Administrator danych i kontakt

1. Administratorem danych osobowych w rozumieniu RODO jest Pulse Global Sp. z o.o. z siedzibą w Warszawie, ul. Hoża 86/410, 00-682 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, pod nr KRS: 0001183796, NIP: 9462755849, REGON: 542229912, podmiot leczniczy wpisany do Rejestru Podmiotów Wykonujących Działalność Leczniczą pod numerem 000000296806 (dalej „Administrator”).
2. Administrator prowadzi serwis internetowy dostępny pod adresem ekspresrecepta.pl oraz aplikację mobilną Vitaflow (dalej łącznie „Serwis)
3. W sprawach związanych z przetwarzaniem danych osobowych można kontaktować się z Administratorem pod adresem e-mail biuro@vitaflow.com.pl lub pisemnie na adres siedziby.

Pliki cookies

Czym są pliki cookies

Pliki cookies to niewielkie pliki tekstowe zapisywane na urządzeniu użytkownika podczas korzystania z Serwisu. Zawierają zazwyczaj nazwę domeny, z której pochodzą, czas przechowywania oraz unikalny identyfikator. Pozwalają rozpoznać urządzenie i przeglądarkę, ale same w sobie nie służą do ustalania tożsamości użytkownika. Administrator traktuje je jednak z taką samą starannością jak dane osobowe. Zapis cookies nie wpływa na działanie urządzenia ani zainstalowanego oprogramowania.

Do czego służą

• zapewnienie prawidłowego działania Serwisu, w tym procesu zamawiania konsultacji i płatności (cookies niezbędne),
• zapamiętanie ustawień i preferencji użytkownika (cookies funkcjonalne),
• tworzenie zagregowanych statystyk odwiedzin, które pomagają ulepszać Serwis (cookies analityczne),
• dopasowanie i pomiar skuteczności reklam Administratora w sieciach reklamowych (cookies marketingowe).

Rodzaje cookies i okres przechowywania

Rodzaj	Opis	Okres
Sesyjne	Przechowywane w pamięci przeglądarki do zamknięcia sesji; niezbędne do działania formularzy i koszyka	Do zamknięcia przeglądarki
Trwałe	Pozostają na urządzeniu po zakończeniu sesji i przywracają ustawienia przy kolejnej wizycie	Od kilku dni do 24 miesięcy, zależnie od narzędzia
Własne	Ustawiane przez Serwis	Jak wyżej
Podmiotów trzecich	Ustawiane przez dostawców narzędzi analitycznych i reklamowych wymienionych w sekcji 7	Zgodnie z polityką danego dostawcy

Zgoda i zarządzanie cookies

1. Przy pierwszej wizycie w Serwisie wyświetlany jest baner, w którym użytkownik może zaakceptować wszystkie cookies, odrzucić cookies inne niż niezbędne lub dostosować wybór. Cookies analityczne i marketingowe są uruchamiane wyłącznie po wyrażeniu zgody.
2. Zgodę można w każdej chwili zmienić lub wycofać w ustawieniach cookies dostępnych w stopce Serwisu.
3. Cookies można również blokować lub usuwać w ustawieniach przeglądarki. Ograniczenie cookies może utrudnić korzystanie z niektórych funkcji Serwisu, w tym złożenie zamówienia.
4. Instrukcje dla najpopularniejszych przeglądarek: Chrome, Firefox, Safari, Edge.

