Polityka prywatności

Niniejsza Polityka prywatności określa zasady przetwarzania danych osobowych użytkowników strony excellentpro.net zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO/GDPR) oraz Ustawą o ochronie danych osobowych z dnia 10 maja 2018 r.

§ I. Administrator danych osobowych

1. Administratorem Twoich danych osobowych jest Gurgul Investment sp. z o.o., z siedzibą przy ul. Polna 3, 44-285 Kobyla, NIP: 6392018818, REGON: 384767161, KRS: 0000812023, wpisana do rejestru przedsiębiorców prowadzonego przez Sąd Rejonowy w Gliwicach, Wydział Gospodarczy KRS (dalej: „Administrator”).
2. Kontakt z Administratorem w sprawach dotyczących ochrony danych osobowych:
   • poczta elektroniczna: [email protected] (sprawy RODO) lub [email protected] (kontakt ogólny)
   • adres korespondencyjny: ul. Polna 3, 44-285 Kobyla
3. Administrator nie wyznaczył Inspektora Ochrony Danych, ponieważ przetwarzanie nie wymaga jego powołania zgodnie z art. 37 RODO. Wszystkie zapytania kierowane do Administratora są obsługiwane bezpośrednio.
4. Administrator dba o bezpieczeństwo danych osobowych i przetwarza je zgodnie z obowiązującymi przepisami prawa, stosując odpowiednie środki techniczne i organizacyjne.

§ II. Definicje

• RODO - Rozporządzenie (UE) 2016/679 (ogólne rozporządzenie o ochronie danych).
• Strona - serwis internetowy działający pod adresem excellentpro.net oraz jego podstrony językowe (de/en/cs/sk/fr/it/hu/ro).
• Użytkownik - osoba fizyczna odwiedzająca Stronę lub składająca zgłoszenie przez formularz dystrybutora.
• Dane osobowe - wszelkie informacje umożliwiające identyfikację osoby fizycznej.
• Przetwarzanie - każda operacja na danych osobowych: zbieranie, przechowywanie, udostępnianie, usuwanie itd.
• Formularz dystrybutora - formularz kontaktowy dostępny pod adresem /dystrybutor, służący do nawiązania kontaktu handlowego z Administratorem.
• Zgoda RODO - dobrowolne oświadczenie Użytkownika, składane przez zaznaczenie wymaganego pola wyboru w Formularzu dystrybutora przed jego wysłaniem. Znacznik czasu wyrażenia zgody jest zapisywany razem ze zgłoszeniem.
• Czat AI - asystent konwersacyjny dostępny w prawym dolnym rogu każdej podstrony, oznaczony jako „Excellent PRO AI”, odpowiadający na pytania o markę, produkty i współpracę. Odpowiedzi generuje model językowy zewnętrznego dostawcy (zob. § V ust. 2).

§ III. Cele i podstawy prawne przetwarzania

Administrator przetwarza dane osobowe Użytkowników w następujących celach:

1. Rozpatrzenie zgłoszenia dystrybutora (art. 6 ust. 1 lit. b RODO - czynności przed zawarciem umowy handlowej):
   • kontakt zwrotny w sprawie nawiązania współpracy B2B,
   • weryfikacja statusu przedsiębiorcy (m.in. NIP/VAT-ID).
2. Wypełnienie obowiązku prawnego (art. 6 ust. 1 lit. c RODO):
   • przepisy podatkowe i rachunkowe w przypadku nawiązania współpracy.
3. Potwierdzenie przyjęcia zgłoszenia (art. 6 ust. 1 lit. b RODO - czynności przed zawarciem umowy handlowej):
   • wysyłka wiadomości e-mail informującej, że zgłoszenie do nas dotarło,
   • techniczna weryfikacja podanego adresu e-mail (format, lista domen jednorazowych, rekordy MX).
4. Bezpieczeństwo i ochrona przed nadużyciami (art. 6 ust. 1 lit. f RODO):
   • logowanie adresu IP i User-Agent przy wysłaniu formularza dystrybutora i formularza zapisu na szkolenie, ochrona przed spamem (honeypot, walidacja danych, limit zapisów z jednego adresu IP),
   • zbiorcze, bezcookie statystyki odwiedzin (Cloudflare Web Analytics) niezbędne do utrzymania Strony; nie identyfikują Użytkownika i nie są łączone z innymi danymi.
5. Organizacja bezpłatnych szkoleń online dla klientek, które zapisały się na stronie /szkolenia (art. 6 ust. 1 lit. b RODO - wykonanie nieodpłatnej umowy o udział w szkoleniu, zawieranej przez zapis; kontakt telefoniczny na podstawie zgody, art. 6 ust. 1 lit. a RODO):
   • potwierdzenie adresu e-mail i rezerwacja miejsca w danym terminie,
   • prowadzenie listy uczestniczek i listy rezerwowej,
   • wysyłka przypomnień, wpisu do kalendarza oraz linku do pokoju szkoleniowego,
   • kontakt telefoniczny wyłącznie w sprawach organizacyjnych dotyczących tego szkolenia (np. odwołanie lub zmiana terminu); zgodę na ten kontakt można wycofać w każdej chwili, nie wpływa to na udział w szkoleniu.
6. Udzielanie odpowiedzi w czacie AI (art. 6 ust. 1 lit. f RODO - uzasadniony interes Administratora polegający na informowaniu o marce i produktach oraz na doskonaleniu bazy wiedzy czatu):
   • przekazanie treści rozmowy do dostawcy modelu językowego w celu wygenerowania odpowiedzi,
   • zapis rozmowy w bazie Administratora na 90 dni w celu kontroli jakości odpowiedzi i uzupełniania bazy wiedzy.
7. Cookies analityczne i marketingowe (art. 6 ust. 1 lit. a RODO - zgoda wyrażona w bannerze cookies).

Administrator nie wysyła informacji handlowych (newslettera, ofert) drogą elektroniczną ani telefoniczną bez odrębnej, dobrowolnej zgody, o której mowa w art. 398 ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej. Formularze na Stronie obecnie takiej zgody nie zbierają.

§ IV. Zakres przetwarzanych danych

Administrator przetwarza wyłącznie dane podane dobrowolnie przez Użytkownika w formularzu oraz dane techniczne niezbędne do działania Strony:

Z formularza dystrybutora:

• imię i nazwisko
• adres e-mail
• numer telefonu
• numer NIP / VAT-ID
• status działalności gospodarczej (tak/nie)
• rodzaj prowadzonej działalności (szkolenia, sklep stacjonarny, sklep online, inna sprzedaż, stylizacja paznokci)
• adres sklepu stacjonarnego lub internetowego (opcjonalnie)
• informacje o sprzedawanych markach (opcjonalnie)
• linki do profili w mediach społecznościowych (opcjonalnie)

Z formularza zapisu na szkolenie online:

• imię i nazwisko
• adres e-mail
• numer telefonu
• nazwa salonu (opcjonalnie)
• wybrany termin szkolenia
• znacznik czasu wyrażenia zgody oraz potwierdzenia adresu e-mail
• informacja o obecności (czy uczestniczka skorzystała z linku do pokoju)

Z czatu AI:

• treść wiadomości wpisanych przez Użytkownika oraz odpowiedzi asystenta
• język rozmowy i adres podstrony, na której toczy się rozmowa
• losowy identyfikator sesji czatu (generowany w przeglądarce, niepowiązany z adresem IP, kontem ani plikami cookies)

Czat nie wymaga podania żadnych danych osobowych i prosimy o ich niepodawanie w treści rozmowy. Jeśli Użytkownik sam wpisze w czacie dane osobowe (np. imię, adres e-mail), są one przetwarzane wyłącznie w zakresie opisanym w § III pkt 6 i usuwane razem z rozmową.

Dane techniczne (automatycznie):

• adres IP
• typ przeglądarki (User-Agent)
• data i godzina złożenia zgłoszenia
• znacznik czasu wyrażenia zgody RODO

Cookies i logi serwera:

• pliki cookies sesyjne i analityczne (zgodnie z Polityką cookies)
• standardowe logi serwera Cloudflare
• zbiorcze statystyki odwiedzin Cloudflare Web Analytics (bez cookies i bez identyfikatora Użytkownika)

Mapa dystrybutorów: przy otwarciu podstrony /mapa-dystrybutorow przeglądarka pobiera podkład mapy bezpośrednio z serwerów dostawców wymienionych w § V pkt 6. Dostawca otrzymuje wówczas adres IP Użytkownika i standardowe nagłówki przeglądarki; Administrator nie przekazuje mu żadnych innych danych.

§ V. Odbiorcy danych

Dane osobowe Użytkownika mogą być przekazywane następującym kategoriom odbiorców:

1. Podmiot obsługujący technicznie Stronę - przedsiębiorca z siedzibą w Polsce, który na zlecenie Administratora utrzymuje Stronę i zarządza jej infrastrukturą (domena, hosting, baza danych, poczta transakcyjna, pokój wideo, czat AI) oraz posiada w tym celu konta u wymienionych niżej dostawców. Przetwarza dane na podstawie umowy powierzenia przetwarzania (art. 28 RODO), wyłącznie na udokumentowane polecenie Administratora.
2. Dalsze podmioty przetwarzające (dostawcy usług, z których korzysta podmiot obsługujący Stronę, zaakceptowani przez Administratora):
   • Cloudflare, Inc. (USA) - hosting strony (Cloudflare Pages), DNS, ochrona przed atakami DDoS, bezcookie statystyki odwiedzin (Cloudflare Web Analytics) oraz weryfikacja rekordów MX domeny adresu e-mail (Cloudflare DNS). Cloudflare jest zarejestrowany w EU-U.S. Data Privacy Framework.
   • Resend, Inc. (USA) - obsługa wiadomości e-mail (potwierdzenie przyjęcia zgłoszenia i powiadomienia wewnętrzne). Współpraca na podstawie Standardowych Klauzul Umownych UE (SCC).
   • Supabase, Inc. (USA) - baza danych zgłoszeń. Dane przechowywane są fizycznie w regionie eu-central-1 (Frankfurt, Niemcy). Współpraca na podstawie umowy DPA i SCC.
   • Whereby AS (Norwegia, nr org. 997 742 346) - obsługa pokoju wideo, w którym odbywają się bezpłatne szkolenia online. Przetwarzane są wyłącznie dane niezbędne do połączenia: nazwa wyświetlana w pokoju (imię), adres IP oraz obraz i dźwięk przesyłane w czasie trwania szkolenia. Połączenia użytkowników z Europy obsługują serwery zlokalizowane na terenie Europejskiego Obszaru Gospodarczego. Szkolenia nie są nagrywane. Współpraca na podstawie umowy powierzenia (DPA).
   • Dostawca modelu językowego dla czatu AI - treść rozmowy jest przekazywana do jednego z następujących dostawców, w zależności od aktualnej konfiguracji czatu (dostawca może być zmieniany bez obniżenia poziomu ochrony): Anthropic, PBC (USA), Google LLC / Google Ireland Ltd. (USA / Irlandia), Mistral AI SAS (Francja), OpenAI, L.L.C. / OpenAI Ireland Ltd. (USA / Irlandia), xAI Corp. (USA). Korzystamy wyłącznie z komercyjnych interfejsów programistycznych (API), których warunki wykluczają wykorzystanie treści rozmów do trenowania modeli; dostawca może przechowywać treść zapytań przez krótki okres (do 30 dni) wyłącznie w celu wykrywania nadużyć. Do dostawcy trafia wyłącznie treść rozmowy, bez adresu IP i identyfikatora sesji. Dostawcy z USA: transfer na podstawie EU-U.S. Data Privacy Framework lub Standardowych Klauzul Umownych (zob. § VI).
3. Pracownicy i współpracownicy Administratora odpowiedzialni za rozpatrzenie zgłoszenia (na podstawie upoważnień).
4. Organy państwowe i sądowe - wyłącznie na podstawie obowiązku prawnego (np. wezwanie sądowe, kontrola podatkowa).
5. Publiczne rejestry weryfikacyjne (NIP/VAT-ID jest weryfikowany w Białej Liście podatników VAT, CEIDG oraz VIES - są to publiczne API, do których wysyłany jest jedynie numer NIP, bez innych danych osobowych).
6. Dostawcy podkładu mapy dystrybutorów (niezależni administratorzy, otrzymują wyłącznie adres IP i nagłówki przeglądarki, tylko przy otwarciu mapy): OpenStreetMap Foundation (Wielka Brytania) - mapa standardowa, CARTO (CartoDB Inc., USA) - mapa ciemna, Esri Inc. (USA) - zdjęcia satelitarne.

