Polityka prywatności

Obowiązuje od 20 września 2026 r.

§ 1. Administrator danych

1. Administratorem danych osobowych jest CRMED Spółka z ograniczoną odpowiedzialnością z siedzibą w Gliwicach, ul. Wolności 20/1, 44-109 Gliwice, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy w Gliwicach, X Wydział Gospodarczy KRS pod numerem KRS 0001089197, NIP 9691663497, REGON 527848009 (dalej: „CRMed” lub „Administrator”).
2. Kontakt z Administratorem: e-mail crmed.gliwice@gmail.com, telefon 698 158 611, pisemnie na adres siedziby.
3. Inspektor Ochrony Danych: Mateusz Zatorski, kontakt: crmed.gliwice@gmail.com.

§ 2. Zakres dokumentu

Polityka opisuje przetwarzanie danych osób odwiedzających serwis www.crmed.com.pl, osób, które przez serwis umawiają wizytę lub kontaktują się z CRMed, osób kupujących vouchery online i osób obdarowanych voucherem, oraz — w § 13 — osób przebywających w obszarze objętym monitoringiem wizyjnym w placówce. Zasady przetwarzania danych pacjentów w toku udzielania świadczeń zdrowotnych (dokumentacja medyczna) regulują odrębne przepisy i klauzula informacyjna udostępniana w placówce.

§ 3. Jakie dane przetwarzamy i skąd pochodzą

1. Odwiedzanie serwisu: adres IP, data i godzina żądania, adres odwiedzanej strony, adres strony odsyłającej, identyfikator przeglądarki i systemu (tzw. logi serwera). Dane te zapisuje automatycznie serwer hostingowy.
2. Rezerwacja wizyty online: imię, nazwisko, numer telefonu, adres e-mail, data urodzenia lub PESEL, wybrany specjalista, rodzaj i termin wizyty — podawane przez Ciebie w systemie rezerwacji MyDR uruchamianym po kliknięciu „Umów wizytę”.
3. Kontakt telefoniczny lub e-mail: dane, które sam(a) podajesz, dzwoniąc lub pisząc do rejestracji.
4. Serwis nie zawiera formularzy kontaktowych ani kont użytkowników.
5. Zakup vouchera online (strona /vouchery/): imię, nazwisko, adres e-mail i numer telefonu kupującego, wybrana usługa, liczba zabiegów i kwota, tryb dostarczenia, numer zamówienia i vouchera, data akceptacji regulaminu i wersja regulaminu, zaszyfrowany skrót adresu IP (ochrona przed nadużyciami), a w przypadku prezentu — imię i nazwisko oraz adres e-mail osoby obdarowanej, podpis nadawcy i treść dedykacji wpisane przez kupującego. Płatność realizuje operator płatności (§ 5) — nie otrzymujemy danych karty ani logowania do banku; od operatora dostajemy jedynie potwierdzenie zapłaty i identyfikator transakcji. Do zakupu vouchera nie zbieramy numeru PESEL, adresu ani danych o stanie zdrowia. Dane osoby obdarowanej pochodzą od kupującego.
6. Monitoring wizyjny w placówce: wizerunek osób w obszarze objętym monitoringiem — zasady w § 13.

