Fundacja Estetic, dokument wspólny dla wszystkich Programów
Wersja 1.0 | Data wejścia w życie: 25 sierpnia 2026 r.
1. Administrator danych i Inspektor Ochrony Danych
Administratorem danych osobowych przetwarzanych w związku z korzystaniem z fundacjaestetic.com oraz stron Programów prowadzonych przez Fundację (w tym Prime Med Hub i Programów Travel Blisko, Estetic AI i Estetic Academy) jest:
Fundacja Estetic
ul. Ścięgny 128A/1
58-534 Ścięgny, Polska
KRS: 0001257958
NIP: 6112853604
REGON: 545403842
Telefon: +48 789 834 500
E-mail: office@fundacjaestetic.com
Administratorem Państwa danych oraz dane kontaktowe dotyczące ochrony danych osobowych są prowadzone przez Fundację Estetic. W razie pytań o przetwarzanie danych osobowych oraz przysługujących praw, prosimy o kontakt pod adresem rodoestetic@gmail.com.
2. Definicje
Administrator — Fundacja Estetic, wskazana w punkcie 1.
Serwis — strona fundacjaestetic.com oraz strony Programów Fundacji.
Program — odrębna inicjatywa Fundacji, w szczególności Prime Med Hub oraz seria stron „Travel Blisko”.
Niezależny podmiot — zewnętrzny podmiot, którego usługi lub działalność są prezentowane w ramach danego Programu, w szczególności klinika, lekarz lub biuro podróży. Podmiot ten nie jest częścią Fundacji.
Użytkownik — osoba, której dane dotyczą, korzystająca z Serwisu.
Dane dotyczące zdrowia — dane osobowe szczególnej kategorii w rozumieniu art. 9 RODO, w tym informacje o planowanym lub przebytym leczeniu, przekazane dobrowolnie przez Użytkownika.
Dokumentacja medyczna — wypisy, wyniki badań, zdjęcia diagnostyczne i inne materiały objęte przepisami o dokumentacji medycznej pacjenta.
3. Skąd mamy dane Użytkownika
W większości przypadków dane pochodzą bezpośrednio od Użytkownika z formularza, wiadomości e-mail lub komunikatora. Mogą też pochodzić z innych źródeł, w szczególności:
z formularza reklamowego platformy zewnętrznej (np. Meta Lead Ads, Google Lead Form), jeżeli Użytkownik skorzysta z takiej formy kontaktu;
od osoby trzeciej przekazującej zapytanie w imieniu Użytkownika (np. członka rodziny) w takim przypadku osoba przekazująca dane powinna mieć do tego odpowiednią podstawę i ograniczyć zakres do niezbędnego minimum;
od niezależnego podmiotu (kliniki, biura podróży), jeżeli przekazuje dane zwrotnie w związku z obsługą zapytania.
Jeżeli dane pochodzą z innego źródła niż bezpośrednio od osoby, której dotyczą, Administrator realizuje względem niej obowiązek informacyjny wynikający z art. 14 RODO.
4. Jakie dane przetwarzamy
dane identyfikacyjne i kontaktowe: imię, nazwisko, adres e-mail, numer telefonu;
identyfikatory w wybranym komunikatorze;
treść zapytania, w tym wskazany Program, kraj i rodzaj usługi, którą Użytkownik jest zainteresowany;
historię komunikacji niezbędną do zachowania ciągłości obsługi;
dane techniczne: adres IP, dane urządzenia i przeglądarki, informacje zapisywane przez cookies zgodnie z Polityką Cookies;
dane dotyczące zdrowia, wyłącznie jeżeli Użytkownik sam je przekaże w treści zapytania — patrz punkt 6.
Podanie danych oznaczonych jako niezbędne do obsługi zapytania (imię, sposób kontaktu, treść zapytania) jest dobrowolne, ale ich niepodanie uniemożliwia odpowiedź na zapytanie. Podanie dodatkowych informacji, w tym dotyczących zdrowia, jest zawsze w pełni dobrowolne.
