Polityka prywatności

§ 1. Administrator danych osobowych

1. Administratorem danych osobowych jest Kujawsko-Pomorskie Centrum Wsparcia Psychologicznego Sp. z o.o. z siedzibą w Grudziądzu, ul. Wiślana 12, 86-300 Grudziądz (dalej: "Administrator" lub "Centrum Wsparcia").

2. Kontakt z Administratorem w sprawach dotyczących ochrony danych osobowych jest możliwy:

• drogą e-mailową: kontakt@centrum-wsparcia.com,
• telefonicznie: 537 170 117,
• pisemnie na adres siedziby Administratora.

§ 2. Cele i podstawy przetwarzania danych

1. Administrator przetwarza dane osobowe w następujących celach i na następujących podstawach prawnych:

a) Świadczenie usług zdrowotnych

Dane osobowe Pacjentów, w tym dane dotyczące zdrowia, przetwarzane są w celu udzielania świadczeń zdrowotnych (psychoterapia, konsultacje psychologiczne, diagnostyka, TUS, terapia środowiskowa) oraz prowadzenia dokumentacji medycznej. Podstawa prawna: art. 9 ust. 2 lit. h) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) w związku z przepisami ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta oraz ustawy o działalności leczniczej.

b) Wykonanie umowy

Dane osobowe przetwarzane są w celu realizacji umów o świadczenie usług, w tym obsługi rezerwacji wizyt oraz realizacji zamówień w sklepie internetowym. Podstawa prawna: art. 6 ust. 1 lit. b) RODO (przetwarzanie jest niezbędne do wykonania umowy lub do podjęcia działań przed zawarciem umowy).

c) Prawnie uzasadniony interes Administratora

Dane osobowe mogą być przetwarzane w celu dochodzenia lub obrony przed roszczeniami, prowadzenia statystyk wewnętrznych oraz zapewnienia bezpieczeństwa systemów informatycznych. Podstawa prawna: art. 6 ust. 1 lit. f) RODO.

d) Zgoda

W przypadku działań marketingowych, wysyłki newslettera lub przetwarzania danych w celach rekrutacyjnych dane osobowe przetwarzane są na podstawie dobrowolnie wyrażonej zgody. Podstawa prawna: art. 6 ust. 1 lit. a) RODO. Zgoda może zostać cofnięta w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

§ 3. Zakres zbieranych danych

1. Administrator zbiera i przetwarza następujące kategorie danych osobowych:

a) Dane Pacjentów

Imię i nazwisko, numer PESEL, data urodzenia, adres zamieszkania, numer telefonu, adres e-mail, dane dotyczące stanu zdrowia, historia leczenia oraz inne dane niezbędne do prowadzenia dokumentacji medycznej.

b) Dane z formularzy kontaktowych

Imię, adres e-mail, numer telefonu (opcjonalnie), treść wiadomości.

c) Dane z formularzy rekrutacyjnych

Imię i nazwisko, adres e-mail, numer telefonu, wykształcenie, doświadczenie zawodowe, informacje zawarte w przesłanym CV oraz liście motywacyjnym, a także w dokumentach dobrowolnie załączonych do zgłoszenia (CV, dyplomy, certyfikaty).

d) Dane z zamówień w sklepie internetowym

Imię i nazwisko, adres e-mail, dane niezbędne do realizacji płatności (przetwarzane przez operatora płatności Stripe), informacje o zakupionych produktach.

e) Dane zbierane automatycznie (cookies)

Adres IP, typ przeglądarki, informacje o urządzeniu, dane o aktywności w Serwisie. Szczegóły dotyczące plików cookies opisane są w § 7 niniejszej Polityki.

§ 4. Odbiorcy danych

1. Dane osobowe mogą być przekazywane następującym kategoriom odbiorców:

• Narodowy Fundusz Zdrowia (NFZ) - w zakresie wymaganym do rozliczenia świadczeń zdrowotnych realizowanych w ramach kontraktu z NFZ,
• Supabase Inc. - jako podmiot przetwarzający (processor), zapewniający infrastrukturę bazodanową, na podstawie umowy powierzenia przetwarzania danych,
• Anthropic PBC - jako podmiot przetwarzający, w zakresie wyłącznie dokumentów załączonych do zgłoszenia rekrutacyjnego (CV, dyplomy, certyfikaty), przekazywanych do automatycznego odczytu opisanego w § 11 lit. b), na podstawie umowy powierzenia przetwarzania danych. Dokumenty nie są wykorzystywane do trenowania modeli. Żadne inne dane osobowe - w szczególności dane pacjentów - nie są temu podmiotowi przekazywane,
• Stripe Inc. - jako operator płatności elektronicznych, w zakresie danych niezbędnych do realizacji transakcji płatniczych,
• Vercel Inc. - jako dostawca usług hostingowych Serwisu, w zakresie danych technicznych związanych z funkcjonowaniem strony internetowej,
• podmioty uprawnione na podstawie przepisów prawa - organy państwowe, sądy, prokuratura, w zakresie wymaganym przepisami prawa.

