Polityka prywatności – aplikacja „Dr Volovyk”
Data publikacji: 2026-10-09 · Data wejścia w życie: 2026-10-26 (poprzednia wersja: 2026-09-01). Niniejsza wersja obejmuje funkcje wprowadzone w aplikacji w wersjach 1.2–1.8 (rejestracja konta w aplikacji, oświadczenia i zgody składane w aplikacji, automatyczne powiązanie wyników z kontem – od wersji 1.6 także dla wizyt umawianych na stronie i telefonicznie, na podstawie kalendarza gabinetu – zapis wyników do pliku, ekran informacyjny, od wersji 1.7 – konto personelu gabinetu w aplikacji wraz z rejestrem dostępu personelu, a od wersji 1.8 – powiadomienia o wcześniejszym terminie wizyty).
Wprowadzenie
„Dr Volovyk” to prywatny portal klienta podmiotu prowadzącego działalność paramedyczną/wellness Volovyk Clinic Sp. z o.o. Aplikacja umożliwia zalogowanemu użytkownikowi przeglądanie wyłącznie własnych wyników testów/ocen (udostępnianych w formacie PDF), zapisanie ich do pliku na własnym urządzeniu, rezerwację wizyt w gabinecie, otrzymywanie przypomnień o wizytach wraz z możliwością ich potwierdzenia oraz zarządzanie danymi konta (w tym członkami konta w ramach konta rodzinnego). Od wersji 1.7 w aplikacji działa również konto personelu – odrębny rodzaj konta przeznaczony dla upoważnionych pracowników administratora, którego nie można założyć samodzielnie (uprawnienie nadaje wyłącznie administrator) i które służy wyłącznie do obsługi klientów gabinetu (zob. sekcje 4 i 7).
Od wersji 1.4 konto w aplikacji może założyć każda osoba, która ukończyła 16 lat i potwierdzi swój adres e-mail – także osoba, która nie była jeszcze w gabinecie. Wyniki testów/ocen pojawiają się w aplikacji po odbytej wizycie, po powiązaniu ich z kontem (zob. sekcja 2a). Przy zakładaniu konta użytkownik zapoznaje się z informacją o przetwarzaniu danych i składa w aplikacji oświadczenia i zgody, które zastępują oświadczenie wypełniane dotąd papierowo w gabinecie (zob. sekcja 3).
Aplikacja nie jest urządzeniem medycznym, nie stawia diagnoz ani nie udziela porad medycznych. Służy jedynie do bezpiecznego udostępniania wyników testów/ocen przygotowanych przez administratora oraz do obsługi rezerwacji wizyt w gabinecie.
Aplikacja jest dostarczana i obsługiwana technicznie przez Media Friends Sp. z o.o. – dewelopera i wydawcę aplikacji w sklepach Apple App Store oraz Google Play – działającego jako podmiot przetwarzający dane osobowe w imieniu administratora (zob. sekcje 1 i 1a).
Niniejsza polityka prywatności opisuje, w jaki sposób przetwarzamy dane osobowe użytkowników korzystających z aplikacji, zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) oraz obowiązującymi przepisami krajowymi.
1. Administrator danych i kontakt
Administratorem danych osobowych, w tym danych dotyczących zdrowia (szczególna kategoria danych w rozumieniu art. 9 RODO) zawartych w wynikach testów/ocen, jest podmiot prowadzący działalność paramedyczną/wellness, który przygotowuje wyniki testów/ocen i faktycznie decyduje o celach i sposobach przetwarzania danych:
- Pełna nazwa: Volovyk Clinic Sp. z o.o.
- Adres: Aleje Jerozolimskie 155 / U3, 02-326 Warszawa
- NIP: 5291821045
- KRS: 0000725113
- E-mail w sprawach danych osobowych: kontakt@doctorvolovyk.com
Osoba do kontaktu w sprawach ochrony danych osobowych: Emil Świeca, e-mail: kontakt@doctorvolovyk.com
We wszelkich sprawach dotyczących przetwarzania danych osobowych oraz realizacji praw, o których mowa w niniejszej polityce, należy kontaktować się z administratorem (Volovyk Clinic Sp. z o.o.) pod wskazanymi adresami e-mail. To administrator decyduje o realizacji praw osób, których dane dotyczą.
1a. Podmiot przetwarzający / dostawca aplikacji
Dostawcą i operatorem technicznym aplikacji „Dr Volovyk” oraz powiązanego zaplecza (backendu) jest:
- Pełna nazwa: Media Friends Sp. z o.o.
- Adres: Aleje Jerozolimskie 155 / U3, 02-326 Warszawa
- NIP: 5291821424
- KRS: 0000730783
- E-mail kontaktowy: hello@mediafriends.pl
- Osoba do kontaktu w sprawach ochrony danych: Anna Świeca, e-mail: hello@mediafriends.pl
Media Friends Sp. z o.o. jest deweloperem i wydawcą aplikacji w sklepach Apple App Store oraz Google Play (posiadaczem kont deweloperskich) i pełni rolę podmiotu przetwarzającego (procesora) w rozumieniu art. 4 pkt 8 RODO. Media Friends przetwarza dane osobowe wyłącznie w imieniu i na udokumentowane polecenie administratora (Volovyk Clinic Sp. z o.o.), bez własnych celów przetwarzania, na podstawie pisemnej umowy powierzenia przetwarzania danych zawartej zgodnie z art. 28 RODO.
2. Jakie dane przetwarzamy i skąd pochodzą
W związku z korzystaniem z aplikacji przetwarzamy następujące kategorie danych:
| Kategoria danych | Przykłady | Źródło |
|---|---|---|
| Adres e-mail | adres wykorzystywany do założenia konta i logowania, potwierdzany jednorazowym kodem wysyłanym na ten adres | podany przez użytkownika przy zakładaniu konta; w przypadku kont założonych przed wersją 1.4 – z kartoteki klientów gabinetu |
| Identyfikator użytkownika | techniczny identyfikator konta (user id) | generowany przez system uwierzytelniania |
| Hasło (w postaci skrótu) | hasło do logowania, ustawiane po pierwszym logowaniu kodem jednorazowym; przechowywane wyłącznie w postaci skrótu kryptograficznego (hash) przez system uwierzytelniania | ustawiane przez użytkownika |
| Dane rejestracyjne użytkownika głównego | imię i nazwisko, data urodzenia, numer telefonu; opcjonalnie odpowiedź na pytanie „Skąd o nas wiesz?” (jedna z kilku ogólnych kategorii, np. polecenie, wyszukiwarka, media społecznościowe) | podawane przez użytkownika przy zakładaniu konta |
| Numer telefonu | numer kontaktowy konta oraz numery telefonu uczestników wizyty | podawany przez użytkownika (przy rejestracji, uzupełnianiu danych konta lub rezerwacji wizyty) |
| Dane członków konta | imię i nazwisko oraz data urodzenia osób przypiętych do konta (w tym dzieci), oznaczenie „dziecko” (osoba poniżej 16 lat) i „użytkownik główny”, status powiązania z wynikami (np. „zarejestrowany”, „po wizycie”, „powiązany”, „w weryfikacji”) | wskazywane/podawane przez użytkownika głównego; status generowany przez system |
| Oświadczenia i zgody złożone w aplikacji | które oświadczenie/zgoda (klucz i wersja tekstu), treść w postaci skrótu kryptograficznego (dowód, jaki dokładnie tekst wyświetlono), decyzja (tak/nie), data i godzina złożenia, osoba, której dotyczy | składane przez użytkownika w aplikacji; zapis generowany przez system |
| Dane rezerwacji wizyt | termin wizyty, wybrana usługa i jej cena, imię i nazwisko oraz numer telefonu uczestników wizyty, identyfikator członka konta będącego uczestnikiem | podawane przez użytkownika przy rezerwacji |
| Dane techniczne powiadomień | token urządzenia do doręczania powiadomień push, ustawienie włączenia/wyłączenia powiadomień | generowane przez usługę powiadomień na urządzeniu |
| Zapisy na powiadomienia o terminach | wybrany dzień lub okres (do 14 dni naprzód), liczba osób i skład wizyty (imię i nazwisko, rodzaj wizyty, identyfikator członka konta), status zapisu, historia wysłanych powiadomień (termin, data wysłania, kanał) | podawane przez użytkownika w aplikacji; historia generowana przez system |
| Rejestr przypomnień i zdarzeń rezerwacji | informacja o wysłanych przypomnieniach i potwierdzeniu wizyty, jednorazowy token potwierdzenia wizyty; zapis zdarzeń utworzenia, odwołania i potwierdzenia rezerwacji (audyt) | generowane przez system |
| Rejestr powiązania wyników z kontem | zapis, kiedy i na jakiej podstawie (jakie przesłanki – zob. sekcja 2a) wyniki zostały powiązane z kontem; w przypadku wymagającym weryfikacji przez gabinet – powód, jednorazowy token decyzji (w postaci skrótu), data wysłania prośby o weryfikację i decyzja gabinetu | generowane przez system |
| Dane z kalendarza gabinetu | identyfikator wpisu, termin, informacja o odwołaniu i powiązanie z osobą na koncie (po adresie e-mail podanym przy umawianiu wizyty lub po potwierdzeniu przez gabinet) – bez treści wpisu; przechowywane wyłącznie dla wpisów mieszczących się w oknie synchronizacji kalendarza (zob. sekcja 5) | kalendarz gabinetu (wizyty umawiane w aplikacji, na stronie lub telefonicznie) |
| Dane konta personelu | służbowy adres e-mail, identyfikator konta, rola w systemie (np. lekarz), dane drugiego składnika uwierzytelniania (klucz TOTP), identyfikator urządzenia nadawany przez aplikację przy instalacji, zapisy sesji pracy (czas rozpoczęcia i zakończenia, platforma) | podawane przez administratora przy zakładaniu konta personelu; identyfikator urządzenia i zapisy sesji generowane przez system |
| Rejestr dostępu personelu | zapis, kto z personelu, kiedy i jakiej czynności dokonał (rozpoczęcie i zakończenie sesji, otwarcie karty osoby, otwarcie wyniku, zapis pliku eksportu, decyzja w sprawie powiązania wyników) oraz identyfikatory danych, których czynność dotyczyła (osoba w kartotece, członek konta, plik, sprawa) – bez imion, nazwisk i bez treści wyników | generowany przez system |
| Dane dotyczące zdrowia użytkownika | wyniki testów/ocen (pliki PDF); dane w pliku eksportu wygenerowanym przez użytkownika z wyniku (zob. sekcja 7) | przygotowywane i udostępniane przez administratora |
Dane zawarte w wynikach testów/ocen stanowią szczególną kategorię danych osobowych w rozumieniu art. 9 RODO (dane dotyczące zdrowia) i podlegają wzmożonej ochronie.
