Polityka Prywatności Platformy Opieki nad Seniorami

Wersja obowiązująca od dnia 5 marca 2026 r.

Niniejsza Polityka Prywatności określa zasady przetwarzania i ochrony danych osobowych użytkowników platformy do zdalnej opieki nad seniorami (dalej: „Platforma"), prowadzonej przez Studio Apps Sp. z o.o. Dokument został sporządzony zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (dalej: „RODO"), ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. ustanawiającym zharmonizowane przepisy dotyczące sztucznej inteligencji (dalej: „AI Act").

1. Administrator Danych Osobowych

Administratorem danych osobowych jest:

Studio Apps Sp. z o.o.
ul. Warszawska 40 2A, 40-008 Katowice
NIP: ___
KRS: ___
Adres e-mail do kontaktu w sprawach ochrony danych: rodo@studioapps.pl

Osobą odpowiedzialną za przetwarzanie danych osobowych w imieniu Administratora jest Jan Nowak.

Administrator dokłada najwyższej staranności w celu ochrony danych osobowych użytkowników Platformy, w szczególności danych dotyczących stanu zdrowia, które stanowią szczególną kategorię danych osobowych w rozumieniu art. 9 RODO.

2. Inspektor Ochrony Danych

Administrator wyznaczył Inspektora Ochrony Danych (IOD), z którym można kontaktować się we wszystkich sprawach dotyczących przetwarzania danych osobowych oraz korzystania z praw przysługujących na mocy RODO:

Inspektor Ochrony Danych: Jan Nowak
Adres e-mail: nowak@studioapps.pl
Adres korespondencyjny: Studio Apps Sp. z o.o., ul. Warszawska 40 2A, 40-008 Katowice (z dopiskiem „IOD")

IOD jest punktem kontaktowym zarówno dla osób, których dane dotyczą, jak i dla Prezesa Urzędu Ochrony Danych Osobowych.

3. Cele i Podstawy Prawne Przetwarzania Danych Osobowych

Administrator przetwarza dane osobowe użytkowników Platformy w następujących celach i na następujących podstawach prawnych:

3.1. Informacja o wyraźnej zgodzie na przetwarzanie danych dotyczących zdrowia

Z uwagi na fakt, że Platforma przetwarza dane dotyczące stanu zdrowia seniorów (w tym informacje o przyjmowanych lekach, samopoczuciu, nastroju i ogólnym stanie zdrowia), które stanowią szczególną kategorię danych osobowych w rozumieniu art. 9 ust. 1 RODO, ich przetwarzanie odbywa się wyłącznie na podstawie wyraźnej zgody osoby, której dane dotyczą, lub jej prawnego opiekuna (art. 9 ust. 2 lit. a) RODO).

Zgoda jest zbierana w następujący sposób:

• Ustnie — podczas pierwszej rozmowy telefonicznej z agentem AI, przy czym fakt wyrażenia zgody jest odnotowywany w systemie wraz ze znacznikiem czasowym;

• Pisemnie (elektronicznie) — za pośrednictwem formularza zgody dostępnego w panelu Platformy lub przesłanego drogą elektroniczną.

Zgoda podlega odnowieniu co 90 (dziewięćdziesiąt) dni. Przed upływem tego okresu Administrator zwraca się do osoby, której dane dotyczą, lub jej opiekuna prawnego z prośbą o potwierdzenie dalszej zgody na przetwarzanie danych. Brak odnowienia zgody skutkuje zaprzestaniem przetwarzania danych w celach wymagających zgody.

Zgoda może być cofnięta w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem. Cofnięcie zgody jest możliwe poprzez kontakt z Administratorem pod adresem rodo@studioapps.pl, kontakt z IOD lub oświadczenie złożone ustnie podczas rozmowy z agentem AI.

