1. Administrator i kontakt
DANE PRZYKŁADOWE DO ZASTĄPIENIA: Robots2Work sp. z o.o., ul. Przykładowa 1, 00-000 Warszawa. Nie jest to potwierdzona nazwa ani adres administratora. Przykładowy adres do spraw prywatności: privacy@example.com — nie służy do kontaktu z Robots2Work.
Przed publikacją należy wskazać rzeczywisty podmiot prowadzący serwis, jego adres oraz działający kanał kontaktowy. Jeżeli administrator wyznaczył inspektora ochrony danych, należy podać również jego dane kontaktowe; ten projekt nie zakłada, że inspektor został wyznaczony.
2. Zakres dokumentu i zbieranych danych
Polityka dotyczy serwisu Robots2Work i planowanego kontaktu w sprawie oferty. Podstawą zasad ochrony danych jest rozporządzenie (UE) 2016/679 (RODO). Korzystanie z cookies i podobnych technologii podlega także ustawie z 12 lipca 2024 r. — Prawo komunikacji elektronicznej, w szczególności art. 399.
Docelowy formularz obejmuje imię i nazwisko, adres e-mail, treść wiadomości oraz dobrowolnie podane nazwę firmy i numer telefonu. Prosimy nie przesyłać danych szczególnych kategorii, np. informacji o zdrowiu, ani zbędnych danych innych osób. Dane techniczne mogą obejmować adres IP, czas żądania, adres odwiedzanej strony i informacje o przeglądarce, jeżeli są zapisywane w logach infrastruktury.
Obecnie formularz nie przekazuje zgłoszeń do administratora. Wpisanie danych i kliknięcie przycisku wyświetla informację o braku wysyłki. Opis obsługi zapytań w kolejnych punktach dotyczy funkcji planowanej, a nie już działającego procesu.
3. Cele i podstawy prawne
Udzielenie odpowiedzi, organizacja konsultacji i obsługa korespondencji: art. 6 ust. 1 lit. f RODO — uzasadniony interes administratora polegający na prowadzeniu komunikacji biznesowej. Jeżeli osoba kontaktuje się jako przyszła strona umowy i żąda działań przed jej zawarciem, właściwą podstawą tych działań jest art. 6 ust. 1 lit. b RODO.
Zapewnienie bezpieczeństwa serwisu, zapobieganie nadużyciom oraz ustalenie, dochodzenie lub obrona roszczeń: art. 6 ust. 1 lit. f RODO, z uwzględnieniem niezbędności przetwarzania i praw osób, których dane dotyczą. Obowiązki wynikające z konkretnego przepisu prawa, np. dotyczące dokumentacji zawartej umowy, mogą wymagać przetwarzania na podstawie art. 6 ust. 1 lit. c RODO; nie dotyczą automatycznie każdego zapytania.
Zwykła odpowiedź na zapytanie nie wymaga zgody marketingowej. Wysyłka newslettera, reklamy bezpośredniej czy włączenie opcjonalnej analityki nie są objęte prośbą o kontakt. Jeśli takie funkcje zostaną dodane, należy wskazać ich rzeczywisty zakres i zapewnić odpowiednie, odrębne zgody tam, gdzie wymaga ich prawo.
4. Dobrowolność podania danych
Korzystanie ze strony bez wysyłania zapytania nie wymaga podania danych w formularzu. W docelowym formularzu imię i nazwisko, adres e-mail oraz treść wiadomości są oznaczone jako wymagane. Bez adresu kontaktowego i treści zapytania nie będziemy mogli odpowiedzieć; dane dodatkowe pozostają dobrowolne.
Prośba o kontakt dotyczy wyłącznie opisanego zapytania i nie jest zgodą na dowolny marketing. Przed uruchomieniem formularza należy ponownie ocenić niezbędność każdego wymaganego pola zgodnie z zasadą minimalizacji danych.
5. Dostawcy i odbiorcy danych
Serwis jest hostowany w Railway. Dostawca infrastruktury może przetwarzać dane techniczne w zakresie niezbędnym do udostępnienia strony i jej bezpieczeństwa. Rzeczywisty zakres logów, region przetwarzania, podwykonawców i warunki przetwarzania trzeba potwierdzić dla używanej konfiguracji.
Dla docelowego kontaktu zakładamy korzystanie z dostawcy poczty biznesowej. Przykładowy wariant do rozważenia to Google Workspace — nie jest to potwierdzona usługa Robots2Work. Przed uruchomieniem należy wskazać faktycznego dostawcę, zakres dostępu i, gdy działa jako podmiot przetwarzający, zapewnić umowę zgodną z art. 28 RODO.
Dostęp mogą mieć upoważnione osoby obsługujące zapytania oraz, gdy jest to konieczne, dostawcy wsparcia IT lub doradcy działający na odpowiedniej podstawie prawnej. Dane mogą zostać udostępnione uprawnionym organom, jeżeli wymaga tego prawo. Ten projekt nie zakłada sprzedaży danych, przekazywania zapytań producentowi robotów ani wdrożonego CRM, newslettera czy rekrutacji.