W ramach konta rodzinnego użytkownik główny (osoba, która ukończyła 16 lat) dodaje do konta członków rodziny, w tym dzieci, podając ich imię, nazwisko i datę urodzenia; w przypadku osoby poniżej 16 lat składa dodatkowo oświadczenie, że jest jej rodzicem lub opiekunem prawnym. Dane członków konta oraz dane uczestników wizyt podaje użytkownik główny, który odpowiada za ich prawidłowość i jest uprawniony do działania w imieniu tych osób. Konta założone przed wersją 1.4 mogły wskazywać członków rodziny spośród osób znanych gabinetowi (kartoteka) – ten sposób pozostaje w mocy dla tych kont.
Aplikacja nie zapisuje adresu IP ani identyfikatora urządzenia przy składaniu oświadczeń i nie zbiera danych o lokalizacji.
2a. Jak wyniki trafiają na konto (powiązanie wyników)
Aplikacja udostępnia wyłącznie wyniki osoby, której konto dotyczy (oraz członków jej konta). Powiązanie wyników z kontem odbywa się po stronie serwera, bez udziału użytkownika, według następującej zasady:
- dla kont założonych przed wersją 1.4 – na podstawie kartoteki klientów prowadzonej przez gabinet (imię, nazwisko, adres e-mail), tak jak dotychczas;
- dla kont założonych w aplikacji – automatycznie po odbytej wizycie, gdy jednocześnie spełnione są trzy przesłanki: (1) wizyta odnotowana w kalendarzu gabinetu (zarezerwowana w aplikacji, na stronie lub telefonicznie) dla danej osoby odbyła się, (2) w archiwum wyników gabinetu znajduje się dokument oznaczony datą tej wizyty oraz imieniem i nazwiskiem tej osoby, (3) w kartotece nie ma innej osoby o tym samym imieniu i nazwisku. Zapis o powiązaniu (data, spełnione przesłanki) trafia do rejestru powiązania wyników.
Jeżeli którakolwiek przesłanka nie jest spełniona (np. inna pisownia nazwiska w archiwum, dwie osoby o tym samym imieniu i nazwisku), wyniki nie są udostępniane automatycznie – system kieruje sprawę do ręcznej weryfikacji przez personel gabinetu: na wewnętrzny adres e-mail gabinetu wysyłana jest wiadomość z imieniem i nazwiskiem osoby, datą wizyty, adresem e-mail konta i numerem telefonu oraz jednorazowym odnośnikiem pozwalającym zatwierdzić lub odrzucić powiązanie. Od wersji 1.7 personel gabinetu może rozstrzygnąć taką sprawę również bezpośrednio w aplikacji, na koncie personelu; decyzja jest wtedy zapisywana w rejestrze dostępu personelu (zob. sekcja 4). Do czasu decyzji gabinetu użytkownik widzi w aplikacji komunikat o trwającej weryfikacji. Nadrzędna zasada działania systemu brzmi: konto nigdy nie zobaczy wyników innej osoby – w razie wątpliwości wyniki nie są pokazywane, dopóki gabinet nie potwierdzi tożsamości.
Od wersji 1.6 pierwsza przesłanka jest ustalana na podstawie kalendarza gabinetu, w którym odnotowywane są wszystkie wizyty – zarezerwowane w aplikacji, na stronie internetowej i telefonicznie. Wpis w kalendarzu jest przypisywany do osoby na koncie po adresie e-mail podanym przy umawianiu wizyty (pełna zgodność adresu). Jeżeli we wpisie nie ma adresu e-mail, a zgadza się wyłącznie imię i nazwisko, wizyta nie jest przypisywana automatycznie – sprawa trafia do ręcznej weryfikacji przez personel gabinetu (jak wyżej), a wyniki pozostają nieudostępnione do czasu decyzji. W bazie aplikacji zapisujemy z kalendarza wyłącznie: identyfikator wpisu, termin i informację o odwołaniu. Treść wpisu (tytuł, opis) jest odczytywana wyłącznie po to, aby ustalić, czy wpis dotyczy osoby posiadającej konto, i nie jest nigdzie zapisywana; wpisy niedotyczące osób posiadających konto nie są zapisywane w ogóle. Wizyty umówione telefonicznie nie są widoczne w aplikacji jako rezerwacje; wizyty umówione na stronie internetowej są widoczne w aplikacji jako rezerwacje wtedy, gdy we wpisie w kalendarzu podano adres e-mail konta. Niezależnie od widoczności rezerwacji kalendarz służy ustaleniu, że wizyta się odbyła.
3. Cele i podstawy prawne przetwarzania
| Cel przetwarzania | Podstawa prawna |
|---|---|
| Udostępnianie użytkownikowi jego danych dotyczących zdrowia (wyników testów/ocen) w aplikacji | art. 9 ust. 2 lit. a) RODO – wyraźna zgoda osoby, której dane dotyczą |
| Założenie i utrzymanie konta, weryfikacja adresu e-mail, uwierzytelnianie i logowanie (e-mail, identyfikator użytkownika, hasło w postaci skrótu, dane rejestracyjne) | art. 6 ust. 1 lit. b) RODO – niezbędność do wykonania usługi (udostępnienia portalu); alternatywnie art. 6 ust. 1 lit. a) RODO – zgoda |
| Odebranie i udokumentowanie oświadczeń i zgód złożonych w aplikacji (klucz i wersja tekstu, skrót treści, decyzja, data) – w tym akceptacja Regulaminu i Polityki prywatności | art. 6 ust. 1 lit. c) RODO w związku z art. 7 ust. 1 RODO – obowiązek wykazania, że osoba wyraziła zgodę; oraz art. 6 ust. 1 lit. f) RODO – prawnie uzasadniony interes (rozliczalność, obrona przed roszczeniami); w zakresie akceptacji Regulaminu i Polityki prywatności – art. 6 ust. 1 lit. b) RODO |
| Powiązanie wyników z właściwym kontem po odbytej wizycie oraz ochrona przed udostępnieniem wyników niewłaściwej osobie (przesłanki z sekcji 2a, rejestr powiązania, weryfikacja przez gabinet) | art. 6 ust. 1 lit. f) RODO – prawnie uzasadniony interes (bezpieczeństwo i integralność danych, rozliczalność); w zakresie środków bezpieczeństwa przetwarzania – art. 6 ust. 1 lit. c) RODO w związku z art. 32 RODO |
| Obsługa rezerwacji wizyt: przyjęcie rezerwacji, zapis terminu w kalendarzu gabinetu, wysłanie potwierdzenia rezerwacji użytkownikowi i jego kopii do gabinetu, odwołanie i potwierdzenie wizyty (dane rezerwacji, dane członków konta, numer telefonu) | art. 6 ust. 1 lit. b) RODO – niezbędność do wykonania usługi (obsługa umówionej wizyty) |
| Wysyłanie przypomnień o wizytach (powiadomienie push, wiadomość e-mail) oraz obsługa potwierdzenia wizyty, w tym za pomocą jednorazowego tokenu potwierdzenia | art. 6 ust. 1 lit. b) RODO – niezbędność do wykonania usługi (obsługa umówionej wizyty) |
| Powiadomienia o zwolnionych terminach na żądanie użytkownika (sekcja „Powiadomienia o terminach”): zapis wybranego okresu i składu wizyty, sprawdzanie zwolnień w kalendarzu gabinetu, wysyłka wiadomości e-mail i powiadomienia push, historia wysłanych powiadomień; dane usuwane 30 dni po zakończeniu zapisu lub wraz z kontem | art. 6 ust. 1 lit. b) RODO – niezbędność do wykonania usługi, o którą prosi użytkownik |
| Kontakt z użytkownikiem w sprawach dotyczących wizyt (numer telefonu, adres e-mail) | art. 6 ust. 1 lit. b) RODO – niezbędność do wykonania usługi; w zakresie połączeń głosowych – art. 6 ust. 1 lit. a) RODO – dobrowolna zgoda złożona w aplikacji |
| Jednorazowa wiadomość e-mail po wizycie (informacja o wynikach w aplikacji, podsumowanie, ankieta zadowolenia) | art. 6 ust. 1 lit. a) RODO – dobrowolna zgoda złożona w aplikacji; bez zgody wiadomość nie jest wysyłana |
| Prowadzenie rejestru zdarzeń rezerwacji (audyt: utworzenie, odwołanie, potwierdzenie wizyty) | art. 6 ust. 1 lit. f) RODO – prawnie uzasadniony interes (bezpieczeństwo, rozliczalność, zapobieganie nadużyciom) |
| Statystyka źródeł, z których klienci dowiadują się o gabinecie (odpowiedź „Skąd o nas wiesz?“) | art. 6 ust. 1 lit. f) RODO – prawnie uzasadniony interes (ocena skuteczności działań informacyjnych); odpowiedź jest dobrowolna |
| Zapewnienie bezpieczeństwa dostępu i ograniczenie dostępu do wyników wyłącznie do osoby, której dotyczą | art. 6 ust. 1 lit. f) RODO (prawnie uzasadniony interes – ochrona danych) oraz, w zakresie środków bezpieczeństwa przetwarzania, art. 6 ust. 1 lit. c) RODO |
| Obsługa klientów przez upoważniony personel administratora w aplikacji (konto personelu: kalendarz dnia gabinetu, rejestr osób, karta osoby wraz z wynikami, rozpatrywanie spraw weryfikacji powiązania wyników) | art. 6 ust. 1 lit. b) RODO – niezbędność do wykonania usługi (obsługa wizyty i udostępnienie wyników) oraz art. 6 ust. 1 lit. f) RODO – prawnie uzasadniony interes (organizacja pracy gabinetu); w zakresie danych dotyczących zdrowia – art. 9 ust. 2 lit. a) RODO (wyraźna zgoda klienta na wykonanie testu/oceny i udostępnienie wyników) |
| Prowadzenie rejestru dostępu personelu (rozliczalność: kto z personelu, kiedy i do których danych uzyskał dostęp) oraz zabezpieczenie konta personelu (uwierzytelnianie dwuskładnikowe, ograniczona sesja, powiadomienie o nowym urządzeniu) | art. 6 ust. 1 lit. c) RODO w związku z art. 32 RODO – obowiązek zapewnienia bezpieczeństwa przetwarzania; oraz art. 6 ust. 1 lit. f) RODO – prawnie uzasadniony interes (rozliczalność, zapobieganie nadużyciom) |
Podstawą przetwarzania danych dotyczących zdrowia jest wyraźna zgoda (art. 9 ust. 2 lit. a) RODO). Administrator prowadzi działalność paramedyczną/wellness i nie jest podmiotem leczniczym, w związku z czym nie korzysta z wyjątku z art. 9 ust. 2 lit. h) RODO (opieka zdrowotna) – przesłanka ta wymaga, zgodnie z art. 9 ust. 3 RODO, przetwarzania przez personel związany tajemnicą zawodową w celu zdrowotnym i jest niedostępna dla podmiotu niebędącego podmiotem leczniczym.
