Ostatnia aktualizacja: 23.08.2025

1. Administrator danych

Administratorem danych jest WEKK Sp. z o.o. z siedzibą przy ul. Michała Kajki 10–12, 10-547 Olsztyn, Polska, KRS 0001073559, NIP 7393992515, REGON 527132475.

Kontakt w sprawach ochrony danych: [email protected] oraz korespondencyjnie na adres siedziby Administratora.

Inspektor Ochrony Danych (IOD)

Administrator przeprowadził analizę art. 37 RODO i na dzień 23.08.2025 uznał, że skala przetwarzania nie spełnia przesłanki „dużej skali” dla szczególnych kategorii danych w rozumieniu tego przepisu, dlatego IOD nie został wyznaczony. Decyzja jest przeglądana co 12 miesięcy lub po istotnej zmianie skali przetwarzania. Punkt kontaktowy ds. ochrony danych: [email protected].

2. Zakres stosowania

Polityka dotyczy przetwarzania danych osób: korzystających z serwisu medweed.pl i formularzy (rejestracja/kontakt), pacjentów (także osób upoważnionych), kontaktujących się telefonicznie/przez czat/asystenta głosowego/e-mail, subskrybentów newslettera (po zgodzie), kandydatów do pracy/współpracy oraz kontrahentów.

3. Kategorie danych i źródła

Kategorie: dane identyfikacyjne i kontaktowe; dane zdrowotne (EDM: wywiad, rozpoznania, historia terapii); dane rozliczeniowe; dane wizyt (terminy, gabinet, miasto); dane techniczne (logi, identyfikatory urządzeń/ciasteczek, IP); nagrania/transkrypcje połączeń (jeśli dotyczy); dane rekrutacyjne (CV, przebieg rekrutacji); treść korespondencji z formularzy/kontaktu.

Źródła: bezpośrednio od osoby lub przedstawiciela; personel medyczny; systemy P1/e-Zdrowie/IKP (zakres wymagany prawem); system EDM Aurero; operator płatności; formularze serwisu i platform (np. Lead Ads); dane techniczne z korzystania z serwisu.

4. Cele i podstawy prawne przetwarzania

Udzielanie świadczeń zdrowotnych i prowadzenie dokumentacji – art. 6 ust. 1 lit. c RODO; dane zdrowotne: art. 9 ust. 2 lit. h RODO; dodatkowo art. 6 ust. 1 lit. e.
Rejestracja wizyt/obsługa pacjenta (EDM, przypomnienia) – art. 6 ust. 1 lit. b/c; dane zdrowotne: art. 9 ust. 2 lit. h.
Płatności i rozliczenia – art. 6 ust. 1 lit. b/c (w tym rachunkowość/podatki).
Kontakt/obsługa zapytań – art. 6 ust. 1 lit. b/f.
Zabezpieczenie roszczeń, archiwizacja, bezpieczeństwo – art. 6 ust. 1 lit. f/c.
Marketing (newsletter, SMS, kampanie online, cookies analityczne/marketingowe) – wyłącznie po zgodzie: art. 6 ust. 1 lit. a RODO oraz art. 10 uśude / art. 172 PT; newsletter z double opt-in.
Rekrutacja – art. 6 ust. 1 lit. b/c (KP) oraz lit. a dla danych wykraczających poza wymogi prawa.
Bezpieczeństwo systemów i usług (logi, detekcja nadużyć) – art. 6 ust. 1 lit. f.

5. Dokumentacja medyczna, EDM i system P1

Prowadzimy EDM. W zakresie usług publicznych (e-recepta, e-skierowanie) dane są przekazywane do systemu e-Zdrowie (P1), gdzie odrębnym administratorem jest Minister Zdrowia/Centrum e-Zdrowie. Informacje o przetwarzaniu w P1 znajdują się w serwisach pacjent.gov.pl i ezdrowie.gov.pl.

6. Odbiorcy danych i podmioty przetwarzające

Dane przekazujemy wyłącznie, gdy to niezbędne i na podstawie umów powierzenia lub obowiązku prawnego. W szczególności:

EDM i rejestracja: Aurero (Medily sp. z o.o.).
Płatności: np. PayU S.A.
Hosting/serwery/kopie zapasowe: dostawcy w EOG.
Poczta/komunikacja: dostawcy e-mail/SMS/telefonii.
Asystent głosowy/czat: ElevenLabs (pkt 12).
Analityka/marketing online: wyłącznie po zgodzie w CMP (szczegóły w banerze).
CDN/WAF i wtyczki WP: dostawcy zapewniający szybkość i bezpieczeństwo serwisu (np. sieć dostarczania treści, zapora aplikacyjna, narzędzia antyspamowe, formularze), w zakresie niezbędnym do działania i ochrony usług.
Organy publiczne, ZUS, NFZ, ubezpieczyciele: w zakresie wymaganym prawem.
System P1/e-Zdrowie: jako odrębny administrator (pkt 5).

Aktualną listę procesorów i zakres powierzonych czynności udostępniamy na żądanie.

6a. Status administratorów – lekarze i gabinety partnerskie

Co do zasady usługi medyczne świadczone są w ramach WEKK Sp. z o.o. (administrator danych). Gdy pacjent umawia wizytę w gabinecie partnerskim prowadzonym przez odrębny podmiot leczniczy, ten podmiot jest odrębnym administratorem części danych związanych z udzieleniem świadczenia (rejestracja lokalna, dokumentacja wizyty, rozliczenia). Informację o statusie administratora dla danej wizyty przekazujemy przy rejestracji i na potwierdzeniu.

7. Przekazywanie danych poza EOG

Jeśli korzystamy z dostawców mających infrastrukturę poza EOG (np. USA – komunikacja, voice-AI, analityka), stosujemy mechanizmy transferu: EU-US Data Privacy Framework (dla podmiotów certyfikowanych) lub Standardowe Klauzule Umowne UE, uzupełnione oceną ryzyka i środkami technicznymi (szyfrowanie, minimalizacja, ograniczenie retencji).

8. Pliki cookies i narzędzie CMP

Stosujemy CMP umożliwiające równorzędne wyrażenie zgody lub odmowy na cele inne niż niezbędne (brak wstępnie zaznaczonych zgód). Kategorie: niezbędne (bez zgody), analityczne/statystyczne i marketingowe (aktywowane po zgodzie).

Zgodę można w dowolnej chwili zmienić przez link „Ustawienia prywatności” w stopce serwisu lub w banerze CMP. W CMP publikujemy listę vendorów, cele i okresy przetwarzania; sama nawigacja/scroll nie stanowi zgody. Ciasteczka nie będą przetwarzane dłużej niż 12 miesięcy od ostatniej wizyty, chyba że w CMP wskazano krótszy okres.

9. Wycofanie zgód

Cookies/CMP: „Ustawienia prywatności” → wyłącz odpowiednie kategorie → Zapisz.
Newsletter e-mail: link „Wypisz się” w stopce wiadomości lub e-mail na [email protected] (double opt-in przy zapisie).
SMS/telefon: odpowiedz STOP (jeśli dostępne) lub e-mail na [email protected].
Zgody łączone: napisz na [email protected] – wycofamy wskazane zgody. Wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.

10. Wymóg podania danych

Podanie danych wymaganych przepisami (dokumentacja medyczna, rozliczenia) jest obowiązkowe. Brak danych kontaktowych może uniemożliwić rejestrację/odwołanie wizyty. Dane marketingowe są dobrowolne.

11. Prawa osób, których dane dotyczą

Przysługują Ci prawa: dostępu, kopii, sprostowania, usunięcia (w przypadkach przewidzianych prawem), ograniczenia, przenoszenia, sprzeciwu (w tym wobec marketingu bezpośredniego) oraz wycofania zgody w dowolnym momencie. Masz prawo wniesienia skargi do Prezesa UODO (uodo.gov.pl).

12. Połączenia telefoniczne, asystent głosowy i czat

Linia telefoniczna może być nagrywana – informujemy o tym na początku rozmowy. Podstawa: art. 6 ust. 1 lit. f (interes dowodowy i poprawa jakości), a przy umawianiu wizyt także lit. b (działania przed zawarciem umowy).

