Informacja o prywatności — projekt

Kto odpowiada za dane

Operatorem usługi jest HVADAC. Kontakt w sprawach danych osobowych: rodo@hvadac.com. Pełna tożsamość prawna operatora i adres pozostają do uzupełnienia przed zatwierdzeniem tego dokumentu.

Proponowany podział: operator odpowiada jako administrator za prowadzenie kont, obsługę umowy i bezpieczeństwo własnej usługi. Organizacja korzystająca z HVADAC określa cele dokumentacji serwisowej i danych swoich klientów oraz personelu; operator przetwarza tę dokumentację na jej udokumentowane polecenie. Ostateczny podział wymaga potwierdzenia w umowie.

Dane, cele i proponowane podstawy

Przy rejestracji zbierane są adres e-mail i hasło; przy konfiguracji także dane użytkownika i organizacji. Hasło służy uwierzytelnieniu i nie jest wyświetlane innym użytkownikom. Usługa zapisuje role, członkostwo, ustawienia oraz informacje potrzebne do utrzymania konta i obsługi zgłoszeń.

Organizacje wprowadzają dane kontaktowe, adresy, urządzenia, historię serwisu, notatki, zdjęcia, podpisy i pliki. Operator nie wyznacza samodzielnie podstaw prawnych każdej treści dodanej przez klienta. Organizacja powinna przekazać informacje osobom, których dane wprowadza, i ograniczyć dane do niezbędnych.

Do zatwierdzenia: realizacja umowy lub działania przed jej zawarciem (art. 6 ust. 1 lit. b RODO) dla danych jej strony; prawnie uzasadniony interes (lit. f) dla obsługi reprezentantów organizacji, bezpieczeństwa i obrony roszczeń po ocenie niezbędności i interesów osób; obowiązek prawny (lit. c) tylko gdy wskazany przepis rzeczywiście dotyczy procesu. Informacja o prywatności nie jest zgodą marketingową.

Odbiorcy i usługi zewnętrzne

Dokumentacja jest dostępna uprawnionym osobom w organizacji zgodnie z rolami. Obsługa techniczna operatora może mieć dostęp w zakresie niezbędnym do realizacji zgłoszenia, utrzymania i bezpieczeństwa.

Konfiguracja opisana w projekcie korzysta z hostingu OVH w Warszawie, samodzielnie utrzymywanego Supabase oraz zaszyfrowanych kopii AWS S3 w Irlandii (eu-west-1). Resend obsługuje wiadomości konta i alarmy. Cloudflare Turnstile sprawdza żądania logowania/rejestracji, gdy jest włączony. Kafelki map są pobierane z OpenStreetMap z przeglądarki; geokoder otrzymuje składowe adresu z serwera. Google Maps otrzymuje cel nawigacji dopiero po otwarciu odnośnika.

Rzeczywiste umowy, dalsi dostawcy, lokalizacje i dostęp wsparcia każdego dostawcy wymagają potwierdzenia przed publikacją ostatecznej informacji. Samodzielne uruchomienie Supabase nie oznacza przekazywania danych do chmury Supabase.

Przechowywanie i usuwanie

Konta i dokumentacja pozostają przez okres potrzebny do uzgodnionych celów oraz mających zastosowanie obowiązków lub roszczeń. Konkretne okresy, zdarzenia początkowe i wyjątki dla kont, dokumentacji i logów wymagają zatwierdzenia w macierzy retencji. Nie deklarujemy jednego okresu dla wszystkich danych.

Usunięcie do Kosza nie usuwa od razu danych. Opróżnianie Kosza dopuszcza rekordy starsze niż 30 dni i chroni wybrane archiwa protokołów oraz ewidencję F-gaz. Ta reguła techniczna nie zastępuje oceny obowiązku przechowywania konkretnego dokumentu.

Backup przechowuje 7 różnych dni i 4 tygodnie odzyskiwania, częściowo pokrywające się. Blokady obiektów, nieudane zestawy i brak nowych kopii mogą wydłużyć faktyczne przechowywanie. Starsze kopie lokalne wymagają osobnej kontroli. Po odtworzeniu należy ponownie zastosować wykonane wcześniej usunięcia i ograniczenia przed otwarciem systemu.

Prawa i kontakt

Żądania można kierować na rodo@hvadac.com. W sprawie dokumentacji prowadzonej przez organizację należy wskazać tę organizację i możliwie konkretny zakres. Operator ustali, kto odpowiada za żądanie, i w razie przetwarzania na zlecenie przekaże je właściwemu administratorowi. Weryfikacja tożsamości powinna być proporcjonalna; nie przesyłaj hasła ani kluczy dostępu.

W zależności od warunków przewidzianych prawem przysługuje dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie oraz sprzeciw. Zgodę można wycofać, jeżeli stanowi podstawę danego przetwarzania. Można wnieść skargę do właściwego organu nadzorczego, w Polsce Prezesa UODO. Eksport całej organizacji nie jest automatycznie eksportem danych pojedynczej osoby.

Co do zasady informacja o działaniach jest przekazywana w ciągu miesiąca od otrzymania żądania. Przedłużenie o kolejne dwa miesiące wymaga spełnienia przesłanek i poinformowania w pierwszym miesiącu o przyczynach. Usunięcie może podlegać wyjątkom ustawowym; odmowa lub ograniczenie wymaga uzasadnienia.

Przetwarzanie poza EOG

Umieszczenie VPS i kopii w UE nie dowodzi, że wszyscy dostawcy, ich wsparcie i dalsi podwykonawcy przetwarzają dane wyłącznie w EOG. Przed zatwierdzeniem należy ustalić faktyczne transfery i właściwy mechanizm dla każdego z nich, w tym ewentualną decyzję stwierdzającą odpowiedni stopień ochrony lub standardowe klauzule umowne i dodatkowe środki. Informacje o tych ustaleniach powinny być dostępne pod kontaktem prywatności.

Automatyczne decyzje i analityka

W sprawdzonym kodzie nie stwierdzono narzędzi reklamowych, nagrywania sesji ani profilowania marketingowego. Występują techniczne logi bezpieczeństwa, statystyki dokumentacji organizacji oraz automatyczne reguły terminów i statusów serwisu. Brak wykrycia mechanizmu w kodzie nie obejmuje nieznanych integracji klienta.

Nie ustalono procesu podejmowania decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na osoby wyłącznie w sposób zautomatyzowany. Organizacja powinna osobno ocenić własne sposoby wykorzystania danych.