Polityka prywatności

Wprowadzenie

Niniejsza Polityka opisuje, w jaki sposób Grupa TropicalMed sp. z o.o. przetwarza Twoje dane osobowe w związku z prowadzeniem portalu tropicalmed.pl oraz świadczeniem usług medycyny podróży i szczepień.

Jesteśmy podmiotem leczniczym, dlatego ochronę danych - zwłaszcza danych zdrowotnych - traktujemy jako podstawowy obowiązek.

---

1. Kto jest administratorem Twoich danych

Grupa TropicalMed sp. z o.o. ul. Wrocławska 53D, 30-006 Kraków KRS: 0000931492 · NIP: 6772470625 · REGON: 520391191 Numer księgi rejestrowej podmiotu leczniczego: 000000246506

Kontakt: e-mail: kontakt@tropicalmed.pl · tel.: 692 75 33 33 formularz: https://tropicalmed.pl/kontakt

2. Inspektor Ochrony Danych

W sprawach dotyczących przetwarzania Twoich danych osobowych skontaktuj się z naszym Inspektorem Ochrony Danych:

e-mail: iod@tropicalmed.pl listownie: Inspektor Ochrony Danych, ul. Wrocławska 53D, 30-006 Kraków

Uwaga: IOD odpowiada wyłącznie na pytania prawne związane z ochroną Twoich danych osobowych i Twoimi prawami wynikającymi z RODO. IOD nie odpowiada na pytania medyczne - w sprawach dotyczących szczepień, kwalifikacji do szczepienia, odczynów poszczepiennych lub innych kwestii klinicznych skontaktuj się z recepcją (kontakt@tropicalmed.pl, tel. 692 75 33 33) lub umów wizytę z lekarzem.

---

3. Jakie dane przetwarzamy i po co

3.1. Świadczenie usług medycznych

Gdy umówisz się na wizytę i przyjdziesz na szczepienie, przetwarzamy Twoje dane identyfikacyjne (imię, nazwisko, PESEL albo kraj wydania i numer paszportu, adres), kontaktowe (telefon, e-mail) oraz medyczne (wywiad lekarski, kierunek i termin podróży, historia szczepień, ewentualne odczyny poszczepienne). U pacjenta małoletniego przetwarzamy też dane jego przedstawiciela ustawowego, a gdy kogoś upoważnisz do informacji o stanie zdrowia albo do dokumentacji - dane tej osoby (szczegóły w Klauzuli informacyjnej dla pacjenta).

Robimy to, aby zakwalifikować Cię do szczepienia, wykonać je bezpiecznie, wystawić odpowiednie zaświadczenia (w tym Międzynarodową Książeczkę Szczepień WHO) i prowadzić Twoją dokumentację medyczną zgodnie z prawem.

Podstawa: świadczenie opieki zdrowotnej przez podmiot leczniczy (art. 9 ust. 2 lit. h RODO) oraz obowiązki prawne dotyczące dokumentacji medycznej i fakturowania (art. 6 ust. 1 lit. c RODO).

3.2. Rezerwacja wizyty i kontakt operacyjny

Przyjmujemy rezerwacje, potwierdzamy je SMS-em lub e-mailem, przypominamy o terminie wizyty, kontaktujemy się w sprawie zmian terminu i wystawiamy faktury.

Podstawa: wykonanie umowy o świadczenie usług oraz obowiązek prawny w zakresie fakturowania (art. 6 ust. 1 lit. b i c RODO).

3.3. Przypomnienia kliniczne - kolejne dawki i koniec ochrony

Wiele szczepień to cykle wielodawkowe (np. WZW B, kleszczowe zapalenie mózgu, wścieklizna, HPV) lub takie, których ochrona z czasem wygasa (np. błonica/tężec co 10 lat). Pominięcie kolejnej dawki lub niedoszczepienie po wygaśnięciu ochrony oznacza brak skutecznej ochrony.

Dlatego, jako podmiot leczniczy prowadzący Twoją dokumentację, przypominamy Ci SMS-em, e-mailem lub telefonicznie:

• o terminie kolejnej dawki w rozpoczętym u nas cyklu,
• o zbliżającym się końcu okresu ochrony i potrzebie doszczepienia.

To jest kontakt kliniczny w ramach kontynuacji świadczenia zdrowotnego, nie marketing - dotyczy wyłącznie szczepień, które już u nas wykonałeś. Nie wymaga osobnej zgody.

Możesz w każdej chwili zrezygnować z przypomnień:

• powiadom personel recepcji,
• napisz na iod@tropicalmed.pl.

Jeśli zrezygnujesz, odpowiedzialność za zachowanie odpowiednich okien czasowych będzie spoczywała na Tobie.

Podstawa: opieka zdrowotna i kontynuacja świadczenia (art. 9 ust. 2 lit. h oraz art. 6 ust. 1 lit. f RODO).

3.4. Reklamy i remarketing

Jeśli zgodzisz się na cookies marketingowe, pokazujemy Ci reklamy dopasowane do zainteresowań na innych stronach internetowych (remarketing) i mierzymy skuteczność naszych kampanii. Szczegóły: Klauzula informacyjna - kontakt i marketing.

Zgodę wycofasz w każdej chwili, klikając "Ustawienia cookies" w stopce Portalu.

Podstawa: Twoja zgoda (art. 6 ust. 1 lit. a RODO i art. 399 Prawa komunikacji elektronicznej).

3.5. Newsletter i inne zgody z karty pacjenta

Na karcie pacjenta możesz wyrazić dobrowolne zgody - każdą osobno i dla każdego kanału kontaktu osobno:

• Newsletter TropicalMed (tylko osoby pełnoletnie) - e-mailem albo SMS-em, najwyżej 2 wiadomości w miesiącu: rabaty dla zapisanych, akcje profilaktyczne, szczepienia sezonowe i przed podróżą. Danych do newslettera nie udostępniamy innym firmom.
• „Dopasowane do mnie” - za osobną, wyraźną zgodą dobieramy treść newslettera do Twojego wieku i historii szczepień (dane o zdrowiu). To profilowanie wpływa wyłącznie na treść newslettera, nie na leczenie, ceny ani obsługę.
• Informacja o badaniach klinicznych i prośba o ocenę wizyty - opisane w klauzuli informacyjnej dla pacjenta.

Bez tych zgód nie wysyłamy Ci newslettera ani innych informacji marketingowych e-mailem i SMS-em. Zgodę wycofasz w każdej chwili w recepcji albo pisząc na iod@tropicalmed.pl - także tylko dla jednego kanału albo tylko dla doboru treści.

Pełne brzmienie zgód i szczegóły: https://tropicalmed.pl/regulamin/zgody-dobrowolne-pacjenta.

Podstawa: Twoja zgoda (art. 6 ust. 1 lit. a RODO), przy doborze treści według historii szczepień - wyraźna zgoda (art. 9 ust. 2 lit. a RODO); wysyłka e-mailem i SMS-em - zgoda z art. 398 ustawy - Prawo komunikacji elektronicznej.

3.6. Prognozowanie frekwencji wizyt

Stosujemy regułowy system statystyczny, który na podstawie kilku cech rezerwacji (m.in. liczba dni między rezerwacją a wizytą, historia poprzednich nieobecności, czy jest to pierwsza wizyta, dostępność numeru telefonu) szacuje prawdopodobieństwo, że wizyta nie zostanie zrealizowana. Pomaga nam to lepiej organizować harmonogram i unikać marnowania szczepionek o krótkim terminie ważności.

To, co warto wiedzieć:

• prognoza nie wpływa na decyzje medyczne ani na Twoje prawo do umówienia wizyty w wybranym terminie,
• wizyty z wyższym ryzykiem niezrealizowania mogą zostać oznaczone do dodatkowego potwierdzenia (np. dodatkowy kontakt telefoniczny przed wizytą) - to wpływ proceduralny, nie kliniczny,
• decyzje kliniczne podejmuje wyłącznie lekarz; system nie podejmuje żadnych decyzji medycznych,
• system korzysta wyłącznie z danych operacyjnych (nie wykorzystuje danych medycznych ani treści wywiadu lekarskiego),
• prognoza nie jest decyzją podejmowaną automatycznie w rozumieniu art. 22 RODO - nie wywołuje wobec Ciebie skutków prawnych, a o kontakcie i o wizycie decyduje człowiek; na Twoją prośbę wyjaśnimy działanie systemu (kontakt z IOD).

Podstawa: prawnie uzasadniony interes - optymalizacja pracy placówek (art. 6 ust. 1 lit. f RODO).

3.7. Sztuczna inteligencja

Korzystamy z usług sztucznej inteligencji Google Cloud (Vertex AI, w centrach danych w UE - w Warszawie, a zapasowo w Holandii):

• do tworzenia treści publicznych Portalu (artykuły, poradniki o medycynie podróży, wpisy w wizytówkach Google) i odpowiedzi na opinie w wizytówkach Google - usługa otrzymuje wtedy treść opinii i imię jej autora, tak jak są widoczne publicznie,
• jako podpowiedź dla pracownika przy dopasowaniu przelewów do nieopłaconych wizyt - usługa otrzymuje wtedy imię i nazwisko pacjenta oraz nadawcę i tytuł przelewu. O przypisaniu płatności decyduje pracownik.

Danych z dokumentacji medycznej (wywiad, szczepienia, rozpoznania) do usług AI nie przekazujemy. AI nie podejmuje wobec Ciebie żadnych decyzji.

Podstawa: prawnie uzasadniony interes - tworzenie treści informacyjnych, odpowiadanie na opinie i rozliczanie płatności (art. 6 ust. 1 lit. f RODO).

3.8. Korzystanie z Portalu i analityka

Gdy odwiedzasz tropicalmed.pl, automatycznie zbieramy dane techniczne (adres IP, kod kraju z geolokalizacji IP, typ przeglądarki, czas wizyty, odwiedzane strony, źródło ruchu) - żeby Portal działał, był bezpieczny i żebyśmy mogli go ulepszać.

Prowadzimy także własny licznik odsłon (pageview tracker), który zapisuje identyfikator sesji (UUID w pliku cookie tm_sid), odwiedzane strony i kraj wizyty. Gdy rezerwujesz wizytę, zapisujemy ten identyfikator także przy rezerwacji - dzięki temu wiemy, z jakiego źródła (np. wyszukiwarki albo reklamy) i przez które strony trafiłeś do rezerwacji, oraz widzimy, na którym kroku rezerwacji pacjenci rezygnują. Wyniki oglądamy w zestawieniach zbiorczych i nie tworzymy z nich profili osób.

Cookies analityczne (Google Analytics) i marketingowe (Google Ads, Meta, Microsoft) ładują się tylko po wyrażeniu zgody w bannerze cookies. Szczegóły: zob. sekcję 7.

Podstawa: Twoja zgoda na cookies opcjonalne (art. 6 ust. 1 lit. a RODO) oraz prawnie uzasadniony interes w zakresie bezpieczeństwa Portalu i podstawowych statystyk ruchu (art. 6 ust. 1 lit. f RODO).

3.9. Ankiety satysfakcji

Po wizycie możemy wysłać Ci SMS-em lub e-mailem link do krótkiej ankiety satysfakcji (NPS), w której zapytamy o ocenę obsługi i ewentualne uwagi. Wypełnienie ankiety jest dobrowolne - brak wypełnienia nie ma żadnego wpływu na dalszą obsługę.

Co wykorzystujemy:

• imię, numer telefonu lub adres e-mail (wysyłka),
• treść Twoich odpowiedzi (ocena, komentarze).

Po co:

• analiza jakości obsługi i identyfikacja obszarów do poprawy,
• przekazywanie wewnętrznego feedbacku do zespołów placówek.

Negatywne lub krytyczne odpowiedzi są analizowane wewnętrznie i nie są publikowane bez Twojej osobnej zgody. Jeśli wyrazisz zgodę na publikację swojej opinii (np. w Google Reviews lub Trustpilot), zrobimy to za Twoją wiedzą i akceptacją.

Procesor: SMSAPI (wysyłka SMS z linkiem do ankiety). Sam formularz ankiety, baza odpowiedzi i analiza wyników są przetwarzane wewnętrznie na naszej infrastrukturze (Google Cloud i Hetzner - opisane w sekcji 5.2).

Retencja: 6 miesięcy od zakończenia ankiety, po czym dane są anonimizowane lub usuwane.

Podstawa: prawnie uzasadniony interes - poprawa jakości usług (art. 6 ust. 1 lit. f RODO).

3.10. Obsługa zapytań

Gdy napiszesz do nas przez formularz kontaktowy lub e-mail, przetwarzamy Twoje dane, by udzielić odpowiedzi. Jeśli w wiadomości podasz informacje o stanie zdrowia, traktujemy je z taką samą ostrożnością jak dane medyczne z wizyty (art. 9 ust. 2 lit. h RODO). Lepiej jednak pełny wywiad medyczny przeprowadzić podczas wizyty, nie e-mailem.

3.11. Monitoring wizyjny w placówkach

W naszych placówkach prowadzimy monitoring wizyjny dla bezpieczeństwa pacjentów, personelu, mienia oraz zabezpieczenia szczepionek (łańcuch chłodniczy). Nagrania przechowujemy 60 dni, po czym są automatycznie usuwane.

3.12. Zakup bonów przez Portal

Gdy kupujesz bon (kwotowy albo na konkretne świadczenie), przetwarzamy Twoje imię i nazwisko, adres e-mail, numer telefonu, dane do faktury (jeśli jej chcesz) oraz dane zamówienia: numer i rodzaj bonu, cenę, datę zakupu i wykorzystania. Płatność obsługuje Przelewy24 (PayPro S.A., Poznań) - od operatora dostajemy wyłącznie identyfikator transakcji i jej status, nie dane Twojej karty ani rachunku. Operator przetwarza dane płatności jako odrębny administrator, na zasadach swojej polityki prywatności.

Dane służą do zawarcia i wykonania umowy (wysłanie bonu, jego realizacja w placówce, przypomnienie o kończącej się ważności), obsługi odstąpienia od umowy i reklamacji oraz rozliczeń podatkowych. Osoba, której wręczysz bon, podaje nam swoje dane dopiero przy rezerwacji i wizycie.

Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO), obowiązki podatkowe i rachunkowe (art. 6 ust. 1 lit. c RODO), ustalenie i obrona roszczeń (art. 6 ust. 1 lit. f RODO).

3.13. Ustalenie i obrona roszczeń

W razie reklamacji lub sporu możemy przetwarzać dane niezbędne do ustalenia, dochodzenia lub obrony przed roszczeniami przez okres wymagany przepisami (art. 6 ust. 1 lit. f RODO).

---

4. Jak długo przechowujemy Twoje dane

Po upływie okresu retencji dane są nieodwracalnie usuwane lub anonimizowane.

---

5. Komu udostępniamy Twoje dane

5.1. Organom uprawnionym z mocy prawa

Główny Inspektor Sanitarny i Wojewódzkie Stacje Sanitarno-Epidemiologiczne (zgłoszenia odczynów poszczepiennych), URPL (działania niepożądane produktów leczniczych), NIZP-PZH (statystyki epidemiologiczne), Ministerstwo Finansów przez Krajowy System e-Faktur (KSeF), sądy, prokuratura, policja, organy administracji - wyłącznie na żądanie i w zakresie wymaganym prawem.

5.2. Procesorom działającym w naszym imieniu

Korzystamy ze sprawdzonych dostawców, z którymi zawarliśmy umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO:

Każdy procesor działa wyłącznie na nasze udokumentowane polecenie i jest zobowiązany do zachowania poufności.

5.3. Innym podmiotom medycznym

Wyłącznie za Twoim wyraźnym upoważnieniem (np. w karcie pacjenta) lub w celu zapewnienia ciągłości leczenia.

Nie sprzedajemy Twoich danych podmiotom trzecim.

---

6. Transfer danych poza Europejski Obszar Gospodarczy

Dane medyczne i operacyjne przechowujemy w państwach EOG: bazy danych i dokumenty w Google Cloud w Polsce i w innych centrach danych Google Cloud w UE (kopie zapasowe), a serwery aplikacyjne w Hetzner w Niemczech.

Do USA dane mogą trafiać przez dostawców, z których korzystamy:

• Cloudflare - cały ruch do Portalu i systemu obsługi pacjentów przechodzi przez jego sieć, która chroni przed atakami,
• Google Workspace - poczta elektroniczna, w tym wiadomości z potwierdzeniem rezerwacji,
• narzędzia analityczne i reklamowe - Google Analytics, Google Ads, Meta, Microsoft Advertising.

Podstawą przekazania jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony w ramach EU-U.S. Data Privacy Framework (art. 45 RODO) - Google, Meta, Microsoft i Cloudflare są jego aktywnymi uczestnikami. Gdy usługa nie jest objęta tą certyfikacją, stosujemy standardowe klauzule umowne zatwierdzone przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).

Kopię klauzul i informacje o zabezpieczeniach możesz uzyskać od naszego IOD.

---

7. Pliki cookies

Czym są i jak nimi zarządzasz

Cookies to małe pliki zapisywane w Twojej przeglądarce. Stosujemy 4 kategorie - te same, które widzisz w bannerze cookies:

• Niezbędne - bez nich Portal nie działa: bezpieczeństwo, zapamiętanie Twojego wyboru w bannerze cookies oraz ustawień, które sam wybierasz (język strony rezerwacji, placówka w kalendarzu). Zawsze aktywne.
• Funkcjonalne - osadzone treści zewnętrzne, np. mapy Google z lokalizacją placówek. Wymagają zgody; bez niej mapę wczytasz jednym kliknięciem, tylko w tym miejscu.
• Analityczne - pomagają nam zrozumieć, jak korzystasz z Portalu (Google Analytics 4). Wymagają zgody.
• Marketingowe - pozwalają mierzyć skuteczność reklam i pokazywać dopasowane reklamy (Google Ads, Meta, Microsoft Advertising). Wymagają zgody.

Zgodą zarządzasz przez banner cookies przy pierwszej wizycie lub klikając "Ustawienia cookies" w stopce Portalu w dowolnym momencie.

Lista plików cookies

Cookies możesz też wyłączyć w ustawieniach przeglądarki - instrukcje znajdziesz w pomocy każdej z nich (Chrome, Firefox, Safari, Edge).

---

8. Twoje prawa

W związku z przetwarzaniem danych przysługują Ci prawa do:

• dostępu do swoich danych i otrzymania ich kopii,
• sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych,
• usunięcia danych ("prawo do bycia zapomnianym") - z zastrzeżeniem, że dane w dokumentacji medycznej muszą być przechowywane przez 20 lat (dokumentacja dzieci do ukończenia 2. roku życia - 22 lata) zgodnie z prawem,
• ograniczenia przetwarzania,
• przenoszenia danych w ustrukturyzowanym formacie,
• sprzeciwu wobec przetwarzania na podstawie naszego uzasadnionego interesu (np. prognozy frekwencji, ankiety satysfakcji),
• wycofania zgody w dowolnym momencie,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl).

Aby skorzystać z tych praw, napisz do naszego IOD: iod@tropicalmed.pl. Odpowiadamy w terminie do 1 miesiąca.

---

9. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiednie do rodzaju przetwarzanych danych:

• wszystkie połączenia z Portalem są szyfrowane (HTTPS),
• bazy danych są zaszyfrowane i przechowywane w Polsce oraz EOG,
• dostęp do dokumentacji medycznej mają wyłącznie upoważnieni pracownicy, każdy dostęp jest rejestrowany,
• personel przechodzi cykliczne szkolenia z ochrony danych i tajemnicy lekarskiej,
• mamy procedurę reagowania na incydenty (zgłoszenie do UODO w 72 godziny zgodnie z art. 33 RODO).

---

10. Dane osób niepełnoletnich

Świadczymy usługi również osobom niepełnoletnim. Zgodę na szczepienie i przetwarzanie danych dziecka wyraża rodzic lub opiekun prawny, który musi być obecny przy szczepieniu. Reklam i newslettera nie kierujemy do osób niepełnoletnich - zgodę na newsletter może wyrazić tylko osoba pełnoletnia.

---

11. Linki do innych stron

Portal może zawierać linki do stron podmiotów trzecich (np. WHO, ECDC, partnerów). Nasza Polityka nie obejmuje przetwarzania danych przez te podmioty - w razie odwiedzin tych stron zapoznaj się z ich politykami.

---

12. Zmiany Polityki

Politykę aktualizujemy w razie zmian prawa, technologii lub zakresu usług. O istotnych zmianach poinformujemy Cię komunikatem na stronie głównej.

Aktualna wersja: 3.0, 19 października 2026 r. (uzupełniona 20 października 2026 r. o newsletter)

---

W razie pytań - napisz do naszego IOD: iod@tropicalmed.pl lub na kontakt@tropicalmed.pl.