Polityka prywatności

1. Administrator danych

Administratorem danych jest SYSDEVOPS.EU Jarosław Karsznia, ul. Zbożowa 5/34, 81-020 Gdynia, NIP: 5871592779.

Kontakt: [email protected]

2. Analityka - Umami

Publiczna strona (landing oraz katalog CVE) korzysta z Umami Analytics - narzędzia do analityki webowej, które nie używa plików cookie i nie zbiera danych osobowych. Umami przetwarza wyłącznie zanonimizowane dane statystyczne (typ urządzenia, kraj, odwiedzane podstrony, kliknięcia w odnośniki typu „Wypróbuj za darmo”). Korzystanie z Umami nie wymaga zgody użytkownika w rozumieniu RODO ani Prawa komunikacji elektronicznej. Analityka obejmuje również odsłony strony kontaktowej i zdarzenie skutecznego wysłania formularza, bez przekazywania treści formularza w tym zdarzeniu.

Śledzenie analityczne działa wyłącznie na publicznej stronie (landing oraz katalog CVE). Panel logowania oraz panel dla zalogowanych użytkowników nie zawierają tego skryptu.

3. Pliki cookies

Ten publiczny katalog CVE nie używa żadnych śledzących ani marketingowych plików cookie. Część aplikacji wymagająca logowania korzysta z niezbędnych plików cookie sesyjnych służących do uwierzytelniania. Przetwarzanie danych związane z rejestracją i bezpieczeństwem dostępu opisują sekcje 4 i 5.

Gdy zaczynasz korzystać z formularza kontaktowego albo formularza rejestracji (kliknięcie dowolnego elementu formularza albo przejście do niego klawiaturą; dotyczy pól, odnośników i przycisku wysłania), strona ładuje skrypt Cloudflare Turnstile, który odczytuje dane techniczne przeglądarki i urządzenia, żeby odróżnić człowieka od automatu. Samo czytanie strony i otwarcie polityki prywatności nie uruchamiają weryfikacji. Na dostęp do informacji w urządzeniu niezbędny do bezpiecznego udostępnienia formularza, z którego zaczynasz korzystać, nie pytamy o zgodę: korzystamy z wyjątku z art. 399 ust. 3 pkt 2 Prawa komunikacji elektronicznej. Cloudflare wykorzystuje te sygnały także do doskonalenia własnej detekcji botów jako odrębny administrator (sekcja 8). Szczegóły w sekcjach 5 i 7.

4. Użytkownicy konta testowego (trial)

Gdy rejestrujesz się na bezpłatny okres próbny, przetwarzamy podane przez Ciebie dane (adres e-mail, nazwa firmy, NIP lub numer VAT UE) oraz dane konta niezbędne do świadczenia Usługi, na podstawie wykonania umowy (art. 6 ust. 1 lit. b RODO). Po przejściu na płatny plan przetwarzamy także dane rozliczeniowe w celu wypełnienia ciążących na nas obowiązków prawnych - wystawiania faktur i prowadzenia księgowości (art. 6 ust. 1 lit. c RODO).

5. Rejestracja i bezpieczeństwo dostępu (przeciwdziałanie nadużyciom)

Przy rejestracji zapisujemy adres IP, z którego utworzono konto (signupIp). Wykorzystujemy go wyłącznie do przeciwdziałania nadużyciom otwartej rejestracji - na przykład do ograniczenia masowego, zautomatyzowanego zakładania kont z jednego adresu. Podstawą prawną jest nasz prawnie uzasadniony interes polegający na ochronie Usługi (art. 6 ust. 1 lit. f RODO).

Formularz rejestracji korzysta z Cloudflare Turnstile. Weryfikacja uruchamia się dopiero, gdy zaczynasz korzystać z formularza, a nie przy samym wejściu na stronę czy jej czytaniu. Żeby sprawdzić, że formularz wypełnia człowiek, Cloudflare przetwarza dane techniczne przeglądarki i urządzenia, w tym adres IP. Podstawą jest prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), jakim jest ochrona rejestracji przed zautomatyzowanym zakładaniem kont. Bez tej weryfikacji formularz nie przyjmie rejestracji; jeśli nie możesz jej przejść albo wnosisz sprzeciw, napisz na [email protected]. Cloudflare i przekazanie mu danych opisuje sekcja 8.

Konta niepotwierdzone: jeżeli żaden użytkownik konta nie potwierdzi adresu e-mail, zamykamy konto w codziennym cyklu porządkowym po 7 dniach od rejestracji. Usuwamy wtedy z bazy rekord użytkownika (adres e-mail, skrót hasła, zapis akceptacji regulaminu), o ile użytkownik nie należy do innego konta, a z rekordu konta usuwamy nazwę firmy, numer NIP lub VAT UE i adres IP rejestracji. Zostaje pusty rekord oznaczony jako usunięty.

Rejestr odmów dostępu: gdy zalogowany użytkownik (także w koncie demonstracyjnym) odwołuje się po identyfikatorze do zasobu (na przykład maszyny, projektu, incydentu albo członka zespołu), który nie należy do jego konta albo nie istnieje, zapisujemy odmowę: identyfikator użytkownika i konta, adres IP, metodę i ścieżkę żądania, rodzaj i identyfikator zasobu oraz czas. Rejestr służy do wykrywania prób nieuprawnionego dostępu do danych innych klientów, reagowania na nie i wyjaśniania incydentów bezpieczeństwa. Seria odmów powoduje powiadomienie operatora e-mailem i przez Telegram (odbiorcy w sekcji 8); kopie tych powiadomień usuwamy po 12 miesiącach. Podstawą jest nasz prawnie uzasadniony interes polegający na zapewnieniu bezpieczeństwa Usługi i powierzonych nam danych (art. 6 ust. 1 lit. f RODO). Wpisy usuwamy w codziennym cyklu porządkowym po 90 dniach.

6. Zgłoszenia do programu partnerskiego

Formularz zgłoszenia do programu partnerskiego zbiera: imię i nazwisko, adres e-mail, rodzaj zgłaszającego (audytor certyfikujący albo konsultant) oraz opcjonalnie nazwę firmy, odnośnik do profilu publicznego (LinkedIn lub strona) i notatkę własną. Zapisujemy też dokładne brzmienie zgody, którą zaznaczono, moment jej udzielenia, adres IP wysyłki formularza i język strony.

Dane ze zgłoszenia przetwarzamy na podstawie zgody (art. 6 ust. 1 lit. a RODO), udzielonej w celu rozpatrzenia zgłoszenia i kontaktu w jego sprawie. Zgodę można wycofać w każdej chwili, pisząc na [email protected]; wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania. Adres IP zapisujemy na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO) - ogranicza liczbę zgłoszeń wysyłanych z jednego adresu.

Okresy przechowywania: rekord zgłoszenia odrzuconego usuwamy z bazy po 90 dniach od decyzji, a jeśli daty decyzji nie zapisano, po 90 dniach od wpłynięcia zgłoszenia. Zgłoszenie nierozpatrzone zostaje w kolejce do czasu rozstrzygnięcia. Zgłoszenie zaakceptowane przechowujemy tak długo, jak istnieje założone na jego podstawie konto - jest ono podstawą tego konta i zapisem tego, na co dokładnie wyrażono zgodę. Adres IP zerujemy po 90 dniach od wysłania formularza, niezależnie od statusu zgłoszenia.

Powiadomienie o nowym zgłoszeniu trafia do operatora e-mailem (wysyłanym przez Resend do skrzynki operatora w Hostido) oraz wiadomością w Telegramie. Zawiera imię i nazwisko, adres e-mail, rodzaj zgłaszającego oraz, jeśli je podano, firmę i odnośnik do profilu. Przekazanie danych do Telegrama nie jest objęte zabezpieczeniami z art. 46 RODO (szczegóły w sekcji 8). Kopie powiadomień usuwamy ze skrzynki operatora i z Telegrama po 12 miesiącach od wysłania zgłoszenia; kopie zapasowe bazy opisuje sekcja 7.

7. Formularz kontaktowy

Formularz kontaktowy zbiera: imię i nazwisko, adres e-mail, temat, treść wiadomości oraz opcjonalnie nazwę firmy. Zapisujemy też adres IP wysyłki formularza, język strony, identyfikator wiadomości i informację o doręczeniu. Podanie danych jest dobrowolne i nie wynika z obowiązku ustawowego. Bez imienia i nazwiska, adresu e-mail, tematu i treści wiadomości formularz nie zostanie wysłany, a my nie będziemy mogli odpowiedzieć. Nazwa firmy jest opcjonalna.

Dane z formularza przetwarzamy w celu obsługi zapytania i udzielenia odpowiedzi, a po odpowiedzi w celu możliwości nawiązania do tej korespondencji do końca okresu przechowywania. Podstawą jest nasz prawnie uzasadniony interes polegający na prowadzeniu korespondencji z osobami zainteresowanymi Secvalis (art. 6 ust. 1 lit. f RODO). Jeżeli na Twoje żądanie podejmujemy działania przed zawarciem umowy, której masz być stroną (np. wycena), niezbędne do tego dane przetwarzamy na podstawie art. 6 ust. 1 lit. b RODO. Korespondencję potrzebną do ustalenia, dochodzenia lub obrony roszczeń przechowujemy na podstawie naszego prawnie uzasadnionego interesu w ochronie tych roszczeń (art. 6 ust. 1 lit. f RODO). Adres IP zapisujemy na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO): ogranicza liczbę wiadomości wysyłanych z jednego adresu i pozwala wyjaśnić nadużycia. Wobec przetwarzania opartego na prawnie uzasadnionym interesie możesz wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją, pisząc na [email protected].

Ochrona przed spamem: formularz korzysta z Cloudflare Turnstile. Weryfikacja uruchamia się dopiero, gdy zaczynasz korzystać z formularza (kliknięcie dowolnego jego elementu albo przejście do niego klawiaturą), a nie przy samym wejściu na stronę czy jej czytaniu. Żeby sprawdzić, że formularz wypełnia człowiek, Cloudflare przetwarza dane techniczne przeglądarki i urządzenia, w tym adres IP. Podstawą jest prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), jakim jest ochrona formularza przed automatycznym spamem. Cloudflare i przekazanie mu danych opisuje sekcja 8.

Powiadomienie zawierające imię i nazwisko, adres e-mail, temat, treść wiadomości, opcjonalną nazwę firmy i identyfikator wiadomości trafia do operatora e-mailem (wysyłanym przez Resend do skrzynki operatora w Hostido) oraz wiadomością w Telegramie. Telegram Messenger Inc. ma siedzibę poza Europejskim Obszarem Gospodarczym, a przekazanie mu danych nie jest objęte zabezpieczeniami z art. 46 RODO (szczegóły w sekcji 8). Jeśli nie chcesz, żeby Twoja wiadomość trafiła do Telegrama, zamiast formularza napisz bezpośrednio na [email protected]. Odpowiadamy z naszej skrzynki na podany adres e-mail.

Okresy przechowywania: rekord wiadomości w bazie formularza usuwamy w codziennym cyklu porządkowym po 12 miesiącach (365 dniach) od wysłania. Kopie powiadomień i dalszą korespondencję w sprawie wiadomości usuwamy ze skrzynki operatora i z Telegrama po 12 miesiącach od wysłania wiadomości, chyba że korespondencja doprowadzi do zawarcia umowy; wtedy przechowujemy ją w skrzynce operatora przez czas trwania umowy i do przedawnienia roszczeń. Adres IP usuwamy z rekordu w bazie po 30 dniach od wysłania. Zaszyfrowane kopie zapasowe obejmują całą bazę, w tym dane formularza i adresy IP istniejące w bazie w chwili wykonania kopii. Zachowujemy kopie z ostatnich 7 dni, 4 tygodni i 6 miesięcy, w których wykonano kopię (okresy te się pokrywają), a starsze usuwamy w ramach rotacji, więc usunięta wiadomość lub adres IP pozostaje w kopiach zwykle do 6 miesięcy dłużej; przerwy w wykonywaniu kopii mogą ten czas wydłużyć. Jeśli chcesz, żebyśmy usunęli wiadomość wcześniej, napisz na [email protected].

8. Odbiorcy danych

W celu świadczenia Usługi i obsługi korespondencji korzystamy z poniższych odbiorców danych. Podmioty przetwarzające działają na nasze zlecenie; jeśli odbiorca przetwarza dane także we własnym celu, piszemy o tym przy jego pozycji. Kopię wymienionych niżej zabezpieczeń transferu można uzyskać, pisząc na [email protected].

• Resend (Plus Five Five, Inc., USA) - wysyłka e-maili transakcyjnych (weryfikacja konta, powiadomienia) i powiadomień operatora o wiadomościach z formularza kontaktowego, nowych rejestracjach (nazwa firmy, adres e-mail) i seriach odmów dostępu (identyfikator użytkownika i konta, adres IP, ścieżka żądania, identyfikator zasobu). Przetwarzane dane: adres e-mail, a dla formularza kontaktowego także imię i nazwisko, temat, treść wiadomości, opcjonalna nazwa firmy i identyfikator wiadomości. Transfer do USA odbywa się na podstawie standardowych klauzul umownych zawartych w umowie powierzenia Resend (https://resend.com/legal/dpa); Resend uczestniczy też w EU-U.S. Data Privacy Framework.
• OVHcloud (OVH SAS, region - Warszawa, Polska) - przechowywanie zaszyfrowanych kopii zapasowych. Kopie są szyfrowane (restic) przed wysłaniem, więc OVHcloud nie ma dostępu do danych w postaci jawnej.
• Raportowanie błędów (GlitchTip) jest hostowane na naszym własnym serwerze w Polsce - nie jest osobnym podmiotem zewnętrznym. Raporty błędów mogą zawierać dane techniczne niezbędne do diagnostyki.
• Cloudflare (Cloudflare, Inc., USA) - reverse proxy i ochrona sieciowa całego serwisu oraz weryfikacja Turnstile (ochrona przed automatami) w formularzu kontaktowym i formularzu rejestracji. Cały ruch do serwisu przechodzi przez Cloudflare, który przetwarza adresy IP i dane żądań HTTP, w tym dane przesyłane przez formularze, w zakresie potrzebnym do obsługi i ochrony ruchu. W ramach Turnstile przetwarza dane techniczne przeglądarki i urządzenia, w tym adres IP; przy doskonaleniu własnej detekcji botów Cloudflare działa jako odrębny administrator (https://www.cloudflare.com/turnstile-privacy-policy/). Transfer do USA opieramy na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony w ramach EU-U.S. Data Privacy Framework, w zakresie certyfikacji Cloudflare, a poza nim na standardowych klauzulach umownych z umowy powierzenia Cloudflare (https://www.cloudflare.com/cloudflare-customer-dpa/).
• Hostido (HOSTIDO.PL Gałązka Spółka Jawna, Gdańsk, Polska) - skrzynka operatora ([email protected]), do której trafiają powiadomienia z formularzy i w której prowadzimy korespondencję. Dane pozostają w Polsce.
• Telegram (Telegram Messenger Inc., Brytyjskie Wyspy Dziewicze, poza Europejskim Obszarem Gospodarczym) - komunikator, przez który operator otrzymuje powiadomienia. Powiadomienie z formularza kontaktowego zawiera imię i nazwisko, adres e-mail, temat, pełną treść wiadomości, opcjonalną firmę i identyfikator wiadomości. Powiadomienie o zgłoszeniu do programu partnerskiego zawiera imię i nazwisko, adres e-mail, rodzaj zgłaszającego, opcjonalną firmę i odnośnik do profilu, bez notatki i zapisu zgody. Powiadomienie o nowej rejestracji zawiera nazwę firmy i adres e-mail rejestrującego. Powiadomienie o serii odmów dostępu (sekcja 5) zawiera identyfikator użytkownika i konta, adres IP, metodę i ścieżkę żądania oraz rodzaj i identyfikator zasobu. Powiadomienia zawierają też odnośnik do panelu administracyjnego. Nie zawarliśmy z Telegramem umowy powierzenia ani standardowych klauzul umownych, więc to przekazanie nie jest objęte zabezpieczeniami z art. 46 RODO, a dla Brytyjskich Wysp Dziewiczych Komisja Europejska nie wydała decyzji stwierdzającej odpowiedni stopień ochrony. Telegram opisuje własne przetwarzanie danych na https://telegram.org/privacy. Jeśli nie chcesz, żeby Twoje dane trafiły do Telegrama, zamiast formularza napisz bezpośrednio na [email protected]. Ta możliwość dotyczy wiadomości z formularzy, nie powiadomień o rejestracji i bezpieczeństwie.
• Infrastruktura hostingowa: OVHcloud (OVH SAS), serwery zlokalizowane w Warszawie, Polska.

9. Okres przechowywania danych

Dane osobowe będą przechowywane przez następujące okresy:

• Dane Konta (adres e-mail) - przez okres świadczenia Usługi (utrzymywania Konta) oraz do czasu przedawnienia ewentualnych roszczeń wynikających z umowy;
• Dane rozliczeniowe i księgowe - przez okres wymagany przepisami prawa podatkowego (5 lat od końca roku podatkowego, w którym upłynął termin płatności podatku);
• Adres IP rejestracji - przez okres niezbędny do realizacji celów bezpieczeństwa i przeciwdziałania nadużyciom, nie dłużej niż przez 12 miesięcy od momentu rejestracji lub do czasu wniesienia skutecznego sprzeciwu;
• Dane konta z niepotwierdzonym adresem e-mail (rekord użytkownika, nazwa firmy, NIP lub VAT UE, adres IP rejestracji) - 7 dni od rejestracji, potem usuwane; kopie powiadomienia o rejestracji w skrzynce operatora i Telegramie - 12 miesięcy; kopie zapasowe bazy - jak w sekcji 7;
• Rejestr odmów dostępu (w tym adres IP) - 90 dni od wpisu, potem usuwany; kopie powiadomień o serii odmów w skrzynce operatora i Telegramie - 12 miesięcy; kopie zapasowe bazy - jak w sekcji 7;
• Zgłoszenie do programu partnerskiego odrzucone (rekord w bazie) - 90 dni od decyzji (albo od wpłynięcia, jeśli daty decyzji nie zapisano), potem usuwane; kopie powiadomień w skrzynce operatora i Telegramie - 12 miesięcy od wpłynięcia; kopie zapasowe bazy - jak w sekcji 7;
• Zgłoszenie do programu partnerskiego zaakceptowane - tak długo, jak istnieje założone na jego podstawie konto;
• Adres IP wysyłki formularza programu partnerskiego - 90 dni od wysłania, niezależnie od statusu zgłoszenia;
• Wiadomość z formularza kontaktowego - rekord w bazie usuwamy w codziennym cyklu po 365 dniach od wysłania; kopie powiadomień i dalszą korespondencję w skrzynce operatora i Telegramie usuwamy po 12 miesiącach od wysłania, chyba że korespondencja doprowadzi do zawarcia umowy (wtedy zostaje w skrzynce przez czas trwania umowy i do przedawnienia roszczeń); kopie zapasowe bazy - jak w sekcji 7;
• Adres IP wysyłki formularza kontaktowego - 30 dni od wysłania (rekord w bazie); kopie zapasowe bazy - jak w sekcji 7.

10. Prawa osoby, której dane dotyczą

Na podstawie RODO (art. 15–21) przysługuje Pani/Panu prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, gdy przetwarzanie odbywa się w sposób zautomatyzowany na podstawie zgody lub umowy, prawo do wniesienia sprzeciwu wobec przetwarzania danych (w szczególności wobec przetwarzania na podstawie prawnie uzasadnionego interesu, np. obsługi wiadomości z formularza kontaktowego, weryfikacji Turnstile, zapisu adresu IP lub rejestru odmów dostępu), a także prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa.

W praktyce powyższe prawa nie mają zastosowania do opisanej wyżej analityki: Umami nie zbiera żadnych danych osobowych, więc nie istnieją Pani/Pana dane osobowe, do których moglibyśmy zapewnić dostęp, sprostować je czy usunąć w tym kontekście.