Klauzula informacyjna

Zgodnie z art. 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych oraz swobodnego przepływu takich danych (RODO), informujemy, że:

Administrator danych osobowych

Administratorem Pani/Pana danych osobowych jest Dawid Ryłko, prowadzący działalność gospodarczą, NIP 6472552448, REGON 381839492.

Dane kontaktowe administratora

W sprawach dotyczących przetwarzania danych osobowych można kontaktować się pod adresem e-mail: biuro@cyberkatalog.pl. Pełne dane rejestrowe wraz z adresem do doręczeń znajdują się w Regulaminie.

Cele i podstawy przetwarzania danych osobowych

Pani/Pana dane osobowe przetwarzane będą w następujących celach:

• Na podstawie zgody (art. 6 ust. 1 lit. a RODO): w zakresie, w jakim została udzielona.
• Zawarcie i realizacja umowy (art. 6 ust. 1 lit. b RODO): w tym kontakt telefoniczny, e-mailowy i osobisty, wystawienie oferty oraz realizacja zamówienia.
• Wykonywanie obowiązków prawnych związanych z prowadzeniem działalności gospodarczej (art. 6 ust. 1 lit. c RODO): księgowość, podatki, archiwizacja.
• Prawnie uzasadnione interesy administratora (art. 6 ust. 1 lit. f RODO): udostępnianie serwisu za pośrednictwem dostawcy infrastruktury, zapewnienie bezpieczeństwa usług, ochrona formularzy przed nadużyciem, rozpatrywanie reklamacji, obrona przed roszczeniami.
• Zgłoszenie firmy do katalogu (art. 6 ust. 1 lit. b RODO): obsługa zgłoszenia przesłanego formularzem, potwierdzenie służbowego adresu e-mail, weryfikacja danych w rejestrach publicznych oraz kontakt w sprawie zgłoszenia, aż do publikacji Profilu albo odmowy.
• Zgłoszenie wydarzenia do kalendarza (art. 6 ust. 1 lit. f RODO): obsługa zgłoszenia przesłanego formularzem, weryfikacja terminu i szczegółów na stronie organizatora oraz kontakt z osobą zgłaszającą w sprawie zgłoszenia, aż do publikacji wpisu albo odmowy. Podstawą jest prawnie uzasadniony interes administratora, polegający na prowadzeniu rzetelnego kalendarza wydarzeń i kontakcie z organizatorem.
• Zgłoszenie kanału RSS do agregatora (art. 6 ust. 1 lit. f RODO): obsługa zgłoszenia przesłanego formularzem, sprawdzenie kanału według zasad obowiązujących obecne źródła oraz kontakt z osobą zgłaszającą w sprawie zgłoszenia, aż do dodania kanału albo odmowy. Podstawą jest prawnie uzasadniony interes administratora, polegający na prowadzeniu agregatora aktualności i kontakcie z wydawcą.
• Pokazanie struktury właścicielskiej dostawcy na Profilu (art. 6 ust. 1 lit. f RODO): dane wspólników będących osobami fizycznymi, podawane wyłącznie zbiorczo. Ten cel opisuje osobno sekcja Wspólnicy firm z katalogu będący osobami fizycznymi.
• Pokazanie powiązań osobowych między firmami z katalogu (art. 6 ust. 1 lit. f RODO): rodzaj funkcji osoby pełniącej funkcję w dwóch firmach z katalogu, bez danych tej osoby. Ten cel opisuje osobno podsekcja Powiązania osobowe między firmami z katalogu.

Podanie danych osobowych jest dobrowolne, ale niezbędne do realizacji powyższych celów. Nie dotyczy to wspólników oraz członków zarządu i rady nadzorczej firm z katalogu, których dane pochodzą z Krajowego Rejestru Sądowego, a nie od nich samych.

