Polityka prywatności

1. Postanowienia ogólne

1.1. Niniejsza polityka prywatności określa zasady, na jakich SIA SAM MARTIN GROYP, numer rejestracyjny 40203520646, adres siedziby: Matīsa iela 16-2, Ryga, Łotwa, LV-1001 (dalej – Administrator), przetwarza dane osobowe osób fizycznych zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (ogólne rozporządzenie o ochronie danych, RODO/GDPR), łotewską ustawą o przetwarzaniu danych osób fizycznych oraz innymi obowiązującymi przepisami z zakresu ochrony danych osobowych.

1.2. Celem niniejszej polityki prywatności jest przekazanie osobom, których dane dotyczą, jasnych, przejrzystych i prawnie poprawnych informacji o celach przetwarzania danych osobowych, podstawach prawnych, kategoriach danych osobowych, okresach przechowywania, odbiorcach danych, przekazywaniu danych poza Unię Europejską lub Europejski Obszar Gospodarczy, prawach osób, których dane dotyczą, a także o zasadach kontaktu z Administratorem.

1.3. Administrator działa w branży technologii informacyjnych i w ramach swojej działalności gospodarczej może projektować, utrzymywać i administrować stronami internetowymi, rozwiązaniami programistycznymi, serwerami, środowiskami hostingowymi, rozwiązaniami do tworzenia kopii zapasowych, infrastrukturą poczty e-mail, systemami wsparcia technicznego oraz innymi usługami cyfrowymi dla klientów.

1.4. W zależności od charakteru konkretnej usługi Administrator może występować zarówno jako administrator danych osobowych, jak i jako podmiot przetwarzający dane w imieniu klienta, jeśli to klient określa cele i środki przetwarzania danych osobowych.

1.5. Jeżeli Administrator zapewnia klientowi utrzymanie serwerów, hosting, administrowanie systemami, tworzenie kopii zapasowych, analizę incydentów, infrastrukturę poczty e-mail, usługi chmurowe, wsparcie użytkowników lub inne usługi techniczne, może przetwarzać dane osobowe w zakresie niezbędnym do świadczenia usługi, zapewnienia bezpieczeństwa, ciągłości działania oraz wykonania zobowiązań umownych.

1.6. Usługi Administratora, strony internetowe oraz powiązane usługi społeczeństwa informacyjnego są przeznaczone wyłącznie dla osób pełnoletnich (od 18. roku życia). Administrator świadomie nie gromadzi i nie przetwarza danych osobowych dzieci, jeśli usługa jest oferowana bezpośrednio dzieciom, oraz stosuje proporcjonalne środki, aby ograniczyć korzystanie z usług przez osoby niepełnoletnie bez podstawy prawnej.

1.7. Jeżeli Administrator stwierdzi, że z usług faktycznie korzysta osoba poniżej 18. roku życia, a brak jest podstawy prawnej przetwarzania danych (np. zgody przedstawiciela ustawowego), Administrator może usunąć dane lub zanonimizować je, a także ograniczyć takiej osobie dalszy dostęp do usług.

2. Dane Administratora i dane kontaktowe

2.1. Administratorem danych osobowych jest SIA SAM MARTIN GROYP, numer rejestracyjny 40203520646, adres siedziby: Matīsa iela 16-2, Ryga, Łotwa, LV-1001.

2.2. Adres e-mail do kontaktu w sprawach przetwarzania danych osobowych: [email protected].

2.3. W sprawach związanych z niniejszą polityką prywatności, przetwarzaniem danych osobowych, realizacją praw osoby, której dane dotyczą, rozpatrywaniem wniosków lub zagadnieniami ochrony danych osobowych osoba, której dane dotyczą, może zwrócić się do Administratora, pisząc na adres [email protected].

3. Rola Administratora w przetwarzaniu danych

3.1. Administrator przetwarza dane osobowe jako samodzielny administrator w przypadkach, gdy sam określa cele i środki przetwarzania, na przykład w odniesieniu do danych partnerów biznesowych, osób kontaktowych klientów, dostawców, potencjalnych klientów, użytkowników strony internetowej, dokumentów księgowych oraz danych dotyczących komunikacji.

3.2. Administrator może także działać jako podmiot przetwarzający w rozumieniu art. 28 RODO, jeśli klient jest administratorem danych osobowych, a Administrator na jego zlecenie zapewnia infrastrukturę IT, hosting strony internetowej, utrzymanie baz danych, administrowanie serwerami, monitoring techniczny, przechowywanie danych, tworzenie kopii zapasowych, utrzymanie systemów lub inne powiązane usługi techniczne.

