Polityka Prywatności

1. Administrator Danych Osobowych

Administratorem danych konta i obsługi Serwisu jest operator wskazany poniżej. Dla danych pacjentów role opisano w punkcie 3. Dane operatora:

DMC Filip Olender
ul. Lamparcia 10A, 86-065 Lochowo
NIP: 5542813570 | REGON: 526888290
E-mail: kontakt@zaplanujleczenie.pl

Niniejsza Polityka Prywatności określa zasady przetwarzania i ochrony danych osobowych osób korzystających z serwisu zaplanujleczenie.pl (dalej "Serwis") zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO).

2. Rodzaj Zbieranych Danych

Serwis zbiera i przetwarza następujące kategorie danych:

a) Dane konta

Adres e-mail i imię podawane podczas rejestracji za pośrednictwem Supabase Auth. Dane te są niezbędne do utworzenia i obsługi konta.

b) Dane medyczne pacjentów (szczególna kategoria, art. 9 RODO)

Imię i nazwisko pacjenta, opisy leczenia, nazwy zabiegów, zdjęcia i załączniki oraz notatki i transkrypcje dyktowane przez lekarza. Plany mogą dotyczyć także małoletnich pacjentów. Serwis nie wymaga PESEL ani adresu pacjenta; nie należy wpisywać zbędnych identyfikatorów do wolnego tekstu. Dane te służą przygotowaniu, edycji, zapisowi i udostępnieniu planu zgodnie z działaniami Użytkownika. Wybrane pola medyczne planów są szyfrowane przed zapisem w bazie (Fernet AES-128).

Ograniczanie identyfikatorów przed AI. W obsługiwanych zapytaniach tekstowych znane aplikacji imię i nazwisko pacjenta oraz wykryte identyfikatory są zastępowane znacznikami. Mechanizm może nie rozpoznać odmian nazw, literówek lub danych ukrytych w swobodnej notatce. Treść nadal zawiera informacje o zdrowiu i może umożliwiać identyfikację osoby; nie traktujemy jej jako anonimowej. Nie wpisuj zbędnych danych identyfikacyjnych.

c) Dane nagrań audio

Funkcja dyktowania jest przeznaczona do nagrywania własnej notatki lekarza, nie rozmowy z pacjentem ani głosu dziecka. Nagrania są przekazywane do usługi transkrypcji, a transkrypcja może zostać zapisana w planie. W trybie kieszonkowym transkrypcja notatki jest zapisywana na serwerze jako szkic, zanim powstanie plan; zasady przechowywania szkicu opisano w punkcie 7. Konfiguracja Google Speech-to-Text używa regionalnego endpointu UE; obsługiwana ścieżka może czasowo zapisywać audio w Google Cloud Storage. Kod zleca usunięcie bufora po przetworzeniu, co nie dowodzi usunięcia wszystkich wersji i kopii dostawcy. Kopie nagrań w przeglądarce, w tym kopia z trybu kieszonkowego, są opisane w punkcie 6.

d) Dane płatności

Płatności obsługuje Stripe. Serwis nie przechowuje numerów kart kredytowych. Rola Stripe zależy od konkretnej czynności; dla własnych celów płatniczych i obowiązków prawnych działa jako administrator zgodnie z własnymi warunkami i polityką prywatności.

e) Dane techniczne i analityczne

Dane techniczne obejmują m.in. adres IP, przeglądarkę, czas i rodzaj operacji. Logi służą bezpieczeństwu i diagnozowaniu usterek. Opcjonalna analityka PostHog obejmuje zdarzenia użycia oraz identyfikatory kont lub przeglądarek i wymaga zgody. Filtry ograniczają przesyłanie treści medycznych i sekretów; nie gwarantują wykrycia każdej danej osobowej.

Przy pierwszym wejściu na stronę zapisujemy w przeglądarce adres strony odsyłającej (tylko domenę, bez pełnego adresu), stronę wejścia i ewentualne parametry kampanii (UTM). Po założeniu konta te dane są jednorazowo zapisywane przy profilu, aby wiedzieć, które kanały informacji docierają do lekarzy. Nie zawierają treści medycznych ani danych pacjentów; podstawa: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).