5. Cele, podstawy prawne i okresy przechowywania
Poniższa tabela wskazuje, w jakim celu, na jakiej podstawie prawnej i jak długo przetwarzamy poszczególne kategorie danych. Tam, gdzie okres wskazano jako kryterium, a nie sztywną liczbę dni, kryterium to jest weryfikowalne Administrator ustala je na podstawie faktycznego przebiegu kontaktu.
| Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|
| Obsługa zapytania z formularza lub komunikatora | art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy na żądanie osoby) lub lit. f (uzasadniony interes odpowiedź na kontakt) | 12 miesięcy od zakończenia korespondencji, jeżeli nie doszło do dalszej współpracy |
| Dane dotyczące zdrowia przekazane dobrowolnie przez Użytkownika | art. 9 ust. 2 lit. a RODO wyraźna zgoda, odbierana osobnym checkboxem, niezależnym od akceptacji niniejszej Polityki | do wycofania zgody, nie dłużej niż 3 miesiące od zakończenia kontaktu, chyba że Użytkownik zdecyduje o dłuższej współpracy |
| Przekazanie zapytania (leadu) do wskazanej kliniki lub niezależnego podmiotu | art. 6 ust. 1 lit. b RODO, a w zakresie danych o zdrowiu dodatkowo art. 9 ust. 2 lit. a RODO | do przekazania + 3 miesiące |
| Marketing e-mail, SMS i komunikatory | art. 6 ust. 1 lit. a RODO w związku z art. 398 Prawa komunikacji elektronicznej (wymagana uprzednia zgoda) | do wycofania zgody |
| Analityka i reklama oparta na cookies | art. 6 ust. 1 lit. a RODO (zgoda na cookies) | zgodnie z Polityką Cookies |
| Bezpieczeństwo Serwisu, logi, przeciwdziałanie nadużyciom | art. 6 ust. 1 lit. f RODO | 6–12 miesięcy |
| Ustalenie, dochodzenie i obrona roszczeń | art. 6 ust. 1 lit. f RODO, a dla danych szczególnych kategorii pomocniczo art. 9 ust. 2 lit. f RODO | do przedawnienia roszczeń (co do zasady 3 lub 6 lat) |
| Dokumentacja księgowa i podatkowa | art. 6 ust. 1 lit. c RODO w związku z ustawą o rachunkowości | 5 lat od końca roku, w którym powstał obowiązek |
6. Dane dotyczące zdrowia zasady szczególne
Jeżeli Użytkownik w treści zapytania przekaże informacje o swoim stanie zdrowia (np. w kontekście planowanego zabiegu), stanowią one dane dotyczące zdrowia w rozumieniu art. 9 RODO niezależnie od tego, że Administrator nie prowadzi dokumentacji medycznej.
Podstawą przetwarzania takich danych jest wyraźna zgoda Użytkownika (art. 9 ust. 2 lit. a RODO). Zgoda ta jest odbierana za pomocą osobnego checkboxa przy formularzu zawierającym pole na informacje zdrowotne nie jest częścią ogólnej akceptacji Regulaminu ani niniejszej Polityki.
Zasada minimalizacji: Użytkownik powinien przekazywać wyłącznie informacje niezbędne do obsługi zapytania (np. rodzaj zabiegu, orientacyjny termin). Administrator nie prosi o przesyłanie dokumentacji medycznej wyniki badań, zdjęcia RTG, wypisy i podobne materiały powinny trafiać bezpośrednio do właściwej kliniki lub lekarza, wskazanym przez nich kanałem, a nie do Administratora.
Procedura wobec niezamówionej dokumentacji medycznej: jeżeli Użytkownik mimo powyższego zalecenia prześle dokumentację medyczną (np. zdjęcie RTG w załączniku lub w wiadomości na komunikatorze), Administrator: (a) nie importuje takiego materiału do centralnego systemu CRM, (b) w najbliższym możliwym terminie, nie później niż w ciągu 5 dni roboczych, przekazuje go bezpośrednio właściwej klinice lub lekarzowi wskazanym przez Użytkownika kanałem, albo trwale go usuwa, jeżeli przekazanie nie jest możliwe lub zasadne, informując Użytkownika o podjętym działaniu.
Dane dotyczące zdrowia przekazane w ramach indywidualnego zapytania nie są udostępniane dostawcom reklamy internetowej (Google, Meta, TikTok) w celu targetowania reklam ani budowania grup odbiorców, i nie są wykorzystywane do trenowania modeli AI.