Oświadczenia i zgody w aplikacji. Od wersji 1.4 informacja o przetwarzaniu danych oraz zgody są prezentowane i odbierane w aplikacji: przy zakładaniu konta, przy dodawaniu do konta osoby poniżej 16 lat (oświadczenie rodzica/opiekuna prawnego) oraz – dla kont założonych wcześniej – jednorazowo przy pierwszym logowaniu po aktualizacji. Odbierane są: potwierdzenie zapoznania się z informacją o przetwarzaniu danych (wymagane), wyraźna zgoda na przetwarzanie danych dotyczących zdrowia w celu wykonania testu/oceny i udostępnienia wyników w aplikacji (wymagana), akceptacja Regulaminu i Polityki prywatności (z datą wersji; wymagana od użytkownika głównego), oświadczenie rodzica/opiekuna prawnego (wymagane dla osoby poniżej 16 lat), zgoda na jednorazowy kontakt e-mail po wizycie (dobrowolna) i zgoda na połączenia głosowe w sprawie wizyty (dobrowolna). Aplikacja zapisuje, którą wersję tekstu użytkownik zobaczył (wraz ze skrótem kryptograficznym treści) i kiedy podjął decyzję – jest to dowód wymagany przez art. 7 ust. 1 RODO. Osoba, która złożyła oświadczenia w aplikacji, nie wypełnia papierowego oświadczenia w gabinecie – informacja o tym znajduje się w e-mailu potwierdzającym rezerwację. Zgody złożone wcześniej papierowo w gabinecie pozostają ważne. Teksty oświadczeń są wersjonowane. Nowa wersja unieważnia poprzednią – po jej wprowadzeniu aplikacja prosi każdego użytkownika o zapoznanie się z aktualnymi tekstami i ponowne zaznaczenie wymaganych pól; do tego czasu rezerwacja wizyt w aplikacji jest niedostępna, a wyniki pozostają dostępne.
Wycofanie zgody jest możliwe w każdej chwili przez kontakt z administratorem (sekcja 1) i nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem. Wycofanie zgody na przetwarzanie danych dotyczących zdrowia oznacza, że wyniki nie będą dłużej udostępniane w aplikacji.
Logowanie do aplikacji odbywa się przy użyciu adresu e-mail (kod jednorazowy OTP lub hasło; kod jednorazowy służy także do potwierdzenia adresu e-mail przy zakładaniu konta; hasło jest ustawiane przez użytkownika po pierwszym logowaniu kodem i przechowywane wyłącznie w postaci skrótu kryptograficznego – ani administrator, ani dostawca aplikacji nie mają dostępu do hasła w postaci jawnej). Przetwarzanie danych logowania jest niezbędne do świadczenia usługi – bez nich nie jest możliwe bezpieczne udostępnienie wyników testów/ocen.
Przypomnienia o wizytach i potwierdzenia rezerwacji są wysyłane wyłącznie w związku z wizytą zarezerwowaną przez użytkownika i stanowią element obsługi tej wizyty (nie są komunikacją marketingową). Jednorazowy token potwierdzenia zawarty w przypomnieniu umożliwia wyłącznie potwierdzenie danej wizyty – nie daje dostępu do konta ani do żadnych innych danych.
4. Odbiorcy danych i podmioty przetwarzające
Administrator (Volovyk Clinic Sp. z o.o.) powierzył przetwarzanie danych osobowych podmiotowi przetwarzającemu Media Friends Sp. z o.o. (dostawcy aplikacji – zob. sekcja 1a) na podstawie pisemnej umowy powierzenia przetwarzania danych (art. 28 RODO). Media Friends przetwarza dane wyłącznie w imieniu i na udokumentowane polecenie administratora.
W celu świadczenia usługi technicznej Media Friends – za zgodą administratora i na podstawie odrębnych umów powierzenia – korzysta z usług dalszych podmiotów przetwarzających (subprocesorów), którzy przetwarzają dane wyłącznie w zakresie niezbędnym do działania aplikacji:
| Subprocesor | Rola / zakres | Lokalizacja przetwarzania | Zabezpieczenie transferu poza EOG |
|---|---|---|---|
| Supabase (Supabase, Inc., USA) | backend: uwierzytelnianie (w tym wysyłka kodów jednorazowych oraz uwierzytelnianie dwuskładnikowe konta personelu), baza danych (konta, członkowie konta, oświadczenia i zgody, rezerwacje, rejestry – w tym rejestr dostępu personelu), magazyn plików (storage), funkcje serwerowe (rezerwacje, wysyłka e-maili, sesje konta personelu, kalendarz dnia dla personelu) | dane w Niemczech (EOG), na infrastrukturze AWS | transfer do USA na podstawie standardowych klauzul umownych (SCC) |
| Hostinger (Hostinger International Ltd, Cypr – EOG) | hosting serwera backendu aplikacji (indeksowanie archiwum wyników, powiązanie wyników z kontem, strona decyzji dla personelu gabinetu, udostępnianie wyników kontu personelu w aplikacji) | przetwarzanie w Niemczech (EOG) | nie dotyczy – przetwarzanie w EOG |
| MEGA (MEGA Limited, Nowa Zelandia) | przechowywanie dokumentów źródłowych (szyfrowanie end-to-end) | dane w Niemczech (EOG) | dla podmiotu z Nowej Zelandii podstawą jest decyzja KE o adekwatności dla Nowej Zelandii (2013/65/UE) |
| Google (Google Ireland Limited, Dublin, Irlandia – konto Google Workspace) | przechowywanie kartoteki klientów gabinetu (Google Sheets) z danymi klientów (nazwisko, imię, e-mail); do wersji 1.3 kartoteka była listą uprawnionych do logowania, od wersji 1.4 służy wyłącznie do powiązania wyników z kontami założonymi wcześniej, a od wersji 1.6 przestaje być jedynym źródłem tego powiązania (rolę tę przejmuje kalendarz gabinetu) i jest stopniowo wygaszana | dane przetwarzane w ramach konta Google Workspace; podmiotem dla EOG jest Google Ireland Limited | transfer do Google LLC (USA) na podstawie decyzji Komisji Europejskiej o adekwatności (EU-US Data Privacy Framework), a uzupełniająco standardowych klauzul umownych (SCC) |
| Google (Google Ireland Limited / Google LLC) | Kalendarz Google – zapis terminów wizyt rezerwowanych w aplikacji w kalendarzu gabinetu (termin, wybrana usługa i cena, imię i nazwisko oraz telefon uczestników wizyty, adres e-mail konta) oraz – od wersji 1.6 – odczyt kalendarza gabinetu w celu ustalenia, że wizyta się odbyła (zob. sekcja 2a); Firebase Cloud Messaging (FCM) – doręczanie powiadomień push (token urządzenia, treść powiadomienia – data i godzina wizyty, bez wyników testów/ocen) | infrastruktura Google (UE i USA) | transfer do Google LLC (USA) na podstawie decyzji Komisji Europejskiej o adekwatności (EU-US Data Privacy Framework), a uzupełniająco standardowych klauzul umownych (SCC) |
| Apple (Apple Inc., USA / Apple Distribution International Ltd, Irlandia) | Apple Push Notification service (APNs) – doręczanie powiadomień push na urządzenia z systemem iOS (token urządzenia, treść powiadomienia – data i godzina wizyty, bez wyników testów/ocen) | infrastruktura Apple (UE i USA) | transfer do Apple Inc. (USA) na podstawie standardowych klauzul umownych (SCC) |
| MailerLite (MailerLite Limited, Irlandia – EOG) | wysyłka wiadomości e-mail do użytkowników aplikacji, w tym zawiadomień o zmianach Regulaminu i Polityki prywatności (adres e-mail konta; informacja o doręczeniu i otwarciu wiadomości oraz kliknięciu w link) | dane w UE (EOG) | nie dotyczy – przetwarzanie w EOG |
| Make (Celonis, Inc., USA – strefa danych UE) | narzędzie integracyjne, za pośrednictwem którego adresy e-mail kont są przekazywane do MailerLite | dane w strefie UE | transfer do USA na podstawie standardowych klauzul umownych (SCC) |
Google Play i Apple App Store to kanały dystrybucji aplikacji w sklepach, a nie podmioty przetwarzające dane klientów w ramach Usługi. Powyższe pozycje „Google” i „Apple” dotyczą wyłącznie wskazanych usług (kartoteka, kalendarz gabinetu, doręczanie powiadomień), nie zaś dystrybucji aplikacji.
Personel gabinetu (odbiorca wewnętrzny). Na wewnętrzną skrzynkę e-mail gabinetu (rejestracja@doctorvolovyk.com) trafiają: kopia potwierdzenia każdej rezerwacji dokonanej w aplikacji (adres e-mail konta, uczestnicy, usługa, termin, informacja, czy oświadczenia zostały złożone w aplikacji) oraz prośby o ręczną weryfikację powiązania wyników (sekcja 2a). Od wersji 1.7 upoważniony personel administratora korzysta również z konta personelu w aplikacji: widzi kalendarz dnia gabinetu, rejestr osób, kartę osoby wraz z jej wynikami testów/ocen oraz listę spraw do weryfikacji powiązania wyników, które może w aplikacji zatwierdzić lub odrzucić. Dostęp do konta personelu wymaga uwierzytelniania dwuskładnikowego, a każde otwarcie karty osoby, otwarcie wyniku, zapis pliku eksportu i decyzja są zapisywane w rejestrze dostępu personelu (zob. sekcje 2, 5 i 7). Są to dane przetwarzane przez upoważniony personel administratora – nie jest to przekazanie danych podmiotowi trzeciemu.
Wiadomości e-mail (kody logowania, potwierdzenia rezerwacji, przypomnienia o wizytach, jednorazowa wiadomość po wizycie za zgodą) są wysyłane z własnej skrzynki pocztowej w domenie gabinetu (SMTP); treść wiadomości do użytkownika zawiera wyłącznie dane organizacyjne wizyty (termin, usługa, uczestnicy, adres gabinetu) – nigdy wyników testów/ocen.
