Polityka Prywatności
i Ochrony Danych
Przejrzysty przewodnik po tym, jak chronimy Twoje dane osobowe, jakie prawa Ci przysługują oraz w jaki sposób zapewniamy bezpieczeństwo informacji w zgodności z RODO i ISO/IEC 27001.
Administrator Danych Osobowych
60-529 Poznań, Polska
Niniejszy dokument określa zasady przetwarzania danych osobowych Użytkowników korzystających z platformy Diagu, serwisów prowadzonych pod domeną diagu.pl oraz diagu.com, a także powiązanych aplikacji i API.
Zakres Przetwarzanych Danych
W zależności od sposobu korzystania z naszych usług przetwarzamy następujące kategorie danych osobowych:
- Imię, nazwisko lub inicjały (w zakresie niezbędnym)
- Adres e-mail
- Numer telefonu (jeżeli podany dobrowolnie)
- Nazwa organizacji, stanowisko (dla kont klinicznych)
Przetwarzane wyłącznie na podstawie wyraźnej zgody lub dla realizacji świadczeń zdrowotnych:
- Wyniki badań laboratoryjnych przesyłane do analizy AI
- Historia badań i interpretacji klinicznych (pamięć zdrowotna pacjenta)
- Notatki z wizyt i transkrypcje (funkcja SOAP)
- Dane diagnostyczne z integracji z laboratoriami partnerskimi
- Adres IP i dane urządzenia (typ, system operacyjny, przeglądarka)
- Logi aktywności w systemie
- Dane o sesjach i interakcjach z platformą
- Znaczniki czasowe działań (do celów bezpieczeństwa i audytu)
Podstawy Prawne Przetwarzania
| Podstawa prawna | Przepis RODO | Zastosowanie |
|---|---|---|
| Wykonanie umowy | Art. 6 ust. 1 lit. b) | Świadczenie usług platformy Diagu, obsługi konta, wystawiania faktur |
| Zgoda | Art. 6 ust. 1 lit. a) / Art. 9 ust. 2 lit. a) | Marketing, przetwarzanie danych zdrowotnych, pliki cookies analityczne |
| Uzasadniony interes | Art. 6 ust. 1 lit. f) | Bezpieczeństwo systemów, zapobieganie nadużyciom, statystyki anonimowe |
| Obowiązek prawny | Art. 6 ust. 1 lit. c) | Archiwizacja księgowa, obowiązki podatkowe, odpowiedzi na żądania organów |
| Ochrona zdrowia | Art. 9 ust. 2 lit. h) | Interpretacja wyników badań w ramach świadczeń diagnostycznych |
Cele Przetwarzania i Okresy Retencji
| Cel przetwarzania | Kategoria danych | Okres retencji |
|---|---|---|
| Świadczenie usług platformy i obsługi konta | Identyfikacyjne, kontaktowe | Przez okres trwania umowy + 3 lata |
| Analiza wyników badań (silnik DIAGU FIRE) | Zdrowotne (zaszyfrowane) | Przez czas trwania konta lub cofnięcia zgody |
| Transkrypcje wizyt i notatki SOAP | Zdrowotne, kliniczne | Zgodnie z wymaganiami dla dok. medycznej (min. 20 lat) |
| Rozliczenia i faktury | Finansowe, identyfikacyjne | 5 lat od końca roku podatkowego |
| Logi bezpieczeństwa i audytu | Techniczne | 12 miesięcy |
| Marketing i komunikacja | Kontaktowe | Do czasu cofnięcia zgody lub sprzeciwu |
| Dochodzenie roszczeń | Różne | Do 6 lat od zdarzenia (przedawnienie) |
Prawa Osoby, której Dane Dotyczą
Każdej osobie, której dane przetwarzamy, przysługują następujące prawa. Wnioski realizujemy bez zbędnej zwłoki, nie później niż w ciągu 30 dni.
Bezpieczeństwo Informacji (ISO/IEC 27001)
System Zarządzania Bezpieczeństwem Informacji
Diagu Sp. z o.o. wdraża i utrzymuje System Zarządzania Bezpieczeństwem Informacji (ISMS) zgodny z wymaganiami normy ISO/IEC 27001:2022. System obejmuje kompletny cykl PDCA: planowanie, wdrożenie, monitoring i ciągłe doskonalenie zabezpieczeń informacji przetwarzanych w ramach platformy Diagu.
