prostykalendarz

Polityka prywatności

Ostatnia aktualizacja: 19 października 2026

1. Postanowienia ogólne

Niniejsza Polityka prywatności opisuje zasady przetwarzania danych osobowych w serwisie prostykalendarz.pl (dalej: Serwis) — systemie do zarządzania terminarzem wizyt, kartoteką pacjentów oraz powiadomieniami dla gabinetów medycznych i specjalistycznych (dalej: Gabinety).

2. Administrator danych osobowych

Administratorem danych osobowych Użytkowników Serwisu jest prostykalendarz — Maciej Lorens, z siedzibą przy ul. Francesco Nullo 28/25, 31-543 Kraków, adres e-mail: kontakt@prostykalendarz.pl (dalej: Administrator).

3. Role stron przy danych pacjentów

Serwis jest narzędziem pracy dla Gabinetów:

  • Administratorem danych osobowych Pacjentów (imię i nazwisko, PESEL, kontakt, wywiad medyczny, dokumentacja) jest Gabinet, który wprowadza te dane do Serwisu. Gabinet samodzielnie decyduje o celach i sposobach przetwarzania oraz wypełnia obowiązki informacyjne wobec Pacjentów.
  • prostykalendarz przetwarza dane Pacjentów (z wyjątkiem danych konta w panelu pacjenta — patrz niżej) wyłącznie jako podmiot przetwarzający (procesor) na zlecenie Gabinetu — wyłącznie w celu świadczenia usług Serwisu. Umowa powierzenia przetwarzania (DPA) akceptowana jest przy rejestracji konta.
  • Panel pacjenta (konto użytkownika portalu). Jeżeli przyjmiesz zaproszenie Gabinetu i założysz konto w panelu pacjenta, administratorem danych tego konta jest prostykalendarz — Maciej Lorens (pkt 2), ponieważ konto jest Twoje i może obejmować kilka Gabinetów. Dane o wizytach, prośbach o wizytę, wiadomościach do Gabinetu i Twoja kartoteka w Gabinecie nadal należą do Gabinetu (administratora), a my przetwarzamy je na jego zlecenie. Usunięcie konta w panelu nie usuwa dokumentacji prowadzonej przez Gabinet.

4. Zakres zbieranych danych

  • Dane Gabinetów (Użytkowników Serwisu): imię i nazwisko, adres e-mail, numer telefonu, liczba Specjalistów i dane rozliczeniowe, nazwa i adres gabinetu oraz dane członków zespołu (specjalistów i recepcji).
  • Dane Pacjentów (wprowadzane przez Gabinety): dane identyfikacyjne i kontaktowe (imię, nazwisko, PESEL, data urodzenia, telefon, e-mail, adres), dane medyczne (diagnoza ICD-10, wywiad, przebyte urazy i operacje, leki, alergie), dokumentacja w formie załączników, notatki wizyt (SOAP), historia wizyt.
  • Dane konta w panelu pacjenta: adres e-mail, numer telefonu przekazany przez Gabinet (służy wyłącznie do rozpoznania, że ta sama osoba ma już konto), skrót hasła (bcrypt), data akceptacji regulaminu, identyfikator sesji, lista specjalistów, którzy Cię zaprosili, oraz powiadomienia o wizytach (nazwa specjalisty i termin).
  • Dane techniczne: adres IP, data i godzina zdarzeń, informacje o sesji i urządzeniu (logi bezpieczeństwa).

5. Cele i podstawy prawne przetwarzania

  • Świadczenie usług Serwisu — prowadzenie konta Gabinetu, terminarz, kartoteka, powiadomienia — podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy).
  • Płatności i rozliczenia — obsługa subskrypcji, faktury, obowiązki księgowe i podatkowe — podstawa: art. 6 ust. 1 lit. b i c RODO.
  • Powiadomienia o wizytach (e-mail/SMS) — wysyłane na rzecz Pacjentów w imieniu Gabinetu — podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy świadczenia usług przez Gabinet); treść i obowiązek informacyjny leżą po stronie Gabinetu.
  • Prowadzenie konta w panelu pacjenta — logowanie, lista specjalistów, powiadomienia, odzyskiwanie hasła — podstawa: art. 6 ust. 1 lit. b RODO (umowa o świadczenie usługi elektronicznej na warunkach Regulaminu portalu).
  • Weryfikacja zaproszeń (ostatnie cyfry numeru telefonu z kartoteki) i zapobieganie przejęciu cudzych danych — podstawa: art. 6 ust. 1 lit. f RODO (ochrona danych i bezpieczeństwo).
  • Bezpieczeństwo i statystyka — logi, ochrona przed nadużyciami — podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).

6. Odbiorcy i podmioty przetwarzające

Dane mogą być powierzane podmiotom przetwarzającym (dalszym podmiotom przetwarzającym — w odniesieniu do danych Pacjentów) wyłącznie w zakresie niezbędnym do świadczenia usług Serwisu, na podstawie umów powierzenia:

  • hosting — Serwis działa na serwerze zlokalizowanym w Polsce (Kraków), utrzymywanym przez Administratora; tam przechowywana jest baza danych i załączniki;
  • Amazon Web Services EMEA SARL (usługa Amazon S3, region Frankfurt, UE) — przechowywanie kopii zapasowych bazy danych i załączników; kopie są szyfrowane przed wysłaniem kluczem, do którego dostęp ma wyłącznie Administrator — AWS nie ma wglądu w ich treść;
  • Google Ireland Limited (Gmail / Google Workspace) — wysyłka wiadomości e-mail: powiadomień o wizytach do Pacjentów (imię i nazwisko, termin, gabinet, prowadzący), zaproszeń do zespołu oraz wiadomości dotyczących konta;
  • New Relic, Inc. — monitorowanie wydajności i błędów Serwisu: dane techniczne po stronie serwera (czasy odpowiedzi, adresy podstron, komunikaty błędów); skrypty monitorujące nie są ładowane w przeglądarce odwiedzających; treść formularzy, w tym dane Pacjentów, nie jest przekazywana. Dane mogą być przetwarzane w USA — na podstawie standardowych klauzul umownych Komisji Europejskiej oraz programu EU-U.S. Data Privacy Framework;
  • Stripe Payments Europe, Ltd. — obsługa płatności i subskrypcji (dane rozliczeniowe Gabinetów; dane kart przetwarza wyłącznie Stripe);
  • operator kanału SMS (powiadomienia o wizytach) — po jego uruchomieniu;
  • księgowość i doradztwo prawne Administratora — w zakresie obowiązków prawnych.

Dane osobowe nie są sprzedawane ani przekazywane w celach marketingowych podmiotom trzecim. Aktualna lista podmiotów przetwarzających stanowi część umowy powierzenia (DPA); o jej zmianach Gabinety są informowane z wyprzedzeniem.

7. Okres przechowywania danych

  • Dane Gabinetu — przez czas korzystania z Serwisu; po rozwiązaniu umowy dane konta usuwane są niezwłocznie, z wyjątkiem dokumentów rozliczeniowych (okres wymagany przepisami podatkowymi).
  • Dane Pacjentów — przechowywane do czasu usunięcia ich przez Gabinet lub rozwiązania umowy przez Gabinet. Po zakończeniu współpracy Gabinet otrzymuje możliwość eksportu danych; dane Pacjentów usuwane są z serwera niezwłocznie po zamknięciu konta.
  • Konto w panelu pacjenta — do usunięcia konta (możesz je usunąć w każdej chwili, pisząc na kontakt@prostykalendarz.pl); po usunięciu konta usuwamy e-mail, telefon, powiadomienia i dane logowania, a kartoteki Gabinetów pozostają bez zmian. Powiadomienia w panelu usuwamy automatycznie po 90 dniach.
  • Kopie zapasowe — zaszyfrowane kopie dzienne przechowywane są przez 35 dni, a miesięczne przez 13 miesięcy, po czym usuwane są automatycznie. Dane usunięte z Serwisu pozostają w kopiach do upływu tych okresów i nie są z nich odtwarzane poza przypadkiem przywracania Serwisu po awarii.

8. Prawa osób, których dane dotyczą

Każdej osobie przysługują prawa z art. 15–21 RODO: prawo dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu. W sprawach dotyczących danych Pacjentów (wprowadzonych przez Gabinet — kartoteka, wizyty, wiadomości) żądania kieruje się do właściwego Gabinetu; w sprawach dotyczących konta w panelu pacjenta oraz w pozostałych przypadkach — do Administratora (kontakt@prostykalendarz.pl).

Osobie przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

9. Cookies

Serwis wykorzystuje wyłącznie cookies niezbędne do jego działania, które nie wymagają zgody: utrzymanie sesji zalogowanego Użytkownika (bezpieczne, HttpOnly), zabezpieczenie formularzy przed fałszerstwem (CSRF) oraz komunikaty po wykonaniu akcji. Nie stosujemy cookies analitycznych, marketingowych ani reklamowych i nie ładujemy skryptów śledzących.

Po zalogowaniu do panelu pacjenta zapisujemy niezbędne, szyfrowane cookie sesji (HttpOnly), ważne do 14 dni (po wybraniu „Zapamiętaj mnie”) albo do wylogowania lub zmiany hasła. Ustawienie wybrane przez zalogowanego specjalistę w kalendarzu (pokazywanie godzin przyjęć) zapisujemy lokalnie w przeglądarce; nie jest ono wysyłane do serwera. Cookies możesz usunąć lub zablokować w ustawieniach przeglądarki — blokada cookies niezbędnych uniemożliwi logowanie.

Czcionki i ikony Serwisu hostujemy na własnym serwerze — nie pobieramy ich od podmiotów trzecich, więc adres IP odwiedzającego nie jest w tym celu przekazywany poza Serwis. Płatności obsługuje Stripe na własnych stronach (płatność i portal rozliczeń), do których przechodzi Użytkownik z Serwisu.

10. Bezpieczeństwo danych

  • połączenie szyfrowane protokołem TLS/SSL (256-bit);
  • hasła przechowywane wyłącznie w formie skrótów (bcrypt);
  • serwer w Polsce (Kraków); codzienne automatyczne kopie zapasowe, szyfrowane przed wysłaniem i przechowywane w UE (AWS, Frankfurt);
  • dane formularzy (w tym dane Pacjentów) są maskowane w logach systemowych i nie trafiają do narzędzi monitorujących;
  • dostęp do danych osobowych wyłącznie dla upoważnionych osób.

11. Zmiany Polityki

Administrator może zmienić niniejszą Politykę — o istotnych zmianach Użytkownicy będą informowani z wyprzedzeniem (e-mail lub komunikat w Serwisie). Zmiany nie naruszają praw nabytych przed ich wejściem w życie.

12. Kontakt

W sprawach dotyczących ochrony danych: kontakt@prostykalendarz.pl albo listownie: prostykalendarz — Maciej Lorens, ul. Francesco Nullo 28/25, 31-543 Kraków.

← Wróć na stronę główną Regulamin serwisu → Regulamin portalu pacjenta →