Polityka prywatności

Wstęp

My, Pacsy GmbH, Puricellistraße 34, 93049 Regensburg (dalej: „Pacsy”, „my” lub „nas”), traktujemy ochronę Państwa danych osobowych poważnie. Pacsy jest systemem PACS w chmurze (Picture Archiving and Communication System), który umożliwia gabinetom lekarskim, radiologom, centrom medycznym (Medizinische Versorgungszentren, MVZ) i szpitalom cyfrowe zarządzanie medycznymi danymi obrazowymi oraz ich bezpieczną wymianę. Niniejsza polityka prywatności informuje Państwa o tym, w jaki sposób przetwarzamy Państwa dane osobowe.

1. Definicje

„Dane osobowe” (art. 4 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, dalej: „RODO”) oznaczają wszelkie informacje o możliwej do zidentyfikowania osobie fizycznej. „Przetwarzanie” (art. 4 pkt 2 RODO) oznacza każdą operację wykonywaną na danych osobowych. „Administrator” (art. 4 pkt 7 RODO) ustala cele i sposoby przetwarzania. „Podmiot przetwarzający” (art. 4 pkt 8 RODO) przetwarza dane w imieniu administratora.

2. Nazwa i adres administratora

3. Inspektor ochrony danych

4. Podstawy prawne przetwarzania danych

• Art. 6 ust. 1 akapit pierwszy lit. a RODO: Zgoda osoby, której dane dotyczą.
• Art. 6 ust. 1 akapit pierwszy lit. b RODO: Wykonanie umowy lub podjęcie działań przed zawarciem umowy.
• Art. 6 ust. 1 akapit pierwszy lit. c RODO: Wypełnienie obowiązku prawnego.
• Art. 6 ust. 1 akapit pierwszy lit. f RODO: Ochrona prawnie uzasadnionych interesów administratora.
• Art. 9 ust. 2 lit. a RODO: Wyraźna zgoda w przypadku danych dotyczących zdrowia.
• Art. 9 ust. 2 lit. h RODO: Przetwarzanie danych dotyczących zdrowia w ramach opieki zdrowotnej.

5. Usuwanie danych i okres przechowywania

Państwa dane osobowe są usuwane lub blokowane, gdy tylko ustanie cel ich przechowywania, o ile nie stoją temu na przeszkodzie ustawowe obowiązki przechowywania (np. § 257 niemieckiego kodeksu handlowego [Handelsgesetzbuch, HGB], § 147 niemieckiej ordynacji podatkowej [Abgabenordnung, AO]).

6. Bezpieczeństwo danych

Stosujemy odpowiednie techniczne i organizacyjne środki bezpieczeństwa. Aplikacja Pacsy oraz wszystkie medyczne dane obrazowe (DICOM) są utrzymywane wyłącznie na serwerach Hetzner Online GmbH w Niemczech (Norymberga i Falkenstein, z certyfikatem ISO 27001). Obsługa poczty elektronicznej odbywa się na własnym serwerze w RKOM Data Center 3, Keltenstraße 5, 93138 Lappersdorf. Wszystkie serwery znajdują się w Niemczech. Przesyłanie danych odbywa się wyłącznie w formie szyfrowanej (TLS). Konta użytkowników są chronione za pomocą uwierzytelniania dwuskładnikowego (2FA).

7. Pacsy jako podmiot przetwarzający

W zakresie, w jakim Pacsy przechowuje dane obrazowe DICOM (dane dotyczące zdrowia) na rzecz gabinetów lekarskich, centrów medycznych (MVZ) lub szpitali, Pacsy działa jako podmiot przetwarzający zgodnie z art. 28 RODO. Administratorem pozostaje dany gabinet. Z każdym gabinetem zawierana jest umowa powierzenia przetwarzania danych osobowych (Auftragsverarbeitungsvertrag, AVV). Z zapytaniami o własne dane dotyczące zdrowia pacjenci proszeni są o zwracanie się do swojego gabinetu.

8. Współpraca z podmiotami przetwarzającymi

W celu świadczenia naszych usług korzystamy z następujących podmiotów przetwarzających:

Hetzner Online GmbH

Industriestraße 25, 91710 Gunzenhausen. Serwery główne obsługujące aplikację, bazę danych, dane obrazowe DICOM i kopie zapasowe. Lokalizacje: Norymberga i Falkenstein, Niemcy. Certyfikat ISO 27001. Podstawa prawna: art. 6 ust. 1 lit. b, f RODO.