§ 4. Cele i podstawy prawne

Cel	Podstawa prawna	Okres
Udostępnianie serwisu, zapewnienie jego bezpieczeństwa i poprawnego działania (logi serwera)	art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora	Dane techniczne i logi serwerowe mogą być przechowywane przez okres wynikający z konfiguracji usług oraz polityki dostawcy hostingu.
Umówienie i obsługa wizyty (rezerwacja online, potwierdzenia SMS/e-mail, przypomnienia)	art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy o świadczenie zdrowotne) oraz art. 9 ust. 2 lit. h RODO w zw. z przepisami o działalności leczniczej	do realizacji wizyty; następnie zgodnie z przepisami o dokumentacji medycznej
Kontakt z rejestracją (telefon, e-mail)	art. 6 ust. 1 lit. b i f RODO	do załatwienia sprawy, nie dłużej niż 12 miesięcy od ostatniego kontaktu
Sprzedaż i realizacja voucherów online (przyjęcie zamówienia, obsługa płatności, wystawienie i dostarczenie vouchera, odnotowanie wykorzystania, reklamacje, odstąpienie od umowy)	art. 6 ust. 1 lit. b RODO (umowa) — wobec kupującego; art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: wykonanie umowy zawartej na rzecz osoby trzeciej) — wobec osoby obdarowanej	przez okres ważności vouchera i do rozliczenia umowy, następnie do upływu terminów przedawnienia roszczeń
Wysyłka informacji o nowościach i promocjach e-mailem (tylko po zaznaczeniu osobnej, dobrowolnej zgody przy zakupie vouchera)	art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 10 ustawy o świadczeniu usług drogą elektroniczną	do wycofania zgody
Dochodzenie i obrona roszczeń	art. 6 ust. 1 lit. f RODO	do upływu terminów przedawnienia
Wypełnienie obowiązków prawnych (m.in. rachunkowych, wobec organów)	art. 6 ust. 1 lit. c RODO	przez okres wymagany przepisami
Monitoring wizyjny w placówce (korytarz i recepcja) — bezpieczeństwo osób, ochrona mienia, wyjaśnianie incydentów	art. 6 ust. 1 lit. f RODO w zw. z art. 23a ustawy o działalności leczniczej	co do zasady ok. 3 tygodnie, nie dłużej niż 3 miesiące (§ 13)

Dokumentacja medyczna jest przechowywana przez okres wynikający z ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta (co do zasady 20 lat od końca roku ostatniego wpisu).

§ 5. Odbiorcy danych

Dane mogą być przekazywane wyłącznie podmiotom, które wspierają CRMed w prowadzeniu serwisu i placówki, na podstawie umów powierzenia lub przepisów prawa:

1. MyDr sp. z o.o. z siedzibą w Warszawie, ul. Puławska 465, 02-844 Warszawa (KRS 0000704950, NIP 5252730290; Grupa DocPlanner) — dostawca systemu rezerwacji online i elektronicznej dokumentacji medycznej (EDM). Okno rezerwacji ładuje się dopiero po kliknięciu „Umów wizytę”. W zakresie systemu rezerwacji i dokumentacji EDM wykorzystywanego przez CRMed, CRMed jest administratorem danych pacjentów, a MyDr przetwarza te dane jako podmiot przetwarzający na podstawie umowy powierzenia przetwarzania danych (art. 28 RODO). Niezależnie od tego, w zakresie własnego konta pacjenta na platformie www.mydr.pl (rejestracja, przeglądanie, opinie) MyDr jest — zgodnie ze swoją polityką prywatności (www.mydr.pl/static/mydr_privacy_policy.pdf) — odrębnym administratorem danych podawanych bezpośrednio na tej platformie. IOD MyDr: iod.mydr@docplanner.com.
2. LH.pl sp. z o.o. z siedzibą w Poznaniu, pl. Wolności 6/4, 61-738 Poznań (KRS 0000503852, NIP 7831711517) — dostawca hostingu: utrzymanie serwera, kopie zapasowe, logi serwera. Dane techniczne i logi serwerowe mogą być przechowywane przez okres wynikający z konfiguracji usług oraz polityki dostawcy hostingu.
3. Operator płatności online — PayPro S.A. (Przelewy24), ul. Pastelowa 8, 60-198 Poznań, KRS 0000347935 [DO POTWIERDZENIA PRZEZ WŁAŚCICIELA — zapis zostanie doprecyzowany po zawarciu umowy z operatorem; alternatywnie Autopay S.A., ul. Powstańców Warszawy 6, 81-718 Sopot] — w zakresie realizacji płatności za vouchery operator jest odrębnym administratorem danych transakcyjnych (dane płatnika, kwota, metoda płatności) i przetwarza je zgodnie z własną polityką prywatności; CRMed przekazuje operatorowi kwotę, numer zamówienia, adres e-mail i imię i nazwisko kupującego.
4. Laboratorium wykonujące badania — LAB-MED (partner diagnostyczny) — otrzymuje próbki i dane niezbędne do wykonania zleconych badań. W zakresie wykonywania i autoryzacji wyników badań laboratoryjnych LAB-MED przetwarza te dane jako odrębny administrator.
5. Google Ireland Limited — wyłącznie w zakresie mapy uruchamianej po kliknięciu (§ 7).
6. Podmioty świadczące usługi księgowe, prawne i IT, w zakresie niezbędnym do realizacji ich zadań.
7. Organy publiczne, gdy wynika to z przepisów prawa.

