Polityka prywatności
Wersja 2, opublikowana 3 listopada 2026
Niniejsza Polityka prywatności wyjaśnia, jak Lessora sp. z o.o., ul. Stanisławowska 47, 54-611 Wrocław, Polska („my”), przetwarza dane osobowe, gdy odwiedzasz https://lessoramed.com, kontaktujesz się z nami albo korzystasz z Lessora Med jako właściciel, menedżer, pracownik rejestracji lub specjalista przychodni.
1. Dwie role: administrator i podmiot przetwarzający
- Jesteśmy administratorem danych osób odwiedzających naszą stronę, osób, które się z nami kontaktują, danych konta Lessora Med każdej osoby (danych logowania i profilu zawodowego, które ta osoba zachowuje we wszystkich przychodniach, dla których pracuje) oraz danych właścicieli i pracowników Przychodni jako naszych klientów (rozliczenia, wsparcie).
- Przychodnie są administratorami danych, które przechowują w Lessora Med o swoich pacjentach (w tym danych dotyczących zdrowia, takich jak informacja, z jakich usług i u jakich specjalistów korzystają), wizytach, liście oczekujących, płatnościach, pakietach, fakturach, zgodach i wiadomościach, o grafikach i rozliczeniach swoich specjalistów oraz o członkostwach swoich pracowników. Dotyczy to także danych wpisanych przez pacjentów na stronach wysyłanych im przez przychodnię, danych, które przychodnia otrzymuje z połączonej platformy rezerwacji online, oraz plików, które Przychodnia przesyła nam do importu swoich danych. Przetwarzamy te dane w ich imieniu na podstawie naszej Umowy powierzenia przetwarzania danych. Jeśli jesteś pacjentem przychodni, na przykład dostałeś od przychodni przypomnienie albo link do płatności, w sprawie swoich danych skontaktuj się z tą przychodnią. Żądania, które otrzymamy, przekażemy Przychodni.
2. Kontakt w sprawie ochrony danych
Napisz na [email protected] albo na adres Lessora sp. z o.o., ul. Stanisławowska 47, 54-611 Wrocław, Polska.
3. Jakie dane zbieramy i dlaczego
| Dane | Cel | Podstawa prawna (RODO) | Jak długo |
|---|---|---|---|
| Logi serwera i bezpieczeństwa: adres IP, przeglądarka, odwiedzane strony, czas | Bezpieczne działanie strony, wykrywanie błędów, zapobieganie nadużyciom | Prawnie uzasadniony interes, art. 6 ust. 1 lit. f | Kilka tygodni, dłużej tylko gdy jest to potrzebne w związku z incydentem bezpieczeństwa |
| Statystyki w Google Analytics, wyłącznie po wyrażeniu zgody w banerze cookies | Zrozumienie, jak korzystasz ze strony i aplikacji | Zgoda, art. 6 ust. 1 lit. a | Zob. Politykę cookies |
| Ochrona przed botami w formularzu rejestracji (Cloudflare Turnstile): dane techniczne o przeglądarce i żądaniu | Blokowanie automatycznych rejestracji i spamu | Prawnie uzasadniony interes, art. 6 ust. 1 lit. f | Nie przechowujemy ich; Cloudflare przetwarza je na potrzeby sprawdzenia |
| Raporty błędów ze strony i aplikacji (Sentry, UE): dane techniczne o błędzie; bez imion, nazwisk, adresów e-mail i danych pacjentów, tylko wewnętrzne identyfikatory użytkownika i Przychodni | Wykrywanie i naprawianie błędów | Prawnie uzasadniony interes, art. 6 ust. 1 lit. f | Usuwane automatycznie po okresie ustawionym w Sentry |
