Polityka prywatności

Niniejsza Polityka prywatności opisuje, w jaki sposób serwis electronicsignature.pl prowadzony przez 2SECURE Sp. z o.o. przetwarza dane osobowe użytkowników zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO) oraz polską ustawą z 10 maja 2018 r. o ochronie danych osobowych.

[TODO: po podaniu danych firmy uzupełnić wszystkie poniższe placeholdery]

1. Administrator danych osobowych

Administratorem Twoich danych osobowych jest:

• 2SECURE Sp. z o.o.
• Adres siedziby: [TODO: ulica, kod, miasto]
• NIP: [TODO], KRS: [TODO], REGON: [TODO]
• E-mail kontaktowy: [email protected]
• Inspektor Ochrony Danych: nie został wyznaczony — kontakt w sprawach RODO przez adres e-mail powyżej.

2. Zakres przetwarzanych danych

Przetwarzamy następujące kategorie danych osobowych w zależności od sposobu interakcji z serwisem:

2.1. Dane przekazywane przez formularz kontaktowy

• Adres e-mail (wymagany)
• Imię i nazwisko (opcjonalnie)
• Nazwa firmy (opcjonalnie)
• Numer telefonu (opcjonalnie)
• Treść wiadomości
• Adres IP, identyfikator przeglądarki, adres URL strony (auto)

2.2. Dane zbierane przy zamówieniu usługi

• Imię, nazwisko, PESEL lub numer paszportu (do wystawienia certyfikatu kwalifikowanego)
• Dane spółki: nazwa, NIP, KRS, adres siedziby (dla podpisów firmowych i pieczęci)
• Adres rozliczeniowy i dane do faktury VAT
• Nagranie sesji wideoweryfikacji (przekazywane do Certum)
• Historia płatności i faktur

2.3. Dane techniczne (cookies, logi serwera)

Patrz Polityka cookies.

3. Cele i podstawy prawne przetwarzania

Cel	Podstawa prawna RODO	Okres retencji
Wykonanie umowy o świadczenie usług	art. 6 ust. 1 lit. b RODO	Czas trwania umowy + 6 lat (księgowo)
Wystawianie faktur VAT	art. 6 ust. 1 lit. c RODO (obowiązek prawny — Ordynacja podatkowa)	6 lat od końca roku podatkowego
Obsługa zapytań przez formularz	art. 6 ust. 1 lit. f RODO (uzasadniony interes — komunikacja z potencjalnymi klientami)	24 miesiące od ostatniego kontaktu
Dochodzenie i obrona roszczeń	art. 6 ust. 1 lit. f RODO (uzasadniony interes)	Okres przedawnienia roszczeń (3-6 lat)
Marketing własnych usług (newsletter)	art. 6 ust. 1 lit. a RODO (zgoda)	Do cofnięcia zgody
Audyt i bezpieczeństwo (logi)	art. 6 ust. 1 lit. f RODO (uzasadniony interes)	365 dni

4. Odbiorcy danych (subprocessorzy)

W ramach świadczenia usług powierzamy przetwarzanie danych następującym podmiotom przetwarzającym (procesory zgodnie z art. 28 RODO):

• Asseco Data Systems S.A. (Certum) — wystawienie certyfikatu kwalifikowanego (państwo: Polska)
• OVH Sp. z o.o. — hosting infrastruktury (państwo: Polska / Francja, dane w UE)
• Cloudflare, Inc. — CDN, DNS, ochrona przed atakami (państwo: USA — przekazanie na podstawie standardowych klauzul umownych SCC)
• Postmark / ActiveCampaign — wysyłka e-maili transakcyjnych [TODO: wybrać i wpisać dostawcę]
• Fakturownia Sp. z o.o. — wystawianie faktur VAT (państwo: Polska)
• Daily.co — platforma wideoweryfikacji (państwo: USA — SCC)
• BLUE MEDIA S.A. (iMoje) — operator płatności online [TODO: potwierdzić nazwę i numer DPA]

Z każdym z subprocessorów zawarliśmy umowę powierzenia przetwarzania danych (DPA) zgodną z art. 28 RODO. Pełna lista jest aktualizowana raz na kwartał.

5. Twoje prawa

Zgodnie z RODO przysługują Ci następujące prawa:

• Dostępu do danych (art. 15 RODO) — możesz uzyskać kopię swoich danych.
• Sprostowania danych (art. 16 RODO) — możesz żądać poprawienia nieprawidłowych danych.
• Usunięcia danych (art. 17 RODO) — z zastrzeżeniem obowiązków prawnych (np. retencja księgowa).
• Ograniczenia przetwarzania (art. 18 RODO).
• Przenoszenia danych (art. 20 RODO) — otrzymasz dane w ustrukturyzowanym formacie (JSON / CSV).
• Sprzeciwu (art. 21 RODO) — wobec przetwarzania na podstawie uzasadnionego interesu.
• Cofnięcia zgody w dowolnym momencie (bez wpływu na przetwarzanie sprzed cofnięcia).
• Wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

Aby skorzystać z któregokolwiek z powyższych praw, napisz na [email protected] z dopiskiem „RODO” w temacie. Odpowiadamy w terminie do 30 dni.

6. Przekazywanie danych do państw trzecich

Część subprocessorów (Cloudflare, Daily.co) ma siedzibę w USA. Przekazanie odbywa się na podstawie Standardowych Klauzul Umownych (SCC) przyjętych decyzją Komisji Europejskiej 2021/914 z 4 czerwca 2021 r. Daily.co dodatkowo posiada certyfikację w ramach EU-US Data Privacy Framework.

7. Profilowanie i decyzje zautomatyzowane

Nie podejmujemy zautomatyzowanych decyzji ani nie profilujemy Twoich danych w sposób wywołujący skutki prawne, o których mowa w art. 22 RODO. Honey-pot w formularzu kontaktowym i rate-limiting to mechanizmy zabezpieczające, nie profilowanie.

8. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne zapewniające ochronę danych adekwatną do ryzyka:

• Szyfrowanie TLS 1.3 dla wszystkich połączeń
• Hashowanie haseł algorytmem Argon2id
• Obowiązkowe 2FA dla wszystkich administratorów
• Backupy szyfrowane, retencja 30 dni
• Logi audytowe wszystkich operacji w panelu administracyjnym
• Szkolenia RODO dla pracowników (rocznie)

9. Pliki cookies

Stosowanie cookies opisuje osobno Polityka cookies.

10. Zmiany w polityce

Niniejsza polityka może być aktualizowana w przypadku zmian przepisów, technologii lub zakresu usług. Data ostatniej aktualizacji jest podana na początku dokumentu. Istotne zmiany komunikujemy z 14-dniowym wyprzedzeniem mailowo i poprzez baner na stronie.

11. Kontakt w sprawach RODO

Wszelkie pytania, żądania i skargi dotyczące przetwarzania danych prosimy kierować na:

• E-mail: [email protected] (temat: „RODO”)
• Pisemnie: 2SECURE Sp. z o.o., [TODO: adres siedziby]