1. Zakres

Administratorem danych jest Stralven Health Sp. z o.o. z siedzibą przy ul. Floriańskiej 22, 30-060 Kraków. Dokument opisuje dane przekazywane dobrowolnie przez użytkowników, podstawy prawne oraz sposób kontaktu. Niniejsza polityka ma zastosowanie do wszystkich stron portalu stralven.info, w tym do formularza kontaktowego, formularza newslettera oraz do ruchu generowanego podczas przeglądania artykułów redakcyjnych. Dokument nie obejmuje stron ani usług podmiotów trzecich, do których portal może zawierać odnośniki — w takich przypadkach obowiązuje polityka prywatności danego podmiotu zewnętrznego. Przykładowo, jeśli artykuł zawiera odnośnik do zewnętrznej publikacji naukowej, Stralven nie odpowiada za sposób przetwarzania danych przez wydawcę tej publikacji. Zakres dokumentu jest zgodny z art. 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) oraz z krajowymi przepisami wykonawczymi obowiązującymi w Polsce.

  • a) Dokument obowiązuje niezależnie od urządzenia, z którego korzysta użytkownik (komputer, telefon, tablet).
  • b) W przypadku osób niepełnoletnich zalecamy korzystanie z portalu pod nadzorem opiekuna prawnego, ponieważ portal nie jest kierowany bezpośrednio do dzieci.
  • c) Niniejsza polityka nie obejmuje danych przetwarzanych przez operatorów sieci telekomunikacyjnych ani dostawców usług internetowych, z których korzysta użytkownik.

2. Dane

Możemy otrzymać adres e-mail z formularza newslettera, dane kontaktowe oraz treść wiadomości. Nie prosimy o dane, które nie są potrzebne do obsługi zapytania. W przypadku formularza kontaktowego zbieramy imię, adres e-mail oraz treść wiadomości wpisaną przez użytkownika — dane te są niezbędne, aby możliwe było udzielenie odpowiedzi na zadane pytanie. Dodatkowo, w ramach standardowego działania serwera, automatycznie zapisywane są podstawowe dane techniczne, takie jak adres IP, typ przeglądarki i orientacyjna lokalizacja geograficzna wynikająca z adresu IP, wykorzystywane wyłącznie w celach bezpieczeństwa i statystyki odwiedzin. Przykładowo, adres IP może zostać wykorzystany do wykrycia nietypowej aktywności, takiej jak automatyczne wysyłanie wielu zgłoszeń w krótkim czasie. Zasada minimalizacji danych, zgodna z art. 5 ust. 1 lit. c RODO, oznacza, że nie zbieramy danych takich jak numer PESEL, dane o stanie zdrowia czy dane biometryczne za pośrednictwem formularzy na stronie.

  • a) Dane z formularza newslettera obejmują wyłącznie adres e-mail — nie wymagamy imienia, nazwiska ani innych danych identyfikujących.
  • b) Dane z formularza kontaktowego (imię, e-mail, treść wiadomości) są wykorzystywane wyłącznie do udzielenia odpowiedzi i nie są łączone z innymi bazami danych.
  • c) Dane techniczne (adres IP, typ przeglądarki) są zapisywane automatycznie przez dostawcę hostingu w logach serwera i nie są wykorzystywane do profilowania użytkowników.

3. Podstawa

Podstawą może być zgoda, odpowiedź na zapytanie albo prawnie uzasadniony interes administratora. Zgoda może zostać wycofana w dowolnym czasie. Podstawą prawną przetwarzania danych z formularza newslettera jest zgoda użytkownika wyrażona poprzez zaznaczenie odpowiedniego pola i kliknięcie przycisku „Zapisz się” (art. 6 ust. 1 lit. a RODO). Podstawą przetwarzania danych z formularza kontaktowego jest natomiast konieczność podjęcia działań przed zawarciem umowy lub w celu udzielenia odpowiedzi na zapytanie, co stanowi prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). Przykładowo, jeśli użytkownik wypisze się z newslettera, dane e-mail zostają usunięte z listy mailingowej, natomiast historia korespondencji może być przechowywana krócej na potrzeby rozliczenia zgłoszenia. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, które miało miejsce przed jej wycofaniem.