§ 6. Przekazywanie danych poza EOG

Serwis korzysta z mapy Google wyłącznie po kliknięciu „Pokaż mapę” (§ 7). W takim przypadku Google Ireland Limited może przekazywać dane techniczne (adres IP) do Google LLC w USA na podstawie decyzji Komisji Europejskiej o adekwatności (EU-US Data Privacy Framework) lub standardowych klauzul umownych. Poza tym Administrator nie przekazuje danych poza Europejski Obszar Gospodarczy.

§ 7. Usługi zewnętrzne w serwisie

1. Czcionki — kroje pisma są przechowywane na naszym serwerze; w związku z ich wyświetlaniem żadne dane nie są przekazywane do Google ani innych podmiotów.
2. Mapa Google — na stronie Kontakt mapa ładuje się dopiero po kliknięciu „Pokaż mapę”. Do tego momentu nie jest nawiązywane połączenie z Google. Po kliknięciu Google może zapisać własne pliki cookies zgodnie z polityką Google (policies.google.com/privacy).
3. System rezerwacji MyDR — okno rezerwacji ładuje się dopiero po kliknięciu „Umów wizytę” z serwerów mydr.pl (w tym z sieci CDN). Dane wpisane w oknie podlegają także regulaminowi i polityce prywatności MyDR.
4. Linki do serwisów społecznościowych (Facebook, Instagram) to zwykłe odnośniki — serwis nie osadza wtyczek śledzących.

§ 8. Pliki cookies i podobne technologie

1. Serwis www.crmed.com.pl nie zapisuje własnych plików cookies u osób, które nie logują się do panelu administracyjnego, i nie stosuje cookies analitycznych, reklamowych ani śledzących. Nie korzystamy z narzędzi statystyk odwiedzin.
2. Przeglądarka może zapisać techniczne dane w pamięci sesji (np. ustawienia wyświetlania emoji), które są usuwane po zamknięciu karty i nie identyfikują użytkownika.
3. Pliki cookies mogą zostać zapisane przez podmioty trzecie wyłącznie po Twoim działaniu: po kliknięciu „Pokaż mapę” (Google) oraz po kliknięciu „Umów wizytę” (MyDR — cookies niezbędne do działania okna rezerwacji).
4. Ponieważ serwis nie stosuje cookies wymagających zgody, nie wyświetlamy banera zgody na cookies. Jeżeli w przyszłości uruchomimy narzędzia analityczne, zaktualizujemy tę politykę i poprosimy o zgodę przed ich włączeniem.
5. Ustawieniami cookies zarządzasz w przeglądarce (blokowanie, usuwanie).

§ 9. Twoje prawa

Masz prawo do: dostępu do danych i ich kopii, sprostowania, usunięcia (w granicach przepisów o dokumentacji medycznej), ograniczenia przetwarzania, przenoszenia danych (gdy przetwarzanie odbywa się na podstawie umowy lub zgody), sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, cofnięcia zgody w dowolnym momencie (bez wpływu na zgodność z prawem wcześniejszego przetwarzania) oraz wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa). Wnioski kierujesz na dane kontaktowe z § 1.

§ 10. Dobrowolność podania danych

Podanie danych przy rezerwacji jest dobrowolne, ale niezbędne do umówienia wizyty. Podanie danych przy zakupie vouchera online jest dobrowolne, ale niezbędne do zawarcia i wykonania umowy (bez nich nie możemy przyjąć zamówienia ani dostarczyć vouchera); zgoda marketingowa jest zawsze osobna i nie warunkuje zakupu. Korzystanie z serwisu bez rezerwacji nie wymaga podawania żadnych danych.

