Administrator danych
Administratorem danych osobowych jest spółka IPD POLAND sp. z o.o. z siedzibą we Wrocławiu, adres: ul. Mińska 38/102, 54-610 Wrocław, KRS: 0001117129, NIP: 5273121573, e-mail: zamowienia@ipd2004.pl, tel: +48 574 738 358; +48 577 675 333.
Osoba Odpowiedzialna za Ochronę Danych Osobowych
Kwestie ochrony danych osobowych w organizacji Administratora danych koordynuje Osoba Odpowiedzialna, z którą kontakt możliwy jest poprzez adres email zamowienia@ipd2004.pl.
Zakres i źródła danych osobowych
Administrator uzyskuje następujące rodzaje danych osobowych:
• Dane podawane bezpośrednio - identyfikacyjne i kontaktowe (np. imię, nazwisko, e-mail, telefon), dane firmowe, dane do rozliczeń, treść korespondencji, dane niezbędne do realizacji usług,
• Dane podawane pośrednio – odpowiadające danym podawanym bezpośrednio, z tym że udostępnia je podmiot do tego uprawniony, a nie bezpośrednio osoba, której dane dotyczą,
• Dane zbierane automatycznie - logi serwera, identyfikatory online, informacje o urządzeniu i przeglądarce, ustawienia prywatności/cookies oraz – za zgodą – dane analityczne i marketingowe.
Cele i podstawy przetwarzania danych osobowych
Dane osobowe są przetwarzane w następujących celach i na następujących podstawach prawnych:
• Komunikacja i formularze kontaktowe - obsługa zapytań i korespondencji, w tym zapytań ofertowych – art. 6 ust. 1 lit. f RODO lub art. 6 ust. 1 lit. b RODO,
• Bezpieczeństwo danych i organizacji oraz dochodzenie roszczeń - zapewnienie integralności systemów, przeciwdziałanie nadużyciom, ustalenie i dochodzenie roszczeń, a także obrona przed roszczeniami – art. 6 ust. 1 lit. f RODO,
• Analityka i statystyka - pomiar i ulepszanie serwisu (strony internetowej) – na podstawie odrębnej, wyraźnej i dobrowolnej zgody osoby, której dane dotyczą, tj. art. 6 ust. 1 lit. a RODO,
Obowiązek podania danych osobowych
Podanie danych osobowych jest dobrowolne, ale może być konieczne do zawarcia i wykonania umowy, udzielenia odpowiedzi na zapytanie lub dostosowania wyświetlanych treści. Niepodanie danych osobowych może całkowicie lub częściowo uniemożliwić realizację tych czynności lub wykonanie ich w należyty sposób.
Odbiorcy danych osobowych
Dane osobowe mogą być udostępniane lub powierzane: dostawcom IT i hostingu, poczty elektronicznej, narzędzi bezpieczeństwa, usług płatniczych, administratorom systemów, doradcom biznesowym, księgowym i prawnym, wykonawcom dostaw produktów (w szczególności firmom kurierskim), a także dostawcom systemów mailingowych, CRM, dostawcom analityki i reklam online i narzędzi antyspamowych.
Powierzanie lub udostępnienie danych osobowych odbywa się na podstawie umów i w granicach instrukcji administratora, z zachowaniem odpowiednich środków technicznych i organizacyjnych mających na cele zapewnienie ochrony danych osobowych.
Przekazania poza EOG
Dane osobowe nie są przekazywane poza obszar EOG.
Okresy przechowywania
Dane osobowe są przechowywane przez wskazany poniżej czas:
• Korespondencja i zapytania - do [okres/period] od rozwiązania danego zapytania lub przesłania ostatniej wiadomości w korespondencji, chyba że przepisy dotyczące przedawnienie roszczeń uzasadniają dłuższy okres.
• Dane marketingowe lub analityczne - do wycofania zgody lub skutecznego sprzeciwu.
• Dane niezbędne do dochodzenia roszczeń i zapewnienia bezpieczeństwa - do upływu terminów przedawnienia.
Prawa osób, których dane dotyczą
Każdej osobie, której dane dotyczą, przysługują następujące uprawnienia wykonywane wobec administratora:
• Prawo dostępu do danych - obejmuje prawo żądania potwierdzenia, czy dane osobowe są przetwarzane, uzyskania dostępu do ich treści oraz uzyskania informacji m.in. o celach, kategoriach danych, odbiorcach, okresach przechowywania oraz źródle danych, jeśli nie zebrano ich od osoby, której dane dotyczą. Osoba, której dane dotyczą może otrzymać kopię danych (z tym, że dodatkowe kopie mogą wiązać się z opłatą adekwatną do kosztów administracyjnych).
• Prawo do sprostowania danych – osoba, której dane dotyczą może żądać poprawienia danych nieprawidłowych oraz uzupełnienia niekompletnych, także poprzez złożenie dodatkowego oświadczenia.
• Prawo do usunięcia danych (tzw. prawo do bycia zapomnianym) - przysługuje m.in. gdy dane nie są już niezbędne do celów, dla których je zebrano, gdy osoba, której dane dotyczą wycofa zgodę i brak innej podstawy prawnej, gdy osoba, której dane dotyczą skutecznie wniesie sprzeciw, gdy dane były przetwarzane niezgodnie z prawem lub gdy usunięcie wynika z obowiązku prawnego. Uwaga: w zakresie tego uprawnienia mogą istnieć ograniczenia wynikające z powszechnie obowiązujących przepisów (RODO/Ustawa o ochronie danych osobowych), np. przedstawione przez Administratora prawa związane z obowiązkami rachunkowymi czy obroną roszczeń.
• Prawo do ograniczenia przetwarzania – przysługuje osobie, której dane dotyczą, gdy: kwestionuje prawidłowość danych (na czas weryfikacji), lub gdy przetwarzanie jest niezgodne z prawem, ale osoba, której dane dotyczą sprzeciwia się usunięciu, bądź gdy administrator nie potrzebuje już danych, ale są one potrzebne osobie, której dane dotyczą do ustalenia, dochodzenia lub obrony roszczeń, albo gdy osoba, której dane dotyczą wniosła sprzeciw – wówczas do czasu rozstrzygnięcia, czy nadrzędne są prawnie uzasadnione podstawy administratora.
• Prawo do przenoszenia danych – osoba, której dane dotyczą może otrzymać dane, które dostarczyła administratorowi, w powszechnie używanym formacie nadającym się do odczytu maszynowego oraz zażądać ich przesłania innemu administratorowi, o ile przetwarzanie opiera się na zgodzie lub umowie i odbywa się w sposób zautomatyzowany, oraz o ile jest to technicznie możliwe.
• Prawo sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. e lub f RODO – osoba, której dane dotyczą może wnieść sprzeciw z przyczyn związanych z jej szczególną sytuacją. Wówczas administrator przestanie przetwarzać dane, chyba że wykaże istnienie ważnych, prawnie uzasadnionych podstaw nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą lub podstaw do ustalenia, dochodzenia lub obrony roszczeń.
• Prawo sprzeciwu wobec marketingu bezpośredniego -jeśli dane są przetwarzane w celu marketingu bezpośredniego, osoba, której dane dotyczą ma prawo wnieść sprzeciw w każdym czasie; po jego wniesieniu dane nie będą dalej przetwarzane w tym celu.
• Prawo do wycofania zgody w dowolnym momencie - wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed jej wycofaniem; może jednak uniemożliwić świadczenie usług wymagających zgody (np. newsletter, personalizacja).
• Prawo do informacji przy zbieraniu danych i podczas ich przetwarzania - obejmuje przejrzyste przekazywanie informacji m.in. o administratorze, celach, podstawach prawnych, odbiorcach, okresach przechowywania, prawach oraz o przekazaniach do państw trzecich.
• Prawo do skargi do organu nadzorczego – osoba, której dane dotyczą może wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO) lub innego właściwego organu nadzorczego w UE, w szczególności w państwie swojego zwykłego pobytu, miejsca pracy lub miejsca popełnienia domniemanego naruszenia.
• Prawo do bycia powiadomionym o naruszeniu ochrony danych- jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osoba, której dane dotyczą, zostanie ona o tym niezwłocznie poinformowana, chyba że zastosowano środki eliminujące to ryzyko lub wymagałoby to niewspółmiernie dużego wysiłku (wtedy zostanie wydany publiczny komunikat).
Zautomatyzowane decyzje i profilowanie
Profilowanie marketingowe jest możliwe wyłącznie na podstawie wyrażonej i świadomej zgody osoby, której dane dotyczą.
Nie są podejmowane jakiekolwiek zautomatyzowane decyzje wywołujące skutki prawne dla osoby, której dane dotyczą bez udziału człowieka.
Bezpieczeństwo danych
Wdrożono środki organizacyjne i techniczne opisane w wewnętrznych politykach IPD POLAND sp. z o.o., w tym m.in. autoryzacje i upoważnienia, szkolenia, przeglądy uprawnień, procedury zgłaszania incydentów, a także środki techniczne takie jak szyfrowanie danych, uwierzytelnianie wieloskładnikowe i ochrona przed atakami DDoS. Stosowane są zasady bezpiecznego haseł, menedżery haseł zatwierdzone przez IT oraz reguły bezpiecznego przekazywania nośników i plików.