POLITYKA PRYWATNOŚCI MED-TIME.PL

Informacje o Przetwarzaniu Danych Osobowych

Wersja: 1.0

Data wejścia w życie: [UZUPEŁNIĆ DATĘ]

Ostatnia aktualizacja: [UZUPEŁNIĆ DATĘ]

1. ADMINISTRATOR DANYCH OSOBOWYCH

Administratorem danych osobowych (odpowiedzialnym za przetwarzanie) jest:

MED-TIME.pl

• Adres: [UZUPEŁNIĆ PEŁNY ADRES SIEDZIBY]
• NIP: [UZUPEŁNIĆ NIP]
• Email: [UZUPEŁNIĆ EMAIL RODO]
• Telefon: [UZUPEŁNIĆ NUMER TELEFONU]

Osoba odpowiedzialna za ochronę danych (DPO - Data Protection Officer):

• Imię i nazwisko: [UZUPEŁNIĆ DANE]
• Email: [UZUPEŁNIĆ EMAIL DPO]
• Telefon: [UZUPEŁNIĆ NUMER]

2. JAKIE DANE PRZETWARZAMY

2.1. Dane Użytkownika (osoby rejestrującej się w Serwisie)

2.2. Dane pracowników (wprowadzane przez Użytkownika)

2.3. Dane techniczne

3. CELE PRZETWARZANIA DANYCH

3.1. Podstawowe cele

1. Świadczenie Usługi:

- Utworzenie i zarządzanie Kontem Użytkownika

- Autentykacja (logowanie)

- Przechowywanie danych Użytkownika

- Funkcjonalności zarządzania pracownikami, finansami, raportami

- Tworzenie kopii zapasowych (backupy)

1. Komunikacja:

- Powiadomienia o statusie subskrypcji

- Przypomnienia o końcu okresu próbnego

- Przypomnienia o odnowieniu subskrypcji

- Odpowiadanie na pytania i wsparcie

- Powiadomienia o zmianach Regulaminu

- Powiadomienia o incydentach bezpieczeństwa

1. Bezpieczeństwo:

- Ochrona przed cyberatakami

- Weryfikacja autentyczności (2FA)

- Monitoring nieprawidłowości

- Audit log (historia zmian)

- Śledzenie dostępu do konta

1. Obowiązki prawne:

- Obliczanie i raportowanie VAT

- Wymagania podatkowe

- Zgodność z RODO (realizacja praw użytkownika)

- Ochrona praw i roszczeń

1. Marketing i analityka (tylko anonimizowane):

- Statystyki użycia (liczba użytkowników, aktywności)

- Doskonalenie Usługi

- Badania nad użytkowaniem Serwisu

4. PODSTAWA PRAWNA PRZETWARZANIA (ART. 6 RODO)

4.1. Dla danych Użytkownika

4.2. Dla danych pracowników

5. OKRES PRZECHOWYWANIA DANYCH

5.1. Dane Użytkownika

5.2. Dane pracowników

5.3. Dane do celów podatkowych

Zgodnie z ustawą o podatku VAT i ustawą o podatku dochodowym od osób fizycznych:

• Faktury i dokumenty: 5 lat od końca roku podatkowego
• Logi transakcji: 5 lat
• Dane płacowe: Przez czas zatrudnienia + 6 lat

Te dane mogą być przechowywane dłużej niż dane funkcjonalne.

6. ODBIORCY DANYCH

6.1. Wewnętrzni

Dostęp do danych mają wyłącznie pracownicy MED-TIME.pl, którzy ich potrzebują do wykonania swoich obowiązków:

• Zespół Support (wsparcie techniczne)
• Zespół Backend (utrzymanie systemu)
• Zespół Security (bezpieczeństwo)
• Kierownictwo (sprawy biznesowe)

Wszyscy pracownicy podpisali umowę o poufności.