§ 11. Zautomatyzowane decyzje

Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu.

§ 12. Bezpieczeństwo

Serwis jest udostępniany wyłącznie szyfrowanym połączeniem (HTTPS). Administrator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w tym ograniczenie dostępu do panelu administracyjnego i regularne aktualizacje oprogramowania.

§ 13. Monitoring wizyjny w placówce

1. W placówce CRMed przy ul. Wolności 20 w Gliwicach (Gliwice-Łabędy) działa monitoring wizyjny. Administratorem nagrań jest CRMed (§ 1).
2. Cel: bezpieczeństwo pacjentów (w tym małoletnich) i personelu, ochrona mienia oraz wyjaśnianie incydentów.
3. Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora — bezpieczeństwo osób i mienia) w związku z art. 23a ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej, który pozwala kierownikowi podmiotu leczniczego określić w regulaminie organizacyjnym sposób obserwacji pomieszczeń ogólnodostępnych, jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pacjentów lub pracowników. Zasady monitoringu wobec pracowników określają odrębne przepisy prawa pracy i regulacje wewnętrzne.
4. Kategorie danych: wizerunek oraz zachowanie osób znajdujących się w obszarze objętym monitoringiem, data i godzina nagrania. Monitoring nie rejestruje dźwięku.
5. Obszar stosowania: monitoringiem objęte są wyłącznie pomieszczenia ogólnodostępne placówki: korytarz i recepcja (art. 23a ust. 1 pkt 1 ustawy o działalności leczniczej). Przy wejściu do placówki znajduje się oznaczenie „Obiekt monitorowany”.
6. Monitoring nie obejmuje gabinetów, w których udzielane są świadczenia zdrowotne, ani innych miejsc, w których naruszałby prywatność, intymność lub godność pacjentów — zgodnie z art. 23a ustawy o działalności leczniczej.
7. Okres przechowywania: nagrania z monitoringu są przechowywane co do zasady przez około 3 tygodnie, nie dłużej niż przez okres wynikający z obowiązujących przepisów (art. 23a ust. 2 ustawy o działalności leczniczej — maksymalnie 3 miesiące od dnia nagrania), chyba że nagranie zostało zabezpieczone na potrzeby postępowania lub wyjaśnienia zdarzenia — wówczas do czasu jego zakończenia. Po upływie tego okresu nagrania są nadpisywane.
8. Odbiorcy: nagrania nie są upubliczniane. Mogą być udostępnione wyłącznie organom uprawnionym na podstawie przepisów prawa (Policja, prokuratura, sąd) oraz — na wniosek — osobie, której dane dotyczą, w zakresie jej dotyczącym. System monitoringu jest obsługiwany wyłącznie wewnętrznie przez CRMed — żadna firma zewnętrzna nie ma dostępu do rejestratora, podglądu, nagrań ani zdalnego serwisu.
9. Prawa osób, których dane dotyczą: prawo dostępu do danych (w zakresie technicznie możliwym, bez naruszania praw innych osób utrwalonych na nagraniu), ograniczenia przetwarzania, sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, usunięcia danych w granicach przepisów oraz wniesienia skargi do Prezesa UODO — na zasadach z § 9. Wnioski kierujesz na dane kontaktowe z § 1.
10. Zapis z monitoringu może zostać zabezpieczony przez kierownika podmiotu leczniczego na potrzeby wyjaśnienia zdarzenia dotyczącego bezpieczeństwa pacjenta, w tym małoletniego, zgodnie ze Standardami Ochrony Małoletnich CRMed.

§ 14. Zmiany polityki

Polityka może być aktualizowana w razie zmian w serwisie lub przepisach. Aktualna wersja jest zawsze dostępna pod adresem www.crmed.com.pl/dokument/polityka-prywatnosci/ wraz z datą obowiązywania.