  • a) Zgodę na newsletter można wycofać samodzielnie poprzez link „wypisz się” w każdej wiadomości e-mail lub poprzez kontakt na [email protected].
  • b) W przypadku zapytań kontaktowych podstawą przetwarzania jest realizacja prawnie uzasadnionego interesu polegającego na obsłudze korespondencji przychodzącej.
  • c) Dane techniczne (logi serwera) przetwarzane są na podstawie prawnie uzasadnionego interesu administratora związanego z bezpieczeństwem systemów informatycznych.

4. Retencja

Zapytania przechowujemy do 12 miesięcy, a zgody newsletterowe do czasu ich wycofania i maksymalnie 24 miesiące od ostatniej aktywności. Okres 12 miesięcy dla korespondencji kontaktowej wynika z konieczności zachowania możliwości odniesienia się do wcześniejszych zgłoszeń w przypadku ich kontynuacji przez użytkownika, a po tym czasie dane są usuwane lub anonimizowane w sposób nieodwracalny. W przypadku newslettera, „ostatnia aktywność” oznacza otwarcie wiadomości, kliknięcie linku w mailingu lub inną formę interakcji — jeśli w ciągu 24 miesięcy nie zostanie zarejestrowana żadna aktywność, adres e-mail zostaje automatycznie usunięty z bazy. Przykładowo, jeśli użytkownik zapisał się do newslettera w styczniu 2025 roku i nigdy nie otworzył żadnej wiadomości, jego adres e-mail zostanie usunięty najpóźniej w styczniu 2027 roku. Logi serwera dotyczące adresów IP przechowywane są zazwyczaj przez znacznie krótszy okres, nieprzekraczający 90 dni, zgodnie z praktyką dostawcy hostingu.

  • a) Po zakończeniu okresu retencji dane są usuwane trwale lub poddawane anonimizacji, co oznacza brak możliwości ich przypisania do konkretnej osoby.
  • b) Użytkownik może wnioskować o wcześniejsze usunięcie danych przed upływem standardowego okresu retencji, korzystając z prawa do usunięcia opisanego w punkcie 5.
  • c) Okresy retencji mogą zostać wydłużone wyłącznie w przypadku obowiązku prawnego, np. w związku z postępowaniem prowadzonym przez uprawniony organ.

5. Prawa

Przysługuje prawo dostępu, sprostowania, usunięcia, ograniczenia oraz przenoszenia danych. Wnioski kieruj na [email protected]. Prawo dostępu (art. 15 RODO) pozwala użytkownikowi uzyskać informację, czy jego dane są przetwarzane, a jeśli tak — otrzymać ich kopię wraz z informacją o celach i podstawach przetwarzania. Prawo do sprostowania (art. 16 RODO) umożliwia poprawienie nieprawidłowych danych, np. błędnie wpisanego adresu e-mail, natomiast prawo do usunięcia („prawo do bycia zapomnianym”, art. 17 RODO) pozwala żądać usunięcia danych, gdy nie są już potrzebne do celu, dla którego zostały zebrane. Przykładowo, użytkownik, który zapisał się na newsletter, a następnie zmienił adres e-mail, może zażądać usunięcia starego wpisu i jednocześnie zapisać się ponownie z nowym adresem. Na realizację powyższych praw administrator ma zasadniczo miesiąc od otrzymania wniosku, z możliwością wydłużenia tego terminu o kolejne dwa miesiące w przypadku szczególnie złożonych żądań, o czym użytkownik zostanie poinformowany.

