POLITYKA PRYWATNOŚCI

serwisu internetowego oraz systemu SaaS CaReMeApp
www.caremeapp.eu

1. Postanowienia ogólne

1. Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych w związku z:
   1. korzystaniem ze strony internetowej dostępnej pod adresem www.caremeapp.eu;
   2. korzystaniem z systemu informatycznego CaReMeApp, udostępnianego w modelu Software as a Service (SaaS);
   3. komunikacją z Safety Software Sp. z o.o. za pośrednictwem formularzy, poczty elektronicznej lub innych dostępnych kanałów kontaktu;
   4. integracjami systemu z zewnętrznymi serwisami, w tym integracjami API realizowanymi na potrzeby rezerwacji wizyt, obsługi płatności i organizacji świadczeń.
2. Niniejsza Polityka Prywatności ma charakter informacyjny i została sporządzona w celu wykonania obowiązków wynikających w szczególności z:
   1. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. („RODO”);
   2. ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych;
   3. ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną;
   4. przepisów regulujących korzystanie z plików cookies i podobnych technologii;
   5. innych właściwych przepisów prawa polskiego i unijnego dotyczących ochrony danych osobowych.
3. Użyte w niniejszej Polityce Prywatności pojęcia należy rozumieć zgodnie z definicjami przyjętymi w RODO, chyba że z treści dokumentu wyraźnie wynika inaczej.

2. Administrator danych i dane kontaktowe

1. Administratorem danych osobowych w zakresie określonym w niniejszej Polityce Prywatności jest:

Safety Software Spółka z ograniczoną odpowiedzialnością
ul. Półanki 80
30-740 Kraków
Polska

KRS: 0001196649
NIP: PL 6793342803
REGON: 542821668

e-mail do spraw prawnych: legal@caremeapp.eu

2. W sprawach dotyczących ochrony danych osobowych można kontaktować się z Administratorem również za pośrednictwem dedykowanego adresu kontaktowego: iod@caremeapp.eu.
3. Adres wskazany w ust. 2 stanowi punkt kontaktowy w sprawach związanych z ochroną danych osobowych.

3. Role w zakresie przetwarzania danych

1. W ramach działalności związanej z CaReMeApp Safety Software Sp. z o.o. może występować w dwóch odrębnych rolach:
   1. jako administrator danych osobowych – w odniesieniu do danych osób kontaktujących się z Administratorem, użytkowników systemu, przedstawicieli klientów biznesowych, osób odpowiedzialnych za rozliczenia oraz innych danych związanych z relacją biznesową i korzystaniem ze strony internetowej;
   2. jako podmiot przetwarzający – w odniesieniu do danych pacjentów oraz innych osób, których dane są wprowadzane do systemu przez klientów korzystających z CaReMeApp, w szczególności placówki medyczne, terapeutyczne, diagnostyczne lub inne podmioty świadczące usługi specjalistyczne.
2. W zakresie danych pacjentów, dokumentacji wizyt, notatek, historii leczenia, załączników i innych danych powierzonych przez klienta biznesowego, administratorem danych pozostaje co do zasady klient korzystający z systemu, a Safety Software Sp. z o.o. przetwarza te dane wyłącznie w zakresie niezbędnym do świadczenia usługi SaaS.
3. Safety Software Sp. z o.o. nie wykorzystuje danych pacjentów wprowadzanych do systemu przez klientów do własnych celów marketingowych, handlowych ani analitycznych.
4. System został zaprojektowany z uwzględnieniem zasady ograniczonego dostępu. Konto typu superadministrator nie posiada domyślnego, operacyjnego dostępu do treści dokumentacji medycznej ani danych wrażliwych użytkowników końcowych.
5. Dostęp techniczny do danych może wystąpić wyłącznie incydentalnie, w zakresie niezbędnym do usunięcia awarii, analizy incydentu, realizacji zgłoszenia serwisowego, zapewnienia bezpieczeństwa lub wykonania prawnie uzasadnionych obowiązków Administratora, z zachowaniem zasady minimalizacji dostępu i odpowiedniego upoważnienia.

