1. Kto jest administratorem danych
Administratorem Twoich danych osobowych, czyli podmiotem, który decyduje, jak są wykorzystywane, jest Medycyna Dąb Sp. z o.o. z siedzibą w Katowicach, ul. Dębowa 64, 40-108 Katowice, wpisana do rejestru przedsiębiorców KRS pod numerem 0000688324, NIP 634-290-08-91, REGON 367914129. Spółka prowadzi placówki pod nazwą Bednarski Medycyna Piersi w Katowicach i w Warszawie.
W sprawach danych osobowych napisz na adres: adres e-mail do spraw danych albo listownie na adres siedziby, z dopiskiem „dane osobowe”.
Wariant A – jeśli spółka wyznaczy IOD Wyznaczyliśmy inspektora ochrony danych. Możesz się z nim skontaktować pod adresem e-mail IOD albo listownie na adres siedziby, z dopiskiem „IOD”.
Wariant B – jeśli nie wyznaczy: usunąć akapit z wariantem A.
2. Skąd mamy Twoje dane
Najczęściej od Ciebie: gdy dzwonisz do rejestracji, umawiasz wizytę, wypełniasz formularz albo przesyłasz wynik badania. Czasem dane przekazuje ktoś w Twoim imieniu, np. bliska osoba, którą do tego upoważniłaś, albo Twój przedstawiciel ustawowy. Część danych powstaje w czasie wizyty, np. opis badania USG wpisany przez lekarza do dokumentacji.
3. Po co przetwarzamy dane i na jakiej podstawie
| Sytuacja | Jakie dane | Cel | Podstawa prawna |
|---|---|---|---|
| Wizyta, badanie, zabieg | dane identyfikacyjne i kontaktowe, PESEL, dane o zdrowiu | udzielenie świadczenia zdrowotnego i prowadzenie dokumentacji medycznej | art. 6 ust. 1 lit. b i c oraz art. 9 ust. 2 lit. h RODO, w związku z art. 24 i 25 ustawy o prawach pacjenta |
| Rejestracja na wizytę (telefon, rejestracja online, recepcja) | imię, nazwisko, telefon, e-mail, termin, rodzaj wizyty | umówienie terminu, przypomnienie o wizycie, zmiana terminu | art. 6 ust. 1 lit. b RODO; w zakresie danych o zdrowiu – art. 9 ust. 2 lit. h RODO |
| Przesłanie wyniku badania przez stronę /dokumentacja/ | imię, nazwisko, telefon, e-mail (jeśli go podasz), wybrane miasto, pliki z wynikiem, informacja o implantach piersi (jeśli ją podasz), krótki opis (jeśli go dodasz), oświadczenie, czyje to badanie | wstępna ocena wyniku przez lekarza, kontakt z Tobą, ewentualna rejestracja | art. 9 ust. 2 lit. h RODO oraz art. 6 ust. 1 lit. b i c RODO |
| Formularz „Oddzwonimy” | imię, telefon, placówka, preferowana pora | oddzwonienie i odpowiedź na Twoją prośbę | art. 6 ust. 1 lit. b RODO (działania na Twoje żądanie przed zawarciem umowy) |
| Formularz kontaktowy i e-mail | dane, które podasz, i treść wiadomości | odpowiedź na pytanie | art. 6 ust. 1 lit. f RODO (nasz uzasadniony interes: odpowiadanie na wiadomości) |
| Płatności i faktury | imię, nazwisko, adres, NIP firmy (jeśli chcesz fakturę na firmę), kwota | rozliczenie i obowiązki podatkowe | art. 6 ust. 1 lit. c RODO (przepisy podatkowe i o rachunkowości) |
| Reklamacje i roszczenia | dane z reklamacji i dokumentacji sprawy | rozpatrzenie reklamacji, obrona przed roszczeniami | art. 6 ust. 1 lit. c i f RODO; w zakresie danych o zdrowiu – art. 9 ust. 2 lit. f RODO |
| Statystyki odwiedzin strony | dane z plików cookies i podobnych technologii | sprawdzanie, które strony są czytane i jak działa strona | Twoja zgoda – art. 6 ust. 1 lit. a RODO i art. 399 Prawa komunikacji elektronicznej |
| Pomiar skuteczności reklam Google | dane z plików cookies, informacja o kliknięciu reklamy | sprawdzanie, czy reklama doprowadziła do kontaktu | Twoja zgoda – art. 6 ust. 1 lit. a RODO i art. 399 Prawa komunikacji elektronicznej |
| Monitoring wizyjny tylko jeśli jest: monitoring tak/nie, P | wizerunek | bezpieczeństwo pacjentów i pracowników | art. 6 ust. 1 lit. c i f RODO, art. 23a ustawy o działalności leczniczej |
Nie wymagamy od Ciebie zgody na przetwarzanie danych o zdrowiu. Podstawą jest udzielanie opieki zdrowotnej, a dokumentację medyczną musimy prowadzić z mocy ustawy. Dlatego przy formularzach nie ma pola „wyrażam zgodę na przetwarzanie danych”.
Nie używamy Twoich danych o zdrowiu do reklamy. Nie wysyłamy wiadomości marketingowych i nie tworzymy list odbiorców reklam z danych pacjentek.
4. Przesłanie wyniku badania przez stronę
Gdy przesyłasz wynik przez stronę /dokumentacja/, plik trafia do osobnej, zabezpieczonej skrzynki na serwerze w Europejskim Obszarze Gospodarczym. Połączenie jest szyfrowane, a pliki są przechowywane w postaci zaszyfrowanej.
Dostęp do zgłoszenia ma tylko lekarz oceniający wynik i upoważnione koordynatorki. Wszyscy są zobowiązani do zachowania tajemnicy.
Gdy lekarz oceni wynik, plik i jego ocena stają się częścią Twojej dokumentacji medycznej w systemie nazwa systemu dokumentacji, np. Medfile. Kopię roboczą w skrzynce usuwamy zaraz po przeniesieniu, najpóźniej po 30 dniach. Zgłoszenie, którego lekarz nie oceni (np. bez kontaktu albo z nieczytelnym plikiem), usuwamy automatycznie po 30 dniach.
Ocena przesłanego wyniku jest wstępna. Nie jest diagnozą i nie zastępuje badania lekarskiego. Decyzję o zabiegu lekarz podejmuje dopiero po własnym badaniu USG.
Jeśli przesyłasz wynik innej osoby, potrzebujesz jej upoważnienia albo musisz być jej przedstawicielem ustawowym. Zadzwonimy wtedy także do samej pacjentki, żeby potwierdzić, że chce oceny. Informacje o jej zdrowiu przekażemy tylko jej albo osobie, którą wskaże.
5. Jak się z Tobą kontaktujemy
W SMS-ach, e-mailach i nagraniach na poczcie głosowej nie podajemy informacji o Twoim zdrowiu, nazwy badania ani zabiegu. Nadawcą jest „neutralna nazwa nadawcy SMS, np. MedycynaDab”. O wyniku i decyzji lekarza rozmawiamy przez telefon, po sprawdzeniu, że rozmawiamy z Tobą, albo na wizycie.
6. Komu przekazujemy dane
Twoje dane mogą otrzymać:
- osoby wykonujące u nas zawód medyczny i upoważnieni pracownicy, objęci tajemnicą;
- firmy, które świadczą dla nas usługi techniczne i przetwarzają dane w naszym imieniu, na podstawie umowy powierzenia (art. 28 RODO):
- system dokumentacji medycznej i rejestracji online: nazwa dostawcy, np. operator Medfile;
- hosting strony i skrzynki na wyniki: dostawca hostingu, kraj serwerów;
- poczta elektroniczna: dostawca poczty;
- wysyłka SMS z przypomnieniami: operator SMS;
- narzędzie do zarządzania zgodami na cookies: dostawca CMP albo „rozwiązanie własne”;
- obsługa księgowa i informatyczna: kategorie lub nazwy;
- pracownia histopatologiczna, która ocenia pobraną tkankę: nazwa pracowni albo „podmiot leczniczy, z którym mamy umowę”. Pracownia otrzymuje tylko dane potrzebne do badania potwierdzić, czy pracownia jest odrębnym administratorem;
- Google, ale tylko jeśli zgodzisz się na cookies analityczne lub reklamowe (szczegóły w polityce cookies);
- organy i instytucje, gdy wymaga tego prawo, np. sąd, prokuratura, Rzecznik Praw Pacjenta, organy kontroli. Dokumentację medyczną udostępniamy tylko w przypadkach z art. 26 ustawy o prawach pacjenta.
7. Przekazywanie danych poza Europejski Obszar Gospodarczy
Dane z wizyt, formularzy i dokumentacji medycznej przechowujemy na serwerach w Europejskim Obszarze Gospodarczym. Nie przekazujemy ich poza EOG.
