Polityka prywatności i plików cookie

Administratorem Twoich danych osobowych jest Elite Aesthetics — gabinet medycyny estetycznej prowadzony przez Magdalenę Florczak w Bathgate.
Adres: 25 North Bridge Street, Bathgate EH48 4PJ, United Kingdom.
Kontakt: contact@elite-aesthetics.vip, Instagram @mflorczak_eliteaesthetics lub Facebook.

Stronę i system rezerwacji buduje i obsługuje technicznie Lange Software Solutions (LSS) z Edynburga (rejestracja ICO: ZC147184) — jako podmiot przetwarzający dane w naszym imieniu na podstawie umowy powierzenia.

W dwóch miejscach możesz przekazać nam dane o zdrowiu: (1) w opcjonalnej ankiecie „Uzupełnij profil" przy koncie klientki oraz (2) zgłaszając się jako modelka na szkolenie. Pytamy wtedy o choroby przewlekłe, ciążę i karmienie, przyjmowane leki, alergie, fototyp skóry i kontakt awaryjny, i pozwalamy dołączyć zdjęcia okolicy zabiegowej. To są dane szczególnej kategorii w rozumieniu art. 9 UK GDPR i traktujemy je inaczej niż pozostałe informacje.

• Po co je zbieramy: wyłącznie po to, żeby ocenić, czy dany zabieg jest dla Ciebie bezpieczny.
• Podstawa prawna: Twoja wyraźna zgoda (art. 9 ust. 2 lit. a UK GDPR), zaznaczana osobnym polem — nie razem z innymi zgodami. Bez zaznaczenia zgody nie zapisujemy ani odpowiedzi, ani zdjęć.
• Kto ma do nich dostęp: wyłącznie Magdalena Florczak, w panelu gabinetu. Nie wysyłamy ich e-mailem, nie przekazujemy kursantkom ani nikomu poza gabinetem.
• Zdjęcia: trafiają do prywatnego magazynu, niedostępnego publicznie. Przed wysłaniem usuwamy z nich dane lokalizacji (EXIF). Podgląd w panelu działa przez link ważny kilka minut, po czym wygasa.
• Jak długo: do 24 miesięcy od ostatniego kontaktu — usuwa je automatyczne zadanie uruchamiane co tydzień. Jeśli cofniesz zgodę, kasujemy je od razu.
• Cofnięcie zgody: w panelu Twojego konta — odznaczasz zgodę zdrowotną (a jako modelka: „Wycofaj zgłoszenie i usuń dane"). Kasujemy wtedy odpowiedzi zdrowotne i zdjęcia, bez pytań.

Zgoda na zdjęcia „przed i po" oraz ich publikację (np. w mediach społecznościowych) jest osobna i całkowicie dobrowolna — odmowa nie wpływa na wizytę ani na zgłoszenie.

• Gdy się z nami kontaktujesz (Instagram, Facebook, telefon, e-mail): imię, dane kontaktowe i treść wiadomości — dobrowolnie.
• Gdy umawiasz wizytę (przez system rezerwacji na stronie, czat z asystentką LUCY, Instagram lub telefonicznie): imię, telefon, e-mail, wybrany zabieg, data i godzina.
• Gdy rozmawiasz z asystentką LUCY: treść rozmowy jest przetwarzana, aby udzielić odpowiedzi i — jeśli o to poprosisz — złożyć rezerwację. Treść pytań i odpowiedzi zapisujemy też (bez powiązania z kontem), aby poprawiać jakość odpowiedzi asystentki. Nie wpisuj w czacie danych, których nie chcesz nam przekazać.
• Dane o zabiegu: notatki niezbędne do bezpiecznego wykonania usługi (np. wynik testu płatkowego przed laserem, znane przeciwwskazania).
• Gdy zakładasz konto i uzupełniasz profil: imię i nazwisko, e-mail, telefon, a opcjonalnie data urodzenia, płeć, fototyp skóry i kontakt awaryjny. Dane o zdrowiu i zdjęcia opisuje osobno sekcja 2a.
• Gdy logujesz się przez Google: otrzymujemy Twój adres e-mail i imię z konta Google, aby utworzyć lub połączyć Twoje konto. Nie mamy dostępu do Twojego hasła Google.
• Gdy płacisz depozyt online: płatność obsługuje Stripe. My widzimy jedynie status i kwotę — pełnych danych karty nie zbieramy ani nie przechowujemy (trafiają bezpośrednio do Stripe).
• Pliki cookie i localStorage: tylko niezbędne — szczegóły w sekcji 7. Mapa Google na stronie głównej ładuje się dopiero po Twojej zgodzie.

• Odpowiedź na zapytanie i ustalenie wizyty — uzasadniony interes i czynności przed zawarciem umowy (Art. 6(1)(b)/(f) UK GDPR).
• Realizacja zabiegu i wystawienie rachunku — wykonanie umowy (Art. 6(1)(b)).
• Prowadzenie ewidencji księgowej i podatkowej — obowiązek prawny (Art. 6(1)(c), HMRC).
• Notatki o przeciwwskazaniach przy zabiegach laserowych / Keratynie — uzasadniony interes ochrony zdrowia (Art. 6(1)(f)), w razie szczególnych kategorii danych — wyraźna zgoda (Art. 9(2)(a)).
• Nie sprzedajemy Twoich danych, nie udostępniamy reklamodawcom, nie profilujemy.

• Zapytania, które nie zakończyły się wizytą — 12 miesięcy.
• Rekordy wizyt i faktury — 6 lat (standard HMRC).
• Notatki o przeciwwskazaniach do zabiegu — przez okres relacji + uzasadniony czas po niej, jeśli wymagają tego zasady bezpieczeństwa zabiegów.
• Cookies — zapis zgody do 12 miesięcy od ostatniej aktualizacji.

• Vercel — hosting strony (USA/UE, ramy SCC / UK IDTA).
• Supabase — baza danych rezerwacji, konta klientek i logowanie (serwery w UE, region AWS eu-north-1 / Sztokholm).
• Stripe — obsługa płatności depozytu i Klarna (Stripe jest samodzielnym administratorem danych płatniczych; pełne dane karty przetwarza Stripe, nie my).
• Google — logowanie „Zaloguj przez Google" (otrzymujemy e-mail i imię, aby utworzyć/połączyć konto) oraz osadzona mapa dojazdu na stronie głównej (mapa ładuje się wyłącznie po Twojej zgodzie; Google może wtedy ustawić własne cookies — zob. politykę prywatności Google).
• Anthropic — asystent AI „LUCY" w czacie (USA, przetwarzanie chwilowe, dane nie są używane do trenowania modeli).
• Resend — e-mail transakcyjny (USA, SCC).

Z każdym dostawcą obowiązują umowy zapewniające odpowiednie zabezpieczenia (Standardowe Klauzule Umowne lub UK IDTA dla transferów poza UK).

Masz prawo do:

• dostępu do swoich danych,
• sprostowania nieprawidłowych danych,
• usunięcia danych (z wyjątkiem tych, które musimy zachować dla HMRC — 6 lat),
• ograniczenia lub sprzeciwu wobec niektórych form przetwarzania,
• przeniesienia danych,
• wycofania zgody w dowolnym momencie (gdy podstawą jest zgoda).

Żądania kierujesz na contact@elite-aesthetics.vip lub wiadomością na Instagram czy Facebook salonu. Odpowiadamy w ciągu jednego miesiąca. Możesz też złożyć skargę do brytyjskiego organu nadzorczego — Information Commissioner's Office, ico.org.uk.

Na stronie publicznej nie ustawiamy żadnych własnych plików cookie. Używamy:

• Niezbędne cookies — przy logowaniu na konto (klientki lub panel salonu) ustawia je sesja Supabase Auth. Odwiedzający bez logowania ich nie otrzymują.
• localStorage (pamięć przeglądarki, nie cookie): zapamiętanie Twojego wyboru dotyczącego cookies (do 12 miesięcy) oraz pozycji okna czatu LUCY. Te dane nie opuszczają Twojej przeglądarki.
• Cookies firm trzecich — Google Maps: osadzona mapa może ustawić cookies Google. Dlatego mapa ładuje się dopiero, gdy klikniesz „Akceptuję wszystkie" w banerze albo „Pokaż mapę" przy samej mapie. Bez zgody mapa się nie ładuje i żadne cookies Google nie są ustawiane.
• Cookies firm trzecich — Stripe: gdy płacisz depozyt online, Stripe może ustawić własne, niezbędne cookies zabezpieczające transakcję i chroniące przed oszustwami. Dotyczy wyłącznie momentu płatności.
• Analityczne i marketingowe: nie używamy. Gdybyśmy kiedyś chcieli je włączyć, najpierw poprosimy o zgodę przez baner.

Swój wybór możesz zmienić, czyszcząc dane strony w przeglądarce — baner pojawi się ponownie przy następnej wizycie.

Jeśli zmienimy treść tej polityki, zaktualizujemy datę u góry. Istotne zmiany ogłosimy na stronie głównej, a jeśli masz u nas aktualną rezerwację — poinformujemy Cię także e-mailem.