Polityka prywatności dla klientów i odwiedzających

Kto odpowiada za Twoje dane#

1. Operatorem platformy Psychotherapy Partners (PP, https://psychotherapy.partners) jest Handel i Usługi Kamil Durkiewicz, ul. Bacciarellego 54 BB / 12, 51-649 Wrocław, Polska, NIP 8951851925. Operator jest administratorem danych osobowych opisanych w tej polityce. Kontakt we wszystkich sprawach dotyczących Twoich danych: privacy@psychotherapy.partners. Właściwym organem nadzorczym jest polski Prezes Urzędu Ochrony Danych Osobowych (UODO).
2. PP i każdy terapeuta są odrębnymi, niezależnymi administratorami. PP odpowiada za platformę i za wszystko, co robi ona jako usługa: Twoje konto i logowanie, publiczne profile i wyszukiwarkę, mechanizm rezerwacji, status płatności każdego spotkania oznaczany przez terapeutę, obłożenie i prowizję terapeutów, oceny i komentarze, obsługę czatu i spotkań online, powiadomienia e-mail, obciążenia PP dla terapeutów oraz oświadczenia terapeutów o specjalizacjach.
3. Każdy terapeuta, u którego rezerwujesz, odpowiada jako własny administrator za dane, które otrzymuje, aby z Tobą pracować i otrzymać zapłatę: Twoje imię i nazwisko, Twój numer telefonu, jeśli go podałeś, Twoje rezerwacje, czat z Tobą, Twoje płatności i zwroty oraz swoje oznaczenia nieobecności i płatności, a także za wszystko, co przechowuje poza platformą, na przykład notatki. Terapeuta informuje Cię o własnym przetwarzaniu; PP nie odpowiada za to, co terapeuta robi z otrzymanymi danymi.
4. PP nie jest podmiotem przetwarzającym terapeutów, bo używa danych o rezerwacjach i płatnościach do własnych celów, takich jak obliczanie obłożenia i prowizji oraz ustalanie, kto może kogo ocenić. PP i terapeuta nie są też współadministratorami: PP świadczy Ci usługę na podstawie regulaminu dla klientów, a terapeuta prowadzi terapię na własny rachunek.
5. Osoba w PP widzi kiedykolwiek, przez panel administracyjny, tylko wąski wycinek danych platformy: obciążenia PP wobec terapeutów, które zawierają wyłącznie zbiorcze dane za miesiąc (miesiąc, obłożenie i stawkę prowizji, liczbę opłaconych spotkań, przychód i prowizję), oraz dane rozliczeniowe terapeutów potrzebne do wystawienia faktury prowizyjnej. Nikt w PP nie widzi treści Twoich wiadomości, a żadne obciążenie nie wskazuje klienta ani pojedynczego spotkania.

Co przetwarzamy i po co#

Wyszukiwanie terapeuty jako odwiedzający nie tworzy o Tobie żadnych danych poza logami serwera i zbiorczymi statystykami: Twoje filtry znajdują się w adresie strony, nie na naszych serwerach.

