Polityka prywatności

Niniejsza Polityka prywatności określa zasady przetwarzania danych osobowych użytkowników strony excellentpro.net zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO/GDPR) oraz Ustawą o ochronie danych osobowych z dnia 10 maja 2018 r.

§ I. Administrator danych osobowych

1. Administratorem Twoich danych osobowych jest Gurgul Investment sp. z o.o., z siedzibą przy ul. Polna 3, 44-285 Kobyla, NIP: 6392018818, REGON: 384767161, KRS: 0000812023, wpisana do rejestru przedsiębiorców prowadzonego przez Sąd Rejonowy w Gliwicach, Wydział Gospodarczy KRS (dalej: „Administrator”).
2. Kontakt z Administratorem w sprawach dotyczących ochrony danych osobowych:
   • poczta elektroniczna: [email protected] (sprawy RODO) lub [email protected] (kontakt ogólny)
   • adres korespondencyjny: ul. Polna 3, 44-285 Kobyla
3. Administrator nie wyznaczył Inspektora Ochrony Danych, ponieważ przetwarzanie nie wymaga jego powołania zgodnie z art. 37 RODO. Wszystkie zapytania kierowane do Administratora są obsługiwane bezpośrednio.
4. Administrator dba o bezpieczeństwo danych osobowych i przetwarza je zgodnie z obowiązującymi przepisami prawa, stosując odpowiednie środki techniczne i organizacyjne.

§ II. Definicje

• RODO - Rozporządzenie (UE) 2016/679 (ogólne rozporządzenie o ochronie danych).
• Strona - serwis internetowy działający pod adresem excellentpro.net oraz jego podstrony językowe (de/en/cs/sk).
• Użytkownik - osoba fizyczna odwiedzająca Stronę lub składająca zgłoszenie przez formularz dystrybutora.
• Dane osobowe - wszelkie informacje umożliwiające identyfikację osoby fizycznej.
• Przetwarzanie - każda operacja na danych osobowych: zbieranie, przechowywanie, udostępnianie, usuwanie itd.
• Formularz dystrybutora - formularz kontaktowy dostępny pod adresem /dystrybutor, służący do nawiązania kontaktu handlowego z Administratorem.
• DOI (Double Opt-In) - mechanizm potwierdzenia adresu e-mail poprzez kliknięcie w link wysłany na podany adres.

§ III. Cele i podstawy prawne przetwarzania

Administrator przetwarza dane osobowe Użytkowników w następujących celach:

1. Rozpatrzenie zgłoszenia dystrybutora (art. 6 ust. 1 lit. b RODO - czynności przed zawarciem umowy handlowej):
   • kontakt zwrotny w sprawie nawiązania współpracy B2B,
   • weryfikacja statusu przedsiębiorcy (m.in. NIP/VAT-ID).
2. Wypełnienie obowiązku prawnego (art. 6 ust. 1 lit. c RODO):
   • przepisy podatkowe i rachunkowe w przypadku nawiązania współpracy.
3. Weryfikacja adresu e-mail przez DOI (art. 6 ust. 1 lit. a RODO - zgoda):
   • wysyłka linku potwierdzającego, ochrona przed botami i fałszywymi zgłoszeniami.
4. Marketing bezpośredni w stosunku do potwierdzonych dystrybutorów (art. 6 ust. 1 lit. f RODO - uzasadniony interes Administratora):
   • informacje o nowych produktach, promocjach, aktualizacjach oferty.
5. Bezpieczeństwo i ochrona przed nadużyciami (art. 6 ust. 1 lit. f RODO):
   • logowanie adresu IP i User-Agent przy wysłaniu formularza, ochrona przed spamem (honeypot, walidacja danych).
6. Cookies analityczne i marketingowe (art. 6 ust. 1 lit. a RODO - zgoda wyrażona w bannerze cookies).

