Polityka prywatności

Wersja 1.3 — obowiązuje od 7 lipca 2026 r.; wersja 1.2 obowiązywała od 16 marca 2026 r.

1. Administrator i podmiot przetwarzający

Serwis Vet-Flow (dalej: "Serwis"), dostępny pod adresem vet-flow.pl, działa jako podmiot przetwarzający dane osobowe (procesor) w rozumieniu art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

Administratorem danych osobowych pacjentów (właścicieli zwierząt) jest placówka weterynaryjna, która korzysta z Serwisu w celu zarządzania rezerwacjami wizyt. Dane kontaktowe administratora dostępne są na stronie rezerwacyjnej danej placówki.

Operator Serwisu: Sebastian Gruza, kontakt: [email protected].

2. Zakres przetwarzanych danych

W ramach procesu rezerwacji wizyty przetwarzamy następujące dane osobowe:

• Imię i nazwisko właściciela zwierzęcia
• Numer telefonu
• Adres email (opcjonalnie)
• Imię zwierzęcia i gatunek
• Opis powodu wizyty
• Adres IP i identyfikator sesji (w celach bezpieczeństwa)

W ramach rejestracji placówki przetwarzamy:

• Nazwa placówki
• Imię i nazwisko osoby rejestrującej
• Adres email
• Numer PWZ (prawo wykonywania zawodu) osoby rejestrującej lub NIP placówki — do weryfikacji, że rejestracji dokonuje podmiot prowadzący działalność weterynaryjną
• Kod polecenia (jeżeli został podany)
• Data akceptacji regulaminu i umowy powierzenia (rozliczalność)

Serwis może również przetwarzać dane osobowe wprowadzone przez Użytkownika w drodze importu (np. z plików CSV lub JSON). Użytkownik zapewnia, że posiada podstawę prawną do przekazania tych danych do Serwisu oraz do ich dalszego przetwarzania w ramach usługi.

3. Podstawy prawne przetwarzania

Dane osobowe przetwarzane są na następujących podstawach prawnych:

• Art. 6 ust. 1 lit. b RODO — przetwarzanie jest niezbędne do wykonania umowy (realizacja rezerwacji wizyty weterynaryjnej) lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.
• Art. 6 ust. 1 lit. f RODO — przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów administratora, w szczególności: zapewnienie bezpieczeństwa systemu, ochrona przed nadużyciami (rate limiting, weryfikacja antyspamowa), analiza i rozwiązywanie problemów technicznych.

4. Odbiorcy danych

Dane osobowe mogą być przekazywane następującym kategoriom odbiorców:

• Placówka weterynaryjna — administrator danych, na rzecz którego dokonywana jest rezerwacja
• OVH SAS (Francja, UE) — infrastruktura serwerowa, na której działa Serwis
• Hetzner Online GmbH (Niemcy, UE) — infrastruktura serwerowa, na której działa Serwis
• Cloudflare, Inc. — weryfikacja antyspamowa (Turnstile), ochrona przed atakami, sieć CDN oraz przechowywanie plików i kopii zapasowych (usługa R2, lokalizacja UE); Turnstile przetwarza adres IP i dane sesji
• Brevo (Sendinblue SAS) (Francja, UE) — wysyłka powiadomień e-mail oraz SMS
• SMSAPI sp. z o.o. (Polska) — wysyłka powiadomień SMS
• mBank S.A. (Paynow) — obsługa płatności online (odrębny administrator danych transakcyjnych w zakresie realizacji płatności)
• PostHog Inc. — analityka produktowa Serwisu (statystyki korzystania); dane przechowywane wyłącznie w regionie UE (Frankfurt); narzędzie uruchamiane wyłącznie po wyrażeniu zgody analitycznej w banerze cookies (zob. §7)

Dane nie są przekazywane do państw trzecich poza Europejski Obszar Gospodarczy, z następującymi wyjątkami: usługa Cloudflare Turnstile może przetwarzać dane na serwerach poza EOG na podstawie standardowych klauzul umownych; w przypadku PostHog dane są przechowywane w regionie UE, a ewentualny dostęp serwisowy dostawcy z siedzibą w USA odbywa się na podstawie standardowych klauzul umownych.

