Zgodnie z art. 13 ust.1 i 2 oraz art. 14 RODO)

 

Administrator danych:

 

Administratorem Pani/Pana danych osobowych jest Ewa Żółtowska-Kosiba, prowadząca działalność gospodarczą pod firmą „Ewa Żółtowska-Kosiba – Psycholog” z adresem prowadzenia działalności: ul. Świętokrzyska 14/121, 30-015 Kraków. Można się skontaktować z Administratorem:

 

telefonicznie: +48 535 425 767,

e-mail: kosiba.ewa.cbt@gmail.com.

 

 

Cele i podstawy prawne przetwarzania danych:

 

Pani/Pana dane osobowe mogą być przetwarzane w następujących celach:

 

Umówienie wizyty i realizacja usługi psychologicznej/psychoterapeutycznej – obejmuje to przetwarzanie danych w celu rezerwacji terminu, prowadzenia sesji terapeutycznych, monitorowania postępów terapii, komunikacji w sprawach bieżących (np. zmiana terminu, przypomnienie o wizycie). Podstawą prawną jest art. 6 ust.1 lit. b RODO (przetwarzanie niezbędne do wykonania umowy, której stroną jest Pacjent, lub do podjęcia działań na żądanie Pacjenta przed zawarciem umowy). W przypadku danych dotyczących zdrowia i samopoczucia (szczególna kategoria danych) podstawą jest Pana/Pani zgoda – art. 9 ust.2 lit. a RODO, wyrażona poprzez dobrowolne przekazanie tych informacji i podpisanie stosownej zgody. [Alternatywnie: podstawą dla danych zdrowotnych może być art. 9 ust.2 lit. h RODO – jeśli uznajemy udzielanie psychoterapii za formę opieki zdrowotnej wykonywanej przez osobę zobowiązaną do zachowania tajemnicy zawodowej].

 

Prowadzenie dokumentacji związanej z procesem terapeutycznym – w zakresie niezbędnym do monitorowania przebiegu terapii (np. notatki własne Terapeuty). Podstawa: art. 6 ust.1 lit. b RODO (umowa o świadczenie usług psychoterapii) oraz art. 9 ust.2 lit. a RODO (zgoda na przetwarzanie danych zdrowotnych).

 

Komunikacja organizacyjna poza sesjami – w razie potrzeby kontaktu między sesjami (np. wysyłanie materiałów psychoedukacyjnych e-mailem na prośbę Pacjenta; przypomnienie SMS o terminie wizyty). Podstawa: art. 6 ust.1 lit. b RODO (działania w ramach wykonania usługi). Takie komunikaty nie stanowią marketingu, lecz element dbałości o ciągłość procesu terapeutycznego.

 

Wystawienie rachunku/faktury, rozliczenia finansowe – przetwarzanie danych (np. imię, nazwisko, adres) w razie potrzeby udokumentowania płatności za usługę i dopełnienia obowiązków księgowych/podatkowych. Podstawa prawna: art. 6 ust.1 lit. c RODO (wypełnienie obowiązku prawnego – wystawienie dowodu księgowego wymaganego przepisami podatkowymi).

 

Ustalenie, dochodzenie lub obrona roszczeń prawnych – w przypadku ewentualnych sporów, reklamacji, postępowań (np. dochodzenie należności za nieopłacone sesje, obrona przed roszczeniem Pacjenta). Podstawa: art. 6 ust.1 lit. f RODO, tj. prawnie uzasadniony interes Administratora; w zakresie ewentualnych danych szczególnych – art. 9 ust.2 lit. f RODO (niezbędność do ustalenia, dochodzenia lub obrony roszczeń). Uzasadnionym interesem jest ochrona praw majątkowych i posiadanie dowodów przebiegu współpracy.

