Polityka prywatności Glosellio

1. Administrator danych osobowych

Administratorem danych osobowych jest [pełna nazwa spółki] z siedzibą w [adres], NIP: [NIP], KRS: [KRS] (dalej „Operator”). Kontakt w sprawach związanych z przetwarzaniem danych: [privacy@…].

Inspektor Ochrony Danych: [wskazać IOD lub usunąć ten akapit, jeżeli IOD nie został wyznaczony].

2. Zakres zastosowania

Niniejsza Polityka opisuje zasady przetwarzania danych osobowych przez Operatora w związku z:

• prowadzeniem strony internetowej i kanałów marketingowych Glosellio,
• obsługą zapytań kontaktowych, demo, leadów i procesu sprzedaży,
• świadczeniem usługi Glosellio na rzecz Klientów (w roli administratora w odniesieniu do osób reprezentujących Klienta i Użytkowników),
• wykonywaniem obowiązków prawnych ciążących na Operatorze.

W zakresie, w jakim w ramach Systemu Operator przetwarza dane osobowe wprowadzone przez Klienta (np. dane konsumentów Klienta, kontrahentów, pracowników Klienta), Operator występuje jako podmiot przetwarzający w rozumieniu art. 28 RODO. Zasady tego przetwarzania określa Umowa powierzenia przetwarzania (DPA).

3. Kategorie osób, których dane przetwarzamy, i kategorie danych

3.1. Osoby odwiedzające stronę i kanały marketingowe

• identyfikatory techniczne (adres IP, identyfikatory cookie, identyfikator urządzenia, parametry przeglądarki),
• dane behawioralne (źródło wejścia, oglądane treści, czas i głębokość wizyty, kliknięcia),
• dane podane dobrowolnie w formularzach (imię i nazwisko, adres e-mail, telefon, nazwa firmy, treść wiadomości).

3.2. Klienci, osoby reprezentujące Klienta i Użytkownicy konta

• dane identyfikacyjne i kontaktowe (imię i nazwisko, adres e-mail, telefon, stanowisko),
• dane firmowe (firma, NIP, REGON, adres),
• dane uwierzytelniające i zabezpieczające (hash hasła, tokeny sesji, tokeny API),
• dane operacyjne (logi logowania, akcje wykonane w panelu, adres IP, informacje o urządzeniu),
• dane rozliczeniowe (numer faktury, kwoty, data wystawienia, status płatności).

3.3. Subskrybenci newslettera i materiałów marketingowych

• adres e-mail, imię, dane firmy (jeśli podane),
• preferencje subskrypcji, historia kampanii, kliknięcia.

4. Cele i podstawy prawne przetwarzania

1. Zawarcie i wykonanie Umowy – art. 6 ust. 1 lit. b RODO. Przetwarzanie danych osób reprezentujących Klienta i Użytkowników w celu zawarcia Umowy, świadczenia Usługi, obsługi technicznej i wsparcia.
2. Wystawianie faktur i prowadzenie ksiąg – art. 6 ust. 1 lit. c RODO w zw. z przepisami podatkowymi i o rachunkowości.
3. Obsługa zapytań i kontaktu – art. 6 ust. 1 lit. b lub f RODO. Realizacja zapytań przedumownych oraz uzasadniony interes polegający na udzielaniu odpowiedzi.
4. Marketing bezpośredni produktów Operatora – art. 6 ust. 1 lit. f RODO (uzasadniony interes), z zachowaniem prawa do sprzeciwu. Wysyłka elektroniczna na podstawie odrębnej zgody zgodnie z ustawą o świadczeniu usług drogą elektroniczną i Prawem telekomunikacyjnym / Prawem komunikacji elektronicznej.
5. Bezpieczeństwo, wykrywanie nadużyć, audyty i logowanie – art. 6 ust. 1 lit. f RODO; uzasadniony interes Operatora i jego Klientów.
6. Ustalenie, dochodzenie i obrona roszczeń – art. 6 ust. 1 lit. f RODO.
7. Wypełnianie obowiązków prawnych (m.in. odpowiedzi organom państwa, MDR, AML, GDPR-compliance) – art. 6 ust. 1 lit. c RODO.
8. Statystyka i ulepszanie Systemu – art. 6 ust. 1 lit. f RODO; analiza danych zagregowanych i pseudonimizowanych.
9. Pliki cookie i podobne technologie – w zakresie nieodzownych do funkcjonowania Systemu na podstawie uzasadnionego interesu, w pozostałym zakresie na podstawie zgody (art. 6 ust. 1 lit. a RODO oraz art. 173 Prawa telekomunikacyjnego / odpowiednika).

