Aktualizacja dnia: 23.08.2025

1. Administrator danych

Administratorem Twoich danych osobowych jest WEKK Sp. z o.o. z siedzibą przy ul. Michała Kajki 10–12, 10-547 Olsztyn, Polska, KRS: 0001073559, NIP: 7393992515, REGON: 527132475.

Kontakt w sprawach ochrony danych: [email protected], korespondencyjnie na adres siedziby.

Administrator nie wyznaczył Inspektora Ochrony Danych. W sprawach RODO prosimy o kontakt pod ww. adresami.

2. Zakres stosowania

Polityka dotyczy danych osób:

korzystających z serwisu medweed.pl (w tym formularzy rejestracyjnych/kontaktowych),
pacjentów (oraz osób upoważnionych/bliskich) w związku z udzielaniem świadczeń zdrowotnych,
kontaktujących się telefonicznie, przez czat lub asystenta głosowego, oraz e-mail,
subskrybentów newslettera i odbiorców komunikacji marketingowej (po zgodzie),
kandydatów do pracy/współpracy oraz kontrahentów.

3. Kategorie danych i źródła

W zależności od relacji przetwarzamy m.in.:

identyfikacyjne i kontaktowe (np. imię, nazwisko, PESEL, adres, e-mail, telefon),
dotyczące zdrowia (wywiad, rozpoznania, wyniki, zlecenia, historia terapii – EDM),
rozliczeniowe (płatności, faktury),
dotyczące wizyt (terminy, gabinet, miasto),
techniczne (logi serwera, identyfikatory urządzeń/ciasteczek, adres IP),
nagrania/transkrypcje wybranych połączeń i rozmów (szczegóły w pkt 12).

Źródła: bezpośrednio od Ciebie lub przedstawiciela, personel medyczny w toku świadczeń, systemy publiczne P1/e-Zdrowie/IKP (zakres wymagany prawem), system EDM (AURERO INTELLIGENCE), operator płatności, formularze rezerwacyjne oraz dane techniczne generowane podczas korzystania z serwisu.

4. Cele i podstawy prawne przetwarzania

Udzielanie świadczeń zdrowotnych, prowadzenie dokumentacji medycznej, zapewnienie ciągłości leczenia – art. 6 ust. 1 lit. c i/lub e RODO w zw. z przepisami sektorowymi (m.in. ustawa o działalności leczniczej, ustawa o prawach pacjenta i RPP; rozporządzenie w sprawie dokumentacji medycznej); dane zdrowotne: art. 9 ust. 2 lit. h RODO.
Rejestracja wizyt i obsługa pacjenta (EDM, przypomnienia, zmiany terminów) – art. 6 ust. 1 lit. b/c/e RODO; dane zdrowotne: art. 9 ust. 2 lit. h RODO.
Płatności i rozliczenia (w tym księgowość i podatki) – art. 6 ust. 1 lit. b/c RODO.
Kontakt i obsługa zapytań – art. 6 ust. 1 lit. b/f RODO (komunikacja jako uzasadniony interes).
Bezpieczeństwo, archiwizacja, dochodzenie/obrona roszczeń – art. 6 ust. 1 lit. f/c RODO.
Marketing (newsletter, SMS, kampanie online, analityka/remarketing) – wyłącznie po zgodzie: art. 6 ust. 1 lit. a RODO + art. 10 uśude / art. 172 Prawa telekomunikacyjnego.
Rekrutacja – art. 6 ust. 1 lit. b/c RODO (KP) oraz lit. a dla danych wykraczających poza wymogi prawa.
Bezpieczeństwo systemów i usług (logi, detekcja nadużyć) – art. 6 ust. 1 lit. f RODO.

5. Dokumentacja medyczna (EDM) i system P1

Prowadzimy dokumentację medyczną w postaci elektronicznej (EDM). Dla usług publicznych (np. e-recepta/e-skierowanie) dane trafiają do systemu e-Zdrowie (P1), gdzie odrębnym administratorem jest Minister Zdrowia/Centrum e-Zdrowie. Informacje o przetwarzaniu w P1 znajdziesz na pacjent.gov.pl / ezdrowie.gov.pl.

