Polityka retencji i bezpiecznego usuwania danych gabinet.one

1. Cel i zakres

Polityka określa zasady przechowywania, ograniczania, zwrotu i usuwania danych w Serwisie gabinet.one. Obejmuje dane aktywne, dane ograniczone, logi, pliki, eksporty, kopie zapasowe i czasowe środowiska odtworzeniowe.

Operatorem Serwisu jest Radość Zmysłów Gabinet Terapeutyczny Karolina Szafrankiewicz, ul. Mariana Pelczara 14/1, 80-175 Gdańsk, NIP 5833512413, e-mail: kontakt@mapaterapii.pl.

Polityka nie stanowi samodzielnej podstawy prawnej przetwarzania ani przedłużania retencji. Stosuje się ją wraz z Regulaminem , Polityką prywatności , Umową powierzenia , Klauzulą informacyjną RODO i Listą dalszych podmiotów przetwarzających. W zakresie danych powierzonych pierwszeństwo ma Umowa powierzenia.

2. Podział odpowiedzialności

Operator jest administratorem danych dotyczących własnej relacji z Gabinetem i użytkownikami, w szczególności danych Konta, umowy, Pakietu, rozliczeń Operator–Gabinet, akceptacji dokumentów, korespondencji, reklamacji, bezpieczeństwa i własnych obowiązków prawnych.

Każdy Gabinet jest odrębnym administratorem danych swoich pacjentów, klientów, uczestników, dzieci, rodziców, opiekunów i personelu, jeżeli sam określa cele i sposoby ich przetwarzania.

Każdy Gabinet samodzielnie:

• kwalifikuje charakter dokumentacji, w tym ustala, czy stanowi ona dokumentację medyczną, terapeutyczną, psychologiczną, pedagogiczną lub inną dokumentację regulowaną;
• ustala podstawy prawne i okresy przechowywania;
• uwzględnia swój status prawny, rodzaj świadczeń, wiek pacjenta, obowiązki dokumentacyjne i terminy roszczeń;
• dokumentuje decyzje retencyjne;
• realizuje prawa osób;
• wydaje Operatorowi zgodne z prawem, udokumentowane polecenia zwrotu, usunięcia, ograniczenia lub zachowania danych.

Operator nie narzuca wszystkim Gabinetom jednego okresu retencji danych pacjentów i nie przejmuje odpowiedzialności za kwalifikację ich dokumentacji.

3. Aktualny sposób realizacji dyspozycji Gabinetu

Serwis nie udostępnia obecnie Gabinetom aktywnej konfiguracji automatycznego usuwania poszczególnych kategorii danych według samodzielnie wybranego okresu. W produkcyjnej bazie nie są obecnie aktywne indywidualne polityki automatycznego purge dla Gabinetów.

Brak panelu automatycznej retencji nie ogranicza praw ani obowiązków Gabinetu. Gabinet może:

• usuwać dane za pomocą dostępnych funkcji Serwisu;
• korzystać z dostępnych eksportów;
• przekazać Operatorowi udokumentowane polecenie dotyczące określonych danych;
• zgłosić potrzebę ograniczenia przetwarzania albo czasowego wstrzymania usunięcia, jeżeli ma ku temu podstawę prawną.

Operator weryfikuje zakres polecenia, uprawnienie osoby składającej dyspozycję, wpływ na dane powiązane i obowiązki prawne, a następnie wykonuje je w aktywnym środowisku bez zbędnej zwłoki i w technicznie uzasadnionym harmonogramie.

Operator nie może samodzielnie usuwać dokumentacji pacjentów wyłącznie dlatego, że upłynął ogólny okres przyjęty dla innego Gabinetu lub innego rodzaju działalności.

4. Dane powierzane przez Gabinety

Dane powierzone mogą obejmować dane identyfikacyjne i kontaktowe, dane dzieci i opiekunów, wizyty, terapie i zajęcia, dostępność, obecność, odwołania, listy oczekujących, rozliczenia, płatności, zgody i dokumenty Gabinetu, korespondencję, notatki organizacyjne, informacje przekazane przez gabinet, informacje o zdrowiu, cele, dokumenty gabinetu oraz załączniki.

Dane są przechowywane w aktywnym środowisku przez okres korzystania z odpowiednich funkcji oraz przez okres wynikający z decyzji i podstaw prawnych właściwego Gabinetu.

Operator przetwarza je wyłącznie na udokumentowane polecenie Gabinetu, w zakresie niezbędnym do świadczenia Serwisu, bezpieczeństwa, obsługi zgłoszenia, odtworzenia albo wykonania prawa.

Operator nie wykorzystuje danych pacjentów do własnego marketingu, profilowania reklamowego ani trenowania modeli sztucznej inteligencji.

5. Zakończenie współpracy

Przed zakończeniem usług Gabinet powinien skorzystać z dostępnych funkcji eksportu albo uzgodnić z Operatorem sposób zwrotu danych.

