Polityka prywatności

Polityka prywatności określa, jakie dane osobowe Klientów (osób korzystających z usług Administratora), osób kontaktujących się z Administratorem i osób odwiedzających stronę przetwarza Administrator, w jakich celach i na jakich podstawach prawnych, komu je przekazuje i jak długo je przechowuje.

Obowiązuje od: 2 października 2026

§ 1. Administrator danych

Administrator: Martyna Szyszkowska Haircare
NIP: 8952306495
REGON: 545251852
Adres: ul. Władysława Chachaja 11B, 52-405 Wrocław
Kontakt w sprawie danych: kontakt@martynaszyszkowska.pl

Administrator nie wyznaczył inspektora ochrony danych, ponieważ przy skali jego działalności nie jest to wymagane. We wszystkich sprawach dotyczących danych osobowych należy kontaktować się bezpośrednio pod powyższym adresem.

§ 2. Zakres, cele i okresy przetwarzania danych

Rezerwacja i wykonanie usługi

Dane: imię i nazwisko, numer telefonu, adres e-mail (z Booksy, Instagrama albo wiadomości e-mail).
Podstawa prawna: art. 6 ust. 1 lit. b RODO, wykonanie umowy.
Okres przechowywania: czas współpracy oraz okres przedawnienia roszczeń, do 6 lat.

Karta Klienta

Dane: historia wizyt i zabiegów, receptury koloryzacji, notatki Administratora.
Podstawa prawna: art. 6 ust. 1 lit. b RODO, wykonanie umowy.
Okres przechowywania: jak w punkcie powyżej.

Wywiad zdrowotny, zdjęcia skóry głowy, wyniki badań i plan pielęgnacji

Dane: dane dotyczące zdrowia, szczególna kategoria danych. Administrator wysyła Klientowi plan pielęgnacji mailem w PDF.
Podstawa prawna: art. 9 ust. 2 lit. a RODO, wyraźna zgoda Klienta, odrębna od pozostałych. Administrator odbiera ją przed rozpoczęciem wywiadu. Przy wizycie trychologicznej Klient otrzymuje po rezerwacji formularz Booksy, a gdy formularza nie ma albo Klient go nie wypełni, podpisuje kartę na początku wizyty. Przy koloryzacji, strzyżeniu i pielęgnacji Klient podpisuje kartę na początku wizyty. Przy konsultacji online Klient potwierdza zgodę na piśmie przed rozmową (w formularzu Booksy albo w wiadomości) i ustnie na początku rozmowy. Klient otrzymuje treść zgody do zapoznania się przed wizytą, a najpóźniej na jej początku.
Dobrowolność: zgoda jest warunkiem wizyty trychologicznej i konsultacji online. Bez niej Administrator ich nie przeprowadza. Przy koloryzacji, strzyżeniu i pielęgnacji Administrator również prosi o zgodę, na karcie w gabinecie, ponieważ wywiad o alergiach i ciąży także obejmuje dane o zdrowiu. Zgodę można wycofać w każdej chwili.
Okres przechowywania: do wycofania zgody, nie dłużej niż wymaga tego prowadzenie kuracji Klienta i okres przedawnienia roszczeń.

Konsultacja online przez WhatsApp

Dane: numer telefonu, obraz i dźwięk w czasie rozmowy wideo, wyniki badań, jeśli Klient je pokaże albo prześle, treść wiadomości. Administrator nie nagrywa rozmów.
Podstawa prawna: art. 6 ust. 1 lit. b RODO dla rozmowy i wiadomości, art. 9 ust. 2 lit. a RODO dla danych o zdrowiu.
Okres przechowywania: do wycofania zgody, nie dłużej niż wymaga tego prowadzenie kuracji Klienta i okres przedawnienia roszczeń.
Odbiorca: WhatsApp Ireland Limited (grupa Meta), operator WhatsAppa w Unii Europejskiej. WhatsApp szyfruje rozmowy i wiadomości między telefonami Administratora i Klienta, a dane konta i dane techniczne połączenia przetwarza na własnych zasadach (§ 4).

Publikacja zdjęć i opisu przypadku

Dane: wizerunek, a przy zdjęciach skóry głowy i opisie przebiegu także dane o zdrowiu.
Podstawa prawna: art. 6 ust. 1 lit. a i art. 9 ust. 2 lit. a RODO oraz art. 81 ustawy o prawie autorskim: odrębna pisemna zgoda, która wymienia kanały publikacji.
Okres przechowywania: do wycofania zgody.

Informacje o wolnych terminach, nowych usługach i materiałach o pielęgnacji

Dane: numer telefonu albo adres e-mail.
Podstawa prawna: art. 6 ust. 1 lit. a RODO, zgoda Klienta, odrębna i dobrowolna.
Okres przechowywania: do wycofania zgody. Zgodę można wycofać, odpowiadając „STOP” albo pisząc na adres kontakt@martynaszyszkowska.pl.

Rozliczenia, paragony i faktury

Dane: dane wymagane na dokumencie księgowym.
Podstawa prawna: art. 6 ust. 1 lit. c RODO, obowiązek prawny.
Okres przechowywania: 5 lat podatkowych.

Monitoring w gabinecie

Dane: obraz z kamery w gabinecie, bez dźwięku. Kamera nagrywa przez całą dobę, także w czasie wizyt. O monitoringu informuje oznaczenie w pokoju.
Podstawa prawna: art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes Administratora: bezpieczeństwo Klientów i Administratora.
Okres przechowywania: 7 dni, po tym czasie nagranie jest automatycznie nadpisywane.
Dostęp: nagrania przegląda wyłącznie Administrator.