3.3. W przypadkach, gdy Administrator działa jako podmiot przetwarzający, dane osobowe są przetwarzane zgodnie z umową z klientem, udokumentowanymi poleceniami klienta oraz obowiązującymi wymogami prawa.

3.4. Jeżeli w danym modelu współpracy Administrator i klient wspólnie określają cele lub istotne środki przetwarzania danych osobowych, wzajemne relacje stron mogą zostać uregulowane jako relacje współadministratorów zgodnie z wymogami RODO.

4. Kategorie danych osobowych

4.1. W zależności od świadczonej usługi, rodzaju współpracy i celu przetwarzania Administrator może przetwarzać następujące kategorie danych osobowych:

4.1.1. dane identyfikacyjne, takie jak imię, nazwisko, stanowisko lub status przedstawiciela;

4.1.2. dane kontaktowe, takie jak adres e-mail, numer telefonu, adres korespondencyjny, nazwa firmy i inne informacje kontaktowe;

4.1.3. dane umowne i rozliczeniowe, takie jak treść umów, informacje o zamówieniach, faktury, informacje o płatnościach, historia współpracy i inne informacje związane ze świadczeniem usługi;

4.1.4. dane dotyczące komunikacji, takie jak korespondencja e-mailowa, zgłoszenia do wsparcia, zapytania, zgłoszenia incydentów, rozmowy na czacie, notatki z rozmów telefonicznych i inne zapisy komunikacji;

4.1.5. dane techniczne, takie jak adres IP, identyfikatory urządzeń, parametry przeglądarki, informacje uwierzytelniające, czasy dostępu, informacje o sesjach, dzienniki zdarzeń systemowych, zapisy błędów oraz informacje o zdarzeniach związanych z bezpieczeństwem;

4.1.6. dane dotyczące korzystania ze strony internetowej i usługi, takie jak działania użytkownika w środowisku technicznym, fakty logowania, czynności administracyjne, zmiany konfiguracji, zmiany uprawnień dostępu, zapisy audytu systemów i inne dane o korzystaniu;

4.1.7. dane dotyczące działania serwerów, hostingu i infrastruktury, takie jak pliki dziennika, informacje o wykorzystaniu zasobów, informacje o kopiach zapasowych, dane z monitoringu dostępności i nadzoru, dane diagnostyczne incydentów oraz dane dotyczące ciągłości usługi;

4.1.8. dane użytkowników końcowych klientów, o ile trafiają do Administratora w związku ze świadczeniem usług hostingu, administrowania systemami, poczty e-mail, tworzenia kopii zapasowych, utrzymania baz danych, utrzymania stron internetowych lub innych usług technicznych w interesie klientów i zgodnie z ich poleceniami;

4.1.9. inne dane osobowe, które osoba, której dane dotyczą, lub klient przekazuje Administratorowi w ramach współpracy, zapytania, wykonania umowy lub zapewnienia usługi.

4.2. Administrator przetwarza wyłącznie dane osobowe, które są właściwe, adekwatne i niezbędne do osiągnięcia konkretnego celu, przestrzegając zasad minimalizacji danych i rozliczalności.

5. Źródła pozyskiwania danych osobowych

5.1. Dane osobowe są pozyskiwane głównie bezpośrednio od osoby, której dane dotyczą, klienta, partnera biznesowego lub ich upoważnionych przedstawicieli, na przykład przy zawieraniu umowy, wypełnianiu formularzy zgłoszeniowych, składaniu zapytań, wysyłaniu wiadomości e-mail lub korzystaniu z usług zapewnianych przez Administratora.

5.2. Dane osobowe mogą być również pozyskiwane z publicznie dostępnych rejestrów, systemów informatycznych wykorzystywanych przez klienta, infrastruktury technicznej, dzienników serwerów, rozwiązań monitorujących, systemów kopii zapasowych, systemów uwierzytelniania oraz innych źródeł technicznych niezbędnych do zapewnienia usługi, o ile jest to zgodne z prawem i konieczne.

5.3. Jeżeli Administrator działa jako podmiot przetwarzający, dane osobowe mogą być pozyskiwane od klienta lub z systemów, infrastruktury i usług wykorzystywanych przez klienta, które Administrator technicznie utrzymuje lub administruje na jego zlecenie.