3. Podstawa Prawna Przetwarzania

Dane osobowe przetwarzamy na następujących podstawach prawnych:

• Art. 6 ust. 1 lit. b) RODO — wykonanie umowy (obsługa konta i umowy z Użytkownikiem, obsługa subskrypcji).
• Art. 6 ust. 1 lit. f) RODO — prawnie uzasadniony interes administratora (bezpieczeństwo Serwisu, zapobieganie nadużyciom i diagnostyka niezbędna do działania usługi).
• Art. 6 ust. 1 lit. a) RODO — zgoda Użytkownika lub osoby odwiedzającej stronę (opcjonalna analityka; pomiar skuteczności reklam po zgodzie w kategorii „Marketingowe” w ustawieniach prywatności, niezależnej od zgody na analitykę; odrębna zgoda, jeżeli zamówiono komunikację marketingową).
• Art. 6 ust. 1 lit. c) RODO — obowiązek prawny (dokumentacja księgowa i podatkowa).
• Dane o zdrowiu pacjentów — gabinet ustala podstawę z art. 6 oraz właściwą przesłankę z art. 9 RODO. W opiece zdrowotnej może mieć zastosowanie art. 9 ust. 2 lit. h, po spełnieniu jego warunków. Samo posiadanie konta lub akceptacja DPA nie zastępuje tej podstawy.

Role w przetwarzaniu danych pacjentów. Administratorem danych pacjentów jest praktyka lekarza albo placówka, na rzecz której działa upoważniony Użytkownik. Samo utworzenie gabinetu w aplikacji nie dowodzi własności placówki ani umocowania do jej reprezentowania. W tej relacji właściwy podmiot jest Administratorem, a Serwis (DMC Filip Olender) — Podmiotem przetwarzającym w rozumieniu art. 28 RODO. Szczegóły powierzenia reguluje Umowa Powierzenia Przetwarzania Danych (DPA), przedstawiana w aplikacji przed rozpoczęciem przetwarzania danych pacjentów. Aktualny dokument i status jego akceptacji należy sprawdzić w aplikacji.

4. Cel Przetwarzania

• Świadczenie usług drogą elektroniczną — generowanie planów leczenia, transkrypcja audio, eksport PDF.
• Obsługa konta Użytkownika i subskrypcji.
• Przetwarzanie płatności i wystawianie dokumentów księgowych.
• Komunikacja z Użytkownikiem — wsparcie techniczne, powiadomienia o zmianach w usłudze.
• Opcjonalna analityka użycia, po wyrażeniu zgody.
• Pomiar skuteczności reklam na publicznych stronach oferty (wejścia na ofertę i zapisy na listę oczekujących), wyłącznie po zgodzie „Marketingowe”; szczegóły w punkcie 6.
• Marketing e-mailowy wyłącznie po odrębnej zgodzie; wycofanie zgody w ustawieniach lub przez link rezygnacji nie odbiera dostępu do usługi.
• Zapewnienie bezpieczeństwa Serwisu i zapobieganie nadużyciom.

Personalizacja i kontakt ze wsparciem

Personalizacja analizuje powtarzające się nazwy zabiegów dodawanych, usuwanych i zmienianych przez danego lekarza, aby tworzyć instrukcje dla kolejnych odpowiedzi na jego koncie. Nie trenuje wag wspólnego modelu. Funkcja jest domyślnie włączona; można ją wyłączyć w ustawieniach. Wyłączenie zatrzymuje korzystanie z profilu przy kolejnych odpowiedziach, ale nie usuwa automatycznie historii edycji. Nazwy zabiegów mogą zawierać dane osobowe i nie są traktowane jako anonimowe.

Kontakt e-mailowy, WhatsApp, rezerwacja terminu w Calendly i spotkanie w Google Meet służą obsłudze Użytkownika. Linki WhatsApp i Calendly otwierają odrębne usługi po działaniu Użytkownika. Nie przesyłaj tam danych pacjentów; do wdrożenia używaj przykładów syntetycznych. Terminy spotkań, dane kontaktowe i treść korespondencji są przetwarzane również zgodnie z zasadami tych dostawców. Nagrywanie ani transkrypcja spotkań nie są elementem opisanej sesji wdrożeniowej; ewentualna zmiana wymaga osobnej informacji i oceny podstawy.