7. Komu przekazujemy dane
Dane osobowe i kontaktowe mogą być przekazywane następującym kategoriom odbiorców:
centralny system CRM wykorzystywany przez Fundację do obsługi kontaktu (rola: podmiot przetwarzający, na podstawie umowy powierzenia z art. 28 RODO);
dostawcy hostingu i infrastruktury IT (podmioty przetwarzające);
dostawcy poczty elektronicznej i narzędzi komunikacyjnych (podmioty przetwarzające);
dostawcy analityki i reklamy internetowej (Google, Meta, TikTok) wyłącznie w zakresie danych technicznych i identyfikatorów reklamowych opisanych w Polityce Cookies; nie obejmuje to danych dotyczących zdrowia;
podmioty księgowe i prawne obsługujące Fundację;
klinika, lekarz lub inny niezależny podmiot wskazany przez Użytkownika lub dobrany do jego zapytania w zakresie i o momencie opisanym w punkcie 8.
Aktualny wykaz dostawców, z którymi Fundacja ma podpisane umowy powierzenia, jest udostępniany na żądanie po skierowaniu wniosku na adres rodoestetic@gmail.com.
8. Przekazywanie danych klinikom, lekarzom i innym niezależnym podmiotom
Jeżeli Użytkownik samodzielnie wskazuje konkretny niezależny podmiot (np. „proszę o kontakt z Kliniką X”), Administrator przekazuje zapytanie temu podmiotowi. Jeżeli Użytkownik nie wskazuje niezależnego podmiotu, a jedynie kryterium (np. kraj, rodzaj zabiegu, budżet), Administrator informuje Użytkownika, do ilu i których zweryfikowanych niezależnych podmiotów zostanie skierowane zapytanie, przed jego przekazaniem.
W relacji z klinikami i innymi niezależnymi podmiotami Administrator może występować jako podmiot udostępniający dane odrębnemu administratorowi (klinika lub inny niezależny podmiot samodzielnie decyduje o celach i sposobach dalszego przetwarzania), jako podmiot przetwarzający działający na zlecenie danego podmiotu, lub w ograniczonym zakresie, jako współadministrator. Rzeczywisty status jest ustalany odrębnie dla każdej kategorii niezależnych podmiotów na podstawie zawartej z nimi umowy i nie jest z góry jednolity dla wszystkich Programów.
Dane dotyczące zdrowia są przekazywane niezależnemu podmiotowi wyłącznie po uzyskaniu wyraźnej zgody Użytkownika, o której mowa w punkcie 6, i wyłącznie w zakresie niezbędnym do obsługi zapytania.
9. Współadministrowanie w mediach społecznościowych
Fundacja i jej Programy prowadzą profile w mediach społecznościowych (m.in. Facebook, Instagram, TikTok). W zakresie przetwarzania danych związanego ze statystykami tych profili (Page Insights) Administrator może występować jako współadministrator wraz z dostawcą platformy, na zasadach wynikających z zasadniczej treści uzgodnień publikowanej przez danego dostawcę (np. Meta Platforms Ireland Limited). Osoba, której dane dotyczą, może wykonywać swoje prawa wobec każdego ze współadministratorów.
Instalacja narzędzi pomiarowych dostawcy (np. Meta Pixel) na stronach Fundacji i jej Programów wiąże się z podobnym, ograniczonym współadministrowaniem w zakresie zbierania i przekazywania danych do tego dostawcy, szczegóły w Polityce Cookies.
10. Marketing bezpośredni
Marketing prowadzony drogą elektroniczną (e-mail, SMS, komunikatory, połączenia telefoniczne) wymaga uprzedniej zgody Użytkownika, zgodnie z art. 398 ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej. Podanie numeru telefonu lub adresu e-mail w celu obsługi konkretnego zapytania nie oznacza automatycznie zgody na późniejsze kampanie marketingowe to odrębna, oddzielnie odbierana zgoda.
Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania jej danych na potrzeby marketingu bezpośredniego, w tym profilowania w zakresie związanym z takim marketingiem, patrz punkt 15.