5. Okresy przechowywania

• Dane Klienta i Użytkowników – przez okres obowiązywania Umowy oraz 30 dni po jej zakończeniu (czas na pobranie danych); następnie dane są usuwane lub anonimizowane, z wyjątkiem danych wymaganych do wykonania obowiązków prawnych Operatora.
• Dane rozliczeniowe i fakturowe – przez okres wymagany przepisami podatkowymi (5 lat od końca roku obrotowego) oraz przez okres przedawnienia roszczeń.
• Logi techniczne i bezpieczeństwa – do 24 miesięcy, chyba że konieczne jest dłuższe przechowywanie w związku z incydentem bezpieczeństwa lub postępowaniem.
• Dane osób kontaktujących się – do 24 miesięcy od ostatniego kontaktu, o ile nie powstaje stosunek umowny.
• Dane subskrybentów newslettera – do czasu wycofania zgody.
• Dane dotyczące dochodzenia roszczeń – do upływu terminów przedawnienia.

6. Odbiorcy danych

Dane osobowe mogą być udostępniane:

• podmiotom przetwarzającym, świadczącym dla Operatora usługi: hostingu i infrastruktury chmurowej, baz danych, monitoringu i kopii zapasowych, wysyłki e-mail (transactional / marketing), płatności, bramek SMS, narzędzi analitycznych i wsparcia, biuru rachunkowemu i kancelariom prawnym;
• operatorom zewnętrznych integracji uruchamianych przez Klienta (sklepy, kurierzy, marketplace, bramki płatności) - w zakresie niezbędnym do realizacji integracji wybranej przez Klienta;
• organom publicznym, jeżeli udostępnienie danych jest wymagane przepisami prawa.

Lista podmiotów przetwarzających aktualnie współpracujących z Operatorem jest udostępniana Klientom na żądanie i stanowi załącznik do DPA.

7. Przekazywanie danych poza EOG

Operator dąży do utrzymania przetwarzania danych w obszarze Europejskiego Obszaru Gospodarczego. Jeżeli przekazanie danych do państwa trzeciego jest konieczne (np. korzystanie z dostawców z USA), odbywa się ono na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską oraz dodatkowych zabezpieczeń wymaganych orzecznictwem Schrems II, lub na podstawie decyzji o adekwatności.

8. Prawa osób, których dane dotyczą

Każdej osobie przysługuje prawo do:

• dostępu do swoich danych oraz uzyskania kopii (art. 15 RODO),
• sprostowania danych nieprawidłowych lub niekompletnych (art. 16 RODO),
• usunięcia danych - w sytuacjach przewidzianych przepisami (art. 17 RODO),
• ograniczenia przetwarzania (art. 18 RODO),
• przenoszenia danych (art. 20 RODO),
• sprzeciwu wobec przetwarzania w celach uzasadnionego interesu, w tym marketingu bezpośredniego (art. 21 RODO),
• wycofania zgody - bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Wnioski można składać na adres [privacy@…]. Operator odpowiada w terminie miesiąca, z możliwością przedłużenia o 2 miesiące w sprawach skomplikowanych.

9. Profilowanie i zautomatyzowane decyzje

Operator nie podejmuje decyzji wywołujących skutki prawne lub w podobny sposób istotnie wpływających na osobę wyłącznie na podstawie zautomatyzowanego przetwarzania, w tym profilowania, w rozumieniu art. 22 RODO. Niektóre funkcje produktu mogą wykorzystywać profilowanie pomocnicze (np. rekomendacje, scoring antyfraudowy) - w takim wypadku osoba może zażądać interwencji człowieka i wyrażenia własnego stanowiska.

10. Pliki cookie i podobne technologie

Operator korzysta z plików cookie i podobnych technologii w celu:

• zapewnienia prawidłowego działania panelu i sesji użytkownika (cookies niezbędne),
• analizy ruchu i wydajności (cookies analityczne - za zgodą),
• marketingu i remarketingu (cookies marketingowe - za zgodą).

Zarządzanie zgodą na cookies dostępne jest w narzędziu zgód na stronie Operatora. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego wcześniej.

11. Bezpieczeństwo

Operator stosuje środki techniczne i organizacyjne adekwatne do ryzyka, w tym: szyfrowanie transmisji (TLS), separację najemców (multi-tenancy), kontrolę dostępu opartą na rolach, polityki haseł, monitoring i zapis zdarzeń bezpieczeństwa, regularne kopie zapasowe, regularne aktualizacje bezpieczeństwa, testy oraz politykę reagowania na incydenty.

12. Naruszenia ochrony danych

W przypadku naruszenia ochrony danych osobowych Operator postępuje zgodnie z art. 33–34 RODO, w tym informuje Prezesa UODO oraz - w razie wysokiego ryzyka - osoby, których dane dotyczą. Klienci są informowani o naruszeniach na zasadach określonych w DPA.

13. Zmiany Polityki

Operator może aktualizować Politykę prywatności. O istotnych zmianach Klient zostanie poinformowany e-mailem lub poprzez panel z odpowiednim wyprzedzeniem.