Informacja o prywatności

INFORMACJA O PRYWATNOŚCI AKTA CRM

1. Administrator i kontakt

Administratorem danych związanych ze stroną, rejestracją, kontami użytkowników, bezpieczeństwem platformy, komunikacją i obsługą konta jest Yaraslau Lahinouski, osoba fizyczna, adres: ul. Jerzego Holzera 6, 02-972 Warszawa. Kontakt w sprawach prywatności: [email protected].

2. Zakres informacji

Niniejsza informacja obejmuje Właściciela Przestrzeni, osoby rozpoczynające rejestrację, zaproszonych Użytkowników Upoważnionych, Usługodawcę korzystającego z konsoli operatorskiej, osoby kontaktujące się przez formularz prezentacji oraz dane techniczne związane z kontem i bezpieczeństwem. Nie jest zgodą na przetwarzanie danych ani akceptacją Regulaminu.

Dostęp administracyjny do środowiska produkcyjnego ma wyłącznie Usługodawca — jedna osoba działająca na jednym koncie operatorskim; tak samo stanowi sekcja 8 Załącznika nr 2 do DPA. Wobec tego konta przetwarzane są dane konta, zdarzenia logowania do panelu operatora oraz zapisy wykonanych czynności administracyjnych — w zakresie i w celach opisanych w punkcie 9. Administratorem tych danych jest Yaraslau Lahinouski. Dopuszczenie do dostępu administracyjnego kolejnej osoby wymaga uprzedniej zmiany niniejszej informacji oraz Załącznika nr 2.

Informacja nie obejmuje danych klientów kancelarii wprowadzanych do Przestrzeni Roboczej — wobec nich administratorem jest kancelaria, a zasady przetwarzania określa umowa powierzenia (DPA). Punkt 6 opisuje ten podział.

3. Dane Właściciela Przestrzeni — art. 13 RODO

Źródłem danych jest Właściciel Przestrzeni. Przetwarzane mogą być: imię i nazwisko, e-mail, telefon, dane organizacji, kraj, rodzaj i numer identyfikatora organizacji, dane logowania, identyfikatory konta, zdarzenia rejestracji, oświadczenia prawne, korespondencja, logi bezpieczeństwa oraz techniczne dane urządzenia i połączenia w ograniczonym zakresie.

Celem jest obsługa rejestracji i konta, zawarcie i wykonanie umowy, bezpieczeństwo, zapobieganie nadużyciom, obsługa zgłoszeń, realizacja obowiązków prawnych i obrona roszczeń. Podstawą jest odpowiednio art. 6 ust. 1 lit. b, c oraz f RODO. Marketing wymaga odrębnej, dobrowolnej zgody i nie wpływa na usługę.

Dowody zawarcia umowy i powierzenia — treść zaakceptowanych dokumentów, ich sumy kontrolne, znacznik czasu i metoda uwierzytelnienia — są przechowywane jako realizacja obowiązku rozliczalności z art. 5 ust. 2 RODO i nie podlegają usunięciu na żądanie w zakresie, w jakim stanowią dowód zawarcia umowy.

4. Zaproszeni użytkownicy — art. 14 RODO

Źródłem e-maila, roli, nazwy organizacji i danych osoby zapraszającej jest organizacja wysyłająca zaproszenie. Przed aktywacją przetwarzamy dane potrzebne do dostarczenia zaproszenia, ochrony przed nadużyciami i umożliwienia jego przyjęcia albo odrzucenia. Brak działania nie tworzy aktywnego konta w Przestrzeni Roboczej ani członkostwa w organizacji.

Po przyjęciu źródłem dalszych danych jest także użytkownik. Yaraslau Lahinouski działa jako administrator dla danych konta, uwierzytelniania, bezpieczeństwa platformy, komunikacji serwisowej i dowodów akceptacji. Organizacja zapraszająca jest odrębnym administratorem danych swoich pracowników i współpracowników w zakresie, w jakim wynika to z ich zatrudnienia lub współpracy.

5. Formularz prezentacji

Dane podane w formularzu są używane do obsługi prośby o kontakt i prezentację Akta CRM. Wysłanie formularza nie oznacza akceptacji polityki prywatności ani Regulaminu. Podstawą przetwarzania jest podjęcie działań na żądanie osoby przed zawarciem umowy lub prawnie uzasadniony interes polegający na obsłudze zapytania. Marketing jest odrębny i opcjonalny.

6. Rola administratora i podmiotu przetwarzającego

Dane osób, których sprawy kancelaria prowadzi w Akta CRM — klientów, ich rodzin, pracodawców i innych osób trzecich — są przetwarzane przez Yaraslau Lahinouskiego wyłącznie jako podmiot przetwarzający, na udokumentowane polecenie kancelarii. Administratorem tych danych jest kancelaria i to ona odpowiada za podstawę prawną, za obowiązek informacyjny wobec tych osób i za realizację ich praw.

Umowa powierzenia (DPA) jest zawierana elektronicznie przy rejestracji Przestrzeni Roboczej, na podstawie art. 28 ust. 9 RODO. Jej treść wraz z listą podprocesorów i opisem środków bezpieczeństwa jest dostępna pod adresami aktacrm.com/dpa, /dpa/annex-1 i /dpa/annex-2.

Ze względu na charakter spraw cudzoziemców powierzenie obejmuje także dane szczególnych kategorii (art. 9 RODO) oraz dane dotyczące wyroków skazujących i czynów zabronionych (art. 10 RODO).

Minimalne dane kont użytkowników — logowanie, bezpieczeństwo, komunikacja serwisowa, dowody akceptacji — są przetwarzane przez Yaraslau Lahinouskiego jako administratora, niezależnie od powierzenia. Punkty 3 i 4 dotyczą właśnie tych danych.

Osoba, której dane prowadzi kancelaria, powinna kierować żądania do kancelarii. Żądanie skierowane do nas przekażemy właściwej kancelarii bez zbędnej zwłoki.

7. Odbiorcy, podprocesorzy i transfery

Dane mogą otrzymywać wyłącznie zatwierdzeni dostawcy niezbędni do uwierzytelniania, hostingu, baz danych, magazynu plików, poczty transakcyjnej, ochrony przed nadużyciami, logów i kopii zapasowych. Aktualna lista podprocesorów wraz z zakresem usługi, regionem przetwarzania i podstawą transferu stanowi Załącznik nr 1 do DPA i jest publikowana pod adresem aktacrm.com/dpa/annex-1.

Zmiana składu podprocesorów następuje w trybie opisanym w DPA, z uprzednim powiadomieniem administratora i prawem sprzeciwu.

Transfer poza EOG może nastąpić wyłącznie po udokumentowaniu właściwego mechanizmu, np. decyzji stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych z wymaganymi środkami dodatkowymi. Podstawa właściwa dla każdego dostawcy jest wskazana w Załączniku nr 1.

Kopię zabezpieczeń transferowych — standardowych klauzul umownych albo odpowiadających im postanowień umowy z dostawcą — udostępniamy na żądanie przesłane na [email protected], z usunięciem informacji poufnych i handlowych, w zakresie niezbędnym do wykazania podstawy przekazania; w tym samym trybie udostępniamy ocenę danego przekazania poza EOG. Uprawnienie to przysługuje każdej osobie, której dane dotyczą, niezależnie od uprawnienia kancelarii wynikającego z § 9 ust. 6 DPA oraz z sekcji 4 pkt 5 Załącznika nr 1.

8. Retencja

Poniższa tabela podaje okresy przechowywania danych, których administratorem jest Yaraslau Lahinouski. Okresy dotyczące danych powierzonych przez kancelarię — danych osób, których sprawy kancelaria prowadzi — określa umowa powierzenia: § 13 DPA oraz sekcja 5 Załącznika nr 1. Usunięcie może zostać wstrzymane w zakresie niezbędnym do ustalenia, dochodzenia lub obrony roszczeń albo na potrzeby postępowania; wstrzymanie nie przedłuża świadczenia usługi.

¹ Okres przyjęty przez Usługodawcę i stosowany przy przeglądzie albo na żądanie; nie jest jeszcze egzekwowany procesem usuwającym te dane samoczynnie po jego upływie. Piszemy to wprost, zamiast przedstawiać jako termin stosowany okres, którego automatycznie nie stosujemy.

Dla logów bezpieczeństwa nie podajemy liczby, ponieważ żaden termin ich usunięcia nie jest dziś stosowany. Kryterium, które obowiązuje, to niezbędność do ochrony kont, wykrywania nadużyć i badania incydentów; zakres tych zapisów opisuje punkt 9. Okres zostanie ustalony i podany w tym punkcie, gdy zostanie przyjęty — do tego czasu podanie liczby byłoby informacją nieprawdziwą.

Okresu przechowywania kopii zarządzanych nie ustala Usługodawca — wynika on z planu wykupionego u dostawcy bazy danych i wynosi dziś 7 dni. Dane przywrócone z kopii już po wykonaniu usunięcia zostają usunięte ponownie, w udokumentowanej procedurze opisanej w sekcji 6 Załącznika nr 2 do DPA.

9. Bezpieczeństwo i logi

Przetwarzamy identyfikatory konta, znaczniki czasu, metodę logowania, zdarzenia bezpieczeństwa oraz ograniczone dane IP i user-agent w celu ochrony kont, wykrywania nadużyć i badania incydentów. Jawne tokeny rejestracji nie są przechowywane w bazie, adresie URL, wiadomości e-mail ani w analityce. Dane identyfikujące, używane do ograniczania liczby żądań, są pseudonimizowane funkcją skrótu HMAC.

Opis środków technicznych i organizacyjnych stanowi Załącznik nr 2 do DPA.

10. Wiadomości serwisowe

Wiadomości dotyczące potwierdzenia rejestracji, zaproszeń, potwierdzeń prawnych, bezpieczeństwa, zmian podprocesorów, trybu tylko do odczytu, eksportu i usunięcia są niezbędne do obsługi usługi i nie zależą od zgody marketingowej. Zgoda marketingowa jest odrębna, dobrowolna, domyślnie niezaznaczona i może zostać wycofana.

11. Incydenty ochrony danych

Zgłoszenie incydentu prowadzi do minimalizowanej rejestracji zdarzenia, ustalenia ról administratora i podmiotu przetwarzającego, w razie potrzeby ograniczenia dostępu oraz oceny obowiązków z art. 33 i 34 RODO. W rejestrze incydentu nie kopiujemy zbędnej wrażliwej treści. Jeżeli incydent dotyczy danych powierzonych, zawiadamiamy administratora bez zbędnej zwłoki w trybie opisanym w DPA.

12. Prawa osoby

Osobie przysługują, zależnie od podstawy i okoliczności, prawa dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia, sprzeciwu oraz wycofania zgody bez wpływu na zgodność wcześniejszego przetwarzania. Żądanie można przesłać na [email protected]. Jeżeli sprawa dotyczy danych pozostających pod kontrolą kancelarii, przekazujemy żądanie tej kancelarii.

Osoba może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl.

13. Obowiązek podania danych i automatyczne decyzje

Podanie danych wymaganych do rejestracji, uwierzytelniania lub odpowiedzi na zapytanie jest dobrowolne, lecz ich brak może uniemożliwić wykonanie żądanej czynności. Akta CRM nie podejmuje wobec tych osób decyzji wyłącznie w sposób zautomatyzowany, które wywołują skutki prawne lub podobnie istotnie na nie wpływają.

14. Pliki cookie i narzędzia pomiarowe

Na stronach marketingowych używamy plików cookie i podobnych technologii. Cookies niezbędne zapewniają działanie strony, bezpieczeństwo sesji i zapamiętanie Twojego wyboru w banerze zgody. Pozostałe uruchamiamy wyłącznie po wyrażeniu zgody:

Analityczne — Google Analytics 4, dostawca Google Ireland Limited: pomiar ruchu, źródeł wejść i skuteczności formularza prezentacji.

Marketingowe — Meta Pixel, dostawca Meta Platforms Ireland Limited: pomiar skuteczności reklam Akta CRM na Facebooku i Instagramie oraz kierowanie reklam do osób, które odwiedziły stronę. Bez zgody skrypt nie jest ładowany i żadne dane nie trafiają do Meta.

Podstawą jest zgoda — art. 6 ust. 1 lit. a RODO — dobrowolna, domyślnie niezaznaczona i możliwa do wycofania w każdej chwili, bez wpływu na zgodność z prawem przetwarzania dokonanego wcześniej. Zakres danych ogranicza się do identyfikatora cookie, adresu odwiedzanej podstrony, przybliżonej lokalizacji, danych urządzenia i przeglądarki oraz zdarzeń: wyświetlenie strony, wysłanie formularza prezentacji i utworzenie Przestrzeni Roboczej. Nie przekazujemy do tych narzędzi treści wpisywanych w formularzu ani żadnych danych z Przestrzeni Roboczej — narzędzia pomiarowe nie działają wewnątrz aplikacji po zalogowaniu.

W zakresie zbierania danych przez Meta Pixel i przekazania ich do Meta Platforms Ireland Limited występujemy jako współadministratorzy z Meta na podstawie art. 26 RODO. Dalsze przetwarzanie tych danych Meta prowadzi na własną odpowiedzialność.

Uzgodnienia między współadministratorami stanowi Uzupełnienie dla administratorów (Controller Addendum), włączone wyraźnie przez odniesienie do Regulaminu narzędzi biznesowych Meta i publikowane przez Meta pod adresem facebook.com/legal/controller_addendum. Ich zasadnicza treść jest następująca. Wspólne przetwarzanie obejmuje wyłącznie gromadzenie danych osobowych za pośrednictwem Meta Pixel na naszych stronach marketingowych oraz przekazanie tych danych do Meta Platforms Ireland Limited, Block J, Serpentine Avenue, Dublin 4, Irlandia. Co Meta robi z nimi po ich otrzymaniu, do wspólnego przetwarzania nie należy; poza zakresem wspólnego przetwarzania każda ze stron jest odrębnym administratorem. Tak stanowią sekcje 5.a.ii i 5.a.iii Regulaminu narzędzi biznesowych Meta, sprawdzone 5 września 2026 r.

Obowiązek informacyjny wobec Ciebie co do gromadzenia tych danych i ich przekazania wykonujemy sami — wykonuje go niniejszy punkt, przedstawiony zanim skrypt Meta Pixel zostanie uruchomiony. Umowne przypisanie tego obowiązku Meta nie mogłoby nas z niego zwolnić: Trybunał Sprawiedliwości Unii Europejskiej w wyroku z 29 lipca 2019 r. w sprawie C-40/17 (Fashion ID) orzekł, że obowiązek informacyjny ciąży także na operatorze strony, w zakresie tych operacji, co do których operator sam decyduje o celach i sposobach — a są to właśnie gromadzenie i przekazanie. O dalszym przetwarzaniu po swojej stronie informuje Meta we własnej polityce prywatności. Samego tekstu Uzupełnienia dla administratorów pod wskazanym adresem nie udało nam się odczytać — strona nie wyświetla treści (stan na 5 września 2026 r.) — dlatego nie przytaczamy zawartego w nim podziału odpowiedzialności ani się na niego nie powołujemy; podajemy wyłącznie to, co wynika z Regulaminu narzędzi biznesowych.

Niezależnie od tego podziału możesz wykonywać przysługujące Ci prawa wobec każdego ze współadministratorów — tak stanowi art. 26 ust. 3 RODO. Żądanie skierowane do nas przyjmujemy na [email protected]; jeżeli dotyczy danych, które Meta już otrzymała, przekazujemy je Meta bez zbędnej zwłoki i zawiadamiamy Cię o tym. Możesz też zwrócić się bezpośrednio do Meta Platforms Ireland Limited. Zgodę na Meta Pixel możesz wycofać w banerze zgody w każdej chwili; wycofanie zatrzymuje dalsze gromadzenie i przekazywanie, ale nie usuwa danych, które Meta już otrzymała — o ich usunięcie zwróć się do Meta albo do nas, a my przekażemy żądanie.

Google Ireland Limited i Meta Platforms Ireland Limited mogą przekazywać dane do Stanów Zjednoczonych na podstawie decyzji wykonawczej Komisji (UE) 2023/1795 stwierdzającej odpowiedni stopień ochrony (EU–U.S. Data Privacy Framework). Google LLC i Meta Platforms, Inc. figurują w wykazie uczestników Data Privacy Framework prowadzonym przez Departament Handlu Stanów Zjednoczonych; sprawdziliśmy to 4 września 2026 r. Decyzja ta może zostać zawieszona albo uchylona ze skutkiem natychmiastowym, dlatego wskazujemy również, co obowiązuje w takim przypadku. Dla Google Analytics warstwę zapasową stanowią standardowe klauzule umowne przewidziane w Warunkach przetwarzania danych Google Ads, którym usługa ta podlega. Dla Meta Pixel takiej warstwy nie ustaliliśmy w dokumentach Meta i nie twierdzimy, że istnieje; jeżeli Meta Platforms, Inc. przestanie być uczestnikiem Data Privacy Framework, Meta Pixel zostanie wyłączony do czasu udokumentowania innej podstawy przekazania.

Narzędzia pomiarowe nie są podprocesorami danych powierzonych przez kancelarie i nie występują w Załączniku nr 1 do DPA — nie mają dostępu do Przestrzeni Roboczych.

15. Zmiany informacji

Zmiana informacji o prywatności nie jest prośbą o zgodę. Jeżeli pojawi się nowy cel przetwarzania, właściwa informacja zostanie przekazana przed rozpoczęciem tego przetwarzania.