Polityka prywatności i ochrony danych osobowych

Administratorem danych osobowych przetwarzanych w Aplikacji jest Fundacja „Małe Kroki, Wielkie Sukcesy”, ul. Rumiankowa 15, 62-090 Krzyszkowo, KRS 0001215748, NIP 7812102817, REGON 543671679.

Kontakt w sprawach ochrony danych osobowych: kontakt@logopediazpsem.pl, pisemnie na adres siedziby Fundacji lub telefonicznie: +48 513 975 314.

Inspektor Ochrony Danych: [DO UZUPEŁNIENIA: imię i nazwisko oraz kontakt do IOD — albo oświadczenie, że IOD nie został wyznaczony. Przy przetwarzaniu danych zdrowotnych dzieci na dużą skalę wyznaczenie IOD jest zalecane (art. 37 RODO)].

Administrator przetwarza dane zgodnie z zasadami art. 5 RODO: zgodnie z prawem, rzetelnie i przejrzyście, w określonych celach, adekwatnie do celów, prawidłowo, przez okres nie dłuższy niż niezbędny, zapewniając odpowiednie bezpieczeństwo danych.

Dane identyfikacyjne rodzica/opiekuna prawnego: imię i nazwisko, adres e-mail oraz — opcjonalnie — numer telefonu, miasto zamieszkania i przedział wiekowy. Miasto służy wyłącznie ocenie zasięgu geograficznego działań Fundacji. Aplikacja nie zbiera daty urodzenia rodzica ani jego adresu zamieszkania.

Dane identyfikacyjne dziecka: imię, data urodzenia, wiek, płeć.

Dane dotyczące zdrowia dziecka (szczególna kategoria — art. 9 RODO): rodzaj zaburzenia (np. mutyzm wybiórczy, zaburzenia lękowe), historia terapii i diagnozy, notatki dotyczące przebiegu terapii, oceny postępów, zalecenia terapeutyczne, informacje o stosowanych metodach terapii oraz — jeśli podane przez rodzica — o leczeniu farmakologicznym.

Dane techniczne i eksploatacyjne: adres IP, typ i wersja przeglądarki lub systemu, dane o aktywności w Aplikacji (data i godzina logowania, przeglądane sekcje), pliki cookies.

Podanie danych identyfikacyjnych jest dobrowolne, lecz niezbędne do korzystania z Aplikacji. Podanie danych zdrowotnych jest dobrowolne i wymaga odrębnej, wyraźnej zgody rodzica lub opiekuna prawnego.

Wspieranie procesu terapeutycznego za pośrednictwem Aplikacji, w tym monitorowanie postępów — art. 6 ust. 1 lit. b RODO (wykonanie umowy) w zw. z art. 9 ust. 2 lit. a RODO (wyraźna zgoda na dane zdrowotne). Okres: do zakończenia terapii + 5 lat.

Prowadzenie dokumentacji terapeutycznej — art. 6 ust. 1 lit. c RODO w zw. z art. 9 ust. 2 lit. h RODO. Okres: 20 lat od ostatniego wpisu (art. 29 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta).

Rozliczenie usług i fakturowanie — art. 6 ust. 1 lit. b i c RODO. Okres: 5 lat od końca roku podatkowego.

Zapewnienie bezpieczeństwa Aplikacji i zapobieganie nadużyciom — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes). Okres: do wniesienia skutecznego sprzeciwu.

Komunikacja z użytkownikiem i wsparcie techniczne — art. 6 ust. 1 lit. f lub lit. b RODO. Okres: do zakończenia sprawy + 1 rok.

Dochodzenie lub obrona roszczeń — art. 6 ust. 1 lit. f RODO w zw. z art. 9 ust. 2 lit. f RODO. Okres: do przedawnienia roszczeń (co do zasady 6 lat).

Marketing bezpośredni usług własnych Administratora (newsletter, informacje o szkoleniach) — art. 6 ust. 1 lit. a RODO (zgoda). Okres: do cofnięcia zgody.

Zgodę można cofnąć w dowolnym momencie, co nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

Dane dotyczące zdrowia stanowią szczególną kategorię danych (art. 9 ust. 1 RODO). Ich przetwarzanie jest co do zasady zabronione, chyba że zachodzi przesłanka z art. 9 ust. 2 RODO.