Odbiorcy danych osobowych

Pani/Pana dane osobowe mogą być przekazywane:

• Podmiotom uprawnionym do uzyskania danych na podstawie przepisów prawa (np. organy ścigania, urzędy skarbowe).
• Podmiotom współpracującym z administratorem, takim jak dostawcy usług IT, kancelarie prawne oraz podmioty świadczące usługi księgowe.
• Cloudflare, Inc. jako dostawcy infrastruktury, przez którą przechodzi ruch serwisu. Firma ta otrzymuje adres IP oraz dane o żądaniu każdego odwiedzającego, niezależnie od decyzji podjętej w banerze cookies, ponieważ bez tego pośrednictwa strona się nie wyświetli. Ta sama firma zbiera zagregowane statystyki odwiedzin w usłudze Cloudflare Web Analytics, która nie sięga do urządzenia użytkownika.
• Google Ireland Limited oraz Google LLC w związku z korzystaniem z usługi Google Analytics 4, wyłącznie w przypadku wyrażenia zgody na cookies analityczne.
• Podmiotom, którym administrator powierzył przetwarzanie danych osobowych na podstawie odpowiednich umów.
• Brevo SAS z siedzibą w Paryżu jako dostawcy poczty transakcyjnej, przez którą wychodzą wiadomości dotyczące zgłoszenia firmy: prośba o potwierdzenie adresu, informacja o przyjęciu zgłoszenia i informacja o odmowie publikacji. Przez tego samego dostawcę zgłoszenia wydarzeń i kanałów RSS przesłane formularzem trafiają do skrzynki administratora. Ten dostawca otrzymuje adres e-mail odbiorcy oraz treść wiadomości, w tym dane osoby zgłaszającej.
• Wybranym firmom prezentowanym w katalogu CyberKatalog.pl, wyłącznie w zakresie treści zapytania ofertowego i danych kontaktowych oraz wyłącznie po wyrażeniu przez Panią/Pana odrębnej, dobrowolnej zgody na takie przekazanie.

Odbiorców danych wspólników firm z katalogu wymienia osobno sekcja Wspólnicy firm z katalogu będący osobami fizycznymi.

Przekazywanie danych do państwa trzeciego lub organizacji międzynarodowej

Dane osobowe użytkowników serwisu są przekazywane do państwa trzeciego (USA) w dwóch sytuacjach. Pierwsza zachodzi przy każdej wizycie w serwisie, druga wyłącznie po wyrażeniu zgody.

Przekazanie niezależne od zgody wynika z infrastruktury serwisu. Ruch obsługuje Cloudflare, Inc. z siedzibą w Stanach Zjednoczonych, więc adres IP oraz dane o żądaniu trafiają do tej firmy przy każdym wejściu na stronę, również po odrzuceniu kategorii analitycznej w banerze cookies. Bez pośrednictwa dostawcy infrastruktury strona nie zostanie dostarczona do przeglądarki, dlatego tego przekazania nie da się wyłączyć w ustawieniach cookies. Administrator powierzył Cloudflare, Inc. przetwarzanie danych osobowych w zakresie niezbędnym do udostępniania serwisu, na podstawie umowy powierzenia zawartej zgodnie z art. 28 RODO.

Przekazanie zależne od zgody wynika z pomiaru ruchu. Usługę Google Analytics 4 dostarcza Google LLC z siedzibą w Stanach Zjednoczonych, a dane trafiają tam wyłącznie w przypadku wyrażenia zgody na cookies analityczne. Administrator powierzył Google Ireland Limited przetwarzanie danych osobowych na podstawie umowy powierzenia zawartej zgodnie z art. 28 RODO.

W obu przypadkach podstawą transferu jest decyzja wykonawcza Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony danych osobowych w ramach transatlantyckich ram ochrony danych UE-USA (EU-US Data Privacy Framework), a w razie potrzeby dodatkowo standardowe klauzule umowne jako podstawa zapasowa.

Trzeci procesor nie mieści się w żadnej z tych dwóch sytuacji, bo nie wiąże się z transferem. Pocztę dotyczącą zgłoszeń firm, wydarzeń i kanałów RSS doręcza Brevo SAS z siedzibą we Francji, a dane przetwarza na serwerach we Francji i w Niemczech, czyli w Europejskim Obszarze Gospodarczym. Administrator powierzył Brevo SAS przetwarzanie danych osobowych na podstawie umowy powierzenia zawartej zgodnie z art. 28 RODO.

Przekazanie danych wspólników firm z katalogu do Stanów Zjednoczonych opisuje sekcja Wspólnicy firm z katalogu będący osobami fizycznymi.

Okres przechowywania danych osobowych

Dane osobowe będą przechowywane przez okres niezbędny do realizacji celów przetwarzania, a po ich zakończeniu przez okres wynikający z przepisów prawa lub do przedawnienia ewentualnych roszczeń. Okres przechowywania danych wspólników firm z katalogu podaje osobno sekcja Wspólnicy firm z katalogu będący osobami fizycznymi.

Dane techniczne przetwarzane przy obsłudze ruchu, w tym adres IP, oraz zagregowane statystyki odwiedzin w usłudze Cloudflare Web Analytics zapisuje dostawca infrastruktury (Cloudflare, Inc.). Serwis nie prowadzi własnych logów żądań, a okres przechowywania po stronie tego dostawcy wynika z jego polityki i z planu usług, z którego korzysta serwis.

Dla pomiaru ruchu i dla samego zapisu decyzji o zgodzie okresy są następujące:

• W usłudze Google Analytics 4 dane na poziomie użytkownika i zdarzenia przechowywane są przez 14 miesięcy od ich zebrania. Tyle wynosi okres retencji ustawiony dla właściwości cyberkatalog.pl.
• Pliki cookies analityczne _ga i _ga_45VJ81DLJN są przechowywane na urządzeniu 13 miesięcy od zapisania. Termin nie przedłuża się przy kolejnych wizytach. Wycofanie zgody usuwa te pliki od razu, bez czekania na upływ terminu.
• Zapis decyzji o zgodzie (cookieConsent w pamięci lokalnej przeglądarki) jest ważny przez 13 miesięcy od jej zapisania. Po tym terminie zostaje usunięty przy najbliższej wizycie, a serwis pyta o zgodę ponownie.

Dla zgłoszeń firm przesłanych formularzem okresy są następujące:

• Zgłoszenie, którego adres e-mail nie został potwierdzony, usuwane jest automatycznie po 7 dniach od przesłania. Nie trafia wtedy do rozpatrzenia.
• Zgłoszenie odrzucone oraz zgłoszenie, na podstawie którego opublikowano Profil, przechowywane jest do czasu zgłoszenia żądania usunięcia. Kryterium wynika z celu: odrzucone pozwala odpowiedzieć na odwołanie, a przyjęte jest źródłem opublikowanych danych i dowodem, że publikacja nastąpiła na wniosek Partnera.

Zgłoszenie wydarzenia albo kanału RSS przesłane formularzem nie jest zapisywane w bazie danych serwisu. Trafia jako wiadomość e-mail do skrzynki administratora i jest w niej przechowywane do czasu zgłoszenia żądania usunięcia. Kryterium wynika z celu: wiadomość dokumentuje, na czyje zgłoszenie i na podstawie jakich danych powstał wpis w kalendarzu albo dodano kanał do agregatora, a przy odmowie, z jakiego powodu jej udzielono. Pozwala też odpowiedzieć na pytania organizatora albo wydawcy o to zgłoszenie.

Prawa osób, których dane dotyczą

Przysługuje Pani/Panu prawo do:

• Dostępu do treści swoich danych,
• Sprostowania danych,
• Usunięcia danych (prawo do bycia zapomnianym),
• Ograniczenia przetwarzania danych,
• Przenoszenia danych do innego administratora,
• Wniesienia sprzeciwu wobec przetwarzania danych,
• Cofnięcia zgody w dowolnym momencie, o ile przetwarzanie odbywa się na podstawie zgody.

Prawo wniesienia skargi

W przypadku uznania, że przetwarzanie danych osobowych narusza przepisy RODO, przysługuje Pani/Panu prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Informacja o konsekwencjach niepodania danych

Podanie danych osobowych jest dobrowolne, ale niezbędne do realizacji celów przetwarzania. W przypadku ich niepodania nie będzie możliwe zawarcie umowy ani realizacja usług. Nie dotyczy to wspólników oraz członków zarządu i rady nadzorczej firm z katalogu, których dane pochodzą z rejestru, a nie od nich samych.

Przy zgłoszeniu firmy do katalogu niepodanie służbowego adresu e-mail uniemożliwia potwierdzenie zgłoszenia, a tym samym jego rozpatrzenie.

Przy zgłoszeniu wydarzenia albo kanału RSS niepodanie adresu e-mail osoby zgłaszającej uniemożliwia kontakt w sprawie zgłoszenia, a tym samym jego rozpatrzenie.

Informacja o zautomatyzowanym podejmowaniu decyzji i profilowaniu

Pani/Pana dane mogą być poddane zautomatyzowanemu podejmowaniu decyzji, w tym profilowaniu, wyłącznie w zakresie niezbędnym do zawarcia lub realizacji umowy, bądź zgodnie z udzieloną zgodą, o ile jest wymagana.

