Ta informacja jest przeznaczona dla osób, których dane nie pochodzą od nich samych, tylko z Krajowego Rejestru Sądowego, z Centralnego Rejestru Beneficjentów Rzeczywistych, z publikacji organów państwowych, z agend wydarzeń albo z publicznie dostępnych danych o domenach, i wykonuje obowiązek z art. 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Osoby korzystające z serwisu znajdą informację o swoich danych w Klauzuli informacyjnej.
Administrator danych osobowych
Administratorem danych jest Dawid Ryłko, prowadzący działalność gospodarczą, NIP 6472552448, REGON 381839492. W sprawach dotyczących danych osobowych można kontaktować się pod adresem e-mail: biuro@cyberkatalog.pl.
Wspólnicy firm z katalogu będący osobami fizycznymi
Ta sekcja dotyczy osób fizycznych, które są wspólnikami spółek prezentowanych w katalogu albo spółek w ich łańcuchu właścicielskim, a także fundatorów i beneficjentów fundacji rodzinnych w tym łańcuchu, a podsekcja o powiązaniach osobowych także członków zarządu i rady nadzorczej spółek z katalogu oraz beneficjentów rzeczywistych firm z katalogu. Ich dane nie pochodzą od nich samych, tylko z Krajowego Rejestru Sądowego, a dane beneficjentów rzeczywistych z Centralnego Rejestru Beneficjentów Rzeczywistych, dlatego informacja poniżej wykonuje obowiązek z art. 14 RODO.
Cel i podstawa przetwarzania
Profil firmy z katalogu pokazuje, kto ją kontroluje i jak zmieniał się skład jej wspólników według Krajowego Rejestru Sądowego. Udział wspólników będących osobami fizycznymi podawany jest wyłącznie zbiorczo.
Podstawą jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). Czytelnik wybierający dostawcę usług bezpieczeństwa chce wiedzieć, kto ten podmiot kontroluje, a bez części należącej do osób fizycznych procent wspólników będących podmiotami wyglądałby jak cała własność firmy. Administrator zestawił ten interes z interesami i prawami wspólników. Dane są jawne z mocy ustawy o Krajowym Rejestrze Sądowym, dotyczą udziału w obrocie gospodarczym, a Profil pokazuje mniej niż odpis z rejestru. Przeciw przetwarzaniu przemawia zasięg strony indeksowanej przez wyszukiwarki, większy niż krąg osób otwierających odpis. Ocena wypadła na korzyść przetwarzania pod trzema warunkami:
- Profil nie pokazuje imion, nazwisk ani udziału i dat pojedynczej osoby;
- informacja z art. 14 RODO jest opublikowana, zanim dane osób fizycznych trafią na Profil;
- sprzeciw usuwa z Profilu dane osób fizycznych całej firmy.
Kategorie danych
Na Profilu, wyłącznie zbiorczo dla firmy albo okresu, pojawiają się:
- liczba wspólników będących osobami fizycznymi przy firmie z katalogu i przy każdej spółce w jej łańcuchu właścicielskim;
- liczba tych osób i ich łączny procent kapitału zakładowego w każdym okresie składu wspólników, z numerami i datami wpisów do rejestru na granicach okresu;
- zmiana liczby osób i zmiana ich łącznego udziału przy wpisie do rejestru, z numerem i datą wpisu.
Nie są publikowane imiona, nazwiska, numery PESEL, daty urodzenia ani obywatelstwo wspólników, a także udział i daty dotyczące pojedynczej osoby. Łączny procent wyliczany jest jednak z udziałów poszczególnych wspólników zapisanych w odpisie. Gdy wspólnikiem jest jedna osoba fizyczna, liczba osób i ich łączny procent opisują ją wprost, a data wpisu ze zmianą liczby osób jest datą jej wejścia do spółki albo wyjścia z niej.
Do wyliczenia danych zbiorczych i do potwierdzenia, że w dwóch firmach chodzi o tę samą osobę, administrator przetwarza dane pojedynczych osób z odpisów, w tym imię, nazwisko, numer PESEL, udział i daty wpisów, a o beneficjentach rzeczywistych także datę urodzenia, obywatelstwo, kraj zamieszkania oraz rodzaj i wielkość udziału. Te same dane przetwarza o fundatorach i beneficjentach fundacji rodzinnych w łańcuchu właścicielskim. Imiona, nazwiska, numery PESEL, daty urodzenia, obywatelstwo i kraj zamieszkania przechowuje w postaci zaszyfrowanej, a udziały, ich rodzaj i daty wpisów bez imion i nazwisk. Żadnych z tych danych nie publikuje.
