Polityka prywatności
Niniejsza polityka wyjaśnia, jakie dane osobowe przetwarzamy w serwisie Monituj, w jakim celu i na jakiej podstawie oraz jakie prawa Ci przysługują. Stanowi ona realizację obowiązków informacyjnych z art. 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej: „RODO”).
1. Administrator danych
Administratorem Twoich danych osobowych jest Zakode Władysław Zakrzewski, ul. Michała Bobrzyńskiego 41/8, Kraków, 30-348, NIP: 9462668949 (dalej: „my”, „Administrator”). W sprawach dotyczących danych osobowych możesz kontaktować się z nami pod adresem kontakt@monituj.pl. Nie wyznaczyliśmy inspektora ochrony danych.
2. Kiedy jesteśmy administratorem, a kiedy nie
- Jesteśmy administratorem danych osób, które zakładają Konto (Użytkowników), osób wysyłających Prośbę bez konta oraz danych technicznych związanych z korzystaniem z Serwisu przez wszystkie osoby.
- Nie jesteśmy administratorem danych Odbiorców (osób, od których Użytkownik prosi o dokumenty) ani danych zawartych w przesłanych dokumentach. Ich administratorem jest Użytkownik, który utworzył prośbę, a my przetwarzamy te dane wyłącznie w jego imieniu, na podstawie umowy powierzenia. Jeśli jesteś Odbiorcą, w sprawach swoich danych zwróć się w pierwszej kolejności do nadawcy prośby. Pomożemy mu zrealizować Twoje prawa.
3. Cele, podstawy prawne i okres przechowywania
| Cel | Podstawa prawna | Jak długo |
|---|---|---|
| Założenie i prowadzenie Konta, świadczenie usług Serwisu, wysyłanie wiadomości związanych z usługą (np. potwierdzenie adresu e-mail, reset hasła) | art. 6 ust. 1 lit. b RODO (wykonanie umowy) | Do czasu usunięcia Konta - dane usuwamy niezwłocznie po potwierdzeniu usunięcia |
| Zespół: obsługa zaproszeń i dostępu Członków zespołu do Konta Użytkownika (adres e-mail, imię i nazwisko, data dołączenia, wstrzymanie dostępu) oraz wskazywanie w historii Prośby, kto wykonał daną czynność | art. 6 ust. 1 lit. b RODO (wykonanie umowy z Członkiem zespołu) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes Użytkownika i nasz: rozliczalność działań w Koncie) | Do czasu usunięcia Konta Członka zespołu; wpisy w historii Prośby - tak długo jak Prośba |
| Prośba o opinię o Serwisie: miesiąc po założeniu Konta wysyłamy na adres e-mail Konta wiadomość z prośbą o ocenę Monituj w serwisie Trustpilot, a jeśli nie klikniesz w niej linku do oceny - jeszcze jedną po kolejnym miesiącu, nie więcej niż dwie. Zapisujemy, kiedy wysłaliśmy wiadomość i czy link został kliknięty. Opinię wystawiasz sam w serwisie Trustpilot A/S (Dania), który jest odrębnym administratorem danych - nie przekazujemy mu Twoich danych. | art. 6 ust. 1 lit. f RODO (uzasadniony interes: poznanie opinii o naszej usłudze). Możesz w każdej chwili wnieść sprzeciw - linkiem „Nie chcę takich wiadomości” w wiadomości albo pisząc na adres kontakt@monituj.pl | Do czasu usunięcia Konta albo sprzeciwu |
| Zapisanie, którą wersję Regulaminu, umowy powierzenia i Polityki prywatności zaakceptowałeś (wersja dokumentów, data i godzina, sposób akceptacji, adres IP i typ przeglądarki) | art. 6 ust. 1 lit. f RODO (uzasadniony interes: wykazanie zawarcia umowy i jej warunków, ustalenie i obrona roszczeń) | Do czasu usunięcia Konta |
| Logowanie i zakładanie Konta przez Google, jeśli wybierzesz tę metodę: od Google Ireland Ltd. otrzymujemy wyłącznie identyfikator Twojego konta Google, adres e-mail i informację, czy Google go potwierdził. Nie otrzymujemy hasła do konta Google ani dostępu do innych danych i usług Google | art. 6 ust. 1 lit. b RODO (wykonanie umowy) | Do odłączenia Google w Ustawieniach albo usunięcia Konta |
