Polityka prywatności
1. Postanowienia ogólne i dane Administratora
- Niniejsza Polityka Prywatności („Polityka”) określa zasady przetwarzania danych osobowych przez Administratora w związku z korzystaniem ze sklepu internetowego, platformy e-learningowej, organizacją i realizacją szkoleń oraz usług z nimi związanych. Politykę należy czytać łącznie z informacjami przekazywanymi przy konkretnych formularzach, w tym odrębnymi informacjami i oświadczeniami dotyczącymi pacjentów, modeli, danych dotyczących zdrowia, wizerunku, nagrań oraz komunikacji marketingowej.
- Administratorem danych osobowych jest Medyczne Centrum Dermatologii Estetycznej Osteomed Mirosław Szlachcic, Ewa Szlachcic, Aleksandra Szlachcic s.c., z adresem przy ul. Kazimierza Wielkiego 47, 30-074 Kraków, NIP 6772373721, REGON 122786138 („Administrator”).
- W sprawach dotyczących przetwarzania danych osobowych, w tym w celu wykonania praw opisanych w § 9, można skontaktować się z Administratorem pod adresem email: akademia@medistica.com.pl do spraw ochrony danych lub numer telefonu +48 694 641 164 albo adres korespondencyjny: ul. Kazimierza Wielkiego 47, 30-074 Kraków. Administrator wyznaczył inspektora ochrony danych: email: IOD@cdpm.pl, telefon: +48 883 925 879.
- Polityka dotyczy w szczególności:
- osób składających zamówienia, zawierających umowy lub korzystających ze sklepu internetowego;
- użytkowników platformy e-learningowej, w tym osób posiadających Konto;
- uczestników szkoleń, w tym uczestników wskazanych przez Zamawiającego;
- osób kontaktujących się z Administratorem, składających reklamacje lub zgłoszenia techniczne;
- pacjentów lub modeli uczestniczących w procedurach realizowanych w związku ze szkoleniem;
- osób, których wizerunek lub głos może zostać utrwalony na zdjęciach albo nagraniach.
- Administrator przetwarza dane osobowe zgodnie z RODO, ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych oraz innymi właściwymi przepisami prawa polskiego i unijnego. Dla każdego celu dobiera podstawę prawną odpowiednią do celu, zakresu danych i relacji z osobą, której dane dotyczą; sama Polityka nie stanowi podstawy prawnej przetwarzania.
3. Kategorie przetwarzanych danych
- Zakres przetwarzanych danych zależy od celu, sposobu korzystania z usług oraz relacji z Administratorem. Administrator przetwarza wyłącznie dane adekwatne i niezbędne do danego celu. Kategorie danych mogą obejmować w szczególności:
- dane identyfikacyjne i kontaktowe: imię, nazwisko, nazwa firmy, stanowisko, adres, numer telefonu, adres e-mail, dane do faktury oraz NIP;
- dane zamówienia i rozliczeń: przedmiot zamówienia lub szkolenia, historia transakcji, numer rachunku lub inne dane rozliczeniowe oraz informacje o płatności otrzymywane od operatora płatności; Administrator nie powinien pozyskiwać pełnych danych kart płatniczych, jeżeli obsługuje je zewnętrzny operator;
- dane Konta i dostępu: login lub identyfikator użytkownika, hasło przechowywane w formie zabezpieczonej, ustawienia Konta, uprawnienia, historia logowań oraz komunikacja prowadzona za pośrednictwem Konta;
- dane techniczne: adres IP, identyfikatory urządzenia i przeglądarki, system operacyjny, logi serwera, dane o plikach cookies oraz przybliżona lokalizacja wynikająca z adresu IP;
- dane o aktywności: postęp w kursie, wyniki testów, obecność, ukończone moduły, pobrane materiały, zgłoszenia i korespondencja;
- dane zawodowe niezbędne do kwalifikacji lub udziału w szkoleniu, w tym – wyłącznie gdy uzasadnia to Program Szkolenia, charakter szkolenia lub obowiązek prawny – numer prawa wykonywania zawodu (PWZ), zawód, specjalizacja, miejsce pracy lub status uprawnień;
- dane wizerunkowe i nagrania: wizerunek, głos, zdjęcia, nagrania audio-wideo oraz informacje kontekstowe związane z wydarzeniem lub szkoleniem;
- w przypadku pacjentów lub modeli: dane identyfikacyjne, kontaktowe i organizacyjne oraz – wyłącznie w zakresie niezbędnym do kwalifikacji, bezpiecznego przeprowadzenia procedury, dokumentacji i rozliczalności – dane dotyczące zdrowia, informacje medyczne, dane o przebiegu procedury i dokumentacja obrazowa.