Ekran informacyjny „Vega Test – jak to wygląda” wyświetla w aplikacji artykuł ze strony internetowej administratora (www.doctorvolovyk.com). W trybie wyświetlania w aplikacji strona ładowana jest bez skryptów analitycznych, marketingowych i baneru cookies; do serwera strony internetowej trafiają wyłącznie standardowe dane techniczne żądania (np. adres IP urządzenia), jak przy każdym wejściu na stronę. Odnośniki prowadzące poza stronę administratora otwierają się w przeglądarce systemowej, poza aplikacją.
Z każdym subprocesorem zawierana jest umowa powierzenia przetwarzania danych (art. 28 RODO) zapewniająca odpowiedni poziom ochrony, a powierzenie podprzetwarzania następuje za zgodą administratora.
Nie przekazujemy danych osobowych stronom trzecim w celach marketingowych. Dane mogą zostać udostępnione wyłącznie organom uprawnionym na podstawie przepisów prawa.
5. Okres przechowywania danych
- Dane konta i logowania (adres e-mail, identyfikator użytkownika, hasło w postaci skrótu): przechowywane przez okres korzystania z aplikacji, do momentu usunięcia konta (zob. sekcja 11).
- Dane rejestracyjne, numer telefonu oraz dane członków konta (imiona i nazwiska, daty urodzenia, oznaczenia „dziecko”/„użytkownik główny”, statusy powiązania, odpowiedź „Skąd o nas wiesz?“): przechowywane przez okres korzystania z aplikacji, do momentu ich zmiany przez użytkownika lub usunięcia konta.
- Oświadczenia i zgody złożone w aplikacji (klucz i wersja tekstu, skrót treści, decyzja, data): przechowywane przez okres posiadania konta jako dowód złożenia (art. 7 ust. 1 RODO); usunięcie osoby z konta nie usuwa zapisu o złożonym oświadczeniu; usunięcie konta usuwa zapis oświadczeń wraz z kontem.
- Tokeny urządzeń (push): przechowywane do czasu wyłączenia powiadomień, wyrejestrowania urządzenia lub usunięcia konta.
- Zapisy na powiadomienia o terminach i historia powiadomień: przechowywane do czasu zakończenia zapisu (anulowanie, upływ wybranego okresu lub rezerwacja wizyty), a następnie usuwane po 30 dniach; usunięcie konta usuwa je od razu.
- Dane rezerwacji w kalendarzu gabinetu (termin, usługa, uczestnicy): przechowywane w kalendarzu gabinetu przez czas niezbędny do obsługi wizyt i prowadzenia terminarza gabinetu.
- Rejestr przypomnień i zdarzeń rezerwacji (logi przypomnień, audyt utworzenia/odwołania/potwierdzenia wizyt): przechowywane przez czas niezbędny do obsługi wizyt oraz zapewnienia bezpieczeństwa i rozliczalności, nie dłużej niż do upływu okresów przedawnienia ewentualnych roszczeń.
- Rejestr powiązania wyników z kontem oraz zapisy weryfikacji przez gabinet: przechowywane przez czas korzystania z aplikacji oraz – jako dowód, na jakiej podstawie udostępniono dane dotyczące zdrowia – przez okres przedawnienia roszczeń po usunięciu konta (art. 6 ust. 1 lit. f) RODO). Jednorazowy token decyzji dla gabinetu jest ważny 7 dni i traci ważność po użyciu.
- Wpisy w kartotece służące rozróżnieniu osób o tym samym imieniu i nazwisku (tzw. znaczniki – imię, nazwisko, adres e-mail konta, bez wyników): mogą być zachowane także po usunięciu konta, wyłącznie po to, aby wyniki innej osoby o tym samym imieniu i nazwisku nie zostały błędnie udostępnione (art. 6 ust. 1 lit. f) RODO – bezpieczeństwo danych); nie nadają nikomu dostępu.
- Dane z kalendarza gabinetu (identyfikator wpisu, termin, informacja o odwołaniu, powiązanie z osobą na koncie): przechowywane w systemie aplikacji przez czas niezbędny do powiązania wyników z kontem oraz zapewnienia rozliczalności, nie dłużej niż przez czas, w którym termin wpisu mieści się w oknie synchronizacji kalendarza (domyślnie 730 dni wstecz i 120 dni w przód) – wpisy spoza tego okna są usuwane przy najbliższym odświeżeniu danych z kalendarza. Usunięcie osoby z konta usuwa jej powiązanie z wpisem (przy najbliższym odświeżeniu danych z kalendarza). Sam kalendarz gabinetu prowadzony jest zgodnie z zasadami z akapitu o danych rezerwacji.
- Dane konta personelu oraz zapisy sesji pracy (adres e-mail, rola, drugi składnik uwierzytelniania, identyfikator urządzenia, czas rozpoczęcia i zakończenia sesji): przechowywane przez okres trwania upoważnienia danej osoby; zakończone i przeterminowane zapisy sesji są usuwane po 30 dniach.
- Rejestr dostępu personelu: przechowywany przez 3 lata od zapisu, po czym jest automatycznie usuwany. Rejestr służy rozliczalności (art. 6 ust. 1 lit. c) RODO w związku z art. 32 RODO), nie jest usuwany wraz z usunięciem konta klienta ani wraz z odebraniem uprawnień osobie z personelu i nie zawiera imion, nazwisk ani treści wyników.
- Kopie e-maili w skrzynce gabinetu (potwierdzenia rezerwacji, prośby o weryfikację): zgodnie z zasadami przechowywania korespondencji przez administratora, nie dłużej niż to niezbędne do obsługi wizyt i rozliczalności.
- Dane dotyczące zdrowia (wyniki testów/ocen): przechowywane na podstawie celu i zgody – do momentu wycofania zgody przez użytkownika lub do ustania celu przetwarzania, w zależności od tego, co nastąpi wcześniej. Użytkownikowi przysługuje prawo do wycofania zgody (art. 7 ust. 3 RODO) oraz prawo do usunięcia danych (art. 17 RODO).
Ponieważ administrator nie jest podmiotem leczniczym, do danych dotyczących zdrowia przetwarzanych w ramach działalności paramedycznej/wellness nie stosuje się ustawowych okresów przechowywania dokumentacji medycznej (np. 20/30 lat z ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta). Retencja opiera się na celu i zgodzie.
Po wycofaniu zgody lub usunięciu Konta Administrator może zachować niezbędny, ograniczony zakres danych przez okres przedawnienia roszczeń cywilnych – na podstawie art. 6 ust. 1 lit. f) RODO (prawnie uzasadniony interes: ustalenie, dochodzenie lub obrona roszczeń).
6. Prawa osób, których dane dotyczą
Każdej osobie, której dane dotyczą, przysługują następujące prawa:
- prawo dostępu do swoich danych (art. 15 RODO),
- prawo do sprostowania danych (art. 16 RODO),
- prawo do usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO),
- prawo do ograniczenia przetwarzania (art. 18 RODO),
- prawo do przenoszenia danych (art. 20 RODO),
- prawo do sprzeciwu wobec przetwarzania (art. 21 RODO),
- prawo do cofnięcia zgody w dowolnym momencie (art. 7 ust. 3 RODO), bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem,
- prawo do wniesienia skargi do organu nadzorczego – w Polsce do Prezesa Urzędu Ochrony Danych Osobowych (PUODO).
Ponieważ podstawą przetwarzania danych dotyczących zdrowia jest wyraźna zgoda (art. 9 ust. 2 lit. a) RODO), użytkownikowi przysługuje prawo do wycofania zgody oraz prawo do usunięcia danych – w odróżnieniu od reżimu dokumentacji medycznej prowadzonej przez podmiot leczniczy.
Numer telefonu użytkownik główny może zmienić samodzielnie w aplikacji (dane konta). Sprostowanie imienia, nazwiska lub daty urodzenia (własnych lub członka konta), wycofanie zgody, sprzeciw wobec powiązania wyników oraz pozostałe prawa realizuje administrator na wniosek.
Imię, nazwisko i datę urodzenia osoby dodanej w aplikacji użytkownik główny może poprawić samodzielnie w aplikacji do czasu powiązania z nią wyników i o ile nie trwa weryfikacja zgłoszenia. Osobę może również usunąć samodzielnie – na tych samych warunkach i dodatkowo tylko wtedy, gdy nie ma dla niej zaplanowanej wizyty. Po powiązaniu poprawkę zgłasza się w aplikacji, a rozpatruje ją personel gabinetu – od wersji 1.7 bezpośrednio na koncie personelu w aplikacji albo, jak dotąd, za pomocą wiadomości na wewnętrzny adres gabinetu (zob. sekcja 4); odmowa rozpatrzenia zgłoszenia jest odnotowywana. Usunięcie osoby z konta nie usuwa zapisu złożonych wobec niej oświadczeń.
W odniesieniu do danych dzieci przypiętych do konta rodzinnego prawa te wykonuje rodzic lub opiekun prawny (użytkownik główny).
W celu realizacji powyższych praw prosimy o kontakt z administratorem (zob. sekcja 1).