Po zakończeniu usług Operator, zgodnie z wyborem Gabinetu:

1. zwraca dane w dostępnym i uzgodnionym formacie;
2. usuwa dane z aktywnego środowiska;
3. ogranicza je na czas niezbędny do wykonania konkretnego obowiązku prawnego, jeżeli usunięcie nie jest dopuszczalne.

Brak dyspozycji Gabinetu nie stanowi podstawy do bezterminowego przechowywania powierzonych danych. Operator może zwrócić się do Gabinetu o wybór sposobu zakończenia przetwarzania. Jeżeli kontakt nie jest możliwy, Operator stosuje Umowę powierzenia, obowiązujące prawo, zasadę minimalizacji i udokumentowaną ocenę ryzyka.

Po zakończeniu standardowy dostęp operacyjny do Panelu może zostać wyłączony. Dane pozostające wyłącznie w kopiach zapasowych podlegają zasadom §9.

Operator może zachować jako odrębny administrator minimalne dane dotyczące własnej umowy, rozliczeń, akceptacji dokumentów, reklamacji, bezpieczeństwa i roszczeń. Nie stanowi to podstawy do zachowania pełnej bazy pacjentów Gabinetu.

6. Dane, dla których Operator jest administratorem

Operator stosuje kryteria retencji adekwatne do celu:

• dane Konta i umowy — przez czas umowy, rozliczenia i właściwy okres ochrony roszczeń;
• dokumenty podatkowe, księgowe i płatnicze Operatora — przez okres wymagany właściwymi przepisami;
• dowody akceptacji Regulaminu, DPA i innych dokumentów — przez czas relacji i okres konieczny dla rozliczalności oraz roszczeń;
• reklamacje i spory — do zakończenia sprawy i przez właściwy okres roszczeń;
• zwykłe zgłoszenia pomocy — przez czas obsługi oraz ograniczony okres potrzebny do jakości i rozliczalności, chyba że stają się częścią reklamacji, incydentu lub sporu;
• dokumentacja incydentów — przez okres uzasadniony ryzykiem, obowiązkami z RODO, kontrolą lub roszczeniami;
• zgody marketingowe — do wycofania, a następnie minimalny dowód zgody i jej wycofania przez okres potrzebny dla rozliczalności;
• dane publicznego profilu — do wyłączenia publikacji albo ustania podstawy utrzymywania profilu.

Jeżeli jedna informacja służy kilku celom, stosuje się najdłuższy okres, który jest rzeczywiście niezbędny i ma podstawę prawną. Po ustaniu potrzeby pełny zakres powinien zostać usunięty lub ograniczony do minimum dowodowego.

7. Konta personelu i logi

Gabinet odpowiada za bieżące nadawanie i odbieranie uprawnień swojemu personelowi. Odebranie dostępu blokuje dalszy dostęp do danych Gabinetu, ale nie musi usuwać historycznego oznaczenia autora operacji, jeżeli jest ono potrzebne dla integralności dokumentacji, audytu, bezpieczeństwa albo roszczeń.

Logi techniczne, uwierzytelnienia, bezpieczeństwa i administracyjne są przechowywane przez okres proporcjonalny do ryzyka i celu. Nie powinny celowo zawierać treści dokumentacji pacjenta, sekretów, haseł, pełnych tokenów ani nadmiarowych danych formularzy.

Dłuższe zachowanie określonego logu wymaga konkretnego powodu, np. incydentu, kontroli, sporu lub obowiązku prawnego.

8. Usuwanie i ograniczenie

Usunięcie może oznaczać fizyczne usunięcie rekordu, pliku lub obiektu, anonimizację, odłączenie identyfikatora albo inne trwałe pozbawienie danych możliwości zwykłego wykorzystania — zależnie od typu danych i powiązań wymaganych dla integralności systemu.

Dane objęte obowiązkiem dalszego przechowywania są ograniczane zamiast usuwane. Dostęp do nich jest zawężony, a dane nie są wykorzystywane do nowych celów.

Operator może zachować minimalny rejestr wykonania usunięcia, obejmujący identyfikator operacji, rodzaj obiektu, czas, podmiot inicjujący i wynik. Rejestr nie powinien zawierać pełnej treści usuniętych danych.

9. Kopie zapasowe

Kopie bazy danych i plików służą bezpieczeństwu, ciągłości działania, integralności i odtworzeniu po incydencie. Nie są wykorzystywane do zwykłego bieżącego przetwarzania ani do tworzenia nowych celów.

Kopie są przechowywane w infrastrukturze Supabase oraz w AWS European Sovereign Cloud zgodnie z aktualną konfiguracją techniczną. Kopie w Amazon S3 w regionie eusc-de-east-1 (Niemcy) są szyfrowane kluczem zarządzanym w AWS KMS i chronione mechanizmem S3 Object Lock w trybie GOVERNANCE przez co najmniej 60 dni.

Usunięcie danych z aktywnego środowiska nie powoduje natychmiastowego selektywnego usunięcia z istniejącej, integralnej kopii. Dane wygasają wraz z cyklem życia właściwej kopii. Dostęp jest ograniczony do uzasadnionych operacji bezpieczeństwa, weryfikacji i odtworzenia.