Najważniejsze zasady i pojęcia

1. Administrator przetwarza dane osobowe zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), ustawą o ochronie danych osobowych, ustawą o prawach pacjenta i Rzeczniku Praw Pacjenta, ustawą o działalności leczniczej oraz innymi właściwymi przepisami.
2. Dane są przetwarzane wyłącznie w zakresie niezbędnym do działania Serwisu, świadczenia usług drogą elektroniczną, udzielania świadczeń zdrowotnych oraz w innych celach opisanych w tej polityce.
3. Administrator stosuje środki techniczne i organizacyjne chroniące dane przed dostępem osób nieuprawnionych, utratą lub zniszczeniem, w tym szyfrowane połączenie (SSL/TLS), kontrolę dostępu i rejestrowanie operacji na dokumentacji medycznej.
4. Podanie danych jest dobrowolne, ale niezbędne do skorzystania z konsultacji – bez danych identyfikacyjnych i informacji o stanie zdrowia lekarz nie może udzielić świadczenia ani wystawić e-recepty, e-zwolnienia czy e-skierowania.
5. Dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Przetwarzanie to każda operacja na danych: zbieranie, przechowywanie, przeglądanie, udostępnianie, usuwanie.
6. Wśród danych przetwarzanych przez Administratora są dane dotyczące zdrowia, należące do szczególnych kategorii danych w rozumieniu art. 9 RODO. Administrator przetwarza je jako podmiot leczniczy na podstawie art. 9 ust. 2 lit. h RODO, a osoby mające do nich dostęp są zobowiązane do zachowania tajemnicy zawodowej.

Cele, podstawy prawne i okresy przetwarzania

Administrator przetwarza dane w celach wskazanych poniżej. Dokumentacja medyczna jest przechowywana przez okres wynikający z art. 29 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta – co do zasady 20 lat od końca roku kalendarzowego, w którym dokonano ostatniego wpisu. Roszczenia cywilne przedawniają się zgodnie z Kodeksem cywilnym (ogólnie 6 lat, dla roszczeń o naprawienie szkody na osobie – dłużej), a dokumentacja podatkowa i rachunkowa jest przechowywana 5 lat od końca roku, w którym powstał obowiązek podatkowy.

Usługi świadczone drogą elektroniczną

Lp.	Cel	Podstawa prawna	Okres
1	Umożliwienie złożenia zamówienia na konsultację online przez formularz w Serwisie lub w aplikacji	art. 6 ust. 1 lit. b RODO; art. 9 ust. 2 lit. h RODO w zw. z art. 3 ust. 1 ustawy o działalności leczniczej i art. 24 ustawy o prawach pacjenta	Okres przechowywania dokumentacji medycznej
2	Kontakt z pacjentem w celu odbycia konsultacji (telefon, SMS, e-mail, wideorozmowa), potwierdzenia lub odwołania terminu	art. 6 ust. 1 lit. b i f RODO; art. 9 ust. 2 lit. h RODO	Okres przechowywania dokumentacji medycznej
3	Prowadzenie konta użytkownika w aplikacji Vitaflow, w tym historia konsultacji i ponawianie zamówień	art. 6 ust. 1 lit. b RODO; art. 9 ust. 2 lit. h RODO	Do usunięcia konta, a w zakresie dokumentacji medycznej – okres jej przechowywania
4	Obsługa zapytań przesłanych przez formularz kontaktowy, e-mail lub telefon	art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: obsługa interesantów)	Przez czas korespondencji, nie dłużej niż do przedawnienia roszczeń
5	Zapewnienie bezpieczeństwa Serwisu, wykrywanie nadużyć, logi serwera	art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: bezpieczeństwo)	Do 12 miesięcy

