1. Administrator i kontakt
Dokument sporządzono w języku polskim i angielskim. W przypadku rozbieżności pomiędzy wersjami językowymi rozstrzygająca jest wersja polska, chyba że bezwzględnie obowiązujące przepisy stanowią inaczej.
Administratorem danych związanych z kontem, rozliczeniami, bezpieczeństwem, stroną internetową i własnym marketingiem ContentDeliver jest Adam Płotkowski, prowadzący jednoosobową działalność gospodarczą, NIP PL9691618924, ul. Domeyki 19, 44-105 Gliwice, Polska. Kontakt: [email protected].
W zakresie danych wprowadzanych przez Klienta o pracownikach, Partnerach, zapraszanych osobach i osobach widocznych w Materiałach administratorem jest zasadniczo Klient, a ContentDeliver działa jako podmiot przetwarzający zgodnie z DPA.
2. Zakres danych
Możemy przetwarzać: imię, nazwisko, służbowy e-mail, hasło w postaci skrótu, role, język, strefę czasową, nazwę firmy, NIP i VAT UE, adres, kraj, dane rozliczeniowe, identyfikatory Stripe, historię płatności i dokumentów, adres IP i User-Agent w wybranych operacjach, akceptacje dokumentów, zgody marketingowe i cookies, komunikację, zaproszenia, logi, ustawienia oraz dane usuwania konta.
W związku z Meta przetwarzamy nazwy i identyfikatory stron Facebook lub kont Instagram Business, identyfikator użytkownika Meta łączącego konto, token w postaci zaszyfrowanej, zakres uprawnień, status połączenia, identyfikatory i adresy publikacji oraz informacje diagnostyczne. Statystyki są pobierane w zakresie dostępnym przez API i nie muszą być trwale przechowywane.
Materiały mogą zawierać teksty, obrazy, nagrania, dokumenty i inne dane wybrane przez Klienta. Nie prosimy o dane szczególnych kategorii; należy ich nie umieszczać, chyba że jest to zgodne z prawem i konieczne.
W celach analitycznych i reklamowych, po uzyskaniu odpowiedniej zgody, możemy przetwarzać identyfikatory cookies, adres IP, informacje o urządzeniu i przeglądarce, odwiedzone strony, zdarzenia rejestracji, triala, checkoutu i subskrypcji oraz wartość i walutę transakcji bez przekazywania treści Materiałów.
3. Cele i podstawy
Dane konta, firmy, Materiały, integracje i obsługa subskrypcji są przetwarzane w celu zawarcia i wykonania Umowy oraz podjęcia działań przed jej zawarciem.
Dane podatkowe, księgowe i płatnicze są przetwarzane w celu wykonania obowiązków prawnych oraz rozliczenia Umowy.
Logi bezpieczeństwa, dowody akceptacji, obsługa nadużyć, diagnostyka, dochodzenie i obrona roszczeń, zapewnienie integralności usługi i komunikacja usługowa opierają się na prawnie uzasadnionym interesie administratora lub Klienta.
Marketing e-mail oraz analityczne i marketingowe technologie cookies są wykorzystywane na podstawie dobrowolnej zgody. Zgodę można wycofać bez wpływu na zgodność wcześniejszego przetwarzania.
Jeżeli dane są przetwarzane jako podmiot przetwarzający, podstawę i cel określa Klient jako administrator.
4. Źródła danych
Dane otrzymujemy bezpośrednio od Użytkownika, Klienta, osoby zapraszającej, Stripe, Meta, z przeglądarki i urządzenia, z logów systemowych oraz z działań wykonywanych w Usłudze.
Jeżeli Producent poda e-mail Partnera lub pracownika, dane pochodzą od Producenta. Producent odpowiada za posiadanie podstawy do ich użycia i przekazanie odpowiedniej informacji.
5. Odbiorcy
Dane mogą być udostępniane podmiotom świadczącym hosting, storage, pocztę, bezpieczeństwo, CDN/WAF, płatności, księgowość, analitykę i reklamę, a także Meta w celu publikacji oraz organom, gdy wymagają tego przepisy.
Kluczowi odbiorcy obejmują home.pl S.A. lub usługę Homecloud w dwóch centrach danych w Polsce, nazwa.pl dla poczty, Cloudflare dla DNS/CDN/WAF, Stripe dla płatności, zewnętrzne biuro rachunkowe, Meta dla integracji i reklamy, Google dla GA4 i Google Ads oraz LinkedIn dla Insight Tag.
Aktualny wykaz podprocesorów i odbiorców jest publikowany wraz z dokumentami prawnymi lub w dedykowanej sekcji serwisu.
6. Transfery poza EOG
Hosting i podstawowy storage znajdują się w Polsce. Stripe, Meta, Google, LinkedIn i Cloudflare mogą przetwarzać dane również poza EOG, w szczególności w USA.
Transfery są realizowane na podstawie właściwych mechanizmów prawnych stosowanych przez danego dostawcę, takich jak decyzja stwierdzająca odpowiedni stopień ochrony, EU–US Data Privacy Framework lub standardowe klauzule umowne. Informacje i kopie właściwych zabezpieczeń można uzyskać, kontaktując się z nami lub bezpośrednio u dostawcy.
Narzędzia analityczne i reklamowe są uruchamiane dopiero po odpowiedniej zgodzie, z wyjątkiem technicznie niezbędnych procesów zewnętrznego checkoutu lub logowania OAuth wywołanych przez Użytkownika.
7. Retencja
Dane aktywnego konta przechowujemy przez czas trwania Umowy. Po skutecznym usunięciu konta lub firmy dane operacyjne są usuwane lub anonimizowane, co do zasady w ciągu 30 dni, z uwzględnieniem siedmiodniowej karencji i kopii zapasowych przechowywanych maksymalnie 30 dni.
Treść logów e-mail i komunikacji przechowujemy do 12 miesięcy; logi aplikacji i infrastruktury do 90 dni; nieudane wiadomości kolejki do 30 dni; techniczne rekordy zdarzeń marketingowych do 90 dni.
Dowody zgód cookies przechowujemy do 24 miesięcy od wycofania, zmiany lub zastąpienia zgody; rekordy żądań usunięcia do 3 lat od zakończenia; dowody akceptacji dokumentów do 6 lat od zakończenia Umowy.
Dokumenty księgowe, transakcje i dane niezbędne do obowiązków podatkowych są przechowywane przez okres wymagany prawem. Dane potrzebne do roszczeń mogą być przechowywane do upływu terminu przedawnienia.
Token i dane aktywnej integracji Meta są przechowywane do odłączenia, wygaśnięcia lub usunięcia integracji. Opcja „Odłącz i usuń dane” usuwa rekord integracji i powiązane zewnętrzne identyfikatory publikacji.
8. Prawa osób
Osobie przysługuje prawo dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie oraz wycofania zgody.
Żądanie można wysłać na [email protected]. Możemy poprosić o informacje potrzebne do potwierdzenia tożsamości. Jeżeli działamy jako procesor, żądanie może zostać przekazane właściwemu Klientowi jako administratorowi.
Użytkownik może zlecić usunięcie konta w ustawieniach, a właściciel – usunięcie firmy. Integrację Meta można odłączyć albo odłączyć wraz z usunięciem danych integracji.
Osoba może wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych lub innego właściwego organu nadzorczego w UE.
9. Zautomatyzowane decyzje
ContentDeliver nie podejmuje wobec Użytkowników decyzji wywołujących skutki prawne wyłącznie w sposób zautomatyzowany i nie prowadzi profilowania w takim znaczeniu. Narzędzia reklamowe mogą tworzyć grupy odbiorców zgodnie z zasadami swoich dostawców po zgodzie marketingowej.
10. Bezpieczeństwo
Stosujemy m.in. hashowanie haseł, szyfrowanie tokenów Meta, HTTPS, kontrolę dostępu i izolację organizacji, ochronę CSRF, rate limiting, weryfikację podpisów, redakcję sekretów w logach, retry, idempotencję oraz wieloetapowe usuwanie danych.
Żaden system nie zapewnia absolutnego bezpieczeństwa. Użytkownik powinien używać silnego hasła, chronić urządzenie i nie udostępniać danych logowania.
11. Marketing i cookies
Marketing e-mail jest wysyłany wyłącznie po dobrowolnej zgodzie. Obecnie zgoda może być zapisana, nawet gdy dedykowany kanał marketingowy nie jest aktywny. Zgodę można wycofać przez kontakt lub dostępne ustawienia.
GA4 działa po zgodzie analitycznej. Google Ads, Meta Pixel i LinkedIn Insight Tag działają po zgodzie marketingowej i tylko po ich aktywowaniu przez administratora systemu. Szczegóły znajdują się w Polityce cookies.
Meta Conversions API, LinkedIn Conversions API, Google Tag Manager i TikTok nie są obecnie aktywnymi narzędziami ContentDeliver i nie są przedstawiane jako działające. Polityka zostanie zaktualizowana przed ich uruchomieniem.
12. Zmiany polityki
Polityka może być aktualizowana wraz ze zmianą prawa, funkcji, dostawców lub sposobu przetwarzania. Istotne zmiany zostaną zakomunikowane z odpowiednim wyprzedzeniem, zwykle co najmniej 14 dni, chyba że wcześniejsze wejście jest wymagane prawem lub bezpieczeństwem.