Polityka prywatności CPAPAnalyzer

1. Polityka prywatności CPAPAnalyzer – administrator danych osobowych

Administratorem danych osobowych przetwarzanych w ramach CPAPAnalyzer.pl jest:

W dalszej części Polityki podmiot ten jest określany jako „Administrator” lub „CPAPAnalyzer”.

W określonych relacjach z placówkami medycznymi CPAPAnalyzer może występować nie jako administrator, lecz jako podmiot przetwarzający dane w imieniu danej placówki. Zasady takiego przetwarzania opisuje również punkt dotyczący lekarzy i placówek.

2. Polityka prywatności CPAPAnalyzer – zakres dokumentu

Polityka dotyczy przetwarzania danych osobowych w związku z korzystaniem z:

• publicznych stron CPAPAnalyzer.pl,
• rejestracji i logowania,
• Panelu Użytkownika,
• importu danych terapii PAP,
• analizy terapii i trendów,
• Testu masek,
• analizy przecieków,
• raportów i plików PDF,
• automatycznej Interpretacji danych,
• funkcji wykorzystujących modele sztucznej inteligencji,
• Panelu Profesjonalnego,
• Kont lekarzy,
• Kont Placówek i przychodni,
• płatności,
• kontaktu z Administratorem,
• obsługi technicznej,
• współpracy z partnerami.

3. Jakie dane mogą być przetwarzane

Zakres danych zależy od sposobu korzystania z Serwisu. CPAPAnalyzer może przetwarzać w szczególności:

Dane identyfikacyjne i kontaktowe

• imię,
• nazwisko,
• adres e-mail,
• numer telefonu,
• data urodzenia, jeżeli jest podawana w ramach Konta,
• inne dane dobrowolnie przekazane w profilu.

Dane dotyczące Konta

• identyfikator Konta,
• status Konta,
• data rejestracji,
• informacja o potwierdzeniu adresu e-mail,
• wybrany Plan,
• okres dostępu,
• historia istotnych operacji na Koncie.

Dane dotyczące terapii PAP

• czas terapii,
• sesje terapii,
• AHI,
• zdarzenia oddechowe,
• przecieki,
• ciśnienie,
• ustawienia terapii dostępne w danych źródłowych,
• informacje dotyczące maski,
• trendy,
• porównania okresów,
• dane tworzone w module Test masek,
• inne parametry odczytywane z obsługiwanego urządzenia.

Dane techniczne

• adres IP,
• data i godzina połączenia,
• informacje techniczne przeglądarki i urządzenia,
• logi serwera,
• informacje związane z błędami oraz bezpieczeństwem.

Dane Użytkowników Profesjonalnych

• dane lekarza lub innej osoby uprawnionej,
• dane Placówki,
• rola i zakres uprawnień,
• informacje potrzebne do weryfikacji Konta Profesjonalnego,
• powiązania z przypisanymi Pacjentami.

4. Dane dotyczące zdrowia

Dane te podlegają podwyższonej ochronie wynikającej z RODO.

W przypadku osoby korzystającej z własnego Konta Użytkownika dane terapii są przetwarzane wyłącznie wtedy, gdy istnieje właściwa podstawa wynikająca z RODO, w tym – w zakresie wymaganym prawem – wyraźna zgoda osoby, której dane dotyczą.

Jeżeli dane Pacjenta są przetwarzane przez CPAPAnalyzer na zlecenie Placówki, podstawę przetwarzania danych Pacjenta ustala właściwy administrator danych – np. Placówka – a CPAPAnalyzer może działać jako podmiot przetwarzający na podstawie odpowiedniej umowy powierzenia.

Akceptacja Regulaminu sama w sobie nie zastępuje wyraźnej zgody wymaganej dla przetwarzania danych dotyczących zdrowia, jeżeli przetwarzanie jest oparte właśnie na tej podstawie.

5. Cele i podstawy prawne przetwarzania

6. Rejestracja i Konto Użytkownika

Dane podane podczas rejestracji są wykorzystywane w celu utworzenia i obsługi Konta oraz zapewnienia dostępu do funkcji Serwisu.

CPAPAnalyzer może wymagać potwierdzenia adresu e-mail przed umożliwieniem logowania.

