Polityka prywatności

1. Administrator

Administratorem danych jest Krelvent Health Sp. z o.o., ul. Gdańska 19, 85-001 Bydgoszcz, NIP: 2024/139708, KRS: 00002024/1. Kontakt w sprawach prywatności: [email protected]. Dokument obowiązuje od 1 stycznia 2026 roku. Administrator wyznaczył adres e-mail [email protected] jako główny kanał kontaktu we wszystkich sprawach związanych z ochroną danych osobowych, w tym zapytań o zakres przetwarzania i realizację praw wynikających z RODO. Ze względu na skalę działalności — niezależny portal redakcyjny — Krelvent Health Sp. z o.o. nie ma obowiązku wyznaczenia inspektora ochrony danych na podstawie art. 37 RODO, jednak funkcję kontaktową w tym zakresie pełni zespół redakcyjny dostępny pod wskazanym adresem. Dla celów formalnych administrator może również przyjmować zgłoszenia pisemne na adres siedziby wskazany powyżej; w takim przypadku zalecamy dopisek „Ochrona danych osobowych” na przesyłce. Niniejsza wersja polityki prywatności zastępuje wszystkie wcześniejsze wersje dokumentu i ma zastosowanie do danych przetwarzanych od dnia jej wejścia w życie.

2. Zakres

Polityka opisuje dane przekazywane przez formularze, wiadomości i zapisy na newsletter. Obejmuje również podstawowe dane techniczne niezbędne do obsługi witryny. Dokument dotyczy wszystkich użytkowników odwiedzających krelvent.info niezależnie od tego, czy korzystają z wersji mobilnej czy komputerowej witryny. Przykładowo, osoba, która jedynie przegląda artykuły bez wypełniania żadnego formularza, generuje ograniczony zakres danych technicznych opisanych w sekcji 3, natomiast osoba zapisująca się na newsletter przekazuje dodatkowo adres e-mail. Praktyczną konsekwencją tego rozróżnienia jest to, że zakres przetwarzanych danych zależy od aktywności użytkownika na stronie, a nie jest jednolity dla wszystkich odwiedzających. Polityka nie obejmuje stron zewnętrznych, do których mogą prowadzić odnośniki z artykułów redakcyjnych — te serwisy posiadają własne zasady przetwarzania danych, z którymi warto się zapoznać przed przekazaniem im jakichkolwiek informacji.

3. Dane

Możemy otrzymać adres e-mail, imię, treść wiadomości, adres IP oraz informacje o urządzeniu. Nie prosimy o dane nadmiarowe. Prosimy nie wpisywać w formularzach szczegółowych informacji o zdrowiu. Dane techniczne obejmują w szczególności: (a) adres IP, wykorzystywany wyłącznie do zapewnienia bezpieczeństwa witryny i wykrywania nieprawidłowego ruchu; (b) typ i wersję przeglądarki oraz systemu operacyjnego, niezbędne do poprawnego wyświetlania treści; (c) orientacyjną datę i godzinę wizyty, zapisywaną w dziennikach serwera przez maksymalnie 90 dni. Formularz kontaktowy wymaga podania imienia, adresu e-mail oraz treści wiadomości — pola te są niezbędne, aby zespół redakcyjny mógł odpowiedzieć na zgłoszenie. Jeśli czytelnik mimo wskazanej prośby wpisze w wiadomości informacje dotyczące własnego stanu zdrowia, dane te są traktowane z podwyższoną ostrożnością i wykorzystywane wyłącznie w celu udzielenia odpowiedzi, po czym usuwane zgodnie z okresami wskazanymi w sekcji 5.

4. Podstawa

Podstawą jest zgoda, wykonanie odpowiedzi na wiadomość, obowiązek prawny albo uzasadniony interes administratora związany z bezpieczeństwem. Zgoda może zostać wycofana w dowolnym czasie. Poszczególne podstawy prawne stosuje się w zależności od celu przetwarzania: (a) zapis na newsletter odbywa się na podstawie zgody wyrażonej przy wypełnianiu formularza (art. 6 ust. 1 lit. a RODO); (b) obsługa wiadomości przesłanej przez formularz kontaktowy odbywa się na podstawie działań niezbędnych przed zawarciem lub w wykonaniu relacji korespondencyjnej z użytkownikiem (art. 6 ust. 1 lit. b RODO w zakresie, w jakim ma zastosowanie, lub uzasadniony interes); (c) zapisy w dziennikach serwera i mechanizmy bezpieczeństwa opierają się na uzasadnionym interesie administratora (art. 6 ust. 1 lit. f RODO), polegającym na ochronie witryny przed nieautoryzowanym dostępem. Wycofanie zgody na newsletter jest możliwe w każdej chwili poprzez odnośnik „wypisz się” w wiadomości e-mail lub poprzez kontakt na [email protected], a wycofanie nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