6. Odbiorcy danych i podmioty przetwarzające

Dane ujawniamy wyłącznie, gdy to niezbędne i na podstawie umowy powierzenia lub obowiązku prawnego, m.in.:

System EDM i rejestracja: AURERO INTELLIGENCE SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, ul. Armii Krajowej 43A, 94-048 Łódź, Polska; KRS 0001143498, NIP 7272884608, REGON 540388240, forma prawna: sp. z o.o., data rejestracji: 10 grudnia 2024 r., kapitał zakładowy: 5 000 zł — obsługa EDM/rejestracji/dokumentacji.
Operator płatności: np. PayU S.A. (dla płatności online).
Hosting/serwery i kopie zapasowe: dostawcy infrastruktury IT w EOG (OVHcloud).
Poczta/komunikacja: dostawcy e-mail/SMS/telefonii.
Czat: ElevenLabs – jako nasz procesor (szczegóły w pkt 12).
Analityka i marketing online: dostawcy narzędzi (np. tagi Google, Pixel Meta) – wyłącznie po zgodzie w banerze CMP.
Organy publiczne, ZUS, NFZ, ubezpieczyciele – w zakresie wymaganym przepisami.
System P1/e-Zdrowie – jako odrębny administrator (pkt 5).

Aktualną listę procesorów i zakres powierzonych czynności udostępniamy na żądanie.

7. Przekazywanie danych poza EOG

Jeżeli korzystamy z usług dostawców mających infrastrukturę poza EOG (np. USA – voice-AI, analityka, mailing), stosujemy odpowiednie mechanizmy transferu (DPF – EU-US Data Privacy Framework dla podmiotów certyfikowanych, albo Standardowe Klauzule Umowne UE), uzupełnione oceną ryzyka i środkami technicznymi (szyfrowanie, minimalizacja, ograniczenie retencji).

8. Pliki cookies i zarządzanie zgodami (CMP)

Stosujemy narzędzie CMP (baner zgód) umożliwiające równorzędne wyrażenie zgody lub odmowy na cele inne niż niezbędne (brak „pre-checked”). Sama nawigacja/scroll nie stanowi zgody.
Kategorie: niezbędne (bez zgody), analityczne/statystyczne oraz marketingowe – aktywowane dopiero po zgodzie.
W dowolnym momencie możesz zmienić wybór przez link „Ustawienia prywatności” w stopce lub ponownie otwierając baner CMP.
W CMP publikujemy listę vendorów, cele i okresy przetwarzania. Ciasteczka nie będą przetwarzane dłużej niż 12 miesięcy od ostatniej wizyty, chyba że CMP wskazuje krótszy okres.

9. Jak wycofać zgody

Cookies/CMP: „Ustawienia prywatności” → wyłącz odpowiednie kategorie → Zapisz.
Newsletter e-mail: link „Wypisz się” w stopce wiadomości lub e-mail na [email protected].
SMS/telefon: odpowiedz STOP, lub napisz do nas.
Zgody łączone: wyślij prośbę na [email protected] – cofniemy wskazane zgody. Cofnięcie nie wpływa na legalność przetwarzania sprzed cofnięcia.

10. Wymóg podania danych

Podanie danych wymaganych przepisami (dokumentacja medyczna, rozliczenia) jest obowiązkowe. Brak danych kontaktowych może uniemożliwić rejestrację lub odwołanie wizyty. Dane marketingowe są dobrowolne.

11. Twoje prawa

Masz prawo do: dostępu do danych i kopii, sprostowania, usunięcia (w przypadkach przewidzianych prawem), ograniczenia, przenoszenia, sprzeciwu (w tym wobec marketingu bezpośredniego) oraz wycofania zgody w każdej chwili.

Skargę możesz wnieść do Prezesa UODO (uodo.gov.pl).

