Інформація щодо GDPR для пацієнта «Психологічного центру Sztuka Harmonii»

§1

Особа Адміністратора персональних даних

• Адміністратором персональних даних, які надаються під час користування психологічними, психотерапевтичними і пов'язаними з ними послугами, є Magdalena Raba, яка провадить підприємницьку діяльність під фірмовим найменуванням RABA Magdalena Raba, ul. Konstantego Bergiela 4/10, 80-180 Gdańsk, NIP: 5833557278, та керує «Психологічним центром Sztuka Harmonii», електронна адреса для зв'язку з Адміністратором даних: rodo@sztukaharmonii.pl.
• Правила обробки персональних даних викладено в Політиці щодо файлів cookie, доступній за адресою: www.sztukaharmonii.pl/polityka-cookies
• Правила обробки персональних даних осіб, які відвідують вебсайт www.sztukaharmonii.pl, описано в Політиці конфіденційності, доступній за адресою: www.sztukaharmonii.pl/polityka-prywatnosci
• Дані обробляються відповідно до чинного законодавства, тобто Регламенту Європейського Парламенту і Ради (ЄС) 2016/679 від 27 квітня 2016 року про захист фізичних осіб у зв'язку з обробкою персональних даних і про вільний рух таких даних та про скасування Директиви 95/46/ЄС (далі: Загальний регламент про захист даних (GDPR)), Закону від 10 травня 2018 року про захист даних, а також Закону від 12 липня 2024 року «Право електронних комунікацій» (Prawo komunikacji elektronicznej).

§2

Цілі обробки персональних даних пацієнта

1. Magdalena Raba, яка провадить підприємницьку діяльність під фірмовим найменуванням RABA Magdalena Raba, обробляє персональні дані пацієнтів для таких цілей:

• запис на візит і/або онлайн-консультацію, зміна і/або скасування запису, надання відповіді - на підставі ст. 6(1)(b) GDPR, тобто необхідність даних для укладення та виконання договору на вимогу особи, якої стосуються дані,
• надання психологічних, психотерапевтичних і пов'язаних з ними послуг - на підставі ст. 9(2)(a) GDPR, тобто добровільної згоди на обробку чутливих даних, які особа, якої стосуються дані, може повідомляти під час надання психологічних/психотерапевтичних послуг і/або онлайн-консультацій у «Психологічному центрі Sztuka Harmonii», зокрема даних, що розкривають: стан здоров'я, сексуальність або сексуальну орієнтацію, расове чи етнічне походження, політичні погляди, релігійні або світоглядні переконання, членство в професійних спілках, генетичні дані або біометричні дані з метою однозначної ідентифікації фізичної особи,
• виконання договору, стороною якого є особа, якої стосуються дані, або вжиття заходів на вимогу особи, якої стосуються дані, тобто підготовка та укладення договору про співпрацю і/або надання послуг і/або договорів купівлі-продажу, а також його виконання, на підставі ст. 6(1)(b) GDPR,
• надання відповіді на поставлене запитання за допомогою контактних даних, доступних на сайті, на підставі ст. 6(1)(b) GDPR, тобто необхідність даних для виконання договору або до його укладення, на вимогу особи, якої стосуються дані,
• документування виконання послуг, зокрема виставлення рахунку або рахунку-фактури фізичній особі, на підставі ст. 6(1)(c) GDPR, тобто з метою виконання юридичних обов'язків, покладених на Адміністратора персональних даних, на підставі ст. 70 Закону від 29 серпня 1997 року «Податковий кодекс» (Ordynacja podatkowa),
• надсилання замовленої комерційної інформації електронним шляхом, відповідно до ст. 6(1)(a) GDPR, тобто на підставі згоди особи, якої стосуються дані,
• захист прав і пред'явлення вимог адміністратором даних або особою, якої стосуються дані, на підставі ст. 6(1)(f) GDPR, тобто з метою реалізації законних інтересів адміністратора даних або особи, якої стосуються дані.
• Надання даних є необхідним для підготовки та виконання договорів про надання психологічних/психотерапевтичних і пов'язаних з ними послуг, а також для виставлення бухгалтерського документа, пред'явлення вимог, надання відповідей на запитання. Надання інших даних є добровільним.
• Ненадання необхідних даних унеможливлює належне виконання договору, виставлення рахунку або рахунку-фактури чи встановлення контакту на вимогу особи, якої стосуються дані.

§3

Строк обробки персональних даних пацієнта

Персональні дані пацієнта обробляються протягом строку, необхідного для досягнення мети, для якої їх було зібрано, тобто:

• персональні дані з метою проведення психологічної/психотерапевтичної терапії і/або онлайн-консультацій оброблятимуться протягом усього часу її тривання, а потім протягом 5 років від кінця календарного року, в якому було завершено співпрацю з пацієнтом, за винятком відкликання згоди на обробку особливих категорій даних, якщо положення спеціального закону не передбачає іншого або якщо триваліше зберігання обґрунтоване пред'явленням вимог чи захистом від них,
• звичайні дані можуть оброблятися до 5 років, рахуючи від кінця календарного року, в якому відбувся Ваш останній візит і було виставлено бухгалтерські документи, пов'язані з послугою, у зв'язку зі ст. 70 Закону від 29 серпня 1997 року «Податковий кодекс» (Ordynacja podatkowa). Натомість у разі структурованого рахунку-фактури, після його надсилання до Національної системи електронних рахунків-фактур (KSeF), дані зберігатимуться протягом 10 років, рахуючи від кінця року, в якому їх було виставлено, на підставі ч. 1 ст. 112 aa Закону від 11 березня 2004 року про податок на товари та послуги,
• з метою надання відповіді за допомогою інформаційно-комунікаційних засобів (запити, інформація про вільні терміни тощо) - дані обробляються виключно протягом строку, необхідного для надання відповіді, але не довше ніж 6 місяців від дня отримання запиту, якщо договір про надання послуг не було укладено,
• з метою проведення рекрутингу, тобто не довше ніж 6 місяців від дати надсилання документів для участі в рекрутингу. Після цього строку персональні дані видаляються. Якщо особа, якої стосуються дані, дасть на це згоду, дані оброблятимуться для цілей майбутніх рекрутингів. Підставою обробки даних для цілей наступних рекрутингів буде ст. 6(1)(a) GDPR, тобто згода. Персональні дані в такому разі оброблятимуться до 12 місяців або до відкликання згоди на цю мету,
• з метою надсилання замовленої комерційної інформації електронним шляхом - до відкликання згоди, без впливу на законність обробки, здійсненої до її відкликання.

