Polityka prywatności

1. Administrator danych

Administratorem danych osobowych jest Natalia Pomykaj Beauty, ul. Edmunda Osmańczyka 6, 54-058 Wrocław, NIP 9121852882, REGON 541522900, e-mail w sprawach danych osobowych: natalia@npbeauty.pl.

2. Jakie dane przetwarzamy

• imię, nazwisko i adres e-mail,
• opcjonalnie numer telefonu i data urodzenia,
• identyfikator konta u zewnętrznego dostawcy logowania (Google, Facebook lub Microsoft) - używany wyłącznie do rozpoznania Cię przy logowaniu,
• jednorazowe tokeny logowania wysyłane e-mailem - przechowujemy wyłącznie ich skrót (hash), przez kilkanaście minut, po czym są usuwane,
• treść planów pielęgnacji, opisów wizyt, zaleceń po zabiegu, propozycji zabiegów w gabinecie, notatek gabinetu (także notatek kosmetologa zapisanych przy wizycie, które widzi wyłącznie personel) i wiadomości - mogą one zawierać informacje o stanie skóry, przeciwwskazaniach lub przyjmowanych lekach, czyli dane dotyczące zdrowia,
• zdjęcia dołączone przez gabinet - zwykle zdjęcia skóry przed i po zabiegu. Są to również dane dotyczące zdrowia. Dodaje je wyłącznie personel gabinetu; Ty ich nie wysyłasz. Zdjęcia dołączone do wizyty i jej zaleceń widzisz Ty oraz personel gabinetu. Zdjęcia dołączone do notatki gabinetu widzi wyłącznie personel - notatki są wewnętrzne i nie są Ci udostępniane.
• dziennik aktywności w portalu - adres IP, przeglądarka i system urządzenia, z którego się łączysz, data i godzina wejścia, otwierane podstrony portalu oraz czynności w nim wykonane (np. „wysłanie wiadomości”, „odrzucenie propozycji zabiegu”). Dziennik zapisuje fakt czynności, nigdy treść wiadomości, notatek czy opisów wizyt.

Nie zbieramy numeru PESEL, numerów dokumentów tożsamości ani danych kart płatniczych.

3. Cel i podstawa prawna

Dane przetwarzamy w celu prowadzenia dokumentacji pielęgnacyjnej i kontaktu z klientką. Podstawą przetwarzania danych dotyczących zdrowia - w tym treści notatek i dołączonych do nich zdjęć - jest wyraźna zgoda osoby, której dane dotyczą, czyli art. 9 ust. 2 lit. a RODO. Zgodę możesz wycofać w każdej chwili, tym samym zgłoszeniem co usunięcie konta (punkt 6) albo e-mailem. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed jej wycofaniem.

Pozostałe dane przetwarzamy na podstawie:

• art. 6 ust. 1 lit. b RODO - świadczenie usługi portalu, czyli udostępnianie Ci planu pielęgnacji, zaleceń, historii wizyt i wiadomości;
• art. 6 ust. 1 lit. c RODO - wypełnienie obowiązków prawnych ciążących na gabinecie, w szczególności obowiązków księgowych i podatkowych;
• art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes administratora, czyli ustalenie, dochodzenie i obrona roszczeń, a także zapewnienie bezpieczeństwa portalu i jego obsługa - w tym celu prowadzimy dziennik aktywności (punkt 2), który pozwala wykryć nieuprawniony dostęp do konta i wyjaśnić zgłoszony problem.

4. Okres przechowywania

Dane przechowujemy tak długo, jak trwa Twoja zgoda i istnieje Twoje konto w portalu. Wycofanie zgody albo zgłoszenie usunięcia konta prowadzi do usunięcia danych - w terminie i w sposób opisany w punkcie 6. Nie stosujemy z góry ustalonego terminu, po którym dane znikają automatycznie, więc jeśli nie korzystasz już z portalu, a chcesz, aby dane zostały usunięte - zgłoś usunięcie konta albo napisz do nas.

Dłużej niż konto przechowujemy wyłącznie te dane, do których zobowiązuje nas prawo (na przykład dokumenty księgowe) - w zakresie i przez okres wynikający z przepisów.

Dziennik aktywności jest usuwany automatycznie po 30 dniach.

5. Odbiorcy danych

Dane są dostępne wyłącznie dla personelu gabinetu w zakresie niezbędnym do obsługi klientki. Portal działa na infrastrukturze własnej administratora, więc dane nie są powierzane zewnętrznemu dostawcy hostingu.

