Polityka prywatności - załącznik do "Regulamin świadczenia usług Serwisant Online"

Administratorem danych osobowych jest działalność pod nazwą Arkadiusz Kuryłowicz Sugar Mice Software, z siedzibą w Bielsku-Białej, ul. Cieszyńska 434/5 wpisaną przez Ministra Rozwoju i Technologii do CEIDG pod numerem NIP 547-18-24-223 Administrator odpowiada za przetwarzanie danych zgodnie z obowiązującymi przepisami prawa, w tym z Rozporządzeniem o Ochronie Danych Osobowych (RODO)

W aplikacji przetwarzamy dane osobowe w trzech obszarach:

Twoje dane osobowe: są to nazwa firmy, imię i nazwisko osoby, która zarejestrowała konto i jest odpowiedzialna za kontakt pomiędzy nami a tobą, numer NIP, email, telefon oraz dane adresowe. Podstawą prawną przetwarzania tych danych jest art. 6 ust. 1 lit. b RODO, czyli niezbędność do wykonania umowy o świadczenie usługi drogą elektroniczną. Dane będziemy przetwarzali na czas świadczenia usługi. Po zakończeniu świadczenia usługi usuniemy te dane nie później niż 3 miesiące od momentu zakończenia świadczenia usługi. Na podstawie art. 6 ust. 1 lit. c RODO: wypełnienie prawnego obowiązku ciążącego na administratorze, użyjemy tych danych także do rozliczeń między Tobą a nami. Dane, na potrzeby tego celu będą przetwarzane przez czas wymagany odrębnymi przepisami prawa.

Dane osobowe Twoich pracowników: imię, nazwisko, adresy email, numery telefonów, dane adresowe, opis stanowiska, adresy sieciowe IP terminali, z których nastąpiło logowanie lub akcja modyfikująca dane w bazie.

Dane osobowe Twoich klientów: imię, nazwisko, adresy email, numery telefonów, dane adresowe, wizerunek, adresy sieciowe IP terminali, z których nastąpiło logowanie lub akcja modyfikująca dane w bazie.

Podstawą przetwarzania przez nas danych z dwóch ostatnich grup jest Art. 29 RODO, zrealizowany na podstawie umowy powierzenia przetwarzania danych. Dane przetwarzamy na Twoje polecenie tak długo, jak samodzielnie to określisz, przy czym nie dłużej niż 3 miesiące od daty zakończenia świadczenia przez nas usługi na Twoją rzecz. Oznacza to, że po 3 miesiącach nieaktywności Twojego konta usuniemy konto wraz ze wszystkimi danymi osobowymi z trzech wymienionych obszarów. Poprzez nieaktywność konta rozumiemy czas, jaki upłynął od wygaśnięcia ostatniego okresu subskrypcji.

Dane statystyczne, analityczne, diagnostyczne.

Aby dostarczyć jak najlepszą jakość usług, stale monitorujemy Serwis. W tym celu prowadzimy statystyki korzystania z poszczególnych funkcji i stron. Używamy do tego:

• Wewnętrznych narzędzi analitycznych, logujących i diagnostycznych,
• Narzędzi statystycznych i logujących dostarczanych przez partnerów.

Dla zrealizowania tego celu przetwarzamy dane dotyczące Twojej aktywności w Serwisie (odwiedzane strony, ilość czasu spędzonego na stronie, adres IP, lokalizacja, ID urządzenia oraz dane dotyczące przeglądarki i systemu operacyjnego, z którego korzystasz). Podstawą prawną przetwarzania danych jest art. 6 ust. 1 lit. f RODO, czyli nasz prawnie uzasadniony interes, polegający na ułatwieniu użytkownikom korzystania z usług świadczonych przez nas drogą elektroniczną oraz na poprawie funkcjonalności tych usług.

Pliki cookie.

W Serwisie stosujemy cookies, tj. dane informatyczne, w szczególności pliki tekstowe zapisywane przez serwery na urządzeniu końcowym użytkownika, które serwery mogą odczytać przy każdorazowym połączeniu się z tego urządzenia końcowego.

Oprogramowanie służące do przeglądania stron internetowych (przeglądarka internetowa) domyślnie dopuszcza przechowywanie plików cookies w urządzeniu końcowym użytkownika. Użytkownicy serwisu mogą dokonać w każdym czasie zmiany ustawień dotyczących plików cookies. Ustawienia te mogą zostać zmienione w szczególności w taki sposób, aby blokować automatyczną obsługę plików cookies w ustawieniach przeglądarki internetowej, bądź informować o ich każdorazowym zamieszczeniu w urządzeniu użytkownika serwisu internetowego.

Szczegółowe informacje o możliwości i sposobach obsługi plików cookies dostępne są w ustawieniach oprogramowania (przeglądarki internetowej).

Niedokonanie zmiany ustawień w zakresie cookies oznacza, że będą one zamieszczone w urządzeniu końcowym użytkownika, a tym samym będziemy przechowywać informacje w urządzeniu końcowym użytkownika i uzyskiwać dostęp do tych informacji. Wyłączenie stosowania cookies może spowodować utrudnienia w korzystaniu z niektórych usług w ramach serwisów internetowych.

Pliki cookies wykorzystywane są w szczególności w celu:

• Przechowywania danych sesyjnych, niezbędnych do wykonania usługi,
• Przechowywania informacji o konfiguracji interfejsu aplikacji,
• Zbierania danych analitycznych, statystycznych i diagnostycznych.

Twoje dane osobowe mogą być przekazywane następującym podmiotom:

• Podmiotom przetwarzającym – dostawcom usług IT, systemów płatności, firmom hostingowym, które przetwarzają dane w imieniu administratora na podstawie umowy o powierzenie przetwarzania danych.
• Podmiotom zewnętrznym – organom publicznym, urzędom, kancelariom prawnym, jeśli wymaga tego prawo (np. w przypadku kontroli podatkowych lub dochodzeń).

Dane osobowe Twoich klientów mogą być przekazane zewnętrznym podmiotom, wyłącznie w celu wykonania zamówionej usługi i wyłącznie w zakresie określonym umową podpowierzenia danych.

Lista podmiotów, którym podpowierzamy twoje dane, a także podpowierzamy dane twoich klientów przetwarzane na odstawie umowy podpowierzenia danych znajduje się dokumencie "Wykaz podmiotów, którym Operator podpowierza przetwarzanie danych osobowych" będącym załącznikiem do głównej umowy.

Powinieneś mieć świadomość, że korzystając z usług świadczonych drogą elektroniczną w momencie nieodpowiedniego zadbania o bezpieczeństwo, narażasz się m.in. na ryzyko:

• Ingerencji w dane przez osoby niepowołane, które mogą przeglądać, skopiować, zmodyfikować i skasować dane, których jesteś administratorem, a których przetwarzanie powierzyłeś naszej firmie,
• Ingerencji osób trzecich w transmisję informacji między Twoim systemem a naszym systemem,
• Zainfekowania Twojego systemu złośliwym oprogramowaniem (malware) co może doprowadzić do wykradzenia danych dostępowych (login, hasło) do naszego systemu lub danych, do których sam masz dostęp,
• Prób pozyskania danych dostępowych do Serwisu poprzez podszywanie się pod pracowników naszej lub Twojej firmy (ataki socjotechniczne),
• Prób fałszowania faktur, korespondencji związanej z płatnością za subskrypcję, mające na celu wyłudzenie nienależnych środków pieniężnych,

Aby zminimalizować powyższe ryzyka:

• Usuwaj nieaktywne konta pracowników z aplikacji, usuwaj konta pracowników w momencie zakończenia współpracy,
• Miej świadomość, że nikt z naszej firmy nigdy nie będzie prosił Cię o podanie hasła lub kodu 2FA. Sytuacje, w których ktoś próbuje pozyskać te informacje, traktuj jako atak i raportuj do nas,
• Weryfikuj w systemie transakcyjnym Serwisu otrzymane faktury, płatność realizuj wyłącznie na podstawie faktur, które są w systemie transakcyjnym, na numer konta podany na fakturze, w przypadku wątpliwości kontaktuj się z nami,
• Nie podawaj nikomu swojego hasła i loginu,
• Zmieniaj okresowo hasło,
• Aktywuj uwierzytelnianie dwuskładnikowe,
• Używaj zawsze aktualnych wersji oprogramowania np. systemu operacyjnego, przeglądarki,
• Używaj programu antywirusowego, osobistej zapory sieciowej, zalecanych w Twoim systemie operacyjnym ustawień bezpieczeństwa,
• Używaj blokady ekranowej wymagającej podania hasła, nie pozostawiaj terminala (komputera), z którego logujesz się do aplikacji, odblokowanego bez nadzoru.
• Weryfikuj, czy połączenie z Serwisem jest zabezpieczone protokołem SSL
• Audytuj okresowo logowania pracowników,
• Szkól i uświadamiaj swoich pracowników w zakresie bezpieczeństwa i ochrony danych,

Mając na uwadze Art. 24 ust. 1 oraz Art. 32 ust. 1 RODO stosujemy następujące środki minimalizujące ryzyko wycieku, nieuprawnionego dostępu lub utraty danych:

Dla Administratorów danych:

• Autoryzację dostępu do danych w postaci logowania,
• Kontrolę dostępu do systemu w postaci dzienników logowania, zawierających czas i adres sieciowy terminala,
• Możliwość automatycznego wygaszanie nieaktywnych sesji po 3h bezczynności,
• Wzmocnione środki bezpieczeństwa w postaci kontroli złożoności haseł oraz uwierzytelniania dwuskładnikowego,
• Zabezpieczenie transmisji poprzez zastosowanie szyfrowania SSL,

Jako Procesor:

• Współpraca w zakresie usług cloud-computing z usługodawcami z terenu UE,
• Prowadzenie ewidencji osób upoważnionych do dostępu do danych osobowych, budowanie wśród pracowników i współpracowników świadomości przepisów RODO i bezpieczeństwa danych osobowych,
• Kontrola dostępu do danych w postaci zabezpieczeń systemowych i sieciowych,
• Użytkowanie systemów operacyjnych o wysokim poziomie bezpieczeństwa po stronie serwerów, a także po stronie terminali dostępowych,
• Regularna aktualizacja oprogramowania na wszystkich serwerach udostępniających składniki Usługi,
• Ochrona przed atakami DOS, zastosowanie mechanizmów network firewall oraz WAF,
• Redundancja serwerów aplikacyjnych: w każdym momencie działają co najmniej cztery serwery aplikacyjne,
• Redundancja baz danych: w każdym momencie aktywne są co najmniej trzy identyczne kopie głównej bazy danych, z których każda może w dowolnym momencie przejąć rolę bazy obsługującej aplikację,
• Redundancja serwerów plików w postaci klastra z replikacją: każdy przesłany plik istnieje w co najmniej 2 kopiach,
• Mechanizmy fail-over: automatyczne, bezzwłoczne wykluczanie uszkodzonych elementów infrastruktury oraz zastąpienie ich sprawnymi elementami,
• Szyfrowane kopie zapasowe plików oraz stanów baz danych (snapshot) realizowane nie rzadziej niż raz na 24h, przechowywane w serwerowni niezależnej od dostawcy podstawowej usługi serwerowej, w osobnej lokalizacji geograficznej,
• Środki zabezpieczenia fizycznego i ochrony fizycznej, dostarczane przez naszych partnerów w zakresie usług cloud-computing

Przede wszystkim pamiętaj, że to ty pozostajesz administratorem danych osobowych twoich pracowników, klientów, i wszystkich innych danych, które są przetwarzane w aplikacji. W związku z tym musisz wdrożyć w swojej działalności odpowiednie procedury, regulacje, aby być zgodnym z RODO.

Powinieneś także pamiętać, aby ująć nas jako podmiot, któremu podpowierzasz dane osobowe w regulaminach, politykach oraz innych dokumentach, które dotyczą przetwarzania danych osobowych twoich pracowników oraz klientów.