6.2. Zewnętrzni - Procesory danych

1. Supabase:

- Rola: Procesor danych (hostowanie bazy danych)

- Dane: Wszystkie dane użytkownika i pracowników

- Umowa: Standard Terms of Service (RODO compliance)

- Lokalizacja: [UZUPEŁNIĆ - gdzie serwery Supabase]

- Bezpieczeństwo: Szyfrowanie, backup, monitoring

1. Google Apps Script:

- Rola: Procesor (formularz kontaktowy)

- Dane: Email, wiadomość, imię (opcjonalnie)

- Umowa: Standard Terms of Service

- Cel: Wysyłanie maili z formularza

- Przechowywanie: Dane mogą być przechowywane na serwerach Google

1. Procesor płatności:

- Rola: Procesor (przetwarzanie płatności)

- Dane: Dane karty kredytowej (szyfrowane)

- Umowa: Umowa płatności (PCI DSS compliance)

- Bezpieczeństwo: Szyfrowanie, tokenizacja

1. Hosting (Vercel, jeśli używany):

- Rola: Procesor (hosting aplikacji)

- Dane: Logi dostępu, cookies

- Umowa: Standard Terms of Service

6.3. Odbiorcy prawni

Dane mogą być ujawnione:

1. PUODO (Urząd Ochrony Danych Osobowych):

- W przypadku incydentu bezpieczeństwa (art. 33 RODO)

- Na żądanie w ramach kontroli

1. Organy ścigania:

- Na podstawie nakazu sądowego

- Np. policja, prokuratura

1. CEIDG/GUS:

- Dane do celów podatkowych

- Raportowanie VAT

1. Inne organy publiczne:

- Na podstawie przepisów prawa

7. TRANSFERY DANYCH POZA UNIĘ EUROPEJSKĄ

7.1. Czy dane są przesyłane poza UE?

Tak, jeśli Supabase przechowuje dane poza UE.

Supabase może przechowywać dane w różnych lokalizacjach:

• [UZUPEŁNIĆ LOKALIZACJĘ SUPABASE]

7.2. Mechanizmy ochrony (art. 46 RODO)

Jeśli dane są transferowane poza UE, MED-TIME.pl zapewnia ochronę za pomocą:

1. Standard Contractual Clauses (SCC):

- Standardowe umowne klauzule zaakceptowane przez KE

- Między MED-TIME.pl a Supabase

- Gwarancja poziomu ochrony "równoważnego" UE

1. Transfer Impact Assessment:

- Ocena zagrożeń dla praw użytkownika

- Monitorowanie zmian w prawie lokalnym

1. Szyfrowanie:

- Dane są szyfrowane w transit i at rest

- MED-TIME.pl nie może dekryptować danych bez klucza użytkownika

8. PRAWA UŻYTKOWNIKA (ART. 15-22 RODO)

8.1. Prawo dostępu (art. 15)

Co to jest?

• Prawo do potwierdzenia, czy dane osobowe są przetwarzane
• Prawo do pobrania kopii danych

Jak się domagać?

• Email: [UZUPEŁNIĆ EMAIL RODO]
• Telefon: [UZUPEŁNIĆ NUMER]
• Formularz: [UZUPEŁNIĆ LINK]

Termin odpowiedzi: 30 dni (może być przedłużony do 90 dni)

Koszt: Bezpłatnie (pierwsza kopia), dalsze kopie mogą być płatne

8.2. Prawo do sprostowania (art. 16)

Co to jest?

• Prawo do poprawy nieprawidłowych danych
• Prawo do uzupełnienia niekompletnych danych

Jak się domagać?

• Zmiana w panelu użytkownika (Ustawienia > Profil)
• Email z prośbą do: [UZUPEŁNIĆ EMAIL RODO]

Termin: MED-TIME.pl poprawi dane bez zbędnej zwłoki (zwykle do 14 dni)

8.3. Prawo do usunięcia (art. 17 - "prawo do bycia zapomnianym")

Co to jest?

• Prawo do żądania usunięcia swoich danych
• Wyłączenia: jeśli dane są potrzebne do wykonania umowy, audytu, czy dochodzenia roszczeń

Gdy przysługuje:

• Dane już nie są potrzebne do celów, do których zostały zebrane
• Wycofanie zgody (jeśli była wymagana)
• Sprzeciw wobec przetwarzania
• Naruszenie RODO

Gdy NIE przysługuje:

• Dane są potrzebne do wykonania umowy (np. faktura dla podatków)
• Obowiązek prawny (podatki - 5 lat)
• Dochodzenie roszczeń
• Prawo publiczne

Jak się domagać?

• Email: [UZUPEŁNIĆ EMAIL RODO]
• Telefon: [UZUPEŁNIĆ NUMER]
• Formularz: [UZUPEŁNIĆ LINK]

Termin: 30 dni

Koszt: Bezpłatnie

8.4. Prawo do ograniczenia przetwarzania (art. 18)

Co to jest?