7. Bezpieczeństwo danych i pliki zapisane poza aplikacją
Stosujemy techniczne i organizacyjne środki bezpieczeństwa adekwatne do ryzyka, w tym:
- szyfrowanie w tranzycie (HTTPS/TLS) dla wszystkich połączeń,
- izolację dostępu – ścisłą kontrolę dostępu oraz weryfikację tożsamości po stronie serwera, dzięki czemu klient ma dostęp wyłącznie do własnych danych i danych członków swojego konta, a upoważniony personel administratora (konto personelu) – wyłącznie do danych osób, których obsługa tego wymaga, przy czym każdy taki dostęp jest rejestrowany (zob. sekcja 2); powiązanie wyników z kontem następuje wyłącznie po stronie serwera według przesłanek z sekcji 2a, a w razie jakiejkolwiek wątpliwości (np. dwie osoby o tym samym imieniu i nazwisku) wyniki nie są udostępniane do czasu ręcznej weryfikacji przez gabinet,
- potwierdzenie adresu e-mail jednorazowym kodem przy zakładaniu konta oraz ograniczenia liczby prób logowania i rejestracji,
- przechowywanie hasła wyłącznie w postaci skrótu kryptograficznego (hash) – hasło w postaci jawnej nie jest nikomu znane ani przechowywane,
- utrwalanie skrótu kryptograficznego treści każdego oświadczenia i zgody złożonych w aplikacji – pozwala wykazać, jaki dokładnie tekst został wyświetlony,
- jednorazowe tokeny o ograniczonym działaniu – token potwierdzenia wizyty umożliwia wyłącznie potwierdzenie konkretnej wizyty; token decyzji dla gabinetu umożliwia wyłącznie zatwierdzenie/odrzucenie jednego powiązania, jest ważny 7 dni i przechowywany w postaci skrótu,
- automatyczne wylogowanie po 10 minutach bezczynności (na koncie personelu – po 5 minutach),
- lokalny cache plików PDF na urządzeniu, przechowywany w prywatnym katalogu aplikacji (niedostępnym dla innych aplikacji); na koncie personelu cache jest wyłączony – wyniki nie są zapisywane na urządzeniu, a przy każdym wylogowaniu zapisane wcześniej pliki są z urządzenia usuwane,
- odrębne zasady dla konta personelu – uprawnienie nadaje wyłącznie administrator (nie da się go uzyskać przez samodzielną rejestrację); logowanie wymaga hasła oraz uwierzytelniania dwuskładnikowego (jednorazowy kod TOTP z aplikacji uwierzytelniającej); sesja pracy jest ważna nie dłużej niż 12 godzin od zalogowania; zalogowanie z nowego urządzenia jest sygnalizowane wiadomością e-mail na adres konta personelu oraz na wewnętrzny adres gabinetu; liczba prób logowania i weryfikacji kodu jest ograniczona; każde otwarcie karty osoby, otwarcie wyniku, zapis pliku eksportu i decyzja w sprawie powiązania wyników są zapisywane w rejestrze dostępu personelu (bez treści wyników),
- treść powiadomień push i wiadomości e-mail nie zawiera wyników testów/ocen – wyłącznie dane organizacyjne wizyty.
Pliki zapisane poza aplikacją (na żądanie użytkownika). Użytkownik może z aplikacji udostępnić lub zapisać swój wynik testu/oceny jako plik PDF, a dla wyników w aktualnym formacie – także wygenerować z niego plik eksportu w formacie JSON (do wczytania w programie Biohealer). Zapis następuje wyłącznie na wyraźne polecenie użytkownika (przycisk), do lokalizacji wybranej przez użytkownika (np. folder „Pobrane”, aplikacja „Pliki”, inna aplikacja przez systemowe menu udostępniania). Od tego momentu plik znajduje się poza aplikacją i pod wyłączną kontrolą użytkownika – w tym w ewentualnych kopiach zapasowych i usługach chmurowych skonfigurowanych na urządzeniu – a aplikacja nie ma na niego wpływu ani nie może go usunąć. Aplikacja nie przekazuje takich plików automatycznie do żadnego podmiotu (w tym do producenta programu Biohealer); wygenerowany plik zawiera dane dotyczące zdrowia i użytkownik powinien przechowywać go z odpowiednią ostrożnością.
8. Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG)
Co do zasady dane są przechowywane i przetwarzane na terenie Unii Europejskiej / EOG – w Niemczech. Dotyczy to Supabase (backend, na AWS), Hostinger (serwer backendu) oraz MEGA (dokumenty źródłowe). Na terenie UE przetwarzane są także dane w MailerLite (wysyłka wiadomości e-mail). Niektórzy subprocesorzy są jednak podmiotami spoza EOG, co wiąże się z transferem danych, dla którego stosowane są następujące zabezpieczenia:
- Supabase (Supabase, Inc., USA) – transfer do USA na podstawie standardowych klauzul umownych (SCC);
- MEGA (MEGA Limited, Nowa Zelandia) – podstawą jest decyzja Komisji Europejskiej o adekwatności dla Nowej Zelandii (2013/65/UE);
- Google (kartoteka klientów, Google Sheets – konto Google Workspace, od wersji 1.6 stopniowo wygaszana; Kalendarz Google – kalendarz gabinetu, zapis i odczyt terminów wizyt; Firebase Cloud Messaging – doręczanie powiadomień push) – podmiotem dla EOG jest Google Ireland Limited (Dublin, Irlandia); transfer do Google LLC (USA) na podstawie decyzji Komisji Europejskiej o adekwatności (EU-US Data Privacy Framework), a uzupełniająco standardowych klauzul umownych (SCC);
- Apple (Apple Push Notification service – doręczanie powiadomień push na urządzenia iOS) – podmiotem dla EOG jest Apple Distribution International Ltd (Irlandia); transfer do Apple Inc. (USA) na podstawie standardowych klauzul umownych (SCC);
- Make (Celonis, Inc., USA – narzędzie integracyjne przekazujące adresy e-mail kont do MailerLite; dane w strefie UE) – transfer do USA na podstawie standardowych klauzul umownych (SCC).
Kopię stosowanych zabezpieczeń można uzyskać, kontaktując się z administratorem.
9. Dzieci
Konto w aplikacji może założyć wyłącznie osoba, która ukończyła 16 lat; aplikacja weryfikuje to na podstawie podanej daty urodzenia i nie pozwala założyć konta osobie młodszej. Aplikacja nie jest kierowana do dzieci i nie jest przeznaczona do samodzielnego korzystania przez osoby poniżej tego wieku.
W ramach kont rodzinnych przetwarzane są dane dzieci będących klientami gabinetu – w zakresie imienia i nazwiska, daty urodzenia, terminów wizyt oraz wyników testów/ocen dziecka. Dane te podaje i aktualizuje rodzic lub opiekun prawny (użytkownik główny), który przy dodawaniu osoby poniżej 16 lat składa w aplikacji oświadczenie, że jest jej rodzicem/opiekunem prawnym, i wyraża w jej imieniu zgodę na przetwarzanie danych dotyczących zdrowia w celu wykonania testu/oceny i udostępnienia wyników w aplikacji. Rodzic/opiekun zarządza kontem oraz rezerwacjami i potwierdzeniami wizyt w imieniu dziecka. Dzieci nie zakładają własnych kont, nie logują się do aplikacji i nie otrzymują powiadomień.
10. Pliki cookie i analityka
Aplikacja nie wykorzystuje:
- narzędzi analitycznych,
- reklam,
- trackerów (mechanizmów śledzących),
- plików cookie służących do śledzenia,
ani nie przekazuje danych stronom trzecim w celach marketingowych.
Wykorzystywane są wyłącznie mechanizmy techniczne niezbędne do uwierzytelnienia i działania aplikacji (np. utrzymanie sesji logowania, token urządzenia służący doręczaniu powiadomień push). Powiadomienia push wymagają zgody wyrażonej w systemie operacyjnym urządzenia i można je w każdej chwili wyłączyć w ustawieniach aplikacji lub systemu.
Ekran informacyjny „Vega Test – jak to wygląda” wyświetla artykuł ze strony internetowej administratora; w trybie wyświetlania w aplikacji strona ta nie ładuje narzędzi analitycznych, pikseli marketingowych ani baneru cookies (zob. sekcja 4). Zasady dotyczące strony internetowej www.doctorvolovyk.com otwieranej w zwykłej przeglądarce opisuje odrębna polityka prywatności tej strony.
11. Usuwanie konta i danych
Konto można usunąć w jeden z poniższych sposobów:
- W aplikacji: menu → „Usuń konto”,
- Kontaktując się z administratorem (Volovyk Clinic Sp. z o.o.; zob. sekcja 1).
Ważne: usunięcie konta kasuje dane logowania (konto i powiązane dane uwierzytelniające, w tym hasło w postaci skrótu) oraz powiązane z kontem dane profilu: dane rejestracyjne, numer telefonu, listę członków konta wraz z ich statusami, tokeny urządzeń (push), zapis złożonych w aplikacji oświadczeń i zgód oraz oczekujące zgłoszenia weryfikacji. Niezależnie od usunięcia konta użytkownikowi przysługuje prawo do wycofania zgody oraz prawo do usunięcia danych dotyczących zdrowia (wyników testów/ocen) – zob. sekcje 5 i 6. Po wycofaniu zgody lub usunięciu Konta Administrator może zachować niezbędny, ograniczony zakres danych – rejestr zdarzeń rezerwacji, rejestr powiązania wyników (dowód, na jakiej podstawie udostępniono dane dotyczące zdrowia), wpisy w rejestrze dostępu personelu (dowód, kto z personelu i kiedy sięgnął po dane – bez imion, nazwisk i treści wyników; zob. sekcja 5) oraz wpisy w kartotece służące wyłącznie rozróżnieniu osób o tym samym imieniu i nazwisku – przez okres przedawnienia roszczeń cywilnych, na podstawie art. 6 ust. 1 lit. f) RODO (prawnie uzasadniony interes: ustalenie, dochodzenie lub obrona roszczeń oraz bezpieczeństwo danych). Pliki zapisane przez użytkownika poza aplikacją (sekcja 7) nie są usuwane wraz z kontem – pozostają pod kontrolą użytkownika.
12. Zmiany polityki prywatności
Niniejsza polityka może być okresowo aktualizowana. O istotnych zmianach poinformujemy w sposób odpowiedni do charakteru zmiany (np. w aplikacji). Aktualna wersja obowiązuje od daty wskazanej na początku dokumentu.
- Data publikacji niniejszej wersji: 2026-10-09; data wejścia w życie: 2026-10-26 (poprzednia wersja: 2026-09-01)
Privacy Policy – “Dr Volovyk” Application
Publication date: 2026-10-09 · Effective date: 2026-10-26 (previous version: 2026-09-01). This version covers the features introduced in application versions 1.2–1.8 (account registration in the application, statements and consents given in the application, automatic linking of results to the account – as of version 1.6 also for appointments arranged on the website and by phone, based on the practice’s calendar – saving results to a file, information screen, as of version 1.7 – a practice staff account in the application together with a staff access log, and as of version 1.8 – notifications about an earlier appointment slot).
Introduction
“Dr Volovyk” is a private client portal of Volovyk Clinic Sp. z o.o., an entity carrying out paramedical/wellness activity. The application allows a logged-in user to view only their own test/assessment results (made available in PDF format), save them to a file on their own device, book appointments at the practice, receive appointment reminders with the possibility of confirming them, and manage account data (including account members within a family account). As of version 1.7 the application also provides a staff account – a separate type of account for the controller’s authorized employees, which cannot be created independently (the authorization is granted solely by the controller) and which serves solely to service the practice’s clients (see sections 4 and 7).
As of version 1.4, an account in the application can be created by any person aged 16 or over who confirms their e-mail address – including a person who has not yet visited the practice. Test/assessment results appear in the application after a completed visit, once they have been linked to the account (see section 2a). When creating an account, the user reads the information on data processing and gives in the application the statements and consents that replace the statement previously completed on paper at the practice (see section 3).