W Aplikacji dane zdrowotne dziecka przetwarzane są na podstawie: (a) wyraźnej zgody rodzica lub opiekuna prawnego, udzielonej elektronicznie przy rejestracji, obejmującej jednoznaczne wskazanie zakresu danych i celu przetwarzania (art. 9 ust. 2 lit. a RODO); (b) niezbędności do celów profilaktyki zdrowotnej, diagnozy lub zapewnienia opieki zdrowotnej (art. 9 ust. 2 lit. h RODO).

Przetwarzanie danych zdrowotnych odbywa się wyłącznie przez osoby podlegające obowiązkowi zachowania tajemnicy zawodowej (terapeuci, psycholodzy, logopedzi) lub pod ich nadzorem (art. 9 ust. 3 RODO).

Dane zdrowotne nie są udostępniane osobom trzecim, z wyjątkiem sytuacji przewidzianych prawem (żądanie sądu, prokuratury lub organu nadzorczego).

Dane dzieci przetwarzamy wyłącznie na podstawie zgody rodzica lub opiekuna prawnego (art. 8 RODO w zw. z art. 4 pkt 11 RODO).

Zgoda wyrażana jest elektronicznie przy rejestracji konta i obejmuje: jednoznaczne wskazanie danych dziecka, cel przetwarzania, zakres danych zdrowotnych oraz informację o prawie do cofnięcia zgody w dowolnym momencie.

Administrator podejmuje rozsądne działania, przy uwzględnieniu dostępnej technologii, aby zweryfikować, że zgodę wyraziła osoba sprawująca władzę rodzicielską lub opiekę nad dzieckiem (art. 8 ust. 2 RODO).

Dane dziecka nie są wykorzystywane do celów marketingowych ani profilowania komercyjnego.

Jeżeli dziecko uzyska pełnoletność w trakcie korzystania z Aplikacji, dalsze przetwarzanie jego danych wymaga odrębnej zgody tej osoby.

Zgoda udzielana jest w Aplikacji elektronicznie, przez zaznaczenie pól wyboru i zatwierdzenie oświadczenia. Musi być dobrowolna, konkretna, świadoma oraz — w odniesieniu do danych zdrowotnych — wyraźna i jednoznaczna (art. 4 pkt 11, art. 7, art. 9 ust. 2 lit. a RODO). Domniemana zgoda lub milcząca akceptacja nie wystarczają.

Odmowa zgody na przetwarzanie danych zdrowotnych uniemożliwia korzystanie z funkcji terapeutycznych Aplikacji, lecz nie wyklucza korzystania z pozostałych funkcjonalności (np. materiałów edukacyjnych).

Zgoda jest rejestrowana w systemie wraz z datą, godziną i treścią oświadczenia — stanowi to dowód jej udzielenia (art. 7 ust. 1 RODO).

Cofnięcie zgody jest możliwe w dowolnym momencie: przez ustawienia konta w Aplikacji, wiadomość e-mail lub pisemne oświadczenie na adres siedziby Administratora. Cofnięcie nie wpływa na zgodność z prawem przetwarzania dokonanego wcześniej (art. 7 ust. 3 RODO).

Dane związane z prowadzeniem terapii (dokumentacja terapeutyczna): 20 lat od ostatniego wpisu — art. 29 ust. 1 ustawy z 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta.

Dane rozliczeniowe i księgowe: 5 lat od końca roku kalendarzowego, w którym nastąpiło zdarzenie podatkowe.

Dane przetwarzane na podstawie zgody: do momentu cofnięcia zgody, chyba że istnieje odrębna podstawa prawna dalszego przetwarzania.

Dane techniczne (logi, cookies): nie dłużej niż 12 miesięcy od zebrania.

Dane przetwarzane w celu dochodzenia roszczeń: do przedawnienia (co do zasady 6 lat; dla roszczeń okresowych 3 lata — art. 118 Kodeksu cywilnego).

Po upływie tych okresów dane są trwale usuwane lub anonimizowane w sposób uniemożliwiający identyfikację.

