POLITYKA PRYWATNOŚCI DANYCH OSOBOWYCH

(RODO dla pacjenta)

www.drkaya.pl

Obowiązuje od: 1 września 2026 roku

§1
Tożsamość administratora danych osobowych.

1. Administratorem danych osobowych podawanych w trakcie korzystania ze strony internetowej prowadzonego pod nazwą www.drkaya.pl jest Dr Kaya sp. z o.o. z siedzibą w Warszawie, ul. Biały Kamień 3U.1; 02-593 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIV Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0001199417; NIP: 5361995372; REGON: 54298251000000, kontakt do Administratora: info@drkaya.pl
2. Dane przetwarzane są zgodnie z aktualnie obowiązującymi przepisami prawa; tj. Rozporządzeniem Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO), ustawą z dnia 10 maja 2018 r. o ochronie danych, a także ustawą z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej, a także ustawą z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta.
3. Poniższa Polityka Prywatności (RODO) obejmuje zasady przetwarzania danych osobowych osób korzystających ze świadczeń leczniczych w miejscu prowadzenia działalności Dr Kaya sp. z o.o. przez Administratora danych,jak i gromadzonych poprzez kontakt za pośrednictwem danych teleadresowych (adres e-mail, telefon, rezerwacja wizyt, media społecznościowe, korespondencja tradycyjna, etc.).

§2
Stosowane definicje.

1. W niniejszej polityce stosuje się następujące definicje:
   1. Administrator danych osobowych – podmiot, który decyduje o celu i środkach przetwarzania danych, w niniejszej polityce rozumie się przez to: Dr Kaya sp. z o.o. z siedzibą w Warszawie, ul. Biały Kamień 3U.1; 02-593 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIV Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0001199417; NIP: 5361995372; REGON: 54298251000000, kontakt do Administratora: info@drkaya.pl
   2. Dane osobowe – wszelkie informacje, które bez nadmiernego czasu i kosztu mogą doprowadzić do identyfikacji osoby fizycznej, w tym jej dane identyfikacyjne, adresowe i kontaktowe.
   3. Państwo trzecie – państwo poza Europejskim Obszarem Gospodarczym (EOG).
   4. Strona/Serwis – strona internetowa dostępna pod adresem www.drkaya.pl, za pomocą której Użytkownik może przeglądać zawartość strony internetowej, skontaktować się z Administratorem danych osobowych lub zarezerwować wizytę za pośrednictwem danych  lub formularzy online dostępnych na stronie.
   5. Użytkownik/osoba, której dane dotyczą – osoba fizyczna, której dane dotyczą i która korzysta z usług dostępnych w Serwisie, a także Pacjent korzystający z usług leczniczych w podmiocie leczniczym Dr Kaya sp. z o.o.

§3
Cele przetwarzania danych osobowych.