6. Cele przetwarzania danych osobowych

6.1. Administrator może przetwarzać dane osobowe w następujących celach:

6.1.1. identyfikacja klientów, dostawców i partnerów biznesowych oraz rozpoczęcie współpracy;

6.1.2. przygotowanie, zawarcie, wykonanie, administrowanie i zakończenie umów;

6.1.3. obsługa zapytań klientów, konsultacji, zgłoszeń i kwestii wsparcia technicznego;

6.1.4. utrzymanie i administrowanie stronami internetowymi, aplikacjami, serwerami, usługami hostingowymi, bazami danych, rozwiązaniami poczty e-mail, API, integracjami i inną infrastrukturą IT;

6.1.5. nadawanie uprawnień dostępu, uwierzytelnianie, autoryzacja i zarządzanie kontami użytkowników;

6.1.6. nadzór nad działaniem systemów, usuwanie błędów, analiza wydajności, monitorowanie bezpieczeństwa, badanie incydentów i zapewnienie stabilności środowiska technicznego;

6.1.7. tworzenie i przywracanie kopii zapasowych, odzyskiwanie danych oraz zapewnienie ciągłości działania;

6.1.8. zarządzanie ryzykiem w zakresie bezpieczeństwa informacji i cyberbezpieczeństwa, zapobieganie nieuprawnionemu dostępowi, przeprowadzanie audytów bezpieczeństwa i ochrona usług;

6.1.9. zapewnienie rachunkowości, rozliczeń podatkowych, wypełnianie obowiązków prawnych, dochodzenie roszczeń, zabezpieczenie dowodów i zarządzanie wewnętrzne;

6.1.10. prowadzenie statystyk, kontroli jakości, ulepszanie usług, optymalizacja systemów i analiza korzystania;

6.1.11. wykonywanie obowiązków wynikających z przepisów prawa, w tym współpraca z organami państwowymi i samorządowymi, organami ścigania i organami nadzorczymi;

6.1.12. prowadzenie komunikacji handlowej w zakresie dozwolonym przez obowiązujące przepisy oraz, jeśli jest to wymagane, po uzyskaniu odpowiedniej zgody.

6.2. Administrator może wysyłać istniejącym klientom informacje handlowe o swoich usługach na podstawie prawnie uzasadnionego interesu, przestrzegając wymogów ustawy o usługach społeczeństwa informacyjnego i zapewniając w każdej wiadomości prostą możliwość rezygnacji (np. link „unsubscribe” lub kontakt pod adresem [email protected]).

6.3. Jeżeli komunikacja handlowa opiera się na zgodzie osoby, której dane dotyczą, ma ona prawo w dowolnym momencie wycofać zgodę, korzystając z mechanizmu rezygnacji wskazanego w otrzymanej wiadomości.

7. Podstawy prawne przetwarzania danych osobowych

7.1. W zależności od konkretnej sytuacji podstawą prawną przetwarzania danych osobowych może być:

7.1.1. zawarcie i wykonanie umowy lub podjęcie działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy – zgodnie z art. 6 ust. 1 lit. b) RODO;

7.1.2. wypełnienie obowiązku prawnego ciążącego na Administratorze – zgodnie z art. 6 ust. 1 lit. c) RODO;

7.1.3. prawnie uzasadnione interesy Administratora lub strony trzeciej – zgodnie z art. 6 ust. 1 lit. f) RODO, na przykład w związku z bezpieczeństwem sieci i informacji, obroną roszczeń, zapewnieniem jakości usług, stabilnością techniczną, zapobieganiem oszustwom, audytem systemów i organizacją działalności gospodarczej;

7.1.4. zgoda osoby, której dane dotyczą – zgodnie z art. 6 ust. 1 lit. a) RODO, jeżeli w danym przypadku przetwarzanie opiera się na zgodzie, na przykład w celu wysyłania określonych komunikatów marketingowych lub stosowania nieistotnych plików cookie.

7.2. Jeżeli Administrator działa jako podmiot przetwarzający w imieniu klienta, dane osobowe są przetwarzane na podstawie udokumentowanych poleceń klienta i umowy, z zachowaniem wymogów art. 28 RODO oraz po zawarciu odpowiedniej umowy powierzenia przetwarzania danych (DPA).

8. Szczególne zasady dotyczące usług IT i środowiska hostingowego

8.1. Zapewniając hosting stron internetowych, serwery wirtualne lub fizyczne, utrzymanie baz danych, infrastrukturę poczty e-mail, administrowanie systemami, usługi chmurowe lub inne usługi IT, Administrator może przetwarzać dane osobowe o charakterze technicznym i związane z korzystaniem, powstające podczas działania usługi, w tym dane dostępowe, dzienniki systemowe i zapisy zdarzeń związanych z bezpieczeństwem.