5. Okres przechowywania danych

• Dane rezerwacji przechowywane są przez okres korzystania z Serwisu przez placówkę; po zakończeniu współpracy dane pozostają dostępne do eksportu przez placówkę przez 90 dni, po czym są trwale usuwane (chyba że przepisy prawa wymagają dłuższego przechowywania).
• Dane kont placówek przechowywane są przez cały okres korzystania z Serwisu.
• Logi techniczne (adresy IP) przechowywane są przez maksymalnie 90 dni.

6. Prawa osoby, której dane dotyczą

Na podstawie RODO przysługują Państwu następujące prawa:

• Prawo dostępu do danych (art. 15 RODO)
• Prawo do sprostowania danych (art. 16 RODO)
• Prawo do usunięcia danych — "prawo do bycia zapomnianym" (art. 17 RODO)
• Prawo do ograniczenia przetwarzania (art. 18 RODO)
• Prawo do przenoszenia danych (art. 20 RODO)
• Prawo do sprzeciwu wobec przetwarzania (art. 21 RODO)
• Prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa)

W celu realizacji powyższych praw należy skontaktować się z placówką weterynaryjną (administratorem danych) lub z operatorem Serwisu pod adresem: [email protected].

7. Pliki cookies i dane techniczne

Serwis stosuje trzy kategorie plików cookies i technologii, zgodnie z ustawieniami wybranymi w banerze zgód (kategorie: niezbędne / analityczne / marketingowe):

Niezbędne (bez zgody — wymagane do działania):

• vf_fp — identyfikator sesji służący do ochrony przed nadużyciami (rate limiting). Ważność: 1 rok. Plik typu HttpOnly.
• Cloudflare Turnstile — cookies ustawiane przez usługę weryfikacji antyspamowej Cloudflare w celu odróżnienia użytkowników od botów.

Statystyki własne (bez cookies): Serwis korzysta z własnej, samodzielnie utrzymywanej instancji Umami — narzędzia statystyk odwiedzin działającego bez plików cookies i bez identyfikowania konkretnych osób (dane zagregowane). Z tego względu nie wymaga ono zgody.

Analityczne (wyłącznie po zgodzie): cookies Google Analytics (gtag.js) oraz — jeżeli aktywna — analityka produktowa PostHog, służące do zbierania statystyk korzystania z Serwisu. Ładowane tylko po wyrażeniu zgody analitycznej w banerze.

Marketingowe (wyłącznie po zgodzie): piksel Meta/Facebook — ładowany i przekazujący dane wyłącznie po wyrażeniu odrębnej zgody marketingowej w banerze. Bez tej zgody żadne dane nie są przekazywane do Meta (dotyczy to również zdarzeń wysyłanych po stronie serwera).

Zgody można w każdej chwili zmienić lub cofnąć: Zmień ustawienia cookies.

8. Bezpieczeństwo

Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych, w tym:

• Szyfrowanie połączeń (HTTPS/TLS)
• Hashowanie haseł
• Ograniczenie dostępu do danych na zasadzie minimalnych uprawnień
• Ochrona przed atakami typu brute-force (rate limiting)

Serwis nie wymaga podawania danych logowania do zewnętrznych systemów i nie przechowuje takich danych. Zalecamy, aby pliki importu były przygotowywane i przesyłane z zachowaniem należytej staranności, ponieważ mogą zawierać dane osobowe.

9. Zmiany polityki prywatności

Zastrzegamy sobie prawo do wprowadzania zmian w niniejszej polityce prywatności. O istotnych zmianach poinformujemy poprzez aktualizację daty na początku dokumentu. Zalecamy regularne zapoznawanie się z treścią polityki prywatności.