Polityka prywatności

Polityka posługuje się dwoma skrótami. RODO to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych. W sprawach plików cookies obowiązuje PKE, czyli ustawa z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej. Każdy cel opisano osobno: jakie dane są zbierane, dlaczego i który przepis na to pozwala.

Wizyta w Serwisie. Każde wejście zostawia ślad w logach serwera Administratora.

Szczegółowo opisuje je osobny dokument: Zasady korzystania z plików cookies. Poniżej najkrótsza wersja.

• rs_locale - plik cookie, który zapamiętuje wybrany język (en albo pl). Serwis zapisuje go tylko wtedy, gdy Użytkownik kliknie przełącznik EN/PL; plik jest ważny 12 miesięcy. Nie zawiera żadnego identyfikatora i jest plikiem własnym domeny Serwisu - odczytuje go serwer Administratora, żeby wyświetlić stronę we właściwym języku. Jak każdy plik cookie, rs_locale jest wysyłany razem z żądaniami, więc przechodzi przez Cloudflare - zob. sekcję „Odbiorcy danych”. Jako zapis własnej decyzji Użytkownika nie wymaga zgody (art. 399 ust. 3 PKE).
• theme - to nie plik cookie, tylko wpis w pamięci przeglądarki (localStorage). Zapamiętuje jasny lub ciemny motyw; Serwis zapisuje go tylko po kliknięciu przełącznika i nigdy nie wysyła na żaden serwer.
• rs-curtain - wpis w pamięci sesji (sessionStorage). Zapamiętuje, że powitalna animacja logo została już wyświetlona w tej karcie; znika po zamknięciu karty i nigdy nie jest wysyłany na żaden serwer.
• __cf_bm - plik cookie Cloudflare. Jest ważny 30 minut, pozwala odróżnić przeglądarki od botów i nie zawiera identyfikatora Użytkownika.

Czcionki są wczytywane z serwera Administratora - przy otwarciu strony przeglądarka Użytkownika nie wysyła żadnego żądania do zewnętrznego dostawcy czcionek.

Administrator nie sprzedaje danych. Dostęp do nich mają tylko podmioty, które pomagają Administratorowi prowadzić Serwis i działalność:

• Microsoft Ireland Operations Limited (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlandia) - hosting Serwisu na maszynie wirtualnej w Microsoft Azure (region w Unii Europejskiej) oraz poczta i kalendarz Administratora w Microsoft 365.
• Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) - jedyny publiczny punkt wejścia do Serwisu: szyfruje połączenie, chroni przed atakami i pośredniczy w każdym żądaniu.
• Biuro rachunkowe - prowadzi księgi i rozlicza faktury Administratora, na podstawie umowy powierzenia przetwarzania (art. 28 RODO). Pracuje na programie księgowym zainstalowanym lokalnie, a dane pozostają na dysku biura - bez usługi chmurowej i bez dalszego podmiotu przetwarzającego. Nie są wysyłane nigdzie poza Krajowy System e-Faktur (KSeF), do czego obliguje prawo podatkowe (art. 6 ust. 1 lit. c RODO); organy podatkowe są w tym zakresie odrębnymi administratorami, nie podmiotami przetwarzającymi. Dane nie opuszczają Europejskiego Obszaru Gospodarczego.
• Dostawcy usług IT - w zakresie, w jakim przetwarzają dane na zlecenie Administratora, również na podstawie umowy powierzenia. Doradcy prawni działają jako odrębni administratorzy, w zakresie własnych obowiązków zawodowych i pod tajemnicą zawodową.
• organy publiczne - tylko wtedy, gdy przepis prawa nakazuje Administratorowi udostępnić dane.

• Microsoft przetwarza na zlecenie Administratora także dane podawane przy rezerwacji rozmowy: trafiają one do kalendarza Administratora w Microsoft 365.

Część dostawców Administratora ma siedzibę w Stanach Zjednoczonych, więc niektóre dane trafiają poza Europejski Obszar Gospodarczy:

• Cloudflare, Inc. (USA) - zawsze, bo przez tę usługę przechodzi cały ruch do Serwisu.
• Microsoft Corporation (USA) - jako spółka dominująca i podwykonawca Microsoft Ireland Operations Limited.

Podstawą przekazania jest decyzja wykonawcza Komisji (UE) 2023/1795 z dnia 10 lipca 2023 r., która obejmuje organizacje certyfikowane w programie EU-US Data Privacy Framework. Wszyscy wymienieni wyżej dostawcy ze Stanów Zjednoczonych deklarują taką certyfikację; jej aktualny status można sprawdzić na dataprivacyframework.gov. Gdyby certyfikacja wygasła albo decyzja straciła moc, będą obowiązywać standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914. Kopię tych zabezpieczeń Administrator udostępnia na żądanie - wystarczy napisać na adres [email protected].

Osobie, której dane dotyczą, przysługują w związku z przetwarzaniem danych następujące prawa wynikające z RODO:

• dostęp do swoich danych i informacji o tym, jak są przetwarzane (art. 15);
• sprostowanie danych nieprawidłowych lub niepełnych (art. 16);
• usunięcie danych (art. 17);
• ograniczenie przetwarzania (art. 18);
• przenoszenie danych przetwarzanych na podstawie zgody albo umowy, w powszechnie używanym formacie nadającym się do odczytu maszynowego - na przykład CSV albo XLSX (art. 20);
• sprzeciw wobec przetwarzania opartego na uzasadnionym interesie Administratora (art. 21) - więcej o nim niżej;
• wycofanie zgody w każdej chwili, gdy przetwarzanie opiera się na zgodzie (art. 7 ust. 3). Wycofanie nie działa wstecz: to, co zrobiono z danymi wcześniej, pozostaje zgodne z prawem;
• skarga do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych w Warszawie (uodo.gov.pl); można ją wnieść także do organu nadzorczego w państwie Unii Europejskiej, w którym osoba, której dane dotyczą, mieszka lub pracuje, albo w którym doszło do domniemanego naruszenia.