2. Administrator nie sprzedaje danych osobowych podmiotom trzecim.

3. Przekazywanie danych do podmiotów mających siedzibę poza Europejskim Obszarem Gospodarczym (Supabase, Stripe, Vercel) odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską lub na podstawie decyzji stwierdzającej odpowiedni stopień ochrony.

§ 5. Okres przechowywania danych

1. Dane osobowe są przechowywane przez okres niezbędny do realizacji celów, dla których zostały zebrane:

• Dokumentacja medyczna - 20 lat od dnia dokonania ostatniego wpisu, zgodnie z art. 29 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, z zastrzeżeniem wyjątków przewidzianych w tej ustawie.
• Dane związane z realizacją umów i transakcji handlowych - 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku, zgodnie z przepisami prawa podatkowego i rachunkowego.
• Dane przetwarzane na podstawie zgody (marketing, newsletter) - do momentu cofnięcia zgody przez osobę, której dane dotyczą.
• Dane z formularzy kontaktowych - przez okres niezbędny do udzielenia odpowiedzi i dalszej korespondencji, nie dłużej niż 12 miesięcy od ostatniego kontaktu.
• Dane rekrutacyjne - przez okres trwania procesu rekrutacyjnego, a w przypadku wyrażenia zgody na przyszłe rekrutacje, nie dłużej niż 12 miesięcy od dnia przesłania aplikacji.
• Dokumenty załączone do zgłoszenia rekrutacyjnego (CV, dyplomy, certyfikaty) - usuwane są w terminie 30 dni od zakończenia rekrutacji decyzją odmowną, a niezależnie od przebiegu rekrutacji nie później niż 12 miesięcy od dnia ich przesłania. Usunięcie obejmuje zarówno plik, jak i wpis o nim w systemie. Pliki przesłane, lecz nigdy niepowiązane ze zgłoszeniem (np. gdy wysyłka formularza została przerwana) usuwane są w ciągu 24 godzin.

§ 6. Prawa osoby, której dane dotyczą

1. Osobie, której dane osobowe dotyczą, przysługują następujące prawa:

• Prawo dostępu do danych (art. 15 RODO) - prawo do uzyskania informacji o przetwarzanych danych oraz otrzymania ich kopii.
• Prawo do sprostowania danych (art. 16 RODO) - prawo do żądania poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.
• Prawo do usunięcia danych (art. 17 RODO) - prawo do żądania usunięcia danych, jeżeli nie istnieje podstawa prawna do ich dalszego przetwarzania. Prawo to nie dotyczy dokumentacji medycznej w okresie obowiązkowego przechowywania.
• Prawo do ograniczenia przetwarzania (art. 18 RODO) - prawo do żądania ograniczenia przetwarzania danych w określonych przypadkach.
• Prawo do przenoszenia danych (art. 20 RODO) - prawo do otrzymania danych w ustrukturyzowanym formacie oraz do przesłania ich innemu administratorowi.
• Prawo do sprzeciwu (art. 21 RODO) - prawo do wniesienia sprzeciwu wobec przetwarzania danych opartego na prawnie uzasadnionym interesie Administratora.

2. W celu skorzystania z powyższych praw należy skontaktować się z Administratorem za pośrednictwem adresu e-mail: kontakt@centrum-wsparcia.com lub pisemnie na adres siedziby.

3. Osobie, której dane dotyczą, przysługuje prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

§ 7. Pliki cookies

1. Serwis wykorzystuje pliki cookies (ciasteczka), czyli niewielkie pliki tekstowe zapisywane na urządzeniu końcowym użytkownika.

2. W Serwisie stosowane są następujące rodzaje plików cookies:

• Cookies funkcjonalne - niezbędne do prawidłowego działania Serwisu, w tym do obsługi systemu rezerwacji wizyt (widget MyDr).
• Cookies analityczne (Google Analytics 4) - służące do zbierania anonimowych danych statystycznych dotyczących sposobu korzystania z Serwisu, w celu jego udoskonalania. Dane te nie pozwalają na bezpośrednią identyfikację użytkownika.

3. Użytkownik może w dowolnym momencie zmienić ustawienia dotyczące plików cookies w swojej przeglądarce internetowej, w tym zablokować ich zapisywanie lub usunąć zapisane pliki cookies.

4. Ograniczenie stosowania plików cookies może wpłynąć na dostępność niektórych funkcji Serwisu.

§ 8. Bezpieczeństwo danych

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych przed nieuprawnionym dostępem, utratą, zniszczeniem lub ujawnieniem.

2. Stosowane zabezpieczenia obejmują w szczególności:

• szyfrowanie transmisji danych za pomocą protokołu SSL/TLS,
• szyfrowanie baz danych przechowujących dane osobowe,
• kontrolę dostępu do systemów informatycznych opartą na zasadzie minimalnych uprawnień,
• regularne przeglądy i aktualizacje zabezpieczeń technicznych,
• szkolenia personelu w zakresie ochrony danych osobowych.