The application is not a medical device, does not make diagnoses, and does not provide medical advice. It serves solely to securely make available the test/assessment results prepared by the controller and to handle appointment bookings at the practice.
The application is provided and operated technically by Media Friends Sp. z o.o. – the developer and publisher of the application on the Apple App Store and Google Play – acting as a processor of personal data on behalf of the controller (see sections 1 and 1a).
This privacy policy describes how we process the personal data of users of the application, in accordance with Regulation (EU) 2016/679 of the European Parliament and of the Council (GDPR) and applicable national law.
1. Data Controller and Contact
The controller of personal data, including data concerning health (a special category of data within the meaning of Article 9 GDPR) contained in the test/assessment results, is the entity carrying out paramedical/wellness activity, which prepares the test/assessment results and effectively determines the purposes and means of processing:
- Full name: Volovyk Clinic Sp. z o.o.
- Address: Aleje Jerozolimskie 155 / U3, 02-326 Warszawa, Poland
- Tax ID (NIP): 5291821045
- Register number (KRS): 0000725113
- E-mail for data protection matters: kontakt@doctorvolovyk.com
Data protection contact person: Emil Świeca, email: kontakt@doctorvolovyk.com
For all matters concerning the processing of personal data and the exercise of the rights referred to in this policy, you should contact the controller (Volovyk Clinic Sp. z o.o.) at the e-mail addresses indicated above. It is the controller who decides on the exercise of data subjects’ rights.
1a. Processor / Application Provider
The provider and technical operator of the “Dr Volovyk” application and its associated backend is:
- Full name: Media Friends Sp. z o.o.
- Address: Aleje Jerozolimskie 155 / U3, 02-326 Warszawa, Poland
- Tax ID (NIP): 5291821424
- Register number (KRS): 0000730783
- Contact e-mail: hello@mediafriends.pl
- Data protection contact person: Anna Świeca, email: hello@mediafriends.pl
Media Friends Sp. z o.o. is the developer and publisher of the application on the Apple App Store and Google Play (holder of the developer accounts) and acts as a processor within the meaning of Article 4(8) GDPR. Media Friends processes personal data solely on behalf of and on the documented instructions of the controller (Volovyk Clinic Sp. z o.o.), without any purposes of its own, on the basis of a written data processing agreement concluded in accordance with Article 28 GDPR.
2. What Data We Process and Its Source
In connection with the use of the application, we process the following categories of data:
| Data category | Examples | Source |
|---|---|---|
| E-mail address | the address used to create an account and to log in, confirmed with a one-time code sent to that address | provided by the user when creating the account; for accounts created before version 1.4 – from the practice’s client records |
| User identifier | technical account identifier (user id) | generated by the authentication system |
| Password (as a hash) | the login password, set after the first login with a one-time code; stored solely as a cryptographic hash by the authentication system | set by the user |
| Primary user’s registration data | first and last name, date of birth, phone number; optionally the answer to “How did you hear about us?” (one of several general categories, e.g. referral, search engine, social media) | provided by the user when creating the account |
| Phone number | the account’s contact number and the phone numbers of appointment participants | provided by the user (during registration, when completing account details, or when booking an appointment) |
| Account member data | first and last name and date of birth of the persons attached to the account (including children), the “child” (person under 16) and “primary user” designations, the status of linking to results (e.g. “registered”, “visited”, “linked”, “under review”) | indicated/provided by the primary user; status generated by the system |
| Statements and consents given in the application | which statement/consent (key and text version), the text as a cryptographic hash (proof of exactly which text was displayed), the decision (yes/no), date and time of giving it, the person it concerns | given by the user in the application; record generated by the system |
| Appointment booking data | appointment date and time, selected service and its price, first and last name and phone number of the appointment participants, identifier of the account member who is a participant | provided by the user when booking |
| Technical notification data | device token for delivering push notifications, notification on/off setting | generated by the notification service on the device |
| Subscriptions to slot notifications | chosen day or period (up to 14 days ahead), number of people and visit composition (first and last name, type of visit, identifier of the account member), subscription status, history of notifications sent (slot, date sent, channel) | provided by the user in the application; history generated by the system |
| Reminder and booking-event log | information about sent reminders and appointment confirmation, a one-time appointment-confirmation token; a record of booking creation, cancellation, and confirmation events (audit) | generated by the system |
| Results-linking log | a record of when and on what basis (which conditions – see section 2a) results were linked to the account; where review by the practice was required – the reason, a one-time decision token (as a hash), the date the review request was sent, and the practice’s decision | generated by the system |
| Practice calendar data | entry identifier, date and time, cancellation flag, and the link to a person on the account (by the e-mail address given when the appointment was arranged, or after confirmation by the practice) – without the content of the entry; stored only for entries within the calendar synchronisation window (see section 5) | the practice’s calendar (appointments arranged in the application, on the website, or by phone) |
| Staff account data | work e-mail address, account identifier, role in the system (e.g. doctor), second-factor authentication data (TOTP key), the device identifier assigned by the application at installation, work-session records (start and end time, platform) | provided by the controller when the staff account is created; the device identifier and session records are generated by the system |
| Staff access log | a record of which staff member performed which action and when (session start and end, opening a person’s card, opening a result, saving an export file, a decision on the linking of results) and the identifiers of the data the action concerned (person in the records, account member, file, case) – without first and last names and without the content of results | generated by the system |
| User’s data concerning health | test/assessment results (PDF files); data in an export file generated by the user from a result (see section 7) | prepared and made available by the controller |
Data contained in the test/assessment results constitutes a special category of personal data within the meaning of Article 9 GDPR (data concerning health) and is subject to enhanced protection.
Within a family account, the primary user (a person aged 16 or over) adds family members, including children, to the account by providing their first name, last name, and date of birth; for a person under 16, they additionally declare that they are that person’s parent or legal guardian. The data of account members and of appointment participants is provided by the primary user, who is responsible for its accuracy and is authorized to act on behalf of those persons. Accounts created before version 1.4 could indicate family members from among persons known to the practice (client records) – that method remains in force for those accounts.
The application does not record the IP address or device identifier when statements are given and does not collect location data.
2a. How Results Reach the Account (Linking of Results)
The application makes available only the results of the person the account belongs to (and of their account members). Results are linked to the account server-side, without the user’s involvement, according to the following rule:
- for accounts created before version 1.4 – on the basis of the client records kept by the practice (first name, last name, e-mail address), as before;
- for accounts created in the application – automatically after a completed visit, when all three conditions are met at the same time: (1) an appointment recorded in the practice’s calendar (booked in the application, on the website, or by phone) for the given person has taken place, (2) the practice’s results archive contains a document marked with the date of that visit and that person’s first and last name, (3) there is no other person with the same first and last name in the records. A record of the linking (date, conditions met) is stored in the results-linking log.
If any condition is not met (e.g. a different spelling of the surname in the archive, two persons with the same first and last name), the results are not made available automatically – the system refers the case to manual review by the practice’s staff: an e-mail is sent to the practice’s internal e-mail address with the person’s first and last name, visit date, account e-mail address, and phone number, together with a one-time link allowing the linking to be approved or rejected. As of version 1.7 the practice’s staff can also resolve such a case directly in the application, on a staff account; the decision is then recorded in the staff access log (see section 4). Until the practice decides, the user sees a message in the application that a review is in progress. The overriding principle of the system is: an account will never see another person’s results – in case of doubt, results are not shown until the practice confirms identity.
As of version 1.6, the first condition is established on the basis of the practice’s calendar, in which all appointments are recorded – those booked in the application, on the website, and by phone. A calendar entry is attributed to a person on the account by the e-mail address given when the appointment was arranged (full match of the address). If the entry contains no e-mail address and only the first and last name match, the visit is not attributed automatically – the case is referred for manual review by the practice’s staff (as above) and the results remain unavailable until a decision is made. In the application’s database we store from the calendar only: the entry identifier, the date and time, and the cancellation flag. The content of the entry (title, description) is read solely in order to establish whether the entry concerns a person holding an account, and is not stored anywhere; entries that do not concern a person holding an account are not stored at all. Appointments arranged by phone are not visible in the application as bookings; appointments arranged on the website are visible in the application as bookings where the calendar entry states the account’s e-mail address. Regardless of booking visibility, the calendar serves to establish that a visit took place.
3. Purposes and Legal Bases of Processing
| Purpose of processing | Legal basis |
|---|---|
| Making the user’s data concerning health (test/assessment results) available to them in the application | Article 9(2)(a) GDPR – explicit consent of the data subject |
| Creating and maintaining an account, e-mail address verification, authentication and login (e-mail, user identifier, password stored as a hash, registration data) | Article 6(1)(b) GDPR – necessity for the performance of the service (provision of the portal); alternatively Article 6(1)(a) GDPR – consent |
| Collecting and documenting statements and consents given in the application (text key and version, text hash, decision, date) – including acceptance of the Terms of Service and the Privacy Policy | Article 6(1)(c) GDPR in conjunction with Article 7(1) GDPR – the obligation to demonstrate that the person has consented; and Article 6(1)(f) GDPR – legitimate interest (accountability, defence against claims); as regards acceptance of the Terms of Service and the Privacy Policy – Article 6(1)(b) GDPR |
| Linking results to the correct account after a completed visit and protecting against making results available to the wrong person (conditions in section 2a, linking log, review by the practice) | Article 6(1)(f) GDPR – legitimate interest (security and integrity of data, accountability); as regards processing security measures – Article 6(1)(c) GDPR in conjunction with Article 32 GDPR |
| Handling appointment bookings: accepting a booking, recording the appointment in the practice’s calendar, sending a booking confirmation to the user and a copy to the practice, cancelling and confirming an appointment (booking data, account-member data, phone number) | Article 6(1)(b) GDPR – necessity for the performance of the service (handling the booked appointment) |
| Sending appointment reminders (push notification, e-mail) and handling appointment confirmation, including by means of a one-time confirmation token | Article 6(1)(b) GDPR – necessity for the performance of the service (handling the booked appointment) |
| Notifications about freed-up appointment slots at the user’s request (the “Slot notifications” section): storing the chosen period and visit composition, checking the practice’s calendar for freed slots, sending an e-mail and a push notification, keeping a history of sent notifications; data deleted 30 days after the subscription ends or together with the account | Article 6(1)(b) GDPR – necessity for the performance of the service requested by the user |
| Contacting the user regarding appointments (phone number, e-mail address) | Article 6(1)(b) GDPR – necessity for the performance of the service; as regards voice calls – Article 6(1)(a) GDPR – voluntary consent given in the application |
| A one-time e-mail after the visit (information that results are in the application, summary, satisfaction survey) | Article 6(1)(a) GDPR – voluntary consent given in the application; without consent, no message is sent |
| Keeping a booking-event log (audit: creation, cancellation, confirmation of an appointment) | Article 6(1)(f) GDPR – legitimate interest (security, accountability, prevention of abuse) |
| Statistics on the sources through which clients learn about the practice (the “How did you hear about us?” answer) | Article 6(1)(f) GDPR – legitimate interest (assessing the effectiveness of information activities); the answer is voluntary |
| Ensuring access security and restricting access to results solely to the person they concern | Article 6(1)(f) GDPR (legitimate interest – data protection) and, as regards processing security measures, Article 6(1)(c) GDPR |
| Servicing clients by the controller’s authorized staff in the application (staff account: the practice’s day schedule, person register, person card together with results, handling of results-linking review cases) | Article 6(1)(b) GDPR – necessity to perform the service (handling the appointment and making results available) and Article 6(1)(f) GDPR – legitimate interest (organization of the practice’s work); as regards data concerning health – Article 9(2)(a) GDPR (the client’s explicit consent to the test/assessment being carried out and the results being made available in the application) |
| Keeping a staff access log (accountability: which staff member accessed which data and when) and securing the staff account (two-factor authentication, limited session, new-device alert) | Article 6(1)(c) GDPR in conjunction with Article 32 GDPR – the obligation to ensure the security of processing; and Article 6(1)(f) GDPR – legitimate interest (accountability, prevention of abuse) |
The legal basis for processing data concerning health is explicit consent (Article 9(2)(a) GDPR). The controller carries out paramedical/wellness activity and is not a healthcare provider; therefore it does not rely on the exemption in Article 9(2)(h) GDPR (healthcare) – that condition requires, under Article 9(3) GDPR, processing by staff bound by professional secrecy for a health purpose and is not available to an entity that is not a healthcare provider.