6. Przekazywanie danych poza EOG
Korzystanie z usług dostawców spoza Europejskiego Obszaru Gospodarczego może wiązać się z transferem danych lub dostępem do nich z państwa trzeciego. Sam wybór europejskiego regionu hostingu nie przesądza o braku takich transferów.
Przed uruchomieniem docelowego przetwarzania należy ustalić, czy transfer występuje, wskazać jego podstawę i zapewnić wymagane zabezpieczenia. W zależności od dostawcy mogą to być obowiązująca decyzja o odpowiednim stopniu ochrony lub standardowe klauzule umowne wraz z oceną i ewentualnymi środkami uzupełniającymi. EU–US Data Privacy Framework można wskazać wyłącznie po sprawdzeniu aktualnego statusu i zakresu certyfikacji konkretnego odbiorcy. Nie zakładamy automatycznie spełnienia tych warunków przez każdego dostawcę.
Po ustaleniu rzeczywistych transferów należy zapewnić możliwość uzyskania informacji o zabezpieczeniach lub ich kopii za pośrednictwem prawdziwego kontaktu administratora.
7. Okresy przechowywania — propozycja
Proponowany okres dla zapytań, które nie prowadzą do zawarcia umowy: do 12 miesięcy od zakończenia korespondencji, z wcześniejszym usunięciem danych, jeśli dalsze przechowywanie nie jest potrzebne. Dla logów bezpieczeństwa proponujemy do 30 dni, z odrębnym zabezpieczeniem danych koniecznych do wyjaśnienia konkretnego incydentu. Są to założenia projektu, nie zweryfikowana konfiguracja systemów.
Korespondencja dotycząca zawartej umowy, obowiązków ustawowych lub roszczeń może być przechowywana przez okres wymagany odpowiednimi przepisami albo do upływu właściwego terminu przedawnienia, wyłącznie w zakresie niezbędnym do danego celu. Nie należy zachowywać wszystkich zapytań bezterminowo na wszelki wypadek.
Przed publikacją trzeba uzgodnić okresy z administratorem i wdrożyć je również w poczcie, logach oraz kopiach zapasowych. Jeżeli zostanie dodane przetwarzanie oparte na zgodzie, dane dla tego celu usuwa się lub anonimizuje po jej wycofaniu, chyba że istnieje odrębna podstawa dalszego przechowywania.
8. Prawa osób, których dane dotyczą
Na zasadach określonych w RODO możesz żądać dostępu do danych i ich kopii, sprostowania, usunięcia oraz ograniczenia przetwarzania. Prawo do przenoszenia danych przysługuje, gdy przetwarzanie odbywa się automatycznie i jest oparte na zgodzie lub umowie, w zakresie przewidzianym w art. 20 RODO.
Gdy podstawą jest uzasadniony interes, możesz wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją. Wobec przetwarzania na potrzeby marketingu bezpośredniego sprzeciw można wnieść w każdym czasie. Zgodę można wycofać równie łatwo, jak ją udzielić; nie wpływa to na zgodność z prawem działań sprzed wycofania.
Wnioski należy kierować na rzeczywisty adres administratora, który zastąpi przykładowe dane w tym projekcie. Odpowiedź co do zasady następuje w ciągu miesiąca od otrzymania wniosku; ewentualne przedłużenie i ograniczenia uprawnień podlegają warunkom RODO. Weryfikacja tożsamości powinna być proporcjonalna, bez automatycznego wymagania kopii dokumentu.
9. Skarga do organu nadzorczego
Jeżeli uważasz, że przetwarzanie narusza przepisy, możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych w Polsce albo innego właściwego organu nadzorczego zgodnie z art. 77 RODO. Aktualne dane kontaktowe i zasady składania skarg są dostępne na uodo.gov.pl. Wcześniejszy kontakt z administratorem nie jest warunkiem złożenia skargi.
11. Bezpieczeństwo i automatyczne decyzje
Docelowy proces powinien obejmować szyfrowanie transmisji, kontrolę uprawnień, ograniczenie dostępu do osób upoważnionych, aktualizacje oraz odpowiednie zasady kopii zapasowych i usuwania danych. Zakres środków i ryzyka należy ocenić przed uruchomieniem wysyłki. Nie zapewniamy, że żaden system nie może zostać naruszony.
W opisanym wariancie kontaktowym nie zakładamy podejmowania decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na osobę wyłącznie na podstawie automatycznego przetwarzania, w tym profilowania w rozumieniu art. 22 RODO. Ewentualne dodanie takich funkcji wymaga nowej oceny i aktualizacji informacji.
12. Aktualizacja dokumentu
Politykę należy aktualizować przy zmianie administratora, narzędzi, celów lub zakresu przetwarzania. Wersja przeznaczona do publikacji powinna wskazywać datę obowiązywania i nie zawierać fikcyjnych danych ani niepotwierdzonych deklaracji. Odrębna informacja RODO podsumowuje zasady dotyczące planowanego kontaktu.