Własny serwer poczty elektronicznej (Mailcow) – RKOM Data Center 3

Keltenstraße 5, 93138 Lappersdorf. Obsługa własnego serwera poczty elektronicznej na potrzeby wiadomości e-mail istotnych dla działania systemu, w tym wiadomości e-mail dotyczących udostępniania obrazów. Przetwarzanie wyłącznie w Niemczech. Podstawa prawna: art. 6 ust. 1 lit. b, f RODO.

Spryng B.V.

Hannie Dankbaarpassage 20-B, 1053 RT Amsterdam, Niderlandy. Transakcyjna wysyłka wiadomości SMS (np. kodów 2FA). Dostawca z UE, działający zgodnie z RODO. Informacje o ochronie danych: https://www.spryng.de/datenschutzerklaerung/ – Podstawa prawna: art. 6 ust. 1 lit. b, f RODO.

Functional Software Inc. (Sentry) / GlitchTip hostowany we własnym zakresie w infrastrukturze Hetzner

Obecnie: Sentry, 45 Fremont St., San Francisco, CA 94105, USA (przekazywanie danych do państwa trzeciego na podstawie standardowych klauzul umownych UE). Planowane: migracja do GlitchTip hostowanego we własnym zakresie w infrastrukturze Hetzner w Niemczech; wówczas przekazywanie danych do państwa trzeciego nie będzie już miało miejsca. Cel: telemetria błędów aplikacji; bez danych pacjentów i bez treści DICOM. Podstawa prawna: art. 6 ust. 1 lit. f RODO.

Expo Technology Inc. (powiadomienia push i aktualizacje aplikacji / EAS)

650 Castro St., Mountain View, CA 94041, USA. Powiadomienia push (Expo Push Service) oraz aktualizacje aplikacji w trybie over-the-air (EAS). Przekazywanie danych do państwa trzeciego na podstawie standardowych klauzul umownych UE. Powiadomienia push można w każdej chwili wyłączyć w ustawieniach urządzenia. Informacje o ochronie danych: https://expo.dev/privacy-explained – Podstawa prawna: art. 6 ust. 1 lit. a, f RODO.

Google LLC (Firebase Cloud Messaging – powiadomienia push w systemie Android)

1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Powiadomienia push na urządzeniach z systemem Android. Przekazywanie danych do państwa trzeciego na podstawie standardowych klauzul umownych UE. Informacje o ochronie danych: https://cloud.google.com/terms/cloud-privacy-notice – Podstawa prawna: art. 6 ust. 1 lit. a, f RODO.

Apple Inc. (Apple Push Notification Service – powiadomienia push w systemie iOS)

One Apple Park Way, Cupertino, CA 95014, USA. Powiadomienia push na urządzeniach z systemem iOS. Przekazywanie danych do państwa trzeciego zgodnie z art. 46 RODO. Informacje o ochronie danych: https://www.apple.com/legal/privacy/ – Podstawa prawna: art. 6 ust. 1 lit. a, f RODO.

9. Państwa prawa jako osoby, której dane dotyczą

• Dostęp do danych (art. 15 RODO)
• Sprostowanie nieprawidłowych danych (art. 16 RODO)
• Usunięcie danych / prawo do bycia zapomnianym (art. 17 RODO)
• Ograniczenie przetwarzania (art. 18 RODO)
• Przenoszenie danych (art. 20 RODO)
• Sprzeciw wobec przetwarzania (art. 21 RODO)
• Wycofanie udzielonej zgody (art. 7 ust. 3 RODO), bez wpływu na dotychczasowe przetwarzanie
• Wniesienie skargi do bawarskiego krajowego urzędu nadzoru nad ochroną danych (Bayerisches Landesamt für Datenschutzaufsicht, BayLDA), Promenade 18, 91522 Ansbach, e-mail: poststelle@datenschutz-bayern.de

10. Brak zautomatyzowanego podejmowania decyzji

Nie stosujemy zautomatyzowanego podejmowania decyzji, w tym profilowania, w rozumieniu art. 22 RODO.