4. Cele, podstawy prawne i okresy przechowywania
- Administrator przetwarza dane wyłącznie w zakresie niezbędnym do realizacji konkretnych celów. Podstawa prawna i okres przechowywania zależą od kategorii osób, rodzaju usługi i okoliczności przetwarzania. Gdy podstawą przetwarzania jest zgoda, jej wycofanie nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem.
| Osoby / cel | Zakres i cel przetwarzania | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Klienci, Zamawiający i użytkownicy | Założenie Konta, zawarcie i wykonanie umowy, obsługa zamówień, dostarczenie treści cyfrowych, udział w szkoleniu, kontakt i rozliczenia. | Art. 6 ust. 1 lit. b RODO; w zakresie obowiązków prawnych także art. 6 ust. 1 lit. c RODO. | Przez czas umowy, a następnie do upływu okresu przedawnienia roszczeń; dokumenty księgowe – przez okres wymagany prawem. |
| Uczestnicy zgłoszeni przez Zamawiającego | Organizacja udziału w szkoleniu, weryfikacja uprawnień lub PWZ, kontakt organizacyjny, ewidencja obecności i wydanie zaświadczeń. | Art. 6 ust. 1 lit. b RODO, jeżeli Uczestnik jest stroną umowy; w pozostałych przypadkach art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na organizacji i rozliczalności szkolenia; art. 6 ust. 1 lit. c RODO, gdy obowiązek wynika z przepisów. | Przez czas realizacji szkolenia i rozliczeń, a następnie przez okres przedawnienia roszczeń lub wymagany przepisami. |
| Sklep i Platforma | Zapewnienie bezpieczeństwa, obsługa zgłoszeń, wykrywanie nadużyć, utrzymanie usług oraz dochodzenie albo obrona roszczeń. | Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora. | Co do zasady przez okres niezbędny do celu, w tym logi zgodnie z celami technologicznymi i bezpieczeństwa IT, a dane roszczeniowe do przedawnienia roszczeń. |
| Marketing własny | Informowanie o własnych usługach, szkoleniach i ofertach; wysyłka newslettera wyłącznie przy spełnieniu właściwych wymogów komunikacji elektronicznej. | Art. 6 ust. 1 lit. f RODO dla marketingu bezpośredniego w dopuszczalnym zakresie oraz zgoda, jeżeli jest wymagana przez przepisy szczególne. | Do wniesienia sprzeciwu wobec marketingu albo wycofania zgody; nie dłużej niż do czasu aktualności danych. |
| Wizerunek i nagrania | Dokumentacja przebiegu szkolenia oraz materiały edukacyjne, informacyjne lub promocyjne – wyłącznie w zakresie wskazanym osobie i adekwatnym do podstawy. | Art. 6 ust. 1 lit. a RODO – zgoda, jeżeli jest wymagana; ewentualnie art. 6 ust. 1 lit. f RODO, jeśli przetwarzanie jest prawnie dopuszczalne i nie narusza praw osoby. | Przez okres wskazany w zgodzie lub informacji dotyczącej nagrania, do jej wycofania w zakresie, w jakim ma zastosowanie, albo do ustania celu. |
| Pacjenci / modele | Kwalifikacja, organizacja i realizacja procedur szkoleniowych oraz dokumentacja konieczna dla bezpieczeństwa i rozliczalności. | Art. 6 ust. 1 lit. b, c lub f RODO – zależnie od charakteru procedury i relacji z osobą; dla danych dotyczących zdrowia także właściwa przesłanka z art. 9 ust. 2 RODO, każdorazowo wskazana w odrębnej informacji lub formularzu. | Zgodnie z przepisami właściwymi dla dokumentacji i charakteru procedury oraz przez okres niezbędny do obrony roszczeń. |
