Polityka prywatności serwisu

§1. Administrator danych osobowych

Administratorem danych osobowych jest:

Maciej Miszczak Praktyka Lekarska
ul. Jachowicza 4, 02-691 Józefów, woj. mazowieckie
NIP: 5242252630 REGON: 147056245
Osoba decyzyjna: Maciej Miszczak

Kontakt z Administratorem:

📧 mmi@ortopedamiszczak.pl

§2. Cel i podstawa przetwarzania danych

Dane osobowe przekazywane za pośrednictwem formularza kontaktowego (imię, nazwisko, adres e-mail, treść wiadomości oraz opcjonalnie badania obrazowe) są przetwarzane w następujących celach:

Udzielenia odpowiedzi na zapytanie (art. 6 ust. 1 lit. b RODO).
Wstępnej konsultacji lub kwalifikacji do wizyty – jeśli dane obejmują informacje o zdrowiu (art. 9 ust. 2 lit. h RODO).
Realizacji obowiązków prawnych (np. prowadzenie dokumentacji medycznej – art. 6 ust. 1 lit. c RODO).
Ustalenia, dochodzenia lub obrony roszczeń (art. 6 ust. 1 lit. f RODO).

§3. Zakres przetwarzanych danych

Użytkownik może przekazać: imię i nazwisko, adres e-mail, treść wiadomości oraz dobrowolnie pliki z badaniami obrazowymi (RTG, MRI, USG itp.). Dane przekazane w korespondencji są wykorzystywane do kontaktu i wstępnej oceny przypadku. Odrębnie, po uzyskaniu zgody, serwis przetwarza dane o korzystaniu ze strony w celach statystycznych opisanych poniżej. Dane medyczne i treść wiadomości nie są przeznaczone do przekazywania do narzędzi analitycznych. Administrator nie podejmuje na podstawie statystyk automatycznych decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na użytkownika.

§4. Dobrowolność podania danych

Podanie danych jest dobrowolne, jednak niezbędne do udzielenia odpowiedzi na zapytanie lub realizacji wstępnej konsultacji. Zgoda na analitykę jest dobrowolna. Jej odmowa lub wycofanie nie ogranicza możliwości kontaktu z gabinetem ani przejścia do rejestracji wizyty.

§5. Sposób przesyłania i przechowywania danych

Formularz kontaktowy na stronie jest obsługiwany przez:
- Jotform Europe – bezpieczną platformę zgodną z RODO; dane przechowywane na serwerach w EOG.
- Google Ireland Limited (Google Workspace Business) – przechowywanie wiadomości i załączników na europejskich serwerach Google Cloud zgodnie z umową DPA.
- WeTransfer B.V. (WeTransfer EU)– do przesyłania plików z badaniami obrazowymi; usługa zgodna z RODO, z szyfrowaniem transmisji i automatycznym usuwaniem plików po 30 dniach.
Połączenie z serwisem odbywa się z użyciem szyfrowanego protokołu SSL (https).
Przesłane pliki medyczne są usuwane po zakończeniu korespondencji, jeśli nie staną się częścią dokumentacji medycznej.
Dane niekwalifikujące się do dokumentacji są usuwane po 30 dniach.

§6. Komunikacja za pośrednictwem WhatsApp Business

Administrator umożliwia kontakt również za pośrednictwem komunikatora WhatsApp Business, prowadzonego przez Meta Platforms Ireland Limited.
Komunikacja tym kanałem ma charakter pomocniczy i organizacyjny – służy np. umawianiu wizyt, potwierdzaniu terminów lub krótkim informacjom administracyjnym.
Nie zaleca się przesyłania tą drogą wyników badań ani danych medycznych; ich przekazanie odbywa się na odpowiedzialność Pacjenta.
WhatsApp Business stosuje szyfrowanie end-to-end, jednak dane mogą być przekazywane do krajów trzecich (w tym USA) w ramach infrastruktury Meta.
Administrator nie wykorzystuje danych z tego kanału w celach marketingowych.
Szczegóły dotyczące przetwarzania danych przez WhatsApp Business:
https://www.whatsapp.com/legal/privacy-policy-eea

§7. Odbiorcy danych i przekazywanie poza EOG

W zależności od użytej funkcji serwisu odbiorcami danych mogą być dostawcy hostingu, obsługi technicznej i komunikacji, Jotform, Google Ireland Limited (Google Workspace, Google Analytics 4 i Google Tag Manager), WeTransfer, dostawca WhatsApp, CookieYes Limited z siedzibą w Wielkiej Brytanii oraz organy uprawnione na podstawie prawa. Dostęp obejmuje zakres niezbędny do wykonania danej usługi. Dane analityczne nie obejmują treści korespondencji ani przesłanych badań.