11. Zmiany niniejszej polityki prywatności

Zastrzegamy sobie prawo do dostosowywania niniejszej polityki prywatności. Aktualna wersja jest dostępna pod adresem https://pacsy.de/pl/datenschutz. Stan na: wrzesień 2026 r.

1. Wizyta na naszej stronie internetowej (pacsy.de)

a) Pliki dziennika serwera

Przy otwarciu naszej strony internetowej na naszych serwerach Hetzner (Niemcy) automatycznie zapisywane są dane dziennika: adres URL, adres strony odsyłającej (referrer), data i godzina, typ przeglądarki, system operacyjny, kod statusu HTTP, zanonimizowany adres IP. Podstawa prawna: art. 6 ust. 1 lit. f RODO. Okres przechowywania: 30 dni.

b) Kontakt za pośrednictwem poczty elektronicznej lub formularza kontaktowego

Państwa dane (imię i nazwisko, adres e-mail, treść wiadomości) są przetwarzane na naszym własnym serwerze poczty elektronicznej (Mailcow) w RKOM Data Center 3, Keltenstraße 5, 93138 Lappersdorf. Podstawa prawna: art. 6 ust. 1 lit. b lub lit. f RODO. Jeżeli za pośrednictwem naszych formularzy zwracają się Państwo o prezentację lub o termin spotkania na targach, przetwarzamy podane przez Państwa informacje (imię i nazwisko, placówka, funkcja, adres e-mail oraz, jeżeli zostały podane, numer telefonu i wiadomość) w celu rozpatrzenia Państwa zapytania i nawiązania z Państwem kontaktu. Informacje te trafiają do naszego własnego systemu zarządzania danymi klientów; nie są one przekazywane osobom trzecim. Podstawą prawną jest art. 6 ust. 1 lit. b RODO. W przypadku zapytań dotyczących targów zapisujemy wybrane targi oraz preferowane przez Państwa dni jako wiadomość w naszym systemie zarządzania danymi klientów. Dokładną godzinę uzgadniamy z Państwem osobiście; samo zapytanie nie powoduje rezerwacji terminu. Zapytania dotyczące prezentacji i targów, w których sprawie nie podejmujemy dalszych działań, usuwamy najpóźniej po 90 dniach.

c) Rejestracja i konto użytkownika

Do korzystania z Pacsy wymagane jest konto użytkownika. Zbieramy: imię i nazwisko, adres e-mail, nazwę gabinetu, numer telefonu (opcjonalnie), hasło (w postaci zaszyfrowanej). Procedura double opt-in (podwójnego potwierdzenia). Dane są przechowywane w infrastrukturze Hetzner w Niemczech. Podstawa prawna: art. 6 ust. 1 lit. b RODO.

2. Korzystanie z aplikacji Pacsy

a) Dostęp do kamery

Aplikacja może, za Państwa zgodą, uzyskiwać dostęp do kamery (np. kody QR). Rejestrowane obrazy są przetwarzane wyłącznie lokalnie. Podstawa prawna: art. 6 ust. 1 lit. a RODO. Wycofanie zgody jest możliwe w każdej chwili w ustawieniach urządzenia.

b) Telemetria błędów (raportowanie awarii)

W przypadku błędów technicznych rejestrowane są dane telemetryczne: komunikat o błędzie, wersja aplikacji, wersja systemu operacyjnego, zanonimizowany identyfikator sesji, znacznik czasu. Dane pacjentów ani treści DICOM nie są przy tym przekazywane. Obecnie: Sentry (USA, standardowe klauzule umowne UE). Planowane: migracja do GlitchTip hostowanego we własnym zakresie w infrastrukturze Hetzner w Niemczech. Podstawa prawna: art. 6 ust. 1 lit. f RODO. Okres przechowywania: 90 dni.

c) Powiadomienia push

Za zgodą wysyłamy powiadomienia push za pośrednictwem Expo Push Service (USA). W zależności od urządzenia wykorzystywana jest usługa Firebase Cloud Messaging (Android, Google LLC, USA) lub Apple Push Notification Service (iOS, Apple Inc., USA). Przekazywanie danych do państwa trzeciego na podstawie standardowych klauzul umownych UE lub odpowiednio art. 46 RODO. Wyłączenie jest możliwe w każdej chwili w ustawieniach urządzenia. Podstawa prawna: art. 6 ust. 1 lit. a RODO.