• Prawo do czasowego wstrzymania przetwarzania danych
• Dane pozostają przechowywane, ale nie są używane

Gdy przysługuje:

• Kwestionowanie dokładności danych
• Sprzeciw wobec przetwarzania
• Czekanie na decyzję w sprawie usunięcia

Jak się domagać?

• Email: [UZUPEŁNIĆ EMAIL RODO]

Termin: 30 dni

8.5. Prawo do przeniesienia danych (art. 20)

Co to jest?

• Prawo do pobrania danych w formacie strukturalnym, powszechnie używanym i czytelnym
• Prawo do przeniesienia danych do innego serwisu

Formaty dostępne:

• JSON
• CSV
• Excel
• PDF

Jak się domagać?

• Email: [UZUPEŁNIĆ EMAIL RODO]
• Formularz: [UZUPEŁNIĆ LINK]
• Lub w panelu: Ustawienia > Eksportuj dane

Termin: 30 dni

Koszt: Bezpłatnie (pierwsza kopia)

8.6. Prawo do sprzeciwu (art. 21)

Co to jest?

• Prawo do sprzeciwu wobec przetwarzania danych
• Prawo do sprzeciwu wobec profilowania

Rodzaje sprzeciwu:

1. Sprzeciw wobec przetwarzania do marketingu:

- Email: [UZUPEŁNIĆ EMAIL MARKETING]

- MED-TIME.pl zaprzestaje wysyłania maili

1. Sprzeciw wobec profilowania (AI Insights):

- Email: [UZUPEŁNIĆ EMAIL RODO]

- MED-TIME.pl zaprzestaje generowania rekomendacji AI

Termin: 30 dni

Koszt: Bezpłatnie

8.7. Prawo do wniesienia skargi

Jak złożyć skargę:

• Do PUODO (Prezes Urzędu Ochrony Konkurencji i Konsumentów):

- Online: https://uodo.gov.pl/

- Email: kancelaria@uodo.gov.pl

- Adres: Warszawa, ul. Puławska 18

Termin: W każdej chwili (bez terminu)

9. PROFILOWANIE I PODEJMOWANIE DECYZJI (ART. 22 RODO)

9.1. Co to jest profilowanie?

Profilowanie to automatyczna analiza danych w celu oceny lub prognozy cech osoby.

Przykład w MED-TIME.pl:

• AI Insights analizuje dane pracowników
• AI generuje prognozy przychodów
• AI sugeruje zmiany grafiku

9.2. Prawo do uniknięcia automatycznych decyzji

Regulacja: Art. 22 RODO - prawo do uniknięcia decyzji podejmowanej wyłącznie przez system automatyczny, jeśli ma istotne skutki prawne.

W MED-TIME.pl:

• AI Insights NIE podejmuje decyzji (tylko sugestie)
• Użytkownik zawsze podejmuje ostateczną decyzję
• Brak automatycznych decyzji wiążących

Dlatego art. 22 nie ma zastosowania.

9.3. Prawo do sprzeciwu wobec profilowania

Nawet jeśli AI Insights nie podejmuje automatycznych decyzji, Użytkownik może:

• Złożyć sprzeciw wobec profilowania
• Prosić o wyłączenie AI Insights
• Email: [UZUPEŁNIĆ EMAIL RODO]

MED-TIME.pl wstrzyma generowanie rekomendacji AI.

10. COOKIES I ŚLEDZENIE

10.1. Co to są cookies?

Cookies to małe pliki przechowywane na urządzeniu użytkownika, zawierające:

• Identyfikator sesji
• Preferencje użytkownika
• Dane techniczne

10.2. Cookies w MED-TIME.pl

10.3. Cookies niezbędne vs zbędne

Niezbędne (bez zgody):

• sb-access-token, sb-refresh-token, last-activity-time
• Potrzebne do autentykacji i bezpieczeństwa

Zbędne (wymagają zgody):

• theme, language
• Wymaga wyrażenia zgody podczas pierwszej wizyty

10.4. Jak zarządzać cookies?

1. Podczas rejestracji:

- Użytkownik wyraża zgodę na niezbędne cookies

- Opcja zaznaczenia zgody na zbędne cookies

1. W ustawieniach:

- Użytkownik może anulować cookies zbędne

- Niezbędne cookies nie mogą być anulowane (bezpieczeństwo)

