Polityka prywatności
Tu wyjaśniamy, jakie dane osobowe przetwarza Novello, po co, na jakiej podstawie, jak długo i jakie masz prawa. Dotyczy to strony novello.pl, formularza zgłoszenia bezpłatnego audytu, korespondencji e-mail i rozmów oraz danych z publicznych źródeł, z których korzystamy przy audytach.
1. Administrator danych
Administratorem Twoich danych osobowych jest:
NOVELLO SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄul. Fryderyka Szopena 35C lok. W164, 35-055 Rzeszów, Polska
wpisana do rejestru przedsiębiorców KRS pod numerem 0001202643; sąd rejestrowy: Sąd Rejonowy w Rzeszowie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego
NIP 5170464787, REGON 543098530, kapitał zakładowy 50 000,00 zł
Dalej piszemy o niej „Novello” lub „my”. Novello to także nazwa naszej usługi.
W każdej sprawie dotyczącej danych napisz na kontakt@novello.pl albo listownie na adres siedziby. Nie wyznaczyliśmy inspektora ochrony danych, bo nie mamy takiego obowiązku (art. 37 RODO). Sprawami danych zajmuje się bezpośrednio zarząd spółki.
2. Jakie dane przetwarzamy
Formularz zgłoszenia audytu
Pola formularza to: nazwa placówki, miejscowość, adres e-mail i (opcjonalnie) adres strony placówki. Przy zapisie zgłoszenia dodajemy losowy identyfikator, datę i godzinę, wersję tej polityki, status obsługi i datę ostatniego kontaktu. W rekordzie zgłoszenia nie zapisujemy Twojego adresu IP ani informacji o przeglądarce.
Nazwa placówki i miejscowość dotyczą zwykle firmy, nie osoby. Danymi osobowymi są jednak Twój adres e-mail (zwłaszcza imienny) oraz nazwa placówki, jeśli zawiera imię i nazwisko właściciela. Prosimy, nie wpisuj danych mieszkańców ani informacji o zdrowiu. Nie są nam potrzebne.
Korespondencja i rozmowa
Gdy piszesz do nas albo odpowiadamy na zgłoszenie, przetwarzamy adres e-mail, imię i nazwisko, stanowisko lub podpis, jeśli je podasz, oraz treść wiadomości. Jeśli umówimy około 20-minutową rozmowę, przetwarzamy dane potrzebne do jej umówienia i przeprowadzenia (imię i nazwisko lub nazwa wyświetlana, adres e-mail, numer telefonu, jeśli go podasz) oraz nasze notatki. Rozmów nie nagrywamy.
Dane techniczne
- Logi serwera. Jak każdy serwer WWW, serwer naszego dostawcy hostingu zapisuje w logach techniczne dane o żądaniach: adres IP, datę i godzinę, adres strony, kod odpowiedzi i informację o przeglądarce.
- Ochrona przed nadużyciami. Aby ograniczyć masowe wysyłanie formularza, przez krótki czas przechowujemy jednokierunkowy skrót (HMAC) Twojego adresu IP połączony z 10-minutowym przedziałem czasu oraz liczbę zgłoszeń. Ze skrótu nie da się odczytać adresu IP. Formularz zawiera też ukryte pole-pułapkę na automaty.
- Pamięć przeglądarki. W pamięci sesji przeglądarki (sessionStorage) zapisujemy losowy identyfikator zgłoszenia. Dzięki niemu ponowne wysłanie formularza po błędzie połączenia nie tworzy drugiego zgłoszenia. Więcej w punkcie 10.
- Analityka za zgodą. Google Analytics 4 otrzymuje informacje o wyświetleniu strony, rozpoczęciu formularza, potwierdzeniu zapisu zgłoszenia i kliknięciu adresu e-mail, a także dane techniczne przeglądarki i urządzenia oraz identyfikatory cookies. Połączenie z serwerem Google ujawnia mu adres IP; Google deklaruje, że GA4 nie zapisuje pojedynczych adresów IP. Nie wysyłamy do analityki treści formularza, nazw placówek, nazwisk, adresów e-mail, numerów telefonów ani identyfikatorów zgłoszeń.