§ 9. Profilowanie i zautomatyzowane podejmowanie decyzji

1. Administrator nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne wobec osoby, której dane dotyczą, lub w podobny sposób istotnie na nią wpływały.

§ 10. Sklep internetowy

1. W ramach realizacji zamówień w sklepie internetowym dane osobowe Klientów (imię, nazwisko, adres e-mail) są przetwarzane w celu wykonania umowy sprzedaży produktów cyfrowych.

2. Płatności w sklepie internetowym obsługiwane są przez Stripe Inc. (z siedzibą w Stanach Zjednoczonych). Dane karty płatniczej nie są przechowywane przez Administratora. Stripe przetwarza dane płatnicze zgodnie z własną polityką prywatności oraz standardami PCI DSS.

3. Dane dotyczące zamówień (bez danych karty płatniczej) przechowywane są przez okres wymagany przepisami prawa podatkowego i rachunkowego, tj. 5 lat od końca roku kalendarzowego, w którym dokonano transakcji.

§ 11. Formularze kontaktowe i rekrutacyjne

1. Serwis udostępnia formularze kontaktowe oraz formularze rekrutacyjne, za pośrednictwem których zbierane są dane osobowe użytkowników.

a) Formularz kontaktowy

Zakres zbieranych danych: imię, adres e-mail, numer telefonu (opcjonalnie), treść wiadomości. Dane przetwarzane są w celu udzielenia odpowiedzi na zapytanie. Dane przechowywane są w bazie danych Supabase na podstawie umowy powierzenia przetwarzania danych.

b) Formularz rekrutacyjny

Zakres zbieranych danych: imię i nazwisko, adres e-mail, numer telefonu, wykształcenie, doświadczenie zawodowe, CV, list motywacyjny. Dane przetwarzane są w celu przeprowadzenia procesu rekrutacyjnego na podstawie zgody kandydata (art. 6 ust. 1 lit. a) RODO). Dane przechowywane są w bazie danych Supabase.

Do zgłoszenia można dobrowolnie załączyć dokumenty (CV, dyplom, certyfikat) w formacie PDF, JPG lub PNG - maksymalnie 3 pliki, każdy do 5 MB. Załączenie dokumentów nie jest warunkiem rozpatrzenia zgłoszenia. Pliki przechowywane są w prywatnej przestrzeni dyskowej Supabase Storage, nie są publicznie dostępne pod żadnym adresem i nie są indeksowane przez wyszukiwarki. Dostęp do nich mają osoby prowadzące rekrutację po stronie Administratora - dział kadrowo-rekrutacyjny oraz zarząd - po zalogowaniu do wewnętrznego systemu, a także podmiot przetwarzający wskazany w § 6 w zakresie automatycznego odczytu opisanego poniżej. Okres przechowywania dokumentów określa § 5.

Automatyczny odczyt załączonych dokumentów. Załączone dokumenty mogą zostać przekazane do automatycznego odczytu przez model językowy udostępniany przez Anthropic PBC (§ 6). Odczyt służy jednemu celowi: wypisaniu, jakie informacje znajdują się w dokumencie, i zestawieniu ich z danymi podanymi przez kandydata w formularzu, aby osoba prowadząca rekrutację nie musiała szukać ich ręcznie.

Nie jest to zautomatyzowane podejmowanie decyzji w rozumieniu art. 22 RODO. Narzędzie nie ocenia kandydata, nie przypisuje mu wyniku punktowego, nie porządkuje kandydatów według dopasowania i nie rekomenduje przyjęcia ani odrzucenia - technicznie nie ma możliwości zwrócenia takiej oceny. Wynikiem jest wyłącznie zestawienie faktów, które czyta i ocenia człowiek. Każdą decyzję w procesie rekrutacyjnym podejmuje człowiek.

Kandydat może sprzeciwić się automatycznemu odczytowi swoich dokumentów, pisząc na adres podany w § 2; zgłoszenie zostanie wówczas rozpatrzone bez tego kroku, co nie wpływa na jego ocenę. Cofnięcie zgody na przetwarzanie danych rekrutacyjnych jest możliwe w każdej chwili i oznacza usunięcie zgłoszenia wraz z załącznikami.

2. Dane z formularzy nie są udostępniane podmiotom trzecim, z wyjątkiem podmiotów przetwarzających wskazanych w § 6: Supabase Inc. (infrastruktura bazodanowa) oraz - w zakresie wyłącznie dokumentów rekrutacyjnych - Anthropic PBC (automatyczny odczyt opisany powyżej).

§ 12. Zmiany polityki prywatności

1. Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce prywatności w celu dostosowania jej do zmian przepisów prawa lub zmian w sposobie przetwarzania danych osobowych.

2. O istotnych zmianach Administrator poinformuje użytkowników za pośrednictwem Serwisu, publikując zaktualizowaną wersję Polityki prywatności z nową datą obowiązywania.

3. Niniejsza Polityka prywatności obowiązuje od dnia 16 marca 2026 r.