POLITYKA PRYWATNOŚCI

DND Solutions / WebsiteGarage.de

Informacje o ochronie danych dla odwiedzających stronę, zainteresowanych, klientów biznesowych i osób kontaktowych

1. Zakres obowiązywania

Niniejsza polityka prywatności informuje o tym, w jaki sposób dane osobowe są przetwarzane w związku z WebsiteGarage.de. Dotyczy ona w szczególności odwiedzających stronę internetową i Newsroom, osób zainteresowanych, użytkowników funkcji kontaktowych, ofertowych, projektowych i funkcji konta, a także klientów, ich przedstawicieli, pracowników i osób kontaktowych.

Opisuje ona operacje przetwarzania, w odniesieniu do których DND Solutions jest administratorem w rozumieniu RODO. W zakresie, w jakim DND Solutions przetwarza dane osobowe wyłącznie na zlecenie klienta, do tego przetwarzania stosuje się odpowiednią umowę powierzenia przetwarzania (AVV), włączone środki techniczne i organizacyjne (TOM) oraz obowiązujący dla danego zlecenia Subprocessor Annex.

2. Administrator

Administratorem w rozumieniu ogólnego rozporządzenia o ochronie danych (RODO) jest:

Dagmara Brzezinska

działająca pod nazwą handlową DND Solutions

Fuchsbreite 39

37181 Hardegsen

Niemcy

E-mail: [email protected]

WebsiteGarage.de jest serwisem internetowym prowadzonym przez DND Solutions.

3. Zasady i podstawy prawne

Przetwarzamy dane osobowe wyłącznie w określonych celach i tylko wtedy, gdy istnieje ku temu podstawa prawna. W zależności od operacji przetwarzania zastosowanie mogą mieć w szczególności następujące podstawy prawne:

• art. 6 ust. 1 lit. a RODO - w przypadku dobrowolnej zgody.
• art. 6 ust. 1 lit. b RODO - w odniesieniu do działań przed zawarciem umowy lub wykonania umowy.
• art. 6 ust. 1 lit. c RODO - w celu wypełnienia obowiązków prawnych.
• art. 6 ust. 1 lit. f RODO - w celu realizacji prawnie uzasadnionych interesów, o ile nie przeważają nad nimi interesy lub podstawowe prawa osoby, której dane dotyczą.

W zakresie, w jakim informacje są zapisywane na urządzeniu końcowym lub odczytywane z urządzenia końcowego, dopuszczalność takiego działania podlega dodatkowo § 25 TDDDG. Konkretna podstawa prawna jest wskazywana przy poszczególnych operacjach przetwarzania. Art. 6 ust. 1 lit. b RODO stosuje się wyłącznie w zakresie, w jakim osoba, której dane dotyczą, sama jest stroną umowy lub działania przedumowne są podejmowane na jej żądanie. W przypadku pracowników, przedstawicieli i innych osób kontaktowych klienta biznesowego przetwarzanie na potrzeby nawiązania, realizacji i organizacji relacji biznesowej opieramy co do zasady na art. 6 ust. 1 lit. f RODO, o ile nie ma zastosowania bardziej szczegółowa podstawa prawna. Jeżeli przetwarzanie opiera się na art. 6 ust. 1 lit. f RODO, nasze prawnie uzasadnione interesy obejmują, w zależności od danego przypadku, w szczególności bezpieczne i stabilne udostępnianie naszych systemów, ochronę kont i infrastruktury, obsługę i dokumentowanie komunikacji biznesowej, zapobieganie nadużyciom i oszustwom, zapewnienie możliwości wykazania określonych okoliczności i obronę prawną, a także prawidłową i efektywną organizację działalności. Interes mający znaczenie dla danej operacji wynika z opisanego przy niej celu.

4. Korzystanie ze strony internetowej, Newsroom i techniczne udostępnianie

Podczas wywoływania WebsiteGarage.de przetwarzane są technicznie niezbędne dane dotyczące połączenia i dostępu, w szczególności adres IP, data i godzina, wywołany adres URL lub zasób, referrer - o ile jest przekazywany, informacje o przeglądarce i systemie operacyjnym, nagłówki HTTP, dane połączenia oraz dane protokołów istotne dla bezpieczeństwa.

Przetwarzanie służy technicznemu udostępnianiu serwisu, zapewnieniu stabilności, analizie błędów, bezpieczeństwu IT oraz ochronie przed nadużyciami i zautomatyzowanymi dostępami. Podstawą prawną jest art. 6 ust. 1 lit. f RODO.

Dostawcą hostingu jest netcup GmbH. Produkcyjny serwer znajduje się w Wiedniu w Austrii. Logi serwera są standardowo przechowywane przez 14 dni; dane protokołów istotne dla bezpieczeństwa mogą być przechowywane do 90 dni. W przypadku konkretnego incydentu bezpieczeństwa może być konieczne dłuższe przechowywanie.

5. Kopie zapasowe i przechowywanie backupów w Hetzner

W celu zapewnienia dostępności i możliwości odtworzenia systemów tworzymy kopie zapasowe i przechowujemy je w infrastrukturze Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Niemcy. Magazyn backupów wykorzystywany dla WebsiteGarage.de znajduje się w Niemczech.

W zależności od zakresu kopii zapasowej mogą się w niej znajdować pliki strony i aplikacji, kopie baz danych, dane konfiguracyjne, a także dane kont klientów, zamówień, umów i dane techniczne. Podstawą prawną jest art. 6 ust. 1 lit. f RODO. Backupy są co do zasady przechowywane rotacyjnie przez 30 dni, a następnie nadpisywane lub usuwane, chyba że konkretny incydent, działanie odtworzeniowe lub obowiązek prawny wymaga dłuższego przechowywania.

6. Cloudflare

WebsiteGarage.de korzysta z Cloudflare jako pośredniej infrastruktury sieciowej i bezpieczeństwa. Dostawcą jest Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA.

Przetwarzane mogą być w szczególności adres IP, żądany adres URL lub zasób, data i godzina, nagłówki HTTP, informacje o przeglądarce i urządzeniu, referrer, informacje o połączeniu i TLS oraz dane dotyczące bezpieczeństwa i zdarzeń. Celem jest bezpieczne i wydajne dostarczanie strony internetowej, a także ochrona przed atakami, przeciążeniem, spamem, botami i innymi nadużyciami oraz ich analiza. Podstawą prawną jest art. 6 ust. 1 lit. f RODO.

Jeżeli poszczególne funkcje bezpieczeństwa zapisują informacje na urządzeniu końcowym lub je z niego odczytują, odbywa się to bez zgody wyłącznie wtedy, gdy konkretna funkcja spełnia warunki § 25 ust. 2 TDDDG.

Cloudflare prowadzi globalnie rozproszoną infrastrukturę. Przekazywanie danych do Cloudflare, Inc. w USA, o ile spełnione są warunki decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony w odniesieniu do EU-U.S. Data Privacy Framework, opiera się na art. 45 RODO. Jeżeli nie ma zastosowania odpowiednia decyzja stwierdzająca odpowiedni stopień ochrony, Cloudflare Data Processing Addendum przewiduje w szczególności standardowe klauzule umowne UE oraz dodatkowe środki ochronne.

7. Forge12 Security

W celu ochrony WebsiteGarage.de, kont klientów i infrastruktury technicznej korzystamy z Forge12 Security. Przetwarzanie służy w szczególności wykrywaniu i odpieraniu ataków, ograniczaniu nadużywających dostępów oraz odtwarzaniu przebiegu zdarzeń istotnych dla bezpieczeństwa. Podstawą prawną jest art. 6 ust. 1 lit. f RODO. Naszym prawnie uzasadnionym interesem jest bezpieczne, stabilne i dostępne działanie naszych systemów oraz ochrona kont i danych osobowych.

Adresy IP są przechowywane w lokalnych tabelach bezpieczeństwa Forge12 wyłącznie jako nieodwracalne wartości hash. Surowe adresy IP nie są tam przechowywane.

W protokole bezpieczeństwa, oprócz hasha IP, mogą być przetwarzane w szczególności identyfikator użytkownika WordPress w przypadku zalogowanych użytkowników, typ zdarzenia, poziom istotności, opis oraz data i godzina. Dane te są automatycznie usuwane po 90 dniach przez zadania uruchamiane według harmonogramu.

W przypadku blokad IP przetwarzane są w szczególności hash IP, powód blokady, ewentualnie kod kraju oraz czas ustanowienia i wygaśnięcia blokady. Blokady czasowe są automatycznie usuwane po upływie terminu; blokady ustawione ręcznie pozostają do czasu ich cofnięcia.

Funkcja wyświetlania bieżących dostępów przetwarza w szczególności hash IP, wywołany adres, metodę HTTP, referrer, User-Agent, ewentualnie identyfikator użytkownika WordPress oraz kraj i, jeśli funkcja została aktywowana, miasto. Dane te są automatycznie usuwane po 24 godzinach.

W ramach ograniczania liczby żądań przetwarzane są hash IP, licznik żądań i odpowiednie okno czasowe. Dane są odrzucane po zakończeniu danego okna czasowego i nie są przechowywane dłużej.

Kontrole plików i baz danych zapisują w szczególności techniczne wyniki, takie jak ścieżki plików, sumy kontrolne i ustalenia. Co do zasady dotyczą one plików i treści systemu. Jeżeli wynik kontroli bazy danych cytuje dany rekord i zawiera on dane osobowe, takie dane mogą wyjątkowo stać się częścią wyniku. Wyniki są usuwane, gdy ponowna kontrola już ich nie stwierdza lub po poprawieniu odpowiedniego pliku albo rekordu.

Zewnętrzna usługa SilentShield nie jest w obecnej konfiguracji aktywna. W związku z tym nie dochodzi obecnie do przekazywania danych osobowych do Forge12 ani do wykorzystywanego w tym celu podmiotu podprzetwarzającego, które byłoby wywołane przez SilentShield. Przed ewentualną późniejszą aktywacją ponownie sprawdzimy rodzaje danych, cele, podstawy prawne, odbiorców, ewentualne międzynarodowe transfery danych oraz informacje wymagane na podstawie RODO i TDDDG; w razie potrzeby niniejsza polityka prywatności zostanie odpowiednio zaktualizowana przed aktywacją.

8. Pliki cookie, lokalne technologie pamięci i zarządzanie zgodami

WebsiteGarage.de rozróżnia technicznie niezbędne operacje zapisu lub dostępu od funkcji opcjonalnych. Jeżeli wymagana jest zgoda, dana funkcja jest aktywowana dopiero po uzyskaniu skutecznej zgody. Zgody można w każdej chwili zmienić lub cofnąć ze skutkiem na przyszłość.

Do zarządzania zgodami i ich dokumentowania używamy własnego, hostowanego przez nas systemu Consent Hub. Consent Hub zapisuje w przeglądarce informacje potrzebne do zapamiętania i zastosowania wyboru użytkownika, w szczególności aktualną decyzję oraz pseudonimowy identyfikator służący do technicznego powiązania zdarzeń dotyczących zgody. Jeżeli dokumentacja zgody nie może zostać od razu przekazana do Consent Hub, może być tymczasowo przechowywana lokalnie w przeglądarce do czasu skutecznego wysłania.

W ramach dokumentacji zgód po stronie serwera zapisujemy w szczególności pseudonimowy identyfikator zgody, podjętą decyzję i czas jej podjęcia, język, obowiązującą wersję konfiguracji i mechanizmu zgód, zakres wybranych usług oraz informacje pozwalające wykazać, jaki interfejs zgody i jakie informacje zostały użytkownikowi pokazane. Na potrzeby tej dokumentacji nie zapisujemy pełnych adresów IP, ciągów User-Agent ani danych służących do tworzenia fingerprintu urządzenia. Przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. c RODO, w zakresie, w jakim służy wypełnieniu obowiązków dowodowych i rozliczalności, oraz uzupełniająco na podstawie art. 6 ust. 1 lit. f RODO. Naszym prawnie uzasadnionym interesem jest rzetelne dokumentowanie zgód, odmów i cofnięć oraz prawidłowe realizowanie dokonanych wyborów.

Decyzja dotycząca zgód jest standardowo zapamiętywana w przeglądarce przez 120 dni. Pseudonimowy identyfikator zgody może pozostać w lokalnej pamięci przeglądarki do czasu usunięcia przez użytkownika danych witryny zapisanych dla WebsiteGarage.de. Dokumentacja zgód po stronie serwera nie jest obecnie automatycznie usuwana po upływie stałego okresu; wdrożenie określonej polityki retencji i usuwania jest planowane.

Google Analytics 4 działa w trybie Basic Consent Mode i jest technicznie blokowany do czasu uzyskania skutecznej zgody. Przed wyrażeniem zgody tag Google Analytics nie jest ładowany i żadne dane pomiarowe nie są wysyłane do Google.

9. Google Analytics 4

WebsiteGarage.de używa Google Analytics 4 wyłącznie po uprzednim uzyskaniu zgody, do dobrowolnej analizy zasięgu i sposobu korzystania. Dostawcą dla użytkowników europejskich jest w szczególności Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia; dalsze przetwarzanie może obejmować spółki grupy Google, w szczególności Google LLC w USA.

Po wyrażeniu zgody mogą być przetwarzane w szczególności wyświetlenia stron, adres URL i tytuł strony, interakcje i zdarzenia, czas i długość korzystania, referrer, informacje o przeglądarce i urządzeniu, język oraz przybliżone informacje o lokalizacji. Celem jest pomiar zasięgu oraz ulepszanie struktury, treści i sposobu prowadzenia użytkownika. Podstawami prawnymi są § 25 ust. 1 TDDDG oraz art. 6 ust. 1 lit. a RODO.

WebsiteGarage.de stosuje Basic Consent Mode. Przed wyrażeniem zgody tagi Google Analytics nie są ładowane. Funkcje reklamowe, Google Signals, User-ID oraz user-provided data nie są wykorzystywane w obecnej konfiguracji. Okres przechowywania danych na poziomie użytkownika jest ustawiony na 14 miesięcy, a danych zdarzeń na 2 miesiące. Zgodnie z informacjami Google ustawienia te dotyczą odpowiednio danych na poziomie użytkownika i zdarzeń; standardowe raporty zagregowane nie są nimi objęte.

Jeżeli dane są przetwarzane poza EOG, zastosowanie mają art. 44 i nast. RODO. Google LLC deklaruje uczestnictwo w EU-U.S. Data Privacy Framework; o ile mechanizm ten ma zastosowanie, przekazywanie danych może być na nim oparte, w przeciwnym razie stosowane są właściwe umowne mechanizmy transferu.

10. Kontakt, e-mail i komunikacja biznesowa

Jeżeli kontaktujesz się z nami za pośrednictwem formularza kontaktowego, e-maila lub innego oferowanego kanału komunikacji, przetwarzamy przekazane dane w celu obsługi i udzielenia odpowiedzi na zapytanie oraz, w stosownych przypadkach, w celu przygotowania lub realizacji relacji umownej.

Przetwarzane mogą być w szczególności imię i nazwisko, adres e-mail, powiązanie z przedsiębiorstwem lub organizacją, temat, treść wiadomości, załączniki oraz techniczne informacje dotyczące komunikacji i dostarczenia. Treści z formularza kontaktowego są przesyłane do naszego systemu poczty elektronicznej i nie są dodatkowo przechowywane jako wiadomość formularza w bazie danych WordPress.

Podstawą prawną jest art. 6 ust. 1 lit. b RODO w zakresie, w jakim osoba, której dane dotyczą, sama jest stroną umowy lub działania przedumowne są podejmowane na jej żądanie. W przypadku pracowników, przedstawicieli i innych osób kontaktowych klienta biznesowego oraz w przypadku innej komunikacji biznesowej przetwarzanie odbywa się co do zasady na podstawie art. 6 ust. 1 lit. f RODO. Zapytania bez związku z umową są co do zasady usuwane sześć miesięcy po zakończeniu komunikacji, chyba że do celów dowodowych lub obrony prawnej niezbędne jest dłuższe przechowywanie.

11. Komunikacja e-mail z wykorzystaniem Google Workspace

Do komunikacji biznesowej za pośrednictwem poczty elektronicznej używamy Google Workspace z Gmail. Stroną umowy dotyczącej Google Workspace w przypadku adresu rozliczeniowego w Niemczech jest Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irlandia.

Przetwarzane mogą być w szczególności adresy nadawcy i odbiorcy, temat, treść wiadomości, załączniki oraz techniczne dane dotyczące dostarczenia i komunikacji. Podstawą prawną jest art. 6 ust. 1 lit. b RODO w zakresie, w jakim osoba, której dane dotyczą, sama jest stroną umowy lub działania przedumowne są podejmowane na jej żądanie. W przypadku pracowników, przedstawicieli i innych osób kontaktowych klienta biznesowego oraz w przypadku innej komunikacji biznesowej przetwarzanie odbywa się co do zasady na podstawie art. 6 ust. 1 lit. f RODO. Art. 6 ust. 1 lit. c RODO ma zastosowanie w zakresie, w jakim istnieją ustawowe obowiązki przechowywania lub obowiązki dowodowe.

Dla podstawowych danych Gmail w stanie spoczynku objętych zasadami regionów danych Google Workspace ustawiono region „Europa”. Ustawienie to nie oznacza, że wszystkie rodzaje danych i wszystkie operacje przetwarzania odbywają się wyłącznie na terenie UE. Do ewentualnego przetwarzania w państwach trzecich stosuje się właściwe postanowienia Google Data Processing Addendum oraz art. 44 i nast. RODO.

12. Czat na żywo z Crisp

WebsiteGarage.de korzysta z czatu na żywo Crisp w trybie Total Privacy Mode. Sesja czatu jest inicjowana dopiero wtedy, gdy użytkownik sam otworzy okno czatu i aktywnie rozpocznie rozmowę.

Dostawcą jest Crisp IM SAS, 2 Boulevard de Launay, 44100 Nantes, Francja. W zależności od sposobu korzystania mogą być przetwarzane w szczególności adres IP, informacje o przeglądarce i urządzeniu, czas, odwiedzana strona, treść czatu, imię i nazwisko oraz adres e-mail - o ile zostały podane, przekazane pliki oraz techniczne dane komunikacyjne.

Celem jest udostępnienie aktywnie używanego czatu, obsługa zapytań, komunikacja, ochrona przed nadużyciami i spamem oraz stabilność techniczna. Podstawą prawną jest art. 6 ust. 1 lit. b RODO w zakresie, w jakim osoba, której dane dotyczą, sama jest stroną umowy lub działania przedumowne są podejmowane na jej żądanie. W przypadku pracowników, przedstawicieli i innych osób kontaktowych klienta biznesowego oraz w przypadku innej komunikacji przetwarzanie odbywa się co do zasady na podstawie art. 6 ust. 1 lit. f RODO. Jeżeli po aktywnym otwarciu czatu na urządzeniu końcowym są zapisywane lub z niego odczytywane technicznie niezbędne informacje, odbywa się to w niezbędnym zakresie na podstawie § 25 ust. 2 TDDDG.

Crisp deklaruje przechowywanie podstawowych danych w UE; zgodnie z własną dokumentacją serwery relay w USA, Wielkiej Brytanii i Singapurze mogą przetwarzać techniczne logi połączeń, takie jak adres IP, czas połączenia, User-Agent i źródłowa strona internetowa. W zakresie, w jakim dochodzi w związku z tym do przekazywania danych do państwa trzeciego, stosuje się przewidziane w dokumentacji umownej Crisp standardowe klauzule umowne, o ile mają zastosowanie. Zwykłe zapytania na czacie bez związku z umową są co do zasady usuwane sześć miesięcy po zakończeniu komunikacji. Treści czatu związane z umową i powiązane informacje kontaktowe są przechowywane tylko tak długo, jak jest to niezbędne do wykonania umowy, dokumentacji, wypełnienia ustawowych obowiązków przechowywania lub dochodzenia, wykonywania albo obrony roszczeń prawnych. Pliki, załączniki i profile kontaktowe, które nie są już potrzebne, są usuwane zgodnie z tymi samymi zasadami.

13. Konto klienta, logowanie i funkcje chronione

W przypadku niektórych funkcji może być wymagane konto klienta, w szczególności w odniesieniu do zapisanych ofert lub projektów, briefingów, zamówień, dokumentów umownych i chronionych funkcji związanych z projektem.

Przetwarzane mogą być w szczególności dane identyfikacyjne i kontaktowe, adres e-mail, techniczny identyfikator konta, dane uwierzytelniające w chronionej postaci, dane logowania i sesji, dane dotyczące bezpieczeństwa i protokołów oraz przypisane do konta dane projektowe, briefingowe, zamówieniowe i umowne.

Celem jest udostępnienie i zabezpieczenie konta, uwierzytelnianie, przypisywanie zapisanych procesów, ochrona przed nieuprawnionym dostępem oraz komunikacja. Podstawą prawną jest art. 6 ust. 1 lit. b RODO w zakresie, w jakim właściciel konta sam jest stroną umowy lub działania przedumowne są podejmowane na jego żądanie. W przypadku kont pracowników, przedstawicieli lub innych osób kontaktowych klienta biznesowego przetwarzanie na potrzeby udostępnienia konta, bezpieczeństwa i przypisania procesów odbywa się co do zasady na podstawie art. 6 ust. 1 lit. f RODO. Dane konta są co do zasady przechowywane przez okres istnienia konta; dane umowne, rozliczeniowe i dowodowe wymagane ustawowo lub z przyczyn rzeczowych mogą być przechowywane dłużej.

14. Oferty, briefing projektowy, zamówienie i interakcje prawne

Przed złożeniem zamówienia i w jego trakcie przetwarzamy informacje dotyczące konfiguracji usługi, przygotowania briefingu projektowego, kwalifikacji technicznej lub przygotowania oferty. Mogą do nich należeć w szczególności dane konta i dane kontaktowe, dane przedsiębiorstwa i projektu, treści briefingu, informacje techniczne dotyczące strony internetowej lub środowiska systemowego, usługa/pakiet, odpowiedzi kwalifikacyjne oraz dane cenowe, konfiguracyjne i zamówieniowe.

W celu zapewnienia możliwości odtworzenia przebiegu prawnie istotnych procesów WebsiteGarage może dokumentować, która wersja dokumentu prawnego była właściwa dla konkretnego procesu oraz kiedy zostały złożone lub wysłane wymagane oświadczenia, akceptacje, informacje o zmianach lub sprzeciwy. Brak sprzeciwu nie jest traktowany jako zgoda ani akceptacja, jeżeli konkretny proces przewiduje jedynie przekazanie informacji z możliwością wniesienia sprzeciwu.

Celem jest przygotowanie oferty, kwalifikacja, obsługa zamówienia i umowy, zapewnienie możliwości wykazania określonych okoliczności oraz obrona prawna. Art. 6 ust. 1 lit. b RODO ma zastosowanie w zakresie, w jakim osoba, której dane dotyczą, sama jest stroną umowy lub działania przedumowne są podejmowane na jej żądanie. W przypadku pracowników, przedstawicieli lub innych osób kontaktowych klienta biznesowego przetwarzanie odbywa się w szczególności na podstawie art. 6 ust. 1 lit. f RODO w celu nawiązania, realizacji, organizacji i dokumentowania relacji biznesowej. Art. 6 ust. 1 lit. c RODO ma zastosowanie w zakresie, w jakim istnieją obowiązki ustawowe. Niezakończone projekty konfiguracji i briefingu są co do zasady usuwane lub anonimizowane 30 dni po ostatniej aktywności, o ile nie istnieje trwający proces lub inna podstawa dalszego przechowywania.

15. Informacje o ochronie danych dla klientów biznesowych, zainteresowanych i osób kontaktowych

Niniejsze informacje dotyczą osób fizycznych, których dane osobowe są przetwarzane w ramach istniejącej lub nawiązywanej relacji biznesowej z DND Solutions, w szczególności osób prowadzących jednoosobową działalność gospodarczą, członków kierownictwa, pracowników, osób uprawnionych do reprezentacji, uczestników projektu i innych osób kontaktowych.

Jeżeli dane są zbierane bezpośrednio od osoby, której dane dotyczą, informacje zgodnie z art. 13 RODO są przekazywane w momencie ich pozyskiwania. Jeżeli służbowe dane kontaktowe są otrzymywane od klienta biznesowego, innej osoby kontaktowej z tego samego przedsiębiorstwa lub z publicznie dostępnego źródła biznesowego, przetwarzane mogą być w szczególności dane identyfikacyjne, służbowe dane kontaktowe, przynależność do przedsiębiorstwa, funkcja lub stanowisko oraz informacje dotyczące komunikacji, projektu lub umowy.

W przypadku danych, które nie zostały pozyskane bezpośrednio, przekazujemy informacje wymagane na podstawie art. 14 RODO w rozsądnym terminie, najpóźniej w ciągu miesiąca od uzyskania danych. Jeżeli dane są wykorzystywane do komunikacji, informacja jest przekazywana najpóźniej przy pierwszej wiadomości; jeżeli planowane jest ujawnienie danych - najpóźniej przy pierwszym ujawnieniu, o ile nie ma zastosowania wyjątek z art. 14 ust. 5 RODO.

Art. 6 ust. 1 lit. b RODO ma zastosowanie w zakresie, w jakim osoba, której dane dotyczą, sama jest stroną umowy lub działania przedumowne są podejmowane na jej żądanie. W przypadku osób kontaktowych, pracowników lub przedstawicieli klienta biznesowego przetwarzanie odbywa się w szczególności na podstawie art. 6 ust. 1 lit. f RODO w celu prawidłowego nawiązania, realizacji, organizacji i dokumentowania relacji biznesowej. Wypełnianie obowiązków ustawowych opiera się na art. 6 ust. 1 lit. c RODO.

16. Niezbędność danych i ręczna kwalifikacja

Dane podawane w funkcjach kontaktowych, projektowych i zamówieniowych są co do zasady dobrowolne, o ile nie zostały oznaczone jako wymagane. W zależności od konkretnego procesu dane oznaczone jako wymagane mogą być wymagane ustawowo, wymagane umownie lub niezbędne do zawarcia albo wykonania umowy. Jeżeli istnieje ustawowy obowiązek podania danych, w szczególności danych istotnych podatkowo lub rozliczeniowo, jest to odpowiednio oznaczane w danym procesie. Bez wymaganych danych dana funkcja, kwalifikacja, przygotowanie oferty, zamówienie lub usługa umowna może nie być możliwa do wykonania.

Kwalifikacja techniczna nie jest obecnie rozstrzygana wyłącznie w sposób zautomatyzowany. W przypadku usług wymagających kwalifikacji w szczególności adres URL strony internetowej oraz przypisana oferta lub pakiet są przekazywane do ręcznej weryfikacji przez DND Solutions. Osoba przeprowadzająca weryfikację może zatwierdzić usługę, zatwierdzić ją z wymaganym dodatkowym zakresem, zażądać dalszych informacji albo odrzucić usługę standardową; system następnie technicznie realizuje ten wynik.

W obecnym modelu nie dochodzi do podejmowania wyłącznie zautomatyzowanej decyzji w rozumieniu art. 22 RODO, która wywoływałaby wobec osoby, której dane dotyczą, skutki prawne lub w podobnie istotny sposób na nią wpływała.

17. Weryfikacja numeru identyfikacyjnego VAT przez VIES

W przypadku transgranicznych transakcji B2B w obrębie UE podany numer identyfikacyjny VAT może być sprawdzany za pośrednictwem VIES w celu określenia wymaganego sposobu rozliczenia VAT i udokumentowania weryfikacji w sposób umożliwiający jej późniejsze odtworzenie.

Przekazywane są w szczególności numer identyfikacyjny VAT, właściwe państwo członkowskie lub prefiks kraju oraz dane niezbędne do weryfikacji. Przechowywane są w szczególności zweryfikowany numer identyfikacyjny VAT, status weryfikacji, czas, sprawdzony kraj oraz - o ile usługa je udostępnia - identyfikator zapytania lub numer referencyjny; pełna surowa odpowiedź nie jest trwale przechowywana.

Jeżeli numer jest nieważny, nie odpowiada wskazanemu krajowi lub VIES jest tymczasowo niedostępny w sposób uniemożliwiający wiarygodną weryfikację, automatyczny checkout dla danego sposobu rozliczenia podatkowego nie zostaje odblokowany, a proces jest sprawdzany ręcznie. Art. 6 ust. 1 lit. b RODO ma zastosowanie w zakresie, w jakim osoba, której dane dotyczą, sama jest stroną umowy lub działania przedumowne są podejmowane na jej żądanie; art. 6 ust. 1 lit. c RODO ma zastosowanie do obowiązków podatkowych, a art. 6 ust. 1 lit. f RODO do możliwej do wykazania weryfikacji i zapobiegania nadużyciom, o ile ma zastosowanie. Zapisane dowody weryfikacji są przechowywane razem z powiązanymi dokumentami zamówieniowymi, umownymi i podatkowymi zgodnie z okresami przechowywania właściwymi dla tych dokumentów.

18. Obsługa płatności przez Stripe

Do płatności online używamy Stripe. Przetwarzane mogą być w szczególności imię i nazwisko, służbowe dane kontaktowe i rozliczeniowe, kwota płatności, waluta, dane zamówienia i transakcji, metadane techniczne oraz - w zależności od metody płatności i integracji - dane instrumentu płatniczego.

Jeżeli przewiduje to zastosowana integracja, wrażliwe dane instrumentu płatniczego są zbierane bezpośrednio przez Stripe; DND Solutions otrzymuje w szczególności status płatności, referencje transakcji oraz informacje istotne dla rozliczenia. Celem jest obsługa płatności, zwrotów, zapobieganie oszustwom i nadużyciom, obsługa obciążeń zwrotnych oraz wypełnianie obowiązków ustawowych. Art. 6 ust. 1 lit. b RODO ma zastosowanie w zakresie, w jakim osoba, której dane dotyczą, sama jest stroną umowy; w przypadku pracowników, przedstawicieli lub innych osób kontaktowych klienta biznesowego niezbędne przypisanie i obsługa płatności odbywają się co do zasady na podstawie art. 6 ust. 1 lit. f RODO, o ile nie ma zastosowania bardziej szczegółowa podstawa prawna. Art. 6 ust. 1 lit. c RODO ma zastosowanie do ustawowych obowiązków płatniczych, księgowych lub dowodowych.

W przypadku konta Stripe DND Solutions prowadzonego w Niemczech stroną Data Processing Addendum jest, zgodnie z aktualnym Stripe DPA, Stripe Payments Europe, Limited z siedzibą w Irlandii. Stripe przetwarza dane osobowe, w zależności od konkretnej wykorzystywanej usługi, częściowo jako podmiot przetwarzający, a częściowo jako samodzielny administrator; w odniesieniu do niektórych usług, za które odpowiada Stripe, spółki Stripe mogą być ponadto włączone jako współadministratorzy. Rola właściwa w danym przypadku zależy od konkretnej usługi płatniczej i dokumentacji Stripe. Do przekazywania danych do państw trzecich stosuje się art. 44 i nast. RODO; Stripe uczestniczy w EU-U.S. Data Privacy Framework i przewiduje dodatkowo standardowe klauzule umowne oraz inne mechanizmy transferu, o ile mają zastosowanie. Informacje płatnicze, transakcyjne i rozliczeniowe otrzymane przez DND Solutions są przechowywane zgodnie z okresami umownymi, księgowymi i dowodowymi opisanymi w sekcji 21; w zakresie, w jakim Stripe działa jako samodzielny administrator, okres przechowywania po stronie Stripe wynika dodatkowo z własnych obowiązków prawnych i regulacyjnych Stripe.

19. Księgowość, rozliczenia i dokumentacja ustawowa

W celu prowadzenia księgowości, wystawiania faktur, przypisywania płatności oraz wypełniania obowiązków podatkowych lub handlowych przetwarzamy niezbędne dane klientów, umów, faktur i płatności. Podstawą prawną jest w szczególności art. 6 ust. 1 lit. c RODO oraz uzupełniająco art. 6 ust. 1 lit. f RODO.

Do księgowości i rozliczeń używamy Lexware Office. Podmiotem przetwarzającym jest, zgodnie z aktualnie udostępnioną umową, Haufe Service Center GmbH, Munzinger Straße 9, 79111 Freiburg, Niemcy. Dalszymi odbiorcami mogą być w szczególności doradcy podatkowi, banki i właściwe organy, o ile jest to niezbędne.

20. Odbiorcy, usługodawcy i międzynarodowe przekazywanie danych

Dane osobowe są udostępniane odbiorcom wyłącznie w zakresie, w jakim jest to niezbędne do danego celu lub zezwala na to inna podstawa prawna. Kategorie odbiorców mogą obejmować w szczególności dostawców hostingu, infrastruktury, bezpieczeństwa i usług IT, dostawców płatności, banki, dostawców poczty elektronicznej i komunikacji, usług księgowych i administracyjnych, profesjonalnych doradców oraz właściwe organy.

Jeżeli dane osobowe są przekazywane poza UE lub EOG albo tam przetwarzane, odbywa się to wyłącznie z zachowaniem art. 44 i nast. RODO. W zależności od przypadku zastosowanie mogą mieć w szczególności decyzje Komisji Europejskiej stwierdzające odpowiedni stopień ochrony, EU-U.S. Data Privacy Framework lub standardowe klauzule umowne, w razie potrzeby uzupełnione dodatkowymi środkami ochronnymi. Informacje o właściwych w danym przypadku gwarancjach transferu oraz, o ile ma to zastosowanie, kopię odpowiednich gwarancji można uzyskać, pisząc na [email protected].

Lista podmiotów podprzetwarzających, z których DND Solutions korzysta przy przetwarzaniu danych na zlecenie klienta, należy do odpowiedniej relacji AVV i jest udostępniana odrębnie.

21. Okres przechowywania, obowiązki retencji i terminy usuwania

Przechowujemy dane osobowe wyłącznie tak długo, jak jest to niezbędne do danego celu albo jak długo ich dalsze przechowywanie jest uzasadnione obowiązkami ustawowymi, umownymi lub innymi obiektywnie uzasadnionymi przyczynami. W odniesieniu do obecnie stosowanych operacji przetwarzania obowiązują w szczególności następujące okresy:

• Zapytania bez związku z umową: co do zasady 6 miesięcy od zakończenia komunikacji.
• Niezakończone konfiguracje ofert i briefingi projektowe: co do zasady 30 dni od ostatniej aktywności.
• Dane konta klienta: co do zasady przez okres istnienia konta; dane umowne, zamówieniowe, rozliczeniowe i dowodowe mogą być przechowywane dłużej zgodnie z właściwą podstawą przechowywania.
• Dane związane z umową i projektem: przez okres trwania relacji umownej lub projektowej, a następnie w zakresie wymaganym przez ustawowe obowiązki przechowywania lub potrzeby związane z roszczeniami prawnymi.
• Faktury i inne dowody księgowe: co do zasady 8 lat, o ile zastosowanie mają ustawowe obowiązki przechowywania zgodnie z § 147 ust. 3 AO lub § 14b UStG.
• Księgi, ewidencje, inwentarze, sprawozdania roczne i porównywalne dokumenty: 10 lat, o ile wymagają tego przepisy.
• Korespondencja handlowa i biznesowa, w tym odpowiednie biznesowe wiadomości e-mail: co do zasady 6 lat, o ile istnieje ustawowy obowiązek przechowywania.
• Logi serwera: standardowo 14 dni.
• Dane protokołów serwera istotne dla bezpieczeństwa: do 90 dni; w przypadku konkretnego incydentu bezpieczeństwa, w razie potrzeby, dłużej.
• Protokół bezpieczeństwa Forge12: 90 dni.
• Blokady IP Forge12: blokady czasowe do ich wygaśnięcia; blokady ustawione ręcznie do ich cofnięcia.
• Forge12 Live-Zugriffe: 24 godziny.
• Ograniczanie liczby żądań Forge12: tylko do końca danego okna czasowego.
• Dane kontroli i ustaleń Forge12: do czasu, gdy wynik nie jest już stwierdzany przy ponownej kontroli, lub do poprawienia odpowiedniego pliku albo rekordu.
• Google Analytics 4: dane na poziomie użytkownika 14 miesięcy; dane zdarzeń 2 miesiące. Zgodnie z informacjami Google standardowe raporty zagregowane nie są objęte tymi ustawieniami.
• Dokumentacja zgód w Consent Hub: obecnie nie ma automatycznego usuwania po upływie stałego okresu; wdrożenie określonej polityki retencji i usuwania jest planowane.
• Zwykłe zapytania na czacie Crisp bez związku z umową: co do zasady 6 miesięcy od zakończenia komunikacji; treści związane z umową lub istotne dowodowo zgodnie z właściwą dla nich podstawą przechowywania.
• Dowody weryfikacji VIES: razem z powiązanymi dokumentami zamówieniowymi, umownymi i podatkowymi zgodnie z okresami przechowywania właściwymi dla tych dokumentów.
• Informacje płatnicze, transakcyjne i rozliczeniowe w DND Solutions: zgodnie z właściwymi okresami umownymi, księgowymi i dowodowymi.
• Kopie zapasowe: co do zasady 30 dni w systemie rotacyjnym.

W okresie dalszego przechowywania wymaganego ustawowo lub obiektywnie uzasadnionego przetwarzanie jest ograniczane do pozostałego celu w zakresie, w jakim jest to możliwe i konieczne.

22. Prawa osób, których dane dotyczą

Osobom, których dane dotyczą, na warunkach określonych w przepisach przysługują w szczególności: prawo dostępu do danych zgodnie z art. 15 RODO, prawo do sprostowania zgodnie z art. 16 RODO, prawo do usunięcia zgodnie z art. 17 RODO, prawo do ograniczenia przetwarzania zgodnie z art. 18 RODO, prawo do przenoszenia danych zgodnie z art. 20 RODO oraz prawo sprzeciwu zgodnie z art. 21 RODO.

Udzieloną zgodę można w każdej chwili cofnąć ze skutkiem na przyszłość zgodnie z art. 7 ust. 3 RODO. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem. Osoby, których dane dotyczą, mają ponadto prawo wnieść skargę do organu nadzorczego ds. ochrony danych.

Szczególna informacja o prawie do sprzeciwu

W zakresie, w jakim przetwarzamy dane osobowe na podstawie art. 6 ust. 1 lit. f RODO, osoby, których dane dotyczą, mają w każdej chwili prawo wnieść sprzeciw wobec takiego przetwarzania z przyczyn związanych z ich szczególną sytuacją. W takim przypadku nie będziemy już przetwarzać danych osobowych objętych sprzeciwem, chyba że wykażemy istnienie ważnych, prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, albo przetwarzanie służy dochodzeniu, wykonywaniu lub obronie roszczeń prawnych.

Właściwym organem dla DND Solutions jest w szczególności:

Der Landesbeauftragte für den Datenschutz Niedersachsen

Prinzenstraße 5

30159 Hannover

Niemcy

E-mail: [email protected]

23. Linki zewnętrzne i obecność online

WebsiteGarage.de może zawierać linki do zewnętrznych stron internetowych lub innych obecności online. Samo wyświetlenie zwykłego linku nie powoduje jeszcze przekazania danych do podmiotu, do którego prowadzi link; dopiero po jego otwarciu zewnętrzny dostawca przetwarza dane na własną odpowiedzialność.

W obecnej konfiguracji nie korzystamy z zewnętrznie osadzonych feedów mediów społecznościowych, materiałów wideo, map ani podobnych treści podmiotów trzecich, które już podczas ładowania strony nawiązują połączenie z zewnętrznym dostawcą. Oferowana funkcja udostępniania korzysta z natywnej funkcji Web Share przeglądarki lub systemu operacyjnego.

24. Zmiany niniejszej polityki prywatności

Aktualizujemy niniejszą politykę prywatności, gdy zmieniają się przepisy prawa, wykorzystywane usługi, rzeczywiste operacje przetwarzania lub konfiguracje techniczne. Wiążąca jest każdorazowo opublikowana wersja. Jeżeli zamierzamy dalej przetwarzać dane osobowe w innym celu niż ten, dla którego zostały zebrane, przed takim dalszym przetwarzaniem poinformujemy osobę, której dane dotyczą, o nowym celu i o dalszych informacjach mających znaczenie dla tego przetwarzania.

Zmiana niniejszej polityki prywatności nie jest traktowana jako zgoda na nowe przetwarzanie. Jeżeli nowe lub zmienione przetwarzanie wymaga zgody albo innego odrębnego oświadczenia, zostanie ono uzyskane niezależnie od samego opublikowania nowej wersji.