8.2. Aby zapewnić bezpieczeństwo, dostępność, integralność i stabilność systemów, Administrator może prowadzić nadzór nad ruchem sieciowym, monitoring obciążenia serwerów, diagnostykę błędów, tworzenie kopii zapasowych, odtwarzanie po awarii, ocenę podatności, przegląd konfiguracji oraz stosować inne proporcjonalne środki bezpieczeństwa technicznego.

8.3. W przypadku incydentów technicznych, zagrożeń cyberbezpieczeństwa, prób nieuprawnionego dostępu, zakłóceń usługi lub błędów systemu Administrator może uzyskać dostęp do odpowiednich informacji technicznych oraz w ograniczonym zakresie także do danych osobowych, o ile jest to obiektywnie niezbędne do wykrycia, analizy, usunięcia i udokumentowania incydentu.

8.4. Jeżeli zamówiona przez klienta usługa obejmuje utrzymanie stron internetowych, baz danych, skrzynek e-mail, kont użytkowników lub innych systemów klienta, Administrator może technicznie przetwarzać znajdujące się w nich dane osobowe wyłącznie w zakresie niezbędnym do zapewnienia funkcjonowania usługi, bezpieczeństwa, tworzenia kopii zapasowych, przenoszenia, migracji, odtwarzania lub usuwania problemów.

8.5. Administrator nie określa celów przetwarzania danych użytkowników końcowych klienta, chyba że z istoty danej współpracy lub przepisów prawa wynika inaczej; w takich przypadkach klient jest zazwyczaj uważany za administratora, a Administrator – za podmiot przetwarzający.

8.6. Administrator może korzystać z usług podmiotów przetwarzających (podprocesorów), takich jak dostawcy centrów danych, hostingu, usług chmurowych, poczty e-mail, monitoringu, kopii zapasowych, cyberbezpieczeństwa lub infrastruktury, jeśli jest to niezbędne do zapewnienia usługi i przestrzegane są odpowiednie wymogi ochrony danych.

9. Pliki cookie i podobne technologie

9.1. Jeżeli na stronie internetowej Administratora lub w rozwiązaniach udostępnionych klientowi stosowane są pliki cookie lub podobne technologie, mogą one służyć zapewnieniu podstawowej funkcjonalności strony, bezpieczeństwa, zarządzania sesją, uwierzytelniania użytkowników, zapamiętywania wyboru języka, analityki, poprawy działania lub innych technicznie niezbędnych funkcji.

9.2. Użytkownik powinien otrzymać jasne i wyczerpujące informacje o celach wykorzystania plików cookie, a w przypadkach wymaganych przez obowiązujące przepisy zapewniana jest możliwość wyrażenia lub odmowy zgody na stosowanie danych plików cookie.

9.3. Stosowanie nieistotnych plików cookie może opierać się na zgodzie osoby, której dane dotyczą, natomiast technicznie niezbędne pliki cookie mogą być wykorzystywane do zapewnienia działania i bezpieczeństwa usług elektronicznych zgodnie z obowiązującymi przepisami.

10. Okresy przechowywania danych osobowych

10.1. Administrator przechowuje dane osobowe nie dłużej, niż jest to niezbędne do osiągnięcia danego celu przetwarzania, wykonania zobowiązań umownych, ochrony praw lub wypełnienia obowiązków wynikających z przepisów prawa.

10.2. Okresy przechowywania mogą się różnić w zależności od kategorii danych i celu; na przykład dane umowne, dokumenty księgowe, dzienniki techniczne, kopie zapasowe, zapisy dostępu, zgłoszenia do wsparcia i dane o incydentach bezpieczeństwa mogą być przechowywane przez różne okresy, z uwzględnieniem podstawy prawnej, potrzeb technicznych, względów bezpieczeństwa i wymogów prawa.

10.3. Dane osobowe znajdujące się w kopiach zapasowych mogą być przechowywane do kolejnych cykli tworzenia kopii zapasowych lub dłużej, jeśli jest to konieczne do odtworzenia systemów, badania incydentów, zapewnienia ciągłości działania lub wypełnienia wymogów prawnych.

10.4. Gdy dane osobowe przestają być potrzebne do osiągnięcia danego celu, są usuwane, anonimizowane, nadpisywane lub archiwizowane zgodnie z obowiązującymi przepisami i możliwościami technicznymi.