Dane o zdrowiu i Twoja zgoda#

1. Dane o psychoterapii to dane dotyczące zdrowia, szczególna kategoria danych osobowych w rozumieniu art. 9 RODO, a kategoria ta jest szeroka: sam fakt posiadania konta klienta albo rezerwacji spotkania u psychoterapeuty ujawnia informację o Twoim zdrowiu. Twoje wiadomości na czacie, notatki o odwołaniu, komentarze z ocenami i e-maile o spotkaniach również mogą ją ujawniać.
2. Dlatego Twoje dane jako klienta przetwarzamy łącznie na dwóch podstawach: umowy z Tobą (regulamin dla klientów, art. 6 ust. 1 lit. b) oraz Twojej wyraźnej zgody na przetwarzanie danych o zdrowiu (art. 9 ust. 2 lit. a).
3. Zgodę wyrażasz w formularzu rejestracji, w osobnym polu, które nigdy nie jest zaznaczone z góry. Bez niej konta klienta nie można założyć.
4. Wycofanie zgody oznacza usunięcie konta, które możesz wykonać w każdej chwili w ustawieniach konta. Wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania. Usunięcie jest niemożliwe, dopóki masz spotkania zarezerwowane na przyszłość, jak wyjaśnia regulamin, dlatego najpierw je odwołaj; jeśli uniemożliwia Ci to wycofanie zgody, napisz na privacy@psychotherapy.partners, a znajdziemy rozwiązanie, które uszanuje zarówno wycofanie zgody, jak i spotkania, które pozostają zarezerwowane.
5. Osoby niepełnoletnie nie mają kont. Jeśli rezerwujesz dla swojego dziecka z własnego konta, to Ty jesteś klientem w rozumieniu platformy, a dane na platformie są Twoje; Twój terapeuta przetwarza dane dziecka jako własny administrator i uzyskuje wymagane prawem zgody poza platformą.

Podstawy prawne w skrócie#

1. Klienci: umowa (art. 6 ust. 1 lit. b) razem z Twoją wyraźną zgodą na przetwarzanie danych o zdrowiu (art. 9 ust. 2 lit. a).
2. Ankieta jakości połączenia, którą możesz wypełnić po spotkaniu online: uzasadniony interes PP (art. 6 ust. 1 lit. f) w jakości rozmów, razem z Twoją wyraźną zgodą na przetwarzanie danych o zdrowiu. Możesz się temu sprzeciwić, a ankietę możesz po prostu pozostawić bez odpowiedzi.
3. Odwiedzający bez konta: uzasadniony interes PP (art. 6 ust. 1 lit. f) w zapewnieniu bezpieczeństwa serwisu i pomiarze korzystania z niego. Od odwiedzających nie zbieramy żadnych danych o zdrowiu.
4. Po usunięciu Twojego konta Twoje minione spotkania przechowujemy wyłącznie w formie zanonimizowanej, która już Cię nie identyfikuje, a zatem nie stanowi danych osobowych. Przechowujemy je, ponieważ na ich podstawie obliczono obłożenie terapeuty i obciążenia PP.
5. Nie podejmujemy wobec Ciebie decyzji w sposób zautomatyzowany, które wywoływałyby skutki prawne lub podobnie istotne. Nic na platformie nie blokuje Ci możliwości rezerwacji, a odwołanie spotkania nieopłaconego w terminie jest zawsze decyzją samego terapeuty, nigdy decyzją automatyczną.

Czat#

1. Czat to komunikator między Tobą a każdym terapeutą, u którego masz rezerwację, udostępniany przez PP. Nie jest dokumentacją kliniczną terapeuty; notatki, które Twój terapeuta prowadzi, prowadzi poza platformą jako własny administrator.
2. Wiadomości są przechowywane na serwerach PP, bo tak są dostarczane i tak obie strony widzą historię rozmowy. Są szyfrowane w transmisji, ale nie są szyfrowane od końca do końca.
3. Nikt w PP nie czyta Twoich wiadomości. Nie istnieje administracyjny podgląd treści wiadomości; osoby w PP widzą rezerwacje i ich status płatności, na przykład by pomóc w sporze, ale nigdy rozmowę. Dostęp do bazy danych jest ograniczony do technicznego utrzymania systemu i jest rejestrowany. Czat nie jest monitorowany, dlatego też nie służy do sytuacji nagłych.
4. E-mail informujący o nowych wiadomościach podaje tylko ich liczbę, nigdy treść ani nazwisko nadawcy.
5. Gdy Ty lub terapeuta usuniecie konto, rozmowa jest usuwana dla obu stron.

