Polityka Prywatności

§1Wprowadzenie

Niniejsza Polityka Prywatności („Polityka") opisuje zasady przetwarzania danych osobowych użytkowników serwisu internetowego hipnoza4you.pl („Serwis") oraz klientów usług świadczonych przez Hipnoza4You - sesji hipnoterapii, konsultacji online i stacjonarnych, kursów zawodowych oraz warsztatów.

Polityka została opracowana zgodnie z wymogami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych („RODO", ang. GDPR), a także polskich przepisów: Ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, Ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną i Ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne.

Korzystanie z Serwisu oznacza akceptację niniejszej Polityki. Jeśli nie zgadzasz się z którymkolwiek z postanowień - prosimy o nieużywanie Serwisu ani nieprzekazywanie nam swoich danych osobowych.

§2Administrator danych

Administratorem Twoich danych osobowych jest:

Administrator decyduje o celach i sposobach przetwarzania Twoich danych osobowych i ponosi odpowiedzialność za ich bezpieczne przechowywanie.

§3Inspektor Ochrony Danych

Administrator nie jest obowiązany do powołania Inspektora Ochrony Danych w rozumieniu art. 37 RODO, niemniej ze względu na przetwarzanie szczególnej kategorii danych (dane o stanie zdrowia) wskazuje punkt kontaktowy w sprawach ochrony danych osobowych:

Pod wskazanymi kanałami możesz realizować wszystkie swoje prawa wynikające z RODO oraz uzyskać szczegółowe informacje o sposobie przetwarzania Twoich danych.

§4Zakres przetwarzanych danych

Przetwarzamy wyłącznie te dane, które są niezbędne do świadczenia usług. Zakres zależy od charakteru kontaktu z naszym Serwisem:

4.1. Dane kontaktowe (formularz e-mail, telefon)

• imię i nazwisko
• adres e-mail
• numer telefonu
• treść wiadomości (wraz z ewentualnymi informacjami o stanie zdrowia, które sam/a nam przekazujesz)

4.2. Dane rezerwacji sesji

• imię i nazwisko
• adres e-mail
• numer telefonu
• wybrana usługa, format (stacjonarnie / online) i preferowany termin
• krótki opis celu / problemu - podajesz dobrowolnie, pole może pozostać puste
• zgody RODO i marketingowe (jeśli udzielone)

4.3. Dane klientów sesji (szczególna kategoria - patrz §6)

• dane z wywiadu terapeutycznego przeprowadzanego na pierwszej konsultacji
• informacje o stanie zdrowia istotne dla bezpieczeństwa procesu hipnoterapeutycznego
• notatki z sesji (bez nagrań obrazowych, chyba że wyrazisz odrębną zgodę)
• informacje o przebiegu terapii i postępach (wyłącznie do własnej dokumentacji terapeuty)

4.4. Dane kursantów Szkoły Hipnozy

• imię i nazwisko, data urodzenia
• PESEL (jeśli wymagany przez operatora dofinansowania - np. Urząd Pracy, BUR)
• adres zamieszkania
• dane kontaktowe
• dane o zatrudnieniu (dla dofinansowań KFS / BUR)
• NIP pracodawcy (dla dofinansowań KFS)
• ocena z egzaminu końcowego i kopia wydanego certyfikatu

4.5. Dane techniczne (automatyczne)

• adres IP (zanonimizowany po 30 dniach)
• typ i wersja przeglądarki, system operacyjny
• rozdzielczość ekranu, język
• źródło odwiedzin (referrer)
• dane z plików cookies (patrz §14 oraz osobna Polityka Cookies)

§5Cele przetwarzania i podstawy prawne

Każde przetwarzanie Twoich danych musi mieć jasno określoną podstawę prawną w RODO. Poniższa tabela zawiera kompletną listę sytuacji, w których przetwarzamy Twoje dane:

§6Szczególne kategorie - dane o zdrowiu

To jest najważniejsza sekcja niniejszej Polityki. Hipnoterapia wymaga od terapeuty znajomości pewnych informacji o stanie zdrowia klienta - chorób przewlekłych, epilepsji, zaburzeń psychiatrycznych, stosowanych leków, przebytych operacji czy ciąży. Te dane są szczególną kategorią danych osobowych w rozumieniu art. 9 ust. 1 RODO i podlegają wzmocnionej ochronie.