Dostawcy usług mogą korzystać z infrastruktury i podwykonawców poza Europejskim Obszarem Gospodarczym, w tym w USA. Zależnie od odbiorcy i usługi transfer odbywa się na podstawie odpowiedniej decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo odpowiednich zabezpieczeń, w szczególności standardowych klauzul umownych. Zgoda na cookies nie zastępuje tych zabezpieczeń. Informacje o zastosowanych mechanizmach lub ich kopię można uzyskać u Administratora; zobacz także zasady transferów Google i zasady przetwarzania danych CookieYes.

§8. Bezpieczeństwo danych i logi serwera

Serwis korzysta z połączenia HTTPS, kontroli dostępu i upoważnień do przetwarzania danych. Dostęp do informacji medycznych mają osoby upoważnione, zobowiązane do poufności.

Serwer i systemy bezpieczeństwa mogą zapisywać adres IP, czas żądania, żądany adres strony, informacje o przeglądarce i błędach. Takie informacje mogą stanowić dane osobowe i nie są z założenia anonimowe. Są przetwarzane w celu zapewnienia działania i bezpieczeństwa serwisu, diagnozowania awarii i ochrony przed nadużyciami, na podstawie prawnie uzasadnionego interesu Administratora (art. 6 ust. 1 lit. f RODO), przez czas potrzebny do tych celów, a w przypadku incydentu – do jego wyjaśnienia lub zakończenia związanych z nim roszczeń.

§9. Prawa osób, których dane dotyczą

Na zasadach określonych w RODO przysługują prawa dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i przenoszenia. W przypadku przetwarzania na podstawie prawnie uzasadnionego interesu można wnieść sprzeciw z przyczyn związanych ze swoją szczególną sytuacją. Jeżeli podstawą jest zgoda, można ją wycofać w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania. Niektóre prawa podlegają ograniczeniom, np. wynikającym z obowiązku przechowywania dokumentacji medycznej.

Wnioski można kierować na mmi@ortopedamiszczak.pl. Przysługuje również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa; kontakt z UODO.

§10. Pliki cookies i zarządzanie zgodą – CookieYes

Pliki cookies to niewielkie informacje zapisywane na urządzeniu użytkownika. Serwis korzysta również z podobnych mechanizmów pamięci przeglądarki. Cookies niezbędne służą m.in. zapamiętaniu wyborów dotyczących zgód, obsłudze strony i zabezpieczeniom. Nie wymagają zgody w zakresie niezbędnym do transmisji lub dostarczenia funkcji wyraźnie żądanej przez użytkownika. Pozostałe cookies, w tym analityczne, wymagają uprzedniej zgody zgodnie z art. 399 Prawa komunikacji elektronicznej; podstawą przetwarzania powiązanych z nimi danych osobowych jest art. 6 ust. 1 lit. a RODO.

Do obsługi banera i zapamiętywania preferencji używamy CookieYes, dostarczanego przez CookieYes Limited. Narzędzie zapisuje wybrane kategorie, identyfikator zgody i informacje potrzebne do wykazania oraz respektowania wyboru. Obsługa zgód służy realizacji obowiązków Administratora (art. 6 ust. 1 lit. c RODO). Cookie cookieyes-consent jest przechowywane przez 1 rok. Rejestry zgód są dostępne w używanym planie CookieYes do 1 roku.

W banerze można zaakceptować wszystkie cookies, odrzucić opcjonalne lub wybrać kategorie. Aby później zmienić albo wycofać zgodę, należy otworzyć ikonę „Preferencje co do zgód”, zmienić przełączniki i kliknąć „Zapisz moje preferencje” lub „Odrzuć wszystkie”. Niezbędne cookies pozostają aktywne. Ustawienia przeglądarki pozwalają dodatkowo usuwać lub blokować cookies; może to ograniczyć działanie niektórych funkcji i spowodować ponowne wyświetlenie banera.

Panel CookieYes zawiera wykaz nazw, dostawców, celów i okresów ważności cookies. W wykazie serwisu znajdują się m.in.: cookieyes-consent (preferencje, 1 rok), wpEmojiSettingsSupports (obsługa znaków emoji, sesja), __cf_bm (ochrona przed botami w usłudze hCaptcha, 1 godzina), guest i userReferer dostawcy Jotform (funkcjonalne, 1 miesiąc) oraz _ga i _ga_* (analityczne, w obecnym wykazie 1 rok, 1 miesiąc i 4 dni). Faktyczny czas zapisu może być krótszy wskutek ograniczeń przeglądarki lub usunięcia cookies; przy kolejnych wizytach ważność może się odnawiać. Nie wszystkie cookies muszą pojawić się u każdego użytkownika – zależy to od zgód i używanych funkcji.