Spotkania online#

1. Spotkania online korzystają z technologii WebRTC. Twoja przeglądarka i przeglądarka terapeuty łączą się bezpośrednio ze sobą (peer to peer) z pomocą serwerów STUN firmy Cloudflare; gdy bezpośrednie połączenie nie jest możliwe, rozmowa jest przekazywana przez serwery TURN firmy Cloudflare. Obu używamy w ramach własnego konta PP w Cloudflare i umowy powierzenia przetwarzania.
2. Dźwięk i obraz są szyfrowane od końca do końca (DTLS-SRTP), więc serwer pośredniczący nie może ich odszyfrować: Cloudflare widzi tylko adresy IP i czasy połączeń.
3. W połączeniu bezpośrednim każda przeglądarka poznaje adres IP drugiej strony. Tak działają połączenia peer to peer; jeśli nie chcesz ujawniać terapeucie swojego adresu IP, użyj VPN.
4. Cloudflare, Inc. to firma amerykańska. Transfer opiera się na jej certyfikacji w ramach EU–US Data Privacy Framework, a w razie potrzeby na standardowych klauzulach umownych z umowy powierzenia.
5. W spotkaniu uczestniczą dokładnie dwa połączenia, terapeuty i Twoje; nikt trzeci nie może dołączyć.
6. Po rozmowie pokój wideo proponuje krótką, nieobowiązkową ankietę jakości połączenia. Jeśli ją wypełnisz, Twoja odpowiedź jest przechowywana wraz z opisanym wyżej technicznym podsumowaniem połączenia. Nie zawiera niczego z tego, co zostało powiedziane lub pokazane; korzysta z niej wyłącznie PP, aby ulepszać rozmowy, a Twój terapeuta nigdy jej nie widzi.

Kto otrzymuje Twoje dane#

1. Twoi terapeuci, jako niezależni administratorzy, otrzymują Twoje imię i nazwisko, numer telefonu, jeśli go podałeś, rezerwacje, wiadomości, status płatności Twoich spotkań i oceny, jak opisano wyżej. Każdy terapeuta mieszka w UE/EOG, Zjednoczonym Królestwie lub Szwajcarii; dwa ostatnie kraje są objęte decyzjami o adekwatności, więc przekazanie Twoich danych terapeucie nigdy nie jest ograniczonym transferem międzynarodowym.
2. Podmioty przetwarzające działają wyłącznie na polecenie PP, każdy na podstawie umowy powierzenia (art. 28), i każdy ma siedzibę w UE/EOG i tam przechowuje dane albo opiera się na decyzji o adekwatności lub Data Privacy Framework. Są to, według kategorii: dostawca hostingu i bazy danych; dostawca wysyłki e-maili, który widzi treść wysyłanych e-maili, na przykład danych do przelewu, przypomnień o płatności, informacji o zwrotach i notatek o odwołaniu; Cloudflare, w zakresie serwerów STUN i TURN rozmów wideo; dostawca map i geokodowania, który wyświetla mapę adresu gabinetu terapeuty i dlatego widzi Twój adres IP przy ładowaniu mapy; usługa monitorowania błędów, która otrzymuje techniczne raporty o błędach bez treści wiadomości; oraz narzędzie analityczne, które przetwarza zbiorcze statystyki bez plików cookie. Aktualną listę podmiotów przetwarzających z ich krajami wysyłamy na prośbę skierowaną na privacy@psychotherapy.partners.
3. YouTube (Google) jest odrębnym administratorem wideo, które terapeuta może umieścić na profilu. Wideo jest serwowane z youtube-nocookie.com i ładowane dopiero po kliknięciu jego zaślepki; do tego momentu nic nie jest wysyłane do Google. Od kliknięcia obowiązuje polityka prywatności Google.
4. Organy publiczne otrzymują dane tylko wtedy, gdy zobowiązuje nas do tego prawo.
5. Nigdy nie sprzedajemy danych osobowych i nie wyświetlamy reklam.

