Polityka Prywatności

1. Administrator danych i Podmiot Przetwarzający

1.1 Dwie role — kluczowe rozróżnienie

W zależności od kontekstu EMOTIS pełni dwie różne role prawne:

1.2 Dane Administratora (EMOTIS)

1.3 Inspektor Ochrony Danych (IOD)

Usługodawca nie jest prawnie zobowiązany do wyznaczenia IOD, jednak wyznaczy go w przypadku przetwarzania danych w zakresie wymagającym takiego obowiązku. W sprawach ochrony danych należy kontaktować się pod adresem: kontakt@bartoszpolak.pl

2. Kategorie przetwarzanych danych osobowych

2.1 Dane Subskrybenta (Psychologa)

2.2 Dane Pacjenta w Portalu Pacjenta

2.3 Dane techniczne i analityczne

• Logi dostępu (IP, czas, zasób) — przechowywane przez 90 dni wyłącznie dla celów bezpieczeństwa
• Logi błędów aplikacji — anonimizowane, przechowywane przez 30 dni
• Na stronach marketingowych i publicznych (np. strona główna, profile publiczne, strony informacyjne) — po wyrażeniu zgody — używamy Google Analytics 4 (statystyki ruchu) oraz Microsoft Clarity (analiza zachowań: mapy ciepła, nagrania sesji, bez interakcji z danymi klinicznymi). Narzędzia te nie są ładowane w Portalu Lekarza, Portalu Pacjenta ani Kiosku, gdzie przetwarzane są dane zdrowotne.

3. Podstawy prawne przetwarzania

4. Okresy retencji danych

5. Odbiorcy danych i podprocesory

Dane przetwarzane są wyłącznie przez zaufanych podprocesorów z siedzibą lub certyfikowaną infrastrukturą w EOG lub krajach zapewniających adekwatny poziom ochrony:

Google Analytics i Microsoft Clarity nie mają dostępu do Portalu Lekarza, Portalu Pacjenta ani Kiosku — działają wyłącznie na stronach marketingowych i publicznych, i tylko po wyrażeniu zgody w bannerze cookie.

Dane Subskrybentów ani Pacjentów nie są sprzedawane, wynajmowane ani udostępniane podmiotom trzecim w celach marketingowych. Wyjątki:

• nakaz organu ścigania lub sądu — wyłącznie w zakresie wymaganym prawem;
• ochrona praw lub majątku Usługodawcy przed bezprawnym działaniem.

6. Prawa osób, których dane dotyczą

6.1 Prawa Subskrybenta

Subskrybent, jako osoba, której dane osobowe przetwarza Usługodawca w roli Administratora, ma prawo do:

6.2 Prawa Pacjenta

W zakresie Danych Klinicznych Administratorem jest Subskrybent (Psycholog). Wszelkie żądania Pacjenta dotyczące dostępu, sprostowania, usunięcia lub przenoszenia Danych Klinicznych powinny być kierowane bezpośrednio do Psychologa.

Żądania Pacjentów dotyczące danych konta w Portalu Pacjenta (e-mail, hasło) mogą być kierowane do Usługodawcy na adres kontakt@bartoszpolak.pl.

Usługodawca, jako Podmiot Przetwarzający, niezwłocznie (nie później niż w ciągu 72 godzin) przekazuje Subskrybentowi wszelkie żądania od Pacjentów dotyczące Danych Klinicznych.

6.3 Prawo wniesienia skargi

Każda osoba ma prawo wniesienia skargi do organu nadzorczego — w Polsce jest to Urząd Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, e-mail: kancelaria@uodo.gov.pl.

7. Środki bezpieczeństwa technicznego i organizacyjnego (art. 32 RODO)

7.1 Szyfrowanie danych

• Transport: TLS 1.3 dla wszystkich połączeń klient–serwer; HSTS enforced.
• Spoczynek: Szyfrowanie na poziomie systemu plików (AES-256) po stronie Supabase/AWS.
• Wrażliwe notatki: Wybrane pola (np. notatki kliniczne) są szyfrowane dodatkowo na poziomie aplikacji algorytmem AES-256-GCM przed zapisem w bazie danych.
• Hasła: Hashowane algorytmem bcrypt z cost factor ≥ 12; Usługodawca nigdy nie przechowuje haseł w postaci jawnej.

7.2 Uwierzytelnianie i sesje

• Magic linki: Tokeny jednorazowe (OTP) z TTL 1 godzina — po pierwszym użyciu są natychmiast unieważniane; nie są przechowywane w localStorage (wyłącznie HttpOnly cookie).
• Sesje: Tokeny JWT w HttpOnly cookie, niedostępne dla JavaScript (ochrona przed XSS).
• Isolacja danych: Row Level Security (RLS) na poziomie bazy PostgreSQL — każdy Subskrybent widzi wyłącznie własne dane; dostęp do danych innego Subskrybenta jest technicznie niemożliwy na poziomie zapytań SQL.

7.3 Infrastruktura i monitorowanie

• Platforma działa na Cloudflare Workers (edge computing) — brak stałego serwera do przejęcia; ataki volumetryczne (DDoS) są neutralizowane automatycznie przez Cloudflare.
• Baza danych (Supabase) hostowana w regionie EU (eu-central-1, Frankfurt).
• Regularne kopie zapasowe bazy danych z szyfrowaniem i retencją 7 dni.
• Automatyczny monitoring dostępności i alertowanie o anomaliach.
• Audit logi rejestrują dostęp do Danych Klinicznych (kto, kiedy, jaka operacja).

7.4 Procedury organizacyjne

• Dostęp do systemów produkcyjnych ograniczony do minimum niezbędnych pracowników (zasada least privilege).
• Wszyscy pracownicy i podwykonawcy Usługodawcy mający dostęp do danych są zobowiązani do zachowania poufności.
• Procedura reagowania na incydenty bezpieczeństwa: powiadomienie UODO w ciągu 72 godzin, powiadomienie Subskrybentów bez zbędnej zwłoki.
• Regularne przeglądy bezpieczeństwa kodu i infrastruktury.

8. Cyberbezpieczeństwo — szczegółowe środki ochrony

8.1 Ochrona przed atakami aplikacyjnymi

• Wstrzyknięcie SQL (SQL Injection): Wszystkie zapytania używają parametryzowanych wyrażeń (Supabase SDK) — brak możliwości wstrzyknięcia kodu SQL.
• XSS (Cross-Site Scripting): Dane renderowane przez React (automatyczne escapowanie); tokeny sesji w HttpOnly cookie poza zasięgiem JavaScript.
• CSRF: Tokeny sesji w SameSite=Strict/Lax cookie; Server Actions Next.js weryfikują origin żądania.
• Enumeration e-mail: Endpoint wysyłania magic linku zawsze zwraca odpowiedź sukcesu niezależnie od tego, czy adres e-mail istnieje w systemie — niemożliwe jest wykrycie zarejestrowanych adresów.
• Brute-force: Supabase Auth stosuje wbudowany rate limiting na próby logowania.

8.2 Ochrona danych klinicznych

• Dane kliniczne Pacjentów są logicznie odizolowane na poziomie bazy danych — Subskrybent A nie może w żaden sposób uzyskać dostępu do danych Subskrybenta B.
• Kiosk Mode (wypełnianie testów w gabinecie) używa jednorazowych tokenów PIN hashowanych bcrypt — token nie jest przechowywany w postaci jawnej.
• Adres IP i user-agent są rejestrowane wyłącznie w sesjach kiosku dla celów audytowych, nie w profilach Pacjentów.

8.3 Odpowiedzialność Subskrybenta za bezpieczeństwo

Usługodawca zapewnia bezpieczeństwo infrastruktury. Subskrybent jest odpowiedzialny za:

• stosowanie silnych, unikalnych haseł do konta;
• nieudostępnianie danych logowania osobom trzecim;
• korzystanie z aktualnego, bezpiecznego oprogramowania przeglądarki;
• wylogowywanie się z Platformy po zakończeniu pracy, szczególnie na urządzeniach współdzielonych;
• niezwłoczne zgłaszanie Usługodawcy podejrzenia naruszenia bezpieczeństwa konta.

9. Transfery międzynarodowe

Dane przetwarzane są głównie na serwerach w Unii Europejskiej (Frankfurt). Poczta elektroniczna jest wysyłana z własnej infrastruktury Usługodawcy w UE. Podprocesory spoza EOG (Stripe — USA) działają na podstawie:

• Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską (decyzja 2021/914/UE);
• Certyfikacji Data Privacy Framework (DPF) tam, gdzie ma zastosowanie.

Dane Kliniczne Pacjentów (notatki terapeutyczne, wyniki testów, diagnoza ICD-10) są przechowywane wyłącznie w regionie EU i nie są transferowane poza EOG.

10. Pliki cookie i przechowywanie lokalne

Cookie analityczne (Google Analytics 4, Microsoft Clarity) są ustawiane wyłącznie po wyrażeniu zgody w bannerze cookie i tylko na stronach marketingowych/publicznych — nigdy w Portalu Lekarza, Portalu Pacjenta ani Kiosku, gdzie przetwarzane są dane zdrowotne. Zgodę można wycofać w każdym momencie, usuwając cookie emotis_cookie_consent w ustawieniach przeglądarki i odświeżając stronę. Nie korzystamy z zewnętrznych sieci reklamowych.

11. Dane dzieci i osób nieletnich

Platforma EMOTIS jest przeznaczona do użytku przez dorosłych specjalistów zdrowia psychicznego. Subskrybent może przetwarzać w Platformie dane Pacjentów będących osobami nieletnimi wyłącznie:

• za wiedzą i zgodą rodziców lub opiekunów prawnych;
• zgodnie z obowiązującymi przepisami prawa dotyczącymi ochrony małoletnich;
• przy zachowaniu szczególnej staranności w zakresie dostępu do takich danych.

Portal Pacjenta nie może być udostępniany osobom poniżej 16 roku życia bez zgody rodzica lub opiekuna prawnego. Usługodawca nie zbiera celowo danych dzieci poniżej 16 roku życia.

12. Zmiany Polityki Prywatności

1. Usługodawca zastrzega sobie prawo do aktualizacji niniejszej Polityki w przypadku zmian prawa, wdrożenia nowych funkcji Platformy lub zmiany procesów przetwarzania danych.
2. O każdej istotnej zmianie Subskrybenci zostaną poinformowani z co najmniej 30-dniowym wyprzedzeniem drogą e-mail i poprzez komunikat w Platformie.
3. Data ostatniej aktualizacji jest zawsze widoczna na górze dokumentu. Archiwalne wersje Polityki dostępne są na żądanie pod adresem kontakt@bartoszpolak.pl.

13. Kontakt w sprawach ochrony danych

W przypadku naruszenia ochrony danych możesz złożyć skargę do Urzędu Ochrony Danych Osobowych:
ul. Stawki 2, 00-193 Warszawa · tel. 606-950-000 · kancelaria@uodo.gov.pl · uodo.gov.pl