5. Retencja

Wiadomości przechowujemy do 12 miesięcy od zakończenia korespondencji. Dane newslettera pozostają do wypisu, a kopie bezpieczeństwa do 30 dni. Dane wymagane przepisami mogą być przechowywane przez okres wskazany w prawie. Szczegółowe okresy retencji przedstawiają się następująco: (a) treść wiadomości z formularza kontaktowego oraz odpowiedź redakcji — do 12 miesięcy od ostatniej wymiany korespondencji, po czym dane są usuwane lub zanonimizowane; (b) adres e-mail zapisany do newslettera — przez cały czas trwania zapisu, a po wypisaniu się usuwany z aktywnej bazy w terminie do 30 dni; (c) dzienniki techniczne serwera zawierające adresy IP — maksymalnie 90 dni, po czym są automatycznie usuwane; (d) kopie bezpieczeństwa systemów — do 30 dni od wygenerowania kopii, zgodnie z cyklem rotacji backupów. Jeżeli obowiązujące przepisy, na przykład dotyczące rozliczeń podatkowych, wymagają dłuższego przechowywania określonej kategorii danych, administrator stosuje okres wynikający z tych przepisów, który może wynosić do 5 lat.

6. Odbiorcy

Dane mogą być powierzane dostawcom hostingu, poczty, bezpieczeństwa i analityki. Każdy procesor działa na podstawie umowy i otrzymuje wyłącznie zakres potrzebny do usługi. Do kategorii odbiorców należą w szczególności: (a) dostawca usług hostingowych, przechowujący pliki witryny i dzienniki serwera na infrastrukturze zlokalizowanej na terenie Unii Europejskiej; (b) dostawca usługi poczty elektronicznej, obsługujący wysyłkę newslettera oraz odpowiedzi na wiadomości z formularza kontaktowego; (c) dostawca rozwiązań zabezpieczających witrynę przed nieautoryzowanym ruchem i atakami automatycznymi; (d) w przypadku włączenia analityki opisanej w polityce cookies — dostawca narzędzia analitycznego, który otrzymuje dane w formie zagregowanej lub pseudonimizowanej. Każdy z wymienionych podmiotów przetwarza dane wyłącznie na polecenie administratora, na podstawie umowy powierzenia przetwarzania danych zawartej zgodnie z art. 28 RODO, i nie może wykorzystywać ich do własnych celów marketingowych.

7. Transfery

Jeżeli dostawca przetwarza dane poza Europejskim Obszarem Gospodarczym, stosujemy odpowiednie zabezpieczenia prawne, w tym standardowe klauzule umowne, gdy są wymagane. Obecnie podstawowi dostawcy infrastruktury wykorzystywani przez Krelvent przechowują dane na serwerach zlokalizowanych na terenie Unii Europejskiej, co ogranicza konieczność stosowania mechanizmów transferowych. W sytuacjach, w których pomocniczy dostawca — na przykład dostawca map wykorzystywanych na stronie kontaktowej — przetwarza dane poza Europejskim Obszarem Gospodarczym, administrator weryfikuje, czy dostawca posiada odpowiednią podstawę transferu, taką jak standardowe klauzule umowne zatwierdzone przez Komisję Europejską lub decyzja o odpowiednim poziomie ochrony. Praktyczną konsekwencją dla użytkownika jest to, że sam fakt wyświetlenia mapy Google na stronie kontaktowej może wiązać się z przekazaniem podstawowych danych technicznych do infrastruktury Google zgodnie z zasadami tego dostawcy, niezależnymi od Krelvent. Użytkownik może zapoznać się z tymi zasadami bezpośrednio u dostawcy usługi mapowej przed skorzystaniem z tego elementu strony.