Udzielanie świadczeń zdrowotnych

Lp.	Cel	Podstawa prawna	Okres
1	Udzielanie świadczeń zdrowotnych, w tym analiza wywiadu, postawienie diagnozy i prowadzenie dokumentacji medycznej	art. 6 ust. 1 lit. b i c RODO; art. 9 ust. 2 lit. h RODO w zw. z art. 3 ust. 1 ustawy o działalności leczniczej, art. 24 ustawy o prawach pacjenta i rozporządzeniem MZ w sprawie dokumentacji medycznej	Okres przechowywania dokumentacji medycznej
2	Weryfikacja tożsamości pacjenta przed udzieleniem świadczenia (PESEL lub dane z paszportu)	art. 6 ust. 1 lit. c RODO; art. 9 ust. 2 lit. h RODO	Okres przechowywania dokumentacji medycznej
3	Wystawianie e-recept, e-skierowań i zaświadczeń lekarskich w systemie P1 (gabinet.gov.pl)	art. 6 ust. 1 lit. c RODO; art. 9 ust. 2 lit. h RODO; ustawa o zawodach lekarza i lekarza dentysty; ustawa o systemie informacji w ochronie zdrowia	Okres przechowywania dokumentacji medycznej
4	Wystawianie e-zwolnień (ZUS e-ZLA)	art. 6 ust. 1 lit. c RODO; art. 9 ust. 2 lit. h RODO; art. 54 ustawy o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa	Okres przechowywania dokumentacji medycznej
5	Kwalifikacja do wlewu żelaza i organizacja jego podania w placówce partnerskiej	art. 6 ust. 1 lit. b RODO; art. 9 ust. 2 lit. h RODO	Okres przechowywania dokumentacji medycznej
6	Realizacja praw pacjenta, w tym dostęp do dokumentacji i upoważnienia osób bliskich	art. 6 ust. 1 lit. c RODO; art. 9 ust. 2 lit. h RODO; art. 26 ustawy o prawach pacjenta	Okres przechowywania dokumentacji medycznej
7	Rozpatrywanie reklamacji dotyczących świadczeń i usług	art. 6 ust. 1 lit. b i f RODO; art. 9 ust. 2 lit. h RODO	Do przedawnienia roszczeń

Rozliczenia i obowiązki prawne

Lp.	Cel	Podstawa prawna	Okres
1	Obsługa płatności (BLIK, karta, przelew, Google Pay, Apple Pay) za pośrednictwem operatora płatności PayU S.A.	art. 6 ust. 1 lit. b RODO	Do rozliczenia transakcji, następnie zgodnie z pkt 2
2	Wystawianie faktur i rachunków, prowadzenie ksiąg rachunkowych i dokumentacji podatkowej	art. 6 ust. 1 lit. c RODO w zw. z ustawą o rachunkowości i przepisami podatkowymi	5 lat od końca roku, w którym powstał obowiązek podatkowy
3	Ustalenie, dochodzenie lub obrona przed roszczeniami	art. 6 ust. 1 lit. f RODO; art. 9 ust. 2 lit. f RODO	Do przedawnienia roszczeń
4	Prowadzenie rejestrów i ewidencji wymaganych przez RODO	art. 6 ust. 1 lit. c RODO w zw. z art. 30 RODO	Przez czas działalności Administratora

Marketing i komunikacja

Lp.	Cel	Podstawa prawna	Okres
1	Marketing własnych usług Administratora, w tym remarketing w sieciach reklamowych	art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes); cookies marketingowe – zgoda (art. 6 ust. 1 lit. a RODO, art. 173 Prawa telekomunikacyjnego)	Do wniesienia sprzeciwu lub cofnięcia zgody
2	Wysyłka informacji handlowych e-mailem lub SMS-em (newsletter, przypomnienia o kontroli)	zgoda (art. 6 ust. 1 lit. a RODO, art. 10 ustawy o świadczeniu usług drogą elektroniczną)	Do cofnięcia zgody
3	Analityka ruchu w Serwisie i tworzenie zagregowanych statystyk	zgoda na cookies analityczne; art. 6 ust. 1 lit. f RODO	Do cofnięcia zgody, maksymalnie 26 miesięcy
4	Ankiety satysfakcji po konsultacji	art. 6 ust. 1 lit. f RODO	Do wniesienia sprzeciwu
5	Prowadzenie profili Administratora w serwisach Facebook i Instagram oraz interakcje z użytkownikami tych profili	art. 6 ust. 1 lit. f RODO	Do usunięcia aktywności przez użytkownika lub profilu przez Administratora

Dane dotyczące zdrowia nie są wykorzystywane do profilowania ani do kierowania reklam. Profilowanie na potrzeby marketingu dotyczy wyłącznie danych o aktywności w Serwisie i nie wywołuje skutków prawnych wobec użytkownika.

