Polityka Prywatności

§1. Administrator danych i kontakt

1. Administratorem danych osobowych w rozumieniu art. 4 pkt 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”) jest Damian „Kuljo” Kuliś („Administrator”), osoba fizyczna zamieszkała w Polsce:

   • adres do korespondencji: ul. Jarosława Dąbrowskiego 18/6, 02-561 Warszawa, Polska
   • e-mail: contact@eosinophilic-fasciitis.org
   • telefon: +48 600 130 255
   • sprawy ochrony danych osobowych (wnioski z art. 15–22 RODO, zgłoszenia naruszeń): rodo@eosinophilic-fasciitis.org

2. Brak Inspektora Ochrony Danych. Administrator nie wyznaczył Inspektora Ochrony Danych, ponieważ nie zachodzi żadna z przesłanek art. 37 ust. 1 RODO: Administrator nie jest organem ani podmiotem publicznym, a jego działalność nie polega na regularnym i systematycznym monitorowaniu osób na dużą skalę ani na przetwarzaniu danych szczególnej kategorii na dużą skalę. Korespondencję w sprawach ochrony danych należy kierować na adres wskazany w ust. 1.

§2. Zasady podstawowe

1. Pojęcia użyte w niniejszej Polityce Prywatności mają znaczenie nadane im w art. 4 RODO.

2. Zasada domyślna: zero danych. Serwis nie zbiera danych odwiedzającego, chyba że odwiedzający podejmie czynność wymagającą ich podania (wysłanie formularza kontaktowego, zapis na newsletter po jego uruchomieniu). Serwis nie korzysta z analityki, ciasteczek śledzących ani technologii reklamowych, nie ładuje w trakcie działania zasobów z serwerów zewnętrznych oraz nie prowadzi kont użytkowników, logowania ani systemu komentarzy.

3. Administrator przetwarza dane osobowe zgodnie z zasadami określonymi w art. 5 ust. 1 RODO.

§3. Przetwarzane dane — zestawienie

Poniższa tabela wskazuje, dla każdej powierzchni przetwarzania, zakres danych, cel, podstawę prawną oraz okres przechowywania. Szczegóły określają §§4–7.

§4. Formularz kontaktowy

1. Formularz kontaktowy służy wyłącznie nawiązaniu kontaktu wstępnego. Zasady korzystania z niego określa Regulamin §5.

2. Dane zbierane w pierwszej wiadomości:

   a) adres e-mail (wymagany) — w celu udzielenia odpowiedzi;

   b) treść wiadomości (wymagana, 10–5000 znaków);

   c) rola (opcjonalnie: pacjent, lekarz, rodzina, badacz, inne);

   d) imię (opcjonalnie);

   e) metadane transmisji: adres IP (przetwarzany po stronie Cloudflare), znacznik czasu oraz wersja językowa formularza (dla ustalenia języka odpowiedzi).

3. Automatyczne potwierdzenie. Po wysłaniu formularza na podany adres e-mail wysyłane jest automatyczne potwierdzenie otrzymania wiadomości, zawierające numer referencyjny i kopię treści przesłanej przez Użytkownika. Administrator nie prowadzi bazy zgłoszeń, więc jest to jedyny egzemplarz pozostający w dyspozycji Użytkownika. Potwierdzenie nie jest wiadomością marketingową i nie wiąże się z zapisem na jakąkolwiek listę wysyłkową.

4. Cel. Dane przetwarzane są wyłącznie w celu udzielenia odpowiedzi Użytkownikowi, a w odpowiednich przypadkach — prowadzenia korespondencji wstępnej poprzedzającej procedurę współpracy, o której mowa w §5.

5. Podstawa prawna. Zgoda Użytkownika, udzielana przez zaznaczenie wyraźnej klauzuli zgody w formularzu przed wysyłką — łącznie art. 6 ust. 1 lit. a RODO oraz art. 9 ust. 2 lit. a RODO w zakresie samoujawnionych danych o zdrowiu. Bez zgody wiadomość nie jest przyjmowana.

6. Minimalizacja danych. Zgodnie z Regulaminem §5 ust. 2 Użytkownik nie przesyła w pierwszej wiadomości załączników, dokumentacji medycznej ani szczegółowych informacji o stanie zdrowia. Wiadomości wykraczające poza ten zakres są usuwane bez zapoznawania się z ich pełną treścią, w trybie Regulaminu §5 ust. 4.

7. Retencja. Korespondencja przechowywana jest w skrzynce Administratora nie dłużej niż 12 miesięcy od ostatniej wiadomości w wymianie, niezależnie od tego, czy sprawa została wcześniej zakończona. Administrator nie prowadzi bazy zgłoszeń odrębnej od skrzynki pocztowej.

8. Dobrowolność. Podanie danych jest dobrowolne, lecz niezbędne do udzielenia odpowiedzi. Bez adresu e-mail odpowiedź nie jest możliwa.

§5. Współpraca w sprawie publikacji

1. Przejście poza kontakt wstępny — do procedury publikacji historii pacjenta lub wkładu klinicystycznego — odbywa się według pięcioetapowego trybu określonego w Regulaminie §6, jednakowo dla obu kategorii materiału.

2. Podstawa prawna na poszczególnych etapach.

   Etap	Działanie	Podstawa prawna
   1	Kontakt wstępny	art. 6 ust. 1 lit. a RODO; art. 9 ust. 2 lit. a RODO w zakresie samoujawnionych danych o zdrowiu (Regulamin §5 ust. 2 lit. c)
   2	Ustalenia indywidualne; wyraźna zgoda na uzgodniony zakres	art. 6 ust. 1 lit. a RODO; art. 9 ust. 2 lit. a RODO w zakresie danych szczególnej kategorii
   3	Przekazanie materiałów	art. 6 ust. 1 lit. a RODO; art. 9 ust. 2 lit. a RODO — na podstawie zgody udzielonej na Etapie 2
   4	Opracowanie i podgląd	art. 6 ust. 1 lit. b RODO — niezbędność do wykonania uzgodnionej współpracy
   5	Akceptacja, korekta lub rezygnacja	art. 6 ust. 1 lit. a RODO; art. 7 ust. 3 RODO w razie wycofania zgody

3. Wycofanie zgody. Użytkownik może wycofać zgodę na każdym etapie, bez podania przyczyny. Skutki wycofania określa Regulamin §6 ust. 7: trwałe usunięcie materiałów i wersji roboczych w terminie 30 dni, brak publikacji, poufność korespondencji oraz zachowanie minimalnego zapisu rozliczalności przez okres nie dłuższy niż 3 lata (art. 5 ust. 2 RODO). Wycofanie nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem (art. 7 ust. 3 RODO).

4. Po publikacji. Wycofanie zgody po publikacji skutkuje usunięciem treści z Serwisu oraz z materiałów pozostających pod kontrolą Administratora. Nie wywołuje ono skutku wobec egzemplarzy rozpowszechnionych wcześniej przez osoby trzecie na podstawie licencji CC BY-SA 4.0, która w tym zakresie jest nieodwołalna. Administrator informuje o tym Użytkownika przed publikacją.

§6. Newsletter (planowany, obecnie nieaktywny)

1. Na dzień wejścia w życie niniejszej Polityki Prywatności newsletter nie jest aktywny. Niniejszy paragraf opisuje zasady, które znajdą zastosowanie po jego uruchomieniu.

2. Dane: adres e-mail oraz — opcjonalnie — rola. Cel: wysyłka newslettera.

3. Podstawa prawna: zgoda udzielona w mechanizmie podwójnej weryfikacji (formularz zapisu oraz potwierdzenie przez link przesłany na wskazany adres) — art. 6 ust. 1 lit. a RODO oraz art. 398 ust. 1 PKE.

4. Retencja: do wycofania zgody. Rezygnacja następuje przez link zamieszczony w każdej wiadomości albo przez zawiadomienie Administratora.

5. Adresy subskrybentów nie są przekazywane osobom trzecim w celu innym niż techniczna wysyłka newslettera, nie są łączone z innymi zbiorami danych ani udostępniane podmiotom marketingowym i reklamowym.

§7. Logi serwerowe i bezpieczeństwo

1. Serwis hostowany jest na platformie Cloudflare Pages, świadczonej przez Cloudflare, Inc., działającą jako podmiot przetwarzający na rzecz Administratora (art. 28 RODO).

2. Dane w logach: adres IP, znacznik czasu, ścieżka żądania, metoda HTTP, user-agent, referer oraz standardowe metadane żądania HTTP.

3. Cel i podstawa prawna: zapewnienie bezpieczeństwa i dostępności Serwisu, wykrywanie i przeciwdziałanie nadużyciom oraz obsługa sieci dostarczania treści — art. 6 ust. 1 lit. f RODO. Interes ten jest wprost uznany w motywie 49 RODO. Administrator uwzględnił minimalny zakres danych, brak profilowania, brak łączenia z innymi zbiorami oraz krótki okres przechowywania i stwierdził, że interesy osób, których dane dotyczą, nie przeważają nad tym interesem.

4. Retencja. Stosowana jest standardowa retencja logów Cloudflare. Administrator nie konfiguruje dodatkowej retencji, nie eksportuje logów do własnego magazynu i nie przegląda logów surowych w zwykłym toku eksploatacji Serwisu.

5. Nagłówek CF-IPCountry. Cloudflare dodaje do żądania nagłówek zawierający dwuliterowy kod kraju ustalony na podstawie adresu IP. Administrator wykorzystuje go wyłącznie do przekierowania odwiedzającego z adresu głównego do właściwej wersji językowej (PL → /pl/, FR → /fr/, DE → /de/, IT → /it/, pozostałe → /en/). Nagłówek nie jest przechowywany, nie jest łączony z innymi danymi ani udostępniany skryptom działającym po stronie przeglądarki.

6. Limit zgłoszeń. Formularz kontaktowy przyjmuje najwyżej dwa zgłoszenia na dobę z jednego adresu IP. W tym celu Administrator przechowuje wyłącznie skrót kryptograficzny SHA-256 adresu IP połączonego z tajną wartością solącą oraz znaczniki czasu przyjętych zgłoszeń. Adres IP nie jest zapisywany w postaci jawnej, wpis nie jest łączony z treścią wiadomości ani z adresem nadawcy i wygasa automatycznie po 24 godzinach. Zastosowanie skrótu stanowi środek zabezpieczający w rozumieniu art. 32 ust. 1 lit. a RODO. Podstawa prawna: art. 6 ust. 1 lit. f RODO.

§8. Pliki cookies i pamięć przeglądarki

1. Serwis nie używa plików cookies. Nie występuje przetwarzanie wymagające zgody na podstawie art. 399 ust. 1 PKE (przepis wdrażający art. 5 ust. 3 dyrektywy 2002/58/WE), dlatego Serwis nie wyświetla bannera zgody.

2. sessionStorage. Serwis zapisuje jeden wpis pod kluczem disclaimer-dismissed, zapamiętujący zamknięcie bannera zastrzeżenia medycznego w bieżącej sesji przeglądania. Jest to zapis ściśle niezbędny do wykonania funkcji zażądanej przez Użytkownika i objęty wyjątkiem z art. 399 ust. 3 pkt 2 PKE. Wpis nie zawiera identyfikatora i usuwany jest z chwilą zamknięcia karty przeglądarki.

3. Brak analityki. Serwis nie korzysta z narzędzi analitycznych. Jest to trwała decyzja Administratora, a nie ustawienie konfiguracyjne: uruchomienie jakiejkolwiek analityki wymagałoby istotnej zmiany niniejszej Polityki Prywatności i ogłoszenia jej w trybie §13.

4. Czcionki serwowane lokalnie. Czcionki internetowe wykorzystywane w Serwisie (Newsreader, Geist, JetBrains Mono) są osadzane w Serwisie na etapie kompilacji i serwowane z jego własnej domeny. Przeglądarka Użytkownika nie wysyła żądań do serwerów podmiotów trzecich, a jego adres IP nie jest im ujawniany.

§9. Odbiorcy danych i przekazywanie poza EOG

1. Administrator nie udostępnia danych osobowych podmiotom innym niż wskazane w ust. 2 podmioty przetwarzające, z wyjątkiem przypadków, w których obowiązek udostępnienia wynika z bezwzględnie obowiązujących przepisów prawa.

2. Podmioty przetwarzające:

   a) Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA) — hosting Serwisu (Cloudflare Pages), obsługa DNS, sieć dostarczania treści, przetwarzanie logów dostępowych. Polityka prywatności: https://www.cloudflare.com/privacypolicy/.

   b) Mailgun Technologies, Inc. (spółka grupy Sinch AB) — dostarczanie wiadomości wysłanych przez formularz kontaktowy do skrzynki Administratora oraz automatycznych potwierdzeń do Użytkowników, a po uruchomieniu newslettera — również jego wysyłka. Domena wysyłająca skonfigurowana jest w regionie europejskim usługi (api.eu.mailgun.net), co oznacza, że treść wiadomości przetwarzana jest na infrastrukturze w Europejskim Obszarze Gospodarczym. Polityka prywatności: https://www.mailgun.com/legal/privacy-policy/.

3. Przekazywanie do państw trzecich. Oba podmioty mają siedzibę w Stanach Zjednoczonych i mogą tam przetwarzać dane osobowe; wybór regionu europejskiego u podmiotu wskazanego w ust. 2 lit. b nie wyklucza dostępu administracyjnego spółki macierzystej. Przekazania odbywają się na podstawie:

   a) standardowych klauzul umownych przyjętych decyzją wykonawczą Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r., stanowiących część umów powierzenia przetwarzania danych zawartych z każdym z tych podmiotów;

   b) decyzji wykonawczej Komisji (UE) 2023/1795 z dnia 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony danych osobowych zapewniany przez ramy ochrony danych UE–USA — w odniesieniu do podmiotów certyfikowanych w tych ramach.

