Polityka Prywatności

Medova to platforma prowadzona przez EPKO sp. z o.o. Ta polityka opisuje, co robimy z danymi osobowymi osób odwiedzających medova.health i korzystających z naszego konta.

• Nie sprzedajemy danych i nie udostępniamy ich reklamodawcom poza tym, na co wyrazisz zgodę.
• Analityka i marketing są domyślnie wyłączone do momentu, w którym sam(a) je włączysz w banerze zgód.
• Nie prowadzimy własnej kartoteki zdrowotnej. Dane o Twoim zdrowiu, jeżeli powstają, powstają w dokumentacji kliniki, a nie u nas. Wyjaśniamy to w sekcji „Kiedy administratorem jest klinika, a nie my”.
• Możesz w każdej chwili pobrać swoje dane, poprawić je, usunąć konto i wycofać zgody.

Pełną treść znajdziesz poniżej. W razie wątpliwości napisz do Inspektora Ochrony Danych: dpo@medova.health.

Administratorem danych osobowych jest:

EPKO sp. z o.o.
ul. Podleśna 2, 05-270 Marki, Polska
KRS: 0000908693, NIP: 1251720637, REGON: 389307530

Kontakt ogólny: office@medova.health
Sprawy ochrony danych: dpo@medova.health

Polityka dotyczy serwisu medova.health wraz z podstronami, konta użytkownika, formularzy kontaktowych oraz panelu, do którego logują się placówki korzystające z Medova.

To jest najważniejsze rozróżnienie w tym dokumencie, bo decyduje o tym, do kogo kierujesz swoje żądania.

Administratorem jesteśmy my, gdy przeglądasz serwis, zakładasz konto pacjenta, zapisujesz się na newsletter, wypełniasz formularz kontaktowy albo korzystasz z wyszukiwarki placówek. Odpowiadamy wtedy za wszystko, co opisuje ta polityka.

Administratorem jest placówka (klinika, gabinet, poradnia), gdy Twoje dane trafiają do jej panelu: rezerwacja wizyty w konkretnej placówce, kartoteka pacjenta, dokumentacja z wizyty, formularz przed wizytą, korespondencja z rejestracją. W tych przypadkach Medova jest wyłącznie podmiotem przetwarzającym i działa na udokumentowane polecenie placówki, na podstawie umowy powierzenia zawartej w trybie art. 28 RODO.

Co to znaczy w praktyce:

• O treść dokumentacji medycznej, okres jej przechowywania i dostęp do niej pytasz placówkę. My nie mamy prawa jej zmieniać ani udostępniać z własnej inicjatywy.
• Jeżeli zgłosisz żądanie do nas, a dotyczy ono danych placówki, przekażemy je jej bez zbędnej zwłoki i poinformujemy Cię o tym.
• Umowa powierzenia zawarta z placówkami, razem z wykazem podwykonawców, jest dostępna w serwisie jako osobny dokument.

Medova nie prowadzi własnego profilu zdrowotnego pacjenta. Funkcja, która zbierała takie deklaracje (ciąża, immunosupresja, choroby przewlekłe, alergie, grupa krwi), została wyłączona 27 lipca 2026 roku, a dane usunięto nieodwracalnie 31 lipca 2026 roku razem z tabelą, w której były przechowywane. Odnotowujemy to tutaj, bo poprzednia wersja tej polityki opisywała takie przetwarzanie jako bieżące.

• Dane konta: adres e-mail, imię, hasło (przechowywane wyłącznie jako skrót kryptograficzny), zdjęcie profilowe, rola w systemie, język interfejsu.
• Dane placówki i jej personelu: nazwa, adres, dane rejestrowe (NIP, REGON, numer w rejestrze podmiotów leczniczych), dane kontaktowe osób obsługujących konto.
• Dane rezerwacji: imię, nazwisko, telefon, e-mail, wybrana usługa, termin i placówka. Administratorem tych danych jest placówka (patrz sekcja 2).
• Dane techniczne: adres IP, typ przeglądarki i urządzenia, strony odwiedzone w serwisie, czas wizyty, źródło wejścia.
• Dane komunikacji: treść wiadomości, zgłoszeń do wsparcia i opinii, które do nas wysyłasz.
• Dane rozliczeniowe: historia płatności i status abonamentu, gdy korzystasz z płatnej wersji dla placówek. Numeru karty nigdy nie widzimy ani nie przechowujemy, obsługuje go operator płatności.
• Zapytania o szczepienia: adres e-mail oraz choroba lub szczepionka, której dotyczy zapytanie. Informacja o interesującej Cię szczepionce jest daną dotyczącą zdrowia, dlatego zbieramy ją wyłącznie na podstawie wyraźnej zgody i usuwamy automatycznie po 90 dniach.