 

Zapewnianie jakości usług (superwizja) – omówienie przebiegu terapii (anonimowo) z innym specjalistą – superwizorem – w celu konsultacji i podniesienia jakości pomocy. Podstawa: art. 6 ust.1 lit. f RODO (uzasadniony interes Administratora – zapewnienie profesjonalnej pomocy świadczonej Pacjentowi). Dane osobowe Pacjenta nie są ujawniane superwizorowi (Pacjent pozostaje anonimowy), więc formalnie nie dochodzi tu do przekazania danych. Gdyby jednak w jakimś wypadku identyfikacja Pacjenta była konieczna, Administrator poprosi uprzednio o zgodę Pacjenta.

 

Marketing bezpośredni własnych usług – np. newsletter (jeśli wyraził Pan/Pani odrębną zgodę na otrzymywanie takich informacji drogą elektroniczną). Przetwarzane dane to np. adres e-mail. Podstawa: art. 6 ust.1 lit. a RODO (zgoda). Udzielona zgoda może być w każdej chwili wycofana. Brak zgody lub jej wycofanie nie wpływa na korzystanie z usług terapeutycznych.

 

Prowadzenie strony internetowej i zapewnienie jej funkcjonowania – gdy odwiedza Pan/Pani naszą stronę, przetwarzane są pewne dane informatyczne (np. adres IP, pliki cookies) w celach zapewnienia bezpieczeństwa serwisu, statystyk odwiedzin itp. Szczegółowe informacje są w Polityce cookies. Podstawą prawną takich operacji jest art. 6 ust.1 lit. f RODO (uzasadniony interes Administratora – prowadzenie strony i analiza jej działania); w przypadku cookies nie niezbędnych – art. 6 ust.1 lit. a (zgoda użytkownika wyrażona poprzez baner cookies).

 

 

Zakres zbieranych danych:

 

Administrator przetwarza dane osobowe podane bezpośrednio przez Pacjenta lub pozyskane od niego w związku z usługą, w szczególności: imię, nazwisko, data urodzenia, numer PESEL (jeśli podany), adres zamieszkania (jeśli podany, np. do rachunku), dane kontaktowe (numer telefonu, adres e-mail), informacje dotyczące stanu zdrowia fizycznego i psychicznego, trudności i celów terapeutycznych (ujawnione w trakcie konsultacji/terapii), historię dotychczasowego leczenia lub wsparcia (jeśli Pacjent je przekazuje), wyniki testów psychologicznych lub diagnozy (jeśli dotyczy), a także dane o odbytych sesjach (terminy, frekwencja, płatności).

 

Dodatkowo, w przypadku terapii par – podstawowe informacje o partnerze/partnerce; w przypadku nieletnich (jeśli tacy byliby przyjmowani) – dane opiekunów prawnych. W ramach korzystania ze strony internetowej zbierane mogą być dane techniczne jak adres IP urządzenia, pliki cookies – szczegóły w polityce cookies.

 

 

Odbiorcy danych:

 

Pani/Pana dane osobowe mogą być przekazywane lub udostępniane następującym kategoriom odbiorców:

 

Podmioty przetwarzające dane w naszym imieniu (tzw. procesorzy): Są to zaufani partnerzy świadczący usługi pomocnicze, z którymi zawarliśmy umowy powierzenia danych osobowych, m.in.: - Biuro rachunkowe obsługujące nasze rozliczenia finansowe – może mieć dostęp do danych na dokumentach księgowych (np. imię i nazwisko na fakturze).

 

Dostawca hostingu i poczty e-mail: WebWave Sp. z o.o. z siedzibą pod adresem Postępu 14, 02-676 Warszawa, Polska; KRS 0000851194; NIP 527-293-17-49; REGON 386580113 udostępniający serwer, na którym przechowywana jest strona internetowa i obsługiwane są skrzynki pocztowe. Dane przetwarzane technicznie na serwerze obejmują np. treści wysłane przez formularz kontaktowy, logi serwera.

