Informacja o przetwarzaniu danych osobowych

Podstawa prawna: Art. 5 ust. 1 lit. a i art. 24 ust. 1 RODO (zasady przejrzystości i rozliczalności).

Niniejsza polityka określa zasady przetwarzania i ochrony danych osobowych przekazywanych przez Użytkowników i Klientów w związku z korzystaniem z usług i ekosystemu cyfrowego firmy Dangerous Goods Safety Advisor drs. D. Kociemba, w tym domen kocie.mba (app.kocie.mba, api.kocie.mba, edi.kocie.mba, tacho.kocie.mba), adr-egzamin.pl oraz learn.noviqa.group (dalej łącznie: „Serwisy"). Serwisy przeznaczone są dla osób pełnoletnich.

1. Administrator Danych Osobowych

Administratorem Państwa danych osobowych jest firma DGSA drs. D. Kociemba z siedzibą w Eindhoven, Spalaan 6, 5628 ZG, Holandia, zarejestrowana w holenderskim rejestrze handlowym (KvK) pod numerem 95907130, posiadająca numer identyfikacji podatkowej VAT ID: NL005178103B20 (dalej: „Administrator").

Kontakt z Administratorem jest możliwy poprzez:

• adres e-mail: damian@kocie.mba (preferowany) lub info@kocie.mba;
• adres korespondencyjny: Spalaan 6, 5628 ZG Eindhoven, Holandia.

2. Cele i Podstawy Prawne Przetwarzania Danych

Administrator przetwarza Państwa dane w następujących celach:

a) Realizacja usług i dostarczenie oprogramowania — w celu zawarcia i należytego wykonania umowy o świadczenie usług doradczych, szkoleniowych (w tym wystawiania certyfikatów) oraz zapewnienia dostępu do funkcjonalności Aplikacji ADR i Systemu EDI. Podstawa prawna: art. 6 ust. 1 lit. b RODO (niezbędność do wykonania umowy lub świadczenia usługi drogą elektroniczną).

b) Obsługa płatności — w przypadku zakupów w sklepie internetowym (Szkolenia, Tokeny VIP), dane są przetwarzane w celu obsługi procesu płatności. Podstawa prawna: art. 6 ust. 1 lit. b RODO.

c) Wypełnienie obowiązków prawnych — w celu realizacji obowiązków wynikających z przepisów prawa, w szczególności podatkowych i rachunkowych. Podstawa prawna: art. 6 ust. 1 lit. c RODO.

d) Kontakt i obsługa zapytań — w celu prowadzenia korespondencji w odpowiedzi na Państwa zapytania. Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora).

e) Bezpieczeństwo infrastruktury IT i zapobieganie nadużyciom — w celu ochrony serwerów przed atakami (DDoS), egzekwowania limitów zapytań (rate limiting) w Aplikacji ADR, API i Aplikacji EDI oraz logowania dostępu do platformy edukacyjnej Moodle. Podstawa prawna: art. 6 ust. 1 lit. f RODO.

f) Analiza sposobu korzystania z Serwisów — w celu rozwoju funkcjonalności Serwisów, w tym Tacho app, na podstawie zanonimizowanych danych analitycznych zbieranych przy użyciu oprogramowania Matomo, opisanych szczegółowo w pkt 3. Podstawa prawna: art. 6 ust. 1 lit. f RODO.

g) Ustalenie, dochodzenie lub obrona roszczeń — w celu ochrony praw Administratora związanych z wykonaniem umowy lub łamaniem Regulaminu. Podstawa prawna: art. 6 ust. 1 lit. f RODO.

Zakres nieobjęty niniejszą Polityką. Dane wprowadzane przez Użytkownika w ramach dziennika czasu pracy kierowcy w Tacho app (m.in. imię i nazwisko, data urodzenia, numer prawa jazdy, numer karty kierowcy, wpisy aktywności) są przetwarzane wyłącznie lokalnie, na urządzeniu Użytkownika, i nie są w żadnym zakresie przekazywane Administratorowi. W konsekwencji Administrator nie przetwarza tych danych i nie pełni w stosunku do nich roli administratora danych w rozumieniu RODO. Analogiczna zasada dotyczy danych o odbiorcach, nadawcach i ładunkach wprowadzanych przez Użytkownika w Aplikacji EDI.