5. Odbiorcy i lokalizacja danych

Usługa korzysta z poniższych kategorii dostawców. Region konkretnej usługi nie oznacza, że cała infrastruktura, obsługa techniczna i kopie znajdują się w tym regionie. Status dokumentów transferowych jest wskazany w punkcie 9.

Zapytania tekstowe do modeli AI trafiają do Google Cloud Vertex AI w regionie europe-west4 (UE), po uprzedniej pseudonimizacji rozpoznanych identyfikatorów pacjenta. OpenRouter nie jest używany w żadnej ścieżce. Warunki dostawcy, w tym zakaz wykorzystania danych do treningu, to ograniczenie techniczne i umowne wyboru dostawcy, a nie dowód zawarcia wszystkich umów lub audytu dostawcy. Nie odnosi się automatycznie do nagrań audio ani pozostałych usług. Aktualny wykaz dalszych podmiotów przetwarzających wymaga uzgodnienia z DPA.

6. Pliki Cookies i Przechowywanie Lokalne

Serwis wykorzystuje następujące mechanizmy przechowywania danych w przeglądarce:

Cookies niezbędne (essential)

• hypnoflow_cookie_preferences — zapamiętanie preferencji cookies (365 dni).

LocalStorage (dane lokalne przeglądarki)

Przeglądarka przechowuje lokalne kopie i preferencje. Zapisanie planu w usłudze lub wysłanie audio do transkrypcji jest odrębną operacją:

• theme — preferencja motywu (jasny/ciemny).
• doctorName, vocativeName — imię lekarza do spersonalizowanych powitań w interfejsie.
• custom_templates — Twoje własne szablony pól planu.
• referral_code — kod polecający (gdy wejdziesz z linku polecającego).
• planEditorCollapsed, zl_clinic_prompt_skipped, zl_first_run_sample_seen, zl_first_run_sample_used — drobne preferencje interfejsu (zwinięte sekcje, stan pierwszego uruchomienia).

SessionStorage (pamięć karty przeglądarki)

• plan_draft, plan_draft_time, plan_draft_uid — roboczy szkic niezapisanego planu, właściciel i czas zapisu, przypisane do karty, w której pracujesz. Nowa karta nie widzi szkicu, a odświeżenie strony go nie usuwa. Przeglądarka z włączonym przywracaniem kart może odtworzyć go razem z kartą po ponownym uruchomieniu. Wylogowanie usuwa szkic; aplikacja usuwa go także po 24 godzinach podczas działania albo przy kolejnym otwarciu. Szkice zapisane przez wcześniejsze wersje aplikacji w LocalStorage są przy pierwszym otwarciu przenoszone do karty ich właściciela albo usuwane.
• zl_note_draft, zl_note_draft_time, zl_note_draft_uid, zl_note_draft_patient — robocza notatka w kreatorze planu, imię i nazwisko pacjenta z pola nad nią, właściciel i czas zapisu, przechowywane tylko w karcie, w której piszesz. Notatka przetrwa odświeżenie strony; nowa karta jej nie widzi. Usuwa ją udane wygenerowanie planu, wyczyszczenie, wylogowanie, zmiana konta albo upływ 24 godzin. Notatki zapisane przez wcześniejsze wersje aplikacji w LocalStorage są przy pierwszym otwarciu kreatora przenoszone do karty ich właściciela albo usuwane.

