Polityka prywatności

1. Dwie role, dwa zbiory danych

Serwis przetwarza dane w dwóch rolach usługodawcy i wobec każdej z nich usługodawca występuje inaczej. Rozróżnienie rozstrzyga o tym, do kogo kierować żądania dotyczące danych.

Wobec danych konta, czyli adresu poczty elektronicznej, nazwy placówki, powiązania konta z placówką, zapisu akceptacji umowy powierzenia, oznaczeń pytań z raportu, zgłoszeń przesłanych z panelu, wiadomości z formularza kontaktowego oraz adresu zapisanego na newsletter, usługodawca jest administratorem danych.

Wobec danych pochodzących z wgranego pliku administratorem jest placówka, a usługodawca przetwarza je wyłącznie na jej polecenie, jako podmiot przetwarzający, na podstawie umowy powierzenia zawartej z placówką.

2. Dane konta i formularz kontaktowy

Podstawą przetwarzania jest wykonanie umowy o świadczenie usługi, czyli artykuł 6 ustęp 1 litera b rozporządzenia ogólnego o ochronie danych.

Adres poczty elektronicznej służy do założenia konta, logowania kodem jednorazowym oraz do kontaktu w sprawach dotyczących usługi.

Podanie adresu jest dobrowolne, ale bez niego założenie konta nie jest możliwe.

Zgłoszenie przesłane z panelu, czyli jego kategoria, treść, status, konto wysyłające i czas wysłania, a w zgłoszeniach wysłanych przed wersją 1.3 tej polityki także temat, służy wyłącznie do obsługi tego zgłoszenia, a odpowiedź przychodzi na adres konta. Dane pacjentów nie są do tego potrzebne: ciąg jedenastu cyfr w treści zatrzymuje wysłanie.

Wiadomość z formularza kontaktowego, czyli podany adres poczty elektronicznej, kategoria, treść, status i czas wysłania, służy wyłącznie do odpowiedzi na tę wiadomość. Podstawą przetwarzania jest prawnie uzasadniony interes usługodawcy polegający na odpowiadaniu na kierowane do niego wiadomości, czyli artykuł 6 ustęp 1 litera f rozporządzenia ogólnego o ochronie danych.

Dane pacjentów nie są potrzebne także w formularzu kontaktowym: ciąg jedenastu cyfr w adresie albo w treści zatrzymuje wysłanie. Formularz chroni sprawdzenie wykonywane w przeglądarce, bez plików cookie i bez udziału podmiotów zewnętrznych.

3. Dane pochodzące z wgranego pliku

Wgrany plik nie jest zapisywany. Analiza odbywa się w pamięci serwera, a po odesłaniu wyniku plik przestaje istnieć w systemie.

Zapisywany jest natomiast wynik analizy. Zakres zapisywanych danych opisuje zestawienie kategorii zamieszczone poniżej; wskazuje ono również, kto jest administratorem każdej kategorii.

Identyfikatory techniczne pozycji nie wskazują pacjenta samodzielnie, ale pozostają kluczem, który w systemie placówki do niego prowadzi. Dane są zatem spseudonimizowane, a nie anonimowe.

Ponieważ kod grupy rozliczeniowej wraz z datą wizyty stanowi informację o świadczeniu udzielonym określonej osobie, dane te są danymi dotyczącymi zdrowia w rozumieniu artykułu 4 punkt 15 rozporządzenia ogólnego, mimo pseudonimizacji. Pseudonimizacja nie zmienia tego statusu, więc do danych pochodzących z wgranych plików stosuje się artykuł 9 rozporządzenia, czyli reżim szczególnych kategorii danych osobowych.

Numer prawa wykonywania zawodu jest daną osobową lekarza. Lekarze stanowią drugą, niezależną kategorię osób, których dane są przetwarzane.

4. Czego serwis nie przechowuje

Numery PESEL oraz identyfikatory pacjentów nadane przez płatnika są usuwane w pierwszym kroku przetwarzania, zanim cokolwiek zostanie policzone.

Wiek ani płeć pacjenta nie są zachowywane w żadnej postaci. Pominięcie jest świadome: żadna reguła kwalifikacji tych danych nie używa, a wiek wraz z płcią i datą wizyty w małej placówce stanowi quasi-identyfikator.

Rozpoznania oraz pełne listy procedur są czytane w trakcie analizy, ale nie są zapisywane.

Dziennik zdarzeń nie zawiera treści medycznych ani identyfikatorów pacjentów.