§ IV. Zakres przetwarzanych danych

Administrator przetwarza wyłącznie dane podane dobrowolnie przez Użytkownika w formularzu oraz dane techniczne niezbędne do działania Strony:

Z formularza dystrybutora:

• imię i nazwisko
• adres e-mail
• numer telefonu
• numer NIP / VAT-ID
• status działalności gospodarczej (tak/nie)
• rodzaj prowadzonej działalności (szkolenia, sklep stacjonarny, sklep online, inna sprzedaż, stylizacja paznokci)
• adres sklepu stacjonarnego lub internetowego (opcjonalnie)
• informacje o sprzedawanych markach (opcjonalnie)
• linki do profili w mediach społecznościowych (opcjonalnie)

Dane techniczne (automatycznie):

• adres IP
• typ przeglądarki (User-Agent)
• data i godzina złożenia zgłoszenia
• znacznik czasu wyrażenia zgody RODO

Cookies i logi serwera:

• pliki cookies sesyjne i analityczne (zgodnie z Polityką cookies)
• standardowe logi serwera Cloudflare

§ V. Odbiorcy danych

Dane osobowe Użytkownika mogą być przekazywane następującym kategoriom odbiorców:

1. Podmioty przetwarzające (procesory, na podstawie umów powierzenia przetwarzania - art. 28 RODO):
   • Cloudflare, Inc. (USA) - hosting strony (Cloudflare Pages), DNS, ochrona przed atakami DDoS. Cloudflare jest zarejestrowany w EU-U.S. Data Privacy Framework.
   • Resend, Inc. (USA) - obsługa wiadomości e-mail (DOI mail i powiadomienia). Współpraca na podstawie Standardowych Klauzul Umownych UE (SCC).
   • Supabase, Inc. (USA) - baza danych zgłoszeń. Dane przechowywane są fizycznie w regionie eu-central-1 (Frankfurt, Niemcy). Współpraca na podstawie umowy DPA i SCC.
2. Pracownicy i współpracownicy Administratora odpowiedzialni za rozpatrzenie zgłoszenia (na podstawie upoważnień).
3. Organy państwowe i sądowe - wyłącznie na podstawie obowiązku prawnego (np. wezwanie sądowe, kontrola podatkowa).
4. Publiczne rejestry weryfikacyjne (NIP/VAT-ID jest weryfikowany w Białej Liście podatników VAT, CEIDG oraz VIES - są to publiczne API, do których wysyłany jest jedynie numer NIP, bez innych danych osobowych).

§ VI. Transfer danych poza Europejski Obszar Gospodarczy

Niektórzy z procesorów (Cloudflare, Resend) mają siedzibę w Stanach Zjednoczonych. Transfer danych do państw trzecich odbywa się na podstawie:

• Decyzji wykonawczej Komisji Europejskiej (UE) 2023/1795 z 10 lipca 2023 r. uznającej adekwatny poziom ochrony zapewniony przez EU-U.S. Data Privacy Framework (DPF), oraz
• Standardowych Klauzul Umownych (SCC) zgodnie z Decyzją Komisji (UE) 2021/914 z 4 czerwca 2021 r.

Supabase przechowuje dane fizycznie w UE (Frankfurt), więc w przypadku zapisu do bazy nie dochodzi do transferu poza EOG.

Pełne kopie umów powierzenia przetwarzania są dostępne na żądanie.

§ VII. Okres przechowywania danych

Kategoria danych	Okres przechowywania
Zgłoszenia niepotwierdzone DOI	30 dni od daty wysłania, następnie automatyczne usunięcie
Zgłoszenia potwierdzone DOI - bez nawiązania współpracy	12 miesięcy od ostatniego kontaktu
Aktywni dystrybutorzy	przez czas trwania współpracy oraz 6 lat po zakończeniu (przepisy podatkowe)
Logi serwera (IP, User-Agent)	maksymalnie 12 miesięcy
Cookies	zgodnie z Polityką cookies

Po upływie okresu przechowywania dane są usuwane lub anonimizowane.

