Dokumenty

Polityka prywatności.Jakie dane, po co i na jak długo.

Administrator, zakres i cele przetwarzania z podstawami prawnymi, dane o zdrowiu z ankiety i skierowania, odbiorcy, okresy przechowywania i prawa z RODO. Bez cookies śledzących.

Obowiązuje od 1 września 2026 r.

§ 1. Administrator danych

Administratorem danych osobowych przetwarzanych w serwisie Upgrade Yourself dostępnym pod adresem https://upgradeyourself-landing.vercel.app (dalej: „Serwis”) jest DOKTORWLEW spółka z ograniczoną odpowiedzialnością, adres siedziby: ul. Nektarowa 11B, 52-210 Wrocław, NIP 5273014452 (dalej: „Administrator” lub „my”). Gabinet Administratora mieści się we Wrocławiu, ul. Nektarowa 11B, 52-210 Wrocław.
W sprawach dotyczących danych osobowych można kontaktować się z Administratorem wiadomością e-mail na adres biuro@upgradeyourself.pl, telefonicznie pod numerem +48 725 604 890 albo pisemnie na adres siedziby.
Niniejsza Polityka opisuje przetwarzanie danych w Serwisie: w sklepie z pakietami badań, w formularzu zamówienia i rezerwacji, w ankiecie samopoczucia, przy pobieraniu przewodnika, w generatorze skierowań oraz w panelu wewnętrznym kliniki. Nie obejmuje przetwarzania danych przez Laboratorium (ALAB), operatora płatności (Przelewy24) ani serwis Booksy, które są odrębnymi administratorami i stosują własne polityki prywatności.
Dane przetwarzamy zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych oraz przepisami o prawach pacjenta i o działalności leczniczej w zakresie, w jakim mają zastosowanie.

§ 2. Zakres danych, cele i podstawy prawne

Poniższa tabela zestawia procesy, w których Serwis przetwarza dane osobowe. Podanie danych jest dobrowolne, ale w zakresie oznaczonym w formularzach jako wymagane jest niezbędne do złożenia zamówienia, rezerwacji albo otrzymania wybranej treści.

Rejestr procesów przetwarzania w Serwisie
Proces	Dane	Cel	Podstawa prawna	Okres
Zamówienie pakietu z płatnością online lub rezerwacja pakietu bez ceny	Imię i nazwisko, numer telefonu, opcjonalnie adres e-mail, planowany termin badań i uwagi; wybrany pakiet i wariant; identyfikator zamówienia, status i identyfikator płatności zwrócony przez Przelewy24	Zawarcie i wykonanie umowy: kontakt telefoniczny lub e-mailowy w sprawie zamówienia, potwierdzenie ceny, wystawienie skierowania, rozliczenie badań z Laboratorium	Art. 6 ust. 1 lit. b RODO (umowa); w zakresie informacji o zdrowiu wpisanych dobrowolnie w polu „Uwagi” (np. leki, suplementy): art. 9 ust. 2 lit. h RODO	5 lat od końca roku kalendarzowego, w którym zawarto umowę (dokumentacja rachunkowa i podatkowa)
Rozliczenia i księgowość	Dane z zamówienia, dane do faktury, dane płatności	Wykonanie obowiązków wynikających z przepisów o rachunkowości i przepisów podatkowych	Art. 6 ust. 1 lit. c RODO	5 lat od końca roku kalendarzowego, w którym powstał obowiązek podatkowy
Ustalenie, dochodzenie lub obrona roszczeń	Dane z zamówienia, rezerwacji, reklamacji i korespondencji	Rozpatrywanie reklamacji, obrona przed roszczeniami, dochodzenie należności	Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora)	Do upływu terminu przedawnienia roszczeń wynikających z umowy
Skierowanie na badania (generator PDF)	Nazwisko, imię, numer PESEL albo data urodzenia, zakres zleconych badań; przy otwarciu skierowania z zamówienia: imię i nazwisko z zamówienia	Wystawienie skierowania, na podstawie którego Laboratorium wykona badania	Art. 9 ust. 2 lit. h RODO (opieka zdrowotna, diagnoza medyczna) w związku z art. 6 ust. 1 lit. b RODO	Numer PESEL i data urodzenia nie są przesyłane do Administratora ani przechowywane w Serwisie: plik PDF powstaje na urządzeniu użytkownika (zob. § 3)
Ankieta samopoczucia „Sprawdź, jak się czujesz”	Odpowiedzi na osiem pytań o samopoczucie, wybrany wariant (kobiety lub mężczyźni), wyliczone punkty obszarów, rekomendowany pakiet	Wyliczenie wyniku i rekomendacji; anonimowa statystyka wykorzystania ankiety	Wynik zapisywany jest bez imienia, adresu e-mail ani innego identyfikatora; wysyłka wyniku na e-mail: art. 6 ust. 1 lit. a i art. 9 ust. 2 lit. a RODO (wyraźna zgoda)	Anonimowe wyniki: bezterminowo jako statystyka; dane powiązane z adresem e-mail: do cofnięcia zgody, nie dłużej niż 3 lata od jej wyrażenia
Wysyłka wyniku ankiety i przewodnika na e-mail	Adres e-mail, opcjonalnie imię, źródło zgłoszenia (ankieta lub przewodnik), treść wyniku ankiety	Przesłanie wyniku ankiety i przewodnika „norma ≠ optimum”; okazjonalne wiadomości o badaniach na podany adres	Art. 6 ust. 1 lit. a RODO (zgoda), a w zakresie wyniku ankiety art. 9 ust. 2 lit. a RODO; wysyłka informacji handlowej za zgodą wymaganą przepisami o komunikacji elektronicznej	Do cofnięcia zgody, nie dłużej niż 3 lata od jej wyrażenia
Kontakt telefoniczny i e-mailowy poza formularzami	Dane podane w rozmowie lub wiadomości: imię i nazwisko, dane kontaktowe, treść sprawy	Odpowiedź na pytanie, obsługa zamówienia lub reklamacji	Art. 6 ust. 1 lit. b RODO (gdy kontakt dotyczy umowy) albo art. 6 ust. 1 lit. f RODO (odpowiedź na zapytanie)	Do załatwienia sprawy, a w razie sporu do upływu terminu przedawnienia roszczeń
Logi serwera i bezpieczeństwo	Adres IP, data i godzina żądania, żądany adres, identyfikator przeglądarki, kod odpowiedzi, identyfikatory zamówień w zdarzeniach systemowych	Zapewnienie bezpieczeństwa i ciągłości działania Serwisu, wykrywanie nadużyć, diagnostyka błędów	Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora)	90 dni
Panel wewnętrzny kliniki	Wszystkie dane z zamówień, rezerwacji, zgłoszeń e-mail i anonimowych wyników ankiety; login i hasło personelu	Obsługa zamówień i zgłoszeń przez upoważniony personel Administratora	Jak w procesach źródłowych; dostęp wyłącznie po zalogowaniu	Jak w procesach źródłowych; dane logowania są przechowywane w przeglądarce personelu tylko na czas sesji

Rekomendacja pakietu w ankiecie jest wyliczana w przeglądarce według jawnych, prostych reguł punktowych i jest wyłącznie propozycją zakresu badań. W Serwisie nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec użytkownika skutki prawne lub w podobny sposób istotnie na niego wpływały, ani nie prowadzimy profilowania.
Nie sprzedajemy danych osobowych i nie udostępniamy ich w celach marketingowych podmiotom trzecim.

§ 3. Dane dotyczące zdrowia

W Serwisie mogą pojawić się dane dotyczące zdrowia, należące do szczególnych kategorii danych osobowych (art. 9 RODO), w następujących sytuacjach:
- odpowiedzi w ankiecie samopoczucia, jeżeli użytkownik poprosi o przesłanie wyniku na swój adres e-mail (do tego momentu wynik jest zapisany anonimowo);
- informacje o lekach, suplementach lub dolegliwościach wpisane dobrowolnie w polu „Uwagi” zamówienia lub rezerwacji;
- zakres badań na skierowaniu wystawionym dla konkretnej osoby.
Odpowiedzi z ankiety powiązane z adresem e-mail przetwarzamy wyłącznie na podstawie wyraźnej zgody (art. 9 ust. 2 lit. a RODO), wyrażonej przez zaznaczenie odrębnego pola przy formularzu wysyłki wyniku. Zgodę można cofnąć w każdej chwili wiadomością na adres Administratora; cofnięcie nie wpływa na zgodność z prawem przetwarzania dokonanego przed cofnięciem.
Dane o zdrowiu związane ze skierowaniem oraz z uwagami do zamówienia przetwarzamy w celu zapewnienia opieki zdrowotnej i diagnozy medycznej (art. 9 ust. 2 lit. h RODO), pod nadzorem osób zobowiązanych do zachowania tajemnicy zawodowej (art. 9 ust. 3 RODO).
Skierowanie w formacie PDF powstaje w całości w przeglądarce użytkownika. Nazwisko, imię oraz numer PESEL albo data urodzenia wpisywane w generatorze są umieszczane w pliku lokalnie, na urządzeniu użytkownika, i nie są wysyłane do Administratora ani zapisywane w Serwisie. Jeżeli skierowanie jest otwierane z zamówienia, generator wstawia do formularza imię i nazwisko podane w tym zamówieniu. Wydrukowane skierowanie użytkownik przekazuje bezpośrednio Laboratorium, które od tej chwili przetwarza zawarte w nim dane jako odrębny administrator.
Serwis nie służy do przekazywania wyników badań. Wyniki użytkownik odbiera w Laboratorium na zasadach przez nie ustalonych.

§ 4. Odbiorcy danych i przekazywanie poza EOG

Dane osobowe mogą być przekazywane następującym odbiorcom, każdorazowo w zakresie niezbędnym do danego celu:
- PayPro S.A., ul. Pastelowa 8, 60-198 Poznań, KRS 0000347935, NIP 7792369887 (Przelewy24): odrębny administrator danych dotyczących płatności; Administrator otrzymuje od niego wyłącznie status i identyfikator transakcji, nigdy dane karty ani dane logowania do banku;
- ALAB laboratoria sp. z o.o., ul. Stępińska 22/30, 00-739 Warszawa: odrębny administrator i podmiot leczniczy, który otrzymuje dane ze skierowania okazanego w punkcie pobrań oraz dane podane przy rejestracji w punkcie i przetwarza je na zasadach własnej polityki prywatności;
- dostawca infrastruktury serwerowej, na której działa system zamówień i zgłoszeń (DigitalOcean, serwer w centrum danych we Frankfurcie nad Menem, Niemcy), jako podmiot przetwarzający;
- dostawca hostingu warstwy prezentacji Serwisu (Vercel Inc., Stany Zjednoczone), jako podmiot przetwarzający dane połączenia; treść formularzy nie przechodzi przez tę warstwę, lecz trafia bezpośrednio do serwera w Unii Europejskiej;
- podmiot świadczący obsługę księgową Administratora, w zakresie dokumentacji sprzedaży;
- Booksy: odrębny administrator danych podanych przy rezerwacji konsultacji wyników, wyłącznie jeżeli użytkownik samodzielnie umówi konsultację w tym serwisie;
- organy publiczne, jeżeli obowiązek udostępnienia wynika z przepisów prawa.
Dane z zamówień, rezerwacji, zgłoszeń e-mail i wyników ankiety są przechowywane na serwerze zlokalizowanym w Unii Europejskiej (Frankfurt nad Menem). Do przekazania danych poza Europejski Obszar Gospodarczy może dochodzić wyłącznie w związku z hostingiem warstwy prezentacji Serwisu przez Vercel Inc., w zakresie danych połączenia (adres IP, żądane adresy, identyfikator przeglądarki). Podstawą takiego przekazania są standardowe klauzule umowne przyjęte przez Komisję Europejską (art. 46 ust. 2 lit. c RODO). Kopię stosowanych zabezpieczeń można uzyskać, kontaktując się z Administratorem.
Podmioty przetwarzające działają na podstawie umów powierzenia i przetwarzają dane wyłącznie na udokumentowane polecenie Administratora.

§ 5. Okresy przechowywania

Dane przechowujemy nie dłużej, niż jest to konieczne do celu, dla którego zostały zebrane:
- zamówienia i rezerwacje wraz z danymi rozliczeniowymi: 5 lat od końca roku kalendarzowego, w którym zawarto umowę, zgodnie z przepisami o rachunkowości i przepisami podatkowymi;
- zgłoszenia e-mail (ankieta, przewodnik) oraz dane ankiety powiązane z adresem e-mail: do cofnięcia zgody, nie dłużej niż 3 lata od jej wyrażenia;
- anonimowe wyniki ankiety, niepowiązane z żadnym identyfikatorem: bezterminowo jako statystyka;
- korespondencja i reklamacje: do załatwienia sprawy, a w razie sporu do upływu terminu przedawnienia roszczeń;
- logi serwera: 90 dni;
- dane logowania personelu do panelu: tylko na czas sesji w przeglądarce.
Po upływie okresu przechowywania dane są usuwane albo anonimizowane. Jeżeli w jednym zbiorze te same dane służą kilku celom, przechowujemy je do upływu najdłuższego z odpowiednich okresów.

§ 6. Prawa osób, których dane dotyczą

Każdej osobie, której dane przetwarzamy, przysługuje prawo do:
- dostępu do swoich danych oraz otrzymania ich kopii (art. 15 RODO);
- sprostowania danych nieprawidłowych i uzupełnienia danych niekompletnych (art. 16 RODO);
- usunięcia danych, w przypadkach wskazanych w art. 17 RODO, z zastrzeżeniem obowiązków przechowywania wynikających z przepisów prawa;
- ograniczenia przetwarzania (art. 18 RODO);
- przenoszenia danych przetwarzanych na podstawie zgody lub umowy w sposób zautomatyzowany (art. 20 RODO);
- sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora, z przyczyn związanych ze szczególną sytuacją tej osoby (art. 21 RODO);
- cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem;
- wniesienia skargi do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.
Żądania można kierować na adres biuro@upgradeyourself.pl albo pisemnie na adres siedziby Administratora. Odpowiadamy bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania; w sprawach złożonych termin może zostać przedłużony o kolejne dwa miesiące, o czym informujemy w ciągu miesiąca od otrzymania żądania. Przed realizacją żądania możemy poprosić o potwierdzenie tożsamości, jeżeli mamy uzasadnione wątpliwości co do osoby składającej żądanie.
Podanie danych jest dobrowolne. Bez imienia i nazwiska oraz numeru telefonu nie możemy przyjąć zamówienia ani rezerwacji, a bez adresu e-mail nie możemy przesłać wyniku ankiety ani przewodnika. Adres e-mail w zamówieniu jest opcjonalny.

§ 7. Przechowywanie danych w przeglądarce

Serwis nie zapisuje w przeglądarce użytkownika własnych plików cookies i nie korzysta z narzędzi analitycznych, reklamowych ani śledzących. Nie osadzamy skryptów mediów społecznościowych ani zewnętrznych systemów statystyk.
Serwis korzysta wyłącznie z pamięci przeglądarki (sessionStorage i localStorage) w celach czysto technicznych, niezbędnych do działania funkcji, o które prosi użytkownik:
- zapamiętanie na czas sesji, że przewodnik został odblokowany po podaniu adresu e-mail, aby nie prosić o niego ponownie po odświeżeniu strony (sessionStorage, klucz „uy.guideUnlocked”);
- utrzymanie sesji zalogowanego personelu w panelu wewnętrznym (sessionStorage, klucz „uy.admin”), usuwane po zamknięciu karty przeglądarki;
- w wersji demonstracyjnej Serwisu, działającej bez serwera, przechowanie wpisów z formularzy lokalnie w przeglądarce (localStorage, klucze z przedrostkiem „uy.store.”); w wersji produkcyjnej dane z formularzy trafiają na serwer opisany w § 4, a ten mechanizm nie jest używany.
Przechowywanie informacji niezbędnych do świadczenia usługi wyraźnie żądanej przez użytkownika nie wymaga jego zgody zgodnie z przepisami o komunikacji elektronicznej. Wpisy w pamięci przeglądarki nie są przesyłane na serwer inaczej niż przy świadomym wysłaniu formularza i można je usunąć w każdej chwili w ustawieniach przeglądarki (usuwanie danych witryn).
Podczas płatności użytkownik jest przekierowywany do serwisu Przelewy24, który może zapisywać własne pliki cookies na zasadach określonych w polityce prywatności Operatora Płatności.

§ 8. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:
- szyfrowanie transmisji między przeglądarką a Serwisem oraz między Serwisem a serwerem zamówień (TLS);
- politykę bezpieczeństwa treści (CSP) i nagłówki bezpieczeństwa ograniczające źródła skryptów, ramek i połączeń;
- przechowywanie danych z formularzy na serwerze w Unii Europejskiej z dostępem ograniczonym do upoważnionego personelu, chronionym hasłem;
- minimalizację danych: numer PESEL i data urodzenia nie opuszczają urządzenia użytkownika, a dane płatnicze pozostają u Operatora Płatności;
- logi systemowe pozbawione danych uwierzytelniających i treści formularzy;
- ograniczenie liczby prób wysyłki formularzy z jednego adresu w celu ochrony przed nadużyciami.
W razie naruszenia ochrony danych osobowych, które może powodować wysokie ryzyko naruszenia praw lub wolności osób, których dane dotyczą, zawiadamiamy te osoby oraz organ nadzorczy zgodnie z art. 33 i 34 RODO.

§ 9. Zmiany Polityki

Polityka może być aktualizowana w związku ze zmianą przepisów, zmianą zakresu usług Serwisu, zmianą dostawców lub w celu doprecyzowania jej treści. Nowa wersja jest publikowana w Serwisie wraz z datą wejścia w życie; o zmianach istotnych dla użytkowników informujemy w Serwisie co najmniej 14 dni przed ich wejściem w życie. Poprzednie wersje udostępniamy na żądanie.
Niniejsza wersja Polityki obowiązuje od dnia 1 września 2026 r. Wcześniejsze zgody i zamówienia zachowują ważność na dotychczasowych zasadach.