Administrator przechowuje też zaszyfrowane kopie pełnych odpisów z Krajowego Rejestru Sądowego. Obejmują one wszystkie osoby wpisane do odpisu, także prokurentów, i są kopią zapasową odpisów, z których administrator potwierdza tożsamość osób. Kopie są przechowywane w Unii Europejskiej u Cloudflare, Inc., na zasadach przekazania opisanych niżej.
Źródło danych
Dane pochodzą z odpisu pełnego i aktualnego z Krajowego Rejestru Sądowego, odczytywanego raz w tygodniu przez otwarte API rejestru. Rejestr jest jawny, a jego dane są publicznie dostępne.
Odbiorcy danych i przekazanie do państwa trzeciego
- Każdy czytelnik serwisu, ponieważ Profil jest publiczny i indeksowany przez wyszukiwarki.
- Cloudflare, Inc. jako dostawca infrastruktury, przez którą strona jest udostępniana, i bazy danych, w której przechowywane są dane pojedynczych osób.
- UW-TEAM.org Jakub Mrugalski jako dostawca usługi Mikrus, na której serwerze w Finlandii raz w tygodniu odczytywane są odpisy z rejestru i wyliczany jest zestaw danych zbiorczych zasilający Profil.
Baza danych z danymi pojedynczych osób jest przechowywana w Unii Europejskiej. Cloudflare, Inc. ma siedzibę w Stanach Zjednoczonych. Podstawą przekazania danych do tej firmy jest decyzja wykonawcza Komisji Europejskiej z dnia 10 lipca 2023 r. w sprawie transatlantyckich ram ochrony danych UE-USA (EU-US Data Privacy Framework), do których przystąpiła, a w razie potrzeby dodatkowo standardowe klauzule umowne jako podstawa zapasowa. Serwer usługi Mikrus stoi w Finlandii, więc przetwarzanie na nim odbywa się w Europejskim Obszarze Gospodarczym.
Okres przechowywania
Dane pozostają na Profilu, dopóki firma jest w katalogu. Zestaw danych zasilający Profil jest nadpisywany co tydzień, więc po usunięciu firmy z katalogu jej dane znikają przy najbliższej aktualizacji. Udziały i daty wpisów pojedynczych osób administrator przechowuje wyłącznie z ostatniego tygodniowego odczytu. Dane osoby w bazie usuwa 12 miesięcy po tym, jak przestała pełnić funkcję w firmach z katalogu i w spółkach z ich łańcucha właścicielskiego albo te firmy opuściły katalog. Zaszyfrowane kopie pełnych odpisów nie mają dziś terminu usunięcia. Informacja, która po sprzeciwie zapobiega ponownemu pobraniu danych, jest przechowywana na stałe.
Prawo sprzeciwu
Wspólnikowi przysługuje prawo wniesienia sprzeciwu z przyczyn związanych z jego szczególną sytuacją (art. 21 ust. 1 RODO), a także pozostałe prawa wymienione w sekcji o prawach osób, których dane dotyczą. Administrator rozpatruje sprzeciw, zestawiając podane w nim przyczyny z interesem opisanym wyżej. Dane są zbiorcze, więc nie da się z nich wyjąć jednej osoby. Po uwzględnieniu sprzeciwu z Profilu tej firmy znikają wszystkie dane wspólników będących osobami fizycznymi: liczba osób przy firmie i przy spółkach w łańcuchu, ich łączny udział w okresach oraz zmiany liczby i udziału na liście wpisów. Znika też każde powiązanie tej firmy z inną firmą przez wspólną osobę, na Profilach obu firm. Historia wspólników będących podmiotami zostaje.
Usunięcie obejmuje stronę i bieżący zestaw danych. Dane osoby, która wniosła sprzeciw, administrator usuwa z bazy i z kopii odpisów i zapisuje informację, która zapobiega ich ponownemu pobraniu. Sprzeciw można zgłosić pod adresem biuro@cyberkatalog.pl.
Powiązania osobowe między firmami z katalogu
Profil firmy z katalogu pokazuje także, że ta sama osoba pełni funkcję w tej firmie i w innej firmie z katalogu: w zarządzie, w radzie nadzorczej, wśród wspólników albo jako beneficjent rzeczywisty. Ta podsekcja dotyczy członków zarządu, członków rady nadzorczej i wspólników będących osobami fizycznymi oraz beneficjentów rzeczywistych zgłoszonych do Centralnego Rejestru Beneficjentów Rzeczywistych (CRBR), których takie powiązanie obejmuje. Osoba może być beneficjentem rzeczywistym w obu firmach albo beneficjentem rzeczywistym w jednej z nich, a w drugiej członkiem zarządu, członkiem rady nadzorczej albo wspólnikiem według Krajowego Rejestru Sądowego.