5. Podmioty przetwarzające i przekazywanie danych

Usługodawca korzysta z dostawców wymienionych poniżej. Każdy z nich przetwarza dane wyłącznie w zakresie potrzebnym do świadczenia swojej usługi, na podstawie umowy powierzenia.

Wiadomość z kodem logowania niesie wyłącznie sześciocyfrowy kod oraz adres odbiorcy. Nie zawiera żadnej treści medycznej ani żadnej danej pochodzącej z wgranego pliku.

Powiadomienie usługodawcy o nowym zgłoszeniu niesie wyłącznie numer zgłoszenia i odnośnik do panelu administracyjnego, bez tematu, treści, nazwy placówki i adresu konta.

Powiadomienie usługodawcy o wiadomościach z formularza kontaktowego jest wysyłane najwyżej raz dziennie i niesie wyłącznie ich liczbę oraz odnośnik do panelu administracyjnego, bez adresów, kategorii i treści.

Wiadomość potwierdzająca zapis na newsletter niesie wyłącznie odnośnik potwierdzenia i adres odbiorcy. Wiadomość newslettera niesie wyłącznie tytuł, wstęp i odnośnik opublikowanego artykułu oraz odnośnik wypisu, bez treści medycznych i bez danych placówki. Odbiorca tych wiadomości jest wskazany w sekcji "Newsletter".

6. Okres przechowywania i usuwanie danych

Dane są przechowywane przez czas korzystania z usługi.

Wiadomości z formularza kontaktowego są usuwane automatycznie po 12 miesiącach od wysłania.

Adres zapisany na newsletter, miejsce zapisu, stan zgody, czasy zapisu, potwierdzenia i wypisu, wersja polityki z chwili potwierdzenia oraz odnośnik wypisu są przechowywane do wypisu. Powiązanie adresu z wysyłką newslettera i stan doręczenia są przechowywane do wypisu. Zapis niepotwierdzony jest usuwany 7 dni od ostatniej wiadomości potwierdzającej, a gdy jej nie było, od zapisu.

Po wypisie zostają adres, miejsce zapisu, czasy zapisu, potwierdzenia i wypisu, wersja polityki z chwili potwierdzenia oraz odnośnik wypisu, bez terminu, jako dowód ostatniej zgody i jej wycofania.

Pozostałych danych serwis nie usuwa automatycznie po upływie określonego terminu, z wyjątkiem danych wymienionych powyżej. Usunięcie następuje na żądanie złożone na adres kontaktowy usługodawcy i jest wykonywane ręcznie.

Żądanie usunięcia danych pochodzących z wgranych plików składa placówka jako ich administrator.

7. Prawa osób, których dane dotyczą

Wobec danych konta i adresu zapisanego na newsletter przysługuje prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu. Żądania przyjmuje adres kontaktowy usługodawcy.

Wobec adresu zapisanego na newsletter przysługuje także prawo wycofania zgody w dowolnym momencie, opisane w sekcji "Newsletter".

Wobec danych pochodzących z wgranego pliku administratorem jest placówka, więc żądania kieruje się do placówki, a nie do usługodawcy. Usługodawca udziela placówce pomocy w wykonaniu takiego żądania.

Przysługuje także prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

8. Bezpieczeństwo

Usługodawca stosuje środki techniczne i organizacyjne odpowiadające ryzyku związanemu z przetwarzaniem danych dotyczących zdrowia. Najważniejsze z nich są wymienione poniżej.

• Wgrany plik jest analizowany w pamięci serwera i nie jest zapisywany ani na dysku, ani w dzienniku zdarzeń.
• Numery PESEL i identyfikatory pacjentów są usuwane w pierwszym kroku przetwarzania, zanim cokolwiek zostanie policzone.
• Wiek ani płeć pacjenta nie są zachowywane w żadnej postaci.
• Dostęp do danych placówki jest ograniczony na poziomie bazy danych regułami przypisującymi wiersz do placówki.
• Dziennik zdarzeń nie zawiera treści medycznych ani identyfikatorów pacjentów.

9. Podejmowanie decyzji, profilowanie, pliki cookies i pomiar odsłon

Serwis nie podejmuje decyzji w sposób zautomatyzowany i nie prowadzi profilowania. Raport przedstawia pytania do weryfikacji, a rozstrzygnięcie należy do człowieka.

Serwis zapisuje w przeglądarce pliki niezbędne do utrzymania sesji zalogowanej osoby oraz niezbędny plik mk_zgoda, który przechowuje wyłącznie wybór dotyczący pomiaru odsłon i datę tego wyboru. Plik mk_zgoda wygasa po 12 miesiącach; po wygaśnięciu serwis ponownie pyta o wybór.

Strony publiczne serwisu mogą mierzyć odsłony narzędziem Google Analytics wyłącznie po wyrażeniu zgody. Pomiar obejmuje stronę główną, kalkulator, katalog grup, list i procedur, wyjaśnienia kodów błędów oraz artykuły. Odsłona niesie tytuł strony, jej adres oraz adres strony poprzedniej. Po zgodzie mierzone jest także przejście z mierzonej strony do podglądu pliku: wyłącznie fakt przejścia, z adresem strony, na której nastąpiło, i adresem strony poprzedniej, bez treści pliku i bez pomiaru na stronie podglądu.

Pomiar nie obejmuje podglądu pliku poza samym faktem przejścia do niego, panelu placówki, logowania ani pozostałych stron serwisu. Adresy przekazywane przy pomiarze nie zawierają części po znaku zapytania ani po znaku #. Odsłona strony, której ścieżka (część adresu przed znakiem zapytania) zawiera ciąg jedenastu cyfr, nie jest wysyłana. Gdy ścieżka adresu strony poprzedniej zawiera taki ciąg, przekazywany jest wyłącznie adres główny domeny tej strony. Adres poprzedni, który nie jest adresem strony internetowej albo nie daje się odczytać, jest zastępowany adresem strony głównej serwisu.

Bez zgody skrypt narzędzia pomiaru nie jest wczytywany i żadne dane z serwisu nie są przekazywane do Google. Zapytanie o zgodę ma dwa przyciski tej samej wielkości: zgodę na pomiar i odmowę.

Wybór można zmienić w każdej chwili odnośnikiem Ustawienia prywatności na dole strony, dostępnym także w panelu placówki. Wycofanie zgody usuwa z przeglądarki pliki cookies narzędzia pomiaru, zapisuje odmowę i ponownie wczytuje stronę; kolejne odsłony nie są mierzone.

Według opisu Google plik _ga służy do rozróżniania użytkowników, a pliki o nazwie zaczynającej się od _ga_ do utrzymania stanu sesji. Oba rodzaje plików mają ważność 2 lat, odnawianą przy każdym wczytaniu strony.

Krój pisma oraz pozostałe zasoby strony są serwowane z serwera usługodawcy. Wyjątkiem jest skrypt narzędzia pomiaru, wczytywany z serwerów Google wyłącznie po wyrażeniu zgody.

Odbiorca danych z pomiaru, jego rola, miejsce przetwarzania i podstawa przekazania poza Unię Europejską są wskazane w zestawieniu poniżej.

10. Newsletter

Serwis wysyła newsletter z informacją o nowych artykułach serwisu wyłącznie osobom, które o to poprosiły. Podstawą przetwarzania adresu poczty elektronicznej jest zgoda, czyli artykuł 6 ustęp 1 litera a rozporządzenia ogólnego o ochronie danych.

Zapis wymaga podania adresu i potwierdzenia go odnośnikiem z wiadomości, wysłanej na ten adres. Do czasu potwierdzenia newsletter nie jest wysyłany. Zgoda dotyczy także przesyłania informacji handlowej na podany adres poczty elektronicznej.

Zgodę można wycofać w dowolnym momencie, równie łatwo jak ją wyrażono: odnośnikiem z każdej wiadomości newslettera i przyciskiem na stronie, którą ten odnośnik otwiera. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem. Podanie adresu jest dobrowolne.

Wiadomości newslettera są wysyłane w postaci zwykłego tekstu, bez śledzenia otwarć i kliknięć oraz bez plików cookies. Wiadomość niesie tytuł i wstęp opublikowanego artykułu, odnośnik do artykułu i odnośnik do wypisu; nie niesie żadnych danych placówki ani treści medycznych.

Serwis zachowuje adres, miejsce zapisu, czasy zapisu, potwierdzenia i wypisu oraz wersję polityki z chwili potwierdzenia, aby wykazać, że ostatnia zgoda została wyrażona i kiedy została wycofana (artykuł 7 ustęp 1 rozporządzenia ogólnego). Ponowne potwierdzenie po wypisie zastępuje czas potwierdzenia i wersję polityki nowymi wartościami. Okresy przechowywania opisuje sekcja 6.

Odbiorca danych newslettera, jego rola, miejsce przetwarzania i podstawa przekazania poza Unię Europejską są wskazane w zestawieniu poniżej.

11. Kontakt i zmiany polityki

Dane kontaktowe usługodawcy są wskazane na końcu dokumentu.

Zmiana polityki jest ogłoszona w serwisie wraz z datą wejścia w życie.