5. Dane dotyczące zdrowia i szczególne kategorie danych
- Dane dotyczące zdrowia stanowią szczególną kategorię danych osobowych. Administrator przetwarza je wyłącznie, gdy jest to niezbędne dla konkretnego celu oraz gdy istnieje zarówno odpowiednia podstawa z art. 6 ust. 1 RODO, jak i przesłanka z art. 9 ust. 2 RODO. Właściwa przesłanka jest ustalana z uwzględnieniem charakteru procedury i roli Administratora; może nią być w szczególności wyraźna zgoda, gdy jest właściwa i ważna, albo inna przesłanka przewidziana prawem. Administrator stosuje podwyższone środki ochrony oraz ogranicza dostęp do tych danych do osób upoważnionych i potrzebujących ich do realizacji zadania.
- Pacjentom i modelom przekazywane są odrębne, szczegółowe informacje dotyczące konkretnej procedury, zakresu danych, celu, podstaw przetwarzania, ryzyk, dokumentacji oraz – gdy ma to zastosowanie – odrębnych zgód, w tym zgód dotyczących wykorzystania wizerunku lub dokumentacji obrazowej. Niniejsza Polityka nie zastępuje takich informacji, zgód ani formularzy. Podanie danych dotyczących zdrowia jest dobrowolne, jednak ich niepodanie może uniemożliwić kwalifikację lub bezpieczne przeprowadzenie procedury.
6. Źródła danych i obowiązek ich podania
- Dane Administrator otrzymuje przede wszystkim bezpośrednio od osoby, której dotyczą: w formularzach, podczas rejestracji Konta, składania zamówienia, udziału w szkoleniu, kontaktu lub korzystania z usług. Dane techniczne mogą być pozyskiwane automatycznie z urządzenia użytkownika podczas korzystania ze sklepu albo Platformy.
- Dane Uczestnika szkolenia mogą zostać przekazane Administratorowi przez Zamawiającego, w szczególności pracodawcę, podmiot kierujący lub osobę dokonującą zgłoszenia. Zamawiający powinien przekazywać wyłącznie dane niezbędne do organizacji udziału oraz posiadać odpowiednią podstawę prawną do ich przekazania. Jeżeli dane nie zostały pozyskane bezpośrednio od Uczestnika, Administrator realizuje obowiązek informacyjny wynikający z art. 14 RODO w terminie i zakresie wymaganym przepisami, z uwzględnieniem ustawowych wyjątków.
- Podanie danych oznaczonych jako wymagane jest dobrowolne, ale konieczne do zawarcia lub wykonania umowy, realizacji płatności, utworzenia Konta, udziału w szkoleniu albo spełnienia obowiązku prawnego. Niepodanie takich danych może uniemożliwić realizację danego celu. Dane przetwarzane na podstawie zgody są dobrowolne.
7. Odbiorcy danych i transfery poza EOG
- Dane mogą być udostępniane wyłącznie upoważnionemu personelowi Administratora oraz podmiotom przetwarzającym działającym na jego udokumentowane polecenie, w zakresie niezbędnym do realizacji usług. Odbiorcami mogą być w szczególności dostawcy hostingu, sklepu i Platformy, usług IT i wsparcia technicznego, operatorzy płatności, banki, dostawcy poczty elektronicznej i narzędzi komunikacyjnych, podmioty księgowe, prawne, szkoleniowe, kurierskie oraz dostawcy narzędzi analitycznych lub marketingowych – jeżeli usługi tych podmiotów są faktycznie wykorzystywane.
