Polityka prywatności i ochrony danych osobowych serwisu migmedica.pl

1. Administrator danych osobowych

Administratorem danych osobowych jest:

Beata Rzepka-Migut, prowadząca jednoosobową działalność gospodarczą pod firmą
MIGMEDICA NEUROLOGIA DZIECIĘCA LEK. BEATA RZEPKA-MIGUT
NIP: 5170422837

Adres zarejestrowanej działalności i adres korespondencyjny:
Niechobrz 623
36-047 Niechobrz

Miejsce udzielania świadczeń zdrowotnych:
ul. Iwonicka 38/3L
35-505 Rzeszów

Kontakt w sprawach dotyczących danych osobowych:
kontakt@migmedica.com

dalej jako „Administrator” lub „MIGMEDICA”.

Administrator nie wyznaczył Inspektora Ochrony Danych. W sprawach dotyczących ochrony danych osobowych należy kontaktować się bezpośrednio z Administratorem.

2. Kogo dotyczy Polityka prywatności

Niniejsza Polityka dotyczy osób, których dane są przetwarzane w związku z:

• korzystaniem ze strony internetowej migmedica.pl,
• rejestracją wizyty,
• korzystaniem z rejestracji internetowej MEDFILE,
• kontaktem telefonicznym lub elektronicznym z MIGMEDICA,
• udzielaniem świadczeń zdrowotnych,
• prowadzeniem dokumentacji medycznej,
• realizacją praw pacjenta,
• realizacją obowiązków prawnych związanych z prowadzoną działalnością.

W szczególności dane mogą dotyczyć:

• pacjentów, w tym pacjentów małoletnich,
• rodziców i przedstawicieli ustawowych pacjentów,
• osób upoważnionych do uzyskiwania informacji o stanie zdrowia lub dostępu do dokumentacji medycznej,
• osób dokonujących rezerwacji,
• osób kontaktujących się z MIGMEDICA,
• użytkowników strony internetowej.

W przypadku pacjenta małoletniego dane dziecka oraz dane jego rodzica lub przedstawiciela ustawowego dotyczą odrębnych osób i są przetwarzane odpowiednio do celu i zakresu danej czynności.

3. Jakie dane mogą być przetwarzane

Zakres danych zależy od celu przetwarzania.

3.1. Rejestracja wizyty

W związku z rejestracją wizyty mogą być przetwarzane w szczególności:

• imię i nazwisko pacjenta,
• numer telefonu,
• dane osoby dokonującej rezerwacji,
• wybrany termin wizyty,
• rodzaj wybranego świadczenia,
• dane niezbędne do prawidłowej obsługi rezerwacji.

Rejestracja internetowa prowadzona jest przy wykorzystaniu systemu MEDFILE. MIGMEDICA ogranicza zakres danych zbieranych na etapie samej rezerwacji do danych potrzebnych do jej obsługi.

Formularz rejestracji internetowej nie służy do przekazywania obszernego opisu stanu zdrowia ani dokumentacji medycznej.

3.2. Udzielanie świadczeń zdrowotnych

W związku z udzielaniem świadczeń zdrowotnych mogą być przetwarzane m.in.:

• imię i nazwisko,
• data urodzenia,
• numer PESEL lub inne dane identyfikacyjne,
• dane kontaktowe,
• dane przedstawiciela ustawowego,
• dane dotyczące zdrowia,
• informacje uzyskane podczas wywiadu medycznego,
• informacje o aktualnych i przebytych chorobach,
• wyniki badań,
• informacje o wcześniejszym leczeniu,
• informacje o przyjmowanych lekach,
• rozpoznania,
• informacje dotyczące przebiegu diagnostyki i leczenia,
• zalecenia,
• recepty,
• skierowania,
• zaświadczenia,
• dokumentacja przekazana przez pacjenta lub przedstawiciela ustawowego,
• informacje dotyczące osób upoważnionych.

3.3. Dokumentacja medyczna

Dokumentacja medyczna prowadzona jest w postaci elektronicznej przy wykorzystaniu systemu MEDFILE.

Zakres dokumentacji wynika z obowiązujących przepisów oraz charakteru udzielanych świadczeń. Może ona obejmować w szczególności:

• dane identyfikacyjne pacjenta,
• dane przedstawiciela ustawowego,
• dane dotyczące zdrowia,
• rozpoznania,
• wyniki badań,
• przebieg leczenia,
• zalecenia,
• informacje o receptach i skierowaniach,
• dokumenty medyczne,
• informacje o osobach upoważnionych do informacji lub dokumentacji.

3.4. Kontakt telefoniczny i elektroniczny

W przypadku kontaktu z MIGMEDICA mogą być przetwarzane:

• imię i nazwisko,
• numer telefonu,
• adres e-mail,
• treść wiadomości,
• informacje dotyczące rezerwacji lub wizyty,
• inne dane dobrowolnie przekazane w związku z daną sprawą.

MIGMEDICA zaleca, aby zwykłą pocztą elektroniczną nie przesyłać większego zakresu informacji dotyczących zdrowia niż jest to rzeczywiście konieczne.

3.5. Korzystanie ze strony internetowej

Podczas korzystania ze strony mogą być przetwarzane dane techniczne, takie jak:

• adres IP,
• informacje dotyczące urządzenia,
• system operacyjny,
• rodzaj przeglądarki,
• data i czas połączenia,
• informacje techniczne dotyczące korzystania ze strony,
• dane związane z plikami cookies oraz podobnymi technologiami.

Szczegółowe zasady dotyczące cookies określa odrębna Polityka cookies.

4. Cele i podstawy prawne przetwarzania danych

4.1. Rezerwacja i obsługa wizyty

Dane są przetwarzane w celu:

• dokonania rezerwacji,
• wyboru terminu,
• potwierdzenia wizyty,
• zmiany lub anulowania terminu,
• kontaktu organizacyjnego dotyczącego wizyty.

Podstawą przetwarzania jest w szczególności art. 6 ust. 1 lit. b RODO, tj. podjęcie działań na żądanie osoby przed zawarciem umowy lub wykonanie umowy.

Jeżeli w toku rejestracji przetwarzane są dane dotyczące zdrowia, zastosowanie może znaleźć art. 9 ust. 2 lit. h RODO.

4.2. Udzielanie świadczeń zdrowotnych

Dane są przetwarzane w celu:

• przeprowadzenia badania,
• diagnostyki,
• leczenia,
• wydawania zaleceń,
• wystawiania recept,
• wystawiania skierowań i zaświadczeń,
• zapewnienia ciągłości opieki.

Podstawą jest w szczególności:

• art. 6 ust. 1 lit. c RODO – wykonanie obowiązków prawnych ciążących na Administratorze,
• art. 9 ust. 2 lit. h RODO – przetwarzanie danych dotyczących zdrowia w związku z profilaktyką, diagnozą medyczną, zapewnieniem opieki zdrowotnej lub leczeniem.

4.3. Prowadzenie dokumentacji medycznej

Dane są przetwarzane w celu prowadzenia, przechowywania i udostępniania dokumentacji medycznej oraz realizacji obowiązków wynikających z przepisów prawa.

Podstawą jest w szczególności:

• art. 6 ust. 1 lit. c RODO,
• art. 9 ust. 2 lit. h RODO,

w związku z przepisami dotyczącymi praw pacjenta, dokumentacji medycznej, działalności leczniczej i wykonywania zawodu lekarza.

Przetwarzanie danych w tym zakresie nie odbywa się na podstawie zgody pacjenta na przetwarzanie danych osobowych.

Zgoda pacjenta lub jego przedstawiciela ustawowego na określone badanie lub świadczenie medyczne jest odrębną kwestią od podstawy prawnej przetwarzania danych osobowych.

4.4. Kontakt i korespondencja

Dane mogą być przetwarzane w celu udzielenia odpowiedzi, obsługi zgłoszenia i prowadzenia komunikacji.

W zależności od charakteru sprawy podstawą może być:

• art. 6 ust. 1 lit. b RODO,
• art. 6 ust. 1 lit. c RODO,
• art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na prowadzeniu komunikacji i obsłudze zgłoszeń.

4.5. Obowiązki księgowe i podatkowe

Dane mogą być przetwarzane w celu realizacji obowiązków księgowych, podatkowych i innych obowiązków prawnych związanych z prowadzeniem działalności.

Podstawą jest art. 6 ust. 1 lit. c RODO.

4.6. Ustalenie, dochodzenie lub obrona przed roszczeniami

Dane mogą być przetwarzane w celu ochrony praw Administratora lub innych osób.

Podstawą przetwarzania danych zwykłych może być art. 6 ust. 1 lit. f RODO.

W przypadku danych dotyczących zdrowia zastosowanie może znaleźć art. 9 ust. 2 lit. f RODO, jeżeli przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń.

5. Pacjenci małoletni

MIGMEDICA świadczy usługi z zakresu neurologii dziecięcej, dlatego istotna część przetwarzanych danych dotyczy dzieci i młodzieży.