 

Dostawca systemu rejestracji wizyt – DocPlanner Tech Sp. z o.o. (właściciel serwisu ZnanyLekarz.pl) – w zakresie, w jakim Pacjent korzysta z platformy rejestracyjnej. ZnanyLekarz przekazuje Administratorowi informacje konieczne do umówienia wizyty (np. imię, nazwisko, adres e-mail, numer telefonu pacjenta rezerwującego wizytę online). DocPlanner może być odrębnym administratorem tych danych w swoim systemie – zalecamy zapoznać się z ich polityką prywatności. Na potrzeby realizacji wizyty traktujemy te dane jak zwykłą rejestrację (podstawa: jak w pkt 2a).

 

Dostawcy usług telekomunikacyjnych i IT: np. Google Ireland Ltd. (dostawca usługi Gmail oraz Google Meet) – wykorzystujemy skrzynkę e-mail na serwerach Google do komunikacji, a także narzędzie Google Meet do prowadzenia sesji online; Zoom Video Communications

 

Inc. – jeśli sesje odbywają się za pomocą platformy Zoom. Wspomniani dostawcy mogą przetwarzać metadane komunikacji (adresy, identyfikatory) oraz treści rozmów w ramach przesyłu (nie są one przez nas nagrywane bez zgody). Z tymi dostawcami zawarte są standardowe umowy zapewniające ochronę danych (w przypadku Google – obowiązują Warunki korzystania i dodatek o ochronie danych dla usług G Suite/Google Workspace; w przypadku Zoom – akceptowane są standardowe warunki i ewentualnie podpisywany Business Associate Agreement dla zgodności z przepisami).

 

Organy i instytucje uprawnione z mocy prawa: Pani/Pana dane mogą zostać ujawnione właściwym organom państwowym lub uprawnionym instytucjom, jeżeli obowiązek taki wynika z przepisów (np. żądanie sądu, prokuratury) – oczywiście w granicach tych przepisów oraz z poszanowaniem tajemnicy zawodowej psychologa (która to może być uchylona tylko w przypadkach przewidzianych prawem).

Inni specjaliści medyczni/zdrowia – za Pani/Pana zgodą: W pewnych sytuacjach, dla dobra procesu leczenia, może zajść potrzeba konsultacji z innym specjalistą, np. lekarzem psychiatrą, który prowadzi Pani/Pana leczenie. Taka wymiana informacji nastąpi tylko po uzyskaniu Pani/Pana zgody/ upoważnienia do przekazania danych objętych tajemnicą. Analogicznie, jeśli poprosi nas Pan/Pani o wystawienie zaświadczenia dla np. lekarza czy komisji, nastąpi to na Pana/Pani wniosek – takie odbiorcze podmioty również będą przetwarzać dane we własnym zakresie jako niezależni administratorzy (np. lekarz w swojej dokumentacji).

 

Superwizorzy i szkoleniowcy: Jak opisano wyżej, w ramach superwizji omawiane są przypadki w sposób anonimowy – w związku z tym superwizor nie otrzymuje danych osobowych Pacjenta. Jeżeli jednak w wyjątkowym przypadku dane miałyby zostać ujawnione (np. nagranie fragmentu sesji z wizerunkiem), to tylko za zgodą Pacjenta i superwizor wówczas również jest zobowiązany do zachowania poufności oraz ewentualnie stanie się niezależnym administratorem tych danych (lub procesorem – różnie bywa to regulowane, często superwizor traktuje dane jako poufne informacje zawodowe, nie archiwizuje ich).

 

Podmioty zapewniające usługi płatnicze: Jeżeli płaci Pan/Pani za usługi przelewem bankowym lub BLIK, to banki i operatorzy płatności przetwarzają dane o transakcji (np. nazwisko nadawcy, tytuł przelewu) – są oni odrębnymi administratorami tych danych, działającymi na podstawie odrębnych przepisów (Prawo bankowe itp.).

