1. Administrator danych
DANE PRZYKŁADOWE DO ZASTĄPIENIA: Robots2Work sp. z o.o., ul. Przykładowa 1, 00-000 Warszawa. Nie jest to potwierdzona nazwa ani adres administratora. Przykładowy adres do spraw prywatności: privacy@example.com — nie służy do kontaktu z Robots2Work.
Przed publikacją należy wskazać rzeczywisty podmiot prowadzący serwis, jego adres oraz działający kanał kontaktowy. Jeżeli administrator wyznaczył inspektora ochrony danych, należy podać również jego dane kontaktowe; ten projekt nie zakłada, że inspektor został wyznaczony.
2. Co działa obecnie, a co jest planowane
POTWIERDZONE W PROJEKCIE: publiczna strona i katalog robotów są hostowane w Railway. Aplikacja nie ma kont użytkowników, koszyka, płatności ani działającego procesu wysyłki zapytań. Formularz kontaktowy i produktowy wyświetlają komunikat niewysłania; ich kod nie przesyła imienia, e-maila i wiadomości do skrzynki lub CRM. Przeglądarka może niezależnie stosować własne ustawienia autouzupełniania.
Odwiedzanie strony wiąże się z żądaniami do infrastruktury, która może przetwarzać techniczne informacje, np. adres IP, URL i czas żądania. Nie należy z braku wysyłki formularza wnioskować, że odwiedzenie strony nie powoduje żadnego przetwarzania danych. Nie zweryfikowano pełnego zakresu ani okresu logowania w Railway, regionu przetwarzania i dostępu podwykonawców.
W kodzie nie zidentyfikowano wdrożonych GA4, reklamowego śledzenia, CRM, newslettera ani rekrutacji. To nie zastępuje audytu odpowiedzi serwera i ewentualnych usług dodanych poza aplikacją. Opis poczty biznesowej, odpowiedzi na zapytania i opcjonalnej analityki w dalszych punktach jest planem wymagającym osobnego wdrożenia, nie deklaracją aktualnego działania.
3. Źródło i zakres danych
Dane w docelowym procesie będą pochodziły bezpośrednio od osoby składającej zapytanie: imię i nazwisko, e-mail, wiadomość oraz opcjonalnie firma i telefon. Nie należy podawać danych wrażliwych ani zbędnych danych osób trzecich. Obecny formularz nie wysyła zgłoszeń — ten dokument nie potwierdza wdrożenia wysyłki.
4. Cele, podstawy i uzasadnione interesy
Dla technicznego udostępniania strony i jej bezpieczeństwa projekt przewiduje art. 6 ust. 1 lit. f RODO — uzasadniony interes administratora w prowadzeniu i zabezpieczeniu serwisu. Zakres danych musi być niezbędny i proporcjonalny; rzeczywistą konfigurację należy potwierdzić. Poniższe zasady odpowiedzi na zapytania dotyczą przyszłego uruchomienia formularza lub potwierdzonego kanału korespondencji.
Udzielenie odpowiedzi, organizacja konsultacji i obsługa korespondencji: art. 6 ust. 1 lit. f RODO — uzasadniony interes administratora polegający na prowadzeniu komunikacji biznesowej. Jeżeli osoba kontaktuje się jako przyszła strona umowy i żąda działań przed jej zawarciem, właściwą podstawą tych działań jest art. 6 ust. 1 lit. b RODO.
Zapewnienie bezpieczeństwa serwisu, zapobieganie nadużyciom oraz ustalenie, dochodzenie lub obrona roszczeń: art. 6 ust. 1 lit. f RODO, z uwzględnieniem niezbędności przetwarzania i praw osób, których dane dotyczą. Obowiązki wynikające z konkretnego przepisu prawa, np. dotyczące dokumentacji zawartej umowy, mogą wymagać przetwarzania na podstawie art. 6 ust. 1 lit. c RODO; nie dotyczą automatycznie każdego zapytania.
Zwykła odpowiedź na zapytanie nie wymaga zgody marketingowej. Wysyłka newslettera, reklamy bezpośredniej czy włączenie opcjonalnej analityki nie są objęte prośbą o kontakt. Jeśli takie funkcje zostaną dodane, należy wskazać ich rzeczywisty zakres i zapewnić odpowiednie, odrębne zgody tam, gdzie wymaga ich prawo.
5. Odbiorcy danych
Serwis jest hostowany w Railway. Dostawca infrastruktury może przetwarzać dane techniczne w zakresie niezbędnym do udostępnienia strony i jej bezpieczeństwa. Rzeczywisty zakres logów, region przetwarzania, podwykonawców i warunki przetwarzania trzeba potwierdzić dla używanej konfiguracji.
Dla docelowego kontaktu zakładamy korzystanie z dostawcy poczty biznesowej. Przykładowy wariant do rozważenia to Google Workspace — nie jest to potwierdzona usługa Robots2Work. Przed uruchomieniem należy wskazać faktycznego dostawcę, zakres dostępu i, gdy działa jako podmiot przetwarzający, zapewnić umowę zgodną z art. 28 RODO.
Dostęp mogą mieć upoważnione osoby obsługujące zapytania oraz, gdy jest to konieczne, dostawcy wsparcia IT lub doradcy działający na odpowiedniej podstawie prawnej. Dane mogą zostać udostępnione uprawnionym organom, jeżeli wymaga tego prawo. Ten projekt nie zakłada sprzedaży danych, przekazywania zapytań producentowi robotów ani wdrożonego CRM, newslettera czy rekrutacji.
6. Transfery poza EOG i zabezpieczenia
Korzystanie z usług dostawców spoza Europejskiego Obszaru Gospodarczego może wiązać się z transferem danych lub dostępem do nich z państwa trzeciego. Sam wybór europejskiego regionu hostingu nie przesądza o braku takich transferów.
Przed uruchomieniem docelowego przetwarzania należy ustalić, czy transfer występuje, wskazać jego podstawę i zapewnić wymagane zabezpieczenia. W zależności od dostawcy mogą to być obowiązująca decyzja o odpowiednim stopniu ochrony lub standardowe klauzule umowne wraz z oceną i ewentualnymi środkami uzupełniającymi. EU–US Data Privacy Framework można wskazać wyłącznie po sprawdzeniu aktualnego statusu i zakresu certyfikacji konkretnego odbiorcy. Nie zakładamy automatycznie spełnienia tych warunków przez każdego dostawcę.
Po ustaleniu rzeczywistych transferów należy zapewnić możliwość uzyskania informacji o zabezpieczeniach lub ich kopii za pośrednictwem prawdziwego kontaktu administratora.
7. Czas przechowywania
Nie potwierdzono rzeczywistych ustawień retencji w hostingu ani docelowej poczcie. Nie należy przedstawiać 30 dni logów lub 12 miesięcy korespondencji jako już wdrożonych okresów. Do czasu ustalenia konfiguracji poniżej pozostają wyłącznie propozycje do uzgodnienia i technicznego wdrożenia.
Proponowany okres dla zapytań, które nie prowadzą do zawarcia umowy: do 12 miesięcy od zakończenia korespondencji, z wcześniejszym usunięciem danych, jeśli dalsze przechowywanie nie jest potrzebne. Dla logów bezpieczeństwa proponujemy do 30 dni, z odrębnym zabezpieczeniem danych koniecznych do wyjaśnienia konkretnego incydentu. Są to założenia projektu, nie zweryfikowana konfiguracja systemów.
Korespondencja dotycząca zawartej umowy, obowiązków ustawowych lub roszczeń może być przechowywana przez okres wymagany odpowiednimi przepisami albo do upływu właściwego terminu przedawnienia, wyłącznie w zakresie niezbędnym do danego celu. Nie należy zachowywać wszystkich zapytań bezterminowo na wszelki wypadek.
Przed publikacją trzeba uzgodnić okresy z administratorem i wdrożyć je również w poczcie, logach oraz kopiach zapasowych. Jeżeli zostanie dodane przetwarzanie oparte na zgodzie, dane dla tego celu usuwa się lub anonimizuje po jej wycofaniu, chyba że istnieje odrębna podstawa dalszego przechowywania.
8. Uprawnienia i wycofanie zgody
Na zasadach określonych w RODO możesz żądać dostępu do danych i ich kopii, sprostowania, usunięcia oraz ograniczenia przetwarzania. Prawo do przenoszenia danych przysługuje, gdy przetwarzanie odbywa się automatycznie i jest oparte na zgodzie lub umowie, w zakresie przewidzianym w art. 20 RODO.
Gdy podstawą jest uzasadniony interes, możesz wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją. Wobec przetwarzania na potrzeby marketingu bezpośredniego sprzeciw można wnieść w każdym czasie. Zgodę można wycofać równie łatwo, jak ją udzielić; nie wpływa to na zgodność z prawem działań sprzed wycofania.
Wnioski należy kierować na rzeczywisty adres administratora, który zastąpi przykładowe dane w tym projekcie. Odpowiedź co do zasady następuje w ciągu miesiąca od otrzymania wniosku; ewentualne przedłużenie i ograniczenia uprawnień podlegają warunkom RODO. Weryfikacja tożsamości powinna być proporcjonalna, bez automatycznego wymagania kopii dokumentu.
9. Skarga do organu nadzorczego
Jeżeli uważasz, że przetwarzanie narusza przepisy, możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych w Polsce albo innego właściwego organu nadzorczego zgodnie z art. 77 RODO. Aktualne dane kontaktowe i zasady składania skarg są dostępne na uodo.gov.pl. Wcześniejszy kontakt z administratorem nie jest warunkiem złożenia skargi.
10. Dobrowolność i konsekwencje niepodania danych
Korzystanie ze strony bez wysyłania zapytania nie wymaga podania danych w formularzu. W docelowym formularzu imię i nazwisko, adres e-mail oraz treść wiadomości są oznaczone jako wymagane. Bez adresu kontaktowego i treści zapytania nie będziemy mogli odpowiedzieć; dane dodatkowe pozostają dobrowolne.
Prośba o kontakt dotyczy wyłącznie opisanego zapytania i nie jest zgodą na dowolny marketing. Przed uruchomieniem formularza należy ponownie ocenić niezbędność każdego wymaganego pola zgodnie z zasadą minimalizacji danych.
11. Automatyczne decyzje i profilowanie
W opisanym wariancie kontaktowym nie zakładamy podejmowania decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na osobę wyłącznie na podstawie automatycznego przetwarzania, w tym profilowania w rozumieniu art. 22 RODO. Ewentualne dodanie takich funkcji wymaga nowej oceny i aktualizacji informacji.
12. Zmiana celu i gotowość do publikacji
Przed wykorzystaniem danych w innym celu administrator powinien przekazać informacje wymagane przez art. 13 ust. 3 RODO i ustalić właściwą podstawę prawną. Dane z zapytania nie mogą automatycznie zasilać newslettera ani kampanii reklamowych.
Do publikacji potrzebne są rzeczywiste dane administratora, działający kontakt, potwierdzona lista dostawców i transferów, wdrożone okresy retencji oraz zweryfikowany proces formularza. Niniejszy projekt, oparty na przykładowych założeniach, nie zastępuje tych działań ani oceny prawnej rzeczywistych procesów.