1. Dr Kaya sp. z o.o. z siedzibą w Warszawie, ul. Biały Kamień 3U.1; 02-593 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIV Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0001199417; NIP: 5361995372; REGON: 54298251000000, kontakt do Administratora: info@drkaya.pl, prowadząca podmiot leczniczy pod nazwą Dr Kaya sp. z o.o. (dalej: Administrator danych osobowych) jest podmiotem zobowiązanym do prowadzenia dokumentacji medycznej pacjenta.
2. Zakres oraz cel przetwarzania danych pacjenta jest regulowany przepisami prawa, w szczególności:
   1. ustawą z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty,
   2. ustawą z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta,
   3. ustawą z dnia 15 kwietnia 2011 r. o działalności leczniczej.
3. Podanie danych osobowych w celu udzielania świadczeń zdrowotnych i prowadzenia dokumentacji medycznej pacjenta przez Administratora danych osobowych jest niezbędne.
4. Przetwarzanie danych pacjenta odbywa się w celu świadczenia usług zdrowotnych, w tym prowadzenia dokumentacji medycznej pacjenta – na podstawie art. 9 ust. 2 lit. h) RODO, w związku z art. 25 ust. 1 oraz art. 29 ust. 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta.
5. Brak danych osobowych pacjenta uniemożliwi realizację obowiązków wynikających z przepisów prawa, w szczególności ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, zobowiązującej podmiot leczniczy do prowadzenia dokumentacji medycznej na zasadach w niej określonych.
6. Przetwarzanie danych w celu świadczenia usług zdrowotnych dotyczy danych wrażliwych, o których mowa w art. 9 ust.1 RODO, w szczególności danych dotyczących stanu zdrowia osoby, której dane dotyczą.
7. Administrator danych osobowych przetwarza także dane osobowe w następujących celach:
   1. rezerwacji wizyty/umówienia terminu świadczenia usług – na podstawie art. 6 ust. 1 lit b) RODO, tj. niezbędność danych w celu zawarcia umowy i przed jej zawarciem, na żądanie osoby, której dane dotyczą (dotyczy danych osobowych zwykłych, w tym m.in. imię i nazwisko, adres e-mail, numer telefonu),
   2. wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, tj. realizacja przysługujących osobie praw związanych z realizacją usług, jak i zawarcie umowy, a przetwarzanie to odbywa się na podstawie art. 6 ust. 1 lit b) RODO,
   3. udzielenia odpowiedzi na zadane pytanie za pośrednictwem formularza kontaktowego lub danych teleadresowych dostępnych na stronie internetowej, na podstawie art. 6 ust. 1 lit. b) RODO, tj. niezbędność danych w celu realizacji umowy lub przed jej zawarciem, na żądanie osoby, której dane dotyczą,
   4. udokumentowania wykonania usług, w tym wystawienia rachunku lub faktury dla osoby fizycznej, na podstawie art. 6 ust. 1 lit. c) RODO, tj. w celu wykonania obowiązków prawnych ciążących na Administratorze danych osobowych, na podstawie art. 70 ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa,
   5. realizacji prawnie uzasadnionych interesów administratora danych lub osoby, której dane dotyczą, w szczególności dochodzenia praw i roszczeń – na podstawie art. 6 ust. 1 lit f) RODO, a także monitoringu wizyjnego na terenie prowadzonego podmiotu leczniczego,
   6. prowadzenia rekrutacji na podstawie art. 6 ust. 1 lit c) RODO, tj. w celu wypełnienia obowiązków prawnych ciążących na Administratorze danych osobowych, wynikających z ustawy z dnia 26 czerwca 1974 r. Kodeks pracy, jak i dobrowolnej zgody osoby, której dane dotyczą (art. 6 ust. 1 lit a) RODO) na podanie dodatkowych danych osobowych,
   7. rozliczenia zawartych umów o pracę oraz umów cywilnoprawnych, na podstawie art. art. 6 ust. 1 lit c) RODO, tj. w celu wypełnienia obowiązków prawnych ciążących na Administratorze danych osobowych, wynikających w szczególności z ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych, ustawy z dnia 26 czerwca 1974 r. Kodeks pracy, ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa, etc. – w zależności od formy prawnej zawartej umowy współpracy,
   8. w celu weryfikacji personelu w odpowiednich rejestrach karnych – Standardy Ochrony Małoletnich – przez okres zatrudnienia pracownika lub współpracy z osobą, której dotyczy dokumentacja, a po jego zakończeniu przez okres przechowywania dokumentacji pracowniczej lub dokumentacji dotyczącej współpracy,
   9. wysłania informacji elektronicznej o prowadzonych akcjach profilaktycznych za zgodą osoby, której dane dotyczą wybranym przez nią kanałem komunikacji (e-mail i/lub telefon).
8. Podanie danych osobowych jest niezbędne w celu umówienia wizyty, wykonania usługi i prowadzenia dokumentacji medycznej, wystawienia dokumentu sprzedaży, dochodzenia roszczeń.
9. Brak danych uniemożliwia prawidłową realizację obowiązków prawnych nałożonych na Administratora danych osobowych. Podanie danych osobowych w pozostałych celach jest dobrowolne.

§4
Sposoby pozyskiwania danych osobowych.

1. Dane osobowe gromadzone są bezpośrednio od osób, których dane dotyczą, a gdy pacjentem jest osoba małoletnia lub ubezwłasnowolniona od jej rodzica lub przedstawiciela ustawowego.
2. Dane osobowe podawane są poprzez bezpośredni kontakt z Administratorem danych za pomocą danych teleadresowych dostępnych lub formularzy online na stronie internetowej lub w formie tradycyjnej w miejscu prowadzenia działalności.

§5
Okres przetwarzania danych osobowych.