Odbiorcami są natomiast:

• home.pl S.A. - obsługa poczty wychodzącej, czyli adres e-mail odbiorcy i treść wiadomości wysyłanych przez portal (linki do logowania, powiadomienia o nieprzeczytanych wiadomościach). Powiadomienia nigdy nie zawierają treści wiadomości z portalu.
• dostawca logowania, którego wybierzesz - Google Ireland Ltd., Meta Platforms Ireland Ltd. albo Microsoft Ireland Operations Ltd. Dostawca dowiaduje się wyłącznie, że logujesz się do tego portalu; nie przekazujemy mu żadnych danych o Twojej skórze, zabiegach ani planach pielęgnacji. Możesz też w ogóle nie korzystać z żadnego z nich i logować się linkiem e-mailowym.

Jeśli logujesz się kilkoma metodami na ten sam adres e-mail, jest to w portalu jedno konto - nie tworzymy osobnych profili dla każdego dostawcy.

6. Twoje prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz wniesienia sprzeciwu. Zgodę na przetwarzanie danych dotyczących zdrowia możesz wycofać w każdej chwili.

Jak usunąć konto i dane

Ten opis jest publiczny celowo - strona „Moje konto" wymaga zalogowania, więc sama instrukcja musi być dostępna bez logowania (wymagają tego też regulaminy dostawców logowania).

1. Zaloguj się do portalu dowolną metodą.
2. Wejdź na stronę Moje konto (adres /me/account).
3. W sekcji „Usunięcie konta" wybierz „Zgłoś usunięcie konta" i potwierdź.

Konto usuwa gabinet. Zgłoszenie realizujemy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od jego otrzymania (art. 12 ust. 3 RODO). Gdyby wyjątkowo było to niemożliwe, termin może zostać przedłużony o kolejne dwa miesiące - wtedy w ciągu pierwszego miesiąca poinformujemy Cię o tym i podamy przyczynę. Od chwili zgłoszenia przetwarzamy Twoje dane wyłącznie w celu jego realizacji. Po usunięciu wyślemy potwierdzenie na Twój adres e-mail.

Samodzielne usunięcie konta jednym przyciskiem nie jest dostępne celowo - chroni przed przypadkową utratą całej historii pielęgnacji. Dopóki konto nie zostanie usunięte, możesz zgłoszenie wycofać na tej samej stronie.

Usunięcie jest nieodwracalne i obejmuje konto logowania, wszystkie plany pielęgnacji wraz z historią wersji, wizyty z opisami, zaleceniami, notatkami kosmetologa, zdjęciami i propozycjami zabiegów, notatki gabinetu wraz z dołączonymi do nich zdjęciami oraz całą historię wiadomości. Usuwane są też powiązania z kontami Google, Facebook i Microsoft, jeśli z nich korzystałaś. Dłużej przechowujemy wyłącznie dane, do których zobowiązuje nas prawo (punkt 4).

Nie możesz się zalogować? Napisz na natalia@npbeauty.pl z adresu, który zna gabinet - usuniemy konto po potwierdzeniu tożsamości, w tym samym terminie.

Przysługuje Ci również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

7. Powiadomienia e-mail

Jeśli wiadomość w portalu pozostaje nieprzeczytana przez godzinę, wysyłamy przypomnienie na adres e-mail. Przypomnienie nie zawiera treści wiadomości - informuje wyłącznie o tym, że coś czeka w portalu, ponieważ poczta e-mail nie jest kanałem, nad którym mamy kontrolę.

Gdy po wizycie kosmetolog zaproponuje Ci zabieg w gabinecie, wysyłamy krótką informację, że propozycja czeka w portalu. Wiadomość nie zawiera nazwy zabiegu ani opisu - nazwa zabiegu może mówić coś o stanie skóry.

8. Bezpieczeństwo

Dostęp do danych wymaga zalogowania, a uprawnienia sprawdzane są po stronie serwera przy każdej operacji. Połączenie z aplikacją jest szyfrowane, a baza danych nie jest dostępna z internetu.

Zdjęcia są przesyłane i wyświetlane wyłącznie w ramach zalogowanej sesji i nie są zapisywane w pamięci podręcznej przeglądarki, więc nie zostają na dysku wspólnego komputera po wylogowaniu. Przed wysłaniem zdjęcie jest przetwarzane w przeglądarce, co usuwa z pliku dane dodatkowe zapisywane przez telefon - w tym współrzędne GPS miejsca wykonania zdjęcia.

9. Zmiany polityki

Data ostatniej aktualizacji: 5 listopada 2026.