1. W przeglądarce:

- Użytkownik może wyczyścić cookies z ustawień przeglądarki

11. ANALITYKA I ŚLEDZENIE

11.1. Narzędzia analityki

MED-TIME.pl może używać narzędzi analityki do:

• Monitorowania wydajności Serwisu
• Zrozumienia, jak użytkownicy korzystają z Serwisu
• Doskonalenia UX

Narzędzia (jeśli używane):

• [UZUPEŁNIĆ - np. Google Analytics, Mixpanel, Amplitude]
• Warunki: Anonimizacja IP, brak śledzenia osób trzecich

11.2. Śledzenie stron trzecich

MED-TIME.pl NIE pozwala na śledzenie osób trzecich (np. Facebook Pixel, Google Ads).

Dane użytkownika NIE są udostępniane reklamodawcom ani brokerom danych.

12. BEZPIECZEŃSTWO DANYCH (ART. 32 RODO)

12.1. Techniczne środki bezpieczeństwa

1. Szyfrowanie:

- HTTPS/TLS dla całej komunikacji

- Hasła zahasłowane (bcrypt)

- Dane wrażliwe szyfrowane w bazie danych

1. Kontrola dostępu:

- Row Level Security (RLS) - każdy użytkownik widzi tylko swoje dane

- Dwuskładnikowe uwierzytelnianie (2FA) - opcjonalne

- Umowy o poufności dla pracowników

1. Backup i przywracanie:

- Codzienne automatyczne backupy

- Backup przechowywany oddzielnie od danych głównych

- Testowanie przywracania

1. Monitoring:

- Automatyczne alerty na podejrzane działania

- Logi wszystkich dostępów

- Skanowanie pod kątem luk bezpieczeństwa

12.2. Organizacyjne środki bezpieczeństwa

1. Procedury:

- Procedura reagowania na incydenty

- Procedura uprawnień dostępu

- Procedura szkolenia personelu

1. Szkolenia:

- Wszyscy pracownicy szkoleni z RODO

- Szkolenia z bezpieczeństwa danych

- Szkolenia z phishingu

1. Umowy:

- Umowy o poufności

- Umowa powierzenia przetwarzania (UPP) z Supabase

13. INCYDENTY BEZPIECZEŃSTWA

13.1. Co to jest incydent?

Incydent to:

• Nieautoryzowany dostęp do danych
• Wyciek danych
• Utrata danych
• Naruszenie szyfrowania

13.2. Jak zgłosić incydent?

Niezwłocznie kontaktować:

• Email: [UZUPEŁNIĆ EMAIL SECURITY]
• Telefon: [UZUPEŁNIĆ NUMER EMERGENCY]
• Formularz: [UZUPEŁNIĆ LINK]

Podać:

• Co się stało
• Kiedy się stało
• Jakie dane mogą być zagrożone

13.3. Co robi MED-TIME.pl?

1. Natychmiast (0-1 godzina):

- Przerwanie dostępu (jeśli konieczne)

- Zawiadomienie zespołu Security

1. W ciągu 24 godzin:

- Analiza incydentu

- Podejmowanie działań naprawczych

- Powiadomienie użytkownika (jeśli dotyczy)

1. W ciągu 72 godzin:

- Zgłoszenie do PUODO (jeśli wymagane)

- Raport wstępny

1. W ciągu 7 dni:

- Pełny raport z incydentu

- Rekomendacje zapobiegawcze

14. PRACOWNICY, USŁUGODAWCY I PRZETWARZAJĄCY

14.1. Umowa powierzenia przetwarzania (UPP)

Art. 28 RODO wymaga UPP między Administratorem a Przetwarzającym.

MED-TIME.pl posiada UPP z:

1. Supabase:

- Przetwarzanie danych użytkownika i pracowników

- Warunki: Standard Terms of Service

1. Procesorem płatności:

- Przetwarzanie danych karty kredytowej

- Warunki: PCI DSS compliance

Kopie UPP dostępne na żądanie (email: [UZUPEŁNIĆ EMAIL]).

14.2. Pracownicy MED-TIME.pl

Pracownicy, którzy mają dostęp do danych:

• Podpisali umowę o poufności
• Przeszli szkolenie z RODO
• Mają dostęp tylko do danych potrzebnych do wykonania obowiązków

15. ZMIANA POLITYKI PRYWATNOŚCI

15.1. Prawo do zmiany

MED-TIME.pl może zmienić Politykę Prywatności w każdej chwili.