§ VIII. Twoje prawa

Zgodnie z RODO przysługują Ci następujące prawa:

1. Prawo dostępu do danych (art. 15 RODO) - możesz zażądać informacji o tym, jakie Twoje dane przetwarzamy i otrzymać ich kopię.
2. Prawo do sprostowania (art. 16 RODO) - możesz żądać poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.
3. Prawo do usunięcia („prawo do bycia zapomnianym”, art. 17 RODO) - możesz żądać usunięcia swoich danych w przypadkach określonych w RODO.
4. Prawo do ograniczenia przetwarzania (art. 18 RODO) - możesz żądać czasowego wstrzymania przetwarzania.
5. Prawo do przenoszenia danych (art. 20 RODO) - możesz otrzymać swoje dane w ustrukturyzowanym formacie i przenieść je do innego administratora.
6. Prawo do sprzeciwu (art. 21 RODO) - możesz w dowolnym momencie zgłosić sprzeciw wobec przetwarzania danych w celach marketingowych.
7. Prawo do wycofania zgody (art. 7 ust. 3 RODO) - jeśli przetwarzanie odbywa się na podstawie zgody, możesz ją wycofać w dowolnym momencie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed jej wycofaniem.
8. Prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Aby skorzystać z tych praw, skontaktuj się z Administratorem na adres [email protected] lub korespondencyjnie. Odpowiedź udzielana jest w terminie do 30 dni od otrzymania żądania.

§ IX. Profilowanie i zautomatyzowane podejmowanie decyzji

1. Administrator nie stosuje zautomatyzowanego podejmowania decyzji wywołujących skutki prawne wobec Użytkowników, w tym profilowania w rozumieniu art. 22 RODO.
2. Walidacja NIP-u przez Białą Listę MF, CEIDG oraz VIES ma charakter wyłącznie weryfikacyjny i nie stanowi zautomatyzowanego podejmowania decyzji - wynik weryfikacji jest pomocniczy i nie decyduje samodzielnie o akceptacji zgłoszenia.

§ X. Cookies i technologie śledzące

1. Strona wykorzystuje pliki cookies oraz podobne technologie zgodnie z Polityką cookies.
2. Stosujemy cookies w trzech kategoriach:
   • niezbędne (zawsze aktywne, podstawa prawna: art. 6 ust. 1 lit. f RODO),
   • analityczne (Google Analytics 4 - po wyrażeniu zgody, art. 6 ust. 1 lit. a RODO),
   • marketingowe (po wyrażeniu zgody, art. 6 ust. 1 lit. a RODO).
3. Stosujemy mechanizm Google Consent Mode v2, zgodnie z wymogami obowiązującymi w EOG od marca 2024 r.
4. W każdej chwili możesz zmienić swoje preferencje cookies klikając „Ustawienia cookies” w stopce strony.

§ XI. Bezpieczeństwo danych

Administrator stosuje odpowiednie środki techniczne i organizacyjne mające na celu ochronę danych osobowych przed utratą, nieuprawnionym dostępem, modyfikacją lub ujawnieniem:

• szyfrowane połączenie HTTPS z wymuszonym HSTS,
• ochrona przed atakami DDoS i botami (Cloudflare),
• mechanizm honeypot i walidacja po stronie serwera,
• szyfrowanie kluczy API i kluczy dostępowych,
• Row Level Security (RLS) w bazie danych,
• regularne kopie zapasowe (Supabase),
• ograniczony dostęp do danych (zasada najmniejszych uprawnień).

§ XII. Zmiany Polityki prywatności

1. Administrator zastrzega prawo do zmiany niniejszej Polityki prywatności w przypadku zmiany przepisów, infrastruktury technicznej lub procesów biznesowych.
2. Aktualna wersja Polityki jest zawsze dostępna pod adresem /polityka-prywatnosci.
3. Numer wersji oraz data ostatniej aktualizacji są podane na początku dokumentu.
4. O istotnych zmianach Użytkownicy będący aktywnymi dystrybutorami będą informowani drogą e-mailową.

§ XIII. Kontakt

W przypadku pytań dotyczących przetwarzania danych osobowych:

• RODO / dane osobowe: [email protected]
• kontakt ogólny: [email protected]
• adres: Gurgul Investment sp. z o.o., ul. Polna 3, 44-285 Kobyla
• organ nadzorczy: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl