Polityka prywatności

1. Administrator danych osobowych

Administratorem Twoich danych osobowych jest B.DBAJ — Biuro Księgowe.

• Adres e-mail: ksiegowosc@bdbaj.pl

Nie wyznaczyliśmy Inspektora Ochrony Danych — nie mamy takiego obowiązku na podstawie art. 37 ust. 1 RODO. We wszystkich sprawach dotyczących danych osobowych pisz bezpośrednio na adres e-mail administratora.

Ilekroć w tym dokumencie mowa o RODO, chodzi o rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych.

2. Jakie dane zbieramy

W serwisie bdbaj.pl przetwarzamy dane trzech rodzajów. Dwa pierwsze powstają zawsze, trzeci wyłącznie wtedy, gdy sam włączysz narzędzia zewnętrzne w banerze zgód.

2.1. Dane z formularza kontaktowego

• imię, które podajesz w polu „Imię”,
• numer telefonu,
• adres e-mail (pole opcjonalne),
• opis prowadzonej działalności, wpisany przez Ciebie własnymi słowami,
• liczba zatrudnionych osób i zleceniobiorców — przedział, nie dane pracowników,
• treść wiadomości, jeżeli zdecydujesz się ją napisać (pole opcjonalne),
• informacja, czy zaznaczyłeś nieobowiązkową zgodę na kontakt marketingowy — zapisujemy ją razem ze zgłoszeniem, żeby móc wykazać, na jakiej podstawie ewentualnie wysyłamy Ci informacje handlowe,
• dane techniczne zapisywane automatycznie: znacznik czasu wysyłki, adres podstrony, z której wysłano formularz, oraz parametry kampanii z adresu URL (tzw. UTM), jeżeli trafiłeś do nas z linku reklamowego,
• ukryte pole-pułapka (tzw. honeypot) w formularzu — u realnego użytkownika zawsze puste, służy wyłącznie do wykrywania automatycznych zgłoszeń spamowych.

W naszej bazie zgłoszeń Twojego adresu IP nie zapisujemy w postaci jawnej. Zapisujemy wyłącznie jego nieodwracalny skrót kryptograficzny (SHA-256 z tajną solą), który służy tylko do ograniczenia liczby zgłoszeń z jednego adresu. Ze skrótu nie da się odtworzyć adresu IP.

2.2. Dane w logach serwera

• adres IP, data i godzina żądania, adres odwiedzonej podstrony,
• typ i wersja przeglądarki oraz systemu operacyjnego,
• adres strony, z której do nas trafiłeś (nagłówek referer).

Logi powstają automatycznie przy każdym połączeniu z serwerem i służą wyłącznie diagnostyce oraz bezpieczeństwu serwisu.

2.3. Dane zbierane przez Google Analytics i Meta Pixel — tylko po Twojej zgodzie

Jeżeli w banerze zgód włączysz kategorię analityczną albo marketingową, uruchamiamy narzędzia firm Google i Meta. Zbierają one wtedy identyfikator zapisany w pliku cookie w Twojej przeglądarce, adres odwiedzanej podstrony, adres strony, z której do nas trafiłeś, adres IP (a na jego podstawie przybliżoną lokalizację), typ urządzenia i przeglądarki oraz zdarzenia, które te narzędzia rejestrują samodzielnie — na przykład wyświetlenie strony czy przewinięcie jej do końca.

Danych z formularza im nie przekazujemy. Ani Google, ani Meta nie dostają od nas Twojego imienia, numeru telefonu, adresu e-mail ani treści wiadomości. Dopóki nie wyrazisz zgody, oba narzędzia w ogóle się nie uruchamiają — opisuje to sekcja 10.

3. Cele i podstawy prawne przetwarzania

Dwa ostatnie cele realizujemy wyłącznie, jeżeli sam je włączysz w banerze zgód. Zgodę możesz wycofać w każdej chwili przyciskiem „Ustawienia cookies” w stopce strony — równie łatwo, jak jej udzielić.

Nie prosimy Cię o zgodę na sam kontakt zwrotny i nie jest to przeoczenie. Kiedy sam prosisz nas o rozmowę, podstawą przetwarzania jest art. 6 ust. 1 lit. b RODO — działania przed zawarciem umowy podejmowane na Twoje żądanie. Wymuszanie zgody tam, gdzie mamy mocniejszą podstawę, wprowadzałoby Cię w błąd co do zakresu Twoich praw. Zgoda marketingowa to osobna, dobrowolna decyzja: jej brak nie wpływa na obsługę zgłoszenia.