11. Odbiorcy danych osobowych

11.1. Dane osobowe mogą być udostępniane pracownikom Administratora, osobom upoważnionym i partnerom biznesowym wyłącznie w zakresie niezbędnym do wykonywania obowiązków służbowych lub zobowiązań umownych, z zachowaniem zasady poufności i odpowiednich środków bezpieczeństwa.

11.2. Dane osobowe mogą być przekazywane podmiotom przetwarzającym lub podprocesorom, takim jak dostawcy usług hostingu, centrów danych, usług chmurowych, kopii zapasowych, poczty e-mail, cyberbezpieczeństwa, księgowości, usług prawnych, obsługi klienta, monitoringu, zarządzania dokumentami lub innych powiązanych usług, w zakresie niezbędnym do zapewnienia usług.

11.3. W przypadkach przewidzianych w przepisach prawa dane osobowe mogą być przekazywane organom państwowym i samorządowym, sądom, organom ścigania, organom nadzorczym lub innym osobom, jeżeli taki obowiązek wynika z przepisów prawa lub jest niezbędny do ochrony praw, prawnie uzasadnionych interesów lub bezpieczeństwa Administratora.

12. Przekazywanie danych poza Unię Europejską lub EOG

12.1. Jeżeli w ramach świadczenia usług dane osobowe są przekazywane poza Unię Europejską lub Europejski Obszar Gospodarczy, Administrator zapewnia, że takie przekazanie odbywa się wyłącznie zgodnie z obowiązującymi wymogami RODO oraz że stosowane są odpowiednie mechanizmy ochrony danych.

12.2. Mechanizmy te mogą obejmować decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony, standardowe klauzule umowne, wiążące reguły korporacyjne lub inne instrumenty ochrony danych osobowych uznane przez RODO.

13. Bezpieczeństwo danych osobowych

13.1. Administrator stosuje odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych przed nieuprawnionym lub niezgodnym z prawem przetwarzaniem, przypadkową utratą, zniszczeniem, uszkodzeniem, ujawnieniem lub nieuprawnionym dostępem.

13.2. W zależności od charakteru konkretnej usługi środki te mogą obejmować kontrolę dostępu, uwierzytelnianie użytkowników, zarządzanie uprawnieniami dostępu, segmentację sieci, szyfrowanie danych, zapory sieciowe, tworzenie kopii zapasowych, rejestrowanie zdarzeń, zarządzanie podatnościami, aktualizację oprogramowania, zarządzanie incydentami, zobowiązania pracowników do zachowania poufności oraz inne proporcjonalne środki bezpieczeństwa.

13.3. Oceniając ryzyko dla praw i wolności osób fizycznych, Administrator stosuje środki bezpieczeństwa odpowiadające poziomowi bezpieczeństwa określonemu w art. 32 RODO.

13.4. Jeżeli Administrator stwierdzi naruszenie ochrony danych osobowych, postępuje zgodnie z obowiązującymi przepisami, w tym ocenia obowiązek zgłoszenia go organowi nadzorczemu oraz, w razie potrzeby, także osobom, których dane dotyczą.

14. Prawa osoby, której dane dotyczą

14.1. Osoba, której dane dotyczą, ma prawo żądać dostępu do swoich danych osobowych, ich sprostowania, usunięcia, ograniczenia przetwarzania, wnieść sprzeciw wobec przetwarzania, a także skorzystać z prawa do przenoszenia danych, o ile takie prawa wynikają z obowiązujących przepisów.

14.2. Jeżeli przetwarzanie danych osobowych opiera się na zgodzie, osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę, bez wpływu na zgodność z prawem przetwarzania, którego dokonano przed jej wycofaniem.

14.3. Aby skorzystać ze swoich praw, osoba, której dane dotyczą, może złożyć wniosek, pisząc na adres [email protected].

14.4. Administrator rozpatruje wniosek bez zbędnej zwłoki i udziela odpowiedzi w terminie określonym w przepisach, zazwyczaj nie później niż w ciągu jednego miesiąca od otrzymania wniosku, chyba że konkretna sytuacja uzasadnia przedłużenie terminu zgodnie z RODO.

14.5. Administrator ma prawo zażądać dodatkowych informacji w celu weryfikacji tożsamości osoby, aby zapewnić, że informacje nie zostaną ujawnione osobie nieuprawnionej.

14.6. Jeżeli w danej relacji przetwarzania danych Administrator działa wyłącznie jako podmiot przetwarzający w imieniu klienta, może przekazać wniosek osoby, której dane dotyczą, odpowiedniemu klientowi lub rozpatrzyć go we współpracy z klientem, uwzględniając role i obowiązki stron zgodnie z RODO.

15. Składanie skarg

15.1. Jeżeli osoba, której dane dotyczą, uważa, że przetwarzanie jej danych osobowych narusza obowiązujące przepisy, ma prawo najpierw zwrócić się do Administratora, pisząc na adres [email protected].

15.2. Osoba, której dane dotyczą, ma również prawo złożyć skargę do Datu valsts inspekcija (Państwowej Inspekcji Ochrony Danych), która jest organem nadzorczym w zakresie ochrony danych osobowych na Łotwie.

15.3. Dane kontaktowe Datu valsts inspekcija: Elijas iela 17, Ryga, LV-1050, Łotwa; e-mail: [email protected]; telefon: +371 67223131.

15.4. Datu valsts inspekcija zaleca, aby przed złożeniem skargi w pierwszej kolejności zwrócić się do administratora danych osobowych, który przetwarza dane.

16. Nagrania rozmów i alternatywne formy kontaktu

16.1. Zapewniając obsługę klienta i komunikację, Administrator może nagrywać rozmowy telefoniczne, połączenia internetowe, wiadomości głosowe lub inną komunikację elektroniczną, jeśli jest to niezbędne do świadczenia usług, kontroli jakości, rozstrzygania sporów, zapewnienia bezpieczeństwa i ochrony prawnie uzasadnionych interesów Administratora, z zachowaniem wymogów RODO i innych obowiązujących przepisów.

16.2. Nagrania rozmów są zazwyczaj przechowywane do 90 dni od dnia nagrania, chyba że w konkretnym przypadku rozstrzyganie sporów, kontrola jakości, ochrona praw Administratora lub terminy przedawnienia określone w przepisach uzasadniają dłuższy okres przechowywania.

16.3. Przed rozpoczęciem nagrywania rozmowy osoba, której dane dotyczą, jest informowana o nagrywaniu, a nagrania są przechowywane wyłącznie tak długo, jak jest to niezbędne do osiągnięcia danego celu, rozstrzygania sporów, kontroli jakości lub przestrzegania wymogów prawa.

16.4. Jeżeli osoba, której dane dotyczą, nie chce, aby dana rozmowa była nagrywana, może wybrać alternatywne formy kontaktu, pisząc na adres [email protected] lub korzystając na przykład z numeru WhatsApp +371 28 706 247.

16.5. Nagrania rozmów i wiadomości głosowe są uznawane za dane osobowe i w pełnym zakresie przysługują w stosunku do nich prawa osoby, której dane dotyczą, zgodnie z RODO, w tym prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania i sprzeciwu, o ile jest to zgodne z celem nagrania i obowiązującymi przepisami.

17. Wypełnianie formularzy i przetwarzanie danych

17.1. Na stronach internetowych, w aplikacjach Administratora lub w rozwiązaniach udostępnionych klientom mogą być dostępne różne formularze elektroniczne (np. formularze kontaktowe, zgłoszeniowe, zapytań o usługi, zgłoszeń do wsparcia), podczas wypełniania których osoba, której dane dotyczą, przekazuje dane osobowe, aby Administrator mógł zapewnić żądaną usługę, kontakt lub inny konkretny cel.

17.2. Wypełniając formularz, osoba, której dane dotyczą, zazwyczaj podaje dane identyfikacyjne i kontaktowe oraz inne dane związane z zapytaniem, które Administrator przetwarza, aby móc odpowiedzieć na zapytanie, świadczyć usługę, rozpatrzyć wniosek, przygotować ofertę lub podjąć inne kroki inicjowane przez osobę, której dane dotyczą.

17.3. Podstawą prawną przetwarzania danych osobowych przekazanych w formularzach może być zawarcie lub wykonanie umowy, wypełnienie obowiązku prawnego ciążącego na Administratorze, prawnie uzasadnione interesy Administratora (np. zapewnienie komunikacji, obrona roszczeń, poprawa jakości usług) lub zgoda osoby, której dane dotyczą, jeżeli w danym formularzu podano odpowiednie informacje na ten temat.

17.4. Dane osobowe otrzymane w wyniku wypełnienia formularzy są przechowywane tylko tak długo, jak jest to niezbędne do osiągnięcia danego celu, zapewnienia komunikacji, wykonania zobowiązań umownych, ochrony praw Administratora lub wypełnienia obowiązków wynikających z przepisów prawa, a następnie są usuwane, anonimizowane lub archiwizowane zgodnie z zasadami określonymi w niniejszej polityce prywatności.

