Polityka prywatności

1. Administrator danych

Administratorem danych osobowych jest Praktyka Lidera Kamil Wojciechowski, ul. Leśna 5E lok. 2, 84-240 Reda, NIP 5882263298, REGON 222046054, wpis do CEIDG. Kontakt: kontakt@praktykalidera.pl, telefon +48 882 685 981.

Niniejsza polityka opisuje zasady przetwarzania danych osobowych w obszarach opisanych poniżej (m.in.: formularz kontaktowy na stronie, sklep internetowy z treściami cyfrowymi, newsletter i komunikacja marketingowa, usługa audytu AI wraz z profilowaniem scoringowym, pliki cookies i inne dane lokalne przeglądarki).

2. Zakres przetwarzanych danych

Formularz kontaktowy: imię, adres email, opcjonalnie numer telefonu, treść wiadomości.

Sklep internetowy: imię i nazwisko, adres email, opcjonalnie NIP firmy i nazwa firmy (dla faktury B2B), dane płatności obsługiwane przez Stripe (numer karty, BLIK, przelew - administrator nie ma dostępu do pełnych danych karty), identyfikator transakcji, treść wyrażonych zgód (regulamin, klauzula odstąpienia, marketing) wraz z timestampem i adresem IP, historia zakupów.

Newsletter i marketing: imię, adres email, treść zgody, data udzielenia i wycofania zgody.

Cookies i dane lokalne: patrz sekcja 7.

3. Cele i podstawy prawne przetwarzania

4. Mechanika trzech odrębnych zgód przy zakupie

Przed potwierdzeniem zamówienia w sklepie Klient zaznacza trzy odrębne pola wyboru, zgodnie z zakazem łączenia zgód (art. 7 ust. 4 RODO):

1. Akceptacja Regulaminu i Polityki Prywatności - obowiązkowa, warunek zawarcia umowy.
2. Zgoda na rozpoczęcie świadczenia przed upływem 14-dniowego terminu odstąpienia - obowiązkowa, treść w § 5 Regulaminu Sklepu, podstawa: art. 38 ust. 1 pkt 13 ustawy o prawach konsumenta. Po jej udzieleniu Klient otrzymuje na trwałym nośniku (mail) potwierdzenie zawarcia umowy z powtórzeniem treści zgody i informacji o utracie prawa odstąpienia (art. 38a u.p.k.).
3. Zgoda na otrzymywanie informacji handlowych - opcjonalna, domyślnie nie zaznaczona, podstawa: art. 6 ust. 1 lit. a RODO + art. 408 PKE. Może być cofnięta w każdej chwili przez link w mailu lub wiadomość na kontakt@praktykalidera.pl - bez wpływu na realizację zakupu.

Treść każdej zgody, data, godzina, adres IP i wersja Regulaminu archiwizowane są w systemie administratora na potrzeby ewentualnego sporu i wykazania zgody (art. 7 ust. 1 RODO).

5. Odbiorcy danych i procesorzy

Dane mogą być przekazywane podmiotom obsługującym technicznie i operacyjnie procesy administratora. Każdy procesor działa na podstawie umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO.

Podstawa transferu danych do USA. Stripe Inc., Mailgun Technologies Inc. i Cloudflare Inc. są certyfikowanymi uczestnikami programu Trans-Atlantic Data Privacy Framework (status zweryfikowany na liście dataprivacyframework.gov: Stripe Inc. - EU-US, Swiss-US i UK Extension; Mailgun Technologies Inc. - EU-US i UK Extension; Cloudflare Inc. - EU-US, Swiss-US i UK Extension). Transfer odbywa się na podstawie decyzji wykonawczej Komisji Europejskiej (UE) 2023/1795 z 10 lipca 2023 r. stwierdzającej odpowiedni poziom ochrony danych osobowych w ramach DPF. Meta Platforms, Inc. i Google LLC również są certyfikowanymi uczestnikami DPF (status weryfikowalny na tej samej liście); transfer danych z Meta Pixel i Google Analytics 4 do USA odbywa się na tej samej podstawie (decyzja 2023/1795), a uzupełniająco na standardowych klauzulach umownych (SCC - decyzja wykonawcza Komisji (UE) 2021/914).

Współadministrowanie z Meta. W zakresie zdarzeń zbieranych przez Meta Pixel administrator i Meta Platforms Ireland Limited są współadministratorami danych (art. 26 RODO). Podział obowiązków określa udostępniany przez Meta dodatek dotyczący współadministratorów w zakresie danych o zdarzeniach (Meta Controller Addendum). Za realizację praw osób, których dane dotyczą, w zakresie danych po stronie Meta odpowiada Meta zgodnie z tym dodatkiem; w zakresie danych po stronie administratora - administrator. Punktem kontaktu dla użytkownika pozostaje kontakt@praktykalidera.pl.

Forward-compatibility. Jeżeli decyzja 2023/1795 zostanie unieważniona przez Trybunał Sprawiedliwości UE lub uchylona przez Komisję, transfer danych do procesorów w USA będzie kontynuowany na podstawie standardowych klauzul umownych (SCC - decyzja wykonawcza Komisji (UE) 2021/914) oraz dodatkowych środków uzupełniających (np. szyfrowanie po stronie administratora) bez przerwy w ciągłości usług. Każdy z wymienionych procesorów udostępnia SCC w swoim Data Processing Addendum.

Pełne dane pozostają w systemach obsługi zapytania i sklepu. Klient może poprosić o informację o stosowanych zabezpieczeniach transferu poza EOG, pisząc na kontakt@praktykalidera.pl.

Interaktywna funkcja AI. Mini-audyt delegowania na stronie wysyła tekst wpisany przez użytkownika do modelu Claude dostarczanego przez Anthropic PBC (USA). Administrator nie zapisuje treści tych zapytań - rejestruje wyłącznie liczbę wywołań i dane techniczne. Prosimy nie wpisywać w tym polu danych osobowych ani wrażliwych. Galeria przykładowych briefów delegowania jest statyczna - pokazuje gotowe, kuratorowane szablony i nie przekazuje żadnych danych do modelu AI.

6. Okresy przechowywania danych (retencja)

7. Cookies i dane lokalne przeglądarki

Strona i sklep używają plików cookies oraz danych lokalnych przeglądarki (localStorage). Polityka opisuje cztery kategorie. Cookies niezbędne i funkcjonalne działają bez zgody. Cookies reklamowe (Meta Pixel) i analityczne z cookies (Google Analytics 4) uruchamiają się wyłącznie po wyrażeniu zgody w banerze (opt-in). Statystyki odwiedzin (Plausible) działają bez cookies i bez zgody.

Strona prezentuje baner zgody. Cookies reklamowe (Meta Pixel) i analityczne (Google Analytics 4) zapisują się dopiero po kliknięciu „Akceptuję”; do tego czasu tryb zgody (Google Consent Mode v2) pozostaje w stanie „odmowa” i żadne cookie śledzące ani dane nie trafiają do Meta i Google. Kliknięcie „Tylko niezbędne” utrzymuje ten stan. Zgodę wycofasz w każdej chwili przyciskiem „Ustawienia cookies” w stopce strony (patrz sekcja 9). Plausible działa bez plików cookies i bez zapisu danych w urządzeniu, na podstawie uzasadnionego interesu administratora. Działa niezależnie od wyboru w banerze i nie wymaga zgody z art. 173 ust. 1 PKE ani z RODO.

Klient może zarządzać cookies przez ustawienia przeglądarki (wyczyszczenie, blokada). Wyłączenie cookies niezbędnych może utrudnić realizację zakupu.

7.1 Wykaz cookies reklamowych i analitycznych

Poniższe cookies zapisują się dopiero po kliknięciu „Akceptuję” w banerze zgody.

7.2 Remarketing i grupy odbiorców podobnych

Po wyrażeniu zgody Meta i Google mogą wykorzystać zdarzenia z tej strony (np. odwiedziny, zakup) do wyświetlania Ci reklam na swoich platformach oraz do budowania grup odbiorców podobnych do osób odwiedzających stronę. Jest to profilowanie w rozumieniu art. 4 pkt 4 RODO, oparte wyłącznie na Twojej zgodzie. Profilowanie to nie wywołuje wobec Ciebie skutków prawnych ani nie wpływa istotnie na Twoją sytuację w rozumieniu art. 22 RODO. Zgodę wycofasz w każdej chwili (sekcja 9 i przycisk „Ustawienia cookies” w stopce), a dodatkowo możesz zarządzać reklamami bezpośrednio w ustawieniach konta Meta i Google.

8. Newsletter i komunikacja marketingowa

Newsletter i komunikacja handlowa drogą elektroniczną (sekwencje sprzedażowe, oferty produktów, zaproszenia na warsztaty) są wysyłane wyłącznie do osób, które wyraziły odrębną zgodę:

• przez opcjonalny checkbox przy zakupie w sklepie (Zgoda 3 z sekcji 4),
• przez formularz zapisu na newsletter na stronie (jeżeli zostanie udostępniony).

Każdy mail marketingowy zawiera link do natychmiastowego wycofania zgody. Wycofanie zgody jest równie łatwe jak jej udzielenie (art. 7 ust. 3 RODO). Po wycofaniu zgody dane marketingowe są usuwane lub anonimizowane bez zbędnej zwłoki, z wyłączeniem danych transakcyjnych podlegających retencji księgowej.

Treść każdej zgody, data udzielenia i data wycofania archiwizowane są na potrzeby wykazania zgodności (art. 7 ust. 1 RODO).

9. Prawa użytkownika

Każdej osobie, której dane są przetwarzane, przysługują prawa wynikające z RODO:

• dostęp do danych (art. 15 RODO),
• sprostowanie danych nieprawidłowych lub niekompletnych (art. 16 RODO),
• usunięcie danych (art. 17 RODO) - w zakresie, w jakim dalsze przetwarzanie nie jest wymagane przepisami prawa,
• ograniczenie przetwarzania (art. 18 RODO),
• przeniesienie danych dostarczonych administratorowi (art. 20 RODO),
• sprzeciw wobec przetwarzania na podstawie uzasadnionego interesu, w tym sprzeciw wobec marketingu (art. 21 RODO),
• wycofanie zgody w każdej chwili, bez wpływu na zgodność przetwarzania sprzed wycofania (art. 7 ust. 3 RODO),
• skarga do Prezesa Urzędu Ochrony Danych Osobowych (PUODO) - ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Wycofanie zgody na cookies reklamowe i analityczne. Zgodę udzieloną w banerze wycofasz w każdej chwili przyciskiem „Ustawienia cookies” w stopce strony - otwiera on ponownie baner, w którym zmienisz wybór. Wycofanie zgody jest równie łatwe jak jej udzielenie (art. 7 ust. 3 RODO) i nie wpływa na zgodność przetwarzania sprzed wycofania. Po wycofaniu zgody nowe cookies reklamowe i analityczne nie są zapisywane; wcześniej zapisane usuniesz w ustawieniach przeglądarki.

Aby skorzystać z powyższych praw, skontaktuj się pod adresem kontakt@praktykalidera.pl. Odpowiedź otrzymasz w terminie do 30 dni od otrzymania żądania (art. 12 ust. 3 RODO). Termin może zostać przedłużony o kolejne dwa miesiące w sprawach złożonych - poinformuję o tym w pierwszych 30 dniach.

10. Bezpieczeństwo danych

Administrator stosuje środki techniczne i organizacyjne adekwatne do skali i ryzyka przetwarzania (art. 32 RODO): szyfrowanie połączeń HTTPS, kontrola dostępu do systemów, kopie zapasowe, segregacja środowisk testowych i produkcyjnych, hashowanie identyfikatorów IP w archiwum zgód, regularna aktualizacja oprogramowania.

W razie naruszenia ochrony danych mogącego powodować ryzyko dla praw i wolności osób fizycznych, administrator zgłosi naruszenie do Prezesa UODO w terminie 72 godzin (art. 33 RODO) i poinformuje osoby dotknięte zgodnie z art. 34 RODO.

11. Audyt AI - przepływ danych

Audyt zagrożeń AI to bezpłatny formularz dostępny pod adresem /audyt-zagrozen-ai. Ta sekcja opisuje dodatkowe zasady przetwarzania danych w tym formularzu. Pozostałe postanowienia polityki dotyczące praw, retencji, bezpieczeństwa i plików cookies stosuje się odpowiednio.

11.1 Zakres danych

Formularz audytu zbiera: imię, adres e-mail, branżę, wielkość zespołu oraz odpowiedzi na 12 pytań diagnostycznych. Z odpowiedzi powstaje wynik punktowy (0-160 pkt) i kategoria (Bezpieczny / Czujny / Zagrożony / Krytyczny) - szczegóły w sekcji 12.

11.2 Cele i podstawy prawne

Rozdzielność celów. Przesłanie formularza jest prośbą o przygotowanie i dostarczenie raportu. Zgoda marketingowa jest osobna, opcjonalna i domyślnie niezaznaczona. Jej brak nie wpływa na dostarczenie raportu. Akceptacja polityki prywatności jest wymagana przed wysłaniem formularza.

11.3 Odbiorcy danych w tym procesie

Zgłoszenie z formularza audytu przechodzi przez następujący łańcuch procesorów, opisanych również w sekcji 5:

1. Netlify Inc. (USA z serwerami brzegowymi w EOG) - hosting strony i funkcji serwerowej, która przyjmuje formularz.
2. Cloudflare Inc. (USA z serwerami brzegowymi w EOG) - Turnstile chroniący formularz przed automatycznymi zgłoszeniami.
3. Hetzner Online GmbH (Niemcy, EOG) - hosting samodzielnie zarządzanej instancji n8n, w której odpowiedzi są oceniane punktowo i przyporządkowywane do kategorii.
4. Resend Inc. (USA) - wysyłka raportu na podany adres e-mail.
5. Notion Labs Inc. (USA) - archiwizacja zgłoszenia: odpowiedzi, wynik punktowy, kategoria, treść zgód oraz data i godzina.
6. Telegram Messenger Inc. (poza EOG) - alert techniczny do administratora o nowym zgłoszeniu, bez treści odpowiedzi.

11.4 Transfery poza EOG w tym flow

Dane mogą być przetwarzane w USA przez Netlify Inc., Cloudflare Inc., Resend Inc. i Notion Labs Inc. Podstawą transferu są standardowe klauzule umowne (SCC - decyzja wykonawcza Komisji (UE) 2021/914) zawarte w Data Processing Addendum każdego z procesorów. Jeżeli dany procesor utrzymuje aktywny status w programie Trans-Atlantic Data Privacy Framework (decyzja wykonawcza Komisji (UE) 2023/1795 z 10 lipca 2023 r.), transfer może odbywać się również na podstawie DPF. Aktualność statusu można zweryfikować na liście dataprivacyframework.gov.

Hetzner Online GmbH działa wewnątrz EOG i nie wymaga DPF ani SCC. Netlify i Cloudflare obsługują infrastrukturę z udziałem podmiotów w USA; podstawy transferu opisano w sekcji 5. Telegram otrzymuje wyłącznie alert techniczny bez treści odpowiedzi.

Środki uzupełniające stosowane niezależnie od podstawy transferu: szyfrowanie HTTPS w tranzycie, minimalizacja zakresu danych w Telegramie, kontrola dostępu do n8n i Notion. W razie unieważnienia decyzji 2023/1795 transfer jest kontynuowany na podstawie SCC.

11.5 Retencja danych w tym flow

11.6 Mechanizm wycofania zgody

Wycofanie zgody marketingowej: link „nie chcę otrzymywać” w stopce każdego maila marketingowego LUB wiadomość na kontakt@praktykalidera.pl. Wycofanie zgody jest równie łatwe jak jej udzielenie (art. 7 ust. 3 RODO) i nie wpływa na zgodność przetwarzania sprzed wycofania.

Żądanie usunięcia submisji audytu (art. 17 RODO) - wiadomość na kontakt@praktykalidera.pl. Realizacja w terminie do 30 dni (art. 12 ust. 3 RODO), z wyłączeniem danych podlegających archiwizacji prawnej (treść zgód do upływu przedawnienia roszczeń).

12. Profilowanie scoringowe w audycie AI

Odpowiedzi z formularza audytu są automatycznie oceniane przez algorytm scoringowy działający w samodzielnie hostowanej instancji n8n (Hetzner, Niemcy). Algorytm na podstawie odpowiedzi przypisuje punkty (zakres 0-160) i klasyfikuje wynik do jednej z czterech kategorii: Bezpieczny (≤30 pkt), Czujny (31-60 pkt), Zagrożony (61-100 pkt), Krytyczny (101+ pkt). Treść raportu i wnioski są generowane na podstawie kategorii oraz wskazanej branży i wielkości zespołu. Konsekwencją zaklasyfikowania jest treść i rekomendacje w raporcie, a przy aktywnej zgodzie marketingowej dobór dalszej komunikacji.

Charakter prawny. Klasyfikacja scoringowa NIE jest decyzją w rozumieniu art. 22 RODO - nie wywołuje wobec osoby żadnych skutków prawnych ani nie wpływa w istotny sposób na jej sytuację. Jest informacją diagnostyczną przekazaną dobrowolnie tej osobie, bez przekazywania wyniku osobom trzecim i bez automatycznego podejmowania decyzji wobec niej.

Prawo do weryfikacji. Masz prawo skontaktować się ze mną w sprawie wyniku scoringu i poprosić o weryfikację przez człowieka, wyjaśnienie logiki algorytmu w zakresie ogólnym oraz sprostowanie odpowiedzi, jeżeli zostały zarejestrowane nieprawidłowo. Kontakt: kontakt@praktykalidera.pl.

Logika algorytmu w zakresie ogólnym. Każde z 12 pytań ma przypisaną wagę punktową. Wyższy łączny wynik = więcej sygnałów ryzyka związanych z automatyzacją AI w roli respondenta. Konkretne wagi i progi kategorii są tajemnicą operacyjną administratora, ale na żądanie wyjaśniam, dlaczego konkretny respondent znalazł się w danej kategorii.

13. Zmiany polityki

Administrator może aktualizować politykę w razie zmian prawnych, organizacyjnych lub technicznych. Każda zmiana otrzymuje nowy numer wersji i datę wejścia w życie - aktualne i poprzednie wersje są dostępne na żądanie.

Istotne zmiany dotyczące przetwarzania danych zakupowych lub marketingowych są dodatkowo komunikowane Klientom drogą emailową z 14-dniowym wyprzedzeniem. Zmiany nie mają zastosowania do umów zawartych przed wejściem zmian w życie.

14. Kontakt

W sprawach związanych z prywatnością i danymi osobowymi: kontakt@praktykalidera.pl lub +48 882 685 981 (9:00-17:00, dni robocze).