6.1. Dlaczego zbieramy dane o zdrowiu

• dla zapewnienia bezpieczeństwa procesu hipnoterapeutycznego (niektóre techniki są niewskazane przy konkretnych schorzeniach)
• dla dostosowania metody pracy do Twojej indywidualnej sytuacji
• dla oceny, czy praca hipnoterapeutyczna jest dla Ciebie odpowiednia, czy raczej powinna być poprzedzona konsultacją lekarską lub psychiatryczną

6.2. Podstawa prawna przetwarzania danych o zdrowiu

Przetwarzamy Twoje dane o zdrowiu wyłącznie na podstawie:

• Art. 9 ust. 2 lit. a RODO - Twoja wyraźna, dobrowolna i świadoma zgoda (którą możesz wycofać w dowolnej chwili)
• Art. 9 ust. 2 lit. h RODO - przetwarzanie jest niezbędne dla celów profilaktyki zdrowotnej, pracy diagnostycznej i zapewnienia opieki zdrowotnej o charakterze pomocniczym
• Art. 9 ust. 2 lit. f RODO - dla ustalenia, dochodzenia lub obrony roszczeń (w zakresie w jakim okaże się to konieczne)

6.3. Dodatkowe środki ochrony

Dla danych o zdrowiu stosujemy wzmocnione środki bezpieczeństwa:

• dokumentacja papierowa przechowywana w zamykanej szafie, do której dostęp ma tylko prowadzący terapeuta
• dokumentacja elektroniczna - oddzielne konto systemowe z szyfrowaniem dysku
• dostęp na zasadzie need-to-know - tylko osoba prowadząca Twoją terapię
• brak przekazywania danych o zdrowiu do odbiorców zewnętrznych bez Twojej dodatkowej, odrębnej zgody
• obowiązek zachowania tajemnicy zawodowej przez cały zespół Hipnoza4You

§7Okres przechowywania

Twoje dane przechowujemy tylko tak długo, jak to naprawdę konieczne. Po upływie wskazanych okresów dane są bezpiecznie usuwane lub anonimizowane.

§8Odbiorcy danych

Twoje dane przekazujemy odbiorcom zewnętrznym wyłącznie wtedy, gdy jest to konieczne do świadczenia usługi i na podstawie stosownych umów powierzenia (art. 28 RODO). Poniżej lista kategorii:

Dostawca hostingu

Firma hostingowa utrzymująca Serwis i pocztę e-mail (panel1.small.pl). Umowa powierzenia przetwarzania.

Operator SMTP

Podmiot świadczący usługi wysyłki e-mail dla potwierdzeń rezerwacji i powiadomień (w ramach hostingu).

Dostawca płatności

PayU S.A. (NIP 779-23-08-495), Santander Consumer Bank (dla rat 0%), BLIK - tylko dane niezbędne do transakcji.

Biuro rachunkowe

Podmiot prowadzący księgowość Administratora, wyłącznie w zakresie faktur.

Operatorzy dofinansowań

PARP (BUR), Powiatowe Urzędy Pracy (KFS, bony), regionalni operatorzy dotacji - tylko za Twoją odrębną zgodą i w zakresie niezbędnym do przyznania środków.

Dostawcy IT

Firmy wsparcia informatycznego, CRM, kalendarza online - objęte umowami powierzenia.

Kancelaria prawna

Wyłącznie w sytuacji sporu lub dochodzenia roszczeń.

Uprawnione organy

Policja, prokuratura, sądy, UODO, organy podatkowe - tylko w zakresie wymaganym prawem, na podstawie wezwania z podstawą prawną.

Twoje dane nigdy nie są sprzedawane, wymieniane ani udostępniane w celach marketingowych podmiotom trzecim. To jest nasza absolutna zasada.

§9Transfer do państw trzecich

Zasadniczo Twoje dane są przetwarzane na terenie Europejskiego Obszaru Gospodarczego (EOG). W niektórych przypadkach może jednak dochodzić do transferu danych poza EOG - głównie w związku z:

• Wykorzystaniem Google Fonts do ładowania czcionek na Serwisie (serwery Google w USA). Transfer odbywa się na podstawie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską oraz dodatkowych zabezpieczeń technicznych. Jeśli preferujesz unikanie tego transferu, planujemy w kolejnej wersji Serwisu zhostowanie fontów lokalnie.
• Ewentualnym wykorzystaniem usług analitycznych (Google Analytics, jeśli włączone - tylko za zgodą cookie banner) - również SCC i IP-anonimizacja.