Wspólnicy firm z katalogu będący osobami fizycznymi

Ta sekcja dotyczy osób fizycznych, które są wspólnikami spółek prezentowanych w katalogu albo spółek w ich łańcuchu właścicielskim, a podsekcja o powiązaniach osobowych także członków zarządu i rady nadzorczej spółek z katalogu. Ich dane nie pochodzą od nich samych, tylko z Krajowego Rejestru Sądowego, dlatego informacja poniżej wykonuje obowiązek z art. 14 RODO.

Cel i podstawa przetwarzania

Profil firmy z katalogu pokazuje, kto ją kontroluje i jak zmieniał się skład jej wspólników według Krajowego Rejestru Sądowego. Udział wspólników będących osobami fizycznymi podawany jest wyłącznie zbiorczo.

Podstawą jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). Czytelnik wybierający dostawcę usług bezpieczeństwa chce wiedzieć, kto ten podmiot kontroluje, a bez części należącej do osób fizycznych procent wspólników będących podmiotami wyglądałby jak cała własność firmy. Administrator zestawił ten interes z interesami i prawami wspólników. Dane są jawne z mocy ustawy o Krajowym Rejestrze Sądowym, dotyczą udziału w obrocie gospodarczym, a Profil pokazuje mniej niż odpis z rejestru. Przeciw przetwarzaniu przemawia zasięg strony indeksowanej przez wyszukiwarki, większy niż krąg osób otwierających odpis. Ocena wypadła na korzyść przetwarzania pod trzema warunkami:

• Profil nie pokazuje imion, nazwisk ani udziału i dat pojedynczej osoby;
• informacja z art. 14 RODO jest opublikowana, zanim dane osób fizycznych trafią na Profil;
• sprzeciw usuwa z Profilu dane osób fizycznych całej firmy.

Kategorie danych

Na Profilu, wyłącznie zbiorczo dla firmy albo okresu, pojawiają się:

• liczba wspólników będących osobami fizycznymi przy firmie z katalogu i przy każdej spółce w jej łańcuchu właścicielskim;
• liczba tych osób i ich łączny procent kapitału zakładowego w każdym okresie składu wspólników, z numerami i datami wpisów do rejestru na granicach okresu;
• zmiana liczby osób i zmiana ich łącznego udziału przy wpisie do rejestru, z numerem i datą wpisu.

Nie są publikowane imiona, nazwiska, numery PESEL, daty urodzenia ani obywatelstwo wspólników, a także udział i daty dotyczące pojedynczej osoby. Łączny procent wyliczany jest jednak z udziałów poszczególnych wspólników zapisanych w odpisie. Gdy wspólnikiem jest jedna osoba fizyczna, liczba osób i ich łączny procent opisują ją wprost, a data wpisu ze zmianą liczby osób jest datą jej wejścia do spółki albo wyjścia z niej.

Źródło danych

Dane pochodzą z odpisu pełnego i aktualnego z Krajowego Rejestru Sądowego, odczytywanego raz w tygodniu przez otwarte API rejestru. Rejestr jest jawny, a jego dane są publicznie dostępne.

Odbiorcy danych i przekazanie do państwa trzeciego

• Każdy czytelnik serwisu, ponieważ Profil jest publiczny i indeksowany przez wyszukiwarki.
• Cloudflare, Inc. jako dostawca infrastruktury, przez którą strona jest udostępniana, na zasadach opisanych w sekcji o przekazywaniu danych do państwa trzeciego.
• GitHub, Inc., w którego usłudze, w prywatnych repozytoriach administratora, przechowywane i przetwarzane są tygodniowe odczyty rejestru z udziałami i datami wpisów poszczególnych wspólników oraz wyliczony z nich zestaw danych zbiorczych zasilający Profil.

Obie firmy mają siedzibę w Stanach Zjednoczonych. Podstawą przekazania danych do każdej z nich jest decyzja wykonawcza Komisji Europejskiej z dnia 10 lipca 2023 r. w sprawie transatlantyckich ram ochrony danych UE-USA (EU-US Data Privacy Framework), do których obie przystąpiły.

Okres przechowywania

Dane pozostają na Profilu, dopóki firma jest w katalogu. Zestaw danych zasilający Profil jest nadpisywany co tydzień, więc po usunięciu firmy z katalogu jej dane znikają przy najbliższej aktualizacji. Poprzednie wersje tego zestawu oraz tygodniowe odczyty rejestru zostają bez terminu w historii prywatnych repozytoriów administratora, ponieważ administrator nie przepisuje historii tych repozytoriów.

Prawo sprzeciwu

Wspólnikowi przysługuje prawo wniesienia sprzeciwu z przyczyn związanych z jego szczególną sytuacją (art. 21 ust. 1 RODO), a także pozostałe prawa wymienione w sekcji o prawach osób, których dane dotyczą. Administrator rozpatruje sprzeciw, zestawiając podane w nim przyczyny z interesem opisanym wyżej. Dane są zbiorcze, więc nie da się z nich wyjąć jednej osoby. Po uwzględnieniu sprzeciwu z Profilu tej firmy znikają wszystkie dane wspólników będących osobami fizycznymi: liczba osób przy firmie i przy spółkach w łańcuchu, ich łączny udział w okresach oraz zmiany liczby i udziału na liście wpisów. Znika też każde powiązanie tej firmy z inną firmą przez wspólną osobę, na Profilach obu firm. Historia wspólników będących podmiotami zostaje.

Usunięcie obejmuje stronę i bieżący zestaw danych. Poprzednie wersje zestawu oraz tygodniowe odczyty rejestru zostają z powodu podanego w sekcji o okresie przechowywania. Sprzeciw można zgłosić pod adresem biuro@cyberkatalog.pl.

Powiązania osobowe między firmami z katalogu

Profil firmy z katalogu pokazuje także, że ta sama osoba pełni funkcję w tej firmie i w innej firmie z katalogu: w zarządzie, w radzie nadzorczej albo wśród wspólników. Ta podsekcja dotyczy członków zarządu, członków rady nadzorczej i wspólników będących osobami fizycznymi, których takie powiązanie obejmuje.

Celem jest pokazanie czytelnikowi, że dwie firmy z katalogu są ze sobą powiązane, także wtedy, gdy nie łączy ich kapitał. Podstawą jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). Administrator ocenił go tak jak dla danych wspólników: dane są jawne w Krajowym Rejestrze Sądowym, dotyczą funkcji w obrocie gospodarczym, a Profil pokazuje mniej niż odpis z rejestru.

Na Profilach obu firm pojawiają się nazwa drugiej firmy, rodzaj funkcji pełnionej w każdej z nich oraz źródło i data odczytu rejestru. Powiązanie jest pokazywane wyłącznie wtedy, gdy według odpisów aktualnych osoba pełni funkcję w obu firmach. Nie są publikowane imiona, nazwiska ani numery PESEL tej osoby, a także liczba osób łączących dwie firmy. Gdy zarząd albo rada nadzorcza jednej z firm liczy jedną osobę albo spółka ma jednego wspólnika, powiązanie razem z odpisem z rejestru wskazuje tę osobę wprost.

Dane pochodzą z odpisów z Krajowego Rejestru Sądowego. Odpis udostępniany przez API rejestru nie podaje pełnych danych osób, dlatego administrator potwierdza na podstawie pełnych odpisów z rejestru, że w obu firmach chodzi o tę samą osobę.

Dla danych pokazanych na Profilu odbiorcy, przekazanie do państwa trzeciego i okres przechowywania są takie jak dla danych wspólników. Powiązanie znika z Profilu przy najbliższej aktualizacji, gdy odpisy przestają je wykazywać albo jedna z firm opuszcza katalog. Prawo sprzeciwu przysługuje każdej osobie, której powiązanie dotyczy, na zasadach opisanych wyżej. Po jego uwzględnieniu z Profilu firmy znikają dane wymienione w podsekcji o prawie sprzeciwu, w tym każde powiązanie tej firmy przez wspólną osobę, na Profilach obu firm.

Brak indywidualnego powiadomienia

Administrator nie informuje indywidualnie wspólników ani członków zarządu i rady nadzorczej. Krajowy Rejestr Sądowy nie podaje ich danych kontaktowych, więc powiadomienie każdej osoby wymagałoby niewspółmiernie dużego wysiłku (art. 14 ust. 5 lit. b RODO). Jako odpowiedni środek ochrony ich praw ta informacja jest udostępniona publicznie na tej stronie.