Nie zbieramy danych, których nie potrzebujemy do konkretnego celu, i nie wymagamy podania danych o stanie zdrowia po to, żeby po prostu przeglądać serwis.

Aplikacja działa na serwerze w Niemczech, a baza danych w regionie Unii Europejskiej (Frankfurt). To znaczy, że dane konta i dane placówek nie opuszczają EOG w normalnym toku działania.

Część dostawców pomocniczych ma siedzibę poza EOG, głównie w Stanach Zjednoczonych. W każdym takim przypadku podstawą przekazania są standardowe klauzule umowne zatwierdzone przez Komisję Europejską, a tam gdzie dostawca jest certyfikowany, dodatkowo EU-US Data Privacy Framework. Podstawę dla każdego dostawcy wskazuje tabela w sekcji 5.

Stosujemy też środki uzupełniające: szyfrowanie w tranzycie i w spoczynku, minimalizację zakresu danych przekazywanych dostawcom oraz wyłączenie skryptów zewnętrznych na ścieżkach, na których sam adres strony mówiłby coś o zdrowiu (kreator rezerwacji, profil placówki).

Kopię zastosowanych zabezpieczeń możesz otrzymać, pisząc na dpo@medova.health.

Na mocy art. 15-22 RODO masz prawo do: dostępu do danych i otrzymania ich kopii, sprostowania danych nieprawidłowych, usunięcia danych („prawo do bycia zapomnianym”), ograniczenia przetwarzania, przenoszenia danych w formacie nadającym się do odczytu maszynowego, sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu. Zgodę możesz wycofać w każdej chwili.

Jak to zrobić:

1. Zaloguj się i przejdź do Ustawienia → Prywatność. Znajdziesz tam pobranie kopii danych i usunięcie konta, które działają od razu, bez czekania na naszą odpowiedź.
2. Zgody na analitykę i marketing zmieniasz w dowolnym momencie w ustawieniach cookies w stopce serwisu.
3. Sprawy, których nie da się załatwić z poziomu konta, kieruj na dpo@medova.health.

Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. W sprawach szczególnie złożonych możemy przedłużyć ten termin o kolejne dwa miesiące, informując Cię o przyczynie w ciągu pierwszego miesiąca. Realizacja praw jest bezpłatna; opłatę lub odmowę dopuszczamy tylko przy żądaniach ewidentnie nieuzasadnionych lub nadmiernych, i musimy ją uzasadnić.

Jeżeli Twoje żądanie dotyczy danych, dla których administratorem jest placówka (sekcja 2), przekażemy je tej placówce i poinformujemy Cię, do kogo trafiło.

Pliki cookies i magazyn przeglądarki opisujemy szczegółowo w Polityce Cookies. Najważniejsze zasady:

• Analityka i marketing są domyślnie wyłączone. Dopóki nie klikniesz zgody, tryb zgód Google stoi na „denied”, a piksel konwersji Meta nie ładuje się w ogóle.
• Zgodę możesz wycofać w każdej chwili w ustawieniach cookies. Wycofanie działa też wstecz w tym sensie, że skrypty przestają się ładować od razu.
• Na ścieżkach o charakterze zdrowotnym (kreator rezerwacji, profil placówki, wyszukiwarka) nie ładujemy zewnętrznych skryptów marketingowych i analitycznych niezależnie od zgody, ponieważ sam adres takiej strony ujawniałby informację o zdrowiu.
• Nasza własna statystyka odwiedzin działa bez cookies, bez identyfikatorów między stronami i na naszym serwerze w Niemczech.

Nie podejmujemy wobec Ciebie decyzji wywołujących skutki prawne ani podobnie istotnych wyłącznie w sposób zautomatyzowany w rozumieniu art. 22 RODO. Nie profilujemy Cię w celu odmowy usługi, ustalenia ceny ani oceny wiarygodności.

Automatyzacja, z której korzystamy, to:

• Wyszukiwanie i sortowanie placówek po trafności zapytania, odległości, ocenach i kompletności danych. To reguły, nie profilowanie Twojej osoby.
• Tłumaczenia maszynowe treści serwisu na 15 języków, z przeglądem redakcyjnym dla treści prawnych.
• Podsumowania informacji zdrowotnych o krajach generowane modelem językowym z publicznych danych WHO. Mają charakter edukacyjny i są oznaczone jako wygenerowane przez AI.
• Asystentka głosowa w wersji demonstracyjnej, z którą możesz porozmawiać na stronie dla placówek. Jest wyraźnie oznaczona jako maszyna, zanim zaczniesz rozmowę.

Pełny wykaz systemów AI, ich rolę, oznaczenia i nadzór człowieka opisuje Przejrzystość AI. W każdej sprawie dotyczącej automatycznego wyniku możesz zażądać interwencji człowieka, pisząc na dpo@medova.health.

