Polityka prywatności

1. Kto przetwarza dane

SOLACE ONE sp. z o.o., ul. Uniwersytecka 13, 40-007 Katowice, KRS 0001223964, NIP 9542903298, jest administratorem danych dotyczących własnej strony, kontaktów, zawierania i rozliczania umów oraz własnego bezpieczeństwa. Kontakt ogólny: support@strefasygnalisty.pl; kontakt w sprawach danych: iod@strefasygnalisty.pl. Obecnie nie wyznaczono inspektora ochrony danych. Adres iod@strefasygnalisty.pl jest kontaktem w sprawach danych; sprawy obsługuje Marcin Materzok. Ocenę obowiązku wyznaczenia IOD prowadzimy przy uruchomieniu i zmianach skali przetwarzania.

Dla treści zgłoszeń, spraw, tożsamości, rejestru, katalogu osób upoważnionych przez klienta i danych jego integracji SOLACE ONE sp. z o.o. działa jako podmiot przetwarzający. Administratorem jest organizacja wskazana na konkretnym portalu. Jej dane i klauzule są dostępne przed zgłoszeniem i w skrzynce. W grupie spółek poszczególne spółki mogą być odrębnymi administratorami; wspólna faktura nie przesądza współadministracji.

2. Operator jako administrator

W poniższej tabeli podstawy odnoszą się do art. 6 ust. 1 RODO. „f” oznacza wskazany interes, a nie dowolność używania danych. Dane przedstawiciela spółki przetwarzamy co do zasady na podstawie lit. f, a nie dlatego, że sam przedstawiciel jest stroną umowy.

Podanie danych kontaktowych jest dobrowolne, lecz bez adresu nie odpowiemy ani nie wyślemy zamówionego materiału. Dane do zawarcia i rozliczenia umowy są niezbędne do jej wykonania lub wymagane ustawowo. Zgoda marketingowa nie jest warunkiem otrzymania materiału, skorzystania z kalkulatora, zawarcia umowy ani wniesienia reklamacji.

Nieaktywne moduły webinarów i StrefaScan nie zbierają danych. Jeśli formularz pozostał w kodzie, jego publiczne udostępnienie wymaga wcześniejszego uruchomienia procesu i aktualizacji informacji. Analityka GA4, Google Ads, LinkedIn Ads, Meta Ads i Plausible nie są uruchomione w obecnym wariancie. Przyszły wariant opisano oddzielnie w polityce cookies; jego przygotowanie nie jest zgodą użytkownika na aktywację.

Transfery i prawa przypisane do procesów

Każdy poniższy proces podlega prawu dostępu i sprostowania, prawu ograniczenia/usunięcia po spełnieniu przesłanek oraz skardze do Prezesa UODO. Dodatkowe prawa zależą od podstawy wskazanej w pierwszej tabeli, a nie od nazwy formularza. Informację o zabezpieczeniu transferu i jego kopię udostępnia kontakt ochrony danych.

3. Operator jako procesor klienta

Na polecenie klienta przetwarzamy zgłoszenia, załączniki, wiadomości, dane osób zgłaszających i wskazanych, informacje o czynnościach, uprawnienia użytkowników oraz — wyłącznie po aktywacji — dane SSO; HRIS nie jest uruchomiony. Zgłoszenie może zawierać dane szczególnych kategorii i informacje o potencjalnych czynach zabronionych. Podstawę przetwarzania określa administrator zgodnie z zakresem zgłoszenia, ustawą o ochronie sygnalistów i RODO. Umowa powierzenia nie jest samodzielną podstawą prawną administratora wobec tych osób.

Treści zgłoszeń nie trafiają do reklam, narzędzi analityki marketingowej, billingów ani zewnętrznych modeli AI. Skrzynka jest dostępna za pomocą numeru i sekretu; utraconego sekretu nie odtwarzamy. Opcjonalny adres alertów trafia do EmailLabs. SMS nie jest uruchomiony i wymaga wcześniejszej aktualizacji informacji. Ukrycie tego adresu w panelu nie oznacza, że adres przestaje być daną osobową ani że cały kanał gwarantuje anonimowość.

Dane są przechowywane zgodnie z poleceniami klienta i właściwymi terminami. Dla spraw ustawowych obowiązują m.in. art. 8 i 29 ustawy o ochronie sygnalistów; dane zbędne usuwa się bez zbędnej zwłoki, najpóźniej 14 dni po ustaleniu ich zbędności. Po zakończeniu powierzenia następuje zwrot albo usunięcie według DPA; ustawowa retencja nie upoważnia nas automatycznie do dalszego prowadzenia własnego archiwum spraw.

Logi dostępu do portalu, skrzynki i spraw, rejestr czynności oraz zabezpieczenia wykonywane dla konkretnego kanału przetwarzamy na zlecenie klienta. Sam obowiązek bezpieczeństwa z art. 32 RODO nie czyni nas administratorem całej tej dokumentacji. Odrębny, minimalny zbiór własnych zdarzeń ochrony infrastruktury wymaga wykazania własnego celu, zakresu i podstawy; nie przejmuje treści spraw. Logi portalu i prób dostępu w roli procesora mają limit 30 dni zgodnie z DPA i polityką retencji.

Użytkownik klienta może mieć dwie relacje: dane roli i logowanie do jego organizacji przetwarzamy na zlecenie klienta, natomiast dane tej samej osoby jako osoby kontaktowej do faktury mogą podlegać naszym własnym celom. Własnego celu nie rozszerzamy na całą zawartość konta.

4. Skąd pochodzą dane, odbiorcy i transfery

Dane otrzymujemy od osoby, reprezentowanej przez nią organizacji, osoby zamawiającej dostęp, kontrahenta lub z jawnego rejestru KRS/CEIDG w zakresie sprawdzenia kontrahenta. Dane zgłoszeń mogą pochodzić od zgłaszającego i osób prowadzących sprawę; zasady informacji dla osób wskazanych określa administrator kanału. Aktywowane SSO pobiera minimalne dane uwierzytelnienia opisane w dokumencie 17. HRIS nie jest uruchomiony.

Wykaz rzeczywiście używanych dostawców, ról, lokalizacji i transferów znajduje się pod adresem /podprocesorzy. Rozdziela on dalszych procesorów klienta, dostawców naszych własnych procesów i dostawców wybranych bezpośrednio przez klienta. Dane mogą również otrzymać uprawnione organy, banki, audytorzy oraz doradcy — tylko w niezbędnym zakresie i z właściwą podstawą.

Główna lokalizacja danych zgłoszeń to OVH w Warszawie, a kopie zapasowe przechowujemy w GRA (Gravelines) oraz Paris 3-AZ we Francji. Wszystkie te lokalizacje znajdują się w EOG. Sam wybór centrum danych w EOG nie wyklucza transferu przez pomoc techniczną lub dostawców metadanych. Przekazanie poza EOG wymaga właściwej podstawy z rozdziału V RODO. Powołanie się na DPF jest dopuszczalne tylko dla rzeczywiście objętego nim podmiotu i danych; SCC wymagają odpowiedniej umowy i oceny transferu. Informację o stosowanym zabezpieczeniu i możliwości otrzymania kopii można uzyskać pod iod@strefasygnalisty.pl.

5. Prawa i automatyzacja

Osoba ma prawo dostępu, sprostowania, usunięcia lub ograniczenia — przy spełnieniu ustawowych przesłanek. Przenoszenie dotyczy danych przetwarzanych automatycznie na podstawie zgody lub umowy i nie jest tożsame z eksportem wszystkich spraw organizacji. Można wycofać zgodę bez wpływu na wcześniejsze legalne przetwarzanie oraz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie. Sprzeciw wobec marketingu bezpośredniego powoduje jego zakończenie.

Wnioski do Operatora: iod@strefasygnalisty.pl lub adres siedziby. Wnioski dotyczące zgłoszeń kieruje się do administratora wskazanego w portalu; otrzymany przez nas wniosek przekazujemy mu bez nieuprawnionego ujawnienia danych. Odpowiedź następuje zasadniczo w miesiąc, z możliwością ustawowego przedłużenia i uprzednim wyjaśnieniem przyczyn. Przysługuje skarga do Prezesa Urzędu Ochrony Danych Osobowych; informacje i kontakt: UODO.

Mechanizmy antyspamowe i bezpieczeństwa mogą ograniczać wysyłkę, wykrywać wzorce danych wrażliwych lub kierować kontakt do bezpiecznej obsługi. Nie rozstrzygają automatycznie odpowiedzialności za naruszenie ani uprawnienia do ochrony sygnalisty. Na podstawie opisanego zakresu nie podejmujemy decyzji z art. 22 RODO wywołujących skutki prawne lub podobnie istotne. Odmowę techniczną można zgłosić do supportu, bez przesyłania danych sprawy zwykłym e-mailem.

Podstawa i prawa: RODO, art. 5–7, 12–22, 28, 44–49. Odrębne zasady poufności: ustawa o ochronie sygnalistów.