Klauzula informacyjna dla pacjenta

Informacja o przetwarzaniu Twoich danych osobowych w związku z usługami medycznymi Grupy TropicalMed sp. z o.o.

---

W skrócie

---

1. Administrator danych

Grupa TropicalMed sp. z o.o. ul. Wrocławska 53D, 30-006 Kraków KRS: 0000931492 · NIP: 6772470625

Kontakt: kontakt@tropicalmed.pl · 692 75 33 33

2. Inspektor Ochrony Danych

We wszystkich sprawach dotyczących Twoich danych osobowych:

iod@tropicalmed.pl listownie: Inspektor Ochrony Danych, ul. Wrocławska 53D, 30-006 Kraków

Uwaga: IOD odpowiada wyłącznie na pytania prawne związane z RODO i Twoimi prawami. IOD nie odpowiada na pytania medyczne - w sprawach klinicznych (szczepienia, kwalifikacja, odczyny poszczepienne) skontaktuj się z recepcją lub umów wizytę z lekarzem.

---

3. Po co przetwarzamy Twoje dane

a) Świadczenie usług medycznych

Aby zakwalifikować Cię do szczepienia, wykonać je bezpiecznie, wystawić zaświadczenia (w tym Międzynarodową Książeczkę Szczepień WHO) i prowadzić Twoją dokumentację medyczną.

Podstawa: opieka zdrowotna przez podmiot leczniczy (art. 9 ust. 2 lit. h RODO).

b) Obowiązki prawne

Prowadzenie dokumentacji medycznej, zgłoszenia odczynów poszczepiennych do GIS, działań niepożądanych do URPL, fakturowanie przez KSeF, rozliczenia podatkowe.

Podstawa: obowiązek prawny (art. 6 ust. 1 lit. c RODO).

c) Realizacja umowy

Przyjęcie rezerwacji, kontakt w sprawie wizyty, rozliczenia.

Podstawa: wykonanie umowy o świadczenie usług (art. 6 ust. 1 lit. b RODO).

d) Przypomnienia o kolejnych dawkach i końcu ochrony

Wiele szczepień to cykle wielodawkowe (WZW B, KZM, wścieklizna, HPV) lub takie, których ochrona z czasem wygasa (błonica/tężec co 10 lat, KZM co 3-5 lat). Pominięcie kolejnej dawki lub niedoszczepienie po wygaśnięciu ochrony oznacza brak skutecznej ochrony.

Dlatego przypominamy Ci SMS-em, e-mailem lub telefonicznie o kolejnych dawkach w rozpoczętych u nas cyklach oraz o zbliżającym się końcu ochrony.

To jest kontynuacja świadczenia zdrowotnego, nie marketing - dotyczy wyłącznie szczepień, które już u nas wykonałeś. Nie wymaga osobnej zgody, ale w każdej chwili możesz zrezygnować (prośba do recepcji lub wiadomość na iod@tropicalmed.pl). Po rezygnacji odpowiedzialność za zachowanie odpowiednich okien czasowych spoczywa na Tobie.

Podstawa: opieka zdrowotna i kontynuacja świadczenia (art. 9 ust. 2 lit. h oraz art. 6 ust. 1 lit. f RODO).

e) Prognozowanie frekwencji wizyt

Stosujemy regułowy system statystyczny, który na podstawie kilku cech rezerwacji (liczba dni między rezerwacją a wizytą, historia poprzednich nieobecności, czy jest to pierwsza wizyta, dostępność numeru telefonu) szacuje prawdopodobieństwo niezrealizowania wizyty. Pomaga nam to planować harmonogram. System nie podejmuje żadnych decyzji medycznych - wszystkie decyzje kliniczne podejmuje wyłącznie lekarz. System nie wykorzystuje Twoich danych medycznych. Wizyty z wyższym ryzykiem niezrealizowania mogą zostać oznaczone do dodatkowego potwierdzenia (np. dodatkowy kontakt telefoniczny) - to wpływ proceduralny, nie kliniczny. Prognoza nie jest decyzją podejmowaną automatycznie w rozumieniu art. 22 RODO - nie wywołuje wobec Ciebie skutków prawnych, a o kontakcie i o wizycie decyduje człowiek. Na Twoją prośbę wyjaśnimy, jak działa system, a wobec tego przetwarzania możesz wnieść sprzeciw (pkt 9).

Podstawa: prawnie uzasadniony interes - optymalizacja pracy placówek (art. 6 ust. 1 lit. f RODO).

f) Zgody dobrowolne: badania kliniczne, ocena wizyty i newsletter

Na karcie pacjenta możesz wyrazić dobrowolne zgody - każdą osobno i dla każdego kanału kontaktu osobno. Zaznaczenie kanału oznacza zgodę na kontakt tym kanałem; kanałem niezaznaczonym w tej sprawie się z Tobą nie kontaktujemy.

• Informacja o badaniach klinicznych - analizujemy Twoje dane, w tym dane o zdrowiu i szczepieniach, żeby sprawdzić, czy możesz kwalifikować się do badania klinicznego w naszych placówkach albo w ośrodkach współpracujących, i informujemy Cię o nim SMS-em, e-mailem albo telefonicznie. Twoje dane nie trafią do ośrodka badawczego ani do sponsora badania bez Twojej odrębnej zgody.
• Ocena wizyty - po wizycie prosimy Cię SMS-em albo e-mailem o jej ocenę, w tym o opinię w internecie.
• Newsletter TropicalMed (tylko osoby pełnoletnie) - e-mailem albo SMS-em, najwyżej 2 wiadomości w miesiącu: rabaty dla zapisanych, akcje profilaktyczne, szczepienia sezonowe i przed podróżą. Danych do newslettera nie udostępniamy innym firmom.
• „Dopasowane do mnie” - za osobną, wyraźną zgodą dobieramy treść newslettera do Twojego wieku i historii szczepień (dane o zdrowiu). To profilowanie wpływa wyłącznie na treść newslettera, nie na leczenie, ceny ani obsługę.

Bez tych zgód nie wysyłamy informacji o badaniach, próśb o ocenę wizyty ani newslettera. Brak zgody nie wpływa na udzielanie świadczeń.

Podstawa: Twoja zgoda - wyraźna zgoda na przetwarzanie danych o zdrowiu (art. 9 ust. 2 lit. a RODO) i zgoda na przetwarzanie danych (art. 6 ust. 1 lit. a RODO); kontakt wybranym kanałem - zgoda z art. 398 ustawy - Prawo komunikacji elektronicznej.

Jak długo: do wycofania zgody. Zgodę wycofasz w każdej chwili, bez podania przyczyny, w recepcji albo pisząc na iod@tropicalmed.pl; wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.

Pełne brzmienie zgód z karty i szczegóły: https://tropicalmed.pl/regulamin/zgody-dobrowolne-pacjenta.

g) Inne cele oparte na uzasadnionym interesie

• bezpieczeństwo placówek (monitoring wizyjny, nagrania przechowywane 60 dni),
• ustalanie, dochodzenie i obrona przed roszczeniami,
• obsługa reklamacji i opinii.

Podstawa: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).

---

4. Skąd mamy Twoje dane

W większości przypadków bezpośrednio od Ciebie - z karty pacjenta, formularza rezerwacji online, rozmowy telefonicznej lub w trakcie wizyty.

Czasami od:

• Twojego pracodawcy lub innego podmiotu kierującego Cię na szczepienia (np. medycyna pracy),
• innego podmiotu leczniczego - w celu zapewnienia ciągłości leczenia, na Twoje upoważnienie,
• osoby, którą upoważniłeś/aś do dostępu do dokumentacji.

---

5. Jakie dane przetwarzamy

• Identyfikacyjne i kontaktowe: imię, nazwisko, PESEL, a gdy go nie masz - kraj wydania i numer paszportu, data urodzenia, adres, telefon, e-mail, dane do faktury.
• Medyczne (art. 9 RODO): wywiad lekarski (przebyte choroby, alergie, ciąża, leki, immunosupresja), kierunek, typ, termin i długość podróży, historia szczepień, wyniki badań kwalifikacyjnych, ewentualne odczyny poszczepienne.
• Przedstawiciela ustawowego pacjenta małoletniego: imię i nazwisko, PESEL (a gdy go nie ma - kraj wydania i numer paszportu), kim jest dla pacjenta (np. matka, opiekun prawny), adres, jeśli jest inny niż pacjenta, telefon i e-mail.
• Osób, które upoważniasz do informacji o Twoim stanie zdrowia albo do dokumentacji medycznej: imię i nazwisko, telefon lub e-mail, zakres upoważnienia, a gdy podasz je w upoważnieniu - PESEL albo numer dokumentu.
• Operacyjne: terminy i historia wizyt, preferowana placówka, historia komunikacji.

---

6. Jak długo przechowujemy Twoje dane

Po upływie okresu retencji dane są nieodwracalnie usuwane lub anonimizowane.