Statements and consents in the application. As of version 1.4, the information on data processing and the consents are presented and collected in the application: when creating an account, when adding a person under 16 to the account (parent/legal guardian statement), and – for accounts created earlier – once, at the first login after the update. The following are collected: acknowledgement of the information on data processing (required), explicit consent to the processing of data concerning health for the purpose of performing the test/assessment and making the results available in the application (required), acceptance of the Terms of Service and the Privacy Policy (with the version date; required from the primary user), the parent/legal guardian statement (required for a person under 16), consent to a one-time e-mail contact after the visit (voluntary), and consent to voice calls regarding the appointment (voluntary). The application records which version of the text the user saw (together with a cryptographic hash of its content) and when they made their decision – this is the proof required by Article 7(1) GDPR. A person who has given the statements in the application does not complete the paper statement at the practice – this is stated in the booking confirmation e-mail. Consents previously given on paper at the practice remain valid. The texts of the statements are versioned. A new version invalidates the previous one – once it is introduced, the application asks every user to read the current texts and tick the required boxes again; until then, booking appointments in the application is unavailable, while results remain available.
Withdrawal of consent is possible at any time by contacting the controller (section 1) and does not affect the lawfulness of processing carried out before its withdrawal. Withdrawal of consent to the processing of data concerning health means that results will no longer be made available in the application.
Logging in to the application takes place using an e-mail address (one-time OTP code or password; the one-time code also serves to confirm the e-mail address when creating the account; the password is set by the user after the first login with a code and stored solely as a cryptographic hash – neither the controller nor the application provider has access to the plain-text password). Processing of login data is necessary to provide the service – without it, secure access to test/assessment results is not possible.
Appointment reminders and booking confirmations are sent solely in connection with an appointment booked by the user and form part of handling that appointment (they are not marketing communication). The one-time confirmation token contained in the reminder allows only the confirmation of that appointment – it does not grant access to the account or to any other data.
4. Recipients and Processors
The controller (Volovyk Clinic Sp. z o.o.) has entrusted the processing of personal data to the processor Media Friends Sp. z o.o. (the application provider – see section 1a) on the basis of a written data processing agreement (Article 28 GDPR). Media Friends processes data solely on behalf of and on the documented instructions of the controller.
To provide the technical service, Media Friends – with the controller’s consent and on the basis of separate data processing agreements – uses the services of further processors (sub-processors), who process data solely to the extent necessary for the operation of the application:
| Sub-processor | Role / scope | Processing location | Safeguard for transfers outside the EEA |
|---|---|---|---|
| Supabase (Supabase, Inc., USA) | backend: authentication (including sending one-time codes and two-factor authentication for the staff account), database (accounts, account members, statements and consents, bookings, logs – including the staff access log), file storage, server functions (bookings, e-mail sending, staff account sessions, day schedule for staff) | data in Germany (EEA), on AWS infrastructure | transfer to the USA on the basis of Standard Contractual Clauses (SCC) |
| Hostinger (Hostinger International Ltd, Cyprus – EEA) | hosting of the application’s backend server (indexing of the results archive, linking of results to accounts, decision page for the practice’s staff, serving results to the staff account in the application) | processing in Germany (EEA) | not applicable – processing within the EEA |
| MEGA (MEGA Limited, New Zealand) | storage of source documents (end-to-end encryption) | data in Germany (EEA) | for the New Zealand entity, the basis is the EC adequacy decision for New Zealand (2013/65/EU) |
| Google (Google Ireland Limited, Dublin, Ireland – Google Workspace account) | storage of the practice’s client records (Google Sheets) with client data (last name, first name, e-mail); up to version 1.3 the records were the list of persons authorized to log in, as of version 1.4 they serve solely to link results to accounts created earlier, and as of version 1.6 they cease to be the only source of that linking (the practice’s calendar takes over that role) and are being phased out | data processed within the Google Workspace account; the entity for the EEA is Google Ireland Limited | transfer to Google LLC (USA) on the basis of the European Commission adequacy decision (EU-US Data Privacy Framework) and, additionally, Standard Contractual Clauses (SCC) |
| Google (Google Ireland Limited / Google LLC) | Google Calendar – recording appointments booked in the application in the practice’s calendar (date and time, selected service and price, first and last name and phone number of the participants, account e-mail address) and – as of version 1.6 – reading the practice’s calendar in order to establish that a visit took place (see section 2a); Firebase Cloud Messaging (FCM) – delivery of push notifications (device token, notification content – appointment date and time, no test/assessment results) | Google infrastructure (EU and USA) | transfer to Google LLC (USA) on the basis of the European Commission adequacy decision (EU-US Data Privacy Framework) and, additionally, Standard Contractual Clauses (SCC) |
| Apple (Apple Inc., USA / Apple Distribution International Ltd, Ireland) | Apple Push Notification service (APNs) – delivery of push notifications to iOS devices (device token, notification content – appointment date and time, no test/assessment results) | Apple infrastructure (EU and USA) | transfer to Apple Inc. (USA) on the basis of Standard Contractual Clauses (SCC) |
| MailerLite (MailerLite Limited, Ireland – EEA) | sending e-mail messages to application users, including notices of changes to the Terms of Service and the Privacy Policy (account e-mail address; information on delivery and opening of the message and on link clicks) | data in the EU (EEA) | not applicable – processing within the EEA |
| Make (Celonis, Inc., USA – EU data zone) | integration tool through which account e-mail addresses are passed to MailerLite | data in the EU zone | transfer to the USA on the basis of Standard Contractual Clauses (SCC) |
Google Play and the Apple App Store are distribution channels for the application in the app stores, not processors of client data within the Service. The “Google” and “Apple” entries above concern solely the indicated services (client records, practice calendar, notification delivery), not the distribution of the application.
Practice staff (internal recipient). The practice’s internal e-mail inbox (rejestracja@doctorvolovyk.com) receives: a copy of the confirmation of every booking made in the application (account e-mail address, participants, service, date and time, information on whether the statements were given in the application) and requests for manual review of results linking (section 2a). As of version 1.7 the controller’s authorized staff also use a staff account in the application: they see the practice’s day schedule, the person register, a person’s card together with their test/assessment results, and the list of results-linking review cases, which they can approve or reject in the application. Access to a staff account requires two-factor authentication, and every opening of a person’s card, opening of a result, saving of an export file, and decision is recorded in the staff access log (see sections 2, 5, and 7). This data is processed by the controller’s authorized staff – it is not a disclosure of data to a third party.
E-mails (login codes, booking confirmations, appointment reminders, the one-time message after the visit with consent) are sent from the practice’s own mailbox in the practice’s domain (SMTP); the content of messages to the user contains only organizational details of the appointment (date and time, service, participants, practice address) – never test/assessment results.
The “Vega Test – what it looks like” information screen displays in the application an article from the controller’s website (www.doctorvolovyk.com). In in-app display mode, the page is loaded without analytics or marketing scripts and without the cookie banner; only standard technical request data (e.g. the device’s IP address) reaches the website server, as with any visit to the site. Links leading outside the controller’s website open in the system browser, outside the application.
A data processing agreement (Article 28 GDPR) ensuring an adequate level of protection is concluded with each sub-processor, and sub-processing is entrusted with the controller’s consent.
We do not transfer personal data to third parties for marketing purposes. Data may be disclosed solely to authorities entitled under the law.
5. Data Retention Period
- Account and login data (e-mail address, user identifier, password as a hash): stored for the period of use of the application, until the account is deleted (see section 11).
- Registration data, phone number, and account-member data (first and last names, dates of birth, “child”/“primary user” designations, linking statuses, the “How did you hear about us?” answer): stored for the period of use of the application, until changed by the user or until the account is deleted.
- Statements and consents given in the application (text key and version, text hash, decision, date): stored for the period the account exists as proof of having been given (Article 7(1) GDPR); removing a person from the account does not remove the record of the statement given; deleting the account deletes the record of statements together with the account.
- Device tokens (push): stored until notifications are disabled, the device is unregistered, or the account is deleted.
- Subscriptions to slot notifications and the notification history: stored until the subscription ends (cancellation, end of the chosen period, or booking of an appointment), then deleted after 30 days; deleting the account deletes them immediately.
- Booking data in the practice’s calendar (date and time, service, participants): stored in the practice’s calendar for the time necessary to handle appointments and keep the practice’s schedule.
- Reminder and booking-event log (reminder logs, audit of appointment creation/cancellation/confirmation): stored for the time necessary to handle appointments and ensure security and accountability, no longer than until the expiry of the limitation periods for any claims.
- Results-linking log and records of review by the practice: stored for the period of use of the application and – as proof of the basis on which data concerning health was made available – for the limitation period of claims after account deletion (Article 6(1)(f) GDPR). The one-time decision token for the practice is valid for 7 days and expires once used.
