Polityka prywatności i plików cookie

Administratorem Twoich danych osobowych jest Elite Aesthetics — gabinet medycyny estetycznej prowadzony przez Magdalenę Florczak w Bathgate.
Adres: 25 North Bridge Street, Bathgate EH48 4PJ, United Kingdom.
Kontakt: contact@elite-aesthetics.vip, Instagram @mflorczak_eliteaesthetics lub Facebook.

Stronę i system rezerwacji buduje i obsługuje technicznie Lange Software Solutions (LSS) z Edynburga (rejestracja ICO: ZC147184) — jako podmiot przetwarzający dane w naszym imieniu na podstawie umowy powierzenia.

Dane o zdrowiu możesz przekazać nam w opcjonalnej ankiecie „Uzupełnij profil" przy koncie klientki. Pytamy wtedy o choroby przewlekłe, ciążę i karmienie, przyjmowane leki, alergie, fototyp skóry i kontakt awaryjny, i pozwalamy dołączyć zdjęcia okolicy zabiegowej. To są dane szczególnej kategorii w rozumieniu art. 9 UK GDPR i traktujemy je inaczej niż pozostałe informacje.

• Po co je zbieramy: wyłącznie po to, żeby ocenić, czy dany zabieg jest dla Ciebie bezpieczny.
• Podstawa prawna: Twoja wyraźna zgoda (art. 9 ust. 2 lit. a UK GDPR), zaznaczana osobnym polem — nie razem z innymi zgodami. Bez zaznaczenia zgody nie zapisujemy ani odpowiedzi, ani zdjęć.
• Kto ma do nich dostęp: wyłącznie Magdalena Florczak, w panelu gabinetu. Nie wysyłamy ich e-mailem, nie przekazujemy kursantkom ani nikomu poza gabinetem.
• Zdjęcia: trafiają do prywatnego magazynu, niedostępnego publicznie. Przed wysłaniem usuwamy z nich dane lokalizacji (EXIF). Podgląd w panelu działa przez link ważny kilka minut, po czym wygasa.
• Jak długo: do 24 miesięcy od ostatniego kontaktu — usuwa je automatyczne zadanie uruchamiane co tydzień. Jeśli cofniesz zgodę, kasujemy je od razu.
• Cofnięcie zgody: w panelu Twojego konta — odznaczasz zgodę zdrowotną. Kasujemy wtedy odpowiedzi zdrowotne i zdjęcia, bez pytań.

Zgłoszenie modelki na szkolenie to od 31.08.2026 wyłącznie dane kontaktowe: imię, nazwisko, numer telefonu, kategorie zabiegów, które Cię interesują, oraz — jeśli zechcesz je podać — adres e-mail i miasto. W zgłoszeniu nie pytamy o zdrowie i nie zbieramy zdjęć — pytania o zdrowie padają dopiero przy kwalifikacji w gabinecie, przed zabiegiem, i trafiają do dokumentacji opisanej wyżej. Zgłoszenie możesz wycofać w każdej chwili: wystarczy telefon lub wiadomość (dane kontaktowe w sekcji 1) — usuwamy wtedy Twoje dane z bazy modelek. Zgłoszenia przyjęte przed 31.08.2026 (dawna ankieta z odpowiedziami o zdrowiu i zdjęciami) są chronione według zasad z listy powyżej i możesz je wycofać tą samą drogą.

Zgoda na zdjęcia „przed i po" oraz ich publikację (np. w mediach społecznościowych) jest osobna i całkowicie dobrowolna — odmowa nie wpływa na wizytę ani na zgłoszenie.

Na stronie „Symulator zabiegów" możesz wgrać zdjęcie swojej twarzy (z galerii albo z aparatu), a my pokażemy Ci wizualizację efektu zabiegu wygenerowaną przez sztuczną inteligencję na podstawie opisu naszych własnych prac. Wizualizacja jest poglądowa — nie jest poradą medyczną ani obietnicą wyniku.

• Co przetwarzamy: wgrane zdjęcie twarzy i wygenerowaną wizualizację. Nie identyfikujemy Cię na podstawie twarzy, nie łączymy zdjęcia z kontem klientki i nie wykorzystujemy go do trenowania modeli.
• Podstawa prawna: Twoja zgoda (art. 6 ust. 1 lit. a UK GDPR), zaznaczana przed wgraniem zdjęcia. Symulator jest wyłącznie dla osób pełnoletnich — o datę urodzenia pytamy w przeglądarce, a sama data nie jest do nas wysyłana ani zapisywana.
• Gdzie trafia zdjęcie: do magazynu prowadzonego przez LSS (nasz podmiot przetwarzający) pod losowym adresem, którego nie da się odgadnąć, a stamtąd — wyłącznie na czas wygenerowania obrazu — do dostawcy modelu obrazowego fal.ai (USA, Standardowe Klauzule Umowne / UK IDTA).
• Jak długo: zdjęcie i wizualizację kasuje automatyczne zadanie w ciągu 24 godzin. Zapis bez zdjęcia (czas, wybrany wariant, zasolony skrót adresu IP do ochrony przed nadużyciami) przechowujemy do 30 dni.
• Zapisany plik: jeśli zapiszesz wizualizację na swoim urządzeniu, ma ona wypalony znak „Wizualizacja AI" — prosimy, żeby nie przedstawiać jej jako zdjęcia po zabiegu.

• Gdy się z nami kontaktujesz (Instagram, Facebook, telefon, e-mail): imię, dane kontaktowe i treść wiadomości — dobrowolnie.
• Gdy umawiasz wizytę (przez system rezerwacji na stronie, czat z asystentką LUCY, Instagram lub telefonicznie): imię, telefon, e-mail, wybrany zabieg, data i godzina.
• Gdy rozmawiasz z asystentką LUCY: treść rozmowy jest przetwarzana, aby udzielić odpowiedzi i — jeśli o to poprosisz — złożyć rezerwację. Treść pytań i odpowiedzi zapisujemy też (bez powiązania z kontem), aby poprawiać jakość odpowiedzi asystentki. Nie wpisuj w czacie danych, których nie chcesz nam przekazać.
• Dane o zabiegu: notatki niezbędne do bezpiecznego wykonania usługi (np. wynik testu płatkowego przed laserem, znane przeciwwskazania).
• Gdy zakładasz konto i uzupełniasz profil: imię i nazwisko, e-mail, telefon, a opcjonalnie data urodzenia, płeć, fototyp skóry i kontakt awaryjny. Dane o zdrowiu i zdjęcia opisuje osobno sekcja 2a.
• Gdy logujesz się przez Google: otrzymujemy Twój adres e-mail i imię z konta Google, aby utworzyć lub połączyć Twoje konto. Nie mamy dostępu do Twojego hasła Google.
• Gdy płacisz depozyt online: płatność obsługuje Stripe. My widzimy jedynie status i kwotę — pełnych danych karty nie zbieramy ani nie przechowujemy (trafiają bezpośrednio do Stripe).
• Pliki cookie i localStorage: tylko niezbędne — szczegóły w sekcji 7. Mapa Google na stronie głównej ładuje się dopiero po Twojej zgodzie.

• Odpowiedź na zapytanie i ustalenie wizyty — uzasadniony interes i czynności przed zawarciem umowy (Art. 6(1)(b)/(f) UK GDPR).
• Realizacja zabiegu i wystawienie rachunku — wykonanie umowy (Art. 6(1)(b)).
• Prowadzenie ewidencji księgowej i podatkowej — obowiązek prawny (Art. 6(1)(c), HMRC).
• Notatki o przeciwwskazaniach przy zabiegach laserowych / Keratynie — uzasadniony interes ochrony zdrowia (Art. 6(1)(f)), w razie szczególnych kategorii danych — wyraźna zgoda (Art. 9(2)(a)).
• Nie sprzedajemy Twoich danych, nie udostępniamy reklamodawcom, nie profilujemy.

• Zapytania, które nie zakończyły się wizytą — 12 miesięcy.
• Rekordy wizyt i faktury — 6 lat (standard HMRC).
• Notatki o przeciwwskazaniach do zabiegu — przez okres relacji + uzasadniony czas po niej, jeśli wymagają tego zasady bezpieczeństwa zabiegów.
• Cookies — zapis zgody do 12 miesięcy od ostatniej aktualizacji.
• Zdjęcia i wizualizacje z symulatora zabiegów — do 24 godzin; zapis bez zdjęcia — do 30 dni (sekcja 2b).

• Vercel — hosting strony (USA/UE, ramy SCC / UK IDTA).
• Supabase — baza danych rezerwacji, konta klientek i logowanie (serwery w UE: region AWS eu-west-1 / Irlandia; dane platformy LSS — region eu-north-1 / Sztokholm).
• Stripe — obsługa płatności depozytu i Klarna (Stripe jest samodzielnym administratorem danych płatniczych; pełne dane karty przetwarza Stripe, nie my).
• Google — logowanie „Zaloguj przez Google" (otrzymujemy e-mail i imię, aby utworzyć/połączyć konto) oraz osadzona mapa dojazdu na stronie głównej (mapa ładuje się wyłącznie po Twojej zgodzie; Google może wtedy ustawić własne cookies — zob. politykę prywatności Google).
• Anthropic — asystent AI „LUCY" w czacie (USA, przetwarzanie chwilowe, dane nie są używane do trenowania modeli).
• fal.ai — generowanie wizualizacji w symulatorze zabiegów (USA, SCC / UK IDTA); zdjęcie przekazywane wyłącznie na czas wygenerowania obrazu (sekcja 2b).
• Resend — e-mail transakcyjny (USA, SCC).

Z każdym dostawcą obowiązują umowy zapewniające odpowiednie zabezpieczenia (Standardowe Klauzule Umowne lub UK IDTA dla transferów poza UK).

Masz prawo do:

• dostępu do swoich danych,
• sprostowania nieprawidłowych danych,
• usunięcia danych (z wyjątkiem tych, które musimy zachować dla HMRC — 6 lat),
• ograniczenia lub sprzeciwu wobec niektórych form przetwarzania,
• przeniesienia danych,
• wycofania zgody w dowolnym momencie (gdy podstawą jest zgoda).

Żądania kierujesz na contact@elite-aesthetics.vip lub wiadomością na Instagram czy Facebook salonu. Odpowiadamy w ciągu jednego miesiąca. Możesz też złożyć skargę do brytyjskiego organu nadzorczego — Information Commissioner's Office, ico.org.uk.

Na stronie publicznej nie ustawiamy żadnych własnych plików cookie. Używamy:

• Niezbędne cookies — przy logowaniu na konto (klientki lub panel salonu) ustawia je sesja Supabase Auth. Odwiedzający bez logowania ich nie otrzymują.
• localStorage (pamięć przeglądarki, nie cookie): zapamiętanie Twojego wyboru dotyczącego cookies (do 12 miesięcy) oraz pozycji okna czatu LUCY. Te dane nie opuszczają Twojej przeglądarki.
• Cookies firm trzecich — Google Maps: osadzona mapa może ustawić cookies Google. Dlatego mapa ładuje się dopiero, gdy klikniesz „Akceptuję wszystkie" w banerze albo „Pokaż mapę" przy samej mapie. Bez zgody mapa się nie ładuje i żadne cookies Google nie są ustawiane.
• Cookies firm trzecich — Stripe: gdy płacisz depozyt online, Stripe może ustawić własne, niezbędne cookies zabezpieczające transakcję i chroniące przed oszustwami. Dotyczy wyłącznie momentu płatności.
• Analityczne i marketingowe: nie używamy. Gdybyśmy kiedyś chcieli je włączyć, najpierw poprosimy o zgodę przez baner.

Swój wybór możesz zmienić, czyszcząc dane strony w przeglądarce — baner pojawi się ponownie przy następnej wizycie.

Jeśli zmienimy treść tej polityki, zaktualizujemy datę u góry. Istotne zmiany ogłosimy na stronie głównej, a jeśli masz u nas aktualną rezerwację — poinformujemy Cię także e-mailem.