---

7. Komu udostępniamy Twoje dane

Podmiotom, którym przekazujemy dane z mocy prawa:

• Centrum e-Zdrowia - system P1: wpis wykonanych szczepień do Elektronicznej Karty Szczepień i zdarzeń medycznych, sprawdzenie danych pacjenta w rejestrze usługobiorców,
• Państwowa Inspekcja Sanitarna (państwowy powiatowy inspektor sanitarny) - zgłoszenia niepożądanych odczynów poszczepiennych,
• URPL - zgłoszenia działań niepożądanych leków,
• Ministerstwo Finansów przez KSeF - faktury.

Na żądanie i w zakresie wymaganym prawem: NIZP-PZH (statystyki epidemiologiczne), sądy, prokuratura, policja, Rzecznik Praw Pacjenta.

Dostawcom usług informatycznych i innym podmiotom przetwarzającym dane w naszym imieniu: Google Cloud (Polska, EOG - bazy danych, dokumenty), Hetzner (Niemcy, EOG - serwery aplikacyjne Portalu i systemu obsługi pacjentów), Cloudflare (USA, DPF - ochrona Portalu), Google Workspace (Irlandia, EOG i USA, DPF - e-mail, wysyłka transakcyjna), Google Cloud - usługi AI (Polska, Holandia, EOG - podpowiedź przy dopasowaniu przelewów do wizyt: imię i nazwisko oraz dane przelewu), InsERT (Polska - fakturowanie), Posnet (Polska, on-premise - fiskalizacja), SMSAPI (Polska - SMS), operatorzy płatności, kancelarie prawne i biuro rachunkowe.

Pełną listę procesorów znajdziesz w Polityce prywatności pod adresem https://tropicalmed.pl/regulamin/polityka-prywatnosci.

Innym podmiotom medycznym: wyłącznie za Twoim wyraźnym upoważnieniem lub w celu zapewnienia ciągłości leczenia.

Nie sprzedajemy Twoich danych podmiotom trzecim.

---

8. Transfer poza Europejski Obszar Gospodarczy

Dane medyczne przechowujemy w państwach EOG: w Google Cloud w Polsce i w innych centrach danych Google Cloud w UE oraz na serwerach Hetzner w Niemczech.

Do USA dane mogą trafiać przez Cloudflare (cały ruch do Portalu i systemu obsługi pacjentów przechodzi przez jego sieć ochronną), Google Workspace (poczta elektroniczna, w tym potwierdzenia rezerwacji) oraz narzędzia analityczne i reklamowe na stronie. Podstawą jest decyzja Komisji Europejskiej o odpowiednim stopniu ochrony w ramach EU-U.S. Data Privacy Framework, a gdy usługa nie jest nią objęta - standardowe klauzule umowne zatwierdzone przez Komisję Europejską. Szczegóły w Polityce prywatności (pkt 6).

---

9. Twoje prawa

Przysługują Ci następujące prawa:

• dostęp do swoich danych i otrzymania ich kopii,
• dostęp do dokumentacji medycznej - zgodnie z ustawą o prawach pacjenta (pierwsza kopia bezpłatnie),
• sprostowanie nieprawidłowych danych,
• usunięcie danych - z zastrzeżeniem, że dane w dokumentacji medycznej muszą być przechowywane przez 20 lat (dokumentacja dzieci do ukończenia 2. roku życia - 22 lata) zgodnie z prawem; dane przetwarzane na podstawie zgody usuwamy po jej wycofaniu albo na Twoje żądanie,
• ograniczenie przetwarzania,
• przenoszenie danych przetwarzanych na podstawie Twojej zgody albo umowy (otrzymasz je w formacie nadającym się do odczytu maszynowego),
• sprzeciw wobec przetwarzania na podstawie uzasadnionego interesu (np. prognozy frekwencji, przypomnienia o kolejnych dawkach),
• wycofanie zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania sprzed wycofania,
• skarga do Prezesa UODO (ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl).

Aby skorzystać z tych praw, napisz: iod@tropicalmed.pl. Odpowiadamy w terminie do 1 miesiąca.

---

10. Czy musisz podać swoje dane

• Wymóg ustawowy - podanie danych identyfikacyjnych i informacji o stanie zdrowia potrzebnych do kwalifikacji i szczepienia wynika z przepisów o dokumentacji medycznej (ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta) i o szczepieniach (ustawa o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi). Bez tych danych nie możemy przeprowadzić kwalifikacji ani wykonać szczepienia.
• Dobrowolne - zgody na karcie pacjenta (informacja o badaniach klinicznych, ocena wizyty, newsletter) i cookies; odmowa nie wpływa na udzielanie świadczeń ani na możliwość rezerwacji wizyty.

---

Wersja: 20 października 2026 r. Pełne informacje o przetwarzaniu danych w naszym Portalu znajdziesz w Polityce prywatności pod adresem https://tropicalmed.pl/regulamin/polityka-prywatnosci.