| Obsługa Prośby bez konta i Konta bez hasła (adres e-mail i nazwa nadawcy, potwierdzenie wysłania, stały link do panelu), w tym ograniczenie liczby takich próśb do jednej dziennie na podstawie skrótu (hash) adresu IP. Prośby niepotwierdzone w ciągu 48 godzin są usuwane wraz z danymi nadawcy | art. 6 ust. 1 lit. b RODO oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes: zapobieganie nadużyciom) | Do czasu usunięcia Konta bez hasła (dane niepotwierdzonych próśb - do 48 godzin); skrót adresu IP - przez okres niezbędny do przeciwdziałania nadużyciom |
| Rejestr zgód na cookies: losowy identyfikator decyzji zapisany w przeglądarce, wybrane kategorie, wersja banera i data (bez adresu IP i danych konta) | art. 6 ust. 1 lit. c RODO w związku z art. 7 ust. 1 RODO (obowiązek wykazania zgody) | 3 lata od decyzji |
| Cookies analityczne na stronach informacyjnych Serwisu, wczytywane przez Google Tag Manager lub bezpośrednio przez Serwis: Google Analytics 4 - Statystyki odwiedzin stron informacyjnych Serwisu (identyfikator cookie, przybliżona lokalizacja, informacje o urządzeniu i odwiedzonych stronach); Plerdy - Mapy kliknięć i przewijania oraz nagrania sesji - jak odwiedzający korzystają ze strony (losowy identyfikator przeglądarki, kliknięcia, ruchy myszy i przewijanie, odwiedzone strony, źródło wizyty (np. kampania), informacje o urządzeniu) | art. 6 ust. 1 lit. a RODO (zgoda wyrażona w banerze cookies osobno dla tej kategorii, którą można w każdej chwili wycofać) | Do wycofania zgody; dane w Google Analytics - 14 miesięcy; zgodnie z ustawieniami konta Plerdy |
| Pokazywanie Odbiorcom, kto prosi o dokumenty: w wiadomościach i na stronie prośby widać nazwę nadawcy wybraną przez Użytkownika i adres e-mail Konta, a jeżeli Użytkownik włączy to w Ustawieniach - także nazwę i NIP firmy, na którą jest fakturowany jego płatny plan (dla jednoosobowej działalności to dane osobowe przedsiębiorcy) | art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes: ochrona Odbiorców przed podszywaniem się pod nadawcę); nazwa i NIP firmy - art. 6 ust. 1 lit. a RODO (zgoda, którą można w każdej chwili wyłączyć w Ustawieniach) | Tak długo, jak istnieje prośba; nazwa i NIP firmy - tylko w czasie opłaconej subskrypcji i przy włączonej zgodzie |
| Wysyłanie przypomnień o godzinie dopasowanej do nadawcy i Odbiorcy (strefa czasowa przeglądarki, np. „Europe/Warsaw”) | art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes: wysyłanie przypomnień w porze dnia, a nie w nocy) | Tak długo jak Konto albo stały link Odbiorcy |
| Udostępnienie Odbiorcy stałego linku do listy Próśb wysłanych na jego adres e-mail, a Użytkownikowi z potwierdzonym adresem - listy Próśb otrzymanych w jego Koncie (adres e-mail Odbiorcy i losowy identyfikator linku) | art. 6 ust. 1 lit. f RODO (uzasadniony interes: wygodny dostęp Odbiorcy do jego próśb) | Dopóki istnieje co najmniej jedna Prośba wysłana na ten adres |
| Udostępnienie konta demonstracyjnego, w tym ograniczenie liczby kont demonstracyjnych na podstawie skrótu (hash) adresu IP | art. 6 ust. 1 lit. b RODO oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes: zapobieganie nadużyciom) | 24 godziny - potem konto i wszystkie jego dane są usuwane automatycznie |
| Zapewnienie bezpieczeństwa Serwisu, prowadzenie dziennika zdarzeń (m.in. adres IP, typ przeglądarki, czas zdarzenia) | art. 6 ust. 1 lit. f RODO (uzasadniony interes: bezpieczeństwo i rozliczalność) | Wpisy dotyczące Konta - do czasu usunięcia Konta (usuwamy je razem z nim); pozostałe wpisy, niezwiązane z żadnym Kontem (np. o nieudanych próbach logowania na nieistniejące konto) - 12 miesięcy |
| Zgłoszenia nadużyć: gdy Odbiorca kliknie „Zgłoś nadużycie” przy Prośbie, zapisujemy powód wybrany przez Odbiorcę, jego opcjonalny opis, datę, adres e-mail Odbiorcy i adres e-mail Konta, które wysłało Prośbę, a zespół Monituj otrzymuje powiadomienie. Każdy plik przesłany przez Odbiorcę sprawdzamy też skanerem antywirusowym działającym na naszym serwerze - pliki nie są przekazywane nikomu z zewnątrz | art. 6 ust. 1 lit. f RODO (uzasadniony interes: ochrona Odbiorców i Serwisu przed wyłudzeniami i złośliwym oprogramowaniem) oraz art. 6 ust. 1 lit. c RODO w związku z art. 16 rozporządzenia (UE) 2022/2065 | Zgłoszenie - 12 miesięcy, także po usunięciu Konta, którego dotyczy (żeby rozpoznać powtarzające się nadużycia) |
| Rozpatrywanie reklamacji i zgłoszeń | art. 6 ust. 1 lit. b i c RODO | Do czasu rozpatrzenia sprawy, a następnie do upływu terminu przedawnienia roszczeń |
| Odpowiedź na wiadomość wysłaną przez formularz kontaktowy lub e-mail (imię i nazwisko, adres e-mail, nazwa firmy, treść wiadomości) | art. 6 ust. 1 lit. a RODO (zgoda wyrażona w formularzu, którą można w każdej chwili wycofać, pisząc na adres kontaktowy), a w zakresie ewentualnego ustalenia, dochodzenia lub obrony roszczeń - art. 6 ust. 1 lit. f RODO | Przez czas prowadzenia korespondencji, a następnie do upływu terminu przedawnienia ewentualnych roszczeń; skrót (hash) adresu IP używany do ograniczenia liczby wiadomości - 24 godziny |
| Ustalenie, dochodzenie lub obrona roszczeń | art. 6 ust. 1 lit. f RODO | Do upływu terminu przedawnienia roszczeń |
| Obsługa płatnego planu: zamówienie, pobieranie opłat, faktury, zmiana i anulowanie subskrypcji (imię i nazwisko lub nazwa firmy, adres, NIP, adres e-mail, plan i historia płatności - danych karty nie otrzymujemy, przetwarza je wyłącznie Stripe), a także zapisanie żądania rozpoczęcia usługi przed upływem terminu do odstąpienia od umowy. Nazwę i adres firmy pobieramy na podstawie NIP z publicznej bazy REGON Głównego Urzędu Statystycznego, a status VAT z publicznego wykazu podatników VAT Ministerstwa Finansów | art. 6 ust. 1 lit. b RODO (wykonanie umowy), a w zakresie wykazania żądania - art. 6 ust. 1 lit. f RODO (uzasadniony interes: obrona roszczeń) | Przez czas trwania subskrypcji, a następnie do upływu terminu przedawnienia roszczeń; zapis żądania rozpoczęcia usługi - 6 lat, także po usunięciu Konta |
| Wypełnianie obowiązków podatkowych i rachunkowych, w tym przechowywanie faktur i dokumentacji płatności | art. 6 ust. 1 lit. c RODO | 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku - także po usunięciu Konta |
Dokumenty przesłane przez Odbiorców przechowujemy przez okres wybrany przez Użytkownika dla danej prośby (maksymalnie 365 dni od przesłania pliku), a następnie trwale usuwamy plik i jego metadane. Użytkownik i Odbiorca otrzymują wtedy powiadomienie e-mail.
Usunięcie Konta przez Użytkownika powoduje niezwłoczne i trwałe usunięcie Konta, danych Odbiorców, próśb, przypomnień, Dokumentów, historii zdarzeń i rejestru wysłanych wiadomości. Po usunięciu Konta nie przechowujemy nawet adresu e-mail Użytkownika - z wyjątkiem faktur i dokumentacji płatności za płatny plan, które przepisy podatkowe każą przechowywać przez 5 lat, oraz zapisu żądania rozpoczęcia usługi przed upływem terminu do odstąpienia od umowy (adres e-mail, plan, treść oświadczenia, data, adres IP i typ przeglądarki), przechowywanego do upływu terminu przedawnienia roszczeń - 6 lat. O każdym usunięciu Konta nasz zespół dostaje wiadomość e-mail (adres e-mail Konta, data, plan i ewentualny zwrot) - żeby rozliczyć zwrot, wystawić fakturę korygującą i odpowiedzieć na późniejsze pytania (art. 6 ust. 1 lit. c i f RODO); przechowujemy ją do upływu terminu przedawnienia roszczeń. W Stripe usuwamy dane klienta: imię i nazwisko lub nazwę, adres e-mail, adres, NIP i zapisane karty; zapisy płatności, których przepisy nie pozwalają usunąć, Stripe przechowuje jako odrębny administrator. Dane w kopiach zapasowych są nadpisywane w cyklu ich rotacji, nie dłuższym niż 7 dni.
4. Odbiorcy danych
Dane mogą być przekazywane wyłącznie podmiotom, które pomagają nam świadczyć usługi, na podstawie umów powierzenia:
- dostawcy infrastruktury serwerowej (hostingu): Euronodes Ltd.;
- dostawcy usługi wysyłki poczty e-mail: cyber_Folks S.A.;
- dostawcy sieci dostarczania treści i ochrony przed atakami (CDN): Cloudflare, Inc. - przez jego serwery przechodzi cały ruch do Serwisu, w tym przesyłane pliki i adres IP. Połączenia są szyfrowane, ale Cloudflare, Inc. odszyfrowuje je na swoich serwerach, żeby filtrować ataki i przekazać ruch dalej - działa przy tym wyłącznie na nasze polecenie, na podstawie umowy powierzenia;
- podmiotom świadczącym nam usługi informatyczne, prawne lub księgowe - w zakresie niezbędnym do ich wykonania;
- inFakt sp. z o.o. (Kraków) - dostawcy systemu do wystawiania faktur, gdy zamawiasz płatny plan (dane do faktury: imię i nazwisko lub nazwa firmy, adres, NIP, adres e-mail, kwota). Jeśli faktura podlega przesłaniu do Krajowego Systemu e-Faktur (KSeF), jej dane trafiają także do Ministerstwa Finansów;
- Stripe Payments Europe, Ltd. (Irlandia) - operatorowi płatności, gdy zamawiasz płatny plan. W zakresie danych płatniczych, zapobiegania oszustwom i obowiązków wynikających z przepisów o przeciwdziałaniu praniu pieniędzy Stripe jest odrębnym administratorem danych (zasady: stripe.com/pl/privacy);
- Google Ireland Ltd. (Google Tag Manager - narzędzie, które wczytuje poniższe usługi) - wyłącznie gdy wyrazisz zgodę na co najmniej jedną kategorię cookies;
- Google Ireland Ltd. (Google Analytics 4) - wyłącznie gdy wyrazisz zgodę na cookies analitycznych;
- Plerdy (Plerdy) - wyłącznie gdy wyrazisz zgodę na cookies analitycznych;
Dane mogą zostać udostępnione organom publicznym, jeżeli wymagają tego przepisy prawa.
5. Przekazywanie danych poza EOG
Serwery, na których przechowujemy dane, znajdują się w: Czechy. Jeżeli któryś z naszych dostawców przekazywałby dane poza EOG, odbywa się to wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony lub standardowych klauzul umownych (art. 45-46 RODO). Stripe może przekazywać dane płatnicze do Stripe, Inc. w USA na podstawie ram ochrony danych UE-USA (EU-U.S. Data Privacy Framework) oraz standardowych klauzul umownych. Ruch do Serwisu obsługuje Cloudflare, Inc., którego serwery mogą znajdować się także poza EOG (w tym w USA) - przekazanie odbywa się na podstawie ram ochrony danych UE-USA (EU-U.S. Data Privacy Framework) oraz standardowych klauzul umownych. Dane z narzędzi, na które wyrazisz zgodę w banerze cookies, mogą być przekazywane do USA (Google Analytics 4 - Google LLC (USA)) na podstawie decyzji Komisji Europejskiej z 10 lipca 2023 r. w sprawie ram ochrony danych UE-USA (EU-U.S. Data Privacy Framework).
6. Twoje prawa
Przysługuje Ci prawo do:
- dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO);
- sprostowania danych (art. 16 RODO);
- usunięcia danych (art. 17 RODO);
- ograniczenia przetwarzania (art. 18 RODO);
- przenoszenia danych (art. 20 RODO);
- wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21 RODO);
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.
Aby skorzystać z praw, napisz na adres kontakt@monituj.pl. Odpowiemy bez zbędnej zwłoki, nie później niż w ciągu miesiąca.
7. Dobrowolność podania danych
Podanie danych jest dobrowolne, ale niezbędne do założenia Konta i korzystania z Serwisu. Bez adresu e-mail nie możemy świadczyć usług. Przy zamówieniu płatnego planu podanie danych do faktury (imienia i nazwiska albo nazwy firmy, adresu, a dla firmy - NIP) jest wymogiem ustawowym wynikającym z ustawy o podatku od towarów i usług - bez nich nie możemy przyjąć zamówienia.
8. Zautomatyzowane decyzje
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Automatyczne przypomnienia e-mail są wysyłane według ustawień wybranych przez Użytkownika.
9. Bezpieczeństwo
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności: szyfrowane połączenia (HTTPS), szyfrowanie przesłanych dokumentów na dysku algorytmem AES-256 (klucz przechowywany poza bazą danych i kopiami zapasowymi), rejestrowanie każdego pobrania dokumentu, przechowywanie haseł wyłącznie w postaci skrótu (algorytm Argon2), unikalne i trudne do odgadnięcia linki do próśb, opcjonalne hasła dostępu do próśb, przechowywanie plików w niepublicznym magazynie z kontrolą dostępu oraz automatyczne usuwanie dokumentów po okresie przechowywania.
10. Pliki cookies
Serwis używa niezbędnych plików cookies oraz - wyłącznie za Twoją zgodą - cookies analitycznych. Szczegóły znajdziesz w Polityce cookies.
11. Zmiany polityki
Możemy aktualizować tę politykę, np. w razie zmiany przepisów lub funkcji Serwisu. O istotnych zmianach poinformujemy Użytkowników drogą e-mail.