§4

Одержувачі персональних даних пацієнта

Обробку персональних даних пацієнта може бути доручено іншим суб'єктам з метою виконання послуг на замовлення адміністратора даних, зокрема з метою:

• хостингу та обслуговування електронної пошти Адміністратора персональних даних,
• сервісного обслуговування та підтримки інформаційних систем, у яких обробляються дані, зокрема систем онлайн-бронювання, онлайн-консультацій, обслуговування онлайн-чату на вебсайті, телефонного і/або SMS-зв'язку тощо,
• ведення бухгалтерського, кадрово-зарплатного та адміністративно-маркетингового обслуговування.

§5

Обробка даних пацієнта за межами Європейської економічної зони

• У зв'язку з використанням Адміністратором хостингових інструментів та інформаційних систем, постачальники яких можуть мати місцезнаходження або технічну інфраструктуру за межами Європейської економічної зони, персональні дані можуть передаватися до:
• Сполучених Штатів Америки на підставі рішення Європейської Комісії від 10 липня 2023 року, яким визнано належний рівень захисту персональних даних, що забезпечується так званою «Рамковою системою захисту даних ЄС–США» (EU–US Data Privacy Framework), щодо постачальників, внесених до списку Міністерства торгівлі США, таких як Google LLC, Microsoft Corporation, Meta Platforms, Inc., Twilo Inc.
• Китаю - виключно у разі спілкування з Адміністратором на платформі TikTok дані можуть оброблятися суб'єктами з групи TikTok, зокрема ByteDance Ltd., інфраструктура яких може бути розташована на території Китаю, у зв'язку з чим персональні дані можуть передаватися за межі ЄЕЗ на підставі рішення Європейської Комісії 2021/914 щодо стандартних договірних положень про передачу персональних даних до третіх країн, включених до умов надання послуг, що діють між Адміністратором даних і постачальником рішення.

§6

Facebook і спільне адміністрування даних

• Адміністратор водночас є спільним адміністратором даних своїх підписників у соціальних мережах - зокрема осіб, які користуються засобами електронної комунікації (messenger) на фан-сторінці, яку Адміністратор даних веде в соціальній мережі Facebook. В іншому обсязі адміністратором даних Користувачів цієї соціальної мережі є Meta Platforms Ireland Limited (раніше: Facebook Inc., з місцезнаходженням за адресою 1 Hacker Way, Menlo Park, CA 94025, USA), а обробка цих даних здійснюється на засадах, описаних у правилах і політиках конфіденційності користувачів цих сервісів, зокрема на: https://www.facebook.com/privacy
• Персональні дані Користувача фан-сторінки оброблятимуться в третій країні, тобто на території Сполучених Штатів Америки (США). Передача даних до США здійснюється на підставі рішення Європейської Комісії від 10 липня 2023 року, яким визнано належний рівень захисту персональних даних, що забезпечується так званою «Рамковою системою захисту даних ЄС-США» (EU-US Data Privacy Framework), щодо постачальників, внесених до списку Міністерства торгівлі США, таких як: Meta Platforms, Inc., Menlo Park, California, USA.

§7

Права осіб, яких стосуються дані

• Особа, якої стосуються дані, має:
• право на доступ до змісту даних та їх виправлення, а також на отримання копії даних,
• право на видалення даних, якщо не діють інші правові норми, які зобов'язують адміністратора даних архівувати дані протягом визначеного часу,
• право на перенесення даних, якщо підставою обробки даних є договір або згода особи, якої стосуються дані, а обробка даних здійснюється автоматизованим способом,
• право на заперечення проти обробки даних з метою прямого маркетингу, що здійснюється адміністратором даних у межах обґрунтованого законного інтересу, а також на обмеження обробки,
• право не підлягати автоматизованому профілюванню, якщо адміністратор даних ухвалював би рішення, що ґрунтуються виключно на автоматизованому профілюванні та тягнуть за собою правові наслідки для особи, якої стосуються дані, або подібним чином на неї впливають,
• право на контроль обробки даних та на інформацію про те, хто є адміністратором даних, а також на отримання інформації про мету, обсяг і спосіб обробки даних, зміст цих даних, джерело даних, а також спосіб їх надання, зокрема про одержувачів або категорії одержувачів даних,
• право відкликати згоду в будь-який момент, якщо підставою обробки даних була згода особи, якої стосуються дані. Відкликання згоди не впливає на законність обробки, здійсненої на її підставі до її відкликання,
• право подати скаргу до Голови Управління захисту персональних даних (PUODO), якщо особа вважає, що обробка її даних не відповідає чинним нормам у цій сфері.