Zabezpieczenia organizacyjne
- Polityka bezpieczeństwa informacji zatwierdzona przez Zarząd i komunikowana całemu personelowi
- Sformalizowane role i odpowiedzialność za bezpieczeństwo informacji
- Regularne szkolenia pracowników z zakresu bezpieczeństwa i ochrony danych
- Weryfikacja pracowników i podmiotów współpracujących przed dostępem do danych
- Umowy powierzenia przetwarzania danych ze wszystkimi podmiotami przetwarzającymi
- Sformalizowany proces zarządzania incydentami bezpieczeństwa
- Regularne audyty wewnętrzne i przeglądy zarządcze ISMS
Zabezpieczenia techniczne
- Szyfrowanie danych w spoczynku (AES-256) i w trakcie transmisji (TLS 1.3+)
- Pseudonimizacja danych zdrowotnych – dane kliniczne przechowywane oddzielnie od identyfikacyjnych
- Kontrola dostępu oparta na rolach (RBAC) i zasadzie najmniejszych uprawnień
- Wieloskładnikowe uwierzytelnianie (MFA) dla kont klinicznych i administracyjnych
- Automatyczne kopie zapasowe z regularnym testowaniem odtwarzania
- Rejestrowanie i monitorowanie zdarzeń bezpieczeństwa
- Zarządzanie podatnościami technicznymi i regularne testy penetracyjne
- Oddzielne środowiska produkcyjne, testowe i deweloperskie
Odbiorcy i Podmioty Przetwarzające
Dane osobowe nie są sprzedawane ani udostępniane podmiotom trzecim w celach komercyjnych. Mogą być przekazywane następującym kategoriom podmiotów:
- Dostawcy infrastruktury chmurowej – dane przetwarzane wyłącznie w celu świadczenia usług technicznych
- Partnerzy laboratoryjni integrujący wyniki badań – zakres niezbędny do realizacji interpretacji
- Dostawcy usług płatności – wyłącznie dane rozliczeniowe
- Dostawcy narzędzi komunikacji – adres e-mail i treść wiadomości transakcyjnych
- Organy podatkowe i skarbowe – w zakresie wymaganym przez prawo podatkowe
- Organy ścigania i sądy – wyłącznie na podstawie prawomocnych nakazów
- Organy nadzorcze (np. UODO) – w zakresie wymaganym przez RODO
Każdy podmiot przetwarzający dane podpisał umowę powierzenia przetwarzania danych, zapewniającą zgodność z RODO i równoważne wymagania bezpieczeństwa.
Transfer Danych Poza Europejski Obszar Gospodarczy
Dane osobowe są przetwarzane przede wszystkim w ramach EOG. W przypadkach transferu do państw trzecich stosujemy:
- Transfer wyłącznie do krajów objętych decyzją adekwatności Komisji Europejskiej
- Standardowe Klauzule Umowne (SCC) w wersji zatwierdzonej przez KE w 2021 r.
- Dodatkowe zabezpieczenia techniczne i organizacyjne w przypadku transferów do USA
Dane Osób Małoletnich
Usługa Diagu jest skierowana do podmiotów profesjonalnych (klinik, placówek medycznych i weterynaryjnych) oraz dorosłych pacjentów. Nie gromadzimy świadomie danych bezpośrednio od osób poniżej 16 roku życia bez zgody rodzica lub opiekuna prawnego.
Dane zdrowotne pacjentów małoletnich mogą być przetwarzane wyłącznie przez uprawniony personel medyczny w ramach świadczeń zdrowotnych, na podstawie art. 9 ust. 2 lit. h) RODO.
Jeżeli uzyskasz informacje, że małoletnie dziecko podało nam swoje dane bez zgody rodzica, prosimy o kontakt: security@diagu.pl.
Zmiany Polityki Prywatności
Niniejsza Polityka może być aktualizowana w związku ze zmianami przepisów prawa, wdrożeniem nowych usług lub rewizją praktyk bezpieczeństwa ISMS. O istotnych zmianach będziemy informować:
- Poprzez komunikat w aplikacji i na stronie internetowej
- Drogą e-mailową – użytkowników zarejestrowanych kont
- Co najmniej 14 dni przed wejściem zmian w życie
Jak Się z Nami Skontaktować
We wszelkich sprawach dotyczących ochrony danych, realizacji praw lub pytań dotyczących Polityki Prywatności prosimy o kontakt:
60-529 Poznań, Polska
Zalecany kanał do spraw ochrony danych. Odpowiedź w ciągu 72 godz.
ul. Stawki 2, 00-193 Warszawa
uodo.gov.pl