17.5. Osoba, której dane dotyczą, może w każdej chwili zwrócić się do Administratora, aby dowiedzieć się, jakie dane na jej temat zostały pozyskane, w jakich celach są wykorzystywane i jaki jest okres ich przechowywania, a także skorzystać z innych praw przewidzianych w RODO w odniesieniu do danych osobowych przekazanych w formularzach.

18. Czat online na stronie internetowej

18.1. Na stronie evoex.eu dostępny jest czat online, za pomocą którego osoba, której dane dotyczą, może skontaktować się z zespołem wsparcia Administratora. Czat jest obsługiwany z portalu klienta Administratora (portal.evoex.eu), a korespondencja jest przechowywana na serwerach Administratora w Unii Europejskiej (w Finlandii).

18.2. Rozmowę rozpoczyna się od napisania wiadomości. Opcjonalnie osoba, której dane dotyczą, może podać imię, adres e-mail i numer telefonu (na przykład, aby otrzymać odpowiedź e-mailem) oraz dołączyć pliki.

18.3. Aby zapewnić wysoką jakość odpowiedzi i bezpieczeństwo, podczas rozmowy automatycznie przetwarzane są także dane techniczne: adres IP i określona na jego podstawie przybliżona lokalizacja (kraj, miasto, region), typ urządzenia, przeglądarka i system operacyjny, rozmiar ekranu, język i strefa czasowa, strona, z której wysyłana jest wiadomość, podstrony witryny przeglądane podczas tej wizyty, źródło odesłania (np. wyszukiwarka lub parametry kampanii reklamowej) oraz liczba wizyt. Dane te są przekazywane dopiero wtedy, gdy osoba, której dane dotyczą, otworzy czat.

18.4. Podstawą prawną przetwarzania jest podjęcie działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b) RODO) oraz prawnie uzasadnione interesy Administratora polegające na zapewnieniu komunikacji, jakości usług i bezpieczeństwa informacji (art. 6 ust. 1 lit. f) RODO). Przed rozpoczęciem rozmowy osoba, której dane dotyczą, potwierdza zapoznanie się z niniejszą polityką prywatności.

18.5. W celu zapobiegania nadużyciom i zautomatyzowanym zapytaniom (botom) wykorzystywana jest usługa Cloudflare Turnstile. Dołączone pliki są automatycznie sprawdzane przez oprogramowanie antywirusowe i filtry bezpieczeństwa, a z obrazów usuwane są metadane (np. informacje o lokalizacji). Pliki, które nie przejdą kontroli, nie są zapisywane.

18.6. Jeżeli odpowiedź Administratora jest udzielana w momencie, gdy osoba, której dane dotyczą, nie przebywa już na stronie, powiadomienie o odpowiedzi wysyłane jest na podany adres e-mail.

18.7. Korespondencja na czacie, dołączone pliki i powiązane z rozmową dane techniczne są przechowywane do 12 miesięcy po ostatniej wiadomości, chyba że w wyniku rozmowy zostanie zawarta umowa lub dłuższe przechowywanie jest niezbędne do ochrony praw Administratora. Osoba, której dane dotyczą, może w każdej chwili zażądać usunięcia korespondencji i powiązanych danych, pisząc na adres [email protected].

18.8. Dostęp do korespondencji na czacie mają wyłącznie upoważnieni pracownicy Administratora. Dane z czatu nie są wykorzystywane do zautomatyzowanego podejmowania decyzji ani profilowania.

18.9. Aby osoba, której dane dotyczą, mogła komunikować się w dogodnym dla siebie języku, wiadomości na czacie mogą być automatycznie tłumaczone przy użyciu usługi sztucznej inteligencji Claude, świadczonej przez Anthropic PBC (USA). Do tłumaczenia przekazywana jest wyłącznie treść danej wiadomości (w tym dane osobowe, jeśli osoba, której dane dotyczą, zawarła je w wiadomości); imię, adres e-mail, numer telefonu, dane techniczne i dołączone pliki nie są przekazywane do tłumaczenia. Anthropic działa jako podmiot przetwarzający Administratora i zgodnie ze swoimi warunkami handlowymi nie wykorzystuje tych danych do trenowania modeli sztucznej inteligencji. Przekazywanie danych do USA odbywa się na podstawie zabezpieczeń przewidzianych w art. 46 RODO (standardowych klauzul umownych zatwierdzonych przez Komisję Europejską). Przetłumaczone wiadomości są oznaczone na czacie adnotacją „Translated by Claude AI”, a tekst oryginalny jest przechowywany wraz z tłumaczeniem przez okres określony w pkt 18.7. Tłumaczenie nie jest wykorzystywane do zautomatyzowanego podejmowania decyzji.