IndexedDB może przechowywać ostatnie niedokończone audio do odzyskania pracy przez godzinę. Nagranie zapisane w trybie kieszonkowym, razem z wpisanym imieniem i nazwiskiem pacjenta, trafia najpierw do IndexedDB urządzenia, na którym je nagrano; aplikacja nie szyfruje tej kopii. Po udanym zapisie szkicu na serwerze kopia jest usuwana. Jeśli zapis się nie powiódł lub nie został ukończony, kopia zostaje na tym urządzeniu do 24 godzin od zapisu. Wylogowanie i zmiana konta uruchamiają czyszczenie danych roboczych; wylogowanie usuwa także nagrania z trybu kieszonkowego, których nie zapisano na serwerze. Zamknięta przeglądarka nie wykonuje kasowania dokładnie przy upływie ważności; sprzątanie odbywa się przy jej ponownym otwarciu. Pobranego PDF lub kopii urządzenia aplikacja nie usuwa.

Analityka (wymaga zgody)

PostHog otrzymuje opcjonalne zdarzenia produktowe po zgodzie. Mogą one zawierać identyfikator konta — to dane pseudonimowe, nie anonimowe. Zgodę zmienisz przyciskiem „Prywatność”, dostępnym na stronie i w aplikacji. Po zalogowaniu stan jest uzgadniany z kontem; inne aktywne urządzenia odczytują zmianę okresowo i po powrocie do okna. Cofnięcie zatrzymuje nowe zdarzenia lokalnie, a błąd połączenia jest pokazany zamiast potwierdzenia zapisu na koncie. Cofnięcie zgody nie usuwa automatycznie wcześniejszych zdarzeń. Nagrywanie sesji jest wyłączone.

Cookies reklamowe (wymagają osobnej zgody)

Po zgodzie „Marketingowe” na publicznych stronach oferty mogą załadować się skrypty pomiaru reklam trzech dostawców: Meta (Pixel), Google (Google Ads) i OpenAI. Każdy z nich działa tylko wtedy, gdy jest skonfigurowany. Służą do policzenia wejść na ofertę i zapisów na listę oczekujących. Podstawą jest zgoda (art. 6 ust. 1 lit. a RODO), niezależna od zgody na analitykę. Bez niej te skrypty się nie uruchamiają. Decyzję zapisujemy tylko w tej przeglądarce, w cookie hypnoflow_cookie_preferences; nie jest przenoszona na konto ani na inne urządzenia.

• Gdzie. Tylko na stronach oferty z zamkniętej listy (m.in. strona główna, cennik, baza wiedzy, strony „Dla…”, strony o planach leczenia i lista oczekujących) i tylko pod adresem oferty, oddzielonym od adresu aplikacji, w której się logujesz. Pod adresem oferty nie można się zalogować — logowanie i linki z e-maili otwierają aplikację pod jej własnym adresem, gdzie skrypty reklamowe nie ładują się nigdy, a nagłówek CSP blokuje domeny reklamowe. Dopóki oferta i aplikacja działają pod jednym adresem, skrypty reklamowe nie ładują się wcale.
• Zdarzenia. Przy wejściu na stronę oferty Meta i OpenAI dostają zdarzenie wyświetlenia strony, a tag Google Ads jest inicjalizowany. Po udanym zapisie na listę oczekujących: Meta — „Lead”, Google Ads — konwersja o wartości 1 zł, OpenAI — „lead_created”.
• Dane. Nasz kod nie przekazuje dostawcom adresu e-mail, telefonu ani treści planu. Samo pobranie skryptu przekazuje dostawcy adres IP i dane przeglądarki. Jakie dane skrypt dostawcy odczytuje sam i jakie ustawia cookies (nazwy i okresy przechowywania), określają zasady tego dostawcy.
• Cofnięcie zgody. Przycisk „Prywatność” → wyłącz „Marketingowe” → „Zapisz wybór” (albo „Tylko Niezbędne”). Aplikacja przekazuje wtedy skryptom sygnał wycofania zgody i nie wywołuje kolejnych zdarzeń. Skrypt pobrany wcześniej zostaje w otwartej karcie do jej przeładowania, a po przeładowaniu już się nie ładuje. Cofnięcie zgody nie usuwa danych, które dostawca otrzymał wcześniej.

7. Okres przechowywania danych

Poniżej podajemy zatwierdzone docelowe okresy przechowywania. Każdy z nich stosujemy dopiero po potwierdzeniu konfiguracji i wykonania czyszczenia danych; terminy przyznane wcześniej pozostają chronione. Opisane tu okresy docelowe nie zmieniają zawartych już umów.