Dane mogą być udostępniane: terapeutom współpracującym z Administratorem (w zakresie niezbędnym do prowadzenia terapii — art. 28 lub art. 29 RODO), dostawcy hostingu i infrastruktury IT, dostawcy usług e-mail, biuru rachunkowemu (dane rozliczeniowe) oraz organom państwowym uprawnionym na podstawie przepisów prawa (sąd, prokuratura, UODO).

Każdy podmiot przetwarzający dane na zlecenie Administratora jest związany umową powierzenia spełniającą wymogi art. 28 RODO.

Administrator nie sprzedaje danych osobowych użytkowników ani dzieci osobom trzecim.

Co do zasady dane nie są przekazywane poza Europejski Obszar Gospodarczy.

W przypadku korzystania z dostawców spoza EOG Administrator zapewnia odpowiedni poziom ochrony przez standardowe klauzule umowne zatwierdzone przez Komisję Europejską (art. 46 ust. 2 lit. c RODO), decyzje o adekwatności (art. 45 RODO) oraz dodatkowe środki uzupełniające zgodne z zaleceniami EROD.

Podmioty przetwarzające dane na zlecenie Administratora: Vercel Inc. (hosting aplikacji), Neon Inc. (baza danych), dostawca poczty transakcyjnej obsługujący wiadomości systemowe (potwierdzenie adresu, reset hasła), Google Ireland Limited — wyłącznie wobec użytkowników, którzy sami wybiorą logowanie kontem Google. Aplikacja nie korzysta z narzędzi analitycznych, reklamowych ani z mediów społecznościowych.

[DO UZUPEŁNIENIA / WERYFIKACJA PRZED PRODUKCJĄ: (1) region przetwarzania u każdego z powyższych dostawców — do potwierdzenia w ich panelach i wpisania wprost; (2) zawarcie umów powierzenia (art. 28 RODO) z każdym z nich oraz z deweloperem aplikacji; (3) ocena, czy przy dostawcach z USA wystarczą standardowe klauzule umowne, czy potrzebne są środki uzupełniające. Do czasu potwierdzenia Aplikacja nie przetwarza danych innych niż testowe.]

Przysługuje Ci: prawo dostępu do danych (art. 15), sprostowania (art. 16), usunięcia (art. 17 — z zastrzeżeniem obowiązku przechowywania dokumentacji terapeutycznej), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20), sprzeciwu (art. 21) oraz cofnięcia zgody w dowolnym momencie (art. 7 ust. 3).

Przysługuje Ci prawo wniesienia skargi do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (art. 77 RODO).

W przypadku dziecka prawa te realizuje rodzic lub opiekun prawny.

Żądania rozpatrujemy bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania (art. 12 ust. 3 RODO); w wyjątkowych przypadkach termin może zostać przedłużony o kolejne dwa miesiące, o czym poinformujemy.

Administrator nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, wywołujących skutki prawne lub w podobny sposób istotnie wpływających na użytkownika lub dziecko (art. 22 RODO).

Funkcje analityczne wspierające ocenę postępów (statystyki, zestawienia, mapy komunikacji) stanowią wyłącznie narzędzie wspierające — ostateczna ocena i decyzja terapeutyczna zawsze należy do człowieka.

Dane zdrowotne dzieci nie są wykorzystywane do profilowania komercyjnego, targetowania reklam ani tworzenia profili behawioralnych.

Administrator wdraża środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku (art. 32 RODO).

Środki techniczne wdrożone: szyfrowanie transmisji (TLS), szyfrowanie danych szczególnej kategorii na poziomie aplikacji algorytmem AES-256-GCM przed zapisem do bazy (mapa mowy, kwestionariusze, zapisane stany, plan tygodnia, zdjęcie dziecka i nazwa placówki) — bez klucza aplikacji dane te są nieczytelne także dla osoby dysponującej kopią bazy; wygaszanie sesji; kontrola dostępu weryfikowana przy każdym odczycie danych dziecka; dziennik audytu zapisów dokonywanych przez specjalistę.