15.2. Powiadomienie

Zmiany:

• Będą opublikowane na stronie MED-TIME.pl
• Użytkownik otrzyma email powiadomienie (jeśli zmiana jest istotna)
• Data wejścia w życie: co najmniej 30 dni

15.3. Prawo do wyrażenia opinii

Użytkownik może wyrazić opinię na temat zmian:

• Email: [UZUPEŁNIĆ EMAIL RODO]
• Nie jest to obowiązkowe, ale MED-TIME.pl weźmie to pod uwagę

16. PYTANIA I WĄTPLIWOŚCI

16.1. Kim się skontaktować?

Ogólne pytania:

• Email: [UZUPEŁNIĆ EMAIL SUPPORT]
• Telefon: [UZUPEŁNIĆ NUMER]

Pytania o RODO i prywatność:

• Email: [UZUPEŁNIĆ EMAIL RODO / DPO]
• Telefon: [UZUPEŁNIĆ NUMER]
• Imię DPO: [UZUPEŁNIĆ]

Pytania o bezpieczeństwo:

• Email: [UZUPEŁNIĆ EMAIL SECURITY]

Skargi:

• Email: [UZUPEŁNIĆ EMAIL COMPLAINTS]
• Adres wysyłki: [UZUPEŁNIĆ ADRES]

16.2. Termin odpowiedzi

• Email: Do 48 godzin
• Pytania o RODO: Do 30 dni (zgodnie z prawem)

17. LINKI PRZYDATNE

• Regulamin MED-TIME.pl: [/regulamin](/regulamin)
• Polityka Cookies: [UZUPEŁNIĆ LINK]
• PUODO (Urząd Ochrony Danych Osobowych): https://uodo.gov.pl/
• Artykuły RODO: https://rodo.gov.pl/

18. ZMIANA DANYCH ADMINISTRATORA

Jeśli dane kontaktowe MED-TIME.pl się zmienią, zostanie to opublikowane na stronie oraz powiadomiony email.

Ostatnia aktualizacja: [UZUPEŁNIĆ DATĘ]

Wersja: 1.0

ZAŁĄCZNIK: MAPA PRZETWARZANIA DANYCH

```

┌─────────────────────────────────────────────────────────┐

│ MAPA PRZETWARZANIA DANYCH │

└─────────────────────────────────────────────────────────┘

┌─────────────────────────┐

│ UŻYTKOWNIK (KLIENT) │

│ (pracodawca/gabinet) │

└────────────┬────────────┘

│

▼

┌─────────────────────────────────────────────────────────┐

│ MED-TIME.PL (APLIKACJA) │

│ ┌───────────────────────────────────────────────────┐ │

│ │ Administrator Danych: │ │

│ │ • Email, hasło, imię, nazwisko użytkownika │ │

│ │ • Ustawienia konta, logi dostępu │ │

│ │ │ │

│ │ Procesor Danych (w imieniu użytkownika): │ │

│ │ • Dane pracowników (imię, pensja, godziny) │ │

│ │ • Dane finansowe, raporty │ │

│ │ • AI Insights (analiza danych) │ │

│ └───────────────────────────────────────────────────┘ │

└────────────┬────────────────────────────────────────────┘

│

┌───────┴──────────┬──────────────┐

▼ ▼ ▼

┌─────────────┐ ┌──────────────┐ ┌──────────────┐

│ SUPABASE │ │ GOOGLE APPS │ │ PROCESOR │

│ (DB) │ │ SCRIPT │ │ PŁATNOŚCI │

│ Procesor │ │ (formularze)│ │ │

│ │ │ │ │ │

└─────────────┘ └──────────────┘ └──────────────┘

│ │ │

└──────────────────┴─────────────────┘

│

▼

┌─────────────────────────┐

│ INNE PODMIOTY (JK): │

│ • PUODO (incydenty) │

│ • Organy ścigania │

│ • Urzędy skarbowe │

└─────────────────────────┘

Legenda:

─────────

┌─────────┐ = Podmiot przetwarzający dane

│ │

└─────────┘

│

▼

Przesyłanie danych

```

KONIEC POLITYKI PRYWATNOŚCI

Dziękujemy za przeczytanie.

W razie pytań: [UZUPEŁNIĆ EMAIL]