Umowa powierzenia przetwarzania danych

§ 1. Strony i zawarcie umowy

1. Umowa jest zawierana między Klientem w rozumieniu Regulaminu serwisu (dalej: Administrator) a Profil Lekarza sp. z o.o. z siedzibą w Warszawie, ul. Stefana Batorego 18/108, 02-591 Warszawa, KRS 000000000, NIP 777777777 (dalej: Podmiot przetwarzający).
2. Umowa stanowi Załącznik nr 1 do Regulaminu serwisu. Administrator zawiera ją, akceptując regulamin przy zamówieniu Pakietu. Umowa ma zastosowanie od chwili włączenia przez Administratora rezerwacji online w Panelu. Umowa stanowi umowę, o której mowa w art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).
3. Jeżeli Klient nie jest specjalistą, którego dotyczy profil, a administratorem danych pacjentów jest inny podmiot (np. specjalista albo placówka), Klient oświadcza, że jest uprawniony do zawarcia umowy w jego imieniu.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych pacjentów i innych osób umawiających wizyty przez rezerwację online na profilu Administratora.
2. Charakter przetwarzania: zbieranie, utrwalanie, przechowywanie, porządkowanie, udostępnianie Administratorowi, przesyłanie wiadomości e-mail, anonimizacja i usuwanie danych.
3. Cel przetwarzania: obsługa rezerwacji wizyt, w szczególności:
   1. zapisanie terminu i wysłanie pacjentowi potwierdzenia rezerwacji,
   2. wysyłanie pacjentowi informacji o zmianie lub odwołaniu wizyty, a przy zmianie adresu miejsca przyjęć – automatycznej informacji o nowym adresie,
   3. udostępnienie Administratorowi rezerwacji i listy przyszłych wizyt w Panelu,
   4. wysłanie pacjentom, na polecenie Administratora wydane w Panelu, przygotowanej wiadomości dotyczącej wizyty (np. prośby o kontakt przy zmianie miejsca przyjęć).
4. Rodzaj danych: imię i nazwisko, adres e-mail, numer telefonu, wybrana usługa, miejsce, termin i cena wizyty, status rezerwacji oraz historia zmian statusu, w tym adres IP, z którego go zmieniono.
5. Formularz rezerwacji nie zawiera pól tekstowych do swobodnego wypełnienia, a Panel nie umożliwia dodawania notatek do wizyt. Przetwarzanie nie obejmuje danych dotyczących zdrowia. Strony mają świadomość, że sam fakt umówienia wizyty u specjalisty określonej specjalności może pośrednio wskazywać na informacje o zdrowiu pacjenta, i uwzględniają to przy doborze środków bezpieczeństwa.
6. Kategorie osób: pacjenci i inne osoby dokonujące rezerwacji, w tym opiekunowie prawni.
7. Podmiot przetwarzający nie przetwarza powierzonych danych w żadnym innym celu, w szczególności nie wykorzystuje ich do własnych celów marketingowych ani nie kontaktuje się z pacjentami poza obsługą rezerwacji.

§ 3. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym są postanowienia tej umowy, regulaminu oraz ustawienia i działania Administratora w Panelu; jeżeli polecenie jest jego zdaniem niezgodne z prawem, niezwłocznie informuje o tym Administratora,
2. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy,
3. stosuje środki techniczne i organizacyjne zapewniające bezpieczeństwo danych, o których mowa w art. 32 RODO, w szczególności:
   1. szyfrowanie połączeń (HTTPS/TLS),
   2. hosting na serwerach zlokalizowanych w Polsce,
   3. kontrolę dostępu opartą na indywidualnych kontach i hasłach, z dostępem Administratora wyłącznie do jego rezerwacji,
   4. regularne aktualizacje oprogramowania i kopie zapasowe nadpisywane w cyklu 30 dni,
   5. niezapisywanie treści wysyłanych e-maili w dziennikach poczty,
   6. automatyczną anonimizację danych po upływie okresów wskazanych w § 4,
4. pomaga Administratorowi w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą – w szczególności na prośbę Administratora wyszukuje rezerwacje pacjenta po adresie e-mail, przygotowuje kopię danych albo usuwa dane; żądanie skierowane bezpośrednio do Podmiotu przetwarzającego przekazuje niezwłocznie Administratorowi,
5. pomaga Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO, z uwzględnieniem charakteru przetwarzania i dostępnych informacji,
6. prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora.