W ramach zabezpieczenia formularzy i procesu rejestracji mogą być stosowane własne mechanizmy techniczne Serwisu, takie jak tokeny bezpieczeństwa, nonce, mechanizmy ograniczające liczbę prób, honeypot lub inne mechanizmy przeciwdziałające automatycznym nadużyciom.

Dane Konta nie są publicznie dostępne.

7. Dane terapii i Import

Użytkownik może przekazywać do CPAPAnalyzer dane pochodzące z kompatybilnego urządzenia PAP, w szczególności z karty SD lub innego obsługiwanego źródła.

Dane są przetwarzane przez mechanizmy Serwisu w celu utworzenia m.in.:

• wyników terapii,
• historii terapii,
• trendów,
• analizy przecieków,
• analizy ciśnienia,
• Testu masek,
• porównań okresów,
• Raportów.

CPAPAnalyzer powinien przetwarzać wyłącznie dane potrzebne do wykonania funkcji wybranych przez Użytkownika.

Oryginalne dane urządzenia powinny być zachowane przez Użytkownika niezależnie od danych zapisanych w CPAPAnalyzer.

8. Sztuczna inteligencja i OpenAI API

CPAPAnalyzer może korzystać z modeli udostępnianych za pośrednictwem OpenAI API w celu tworzenia opisowej Interpretacji wcześniej obliczonych wyników terapii.

Najpierw dane są przetwarzane przez mechanizmy analityczne CPAPAnalyzer, a następnie do modelu może zostać przekazany ograniczony zakres gotowych wyników potrzebnych do przygotowania opisowej Interpretacji.

W szczególności CPAPAnalyzer projektuje ten proces tak, aby do modelu AI nie przekazywać danych takich jak:

• imię i nazwisko Pacjenta,
• adres zamieszkania,
• numer telefonu,
• adres e-mail,

jeżeli informacje te nie są potrzebne do wykonania konkretnej operacji.

Do OpenAI API mogą natomiast zostać przekazane informacje związane z terapią, np. wartości AHI, zdarzenia, przecieki, ciśnienie, czas terapii, trendy lub inne wyniki wymagane do przygotowania Interpretacji.

Pomimo ograniczenia danych identyfikacyjnych, informacje te nadal mogą stanowić dane dotyczące zdrowia.

Dostawcą usługi dla podmiotów korzystających z API w Europejskim Obszarze Gospodarczym jest odpowiedni podmiot grupy OpenAI, w szczególności OpenAI Ireland Ltd., zgodnie z aktualnymi warunkami świadczenia usług OpenAI.

Zgodnie z zasadami OpenAI dotyczącymi usług biznesowych i API, dane przesyłane przez API nie są domyślnie wykorzystywane do trenowania modeli OpenAI.

W standardowej konfiguracji niektóre dane wejściowe, wyjściowe lub logi związane z korzystaniem z API mogą być przechowywane przez OpenAI przez okres do 30 dni w celach związanych m.in. z bezpieczeństwem i wykrywaniem nadużyć, chyba że dla wykorzystywanego rozwiązania obowiązuje inny mechanizm retencji.

CPAPAnalyzer nie wykorzystuje Interpretacji AI do automatycznego dokonywania zmian w urządzeniu PAP.

Interpretacja AI może zawierać błędy lub uproszczenia i nie zastępuje indywidualnej oceny lekarza.

9. Lekarze, przychodnie i Placówki

CPAPAnalyzer udostępnia funkcje przeznaczone dla lekarzy i Placówek umożliwiające dostęp do danych prawidłowo przypisanych Pacjentów.

Konto Pacjenta

Jeżeli Pacjent korzysta z własnego Konta i udostępnia dostęp lekarzowi albo Placówce, CPAPAnalyzer umożliwia techniczne zarządzanie takim dostępem zgodnie z nadanymi uprawnieniami.

Dane przetwarzane w imieniu Placówki

Jeżeli Placówka przekazuje CPAPAnalyzer dane Pacjentów i zleca ich przetwarzanie w ramach usługi, Placówka może pełnić rolę administratora danych, natomiast CPAPAnalyzer może działać jako podmiot przetwarzający w rozumieniu art. 28 RODO.