 

Transfer danych do państw trzecich (poza EOG): Co do zasady, Administrator stara się przechowywać Pani/Pana dane osobowe na terenie Europejskiego Obszaru Gospodarczego. Jednak w korzystaniu z niektórych usług zewnętrznych może dochodzić do przekazywania danych do tzw. państw trzecich (poza EOG), w szczególności do USA. Dotyczy to m.in.: – korzystania z poczty Gmail i narzędzia Google Meet (dostawca: Google LLC z siedzibą w USA), korzystania z komunikatora Zoom (dostawca: Zoom Video Communications, Inc., USA), – ewentualnie użycia Google Analytics lub podobnych narzędzi na stronie internetowej (dostawcy z USA).

 

W takich przypadkach przekazanie danych opiera się na właściwych zabezpieczeniach prawnych, przede wszystkim standardowych klauzulach umownych przyjętych przez Komisję Europejską (art. 46 ust.2 lit. c RODO). Zastosowano je w umowach z dostawcami (Google posiada standardowe klauzule w ramach dodatku do regulaminu usług, Zoom – w ramach umowy o świadczenie usług dla użytkowników spoza USA). Mimo to, wskazuje się na potencjalne ryzyko, iż dane przekazywane do USA mogą podlegać dostępowi tamtejszych władz w ramach programów nadzoru (zgodnie z amerykańskimi przepisami, np. Section 702 FISA). Administrator dokonał oceny ryzyka i uznał, że w przypadku danych zwykłych (kontaktowych) ryzyko to jest niewielkie i akceptowalne w zamian za możliwość korzystania z popularnych narzędzi komunikacji. Dane szczególne (dot. zdrowia) staramy się zabezpieczać dodatkowo – np. nagrania sesji czy notatki nie są przechowywane w chmurze, a jedynie lokalnie, i nie są przekazywane przez granicę. W razie dodatkowych pytań co do transferów – prosimy o kontakt.

 

 

Okres przechowywania danych:

 

Dane związane z dokumentacją procesu terapeutycznego (notatki z sesji, formularze, kontrakt) będą przechowywane przez okres trwania terapii, a następnie przez okres 3 lat od zakończenia terapii. Okres ten wynika z potrzeby ewentualnej kontynuacji w przyszłości lub obrony przed roszczeniami (standardowy termin przedawnienia roszczeń wynosi 3 lata, jednak przechowywanie przez dłuższy czas może być uzasadnione charakterem usług). Po upływie tego okresu dokumentacja zostanie trwale i bezpiecznie zniszczona/usunięta.

 

Nagrania sesji (jeśli powstały za zgodą Pacjenta) – przechowujemy do końca procesu terapeutycznego, po czym są usuwane. Jeżeli Pacjent cofnie zgodę wcześniej – nagrania również zostaną niezwłocznie usunięte.

 

Dane kontaktowe (telefon, e-mail) – przechowujemy przez czas trwania terapii. Po zakończeniu terapii możemy zachować kontakt (adres e-mail, tel) przez okres do 3 lat na wypadek, gdyby Pacjent ponownie się zgłosił lub w celu wysłania pojedynczej wiadomości follow-up (np. zapytanie o stan po pewnym czasie – tylko za zgodą). Adres e-mail użyty do newslettera będzie przetwarzany do czasu wypisania się z newslettera.

 

Dane na fakturach/rachunkach – zgodnie z przepisami podatkowymi przechowujemy przez 5 lat od końca roku podatkowego, w którym wystawiono dokument (obowiązek archiwizacyjny).

 

Dane techniczne dot. strony internetowej (logi serwera) – przechowywane do 30 dni; dane analityczne (Google Analytics) – do 14 miesięcy w formie zagregowanej (jeśli stosowane). W każdym przypadku, jeśli przepisy prawa nakazują nam dłuższe przechowywanie określonych danych (np. w razie roszczeń, postępowania sądowego) – dostosujemy się do tych wymogów, informując Pana/Panią o przedłużeniu okresu.

 

 

Pani/Pana prawa związane z przetwarzaniem danych osobowych:

 

Zgodnie z RODO przysługują Pani/Panu następujące prawa:

 

Prawo dostępu do danych – może Pan/Pani uzyskać informację, jakie dane i w jaki sposób przetwarzamy; na życzenie wydamy kopię danych (pierwsza kopia bezpłatnie).