4. Dobrowolność podania danych

Podanie danych jest w pełni dobrowolne — nikt nie ma obowiązku wypełniać formularza. Bez imienia i numeru telefonu nie jesteśmy jednak w stanie oddzwonić, więc te dwa pola są warunkiem obsługi zgłoszenia. Adres e-mail, treść wiadomości i zgoda marketingowa są nieobowiązkowe i służą wyłącznie sprawniejszemu przygotowaniu odpowiedzi.

5. Jak długo przechowujemy dane

• Zgłoszenia z formularza kontaktowego — 24 miesiące od dnia wysłania, po czym są automatycznie i trwale usuwane. Usuwaniem zajmuje się codzienne zadanie uruchamiane po stronie serwera, a nie ręczna procedura — dzięki temu ten okres jest faktycznie egzekwowany. Jeżeli w tym czasie dojdzie do zawarcia umowy, dane przechodzą do dokumentacji klienta i podlegają okresom wynikającym z przepisów podatkowych i rachunkowych.
• Dane objęte zgodą marketingową — do jej cofnięcia, nie dłużej niż przez okres przechowywania samego zgłoszenia. Po cofnięciu zgody zachowujemy wyłącznie ślad jej cofnięcia, żeby nie odezwać się ponownie.
• Logi serwera i dane antyspamowe — przechowujemy je przez czas niezbędny do zapewnienia bezpieczeństwa serwisu i diagnostyki nieprawidłowości, a następnie usuwamy.
• Własne statystyki ruchu (Umami) — adres IP nigdy nie trafia do naszej bazy w jawnej postaci: od razu zamieniamy go w nieodwracalny skrót, którego sól zmienia się co 24 godziny, więc po tym czasie nie da się już powiązać żadnego wpisu z konkretną osobą ani nawet z tą samą wizytą sprzed doby. Powstałe w ten sposób zbiorcze statystyki — liczby odsłon, źródła wejść, kraje, typy urządzeń — nie są już danymi osobowymi w rozumieniu RODO, więc możemy je przechowywać bezterminowo, tak jak każdą inną statystykę biznesową.
• Dane w Google Analytics 4 i Meta Pixel — do wycofania zgody, a same pliki cookies wygasają samoczynnie: Google po około 2 latach, Meta po około 3 miesiącach od ostatniej wizyty. Dane zebrane wcześniej pozostają na serwerach Google i Meta zgodnie z ustawieniami tych usług; o ich usunięcie możesz zwrócić się do nas — przekażemy żądanie dalej — albo bezpośrednio do tych firm. Po wycofaniu zgody nie zbieramy tam już nic nowego.

Dane zgłoszeń z formularza przechowujemy w jednym miejscu — w bazie na naszym serwerze. Nie prowadzimy odrębnych archiwów ani kopii tych danych poza systemem produkcyjnym, więc usunięcie danych na Twoje żądanie oznacza ich rzeczywiste, kompletne usunięcie.

6. Odbiorcy danych

Twoje dane trafiają wyłącznie do podmiotów, bez których serwis nie mógłby działać:

• Microsoft — dostawca poczty elektronicznej biura. Powiadomienie o Twoim zgłoszeniu wysyłamy na naszą własną skrzynkę przez usługę Microsoft 365, w ramach infrastruktury zlokalizowanej w Unii Europejskiej.
• Dostawca infrastruktury serwerowej, na której działa serwis — serwer wirtualny zlokalizowany w Unii Europejskiej. Dostawca ma dostęp wyłącznie techniczny, na podstawie umowy powierzenia przetwarzania danych (art. 28 RODO).

Dwóch kolejnych odbiorców dochodzi tylko wtedy, gdy wyrazisz zgodę w banerze — bez niej nie wysyłamy do nich niczego i nawet nie pobieramy ich skryptów:

• Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlandia) oraz spółka macierzysta Google LLC w Stanach Zjednoczonych — dostawca Google Analytics 4. Odbiorca danych z kategorii analitycznej.
• Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irlandia) oraz spółka macierzysta Meta Platforms, Inc. w Stanach Zjednoczonych — dostawca Meta Pixela. Odbiorca danych z kategorii marketingowej. W tym zakresie jesteśmy z Meta współadministratorami — wyjaśnia to sekcja 12.