12. Połączenia telefoniczne, asystent głosowy i czat

Połączenia telefoniczne mogą być nagrywane – informujemy o tym na początku rozmowy. Podstawa: art. 6 ust. 1 lit. f RODO (dowodowa, poprawa jakości), a przy umawianiu wizyt także lit. b (działania przed zawarciem umowy).
Asystent AI/czat (ElevenLabs). Korzystamy z usługi Conversational AI ElevenLabs. W zakresie danych rozmów (treść, transkrypcje, nagrania) ElevenLabs działa jako nasz podmiot przetwarzający (procesor) na podstawie Data Processing Addendum (DPA) i wyłącznie według naszych udokumentowanych instrukcji (retencja, zakres, usuwanie). ElevenLabs może korzystać z dostawców LLM jako podprocesorów – ich lista oraz polityki są wskazane przez ElevenLabs; użytkownik jest o tym informowany przed rozpoczęciem interakcji (ekran/baner zgody). Domyślnie nie przetwarzamy tą drogą danych medycznych – prosimy ich nie podawać; do spraw medycznych służy wyłącznie nasz system EDM (AURERO). Retencję rozmów ustawiamy minimalnie; włączamy tryb Zero Retention tam, gdzie to możliwe. W przypadku transferu danych poza EOG ElevenLabs stosuje standardowe mechanizmy transferu wymagane przez RODO.

13. Okresy przechowywania (retencja)

Dokumentacja medyczna – co do zasady 20 lat od końca roku kalendarzowego ostatniego wpisu; 30 lat (zgon wskutek uszkodzenia ciała/otrucia lub dla monitorowania losów krwi); 10 lat (RTG poza EDM); 5 lat (skierowania/zlecenia) lub 2 lata, gdy świadczenia nie udzielono z powodu niezgłoszenia się pacjenta; 22 lata (dzieci do ukończenia 2 r.ż.).
Rozliczenia/księgowość – przez okres wymagany przepisami (co do zasady 5 lat).
Nagrania/transkrypcje – do 12 miesięcy (dłużej wyłącznie na potrzeby sporu/roszczeń).
Dane marketingowe (log zgód, subskrypcje) – do cofnięcia zgody + okres przedawnienia roszczeń (maks. 3 lata), chyba że prawo wymaga dłużej.

Po upływie terminów dane usuwamy lub anonimizujemy.

14. Środki bezpieczeństwa

Stosujemy m.in. szyfrowanie transmisji i danych „at-rest”, kontrolę dostępu (RBAC, zasada minimalnych uprawnień), uwierzytelnianie 2FA, rejestry i przegląd logów dostępu do EDM, segmentację sieci, regularne szyfrowane kopie zapasowe, testy bezpieczeństwa, oraz procedury reagowania na incydenty (w tym zgłoszenia do UODO w 72 h i zawiadomienia osób – gdy wymagane). Prowadzimy przeglądy umów powierzenia z procesorami.

15. Serwery i lokalizacja przetwarzania

Dane przetwarzamy na serwerach zarządzanych przez WEKK Sp. z o.o. (w EOG, co do zasady w Polsce) oraz u procesorów wskazanych w pkt 6 (w tym AURERO INTELLIGENCE dla EDM). W przypadku transferów poza EOG stosujemy mechanizmy z pkt 7.

16. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy zautomatyzowanych decyzji wywołujących skutki prawne wobec pacjentów. Ewentualne profilowanie marketingowe (np. segmentacja/remarketing) uruchamiamy wyłącznie po zgodzie w CMP i nie wywołuje ono skutków prawnych ani podobnie istotnych.

17. Komentarze w serwisie

Jeśli funkcja komentarzy jest aktywna, treść komentarza i podpis mogą być publiczne. Twój adres e-mail nie jest ujawniany innym użytkownikom.

18. Logi serwera

Korzystanie z serwisu generuje zapytania do serwera. Logi (adres IP, data/godzina, informacje o przeglądarce i systemie) przechowujemy na serwerze wyłącznie jako materiał pomocniczy do administrowania serwisem. Dane mogą być równiez wykorzytsane podczas przesyłania zgłoszenia z błędem na stronie.

19. Zmiany polityki

Możemy aktualizować niniejszą politykę (np. przy zmianach prawa/usług). O istotnych zmianach poinformujemy w serwisie, a gdy właściwe – mailowo/SMS. Aktualna wersja jest dostępna na medweed.pl.

Jak korzystać ze swoich praw? Wnioski i pytania wyślij na [email protected]. Reagujemy niezwłocznie, najpóźniej w terminach przewidzianych RODO.