Polityka prywatności

1. Informacje ogólne

Niniejsza Polityka prywatności („Polityka”) określa zasady przetwarzania danych osobowych przez Administratora w związku z korzystaniem z serwisu internetowego biuroabc.pl („Serwis”), kontaktem z Administratorem oraz współpracą w ramach świadczonych usług. Polityka ma zastosowanie w szczególności do: osób odwiedzających Serwis, osób kontaktujących się z Administratorem, klientów i potencjalnych klientów, a także przedstawicieli/pełnomocników oraz osób kontaktowych po stronie klientów i kontrahentów – w zakresie, w jakim Administrator przetwarza ich dane.

Polityka została opracowana w sposób przejrzysty i warstwowy. Szczegółowe informacje dotyczące zasad przetwarzania danych osobowych oraz stosowania plików cookies i podobnych technologii zostały przedstawione w dalszych rozdziałach Polityki.

Polityka może być okresowo aktualizowana, w szczególności w przypadku zmian funkcjonalności Serwisu, wdrożenia nowych narzędzi lub zmian przepisów i wytycznych. Aktualna wersja Polityki jest publikowana w Serwisie wraz z oznaczeniem wersji i daty obowiązywania.

2. Administrator danych i dane kontaktowe

Administratorem danych osobowych jest Biuro Rachunkowe ABC spółka z ograniczoną odpowiedzialnością z siedzibą w Szczecinie, ul. Niemcewicza 33, 71-520 Szczecin, wpisana do rejestru przedsiębiorców KRS pod numerem 0000645757, NIP: 7162819509, REGON: 365848463 (dalej: „Administrator”).

Kontakt w sprawach związanych z przetwarzaniem danych osobowych oraz realizacją praw osób, których dane dotyczą (rozdział 9), jest możliwy:

• e-mail: biuro@biuroabc.pl
• adres korespondencyjny: ul. Niemcewicza 33, 71-520 Szczecin (z dopiskiem „Dane osobowe”)

Administrator nie wyznaczył inspektora ochrony danych (IOD). W sprawach dotyczących ochrony danych osobowych należy kontaktować się z Administratorem przy wykorzystaniu danych kontaktowych wskazanych powyżej.

3. Definicje

Na potrzeby niniejszej Polityki przyjmuje się następujące pojęcia:

• Administrator – podmiot  wskazany w rozdziale 2, który ustala cele i sposoby przetwarzania danych osobowych
• Serwis – serwis internetowy dostępny pod adresem biuroabc.pl
• Użytkownik – osoba korzystająca z Serwisu, w tym odwiedzająca Serwis lub kontaktująca się z Administratorem za jego pośrednictwem
• Dane osobowe – informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej
• Przetwarzanie – operacja lub zestaw operacji wykonywanych na danych osobowych (w tym m.in. zbieranie, utrwalanie, przechowywanie, udostępnianie, usuwanie)
• RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
• EOG – Europejski Obszar Gospodarczy
• Państwo trzecie – państwo spoza EOG
• Podmiot przetwarzający – podmiot, który przetwarza dane osobowe w imieniu Administratora na podstawie umowy powierzenia (art. 28 RODO)
• Odbiorca – podmiot, któremu Administrator ujawnia dane osobowe (w tym podmiot przetwarzający), w zakresie opisanym w Polityce
• Cookies – pliki tekstowe oraz inne identyfikatory/technologie zapisywane w urządzeniu końcowym Użytkownika lub odczytywane z tego urządzenia
• Technologie podobne do cookies – rozwiązania pełniące funkcję zbliżoną do cookies, umożliwiające przechowywanie lub dostęp do informacji w urządzeniu końcowym
• Zgoda (na cookies/identyfikatory) – dobrowolne, konkretne, świadome i jednoznaczne okazanie woli Użytkownika, wyrażone poprzez działanie potwierdzające, odnoszące się do zapisywania/odczytu cookies lub podobnych technologii, jeżeli jest wymagana przepisami prawa
• CMP / mechanizm zarządzania zgodami – rozwiązanie umożliwiające wyrażenie, odmowę oraz zmianę/wycofanie zgód dotyczących cookies i podobnych technologii
• SCC – standardowe klauzule umowne przyjęte przez Komisję Europejską jako mechanizm zabezpieczenia transferu danych do państw trzecich (art. 46 RODO)
• TIA – ocena ryzyka transferu danych do państwa trzeciego (Transfer Impact Assessment) wykonywana w związku ze stosowaniem SCC lub innych odpowiednich zabezpieczeń, jeżeli jest wymagana
• DPF – EU–U.S. Data Privacy Framework, tj. mechanizm transferu oparty na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO) – w zakresie, w jakim ma zastosowanie
• Narzędzia podmiotów trzecich – rozwiązania dostarczane przez podmioty inne niż Administrator, osadzone lub wykorzystywane w Serwisie (w tym mechanizmy bezpieczeństwa formularzy, takie jak Google reCAPTCHA)

4. Źródła danych oraz zakres przetwarzanych danych

Administrator pozyskuje dane osobowe przede wszystkim bezpośrednio od osób, których dane dotyczą, w szczególności w toku kontaktu (np. e-mail, telefon), przygotowania oferty, zawierania i wykonywania umowy oraz bieżącej komunikacji związanej ze współpracą.

Dane mogą być również pozyskiwane pośrednio, w szczególności:

• od klientów/kontrahentów Administratora – gdy przekazują dane swoich przedstawicieli, pełnomocników, pracowników lub osób kontaktowych w związku z realizacją współpracy (np. w celu ustalenia kontaktu, realizacji umowy, wymiany informacji roboczych),
• z publicznie dostępnych źródeł – wyłącznie w zakresie dopuszczalnym prawem i adekwatnym do celu (np. dane firmowe, rejestrowe lub kontaktowe podane do wiadomości publicznej),
• w związku z funkcjonowaniem Serwisu i jego zabezpieczeń – w zakresie danych technicznych niezbędnych do utrzymania Serwisu, zapewnienia bezpieczeństwa i przeciwdziałania nadużyciom (np. logi serwera, identyfikatory online).

W przypadku, gdy dane osobowe nie zostały pozyskane bezpośrednio od osoby, której dotyczą, Administrator realizuje obowiązki informacyjne wynikające z art. 14 RODO, z uwzględnieniem wyjątków przewidzianych w tym przepisie. Informacja taka jest przekazywana co do zasady najpóźniej w terminie 1 miesiąca od pozyskania danych, a jeżeli dane mają zostać użyte do komunikacji z daną osobą – najpóźniej przy pierwszym takim kontakcie, albo – jeżeli planowane jest ujawnienie danych innemu odbiorcy – najpóźniej przy pierwszym ujawnieniu, w zależności od tego, które zdarzenie nastąpi wcześniej.

Zakres przetwarzanych danych zależy od kontekstu i może obejmować w szczególności:

• dane identyfikacyjne i kontaktowe (np. imię i nazwisko, adres e-mail, numer telefonu, stanowisko lub nazwa jednostki organizacyjnej – jeżeli dotyczy),
• dane związane z działalnością gospodarczą i rozliczeniami (np. firma, NIP, REGON, adres, dane do fakturowania, numer rachunku – jeżeli dotyczy),
• treść korespondencji oraz informacje przekazane w toku kontaktu lub współpracy (w tym załączniki),
• dane techniczne i identyfikatory online związane z korzystaniem z Serwisu (np. adres IP, informacje o przeglądarce/urządzeniu, logi serwera oraz – jeżeli mają zastosowanie – identyfikatory cookies lub podobnych technologii, zgodnie z rozdziałami dotyczącymi cookies).

Administrator nie przetwarza danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących i naruszeń prawa (art. 10 RODO), chyba że obowiązek ich przetwarzania wynikałby z przepisów prawa lub osoba, której dane dotyczą, przekaże je z własnej inicjatywy – przy czym w takim przypadku Administrator ogranicza przetwarzanie do niezbędnego zakresu i celu.

5. Cele przetwarzania i podstawy prawne

Administrator przetwarza dane osobowe wyłącznie w zakresie niezbędnym do realizacji poniższych celów, zgodnie z zasadą minimalizacji danych oraz adekwatności.

5.1. Cele przetwarzania i podstawy prawne

5.2. Uzasadniony interes i prawo sprzeciwu

W przypadku, gdy przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes Administratora obejmuje w szczególności: zapewnienie komunikacji i obsługi zapytań, utrzymanie relacji B2B i bieżącą komunikację z osobami kontaktowymi, zapewnienie bezpieczeństwa i ciągłości działania Serwisu, zapobieganie nadużyciom, a także ochronę przed roszczeniami oraz dochodzenie lub obronę roszczeń. Administrator dokonuje oceny, czy interesy te nie są nadrzędne wobec interesów lub podstawowych praw i wolności osoby, której dane dotyczą.

Osobie, której dane dotyczą, przysługuje prawo wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO – na zasadach opisanych w rozdziale 9.

5.3. Zautomatyzowane podejmowanie decyzji i profilowanie

Administrator nie stosuje zautomatyzowanego podejmowania decyzji, w tym profilowania, które wywoływałoby wobec osób, których dane dotyczą, skutki prawne lub w podobny sposób istotnie na nie wpływało (art. 22 RODO).

5.4. Cookies i podobne technologie – relacja podstaw prawnych

Niezależnie od podstaw przetwarzania danych osobowych wskazanych powyżej, stosowanie cookies i podobnych technologii może wymagać spełnienia odrębnych warunków (w tym uzyskania zgody na zapis/odczyt informacji w urządzeniu końcowym) zgodnie z przepisami dotyczącymi prywatności w komunikacji elektronicznej (ePrivacy). Zasady te, w tym kategorie cookies oraz sposób zarządzania ustawieniami cookies, zostały opisane w rozdziałach 10–13.

6. Odbiorcy danych

Dane osobowe mogą być ujawniane wyłącznie w zakresie niezbędnym do realizacji celów wskazanych w Polityce oraz z zachowaniem zasady minimalizacji danych, ograniczenia celu i poufności.

W zależności od okoliczności dane mogą być przekazywane następującym kategoriom odbiorców:

• dostawcom usług IT i utrzymania Serwisu, w szczególności w zakresie hostingu, administracji, wsparcia technicznego, usług poczty elektronicznej, usług bezpieczeństwa oraz utrzymania infrastruktury,
• dostawcom oprogramowania wykorzystywanego do prowadzenia rozliczeń, dokumentacji i komunikacji (np. systemy fakturowe, narzędzia do obsługi korespondencji),
• podmiotom świadczącym usługi doradcze, prawne, księgowe lub podatkowe na rzecz Administratora – wyłącznie, jeżeli jest to niezbędne w danej sprawie oraz w zakresie wynikającym z celu,
• uprawnionym organom publicznym (np. organom podatkowym, organom ścigania, sądom) – wyłącznie, gdy obowiązek udostępnienia danych wynika z przepisów prawa lub z wiążącego, skutecznego żądania organu.

Odbiorcy danych mogą występować – w zależności od relacji prawnej i zakresu usług – jako:

• podmioty przetwarzające w imieniu Administratora (art. 28 RODO) – w szczególności dostawcy usług IT/hostingu, wsparcia technicznego, narzędzi utrzymaniowych i bezpieczeństwa, jeżeli przetwarzają dane na udokumentowane polecenie Administratora, albo
• odrębni administratorzy – jeżeli samodzielnie określają cele i sposoby przetwarzania danych (np. organy publiczne w ramach wykonywania ustawowych zadań lub inne podmioty w zakresie, w jakim działają we własnym imieniu).

Administrator zawiera wymagane prawem umowy powierzenia przetwarzania danych z podmiotami przetwarzającymi oraz weryfikuje – w zakresie adekwatnym do ryzyka – stosowanie przez nich odpowiednich środków ochrony danych.

Jeżeli w Serwisie wykorzystywane są rozwiązania podmiotów trzecich (w tym mechanizmy ochrony formularzy przed nadużyciami), podmioty te mogą otrzymywać dane techniczne i identyfikatory online w zakresie wynikającym z działania danego rozwiązania – zgodnie z rozdziałem 12.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

W związku z korzystaniem przez Administratora z usług dostawców technologicznych (np. infrastruktura chmurowa, hosting, poczta elektroniczna, narzędzia bezpieczeństwa, wsparcie techniczne) może dojść do przekazywania danych osobowych poza Europejski Obszar Gospodarczy (EOG) lub do umożliwienia dostępu do danych z państw trzecich (np. w ramach zdalnego wsparcia, utrzymania lub administrowania usługą).

W takich przypadkach Administrator zapewnia zgodność transferu z przepisami RODO (art. 44–49), stosując odpowiedni mechanizm legalizujący transfer, w szczególności:

1. decyzję stwierdzającą odpowiedni stopień ochrony wydaną przez Komisję Europejską (art. 45 RODO) – jeżeli ma zastosowanie do danego transferu. W odniesieniu do transferów do USA podstawą może być decyzja adekwatności dotycząca EU–U.S. Data Privacy Framework (DPF), wyłącznie w zakresie, w jakim odbiorca danych w USA uczestniczy w DPF i transfer spełnia warunki decyzji adekwatności.
2. standardowe klauzule umowne (SCC) przyjęte przez Komisję Europejską (art. 46 RODO) – w przypadku, gdy transfer nie może zostać oparty na decyzji adekwatności lub gdy decyzja adekwatności nie ma zastosowania do danego odbiorcy/transferu. W takim przypadku Administrator – stosownie do okoliczności – dokonuje oceny ryzyka transferu (TIA) oraz w razie potrzeby wdraża dodatkowe środki techniczne i organizacyjne mające zapewnić zasadniczo równoważny poziom ochrony danych.

Administrator uwzględnia, że konfiguracja usług dostawców może ulegać zmianom (np. lokalizacja centrów danych, podwykonawcy/subprocesorzy, model wsparcia technicznego), a transfer może mieć postać zarówno fizycznego przekazania danych, jak i zdalnego dostępu z państwa trzeciego. Administrator dąży do stosowania zasady minimalizacji danych oraz wyboru konfiguracji usług ograniczających zakres i ryzyko transferów.

Informacje dotyczące stosowanych mechanizmów przekazywania danych poza EOG (w tym – w uzasadnionych przypadkach – kopia odpowiednich zabezpieczeń, np. SCC, z zastrzeżeniem ograniczeń wynikających z tajemnicy handlowej lub bezpieczeństwa) można uzyskać, kontaktując się z Administratorem w sposób wskazany w rozdziale 2.

8. Okres przechowywania danych

Administrator przechowuje dane osobowe przez okres nie dłuższy niż jest to niezbędne do realizacji celów przetwarzania, z uwzględnieniem obowiązków prawnych, wymogów dokumentacyjnych oraz okresów przedawnienia roszczeń. Okresy przechowywania mogą różnić się w zależności od kategorii danych, charakteru relacji z Administratorem oraz przepisów szczególnych.

Co do zasady dane są przechowywane:

• w celu kontaktu i przygotowania oferty – przez czas prowadzenia korespondencji i ustaleń, a następnie nie dłużej niż 3 lata od ostatniego kontaktu, o ile nie dojdzie do zawarcia umowy,
• w celu wykonania umowy – przez czas jej trwania, a po zakończeniu przez okres niezbędny do rozliczeń oraz do upływu okresów przedawnienia roszczeń związanych z umową,
• w celu realizacji obowiązków rachunkowych i podatkowych – przez okresy wynikające z przepisów prawa (co do zasady 5 lat, liczone zgodnie z właściwymi regulacjami),
• w celu ustalenia, dochodzenia lub obrony roszczeń – do czasu upływu terminów przedawnienia roszczeń, przy czym okres ten może być odpowiednio wydłużony w razie wszczęcia postępowania lub podjęcia innych czynności przerywających lub zawieszających bieg przedawnienia,
• w odniesieniu do danych technicznych (np. logi serwera, logi bezpieczeństwa) – przez okres niezbędny do zapewnienia bezpieczeństwa i prawidłowego działania Serwisu, w tym wykrywania i analizy incydentów oraz przeciwdziałania nadużyciom; okres ten jest ustalany w oparciu o kryteria takie jak rodzaj zdarzeń, potrzeby diagnostyczne, wymogi bezpieczeństwa oraz ryzyko nadużyć, a po jego upływie dane są usuwane lub anonimizowane, o ile dalsze przechowywanie nie jest konieczne.

Administrator stosuje okresowy przegląd zasad retencji oraz – w miarę możliwości technicznych – usuwa lub anonimizuje dane po upływie właściwych okresów przechowywania.

Informacje dotyczące cookies oraz czasu ich przechowywania – w zakresie, w jakim ma to zastosowanie – zostały wskazane w rozdziałach dotyczących cookies.

9. Prawa osób, których dane dotyczą

Osobie, której dane dotyczą, przysługują prawa wynikające z RODO (art. 12–22), w szczególności:

• prawo dostępu do danych (w tym uzyskania kopii danych),
• prawo sprostowania danych,
• prawo usunięcia danych (w przypadkach przewidzianych prawem),
• prawo ograniczenia przetwarzania,
• prawo przenoszenia danych (gdy podstawą przetwarzania jest zgoda lub umowa oraz przetwarzanie odbywa się w sposób zautomatyzowany),
• prawo sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO,
• prawo cofnięcia zgody w dowolnym momencie (jeżeli przetwarzanie odbywa się na podstawie zgody), bez wpływu na zgodność z prawem przetwarzania przed cofnięciem,
• prawo wniesienia skargi do organu nadzorczego, tj. Prezesa Urzędu Ochrony Danych Osobowych.

W celu realizacji praw należy skontaktować się z Administratorem w sposób wskazany w rozdziale 2. Administrator udziela odpowiedzi na żądanie bez zbędnej zwłoki, co do zasady w terminie 1 miesiąca od jego otrzymania; termin ten może zostać przedłużony o kolejne 2 miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań, o czym Administrator poinformuje osobę, której dane dotyczą.

Realizacja praw jest co do zasady bezpłatna, jednak w przypadkach przewidzianych w RODO Administrator może pobrać rozsądną opłatę lub odmówić podjęcia działań w związku z żądaniem, jeżeli żądania są oczywiście nieuzasadnione lub nadmierne (w szczególności ze względu na swój ustawiczny charakter).

Administrator może zwrócić się o dodatkowe informacje niezbędne do weryfikacji tożsamości osoby składającej żądanie, jeżeli jest to konieczne dla ochrony danych, przy czym żąda wyłącznie informacji adekwatnych do weryfikacji i w zakresie niezbędnym do bezpiecznej realizacji żądania.

10. Pliki cookies i podobne technologie

Serwis może wykorzystywać pliki cookies oraz podobne technologie (np. local storage, identyfikatory online) w celu zapewnienia prawidłowego działania Serwisu, utrzymania sesji, zapewnienia bezpieczeństwa oraz przeciwdziałania nadużyciom. Cookies mogą być ustawiane przez Serwis (cookies własne) lub przez podmioty trzecie, których rozwiązania są wykorzystywane w Serwisie (cookies zewnętrzne).

Stosowanie cookies i podobnych technologii podlega – niezależnie od RODO – również przepisom dotyczącym prywatności w komunikacji elektronicznej (ePrivacy), tj. zasadom dotyczącym zapisywania informacji w urządzeniu końcowym Użytkownika oraz uzyskiwania dostępu do informacji już tam zapisanych. Co do zasady zapisywanie i odczytywanie cookies innych niż ściśle niezbędne wymaga uprzedniej zgody Użytkownika, z zastrzeżeniem wyjątków przewidzianych prawem (w szczególności dla technologii niezbędnych do zapewnienia usługi żądanej przez Użytkownika lub zapewnienia bezpieczeństwa).

Na dzień obowiązywania niniejszej wersji Polityki Serwis nie udostępnia mechanizmu zarządzania zgodami cookies (CMP/opt-out) w formie banera/panelu preferencji dostępnego z poziomu Serwisu. W związku z tym Użytkownik może zarządzać cookies przede wszystkim poprzez ustawienia przeglądarki oraz urządzenia końcowego – zgodnie z rozdziałem 11.

Informacje dotyczące sposobu zarządzania cookies przez Użytkownika znajdują się w rozdziale 11, a informacje dotyczące narzędzi podmiotów trzecich oraz listy cookies – w rozdziale 12. Jeżeli Administrator wdroży w przyszłości narzędzia analityczne lub marketingowe (lub inne rozwiązania wymagające sygnalizacji zgód), Administrator udostępni mechanizm zarządzania zgodami w Serwisie oraz zaktualizuje Politykę, opisując kategorie cookies, cele ich stosowania oraz sposób zmiany/wycofania zgód.

11. Zarządzanie cookies (ustawienia przeglądarki)

Użytkownik może zarządzać plikami cookies oraz podobnymi technologiami przede wszystkim poprzez ustawienia swojej przeglądarki internetowej oraz – w zależności od urządzenia – poprzez ustawienia prywatności systemu operacyjnego. W szczególności Użytkownik może:

• zablokować zapisywanie cookies (w całości lub dla wybranych domen),
• usunąć zapisane cookies,
• ograniczyć cookies podmiotów trzecich (third-party),
• skonfigurować przeglądarkę tak, aby informowała o zapisywaniu cookies lub umożliwiała podejmowanie decyzji dla wybranych technologii.

Sposób zmiany ustawień zależy od używanej przeglądarki i urządzenia. Szczegółowe informacje znajdują się w sekcji pomocy/ustawień danej przeglądarki (np. „Prywatność”, „Cookies”, „Dane witryn”).

Na dzień obowiązywania niniejszej wersji Polityki Serwis nie udostępnia z poziomu Serwisu dedykowanego panelu „Ustawienia cookies” (CMP/opt-out). W przypadku wdrożenia takiego mechanizmu Administrator udostępni w Serwisie stały odnośnik „Ustawienia cookies”, umożliwiający zmianę wyborów i wycofanie zgody w dowolnym momencie, a zasady działania mechanizmu zostaną opisane w zaktualizowanej wersji Polityki.

Ograniczenie lub zablokowanie cookies może wpłynąć na działanie niektórych funkcjonalności Serwisu, w szczególności tych związanych z bezpieczeństwem lub ochroną formularzy przed nadużyciami (np. mechanizmy anty-bot).

12. Narzędzia podmiotów trzecich i lista cookies

Serwis wykorzystuje Google reCAPTCHA w celu ochrony formularzy przed nadużyciami (np. spam, automatyczne wysyłanie, działania zautomatyzowane) oraz w celu zapewnienia bezpieczeństwa komunikacji realizowanej poprzez formularze.

12.1. Zakres danych i charakter przetwarzania

W związku z działaniem reCAPTCHA mogą być przetwarzane dane techniczne i identyfikatory online, w szczególności:

• adres IP oraz informacje o połączeniu sieciowym,
• identyfikatory online (w tym identyfikatory/cookies powiązane z usługą),
• parametry przeglądarki i urządzenia (np. typ urządzenia, system operacyjny, język, ustawienia przeglądarki),
• informacje i sygnały techniczne niezbędne do oceny ryzyka nadużycia oraz zapewnienia bezpieczeństwa formularzy.

Zakres danych może ulegać zmianom w zależności od konfiguracji Serwisu oraz zmian po stronie dostawcy usługi.

12.2. Podstawa prawna i prawo sprzeciwu

Podstawą przetwarzania danych w związku z wykorzystaniem reCAPTCHA jest co do zasady art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na zapewnieniu bezpieczeństwa Serwisu, przeciwdziałaniu nadużyciom oraz ochronie formularzy). Osobie, której dane dotyczą, przysługuje prawo wniesienia sprzeciwu na zasadach opisanych w rozdziale 9, przy czym wniesienie sprzeciwu może skutkować brakiem możliwości skorzystania z formularza, jeżeli mechanizm ochrony anty-bot jest niezbędny do bezpiecznego działania tej funkcjonalności.

12.3. Role stron (Google)

W zależności od aktualnych warunków usługi oraz sposobu integracji reCAPTCHA, dostawca (Google) może występować w roli podmiotu przetwarzającego albo odrębnego administratora w zakresie określonym przez dostawcę. Administrator opiera się na aktualnej dokumentacji i warunkach dostawcy oraz – w zakresie wymaganym – zapewnia odpowiednią dokumentację. Z uwagi na możliwe zmiany po stronie dostawcy (w tym zmiany ról i modeli przetwarzania), postanowienia niniejszego rozdziału mogą wymagać aktualizacji w kolejnych wersjach Polityki.

12.4. Cookies/identyfikatory związane z reCAPTCHA – relacja do przepisów ePrivacy

Niezależnie od podstawy przetwarzania danych osobowych na gruncie RODO, reCAPTCHA może wiązać się z zapisem lub odczytem cookies/identyfikatorów w urządzeniu końcowym Użytkownika. Stosowanie takich technologii podlega zasadom opisanym w rozdziałach 10–11 (w tym zasadzie, że technologie inne niż ściśle niezbędne co do zasady wymagają uprzedniej zgody). Na dzień obowiązywania niniejszej wersji Polityki Serwis nie udostępnia CMP/opt-out (rozdział 10), a Użytkownik może zarządzać cookies przede wszystkim poprzez ustawienia przeglądarki (rozdział 11).

12.5. Lista cookies

W związku z działaniem Google reCAPTCHA w Serwisie może być ustawiane cookie _GRECAPTCHA (Google). Lista i parametry cookies mogą ulegać zmianom w zależności od konfiguracji Serwisu oraz zmian po stronie dostawcy.

12.6. Przekazywanie danych poza EOG

W związku z wykorzystaniem usług podmiotów trzecich (w tym Google reCAPTCHA) może dochodzić do przekazywania danych poza EOG lub do dostępu do danych z państw trzecich. Zasady i mechanizmy legalizujące takie transfery zostały opisane w rozdziale 7.

13. Google Consent Mode v2

Na dzień obowiązywania niniejszej wersji Polityki w Serwisie nie jest wdrożony Google Consent Mode v2 ani inne mechanizmy sygnalizacji zgód dla tagów Google.

W przypadku wdrożenia w przyszłości narzędzi Google wymagających zarządzania zgodami (w tym mechanizmów typu Consent Mode), Administrator zaktualizuje Politykę, w szczególności w zakresie:

• zakresu wykorzystywanych tagów i celów ich działania,
• zasad sygnalizacji i respektowania wyborów Użytkownika (w tym kategorii zgód, jeżeli będą miały zastosowanie),
• sposobu zarządzania zgodami w Serwisie oraz możliwości zmiany ustawień i wycofania zgody w dowolnym momencie.

14. Zabezpieczenia

Administrator stosuje odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych oraz zapewnienia ich poufności, integralności i dostępności, adekwatnie do charakteru, zakresu, kontekstu i celów przetwarzania oraz ryzyka naruszenia praw lub wolności osób fizycznych (art. 32 RODO).

W szczególności Administrator wdraża i utrzymuje środki obejmujące m.in.:

• kontrolę dostępu do danych (w tym ograniczenie dostępu wyłącznie do osób upoważnionych oraz nadawanie uprawnień zgodnie z zasadą „need-to-know”),
• zabezpieczenia systemów i usług wykorzystywanych do przetwarzania danych, w tym bieżące aktualizacje oraz działania ograniczające podatności,
• kopie zapasowe oraz procedury umożliwiające przywrócenie dostępności danych w razie awarii lub incydentu,
• środki ochrony komunikacji i transmisji danych (w tym stosuje rozwiązania zapewniające bezpieczne połączenia),
• monitorowanie i reagowanie na zdarzenia mogące wpływać na bezpieczeństwo danych, w tym obsługę incydentów oraz – jeżeli ma to zastosowanie – procedury dotyczące zgłaszania naruszeń ochrony danych,
• wymagania wobec podmiotów przetwarzających, w tym zawieranie umów powierzenia przetwarzania oraz weryfikację, w zakresie adekwatnym do ryzyka, stosowania przez nich odpowiednich zabezpieczeń.

Administrator dokonuje okresowej weryfikacji adekwatności stosowanych środków oraz dostosowuje je do zmian ryzyka, technologii i sposobu przetwarzania danych.

15. Zmiany dokumentu

Administrator może aktualizować niniejszą Politykę w szczególności w przypadku zmian funkcjonalności Serwisu, wdrożenia nowych narzędzi lub dostawców, zmian sposobu przetwarzania danych, a także zmian przepisów prawa lub wytycznych. Aktualna wersja Polityki jest publikowana w Serwisie wraz z oznaczeniem wersji i daty obowiązywania.

Wersja: 2.0
Data obowiązywania: 13.02.2026 r.