11. Reklama, analityka i profilowanie marketingowe
Fundacja i jej Programy mogą wykorzystywać Google Analytics, Google Tag Manager, Google Ads, Meta Ads i TikTok Ads, zgodnie z ustawieniami zgód opisanymi w Polityce Cookies. Google Tag Manager jest systemem zarządzania tagami, sam w sobie nie ustawia cookies marketingowych; o tym decydują tagi faktycznie uruchamiane za jego pośrednictwem, wyłącznie zgodnie z udzieloną zgodą.
Dane dotyczące zainteresowania konkretnym zabiegiem medycznym nie są przekazywane do systemów reklamowych jako sygnał do budowania grup odbiorców ani do profilowania. Administrator nie odpala narzędzi reklamowych na podstronach dotyczących konkretnych procedur medycznych w sposób ujawniający dostawcy rodzaj zabiegu, oraz nie przekazuje parametrów URL czy nazw zdarzeń zawierających takie informacje.
Administrator nie podejmuje wobec Użytkownika decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec niego skutki prawne lub w podobny sposób istotnie na niego wpływały (art. 22 RODO).
12. Transfery poza EOG
Poszczególni dostawcy mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. Aktualnie dotyczy to w szczególności:
Google LLC — USA, na podstawie decyzji Komisji Europejskiej o adekwatności w ramach EU-US Data Privacy Framework, uzupełniająco Standardowe Klauzule Umowne;
Meta Platforms Inc. — USA, na podstawie certyfikacji w ramach EU-US Data Privacy Framework, uzupełniająco Standardowe Klauzule Umowne;
TikTok — transfer może obejmować dostęp z lokalizacji poza EOG; dla krajów bez decyzji o adekwatności stosowane są Standardowe Klauzule Umowne wraz z dodatkowymi środkami zabezpieczającymi;
niezależne podmioty (kliniki) w Turcji i innych krajach spoza EOG, do których, wyłącznie po uzyskaniu wyraźnej zgody Użytkownika, mogą być przekazywane dane dotyczące zdrowia, na podstawie art. 49 ust. 1 lit. a RODO. W takim przypadku Użytkownik jest odrębnie informowany o braku decyzji o adekwatności dla danego kraju i o ryzyku z tego wynikającym, zanim wyrazi zgodę.
Kopię odpowiednich zabezpieczeń (np. Standardowych Klauzul Umownych) można uzyskać, kierując wniosek na adres rodoestetic@gmail.com .
13. Komunikatory
Fundacja i jej Programy mogą prowadzić komunikację przez WhatsApp, Messenger, Instagram, Telegram i Signal. Wybór kanału komunikacji należy do Administratora, dlatego Administrator odpowiada za swoje obowiązki wynikające z RODO związane z tym wyborem, niezależnie od tego, że dostawca komunikatora może jednocześnie przetwarzać dane jako odrębny administrator zgodnie z własną polityką prywatności.
Nie zalecamy przesyłania dokumentacji medycznej ani danych dotyczących zdrowia przez WhatsApp, Messenger lub Instagram, komunikatory te mogą wiązać się z transferem danych do USA, a wiadomości Instagram nie są domyślnie szyfrowane end-to-end. Telegram nie zapewnia domyślnie szyfrowania end-to-end poza czatami sekretnymi. Do przekazywania wrażliwych informacji rekomendujemy kontakt e-mailowy lub Signal.
14. Sztuczna inteligencja
Jeżeli Administrator wykorzystuje narzędzia AI w komunikacji z Użytkownikiem lub do przetwarzania treści zapytań (np. tłumaczenia), identyfikowalne dane dotyczące zdrowia nie są przekazywane do takich narzędzi bez uprzedniego zatwierdzenia konkretnego procesu pod względem zgodności z RODO i bezpieczeństwa. Dane Użytkowników nie są wykorzystywane do trenowania modeli AI dostawców zewnętrznych.
Szczegółowe zasady wykorzystania AI określa Polityka AI Fundacji Estetic.
15. Prawa Użytkownika
prawo dostępu do danych;
prawo do sprostowania;
prawo do usunięcia, gdy spełnione są warunki prawne;
prawo do ograniczenia przetwarzania;
prawo do przenoszenia danych, gdy ma zastosowanie;
prawo wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem;
prawo wniesienia skargi do organu nadzorczego.