Kontrahenci i współpracownicy

Lp.	Cel	Podstawa prawna	Okres
1	Zawarcie i wykonanie umów z lekarzami, pielęgniarkami, placówkami partnerskimi i dostawcami	art. 6 ust. 1 lit. b RODO	Do przedawnienia roszczeń z umowy
2	Kontakt z osobami reprezentującymi kontrahentów	art. 6 ust. 1 lit. f RODO	Przez okres obowiązywania umowy
3	Rekrutacja personelu medycznego	art. 6 ust. 1 lit. a, b i c RODO; art. 22¹ Kodeksu pracy	Do zakończenia rekrutacji, za zgodą – do 12 miesięcy

Zakres i źródła danych

Zakres danych zależy od celu przetwarzania i obejmuje:

• dane identyfikacyjne: imię, nazwisko, PESEL lub seria i numer paszportu (dla osób bez PESEL), data urodzenia, płeć,
• dane kontaktowe: numer telefonu, adres e-mail, adres zamieszkania, adres do faktury,
• dane o stanie zdrowia: treść wywiadu medycznego, objawy, przyjmowane leki, alergie, wyniki badań i inna załączona dokumentacja, rozpoznanie, wystawione e-recepty, e-zwolnienia i e-skierowania,
• dane o zatrudnieniu – przy e-zwolnieniu: NIP lub nazwa płatnika składek,
• dane płatnicze: identyfikator transakcji, status płatności (numer karty i dane logowania do banku przetwarza wyłącznie operator płatności),
• dane techniczne: adres IP, identyfikatory cookies i urządzenia, typ przeglądarki, system operacyjny, dane o aktywności w Serwisie.

Dane pozyskujemy:

• bezpośrednio od pacjenta – z formularza zamówienia, aplikacji, załączonych dokumentów oraz w trakcie konsultacji,
• od przedstawiciela ustawowego lub opiekuna – gdy konsultacja dotyczy osoby małoletniej lub ubezwłasnowolnionej,
• z systemów publicznych (P1 / e-zdrowie, ZUS PUE) – w zakresie potwierdzenia wystawionych dokumentów,
• automatycznie – dane techniczne zbierane przez Serwis i narzędzia z sekcji 7,
• z rejestrów publicznych (KRS, CEIDG, REGON) – w przypadku kontrahentów.

Odbiorcy danych i przekazywanie poza EOG

1. Administrator udostępnia dane wyłącznie wtedy, gdy jest to niezbędne do świadczenia usług lub wynika z przepisów prawa. Odbiorcami danych są lub mogą być:
   • lekarze i inny personel medyczny współpracujący z Administratorem na podstawie umów cywilnoprawnych, w zakresie niezbędnym do udzielenia świadczenia,
   • Centrum e-Zdrowia (system P1) – w związku z wystawianiem e-recept i e-skierowań,
   • Zakład Ubezpieczeń Społecznych – w związku z wystawianiem e-zwolnień,
   • placówki partnerskie wykonujące wlew żelaza – w zakresie zlecenia i danych kontaktowych,
   • inne podmioty lecznicze – w celu zapewnienia ciągłości leczenia,
   • operator płatności PayU S.A. z siedzibą w Poznaniu – w zakresie obsługi transakcji,
   • organy publiczne uprawnione na podstawie przepisów prawa, w tym Rzecznik Praw Pacjenta, NFZ, sądy,
   • osoby upoważnione przez pacjenta do dostępu do dokumentacji.
2. Dane powierzamy do przetwarzania na podstawie umów powierzenia (art. 28 RODO) podmiotom świadczącym na rzecz Administratora usługi:
   • hostingu, utrzymania Serwisu i aplikacji oraz systemu gabinetowego do prowadzenia dokumentacji medycznej,
   • poczty elektronicznej, wysyłki SMS i narzędzi do wideokonsultacji,
   • księgowe i prawne,
   • analityczne i reklamowe wymienione w sekcji 7.
3. Część dostawców narzędzi (Google, Meta, Microsoft, Apple) ma siedzibę w Stanach Zjednoczonych. Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-U.S. Data Privacy Framework) lub standardowych klauzul umownych przyjętych przez Komisję. Dane dotyczące zdrowia i dokumentacja medyczna nie są przekazywane poza EOG.

Narzędzia analityczne i reklamowe

Poniższe narzędzia działają w Serwisie wyłącznie po wyrażeniu zgody na odpowiednią kategorię cookies. Żadne z nich nie otrzymuje treści wywiadu medycznego ani dokumentacji.

Narzędzie	Dostawca	Cel	Więcej informacji
Google Analytics 4	Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4	Statystyki odwiedzin, analiza ścieżek użytkowników; adresy IP są anonimizowane	Polityka prywatności Google, rezygnacja
Google Ads	Google Ireland Ltd.	Pomiar konwersji i remarketing reklam Administratora w sieci Google	Ustawienia reklam
Meta Pixel	Meta Platforms Ireland Ltd., Merrion Road, Dublin 4	Pomiar skuteczności reklam i remarketing na Facebooku i Instagramie	Polityka prywatności Meta
Microsoft Advertising (UET)	Microsoft Ireland Operations Ltd., One Microsoft Place, Dublin 18	Pomiar konwersji reklam w wyszukiwarce Bing	Oświadczenie o prywatności Microsoft

Profile w mediach społecznościowych

Administrator prowadzi profile w serwisach Facebook i Instagram. Aktywność użytkownika na profilu (polubienie, komentarz, wiadomość) oznacza przetwarzanie jego danych przez Administratora w celu komunikacji i promocji usług. Meta udostępnia Administratorowi wyłącznie zagregowane statystyki profilu. Niezależnie od tego Meta przetwarza dane użytkowników na własne zasady, opisane w jej polityce prywatności. Administrator i Meta są współadministratorami danych statystycznych w zakresie określonym w umowie Meta dotyczącej statystyk strony.

Prawa osób, których dane dotyczą

1. Każdej osobie przysługuje prawo do:
   • dostępu do swoich danych i uzyskania ich kopii,
   • sprostowania danych nieprawidłowych lub niekompletnych,
   • usunięcia danych („prawo do bycia zapomnianym”) – z zastrzeżeniem, że dokumentacja medyczna musi być przechowywana przez okres wymagany przepisami i nie może zostać usunięta na żądanie pacjenta,
   • ograniczenia przetwarzania,
   • przenoszenia danych przetwarzanych na podstawie zgody lub umowy w sposób zautomatyzowany,
   • sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora, w tym wobec marketingu bezpośredniego – w każdej chwili i bez podania przyczyny.
2. Zgodę na przetwarzanie danych lub na komunikację marketingową można cofnąć w dowolnym momencie, np. e-mailem na adres wskazany w sekcji 1, przez link w wiadomości lub w ustawieniach aplikacji. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego wcześniej.
3. Pacjent ma ponadto prawa wynikające z ustawy o prawach pacjenta, w tym prawo dostępu do dokumentacji medycznej i upoważnienia innej osoby do jej otrzymania lub do informacji o stanie zdrowia.
4. Żądania realizujemy bez zbędnej zwłoki, nie później niż w ciągu miesiąca od otrzymania; w sprawach złożonych termin może zostać przedłużony o kolejne dwa miesiące, o czym poinformujemy.
5. Osoba, która uzna, że przetwarzanie jej danych narusza przepisy, może wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl).
6. Administrator nie podejmuje wobec pacjentów decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne. O udzieleniu świadczenia, wystawieniu recepty, zwolnienia lub skierowania zawsze decyduje lekarz.

Postanowienia końcowe

1. Serwis może zawierać odnośniki do stron podmiotów trzecich (np. operatora płatności, sklepów z aplikacjami). Administrator nie odpowiada za zasady prywatności obowiązujące na tych stronach i zachęca do zapoznania się z nimi.
2. Korzystając z Serwisu, użytkownik zobowiązuje się nie podawać danych osób trzecich bez ich upoważnienia oraz nie wprowadzać w błąd co do własnej tożsamości i stanu zdrowia.
3. Polityka może być aktualizowana w związku ze zmianą przepisów, zakresu usług lub stosowanych narzędzi. Aktualna wersja jest zawsze dostępna w Serwisie, a o istotnych zmianach poinformujemy użytkowników aplikacji i osoby zapisane na newsletter.
4. Niniejsza wersja polityki obowiązuje od 20 października 2026 r.