Korespondencja mailowa i na Instagramie

Dane: treść wiadomości i dane, które nadawca w niej poda.
Podstawa prawna: art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes Administratora polegający na odpowiadaniu na pytania.
Okres przechowywania: do zakończenia sprawy i przez rozsądny czas po jej zakończeniu.

Logi serwera i analityka strony

Dane: adres IP, czas zapytania, dane techniczne przeglądarki.
Podstawa prawna: art. 6 ust. 1 lit. f RODO dla logów serwera; dla analityki zgoda wyrażona w banerze cookies.
Okres przechowywania: zgodnie z ustawieniami hostingu i narzędzi analitycznych.

§ 3. Hosting strony

Stronę utrzymuje Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, Stany Zjednoczone. Vercel Inc. uczestniczy w programie EU-U.S. Data Privacy Framework, więc przekazanie danych do Stanów Zjednoczonych odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO).

Serwer zapisuje standardowe logi dostępowe: adres IP, czas zapytania, typ przeglądarki i systemu. Administrator korzysta z nich wyłącznie do administrowania stroną oraz wykrywania i usuwania awarii. Nie łączy ich z danymi Klientów.

§ 4. Odbiorcy danych

Booksy International sp. z o.o., ul. Prosta 67, 00-838 Warszawa, system rezerwacji wizyt i formularz zgód (profil Administratora). Polityka Booksy.
Vercel Inc., hosting strony i logi serwera (dane i podstawa przekazania jak w § 3).
SEOHOST sp. z o.o., ul. Obornicka 330, 60-689 Poznań (KRS 0000939910, NIP 9721323212), poczta e-mail, czyli skrzynka kontakt@martynaszyszkowska.pl.
Biuro rachunkowe, dokumenty księgowe i rozliczenia podatkowe.
Serwis kasy fiskalnej, w zakresie wynikającym z obsługi urządzenia.
Google, Google Analytics, wyłącznie po wyrażeniu zgody w banerze cookies. Polityka Google.
PostHog, analityka zachowań na stronie, wyłącznie po wyrażeniu zgody. Polityka PostHog.
Meta Platforms Ireland Limited, w zakresie wiadomości wysyłanych do Administratora na Instagramie (@martyna.haircare). Polityka Instagrama.
WhatsApp Ireland Limited (grupa Meta), gdy konsultacja online odbywa się przez WhatsApp. Polityka WhatsApp.

Administrator nie sprzedaje bazy Klientów. Nie przekazuje danych podmiotom trzecim w celach marketingowych. Nie profiluje i nie podejmuje wobec osób, których dane dotyczą, decyzji w sposób zautomatyzowany.

§ 5. Prawa osób, których dane dotyczą

Dostęp: prawo dostępu do swoich danych osobowych, które przetwarza Administrator.
Sprostowanie: prawo do poprawienia danych nieprawidłowych.
Usunięcie: prawo do żądania usunięcia danych.
Ograniczenie przetwarzania: prawo do żądania, aby Administrator przestał wykorzystywać dane w danym celu.
Przenoszenie: prawo do otrzymania kopii danych w formacie nadającym się do odczytu maszynowego.
Sprzeciw: prawo do sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora.
Wycofanie zgody: w każdej chwili, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Administrator realizuje każde z tych żądań bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Żądania należy kierować na adres kontakt@martynaszyszkowska.pl. Osobie, której dane dotyczą, przysługuje również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

§ 6. Zdjęcia i ich publikacja

Zdjęcia skóry głowy i włosów na potrzeby wizyty Administrator wykonuje na podstawie zgody Klienta na przetwarzanie danych o zdrowiu, tej samej, która obejmuje wywiad (§ 2). Ta zgoda nie obejmuje publikacji.

Administrator publikuje wyłącznie materiały objęte pisemną zgodą Klienta i wyłącznie w kanałach wskazanych w tej zgodzie: na stronie martynaszyszkowska.pl, na Instagramie @martyna.haircare albo na profilu Administratora w Booksy. Dotyczy to także opisu przebiegu pielęgnacji bez nazwiska i kadrów bez twarzy. Bez takiej zgody Administrator niczego nie publikuje.

Klient może wycofać zgodę w każdej chwili. Zdjęcie i opis są wtedy usuwane z kanałów, w których zostały opublikowane. Wycofanie zgody działa na przyszłość i nie unieważnia publikacji sprzed wycofania.

§ 7. Pliki cookies

Niezbędne pliki cookies, potrzebne do działania strony i zapamiętania decyzji o zgodach, są aktywne zawsze. Analityczne pliki cookies (Google Analytics, PostHog) są uruchamiane dopiero po wyrażeniu zgody w banerze.

Decyzję można zmienić w dowolnym momencie, klikając w stopce. Po wycofaniu zgody Google Analytics i PostHog zostają wyłączone, a ich pliki cookies (_ga, _ga_*, ph_*) oraz dane zapisane przez nie w przeglądarce zostają usunięte. Pliki cookies można też usuwać i blokować w ustawieniach przeglądarki.

§ 8. Bezpieczeństwo danych

Administrator chroni dane osobowe, a szczególnie dane o zdrowiu, środkami technicznymi i organizacyjnymi dobranymi do ryzyka (art. 32 RODO). Środki te obejmują w szczególności:

szyfrowanie połączenia ze stroną (HTTPS);
dostęp do kart Klientów i danych o zdrowiu wyłącznie dla Administratora;
ochronę urządzeń i kont, na których Administrator przetwarza dane, hasłem i dodatkowym zabezpieczeniem logowania;
przechowywanie dokumentacji papierowej w zamykanym miejscu.

Jeśli dojdzie do naruszenia ochrony danych, które może stanowić poważne zagrożenie dla osoby, której dane dotyczą, Administrator zawiadomi ją o tym bez zbędnej zwłoki (art. 34 RODO).