| Formularz kontaktowy: imię i nazwisko, nazwa przychodni, e-mail, telefon (opcjonalnie), wiadomość, język, adres IP | Odpowiedź na wiadomość | Działania przed zawarciem umowy / prawnie uzasadniony interes, art. 6 ust. 1 lit. b i f | 24 miesięcy, potem usuwamy |
| Rejestracja: imię i nazwisko, e-mail, hasło (przechowywane wyłącznie jako skrót), nazwa przychodni, NIP, liczba gabinetów, zaakceptowane dokumenty prawne z czasem i adresem IP | Założenie Przychodni i konta jej właściciela | Umowa, art. 6 ust. 1 lit. b | Dopóki konto istnieje, potem zgodnie z punktem 6 |
| Twoje konto Lessora Med: imię i nazwisko, e-mail, telefon, zdjęcie, język, zawód, numer prawa wykonywania zawodu (PWZ) i informacja, czy sprawdziliśmy go w publicznym rejestrze, specjalizacje, znane języki, przychodnie, do których należysz | Logowanie jednym kontem do każdej przychodni, dla której pracujesz, i prowadzenie Twojego profilu zawodowego | Umowa i prawnie uzasadniony interes, art. 6 ust. 1 lit. b i f | Dopóki konto istnieje; możesz je usunąć, gdy nie masz aktywnych członkostw |
| Bezpieczeństwo konta: ustawienia uwierzytelniania dwuskładnikowego i kluczy dostępu, czasy logowania, jednorazowe linki do przechodzenia między przychodniami | Ochrona konta | Umowa i prawnie uzasadniony interes, art. 6 ust. 1 lit. b i f | Dopóki konto istnieje; linki do przechodzenia wygasają po kilku minutach |
| Twój tydzień we wszystkich przychodniach na Twojej stronie osobistej i w Twoim kalendarzu: godziny, w których jesteś zajęty w każdej przychodni, nazwa przychodni i gabinet, liczba umówionych wizyt, bez danych pacjentów | Pokazanie Ci własnego grafiku i zapobieganie kolizjom między przychodniami | Umowa, art. 6 ust. 1 lit. b | Dopóki dyżury i wizyty istnieją w przychodniach |
| Rozliczenia: nazwa i adres do faktury, numer VAT, plan, wykorzystanie SMS-ów, faktury (przesyłane do KSeF, gdy wymagają tego przepisy); dane karty obsługuje Stripe, nie my | Pobieranie opłat za subskrypcję i prowadzenie księgowości | Umowa i obowiązek prawny, art. 6 ust. 1 lit. b i c | Tak długo, jak wymagają tego przepisy podatkowe i rachunkowe |
| E-maile dotyczące usługi: powitanie i porady, przypomnienia o okresie próbnym i płatnościach, ostrzeżenia o limicie SMS, informacje o zmianach dokumentów prawnych; nowości o produkcie i newsletter tylko wtedy, gdy je włączysz | Prowadzenie usługi i przekazywanie potrzebnych informacji | Umowa i prawnie uzasadniony interes, art. 6 ust. 1 lit. b i f; zgoda na newsletter, art. 6 ust. 1 lit. a | Dopóki konto istnieje albo do wypisania się |
| Zgłoszenia do wsparcia, uwagi wysłane z aplikacji i nasze odpowiedzi | Pomoc i ulepszanie usługi | Umowa i prawnie uzasadniony interes, art. 6 ust. 1 lit. b i f | Dopóki konto istnieje albo tak długo, jak to potrzebne do załatwienia sprawy |
| Dziennik zdarzeń w Przychodni, w tym logowania wsparcia | Bezpieczeństwo i rozliczalność dla Przychodni | Prawnie uzasadniony interes, art. 6 ust. 1 lit. f | 730 dni |
Nie sprzedajemy danych osobowych, nie tworzymy na ich podstawie profili reklamowych i nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu. Nigdy nie wykorzystujemy danych pacjentów do własnych celów.