W takim przypadku zakres, cel, czas i zasady przetwarzania danych powinny zostać określone również w umowie powierzenia przetwarzania danych lub innym wymaganym instrumencie prawnym.

Niniejsza Polityka nie zastępuje obowiązku informacyjnego Placówki wobec jej Pacjentów.

Dane lekarza i personelu

CPAPAnalyzer pozostaje administratorem danych potrzebnych do prowadzenia Konta Profesjonalnego, w szczególności danych kontaktowych, identyfikacyjnych, informacji o roli i uprawnieniach.

10. Hosting, infrastruktura i kopie zapasowe

Infrastruktura serwerowa CPAPAnalyzer.pl jest utrzymywana z wykorzystaniem usług LH.pl.

Zgodnie z informacjami publikowanymi przez LH.pl infrastruktura hostingowa wykorzystywana dla usług hostingowych jest zlokalizowana w Polsce.

Na infrastrukturze hostingowej mogą być przechowywane m.in.:

• pliki Serwisu,
• baza danych,
• Dane Terapii,
• informacje o Kontach,
• logi techniczne,
• kopie zapasowe.

Kopie zapasowe są przechowywane w ramach infrastruktury hostingowej zgodnie z konfiguracją i cyklem backupu wykorzystywanej usługi.

Po usunięciu danych z aktywnej bazy ich kopie mogą przez ograniczony czas pozostawać w backupach, aż do ich zastąpienia w ramach normalnego cyklu wykonywania kopii zapasowych.

Skrzynki pocztowe w domenie @cpapanalyzer.pl są obsługiwane przez Administratora.

11. Płatności

Płatności za usługi CPAPAnalyzer są realizowane bezpośrednio na rachunek bankowy Administratora.

CPAPAnalyzer nie korzysta w tym modelu z zewnętrznej bramki płatniczej wymagającej przekazywania danych terapii operatorowi płatności.

Banki uczestniczące w realizacji przelewu przetwarzają dane związane z płatnością zgodnie z przepisami prawa bankowego i własnymi obowiązkami prawnymi.

Dane dotyczące płatności mogą być przechowywane przez okres wymagany przez obowiązujące przepisy podatkowe, rachunkowe albo w celu ustalenia, dochodzenia lub obrony roszczeń.

12. Reklamy i partnerzy

Reklama może być dobierana kontekstowo względem miejsca, w którym jest prezentowana.

Przykładowo reklama dotycząca masek może być prezentowana w części Serwisu dotyczącej masek, ale jej wyświetlenie nie powinno zależeć od:

• AHI konkretnego Użytkownika,
• rodzaju zdarzeń oddechowych,
• poziomu przecieków,
• ciśnienia terapii,
• diagnozy,
• wyniku Testu masek,
• innych indywidualnych danych zdrowotnych.

Partner reklamowy nie otrzymuje indywidualnych Danych Terapii Użytkownika z tytułu prowadzenia kampanii reklamowej.

Raportowanie kampanii może obejmować dane zbiorcze, takie jak:

• liczba wyświetleń,
• liczba kliknięć,
• CTR,
• oznaczenia kampanii UTM.

Po kliknięciu reklamy i przejściu na stronę zewnętrznego partnera dalsze przetwarzanie danych odbywa się zgodnie z zasadami tego partnera.

13. Cookies i technologie podobne

Serwis może wykorzystywać pliki cookies i podobne mechanizmy techniczne.

Cookies niezbędne mogą być stosowane bez zgody, jeżeli są konieczne do:

• utrzymania sesji,
• logowania,
• bezpieczeństwa,
• zapamiętania niezbędnych ustawień,
• prawidłowego działania Serwisu.

Jeżeli CPAPAnalyzer będzie korzystać z cookies analitycznych, reklamowych lub innych technologii, których użycie wymaga zgody, zostaną one uruchomione zgodnie z obowiązującymi wymaganiami dotyczącymi zgody.

Szczegółowe zasady dotyczące cookies opisuje odrębna Polityka cookies.

14. Odbiorcy i podmioty przetwarzające

Dostęp do danych może być powierzany wyłącznie podmiotom, gdy jest to konieczne do świadczenia usługi albo wynika z prawa.