4. Kategorie danych oraz źródła ich pozyskiwania

4.1. Dane użytkowników systemu i przedstawicieli klientów biznesowych

1. W związku z zawarciem i realizacją umowy o korzystanie z CaReMeApp Administrator może przetwarzać w szczególności:
   1. imię i nazwisko;
   2. służbowy adres e-mail;
   3. numer telefonu;
   4. dane identyfikacyjne i rejestrowe podmiotu korzystającego z systemu;
   5. dane do faktury i dane rozliczeniowe;
   6. dane logowania;
   7. historię aktywności w systemie;
   8. adres IP oraz dane techniczne urządzenia i przeglądarki.
2. Dane te pozyskiwane są bezpośrednio od osoby, której dane dotyczą, lub od podmiotu, który reprezentuje.

4.2. Dane osób kontaktujących się z Administratorem

1. W przypadku kontaktu za pośrednictwem formularza, poczty elektronicznej lub innych kanałów komunikacji Administrator może przetwarzać:
   1. imię i nazwisko;
   2. adres e-mail;
   3. numer telefonu;
   4. dane firmy;
   5. treść wiadomości;
   6. inne informacje dobrowolnie podane w korespondencji.
2. Podanie danych jest dobrowolne, lecz ich niepodanie może uniemożliwić udzielenie odpowiedzi lub podjęcie kontaktu.

4.3. Dane pacjentów oraz dane wprowadzane do systemu przez klientów

1. W ramach funkcjonowania systemu klienci korzystający z CaReMeApp mogą wprowadzać do systemu dane swoich pacjentów lub innych osób obsługiwanych przez dany podmiot.
2. Zakres tych danych zależy od sposobu korzystania z systemu i może obejmować w szczególności:
   1. imię i nazwisko;
   2. adres e-mail;
   3. numer telefonu;
   4. dane dotyczące wizyt i ich harmonogramu;
   5. dane rozliczeniowe związane z wizytą lub świadczeniem;
   6. dokumentację medyczną lub terapeutyczną;
   7. notatki specjalistyczne;
   8. historię leczenia lub terapii;
   9. załączniki i dokumenty dodane do kartoteki.
3. Zakres danych wprowadzanych do systemu jest ustalany przez administratora tych danych, tj. klienta korzystającego z CaReMeApp.

4.4. Dane przekazywane przez integracje API

1. W przypadku integracji systemu z zewnętrznymi stronami lub systemami rezerwacyjnymi klientów, do CaReMeApp mogą być przekazywane w szczególności:
   1. imię i nazwisko pacjenta;
   2. adres e-mail;
   3. numer telefonu;
   4. termin wizyty;
   5. identyfikator usługi lub rezerwacji.
2. System nie wymaga podawania opisu problemu zdrowotnego na etapie samej rezerwacji, chyba że administrator danych wdroży inne rozwiązanie w ramach własnej infrastruktury lub własnych procesów.

4.5. Dane szczególnych kategorii

1. System może być wykorzystywany do przetwarzania danych szczególnych kategorii, w szczególności danych dotyczących zdrowia, jeżeli klient korzystający z systemu wprowadza takie dane do systemu.
2. W zakresie takich danych Safety Software Sp. z o.o. działa jako podmiot przetwarzający, a decyzję o celach, zakresie i podstawie prawnej ich przetwarzania podejmuje właściwy administrator danych.

4.6. Dane techniczne i eksploatacyjne

1. W związku z korzystaniem ze strony internetowej lub systemu Administrator może przetwarzać również dane techniczne, w tym:
   1. adres IP;
   2. identyfikatory sesji;
   3. dane przeglądarki i urządzenia;
   4. dane eksploatacyjne i logi systemowe;
   5. dane związane z bezpieczeństwem oraz telemetrią systemową.

5. Cele i podstawy prawne przetwarzania danych

5.1. Dane przetwarzane przez Administratora jako administratora danych

Administrator przetwarza dane osobowe we własnym imieniu w szczególności w następujących celach:

1. zawarcie i wykonanie umowy o świadczenie usług SaaS – na podstawie art. 6 ust. 1 lit. b RODO;
2. obsługa zapytań, prezentacji systemu, komunikacji przedsprzedażowej i powdrożeniowej – na podstawie art. 6 ust. 1 lit. b RODO lub art. 6 ust. 1 lit. f RODO, tj. prawnie uzasadnionego interesu Administratora polegającego na prowadzeniu komunikacji biznesowej;
3. realizacja obowiązków księgowych, podatkowych i sprawozdawczych – na podstawie art. 6 ust. 1 lit. c RODO;
4. zapewnienie bezpieczeństwa systemu, przeciwdziałanie nadużyciom, obsługa incydentów, monitorowanie poprawności działania usług oraz zabezpieczenie roszczeń – na podstawie art. 6 ust. 1 lit. f RODO;
5. obsługa wsparcia technicznego i zgłoszeń serwisowych – na podstawie art. 6 ust. 1 lit. b lub lit. f RODO;
6. dochodzenie roszczeń, obrona przed roszczeniami oraz wykazanie zgodności z obowiązkami prawnymi – na podstawie art. 6 ust. 1 lit. f RODO.

5.2. Dane pacjentów i inne dane powierzone przez klientów

1. W zakresie danych pacjentów oraz innych danych wprowadzanych do systemu przez klientów Safety Software Sp. z o.o. przetwarza dane wyłącznie w celu świadczenia usługi SaaS na rzecz administratora tych danych.
2. Przetwarzanie obejmuje w szczególności:
   1. przechowywanie i organizację danych;
   2. zapewnienie dostępności systemu;
   3. obsługę harmonogramów, rezerwacji i kartotek;
   4. obsługę płatności realizowanych w ramach funkcjonalności wdrożonych przez klienta;
   5. umożliwienie wysyłki komunikatów organizacyjnych dotyczących wizyty, terminu, rozliczenia lub funkcjonowania usługi;
   6. wykonywanie kopii zapasowych i przywracanie danych;
   7. zapewnienie bezpieczeństwa i integralności systemu.
3. Podstawę prawną przetwarzania danych pacjentów ustala administrator danych korzystający z CaReMeApp. Safety Software Sp. z o.o. nie ustala samodzielnie tej podstawy.
4. Jeżeli klient korzystający z systemu zdecyduje o wysyłce wiadomości e-mail lub innych komunikatów do pacjentów, zakres i treść takich komunikatów określa ten klient jako administrator danych. Klient powinien konfigurować komunikację w sposób zgodny z zasadą minimalizacji danych i poufności.

5.3. Dane dotyczące płatności

1. W ramach systemu mogą być obsługiwane płatności dokonywane przez klientów biznesowych lub pacjentów, w zależności od wdrożonych funkcjonalności.
2. W takim zakresie Administrator może przetwarzać:
   1. identyfikator transakcji;
   2. status płatności;
   3. kwotę;
   4. dane identyfikacyjne płatnika, o ile są niezbędne do realizacji płatności lub rozliczenia.
3. Dane kart płatniczych nie są przechowywane przez Safety Software Sp. z o.o.
4. Dane niezbędne do realizacji płatności mogą być przekazywane operatorom płatności, działającym jako odrębni administratorzy danych w zakresie realizacji transakcji płatniczej.

6. Odbiorcy danych i podmioty współpracujące

1. Dane osobowe mogą być ujawniane wyłącznie podmiotom, którym ich przekazanie jest niezbędne do realizacji celów opisanych w niniejszej Polityce Prywatności, w szczególności:
   1. dostawcom infrastruktury hostingowej i serwerowej;
   2. dostawcom usług utrzymaniowych i bezpieczeństwa IT;
   3. operatorom płatności;
   4. podmiotom świadczącym usługi księgowe, prawne lub audytowe;
   5. podmiotom wspierającym Administratora w realizacji zgłoszeń serwisowych lub obowiązków prawnych.
2. Dane pacjentów powierzonych przez klientów nie są udostępniane przez Safety Software Sp. z o.o. podmiotom trzecim do ich własnych celów.
3. W przypadku realizacji płatności dane mogą być przekazywane operatorom płatności, w szczególności takim jak PayPro S.A. (Przelewy24), a w przypadku wdrożenia dodatkowych metod płatności także innym operatorom zapewniającym obsługę transakcji.
4. Odbiorcami danych mogą być także organy publiczne, sądy, organy ścigania lub inne podmioty uprawnione do uzyskania danych na podstawie obowiązujących przepisów prawa.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Co do zasady dane osobowe przetwarzane w ramach CaReMeApp przechowywane są na infrastrukturze zlokalizowanej na terenie Unii Europejskiej.
2. Środowisko hostingowe i kopie zapasowe systemu utrzymywane są na terenie Unii Europejskiej, w tym w infrastrukturze zlokalizowanej w Niemczech.
3. Administrator wykorzystuje rozwiązanie typu Key Management Service (KMS) służące do zarządzania materiałem kryptograficznym wykorzystywanym do zabezpieczania danych. Usługa ta nie stanowi miejsca przechowywania danych osobowych jako takich, lecz element systemu zabezpieczeń.
4. W związku z korzystaniem z wybranych usług zewnętrznych, w szczególności usług antyspamowych, usług operatorów płatności lub innych usług technicznych, może dojść do przekazania określonych danych poza Europejski Obszar Gospodarczy lub do podmiotów funkcjonujących w międzynarodowych strukturach organizacyjnych.
5. W takim przypadku przekazanie danych odbywa się wyłącznie na podstawie mechanizmów przewidzianych w rozdziale V RODO, w szczególności na podstawie:
   1. decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony;
   2. standardowych klauzul umownych;
   3. innych prawnie dopuszczalnych zabezpieczeń.

8. Okres przechowywania danych

1. Dane przetwarzane przez Administratora jako administratora danych przechowywane są:
   1. przez okres obowiązywania umowy – w przypadku danych związanych z korzystaniem z systemu;
   2. przez okres niezbędny do rozliczenia współpracy i wykonania obowiązków prawnych;
   3. przez okres wymagany przepisami prawa podatkowego i rachunkowego – w odniesieniu do dokumentacji księgowej;
   4. przez okres niezbędny do ustalenia, dochodzenia lub obrony roszczeń.
2. Dane pacjentów oraz inne dane wprowadzone do systemu przez klientów przechowywane są zgodnie z decyzjami administratora tych danych.
3. System umożliwia zarówno:
   1. usunięcie danych na żądanie administratora danych,
   2. jak i archiwizację danych jako element kartoteki pacjenta, historii świadczeń lub dokumentacji prowadzonej przez administratora danych.
4. Safety Software Sp. z o.o. nie określa samodzielnie okresów przechowywania danych medycznych powierzonych przez klientów, chyba że obowiązek taki wynika wprost z przepisów prawa lub z konieczności zapewnienia integralności kopii zapasowych.
5. Logi systemowe i logi serwerowe przechowywane są przez okres 30 dni, a następnie ulegają usunięciu lub nadpisaniu.
6. Kopie zapasowe mają charakter przyrostowy, są szyfrowane i podlegają cyklicznemu nadpisywaniu zgodnie z przyjętą polityką retencji backupów. Usunięcie danych z systemu produkcyjnego skutkuje ich usunięciem również z kopii zapasowych po zakończeniu odpowiedniego cyklu retencyjnego.

9. Prawa osób, których dane dotyczą

9.1. Osoby, których dane Administrator przetwarza jako administrator danych

1. Osobie, której dane są przetwarzane przez Safety Software Sp. z o.o. jako administratora danych, przysługuje – w przypadkach przewidzianych prawem – prawo do:
   1. dostępu do danych;
   2. sprostowania danych;
   3. usunięcia danych;
   4. ograniczenia przetwarzania;
   5. przenoszenia danych;
   6. wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie;
   7. wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
2. Wnioski dotyczące realizacji powyższych praw można kierować na adres: legal@caremeapp.eu lub iod@caremeapp.eu.

9.2. Osoby, których dane są przetwarzane w systemie przez klientów

1. W zakresie danych pacjentów oraz innych danych przetwarzanych w systemie na rzecz klientów, Safety Software Sp. z o.o. działa co do zasady jako podmiot przetwarzający.
2. Oznacza to, że żądania dotyczące dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia lub realizacji innych praw powinny być kierowane bezpośrednio do właściwego administratora danych, tj. placówki lub specjalisty korzystającego z systemu.
3. Safety Software Sp. z o.o. może wspierać administratora danych w realizacji jego obowiązków wyłącznie na jego udokumentowane polecenie lub w granicach wynikających z obowiązujących przepisów prawa.