Zawsze dążymy do tego, aby transfer do państw trzecich był ograniczony do minimum i zabezpieczony odpowiednimi gwarancjami w rozumieniu art. 46 RODO.

§10Prawa osób, których dane dotyczą

RODO przyznaje Ci szereg praw w związku z przetwarzaniem Twoich danych. Możesz z nich korzystać bezpłatnie, w dowolnym momencie, pisząc do nas na kontakt@hipnoza4you.pl z dopiskiem „RODO". Odpowiemy w terminie do 30 dni - w uzasadnionych przypadkach termin ten możemy przedłużyć o kolejne 60 dni, informując Cię o powodach opóźnienia.

10.1. Prawo dostępu (art. 15 RODO)

Masz prawo uzyskać od nas potwierdzenie, czy przetwarzamy Twoje dane osobowe, a jeśli tak - otrzymać kopię tych danych oraz informacje o sposobie ich przetwarzania (cel, kategorie, odbiorcy, okres przechowywania, źródło).

10.2. Prawo sprostowania (art. 16 RODO)

Jeśli Twoje dane są nieprawidłowe lub niekompletne - masz prawo żądać ich sprostowania lub uzupełnienia.

10.3. Prawo do usunięcia - „prawo do bycia zapomnianym" (art. 17 RODO)

Możesz żądać usunięcia swoich danych, jeśli:

• dane nie są już niezbędne do celów, dla których zostały zebrane,
• cofnąłeś/aś zgodę i nie ma innej podstawy prawnej,
• wniosłeś/aś sprzeciw wobec przetwarzania,
• dane były przetwarzane niezgodnie z prawem,
• dane muszą zostać usunięte dla wypełnienia obowiązku prawnego.

Prawo to nie przysługuje, jeśli przetwarzanie jest niezbędne m.in. do wykonania obowiązku prawnego (np. przechowywanie faktur) lub do dochodzenia roszczeń.

10.4. Prawo do ograniczenia przetwarzania (art. 18 RODO)

W określonych sytuacjach (np. kwestionowanie prawidłowości danych, sprzeciw wobec przetwarzania) możesz żądać, aby przestać aktywnie wykorzystywać Twoje dane - zostaną one jedynie przechowywane.

10.5. Prawo do przenoszenia danych (art. 20 RODO)

Masz prawo otrzymać swoje dane w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (np. CSV, JSON) oraz przesłać je innemu administratorowi - o ile przetwarzanie odbywa się na podstawie zgody lub umowy i w sposób zautomatyzowany.

10.6. Prawo sprzeciwu (art. 21 RODO)

Możesz sprzeciwić się przetwarzaniu Twoich danych - w szczególności na potrzeby marketingu bezpośredniego. W takim przypadku niezwłocznie zaprzestaniemy przetwarzania w tym celu.

10.7. Prawo do cofnięcia zgody

Jeśli przetwarzanie opiera się na Twojej zgodzie - możesz ją cofnąć w dowolnej chwili. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

10.8. Prawo do niepodlegania zautomatyzowanemu decydowaniu (art. 22 RODO)

Patrz §11 poniżej.

10.9. Prawo wniesienia skargi

Patrz §15 poniżej.

§11Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec Ciebie zautomatyzowanych decyzji w rozumieniu art. 22 RODO, w tym nie dokonujemy profilowania, które mogłoby wywoływać wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływać.

Wyjątkiem jest podstawowa analiza skuteczności marketingu (otwarcia e-maili, kliknięcia) - jednak nie są to decyzje wywołujące skutki prawne, a Ty zawsze możesz cofnąć zgodę na newsletter.

§12Dane dzieci

Serwis nie jest skierowany do osób poniżej 16. roku życia. Nie zbieramy świadomie danych osobowych od dzieci bez zgody rodzica lub opiekuna prawnego.

Prowadzimy sesje hipnoterapii dla dzieci od 7. roku życia, ale zawsze wyłącznie na podstawie pisemnej zgody obojga rodziców / opiekunów prawnych, udzielonej po pełnej informacji o zakresie terapii. Dane dziecka są wówczas przetwarzane analogicznie do danych pacjentów dorosłych, ze szczególnym naciskiem na minimalizację zakresu.

Jeśli dowiesz się, że dziecko poniżej 16 r.ż. przekazało nam swoje dane osobowe bez zgody rodzica - prosimy o kontakt pod kontakt@hipnoza4you.pl. Niezwłocznie podejmiemy działania w celu usunięcia takich danych.

§13Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne adekwatne do zagrożeń i kategorii chronionych danych, w tym w szczególności:

• Szyfrowanie połączenia HTTPS (TLS 1.2+ / TLS 1.3) dla całego Serwisu - certyfikat Let's Encrypt odnawiany automatycznie
• HTTP Strict Transport Security (HSTS) - wymuszenie szyfrowanych połączeń
• Content Security Policy (CSP) - ochrona przed XSS i wstrzykiwaniem niepożądanego kodu
• Ochrona CSRF formularzy (double-submit cookie + HMAC)
• Rate limiting - ograniczenie liczby zgłoszeń z jednego adresu IP
• Honeypot i detekcja botów - ograniczenie spamu
• Zasada minimalizacji - zbieramy tylko te dane, które są niezbędne
• Dostęp need-to-know - dane pacjenta widzi tylko prowadzący terapeuta
• Pseudonimizacja logów serwera po 30 dniach (zamiana IP na skrót)
• Regularne kopie zapasowe szyfrowane
• Szkolenie pracowników w zakresie ochrony danych osobowych
• Umowy powierzenia (art. 28 RODO) ze wszystkimi dostawcami przetwarzającymi dane w naszym imieniu
• Polityki awaryjne - procedura zgłaszania naruszeń do UODO w terminie 72 godzin (art. 33 RODO)

Mimo to - żaden system nie jest w 100% odporny na incydenty. W razie naruszenia ochrony Twoich danych, które może wiązać się z wysokim ryzykiem dla Twoich praw i wolności, powiadomimy Cię indywidualnie bez zbędnej zwłoki (art. 34 RODO).

§14Pliki cookies

Serwis wykorzystuje pliki cookies (tzw. „ciasteczka") - małe pliki tekstowe zapisywane na Twoim urządzeniu końcowym. Szczegółowe informacje o ich rodzajach, celach i sposobach zarządzania znajdziesz w odrębnej Polityce Cookies.

Zgodnie z art. 173 Prawa telekomunikacyjnego, podczas pierwszej wizyty w Serwisie prosimy Cię o wyrażenie zgody na niektóre kategorie cookies (analityczne, marketingowe) poprzez baner cookies. Cookies niezbędne do działania Serwisu są stosowane bez konieczności uzyskiwania zgody.

Możesz w każdej chwili zmienić swoje decyzje dotyczące cookies, klikając link „Zarządzaj zgodami cookies" w stopce Serwisu.

§15Prawo skargi do UODO

Jeśli uważasz, że Twoje prawa w zakresie ochrony danych są naruszane, masz prawo wnieść skargę do organu nadzorczego:

Zanim jednak zwrócisz się do UODO - zachęcamy do kontaktu z nami. Większość kwestii udaje się rozwiązać bezpośrednio, szybciej i mniej formalnie.

§16Zmiany polityki

Zastrzegamy sobie prawo do wprowadzania zmian w niniejszej Polityce. Każda zmiana będzie odnotowana w polu „Ostatnia zmiana" u góry dokumentu. Istotne zmiany - takie jak rozszerzenie zakresu celów przetwarzania czy kategorii odbiorców - ogłosimy z wyprzedzeniem, a w przypadku stałych klientów poinformujemy o nich mailowo i poprosimy o ponowne udzielenie zgody, jeśli będzie to wymagane.

Bieżąca wersja Polityki jest zawsze dostępna pod adresem hipnoza4you.pl/polityka-prywatnosci.

§17Kontakt

Wszelkie pytania dotyczące niniejszej Polityki Prywatności oraz przetwarzania Twoich danych osobowych kieruj na adres:

Odpowiadamy w ciągu 48 godzin roboczych. W sprawach wymagających szczególnej analizy (np. wnioski o usunięcie lub przenoszenie danych) - do 30 dni zgodnie z RODO.