1. Administrator i kanały kontaktu
Administratorem danych osobowych przetwarzanych w związku z Serwisem jest podmiot OrdinaryStreetWay, wskazany łącznie z adresem korespondencyjnym i danymi kontaktowymi w stopce strony.
W sprawach wyłącznie technicznych dotyczących realizacji praw lub rejestru czynności przetwarzania możesz użyć dedykowanego adresu e-mail z dopiskiem w tytule wiadomości (np. „RODO — ewidencja”), co ułatwia przekazanie sprawy do właściwego zespołu wewnętrznego.
2. Cele przetwarzania i podstawy prawne
Poniżej zestawiamy typowe cele operacji przetwarzania w Serwisie oraz przybliżone odniesienie do przesłanek z art. 6 ust. 1 RODO. Dokładny opis kontekstu zbierania danych znajduje się w Polityce prywatności.
- Świadczenie usług drogą elektroniczną, bezpieczeństwo IT — podstawa: art. 6 ust. 1 lit. b (wykonanie umowy o dostęp do treści / konta) oraz lit. f (prawnie uzasadniony interes administratora polegający na zapewnieniu stabilności i ochrony przed nadużyciami).
- Obsługa zapytań z formularzy — lit. b lub lit. f, w zależności od charakteru wiadomości (przedsprzedażowe pytanie vs. czynność zmierzająca do zawarcia umowy).
- Analityka ruchu i jakości materiałów — lit. a (zgoda), gdy wymagana, lub lit. f przy odpowiedniej konfiguracji narzędzi i minimalizacji danych.
- Komunikacja marketingowa — wyłącznie lit. a, do momentu cofnięcia zgody.
- Archiwum dowodowe, dochodzenie roszczeń — lit. f oraz lit. c, jeśli obowiązek archiwizacji wynika z przepisów.
3. Kategorie danych w ujęciu operacyjnym
Zamiast powielać narracyjny opis pól formularzy, stosujemy klasyfikację operacyjną — taką samą, jaką wpisujemy do ewidencji czynności przetwarzania:
- Identyfikatory konta: login, zaszyfrowany skrót hasła, znaczniki czasu logowań.
- Dane identyfikacyjne i kontaktowe: imię i nazwisko, e-mail, telefon — wyłącznie jeśli zostały podane dobrowolnie.
- Dane telemetryczne serwera: adres IP, nagłówki żądań HTTP, identyfikatory sesji.
- Dane z plików cookie i local storage: identyfikatory zgód, anonimowe identyfikatory wizyt — zgodnie z Polityką plików cookie.
- Treści wiadomości: dowolny tekst przekazany przez Użytkownika w polach formularza (w tym ewentualne dane szczególnych kategorii, jeśli Użytkownik zdecyduje się je wpisać).
4. Odbiorcy i podmioty przetwarzające
Dane mogą być przekazywane kategoriom odbiorców niezbędnym do utrzymania infrastruktury Serwisu. Z podmiotami, którym powierzamy przetwarzanie, zawieramy umowy powierzenia określające zakres, czas i środki bezpieczeństwa.
- dostawcy hostingu i sieci CDN;
- dostawcy poczty transakcyjnej i narzędzi antyspamowych;
- dostawcy analityki internetowej — po spełnieniu warunków zgody lub innej podstawy;
- kancelarie prawne lub doradcy — wyłącznie w zakresie niezbędnym do obrony praw administratora.
Udostępnianie organom
Poza powyższymi kategoriami dane mogą zostać udostępnione organom publicznym, jeżeli wystąpi właściwe żądanie i podstawa prawna.
5. Przekazywanie danych poza Europejski Obszar Gospodarczy
Jeśli korzystamy z usług dostawców z siedzibą w USA lub innych państwach trzecich, transfer odbywa się na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony, standardowych klauzul umownych lub innego mechanizmu przewidzianego w Rozdziale V RODO.
Na żądanie możemy przekazać streszczenie zastosowanych zabezpieczeń lub odesłać do dokumentacji dostawcy, o ile nie narusza to tajemnicy przedsiębiorstwa ani bezpieczeństwa systemów.
6. Okres przechowywania i kryteria
Czas przechowywania ustala się według następujących kryteriów łączonych (stosuje się dłuższy okres, jeśli przepis tego wymaga):
- czas realizacji celu, dla którego dane zostały zebrane (np. zamknięcie sprawy z formularza);
- okres przedawnienia roszczeń lub wewnętrzna polityka retencji logów bezpieczeństwa;
- obowiązek prawny zachowania kopii (np. dokumentacja księgowa — jeśli ma zastosowanie do danej operacji).
Po zakończeniu okresu dane są usuwane albo poddawane anonimizacji statystycznej, która uniemożliwia identyfikację osoby.
7. Prawa osób, których dane dotyczą
Szczegółowy wykaz praw (dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie, cofnięcie zgody, skarga do PUODO) oraz sposób ich realizacji opisaliśmy w Polityce prywatności. Niniejszy dokument jedynie potwierdza, że prawa te przysługują niezależnie od kanału, w którym dane zostały zebrane.
W celu weryfikacji tożsamości możemy poprosić o dodatkowe informacje — w granicach proporcjonalności i wytycznych Europejskiej Rady Ochrony Danych dotyczących uwierzytelniania żądań.
8. Minimalizacja, ocena skutków i zautomatyzowane decyzje
Stosujemy zasadę minimalizacji: zbieramy tylko te dane, które są niezbędne do opisanych celów, a pola formularzy projektujemy tak, aby ograniczyć ryzyko nadmiarowego ujawniania informacji.
W przypadku wdrożenia nowego narzędzia o podwyższonym ryzyku dla praw i wolności (np. szerokie profilowanie behawioralne) przeprowadzamy lub aktualizujemy ocenę skutków przetwarzania zgodnie z art. 35 RODO, o ile jest wymagana.
Nie podejmujemy wobec Użytkowników Serwisu wyłącznie zautomatyzowanych decyzji wywołujących skutki prawne lub w podobny sposób istotnie wpływające na sytuację osoby, chyba że w przyszłości wprowadzimy taką funkcję z odrębnym obowiązkiem informacyjnym i podstawą prawną.
9. Aktualizacje, rejestr czynności i zgłoszenia naruszeń
Niniejsza informacja jest aktualizowana wraz ze zmianą łańcucha przetwarzania (nowi procesors, inne cele lub środki transferu). Data ostatniej zmiany znajduje się w sekcji hero.
Wewnętrznie prowadzimy ewidencję czynności przetwarzania zgodnie z art. 30 RODO, obejmującą m.in. cele, kategorie danych i okresy retencji — w zakresie właściwym dla skali działalności administratora.
W razie stwierdzenia naruszenia ochrony danych osobowych stosujemy procedurę powiadamiania organu nadzorczego oraz, gdy przepisy tego wymagają, osób, których dane dotyczą.
Pytania techniczne dotyczące niniejszego dokumentu: [email protected] (dopisek „RODO — przetwarzanie”) lub formularz kontaktowy.