1. Dane osobowe są przetwarzane przez okres niezbędny do realizacji celu, dla którego zostały zebrane, tj.:
   1. w celu prowadzenia dokumentacji medycznej Pacjenta – 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu, za wyjątkami wskazanymi w art. 29 ust. 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta,
   2. w celu wystawienia dokumentów księgowych – 5 lat od kiedy podatek był wymagalny na podstawie art. 112 ustawy z dnia 11 marca 2004 r. o podatku od towarów i usług, a w przypadku faktury ustrukturyzowanej, po przesłaniu do Krajowego Systemu e-Faktur (KSeF), dane są przechowywane przez okres 10 lat, licząc od końca roku, w którym zostały wystawione, na podstawie art. 112 aa ustęp 1 Ustawy z dnia 11 marca 2004 r. o podatku od towarów i usług.
   3. w celu udzielenia odpowiedzi poprzez środki teleinformatyczne (zapytania, informacje o wolnych terminach, cenniku, usługach, etc.) – dane przetwarzane są wyłącznie przez okres niezbędny do udzielenia odpowiedzi, ale nie dłużej niż przez 6 miesięcy od dnia otrzymania zapytania, jeśli nie doszło do zawarcia umowy o świadczenie usług,
   4. w celu monitorowania wizyjnego obszaru przetwarzania – do 7 dni. Termin ten może zostać przedłużony wyłącznie w sytuacji, gdy nagranie stanowi lub może stanowić dowód w postępowaniu przed organami ścigania do czasu prawomocnego zakończenia postępowania,
   5. przez okres niezbędny do przeprowadzenia rekrutacji, ale nie dłużej niż 6 miesięcy, a w przypadku zgody na cele rekrutacji przyszłych do czasu odwołania zgody. Kandydat ma możliwość odwołania zgody w dowolnym czasie, bez wpływu na zgodność przetwarzania przed jej zawarciem,
   6. w celu rozliczenia pracowników i współpracowników – 10 lat w przypadku ubezpieczonych zgłoszonych do ubezpieczeń po 31 grudnia 2018 r., na podstawie art. 3 ustawy z 10 stycznia 2018 r. o zmianie niektórych ustaw w związku ze skróceniem okresu przechowywania akt pracowniczych oraz ich cyfryzacją, a w przypadku faktury ustrukturyzowanej, po przesłaniu do Krajowego Systemu e-Faktur (KSeF), dane są przechowywane przez okres 10 lat, licząc od końca roku, w którym zostały wystawione, na podstawie art. 112 aa ustęp 1 ustawy z dnia 11 marca 2004 r. o podatku od towarów i usług,
   7. w przypadku przetwarzania danych na inne cele dane będą przechowywane przez okres niezbędny do realizacji tego celu, o czym osoba, której dane dotyczą zostanie poinformowana.

§7
Odbiorcy danych osobowych.

1. Dr Kaya sp. z o.o. jako podmiot leczniczy udostępnia dokumentację medyczną pacjentowi lub jego przedstawicielowi ustawowemu, bądź osobie upoważnionej przez pacjenta.
2. Dane osobowe pacjenta mogą zostać udostępnione innym podmiotom leczniczym w celu zapewnienia ciągłości leczenia oraz dostępności świadczeń zdrowotnych, w tym laboratoriom  diagnostyki laboratoryjnej i/lub obrazowej, jeśli jest to niezbędne do realizacji świadczeń, a także organom władzy publicznej lub podmiotom wskazanym wyraźnie w art. 26 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, w tym Rzecznikowi Praw Pacjenta oraz organom samorządu zawodów medycznych, w zakresie niezbędnym do wykonywania przez te podmioty ich zadań, w szczególności nadzoru i kontroli.
3. Dane osobowe pacjenta mogą zostać powierzone innym podmiotom w celu wykonania usług na zlecenie Administratora danych, w szczególności w celu:
   1. hostingu strony www i utrzymania poczty elektronicznej Administratora danych,
   2. serwisu i utrzymania systemów informatycznych, w których dane są przetwarzane, w tym w celu prowadzenia dokumentacji w związku z udzielaniem świadczeń leczniczych i obsługi pacjenta,
   3. realizacji usług protetycznych i technicznych na rzecz Administratora danych, niezbędnych do wykonania świadczeń zdrowotnych udzielanych pacjentom.
4. Osoby wykonujące zawód medyczny oraz inne osoby wspomagające czynności pomocnicze przy udzielaniu świadczeń zdrowotnych są upoważnione do przetwarzania danych zawartych w dokumentacji medycznej pacjenta. Osoby te są jednocześnie zobowiązane do zachowania w tajemnicy informacji związanych z pacjentem uzyskanych w związku z wykonywaniem świadczeń.

§8
Przekazywanie danych pod Europejski Obszar Gospodarczy (EOG).

