Polityka prywatności

Aktualizacja: 25 września 2026 r.

Wyjaśniamy, jak epicX sp. z o.o. korzysta z danych na stronie epicx.pl i podczas kontaktu z naszą firmą. Poniżej znajdziesz najważniejsze zasady, a dalej szczegóły wymagane przez art. 13 RODO.

1. Administrator i kontakt

Administratorem danych osobowych jest epicX sp. z o.o., ul. Opolska 149, 52-013 Wrocław, NIP: 8993002846, dalej „epicX” lub „Administrator”.

W sprawach danych osobowych skontaktuj się bezpośrednio z Administratorem: epicx@epicx.pl, telefon +48 506 22 92 92 lub listownie na adres siedziby.

2. Jakie dane i w jakim celu przetwarzamy

• Korespondencja i prezentacja produktu: imię i nazwisko, służbowe dane kontaktowe, nazwa placówki oraz informacje przekazane w wiadomości. Dane służą odpowiedzi, rozmowie o produkcie i rozwiązaniu zgłoszonej sprawy. Podstawą jest nasz prawnie uzasadniony interes w prowadzeniu korespondencji i kontaktu związanego z działalnością — art. 6 ust. 1 lit. f RODO.
• Ustalenie, dochodzenie lub obrona roszczeń: w niezbędnym zakresie zachowujemy informacje o korespondencji i ustaleniach. Podstawą jest prawnie uzasadniony interes Administratora — art. 6 ust. 1 lit. f RODO.
• Działanie i ochrona strony: dostawcy infrastruktury mogą przetwarzać dane techniczne połączenia, takie jak adres IP, czas żądania, adres odwiedzanej strony oraz informacje o przeglądarce. Celem jest dostarczenie strony, diagnostyka i ochrona przed nadużyciami, w tym ograniczanie nadmiernej liczby żądań. Podstawą jest prawnie uzasadniony interes w zapewnieniu działania i bezpieczeństwa serwisu — art. 6 ust. 1 lit. f RODO.
• Dostęp administratora: dla osób uprawnionych do panelu przetwarzamy dane logowania, identyfikator sesji oraz informacje służące ograniczaniu prób nieuprawnionego dostępu. Logowanie chroni także Cloudflare Turnstile, który weryfikuje techniczne informacje o przeglądarce i połączeniu, w tym adres IP. Podstawą jest nasz prawnie uzasadniony interes w ochronie panelu i danych — art. 6 ust. 1 lit. f RODO. Mechanizm logowania nie służy liczeniu odwiedzających stronę.
• Statystyki odwiedzin: po Twojej zgodzie liczymy odsłony i przeglądarki odwiedzające stronę w danym dniu. Pomaga nam to ocenić zainteresowanie treściami i rozwijać stronę. Przetwarzamy adres podstrony bez parametrów i fragmentów, dzienny, losowy identyfikator przeglądarki, kategorię źródła wejścia, kod naszej kampanii, kategorię urządzenia i przybliżony kraj połączenia. Mierzymy także wybrane działania, aktywny czas i progi przewinięcia strony. Podstawą jest zgoda — art. 6 ust. 1 lit. a RODO. Szczegóły opisujemy w punkcie 3b.
• Ustawienia prywatności i wyglądu: w Twojej przeglądarce zapisujemy decyzję dotyczącą cookies, jej datę i wersję informacji, aby respektować wybór. Zapamiętywanie motywu jest opcjonalne i odbywa się po zgodzie. Nie łączymy tych ustawień z danymi kontaktowymi ani historią odwiedzin. Szczegóły i podstawy opisujemy w punkcie 8.

Przetwarzamy tylko informacje potrzebne do danej sprawy. Formularz kontaktowy nie służy przekazywaniu dokumentacji medycznej ani danych pacjentów. Zapoznanie się z polityką nie jest zgodą na marketing.

3. Jak działa formularz kontaktowy

Po wybraniu przycisku wysyłki dane z formularza trafiają do serwera strony, a następnie przez usługę Mailgun do naszej skrzynki epicx@epicx.pl. Otrzymujemy imię i nazwisko, nazwę placówki, adres e-mail, telefon oraz treść wiadomości. Potwierdzenie na stronie oznacza przyjęcie wiadomości do wysyłki przez dostawcę poczty.

Formularz chroni przed spamem Cloudflare Turnstile. Po włączeniu formularza dostawca weryfikuje techniczne informacje o przeglądarce i połączeniu, w tym adres IP. Serwer sprawdza jednorazowy token weryfikacji. Mechanizm służy ochronie formularza, a nie analityce odwiedzin ani reklamie.

Nie tworzymy osobnej bazy zgłoszeń w aplikacji strony. Korespondencja trafia do poczty epicX; Mailgun przetwarza wiadomość i dane techniczne potrzebne do jej doręczenia. W wiadomościach z formularza wyłączamy śledzenie otwarć i kliknięć. Możesz także napisać bezpośrednio na epicx@epicx.pl lub zadzwonić.

Pola formularza i zmiany w interaktywnych planszach pozostają w pamięci otwartej strony. Nie zapisujemy ich w lokalnej pamięci przeglądarki. Dane widoczne w planszach, wykresach i przykładzie ankiet PROMs są fikcyjne. Interaktywne makiety modułów AI nie przekazują danych do zewnętrznego modelu.

3b. Własne statystyki odwiedzin

Statystyki pomagają nam ulepszać stronę i sprawdzać, które treści oraz materiały epicX są przydatne. Pomiar włączamy dopiero po zgodzie na „Statystyki odwiedzin” — art. 6 ust. 1 lit. a RODO. Korzystamy z własnego modułu na Vercelu i bazy PostgreSQL w Neon, bez Google Analytics ani zewnętrznego systemu analitycznego. Odmowa nie wpływa na dostęp do strony ani możliwość kontaktu.

Co obejmuje pomiar

• Odsłony publicznych podstron, dzienny pseudonim przeglądarki, ogólną kategorię źródła wejścia i losowy kod naszej kampanii, jeśli został dodany do linku.
• Kategorię urządzenia (telefon, tablet, komputer lub nierozpoznane) i przybliżony kraj połączenia.
• Kliknięcia „Umów prezentację”, telefonu i e-maila, rozpoczęcie formularza, kategorię błędu, przyjęcie zgłoszenia do wysyłki oraz użycie interaktywnych przykładów modułów.
• Aktywny czas na widocznej karcie oraz osiągnięcie 25%, 50%, 75% i 100% przewinięcia. Pomiar czasu przerywamy po minucie bezczynności i ograniczamy do 30 minut na odsłonę.

W statystykach nie zapisujemy treści formularzy, danych kontaktowych, wartości suwaków, treści błędów, adresów IP ani pełnego opisu przeglądarki. Nie nagrywamy sesji ani ruchu kursora. Odsłony obejmują tylko ustaloną listę publicznych ścieżek, bez parametrów i fragmentów adresu oraz bez panelu administratora. Dane techniczne połączenia mogą być przetwarzane przez infrastrukturę w celach opisanych w punkcie 2.

Źródła wejść i kampanie

Przeglądarka wykorzystuje stronę odsyłającą i oznaczenia linku, aby rozpoznać źródło, np. Google, media społecznościowe lub e-mail. Przekazuje nam tylko ustaloną kategorię i kod naszej kampanii, bez pełnego adresu odesłania ani dowolnych wartości parametrów UTM. Dzięki kodowi porównujemy wejścia np. z ulotki, stoiska czy mailingu; otwarcie linku nie potwierdza samego zeskanowania QR. Przybliżony kraj otrzymujemy z Vercela, który ustala go na podstawie IP. Do statystyk trafia wyłącznie kod kraju lub informacja o jego braku, bez miasta, dokładnej lokalizacji i IP.

Po zgodzie pamięć sesyjna karty zachowuje źródło i kod kampanii przez maksymalnie 30 minut bezczynności, najdalej do zmiany dnia w Polsce. Pozwala to przypisać działanie na kolejnej podstronie do oznaczonego wejścia. Nowe wejście z zewnątrz zastępuje ten kontekst, a wycofanie zgody go usuwa.

Jak ograniczamy identyfikację

Cookie zawiera losowy identyfikator ważny najwyżej 24 godziny, zmieniany przy rozpoczęciu kolejnego dnia według czasu w Polsce. W bazie używamy jego dziennego pseudonimu. Nie budujemy profilu między dniami ani nie dopisujemy danych kontaktowych do statystyk. Pseudonimizacja nie oznacza jednak pełnej anonimowości.

Aby poprawnie zliczać wyniki i odrzucać powtórki, czasowo łączymy działania z identyfikatorem odsłony, ścieżką podstrony, dziennym pseudonimem, źródłem, urządzeniem i kodem kampanii. Te powiązania obejmują bieżący i poprzedni dzień. Pełne okresy przechowywania znajdziesz w punkcie 4.

Co pokazują raporty

Uprawnieni administratorzy widzą wyłącznie zbiorcze wyniki w chronionym panelu. Nie wysyłamy statystyk pocztą elektroniczną. „Unikalny odwiedzający” oznacza przeglądarkę rozpoznaną danego dnia po zgodzie, nie konkretną osobę. Podział źródeł i krajów dotyczy jej pierwszej zmierzonej odsłony. Działania i kampanie mają oddzielne liczniki, a nie potwierdzone ścieżki poszczególnych osób.

Zgłoszenie liczymy po przyjęciu wiadomości przez Mailgun, co nie potwierdza doręczenia, i tylko przy zgodzie oraz zarejestrowanej odsłonie. Odwiedziny bez zgody nie są uwzględniane. Ta sama osoba na innym urządzeniu może być policzona ponownie; źródło może być nierozpoznane, a kraj wskazywać np. serwer VPN.

4. Okres przechowywania

Dane z korespondencji przechowujemy przez okres potrzebny do załatwienia sprawy. Jeżeli nie dochodzi do dalszych uzgodnień lub umowy, maksymalny okres przechowywania danych kontaktowych wynosi 36 miesięcy od ich otrzymania, zgodnie z polityką epicX. Dłuższe przechowywanie może wynikać z obowiązku prawnego lub potrzeby ustalenia, dochodzenia bądź obrony roszczeń — do upływu właściwego terminu przedawnienia lub zakończenia postępowania.

Okres przechowywania danych technicznych zależy od celu diagnostycznego lub bezpieczeństwa, potrzeby wyjaśnienia incydentu oraz obowiązków prawnych dostawcy infrastruktury. Zasady i kryteria stosowane przez dostawców wskazano w ich politykach, do których odnośniki podajemy poniżej. Czas zapisu ustawień przeglądarki i cookies opisujemy w punkcie 8.

Dzienne pseudonimy przeglądarek, identyfikatory zwykłych zdarzeń i dane odsłon powiązane z działaniami przechowujemy za bieżący i poprzedni dzień kalendarzowy według czasu w Polsce. Starsze wpisy usuwa najbliższy codzienny cykl. Zbiorcze statystyki dzienne, bez identyfikatorów odwiedzających, zachowujemy za bieżący miesiąc i 12 poprzednich miesięcy kalendarzowych. Przez ten sam okres zachowujemy osobno zabezpieczony skrót identyfikatora przyjętego zgłoszenia, aby nie naliczyć go powtórnie. Skrót nie zawiera treści zgłoszenia, danych kontaktowych ani identyfikatora przeglądarki. Wpisy przekraczające te okresy usuwamy przy najbliższym codziennym cyklu czyszczenia.

Sesja administratora wygasa najpóźniej po 8 godzinach; wylogowanie ją unieważnia. Dane konta przechowujemy przez okres nadanych uprawnień. Informacje ograniczające nadmierną liczbę prób logowania i żądań do pomiaru odwiedzin są używane wyłącznie do ochrony przed nadużyciami, oddzielnie od statystyk. Działają w 15-minutowych oknach. Wygasłe wpisy zabezpieczeń i sesji są usuwane w najbliższym codziennym cyklu. W bazie ochrony przed nadużyciami przechowujemy skrót wyliczony z adresu IP z użyciem sekretu, zamiast samego adresu IP.