W przypadku pacjenta małoletniego Administrator może przetwarzać jednocześnie:

• dane dziecka,
• dane jego rodzica,
• dane przedstawiciela ustawowego,
• dane osób upoważnionych.

Administrator może dokonywać weryfikacji:

• tożsamości osoby działającej w imieniu dziecka,
• jej uprawnienia do reprezentowania małoletniego,
• zakresu udzielonego upoważnienia,

jeżeli jest to potrzebne do ochrony praw pacjenta lub zapobieżenia udostępnieniu danych osobie nieuprawnionej.

6. Czy podanie danych jest obowiązkowe

Podanie danych wymaganych do prawidłowej identyfikacji pacjenta oraz prowadzenia dokumentacji medycznej jest obowiązkowe w zakresie wynikającym z przepisów prawa.

Brak danych niezbędnych do identyfikacji pacjenta lub udokumentowania świadczenia może uniemożliwić prawidłowe udzielenie świadczenia.

Podanie danych niezbędnych do dokonania rezerwacji jest konieczne, jeżeli bez nich rezerwacja nie może zostać obsłużona.

Podanie pozostałych danych jest dobrowolne, chyba że obowiązek ich podania wynika z przepisów.

7. Osoby upoważnione do dostępu do danych

Dostęp do danych pacjentów mogą mieć wyłącznie osoby posiadające odpowiednie upoważnienie i tylko w zakresie koniecznym do wykonywania powierzonych czynności.

Osoba wykonująca czynności związane z rejestracją pacjentów może mieć dostęp do danych niezbędnych do:

• umawiania wizyt,
• zmiany i anulowania terminów,
• kontaktu z pacjentem lub jego przedstawicielem,
• wykonywania niezbędnych czynności administracyjnych.

Osoby upoważnione są zobowiązane do zachowania poufności.

8. MEDFILE i BioStat Sp. z o.o.

MIGMEDICA korzysta z systemu MEDFILE, którego dostawcą jest BioStat Sp. z o.o. z siedzibą w Rybniku.

System MEDFILE jest wykorzystywany w szczególności do:

• prowadzenia elektronicznej dokumentacji medycznej,
• prowadzenia harmonogramu wizyt,
• rejestracji internetowej,
• obsługi danych pacjentów związanych z udzielaniem świadczeń.

Zgodnie z zawartą umową MIGMEDICA jest administratorem danych pacjentów, natomiast BioStat Sp. z o.o. działa w tym zakresie jako podmiot przetwarzający. Umowa zawiera postanowienia dotyczące powierzenia przetwarzania danych zgodnie z art. 28 RODO.

Powierzenie obejmuje m.in. dane zawarte w dokumentacji medycznej, dane związane z rejestracją online oraz dane potrzebne do utrzymania i zabezpieczenia konta Administratora.

Zgodnie z umową dane powierzane w ramach MEDFILE są przechowywane na monitorowanych całodobowo serwerach znajdujących się na terytorium Unii Europejskiej.

MEDFILE stosuje rozwiązania organizacyjne i techniczne mające na celu ochronę danych. Umowa przewiduje m.in. zabezpieczenie danych przed utratą i nieuprawnionym dostępem oraz możliwość przywrócenia dostępności danych po incydencie.

Jeżeli z systemu korzysta więcej niż jedna osoba, każda z nich powinna korzystać z własnych danych dostępowych umożliwiających jej identyfikację.

9. Odbiorcy danych

Dane osobowe mogą być przekazywane wyłącznie podmiotom posiadającym odpowiednią podstawę do ich otrzymania.

Mogą to być w szczególności:

• BioStat Sp. z o.o. – dostawca systemu MEDFILE,
• dostawca hostingu strony internetowej,
• dostawca poczty elektronicznej,
• dostawcy infrastruktury informatycznej i usług serwisowych,
• podmiot prowadzący obsługę księgową, jeżeli otrzymuje dane w zakresie niezbędnym do realizacji usługi,
• podmioty świadczące usługi prawne lub doradcze, gdy jest to niezbędne,
• organy administracji publicznej i inne podmioty uprawnione na podstawie przepisów,
• inne podmioty lecznicze i osoby wykonujące zawód medyczny, jeżeli istnieje podstawa prawna do przekazania danych,
• osoby upoważnione przez pacjenta lub jego przedstawiciela ustawowego.

Jeżeli dany podmiot przetwarza dane w imieniu Administratora, odbywa się to na podstawie odpowiedniego instrumentu prawnego zgodnego z art. 28 RODO.

10. Dalsze powierzenie danych przez MEDFILE

Zgodnie z zawartą umową dalsze powierzenie danych przez podmiot przetwarzający innemu podmiotowi może nastąpić na warunkach określonych w umowie i przy zastosowaniu wymogów ochrony danych.

Dalszy podmiot przetwarzający powinien zostać objęty obowiązkami ochrony danych odpowiadającymi obowiązkom wynikającym z umowy zawartej pomiędzy MIGMEDICA a BioStat Sp. z o.o.

11. Przekazywanie danych poza Europejski Obszar Gospodarczy

Zgodnie z umową dotyczącą MEDFILE dane powierzane w ramach systemu są przechowywane na serwerach znajdujących się w Unii Europejskiej.

W przypadku korzystania przez Administratora lub jego dostawców z usług powodujących przekazywanie danych poza Europejski Obszar Gospodarczy stosowane są mechanizmy wymagane przez RODO, w szczególności:

• decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony,
• standardowe klauzule umowne,
• inne zabezpieczenia przewidziane prawem.

Informacje dotyczące stosowanych zabezpieczeń można uzyskać, kontaktując się z Administratorem pod adresem: kontakt@migmedica.com.

12. Jak długo dane są przechowywane

Dane są przechowywane nie dłużej niż wymaga tego cel przetwarzania lub przepisy prawa.

Dokumentacja medyczna

Co do zasady dokumentacja medyczna jest przechowywana przez 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu, z uwzględnieniem szczególnych okresów przechowywania przewidzianych przepisami.

W odniesieniu do niektórych rodzajów dokumentacji obowiązują inne ustawowe okresy, w tym szczególne zasady dotyczące dokumentacji określonych grup pacjentów.

Rezerwacja wizyty

Dane dotyczące rezerwacji, które nie stanowią części dokumentacji medycznej, są przechowywane przez okres potrzebny do obsługi wizyty, a następnie przez okres uzasadniony obowiązkiem prawnym lub potrzebą ochrony przed roszczeniami.

Korespondencja

Korespondencja jest przechowywana przez okres konieczny do załatwienia sprawy, a następnie – jeśli jest to uzasadnione – przez okres potrzebny do wykazania jej przebiegu albo ochrony przed roszczeniami.

Jeżeli korespondencja stanie się częścią dokumentacji medycznej, podlega okresowi właściwemu dla dokumentacji medycznej.

Dokumentacja księgowa i podatkowa

Przechowywana jest przez okres wymagany właściwymi przepisami.

13. Zakończenie korzystania z MEDFILE

W przypadku zakończenia umowy MEDFILE dostawca udostępnia MIGMEDICA kopię bazy danych w formie pozwalającej na jej odczyt za pomocą ogólnodostępnych narzędzi.

Zgodnie z umową kopia jest dostępna przez 30 dni, w trakcie których MIGMEDICA ma możliwość zweryfikowania jej poprawności. Po upływie tego okresu dostawca deklaruje bezpowrotne zniszczenie danych pozostających po jego stronie.

14. Naruszenia bezpieczeństwa po stronie MEDFILE

Zgodnie z zawartą umową BioStat Sp. z o.o. zobowiązuje się zawiadomić MIGMEDICA o naruszeniu ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w terminie 48 godzin od jego stwierdzenia.

MIGMEDICA jako Administrator dokonuje następnie własnej oceny ryzyka i realizuje obowiązki wynikające z przepisów, w tym ewentualne obowiązki wobec Prezesa Urzędu Ochrony Danych Osobowych oraz osób, których dane dotyczą.

15. Prawa osoby, której dane dotyczą

W zależności od celu i podstawy przetwarzania osobie mogą przysługiwać:

• prawo dostępu do danych,
• prawo otrzymania kopii danych,
• prawo sprostowania danych,
• prawo uzupełnienia danych,
• prawo ograniczenia przetwarzania,
• prawo usunięcia danych,
• prawo przenoszenia danych,
• prawo wniesienia sprzeciwu,
• prawo wycofania zgody, jeżeli określone przetwarzanie odbywa się na podstawie zgody.

Nie wszystkie prawa mają zastosowanie do każdego procesu.

W szczególności prawo do usunięcia danych nie oznacza prawa do żądania usunięcia dokumentacji medycznej w okresie, w którym Administrator ma obowiązek jej przechowywania na podstawie przepisów prawa.

W celu realizacji praw można skontaktować się z Administratorem: kontakt@migmedica.com.

Administrator może poprosić o informacje umożliwiające potwierdzenie tożsamości osoby składającej żądanie, jeżeli jest to konieczne dla ochrony danych.

