Polityka prywatności aplikacji RehaFlow

Ostatnia aktualizacja: 18 lipca 2026 r.

Niniejsza polityka opisuje zasady przetwarzania danych osobowych użytkowników aplikacji RehaFlow (dalej: „Aplikacja”), dostępnej w wersji webowej pod adresem app.rehabilitacja-domowa.com oraz w wersji mobilnej dla systemów iOS i Android.

1. Administrator danych

Administratorem danych osobowych jest KMSH Sp. z o.o. z siedzibą w Warszawie, ul. Lekka 3/185, 01-910 Warszawa, NIP 1182328409.

Kontakt w sprawach ochrony danych osobowych: iod@rehabilitacja-domowa.com.

2. Zakres i cele przetwarzania

Aplikacja przetwarza następujące kategorie danych:

  • Dane identyfikacyjne i kontaktowe pacjentów — imię, nazwisko, adres wizyty, numer telefonu, adres e-mail;
  • Dane wizyt — termin, adres, notatki fizjoterapeuty, rodzaj zabiegu, status rozliczenia;
  • Dane dotyczące zdrowia — informacje o stanie zdrowia, przebiegu rehabilitacji i zaleceniach, wprowadzane przez personel medyczny w związku z prowadzeniem terapii;
  • Dane kont użytkowników — imię i nazwisko, adres e-mail, hasło (przechowywane w formie zaszyfrowanej), rola w organizacji;
  • Dane techniczne — identyfikator sesji (cookie), token urządzenia mobilnego (na potrzeby powiadomień push), preferencja języka.

Dane przetwarzane są w następujących celach:

  • świadczenie usług rehabilitacji domowej — planowanie i realizacja wizyt, prowadzenie dokumentacji medycznej (art. 6 ust. 1 lit. b oraz art. 9 ust. 2 lit. h RODO);
  • realizacja obowiązków wynikających z ustawy o prawach pacjenta i rzeczniku praw pacjenta oraz ustawy o działalności leczniczej (art. 6 ust. 1 lit. c RODO);
  • rozliczenia finansowe i wystawianie faktur (art. 6 ust. 1 lit. c RODO);
  • komunikacja z pacjentami — powiadomienia o wizytach, przypomnienia SMS/e-mail (art. 6 ust. 1 lit. b RODO);
  • zapewnienie bezpieczeństwa systemu i rozpatrywanie reklamacji (art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes administratora).

3. Odbiorcy danych

Dane mogą być powierzone następującym kategoriom podmiotów przetwarzających:

  • Vercel Inc. — hosting aplikacji internetowej;
  • Google (Firebase Cloud Messaging) — dostarczanie powiadomień push do urządzeń mobilnych;
  • Apple (APNs) — dostarczanie powiadomień push do urządzeń z systemem iOS;
  • SendGrid (Twilio Inc.) — wysyłka wiadomości e-mail;
  • SMSAPI (LINK Mobility Poland Sp. z o.o.) — wysyłka wiadomości SMS;
  • Tpay (Krajowy Integrator Płatności S.A.) — obsługa płatności online;
  • Fakturownia Sp. z o.o. — wystawianie faktur.

Część dostawców (Vercel, Google, Apple, SendGrid) może przetwarzać dane poza Europejskim Obszarem Gospodarczym. W takich przypadkach transfer opiera się na standardowych klauzulach umownych zatwierdzonych przez Komisję Europejską.

4. Okres przechowywania

  • Dokumentacja medyczna — 20 lat od końca roku kalendarzowego, w którym dokonano ostatniego wpisu (zgodnie z art. 29 ustawy o prawach pacjenta);
  • Faktury i dane rozliczeniowe — 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku;
  • Dane konta użytkownika — przez czas świadczenia usług, a po dezaktywacji konta przez okres wymagany do rozstrzygnięcia ewentualnych roszczeń;
  • Tokeny urządzeń mobilnych — do momentu wylogowania się z aplikacji lub odinstalowania aplikacji z urządzenia.

5. Prawa użytkowników

Każda osoba, której dane dotyczą, ma prawo do: dostępu do swoich danych, sprostowania, usunięcia (w zakresie w jakim nie stoi to w sprzeczności z obowiązkami wynikającymi z prawa medycznego), ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania oraz cofnięcia zgody. Realizacja tych praw następuje na wniosek złożony pod adresem iod@rehabilitacja-domowa.com.

Osobie, której dane dotyczą, przysługuje również prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

6. Powiadomienia push

Aplikacja mobilna wykorzystuje powiadomienia push do informowania o nadchodzących wizytach, zmianach w harmonogramie oraz komunikatach administracyjnych. Powiadomienia są dostarczane za pośrednictwem Firebase Cloud Messaging (Android) i Apple Push Notification Service (iOS). Można je w każdej chwili wyłączyć w ustawieniach urządzenia.

7. Pliki cookies

Aplikacja webowa wykorzystuje wyłącznie niezbędne pliki cookies do obsługi sesji zalogowanego użytkownika oraz zapamiętania preferencji językowych. Nie stosujemy plików cookies do celów marketingowych ani analitycznych, nie korzystamy z narzędzi śledzących.

8. Bezpieczeństwo danych

Dane są przesyłane szyfrowanym połączeniem HTTPS, a hasła przechowywane w formie zaszyfrowanej (bcrypt/scrypt). Dostęp do danych pacjentów mają wyłącznie upoważnieni pracownicy w zakresie niezbędnym do realizacji ich obowiązków.

9. Zmiany polityki

O istotnych zmianach niniejszej polityki poinformujemy z odpowiednim wyprzedzeniem — pocztą elektroniczną lub poprzez komunikat w aplikacji. Aktualna wersja jest zawsze dostępna pod adresem app.rehabilitacja-domowa.com/privacy.

10. Kontakt

Pytania dotyczące niniejszej polityki lub sposobu przetwarzania danych można kierować na adres iod@rehabilitacja-domowa.com lub w sprawach ogólnych na kontakt@rehabilitacja-domowa.com.