3. Cele i podstawy prawne
Zgłoszenie audytu nie wymaga Twojej zgody i nie prosimy o nią. Zapoznanie się z tą polityką też nie jest zgodą: to informacja o tym, jak przetwarzamy dane.
| Cel | Podstawa prawna (RODO) |
|---|---|
| Obsługa zgłoszenia: identyfikacja placówki, przygotowanie i wysłanie audytu, kontakt w sprawie zgłoszenia, opcjonalna rozmowa i ewentualna propozycja współpracy | Art. 6 ust. 1 lit. f: nasz prawnie uzasadniony interes, czyli odpowiedź na zgłoszenie placówki, którą reprezentujesz, i wykonanie zamówionego audytu. Jeśli prowadzisz placówkę jako osoba fizyczna i zgłaszasz się we własnym imieniu: art. 6 ust. 1 lit. b (działania na Twoje żądanie). |
| Korespondencja e-mail niezwiązana ze zgłoszeniem | Art. 6 ust. 1 lit. f: odpowiadanie na kierowane do nas wiadomości. |
| Zawarcie i wykonanie umowy, jeśli zdecydujesz się na współpracę | Art. 6 ust. 1 lit. b wobec strony umowy; art. 6 ust. 1 lit. f wobec osób kontaktowych placówki. |
| Rozliczenia, księgowość i podatki przy współpracy | Art. 6 ust. 1 lit. c: obowiązki z ustawy o rachunkowości i przepisów podatkowych. |
| Ustalenie, dochodzenie i obrona roszczeń | Art. 6 ust. 1 lit. f. |
| Bezpieczeństwo strony i ochrona formularza przed nadużyciami | Art. 6 ust. 1 lit. f: utrzymanie działania i bezpieczeństwa strony. |
| Opcjonalna analityka korzystania ze strony | Art. 6 ust. 1 lit. a RODO: Twoja zgoda. Możesz ją wycofać przez „Ustawienia cookies” w stopce, bez wpływu na zgodność wcześniejszego przetwarzania z prawem. Zapis i odczyt opcjonalnych cookies wymaga uprzedniej zgody zgodnie z art. 399 Prawa komunikacji elektronicznej. |
| Przygotowanie audytu i ocena rynku na podstawie publicznych informacji o placówkach (punkt 4) | Art. 6 ust. 1 lit. f. |
Nie zapisujemy Cię na newsletter i nie prowadzimy kampanii e-mailowych. Nie wysyłamy niezamówionych informacji handlowych drogą elektroniczną. Wiadomości, które otrzymasz, dotyczą Twojego zgłoszenia.
4. Dane z publicznych źródeł
Część danych nie pochodzi od Ciebie (art. 14 RODO). Audyt to sprawdzenie, co rodzina szukająca opieki widzi w internecie. Korzystamy przy tym z publicznie dostępnych informacji o placówce:
- źródła: strona internetowa placówki, wyniki wyszukiwania Google i Map Google, w tym profil placówki, ocena i liczba opinii;
- kategorie danych osobowych, które mogą się tam znaleźć: imiona i nazwiska oraz służbowe dane kontaktowe osób wskazanych przez placówkę (np. dyrektora lub osoby do kontaktu), a w opiniach Google nazwy autorów.
Do dokumentu audytu nie przenosimy nazwisk pracowników, nazw autorów opinii ani treści opinii. Opisujemy placówkę i drogę kontaktu, nie osoby. Ta sama zasada obowiązuje, gdy w podobny sposób analizujemy publiczne informacje o placówkach, które się do nas nie zgłosiły, aby ocenić, czy możemy im coś zaproponować. Jeśli zapisujemy dane kontaktowe konkretnej osoby, aby się z nią skontaktować, przekazujemy jej tę informację przy pierwszym kontakcie, a jeśli do kontaktu nie dojdzie, najpóźniej w ciągu miesiąca od pozyskania danych (art. 14 ust. 3 RODO). Imiona i nazwiska, które przypadkiem znajdują się na zapisanych przez nas publicznych stronach (np. autorów opinii), nie służą nam do kontaktu ani do opisu osób. Indywidualne informowanie tych osób wymagałoby niewspółmiernie dużego wysiłku, dlatego udostępniamy tę informację publicznie (art. 14 ust. 5 lit. b RODO) i usuwamy takie dane razem z całym audytem.
5. Czy musisz podać dane
Podanie danych jest dobrowolne. Nie wymaga tego ani prawo, ani umowa. Bez nazwy placówki, miejscowości i adresu e-mail nie możemy jednak przyjąć zgłoszenia ani wysłać dokumentu. Adres strony jest opcjonalny: pomaga nam znaleźć właściwą placówkę. Rozmowa po audycie też jest dobrowolna. Dokument otrzymasz bez niej.
6. Komu przekazujemy dane
Dane nie są sprzedawane ani udostępniane w celach marketingowych. Dostęp do nich ma zarząd Novello. Korzystamy z następujących dostawców:
- SEOHOST (hosting strony, bazy danych zgłoszeń i skrzynki kontakt@novello.pl). SEOHOST przetwarza dane w naszym imieniu, na podstawie umowy powierzenia przetwarzania danych (art. 28 RODO). Serwery znajdują się w centrum danych w Polsce.
- Google, jeśli rozmowa odbywa się przez Google Meet. Google otrzymuje dane potrzebne do połączenia: nazwę wyświetlaną, adres e-mail z zaproszenia, a w trakcie rozmowy obraz i dźwięk. Jeśli wolisz, porozmawiamy przez telefon.
- Google Ireland Limited (Irlandia), dostawca Google Analytics 4 i Google Tag Manager. GTM uruchamiamy dopiero po zgodzie na co najmniej jedną kategorię opcjonalną, a GA4 wyłącznie po zgodzie analitycznej. Odbiorcą danych technicznych może być również Google LLC (USA). Polityka prywatności Google.
- SerpApi, LLC (USA), usługa pobierania wyników wyszukiwania Google i Map Google, którą sprawdzamy widoczność placówki. Przekazujemy jej tylko nazwę placówki, miejscowość i frazy wyszukiwania. Nie przekazujemy Twojego adresu e-mail ani innych danych kontaktowych. Jeśli nazwa placówki zawiera imię i nazwisko osoby, nie wysyłamy jej do SerpApi. Wtedy sprawdzamy widoczność w Google ręcznie.
Jeśli dojdzie do współpracy, dane potrzebne do rozliczeń mogą otrzymać podmioty prowadzące naszą księgowość. Dane możemy też przekazać organom publicznym, gdy wymaga tego prawo.
7. Przekazywanie poza Europejski Obszar Gospodarczy
Dane ze zgłoszenia i korespondencja e-mail są przechowywane w Polsce u SEOHOST. Nie przekazujemy ich poza EOG.
Przy korzystaniu z analityki dane techniczne mogą być przetwarzane przez Google również poza EOG, w tym w USA. Szczegóły zabezpieczeń opisują warunki przetwarzania danych Google oraz standardowe klauzule umowne. Zgoda na analitykę jest dobrowolna i nie warunkuje obsługi zgłoszenia.
Przy rozmowie w Google Meet dane połączenia mogą trafić do Google LLC w USA. Google LLC uczestniczy w programie EU-US Data Privacy Framework, więc podstawą przekazania jest decyzja Komisji Europejskiej z 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony (art. 45 RODO). Warunki przetwarzania danych Google Workspace przewidują dodatkowo standardowe klauzule umowne (art. 46 RODO). Na Twoją prośbę przekażemy informację o tych zabezpieczeniach. Do SerpApi (USA) wysyłamy tylko nazwę firmy, miejscowość i frazy wyszukiwania. Nazw placówek zawierających imię i nazwisko tam nie wysyłamy, więc nie przekazujemy w ten sposób danych osobowych poza EOG.
8. Jak długo przechowujemy dane
| Dane | Okres |
|---|---|
| Zgłoszenie, korespondencja, dokument audytu i notatki, jeśli nie doszło do współpracy | 12 miesięcy od ostatniego merytorycznego kontaktu. Potem usuwamy je z bazy, skrzynki i naszych plików przy najbliższym comiesięcznym przeglądzie, czyli najpóźniej w ciągu kolejnego miesiąca. Merytoryczny kontakt to np. wysłanie audytu, Twoja odpowiedź, rozmowa albo ustalenia w sprawie zgłoszenia. Nie są nim automatyczne powiadomienia ani nasze wiadomości, które pozostały bez odpowiedzi. |
| Dane związane z umową, jeśli doszło do współpracy | Przez czas trwania umowy, a następnie do upływu terminu przedawnienia roszczeń. Dla roszczeń związanych z działalnością gospodarczą to zwykle 3 lata, liczone do końca roku kalendarzowego (art. 117 i 118 Kodeksu cywilnego). |
| Dokumenty księgowe i podatkowe | 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku, albo dłużej, jeśli wymagają tego przepisy. |
| Dane potrzebne w sporze lub przy roszczeniu | Do zakończenia sprawy i upływu terminu przedawnienia. |
| Publiczne informacje o placówce, która się do nas nie zgłosiła | Do 12 miesięcy od zebrania. Jeśli placówka nawiąże z nami kontakt, stosujemy okresy opisane wyżej. |
| Skrót adresu IP w liczniku zgłoszeń | Około 20 minut. Usuwamy go przy najbliższym automatycznym porządkowaniu. |
| Identyfikator w pamięci sesji przeglądarki | Do zamknięcia karty przeglądarki. |
| Logi serwera | Prowadzi je SEOHOST jako nasz dostawca hostingu, przez okres wynikający z konfiguracji usługi i nie dłużej, niż jest to potrzebne do zapewnienia bezpieczeństwa i diagnozy błędów. |
| Kopie zapasowe | Kopie zapasowe hostingu obejmują ostatnie 60 dni. Usunięte dane mogą pozostać w kopiach do 60 dni, a potem są nadpisywane. Kopii nie używamy do innych celów. Gdybyśmy musieli odtworzyć dane z kopii, ponownie usuniemy wszystko, co wcześniej zostało usunięte. |
Jeśli zgłosisz skuteczny sprzeciw albo zażądasz usunięcia danych, usuniemy je wcześniej, chyba że będą nam potrzebne do ustalenia, dochodzenia lub obrony roszczeń.
9. Twoje prawa i skarga
Masz prawo:
- uzyskać dostęp do swoich danych i ich kopię (art. 15 RODO);
- sprostować dane nieprawidłowe lub uzupełnić niekompletne (art. 16);
- żądać usunięcia danych (art. 17);
- żądać ograniczenia przetwarzania (art. 18);
- przenieść dane, które od Ciebie otrzymaliśmy, gdy przetwarzamy je na podstawie umowy lub działań na Twoje żądanie (art. 20);
- wnieść sprzeciw wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie, z przyczyn związanych z Twoją szczególną sytuacją (art. 21). Wtedy przestaniemy przetwarzać dane, chyba że wykażemy ważne, prawnie uzasadnione podstawy albo potrzebę ustalenia, dochodzenia lub obrony roszczeń.
Nie przetwarzamy danych na podstawie zgody, więc nie ma zgody do wycofania. Aby skorzystać z praw, napisz na kontakt@novello.pl. Odpowiemy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. W złożonych sprawach termin może zostać przedłużony o kolejne dwa miesiące, o czym Cię poinformujemy (art. 12 ust. 3). Możemy poprosić o informacje potrzebne do potwierdzenia, że żądanie pochodzi od Ciebie, na przykład o wiadomość z adresu podanego w formularzu.
Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.
11. Decyzje automatyczne i profilowanie
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na automatycznym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie na Ciebie wpływają (art. 22 RODO). Nie profilujemy osób zgłaszających się przez formularz.
Publiczne informacje o placówce zbieramy częściowo własnymi narzędziami. Każdą obserwację w dokumencie sprawdza i zatwierdza człowiek. Ocena dotyczy placówki i jej strony, nie Ciebie. Zabezpieczenia formularza (limit zgłoszeń i pole-pułapka) mogą automatycznie odrzucić zgłoszenie wysłane zbyt wiele razy lub przez automat. Wtedy możesz napisać do nas e-mailem.
12. Bezpieczeństwo
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO). Należą do nich szyfrowane połączenie (HTTPS), baza zgłoszeń niedostępna z internetu, dostęp ograniczony do zarządu, zabezpieczenia formularza przed nadużyciami, minimalny zakres zbieranych danych i regularne usuwanie danych po upływie okresów przechowywania. Komunikaty o błędach nie ujawniają treści zgłoszeń. Żaden system nie jest jednak całkowicie odporny na zagrożenia. Jeśli dojdzie do naruszenia, które może powodować wysokie ryzyko dla Ciebie, powiadomimy Cię o tym.
13. Zmiany polityki
Politykę aktualizujemy, gdy zmieniają się nasze narzędzia, dostawcy lub sposób przetwarzania danych. Na górze strony zawsze podajemy datę wersji. Przy każdym zgłoszeniu zapisujemy wersję polityki obowiązującą w chwili wysłania formularza.