4. Kto otrzymuje dane
Korzystamy z usługodawców, którzy przetwarzają dane w naszym imieniu na podstawie umów zgodnych z RODO. Obecne dalsze podmioty przetwarzające, ich zadania i miejsce przetwarzania:
| Firma | W jakim celu | Gdzie |
|---|---|---|
| Webdock | Serwery, baza danych i kopie zapasowe | Unia Europejska |
| Hetzner Online GmbH | Zaszyfrowana kopia zapasowa poza serwerem | Unia Europejska |
| Cloudflare | DNS, szyfrowanie transmisji i ochrona przed atakami | Sieć światowa |
| Stripe | Subskrypcje i płatności online | Unia Europejska i Stany Zjednoczone |
| ImprovMX | Wysyłanie e-maili | Unia Europejska i Stany Zjednoczone |
| LINK Mobility Poland (SMSAPI) | Wysyłanie SMS-ów do pacjentów przychodni | Unia Europejska |
| Sentry | Raporty błędów z aplikacji webowej | Unia Europejska |
Google otrzymuje dane statystyczne o stronie i aplikacji wyłącznie za Twoją zgodą; z aplikacji dostaje tylko rodzaj otwartej strony, nigdy imion i nazwisk, adresów przychodni, numerów dokumentów ani danych pacjentów. Stripe przetwarza dane płatnicze zgodnie z własną polityką prywatności w zakresie płatności, które obsługuje jako administrator. Przychodnia, dla której pracujesz, widzi Twoje imię i nazwisko, dane kontaktowe i profil zawodowy, dopóki jesteś jej członkiem. Dane ujawniamy organom tylko wtedy, gdy wymaga tego prawo. Nasze faktury dla Przychodni oraz faktury, które Przychodnia wysyła do KSeF, trafiają do polskiej administracji skarbowej.
5. Przekazywanie danych poza UE
Lessora Med działa w Unii Europejskiej. Niektórzy usługodawcy (na przykład Stripe, Google i Cloudflare) mogą przetwarzać dane poza EOG. W takim przypadku przekazanie jest objęte decyzją stwierdzającą odpowiedni stopień ochrony (taką jak EU-US Data Privacy Framework) albo standardowymi klauzulami umownymi Komisji Europejskiej.
6. Jak długo przechowujemy dane
Oprócz okresów z punktu 3: po usunięciu Przychodni można ją przywrócić przez 30 dni, a potem jest trwale usuwana. Twoje konto Lessora Med pozostaje do czasu, gdy je usuniesz, bo możesz pracować także dla innych przychodni. Kopie mogą pozostać w zaszyfrowanych kopiach zapasowych do 30 dni. Dokumenty rozliczeniowe przechowujemy tak długo, jak wymagają tego przepisy podatkowe.
7. Twoje prawa
Masz prawo dostępu do swoich danych, ich sprostowania lub usunięcia, ograniczenia przetwarzania lub sprzeciwu wobec niego oraz przenoszenia danych. Jeśli przetwarzanie opiera się na zgodzie, możesz ją w każdej chwili wycofać (dla statystyk: „Ustawienia cookie” na dole każdej strony naszej witryny albo w menu użytkownika w aplikacji; dla e-maili: link w każdej wiadomości albo ustawienia powiadomień). Swój profil możesz poprawić, a swoje dane pobrać, samodzielnie w aplikacji.
Aby skorzystać ze swoich praw, napisz na [email protected]. Odpowiadamy w ciągu miesiąca.
Masz też prawo wnieść skargę do organu ochrony danych, w szczególności w państwie UE, w którym mieszkasz lub pracujesz. Naszym wiodącym organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych (UODO) (https://uodo.gov.pl).
8. Bezpieczeństwo
Chronimy dane szyfrowaniem transmisji (HTTPS z HSTS), szyfrowanymi kopiami zapasowymi, dodatkowym szyfrowaniem najbardziej wrażliwych danych pacjentów, ścisłym oddzieleniem Przychodni, uwierzytelnianiem dwuskładnikowym (obowiązkowym dla właściciela i menedżerów każdej Przychodni, dostępnym dla pozostałych), automatycznym wylogowaniem po okresie bezczynności, dostępem tylko dla tych naszych pracowników, którzy go potrzebują (każde logowanie wsparcia jest zapisywane), oraz regularnymi aktualizacjami. Więcej w dokumencie RODO i ochrona danych.
9. Zmiany
Aktualizujemy tę politykę, gdy zmienia się sposób przetwarzania danych. Data i wersja są podane na górze. O istotnych zmianach informujemy właścicieli e-mailem lub w aplikacji.