Polityka prywatności TAMAIA

Wersja: 1.0 · Data wejścia w życie: 22 czerwca 2026

§ 1. Wprowadzenie i zakres

1. Niniejsza Polityka prywatności opisuje, w jaki sposób przetwarzane są dane osobowe w związku z usługą TAMAIA — oprogramowaniem w modelu SaaS służącym do integracji z telefonią recepcji gabinetów i klinik stomatologicznych oraz analizy jakości i skuteczności rozmów telefonicznych z pacjentami przy pomocy asystenta sztucznej inteligencji „MAIA".
2. Polityka dotyczy: (a) odwiedzających stronę tamaia.pl, (b) osób kontaktujących się przez formularz demo (leady), (c) Użytkowników Aplikacji (personel Klienta), oraz (d) — w zakresie roli podmiotu przetwarzającego — danych pacjentów Klienta przetwarzanych w Aplikacji.
3. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie świadczenia usługi TAMAIA.

§ 2. Administrator danych i role (RODO)

1. Rozróżnienie ról jest kluczowe i celowe:

a) Klinika (Klient) jest administratorem danych osobowych pacjentów przetwarzanych w Aplikacji — w tym danych zawartych w Nagraniach rozmów, transkrypcjach i analizach. To Klinika decyduje o celach i sposobach ich przetwarzania oraz odpowiada za podstawy prawne nagrywania i obowiązki informacyjne wobec pacjentów.

b) TAMAIA jest podmiotem przetwarzającym (procesorem) w odniesieniu do danych pacjentów — przetwarza je wyłącznie na udokumentowane polecenie Kliniki, na zasadach umowy powierzenia (DPA). TAMAIA nie decyduje samodzielnie o celach przetwarzania tych danych.

c) TAMAIA jest administratorem w odniesieniu do danych, które przetwarza we własnych celach: danych Użytkowników (konta personelu), danych osób kontaktujących się (leady), danych rozliczeniowych oraz logów bezpieczeństwa.

2. Administrator (TAMAIA, w zakresie wskazanym w ust. 1 lit. b i c): Excellent Patient Service sp. z o.o., ul. Lubomirskiego 39E, 36-040 Boguchwała, NIP: 5170359961. Kontakt: biuro@doskonalaobslugapacjenta.pl.
3. Inspektor Ochrony Danych (IOD): nie powołano (obowiązek wyznaczenia w ocenie — art. 37 ust. 1 lit. c RODO). Kontakt w sprawach ochrony danych: iod@tamaia.pl lub biuro@doskonalaobslugapacjenta.pl.

§ 3. Kategorie danych, cele i podstawy prawne

Poniższa tabela zestawia kategorie danych, cele i podstawy prawne. Podstawy odwołują się do art. 6 RODO.

Uwagi:

• W odniesieniu do danych pacjentów oraz Nagrań to Klinika jako administrator wskazuje konkretną podstawę prawną (np. uzasadniony interes z obowiązkiem informacyjnym albo zgodę na nagrywanie). TAMAIA wspiera Klinikę technicznie (np. komunikat IVR), ale nie ustala podstawy za nią.
• TAMAIA minimalizuje zakres danych przekazywanych do modeli AI w stopniu niezbędnym do analizy.

§ 4. Odbiorcy danych i Pod-procesorzy

1. Dane mogą być udostępniane podmiotom wspierającym świadczenie Usługi (Pod-procesorom), działającym na podstawie umów powierzenia i wyłącznie w zakresie niezbędnym do realizacji ich funkcji.
2. Kategorie Pod-procesorów i dostawców:

3. Dane mogą być udostępniane również podmiotom uprawnionym na podstawie przepisów prawa (np. organom państwowym) oraz doradcom (prawnym, księgowym) w niezbędnym zakresie.
4. Aktualny rejestr Pod-procesorów wraz z linkami do ich polityk prywatności znajduje się w odrębnym dokumencie: „Klauzula RODO i Rejestr Pod-procesorów".

§ 5. Transfer danych poza EOG

1. TAMAIA przetwarza dane osobowe w obrębie Europejskiego Obszaru Gospodarczego (EOG) i nie przekazuje danych osobowych poza EOG, w szczególności nie przekazuje ich do Stanów Zjednoczonych. Usługa, w tym analiza rozmów przy pomocy MAI, jest skonfigurowana tak, aby przetwarzanie odbywało się w infrastrukturze zlokalizowanej w EOG.
2. Gdyby w przyszłości którykolwiek pod-procesor miał przetwarzać dane osobowe poza EOG, nastąpi to wyłącznie po uprzednim zapewnieniu mechanizmu transferu zgodnego z RODO (np. standardowe klauzule umowne) oraz po aktualizacji niniejszej Polityki. Obecnie TAMAIA nie stosuje takiego transferu.
3. Wszyscy obecni pod-procesorzy przetwarzają dane w obrębie EOG (hosting: Railway — Amsterdam; poczta: Brevo — UE; telefonia: Ringostat — UE/EOG; analiza AI: Mistral — Francja; transkrypcja: Gladia — Francja).
4. Informacji o stosowanych zabezpieczeniach można żądać pod adresem biuro@doskonalaobslugapacjenta.pl.

§ 6. Okresy retencji (przechowywania)

1. Dane przechowywane są nie dłużej niż jest to niezbędne do celów, dla których zostały zebrane, lub przez okres wymagany przepisami prawa.
2. Orientacyjne okresy:

3. W odniesieniu do danych pacjentów i Nagrań okres przechowywania ustala Klinika jako administrator, a TAMAIA realizuje go zgodnie z DPA. Po zakończeniu Umowy dane są usuwane lub zwracane zgodnie z DPA.

§ 7. Prawa osób, których dane dotyczą

1. Osobie, której dane dotyczą, przysługują — w zakresie i na zasadach RODO — następujące prawa:
   a) prawo dostępu do danych (art. 15),
   b) prawo do sprostowania danych (art. 16),
   c) prawo do usunięcia danych („prawo do bycia zapomnianym", art. 17),
   d) prawo do ograniczenia przetwarzania (art. 18),
   e) prawo do przenoszenia danych (art. 20),
   f) prawo do sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21),
   g) prawo do cofnięcia zgody w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia), jeśli przetwarzanie odbywa się na podstawie zgody,
   h) prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa.
2. Realizacja praw pacjentów: ponieważ administratorem danych pacjentów jest Klinika, żądania pacjentów co do zasady kierowane są do Kliniki, a TAMAIA — jako podmiot przetwarzający — wspiera Klinikę w ich realizacji zgodnie z DPA.
3. Realizacja praw Użytkowników i leadów (gdzie administratorem jest TAMAIA): żądania można kierować na adres biuro@doskonalaobslugapacjenta.pl.
4. Podanie danych konta jest dobrowolne, lecz niezbędne do korzystania z Usługi; podanie danych w formularzu demo jest dobrowolne, lecz niezbędne do obsługi zapytania.

§ 8. Pliki cookies (ramowo)

1. Strona tamaia.pl oraz Aplikacja app.tamaia.pl mogą wykorzystywać pliki cookies i podobne technologie.
2. Stosowane są:
   a) cookies niezbędne — konieczne do działania serwisu i utrzymania sesji zalogowanego Użytkownika (podstawa: uzasadniony interes / niezbędność do świadczenia usługi),
   b) cookies analityczne / funkcjonalne / marketingowe — w zakresie, w jakim są stosowane, wyłącznie po wyrażeniu zgody przez użytkownika (podstawa: zgoda). (na obecnym etapie TAMAIA nie stosuje analitycznych plików cookies innych niż niezbędne; ewentualna lista zostanie uzupełniona przed ich wdrożeniem)
3. Użytkownik może zarządzać zgodami i ustawieniami cookies w ustawieniach przeglądarki oraz — jeśli udostępniono — w panelu zgód na stronie.
4. Szczegółowy wykaz cookies (nazwa, cel, czas przechowywania) zostanie określony w odrębnej Polityce cookies (w przygotowaniu).

§ 9. Bezpieczeństwo danych

1. TAMAIA stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w tym: szyfrowanie transmisji (TLS), szyfrowanie nagrań w spoczynku (AES-256) z dostępem wyłącznie przez podpisane, wygasające adresy, haszowanie haseł, kontrolę dostępu opartą na rolach, izolację danych poszczególnych Klientów, rejestrowanie zdarzeń bezpieczeństwa (audit log), mechanizmy przeciwdziałania współdzieleniu kont oraz minimalizację danych przekazywanych do modeli AI.
2. W przypadku naruszenia ochrony danych osobowych stosowane są procedury zgłoszeniowe zgodne z RODO (m.in. zawiadomienie PUODO w terminie 72 godzin, gdy ma zastosowanie). W roli podmiotu przetwarzającego TAMAIA niezwłocznie informuje Klinikę (administratora) o naruszeniu dotyczącym powierzonych danych.

§ 10. Zmiany Polityki prywatności

1. Polityka może być aktualizowana. Każda wersja jest oznaczana numerem i datą wejścia w życie.
2. O istotnych zmianach Użytkownicy informowani są w Aplikacji lub pocztą elektroniczną. Aktualna wersja jest dostępna pod adresem app.tamaia.pl/polityka.

§ 11. Kontakt

W sprawach dotyczących danych osobowych prosimy o kontakt:

• Administrator: Excellent Patient Service sp. z o.o., ul. Lubomirskiego 39E, 36-040 Boguchwała
• E-mail: biuro@doskonalaobslugapacjenta.pl
• Inspektor Ochrony Danych: nie powołano; kontakt: iod@tamaia.pl

Wersja 1.0 — obowiązuje od 22 czerwca 2026. Excellent Patient Service sp. z o.o.

Załącznik: Klauzula RODO i Rejestr Pod-procesorów

Wersja: 1.0 · Data wejścia w życie: 22 czerwca 2026

Dokument zawiera trzy części:

• Część A — krótka klauzula informacyjna RODO do wyświetlenia przy rejestracji/akceptacji.
• Część B — rejestr Pod-procesorów (tabela).
• Część C — streszczenie umowy powierzenia (DPA). Pełna, wiążąca treść: app.tamaia.pl/dpa (Załącznik nr 1 do Regulaminu).

Część A. Klauzula informacyjna RODO (skrót przy rejestracji)

Wersja skrócona do pokazania w oknie rejestracji / akceptacji. Pełne informacje zawiera Polityka prywatności.

1. Kto przetwarza Twoje dane. Administratorem danych konta i danych kontaktowych jest Excellent Patient Service sp. z o.o., ul. Lubomirskiego 39E, 36-040 Boguchwała, NIP: 5170359961, e-mail: biuro@doskonalaobslugapacjenta.pl (dalej „TAMAIA").
2. W jakim celu i na jakiej podstawie. Twoje dane (m.in. adres e-mail, dane logowania, rola, adres IP) przetwarzamy w celu założenia i obsługi konta oraz świadczenia usługi (art. 6 ust. 1 lit. b RODO), a także w celu zapewnienia bezpieczeństwa i rozliczalności (art. 6 ust. 1 lit. f RODO). Jeżeli wyrazisz zgodę na marketing — także w tym celu (art. 6 ust. 1 lit. a RODO).
3. Dane pacjentów. W odniesieniu do danych pacjentów oraz nagrań rozmów Twojej kliniki administratorem jesteś Ty (Twoja klinika), a TAMAIA działa jako podmiot przetwarzający na Twoje zlecenie — na zasadach umowy powierzenia (DPA).
4. Odbiorcy i transfer. Korzystamy z zaufanych dostawców (telefonia, analiza AI, poczta, płatności, hosting). Dane osobowe przetwarzamy w obrębie EOG i nie przekazujemy ich poza EOG, w tym do USA. Pełny wykaz w rejestrze Pod-procesorów.
5. Jak długo. Dane przechowujemy przez czas trwania umowy i okresy wymagane prawem; szczegóły w Polityce prywatności (orientacyjnie: nagrania — do 5 lat lub usunięcie na pisemne żądanie; logi — 12 miesięcy; faktury — 5 lat).
6. Twoje prawa. Masz prawo dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia i sprzeciwu, a także prawo cofnięcia zgody i wniesienia skargi do Prezesa UODO (ul. Stawki 2, 00-193 Warszawa).
7. Kontakt. W sprawach danych: biuro@doskonalaobslugapacjenta.pl; Inspektor Ochrony Danych: nie powołano; kontakt: iod@tamaia.pl.
8. Podanie danych jest dobrowolne, ale niezbędne do korzystania z usługi.

☐ Zapoznałem/am się i akceptuję Regulamin (wersja 1.0) oraz Politykę prywatności (wersja 1.0).
☐ (opcjonalnie) Wyrażam zgodę na otrzymywanie informacji marketingowych na podany adres e-mail.

Część B. Rejestr Pod-procesorów

Rejestr wskazuje podmioty, którym TAMAIA powierza dalej przetwarzanie danych (pod-powierzenie) w celu świadczenia Usługi. Klinika (administrator) akceptuje tę listę w ramach DPA; o zmianach TAMAIA informuje z możliwością sprzeciwu na zasadach DPA.

Uwagi do rejestru:

• Lokalizacje: Railway — Amsterdam (EOG); Brevo — UE; Ringostat — UE/EOG; analiza AI (Mistral) — Francja; transkrypcja (Gladia) — Francja; operator płatności — Polska/UE (do wyboru). Brak transferu poza EOG.
• Dla każdego Pod-procesora należy zawrzeć umowę powierzenia (lub zaakceptować jego warunki DPA) oraz dołączyć link do jego polityki/dokumentów ochrony danych.
• Rejestr powinien mieć własną wersję i datę aktualizacji; każda zmiana podlega notyfikacji do administratorów (Klinik).

Część C. Streszczenie umowy powierzenia przetwarzania danych (DPA)

Poniżej streszczenie kluczowych postanowień. Pełna, wiążąca treść umowy powierzenia (DPA) — Załącznik nr 1 do Regulaminu — dostępna jest pod adresem app.tamaia.pl/dpa. DPA jest zawierana między Kliniką (administrator) a TAMAIA (podmiot przetwarzający). Podstawa: art. 28 RODO.

C.1. Strony i definicje

• Administrator: Klinika (Klient).
• Podmiot przetwarzający: Excellent Patient Service sp. z o.o. (TAMAIA).
• Odesłanie do definicji z Regulaminu i RODO.

C.2. Przedmiot i charakter przetwarzania

• Przetwarzanie danych pacjentów oraz powiązanych nagrań rozmów, transkrypcji i analiz AI, w celu świadczenia Usługi (analiza jakości i skuteczności rozmów recepcji) na udokumentowane polecenie Administratora.
• Charakter: zautomatyzowane przetwarzanie (transkrypcja, analiza AI), przechowywanie, udostępnianie raportów uprawnionym Użytkownikom.

C.3. Czas trwania przetwarzania

• Na czas obowiązywania Umowy (Regulaminu). Po zakończeniu — zgodnie z pkt C.10 (usunięcie lub zwrot).

C.4. Rodzaj danych i kategorie osób, których dane dotyczą

• Kategorie osób: pacjenci/osoby dzwoniące do recepcji Kliniki; personel recepcji występujący w nagraniach.
• Rodzaj danych: imię, nazwisko, numer telefonu, adres e-mail, treść rozmowy (nagranie + transkrypcja), wyniki analizy AI, zgody. W rozmowach z pacjentami mogą pojawiać się dane dotyczące zdrowia (art. 9 RODO); są przetwarzane wyłącznie na udokumentowane polecenie Administratora (Kliniki), który zapewnia podstawę z art. 9 ust. 2 RODO, z wzmocnionymi zabezpieczeniami (szyfrowanie nagrań w spoczynku AES-256 i transmisji TLS, minimalizacja danych w analizie AI, dostęp wyłącznie dla osób upoważnionych wg ról).

C.5. Obowiązki podmiotu przetwarzającego (TAMAIA)

• Przetwarzanie wyłącznie na udokumentowane polecenie Administratora (w tym co do transferów poza EOG), chyba że obowiązek wynika z prawa.
• Zapewnienie, że osoby upoważnione do przetwarzania zobowiązały się do poufności.
• Wdrożenie odpowiednich środków technicznych i organizacyjnych (art. 32 RODO): szyfrowanie transmisji (TLS), haszowanie haseł, kontrola dostępu wg ról, izolacja danych Klientów, audit log, minimalizacja danych w promptach AI, pseudonimizacja w benchmarkach.
• Wsparcie Administratora w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw).
• Wsparcie w realizacji obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków).
• Zgłaszanie Administratorowi naruszeń ochrony danych bez zbędnej zwłoki po stwierdzeniu naruszenia.

C.6. Pod-powierzenie (Pod-procesorzy)

• Ogólna zgoda Administratora na korzystanie z Pod-procesorów wymienionych w Rejestrze (Część B).
• Obowiązek nałożenia na Pod-procesorów obowiązków ochrony danych nie mniej rygorystycznych niż w DPA.
• Notyfikacja o zamierzonych zmianach Pod-procesorów z prawem sprzeciwu Administratora w terminie 14 dni.
• Odpowiedzialność TAMAIA za działania Pod-procesorów jak za własne, w granicach prawa.

C.7. Transfery poza EOG

• Przetwarzanie odbywa się w obrębie EOG; brak transferu danych osobowych poza EOG, w tym do USA.
• Gdyby transfer poza EOG okazał się w przyszłości niezbędny, nastąpi wyłącznie z ważnym mechanizmem transferu zgodnym z RODO (np. standardowe klauzule umowne) i po aktualizacji dokumentów.
• Zobowiązanie do stosowania ważnego mechanizmu transferu dla każdego Pod-procesora poza EOG.

C.8. Audyt i kontrola

• Prawo Administratora do uzyskania informacji niezbędnych do wykazania zgodności z art. 28 RODO oraz do audytu/inspekcji, z poszanowaniem poufności i bezpieczeństwa innych Klientów.
• Tryb, częstotliwość, koszty i wyprzedzenie audytu.

C.9. Współpraca z organem nadzorczym

• Zobowiązanie TAMAIA do współpracy z Administratorem w kontaktach z PUODO w zakresie powierzonego przetwarzania.

C.10. Usunięcie lub zwrot danych po zakończeniu

• Po zakończeniu świadczenia Usługi TAMAIA — według wyboru Administratora — usuwa albo zwraca dane osobowe oraz usuwa istniejące kopie, chyba że prawo nakazuje ich przechowywanie.
• Termin i sposób usunięcia/zwrotu, format eksportu — zwrot danych w terminie 30 dni oraz usunięcie w terminie 60 dni od zakończenia świadczenia Usługi.

C.11. Odpowiedzialność i postanowienia końcowe

• Zasady odpowiedzialności (z uwzględnieniem ograniczeń z Regulaminu, w granicach dopuszczalnych przy danych osobowych).
• Pierwszeństwo DPA przed Regulaminem w kwestiach przetwarzania danych osobowych w razie sprzeczności.
• Prawo właściwe: polskie; właściwość sądu jak w Regulaminie.

Status wdrożenia (decyzje przyjęte)

• Retencja: nagrania, transkrypcje i analizy — do 5 lat lub wcześniejsze usunięcie na pisemne żądanie (realizacja do 14 dni); logi — 12 miesięcy; dane rozliczeniowe — 5 lat.
• Transfer poza EOG: brak (w tym do USA); wszyscy Pod-procesorzy w EOG; mechanizm SCC niewymagany.
• Hosting: Railway — Amsterdam (EU West, EOG). Telefonia: Ringostat — UE/EOG. Operator płatności: ING imoje (Polska/UE).
• Dane szczególnej kategorii (zdrowie, art. 9 RODO): przetwarzane wyłącznie na udokumentowane polecenie Administratora, z wzmocnionymi zabezpieczeniami (szyfrowanie w spoczynku i transmisji, minimalizacja danych w analizie AI, dostęp wg ról).
• Dane spółki: Excellent Patient Service sp. z o.o., NIP 5170359961, REGON 180874009, KRS 0000429303. IOD: nie powołano; kontakt: iod@tamaia.pl.

Wersja 1.0 — obowiązuje od 22 czerwca 2026. Pełna, wiążąca umowa powierzenia (DPA): app.tamaia.pl/dpa. Excellent Patient Service sp. z o.o.