- Do istotnych kategorii odbiorców należą w szczególności dostawca sklepu internetowego i Platformy e-learningowej, dostawca hostingu, operator płatności online (Przelewy24), dostawca systemu ratalnego (Comfino), biuro rachunkowe, podmioty świadczące usługi prawne i doradcze, dostawcy usług poczty elektronicznej i komunikacji oraz dostawcy narzędzi newslettera i analityki internetowej – jeżeli usługi tych podmiotów są faktycznie wykorzystywane. Aktualne kategorie odbiorców i podmiotów przetwarzających mogą być doprecyzowane w informacji dostępnej na stronie internetowej Administratora.
- Dane osobowe nie są co do zasady przekazywane poza Europejski Obszar Gospodarczy. Jeżeli w wyjątkowych przypadkach transfer danych poza EOG będzie miał miejsce, Administrator zapewni podstawę prawną i odpowiednie zabezpieczenia wymagane rozdziałem V RODO, w szczególności poprzez stosowanie standardowych klauzul umownych Komisji Europejskiej lub innych środków przewidzianych prawem.
8. Marketing, newsletter, cookies i technologie podobne
8.1. Marketing bezpośredni i newsletter
- Administrator może prowadzić marketing bezpośredni własnych produktów i usług w granicach prawa, w szczególności na podstawie prawnie uzasadnionego interesu, o którym mowa w art. 6 ust. 1 lit. f RODO. Osobie przysługuje prawo sprzeciwu wobec przetwarzania jej danych na potrzeby marketingu bezpośredniego, w tym profilowania związanego z takim marketingiem; po wniesieniu sprzeciwu dane nie będą w tym celu dalej przetwarzane.
- Wysyłka informacji handlowych drogą elektroniczną, w tym newslettera, oraz wykorzystywanie telekomunikacyjnych urządzeń końcowych do celów marketingu bezpośredniego odbywają się wyłącznie po spełnieniu wymogów wynikających z właściwych przepisów o komunikacji elektronicznej, w tym – gdy jest wymagana – po uzyskaniu uprzedniej zgody. Zgoda marketingowa jest dobrowolna i może zostać wycofana w każdym czasie, w szczególności przez link rezygnacji w wiadomości lub kontakt z Administratorem. Administrator może wykorzystywać w szczególności pocztę elektroniczną (newsletter e-mail) oraz inne kanały komunikacji elektronicznej, jeżeli zostaną wdrożone. Zapis na newsletter następuje poprzez formularz zapisu na stronie internetowej lub zaznaczenie odpowiedniego pola zgody przy składaniu zamówienia albo rejestracji Konta. Wypis z newslettera jest możliwy w każdym czasie poprzez użycie linku rezygnacji dostępnego w każdej wiadomości lub poprzez kontakt z Administratorem na dane wskazane w § 1.
8.2. Cookies
- Sklep i Platforma mogą korzystać z plików cookies oraz podobnych technologii w celu zapewnienia prawidłowego działania serwisu, utrzymania sesji, bezpieczeństwa, zapamiętywania preferencji, pomiaru statystyk i – jeżeli zostały wdrożone – działań marketingowych. Niezbędne cookies mogą być stosowane, gdy są konieczne do świadczenia usługi żądanej przez użytkownika albo zapewnienia jej bezpieczeństwa.