Celem jest pokazanie czytelnikowi, że dwie firmy z katalogu są ze sobą powiązane, także wtedy, gdy nie łączy ich kapitał. Podstawą jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). Administrator ocenił go tak jak dla danych wspólników: dane są jawne w Krajowym Rejestrze Sądowym, dotyczą funkcji w obrocie gospodarczym, a Profil pokazuje mniej niż odpis z rejestru. Informacje o beneficjentach rzeczywistych są jawne w CRBR z mocy ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, a Profil pokazuje mniej niż wyszukiwarka tego rejestru. Przeciw przemawia kierunek prawa Unii: Trybunał Sprawiedliwości UE uznał powszechny dostęp do informacji o beneficjentach za nieproporcjonalny (wyrok z 22 listopada 2022 r. w sprawach C-37/20 i C-601/20), a dyrektywa 2024/1640 ogranicza go do osób z uzasadnionym interesem, dlatego powiązanie znika, gdy rejestr przestanie być jawny.
Na Profilach obu firm pojawiają się nazwa drugiej firmy, rodzaj funkcji pełnionej w każdej z nich oraz źródło i data odczytu rejestru. Powiązanie jest pokazywane wyłącznie wtedy, gdy według odpisów aktualnych i ostatniego odczytu CRBR osoba pełni funkcję w obu firmach. Nie są publikowane imiona, nazwiska ani numery PESEL tej osoby, a także liczba osób łączących dwie firmy. Przy beneficjencie rzeczywistym nie są publikowane także data urodzenia, obywatelstwo, kraj zamieszkania ani wielkość i charakter udziału. Gdy zarząd albo rada nadzorcza jednej z firm liczy jedną osobę, spółka ma jednego wspólnika albo jednego beneficjenta rzeczywistego, powiązanie razem z odpisem albo wpisem w rejestrze wskazuje tę osobę wprost.
Dane pochodzą z odpisów z Krajowego Rejestru Sądowego i, dla beneficjentów rzeczywistych, z CRBR, odczytywanego przez publiczną wyszukiwarkę rejestru. Odpis udostępniany przez API rejestru nie podaje pełnych danych osób, dlatego administrator potwierdza na podstawie pełnych odpisów z rejestru, że w obu firmach chodzi o tę samą osobę. Przy beneficjencie rzeczywistym potwierdza to po numerze PESEL, a gdy rejestr go nie podaje, po imieniu, nazwisku i dacie urodzenia, tylko gdy pasuje do nich dokładnie jedna osoba.
Dla danych pokazanych na Profilu odbiorcy, przekazanie do państwa trzeciego i okres przechowywania są takie jak dla danych wspólników. Powiązanie znika z Profilu przy najbliższej aktualizacji, gdy odpisy albo CRBR przestają je wykazywać albo jedna z firm opuszcza katalog.
Powiązanie przez beneficjenta rzeczywistego znika także wtedy, gdy ostatni odczyt CRBR się nie udał albo został wykonany ponad 14 dni temu, i wraca po udanym odczycie. Na stałe znika, gdy rejestr przestanie być publicznie jawny: gdy ustawa uzależni dostęp do niego od wykazania interesu albo jego wyszukiwarka zacznie wymagać logowania lub wykazania interesu. Stan prawny CRBR administrator sprawdza raz w miesiącu, a Profil aktualizuje się raz w tygodniu, więc od zmiany prawa do zniknięcia powiązania może minąć miesiąc i tydzień. Gdy tę samą osobę łączą z obiema firmami także funkcje z Krajowego Rejestru Sądowego, znika tylko rola beneficjenta rzeczywistego, a powiązanie zostaje.
Prawo sprzeciwu przysługuje każdej osobie, której powiązanie dotyczy, na zasadach opisanych wyżej. Po jego uwzględnieniu z Profilu firmy znikają dane wymienione w podsekcji o prawie sprzeciwu, w tym każde powiązanie tej firmy przez wspólną osobę, na Profilach obu firm.
Brak indywidualnego powiadomienia
Administrator nie informuje indywidualnie wspólników, członków zarządu i rady nadzorczej ani beneficjentów rzeczywistych. Ani Krajowy Rejestr Sądowy, ani CRBR nie podają ich danych kontaktowych, więc powiadomienie każdej osoby wymagałoby niewspółmiernie dużego wysiłku (art. 14 ust. 5 lit. b RODO). Jako odpowiedni środek ochrony ich praw ta informacja jest udostępniona publicznie na tej stronie.
Strony spraw prowadzonych przez organy państwowe
Ta sekcja dotyczy osób fizycznych, w tym przedsiębiorców prowadzących jednoosobową działalność gospodarczą, które są stroną sprawy opisanej w rejestrze spraw organów państwowych, który prowadzi serwis. Takich spraw serwis nie pokazuje czytelnikom. Ich dane nie pochodzą od nich samych, tylko z publikacji organów, dlatego informacja poniżej wykonuje obowiązek z art. 14 RODO.
Cel i podstawa przetwarzania danych stron spraw
Rejestr zbiera sprawy, w których organ państwowy bada wyciek, naruszenie ochrony danych albo inny incydent, nakłada karę nadzorczą albo rozstrzyga o nieautoryzowanych transakcjach, i pokazuje czytelnikom sprawy organizacji jako fakty z publikacji organu, z datą i statusem postępowania. Spraw osób fizycznych i przedsiębiorców prowadzących jednoosobową działalność gospodarczą serwis nie pokazuje.
Podstawą jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO): rejestr wiarygodnie i kompletnie opisuje sprawy organów, a czytelnik wybierający dostawcę albo oceniający ryzyko chce wiedzieć, jakie sprawy o incydenty i kary prowadziły organy i jak się skończyły. Administrator zestawił ten interes z interesami i prawami stron. Dane pochodzą wyłącznie z publikacji organu. Przeciw przetwarzaniu przemawia to, że sprawy dotyczą informacji niekorzystnych. Ocena wypadła na korzyść przetwarzania pod warunkami opisanymi niżej: sprawy osób fizycznych i przedsiębiorców prowadzących jednoosobową działalność gospodarczą nie są pokazywane w serwisie, a sprzeciw jest wykonywany natychmiast.
Oznaczenie strony w postaci podanej przez organ (często tylko inicjały) administrator przechowuje w postaci zaszyfrowanej wyłącznie po to, żeby odpowiedzieć na żądania osób i upewnić się, że dane tej osoby nie trafią do serwisu. W sprawach karnych oskarżony nie jest zapisywany w bazie, a w danych rejestru sprawa zostaje wyłącznie jako fakt sądu (sąd, sygnatura, data i wynik) i nie jest pokazywana w serwisie.
Kategorie danych stron spraw
- oznaczenie strony w postaci podanej przez organ: inicjały albo imię i nazwisko, forma "Pan" albo "Pani", rola, oznaczenie prowadzonej działalności i miejscowość lub jej inicjał, przechowywane w postaci zaszyfrowanej i niepublikowane;
- dane sprawy: organ, rodzaj zdarzenia, sygnatura, daty, wynik i status postępowania oraz adres publikacji organu.
Sprawy osób fizycznych i przedsiębiorców prowadzących jednoosobową działalność gospodarczą nie są pokazywane w serwisie, a sprawy karne nie są pokazywane w ogóle. Administrator nie zbiera numerów PESEL, dat urodzenia, adresów, numerów NIP ani danych kontaktowych stron.
Źródło danych o sprawach
Publicznie dostępne publikacje organów: portal orzeczeń i strona Prezesa Urzędu Ochrony Danych Osobowych, decyzje Prezesa Urzędu Ochrony Konkurencji i Konsumentów, komunikaty Komisji Nadzoru Finansowego i Centralnego Biura Zwalczania Cyberprzestępczości, orzeczenia sądów powszechnych z Systemu Analizy Orzeczeń Sądowych oraz wyroki sądów administracyjnych z Centralnej Bazy Orzeczeń Sądów Administracyjnych.
Odbiorcy danych o sprawach i przekazanie do państwa trzeciego
- Czytelnicy serwisu nie są odbiorcami tych danych, bo spraw osób fizycznych i przedsiębiorców prowadzących jednoosobową działalność gospodarczą serwis nie pokazuje.
- Cloudflare, Inc. jako dostawca bazy danych, w której przechowywane są zaszyfrowane oznaczenia stron i dane spraw osób bez imion i nazwisk, i infrastruktury, przez którą strona jest udostępniana.
- UW-TEAM.org Jakub Mrugalski jako dostawca usługi Mikrus, na której serwerze w Finlandii działa odczyt publikacji organów.
Baza danych z danymi stron jest przechowywana w Unii Europejskiej. Cloudflare, Inc. ma siedzibę w Stanach Zjednoczonych. Podstawą przekazania danych do tej firmy jest decyzja wykonawcza Komisji Europejskiej z dnia 10 lipca 2023 r. w sprawie transatlantyckich ram ochrony danych UE-USA (EU-US Data Privacy Framework), do których przystąpiła, a w razie potrzeby dodatkowo standardowe klauzule umowne jako podstawa zapasowa. Serwer usługi Mikrus stoi w Finlandii, więc przetwarzanie na nim odbywa się w Europejskim Obszarze Gospodarczym.