Asystent głosowy/czat (ElevenLabs): transkrypcje rozmów są przechowywane u dostawcy jako naszego procesora zgodnie z umową powierzenia i retencją; narzędzie nie służy do przekazywania informacji medycznych ani innych danych poufnych – prosimy ich nie podawać; wykorzystujemy minimalny zakres danych do obsługi zapytania/rejestracji; dostawca może przetwarzać dane poza EOG – stosujemy mechanizmy z pkt 7.

13. Okresy przechowywania (retencja)

Dokumentacja medyczna – co do zasady 20 lat od końca roku, w którym dokonano ostatniego wpisu; 30 lat – gdy dokumentacja dotyczy zgonu wskutek uszkodzenia ciała/otrucia lub zawiera informacje niezbędne do monitorowania losów krwi; 10 lat – zdjęcia RTG (jeśli poza EDM); 5 lat (lub 2 lata, gdy świadczenia nie udzielono z powodu niezgłoszenia się pacjenta) – skierowania/zlecenia; 22 lata – dokumentacja dzieci do 2 r.ż.
Rozliczenia/księgowość – przez okres wymagany przepisami (co do zasady 5 lat).
Nagrania/transkrypcje połączeń – do 12 miesięcy (chyba że dłużej na potrzeby sporu/roszczeń).
Dane marketingowe (log zgód, subskrypcje) – do czasu wycofania zgody + maks. 3 lata (przedawnienie roszczeń), chyba że prawo wymaga dłużej.
Rekrutacja – dokumenty aplikacyjne do końca procesu, a za zgodą kandydata do 12 miesięcy na potrzeby przyszłych rekrutacji.
Formularze kontaktowe/korespondencja – do 12 miesięcy od zakończenia sprawy.
Logi serwerowe/WAF – 30–90 dni, chyba że dłużej w celu dochodzenia roszczeń lub zapewnienia bezpieczeństwa.

Po upływie terminów dane usuwamy lub anonimizujemy.

14. Środki bezpieczeństwa

Szyfrowanie transmisji i danych „at-rest”, kontrola dostępu (RBAC), zasada minimalnych uprawnień, 2FA, rejestry i przegląd logów EDM, segmentacja sieci, szyfrowane kopie zapasowe, testy bezpieczeństwa, procedury incydentowe (w tym zgłoszenie do UODO w 72 h i zawiadomienie osób, gdy wymagane), okresowe przeglądy umów powierzenia z procesorami.

15. Serwery i lokalizacja przetwarzania

Dane przetwarzamy na serwerach zarządzanych przez WEKK (w EOG, co do zasady w Polsce) oraz u procesorów wskazanych w pkt 6 (w tym Aurero/Medily dla EDM). W przypadku transferów poza EOG stosujemy mechanizmy z pkt 7.

16. Zautomatyzowane decyzje i profilowanie

Nie prowadzimy zautomatyzowanego podejmowania decyzji wywołującego skutki prawne wobec pacjentów. Profilowanie marketingowe uruchamiamy wyłącznie po zgodzie (cookies CMP) i nie wywołuje ono skutków prawnych ani podobnie istotnych.

17. Komentarze w serwisie (jeśli aktywne)

Jeśli opublikujesz komentarz, jego treść i podpis mogą być widoczne dla innych użytkowników. Twój adres e-mail nie jest ujawniany innym użytkownikom.

18. Zmiany polityki

Polityka może być aktualizowana (zmiany prawa/usług). O istotnych zmianach poinformujemy w serwisie i – gdy właściwe – mailowo/SMS. Bieżąca wersja jest zawsze dostępna na medweed.pl.

19. Monitoring wizyjny (CCTV)

Nie stosujemy własnego monitoringu wizyjnego w gabinetach Medweed. Jeżeli w danej lokalizacji funkcjonuje monitoring budynku prowadzony przez jego właściciela/zarządcę, administratorem nagrań jest zarządca obiektu; retencja i zasady udostępniania wynikają z jego regulaminu. Informacja o takim monitoringu jest przekazywana w oznakowaniu na terenie obiektu.

Jak skorzystać z praw (pkt 11)

Wnioski i zapytania prosimy kierować na [email protected]. Odpowiadamy niezwłocznie, najpóźniej w terminach przewidzianych RODO. Link do „Ustawienia prywatności” (CMP) znajduje się w stopce każdej podstrony.