   Kopię stosowanych zabezpieczeń Administrator udostępnia na wniosek złożony na adres wskazany w §1 ust. 1.

4. Administrator nie korzysta z dostawców analityki, sieci reklamowych, wtyczek serwisów społecznościowych ani innych usług zewnętrznych, które prowadziłyby do dalszych przekazań danych.

§10. Okresy przechowywania

§11. Prawa osoby, której dane dotyczą

1. Osobie, której dane dotyczą, przysługują:

   a) prawo dostępu do danych i informacji wskazanych w art. 15 RODO;

   b) prawo do sprostowania danych nieprawidłowych i uzupełnienia niekompletnych (art. 16 RODO);

   c) prawo do usunięcia danych w przypadkach określonych w art. 17 ust. 1 RODO;

   d) prawo do ograniczenia przetwarzania w przypadkach określonych w art. 18 ust. 1 RODO;

   e) prawo do przenoszenia danych w przypadkach określonych w art. 20 ust. 1 RODO;

   f) prawo sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO, z przyczyn związanych ze szczególną sytuacją tej osoby (art. 21 RODO).

2. Wycofanie zgody. Jeżeli przetwarzanie odbywa się na podstawie zgody (art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a RODO), zgodę można wycofać w każdym czasie. Wycofanie nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem (art. 7 ust. 3 RODO).

3. Realizacja praw. Wnioski kierować należy na adres rodo@eosinophilic-fasciitis.org. Administrator udziela informacji o podjętych działaniach bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania wniosku (art. 12 ust. 3 RODO). Termin ten może zostać przedłużony o dwa miesiące z uwagi na skomplikowany charakter wniosku lub liczbę wniosków; o przedłużeniu i jego przyczynach Administrator informuje w terminie miesiąca od otrzymania wniosku.

4. Skarga do organu nadzorczego. Osobie, której dane dotyczą, przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl.

5. Dobrowolność podania danych. Podanie danych przez formularz kontaktowy jest dobrowolne. Niepodanie adresu e-mail uniemożliwia udzielenie odpowiedzi; niepodanie pozostałych danych nie stoi na przeszkodzie odpowiedzi.

6. Brak zautomatyzowanego podejmowania decyzji. Administrator nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, w rozumieniu art. 22 RODO.

§12. Bezpieczeństwo przetwarzania

1. Administrator stosuje środki techniczne i organizacyjne odpowiadające ryzyku (art. 32 RODO), w szczególności:

   a) Serwis jest serwowany przez protokół HTTPS z szyfrowaniem TLS;

   b) Serwis nie posiada bazy danych warstwy aplikacyjnej; korespondencja znajduje się wyłącznie w skrzynce pocztowej Administratora po jej dostarczeniu;

   c) konta Administratora u dostawców hostingu, DNS i poczty chronione są uwierzytelnianiem dwuskładnikowym;

   d) z każdym podmiotem przetwarzającym wskazanym w §9 ust. 2 zawarto umowę powierzenia przetwarzania danych (art. 28 RODO);

   e) skonfigurowane są nagłówki bezpieczeństwa HTTP (X-Content-Type-Options: nosniff, X-Frame-Options: DENY, Referrer-Policy: strict-origin-when-cross-origin, Permissions-Policy: camera=(), microphone=(), geolocation=()).

2. Naruszenia ochrony danych. W razie naruszenia ochrony danych osobowych (art. 4 pkt 12 RODO) Administrator zgłasza je Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin od stwierdzenia naruszenia (art. 33 ust. 1 RODO), zawiadamia osoby dotknięte naruszeniem bez zbędnej zwłoki, jeżeli naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności (art. 34 ust. 1 RODO), oraz dokumentuje naruszenie zgodnie z art. 33 ust. 5 RODO.

§13. Zmiany Polityki Prywatności

1. Administrator może zmieniać niniejszą Politykę Prywatności. Zmiany ogłaszane są przez aktualizację numeru wersji i daty wejścia w życie widocznych na początku dokumentu oraz przez prowadzenie historii zmian w publicznie dostępnym repozytorium kodu źródłowego Serwisu.

2. Zmiany istotne — rozszerzające lub w inny sposób istotnie zmieniające zakres przetwarzania, kategorie odbiorców, okresy przechowywania albo sposób realizacji praw osoby, której dane dotyczą — ogłaszane są dodatkowo w sposób widoczny w Serwisie przez 14 dni przed ich wejściem w życie, a po uruchomieniu newslettera — również pocztą elektroniczną do subskrybentów.

3. Wersją wiążącą jest wersja polska (/pl/privacy).