Sprzeciw dotyczy przetwarzania opartego na uzasadnionym interesie - przede wszystkim logów serwera, korespondencji biznesowej, danych kontaktowych pozyskanych z innych źródeł i obrony roszczeń. Osoba, której dane dotyczą, może go wnieść z przyczyn związanych ze swoją szczególną sytuacją. Wtedy Administrator przestanie przetwarzać dane, chyba że wykaże ważne, nadrzędne podstawy, żeby to kontynuować, albo dane będą potrzebne do ustalenia, dochodzenia lub obrony roszczeń.

Żądania dotyczące tych praw należy kierować na adres [email protected] albo pocztą na adres siedziby. Administrator odpowiada najpóźniej w ciągu miesiąca (art. 12 ust. 3 RODO). Jeśli sprawa okaże się złożona, może przedłużyć ten termin o kolejne dwa miesiące; uprzedzi o tym jeszcze w pierwszym miesiącu. W razie wątpliwości, czy żądanie pochodzi od osoby, której dane dotyczą, Administrator poprosi o potwierdzenie tożsamości.

Podanie danych nie jest obowiązkiem ustawowym. Serwis można przeglądać bez podawania czegokolwiek. Wysłanie wiadomości przez formularz wymaga wypełnienia wszystkich pól - bez nich wiadomość nie dotrze do Administratora, a bez adresu e-mail nie da się na nią odpowiedzieć. Jeśli dojdzie do umowy, podanie danych firmy i osoby do kontaktu będzie niezbędne, żeby tę umowę zawrzeć i wykonać. Poza tym niepodanie danych nie rodzi żadnych innych konsekwencji - z braku danych Administrator nie odmawia niczego więcej.

Do rezerwacji rozmowy niezbędne są imię i nazwisko, firma, adres e-mail i temat spotkania; numeru telefonu podawać nie trzeba.

Administrator nie podejmuje wobec osób, których dane dotyczą, decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne albo w podobny sposób istotnie na te osoby wpływały (art. 22 RODO). O odpowiedziach, ofertach i współpracy decydują ludzie.

Zdarza się, że służbowe dane kontaktowe - imię i nazwisko, stanowisko, firmowy e-mail lub telefon - Administrator otrzymuje nie od osoby, której dane dotyczą, tylko od kogoś z jej firmy. Dzieje się tak na przykład wtedy, gdy współpracownik wskazuje ją jako osobę do kontaktu, albo gdy dane pochodzą ze źródła publicznego, takiego jak profil tej osoby na LinkedIn. Dane te służą wyłącznie do kontaktu w sprawach zawodowych, na podstawie uzasadnionego interesu Administratora (art. 6 ust. 1 lit. f RODO), i są przechowywane tak jak reszta korespondencji biznesowej. Najpóźniej przy pierwszym kontakcie - i nie później niż miesiąc po pozyskaniu danych - Administrator informuje, skąd je ma. Osobie tej przysługują wszystkie prawa opisane wyżej, w tym sprzeciw.

Administrator prowadzi stronę firmową na LinkedIn. Gdy Użytkownik odwiedza tę stronę, obserwuje ją albo reaguje na posty, dane przetwarza LinkedIn na własnych zasadach - obowiązuje wtedy jego polityka prywatności, a nie niniejsza Polityka. LinkedIn udostępnia Administratorowi statystyki odwiedzających stronę (Page Insights) - zbiorcze, bez wskazania konkretnych osób. Za te statystyki Administrator odpowiada wspólnie z LinkedIn Ireland Unlimited Company, na warunkach Page Insights Joint Controller Addendum. Niezależnie od statystyk Administrator widzi, kto obserwuje stronę oraz kto reaguje na posty i je komentuje - dokładnie tak, jak widzi to każda osoba korzystająca z LinkedIn. Z praw dotyczących danych, które przetwarza LinkedIn, najprościej skorzystać bezpośrednio u niego. Żądanie można jednak skierować także do Administratora - pozwala na to art. 26 ust. 3 RODO. Administrator przekaże LinkedIn to, czego sam wykonać nie może. Wystarczy napisać na [email protected].

Serwis jest dostępny wyłącznie przez HTTPS: szyfrowane jest zarówno połączenie między przeglądarką Użytkownika a Cloudflare, jak i połączenie między Cloudflare a serwerem Administratora. Serwer działa w centrum danych Microsoft Azure w Unii Europejskiej, pod ochroną Cloudflare. Dostęp do serwera i skrzynki mają tylko te osoby z zespołu Administratora, którym jest on potrzebny do pracy. Żaden system nie jest całkowicie odporny na incydenty. Dlatego Administrator zbiera tylko tyle danych, ile naprawdę potrzebuje, i nie trzyma ich dłużej, niż to konieczne. Jeśli Administrator dowie się o naruszeniu zagrażającym prawom osoby, której dane dotyczą, zawiadomi tę osobę i organ nadzorczy - tak jak wymagają tego art. 33 i 34 RODO.

Polityka może ulec zmianie, gdy zmienią się przepisy, narzędzia Administratora albo sposób działania Serwisu. Aktualną wersję można rozpoznać po dacie podanej na górze strony.

W każdej sprawie dotyczącej danych osobowych można napisać na [email protected] albo listownie: RHEOSHIFT Sp. z o.o., Orchówek, ul. Brzozowa 11, 22-200 Włodawa.