§ 1. Administrator danych osobowych
Administratorem danych osobowych jest Anna Rogal-Paciej, prowadząca Indywidualną Praktykę Lekarską, ul. Kazimierza Wielkiego 60 (budynek SILVER, gabinet 301, III piętro), 32-300 Olkusz, NIP 6372206540 (dalej: „Administrator").
Kontakt w sprawach ochrony danych osobowych: e-mail kontakt@psychiatra-olkusz.pl, tel. +48 573 388 635, listownie na adres gabinetu.
§ 2. Zakres polityki
Niniejsza polityka opisuje zasady przetwarzania danych osobowych: osób odwiedzających serwis internetowy psychiatra-olkusz.pl, osób rejestrujących wizytę (telefonicznie, e-mailem lub online), a także pacjentów, którym udzielane są świadczenia zdrowotne w gabinecie.
§ 3. Cele, podstawy prawne i okresy przetwarzania
| Cel przetwarzania | Zakres danych | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Rejestracja wizyty (telefon, e-mail, rejestracja online Medfile) | imię i nazwisko, nr telefonu, adres e-mail, PESEL lub data urodzenia | art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy) oraz art. 9 ust. 2 lit. h RODO | do czasu realizacji wizyty; dane włączone do dokumentacji medycznej — jak niżej |
| Udzielanie świadczeń zdrowotnych, prowadzenie i przechowywanie dokumentacji medycznej | dane identyfikacyjne, kontaktowe, PESEL, dane dotyczące zdrowia | art. 9 ust. 2 lit. h RODO w zw. z art. 24–26 ustawy z 6.11.2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta oraz art. 6 ust. 1 lit. c RODO | co do zasady 20 lat od końca roku kalendarzowego, w którym dokonano ostatniego wpisu (art. 29 ust. 1 u.p.p.) |
| Wystawianie e-recept, e-skierowań, zaświadczeń i zwolnień lekarskich (e-ZLA) | dane identyfikacyjne, PESEL, dane dotyczące zdrowia | art. 9 ust. 2 lit. h oraz art. 6 ust. 1 lit. c RODO w zw. z przepisami o systemie informacji w ochronie zdrowia | zgodnie z przepisami dotyczącymi danego dokumentu |
| Rozliczenia, rachunki i faktury | dane identyfikacyjne, adresowe, NIP (przy fakturze) | art. 6 ust. 1 lit. c RODO (przepisy podatkowe i o rachunkowości) | 5 lat od końca roku podatkowego |
| Korespondencja inna niż rejestracja wizyty | dane podane w korespondencji | art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — obsługa korespondencji) | do zakończenia sprawy, nie dłużej niż 3 lata |
| Ustalenie, dochodzenie lub obrona roszczeń | dane z powyższych zbiorów w niezbędnym zakresie | art. 6 ust. 1 lit. f oraz art. 9 ust. 2 lit. f RODO | do upływu terminów przedawnienia |
§ 4. Odbiorcy danych
Dane osobowe mogą być przekazywane wyłącznie podmiotom uprawnionym lub współpracującym z Administratorem na podstawie stosownych umów:
- BioStat Sp. z o.o. (system Medfile) — operator systemu Medfile (oprogramowanie gabinetowe, elektroniczna dokumentacja medyczna, rejestracja online); podmiot przetwarzający dane wyłącznie na udokumentowane polecenie Administratora, na podstawie umowy powierzenia przetwarzania danych osobowych (art. 28 RODO);
- dostawca hostingu serwisu internetowego i poczty elektronicznej — w zakresie danych przesyłanych drogą elektroniczną;
- systemy teleinformatyczne e-zdrowia (System Informacji Medycznej P1: e-recepta, e-skierowanie, Internetowe Konto Pacjenta) oraz ZUS (e-ZLA) — w zakresie wymaganym przepisami;
- podmiot świadczący obsługę księgową — w zakresie danych rozliczeniowych;
- podmioty uprawnione do dostępu do dokumentacji medycznej na podstawie art. 26 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta oraz inne organy działające na podstawie przepisów prawa.
Dane nie są przekazywane do państw trzecich (poza Europejski Obszar Gospodarczy) ani do organizacji międzynarodowych. Administrator nie podejmuje decyzji w sposób zautomatyzowany i nie stosuje profilowania.
§ 5. Rejestracja online (Medfile)
- Przycisk „Umów wizytę" w serwisie psychiatra-olkusz.pl przekierowuje do serwisu rejestracji online prowadzonego w systemie Medfile (rejestracja.medfile.pl). Dane podane w formularzu rejestracji trafiają do systemu gabinetowego Administratora i są przetwarzane w jego imieniu przez BioStat Sp. z o.o. jako podmiot przetwarzający.
- Jeżeli pacjent dobrowolnie założy własne konto pacjenta w serwisie Medfile, administratorem danych związanych z prowadzeniem tego konta jest operator serwisu Medfile — zgodnie z regulaminem i polityką prywatności dostępnymi na stronach Medfile.
§ 6. Prawa osób, których dane dotyczą
Każdej osobie, której dane są przetwarzane, przysługuje prawo do:
- dostępu do danych oraz otrzymania ich kopii (art. 15 RODO);
- sprostowania danych (art. 16 RODO);
- usunięcia danych (art. 17 RODO) — z tym zastrzeżeniem, że nie dotyczy to dokumentacji medycznej, której prowadzenie i przechowywanie przez okres wskazany w § 3 jest obowiązkiem ustawowym Administratora;
- ograniczenia przetwarzania (art. 18 RODO);
- przenoszenia danych przetwarzanych na podstawie art. 6 ust. 1 lit. b RODO (art. 20 RODO);
- sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO (art. 21 RODO).
