Polityka prywatności
Wersja 2.4 · Data wejścia w życie: 2026-07-02 · Poprzednie wersje: 2.3 (2026-06-19), 2.2 (2026-05-22), 2.1 (2026-05-11), 1.0 (2026-04-04)
Zmiany w wersji 2.4: dodano Meta Platforms Ireland Limited (Meta Pixel) i Google Ireland Limited (Google Analytics 4) jako odbiorców danych; kategorię cookies reklamowych i analitycznych z cookies uruchamianą wyłącznie po zgodzie w banerze (opt-in, Consent Mode v2); mechanizm wycofania zgody („Ustawienia cookies" w stopce); podstawę art. 173 ust. 1 PKE dla zapisu cookies śledzących.
Zmiany w wersji 2.2: dodano zasady przetwarzania danych w usłudze audytu AI, w tym informację o profilowaniu na potrzeby oceny zgłoszenia. Zaktualizowano listę podmiotów przetwarzających dane.
1. Administrator danych
Administratorem danych osobowych jest Praktyka Lidera Kamil Wojciechowski, ul. Leśna 5E lok. 2, 84-240 Reda, NIP 5882263298, REGON 222046054, wpis do CEIDG. Kontakt: kontakt@praktykalidera.pl, telefon +48 882 685 981.
Niniejsza polityka opisuje zasady przetwarzania danych osobowych w obszarach opisanych poniżej (m.in.: formularz kontaktowy na stronie, sklep internetowy z treściami cyfrowymi, newsletter i komunikacja marketingowa, usługa audytu AI wraz z profilowaniem scoringowym, pliki cookies i inne dane lokalne przeglądarki).
2. Zakres przetwarzanych danych
Formularz kontaktowy: imię, adres email, opcjonalnie numer telefonu, treść wiadomości.
Sklep internetowy: imię i nazwisko, adres email, opcjonalnie NIP firmy i nazwa firmy (dla faktury B2B), dane płatności obsługiwane przez Stripe (numer karty, BLIK, przelew - administrator nie ma dostępu do pełnych danych karty), identyfikator transakcji, treść wyrażonych zgód (regulamin, klauzula odstąpienia, marketing) wraz z timestampem i adresem IP, historia zakupów.
Newsletter i marketing: imię, adres email, treść zgody, data udzielenia i wycofania zgody.
Cookies i dane lokalne: patrz sekcja 7.
3. Cele i podstawy prawne przetwarzania
| Cel | Podstawa prawna | Zakres danych |
|---|---|---|
| Obsługa zapytania kontaktowego, kontakt zwrotny, przygotowanie oferty | art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy) i art. 6 ust. 1 lit. f RODO (uzasadniony interes - obsługa kontaktu) | imię, email, telefon, treść wiadomości |
| Realizacja zakupu w sklepie - dostarczenie Produktu, wystawienie faktury, kontakt w sprawie zamówienia | art. 6 ust. 1 lit. b RODO (wykonanie umowy) | imię, nazwisko, email, NIP/firma, ID transakcji, treść Produktu |
| Dostarczenie sekwencji emaili stanowiących zawartość zakupionego Produktu (np. 7-dniowa mini-sekwencja w Starter Kit) | art. 6 ust. 1 lit. b RODO (wykonanie umowy) | imię, email |
| Rozliczenia podatkowe i księgowe, archiwizacja faktur | art. 6 ust. 1 lit. c RODO (obowiązek prawny - ustawa o rachunkowości, ustawa o VAT, Ordynacja podatkowa) | imię, nazwisko, NIP/firma, kwota, data zakupu |
| Marketing własnych produktów Sprzedawcy w komunikacji handlowej drogą elektroniczną (newsletter, oferty, sekwencje sprzedażowe) | art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 408 ustawy z 12 lipca 2024 r. Prawo Komunikacji Elektronicznej (PKE) | imię, email, historia interakcji |
| Dochodzenie i obrona roszczeń z umowy, archiwizacja zgód i dokumentów transakcyjnych | art. 6 ust. 1 lit. f RODO (uzasadniony interes administratora) | dane transakcyjne, treść zgód, IP, timestamp, kopia maila potwierdzającego |
| Obsługa cookies niezbędnych do działania strony i sklepu | art. 173 ust. 3 PKE (cookies niezbędne do realizacji usługi żądanej przez użytkownika - zgoda nie jest wymagana) | identyfikator sesji, dane koszyka, token zabezpieczający |
| Analityka ruchu strony i sklepu w celu poprawy UX i konwersji | art. 6 ust. 1 lit. f RODO (uzasadniony interes - mierzenie skuteczności komunikacji marketingowej i ścieżek zakupu); narzędzie nie zapisuje informacji w urządzeniu użytkownika, więc art. 173 ust. 1 PKE nie znajduje zastosowania | jak w sekcji 5 (Plausible Insights OÜ); bez identyfikacji indywidualnej po stronie administratora |
| Pomiar skuteczności reklam i kampanii (konwersje, zdarzenia zakupu) oraz zapis i odczyt cookies na urządzeniu w tym celu (Meta Pixel) | art. 173 ust. 1 PKE (zapis/odczyt informacji na urządzeniu - zgoda) oraz art. 6 ust. 1 lit. a RODO (zgoda na przetwarzanie danych) | identyfikatory cookies Meta, zdarzenia (odsłona, zakup, wartość), dane techniczne przeglądarki, adres IP |
| Analityka zachowań na stronie z użyciem cookies (Google Analytics 4) w celu poprawy treści i ścieżek zakupu | art. 173 ust. 1 PKE (zapis/odczyt informacji na urządzeniu - zgoda) oraz art. 6 ust. 1 lit. a RODO (zgoda) | identyfikatory cookies Google, zdarzenia, dane techniczne przeglądarki, adres IP |
| Udostępnienie szablonu PDF „Brief Delegowania" osobie, która wypełniła test delegowania i poprosiła o materiał | art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes - przechowanie zgłoszenia, obrona przed roszczeniami) | adres e-mail, opcjonalnie imię, treść i timestamp zgody |
4. Mechanika trzech odrębnych zgód przy zakupie
Przed potwierdzeniem zamówienia w sklepie Klient zaznacza trzy odrębne pola wyboru, zgodnie z zakazem łączenia zgód (art. 7 ust. 4 RODO):
- Akceptacja Regulaminu i Polityki Prywatności - obowiązkowa, warunek zawarcia umowy.
- Zgoda na rozpoczęcie świadczenia przed upływem 14-dniowego terminu odstąpienia - obowiązkowa, treść w § 5 Regulaminu Sklepu, podstawa: art. 38 ust. 1 pkt 13 ustawy o prawach konsumenta. Po jej udzieleniu Klient otrzymuje na trwałym nośniku (mail) potwierdzenie zawarcia umowy z powtórzeniem treści zgody i informacji o utracie prawa odstąpienia (art. 38a u.p.k.).
- Zgoda na otrzymywanie informacji handlowych - opcjonalna, domyślnie nie zaznaczona, podstawa: art. 6 ust. 1 lit. a RODO + art. 408 PKE. Może być cofnięta w każdej chwili przez link w mailu lub wiadomość na kontakt@praktykalidera.pl - bez wpływu na realizację zakupu.
Treść każdej zgody, data, godzina, adres IP i wersja Regulaminu archiwizowane są w systemie administratora na potrzeby ewentualnego sporu i wykazania zgody (art. 7 ust. 1 RODO).
5. Odbiorcy danych i procesorzy
Dane mogą być przekazywane podmiotom obsługującym technicznie i operacyjnie procesy administratora. Każdy procesor działa na podstawie umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO.
| Procesor | Cel | Lokalizacja | Podstawa transferu |
|---|---|---|---|
| Stripe Payments Europe Ltd / Stripe Inc. | obsługa płatności, KYC, zwroty | Irlandia (EOG) i USA | art. 28 RODO; transfer USA: Trans-Atlantic Data Privacy Framework (Stripe Inc. na liście DPF) oraz standardowe klauzule umowne (SCC) |
| inFakt sp. z o.o. | księgowość, generowanie faktur, integracja KSeF | Polska (EOG) | art. 28 RODO |
| Mailgun Technologies Inc. | wysyłka maili transakcyjnych i marketingowych, archiwum dostarczeń | USA | art. 28 RODO; TADPF i SCC |
| Cloudflare Inc. | CDN, ochrona przed atakami, magazyn obiektowy R2 (pliki Produktów) | USA z brzegowymi serwerami w EOG | art. 28 RODO; TADPF i SCC |
| Netlify Inc. | hosting strony | USA z brzegowymi serwerami w EOG | art. 28 RODO; TADPF i SCC |
| n8n GmbH | automatyzacja przepływów (webhook Stripe → mail → archiwum) | Niemcy (EOG) | art. 28 RODO |
| Amazon Web Services EMEA SARL (AWS) | przechowywanie zgłoszeń z formularza lead magnet „Test delegowania" (adres e-mail, opcjonalnie imię, treść i timestamp zgody) w bazie DynamoDB | Unia Europejska (region eu-central-1, Frankfurt) | art. 28 RODO; przetwarzanie wewnątrz EOG bez wymogu DPF/SCC |
| Plausible Insights OÜ | cookieless analityka ruchu strony i sklepu (statystyki agregowane, ścieżki konwersji); zakres: anonimizowany identyfikator sesji generowany z hash(salt dnia + IP + user-agent), kraj, źródło ruchu, zdarzenia interakcji; pełny adres IP nie jest przechowywany przez procesora | Estonia (EOG) | art. 28 RODO; przetwarzanie wewnątrz EOG bez wymogu DPF/SCC |
| Meta Platforms Ireland Limited / Meta Platforms, Inc. | pomiar konwersji i skuteczności reklam (Meta Pixel), remarketing i grupy odbiorców podobnych na podstawie zdarzeń ze strony | Irlandia (EOG) i USA | art. 26 RODO (współadministrowanie w zakresie zdarzeń Pixela) i art. 28 RODO; transfer USA: Trans-Atlantic Data Privacy Framework (Meta Platforms, Inc. na liście DPF) oraz standardowe klauzule umowne (SCC) |
| Google Ireland Limited / Google LLC | analityka ruchu i zachowań (Google Analytics 4), pomiar konwersji reklamowych | Irlandia (EOG) i USA | art. 28 RODO; transfer USA: Trans-Atlantic Data Privacy Framework (Google LLC na liście DPF) oraz standardowe klauzule umowne (SCC) |
| Notion Labs Inc. | archiwizacja zapytań i materiałów roboczych; baza danych submissions audytu AI (imię, email, odpowiedzi, score, kategoria, branża, treść zgód) | USA | art. 28 RODO; TADPF i SCC |
| Tally BV | hostowanie formularza audytu AI, zbieranie odpowiedzi i przekazywanie ich przez webhook do dalszego flow | Belgia (EOG) | art. 28 RODO; przetwarzanie wewnątrz EOG bez wymogu DPF/SCC |
| Resend Inc. | wysyłka spersonalizowanego raportu audytu AI na adres e-mail osoby, która wypełniła formularz | USA | art. 28 RODO; standardowe klauzule umowne (SCC - decyzja wykonawcza Komisji (UE) 2021/914) oraz, w zakresie certyfikowanym, Trans-Atlantic Data Privacy Framework |
| Hetzner Online GmbH | hosting samodzielnie zarządzanej instancji n8n (orkiestracja webhook → scoring → mail → Notion → Telegram) | Niemcy (EOG) | art. 28 RODO; przetwarzanie wewnątrz EOG bez wymogu DPF/SCC |
| Telegram Messenger Inc. | alerty operacyjne dla administratora (sam fakt zdarzenia, bez pełnych danych klienta) | poza EOG | uzasadniony interes administratora; minimalizacja danych - na Telegram trafia wyłącznie alert o nowym leadzie lub zakupie bez pełnej treści wiadomości i bez pełnych danych osobowych |
| Anthropic PBC | przetwarzanie tekstu wpisanego w interaktywnej funkcji AI (mini-audyt delegowania) w celu wygenerowania odpowiedzi modelu; treść zapytań nie jest zapisywana po stronie administratora ani używana do trenowania modeli (Anthropic API) | USA | art. 28 RODO; standardowe klauzule umowne (SCC - decyzja wykonawcza Komisji (UE) 2021/914) zawarte w Data Processing Addendum Anthropic |
Podstawa transferu danych do USA. Stripe Inc., Mailgun Technologies Inc. i Cloudflare Inc. są certyfikowanymi uczestnikami programu Trans-Atlantic Data Privacy Framework (status zweryfikowany na liście dataprivacyframework.gov: Stripe Inc. - EU-US, Swiss-US i UK Extension; Mailgun Technologies Inc. - EU-US i UK Extension; Cloudflare Inc. - EU-US, Swiss-US i UK Extension). Transfer odbywa się na podstawie decyzji wykonawczej Komisji Europejskiej (UE) 2023/1795 z 10 lipca 2023 r. stwierdzającej odpowiedni poziom ochrony danych osobowych w ramach DPF. Meta Platforms, Inc. i Google LLC również są certyfikowanymi uczestnikami DPF (status weryfikowalny na tej samej liście); transfer danych z Meta Pixel i Google Analytics 4 do USA odbywa się na tej samej podstawie (decyzja 2023/1795), a uzupełniająco na standardowych klauzulach umownych (SCC - decyzja wykonawcza Komisji (UE) 2021/914).
Współadministrowanie z Meta. W zakresie zdarzeń zbieranych przez Meta Pixel administrator i Meta Platforms Ireland Limited są współadministratorami danych (art. 26 RODO). Podział obowiązków określa udostępniany przez Meta dodatek dotyczący współadministratorów w zakresie danych o zdarzeniach (Meta Controller Addendum). Za realizację praw osób, których dane dotyczą, w zakresie danych po stronie Meta odpowiada Meta zgodnie z tym dodatkiem; w zakresie danych po stronie administratora - administrator. Punktem kontaktu dla użytkownika pozostaje kontakt@praktykalidera.pl.
Forward-compatibility. Jeżeli decyzja 2023/1795 zostanie unieważniona przez Trybunał Sprawiedliwości UE lub uchylona przez Komisję, transfer danych do procesorów w USA będzie kontynuowany na podstawie standardowych klauzul umownych (SCC - decyzja wykonawcza Komisji (UE) 2021/914) oraz dodatkowych środków uzupełniających (np. szyfrowanie po stronie administratora) bez przerwy w ciągłości usług. Każdy z wymienionych procesorów udostępnia SCC w swoim Data Processing Addendum.
Pełne dane pozostają w systemach obsługi zapytania i sklepu. Klient może poprosić o informację o stosowanych zabezpieczeniach transferu poza EOG, pisząc na kontakt@praktykalidera.pl.
Interaktywna funkcja AI. Mini-audyt delegowania na stronie wysyła tekst wpisany przez użytkownika do modelu Claude dostarczanego przez Anthropic PBC (USA). Administrator nie zapisuje treści tych zapytań - rejestruje wyłącznie liczbę wywołań i dane techniczne. Prosimy nie wpisywać w tym polu danych osobowych ani wrażliwych. Galeria przykładowych briefów delegowania jest statyczna - pokazuje gotowe, kuratorowane szablony i nie przekazuje żadnych danych do modelu AI.
6. Okresy przechowywania danych (retencja)
| Kategoria | Okres | Podstawa |
|---|---|---|
| Zapytania bez dalszego kontaktu | 3 miesiące | uzasadniony interes - obsługa kontaktu |
| Zapytania z rozmowami kwalifikacyjnymi bez zawarcia umowy | do 12 miesięcy od ostatniego kontaktu | uzasadniony interes - kontynuacja dialogu |
| Dane transakcyjne (zakup w sklepie) | 5 lat | obowiązek prawny - rozliczenia podatkowe i księgowe |
| Treść zgód, IP, timestamp, kopia maila potwierdzającego | do upływu okresu przedawnienia roszczeń (6 lat B2C, 3 lata B2B) | uzasadniony interes - dochodzenie i obrona roszczeń |
| Dane marketingowe (newsletter, sekwencje) | do wycofania zgody lub wniesienia sprzeciwu | zgoda |
| Logi techniczne (sesja, błędy serwera) | do 30 dni | uzasadniony interes - bezpieczeństwo i diagnostyka |
| Dane analityczne (Plausible) | wyłącznie agregaty po stronie procesora; brak danych umożliwiających identyfikację po stronie administratora; salt rotowany co 24h uniemożliwia łączenie sesji między dniami | uzasadniony interes - analityka cookieless (art. 6 ust. 1 lit. f RODO) |
| Zgłoszenia z lead magnet „Test delegowania" (e-mail, opcjonalnie imię, zgoda) | do 12 miesięcy od zapisu lub do wcześniejszego żądania usunięcia | zgoda + uzasadniony interes - obsługa kontaktu i obrona roszczeń |
| Cookies reklamowe i analityczne (Meta Pixel, Google Analytics 4) | do wygaśnięcia cookie (Meta do ok. 90 dni, GA4 do 24 miesięcy) lub do wycofania zgody; dane po stronie Meta i Google zgodnie z ich politykami | zgoda (art. 6 ust. 1 lit. a RODO) |
7. Cookies i dane lokalne przeglądarki
Strona i sklep używają plików cookies oraz danych lokalnych przeglądarki (localStorage). Polityka opisuje cztery kategorie. Cookies niezbędne i funkcjonalne działają bez zgody. Cookies reklamowe (Meta Pixel) i analityczne z cookies (Google Analytics 4) uruchamiają się wyłącznie po wyrażeniu zgody w banerze (opt-in). Statystyki odwiedzin (Plausible) działają bez cookies i bez zgody.
| Kategoria | Status | Cel | Podstawa | Czas |
|---|---|---|---|---|
| Niezbędne | aktywne | sesja, koszyk, zabezpieczenie CSRF, zapamiętanie zamknięcia komunikatu cookies | art. 173 ust. 3 PKE - zgoda nie jest wymagana, cookies konieczne do realizacji usługi żądanej przez użytkownika | sesja lub do 12 miesięcy |
| Funkcjonalne | aktywne wyłącznie w trakcie zakupu | cookies Stripe Checkout (autoryzacja płatności, ochrona przed nadużyciem) | art. 173 ust. 3 PKE - cookies niezbędne do wykonania usługi żądanej przez użytkownika (rozpoczęcie zakupu) | sesja Stripe |
| Analityczne | aktywne - w trybie cookieless (Plausible) | agregowane statystyki ruchu i konwersji | art. 6 ust. 1 lit. f RODO; art. 173 PKE nie ma zastosowania (brak zapisu w urządzeniu) | dane wyłącznie po stronie procesora w postaci zagregowanej |
| Marketingowe (Meta Pixel) | aktywne wyłącznie po zgodzie (opt-in w banerze) | pomiar konwersji reklam, remarketing, grupy odbiorców podobnych | zgoda - art. 173 ust. 1 PKE oraz art. 6 ust. 1 lit. a RODO | do 90 dni (`_fbp`, odnawiane) lub do wycofania zgody |
| Analityczne z cookies (Google Analytics 4) | aktywne wyłącznie po zgodzie (opt-in w banerze) | analityka zachowań, atrybucja konwersji | zgoda - art. 173 ust. 1 PKE oraz art. 6 ust. 1 lit. a RODO | do 24 miesięcy (`_ga`) lub do wycofania zgody |
Strona prezentuje baner zgody. Cookies reklamowe (Meta Pixel) i analityczne z cookies (Google Analytics 4) zapisują się dopiero po kliknięciu „Akceptuję"; do tego czasu tryb zgody (Google Consent Mode v2) pozostaje w stanie „odmowa" i żadne cookie śledzące ani dane nie trafiają do Meta i Google. Kliknięcie „Tylko niezbędne" utrzymuje ten stan. Zgodę wycofasz w każdej chwili przyciskiem „Ustawienia cookies" w stopce strony (patrz sekcja 9). Analityka Plausible działa w trybie cookieless (bez zapisu w urządzeniu), na podstawie uzasadnionego interesu administratora - działa niezależnie od wyboru w banerze i nie wymaga zgody z art. 173 ust. 1 PKE ani z RODO.
Klient może zarządzać cookies przez ustawienia przeglądarki (wyczyszczenie, blokada). Wyłączenie cookies niezbędnych może utrudnić realizację zakupu.
7.1 Wykaz cookies reklamowych i analitycznych
Poniższe cookies zapisują się dopiero po kliknięciu „Akceptuję" w banerze zgody.
| Nazwa / prefiks | Dostawca | Cel | Czas życia |
|---|---|---|---|
| _fbp | Meta | identyfikacja przeglądarki na potrzeby pomiaru reklam i remarketingu | do 90 dni (odnawiane) |
| _ga, _ga_<ID> | Google (GA4) | rozróżnienie użytkowników i sesji, pomiar ruchu | do 24 miesięcy |
| powiązane cookies domeny facebook.com / google.com | Meta / Google | dopasowanie zdarzeń do konta reklamowego, atrybucja | zgodnie z polityką dostawcy |
7.2 Remarketing i grupy odbiorców podobnych
Po wyrażeniu zgody Meta i Google mogą wykorzystać zdarzenia z tej strony (np. odwiedziny, zakup) do wyświetlania Ci reklam na swoich platformach oraz do budowania grup odbiorców podobnych do osób odwiedzających stronę. Jest to profilowanie w rozumieniu art. 4 pkt 4 RODO, oparte wyłącznie na Twojej zgodzie. Profilowanie to nie wywołuje wobec Ciebie skutków prawnych ani nie wpływa istotnie na Twoją sytuację w rozumieniu art. 22 RODO. Zgodę wycofasz w każdej chwili (sekcja 9 i przycisk „Ustawienia cookies" w stopce), a dodatkowo możesz zarządzać reklamami bezpośrednio w ustawieniach konta Meta i Google.
8. Newsletter i komunikacja marketingowa
Newsletter i komunikacja handlowa drogą elektroniczną (sekwencje sprzedażowe, oferty produktów, zaproszenia na warsztaty) są wysyłane wyłącznie do osób, które wyraziły odrębną zgodę:
- przez opcjonalny checkbox przy zakupie w sklepie (Zgoda 3 z sekcji 4),
- przez formularz zapisu na newsletter na stronie (jeżeli zostanie udostępniony).
Każdy mail marketingowy zawiera link do natychmiastowego wycofania zgody. Wycofanie zgody jest równie łatwe jak jej udzielenie (art. 7 ust. 3 RODO). Po wycofaniu zgody dane marketingowe są usuwane lub anonimizowane bez zbędnej zwłoki, z wyłączeniem danych transakcyjnych podlegających retencji księgowej.
Treść każdej zgody, data udzielenia i data wycofania archiwizowane są na potrzeby wykazania zgodności (art. 7 ust. 1 RODO).
9. Prawa użytkownika
Każdej osobie, której dane są przetwarzane, przysługują prawa wynikające z RODO:
- dostęp do danych (art. 15 RODO),
- sprostowanie danych nieprawidłowych lub niekompletnych (art. 16 RODO),
- usunięcie danych (art. 17 RODO) - w zakresie, w jakim dalsze przetwarzanie nie jest wymagane przepisami prawa,
- ograniczenie przetwarzania (art. 18 RODO),
- przeniesienie danych dostarczonych administratorowi (art. 20 RODO),
- sprzeciw wobec przetwarzania na podstawie uzasadnionego interesu, w tym sprzeciw wobec marketingu (art. 21 RODO),
- wycofanie zgody w każdej chwili, bez wpływu na zgodność przetwarzania sprzed wycofania (art. 7 ust. 3 RODO),
- skarga do Prezesa Urzędu Ochrony Danych Osobowych (PUODO) - ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.
Wycofanie zgody na cookies reklamowe i analityczne. Zgodę udzieloną w banerze wycofasz w każdej chwili przyciskiem „Ustawienia cookies" w stopce strony - otwiera on ponownie baner, w którym zmienisz wybór. Wycofanie zgody jest równie łatwe jak jej udzielenie (art. 7 ust. 3 RODO) i nie wpływa na zgodność przetwarzania sprzed wycofania. Po wycofaniu zgody nowe cookies reklamowe i analityczne nie są zapisywane; wcześniej zapisane usuniesz w ustawieniach przeglądarki.
Aby skorzystać z powyższych praw, skontaktuj się pod adresem kontakt@praktykalidera.pl. Odpowiedź otrzymasz w terminie do 30 dni od otrzymania żądania (art. 12 ust. 3 RODO). Termin może zostać przedłużony o kolejne dwa miesiące w sprawach złożonych - poinformuję o tym w pierwszych 30 dniach.
10. Bezpieczeństwo danych
Administrator stosuje środki techniczne i organizacyjne adekwatne do skali i ryzyka przetwarzania (art. 32 RODO): szyfrowanie połączeń HTTPS, kontrola dostępu do systemów, kopie zapasowe, segregacja środowisk testowych i produkcyjnych, hashowanie identyfikatorów IP w archiwum zgód, regularna aktualizacja oprogramowania.
W razie naruszenia ochrony danych mogącego powodować ryzyko dla praw i wolności osób fizycznych, administrator zgłosi naruszenie do Prezesa UODO w terminie 72 godzin (art. 33 RODO) i poinformuje osoby dotknięte zgodnie z art. 34 RODO.
11. Audyt AI - lead magnet flow
Audyt zagrożeń AI to bezpłatny formularz dostępny pod adresem /audyt-zagrozen-ai. Sekcja opisuje dodatkowe zasady przetwarzania danych obowiązujące w tym konkretnym flow - reszta polityki (prawa, retencja, bezpieczeństwo, cookies) stosuje się odpowiednio.
11.1 Zakres danych
Formularz audytu zbiera: imię, adres e-mail, branżę (apteki / motoryzacja premium / hotele 4-5* / inne), wielkość zespołu, intencję dalszego kontaktu, opcjonalnie budżet, oraz odpowiedzi na 12 pytań diagnostycznych. Z odpowiedzi generowany jest score (0-160 pkt) i kategoria (Bezpieczny / Czujny / Zagrożony / Krytyczny) - szczegóły w sekcji 12.
11.2 Cele i podstawy prawne
| Cel | Podstawa prawna |
|---|---|
| Wygenerowanie i dostarczenie spersonalizowanego raportu audytu na podany adres e-mail (wykonanie zamówionej usługi) | art. 6 ust. 1 lit. b RODO (wykonanie umowy / działania na żądanie osoby przed zawarciem umowy) - osobny obowiązkowy checkbox „zgoda na dostarczenie raportu" przy formularzu |
| Dalsza komunikacja marketingowa (newsletter, oferty produktów i warsztatów, sekwencje sprzedażowe) | art. 6 ust. 1 lit. a RODO (zgoda) + art. 408 PKE - opcjonalny, domyślnie niezaznaczony checkbox „marketing" przy formularzu; brak zgody nie blokuje wysyłki raportu |
| Akceptacja polityki prywatności jako warunek wypełnienia formularza | art. 6 ust. 1 lit. a RODO (zgoda) - osobny obowiązkowy checkbox „akceptuję politykę prywatności" |
| Archiwizacja zgód (treść, timestamp, identyfikator submisji) na potrzeby wykazania zgodności | art. 6 ust. 1 lit. f RODO (uzasadniony interes - dochodzenie i obrona przed roszczeniami) + art. 7 ust. 1 RODO (obowiązek wykazania zgody) |
Rozdzielność zgód. Zgodnie z art. 7 ust. 4 RODO trzy zgody (polityka prywatności, dostarczenie raportu, marketing) są od siebie niezależne. Brak zgody marketingowej nie wpływa na dostarczenie raportu. Brak zgody na politykę lub na dostarczenie raportu uniemożliwia złożenie formularza - jest to warunek konieczny wykonania zamówionej usługi.
11.3 Odbiorcy danych w tym flow
Submission z formularza audytu przechodzi przez następujący łańcuch procesorów (każdy wymieniony szczegółowo w sekcji 5):
- Tally BV (Belgia, EOG) - hostowanie formularza i zbieranie odpowiedzi.
- Hetzner Online GmbH (Niemcy, EOG) - hosting samodzielnie zarządzanej instancji n8n, w której odpowiedzi są scorowane i przyporządkowywane do kategorii.
- Resend Inc. (USA) - wysyłka spersonalizowanego raportu na podany adres e-mail.
- Notion Labs Inc. (USA) - archiwizacja submisji (treść odpowiedzi, score, kategoria, treść zgód, timestamp) na potrzeby obsługi i obrony przed roszczeniami.
- Telegram Messenger Inc. (poza EOG) - alert techniczny do administratora o nowym leadzie (sam fakt zdarzenia + minimum danych, bez treści odpowiedzi).
11.4 Transfery poza EOG w tym flow
Dwa procesory w łańcuchu audytu przetwarzają dane w USA: Resend Inc. i Notion Labs Inc. Podstawą transferu są standardowe klauzule umowne (SCC - decyzja wykonawcza Komisji (UE) 2021/914) zawarte w Data Processing Addendum każdego z procesorów. Dodatkowo, jeżeli dany procesor utrzymuje aktywny status certyfikowany w programie Trans-Atlantic Data Privacy Framework (decyzja wykonawcza Komisji (UE) 2023/1795 z 10 lipca 2023 r.), transfer odbywa się również na podstawie DPF. Aktualność statusu DPF każdego z procesorów można zweryfikować na liście publicznej dataprivacyframework.gov.
Pozostałe procesory w tym flow (Tally BV - Belgia, Hetzner Online GmbH - Niemcy) działają wewnątrz EOG i nie wymagają DPF ani SCC. Telegram - wyłącznie alert techniczny bez treści danych osobowych submisji.
Środki uzupełniające stosowane niezależnie od podstawy transferu: szyfrowanie HTTPS w tranzycie, minimalizacja zakresu danych w Telegram (bez treści odpowiedzi), kontrola dostępu do n8n i Notion. W razie unieważnienia decyzji 2023/1795 transfer kontynuowany jest na samych SCC bez przerwy w ciągłości usługi.
11.5 Retencja danych w tym flow
| Kategoria | Okres | Podstawa |
|---|---|---|
| Submission audytu (imię, e-mail, odpowiedzi, score, kategoria, branża) - dla osób BEZ zgody marketingowej | 24 miesiące od daty wypełnienia formularza lub do wcześniejszego żądania usunięcia | uzasadniony interes - obsługa kontaktu, dochodzenie i obrona roszczeń, audit trail wykazania zgodności |
| Submission audytu - dla osób Z aktywną zgodą marketingową | do wycofania zgody marketingowej lub do żądania usunięcia - co nastąpi pierwsze; nie dłużej niż 24 miesiące od ostatniej interakcji | zgoda (art. 6 ust. 1 lit. a RODO) + uzasadniony interes administratora |
| Treść zgód, timestamp, identyfikator submisji | do upływu okresu przedawnienia roszczeń (6 lat B2C, 3 lata B2B) | uzasadniony interes - obowiązek wykazania zgody (art. 7 ust. 1 RODO) |
| Archiwum e-maila z raportem po stronie Resend | zgodnie z domyślną polityką procesora (logi dostarczeń); brak archiwum treści po stronie administratora poza Notion | uzasadniony interes - dowód dostarczenia |
11.6 Mechanizm wycofania zgody
Wycofanie zgody marketingowej: link „nie chcę otrzymywać" w stopce każdego maila marketingowego LUB wiadomość na kontakt@praktykalidera.pl. Wycofanie zgody jest równie łatwe jak jej udzielenie (art. 7 ust. 3 RODO) i nie wpływa na zgodność przetwarzania sprzed wycofania.
Żądanie usunięcia submisji audytu (art. 17 RODO) - wiadomość na kontakt@praktykalidera.pl. Realizacja w terminie do 30 dni (art. 12 ust. 3 RODO), z wyłączeniem danych podlegających archiwizacji prawnej (treść zgód do upływu przedawnienia roszczeń).
12. Profilowanie scoringowe w audycie AI
Odpowiedzi z formularza audytu są automatycznie oceniane przez algorytm scoringowy działający w samodzielnie hostowanej instancji n8n (Hetzner, Niemcy). Algorytm na podstawie odpowiedzi przypisuje punkty (zakres 0-160) i klasyfikuje wynik do jednej z czterech kategorii: Bezpieczny (≤30 pkt), Czujny (31-60 pkt), Zagrożony (61-100 pkt), Krytyczny (101+ pkt). Treść raportu i wnioski są generowane na podstawie kategorii oraz wskazanej branży i wielkości zespołu. Konsekwencją zaklasyfikowania jest treść i rekomendacje w raporcie, a przy aktywnej zgodzie marketingowej dobór dalszej komunikacji.
Charakter prawny. Klasyfikacja scoringowa NIE jest decyzją w rozumieniu art. 22 RODO - nie wywołuje wobec osoby żadnych skutków prawnych ani nie wpływa w istotny sposób na jej sytuację. Jest informacją diagnostyczną przekazaną dobrowolnie tej osobie, bez przekazywania wyniku osobom trzecim i bez automatycznego podejmowania decyzji wobec niej.
Prawo do weryfikacji. Masz prawo skontaktować się ze mną w sprawie wyniku scoringu i poprosić o weryfikację przez człowieka, wyjaśnienie logiki algorytmu w zakresie ogólnym oraz sprostowanie odpowiedzi, jeżeli zostały zarejestrowane nieprawidłowo. Kontakt: kontakt@praktykalidera.pl.
Logika algorytmu w zakresie ogólnym. Każde z 12 pytań ma przypisaną wagę punktową. Wyższy łączny wynik = więcej sygnałów ryzyka związanych z automatyzacją AI w roli respondenta. Konkretne wagi i progi kategorii są tajemnicą operacyjną administratora, ale na żądanie wyjaśniam, dlaczego konkretny respondent znalazł się w danej kategorii.
13. Zmiany polityki
Administrator może aktualizować politykę w razie zmian prawnych, organizacyjnych lub technicznych. Każda zmiana otrzymuje nowy numer wersji i datę wejścia w życie - aktualne i poprzednie wersje są dostępne na żądanie.
Istotne zmiany dotyczące przetwarzania danych zakupowych lub marketingowych są dodatkowo komunikowane Klientom drogą emailową z 14-dniowym wyprzedzeniem. Zmiany nie mają zastosowania do umów zawartych przed wejściem zmian w życie.
14. Kontakt
W sprawach związanych z prywatnością i danymi osobowymi: kontakt@praktykalidera.pl lub +48 882 685 981 (9:00-17:00, dni robocze).