Odbiorcami lub podmiotami przetwarzającymi mogą być w szczególności:

• LH.pl – infrastruktura hostingowa i techniczna,
• OpenAI – w zakresie korzystania z funkcji AI,
• banki uczestniczące w realizacji płatności,
• lekarze i Placówki posiadające prawidłowe uprawnienie do danych danego Pacjenta,
• podmioty świadczące usługi prawne, księgowe lub techniczne, jeżeli dostęp do danych jest rzeczywiście konieczny,
• organy publiczne, jeżeli obowiązek przekazania danych wynika z prawa.

Partnerzy reklamowi nie otrzymują indywidualnych Danych Terapii wyłącznie z powodu prowadzenia reklamy w CPAPAnalyzer.

15. Przekazywanie danych poza EOG

Podstawowa infrastruktura hostingowa CPAPAnalyzer jest utrzymywana przez LH.pl w Polsce.

Korzystanie z OpenAI API może jednak wiązać się z przetwarzaniem danych przez podmioty lub podprocesorów znajdujących się również poza Europejskim Obszarem Gospodarczym.

W takim przypadku przekazywanie danych powinno odbywać się zgodnie z mechanizmami dopuszczonymi przez RODO, w szczególności na podstawie decyzji stwierdzającej odpowiedni poziom ochrony albo Standardowych Klauzul Umownych zatwierdzonych przez Komisję Europejską.

OpenAI publikuje aktualną listę swoich podprocesorów oraz stosowane mechanizmy transferu danych.

16. Jak długo przechowujemy dane

Dane nie są przechowywane dłużej, niż jest to potrzebne do celu, dla którego zostały zebrane.

Konto

Dane związane z Kontem są co do zasady przechowywane przez okres korzystania z Konta, a po jego usunięciu – tylko w zakresie, w którym dalsze przechowywanie jest uzasadnione obowiązkiem prawnym albo koniecznością ustalenia, dochodzenia lub obrony roszczeń.

Dane terapii

Dane Terapii są przechowywane do czasu ich usunięcia przez Użytkownika, usunięcia Konta, cofnięcia właściwej podstawy przetwarzania lub wystąpienia innej podstawy zakończenia przetwarzania – z zastrzeżeniem obowiązków prawnych i roszczeń.

Dane płatnicze

Dane związane z płatnościami są przechowywane przez okres wymagany przez przepisy podatkowe, rachunkowe oraz regulacje dotyczące roszczeń.

Korespondencja

Korespondencja jest przechowywana przez okres potrzebny do obsługi sprawy, a następnie – jeżeli jest to potrzebne – przez okres związany z możliwymi roszczeniami.

Logi techniczne

Logi techniczne są przechowywane przez okres uzasadniony potrzebą zapewnienia bezpieczeństwa, diagnostyki błędów oraz ochrony Serwisu.

Backup

Usunięte dane mogą pozostawać przez ograniczony czas w kopiach zapasowych do momentu ich nadpisania zgodnie z cyklem backupu.

OpenAI API

W standardowej konfiguracji OpenAI API określone dane związane z zapytaniem lub odpowiedzią mogą być przechowywane przez OpenAI przez okres do 30 dni, chyba że dla konkretnego punktu końcowego lub konfiguracji obowiązuje inny sposób retencji.

17. Polityka prywatności CPAPAnalyzer – prawa osoby, której dane dotyczą

W zakresie przewidzianym przez RODO osoba, której dane dotyczą, może posiadać prawo do:

• dostępu do swoich danych,
• otrzymania kopii danych,
• sprostowania danych,
• usunięcia danych,
• ograniczenia przetwarzania,
• przenoszenia danych,
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• cofnięcia zgody, jeżeli przetwarzanie odbywa się na podstawie zgody.

Zakres konkretnego prawa zależy od podstawy prawnej oraz charakteru danego przetwarzania.

Wnioski dotyczące danych można kierować na:

kontakt@cpapanalyzer.pl

Osobie, której dane dotyczą, przysługuje również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, jeżeli uważa, że jej dane są przetwarzane niezgodnie z RODO.

18. Cofnięcie zgody

Jeżeli określone przetwarzanie odbywa się na podstawie zgody, zgoda może zostać cofnięta w dowolnym momencie.

Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

Jeżeli wyraźna zgoda stanowi podstawę przetwarzania danych dotyczących zdrowia, jej cofnięcie może spowodować brak możliwości dalszego świadczenia funkcji wymagających przetwarzania tych danych.

Cofnięcie zgody można zgłosić za pomocą odpowiedniej funkcji Konta, jeżeli jest dostępna, albo poprzez:

kontakt@cpapanalyzer.pl

19. Profilowanie i zautomatyzowane decyzje

CPAPAnalyzer automatycznie przetwarza Dane Terapii w celu tworzenia analiz, wykresów, trendów, porównań i Interpretacji.

Tego rodzaju automatyczne przetwarzanie nie oznacza jednak, że CPAPAnalyzer podejmuje za Pacjenta decyzję medyczną.

Serwis nie jest przeznaczony do podejmowania wyłącznie w sposób zautomatyzowany decyzji wywołujących wobec Użytkownika skutki prawne lub w podobny sposób istotnie na niego wpływających.

Dane zdrowotne nie są wykorzystywane do profilowania reklamowego.

20. Bezpieczeństwo danych

Administrator stosuje środki techniczne i organizacyjne dostosowane do charakteru Serwisu oraz przetwarzanych danych.

Środki mogą obejmować w szczególności:

• kontrolę dostępu do Kont,
• mechanizmy uwierzytelniania,
• ograniczenie dostępu do paneli prywatnych,
• mechanizmy ochrony formularzy,
• ochronę przed wielokrotnymi próbami logowania,
• mechanizmy sesji i tokenów bezpieczeństwa,
• kopie zapasowe,
• aktualizacje systemu i kodu,
• korzystanie z infrastruktury hostingowej przeznaczonej do świadczenia usług internetowych.

Szczegółowe i potwierdzone informacje dotyczące stosowanych zabezpieczeń mogą być publikowane na stronie „Bezpieczeństwo i ochrona danych”.

Incydenty lub podejrzenia nieuprawnionego dostępu można zgłaszać pod adresem:

pomoc@cpapanalyzer.pl

21. Dane innych osób

Użytkownik nie powinien przekazywać do Serwisu danych dotyczących innej osoby, jeżeli nie posiada odpowiedniej podstawy prawnej lub uprawnienia.

Lekarz, Placówka lub inna osoba korzystająca z danych Pacjenta jest zobowiązana zapewnić odpowiednią podstawę dostępu do takich danych.

W przypadku korzystania z Serwisu w imieniu osoby małoletniej lub osoby reprezentowanej przez przedstawiciela ustawowego należy posiadać uprawnienie wymagane przez obowiązujące przepisy.

22. Logi techniczne i bezpieczeństwo

Podczas korzystania z CPAPAnalyzer serwer może automatycznie zapisywać informacje techniczne, takie jak:

• adres IP,
• data i godzina żądania,
• adres wywoływanego zasobu,
• informacje o przeglądarce,
• kod odpowiedzi serwera,
• informacje związane z błędami lub bezpieczeństwem.

Dane te mogą być wykorzystywane do diagnostyki, zapewnienia bezpieczeństwa, przeciwdziałania nadużyciom oraz utrzymania Serwisu.

23. Linki i serwisy zewnętrzne

CPAPAnalyzer może zawierać linki prowadzące do zewnętrznych serwisów, w tym stron partnerów, producentów, mediów społecznościowych i innych usług.

Po przejściu na zewnętrzną stronę przetwarzanie danych odbywa się zgodnie z zasadami operatora tej strony.

CPAPAnalyzer nie odpowiada za polityki prywatności niezależnych podmiotów zewnętrznych.

24. Polityka prywatności CPAPAnalyzer – zmiany dokumentu

Polityka może być aktualizowana, w szczególności w przypadku:

• zmiany przepisów,
• zmiany sposobu przetwarzania danych,
• dodania nowych funkcji,
• zmiany dostawców usług technicznych,
• zmiany infrastruktury,
• zmiany sposobu działania AI,
• uruchomienia nowych funkcji profesjonalnych.

Aktualna wersja Polityki jest publikowana na stronie CPAPAnalyzer.pl wraz z datą jej obowiązywania.

25. Kontakt w sprawach prywatności

W sprawach związanych z prywatnością, dostępem do danych, usunięciem danych lub wykonywaniem innych praw należy kontaktować się z Administratorem: