Informacja o prywatności: almost.md i lista oczekujących Almost.MD

Wersja 2, 6 października 2026

Ta informacja wyjaśnia, co dzieje się z twoimi danymi, gdy odwiedzasz almost.md i gdy zapisujesz się tam na listę oczekujących Almost.MD.

Kim jesteśmy

Administratorem twoich danych jest Meducase sp. z o.o., ul. Karpacka 18A, 54-617 Wrocław, wpisana do Krajowego Rejestru Sądowego pod numerem KRS 0000581184, NIP 8943067789, REGON 362777567. Almost.MD to produkt Meducase.

W sprawach opisanych w tej informacji pisz na privacy@mdcse.com. Nie wyznaczyliśmy inspektora ochrony danych. W innych sprawach pisz na hello@almost.md.

Musisz mieć co najmniej 16 lat

Lista oczekujących jest dla osób, które mają co najmniej 16 lat. Zaznaczając zgodę, potwierdzasz, że masz ukończone 16 lat. Jeśli jesteś młodszy lub młodsza, nie zapisuj się. Jeśli dowiemy się, że zapis należy do osoby poniżej 16 lat, usuniemy go.

Jakie dane zbieramy

Gdy odwiedzasz almost.md, nasz serwer odczytuje tylko to, co i tak zawiera każde żądanie strony, i nic więcej z twojej przeglądarki:

rodzaj otwieranej strony, a przy linku kohorty także jego uczelnię medyczną, ale nigdy adres strony ani nic z prywatnego linku;
język strony;
dzień wizyty;
czy żądanie pochodzi od bota, co oceniamy po nagłówku User-Agent albo po jego braku. Wyświetlenie przez bota liczymy osobno, bez kraju, miasta i źródła wejścia, a liczniki nie zachowują nic z nagłówka User-Agent;
czy przeglądarka tylko wczytuje stronę z wyprzedzeniem (prefetch), czego nie liczymy;
twój adres IP skrócony do jego sieci (pierwsze trzy z czterech liczb adresu IPv4 albo pierwsze 48 bitów adresu IPv6). Nasz serwer używa go tylko do sprawdzenia twojego kraju i miasta w bazie danych na naszym własnym serwerze i odrzuca go jeszcze w tym samym żądaniu;
skąd trafiasz na almost.md (źródło wejścia): tagi kampanii z linku, w który klikasz (utm_source, utm_medium, utm_campaign), a jeśli ich nie ma, witryna, z której przychodzisz, a jeśli i jej nie ma, informacja, że wchodzisz bezpośrednio.

Z tych danych przechowujemy tylko dzienne liczniki: wyświetlenia według strony i języka, z botami liczonymi osobno; wyświetlenia według kraju i miasta; wejścia według strony wejścia, języka i źródła wejścia; zapisy, potwierdzenia i wypisania według uczelni medycznej, języka i źródła wejścia, przy czym wszystkie ręcznie wpisane nazwy uczelni liczymy razem, nigdy pod wpisaną nazwą; oraz pełne kohorty według uczelni medycznej. Liczniki nie zawierają adresu IP ani żadnego identyfikatora, a miasto przechowujemy tylko razem z krajem i dniem. Licznik kilku wyświetleń albo zapisów może jednak wskazywać na ciebie, razem z tym, co przechowuje twój zapis, np. jego dniem, uczelnią medyczną i źródłem wejścia, dlatego liczniki stron, wejść i kroków na liście oczekujących traktujemy jako twoje dane osobowe. Liczniki miast zapisujemy dopiero po zakończeniu dnia, wszystkie miasta tego dnia razem, żeby nie wskazywały na nikogo.

Gdy zapisujesz się na listę oczekujących, zbieramy też:

twój adres e-mail;
język strony, na której się zapisujesz;
twoją uczelnię medyczną wybraną z naszej listy albo nazwę wpisaną przez ciebie, jeśli jej nie ma na liście, albo informację, że jeszcze nie studiujesz medycyny (Pre-Med);
twoją zgodę: że zaznaczyłeś(-aś) pole, kiedy i w jakiej wersji treści (w tym twoje oświadczenie, że masz co najmniej 16 lat);
twoją odpowiedź, Tak albo Nie, na nasze pytanie o e-maile o produktach Meducase: kiedy jej udzielasz, w jakiej wersji treści pytania i tej informacji, kiedy ostatnio przedłużasz swoje Tak, a jeśli wycofasz swoje Tak, także kiedy;
źródło wejścia twojego zapisu: źródło, medium i kampanię, ale nigdy twoje miasto;
numer zapisu i kohortę, które dostajesz po potwierdzeniu adresu e-mail, oraz status zapisu (niepotwierdzony, potwierdzony, zaproszony, unieważniony);
zapis każdego e-maila, który do ciebie wysyłamy: jego rodzaj, czas wysłania i identyfikator doręczenia od naszego dostawcy poczty (Resend);
to, do których dziennych liczników trafiły twój zapis i jego potwierdzenie, żebyśmy mogli je z nich usunąć, jeśli poprosisz o usunięcie danych albo sprzeciwisz się licznikom, oraz to, czy się sprzeciwiłeś(-aś);
prywatne linki z naszych e-maili: do potwierdzenia adresu, do wypisania się, do rezygnacji z e-maili o produktach Meducase, jeśli się na nie zgodziłeś(-aś), do przedłużenia tej zgody, do twojej karty gracza oraz, jeśli nie znajdziemy wpisanej przez ciebie uczelni, do wybrania jej z naszej listy;
jednokierunkowy skrót (hash) twojego adresu IP, żeby zapobiegać nadużyciom.

Na almost.md nie zapisujemy plików cookie, nie uruchamiamy analityki w twojej przeglądarce i nie tworzymy odcisku (fingerprintu) twojego urządzenia. Wizyty liczy nasz serwer, tak jak opisaliśmy wyżej. Nie śledzimy, czy otwierasz nasze e-maile ani czy klikasz w ich linki.

Po co używamy danych i na jakiej podstawie

Żeby wysyłać ci e-maile o starcie Almost.MD, na podstawie twojej zgody (art. 6 ust. 1 lit. a RODO). Są to:
- e-mail z prośbą o potwierdzenie adresu;
- e-mail „Jesteś #N” z numerem zapisu i kartą gracza;
- „Już jesteś na liście” z linkiem do karty gracza, jeśli zapiszesz się ponownie adresem, który jest już potwierdzony;
- jeśli wpisałeś(-aś) nazwę uczelni: e-mail, gdy ją dodamy albo gdy nie uda się jej znaleźć;
- „Twoja kohorta jest pełna”, raz;
- zaproszenie do zamkniętej bety;
- start publiczny;
- pomiędzy nimi najwyżej jeden e-mail w miesiącu z wiadomościami o starcie.
Żeby przypisać cię do kohorty i dać ci numer zapisu oraz kartę gracza, na podstawie tej samej zgody. Pełne kohorty dostają zaproszenia jako pierwsze. Na almost.md pokazujemy, ile osób z każdej uczelni medycznej się zapisało, wyłącznie jako liczby, nigdy imiona ani adresy e-mail. Twoją kartę gracza widzą tylko osoby, którym udostępnisz jej link.
Żeby wysyłać ci e-maile o produktach Meducase, jeśli się na nie zgodziłeś(-aś), na podstawie twojej zgody (art. 6 ust. 1 lit. a RODO), a ponieważ przychodzą e-mailem, także twojej uprzedniej zgody z art. 398 ustawy Prawo komunikacji elektronicznej. To e-maile od Meducase, firmy, która tworzy Almost.MD i TheCall, o jej produktach dla przyszłych i obecnych studentów medycyny oraz pracowników ochrony zdrowia: o nowych narzędziach i wczesnym dostępie dla studentów, a po publicznym starcie także o Almost.MD. E-maile o starcie z punktu 1, w tym wiadomości o starcie, nie są e-mailami o produktach Meducase: obejmuje je twoja zgoda na zapis na listę oczekujących. Jednym z e-maili o produktach Meducase jest przypomnienie, które wysyłamy ci, zanim twoja zgoda wygaśnie (zob. niżej).
Żeby zapobiegać nadużyciom (masowe i fałszywe zapisy, limity zapisów) oraz żeby móc wykazać, że mieliśmy twoją zgodę, także po usunięciu twojego zapisu, na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO): uczciwej listy oczekujących, obowiązku wykazania zgody (art. 7 ust. 1 RODO) i obrony przed roszczeniami. Dotyczy to także zgody na e-maile o produktach Meducase po jej wycofaniu albo wygaśnięciu. Te dowody przechowujemy nawet wtedy, gdy poprosisz o usunięcie danych (art. 17 ust. 3 lit. e RODO).
Żeby liczyć wizyty na almost.md i to, skąd pochodzą, na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO): chcemy wiedzieć, które strony, miejsca i kanały przyciągają odwiedzających i zapisy, żeby przed zamkniętą betą zaplanować, do których uczelni medycznych i miast dotrzeć. Dotyczy to odczytywania każdego żądania strony, jak opisano wyżej, dziennych liczników, źródła wejścia twojego zapisu i tego, do których liczników trafił twój zapis.

Podanie danych jest dobrowolne, ale bez adresu e-mail i zaznaczonej zgody nie możemy zapisać cię na listę. Zgoda na e-maile o produktach Meducase zależy tylko od ciebie: gdy potwierdzasz adres, prosimy o odpowiedź Tak albo Nie, a każda z nich tak samo potwierdza zapis. Nie podejmujemy wobec ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie na ciebie wpływają.

Kto jeszcze przetwarza twoje dane

Korzystamy z poniższych dostawców, którzy przetwarzają dane wyłącznie na nasze polecenie, na podstawie umów powierzenia przetwarzania:

Dostawca	Co robi	Gdzie są dane	Przekazanie poza EOG
Northflank Ltd (Wielka Brytania)	hostuje almost.md i bazę danych do czasu przeprowadzki do Hetznera	centrum danych w UE, we Frankfurcie	do Wielkiej Brytanii, na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony
Hetzner Online GmbH (Niemcy)	hostuje almost.md i bazę danych po przeprowadzce, planowanej przed zamkniętą betą	Niemcy	brak
Plus Five Five, Inc. (Resend), USA	wysyła nasze e-maile	e-maile wychodzą z UE; dane konta i logi wysyłki są przechowywane w USA	do USA, na podstawie programu ramowego UE-USA w zakresie ochrony danych (Data Privacy Framework, art. 45 RODO), a pomocniczo standardowych klauzul umownych Komisji (art. 46 ust. 2 lit. c RODO)
Cloudflare, Inc., USA	obsługuje DNS naszej domeny i przekazuje pocztę wysłaną na hello@almost.md	sieć globalna	do USA, na podstawie Data Privacy Framework, a pomocniczo standardowych klauzul umownych
Functional Software, Inc. (Sentry), USA	rejestruje błędy techniczne; nie umieszczamy danych osobowych w raportach błędów	region danych UE	możliwe do USA przez jego podwykonawców, na podstawie Data Privacy Framework, a pomocniczo standardowych klauzul umownych

Kopię zabezpieczeń dla każdego przekazania możesz otrzymać, pisząc na privacy@mdcse.com. Kraj i miasto sprawdzamy w kopii bazy danych DB-IP na naszym własnym serwerze, więc nic o twojej wizycie nie trafia do DB-IP. Nie sprzedajemy twoich danych ani nie udostępniamy ich nikomu innemu, chyba że wymaga tego prawo.

Jak długo przechowujemy dane

Twój zapis	Przechowujemy go do
Niepotwierdzony	14 dni od zapisu
Wypisujesz się	Usuwamy go od razu i zostawiamy tylko dowód twojej zgody (niżej).
Potwierdzony, bez założenia konta	6 miesięcy po publicznym starcie Almost.MD. Potem zostawiamy tylko dowód twojej zgody (niżej), a jeśli twoja zgoda na e-maile o produktach Meducase nadal obowiązuje, także to, czego potrzebujemy, żeby dalej je wysyłać (niżej).
Zakładasz konto Almost.MD	Usuwamy go z listy; numer zapisu i uczelnia medyczna przechodzą do twojego profilu, który opisuje informacja o prywatności aplikacji.
Unieważniamy go z powodu nadużycia, np. fałszywego lub masowego zapisu	30 dni od unieważnienia albo do chwili, gdy się wypiszesz, jeśli nastąpi to wcześniej. Dopóki go przechowujemy, z tego adresu nie można zapisać się ponownie. Jeśli wcześniej potwierdziłeś(-aś) adres, zostawiamy potem tylko dowód twojej zgody (niżej).
Dowód twojej zgody	Przechowujemy go przez 5 lat od usunięcia twojego zapisu, gdy usuwamy go, bo się wypisujesz albo prosisz o usunięcie danych, albo dlatego, że po potwierdzeniu adresu minął jego czas. Zawiera tylko: skrót (hash) twojego adresu e-mail utworzony tajnym kluczem, z którego nikt nie odczyta adresu; język twojego zapisu; datę twojej zgody i wersję jej treści; datę potwierdzenia adresu, jeśli go potwierdziłeś(-aś); jeśli zgodziłeś(-aś) się na e-maile o produktach Meducase, datę tej zgody, wersje treści pytania i tej informacji, datę jej ostatniego przedłużenia i datę jej wycofania, jeśli ją wycofałeś(-aś); oraz datę usunięcia i to, czy wycofałeś(-aś) zgodę, czy minął czas. Przechowujemy go tylko po to, żeby móc wykazać, że mieliśmy twoją zgodę, i nie przeszkadza ci on zapisać się ponownie. Zapis, którego nie potwierdziłeś(-aś), nie zostawia dowodu, gdy minie jego czas. Gdy usuwamy to, co przechowujemy, żeby wysyłać ci e-maile o produktach Meducase, w ten sam sposób i na te same 5 lat zostawiamy dowód twojej zgody na nie.
Twoja zgoda na e-maile o produktach Meducase	Obowiązuje, dopóki jej nie wycofasz, albo przez 3 lata od chwili, gdy powiedziałeś(-aś) Tak lub ostatnio ją przedłużyłeś(-aś). 30 dni przed jej końcem wysyłamy ci jedno przypomnienie z linkiem do jej przedłużenia: naciśnij przycisk na stronie, którą otworzy link, a twoja zgoda będzie obowiązywać przez 3 lata od tej chwili. Gdy 6 miesięcy po publicznym starcie usuwamy twój potwierdzony zapis, obowiązująca zgoda zostaje: przechowujemy wtedy tylko twój adres e-mail, język twojego zapisu, twoje Tak z jego datami i wersjami, link z naszych e-maili, który je zatrzymuje, oraz zapis każdego e-maila, który do ciebie wysyłamy, żeby dalej móc je wysyłać. Gdy twoja zgoda wygaśnie albo gdy ją wycofasz lub poprosisz o usunięcie danych, usuwamy także te dane i zostawiamy tylko dowód twojej zgody.
Skrót adresu IP	30 dni
Nasze e-maile do ciebie	Nasz dostawca poczty, Resend, przechowuje każdy e-mail razem z twoim adresem przez 30 dni od wysłania, a jego kopie zapasowe przez kolejne 7 dni. Jeśli w tym czasie poprosisz o usunięcie danych, poprosimy Resend o ich usunięcie.

Twoją odpowiedź na pytanie o e-maile o produktach Meducase przechowujemy razem z zapisem i usuwamy razem z nim, z wyjątkiem zgody, która zostaje po jego usunięciu (wyżej). Źródło wejścia twojego zapisu i to, do których dziennych liczników trafił, przechowujemy razem z zapisem i usuwamy razem z nim. Jeśli wycofasz swoje Tak albo ono wygaśnie, zostawiamy je przy twoim zapisie, razem z datą wycofania, żeby móc wykazać, że wcześniejsze e-maile wysłaliśmy za twoją zgodą.

Dzienne liczniki przechowujemy przez 25 miesięcy, żeby porównywać miesiąc z tym samym miesiącem rok wcześniej. Twoje wizyty liczymy bez niczego, co odróżniałoby je od wizyt innych osób. Dopóki istnieje twój zapis, możemy znaleźć w licznikach dwie rzeczy: twoje kroki na liście oczekujących i wizytę, podczas której się zapisujesz, jeśli na tę stronę trafiasz spoza almost.md, a żaden inny licznik tego dnia nie ma tego samego źródła wejścia w twoim języku. Jeśli poprosisz o usunięcie danych albo sprzeciwisz się licznikom, usuniemy z nich twój zapis, jego potwierdzenie i tę wizytę. Pozostałych twoich wizyt nie możemy znaleźć (art. 11 ust. 2 RODO). Gdy twojego zapisu już nie ma, nadal możemy znaleźć dwa twoje kroki: twoje wypisanie, jeśli tego dnia nikt inny się nie wypisał, nie poprosił o usunięcie danych ani nie zrezygnował z e-maili o produktach Meducase po usunięciu swojego zapisu, oraz potwierdzenie twojego adresu, jeśli tego dnia nikt inny nie potwierdził adresu w twoim języku. Na twoją prośbę usuniemy je z liczników. Pozostałych twoich kroków ani twoich wizyt nie da się już odróżnić od kroków i wizyt innych osób.

To, co usuwamy, zostaje w kopiach zapasowych naszej bazy danych, dopóki nie wygasną, najdłużej przez 30 dni. Kopii zapasowych używamy tylko do odtworzenia bazy po awarii.

Twoje prawa

Wycofanie zgody na e-maile o starcie w dowolnym momencie, razem z wypisaniem się z listy: kliknij link do wypisania na dole dowolnego e-maila o starcie albo przycisk wypisania w swojej aplikacji pocztowej przy takim e-mailu, albo napisz do nas. Usuwamy wtedy twój zapis, a razem z nim kończą się e-maile o produktach Meducase.
Wycofanie zgody na e-maile o produktach Meducase w dowolnym momencie, z zachowaniem miejsca na liście: kliknij link „Zrezygnuj z e-maili o produktach Meducase” na dole naszych e-maili albo przycisk wypisania w swojej aplikacji pocztowej przy e-mailu o produktach Meducase, albo napisz na hello@almost.md. Jeśli twoja zgoda zostaje po usunięciu twojego zapisu, link nadal działa. Żadne wycofanie zgody nie wpływa na zgodność z prawem tego, co zrobiliśmy wcześniej.
Sprzeciw wobec marketingu bezpośredniego w dowolnym momencie (art. 21 ust. 2 i 3 RODO): e-maile o produktach Meducase są marketingiem bezpośrednim i po twoim sprzeciwie przestajemy je do ciebie wysyłać. Sprzeciw zgłosisz tak samo, jak wycofujesz zgodę na te e-maile.
Dostęp do danych i ich kopia, sprostowanie (żeby zmienić uczelnię medyczną, napisz na hello@almost.md), usunięcie, ograniczenie przetwarzania oraz przeniesienie danych w formacie nadającym się do odczytu maszynowego. Kopia pokazuje, w których dziennych licznikach są twoje kroki na liście oczekujących i wizyta, podczas której się zapisujesz, o ile je znajdziemy, ale nie to, ile innych osób liczą.
Sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie. Twoja przeglądarka może zgłosić za ciebie sprzeciw wobec sprawdzania twojego kraju i miasta oraz wobec źródła wejścia: jeśli wysyła sygnał Global Privacy Control albo Do Not Track, pomijamy jedno i drugie: twoje wyświetlenia i twój zapis liczymy bez nich, a twój zapis nie przechowuje źródła wejścia. Sprzeciw wobec źródła wejścia, które twój zapis już przechowuje, zgłosisz, pisząc na privacy@mdcse.com. Sprzeciw wobec liczników twoich kroków na liście oczekujących, z zachowaniem miejsca na liście, zgłosisz, pisząc na privacy@mdcse.com: usuniemy z liczników twój zapis, jego potwierdzenie i wizytę, podczas której się zapisujesz, o ile ją znajdziemy, i nie będziemy liczyć dalszych kroków tego zapisu.
Skarga do organu nadzorczego. W Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl). Możesz też złożyć skargę w kraju UE, w którym mieszkasz lub pracujesz.

Żeby skorzystać z tych praw, napisz na privacy@mdcse.com. Odpowiadamy w ciągu miesiąca.

Zmiany

Jeśli zmienimy tę informację, opublikujemy tu nową wersję z datą. Jeśli zmiana dotyczy tego, na co wyraziłeś(-aś) zgodę, poprosimy o nią ponownie.