§ 1. Administrator danych osobowych
1. Administratorem danych osobowych jest Administy spółka z ograniczoną odpowiedzialnością z siedzibą w Radomiu (26-600), ul. Kazimierza Pułaskiego 6/10, KRS 0001148259, NIP 7963034226, REGON 540604168 (dalej: Administy lub Administrator).
2. W sprawach ochrony danych osobowych można kontaktować się pisemnie na adres siedziby Spółki lub elektronicznie: hello@administy.pl.
3. Niniejsza Polityka Prywatności dotyczy przetwarzania danych, w którym Administy jest Administratorem (m.in. rejestracja w Platformie, kontakt, marketing). Zasady, na jakich Administy przetwarza dane osobowe powierzone przez Klientów w ramach świadczenia Usług, reguluje odrębny dokument — Umowa Powierzenia Przetwarzania Danych Osobowych (UPPDO), dostępna na www.administy.pl.
§ 2. Role Administy w zakresie ochrony danych
1. Administy przetwarza dane w dwóch odrębnych rolach:
a) jako Administrator (ADO) — w odniesieniu do danych użytkowników Platformy (osób rejestrujących Konto, korespondujących z Administy, korzystających z funkcji platformy w zakresie ich własnych danych), pracowników i kontrahentów Administy. Podstawy prawne i zasady tego przetwarzania reguluje niniejsza Polityka Prywatności;
b) jako Procesor (Podmiot Przetwarzający) — w odniesieniu do danych osobowych kontrahentów, pracowników i klientów Klientów biznesowych, wprowadzanych przez tych Klientów do Platformy. W tej roli Administy przetwarza dane wyłącznie na udokumentowane polecenie Klienta (ADO) zgodnie z UPPDO; Klient ponosi odpowiedzialność za podstawę prawną przetwarzania tych danych.
2. Niniejsza Polityka Prywatności odnosi się wyłącznie do roli wskazanej w ust. 1 lit. a).
§ 3. Jakie dane zbieramy i w jakim celu
1. Dane przekazywane przy rejestracji i korzystaniu z Platformy: imię i nazwisko (lub nazwa firmy), adres e-mail, numer telefonu (opcjonalnie), NIP (dla kont firmowych), adres siedziby/korespondencyjny. Cel: zawarcie i wykonanie umowy (art. 6 ust. 1 lit. b RODO).
2. Dane techniczne i logi: adres IP, identyfikatory sesji, informacje o przeglądarce i urządzeniu, logi aktywności w Platformie, dane o błędach. Cel: zapewnienie bezpieczeństwa, diagnozowanie błędów, dochodzenie roszczeń (art. 6 ust. 1 lit. f RODO — uzasadniony interes Administratora).
3. Dane do obsługi korespondencji i wsparcia: imię, adres e-mail, treść zapytania. Cel: obsługa zapytań, reklamacji (art. 6 ust. 1 lit. b i f RODO).
4. Dane marketingowe: adres e-mail, imię. Cel: przesyłanie informacji handlowych o Platformie i usługach Administy — wyłącznie po wyrażeniu zgody przez osobę, której dane dotyczą (art. 6 ust. 1 lit. a RODO). Zgoda może być wycofana w dowolnym momencie.
5. Dane do rozliczeń i fakturowania: dane firmy, NIP, adres. Cel: wystawienie faktury, wykonanie obowiązków podatkowych (art. 6 ust. 1 lit. c RODO).
§ 4. Podstawy prawne przetwarzania
1. Administy przetwarza dane osobowe na następujących podstawach prawnych wynikających z art. 6 RODO:
a) art. 6 ust. 1 lit. a — zgoda osoby, której dane dotyczą (komunikacja marketingowa; pliki cookie analityczne i marketingowe);
b) art. 6 ust. 1 lit. b — niezbędność do wykonania umowy lub podjęcia działań przed jej zawarciem (rejestracja Konta, świadczenie Usług);
c) art. 6 ust. 1 lit. c — wypełnienie obowiązku prawnego (przepisy podatkowe, przepisy o rachunkowości, obowiązki wynikające z AML/CFT);
d) art. 6 ust. 1 lit. f — uzasadniony interes Administratora (bezpieczeństwo systemów, dochodzenie i obrona roszczeń, analiza funkcjonowania Platformy, referencje — z zachowaniem prawa do sprzeciwu).
§ 5. Okres przechowywania danych
1. Dane rejestracyjne i konto: przez czas trwania stosunku umownego, a po jego zakończeniu przez 5 lat (przedawnienie roszczeń cywilnych — art. 118 KC) lub 6 lat (ewentualne roszczenia z tytułu zobowiązań podatkowych).
2. Logi techniczne i bezpieczeństwa: 12 miesięcy.
3. Korespondencja i zgłoszenia: 3 lata od daty zgłoszenia.
4. Dane do fakturowania: 5 lat od końca roku podatkowego, w którym wystawiono fakturę (art. 70 §1 Ordynacji podatkowej).
5. Dane marketingowe: do czasu wycofania zgody przez osobę, której dane dotyczą.
6. Konta nieaktywne: procedura wskazana w Regulaminie § 13 ust. 3.
§ 6. Odbiorcy danych i podmioty przetwarzające
1. Dane osobowe przetwarzane przez Administy jako Administratora mogą być udostępniane:
a) OVH SAS (Francja, EOG) — dostawca infrastruktury hostingowej i baz danych; serwery zlokalizowane w EOG; przetwarzanie na podstawie umowy powierzenia zgodnej z art. 28 RODO;
b) DigitalOcean LLC — Spaces region Frankfurt fra1 (Niemcy, EOG) — dostawca object storage; wszystkie pliki (w tym faktury, załączniki, dokumenty) przechowywane w Niemczech w EOG; przetwarzanie na podstawie umowy powierzenia zgodnej z art. 28 RODO; pliki dostępne wyłącznie poprzez jednorazowe presigned URL z ograniczonym czasem ważności;
c) dostawcom usług IT i wsparcia technicznego działającym jako podmioty przetwarzające, wyłącznie na podstawie umów powierzenia i w zakresie niezbędnym do świadczenia tych usług;
d) organom państwowym i sądom — wyłącznie na podstawie obowiązujących przepisów prawa.
2. Administy nie przekazuje danych do krajów spoza EOG w ramach przetwarzania danych, w którym pełni rolę Administratora, z zastrzeżeniem ust. 3.
3. Transfer poza EOG możliwy jest wyłącznie w odniesieniu do Klientów, którzy aktywowali Moduł AI, i wyłącznie w zakresie opisanym w UPPDO § 8. Dotyczy wyłącznie danych powierzonych przez Klientów w roli Procesora, nie danych przetwarzanych przez Administy jako ADO.
§ 8. Bezpieczeństwo danych
1. Administy stosuje odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzanych danych, w tym:
a) szyfrowanie transmisji danych (TLS 1.2+) dla wszystkich połączeń z Platformą;
b) kontrolę dostępu opartą na rolach (RBAC) — dostęp wyłącznie dla upoważnionych pracowników;
c) dostęp do plików wyłącznie poprzez jednorazowe presigned URL z ograniczonym czasem ważności (3 minuty) — bezpośredni dostęp do pliku bez ważnego tokenu jest niemożliwy;
d) szyfrowanie danych w spoczynku w bazie danych;
e) regularne tworzenie kopii zapasowych;
f) rejestrowanie i monitorowanie dostępu (audit logs).
§ 9. Prawa osób, których dane dotyczą
1. Każdej osobie, której dane dotyczą, przysługują następujące prawa wynikające z RODO:
a) prawo dostępu do danych (art. 15 RODO) — prawo do uzyskania informacji o tym, czy i jakie dane są przetwarzane;
b) prawo do sprostowania danych (art. 16 RODO) — prawo do poprawy nieprawidłowych lub uzupełnienia niekompletnych danych;
c) prawo do usunięcia danych (art. 17 RODO, «prawo do bycia zapomnianym») — prawo do żądania usunięcia danych, gdy nie są już potrzebne lub przetwarzane bezprawnie;
d) prawo do ograniczenia przetwarzania (art. 18 RODO);
e) prawo do przenoszenia danych (art. 20 RODO) — prawo do otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie i przesłania ich innemu administratorowi;
f) prawo do sprzeciwu (art. 21 RODO) — prawo do sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie Administratora;
g) prawo do wycofania zgody (art. 7 ust. 3 RODO) — w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed wycofaniem.
2. Wnioski dotyczące praw można składać: e-mailem na adres hello@administy.pl lub pisemnie na adres siedziby Spółki. Administy odpowie na wniosek w terminie 30 dni (z możliwością przedłużenia o 60 dni w przypadku złożoności wniosku, o czym poinformuje wnioskodawcę).
3. Każda osoba, której dane dotyczą, ma prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl.
§ 10. Zmiany Polityki Prywatności
1. Administy zastrzega sobie prawo do zmiany niniejszej Polityki Prywatności w związku ze zmianami przepisów prawa, zmieniającymi się praktykami przetwarzania lub rozwojem Platformy.
2. O istotnych zmianach Polityki Administy informuje zarejestrowanych użytkowników drogą elektroniczną (e-mail) z co najmniej 14-dniowym wyprzedzeniem.
3. Aktualna wersja Polityki zawsze dostępna jest na stronie www.administy.pl.
Administy sp. z o.o. | KRS 0001148259 | NIP 7963034226 | hello@administy.pl | www.administy.pl