8. Prawa

Masz prawo dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu i przenoszenia danych. Wniosek wyślij na [email protected]; odpowiemy bez zbędnej zwłoki, co do zasady w ciągu miesiąca. Poszczególne uprawnienia obejmują: (a) prawo dostępu — możliwość uzyskania informacji, jakie dane i w jakim celu są przetwarzane; (b) prawo do sprostowania — poprawienie nieaktualnego adresu e-mail lub błędnie zapisanego imienia; (c) prawo do usunięcia — na przykład wykreślenie adresu e-mail z bazy newslettera po wypisaniu się; (d) prawo do ograniczenia przetwarzania — w sytuacji, gdy użytkownik kwestionuje prawidłowość danych i wnioskuje o czasowe wstrzymanie ich wykorzystania; (e) prawo do przenoszenia danych — dotyczące danych przetwarzanych na podstawie zgody, takich jak zapis na newsletter, przekazywanych w ustrukturyzowanym formacie. Termin miesięczny może zostać wydłużony o kolejne dwa miesiące w przypadku złożonych lub licznych wniosków, o czym administrator poinformuje wnioskującego wraz z uzasadnieniem w ciągu pierwszego miesiąca od otrzymania wniosku, zgodnie z art. 12 ust. 3 RODO.

9. Skarga

Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Zachęcamy jednak, aby wcześniej skontaktować się z administratorem i opisać problem. Skargę do Prezesa Urzędu Ochrony Danych Osobowych można złożyć na adres ul. Stawki 2, 00-193 Warszawa, pisemnie, elektronicznie za pośrednictwem platformy ePUAP lub osobiście w urzędzie — wybór formy zależy od wnioskującego. Zanim skarga zostanie złożona, administrator prosi o kontakt na [email protected] z opisem sytuacji, ponieważ wiele zgłoszeń — na przykład dotyczących trudności z wypisaniem się z newslettera — udaje się rozwiązać bezpośrednio w terminie kilku dni roboczych, bez konieczności angażowania organu nadzorczego. Administrator zobowiązuje się do udzielenia odpowiedzi na zgłoszenie w terminie do 14 dni roboczych, a w przypadku spraw wymagających dodatkowej weryfikacji technicznej — do 30 dni. Prawo do złożenia skargi do organu nadzorczego przysługuje niezależnie od tego, czy użytkownik wcześniej skontaktował się z administratorem, i nie jest w żaden sposób ograniczone przez tę zachętę.

10. Zmiany

Wersja z 1 stycznia 2026 roku zastąpiła wersję z 1 września 2025 roku. O istotnych zmianach poinformujemy na stronie. Aktualna data znajduje się na początku dokumentu. Rejestr zmian dokumentu obejmuje dotychczas dwie wersje: wersję z 1 września 2025 roku, w której określono podstawowy zakres przetwarzania danych związanych z formularzem kontaktowym, oraz obecną wersję z 1 stycznia 2026 roku, w której doprecyzowano okresy retencji danych oraz kategorie odbiorców wskazane w sekcji 6. Kolejne wersje będą oznaczane datą wejścia w życie widoczną w nagłówku dokumentu, a istotne zmiany — na przykład dodanie nowego dostawcy przetwarzającego dane lub zmiana okresu retencji — będą dodatkowo komunikowane osobom zapisanym do newslettera drogą e-mailową co najmniej 14 dni przed wejściem zmian w życie. Dalsze korzystanie z witryny po wejściu w życie zmienionej wersji polityki oznacza jej akceptację, jednak nie ogranicza to praw użytkownika opisanych w sekcji 8.

11. Bezpieczeństwo

Stosujemy ograniczenie dostępu, szyfrowanie transmisji i okresowe przeglądy uprawnień. Żaden kanał internetowy nie daje absolutnej gwarancji, dlatego prosimy o rozwagę przy przesyłaniu informacji. Środki techniczne obejmują między innymi: (a) szyfrowanie połączenia między przeglądarką użytkownika a serwerem za pomocą protokołu HTTPS; (b) ograniczenie dostępu do bazy zgłoszeń formularza wyłącznie do osób z zespołu redakcyjnego, dla których dostęp do tych danych jest niezbędny; (c) okresowe, nie rzadsze niż kwartalne, przeglądy uprawnień dostępowych do systemów przetwarzających dane; (d) regularne aktualizacje oprogramowania wykorzystywanego do obsługi witryny w celu minimalizowania podatności bezpieczeństwa. W przypadku wystąpienia incydentu bezpieczeństwa, który mógłby powodować wysokie ryzyko naruszenia praw lub wolności osób, administrator poinformuje osoby dotknięte incydentem bez zbędnej zwłoki, zgodnie z art. 34 RODO, oraz — jeśli wymagane — zgłosi incydent do Prezesa Urzędu Ochrony Danych Osobowych w terminie 72 godzin od jego wykrycia.