§ 4. Okres przechowywania i anonimizacja

1. Administrator poleca Podmiotowi przetwarzającemu automatyczną anonimizację danych osobowych w rezerwacjach:
   1. 12 miesięcy po terminie odbytej wizyty,
   2. 3 miesiące po terminie wizyty odwołanej lub nieodbytej.
2. Anonimizacja obejmuje dane osobowe w rezerwacji, kartotekę osoby dokonującej rezerwacji (usuwaną, gdy wszystkie jej rezerwacje zostały zanonimizowane) oraz historię zmian statusu. Po anonimizacji zostają wyłącznie termin, usługa i specjalista, służące statystyce.
3. Serwis nie jest dokumentacją medyczną. Jeżeli Administrator potrzebuje danych pacjenta dłużej, przechowuje je we własnej dokumentacji, jako jej administrator.

§ 5. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi stwierdzenie naruszenia ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail przypisany do konta Administratora.
2. Zgłoszenie zawiera informacje, o których mowa w art. 33 ust. 3 RODO, w zakresie dostępnym Podmiotowi przetwarzającemu. Informacje niedostępne w chwili zgłoszenia są przekazywane niezwłocznie po ich ustaleniu.
3. Zgłoszenie naruszenia organowi nadzorczemu i zawiadomienie osób, których dane dotyczą, należy do Administratora.

§ 6. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z usług dalszych podmiotów przetwarzających. Na dzień zawarcia umowy są to:
   1. WebH (webh.pl) – hosting serwisu, serwery w Polsce,
   2. dostawca usług poczty elektronicznej wskazany w Polityce prywatności – wysyłka wiadomości e-mail do pacjentów (potwierdzenia i informacje o wizytach).
2. Aktualna lista dalszych podmiotów przetwarzających jest dostępna w Polityce prywatności. O zamiarze zmiany lub dodania dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem z co najmniej 14-dniowym wyprzedzeniem. Administrator może w tym terminie zgłosić sprzeciw; w takim przypadku może zaprzestać korzystania z rezerwacji online, a umowa wygasa.
3. Podmiot przetwarzający nakłada na dalsze podmioty przetwarzające te same obowiązki ochrony danych, które wynikają z tej umowy, i odpowiada za ich wykonanie.
4. Powierzone dane nie są przekazywane poza Europejski Obszar Gospodarczy.

§ 7. Obowiązki Administratora

1. Administrator odpowiada za zgodność przetwarzania z prawem, w tym za istnienie podstawy prawnej i spełnienie obowiązku informacyjnego wobec pacjentów. Podmiot przetwarzający umieszcza pod formularzem rezerwacji informację o administratorze danych z imieniem i nazwiskiem specjalisty oraz odesłanie do informacji dla pacjentów w Polityce prywatności (punkt 6), przygotowanej w imieniu Administratora.
2. Administrator nie wprowadza do Serwisu informacji o stanie zdrowia pacjentów i nie prosi pacjentów o ich podawanie za pośrednictwem Serwisu.
3. Administrator chroni dostęp do swojego Konta i nie udostępnia go osobom nieupoważnionym.

§ 8. Kontrola

1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.
2. Administrator może przeprowadzić audyt lub inspekcję, zawiadamiając o tym z co najmniej 14-dniowym wyprzedzeniem, w dni robocze, w sposób nieutrudniający działalności Podmiotu przetwarzającego i z zachowaniem tajemnicy przedsiębiorstwa. W pierwszej kolejności Podmiot przetwarzający udziela odpowiedzi na pytania na piśmie. Koszty audytu ponosi Administrator.

§ 9. Czas trwania i zakończenie

1. Umowa obowiązuje przez czas korzystania z rezerwacji online, a po jego zakończeniu – do usunięcia lub anonimizacji wszystkich powierzonych danych.
2. Po wyłączeniu rezerwacji online albo zakończeniu usługi profilu nowe rezerwacje nie są przyjmowane. Dane dotychczasowych rezerwacji są przechowywane i anonimizowane zgodnie z § 4, nie dłużej jednak niż do usunięcia profilu na zasadach § 9 Regulaminu serwisu (12 miesięcy od zakończenia okresu ochrony). Przy usunięciu profilu wszystkie pozostałe dane rezerwacji są anonimizowane niezwłocznie.
3. Przed upływem tych okresów Administrator może zażądać zwrotu danych w formie pliku elektronicznego albo ich wcześniejszego usunięcia, pisząc przez formularz kontaktowy lub na adres kontakt@profillekarza.pl.
4. Kopie zapasowe zawierające powierzone dane są nadpisywane w cyklu 30 dni.

§ 10. Odpowiedzialność i postanowienia końcowe

1. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem na zasadach art. 82 RODO.
2. Za powierzenie danych nie przysługuje odrębne wynagrodzenie; jest ono objęte opłatą za Pakiet.
3. W sprawach nieuregulowanych stosuje się przepisy RODO, prawa polskiego i Regulaminu serwisu. W razie sprzeczności postanowienia tej umowy mają pierwszeństwo przed regulaminem w zakresie ochrony danych.
4. Umowa obowiązuje od dnia 14 października 2026 r..