d) Aktualizacje aplikacji (over-the-air za pośrednictwem EAS)

Aplikacja może otrzymywać aktualizacje za pośrednictwem Expo EAS (USA). Przekazywane dane: techniczne dane urządzenia (wersja aplikacji, platforma); nie są przekazywane dane użytkowników ani dane pacjentów. Przekazywanie danych do państwa trzeciego na podstawie standardowych klauzul umownych UE. Podstawa prawna: art. 6 ust. 1 lit. b, f RODO.

e) Przetwarzanie medycznych danych obrazowych (DICOM)

Dane obrazowe DICOM stanowią dane dotyczące zdrowia w rozumieniu art. 9 RODO. Pacsy przetwarza je wyłącznie jako podmiot przetwarzający w imieniu danego gabinetu. Dane DICOM są przechowywane wyłącznie na serwerach Hetzner Online GmbH w Niemczech (Norymberga i Falkenstein). Przetwarzanie poza Niemcami nie ma miejsca. Podstawa prawna: art. 9 ust. 2 lit. h RODO w związku z art. 28 RODO.

f) Udostępnianie obrazów pocztą elektroniczną

Pacsy umożliwia gabinetom przekazywanie danych obrazowych pocztą elektroniczną pacjentom lub upoważnionym odbiorcom. Funkcję tę uruchamia wyłącznie gabinet jako administrator. Wysyłka odbywa się za pośrednictwem własnego serwera poczty elektronicznej (Mailcow) w RKOM Data Center 3, 93138 Lappersdorf. Podstawa prawna na poziomie gabinetu: art. 9 ust. 2 lit. a lub lit. h RODO.

3. Powiadomienia SMS

Do wysyłki transakcyjnych wiadomości SMS (np. kodów 2FA) korzystamy z usług Spryng B.V., Hannie Dankbaarpassage 20-B, 1053 RT Amsterdam, Niderlandy. Dostawca z UE, działający zgodnie z RODO. Podstawa prawna: art. 6 ust. 1 lit. b, f RODO.

4. Pliki cookie i zgoda

Niezbędne z technicznego punktu widzenia pliki cookie i porównywalne technologie przechowywania informacji stosujemy bez zgody, o ile są one wymagane do działania strony internetowej. Obejmuje to zapisywanie przez platformę do zarządzania zgodami Usercentrics (Usercentrics GmbH, Sendlinger Str. 7, 80331 München) dokonanego przez Państwa wyboru w banerze plików cookie. Podstawa prawna: § 25 ust. 2 pkt 2 niemieckiej ustawy o ochronie danych w telekomunikacji i usługach cyfrowych (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, TDDDG), art. 6 ust. 1 lit. f RODO. Dalsze usługi ładujemy wyłącznie wówczas, gdy wyrażą Państwo na to zgodę w banerze plików cookie: Google Tag Manager, za pośrednictwem którego integrowane są poniższe usługi, Google Analytics w celu statystycznej analizy korzystania z naszej strony internetowej oraz Google Ads z Conversion Linker i DoubleClick w celu pomiaru, czy reklama doprowadziła do złożenia zapytania. Dostawcą jest Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia. W związku z tym dane mogą być przekazywane do USA; Google LLC posiada certyfikację w ramach EU-US Data Privacy Framework (ramy ochrony danych UE-USA; art. 45 RODO). Podstawa prawna: § 25 ust. 1 TDDDG, art. 6 ust. 1 lit. a RODO. Zgodę mogą Państwo w każdej chwili zmienić lub wycofać za pośrednictwem opcji „Ustawienia plików cookie” w stopce strony internetowej. Tam znajdą Państwo również informacje o okresie przechowywania poszczególnych plików cookie.

5. Obecność w mediach społecznościowych

Pacsy prowadzi profile w serwisach Instagram i Facebook (Meta Platforms Ireland Ltd.). Do Państwa interakcji mają zastosowanie zasady ochrony prywatności tych serwisów.

Kontakt w sprawach ochrony danych