3. Rodzaje Przetwarzanych Danych Osobowych

Administrator przetwarza następujące kategorie danych, w zależności od zakresu korzystania z usług:

• Dane identyfikacyjne — imię i nazwisko (weryfikacja na platformie szkoleniowej).
• Dane kontaktowe — adres e-mail, numer telefonu, adres do wysyłki certyfikatu.
• Dane transakcyjne i firmowe — dane do faktury, w tym NIP/VAT ID.
• Dane szkoleniowe — informacje wymagane do wystawienia certyfikatu (np. obywatelstwo, miejsce i data urodzenia, logi postępów w nauce na platformie Moodle).
• Dane analityczne — zanonimizowane dane o sposobie korzystania z Serwisów, zbierane przy użyciu oprogramowania Matomo w trybie cookieless z pełną anonimizacją adresu IP. Kategoria ta dotyczy wszystkich Serwisów, w tym Tacho app, i nie obejmuje treści danych wprowadzanych przez Użytkownika w dzienniku Tacho app ani w Aplikacji EDI.
• Dane logów bezpieczeństwa (rate limiting) — adresy IP wykorzystywane do ochrony infrastruktury i weryfikacji limitów zapytań w Aplikacji ADR, API oraz Aplikacji EDI, podlegające natychmiastowemu jednokierunkowemu hashowaniu. Kategoria ta nie dotyczy Tacho app, która nie posiada własnego API ani mechanizmu rate limitingu.

Podanie danych jest dobrowolne, ale niezbędne do zawarcia umowy, zakupu Szkolenia lub przesłania zapytania. Korzystanie z Tacho app nie wymaga podania Administratorowi jakichkolwiek danych osobowych.

4. Okres Przechowywania Danych

Państwa dane będą przechowywane przez okres niezbędny do realizacji celów, o których mowa w pkt 2:

• Realizacja umowy i rozliczenia — przez czas trwania umowy, a po jej zakończeniu przez okres wynikający z przepisów podatkowych (maksymalnie 7 lat).
• Certyfikaty i zaświadczenia — dane zawarte na certyfikatach i zaświadczeniach o ukończeniu szkoleń (oraz powiązane konta na platformie Moodle) są przechowywane przez 5 lat, co umożliwia wydanie duplikatu dokumentu w przyszłości (prawnie uzasadniony interes).
• Dane logów bezpieczeństwa (rate limiting) — przechowywane krótkoterminowo, zazwyczaj nie dłużej niż 48 godzin, wyłącznie w celu resetowania limitów dobowych w Aplikacji ADR, API i Aplikacji EDI, chyba że doszło do naruszenia bezpieczeństwa skutkującego trwałą blokadą. Kategoria ta nie dotyczy Tacho app.
• Dane analityczne (Matomo) — przechowywane zgodnie z konfiguracją retencji danych ustaloną w systemie analitycznym Administratora.
• Dane dziennika Tacho app oraz dane przewozowe Aplikacji EDI — nie są przechowywane przez Administratora w jakimkolwiek okresie, ponieważ nie są mu przekazywane; okres ich przechowywania na urządzeniu Użytkownika zależy wyłącznie od decyzji Użytkownika.

Dane mogą być przechowywane dłużej, jeżeli będzie to konieczne do ustalenia, dochodzenia lub obrony przed roszczeniami. Po upływie wskazanych okresów dane będą trwale usuwane lub anonimizowane.

5. Odbiorcy Danych Osobowych

W celu prawidłowego świadczenia usług, Państwa dane mogą być powierzane:

• Procesorom płatności — płatności obsługiwane są przez firmę Stripe, Inc. Dane niezbędne do transakcji trafiają bezpośrednio do Stripe, który jest niezależnym administratorem (polityka Stripe: stripe.com/privacy).
• Infrastrukturze bezpieczeństwa — ruch sieciowy do Serwisów, w tym Tacho app, kierowany jest przez globalne filtry firmy Cloudflare, Inc. w celu ochrony przed atakami. W przypadku Tacho app ochrona ta obejmuje wyłącznie warstwę dostarczania plików statycznych — serwis ten nie korzysta z mechanizmu rate limitingu opartego na przetwarzaniu adresów IP, o którym mowa w pkt 3 i 4.
• Dostawcom usług IT i hostingu — firmom świadczącym usługi utrzymania serwerów (m.in. OVH). Formularz kontaktowy oparty jest na infrastrukturze firmy Mobirise (Holandia), która przekazuje wiadomości, nie przechowując ich trwale na swoich serwerach.
• Podmiotom z zakresu księgowości i logistyki — biurom rachunkowym, kancelariom prawnym oraz firmom kurierskim/pocztowym realizującym wysyłkę certyfikatów.

Wszystkie podmioty współpracujące z Administratorem gwarantują stosowanie odpowiednich środków ochrony danych.

6. Środki Bezpieczeństwa Danych

Administrator wdraża rygorystyczne środki techniczne, aby zapewnić bezpieczeństwo przetwarzanych danych (privacy by design). Komunikacja z Serwisami odbywa się za pośrednictwem szyfrowania TLS/SSL.

W systemach przechowujących wrażliwe dane (np. panel administracyjny Moodle) stosowane jest uwierzytelnianie wieloskładnikowe (MFA) lub sprzętowe klucze bezpieczeństwa (FIDO2).

W celach analitycznych wykorzystywana jest platforma Matomo w trybie cookieless, całkowicie anonimizująca adresy IP; dotyczy to wszystkich Serwisów, w tym Tacho app.

W aplikacjach udostępniających zasoby API adresy IP użytkowników służące do zarządzania limitami są w ułamku sekundy jednokierunkowo hashowane, co uniemożliwia ich późniejsze odkodowanie.

Administrator nie stosuje zautomatyzowanego podejmowania decyzji wywołujących skutki prawne ani profilowania marketingowego w rozumieniu art. 22 RODO.

7. Prawa Osoby, Której Dane Dotyczą

Przysługują Państwu następujące prawa:

• prawo dostępu do danych (art. 15 RODO) i sprostowania danych (art. 16 RODO);
• prawo do usunięcia danych („prawo do bycia zapomnianym" — art. 17 RODO), z zastrzeżeniem ograniczeń wynikających z obowiązków prawnych (np. przepisy podatkowe);
• prawo do ograniczenia przetwarzania (art. 18 RODO) i przenoszenia danych (art. 20 RODO);
• prawo sprzeciwu wobec przetwarzania (art. 21 RODO);
• prawo do cofnięcia zgody w dowolnym momencie, jeśli dotyczy.

W celu realizacji praw prosimy o kontakt na adres: damian@kocie.mba.

Mają Państwo prawo wniesienia skargi zarówno do holenderskiego organu nadzorczego (Autoriteit Persoonsgegevens, AP — autoriteitpersoonsgegevens.nl), właściwego ze względu na siedzibę Administratora, jak i do organu nadzorczego właściwego dla Państwa miejsca zwykłego pobytu, miejsca pracy lub miejsca domniemanego naruszenia — w przypadku Polski jest to Prezes Urzędu Ochrony Danych Osobowych.

Powyższe prawa nie mają zastosowania do danych dziennika Tacho app ani danych przewozowych Aplikacji EDI w zakresie, w jakim dane te nigdy nie są przekazywane Administratorowi — Użytkownik zarządza tymi danymi samodzielnie, bezpośrednio w odpowiedniej aplikacji.

8. Przekazywanie Danych Poza Europejski Obszar Gospodarczy (EOG)

Państwa podstawowe dane osobowe są hostowane na serwerach zlokalizowanych w EOG — serwery OVH we Francji dla platformy szkoleniowej oraz w Polsce dla stron głównych i aplikacji, w tym Tacho app. W związku z korzystaniem z globalnych usług dostawców takich jak Stripe (płatności) oraz Cloudflare (bezpieczeństwo infrastruktury i ochrona anty-DDoS), niezbędne dane transakcyjne lub parametry sieciowe (np. ruch IP) mogą być przetwarzane w państwach trzecich, w tym w USA. Administrator zapewnia, że przekazywanie odbywa się w oparciu o zgodne z prawem mechanizmy (np. Data Privacy Framework dla USA lub zatwierdzone Standardowe Klauzule Umowne Komisji Europejskiej).

9. Zmiany w Polityce Prywatności

Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności, aby na bieżąco odzwierciedlać rozwój architektury IT i wymogi prawne. Aktualna wersja będzie zawsze dostępna w Serwisach.