10. Bezpieczeństwo danych

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne mające na celu zapewnienie bezpieczeństwa danych osobowych, odpowiedniego do ryzyka związanego z ich przetwarzaniem.
2. W szczególności Administrator stosuje rozwiązania obejmujące:
   1. szyfrowanie danych wrażliwych przechowywanych w bazie danych;
   2. szyfrowanie kopii zapasowych;
   3. ograniczenie dostępu do danych zgodnie z zasadą minimalnych uprawnień;
   4. lokalne odseparowanie bazy danych od publicznie dostępnej warstwy serwisu;
   5. rejestrowanie zdarzeń technicznych i bezpieczeństwa;
   6. zabezpieczenia transmisji danych przy użyciu aktualnych protokołów kryptograficznych.
3. Połączenia z serwisem zabezpieczone są przy użyciu protokołów TLS 1.2 i TLS 1.3, z zastosowaniem mechanizmu HSTS.
4. Administrator podejmuje działania mające na celu ograniczenie nieuprawnionego dostępu do danych oraz minimalizację ryzyka incydentów bezpieczeństwa.

11. Zautomatyzowane podejmowanie decyzji i profilowanie

1. W ramach CaReMeApp nie dochodzi do zautomatyzowanego podejmowania decyzji wywołujących skutki prawne wobec osób, których dane dotyczą, w rozumieniu art. 22 RODO.
2. System nie stosuje profilowania pacjentów lub użytkowników w celu podejmowania decyzji medycznych, terapeutycznych, finansowych ani administracyjnych.

12. Korzystanie ze strony internetowej, pliki cookies i narzędzia zewnętrzne

1. Strona internetowa może wykorzystywać pliki cookies oraz podobne technologie w zakresie niezbędnym do jej prawidłowego działania, zapewnienia bezpieczeństwa oraz obsługi formularzy kontaktowych.
2. Formularze strony mogą być zabezpieczone za pomocą Google reCAPTCHA, w tym również w trybie działającym w tle. W związku z korzystaniem z tego rozwiązania Google może przetwarzać określone dane techniczne użytkownika, takie jak adres IP, dane urządzenia, dane przeglądarki lub informacje o sposobie korzystania ze strony.
3. W przypadku korzystania z funkcjonalności osadzonych lub zewnętrznych, takich jak materiały wideo, mapy, bramki płatnicze lub inne usługi podmiotów trzecich, dane techniczne użytkownika mogą zostać przekazane dostawcy danej usługi zgodnie z jego zasadami przetwarzania danych.
4. Strona może zawierać odnośniki lub przyciski prowadzące do zewnętrznych serwisów społecznościowych. Skorzystanie z takich funkcji może wiązać się z przekazaniem danych do właściwego operatora danego serwisu zgodnie z jego własną polityką prywatności.

13. Charakter podania danych

1. Podanie danych osobowych jest co do zasady dobrowolne, jednak może być niezbędne do:
   1. zawarcia i wykonania umowy;
   2. założenia konta użytkownika;
   3. skorzystania z wybranych funkcjonalności systemu;
   4. dokonania płatności;
   5. uzyskania odpowiedzi na przesłane zapytanie.
2. Niepodanie danych wymaganych do realizacji danego celu może skutkować brakiem możliwości świadczenia usługi, nawiązania współpracy, odpowiedzi na wiadomość lub wykonania określonej funkcjonalności.

14. Zmiany Polityki Prywatności

1. Administrator zastrzega sobie prawo do zmiany niniejszej Polityki Prywatności w szczególności w przypadku:
   1. zmiany przepisów prawa;
   2. zmiany zakresu funkcjonalności serwisu lub systemu;
   3. wdrożenia nowych integracji lub narzędzi technicznych;
   4. zmiany modelu świadczenia usług lub infrastruktury.
2. Aktualna wersja Polityki Prywatności publikowana jest na stronie www.caremeapp.eu.
3. Zmiany wchodzą w życie z chwilą ich opublikowania, chyba że wyraźnie wskazano inny termin ich obowiązywania.

15. Postanowienia końcowe

1. Niniejsza Polityka Prywatności obowiązuje od dnia jej publikacji.
2. W sprawach nieuregulowanych niniejszą Polityką Prywatności zastosowanie mają właściwe przepisy prawa powszechnie obowiązującego, w szczególności przepisy RODO oraz przepisy prawa polskiego.
3. W przypadku rozbieżności między niniejszą Polityką Prywatności a bezwzględnie obowiązującymi przepisami prawa pierwszeństwo mają te przepisy.