrznej platformy rezerwacyjnej, w szczególności eGabinet albo Booksy;
• innego podmiotu leczniczego, lekarza, laboratorium albo diagnosty – o ile takie dane są przekazywane w związku z leczeniem lub dokumentacją;
• serwisu społecznościowego – jeżeli osoba kontaktuje się z Kliniką JA przez taki serwis;
• publicznych rejestrów – jeżeli jest to potrzebne do weryfikacji danych kontrahenta albo realizacji obowiązków prawnych.

8. Odbiorcy danych osobowych

Dane osobowe mogą być przekazywane podmiotom, które wspierają Klinikę JA w prowadzeniu działalności – wyłącznie w zakresie niezbędnym do realizacji określonych celów.

Odbiorcami danych mogą być w szczególności:

• osoby wykonujące zawody medyczne oraz inne osoby upoważnione do przetwarzania danych w Klinice JA;
• podmioty świadczące usługi IT, hostingowe, serwisowe, utrzymania strony internetowej, poczty elektronicznej, systemów informatycznych i cyberbezpieczeństwa;
• dostawca hostingu domena.pl;
• dostawcy systemów rejestracyjnych, gabinetowych i komunikacyjnych;
• dostawcy zewnętrznych platform rezerwacyjnych, w szczególności: eGabinet i Booksy — w zakresie, w jakim użytkownik korzysta z tych platform;
• Google — w zakresie korzystania z Google Analytics 4 oraz Google Tag Manager, jeżeli użytkownik wyrazi zgodę na cookies analityczne;
• kancelaria prawna, biuro rachunkowe, doradcy, ubezpieczyciele;
• podmioty obsługujące płatności;
• podmioty świadczące usługi pocztowe lub kurierskie;
• laboratoria, diagnostycy, inne podmioty lecznicze albo specjaliści — jeżeli jest to potrzebne dla udzielenia świadczenia lub kontynuacji leczenia;
• organy publiczne np.: sądy, prokuratura, organy podatkowe, Rzecznik Praw Pacjenta, Prezes UODO albo inne uprawnione podmioty — jeżeli obowiązek udostępnienia danych wynika z przepisów prawa, prawomocnego lub natychmiast wykonalnego orzeczenia.

Jeżeli dane są powierzane podmiotom przetwarzającym, Administrator zawiera z nimi umowy powierzenia przetwarzania danych albo stosuje inne wymagane prawem mechanizmy ochrony danych.

9. Przekazywanie danych poza Europejski Obszar Gospodarczy

Co do zasady, Administrator dąży do korzystania z dostawców przetwarzających dane na terenie Europejskiego Obszaru Gospodarczego.

W przypadku korzystania z narzędzi dostawców, którzy mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym, w szczególności narzędzi Google Analytics 4, przekazanie danych odbywa się zgodnie z mechanizmami przewidzianymi w RODO, w tym na podstawie decyzji stwierdzającej odpowiedni stopień ochrony, standardowych klauzul umownych albo innych właściwych zabezpieczeń.

Zgodnie z założeniem wdrożeniowym strona nie powinna ładować czcionek z serwerów Google Fonts, dzięki czemu ogranicza się dodatkowe połączenia użytkownika z Google wyłącznie w celu pobrania fontów.

10. Jak długo dane są przechowywane?

Okres przechowywania danych zależy od celu i podstawy prawnej przetwarzania.

• Dokumentacja medyczna – jest przechowywana przez okres wynikający z przepisów prawa, co do zasady przez 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu, z wyjątkami przewidzianymi w ustawie.
• Dokumentacja rozliczeniowa, księgowa i podatkowa – jest przechowywana przez okres wymagany przepisami podatkowymi i rachunkowymi.
• Dane z formularza kontaktowego – są przechowywane przez okres niezbędny do obsługi zgłoszenia, a następnie przez okres do 24 miesięcy od zakończenia korespondencji, chyba że sprawa prowadzi do wizyty, świadczenia, reklamacji, roszczenia albo obowiązku prawnego wymagającego dłuższego przechowywania.
• Dane z korespondencji e-mail i telefonicznej – są przechowywane przez czas potrzebny do obsługi sprawy, a następnie przez okres uzasadniony ochroną przed roszczeniami albo obowiązkami prawnymi.
• Dane przetwarzane w celu wykonania umowy lub usługi – są przechowywane przez czas realizacji umowy, a następnie przez okres przedawnienia ewentualnych roszczeń albo przez okres wymagany przepisami prawa.
• Dane przetwarzane na podstawie zgody – są przechowywane do czasu jej wycofania, chyba że istnieje inna podstawa prawna dalszego przetwarzania.
• Dane przetwarzane w celach marketingowych – są przechowywane do czasu wycofania zgody, wniesienia sprzeciwu albo ustania celu marketingowego.
• Zdjęcia stanowiące część dokumentacji medycznej lub zabiegowej – są przechowywane zgodnie z zasadami właściwymi dla tej dokumentacji.
• Zdjęcia wykorzystywane marketingowo – są przetwarzane do czasu wycofania zgody, zakończenia kampanii albo ustania celu publikacji, z uwzględnieniem technicznych możliwości usunięcia materiałów już rozpowszechnionych.
• Dane techniczne i cookies – są przechowywane przez okres wynikający z ustawień danego pliku cookies albo do czasu zmiany ustawień przez użytkownika.