1. Dane osobowe nie będą przetwarzane poza Europejskim Obszarem Gospodarczym, poza następującymi wyjątkami:
   1. jeśli będzie to niezbędne do zapewnienia ciągłości świadczeń zdrowotnych na rzecz pacjenta, w szczególności w przypadku przekazania dokumentacji medycznej do wybranej przez pacjenta placówki medycznej na terytorium Turcji. W takim przypadku przekazanie danych będzie odbywało się z zastosowaniem odpowiednich zabezpieczeń przewidzianych w RODO, w szczególności Standardowych Klauzul Umownych, a w szczególnych przypadkach na wyraźnej i dobrowolnej zgodzie  pacjenta albo innej przesłance dopuszczającej przekazanie danych do państwa trzeciego, zgodnie z rozdziałem V RODO,
   2. jeśli będzie wiązało się to z aktywnością osoby której dane dotyczą na profilu Instagram, prowadzonym przez Administratora Danych Osobowych, szczególnie osób, które korzystają ze środków komunikacji elektronicznej na fanpage’u – Instagram, lubią i/lub obserwują profil. Dane osobowe Użytkownika w wyżej opisanej sytuacji będą przetwarzane na terenie Stanów Zjednoczonych Ameryki (USA). Przekazanie danych do USA odbywa się na podstawie decyzji Komisji Europejskiej z 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony danych osobowych zapewniony przez tzw. „Ramy ochrony danych UE-USA” (EU-US Data Privacy Framework) w stosunku do dostawców wpisanych na listę departamentu  handlu USA, jak: Meta Platforms, Inc., Menlo Park, California, USA. Administrator Danych osobowych będzie współadministratorem danych wraz z  Meta Platforms, Inc., (dostawca Instagram). W pozostałym zakresie administratorem danych Użytkowników tych serwisów społecznościowych jest Meta Platforms, Inc., Menlo Park, California/Meta Platforms Ireland Limited (dawniej: Facebook Inc., z siedzibą przy 1 Hacker Way, Menlo Park, CA 94025, USA), a przetwarzanie tych danych odbywa się na zasadach opisanych w regulaminach i politykach prywatności użytkowników tych serwisów, w tym na: https://www.facebook.com/privacy

§10
Prawa osób, których dane dotyczą

1. Osobom, których dane dotyczą przysługuje prawo:
   1. prawo dostępu do treści danych i ich sprostowania,
   2. prawo do cofnięcia zgody w dowolnym momencie, jeśli podstawą przetwarzania danych była zgoda osoby, której dane dotyczą. Odwołanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego na jej podstawie, przed jej cofnięciem,
   3. prawo do otrzymania bezpłatnie pierwszej kopii danych w żądanym zakresie,
   4. prawo do usunięcia danych, o ile nie obowiązują inne przepisy prawa, które zobowiązują Administratora danych do archiwizacji danych,
   5. prawo do przenoszenia danych, o ile podstawą przetwarzania danych jest umowa lub zgoda osoby, której dane dotyczą, a przetwarzanie danych odbywa się w sposób automatyczny,
   6. prawo do wniesienia sprzeciwu na przetwarzanie danych w ramach usprawiedliwionego interesu prawnego administratora danych,
   7. prawo do ograniczenia przetwarzania, w szczególności gdy administrator nie potrzebuje już danych osobowych do celów przetwarzania, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń,
   8. prawo do niepodlegania automatycznemu profilowaniu, jeśli administrator danych podejmowałby decyzje opierające się wyłącznie na automatycznym profilowaniu i niosące ze sobą skutki prawne dla osoby, której dane dotyczą lub podobnie na nią wpływały,
   9. prawo do kontroli przetwarzania danych i informacji na temat tego, kto jest administratorem danych, a także uzyskania informacji o celu, zakresie i sposobie przetwarzania danych, treści tych danych, źródle danych, a także sposobie udostępniania, w tym o odbiorcach lub kategoriach odbiorców danych.
2. W celu realizacji prawa do informacji, dostępu do treści danych, ich poprawiania, a także innych praw, można skontaktować się z Administratorem danych osobowych.
3. Osoba, której dane dotyczą ma także prawo do wniesienia skargi do Urzędu Ochrony Danych Osobowych (UODO), jeśli przetwarzanie danych narusza przepisy Ogólnego rozporządzania o ochronie danych osobowych (RODO).

§11
Postanowienia końcowe

W przypadku zmiany obowiązującej polityki prywatności, w szczególności gdy będą tego wymagały zastosowane rozwiązania techniczne lub zmiany przepisów prawa w zakresie prywatności osób, których dane dotyczą, wprowadzone zostaną odpowiednie modyfikacje do niniejszej Polityki Prywatności (RODO), które będą obowiązywały w ciagu 14 dni od ich opublikowania na stronie Serwisu.