- Entries in the records serving to distinguish persons with the same first and last name (so-called markers – first name, last name, account e-mail address, no results): may be retained even after account deletion, solely so that another person’s results with the same first and last name are not made available by mistake (Article 6(1)(f) GDPR – data security); they grant no one access.
- Practice calendar data (entry identifier, date and time, cancellation flag, link to a person on the account): stored in the application system for as long as necessary to link results to the account and to ensure accountability, and no longer than the entry’s date remains within the calendar synchronisation window (by default 730 days back and 120 days ahead) – entries outside that window are deleted at the next refresh of calendar data. Removing a person from the account removes their link to the entry (at the next refresh of calendar data). The practice’s calendar itself is kept in accordance with the rules set out in the paragraph on booking data.
- Staff account data and work-session records (e-mail address, role, second authentication factor, device identifier, session start and end time): stored for the period the person’s authorization lasts; ended and expired session records are deleted after 30 days.
- Staff access log: stored for 3 years from the entry, after which it is deleted automatically. The log serves accountability purposes (Article 6(1)(c) GDPR in conjunction with Article 32 GDPR), is not deleted together with the deletion of a client’s account nor when a staff member’s authorization is revoked, and contains no first or last names and no content of results.
- Copies of e-mails in the practice’s inbox (booking confirmations, review requests): in accordance with the controller’s correspondence retention rules, no longer than necessary to handle appointments and ensure accountability.
- Data concerning health (test/assessment results): retained on the basis of purpose and consent – until the user withdraws consent or until the purpose of processing ceases, whichever occurs first. The user has the right to withdraw consent (Article 7(3) GDPR) and the right to erasure (Article 17 GDPR).
Because the controller is not a healthcare provider, the statutory retention periods for medical records (e.g. 20/30 years under the Act on Patients’ Rights and the Patients’ Rights Ombudsman) do not apply to data concerning health processed within paramedical/wellness activity. Retention is based on purpose and consent.
After withdrawal of consent or deletion of the Account, the Controller may retain a necessary, limited scope of data for the limitation period of civil claims – on the basis of Article 6(1)(f) GDPR (legitimate interest: establishment, exercise, or defence of legal claims).
6. Rights of Data Subjects
Every data subject has the following rights:
- right of access to their data (Article 15 GDPR),
- right to rectification (Article 16 GDPR),
- right to erasure (“right to be forgotten”, Article 17 GDPR),
- right to restriction of processing (Article 18 GDPR),
- right to data portability (Article 20 GDPR),
- right to object to processing (Article 21 GDPR),
- right to withdraw consent at any time (Article 7(3) GDPR), without affecting the lawfulness of processing carried out before its withdrawal,
- right to lodge a complaint with a supervisory authority – in Poland, the President of the Personal Data Protection Office (PUODO).
Because the legal basis for processing data concerning health is explicit consent (Article 9(2)(a) GDPR), the user has the right to withdraw consent and the right to erasure – unlike under the regime for medical records kept by a healthcare provider.
The primary user can change the phone number themselves in the application (account details). Rectification of first name, last name, or date of birth (their own or an account member’s), withdrawal of consent, objection to the linking of results, and the remaining rights are handled by the controller on request.
The primary user can rectify the first name, last name, and date of birth of a person added in the application themselves, until results are linked to them and provided no submitted request is under review. They can also remove that person themselves – on the same conditions and, additionally, only when no appointment is scheduled for that person. After linking, the correction is submitted in the application and reviewed by the practice’s staff – as of version 1.7 directly on a staff account in the application or, as before, by means of a message to the practice’s internal address (see section 4); a refusal to act on the request is recorded. Removing a person from the account does not delete the record of statements made with respect to them.
With regard to the data of children attached to a family account, these rights are exercised by the parent or legal guardian (the primary user).
To exercise the above rights, please contact the controller (see section 1).
7. Data Security and Files Saved Outside the Application
We apply technical and organizational security measures appropriate to the risk, including:
- encryption in transit (HTTPS/TLS) for all connections,
- access isolation – strict access control and server-side identity verification, so that a client has access solely to their own data and the data of the members of their account, while the controller’s authorized staff (staff account) have access solely to the data of the persons whose service requires it, and every such access is logged (see section 2); results are linked to the account exclusively server-side according to the conditions in section 2a, and in case of any doubt (e.g. two persons with the same first and last name) results are not made available until manual review by the practice,
- confirmation of the e-mail address with a one-time code when creating the account, and limits on the number of login and registration attempts,
- storing the password solely as a cryptographic hash – the plain-text password is not known to or stored by anyone,
- recording a cryptographic hash of the content of every statement and consent given in the application – allowing it to be demonstrated exactly which text was displayed,
- one-time tokens with limited effect – the appointment-confirmation token allows only the confirmation of a specific appointment; the decision token for the practice allows only the approval/rejection of one linking, is valid for 7 days, and is stored as a hash,
- automatic logout after 10 minutes of inactivity (on a staff account – after 5 minutes),
- local cache of PDF files on the device, kept in the application’s private directory (inaccessible to other applications); on a staff account the cache is disabled – results are not saved on the device, and at every logout any previously saved files are removed from the device,
- separate rules for the staff account – the authorization is granted solely by the controller (it cannot be obtained through self-registration); logging in requires a password and two-factor authentication (a one-time TOTP code from an authenticator app); a work session is valid for no longer than 12 hours from logging in; a login from a new device is signalled by an e-mail to the staff account’s address and to the practice’s internal address; the number of login and code-verification attempts is limited; every opening of a person’s card, opening of a result, saving of an export file, and decision on the linking of results is recorded in the staff access log (without the content of results),
- the content of push notifications and e-mails does not contain test/assessment results – only organizational details of the appointment.
Files saved outside the application (at the user’s request). From the application the user can share or save their test/assessment result as a PDF file and, for results in the current format, also generate from it an export file in JSON format (for import into the Biohealer program). Saving takes place solely on the user’s explicit command (button), to a location chosen by the user (e.g. the “Downloads” folder, the “Files” app, another app via the system share sheet). From that moment the file is outside the application and under the user’s sole control – including in any backups and cloud services configured on the device – and the application has no influence over it and cannot delete it. The application does not automatically transmit such files to any entity (including the maker of the Biohealer program); the generated file contains data concerning health and the user should store it with appropriate care.
8. Transfers Outside the European Economic Area (EEA)
As a rule, data is stored and processed within the European Union / EEA – in Germany. This applies to Supabase (backend, on AWS), Hostinger (backend server), and MEGA (source documents). Data in MailerLite (sending e-mail messages) is also processed within the EU. However, some sub-processors are entities from outside the EEA, which involves data transfers for which the following safeguards are applied:
- Supabase (Supabase, Inc., USA) – transfer to the USA on the basis of Standard Contractual Clauses (SCC);
- MEGA (MEGA Limited, New Zealand) – the basis is the European Commission adequacy decision for New Zealand (2013/65/EU);
- Google (client records, Google Sheets – Google Workspace account, being phased out as of version 1.6; Google Calendar – the practice’s calendar, writing and reading appointment dates; Firebase Cloud Messaging – delivery of push notifications) – the entity for the EEA is Google Ireland Limited (Dublin, Ireland); transfer to Google LLC (USA) on the basis of the European Commission adequacy decision (EU-US Data Privacy Framework) and, additionally, Standard Contractual Clauses (SCC);
- Apple (Apple Push Notification service – delivery of push notifications to iOS devices) – the entity for the EEA is Apple Distribution International Ltd (Ireland); transfer to Apple Inc. (USA) on the basis of Standard Contractual Clauses (SCC);
- Make (Celonis, Inc., USA – integration tool passing account e-mail addresses to MailerLite; data in the EU zone) – transfer to the USA on the basis of Standard Contractual Clauses (SCC).
A copy of the safeguards applied can be obtained by contacting the controller.
9. Children
An account in the application can be created only by a person who is 16 or over; the application verifies this on the basis of the date of birth provided and does not allow a younger person to create an account. The application is not directed at children and is not intended for independent use by persons below that age.
Within family accounts, data of children who are clients of the practice is processed – to the extent of the child’s first and last name, date of birth, appointment dates, and test/assessment results. This data is provided and updated by the parent or legal guardian (the primary user), who, when adding a person under 16, declares in the application that they are that person’s parent/legal guardian and gives, on their behalf, consent to the processing of data concerning health for the purpose of performing the test/assessment and making the results available in the application. The parent/guardian manages the account and the appointment bookings and confirmations on behalf of the child. Children do not create their own accounts, do not log in to the application, and do not receive notifications.
10. Cookies and Analytics
The application does not use:
- analytics tools,
- advertising,
- trackers,
- tracking cookies,
and does not transfer data to third parties for marketing purposes.
Only technical mechanisms necessary for authentication and operation of the application are used (e.g. maintaining the login session, the device token used to deliver push notifications). Push notifications require permission granted in the device’s operating system and can be disabled at any time in the application or system settings.
The “Vega Test – what it looks like” information screen displays an article from the controller’s website; in in-app display mode, that page does not load analytics tools, marketing pixels, or the cookie banner (see section 4). The rules for the website www.doctorvolovyk.com opened in a regular browser are described in that website’s separate privacy policy.
11. Account and Data Deletion
The account can be deleted in one of the following ways:
- In the application: menu → “Delete account”,
- By contacting the controller (Volovyk Clinic Sp. z o.o.; see section 1).
Important: deleting the account erases the login data (the account and the associated authentication data, including the password as a hash) and the profile data associated with the account: registration data, phone number, the list of account members with their statuses, device (push) tokens, the record of statements and consents given in the application, and pending review requests. Regardless of account deletion, the user has the right to withdraw consent and the right to erasure of data concerning health (test/assessment results) – see sections 5 and 6. After withdrawal of consent or deletion of the Account, the Controller may retain a necessary, limited scope of data – the booking-event log, the results-linking log (proof of the basis on which data concerning health was made available), entries in the staff access log (proof of which staff member accessed the data and when – without first and last names and without the content of results; see section 5), and the entries in the records serving solely to distinguish persons with the same first and last name – for the limitation period of civil claims, on the basis of Article 6(1)(f) GDPR (legitimate interest: establishment, exercise, or defence of legal claims and data security). Files saved by the user outside the application (section 7) are not deleted together with the account – they remain under the user’s control.
12. Changes to the Privacy Policy
This policy may be updated periodically. We will inform about significant changes in a manner appropriate to the nature of the change (e.g. in the application). The current version applies from the date indicated at the beginning of the document.
- Publication date of this version: 2026-10-09; effective date: 2026-10-26 (previous version: 2026-09-01)