Jeśli zgodzisz się na cookies Google, Google może przetwarzać dane z tych plików także w Stanach Zjednoczonych. Podstawą jest decyzja Komisji Europejskiej o odpowiednim poziomie ochrony danych (EU-US Data Privacy Framework). przed publikacją sprawdzić, czy Google LLC nadal jest na liście DPF i czy decyzja obowiązuje
8. Jak długo przechowujemy dane
| Dane | Okres |
|---|---|
| Dokumentacja medyczna, w tym oceniony przez lekarza wynik przesłany przez stronę | 20 lat od końca roku kalendarzowego, w którym zrobiono ostatni wpis, z wyjątkami z art. 29 ust. 1 ustawy o prawach pacjenta (np. krótsze okresy dla zdjęć rentgenowskich przechowywanych poza dokumentacją i dla skierowań) |
| Zgłoszenie z wynikiem, którego lekarz nie ocenił | do 30 dni, potem automatyczne usunięcie |
| Kopia robocza wyniku w skrzynce po przeniesieniu do dokumentacji | usuwana od razu, najpóźniej po 30 dniach |
| Formularz „Oddzwonimy” | 30 dni, potem automatyczne usunięcie |
| Wiadomości z formularza kontaktowego i e-maile | okres, np. 12 miesięcy od zakończenia sprawy |
| Dane rejestracji (termin wizyty) | jako część dokumentacji medycznej albo – jeśli wizyta się nie odbyła – okres, np. 12 miesięcy |
| Faktury i dokumenty księgowe | 5 lat od końca roku, w którym upłynął termin płatności podatku |
| Reklamacje i dane potrzebne do obrony przed roszczeniami | do upływu terminu przedawnienia roszczeń |
| Logi techniczne skrzynki na wyniki (numer zgłoszenia, data, kto otworzył plik – bez treści medycznej) | do 12 miesięcy |
| Kopie zapasowe skrzynki na wyniki | do 7 dni |
| Nagrania monitoringu jeśli jest | do 3 miesięcy od nagrania (art. 23a ust. 2 ustawy o działalności leczniczej) |
| Cookies | zgodnie z tabelą w polityce cookies |
9. Twoje prawa
Masz prawo:
- uzyskać informację, jakie dane o Tobie przetwarzamy, i otrzymać ich kopię (art. 15 RODO);
- poprosić o poprawienie danych, które są nieprawidłowe lub niepełne (art. 16 RODO);
- poprosić o usunięcie danych (art. 17 RODO). Dokumentacji medycznej nie możemy jednak usunąć przed upływem okresu z ustawy o prawach pacjenta, bo przechowujemy ją z obowiązku prawnego;
- poprosić o ograniczenie przetwarzania (art. 18 RODO);
- otrzymać dane, które nam podałaś, w formacie elektronicznym i przekazać je innemu administratorowi – gdy przetwarzamy je na podstawie umowy lub zgody i w sposób zautomatyzowany (art. 20 RODO);
- wnieść sprzeciw wobec przetwarzania opartego na naszym uzasadnionym interesie (art. 21 RODO);
- w każdej chwili wycofać zgodę na cookies. Zrobisz to w „Ustawieniach cookies” w stopce strony. Wycofanie zgody nie sprawia, że wcześniejsze przetwarzanie staje się niezgodne z prawem.
Masz też prawo do dokumentacji medycznej na zasadach z ustawy o prawach pacjenta. Pierwszą kopię w żądanym zakresie otrzymasz bezpłatnie. Szczegóły są na stronie prawa pacjenta.
Aby skorzystać ze swoich praw, napisz na adres adres e-mail do spraw danych albo przyjdź do placówki. Odpowiemy w ciągu miesiąca. Czasem możemy poprosić o potwierdzenie tożsamości, bo nie możemy ujawnić danych o zdrowiu osobie postronnej.
Jeśli uważasz, że przetwarzamy dane niezgodnie z prawem, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych: ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl.
10. Czy musisz podać dane
Podanie danych jest dobrowolne. Bez niektórych danych nie możemy jednak umówić wizyty, ocenić wyniku ani udzielić świadczenia. Część danych, np. PESEL i adres, musimy wpisać do dokumentacji medycznej, bo wymaga tego ustawa o prawach pacjenta.
11. Zautomatyzowane decyzje
Nie podejmujemy wobec Ciebie decyzji w sposób wyłącznie zautomatyzowany i nie profilujemy Cię. Każdą decyzję o badaniu lub zabiegu podejmuje lekarz.
12. Bezpieczeństwo
Stosujemy szyfrowane połączenie (HTTPS), szyfrowanie przesłanych plików, imienne konta z dwuskładnikowym logowaniem i rejestr dostępu do zgłoszeń. Pracownicy mają pisemne upoważnienia i są zobowiązani do zachowania tajemnicy. Jeśli dojdzie do naruszenia ochrony danych, zgłosimy je Prezesowi UODO w ciągu 72 godzin. Gdy naruszenie może powodować wysokie ryzyko dla Twoich praw, poinformujemy także Ciebie.
13. Zmiany polityki
Gdy zmienimy sposób przetwarzania danych, zaktualizujemy tę stronę i datę na górze. Poprzednie wersje udostępnimy na prośbę.