Środki organizacyjne wdrożone: kontrola dostępu oparta na zasadzie minimalnych uprawnień (rodzic widzi wyłącznie dane własnego dziecka, dostęp specjalisty wymaga odrębnego uprawnienia), rozdzielenie roli administratora technicznego od dostępu do danych terapeutycznych, przeglądy bezpieczeństwa kodu przy zmianach.

Środki bezpieczeństwa są rozwijane; powyższy opis odpowiada stanowi na 22.08.2026. Administrator prowadzi wewnętrzny rejestr środków planowanych i wdrażanych, aktualizowany przy każdej zmianie; rejestr jest dostępny na żądanie organu nadzorczego. Ten paragraf opisuje wyłącznie stan rzeczywisty — nie wymienia środków, których Aplikacja nie posiada.

Dostęp do danych zdrowotnych dziecka jest ograniczony do rodzica lub opiekuna prawnego (wyłącznie własnego dziecka), terapeuty prowadzącego oraz upoważnionych administratorów systemu — wyłącznie w celach technicznych i z rejestrowaniem dostępu.

W przypadku naruszenia ochrony danych Administrator bez zbędnej zwłoki — w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia — zgłasza je Prezesowi UODO, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 RODO).

Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności, Administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą (art. 34 RODO).

Ze względu na przetwarzanie danych zdrowotnych osób małoletnich każde naruszenie dotyczące tych danych jest traktowane jako naruszenie wysokiego ryzyka — Administrator niezwłocznie powiadamia rodziców lub opiekunów prawnych.

Administrator prowadzi rejestr naruszeń zgodnie z art. 33 ust. 5 RODO.

Aplikacja wykorzystuje pliki cookies niezbędne do jej działania (sesja logowania, preferencje) — podstawa: art. 6 ust. 1 lit. f RODO.

Cookies analityczne (jeśli zostaną wdrożone) wymagają zgody — art. 6 ust. 1 lit. a RODO. Aplikacja nie wykorzystuje cookies reklamowych ani śledzących.

Cookies można zarządzać przez ustawienia przeglądarki. Wyłączenie cookies niezbędnych może spowodować nieprawidłowe działanie Aplikacji.

Dane techniczne przechowujemy nie dłużej niż 12 miesięcy i nie łączymy ich z danymi zdrowotnymi.

Ze względu na przetwarzanie na dużą skalę szczególnych kategorii danych (dane zdrowotne osób małoletnich) przetwarzanie wymaga oceny skutków dla ochrony danych zgodnie z art. 35 RODO.

DPIA obejmuje: systematyczny opis operacji i celów przetwarzania, ocenę niezbędności i proporcjonalności, ocenę ryzyka naruszenia praw lub wolności osób oraz środki planowane w celu zaradzenia ryzyku.

Wyniki DPIA są dokumentowane i podlegają przeglądowi nie rzadziej niż raz w roku oraz przy każdej istotnej zmianie zakresu przetwarzania.

[DO UZUPEŁNIENIA: data przeprowadzenia DPIA. Do czasu jej przeprowadzenia Aplikacja nie przetwarza realnych danych dzieci — działa wyłącznie w trybie demonstracyjnym, na danych testowych.]

Administrator może zmieniać Politykę w przypadku zmian przepisów, wytycznych organów nadzorczych lub funkcjonalności Aplikacji.

O każdej istotnej zmianie użytkownicy zostaną powiadomieni w Aplikacji oraz e-mailem, z co najmniej 14-dniowym wyprzedzeniem.

Dalsze korzystanie z Aplikacji po wejściu w życie zmienionej Polityki oznacza jej akceptację. W razie braku akceptacji użytkownik ma prawo usunąć konto.

Poprzednie wersje Polityki są archiwizowane i dostępne na żądanie.

Polityka wchodzi w życie z dniem [DO UZUPEŁNIENIA: data].

W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy o ochronie danych osobowych oraz inne właściwe przepisy prawa polskiego i unijnego.

Kontakt w sprawach ochrony danych: Fundacja „Małe Kroki, Wielkie Sukcesy”, ul. Rumiankowa 15, 62-090 Krzyszkowo, e-mail: kontakt@logopediazpsem.pl, telefon: +48 513 975 314.