W celu realizacji praw należy skontaktować się z Administratorem (dane w § 1). Każdej osobie przysługuje również prawo wniesienia skargi do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl).
§ 7. Dobrowolność podania danych
Podanie danych jest dobrowolne, jednak w zakresie niezbędnym do udzielenia świadczenia zdrowotnego i prowadzenia dokumentacji medycznej stanowi wymóg ustawowy — bez podania danych identyfikacyjnych udzielenie świadczenia nie jest możliwe. Podanie numeru telefonu lub adresu e-mail przy rejestracji jest dobrowolne i służy potwierdzaniu oraz odwoływaniu wizyt.
§ 8. Pliki cookies i logi serwera
- Serwis psychiatra-olkusz.pl ma charakter informacyjny i nie stosuje własnych plików cookies niezbędnych ani marketingowych.
- Serwis korzysta z narzędzia statystycznego Google Analytics 4 (dostawca: Google Ireland Ltd. / Google LLC), które zapisuje pliki cookies „_ga" służące do pomiaru odwiedzin (pseudonimowe identyfikatory; narzędzie nie ma dostępu do danych medycznych ani danych podawanych przy rejestracji wizyty). Cookies statystyczne uruchamiane są wyłącznie po wyrażeniu zgody w banerze cookies (art. 6 ust. 1 lit. a RODO); zgodę można w każdej chwili cofnąć poprzez link „Ustawienia cookies", ze skutkiem na przyszłość. Dane mogą być przekazywane do Google LLC w USA w oparciu o decyzję Komisji Europejskiej ws. ram ochrony danych UE–USA (EU–U.S. Data Privacy Framework).
- Infrastruktura hostingowa zapisuje standardowe logi serwera (m.in. adres IP, data i godzina żądania, typ przeglądarki) — wyłącznie w celach technicznych i bezpieczeństwa (art. 6 ust. 1 lit. f RODO); logi są przechowywane przez okres wynikający z konfiguracji dostawcy hostingu.
- Serwis rejestracji online Medfile stosuje własne pliki cookies niezbędne do działania formularza — zgodnie z polityką prywatności operatora tego serwisu.
- Serwis korzysta z czcionek Google Fonts pobieranych z serwerów Google LLC — przy wczytaniu strony przeglądarka użytkownika łączy się z serwerem Google, któremu przekazywany jest adres IP (art. 6 ust. 1 lit. f RODO — zapewnienie prawidłowego wyświetlania serwisu); Google nie otrzymuje przy tym plików cookies z serwisu.
§ 9. Bezpieczeństwo danych
Administrator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), w tym: szyfrowaną transmisję danych (HTTPS/SSL), prowadzenie dokumentacji medycznej w systemie Medfile zapewniającym kontrolę dostępu, kopie zapasowe i szyfrowanie danych po stronie wyspecjalizowanego dostawcy związanego umową powierzenia, a także ograniczenie dostępu do danych wyłącznie do osób upoważnionych. Zasady reagowania na naruszenia ochrony danych określa odrębna procedura wewnętrzna.
§ 10. Powierzenie prowadzenia dokumentacji i odpowiedzialność za bezpieczeństwo danych
- Dokumentacja medyczna oraz dane rejestracyjne pacjentów przetwarzane są w systemie teleinformatycznym Medfile, dostarczanym przez wyspecjalizowanego dostawcę — BioStat Sp. z o.o. (podmiot przetwarzający), zobowiązanego na podstawie umowy powierzenia przetwarzania danych osobowych (art. 28 RODO) do wdrożenia i utrzymywania środków bezpieczeństwa wymaganych przez art. 32 RODO (m.in. szyfrowanie transmisji, kontrola dostępu, kopie zapasowe).
- Administrator dokonał wyboru dostawcy z należytą starannością, korzystając wyłącznie z podmiotu zapewniającego wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 28 ust. 1 RODO), i sprawuje nad powierzeniem nadzór w zakresie przewidzianym prawem i umową powierzenia.
- Za szkody spowodowane naruszeniem ochrony danych, które wynika z niewykonania przez dostawcę systemu obowiązków nałożonych wprost na podmioty przetwarzające przepisami RODO lub z działania wbrew umowie powierzenia — w tym z awarii lub niedostatecznych zabezpieczeń infrastruktury dostawcy — odpowiedzialność ponosi ten dostawca (art. 82 ust. 2 RODO). Administrator jest zwolniony z odpowiedzialności w zakresie, w jakim nie ponosi winy za zdarzenie, które doprowadziło do powstania szkody (art. 82 ust. 3 RODO).
- Postanowienia niniejszej polityki nie ograniczają praw pacjentów wynikających z bezwzględnie obowiązujących przepisów prawa.
§ 11. Postanowienia końcowe
Polityka może być aktualizowana w razie zmiany przepisów lub zakresu usług; aktualna wersja jest zawsze dostępna na tej stronie. W sprawach nieuregulowanych stosuje się RODO oraz właściwe przepisy prawa polskiego.
Klauzula informacyjna dla pacjentów (art. 13 RODO) jest dostępna również w gabinecie — przy rejestracji oraz na życzenie pacjenta.