 

Prawo sprostowania danych – jeśli zauważy Pan/Pani, że posiadamy błędne lub nieaktualne dane (np. nazwisko, telefon), prosimy o kontakt w celu poprawy.

 

Prawo do usunięcia danych („prawo do bycia zapomnianym”) – może Pan/Pani zażądać usunięcia swoich danych osobowych, jeżeli nie ma podstawy prawnej, abyśmy je dalej przechowywali. Dotyczy to sytuacji, gdy: (i) dane nie są już potrzebne do celów, w jakich były zebrane, (ii) cofnięto zgodę na przetwarzanie i nie ma innej podstawy prawnej, (iii) zgłoszono uzasadniony sprzeciw wobec przetwarzania i nie istnieją nadrzędne prawnie uzasadnione podstawy do przetwarzania, (iv) dane były przetwarzane niezgodnie z prawem, (v) dane muszą zostać usunięte w celu wywiązania się z obowiązku prawnego. Uwaga: prawo do usunięcia nie jest bezwzględne – np. nie możemy usunąć danych objętych obowiązkiem archiwizacji (faktury) przed upływem wymaganego okresu, a także danych, które są potrzebne do ustalenia, dochodzenia lub obrony roszczeń. W terapii należy też rozważyć, że usunięcie całości dokumentacji przed upływem okresu przechowywania oznacza brak możliwości kontynuacji terapii.

 

Prawo do ograniczenia przetwarzania – może Pani/Pan zażądać, abyśmy czasowo ograniczyli przetwarzanie danych (przechowali je, ale np. nie wykonywali na nich operacji) w następujących sytuacjach: (i) kwestionuje Pan/Pani prawidłowość danych – na okres weryfikacji, (ii) przetwarzanie jest niezgodne z prawem, ale woli Pan/Pani zamiast usunięcia ograniczenie (np. gdy dane są potrzebne do ustalenia roszczeń), (iii) nie potrzebujemy już danych, ale Pani/Panu są one potrzebne do ustalenia, obrony lub dochodzenia roszczeń, (iv) wniósł/wniosła Pan/Pani sprzeciw wobec przetwarzania (gdy podstawą jest nasz uzasadniony interes) – do czasu ustalenia, czy nasze podstawy są nadrzędne. Ograniczenie może polegać np. na czasowym zablokowaniu danych lub przeniesieniu ich do oddzielnego zbioru.

Prawo do przenoszenia danych – przysługuje, o ile łącznie spełnione są dwie przesłanki: (i) przetwarzamy dane na podstawie Pani/Pana zgody lub na podstawie umowy oraz (ii) przetwarzanie odbywa się w sposób zautomatyzowany (w systemach informatycznych). W takim przypadku ma Pani/Pan prawo otrzymać od nas swoje dane w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu komputerowego (np. CSV) oraz zlecić nam przekazanie tych danych innemu administratorowi, o ile jest to technicznie możliwe. Wyjaśnienie: W kontekście terapii większość danych (notatki itp.) nie jest przetwarzana zautomatyzowanie, więc prawo przenoszenia ma ograniczony zakres (może dotyczyć np. danych rejestracyjnych).

 

Prawo sprzeciwu – ma Pani/Pan prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania Pani/Pana danych, jeżeli odbywa się ono na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust.1 lit. f RODO), a sprzeciw jest uzasadniony Pani/Pana szczególną sytuacją. Po sprzeciwie przestaniemy przetwarzać sporne dane, chyba że wykażemy istnienie ważnych, prawnie uzasadnionych podstaw do przetwarzania, które są nadrzędne wobec Pani/Pana interesów, praw i wolności lub podstaw do ustalenia, dochodzenia lub obrony roszczeń. Uwaga: prawo sprzeciwu przysługuje też wobec przetwarzania na cele marketingu bezpośredniego – w tym zakresie jest bezwzględne, tzn. po sprzeciwie zaprzestaniemy marketingu (np. wysyłki newslettera).