• Plany po zakończeniu subskrypcji lub trialu — 90 dni na odczyt i eksport, bez tworzenia nowych planów w ramach wygasłego dostępu; następnie usunięcie danych pacjentów po uprzednim powiadomieniu. Aktywny dostęp z innej podstawy, np. stanowisko w sieci, nie jest traktowany jako wygaśnięcie usługi. Żądanie wcześniejszego usunięcia jest rozpatrywane odrębnie.
• Kosz — 30 dni od przeniesienia planu do kosza. Historia korekt do personalizacji — 90 dni. Diagnostyka — 30 dni. Logi bezpieczeństwa — 180 dni. Rotacyjne kopie zapasowe — usuwane automatycznie po 60 dniach od ich wykonania, z ponownym zastosowaniem usunięć przy odtwarzaniu.
• Kopie robocze w przeglądarce — audio: godzina; nagranie z trybu kieszonkowego niezapisane na serwerze: 24 godziny od zapisu w przeglądarce; szkic planu: 24 godziny od lokalnego zapisu, z czyszczeniem przy uruchomionej aplikacji.
• Szkice trybu kieszonkowego na serwerze — transkrypcje notatek oraz imię i nazwisko pacjenta są szyfrowane; nazwa gabinetu rozpoznana w notatce, długość i język nagrań oraz czasy zapisu nie są szyfrowane. Szkic wygasa 24 godziny po ostatniej zmianie; każda dopisana notatka liczy ten czas od nowa. Po terminie szkic nie jest dostępny w aplikacji, a zadanie porządkowe uruchamiane co 15 minut i raz dziennie usuwa go z bazy. Wcześniej może go usunąć lekarz; po wysłaniu tekstu szkicu do analizy aplikacja zleca jego usunięcie. Szkice nie są objęte eksportem danych konta.
• Bufor audio w chmurze — kod zleca usunięcie po transkrypcji; zasady wersji obiektów i kopii dostawcy wymagają potwierdzenia.
• Rozliczenia — dane z dokumentów księgowych, w tym rejestr sprzedaży, przechowujemy przez 5 lat od końca roku podatkowego, w którym powstał obowiązek podatkowy; wymagają tego przepisy o rachunkowości i Ordynacja podatkowa. Dowody umów i zgód — przez okres konieczny do wykazania rozliczenia i rozpatrzenia roszczeń; docelowe terminy wymagają zatwierdzenia.
• Diagnostyka, historia dostępu, analityka i kopie zapasowe — zatwierdzone okresy wymagają dowodów wykonania. Historia dostępu do danych pacjentów, analityka i kopie u poszczególnych dostawców wymagają osobnego doprecyzowania; nie utożsamiamy ich ze zwykłymi logami diagnostycznymi.

8. Prawa Użytkownika

W granicach i na warunkach określonych w RODO przysługują prawa do:

• Dostępu do swoich danych oraz otrzymania ich kopii (art. 15).
• Sprostowania nieprawidłowych danych (art. 16).
• Usunięcia danych — "prawo do bycia zapomnianym" (art. 17).
• Ograniczenia przetwarzania (art. 18).
• Przenoszenia danych do innego administratora (art. 20).
• Sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21).
• Cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem.

Samoobsługowa realizacja praw. W panelu Ustawień Użytkownik może samodzielnie:

• Pobrać eksport danych konta (art. 20 — przenośność): Ustawienia → Eksport moich danych → Pobierz ZIP. Archiwum zawiera profil, plany leczenia (odszyfrowane), gabinety, historię dostępu i logi w formacie JSON.
• Zlecić usunięcie konta (art. 17 — prawo do bycia zapomnianym): Ustawienia → Strefa niebezpieczna → Usuń konto. Operacja wymaga ponownego wpisania hasła oraz frazy potwierdzającej "USUŃ MOJE KONTO".
• Zobaczyć historię dostępu do danych pacjentów — obejmuje operacje rejestrowane przez aplikację, z datą i informacjami technicznymi: Ustawienia → Historia dostępu do danych pacjentów.