Okres przechowywania danych o sprawach
Dane strony są przechowywane, dopóki sprawa jest w rejestrze; sprawa nie ma obecnie terminu wyjścia z rejestru. Wcześniej administrator usuwa z bazy oznaczenie strony przy najbliższej aktualizacji po tym, jak organ usunie je z opublikowanego dokumentu, na przykład zastąpi nazwisko znakiem "(...)". Sama sprawa zostaje w rejestrze jako fakt organu bez oznaczenia strony. Gdy organ zdejmie ze strony cały dokument, oznaczenie zostaje w bazie, dopóki sprawa jest w rejestrze. Informacja, która po sprzeciwie zapobiega ponownemu pobraniu danych, jest przechowywana na stałe.
Prawo sprzeciwu strony sprawy
Stronie sprawy przysługuje prawo wniesienia sprzeciwu (art. 21 ust. 1 RODO), a także pozostałe prawa wymienione w sekcji o prawach osób, których dane dotyczą. Sprzeciw osoby fizycznej administrator wykonuje niezwłocznie: usuwa jej dane z bazy, zapisuje informację, która zapobiega ich ponownemu pobraniu, a w danych rejestru sprawa zostaje jako fakt organu bez nazwy i oznaczenia strony. Sprzeciw można zgłosić pod adresem biuro@cyberkatalog.pl.
Brak indywidualnego powiadomienia stron spraw
Administrator nie informuje indywidualnie stron spraw. Decyzje Prezesa Urzędu Ochrony Danych Osobowych nie podają danych kontaktowych stron. Część komunikatów Komisji Nadzoru Finansowego podaje imię i nazwisko ukaranej osoby, ale nie jej dane kontaktowe. Danych kontaktowych, które podają niektóre inne publikacje (na przykład adresu przedsiębiorcy w decyzji Prezesa Urzędu Ochrony Konkurencji i Konsumentów), administrator nie zbiera, a dotarcie do nich wymagałoby nowego zbierania danych, którego cel rejestru nie wymaga, więc powiadomienie każdej osoby wymagałoby niewspółmiernie dużego wysiłku (art. 14 ust. 5 lit. b RODO). Jako odpowiednie środki ochrony ich praw ta informacja jest udostępniona publicznie na tej stronie, oznaczenia stron są przechowywane w postaci zaszyfrowanej, dane kontaktowe nie są zbierane, a sprzeciw jest wykonywany niezwłocznie.
Wyszukiwanie kandydatów do katalogu w KRS
Ta sekcja dotyczy osób fizycznych, których nazwisko jest częścią nazwy podmiotu wpisanego do rejestru przedsiębiorców albo rejestru stowarzyszeń Krajowego Rejestru Sądowego, niezależnie od jego formy prawnej, na przykład wspólnika spółki jawnej, założyciela spółki z ograniczoną odpowiedzialnością albo fundatora fundacji. Ich dane nie pochodzą od nich samych, tylko z Krajowego Rejestru Sądowego, dlatego informacja poniżej wykonuje obowiązek z art. 14 RODO.
Cel i podstawa przetwarzania przy wyszukiwaniu kandydatów
Administrator szuka spółek, które mogą świadczyć usługi cyberbezpieczeństwa i nie są jeszcze w katalogu. Wyszukiwanie czyta Biuletyn KRS i odpisy spółek przez otwarte API rejestru i proponuje kandydatów do ręcznej weryfikacji, a o dodaniu firmy do katalogu decyduje administrator, tak jak przy każdej innej firmie. Odpis jest pobierany w całości, bo API rejestru nie pozwala wybrać jego części, ale działów odpisu z zarządem, wspólnikami i prokurentami wyszukiwanie nie odczytuje ani nie zapisuje.
Podstawą jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO), polegający na kompletności katalogu jako mapy rynku usług cyberbezpieczeństwa. Administrator zestawił ten interes z interesami i prawami osób. Dane są jawne z mocy ustawy o Krajowym Rejestrze Sądowym, dotyczą udziału w obrocie gospodarczym i nie są pokazywane w serwisie, a baza nie przechowuje nazw podmiotów. Przeciw przetwarzaniu przemawia to, że osoba nie wie o przetwarzaniu, a dane nie mają terminu usunięcia. Ocena wypadła na korzyść przetwarzania pod trzema warunkami:
- skrót nazwy powstaje wyłącznie dla podmiotów zaproponowanych jako kandydaci;
- sprzeciw usuwa z wyszukiwania dane numeru KRS i blokuje ten numer przed ponownym zaproponowaniem;
- ta informacja jest opublikowana przed pierwszym uruchomieniem wyszukiwania.
Kategorie danych przy wyszukiwaniu kandydatów
- numer KRS, forma prawna i kody PKD podmiotu;
- dla podmiotów zaproponowanych jako kandydaci także stan kandydata i skrót nazwy podmiotu liczony funkcją HMAC z tajnym kluczem.
Skrót służy wyłącznie do wykrycia, że odrzucony kandydat zmienił nazwę. Jest pseudonimem, a nie anonimizacją, bo posiadacz klucza może sprawdzić, czy skrót odpowiada danej nazwie. Nazwy, numeru NIP, adresu ani danych kontaktowych administrator nie zapisuje, a nazwę i NIP kandydata odczytuje z odpisu w chwili przeglądu.
Źródło danych przy wyszukiwaniu kandydatów
Biuletyn KRS i odpisy aktualne podmiotów z rejestru przedsiębiorców i rejestru stowarzyszeń, udostępniane przez otwarte API Krajowego Rejestru Sądowego. Rejestr jest jawny, a jego dane są publicznie dostępne.
Odbiorcy danych z wyszukiwania kandydatów i przekazanie do państwa trzeciego
- Czytelnicy serwisu nie są odbiorcami tych danych, bo wyszukiwanie nie pokazuje w serwisie żadnych danych.
- Cloudflare, Inc. jako dostawca bazy danych, w której przechowywane są dane wyszukiwania.
- UW-TEAM.org Jakub Mrugalski jako dostawca usługi Mikrus, na której serwerze w Finlandii działa wyszukiwanie.
- Anthropic (Anthropic Ireland, Limited oraz Anthropic PBC) jako dostawca modelu sztucznej inteligencji, z którego korzysta agent wstępnie przeglądający kandydatów. Z listy przeglądu agent dostaje wyłącznie numery KRS kandydatów, bez nazw i numerów NIP. Firmę, którą administrator zleci dodać do katalogu, agent sprawdza tak jak każdą inną firmę dodawaną do katalogu, a więc wraz z jej nazwą.
Cloudflare, Inc. ma siedzibę w Stanach Zjednoczonych. Podstawą przekazania danych do tej firmy jest decyzja wykonawcza Komisji Europejskiej z dnia 10 lipca 2023 r. w sprawie transatlantyckich ram ochrony danych UE-USA (EU-US Data Privacy Framework), do których przystąpiła, a w razie potrzeby dodatkowo standardowe klauzule umowne jako podstawa zapasowa. Anthropic przetwarza dane na serwerach w Stanach Zjednoczonych i według swojej polityki prywatności opiera to przekazanie na decyzjach Komisji Europejskiej stwierdzających odpowiedni stopień ochrony albo na standardowych klauzulach umownych zatwierdzonych przez Komisję (art. 45 i 46 RODO). Serwer usługi Mikrus stoi w Finlandii, więc przetwarzanie na nim odbywa się w Europejskim Obszarze Gospodarczym.
Okres przechowywania danych z wyszukiwania kandydatów
Dane są przechowywane, dopóki działa wyszukiwanie, bo pozwalają zapamiętać, które podmioty już oceniono i które odrzucono. Lista wykluczeń zawiera sam numer KRS i datę wpisu i jest przechowywana na stałe, bo bez niej podmiot, wobec którego wniesiono sprzeciw, zostałby zaproponowany ponownie.
Prawo sprzeciwu przy wyszukiwaniu kandydatów
Osobie, której nazwisko jest częścią nazwy podmiotu, przysługuje prawo wniesienia sprzeciwu (art. 21 ust. 1 RODO), a także pozostałe prawa wymienione w sekcji o prawach osób, których dane dotyczą. Administrator wykonuje sprzeciw niezwłocznie po zgłoszeniu: usuwa z wyszukiwania dane tego numeru KRS i wpisuje numer na listę wykluczeń, dzięki czemu podmiot nie zostanie ponownie zaproponowany jako kandydat. Jeśli w chwili sprzeciwu trwa wyszukiwanie, które ma już w kolejce odpis tego podmiotu, odpis może zostać pobrany jeszcze raz, ale nic z niego nie jest zapisywane.
Sprzeciw dotyczy wyłącznie wyszukiwania kandydatów. Wpisu firmy, która jest już w katalogu, ten sprzeciw nie usuwa, bo firmę z katalogu usuwa administrator wyłącznie ręcznie, osobną decyzją. Sprzeciw, a także żądanie dotyczące wpisu firmy w katalogu, można zgłosić pod adresem biuro@cyberkatalog.pl, podając numer KRS.
Brak indywidualnego powiadomienia przy wyszukiwaniu kandydatów
Administrator nie informuje tych osób indywidualnie. Krajowy Rejestr Sądowy nie podaje ich danych kontaktowych, a wyszukiwanie nie zapisuje nawet nazw podmiotów, więc powiadomienie każdej osoby wymagałoby niewspółmiernie dużego wysiłku (art. 14 ust. 5 lit. b RODO). Jako odpowiedni środek ochrony ich praw ta informacja jest udostępniona publicznie na tej stronie.
Prelegenci wydarzeń z kalendarza
Ta sekcja dotyczy osób, które organizator wydarzenia z kalendarza cyberkatalog.pl ogłosił z imienia i nazwiska w oficjalnej agendzie albo na oficjalnej liście prelegentów, na przykład prelegentów, panelistów i prowadzących. Ich dane nie pochodzą od nich samych, tylko z agendy organizatora, dlatego informacja poniżej wykonuje obowiązek z art. 14 RODO.
Cel i podstawa przetwarzania danych prelegentów
Administrator pokazuje na stronie wydarzenia, kto na nim wystąpi: w treści strony i w danych strukturalnych dla wyszukiwarek. W treści strony podaje też domenę strony, na której organizator opublikował agendę.
Podstawą jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO), polegający na rzetelnej informacji o wydarzeniach branży cyberbezpieczeństwa. Skład prelegentów jest dla czytelnika głównym powodem wyboru wydarzenia, a sama liczba prelegentów tego nie oddaje, więc potrzebne jest imię i nazwisko; nic więcej o osobie administrator nie zbiera. Administrator zestawił ten interes z interesami i prawami osób. Organizator ogłosił prelegenta publicznie, żeby wypromować wydarzenie, a prelegent występuje w roli zawodowej. Przeciw przetwarzaniu przemawia to, że osoba nie wie o przetwarzaniu, a zestawienie wielu wydarzeń mogłoby pokazać historię jej wystąpień. Ocena wypadła na korzyść przetwarzania pod czterema warunkami:
- pokazywane są wyłącznie osoby z oficjalnej agendy organizatora; administrator zapisuje razem z listą pełny adres agendy, a przy wydarzeniu pokazuje domenę strony, na której organizator ją opublikował;
- administrator zapisuje samo imię i nazwisko w brzmieniu z agendy, bez zdjęcia, firmy, stanowiska i opisu;
- serwis nie ma strony osoby, wyszukiwania po osobie ani zestawienia wystąpień jednej osoby;
- sprzeciw jest wykonywany niezwłocznie.
Kategorie danych prelegentów
- imię i nazwisko w brzmieniu z agendy;
- wydarzenie, na którym osoba występuje, i jej pozycja na liście w agendzie;
- adres agendy i dzień jej odczytu;
- po sprzeciwie skrót imienia i nazwiska liczony funkcją HMAC z tajnym kluczem, zapisany na liście wykluczeń. Skrót jest pseudonimem, a nie anonimizacją, bo posiadacz klucza może sprawdzić, czy odpowiada danemu imieniu i nazwisku.
Źródło danych prelegentów
Oficjalna agenda albo oficjalna lista prelegentów opublikowana przez organizatora wydarzenia na jego stronie, publicznie dostępna w chwili odczytu.
Odbiorcy danych prelegentów i przekazanie do państwa trzeciego
- Czytelnicy serwisu i wyszukiwarki internetowe, bo imię i nazwisko jest na publicznej stronie wydarzenia.
- Cloudflare, Inc. jako dostawca bazy danych, w której przechowywana jest lista prelegentów, środowiska, w którym budowana jest strona, i infrastruktury, przez którą strona jest udostępniana.
- Anthropic (Anthropic Ireland, Limited oraz Anthropic PBC) jako dostawca modelu sztucznej inteligencji, z którego korzysta agent odczytujący agendy i przygotowujący listę prelegentów.
- UW-TEAM.org Jakub Mrugalski jako dostawca usługi Mikrus, na której serwerze w Finlandii działa zapis list prelegentów do bazy danych i cotygodniowe usuwanie list wydarzeń, których nie ma już w kalendarzu.
Baza danych z listą prelegentów jest przechowywana w Unii Europejskiej. Cloudflare, Inc. i Anthropic PBC mają siedzibę w Stanach Zjednoczonych. Podstawą przekazania danych do Cloudflare, Inc. jest decyzja wykonawcza Komisji Europejskiej z dnia 10 lipca 2023 r. w sprawie transatlantyckich ram ochrony danych UE-USA (EU-US Data Privacy Framework), do których ta firma przystąpiła, a w razie potrzeby dodatkowo standardowe klauzule umowne jako podstawa zapasowa. Anthropic według swojej polityki prywatności opiera przekazanie na decyzjach Komisji Europejskiej stwierdzających odpowiedni stopień ochrony albo na standardowych klauzulach umownych zatwierdzonych przez Komisję (art. 45 i 46 RODO). Strona wydarzenia jest publiczna, więc mogą ją czytać także osoby spoza Europejskiego Obszaru Gospodarczego.
Okres przechowywania danych prelegentów
Dane są przechowywane, dopóki wydarzenie jest w kalendarzu serwisu, także po jego terminie. Gdy wydarzenie zostaje usunięte z kalendarza, lista jego prelegentów jest usuwana w najbliższym cotygodniowym przebiegu, a ze strony znika przy najbliższej aktualizacji serwisu. Wpis na liście wykluczeń, powstały po sprzeciwie, jest przechowywany na stałe, bo bez niego osoba zostałaby dodana ponownie z kolejnej agendy.
Prawo sprzeciwu prelegenta
Prelegentowi przysługuje prawo wniesienia sprzeciwu (art. 21 ust. 1 RODO), a także pozostałe prawa wymienione w sekcji o prawach osób, których dane dotyczą. Administrator wykonuje sprzeciw niezwłocznie po zgłoszeniu: usuwa imię i nazwisko osoby ze wszystkich wydarzeń i zapisuje na liście wykluczeń skrót tego imienia i nazwiska, dzięki czemu osoba nie zostanie dodana ponownie z kolejnej agendy. Zaraz potem administrator aktualizuje serwis, więc osoba znika ze stron wydarzeń; z wyników wyszukiwarek znika, gdy wyszukiwarka odświeży stronę. Sprzeciw można zgłosić pod adresem biuro@cyberkatalog.pl, podając imię i nazwisko oraz wydarzenie.
Brak indywidualnego powiadomienia prelegentów
Administrator nie informuje prelegentów indywidualnie. Agendy nie podają ich danych kontaktowych, a ich zbieranie dla każdej osoby byłoby nowym przetwarzaniem, którego cel nie wymaga, więc powiadomienie wymagałoby niewspółmiernie dużego wysiłku (art. 14 ust. 5 lit. b RODO). Jako odpowiedni środek ochrony ich praw ta informacja jest udostępniona publicznie na tej stronie.
Osoby prowadzące jednoosobową działalność: sprawdzanie adresów stron firm
Raz w tygodniu administrator sprawdza, czy adres strony podany przy firmie w katalogu nadal działa: czy strona odpowiada, dokąd przekierowuje, czy domena nie wygasła, nie jest zaparkowana ani zablokowana w rejestrze domen. Zapisuje wyłącznie ten adres, łańcuch przekierowań i publiczne dane techniczne domeny, bez imion, nazwisk i danych kontaktowych abonenta. Gdy firmę prowadzi osoba fizyczna w ramach jednoosobowej działalności gospodarczej, te dane dotyczą jej działalności. Podstawą jest prawnie uzasadniony interes administratora, czyli aktualność katalogu (art. 6 ust. 1 lit. f RODO).
Dane pochodzą z publicznie dostępnych odpowiedzi serwera strony, systemu nazw domen (DNS) i rejestru domen (RDAP), a adres strony z katalogu.
Wyniki służą wyłącznie do poprawiania wpisów i nie są publikowane ani przekazywane dalej. Administrator przechowuje je przez 24 miesiące od pomiaru w prywatnym repozytorium w usłudze GitHub, Inc., a wcześniejsze wersje zestawu zostają w historii zmian tego repozytorium. GitHub, Inc. ma siedzibę w Stanach Zjednoczonych, a podstawą przekazania danych do tej firmy jest decyzja wykonawcza Komisji Europejskiej z dnia 10 lipca 2023 r. w sprawie transatlantyckich ram ochrony danych UE-USA (EU-US Data Privacy Framework). Po sprzeciwie administrator usuwa wyniki dotyczące danej działalności z bieżącego zestawu i przestaje ją sprawdzać, a wcześniejsze wersje w historii zmian zostają.
Administrator nie informuje tych osób indywidualnie, bo sprawdzanie nie zbiera ich danych kontaktowych, a ich ustalenie wymagałoby niewspółmiernie dużego wysiłku (art. 14 ust. 5 lit. b RODO). Jako odpowiedni środek ochrony ich praw ta informacja jest udostępniona publicznie na tej stronie.
Prawa osób, których dane dotyczą
Osobom, których dane dotyczą, przysługuje prawo dostępu do danych, ich sprostowania, usunięcia i ograniczenia przetwarzania oraz prawo wniesienia sprzeciwu (art. 21 ust. 1 RODO). Żądania i sprzeciw można zgłosić pod adresem biuro@cyberkatalog.pl. Dane nie są wykorzystywane do zautomatyzowanego podejmowania decyzji, w tym profilowania, o którym mowa w art. 22 RODO.
Prawo wniesienia skargi
W przypadku uznania, że przetwarzanie danych osobowych narusza przepisy RODO, przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.