19. Cyberbezpieczeństwo i utrzymanie systemów

19.1. Administrator zapewnia, że utrzymywane przez niego systemy informacyjne i teleinformatyczne są chronione zgodnie z obowiązującymi w Republice Łotewskiej przepisami z zakresu cyberbezpieczeństwa, w tym wymogami Narodowej ustawy o cyberbezpieczeństwie i powiązanych rozporządzeń Rady Ministrów, o ile przepisy te mają zastosowanie do Administratora.

19.2. Administrator utrzymuje serwery, środowisko hostingowe, bazy danych, infrastrukturę poczty e-mail i inne systemy IT w proporcjonalnym zakresie, uwzględniając możliwości techniczne, poziom ryzyka i minimalne wymogi cyberbezpieczeństwa, a także obowiązki i granice odpowiedzialności określone w umowach z klientami.

19.3. Administrator stosuje środki techniczne i organizacyjne ograniczające ryzyka cyberbezpieczeństwa, takie jak kontrola dostępu, uwierzytelnianie, aktualizacje bezpieczeństwa, tworzenie kopii zapasowych, zarządzanie incydentami, monitoring i inne proporcjonalne środki ochrony, w zakresie obiektywnie możliwym, z uwzględnieniem poziomu ryzyka i znaczenia danego systemu.

19.4. Administrator nie ponosi odpowiedzialności za incydenty cyberbezpieczeństwa ani zakłócenia działania systemów spowodowane okolicznościami, których Administrator obiektywnie nie może kontrolować (np. działania osób trzecich, konfiguracja infrastruktury samego klienta, działania użytkowników klienta, globalne cyberataki); mimo to Administrator podejmuje proporcjonalne środki w celu ograniczenia skutków i przywrócenia świadczenia usług w najszerszym praktycznie możliwym zakresie.

19.5. Jeżeli Administrator spełnia przesłanki statusu podmiotu objętego Narodową ustawą o cyberbezpieczeństwie (np. dostawca usługi ważnej lub kluczowej), oprócz niniejszej polityki prywatności wypełnia obowiązki określone w ustawie, w tym wyznaczenie menedżera ds. cyberbezpieczeństwa, składanie sprawozdań z samooceny, zgłaszanie incydentów organowi nadzorczemu i wypełnianie innych wymogów ustawowych.

20. Zautomatyzowane podejmowanie decyzji i profilowanie

20.1. Administrator nie prowadzi zautomatyzowanego podejmowania decyzji, w tym profilowania, które wywołuje skutki prawne lub w podobny sposób istotnie wpływa na osobę, której dane dotyczą, w rozumieniu art. 22 RODO.

20.2. Administrator może prowadzić ograniczoną analitykę i analizę danych o korzystaniu z usług (np. analizę wydajności systemu, wykorzystania funkcjonalności, statystyk dostępu), która nie jest uznawana za profilowanie o istotnym wpływie na osobę, której dane dotyczą.

21. Postanowienia końcowe

21.1. Administrator ma prawo jednostronnie zmieniać lub uzupełniać niniejszą politykę prywatności w dowolnym czasie, publikując aktualną wersję na swojej stronie internetowej, w portalu klienta lub innym kanale komunikacji wskazanym przez Administratora.

21.2. Aktualna wersja polityki prywatności wchodzi w życie z dniem jej opublikowania, chyba że wskazano w niej inny termin wejścia w życie.

21.3. Jeżeli jakakolwiek część niniejszej polityki prywatności stanie się nieważna, sprzeczna lub niemożliwa do zastosowania, nie wpływa to na ważność pozostałych postanowień; w takim przypadku Administrator zastępuje dane postanowienie takim, które w możliwie największym stopniu odpowiada pierwotnemu celowi i obowiązującym przepisom.

21.4. Niniejsza polityka prywatności obowiązuje tak długo, jak Administrator przetwarza dane osobowe w ramach swojej działalności gospodarczej; dla poszczególnych usług, umów lub projektów mogą być opracowane szczegółowe zasady przetwarzania danych, które stosuje się łącznie z niniejszą polityką, o ile nie są sprzeczne z RODO i przepisami Republiki Łotewskiej.

Pytania dotyczące przetwarzania danych osobowych: [email protected].