W sprawach wymagających kontaktu bezpośredniego (sprostowanie, sprzeciw, zapytania prawne) prosimy pisać na kontakt@zaplanujleczenie.pl. Na żądania dotyczące praw odpowiadamy bez zbędnej zwłoki, zasadniczo w ciągu miesiąca. Jeżeli przepisy dopuszczają przedłużenie, poinformujemy o jego przyczynie i terminie. W sprawach danych pacjentów kontaktuj się przede wszystkim z praktyką lub placówką będącą ich administratorem. Gdy otrzymamy takie żądanie, ustalimy właściwego administratora, przekażemy je bez zbędnej zwłoki i pomożemy technicznie po weryfikacji uprawnień. Eksport całego konta lekarza nie jest eksportem dla pojedynczego pacjenta.

Użytkownik ma również prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (UODO), aktualne dane kontaktowe: uodo.gov.pl.

9. Transfer danych poza EOG

Część usług może przetwarzać dane poza Europejskim Obszarem Gospodarczym. Dotyczy to m.in. infrastruktury globalnej (sieć edge frontendu) oraz wybranych dostawców usług, jak płatności czy poczta e-mail. Lokalizacja bazy i backendu w UE nie wyklucza takich transferów.

Podstawa transferu musi być zweryfikowana dla konkretnego odbiorcy, zakresu danych i usługi. Samo wskazanie SCC lub EU-US Data Privacy Framework nie potwierdza, że dana umowa została zawarta albo że odpowiednia certyfikacja obejmuje ten przepływ. W tym projekcie wykaz podstaw, dokumenty i ocena transferów pozostają do uzupełnienia przez operatora przed zatwierdzeniem polityki. O informacje o zabezpieczeniach i kopie właściwych dokumentów można zwrócić się na adres kontaktowy z punktu 1.

10. Bezpieczeństwo danych

Aplikacja stosuje kilka warstw ochrony. Ich skuteczność zależy także od konfiguracji środowiska i pracy osób mających dostęp do usługi:

• HTTPS w połączeniach z aplikacją oraz szyfrowanie wybranych pól medycznych w bazie za pomocą Fernet. Nie jest to szyfrowanie end-to-end: uprawniony backend odszyfrowuje treść na potrzeby obsługi usługi.
• Kontrole właściciela i uprawnień w API oraz polityki RLS w bazie. Dostęp administracyjny i serwisowy wymaga odrębnej kontroli.
• Minimalizacja znanych identyfikatorów w zapytaniach tekstowych do AI, bez gwarancji anonimizacji treści medycznej.
• Logowanie z tokenami o ograniczonym czasie ważności i możliwość włączenia drugiego składnika TOTP; dodatkowe wymaganie MFA dla panelu administratora.
• Walidacja plików, ograniczenia żądań i zasobów używanych do generowania PDF.
• Rejestrowanie obsługiwanych operacji dostępu do planów. Dziennik aplikacji nie zastępuje rejestru czynności przetwarzania z art. 30 RODO.
• Nagłówki CSP, HSTS i ochrony przed osadzaniem strony, ograniczanie prób nadużyć oraz filtry danych wysyłanych do diagnostyki.
• Testy automatyczne i przeglądy zmian. Same testy lub opis zabezpieczeń nie stanowią certyfikacji zgodności.

11. Ochrona Danych Dzieci

Konta są przeznaczone dla profesjonalistów. Gabinet może przetwarzać w planach informacje o małoletnich pacjentach i odpowiada za właściwą podstawę oraz obowiązki wobec pacjenta i jego przedstawiciela. Dyktando tworzy lekarz; funkcja nie jest przeznaczona do nagrywania głosu dziecka.

12. Zmiany Polityki Prywatności

O istotnych zmianach niniejszej Polityki poinformujemy Użytkowników drogą mailową z co najmniej 14-dniowym wyprzedzeniem. Aktualna wersja jest zawsze dostępna pod adresem zaplanujleczenie.pl/privacy.