4. Kategorie Danych Osobowych

W ramach działania Platformy Administrator przetwarza następujące kategorie danych osobowych:

4.1. Dane zwykłe

• Imię i nazwisko seniora oraz opiekuna/osoby upoważnionej;

• Numer telefonu seniora oraz opiekuna/osoby upoważnionej;

• Adres e-mail opiekuna/osoby upoważnionej;

• Adres zamieszkania seniora (jeśli podany);

• Data urodzenia lub wiek seniora;

• Dane identyfikacyjne konta na Platformie (identyfikator użytkownika, data rejestracji);

• Dane dotyczące płatności (w zakresie niezbędnym do realizacji transakcji);

• Logi systemowe (adresy IP, znaczniki czasowe, informacje o urządzeniu);

• Metadane rozmów telefonicznych (data, godzina, czas trwania połączenia);

• Logi wysyłki wiadomości SMS (data, godzina, status dostarczenia).

4.2. Szczególne kategorie danych (dane wrażliwe — art. 9 ust. 1 RODO)

• Dane dotyczące stanu zdrowia, w tym:

  • Informacje o przyjmowanych lekach (nazwy, dawkowanie, harmonogram przyjmowania);

  • Informacje o samopoczuciu fizycznym seniora przekazywane podczas rozmów telefonicznych;

  • Informacje o nastroju i stanie emocjonalnym seniora;

  • Informacje o dolegliwościach, objawach chorobowych lub zmianach stanu zdrowia zgłaszanych przez seniora;

  • Podsumowania i raporty dotyczące stanu zdrowia generowane na podstawie analizy transkryptów rozmów przez model AI (LLM).

4.3. Dane generowane w toku działania Platformy

• Transkrypcje rozmów telefonicznych prowadzonych przez agenta AI z seniorem;

• Raporty i podsumowania wygenerowane przez model językowy AI na podstawie transkryptów;

• Zapisy historii przypomnień SMS i reakcji na nie.

Informacja dotycząca nagrań audio: Administrator nie przechowuje nagrań audio rozmów telefonicznych prowadzonych przez agenta AI. Rozmowy są przetwarzane w czasie rzeczywistym w celu wygenerowania transkrypcji tekstowej, po czym dane audio są trwale usuwane. Przechowywane są wyłącznie transkrypcje tekstowe rozmów, zgodnie z okresami retencji określonymi w sekcji 6 niniejszej Polityki.

5. Odbiorcy Danych Osobowych

5.1. Kategorie odbiorców

Dane osobowe użytkowników Platformy mogą być przekazywane następującym kategoriom odbiorców:

• Opiekunowie i osoby upoważnione — osoby wskazane przez seniora lub jego prawnego opiekuna jako uprawnione do otrzymywania raportów i informacji o stanie zdrowia seniora;

• Podmioty przetwarzające dane na zlecenie Administratora (podwykonawcy) — podmioty świadczące usługi niezbędne do funkcjonowania Platformy, działające na podstawie umów powierzenia przetwarzania danych osobowych (art. 28 RODO);

• Organy publiczne — w przypadkach przewidzianych przepisami prawa, w tym na żądanie Prezesa Urzędu Ochrony Danych Osobowych, sądów lub organów ścigania.

5.2. Podmioty przetwarzające dane (podwykonawcy)

W celu świadczenia usług Platformy Administrator korzysta z usług następujących kategorii podwykonawców:

Pełna lista podmiotów przetwarzających dane, zawierająca nazwy własne podwykonawców, dostępna jest na żądanie pod adresem: rodo@studioapps.pl.

5.3. Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG)

W związku z korzystaniem z usług podwykonawców mających siedzibę w Stanach Zjednoczonych oraz na Cyprze, dane osobowe użytkowników Platformy mogą być przekazywane poza Europejski Obszar Gospodarczy.