Prawo sprzeciwu wobec marketingu bezpośredniego: jeżeli dane są przetwarzane na potrzeby marketingu bezpośredniego, Użytkownik może w dowolnym momencie wnieść sprzeciw wobec takiego przetwarzania, w tym profilowania w zakresie związanym z takim marketingiem, bez konieczności wykazywania szczególnej sytuacji.
Poza marketingiem bezpośrednim, Użytkownikowi przysługuje również prawo sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora, z przyczyn związanych z jego szczególną sytuacją.
Realizacja praw jest nieodpłatna, chyba że żądania są ewidentnie nieuzasadnione lub nadmierne, w takim przypadku Administrator może pobrać rozsądną opłatę albo odmówić realizacji żądania. Przy wykonywaniu praw Administrator weryfikuje tożsamość wnioskodawcy w sposób adekwatny do rodzaju żądania, aby zapobiec ujawnieniu danych osobie nieuprawnionej.
Wnioski można kierować na office@fundacjaestetic.com lub bezpośrednio do Inspektora Ochrony Danych na adres rodoestetic@gmail.com. Administrator odpowiada bez zbędnej zwłoki, co do zasady w terminie miesiąca, z możliwością przedłużenia o kolejne dwa miesiące w przypadkach przewidzianych przez RODO.
Skargę można wnieść do:
Prezes Urzędu Ochrony Danych Osobowych
ul. Stanisława Moniuszki 1A, 00-014 Warszawa
www.uodo.gov.pl
Użytkownikom mającym zwykły pobyt w innym państwie członkowskim UE przysługuje również prawo wniesienia skargi do organu nadzorczego właściwego dla tego państwa.
16. Bezpieczeństwo danych
Administrator stosuje środki techniczne i organizacyjne adekwatne do ryzyka, w tym kontrolę dostępu opartą na zasadzie niezbędności, zarządzanie uprawnieniami, zabezpieczenia transmisji danych, regularne kopie zapasowe, aktualizacje systemów, procedury reagowania na incydenty oraz zobowiązania do zachowania poufności przez osoby upoważnione. Kopie zapasowe są przechowywane przez okres nie dłuższy niż 90 dni od utworzenia, a następnie nadpisywane lub usuwane.
17. Naruszenia ochrony danych
W przypadku naruszenia ochrony danych Administrator ocenia ryzyko dla praw i wolności osób, których dane dotyczą, dokumentuje naruszenie oraz, jeżeli ryzyko jest realne, zgłasza je Prezesowi UODO w terminie 72 godzin od stwierdzenia, a w przypadkach wysokiego ryzyka informuje również osoby, których dane dotyczą.
18. Dzieci i osoby małoletnie
Usługi Prime Med Hub związane z zabiegami z zakresu medycyny i chirurgii estetycznej są kierowane do osób pełnoletnich. Zgoda na przetwarzanie danych osobowych w związku z usługami społeczeństwa informacyjnego wymaga w Polsce ukończenia 16 lat; w przypadku osób młodszych zgodę wyraża rodzic lub opiekun prawny.
19. Programy Fundacji a odrębne regulaminy
Każdy Program Fundacji (Prime Med Hub, Estetic AI, Estetic Academy, poszczególne strony „Travel Blisko” i kolejne Programy) może posiadać własny regulamin, odnoszący się do zakresu jego konkretnej działalności. Niniejsza Polityka Prywatności obowiązuje wspólnie we wszystkich Programach, ponieważ ich administratorem danych pozostaje ta sama Fundacja Estetic. Powiązane dokumenty: Regulamin właściwego Programu, Polityka Cookies, Polityka AI.
20. Zmiany Polityki
Przy zmianach dotyczących celów przetwarzania danych Administrator aktywnie informuje o tym Użytkowników, z którymi utrzymuje bieżący kontakt, a nie tylko publikuje nową wersję.
Historia wersji: Wersja 1.0, 25 sierpnia 2026 r.
21. Kontakt
Fundacja Estetic, ul. Ścięgny 128A/1, 58-534 Ścięgny, Polska. E-mail ogólny: office@fundacjaestetic.com . Inspektor Ochrony Danych: rodoestetic@gmail.com. Telefon: +48 789 834 500.