• Szyfrowanie w tranzycie (TLS 1.3) i w spoczynku (AES-256).
• Rozdzielenie danych między placówkami na poziomie bazy danych, tak że zapytanie jednej placówki nie sięga danych innej.
• Dostęp oparty na rolach i zasadzie najmniejszych uprawnień, z uwierzytelnianiem dwuskładnikowym dostępnym dla każdego konta.
• Rejestrowanie zdarzeń administracyjnych i dostępu do danych wrażliwych.
• Kopie zapasowe z regularnie sprawdzanym odtwarzaniem.
• Przeglądy bezpieczeństwa i testy przy istotnych zmianach w systemie.

Podatności zgłaszaj na security@medova.health lub office@medova.health. Stosujemy zasady odpowiedzialnego ujawniania i nie ścigamy badaczy działających w dobrej wierze.

• Organ nadzorczy: zgłaszamy naruszenie Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla praw i wolności osób.
• Ciebie zawiadamiamy bez zbędnej zwłoki, jeżeli naruszenie może powodować wysokie ryzyko dla Twoich praw i wolności. Piszemy wtedy, czego naruszenie dotyczy, jakie mogą być skutki, co już zrobiliśmy i co możesz zrobić sam(a).
• Placówkę zawiadamiamy niezwłocznie, gdy naruszenie dotyczy danych, które przetwarzamy w jej imieniu, bo to ona jako administrator decyduje o zawiadomieniu pacjentów.
• Rejestr: prowadzimy wewnętrzny rejestr wszystkich naruszeń, także tych niepodlegających zgłoszeniu, razem ze skutkami i działaniami naprawczymi.

Konto w Medova może założyć osoba, która ukończyła 16 lat. Granicę stosujemy jednolicie we wszystkich krajach, w których działamy, chociaż RODO pozwala państwom członkowskim obniżyć ją do 13 lat.

Nie zbieramy świadomie danych osób młodszych. Jeżeli dowiemy się, że konto założyła osoba poniżej 16 roku życia bez zgody opiekuna, usuwamy dane bez zbędnej zwłoki. Jeśli podejrzewasz taką sytuację, napisz na dpo@medova.health.

Rezerwacji wizyty dla dziecka dokonuje opiekun; dane dziecka trafiają wtedy do placówki, która jest ich administratorem.

Wyznaczyliśmy Inspektora Ochrony Danych. Możesz się z nim kontaktować we wszystkich sprawach dotyczących przetwarzania Twoich danych i wykonywania praw:

Inspektor Ochrony Danych Medova
E-mail: dpo@medova.health
Adres: EPKO sp. z o.o., ul. Podleśna 2, 05-270 Marki, Polska

Kontakt z Inspektorem jest bezpłatny, a korespondencja z nim jest poufna.

Jeżeli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, masz prawo wnieść skargę do organu nadzorczego (art. 77 RODO). Dla Medova właściwy jest:

Prezes Urzędu Ochrony Danych Osobowych
ul. Stawki 2, 00-193 Warszawa
Telefon: +48 22 531 03 00
Strona: www.uodo.gov.pl
E-mail: kancelaria@uodo.gov.pl

Jeżeli mieszkasz w innym państwie EOG, skargę możesz złożyć również do organu właściwego dla swojego miejsca zamieszkania lub pracy.

Politykę aktualizujemy, gdy zmienia się to, co robimy z danymi, albo gdy zmieniają się przepisy. Data u góry dokumentu jest datą obowiązywania aktualnej wersji.

• O istotnych zmianach informujemy zalogowanych użytkowników e-mailem lub komunikatem w serwisie, z wyprzedzeniem tam, gdzie wymaga tego prawo.
• Poprzednie wersje przechowujemy i udostępniamy na żądanie pod adresem dpo@medova.health.
• Wersją wiążącą jest wersja polska. Pozostałe wersje językowe są tłumaczeniami i służą wygodzie czytelnika.

Co zmieniła wersja z 16 września 2026 roku: wykaz podmiotów przetwarzających został wygenerowany z rejestru dostawców utrzymywanego w kodzie serwisu i obejmuje teraz wszystkich czynnych dostawców, w tym hosting, wysyłkę SMS i e-mail oraz pomiar kampanii; usunięto dostawcę hostingu, z którego nie korzystamy od marca 2026 roku; dodano sekcję o podziale ról między Medova a placówką; usunięto opis profilu zdrowotnego, którego nie prowadzimy od lipca 2026 roku; dodano sekcję o automatyzacji i sztucznej inteligencji; scalono dwie równoległe części dokumentu, które opisywały to samo dwa razy.