Stany Zjednoczone: Przekazywanie danych do podmiotów zlokalizowanych w Stanach Zjednoczonych odbywa się na podstawie jednego lub kilku z poniższych mechanizmów prawnych:

• Decyzji wykonawczej Komisji Europejskiej w sprawie odpowiedniego stopnia ochrony danych osobowych zapewnianego przez EU-US Data Privacy Framework (DPF), o ile dany podmiot jest certyfikowany w ramach DPF;

• Standardowych klauzul umownych (SKU) przyjętych przez Komisję Europejską na podstawie art. 46 ust. 2 lit. c) RODO;

• W przypadku braku powyższych — wyraźnej zgody osoby, której dane dotyczą, udzielonej po poinformowaniu o możliwym ryzyku (art. 49 ust. 1 lit. a) RODO).

Cypr: Cypr jest państwem członkowskim Unii Europejskiej i należy do Europejskiego Obszaru Gospodarczego, w związku z czym przekazywanie danych do podmiotów zlokalizowanych na Cyprze nie stanowi transferu danych poza EOG i nie wymaga dodatkowych zabezpieczeń.

Administrator przeprowadza ocenę skutków transferu danych (Transfer Impact Assessment, TIA) dla każdego podwykonawcy zlokalizowanego poza EOG, w szczególności w odniesieniu do podwykonawców o wysokim poziomie ryzyka. Administrator stosuje dodatkowe środki techniczne i organizacyjne, w tym szyfrowanie danych w transmisji i w spoczynku, pseudonimizację danych przed przekazaniem do podwykonawców oraz ograniczenie zakresu przekazywanych danych do niezbędnego minimum.

Uwaga: Administrator informuje, że na dzień sporządzenia niniejszej Polityki trwa proces zawierania umów powierzenia przetwarzania danych osobowych (DPA) z podwykonawcami wymienionymi w sekcji 5.2. Do czasu zawarcia stosownych umów DPA Administrator stosuje dodatkowe środki zabezpieczające, w tym minimalizację zakresu danych przekazywanych podwykonawcom, szyfrowanie end-to-end oraz bieżący monitoring zgodności. Administrator zobowiązuje się do niezwłocznego zawarcia umów DPA ze wszystkimi podwykonawcami i poinformowania o tym fakcie osób, których dane dotyczą, na ich żądanie.

6. Okres Przechowywania Danych Osobowych

Administrator przechowuje dane osobowe przez okres niezbędny do realizacji celów, dla których zostały zebrane, a następnie przez okres wymagany przepisami prawa lub do czasu przedawnienia ewentualnych roszczeń. Szczegółowe okresy retencji poszczególnych kategorii danych przedstawiają się następująco:

Po upływie wskazanych okresów retencji dane osobowe są trwale usuwane lub skutecznie zanonimizowane w sposób uniemożliwiający identyfikację osoby, której dane dotyczą. Usuwanie danych odbywa się w sposób automatyczny, z zastrzeżeniem możliwości wcześniejszego usunięcia na żądanie osoby, której dane dotyczą.

7. Prawa Osób, Których Dane Dotyczą

Każdej osobie, której dane osobowe są przetwarzane przez Administratora, przysługują następujące prawa wynikające z RODO:

7.1. Prawo dostępu do danych (art. 15 RODO)

Osoba, której dane dotyczą, ma prawo uzyskać od Administratora potwierdzenie, czy przetwarzane są jej dane osobowe, a jeżeli ma to miejsce — prawo uzyskania dostępu do tych danych oraz informacji o celach przetwarzania, kategoriach danych, odbiorcach, planowanym okresie przechowywania, a także prawo do uzyskania kopii danych.

7.2. Prawo do sprostowania danych (art. 16 RODO)

Osoba, której dane dotyczą, ma prawo żądania niezwłocznego sprostowania dotyczących jej danych osobowych, które są nieprawidłowe, oraz prawo żądania uzupełnienia niekompletnych danych osobowych.

7.3. Prawo do usunięcia danych — „prawo do bycia zapomnianym" (art. 17 RODO)

Osoba, której dane dotyczą, ma prawo żądania niezwłocznego usunięcia dotyczących jej danych osobowych, w szczególności gdy dane nie są już niezbędne do celów, w których zostały zebrane, zgoda została cofnięta i nie ma innej podstawy prawnej przetwarzania, lub dane były przetwarzane niezgodnie z prawem. Administrator może odmówić usunięcia danych, jeżeli ich przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub wypełnienia obowiązku prawnego.

7.4. Prawo do ograniczenia przetwarzania (art. 18 RODO)

Osoba, której dane dotyczą, ma prawo żądania ograniczenia przetwarzania w przypadkach określonych w art. 18 RODO, w tym gdy kwestionuje prawidłowość danych lub wniosła sprzeciw wobec przetwarzania.

7.5. Prawo do przenoszenia danych (art. 20 RODO)

Osoba, której dane dotyczą, ma prawo otrzymać w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego dane osobowe jej dotyczące, które dostarczyła Administratorowi, oraz ma prawo przesłać te dane innemu administratorowi, jeżeli przetwarzanie odbywa się na podstawie zgody lub umowy i w sposób zautomatyzowany.

7.6. Prawo do sprzeciwu (art. 21 RODO)

Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. f) RODO (prawnie uzasadniony interes Administratora), w tym wobec profilowania. Administrator zaprzestanie przetwarzania danych, chyba że wykaże istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą.

7.7. Prawo do cofnięcia zgody (art. 7 ust. 3 RODO)

W zakresie, w jakim przetwarzanie danych osobowych odbywa się na podstawie zgody, osoba, której dane dotyczą, ma prawo do cofnięcia zgody w dowolnym momencie. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

7.8. Prawo do wniesienia skargi do organu nadzorczego (art. 77 RODO)

Każda osoba, której dane dotyczą, ma prawo wniesienia skargi do organu nadzorczego, jeżeli sądzi, że przetwarzanie dotyczących jej danych osobowych narusza RODO. Organem nadzorczym właściwym dla terytorium Rzeczypospolitej Polskiej jest:

Prezes Urzędu Ochrony Danych Osobowych (UODO)
ul. Stawki 2, 00-193 Warszawa
Telefon: (22) 531 03 00

7.9. Sposób realizacji praw

W celu skorzystania z powyższych praw należy skontaktować się z Administratorem lub Inspektorem Ochrony Danych za pośrednictwem danych kontaktowych wskazanych w sekcjach 1 i 2 niniejszej Polityki. Administrator udziela odpowiedzi na żądanie bez zbędnej zwłoki, nie później niż w terminie jednego miesiąca od otrzymania żądania. W przypadku skomplikowanego charakteru żądania lub dużej liczby żądań termin ten może zostać przedłużony o kolejne dwa miesiące, o czym Administrator poinformuje osobę, której dane dotyczą.

Administrator może zażądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości osoby składającej żądanie, w celu ochrony przed nieuprawnionym ujawnieniem danych osobowych osobom trzecim.

8. Profilowanie i Zautomatyzowane Podejmowanie Decyzji (AI)

8.1. Wykorzystanie sztucznej inteligencji na Platformie

Platforma wykorzystuje systemy sztucznej inteligencji w następującym zakresie:

• Agent głosowy AI (voice AI) — prowadzenie rozmów telefonicznych z seniorami w celu monitorowania ich samopoczucia, nastroju oraz przestrzegania zaleceń dotyczących przyjmowania leków. Agent AI prowadzi rozmowy w sposób zautomatyzowany, przy czym senior jest każdorazowo informowany, że rozmawia z systemem sztucznej inteligencji, a nie z człowiekiem, zgodnie z art. 50 ust. 1 AI Act;

• Model językowy AI (LLM) — analiza transkryptów rozmów telefonicznych w celu generowania podsumowań i raportów dotyczących stanu zdrowia, nastroju i przestrzegania zaleceń farmakologicznych seniora. Raporty są udostępniane opiekunom i osobom upoważnionym za pośrednictwem Platformy.

8.2. Klasyfikacja systemu AI w świetle AI Act

Administrator dokonał oceny systemu AI wykorzystywanego na Platformie pod kątem klasyfikacji ryzyka zgodnie z Rozporządzeniem (UE) 2024/1689 (AI Act). Z uwagi na fakt, że Platforma przetwarza dane dotyczące zdrowia osób starszych (grupy szczególnie wrażliwej) i generuje raporty mogące wpływać na decyzje dotyczące opieki zdrowotnej, system AI może zostać zakwalifikowany jako system AI wysokiego ryzyka w rozumieniu art. 6 AI Act. Administrator podejmuje działania mające na celu zapewnienie zgodności z wymogami określonymi w Rozdziale III Sekcji 2 AI Act, w tym w zakresie zarządzania ryzykiem, jakości danych, dokumentacji technicznej, przejrzystości oraz nadzoru ludzkiego.

8.3. Profilowanie

W ramach działania Platformy może dochodzić do profilowania w rozumieniu art. 4 pkt 4 RODO, polegającego na zautomatyzowanym przetwarzaniu danych osobowych seniora (w tym danych dotyczących zdrowia) w celu oceny jego stanu zdrowia, nastroju i przestrzegania zaleceń farmakologicznych. Profilowanie to służy wyłącznie celom informacyjnym i opiekuńczym — generowaniu raportów dla opiekunów.

8.4. Zautomatyzowane podejmowanie decyzji

Administrator informuje, że Platforma nie podejmuje decyzji wywołujących skutki prawne lub w podobny sposób istotnie wpływających na osoby, których dane dotyczą, w sposób wyłącznie zautomatyzowany w rozumieniu art. 22 ust. 1 RODO. Raporty generowane przez model AI mają charakter wyłącznie informacyjny i pomocniczy. Wszelkie decyzje dotyczące opieki nad seniorem podejmowane są przez opiekunów, osoby upoważnione lub personel medyczny na podstawie własnej oceny.

W szczególności:

• System AI nie podejmuje decyzji o zmianie dawkowania leków ani modyfikacji terapii;

• System AI nie zastępuje konsultacji medycznej ani diagnozy lekarskiej;

• Raporty generowane przez AI są oznaczone jako wygenerowane automatycznie i mogą zawierać nieścisłości;

• Opiekun lub osoba upoważniona ma możliwość zakwestionowania treści raportu i zgłoszenia nieprawidłowości Administratorowi.

8.5. Nadzór ludzki

Zgodnie z wymogami AI Act Administrator zapewnia nadzór ludzki nad działaniem systemów AI na Platformie. Oznacza to w szczególności, że:

• Wyznaczone osoby po stronie Administratora monitorują jakość i poprawność raportów generowanych przez AI;

• Opiekunowie i osoby upoważnione mogą w każdym momencie zgłosić błędy lub nieprawidłowości w działaniu systemu AI;

• Administrator prowadzi rejestr incydentów związanych z działaniem systemu AI i podejmuje działania naprawcze;

• Senior lub jego opiekun prawny ma prawo zażądać, aby kluczowe informacje dotyczące stanu zdrowia zostały zweryfikowane przez człowieka.

8.6. Prawo do informacji o zautomatyzowanym przetwarzaniu

Zgodnie z art. 13 ust. 2 lit. f) oraz art. 14 ust. 2 lit. g) RODO, a także art. 86 AI Act, Administrator informuje osoby, których dane dotyczą, o fakcie korzystania z systemów sztucznej inteligencji, logice ich działania oraz przewidywanych konsekwencjach takiego przetwarzania. Szczegółowe informacje na temat działania systemów AI na Platformie dostępne są na żądanie pod adresem: rodo@studioapps.pl.

