Stan na: 13 października 2026
Gdzie są dane
- Konta i dane gabinetów: baza Supabase w regionie UE (Irlandia).
- Strona i panel: pliki serwowane przez Cloudflare. Panel pobiera dane gabinetu bezpośrednio z bazy.
- Szyfrowanie: połączenia TLS, baza AES-256 w spoczynku (po stronie dostawcy bazy). Hasła przechowuje usługa logowania, wyłącznie jako skróty.
- Kalkulatory publiczne liczą w przeglądarce. Wpisane liczby nie są wysyłane na serwer.
Kto ma dostęp
- Każdy gabinet jest oddzielony regułami w bazie (row-level security). Testy automatyczne przy każdej zmianie sprawdzają, że konto jednego gabinetu nie odczyta danych innego.
- Role: właściciel, menedżer, recepcja, lekarz. Recepcja nie widzi kwot — tego pilnuje baza, nie tylko panel.
- Lekarz współpracujący widzi tylko swoje wizyty, swoją prowizję i koszty swoich zabiegów z cennika. Wizyt innych lekarzy, faktur, kosztów wspólnych, wyniku gabinetu ani numerów kart pacjentów baza mu nie wydaje.
- Biuro rachunkowe nie jest członkiem gabinetu. Widzi wyłącznie zestawienie miesięczne, bez pacjentów, i tylko wtedy, gdy właściciel gabinetu wpisze jego adres e-mail.
- Dostęp nadaje właściciel gabinetu zaproszeniami w panelu. Konto lekarza zakłada zaproszenie: jeden lekarz z danych gabinetu, jedno konto.
- Logowanie dwuetapowe (aplikacja uwierzytelniająca) jest dostępne dla każdego konta; dla właściciela gabinetu zalecamy je włączyć.
- Dziennik zdarzeń gabinetu (kto, kiedy i co zmienił: role, zaproszenia, importy, cennik, ustawienia, eksport, usunięcie) jest przechowywany 24 miesiące i dostępny dla właściciela.
Dane pacjentów
- Zapisujemy: pseudonim pacjenta, numer karty z programu gabinetowego (np. „P-42”, żeby recepcja znalazła kartę u siebie), datę, rodzaj świadczenia, kwotę i lekarza. Pseudonim to skrót kryptograficzny z kluczem gabinetu, liczony w przeglądarce przed zapisem.
- Nie zapisujemy: PESEL, imion i nazwisk, adresów, dat urodzenia ani dokumentacji medycznej. Import odrzuca kolumny z tymi danymi w przeglądarce, przed wysłaniem. Przy przelewach od osób prywatnych w wyciągu bankowym odrzucane są nazwa, adres, rachunek i tytuł.
- Telefon i e-mail pacjenta zapisujemy tylko wtedy, gdy gabinet sam włączy dane kontaktowe, po zawarciu umowy powierzenia.
- Pseudonim i numer karty to w rozumieniu RODO nadal dane osobowe. Gabinet pozostaje ich administratorem, a DentMargin przetwarza je w jego imieniu.
- Opis importu: import z programu gabinetowego i wyciąg bankowy.
Kopie i odtwarzanie
- Kopia całej bazy powstaje codziennie i jest przechowywana poza dostawcą bazy, na koncie Google.
- Od 7 października 2026 r. każda kopia jest szyfrowana (AES-256-GCM) kluczem przechowywanym poza Google. Google przechowuje wyłącznie zaszyfrowane pliki. Kopie wykonane wcześniej nie były szyfrowane i podlegają usunięciu.
- Przechowujemy 14 ostatnich kopii dziennych; starsze są usuwane. Każda kopia jest sprawdzana pod kątem kompletności przed zapisem.
Eksport i usunięcie
- Dane należą do gabinetu. Raporty i zestawienia eksportuje się z panelu.
- Właściciel pobiera archiwum wszystkich danych gabinetu (plik ZIP) w panelu, w zakładce Dane konta; pobranie zapisuje się w dzienniku zdarzeń.
- Usunięcie gabinetu zleca właściciel w panelu. Dane są usuwane po 30 dniach karencji, w której można zlecenie anulować; kopie zapasowe znikają w ciągu kolejnych 14 dni.
Podmioty przetwarzające
| Odbiorca | Rola | Zakres | Kraj i lokalizacja danych | Podstawa przekazania |
|---|---|---|---|---|
| Supabase, Inc. | podmiot przetwarzający | baza danych i logowanie: konta, dane gabinetów, dane wprowadzane do panelu | UE (Irlandia) — region bazy; dostawca ma siedzibę w USA | dane przechowywane w UE; ewentualny dostęp z USA na podstawie standardowych klauzul umownych |
| Cloudflare, Inc. | podmiot przetwarzający | serwowanie strony i panelu (CDN), dane techniczne połączenia (adres IP, nagłówki przeglądarki) | USA; sieć globalna | EU–U.S. Data Privacy Framework oraz standardowe klauzule umowne |
| Resend (Plus Five Five, Inc.) | podmiot przetwarzający | wysyłka wiadomości e-mail (adresat, temat i treść wiadomości, metadane i logi wysyłki) | USA — dane konta, metadane wiadomości i logi są przechowywane w USA niezależnie od regionu wysyłki | EU–U.S. Data Privacy Framework oraz standardowe klauzule umowne |
| Google (Google Ireland Limited / Google LLC) | podmiot przetwarzający | przechowywanie kopii zapasowych bazy; wyłącznie kopie zaszyfrowane (AES-256-GCM) kluczem przechowywanym poza Google — Google nie ma dostępu do treści | UE/USA | standardowe klauzule umowne |
| Stripe Payments Europe, Limited | odrębny administrator | obsługa płatności; dane karty i kod BLIK klient podaje wyłącznie operatorowi; operator nie otrzymuje danych pacjentów | Irlandia (UE); spółki grupy Stripe mogą przetwarzać dane w USA | standardowe klauzule umowne i Data Privacy Framework (szczegóły: stripe.com/privacy) |
Cele, podstawy prawne i okresy przechowywania opisuje polityka prywatności, a zasady powierzenia danych gabinetów — umowa powierzenia przetwarzania danych. O zmianie listy podmiotów przetwarzających dane gabinetów informujemy z 14-dniowym wyprzedzeniem.
Zgłaszanie podatności
Jeżeli znajdziesz lukę w zabezpieczeniach DentMargin, napisz na kontakt@dentmargin.pl (kontakt i zasady zawiera też plik /.well-known/security.txt).
- Zakres: strona dentmargin.pl, panel pod adresem /panel/ i nasze funkcje serwerowe. Poza zakresem: ataki na dostawców (Supabase, Cloudflare, Resend, Stripe, Google) — zgłaszaj je bezpośrednio im; ataki wolumetryczne (DoS); inżynieria społeczna wobec użytkowników; testy z użyciem cudzych kont i danych.
- Dobra wiara: nie podejmiemy kroków prawnych wobec osoby, która działa w dobrej wierze: nie pobiera ani nie ujawnia danych innych niż niezbędne do wykazania luki, nie narusza ciągłości usługi, nie modyfikuje ani nie usuwa cudzych danych i daje nam rozsądny czas na naprawę przed ujawnieniem.
- Odpowiedź: potwierdzamy zgłoszenie w ciągu 3 dni roboczych i informujemy o dalszych krokach. Nie prowadzimy programu nagród pieniężnych; za pomoc dziękujemy publicznie, jeśli sobie tego życzysz.
- Co podać: adres, opis kroków do odtworzenia, wpływ luki oraz — jeśli to możliwe — propozycję poprawki. Nie dołączaj danych osobowych pacjentów.