5. Odbiorcy danych i hosting

Dane mogą być udostępniane podmiotom wspierającym epicX w obsłudze poczty, utrzymaniu infrastruktury i oprogramowania IT oraz doradcom, gdy jest to potrzebne do obsługi sprawy. Dane mogą także otrzymać uprawnione organy, jeżeli wynika to z przepisów prawa.

Stronę utrzymujemy w usłudze Vercel. Wysyłkę wiadomości z formularza obsługuje Mailgun (grupa Sinch), a ochronę formularza i logowania przed nadużyciami — Cloudflare Turnstile. Dostawcy otrzymują dane w zakresie potrzebnym do wykonania tych usług. Szczegóły opisują polityka Vercel, polityka Mailgun oraz polityka Cloudflare.

Strona, panel administratora i własna logika serwerowa działają na Vercelu. Neon dostarcza bazę PostgreSQL do obsługi dostępu do panelu oraz przechowywania statystyk. epicX określa zasady działania modułu i dostęp do danych. Informacje dostawcy znajdziesz w polityce prywatności Neon / Databricks.

W przypadku tej infrastruktury przetwarzanie danych technicznych może obejmować państwa poza Europejskim Obszarem Gospodarczym, w tym USA. Dostawcy opisują w swoich politykach mechanizmy takich transferów, w tym decyzje stwierdzające odpowiedni stopień ochrony oraz standardowe klauzule umowne, zależnie od odbiorcy i kierunku transferu. O informacje dotyczące zabezpieczeń i sposobu uzyskania ich kopii można zwrócić się do Administratora lub odpowiedniego dostawcy.

6. Twoje prawa

Na zasadach określonych w RODO przysługują Ci:

• dostęp do danych i otrzymanie ich kopii;
• sprostowanie nieprawidłowych danych i uzupełnienie danych niekompletnych;
• usunięcie danych lub ograniczenie przetwarzania, jeżeli spełnione są wymagane przesłanki;
• sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie, z przyczyn związanych z Twoją szczególną sytuacją;
• przenoszenie danych, gdy przetwarzanie odbywa się automatycznie na podstawie zgody lub umowy;
• wycofanie zgody w dowolnym momencie, jeżeli w danej sytuacji to zgoda jest podstawą przetwarzania, bez wpływu na zgodność wcześniejszego przetwarzania z prawem;
• wniesienie skargi do Prezesa Urzędu Ochrony Danych Osobowych — uodo.gov.pl.

Po skutecznym sprzeciwie zaprzestaniemy przetwarzania danych, chyba że wykażemy ważne, prawnie uzasadnione podstawy nadrzędne wobec Twoich interesów, praw i wolności lub dane będą niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Wnioski dotyczące praw kieruj na epicx@epicx.pl.

7. Dobrowolność i automatyczne decyzje

Podanie danych jest dobrowolne. Bez danych umożliwiających odpowiedź nie będziemy mogli nawiązać kontaktu lub odpowiedzieć na zapytanie. Nie podejmujemy wobec użytkowników tej strony decyzji wywołujących skutki prawne lub podobnie istotnie na nich wpływających wyłącznie w sposób zautomatyzowany, w tym przez profilowanie.

8. Cookies i podobne technologie

Cookies to niewielkie informacje zapisywane w przeglądarce. Podobną funkcję pełnią pamięć lokalna (localStorage) i sesyjna (sessionStorage). Ustawienia cookies obejmują również te mechanizmy. Po osobnej zgodzie uruchamiamy własne statystyki odwiedzin opisane w punkcie 3b. Nie używamy Google Analytics ani pikseli reklamowych. Techniczne logi infrastruktury, opisane w punkcie 2, służą działaniu i ochronie strony.

8.1. Co zapisujemy i na jak długo

Ustawienia prywatności i motywu przechowujemy w przeglądarce. Wygasły wybór nie zezwala na zapis opcjonalny; usuwamy go wraz z zapisanym motywem przy kolejnym odczycie ustawień przez stronę. Przeglądarka nie usuwa localStorage automatycznie, gdy strona jest zamknięta. Starszy zapis motywu bez aktualnej zgody również usuwamy.

Ochrona formularza i logowania przez Turnstile działa niezależnie od zgody na zapamiętywanie motywu lub statystyki. W przygotowanej konfiguracji nie włączamy mechanizmu pre-clearance zapisującego cookie cf_clearance. Informacje o weryfikacji opisuje informacja o prywatności Turnstile.

8.2. Twój wybór i wycofanie zgody

Przy pierwszej wizycie możesz wybrać „Odrzuć”, „Akceptuję” albo otworzyć „Ustawienia”. Wybór dotyczy opcjonalnych cookies. Zgoda jest domyślnie wyłączona. Zapamiętywanie motywu i statystyki odwiedzin możesz włączyć lub wyłączyć niezależnie. Samo przewijanie, korzystanie ze strony lub zamknięcie ustawień nie oznacza zgody. Odmowa nie ogranicza dostępu do treści ani makiet produktu.

Zgodę możesz zmienić lub wycofać przez Ustawienia cookies w stopce każdej podstrony oraz tutaj. Wybierz „Odrzuć opcjonalne” lub wyłącz wybraną kategorię i zapisz wybór. Rezygnacja z zapamiętywania motywu usuwa jego lokalny zapis. Aktualny wygląd może pozostać w pamięci otwartej karty; nie będzie zapamiętany na kolejne wizyty. Wycofanie zgody nie wpływa na zgodność wcześniejszego przetwarzania z prawem.

Wyłączenie „Statystyk odwiedzin” i zapisanie wyboru lub wybranie „Odrzuć opcjonalne” zatrzymuje pomiar oraz usuwa cookie odwiedzającego i kontekst kampanii z pamięci karty. Wycofanie zgody nie usuwa wcześniejszych zbiorczych liczników, które nie wskazują konkretnej przeglądarki. W sprawie danych objętych prawami opisanymi w punkcie 6 możesz skontaktować się z nami.

Wybór dotyczy konkretnej przeglądarki i adresu strony; nie przenosi się pomiędzy urządzeniami ani domenami. Po 180 dniach lub zmianie zakresu wymagającej nowej zgody pokażemy panel ponownie. Jeśli przeglądarka blokuje zapis, wybór działa tylko w bieżącej karcie. Dane witryny możesz także usunąć lub zablokować w ustawieniach przeglądarki. Zablokowanie niezbędnej ochrony może utrudnić dostęp do strony.

8.3. Podstawy przetwarzania i zakres zgody

Stosujemy art. 399 i 400 ustawy z 12 lipca 2024 r. — Prawo komunikacji elektronicznej. Zapis opcjonalny i dostęp do niego opieramy na uprzedniej zgodzie; w zakresie danych osobowych podstawą jest art. 6 ust. 1 lit. a RODO. Niezbędne mechanizmy transmisji, bezpieczeństwa oraz respektowania decyzji nie wymagają zgody w zakresie wyjątku z art. 399 ust. 3. Podstawy przetwarzania technicznych danych osobowych wskazujemy w punkcie 2.

Zgoda na wcześniejszą wersję ustawień nie obejmuje automatycznie rozszerzonego pomiaru działań, kampanii, urządzeń i aktywnego czasu. Po rozszerzeniu zakresu prosimy o nowy wybór. Pomiar zaczyna się dopiero po zgodzie na aktualny zakres statystyk odwiedzin.

9. Dane w produkcie epicX i dodatkowe informacje

Ta polityka nie zastępuje informacji przekazywanych pacjentom przez placówkę medyczną korzystającą z produktu epicX. Cele, zakres i zasady przetwarzania danych medycznych w systemie, w tym ankiet PROMs, wynikają z organizacji opieki i odpowiednich ustaleń z placówką.

Informacje o przetwarzaniu danych w relacjach biznesowych zawiera dokument epicX dotyczący współpracy biznesowej (PDF).