11. Prawa osób, których dane dotyczą

Osobie, której dane dotyczą, przysługują prawa określone w RODO, w szczególności:

• prawo dostępu do danych;
• prawo otrzymania kopii danych;
• prawo sprostowania danych;
• prawo usunięcia danych – jeżeli zachodzą podstawy przewidziane w RODO;
• prawo ograniczenia przetwarzania;
• prawo do przenoszenia danych – jeżeli ma zastosowanie;
• prawo sprzeciwu wobec przetwarzania danych na podstawie prawnie uzasadnionego interesu Administratora;
• prawo wycofania zgody w dowolnym momencie – jeżeli dane są przetwarzane na podstawie zgody;
• prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Niektóre wskazane uprawnienia mogą być ograniczone przepisami prawnymi, w szczególności obowiązkiem prowadzenia i przechowywania dokumentacji medycznej, obowiązkami podatkowymi i rachunkowymi albo koniecznością ustalenia, dochodzenia lub obrony roszczeń.

Prawo do usunięcia danych nie ma zastosowania w zakresie, w jakim Administrator ma prawny obowiązek dalszego przechowywania danych, w szczególności dokumentacji medycznej.

12. Dobrowolność lub obowiązek podania danych

Podanie danych jest dobrowolne, ale w niektórych przypadkach konieczne do:

• umówienia wizyty;
• udzielenia świadczenia zdrowotnego;
• wykonania usługi;
• prowadzenia dokumentacji medycznej;
• wystawienia faktury lub realizacji obowiązków podatkowych;
• udzielenia odpowiedzi na zapytanie;
• rozpatrzenia skargi, reklamacji lub innego zgłoszenia.

Brak podania danych wymaganych przepisami prawa albo niezbędnych do bezpiecznego udzielenia świadczenia może uniemożliwić udzielenie świadczenia, wykonanie usługi, wystawienie dokumentu księgowego albo obsługę zgłoszenia.

13. Zgody

Jeżeli przetwarzanie danych odbywa się na podstawie zgody, zgoda jest dobrowolna, konkretna, świadoma i możliwa do wycofania w każdym czasie.

Odrębna zgoda może być wymagana w szczególności na:

• komunikację marketingową określonym kanałem;
• wykorzystanie wizerunku;
• publikację zdjęć efektów zabiegowych;
• wykorzystanie opinii wraz z danymi identyfikującymi osobę;
• stosowanie analitycznych lub marketingowych plików cookies i podobnych technologii.

Brak zgody marketingowej albo zgody na publikację wizerunku nie wpływa na możliwość skorzystania ze świadczeń zdrowotnych lub usług Kliniki JA.

14. Strona internetowa i cookies

Strona internetowa www.klinikaja.pl może wykorzystywać pliki cookies i podobne technologie w celu zapewnienia prawidłowego działania strony, zapamiętywania ustawień użytkownika, obsługi pop-upu, prowadzenia statystyk i analityki. Szczegółowe informacje znajdują się w Polityce cookies.

15. Zautomatyzowane podejmowanie decyzji

Dane osobowe nie są wykorzystywane do podejmowania decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec osoby skutki prawne albo w podobny sposób istotnie na nią wpływały.

16. Aktualizacja Polityki prywatności

Polityka prywatności może być aktualizowana w przypadku zmiany przepisów, zakresu usług Kliniki, sposobu działania strony internetowej, narzędzi informatycznych, dostawców usług, sposobu rezerwacji wizyt albo procesów przetwarzania danych.

Aktualna wersja Polityki prywatności jest dostępna na stronie internetowej Kliniki JA w zakładce Polityka prywatności (link w stopce strony).