Pliki cookie, pamięć lokalna i statystyki#

1. PP używa wyłącznie niezbędnych plików cookie: pliku sesji, który utrzymuje Twoje zalogowanie, oraz, tylko gdy wybierzesz język w nagłówku, pliku zapamiętującego ten wybór. W serwisie nie ma żadnych pikseli reklamowych ani mediów społecznościowych.
2. Odwiedziny mierzymy przyjazną prywatności analityką bez plików cookie, która tworzy zbiorcze statystyki i nie może Cię zidentyfikować. Dlatego serwis nie wyświetla baneru zgody.
3. Kilka preferencji, na przykład zamknięte ostrzeżenie o strefie czasowej, jest przechowywanych w pamięci lokalnej Twojej przeglądarki i nigdy jej nie opuszcza.
4. Kursy walut używane przez filtr ceny pochodzą z Narodowego Banku Polskiego (NBP). Codzienny odczyt to zapytanie serwer–serwer, które nie zawiera żadnych danych osobowych; Twoja przeglądarka nigdy nie łączy się z NBP.

Jak długo przechowujemy dane#

Twoje prawa#

1. Masz prawo dostępu do swoich danych, ich sprostowania lub usunięcia, ograniczenia przetwarzania, otrzymania ich w formie przenośnej, sprzeciwu wobec przetwarzania opartego na naszym uzasadnionym interesie oraz wycofania zgody w każdej chwili.
2. Wiele z tego załatwisz samodzielnie: imię i nazwisko, adres e-mail, hasło, strefę czasową i numer telefonu w ustawieniach konta, opcjonalne e-maile w ustawieniach powiadomień, oceny na stronach terapeutów, a usunięcie konta jest sposobem wycofania zgody i usunięcia danych.
3. We wszystkich pozostałych sprawach napisz na privacy@psychotherapy.partners. Odpowiadamy w ciągu miesiąca; przy wyjątkowo złożonym wniosku możemy potrzebować do dwóch dodatkowych miesięcy, o czym Cię poinformujemy.
4. Wnioski dotyczące zbiorów, które terapeuta prowadzi jako własny administrator, na przykład jego notatek, obsługuje ten terapeuta.
5. Możesz wnieść skargę do organu nadzorczego: Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl, albo do organu w kraju, w którym mieszkasz.

Bezpieczeństwo#

1. Cały ruch do PP jest szyfrowany (TLS). Hasła przechowujemy wyłącznie jako hashe; jednorazowe kody mają sześć cyfr, są ważne dziesięć minut i pięć prób. Sesje wygasają po 30 dniach.
2. Dostęp do danych produkcyjnych jest ograniczony do technicznego utrzymania systemu przez operatora i jest rejestrowany. Płatności nigdy nie przechodzą przez PP, więc PP nie przechowuje żadnych danych kart ani płatności; zapisuje jedynie, czy spotkanie zostało opłacone, zgodnie z oznaczeniem terapeuty.
3. Dźwięk i obraz spotkań online są szyfrowane od końca do końca i nigdy nie są przechowywane.
4. W razie naruszenia ochrony Twoich danych zawiadamiamy organ nadzorczy w ciągu 72 godzin, gdy wymaga tego RODO, a Ciebie bezpośrednio, gdy ryzyko dla Ciebie jest wysokie.

Zmiana operatora#

1. Gdy platforma się rozwinie, nowa polska spółka z ograniczoną odpowiedzialnością przejmie serwis i stanie się administratorem Twoich danych w miejsce przedsiębiorcy jednoosobowego. Ta polityka od początku przewiduje tę zmianę.
2. Poinformujemy Cię o tym e-mailem z wyprzedzeniem. Opisane tu cele, podstawy prawne, odbiorcy i okresy przechowywania nie zmieniają się wraz z operatorem, a jeśli nie chcesz kontynuować, możesz usunąć konto przed zmianą.

Zmiany polityki i kontakt#

1. Aktualizujemy tę politykę, gdy zmienia się platforma lub prawo. Każda wersja ma u góry swoją datę, a o istotnych zmianach informujemy e-mailem przed ich wejściem w życie.
2. Pytania o Twoje dane: privacy@psychotherapy.partners. Wszystkie inne sprawy dotyczące platformy: contact@psychotherapy.partners. Zasady korzystania z PP zawiera regulamin dla klientów.