Jeżeli system zostanie odtworzony ze starszej kopii, Operator stosuje procedury służące ponownemu uwzględnieniu wykonanych po dacie kopii operacji usunięcia, ograniczenia lub innych zmian cyklu życia.

Okres Object Lock określa minimalny czas technicznej nieusuwalności kopii; faktyczny czas przechowywania może być dłuższy, jeżeli wymaga tego cykl życia kopii, obowiązek prawny lub udokumentowane wstrzymanie usunięcia. Zmiana okresu Object Lock lub architektury kopii wymaga aktualizacji dokumentacji, jeżeli wpływa na przekazywane informacje.

10. Eksporty i dane tymczasowe

Eksporty zawierające dane osobowe powinny być dostępne wyłącznie osobie uprawnionej, chronione podczas przesyłania i usuwane po ustaniu celu.

Pliki tymczasowe, raporty robocze i dane przejściowe są usuwane po zakończeniu operacji, z uwzględnieniem potrzeb diagnostycznych i bezpieczeństwa. Nie mogą tworzyć niekontrolowanego równoległego archiwum danych pacjentów.

11. Środowiska testowe i odtworzeniowe

Pełne produkcyjne dane Gabinetów nie są używane do zwykłych prac deweloperskich, demonstracji ani testów.

Jeżeli rzeczywiste dane muszą zostać czasowo odtworzone dla weryfikacji kopii, usunięcia awarii, obsługi incydentu lub testu restore, środowisko jest odseparowane, dostęp ograniczony, operacja udokumentowana, a dane usuwane lub środowisko niszczone po zakończeniu uzasadnionych czynności.

12. Wstrzymanie usunięcia

Usunięcie określonych danych może zostać czasowo wstrzymane, jeżeli wynika to z prawa, decyzji organu, trwającego sporu, konkretnego roszczenia, incydentu bezpieczeństwa albo zgodnego z prawem polecenia Gabinetu.

Wstrzymanie ma zakres i czas ograniczony do rzeczywistej potrzeby. Dane objęte wstrzymaniem nie są używane do nowych celów. Po ustaniu podstawy proces usunięcia jest wznawiany.

Aktualnie Gabinety nie mają samodzielnego modułu legal hold w Panelu. Potrzeba wstrzymania jest zgłaszana Operatorowi w udokumentowany sposób.

13. Podprocesorzy i integracje

Dane mogą znajdować się u dostawców wskazanych na aktualnej Liście dalszych podmiotów przetwarzających. Usunięcie może wymagać propagacji operacji do dostawcy i upływu cyklu jego kopii.

Integracje PayU i Fakturownia uruchamiane przez Gabinet na jego własnym koncie podlegają również zasadom retencji danego dostawcy i decyzjom Gabinetu. Zakończenie przetwarzania w gabinet.one nie kończy automatycznie odrębnej relacji Gabinetu z dostawcą integracji.

14. Kontrola i rozliczalność

Operator okresowo sprawdza zgodność deklarowanych zasad z konfiguracją systemu, w szczególności po zmianie prawa, funkcji, infrastruktury, dostawcy, zakresu danych zdrowotnych, logowania, backupu, restore lub mechanizmu usuwania.

Aktualny rejestr produkcyjny nie zawiera aktywnych indywidualnych polityk automatycznego purge dla Gabinetów ani aktywnych wpisów legal hold. Ich przyszłe uruchomienie wymaga kontroli uprawnień, historii zmian, okresu przejściowego, ochrony przed usunięciem poniżej obowiązku prawnego i testów.

Wewnętrzne wartości prawnych okresów minimalnych oznaczone jako robocze nie są automatycznie stosowane do danych Gabinetów i nie zastępują ich własnej oceny prawnej.

15. Kontakt i zmiany

Pytania, dyspozycje i żądania dotyczące retencji można kierować na kontakt@mapaterapii.pl. Jeżeli sprawa dotyczy danych konkretnego Gabinetu, Operator może skierować osobę do tego Gabinetu lub przekazać mu żądanie.

Polityka może być aktualizowana po zmianie prawa, infrastruktury, podprocesorów, funkcji, kategorii danych, okresu kopii zapasowych albo rzeczywistego sposobu usuwania. Zmiana Polityki nie tworzy sama w sobie nowej podstawy przetwarzania.

16. Postanowienia końcowe

Polityka nie może być interpretowana jako prawo Operatora do samodzielnego ustalania nowych celów lub okresów przechowywania danych powierzonych.

Dane trwale i skutecznie zanonimizowane nie są danymi osobowymi i mogą być zachowane, o ile anonimizacja rzeczywiście uniemożliwia identyfikację przy użyciu rozsądnie dostępnych środków.

W razie sprzeczności dotyczącej danych powierzonych pierwszeństwo ma Umowa powierzenia przetwarzania danych osobowych.