9. Pliki Cookies i Technologie Śledzące

W przypadku korzystania z Platformy za pośrednictwem przeglądarki internetowej (panel opiekuna), Administrator może stosować pliki cookies oraz podobne technologie w następujących celach:

• Cookies niezbędne (techniczne) — zapewnienie prawidłowego działania Platformy, utrzymanie sesji użytkownika, zabezpieczenie przed atakami CSRF. Podstawa prawna: art. 6 ust. 1 lit. f) RODO (prawnie uzasadniony interes Administratora);

• Cookies funkcjonalne — zapamiętanie preferencji użytkownika (np. język interfejsu, ustawienia wyświetlania). Podstawa prawna: art. 6 ust. 1 lit. a) RODO (zgoda);

• Cookies analityczne — analiza sposobu korzystania z Platformy w celu jej ulepszania. Podstawa prawna: art. 6 ust. 1 lit. a) RODO (zgoda).

Administrator nie stosuje cookies marketingowych ani cookies służących do śledzenia aktywności użytkowników w celach reklamowych.

Użytkownik może zarządzać ustawieniami plików cookies za pośrednictwem mechanizmu zgody (baner cookies) wyświetlanego przy pierwszym wejściu na Platformę oraz w ustawieniach przeglądarki internetowej. Szczegółowe informacje o stosowanych plikach cookies zawiera odrębna Polityka Cookies dostępna na stronie Platformy.

10. Bezpieczeństwo Danych Osobowych

Administrator wdraża odpowiednie środki techniczne i organizacyjne w celu zapewnienia bezpieczeństwa przetwarzanych danych osobowych, w tym ochrony przed nieuprawnionym dostępem, utratą, zniszczeniem lub uszkodzeniem danych. Środki te obejmują w szczególności:

• Szyfrowanie danych w transmisji (TLS/SSL) oraz w spoczynku (AES-256 lub równoważne);

• Pseudonimizację danych osobowych przekazywanych do podwykonawców, tam gdzie jest to technicznie możliwe;

• Kontrolę dostępu opartą na zasadzie najmniejszych uprawnień (principle of least privilege);

• Uwierzytelnianie wieloskładnikowe (MFA) dla dostępu do panelu administracyjnego;

• Regularne tworzenie kopii zapasowych danych;

• Monitorowanie i rejestrowanie zdarzeń bezpieczeństwa (logi audytowe);

• Regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych (art. 32 ust. 1 lit. d) RODO);

• Szkolenia personelu z zakresu ochrony danych osobowych i bezpieczeństwa informacji;

• Procedury reagowania na naruszenia ochrony danych osobowych (art. 33 i 34 RODO).

11. Zmiany Polityki Prywatności

Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności w przypadku zmian w przepisach prawa, zmian w sposobie przetwarzania danych osobowych, zmian w zakresie wykorzystywanych technologii (w tym systemów AI) lub zmian w strukturze podwykonawców.

O wszelkich istotnych zmianach w Polityce Prywatności Administrator poinformuje użytkowników Platformy z wyprzedzeniem co najmniej 14 dni przed wejściem zmian w życie, za pośrednictwem:

• Komunikatu wyświetlanego w panelu Platformy;

• Wiadomości e-mail przesłanej na adres opiekuna/osoby upoważnionej;

• W uzasadnionych przypadkach — wiadomości SMS.

W przypadku zmian wymagających ponownego wyrażenia zgody na przetwarzanie danych osobowych (w szczególności danych dotyczących zdrowia), Administrator zwróci się do osób, których dane dotyczą, o wyrażenie nowej zgody przed rozpoczęciem przetwarzania na zmienionych zasadach.

Data ostatniej aktualizacji niniejszej Polityki Prywatności: 5 marca 2026 r.

Poprzednie wersje Polityki Prywatności są archiwizowane i dostępne na żądanie pod adresem: rodo@studioapps.pl.

Niniejsza Polityka Prywatności stanowi dokument informacyjny w rozumieniu art. 13 i 14 RODO i nie stanowi umowy ani oferty zawarcia umowy. W przypadku rozbieżności pomiędzy niniejszą Polityką a postanowieniami umowy o świadczenie usług Platformy, pierwszeństwo mają postanowienia umowy, o ile nie naruszają one bezwzględnie obowiązujących przepisów prawa o ochronie danych osobowych.