16. Dokumentacja medyczna a prawa pacjenta

Prawo dostępu do danych osobowych wynikające z RODO oraz prawo pacjenta do dokumentacji medycznej są odrębnymi uprawnieniami.

Dokumentacja medyczna może zostać udostępniona:

• pacjentowi,
• przedstawicielowi ustawowemu,
• osobie upoważnionej,
• podmiotowi lub osobie posiadającej prawo do jej otrzymania na podstawie przepisów.

Przed udostępnieniem dokumentacji Administrator może dokonać odpowiedniej weryfikacji tożsamości i uprawnienia osoby występującej z żądaniem.

17. Prawo wniesienia skargi

Jeżeli osoba uważa, że jej dane są przetwarzane niezgodnie z przepisami, ma prawo wnieść skargę do:

Prezesa Urzędu Ochrony Danych Osobowych
ul. Stanisława Moniuszki 1A
00-014 Warszawa

18. Zautomatyzowane podejmowanie decyzji i profilowanie

Administrator nie podejmuje wobec pacjentów decyzji wywołujących skutki prawne lub w podobny sposób istotnie na nich wpływających, które byłyby oparte wyłącznie na zautomatyzowanym przetwarzaniu danych, w tym profilowaniu.

19. Bezpieczeństwo danych

Administrator stosuje środki techniczne i organizacyjne odpowiednie do charakteru danych i ryzyka ich przetwarzania.

Obejmują one w szczególności:

• ograniczenie dostępu do osób upoważnionych,
• indywidualne konta użytkowników,
• odpowiednie zarządzanie uprawnieniami,
• stosowanie mechanizmów uwierzytelniania,
• ochronę urządzeń używanych do przetwarzania danych,
• zabezpieczenie poczty elektronicznej,
• ochronę dokumentacji medycznej,
• ochronę przed dostępem osób nieuprawnionych,
• zasady reagowania na incydenty i naruszenia,
• okresowy przegląd zastosowanych zabezpieczeń.

Szczegółowe informacje dotyczące zabezpieczeń nie są publicznie ujawniane w zakresie, w którym ich ujawnienie mogłoby obniżyć poziom bezpieczeństwa.

Umowa MEDFILE przewiduje również stosowanie przez dostawcę środków obejmujących m.in. szyfrowanie, możliwość przywrócenia dostępności danych oraz wykonywanie kopii zapasowej kartoteki co 30 minut.

20. Pliki cookies i podobne technologie

Strona migmedica.pl może korzystać z plików cookies oraz podobnych technologii.

Cookies niezbędne do prawidłowego działania serwisu są stosowane w zakresie dopuszczonym przez przepisy.

Technologie opcjonalne, w szczególności analityczne lub marketingowe, są stosowane po uzyskaniu wymaganej zgody użytkownika, jeżeli zgoda taka jest wymagana.

Użytkownik może zmienić swoje preferencje dotyczące cookies w sposób udostępniony na stronie.

Szczegółowe informacje znajdują się w odrębnej Polityce cookies.

21. Rejestracja online MEDFILE na stronie migmedica.pl

Na stronie migmedica.pl może być osadzony moduł rejestracji online dostarczany przez MEDFILE.

Dane wprowadzone do formularza rejestracji są przekazywane do systemu MEDFILE i przetwarzane w celu dokonania i obsługi rezerwacji.

MEDFILE służy również do prowadzenia terminarza i elektronicznej dokumentacji medycznej.

Umowa wprost obejmuje przetwarzanie danych zbieranych poprzez rejestrację online.

22. Zmiany Polityki prywatności

Polityka może być aktualizowana w szczególności w przypadku:

• zmiany przepisów,
• zmiany sposobu działania MIGMEDICA,
• zmiany wykorzystywanych systemów,
• zmiany dostawców,
• zmiany sposobu rejestracji,
• wprowadzenia nowych usług lub funkcjonalności.

Aktualna wersja Polityki prywatności jest publikowana na stronie migmedica.pl wraz z datą jej obowiązywania.

23. Kontakt

W sprawach dotyczących przetwarzania danych osobowych oraz realizacji praw można kontaktować się z:

MIGMEDICA NEUROLOGIA DZIECIĘCA LEK. BEATA RZEPKA-MIGUT

Adres działalności i korespondencyjny:
Niechobrz 623, 36-047 Niechobrz

Miejsce udzielania świadczeń:
ul. Iwonicka 38/3L, 35-505 Rzeszów

e-mail: kontakt@migmedica.com