§ VI. Transfer danych poza Europejski Obszar Gospodarczy

Niektórzy z dalszych podmiotów przetwarzających (Cloudflare, Resend oraz dostawcy modeli językowych dla czatu AI: Anthropic, Google, OpenAI i xAI) mają siedzibę w Stanach Zjednoczonych. Transfer danych do państw trzecich odbywa się na podstawie:

• Decyzji wykonawczej Komisji Europejskiej (UE) 2023/1795 z 10 lipca 2023 r. uznającej adekwatny poziom ochrony zapewniony przez EU-U.S. Data Privacy Framework (DPF), oraz
• Standardowych Klauzul Umownych (SCC) zgodnie z Decyzją Komisji (UE) 2021/914 z 4 czerwca 2021 r.

Supabase przechowuje dane fizycznie w UE (Frankfurt), więc w przypadku zapisu do bazy nie dochodzi do transferu poza EOG.

Podkład mapy dystrybutorów pobierany jest z serwerów OpenStreetMap Foundation (Wielka Brytania - decyzja Komisji Europejskiej (UE) 2021/1772 stwierdzająca adekwatny poziom ochrony), CARTO oraz Esri (USA - SCC lub DPF). Do tych podmiotów trafia wyłącznie adres IP Użytkownika i tylko podczas korzystania z mapy.

Whereby AS ma siedzibę w Norwegii, która należy do Europejskiego Obszaru Gospodarczego, a połączenia użytkowników z Europy obsługiwane są przez serwery w EOG. W przypadku udziału w szkoleniu online nie dochodzi zatem do transferu danych do państwa trzeciego.

Mistral AI SAS ma siedzibę we Francji. W okresie, w którym czat AI korzysta z tego dostawcy, treść rozmów nie opuszcza Europejskiego Obszaru Gospodarczego.

Pełne kopie umów powierzenia przetwarzania są dostępne na żądanie.

§ VII. Okres przechowywania danych

Kategoria danych	Okres przechowywania
Zgłoszenia odrzucone (nieprawidłowe dane, spam)	30 dni od daty wysłania, następnie usunięcie
Zgłoszenia bez nawiązania współpracy	12 miesięcy od ostatniego kontaktu
Aktywni dystrybutorzy	przez czas trwania współpracy oraz 6 lat po zakończeniu (przepisy podatkowe)
Zapisy na szkolenia online	12 miesięcy od daty szkolenia, następnie usunięcie
Rozmowy z czatem AI	90 dni od rozmowy, następnie automatyczne usunięcie
Logi serwera (IP, User-Agent)	maksymalnie 12 miesięcy
Cookies	zgodnie z Polityką cookies

Po upływie okresu przechowywania dane są usuwane automatycznie (zadania cykliczne w bazie danych) lub anonimizowane. Zgłoszenia dystrybutorów usuwane są po weryfikacji przez Administratora statusu zgłoszenia, nie później niż w terminach wskazanych w tabeli.

§ VIII. Twoje prawa

Zgodnie z RODO przysługują Ci następujące prawa:

1. Prawo dostępu do danych (art. 15 RODO) - możesz zażądać informacji o tym, jakie Twoje dane przetwarzamy i otrzymać ich kopię.
2. Prawo do sprostowania (art. 16 RODO) - możesz żądać poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.
3. Prawo do usunięcia („prawo do bycia zapomnianym”, art. 17 RODO) - możesz żądać usunięcia swoich danych w przypadkach określonych w RODO.
4. Prawo do ograniczenia przetwarzania (art. 18 RODO) - możesz żądać czasowego wstrzymania przetwarzania.
5. Prawo do przenoszenia danych (art. 20 RODO) - możesz otrzymać swoje dane w ustrukturyzowanym formacie i przenieść je do innego administratora.
6. Prawo do sprzeciwu (art. 21 RODO) - możesz w dowolnym momencie zgłosić sprzeciw wobec przetwarzania opartego na uzasadnionym interesie Administratora (np. wobec zapisu rozmów z czatem AI), a wobec marketingu bezpośredniego zawsze i bez podawania przyczyny.
7. Prawo do wycofania zgody (art. 7 ust. 3 RODO) - jeśli przetwarzanie odbywa się na podstawie zgody, możesz ją wycofać w dowolnym momencie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed jej wycofaniem.
8. Prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Aby skorzystać z tych praw, skontaktuj się z Administratorem na adres [email protected] lub korespondencyjnie. Odpowiedź udzielana jest w terminie do 30 dni od otrzymania żądania.

W przypadku zapisu na szkolenie online zgodę wycofujesz również jednym kliknięciem: każdy e-mail dotyczący szkolenia zawiera link zwalniający Twoje miejsce, a po jego użyciu nie wysyłamy już kolejnych wiadomości o tym terminie.

§ IX. Profilowanie i zautomatyzowane podejmowanie decyzji

1. Administrator nie stosuje zautomatyzowanego podejmowania decyzji wywołujących skutki prawne wobec Użytkowników, w tym profilowania w rozumieniu art. 22 RODO.
2. Walidacja NIP-u przez Białą Listę MF, CEIDG oraz VIES ma charakter wyłącznie weryfikacyjny i nie stanowi zautomatyzowanego podejmowania decyzji - wynik weryfikacji jest pomocniczy i nie decyduje samodzielnie o akceptacji zgłoszenia.
3. Czat AI generuje wyłącznie odpowiedzi informacyjne, nie podejmuje wobec Użytkownika żadnych decyzji i nie służy do profilowania Użytkowników.

§ X. Cookies i technologie śledzące

1. Strona wykorzystuje pliki cookies oraz podobne technologie zgodnie z Polityką cookies.
2. Stosujemy cookies w trzech kategoriach:
   • niezbędne (zawsze aktywne, podstawa prawna: art. 6 ust. 1 lit. f RODO),
   • analityczne (Google Analytics 4 - po wyrażeniu zgody, art. 6 ust. 1 lit. a RODO),
   • marketingowe (po wyrażeniu zgody, art. 6 ust. 1 lit. a RODO).
3. Stosujemy mechanizm Google Consent Mode v2, zgodnie z wymogami obowiązującymi w EOG od marca 2024 r.
4. W każdej chwili możesz zmienić swoje preferencje cookies klikając „Ustawienia cookies” w stopce strony.

§ XI. Bezpieczeństwo danych

Administrator stosuje odpowiednie środki techniczne i organizacyjne mające na celu ochronę danych osobowych przed utratą, nieuprawnionym dostępem, modyfikacją lub ujawnieniem:

• szyfrowane połączenie HTTPS z wymuszonym HSTS,
• ochrona przed atakami DDoS i botami (Cloudflare),
• mechanizm honeypot i walidacja po stronie serwera,
• szyfrowanie kluczy API i kluczy dostępowych,
• Row Level Security (RLS) w bazie danych,
• kopie zapasowe bazy danych w ramach usługi Supabase,
• ograniczony dostęp do danych (zasada najmniejszych uprawnień).

§ XII. Zmiany Polityki prywatności

1. Administrator zastrzega prawo do zmiany niniejszej Polityki prywatności w przypadku zmiany przepisów, infrastruktury technicznej lub procesów biznesowych.
2. Aktualna wersja Polityki jest zawsze dostępna pod adresem /polityka-prywatnosci.
3. Numer wersji oraz data ostatniej aktualizacji są podane na początku dokumentu.
4. O istotnych zmianach Użytkownicy będący aktywnymi dystrybutorami będą informowani drogą e-mailową.

§ XIII. Kontakt

W przypadku pytań dotyczących przetwarzania danych osobowych:

• RODO / dane osobowe: [email protected]
• kontakt ogólny: [email protected]
• adres: Gurgul Investment sp. z o.o., ul. Polna 3, 44-285 Kobyla
• organ nadzorczy: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl