Polityka RODO

1. RODO w skrócie i nasze zobowiązanie

Ogólne rozporządzenie o ochronie danych (RODO) to kompleksowa regulacja w zakresie ochrony danych, która określa, w jaki sposób dane osobowe osób fizycznych w Europejskim Obszarze Gospodarczym (EOG) są zbierane, przetwarzane i przechowywane.

Printedin w pełni angażuje się w przestrzeganie RODO. Przetwarzamy dane osobowe zgodnie z prawem, rzetelnie i w sposób przejrzysty. Zbieramy dane wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach i dbamy o to, by były adekwatne, stosowne i ograniczone do tego, co niezbędne.

2. Informacje o administratorze danych

W rozumieniu RODO Printedin jest administratorem danych osobowych naszych użytkowników. Oznacza to, że ustalamy cele i sposoby przetwarzania danych osobowych.

3. Podstawy prawne przetwarzania

Na podstawie art. 6 RODO przetwarzamy dane osobowe w oparciu o następujące podstawy prawne:

Jeżeli podstawą prawną przetwarzania jest zgoda, masz prawo wycofać ją w dowolnym momencie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed jej wycofaniem.

4. Kategorie danych osobowych

Przetwarzamy następujące kategorie danych osobowych:

5. Prawa osób, których dane dotyczą

Na podstawie RODO przysługują ci następujące prawa w odniesieniu do twoich danych osobowych. Na wszystkie zasadne żądania odpowiadamy w ciągu 30 dni (w przypadku złożonych żądań termin ten może zostać przedłużony o 60 dni):

5.1 Prawo dostępu (art. 15)

Masz prawo uzyskać potwierdzenie, czy przetwarzamy twoje dane osobowe, oraz zażądać kopii swoich danych w powszechnie używanym formacie elektronicznym.

5.2 Prawo do sprostowania danych (art. 16)

Masz prawo żądać sprostowania nieprawidłowych danych osobowych lub uzupełnienia danych niekompletnych. Większość informacji możesz zaktualizować samodzielnie w ustawieniach profilu.

5.3 Prawo do usunięcia danych (art. 17)

Masz prawo żądać usunięcia swoich danych osobowych („prawo do bycia zapomnianym”), z zastrzeżeniem mających zastosowanie obowiązków prawnych (np. dokumentacji podatkowej, którą musimy przechowywać).

5.4 Prawo do ograniczenia przetwarzania (art. 18)

Możesz żądać ograniczenia przetwarzania swoich danych na czas, w którym weryfikujemy ich prawidłowość lub oceniamy nasze prawnie uzasadnione interesy, a także wtedy, gdy przetwarzanie jest niezgodne z prawem, ale sprzeciwiasz się usunięciu danych.

5.5 Prawo do przenoszenia danych (art. 20)

Masz prawo otrzymać swoje dane osobowe w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (JSON lub CSV) oraz przesłać je innemu administratorowi.

5.6 Prawo do sprzeciwu (art. 21)

Masz prawo wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionych interesach lub prowadzonego na potrzeby marketingu bezpośredniego. Zaprzestaniemy przetwarzania, chyba że wykażemy istnienie ważnych prawnie uzasadnionych podstaw, które są nadrzędne wobec twoich interesów.

5.7 Prawa związane z zautomatyzowanym podejmowaniem decyzji (art. 22)

Nie stosujemy zautomatyzowanego podejmowania decyzji ani profilowania, które wywołuje wobec ciebie skutki prawne lub w podobny sposób istotnie na ciebie wpływa.

6. Czynności przetwarzania danych

Zgodnie z art. 30 RODO prowadzimy rejestr czynności przetwarzania. Nasze główne czynności przetwarzania obejmują:

• Rejestracja użytkowników: przetwarzanie imienia i nazwiska, adresu e-mail i hasła w celu założenia konta.
• Projektowanie produktów: przetwarzanie przesłanych obrazów i tekstów w celu tworzenia podglądów projektów.
• Realizacja zamówień: przetwarzanie adresów i danych płatniczych na potrzeby druku i wysyłki.
• Obsługa klienta: przetwarzanie korespondencji i danych konta w celu rozpatrywania zapytań.
• Marketing: przetwarzanie adresów e-mail w celu przypominania ci o projekcie, którego nie ukończono (na podstawie zgody wyrażonej w ustawieniach powiadomień).
• Odpowiedzi na zapytania: przekazywanie twojej korespondencji z nami oraz danych zlecenia, którego dotyczy, dostawcy usług AI, który przygotowuje dla nas projekt odpowiedzi do sprawdzenia (wykonanie umowy i prawnie uzasadniony interes).
• Analityka: przetwarzanie danych o korzystaniu w celu ulepszania naszych usług (na podstawie zgody).
• Reklama: przetwarzanie danych o odwiedzanych stronach i zakupach w celu pomiaru skuteczności reklam i tworzenia grup odbiorców (na podstawie zgody).

6.1 Podmioty podprzetwarzające

Korzystamy z następujących kategorii podmiotów podprzetwarzających, z którymi zawarliśmy odpowiednie umowy powierzenia przetwarzania danych:

7. Międzynarodowe przekazywanie danych

Dane osobowe przechowujemy i przetwarzamy przede wszystkim w Europejskim Obszarze Gospodarczym (EOG). Gdy przekazanie danych poza EOG jest konieczne, zapewniamy odpowiednią ochronę poprzez:

• Decyzje stwierdzające odpowiedni stopień ochrony: przekazywanie danych do państw, wobec których Komisja Europejska wydała taką decyzję.
• Standardowe klauzule umowne (SCC): zatwierdzone przez UE postanowienia umowne zapewniające równoważny poziom ochrony danych.
• Środki uzupełniające: dodatkowe środki techniczne i organizacyjne, jeśli są wymagane (szyfrowanie, pseudonimizacja).

8. Środki ochrony danych

Zgodnie z art. 32 RODO wdrażamy odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku:

8.1 Środki techniczne

• szyfrowanie TLS 1.2 lub 1.3 wszystkich danych przesyłanych między twoją przeglądarką a naszymi serwerami
• kopie zapasowe poza serwerem szyfrowane algorytmem AES-256, zanim opuszczą serwer
• hasła przechowywane wyłącznie jako solone skróty PBKDF2-HMAC-SHA256 (600 000 iteracji)
• automatyczne testy, w tym kontrole bezpieczeństwa, przed każdą nową wersją
• segmentacja sieci i ochrona zaporą sieciową (firewall)
• logowania oraz zmiany kont i zamówień rejestrowane w dzienniku audytu

8.2 Środki organizacyjne

• szkolenia i programy zwiększające świadomość personelu w zakresie ochrony danych
• kontrola dostępu oparta na zasadzie najmniejszych uprawnień
• umowy o zachowaniu poufności ze wszystkimi pracownikami i współpracownikami
• oceny skutków dla ochrony danych (DPIA) w przypadku przetwarzania wysokiego ryzyka
• regularne przeglądy i audyty czynności przetwarzania danych
• procedury reagowania na incydenty i ścieżki eskalacji

9. Zgłaszanie naruszeń ochrony danych

Zgodnie z art. 33 i 34 RODO ustanowiliśmy procedury reagowania na naruszenia ochrony danych osobowych:

• Organy nadzorcze: zgłosimy właściwemu organowi nadzorczemu w ciągu 72 godzin od stwierdzenia naruszenia ochrony danych osobowych, które może skutkować ryzykiem naruszenia praw lub wolności osób fizycznych. W przypadku osób, których dane dotyczą, w Zjednoczonym Królestwie jest to Information Commissioner’s Office (ICO). W przypadku osób, których dane dotyczą, w Europejskim Obszarze Gospodarczym jest to właściwy organ danego państwa członkowskiego — nie mamy jednostki organizacyjnej w UE, dlatego zgłoszenie nie jest dokonywane za pośrednictwem jednego organu wiodącego.
• Osoby, których dotyczy naruszenie: bez zbędnej zwłoki zawiadomimy osoby, których dane dotyczą, jeżeli naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności.
• Dokumentacja: wszystkie naruszenia ochrony danych, niezależnie od ich wagi, dokumentujemy w rejestrze naruszeń, w tym okoliczności naruszenia, jego skutki i podjęte działania zaradcze.

10. Kontakt w sprawach ochrony danych

Nie wyznaczyliśmy inspektora ochrony danych i RODO tego od nas nie wymaga: art. 37 ust. 1 przewiduje obowiązek wyznaczenia inspektora wyłącznie dla organów publicznych oraz administratorów, którzy monitorują osoby na dużą skalę lub przetwarzają na dużą skalę szczególne kategorie danych. Za ochronę danych odpowiada kierownictwo przedsiębiorstwa, które odpowiada na takie żądania. Możesz się z nami skontaktować tutaj:

11. Organ nadzorczy i skargi

Jeżeli uważasz, że przetwarzanie przez nas twoich danych osobowych narusza przepisy o ochronie danych, masz prawo wnieść skargę do organu nadzorczego (art. 77). To, który organ jest właściwy, zależy od tego, gdzie się znajdujesz, a nie od tego, gdzie my się znajdujemy:

11.1 Jeśli przebywasz w Europejskim Obszarze Gospodarczym

Możesz wnieść skargę do organu nadzorczego w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia. Ponieważ mamy siedzibę w Zjednoczonym Królestwie, a nie w Unii, żaden organ nie działa wobec nas jako organ wiodący — właściwy jest organ nadzorczy twojego państwa. W Polsce jest to Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl. Aktualne dane kontaktowe wszystkich organów krajowych publikuje Europejska Rada Ochrony Danych:

11.2 Jeśli przebywasz w Zjednoczonym Królestwie

Organem nadzorczym w Zjednoczonym Królestwie jest Information Commissioner’s Office. Poniższe dane są danymi samego ICO — nie są to nasze dane kontaktowe; aby skontaktować się z nami, zob. sekcję „Kontakt w sprawach ochrony danych” powyżej.

Skorzystanie z tego prawa jest bezpłatne i nie wymaga wcześniejszego kontaktu z nami — wolimy jednak naprawić problem, zanim okaże się to konieczne. Jeśli napiszesz na adres privacy@printedin.com, odpowiemy w ciągu 30 dni.