§11. Google Analytics 4 i pomiar kontaktów

Po uzyskaniu zgody na kategorię „Analityczne” korzystamy z Google Analytics 4 (GA4), dostarczanego przez Google Ireland Limited. Statystyki pomagają oceniać korzystanie ze strony i skuteczność jej funkcji kontaktowych. Obejmują m.in. odwiedzane strony, czas i sposób interakcji, źródło wejścia, informacje o urządzeniu i przeglądarce, przybliżoną lokalizację oraz pseudonimowe identyfikatory cookies i sesji. GA4 nie zapisuje adresów IP, ale wykorzystuje je przejściowo m.in. do ustalenia przybliżonej lokalizacji. Pseudonimizacja nie oznacza pełnej anonimowości.

W serwisie mierzymy jako kluczowe zdarzenia: phone_click – kliknięcie numeru telefonu, oraz appointment_click – kliknięcie przycisku lub linku prowadzącego do profilu lekarza w ZnanyLekarz. Są to wskaźniki zainteresowania kontaktem. Nie potwierdzają wykonania połączenia, odbycia rozmowy ani skutecznego zarezerwowania wizyty. Konfiguracja tych zdarzeń nie przesyła treści rozmów, wiadomości, wyników badań, danych wpisanych do formularzy ani danych rezerwacji.

GA4 uruchamiane jest przez Google Tag Manager po zgodzie analitycznej przekazanej przez CookieYes. Odmowa nie uruchamia tych tagów analitycznych. Zmiana zgody jest przekazywana do tagów przez mechanizm Google Consent Mode. Wycofanie zgody zatrzymuje dalszy pomiar zależny od zgody; nie usuwa automatycznie danych zebranych wcześniej. W sprawie ich usunięcia można skontaktować się z Administratorem.

W obecnych ustawieniach GA4 szczegółowe dane zdarzeń są przechowywane przez 2 miesiące, a dane użytkownika przez 14 miesięcy. Okres dotyczący użytkownika jest resetowany przy jego nowej aktywności. Ustawienia te nie obejmują większości standardowych raportów zbiorczych, które mogą być dostępne dłużej. Okres przechowywania w GA4 jest odrębny od czasu ważności cookies w przeglądarce. Szczegóły: przechowywanie danych GA4 oraz ochrona danych w GA4.

§12. Google Tag Manager

Google Tag Manager (GTM), dostarczany przez Google Ireland Limited, służy do wdrażania i zarządzania tagami strony. W tym serwisie uruchamia tag Google oraz pomiar kliknięć opisany w §11 zgodnie z wyborem przekazanym przez CookieYes. Samo wczytanie kontenera GTM nie oznacza zgody na analitykę. Podczas pobierania skryptu dochodzi do połączenia z serwerami Google, co wiąże się z przekazaniem danych technicznych żądania, takich jak adres IP. Sposób przetwarzania danych przez uruchamiane tagi zależy od ich funkcji i udzielonej zgody. Więcej informacji: prywatność i bezpieczeństwo GTM.

§13. Rejestracja w ZnanyLekarz i serwisy zewnętrzne

Przycisk „Umów wizytę” prowadzi do profilu Macieja Miszczaka w serwisie ZnanyLekarz. Po przejściu na tę platformę dane podawane przy rejestracji są przetwarzane zgodnie z jej zasadami i polityką prywatności. Zgody ustawione na ortopedamiszczak.pl dotyczą tej witryny i nie zastępują wyborów dokonywanych w serwisie zewnętrznym. Pomiar kliknięcia na naszej stronie nie daje dostępu do danych pacjenta ani szczegółów rezerwacji w ZnanyLekarz.

Podobnie odnośniki do WhatsApp i profili w mediach społecznościowych prowadzą do usług zewnętrznych. Ich dostawcy stosują własne zasady przetwarzania danych. Formularze Jotform mogą korzystać z cookies funkcjonalnych oraz zabezpieczeń hCaptcha/Cloudflare, zgodnie z informacjami w panelu CookieYes.

§14. Zmiany polityki prywatności

Polityka może być aktualizowana wraz ze zmianami narzędzi, sposobu przetwarzania danych lub przepisów. Aktualna wersja jest dostępna na tej stronie polityki prywatności i plików cookies.

Ostatnia aktualizacja: 16 października 2026 r.