Polityka prywatności

1. Kto jest administratorem i jak się z nami skontaktować

Administratorem danych osobowych w zakresie opisanym niżej jest Piotr Kluch, prowadzący działalność gospodarczą pod firmą PK Systems Piotr Kluch, ul. Leszczynowa 9, 95-200 Pabianice, NIP 7312013335, REGON 521021415, wpisany do CEIDG — dostawca usługi pod marką ClinikAI (dalej „ClinikAI", „my").

• sprawy ochrony danych (żądania osób, zgłoszenia naruszeń, korespondencja z organem nadzorczym): rodo@clinikai.pl
• sprawy handlowe: kontakt@clinikai.pl · sprawy serwisowe: support@clinikai.pl
• adres korespondencyjny: ul. Leszczynowa 9, 95-200 Pabianice

Nie wyznaczyliśmy inspektora ochrony danych — skala i charakter przetwarzania nie wypełniają przesłanek art. 37 RODO. Do czasu ewentualnego wyznaczenia IOD wszystkie sprawy prowadzi adres rodo@clinikai.pl.

2. Czego dotyczy ta Polityka — dwie różne role

ClinikAI dostarcza placówkom medycznym asystenta głosowego, który odbiera telefon w imieniu placówki. Występujemy przy tym w dwóch rolach, a od roli zależy, kto o czym informuje:

3. Dane pacjentów — tu administratorem jest placówka, nie my

Dane, które pacjent podaje w rozmowie z asystentem (imię, numer telefonu, powód i termin wizyty), przetwarzamy wyłącznie na udokumentowane polecenie placówki, na podstawie umowy powierzenia (art. 28 RODO). Administratorem tych danych jest placówka medyczna — i to ona decyduje o celach, podstawach prawnych i realizacji praw pacjenta. Nie wykorzystujemy tych danych do własnych celów ani do trenowania modeli AI.

Jeżeli jesteś pacjentem i chcesz skorzystać ze swoich praw albo poznać pełną informację o przetwarzaniu — zwróć się do swojej placówki. Żądanie skierowane do nas przekażemy placówce; sami go nie rozstrzygamy. Pozostała część niniejszej Polityki dotyczy przetwarzania, w którym administratorem jesteśmy my.

4. Odwiedzający clinikai.pl

Strona jest statyczna. Nie ma na niej formularza kontaktowego, systemu analitycznego, menedżera tagów ani żadnego skryptu śledzącego; jedyną interakcją jest odnośnik pocztowy. Nie zakładamy plików cookies — wybór motywu i języka zapisuje się w pamięci lokalnej Twojej przeglądarki, nie opuszcza Twojego urządzenia i nie trafia do nas.

Przetwarzamy więc tylko to, co powstaje przy samym serwowaniu strony: logi serwera — adres IP, data i godzina, żądany adres, typ przeglądarki, kod odpowiedzi. Podstawa: art. 6 ust. 1 lit. f RODO (nasz uzasadniony interes w udostępnieniu i zabezpieczeniu serwisu). Logów nie łączymy z żadnym innym zbiorem i nie budujemy z nich profili.

Jeżeli napiszesz do nas na adres podany na stronie, przetwarzamy treść wiadomości i Twoje dane kontaktowe w celu udzielenia odpowiedzi i ewentualnego przygotowania oferty — art. 6 ust. 1 lit. b i f RODO.

5. Placówki, do których odzywamy się pierwsi — dane z rejestrów publicznych

To jest informacja z art. 14 RODO: dane w tej grupie zbieramy nie od Ciebie, tylko z rejestrów publicznych.

Skąd je mamy. Wyłącznie ze źródeł powszechnie dostępnych: z publicznego rejestru podmiotów wykonujących działalność leczniczą (RPWDL — ogólnopolski zbiór publikowany do pobrania), z publicznych rejestrów i wykazów prowadzonych przez samorządy zawodowe oraz z publicznych stron internetowych samych placówek. Nie kupujemy baz i nie korzystamy z zewnętrznego wzbogacania danych — o placówce nie pytamy nikogo poza rejestrem.

Czego dotyczy. Adresatem jest placówka — przedsiębiorca, nie pacjent. Dane osobowe pojawiają się tam, gdzie placówkę prowadzi osoba fizyczna (jednoosobowa działalność zarejestrowana pod własnym nazwiskiem) albo gdzie rejestr lub własna strona placówki publikuje imiennie osobę do kontaktu. Przetwarzamy wtedy: zarejestrowaną nazwę i adres placówki, opublikowane służbowe dane kontaktowe (telefon, e-mail, strona), fakty rejestrowe (rodzaj placówki, rok wpisu, liczba osób wykonujących zawód), naszą własną ocenę dopasowania do profilu klienta wraz z uzasadnieniem oraz — po nawiązaniu kontaktu — historię kontaktu. Nie zapisujemy nazwisk osób wykonujących zawód, numerów prawa wykonywania zawodu ani prywatnych numerów NIP, mimo że rejestry je udostępniają; są odrzucane przy wczytywaniu.

Po co i na jakiej podstawie. Cel to pierwszy kontakt handlowy — przedstawienie usługi placówce, dla której jest zbudowana. Podstawą jest art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes w marketingu bezpośrednim własnej usługi (motyw 47 RODO wprost wymienia marketing bezpośredni). Test równowagi: korzystamy wyłącznie z danych o działalności gospodarczej, pochodzących z rejestrów, których ustawowym celem jest właśnie ujawnienie tych danych; nie zbieramy danych prywatnych; nie stosujemy profilowania osób ani decyzji automatycznych; pierwszy kontakt jest pisemny i wskazuje źródło danych; sprzeciw zamyka sprawę na stałe. Uznajemy, że w tych warunkach nasz interes nie narusza praw i wolności adresata — ale to Ty oceniasz, czy w Twoim przypadku jest inaczej, i po to jest prawo sprzeciwu.

Prawo sprzeciwu — najważniejsze zdanie tej sekcji. W każdej chwili możesz wnieść sprzeciw wobec przetwarzania Twoich danych na podstawie uzasadnionego interesu (art. 21 ust. 1 RODO), a wobec marketingu bezpośredniego (art. 21 ust. 2) sprzeciw jest bezwarunkowy — nie musisz go uzasadniać i nie mamy podstawy, by go ważyć. Wystarczy jedno zdanie na rodo@clinikai.pl albo w odpowiedzi na naszą wiadomość. Usuwamy wtedy wiersz i nie odzywamy się ponownie.

Jak długo. Planowany okres: 12 miesięcy od ostatniego kontaktu, potem usunięcie. Piszemy „planowany", bo tak jest naprawdę — okres jest zapisany jako propozycja i nie został jeszcze formalnie zatwierdzony; do czasu zatwierdzenia obowiązuje jako reguła robocza, którą stosujemy, a nie jako ustalona polityka retencji. Zaktualizujemy to zdanie z chwilą zatwierdzenia.

6. Użytkownicy panelu placówki-klienta

Gdy pracujesz w placówce korzystającej z ClinikAI i masz konto w panelu, przetwarzamy Twoje służbowe dane konta: imię i nazwisko, służbowy e-mail, rolę i uprawnienia, dane uwierzytelniające (hasło wyłącznie w postaci skrótu, opcjonalnie drugi składnik logowania) oraz zapisy logowań i istotnych operacji.

Dwie role wobec tych samych danych, bez sprzeczności: w zakresie, w jakim dane personelu są nam potrzebne do świadczenia usługi na rzecz placówki, działamy jako podmiot przetwarzający, na jej polecenie. W wąskim zakresie utrzymania samego konta i bezpieczeństwa platformy (uwierzytelnianie, wykrywanie nadużyć, dziennik dostępu, kontakt serwisowy) cele i sposoby ustalamy my — i tylko ten zakres opisuje ta sekcja. Podstawy: art. 6 ust. 1 lit. b i f RODO. Dane pacjentów widoczne w panelu przetwarzamy jako podmiot przetwarzający placówki (punkt 3).

7. Użytkownicy konsoli operacyjnej

Konsola operacyjna jest naszym wewnętrznym narzędziem — nie udostępniamy jej placówkom. Korzystają z niej wyłącznie nasi ludzie, uwierzytelnieni firmową tożsamością przez bramę dostępową, na liście uprawnionych. Przetwarzamy służbowy adres e-mail, przyznaną rolę oraz zapisy dostępu (kiedy, kto, co zrobił). Podstawa: art. 6 ust. 1 lit. f RODO (kontrola i wykazanie dostępu do systemu sięgającego środowiska produkcyjnego), a wobec osób z nami współpracujących także lit. b i c.

8. Odbiorcy danych i przekazywanie poza EOG

Korzystamy z dostawców, którzy przetwarzają dane w naszym imieniu w zakresie niezbędnym do świadczenia usługi, każdorazowo na podstawie umowy powierzenia:

Imienną, aktualną Listę podprocesorów udostępniamy na żądanie pod rodo@clinikai.pl; placówka, z którą zawarliśmy umowę powierzenia, otrzymuje ją przy podpisaniu i ma ją stale dostępną w panelu Usługi. Dane mogą być ponadto udostępnione podmiotom uprawnionym na podstawie przepisów prawa.

Przekazywanie poza EOG. Dane przetwarzamy na terenie Europejskiego Obszaru Gospodarczego wszędzie tam, gdzie dostawca danej usługi to umożliwia. Poza EOG przetwarzają je dostawcy wskazani na Liście podprocesorów — dotyczy to silnika konwersacyjnego, czyli dźwięku i transkrypcji rozmów. Podstawą są standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO) wraz z oceną skutków transferu oraz środkami uzupełniającymi: szyfrowaniem transmisji, umownym zakazem trenowania modeli na naszych danych i ograniczeniem retencji u dostawcy. Dotyczy to wyłącznie danych przetwarzanych w imieniu placówek (punkt 3). Dane, których administratorem jesteśmy my — odwiedzających stronę, placówek z rejestrów, użytkowników panelu i konsoli — nie są przekazywane poza EOG.

9. Jak długo przechowujemy dane

10. Twoje prawa

W zakresie, w jakim jesteśmy administratorem Twoich danych (punkty 4–7), przysługują Ci prawa: dostępu (art. 15), sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia (art. 20 — gdy dotyczy), sprzeciwu (art. 21 — patrz punkt 5) oraz wycofania zgody w każdej chwili, bez wpływu na zgodność z prawem przetwarzania sprzed wycofania (art. 7 ust. 3). Prawa realizujesz, pisząc na rodo@clinikai.pl. Odpowiadamy bez zbędnej zwłoki, najpóźniej w terminie miesiąca.

Nie profilujemy i nie podejmujemy decyzji automatycznych. Ocena dopasowania opisana w punkcie 5 dotyczy placówki jako przedsiębiorstwa i służy wyłącznie ustaleniu kolejności, w jakiej człowiek wykonuje telefony — nie wywołuje wobec żadnej osoby skutków prawnych ani podobnie istotnych (art. 22 RODO).

Jeżeli jesteś pacjentem placówki korzystającej z ClinikAI — swoje prawa realizujesz u swojej placówki (punkt 3).

Skarga. Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, jeżeli uznasz, że przetwarzanie Twoich danych narusza RODO.

11. Zmiany Polityki

Możemy aktualizować niniejszą Politykę — w szczególności przy zmianie zakresu usługi, listy podprzetwarzających lub przepisów. Aktualna wersja jest publikowana na clinikai.pl wraz z datą. O istotnych zmianach dotyczących osób, z którymi pozostajemy w relacji, informujemy e-mailem lub komunikatem w panelu.