Polityka prywatności

Czego dotyczy ta polityka — a czego nie

Ta polityka opisuje, jak CRE8EVE Sp. z o.o. przetwarza dane osobowe osób odwiedzających postvow.eu, kontaktujących się z nami mailowo oraz korzystających z panelu Postvow pod adresem app.postvow.eu. Została napisana tak, aby spełniać obowiązek informacyjny z art. 13 i 14 RODO (rozporządzenie (UE) 2016/679). Większość sekcji poniżej opisuje ten serwis, postvow.eu; panel opisany jest osobno, w sekcji „Użytkownicy panelu Postvow" poniżej, bo zakres danych, które tam przetwarzamy, jest inny.

To NIE jest umowa regulująca dane, które przesyłacie przez usługę Postvow. Gdy wysyłacie pocztę transakcyjną przez Postvow, to Wy jesteście administratorem, a my podmiotem przetwarzającym — ten stosunek reguluje odrębna umowa powierzenia przetwarzania (DPA) wraz z Annexem 3, czyli listą podprzetwarzających. Poproście o nią na privacy@postvow.com; wysyłamy ją przed podpisaniem czegokolwiek, nie po.

Administrator i punkt kontaktowy

Administratorem jest CRE8EVE Sp. z o.o., Tulipanowa 4, 72-003 Dobra, KRS 0000912669, NIP 8513262229, REGON 389506637.

Nie wyznaczyliśmy inspektora ochrony danych, ponieważ nie mamy takiego obowiązku na gruncie art. 37 RODO. Sprawy z zakresu ochrony danych — w tym żądania realizacji praw — kierujcie na privacy@postvow.com; ten adres obsługuje zarząd.

Jakie dane przetwarzamy

Ten serwis to zbiór plików statycznych. Nie zapisuje plików cookie, nie korzysta z analityki, nie osadza czcionek, skryptów, wideo ani widżetów podmiotów trzecich i nie wykonuje żadnego zapytania sieciowego do hosta innego niż ten, który serwuje stronę. Nie ma tu na co wyrażać zgody i nie ma banera zgód, bo nie ma niczego, co wymagałoby zgody w rozumieniu art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej (w Polsce: art. 173 Prawa telekomunikacyjnego i przepisów je zastępujących).

Nie ma tu również formularza kontaktowego. To decyzja świadoma: formularz jest operacją przetwarzania na powierzchni publicznej i wolimy go nie uruchamiać, dopóki nie jest potrzebny.

Istnieją zatem dwie kategorie danych:

• Logi żądań serwera, tworzone przez dostawcę hostingu przy każdym żądaniu strony: adres IP, znacznik czasu, żądany adres URL, kod odpowiedzi HTTP, identyfikator przeglądarki (user agent) oraz adres odsyłający. Nie prowadzimy własnej kopii ani archiwum tych logów i nie budujemy na ich podstawie żadnego profilu.
• Treść wiadomości e-mail, którą sami zdecydujecie się do nas wysłać: adres nadawcy, imię i nazwisko, jeśli je podacie, treść wiadomości oraz historia korespondencji w danej sprawie.

Cele i podstawy prawne przetwarzania

Każdy cel ma jedną podstawę i ją nazywamy:

• Udostępnianie serwisu oraz utrzymanie jego dostępności i bezpieczeństwa — w tym wykrywanie i ograniczanie ataków oraz nadużyć. Podstawa: art. 6 ust. 1 lit. f RODO, nasz prawnie uzasadniony interes w bezpieczeństwie i dostępności własnej usługi.
• Odpowiadanie na Waszą korespondencję i prowadzenie wynikającej z niej rozmowy. Podstawa: art. 6 ust. 1 lit. b RODO, gdy wymiana dotyczy zawarcia lub wykonania umowy z Wami, a w pozostałych przypadkach art. 6 ust. 1 lit. f RODO, czyli nasz prawnie uzasadniony interes w udzielaniu odpowiedzi osobom, które się z nami kontaktują.
• Wypełnienie obowiązków przechowywania dokumentacji i obowiązków rachunkowych, gdy korespondencja staje się częścią dokumentacji handlowej. Podstawa: art. 6 ust. 1 lit. c RODO.

Odbiorcy danych

Dostawca hostingu i DNS przetwarza logi żądań na nasze zlecenie, jako podmiot przetwarzający w rozumieniu art. 28 RODO. Dostawca poczty przetwarza korespondencję, którą do nas kierujecie — również jako podmiot przetwarzający.

Publikujemy pełną listę podprzetwarzających usługi Postvow, wraz z miejscem przetwarzania i zakresem dostępu, i utrzymujemy ją w spójności z Annexem 3 umowy powierzenia. Nie sprzedajemy danych osobowych i nie udostępniamy ich na potrzeby reklamy.

Poza tym ujawniamy dane wyłącznie wtedy, gdy właściwy organ zażąda tego na podstawie obowiązujących przepisów.

Przekazywanie danych poza EOG

Infrastruktura, na której działa usługa Postvow i na której przetwarzana jest treść wiadomości, znajduje się w Unii Europejskiej (Niemcy).

Jeden dostawca w tej ścieżce nie znajduje się w UE: Cloudflare, spółka ze Stanów Zjednoczonych, dostarcza DNS, hosting tych statycznych stron oraz uwierzytelniony tunel do konsoli operatorskiej. Oznacza to, że podmiot z USA jest technicznie adresowalny na gruncie amerykańskiej ustawy CLOUD Act. Mówimy o tym wprost, zamiast to ukrywać, bo twierdzenie o suwerenności, które przemilcza własny wyjątek, nie jest twierdzeniem o suwerenności. Przekazywanie do tego dostawcy odbywa się na podstawie zabezpieczeń z art. 46 RODO, tj. standardowych klauzul umownych stanowiących część jego umowy powierzenia.

Nasze rekordy pocztowe są skonfigurowane jako wyłącznie DNS (bez proxy), więc dostawca ten nie terminuje TLS dla ruchu pocztowego. Strona z listą podprzetwarzających opisuje dokładnie, co widzi, a czego nie.

Jak długo przechowujemy dane

Logi żądań serwera: przechowywane przez dostawcę hostingu przez krótki, określony przez niego okres, w celach bezpieczeństwa i przeciwdziałania nadużyciom; nie wydłużamy tego okresu i nie prowadzimy odrębnego archiwum.

Korespondencja e-mail: przechowywana tak długo, jak wymaga tego sprawa, a następnie przez okres właściwych terminów przedawnienia oraz obowiązkowego przechowywania dokumentacji rachunkowej, po czym jest usuwana.

Użytkownicy panelu Postvow (app.postvow.eu)

Ta sekcja dotyczy innego kręgu osób niż reszta tej polityki: osób zaproszonych przez organizację klienta do jej przestrzeni roboczej w Postvow („członkowie zespołu") oraz członków naszego własnego zespołu operacyjnego. Nie dotyczy odbiorców wiadomości e-mail wysyłanych przez Postvow — to przetwarzanie reguluje umowa powierzenia przetwarzania (DPA) zawarta z klientem, a nie ta polityka.

Logujecie się przez nasz serwis logowania Rakomi, prowadzony przez CRE8EVE Sp. z o.o. (ten sam podmiot prawny co Postvow). Przy każdym logowaniu otrzymujemy Wasz identyfikator użytkownika Rakomi, adres e-mail, identyfikator sesji oraz wskaźnik siły uwierzytelnienia; nie otrzymujemy ani nie przechowujemy Waszego hasła do Rakomi, a tokeny OAuth (access i refresh) wydane podczas logowania służą wyłącznie do jego dokończenia i nigdy nie są zapisywane.

Co przechowujemy: rekord członkostwa w zespole (Wasz e-mail, identyfikator użytkownika Rakomi, rolę oraz — dopóki zaproszenie jest aktywne — zahaszowany, jednorazowy, wygasający token zaproszenia; sam token zaproszenia nigdy nie jest zapisywany, a hash jest usuwany po jego przyjęciu); rekord sesji potwierdzający, że jesteście zalogowani, jej termin ważności oraz — wyłącznie do momentu wylogowania — zaszyfrowaną kopię tokenu logowania Rakomi, potrzebną, by przy wylogowaniu z Postvow zakończyć też Waszą sesję w Rakomi; oraz dziennik działań podjętych w panelu (co, przez kogo i kiedy), przechowywany dla celów rozliczalności.

Logowanie wspierają dwa pliki cookie, oba ściśle niezbędne i ustawiane bez baneru zgody, na podstawie art. 399 ust. 3 Prawa komunikacji elektronicznej: jeden identyfikuje Waszą zalogowaną sesję (usuwany automatycznie po 24 godzinach lub przy wylogowaniu), drugi istnieje tylko na czas kilku minut samego przekierowania logowania.

Podstawa prawna: art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes oraz interes organizacji klienta w zapewnieniu Wam dostępu do przestrzeni roboczej, do której zostaliście zaproszeni, oraz w prowadzeniu rejestru działań podejmowanych w niej dla celów bezpieczeństwa i rozliczalności.

Odbiorcy: Hetzner Online GmbH (hosting, Niemcy); Cloudflare, Inc. (tunel przenoszący ruch panelu — zobacz stronę z listą podprzetwarzających, co dokładnie widzi); oraz Rakomi, jako opisany wyżej serwis logowania. Nie wykorzystujemy Waszej aktywności w panelu do celów marketingowych i jej nie sprzedajemy.

Wasz adres IP nie trafia do żadnego prowadzonego przez nas logu żądań: nasze ustrukturyzowane logi aplikacyjne zapisują dla każdego żądania wyłącznie metodę, ścieżkę, kod odpowiedzi i identyfikator żądania, a nasz reverse proxy celowo nie jest skonfigurowany do logowania danych dostępowych per żądanie. Logowanie się krótko odczytuje Wasz adres IP, by zastosować limit częstotliwości przeciw automatycznym nadużyciom punktu logowania; ten odczyt nie jest zapisywany na trwałe.

Przechowywanie: rekord członkostwa w zespole istnieje tak długo, jak trwa Wasze członkostwo — jest usuwany, gdy zostajecie usunięci z przestrzeni roboczej, a pseudonimizowany, jeśli konto, którym się logujecie, zostanie usunięte. Dziennik działań przechowujemy tak długo, jak istnieje przestrzeń robocza, a po zakończeniu Waszego członkostwa — nie dłużej niż 3 lata, dla celów rozliczalności oraz obrony przed roszczeniami. Wasze prawa oraz sposób złożenia skargi do organu nadzorczego są takie same jak opisano powyżej; w sprawach dotyczących ochrony danych związanych z korzystaniem z panelu piszcie na privacy@postvow.com.

Wasze prawa

Na gruncie RODO przysługuje Wam prawo do:

• dostępu do danych i uzyskania ich kopii (art. 15);
• sprostowania danych nieprawidłowych (art. 16);
• usunięcia danych (art. 17);
• ograniczenia przetwarzania (art. 18);
• przenoszenia danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego — gdy przetwarzanie opiera się na zgodzie lub umowie i odbywa się w sposób zautomatyzowany (art. 20);
• sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie, z przyczyn związanych z Waszą szczególną sytuacją (art. 21).

Realizacja praw i prawo skargi

Piszcie na privacy@postvow.com. Odpowiadamy w terminie miesiąca od otrzymania żądania, zgodnie z art. 12 ust. 3 RODO; przy żądaniu skomplikowanym możemy ten termin przedłużyć i poinformujemy Was o przyczynach jeszcze w pierwszym miesiącu.

Jeśli uważacie, że przetwarzamy Wasze dane niezgodnie z prawem, możecie wnieść skargę do polskiego organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa. Możecie też złożyć skargę do organu nadzorczego państwa członkowskiego UE Waszego zwykłego pobytu lub miejsca pracy.

Zautomatyzowane podejmowanie decyzji

Nie podejmujemy zautomatyzowanych decyzji, w tym nie stosujemy profilowania, które wywoływałoby wobec Was skutki prawne lub w podobny sposób istotnie na Was wpływało w rozumieniu art. 22 RODO.

Zmiany tej polityki

Jeśli zmienimy tę politykę, zaktualizujemy datę na górze strony. Zmiany dotyczące samej usługi Postvow — w szczególności dodanie nowego podprzetwarzającego — realizujemy w trybie umowy powierzenia: z uprzednim powiadomieniem klientów i prawem sprzeciwu, a nie przez ciche poprawienie strony internetowej.