- Cookies opcjonalne, w szczególności analityczne, funkcjonalne niewymagane do działania usługi oraz marketingowe, są stosowane wyłącznie na zasadach wymaganych przez właściwe przepisy, w tym – gdy wymaga tego prawo – po uprzednim wyrażeniu zgody. Mechanizm zarządzania preferencjami powinien umożliwiać odmowę, zmianę preferencji i wycofanie zgody równie łatwo jak jej udzielenie. Szczegółowe informacje w tym zakresie zawiera narzędzie do zarządzania plikami cookies na naszej stronie, które określa nazwa panelu cookies, faktycznie stosowane kategorie, cele, okresy przechowywania oraz dostawcy. Użytkownik może także zarządzać cookies w ustawieniach przeglądarki, przy czym ograniczenie cookies niezbędnych może wpływać na działanie serwisu.
8.3. Profilowanie i zautomatyzowane decyzje
- Administrator nie podejmuje wobec osób decyzji wywołujących skutki prawne lub w podobny sposób istotnie na nie wpływających wyłącznie w sposób zautomatyzowany i nie stosuje profilowania w rozumieniu art. 22 RODO.
9. Prawa osób, których dane dotyczą
- Z zastrzeżeniem warunków i wyjątków wynikających z RODO osobie, której dane dotyczą, przysługuje prawo do:
- dostępu do danych oraz uzyskania ich kopii;
- sprostowania danych nieprawidłowych oraz uzupełnienia danych niekompletnych;
- usunięcia danych („prawo do bycia zapomnianym”);
- ograniczenia przetwarzania;
- przenoszenia danych, gdy przetwarzanie odbywa się na podstawie zgody lub umowy oraz w sposób zautomatyzowany;
- wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. e lub f RODO, w tym wobec marketingu bezpośredniego;
- wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed jej wycofaniem;
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, jeżeli osoba uzna, że przetwarzanie narusza przepisy o ochronie danych osobowych.
- Wniosek o realizację praw należy przesłać na dane kontaktowe wskazane w § 1. Administrator może zwrócić się o dodatkowe informacje niezbędne do potwierdzenia tożsamości wnioskodawcy, jeżeli jest to konieczne dla ochrony danych. Administrator udziela odpowiedzi bez zbędnej zwłoki, co do zasady w terminie miesiąca od otrzymania wniosku; w przypadkach przewidzianych RODO termin może zostać przedłużony, o czym osoba zostanie poinformowana. Realizacja praw może podlegać ograniczeniom wynikającym z przepisów prawa.
10. Bezpieczeństwo danych
- Administrator stosuje odpowiednie środki techniczne i organizacyjne, uwzględniające charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw i wolności osób fizycznych. Środki te obejmują w szczególności kontrolę dostępu, upoważnienia personelu, zasadę minimalizacji danych, zabezpieczenia systemów i transmisji, kopie zapasowe, monitorowanie bezpieczeństwa oraz procedury reagowania na incydenty. Dostęp do danych o zdrowiu i innych danych wymagających szczególnej ochrony jest ograniczany do osób, które go potrzebują.
11. Zmiany Polityki
- Polityka może być aktualizowana w przypadku zmian prawa, procesów przetwarzania, funkcjonalności sklepu lub Platformy, wykorzystywanych dostawców albo środków bezpieczeństwa. Aktualna wersja będzie udostępniana w ramach serwisu internetowego Sklepu i Platformy, ze wskazaniem daty obowiązywania. Jeżeli zmiana będzie istotna dla osób, których dane dotyczą, Administrator zastosuje dodatkowy sposób poinformowania adekwatny do charakteru relacji i wymogów prawa.
12. Postanowienia końcowe
- W sprawach nieuregulowanych Polityką stosuje się właściwe przepisy prawa polskiego i prawa Unii Europejskiej. Politykę należy czytać łącznie z Regulaminem sprzedaży i uczestnictwa w szkoleniu online / hybrydowym, Regulaminem Platformy, informacjami przekazywanymi przy konkretnych formularzach oraz odrębnymi formularzami dotyczącymi pacjentów, modeli, danych dotyczących zdrowia, wizerunku, nagrań i komunikacji marketingowej.