  • a) Prawo do przenoszenia danych (art. 20 RODO) dotyczy wyłącznie danych przetwarzanych na podstawie zgody lub umowy i w formie ustrukturyzowanej, np. adresu e-mail z listy newsletterowej.
  • b) Prawo do ograniczenia przetwarzania (art. 18 RODO) można wykorzystać np. w czasie, gdy trwa weryfikacja poprawności danych zgłoszonych do sprostowania.
  • c) Wniosek o realizację praw powinien zawierać dane umożliwiające identyfikację osoby składającej wniosek (np. adres e-mail użyty w formularzu), aby administrator mógł zweryfikować jego autentyczność.

6. Procesorzy

Korzystamy z dostawców hostingu, poczty i analityki, którzy przetwarzają dane na podstawie umów i instrukcji administratora. Dostawcy ci działają wyłącznie w zakresie wyznaczonym przez umowę powierzenia przetwarzania danych (art. 28 RODO) i nie mogą wykorzystywać danych do własnych celów marketingowych bez odrębnej podstawy prawnej. Do kategorii takich podmiotów należą przykładowo firmy hostingowe przechowujące pliki serwisu na serwerach fizycznych lub wirtualnych, dostawcy skrzynek pocztowych obsługujący adres [email protected] oraz — w przypadku włączenia analityki opisanej w Polityce cookies — dostawca narzędzia analitycznego mierzącego statystyki odwiedzin w sposób zagregowany. Każdy z tych podmiotów jest zobowiązany do zastosowania odpowiednich środków technicznych i organizacyjnych chroniących dane przed nieuprawnionym dostępem, utratą lub zniszczeniem.

  • a) Lista kategorii procesorów jest okresowo weryfikowana przez administratora w celu zapewnienia zgodności z aktualnymi wymogami RODO.
  • b) W przypadku zmiany dostawcy usług hostingowych lub analitycznych, informacja o tym zostanie odnotowana w rejestrze zmian w punkcie 10 niniejszej polityki.
  • c) Procesorzy nie mają prawa podzlecać przetwarzania danych kolejnym podmiotom bez uprzedniej zgody administratora.

7. Transfery

Jeżeli dostawca działa poza Europejskim Obszarem Gospodarczym, stosujemy odpowiednie zabezpieczenia przewidziane przez RODO. Standardowym mechanizmem zabezpieczającym w takich sytuacjach są Standardowe Klauzule Umowne (Standard Contractual Clauses) zatwierdzone przez Komisję Europejską, które nakładają na odbiorcę danych obowiązki analogiczne do tych wynikających z RODO. Przykładem sytuacji, w której transfer międzynarodowy może mieć miejsce, jest korzystanie z globalnych dostawców infrastruktury chmurowej lub narzędzi analitycznych mających serwery zlokalizowane w Stanach Zjednoczonych. W każdym przypadku administrator dokonuje oceny poziomu ochrony danych w kraju odbiorcy przed podjęciem decyzji o transferze, zgodnie z wytycznymi Europejskiej Rady Ochrony Danych (EROD) dotyczącymi przekazywania danych do państw trzecich.

  • a) Użytkownik może zwrócić się do administratora o informację, czy konkretny procesor przekazuje dane poza EOG, oraz jakie zabezpieczenia zostały zastosowane.
  • b) W przypadku braku odpowiedniego mechanizmu zabezpieczającego, administrator wstrzymuje transfer danych do momentu jego wdrożenia.
  • c) Transfery danych ograniczone są wyłącznie do sytuacji niezbędnych do funkcjonowania usług, np. wysyłki newslettera lub pomiaru statystyk odwiedzin.

8. Skarga

Możesz skontaktować się z administratorem albo z Prezesem UODO. Odpowiadamy bez zbędnej zwłoki, zwykle w ciągu 30 dni. Zanim użytkownik zdecyduje się złożyć formalną skargę do organu nadzorczego, zachęcamy do kontaktu bezpośrednio z administratorem pod adresem [email protected] — w większości przypadków pozwala to szybciej wyjaśnić i rozwiązać zgłoszony problem. Jeśli jednak użytkownik uzna, że przetwarzanie jego danych narusza przepisy RODO, ma prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO) z siedzibą przy ul. Stawki 2, 00-193 Warszawa. Przykładowo, skarga może dotyczyć sytuacji, w której użytkownik uważa, że jego dane zostały przetworzone dłużej niż wskazano w punkcie 4, lub że administrator nie zrealizował wniosku o usunięcie danych w wskazanym terminie.

  • a) Skargę do UODO można złożyć pisemnie, elektronicznie za pośrednictwem platformy ePUAP lub osobiście w siedzibie urzędu.
  • b) Złożenie skargi do UODO nie wyklucza możliwości jednoczesnego dochodzenia roszczeń na drodze sądowej przed sądem powszechnym.
  • c) Administrator zobowiązuje się do współpracy z UODO w toku ewentualnego postępowania wyjaśniającego dotyczącego zgłoszonej skargi.

9. Bezpieczeństwo

Stosujemy szyfrowanie transmisji, ograniczenia dostępu i okresowe przeglądy uprawnień. Żadne rozwiązanie nie daje absolutnej gwarancji. Szyfrowanie transmisji realizowane jest za pomocą protokołu TLS, co oznacza, że dane przesyłane pomiędzy przeglądarką użytkownika a serwerem są zabezpieczone przed przechwyceniem przez nieuprawnione osoby trzecie w trakcie przesyłu. Ograniczenia dostępu obejmują mechanizmy uwierzytelniania dla osób obsługujących skrzynkę kontaktową oraz panel administracyjny portalu, tak aby dostęp do danych mieli wyłącznie pracownicy i współpracownicy, dla których jest to niezbędne do wykonywania obowiązków. Przykładowo, dostęp do bazy adresów e-mail z newslettera posiada jedynie osoba odpowiedzialna za wysyłkę korespondencji, a nie cały zespół redakcyjny. Okresowe przeglądy uprawnień odbywają się nie rzadziej niż raz na kwartał i mają na celu wykrycie oraz usunięcie nieaktualnych uprawnień dostępu, np. po zakończeniu współpracy z danym członkiem zespołu.

  • a) W przypadku wykrycia incydentu naruszenia ochrony danych osobowych, administrator dokonuje oceny ryzyka i, jeśli wymagane, zgłasza naruszenie do UODO w terminie 72 godzin od jego wykrycia.
  • b) Hasła i dane dostępowe do systemów wewnętrznych są przechowywane w formie zaszyfrowanej i nie są udostępniane osobom nieupoważnionym.
  • c) Regularne aktualizacje oprogramowania serwerowego stanowią element bieżącej polityki bezpieczeństwa, minimalizując ryzyko wykorzystania znanych podatności.

10. Zmiany

Wersja obowiązuje od 24 września 2026. Zmiany publikujemy na tej stronie wraz z datą i krótkim opisem. Historia zmian pozwala użytkownikom śledzić, w jaki sposób ewoluuje podejście administratora do ochrony danych osobowych oraz jakie nowe kategorie danych lub procesorów zostały wprowadzone od poprzedniej wersji dokumentu. Przykładowo, jeśli w przyszłości portal zdecyduje się wdrożyć nowe narzędzie analityczne, informacja o tej zmianie zostanie odnotowana w rejestrze wraz z datą wejścia w życie zmodyfikowanej polityki. W przypadku istotnych zmian, które w sposób znaczący wpływają na sposób przetwarzania danych, administrator poinformuje aktywnych subskrybentów newslettera drogą mailową przed wejściem zmian w życie.

  • a) 24 września 2026 — publikacja pierwszej wersji Polityki prywatności portalu stralven.info.
  • b) Kolejne aktualizacje będą oznaczane datą wejścia w życie oraz zwięzłym opisem wprowadzonych zmian, widocznym w tej sekcji.
  • c) Archiwalne wersje polityki mogą zostać udostępnione na wniosek użytkownika skierowany na adres [email protected].