 

Aby skorzystać z powyższych praw, należy skontaktować się z Administratorem (dane kontaktowe w pkt 1).

 

Na żądanie odpowiemy bez zbędnej zwłoki – maksymalnie w ciągu miesiąca od otrzymania (termin może zostać przedłużony o kolejne 2 miesiące w skomplikowanych przypadkach – poinformujemy o przedłużeniu). Prawa mogą podlegać ograniczeniom wynikającym z RODO lub innych przepisów (np. możemy odmówić wydania kopii, jeśli naruszałoby to prawa innych osób).

 

 

Prawo do cofnięcia zgody:

 

W zakresie, w jakim przetwarzanie odbywa się na podstawie Pani/Pana zgody (np. na przetwarzanie danych zdrowotnych, na newsletter, na kontakt z lekarzem czy nagrywanie sesji), przysługuje Pani/Panu prawo wycofania tej zgody w dowolnym momencie. Cofnięcia zgody można dokonać przez złożenie oświadczenia (np. mailowo lub pisemnie podczas wizyty). Wycofanie zgody nie wpływa na legalność przetwarzania, którego dokonano przed cofnięciem (to znaczy, do momentu wycofania wszystko było zgodne z prawem). Po wycofaniu zgody usuniemy lub zanonimizujemy dane przetwarzane na tej podstawie, chyba że istnieje inna ważna podstawa prawna ich zatrzymania (np. obowiązek prawny lub uzasadniony interes jak obrona przed roszczeniem).

 

Uwaga: jeśli wycofana zostanie zgoda na przetwarzanie danych szczególnych (np. o zdrowiu) i nie możemy oprzeć się na innym wyjątku prawnym, dalsze świadczenie usługi psychoterapii może okazać się niemożliwe – w takiej sytuacji będziemy zmuszeni zakończyć współpracę dla braku podstawy prawnej przetwarzania niezbędnych danych.

 

Prawo wniesienia skargi do organu nadzorczego: Jeżeli uważa Pani/Pan, że przetwarzamy dane niezgodnie z prawem lub naruszamy Pani/Pana prawa w zakresie danych osobowych, przysługuje Pani/Panu prawo wniesienia skargi do organu nadzorczego – w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych (UODO), adres: ul. Stawki 2, 00-193 Warszawa. Więcej informacji o trybie skargi znajdzie Pan/Pani na stronie www.uodo.gov.pl. Zachęcamy jednak w pierwszej kolejności do kontaktu z nami – postaramy się wyjaśnić wątpliwości.

 

Wymóg podania danych: Podanie danych osobowych jest dobrowolne, jednak niezbędne do zawarcia i wykonywania umowy o pomoc psychologiczną/psychoterapię. Odmowa podania podstawowych danych (jak imię, kontakt) uniemożliwi nawiązanie współpracy. Niektóre dane mogą być opcjonalne (zaznaczymy to w formularzach). Jeżeli pytamy o dane na podstawie przepisów prawa (np. do faktury – wymóg ustawy o VAT) – ich niepodanie uniemożliwi wykonanie danej czynności (wystawienia faktury). W przypadkach, gdzie podstawą jest zgoda (np. newsletter) – podanie tych danych jest całkowicie dobrowolne i brak zgody nie wpływa na świadczenie głównej usługi.

 

Zautomatyzowane podejmowanie decyzji: Pani/Pana dane nie są poddawane zautomatyzowanemu podejmowaniu decyzji, w tym profilowaniu, w rozumieniu art. 22 RODO. Wszelkie decyzje terapeutyczne czy organizacyjne są podejmowane przez człowieka (Terapeutę) z uwzględnieniem indywidualnej sytuacji Pacjenta.

 

 

Wersja Polityki prywatności:

v1.0 z dn. 10.04.2026. Dokument może być aktualizowany, a aktualna wersja będzie dostępna na stronie internetowej.)