Poza Google Analytics i Meta Pixelem — i wyłącznie po Twojej zgodzie — serwis nie korzysta z żadnych zewnętrznych skryptów: nie ma tu wtyczek społecznościowych, map ani systemów typu CAPTCHA. Style, czcionki i obrazy zawsze pobierane są z naszego serwera, niezależnie od Twojej decyzji. Twoich danych nie sprzedajemy i nie udostępniamy nikomu poza wymienionymi wyżej odbiorcami. Możemy je udostępnić organom publicznym wyłącznie wtedy, gdy obowiązek taki wynika z przepisów prawa.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

Dopóki nie wyrazisz zgody, żadne Twoje dane nie opuszczają Europejskiego Obszaru Gospodarczego. Serwer, na którym działa serwis, baza zgłoszeń z formularza, własne statystyki ruchu i skrzynka pocztowa biura znajdują się w Unii Europejskiej. Bez zgody nie uruchamiamy narzędzi Google ani Meta, więc nie ma czego przekazywać.

Jeżeli włączysz kategorię analityczną albo marketingową, sytuacja się zmienia: dane zebrane przez te narzędzia trafiają do Google i Meta, a te firmy przetwarzają je również w Stanach Zjednoczonych, czyli poza EOG. Podstawą takiego przekazania jest decyzja wykonawcza Komisji Europejskiej z 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony danych osobowych w Stanach Zjednoczonych w ramach programu EU-US Data Privacy Framework (art. 45 RODO) — Google LLC i Meta Platforms, Inc. są uczestnikami tego programu. Uzupełniająco zastosowanie mają standardowe klauzule umowne zatwierdzone przez Komisję Europejską (art. 46 ust. 2 lit. c RODO), które obaj dostawcy włączają do swoich warunków przetwarzania danych — działają one jako zabezpieczenie na wypadek, gdyby decyzja o adekwatności została uchylona lub zawieszona.

Piszemy to wprost, bo to nie jest formalność: prawo amerykańskie daje tamtejszym organom szersze uprawnienia dostępu do danych niż prawo unijne i nie jesteśmy w stanie tego wyłączyć. Dlatego decyzja należy do Ciebie. Nie wyrażając zgody, nie dopuszczasz do żadnego takiego przekazania, a strona działa dalej dokładnie tak samo. Zgodę możesz też wycofać w każdej chwili przyciskiem „Ustawienia cookies” w stopce.

8. Twoje prawa

W związku z przetwarzaniem danych przysługuje Ci prawo do:

• dostępu do danych i uzyskania ich kopii (art. 15 RODO),
• sprostowania danych nieprawidłowych lub niekompletnych (art. 16 RODO),
• usunięcia danych — „prawo do bycia zapomnianym” (art. 17 RODO),
• ograniczenia przetwarzania (art. 18 RODO),
• przenoszenia danych do innego administratora (art. 20 RODO),
• wniesienia sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 21 RODO),
• cofnięcia zgody marketingowej w dowolnym momencie (art. 7 ust. 3 RODO); cofnięcie nie wpływa na zgodność z prawem przetwarzania, którego dokonano wcześniej.

Żądania kieruj na adres ksiegowosc@bdbaj.pl. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca.

Masz również prawo wniesienia skargi do organu nadzorczego, którym jest Prezes Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa. Zanim to zrobisz, napisz do nas — większość spraw da się wyjaśnić od ręki.

9. Profilowanie i zautomatyzowane decyzje

To dwie różne rzeczy i mieszanie ich byłoby wprowadzaniem Cię w błąd, więc rozdzielamy je wyraźnie.

9.1. Profilowanie marketingowe — jest, ale wyłącznie po Twojej zgodzie

Jeżeli włączysz kategorię marketingową, Meta Pixel powiąże Twoją wizytę na naszej stronie z Twoją aktywnością w serwisach Meta i na tej podstawie budowany jest profil reklamowy. To jest jego funkcja, a nie skutek uboczny — po to właśnie istnieje. Dzięki temu Meta dobiera odbiorców naszych reklam i mierzy ich skuteczność.

Bez Twojej zgody Pixel w ogóle się nie uruchamia i żadne profilowanie nie ma miejsca. Zgodę wycofasz w każdej chwili przyciskiem „Ustawienia cookies” w stopce. Masz też prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania Twoich danych na potrzeby marketingu bezpośredniego, w tym profilowania (art. 21 ust. 2 RODO).

9.2. Zautomatyzowane decyzje wywołujące skutki prawne — takich nie ma

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO). Twoje zgłoszenie z formularza czyta człowiek i człowiek do Ciebie oddzwania — żaden algorytm nie decyduje o tym, czy i na jakich warunkach nawiążemy współpracę. Danych z formularza nie łączymy też z profilami reklamowymi: Google i Meta nie dostają od nas Twojego imienia, telefonu ani adresu e-mail.

10. Pliki cookies i baner zgód

Przy pierwszej wizycie zobaczysz na dole strony baner zgód. Pytamy w nim o zgodę na narzędzia, które zapisują informacje w Twojej przeglądarce — wymaga tego art. 397 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej. Baner ma trzy przyciski na pierwszym ekranie: „Akceptuj wszystkie”, „Odrzuć” i „Ustawienia”. Odmowa kosztuje dokładnie jedno kliknięcie, tak samo jak zgoda — nie ukrywamy jej w podmenu.

Dopóki nie klikniesz, nie dzieje się nic. Żaden skrypt Google ani Meta nie jest wtedy pobierany, żaden plik cookie nie powstaje. Samo zamknięcie lub zignorowanie banera nie oznacza zgody. W panelu „Ustawienia” nic nie jest zaznaczone z góry — każdy wybór jest Twój.

10.1. Trzy kategorie

• Niezbędne — zawsze aktywne, nie da się ich wyłączyć. Należy tu wyłącznie zapamiętanie samego Twojego wyboru w banerze. Bez tego pytalibyśmy o zgodę przy każdym wejściu na stronę.
• Analityczne — Google Analytics 4. Włączasz je dobrowolnie. Pokazują nam, którymi drogami odwiedzający trafiają na stronę i które treści czytają.
• Marketingowe — Meta Pixel (Facebook, Instagram). Włączasz je dobrowolnie. Mierzą skuteczność naszych reklam i pozwalają Meta dobierać ich odbiorców.

Umami — nasze własne statystyki — nie należy do żadnej z tych kategorii, bo nie zapisuje niczego w Twojej przeglądarce i nie wysyła danych na zewnątrz. Działa więc niezależnie od Twojego wyboru w banerze, na podstawie prawnie uzasadnionego interesu. Szczegóły w sekcji 11.

10.2. Co konkretnie zostaje w Twojej przeglądarce

Google i Meta mogą zapisać także inne własne pliki cookies — pełne, aktualizowane przez nich wykazy znajdziesz w dokumentacji obu firm. Powyżej wymieniamy te, które w praktyce powstają na naszej stronie.

10.3. Jak wycofać zgodę

W stopce każdej podstrony jest przycisk „Ustawienia cookies”. Otwiera ten sam panel, w którym możesz zmienić lub cofnąć każdą zgodę — równie łatwo, jak jej udzielić (art. 7 ust. 3 RODO). Wycofanie nie wpływa na zgodność z prawem tego, co wydarzyło się wcześniej.

Mówimy uczciwie, jak to działa technicznie: skrypt, który zdążył się już uruchomić na otwartej stronie, znika dopiero po jej przeładowaniu — kodu raz wykonanego nie da się cofnąć. Dlatego po zapisaniu wyboru, który coś odbiera, strona przeładowuje się automatycznie. Od tego momentu nic nowego nie jest zbierane. Zapisane wcześniej pliki cookies możesz w każdej chwili usunąć samodzielnie w ustawieniach przeglądarki — tam też możesz z góry zablokować ich zapisywanie.

11. Własne statystyki ruchu — Umami

Niezależnie od Google Analytics — i obok niego, także wtedy, gdy nie wyrazisz na nie zgody — prowadzimy własne, proste statystyki odwiedzin narzędziem Umami, uruchomionym na naszym własnym serwerze w Unii Europejskiej. Nie pytamy o zgodę na Umami i nie jest to przeoczenie: narzędzie nie zapisuje ani nie odczytuje niczego w Twoim urządzeniu, więc obowiązek zgody z art. 397 Prawa komunikacji elektronicznej po prostu go nie dotyczy. Przetwarzamy tu dane na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), a Twoje prawo sprzeciwu z art. 21 RODO pozostaje w mocy. To istotna różnica wobec typowych systemów analitycznych:

• Umami działa bez plików cookies — niczego nie zapisuje w Twojej przeglądarce.
• Dane nie opuszczają naszego serwera. Nie wysyłamy ich do żadnej firmy zewnętrznej — w odróżnieniu od Google Analytics ten strumień danych nigdy nie trafia poza EOG i nie ma tu żadnego procesora spoza Unii Europejskiej.
• Sesje rozpoznawane są przez nieodwracalny skrót (hash) wyliczany od razu z adresu IP i przeglądarki, z solą zmienianą co 24 godziny — po zmianie soli nowy skrót nie da się już powiązać z żadnym wcześniejszym wpisem ani z tą samą osobą sprzed doby.
• Zbieramy wyłącznie dane zbiorcze: liczbę odsłon, adres podstrony, źródło wejścia, kraj, typ urządzenia i przeglądarki. Nie budujemy z tego profilu użytkownika.

Wspomniany wyżej prawnie uzasadniony interes polega na poznaniu, które treści są przydatne odwiedzającym (art. 6 ust. 1 lit. f RODO) — a przetwarzanie danych osobowych dotyczy tu wyłącznie pierwszych 24 godzin, zanim skrót sesji się zdezaktualizuje. Po tym czasie zebrane dane mają już wyłącznie postać zanonimizowanych statystyk zbiorczych i jako takie mogą być przechowywane bezterminowo — tak jak każda inna statystyka odwiedzin serwisu.

12. Współadministrowanie danymi z Meta

Jeżeli włączysz kategorię marketingową, w zakresie zbierania Twoich danych przez Meta Pixel i przekazania ich do Meta nie jesteśmy jedynym administratorem — jesteśmy współadministratorami razem z Meta Platforms Ireland Limited (art. 26 RODO). Tak wynika z wyroku Trybunału Sprawiedliwości Unii Europejskiej z 29 lipca 2019 r. w sprawie C-40/17 (Fashion ID): kto umieszcza na swojej stronie wtyczkę dostawcy i decyduje o tym, że dane odwiedzających mają być zbierane i wysyłane, ten współdecyduje o celach i sposobach tego przetwarzania — a więc odpowiada za ten etap razem z dostawcą.

Podział ról wygląda tak:

• Wspólnie z Meta odpowiadamy za zebranie danych na naszej stronie i przekazanie ich do Meta. Za ten etap odpowiadamy również my — dlatego pytamy Cię wcześniej o zgodę i dlatego opisujemy to tak szczegółowo.
• Wyłącznie Meta odpowiada za wszystko, co dzieje się z tymi danymi później: ich dalsze przetwarzanie, łączenie z Twoim kontem i aktywnością w serwisach Meta oraz budowanie profili reklamowych. Nie mamy do tych operacji dostępu ani wpływu na nie i nie otrzymujemy od Meta danych pozwalających Cię zidentyfikować.

Meta udostępnia treść uzgodnienia między współadministratorami — dokument Controller Addendum, opublikowany w warunkach dla podmiotów korzystających z jej narzędzi biznesowych. Określa on, że to Meta wypełnia obowiązki informacyjne z art. 13 i 14 RODO wobec osób, których dane dotyczą, oraz obsługuje żądania z art. 15-20 RODO w zakresie danych przetwarzanych po ich przekazaniu.

Gdzie się zgłosić: możesz napisać do nas na ksiegowosc@bdbaj.pl — odpowiemy w zakresie, za który odpowiadamy, i przekażemy sprawę dalej. Żądania dotyczące danych już przetwarzanych przez Meta najszybciej załatwisz bezpośrednio u niej, przez ustawienia prywatności swojego konta i formularze kontaktowe Meta. Niezależnie od tego, do kogo się zwrócisz, przysługuje Ci prawo skargi do Prezesa Urzędu Ochrony Danych Osobowych (sekcja 8).

13. Ochrona formularza przed spamem

Formularz chronimy wyłącznie mechanizmami działającymi na naszym serwerze: ukrytym polem kontrolnym, pomiarem czasu wypełniania formularza oraz ograniczeniem liczby zgłoszeń z jednego adresu IP (na podstawie jego nieodwracalnego skrótu). Nie korzystamy z zewnętrznych usług typu CAPTCHA i nie przekazujemy w tym celu żadnych danych podmiotom trzecim. Podstawą przetwarzania jest nasz prawnie uzasadniony interes polegający na zapewnieniu bezpieczeństwa serwisu (art. 6 ust. 1 lit. f RODO).

14. Bezpieczeństwo danych

Połączenie z serwisem jest szyfrowane protokołem TLS (HTTPS). Zgłoszenia trafiają do bazy na serwerze, do której dostęp mają wyłącznie upoważnione osoby z biura, uwierzytelniane dwuskładnikowo. Baza zgłoszeń nie jest wystawiona do internetu i nie ma publicznego panelu przeglądania leadów. Wszystkie osoby mające dostęp do danych są zobowiązane do zachowania poufności, a biuro rachunkowe wiąże dodatkowo bezterminowa tajemnica zawodowa.

15. Zmiany polityki prywatności

Politykę aktualizujemy, gdy zmienia się sposób przetwarzania danych albo stan prawny. Aktualna wersja jest zawsze dostępna pod adresem bdbaj.pl/polityka-prywatnosci, a data ostatniej aktualizacji widnieje na górze dokumentu.

Masz pytanie o swoje dane? Napisz do nas przez stronę kontaktu.