Polityka prywatności — VERIC (beta)

1. Postanowienia ogólne

Niniejsza Polityka opisuje przetwarzanie danych osobowych w związku z oprogramowaniem VERIC (dalej: „Usługa”) — w tym w programie beta dla podmiotów zaproszonych do testów, z możliwością realnego prowadzenia działalności wynajmu przy użyciu systemu.

2. Administrator, kontakt, IOD

Administratorem danych w rozumieniu RODO co do danych konta platformy, logów technicznych VERIC, konfiguracji Usługi oraz danych zapisanych w ramach subskrypcji Web Push w panelu jest:

• VERIC Spółka z ograniczoną odpowiedzialnością (dalej: „VERIC”)
• Adres: ul. Strzelecka 29A/39, 61-846 Poznań
• KRS: 0001085920, NIP: 7831897226, REGON: 527659774
• Strona: https://veric.pl
• Kontakt (także sprawy RODO): kontakt@veric.pl — prosimy o tytuł [RODO] przy korespondencji dotyczącej ochrony danych.

IOD (Inspektor Ochrony Danych) — osoba do kontaktu w sprawach RODO; powołanie zależy od przypadku. VERIC na dzień publikacji niniejszej polityki nie wskazuje IOD.

3. Model SaaS: kto jest administratorem których danych

• Organizacja (wypożyczalnia) — w stosunku do danych swoich klientów i innych osób, których dane sama wprowadza lub importuje do VERIC w celu prowadzenia wynajmu, pozostaje w praktyce administratorem tych danych (to Organizacja decyduje o celu i zakresie zbioru w swoim biznesie).
• VERIC — w zakresie danych wprowadzanych przez Organizację do systemu działa jako podmiot przetwarzający na rzecz Organizacji, w celu świadczenia Usługi (hosting, zapis, backup, utrzymanie, wsparcie techniczne), na podstawie Regulaminu oraz — jeśli zostanie udostępniona — odrębnej umowy powierzenia przetwarzania danych osobowych (DPA).
• VERIC — jest administratorem co do danych konta użytkownika panelu, danych technicznych niezbędnych do utrzymania i zabezpieczenia platformy oraz danych związanych z Web Push w panelu (patrz sekcja 11).

Dane klientów końcowych są przechowywane na infrastrukturze VERIC, bo tak działa chmura — to nie oznacza, że VERIC „zabiera” te dane do własnych celów marketingowych; cel przetwarzania przez VERIC w tym zakresie to świadczenie Usługi dla Organizacji.

4. Cele i podstawy prawne (informacja podstawowa)

• Świadczenie Usługi, konto, logowanie — art. 6 ust. 1 lit. b RODO (umowa) oraz lit. f RODO (bezpieczeństwo, audyt techniczny, zapobieganie nadużyciom).
• Dane przetwarzane dla Organizacji w systemie — art. 28 RODO (podmiot przetwarzający) / art. 6 ust. 1 lit. b RODO po stronie Organizacji jako odrębnego administratora.
• Analityka / diagnostyka (Sentry, Microsoft Clarity — jeśli włączone) — typowo art. 6 ust. 1 lit. f RODO (uzasadniony interes w stabilności produktu) lub lit. a RODO (zgoda), zależnie od trybu wdrożenia i rekomendacji prawnej.
• Marketing własny VERIC — na etapie bety nie planujemy akcji marketingowych wymagających odrębnej zgody; jeśli to się zmieni, opublikujemy aktualizację Polityki i — w razie potrzeby — zbierzemy zgody w interfejsie.

5. Jakie dane przetwarzamy (kategorie)

W zależności od konfiguracji i sposobu korzystania, mogą obejmować m.in.:

• Konto użytkownika panelu: login, imię i nazwisko, e-mail, telefon (jeśli podany), hasło w postaci skrótu kryptograficznego (hash).
• Dane Organizacji: nazwa, identyfikacja w systemie, ustawienia (w tym widżetu), szablony dokumentów, treści komunikacji skonfigurowanych w panelu.
• Dane operacyjne wprowadzane przez Organizację: klienci, rezerwacje, zasoby, kalendarz, załączniki, podpisy, dane rozliczeniowe związane z wynajmem — w zakresie faktycznie używanych modułów.
• Logi techniczne: IP, ślady żądań, czas zdarzeń, identyfikatory sesji, informacje o błędach.
• Historia zmian (audyt) — jeśli dany moduł zapisuje historię działań na rekordach (np. rezerwacje), w zakresie udostępnionym w interfejsie/API.

6. Prawa osób, których dane dotyczą — podział kompetencji

Jeżeli osoba kontaktuje się w sprawie danych wprowadzonych przez Organizację (np. klient wypożyczalni), pierwszy krok to zwykle Organizacja jako administrator tych danych. VERIC wspiera technicznie realizację żądań (np. usunięcie rekordu) po zgłoszeniu uprawnionej osoby z Organizacji lub na podstawie prawomocnego żądania organu, o ile wynika to z prawa.

W sprawach danych przetwarzanych przez VERIC jako administratora (konto platformy, logi po stronie VERIC, Web Push panelu) — prosimy o mail na kontakt@veric.pl z tematem [RODO].

Przysługują m.in. prawa: dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu (gdzie przysługuje), przenoszenia (gdzie przysługuje), cofnięcia zgody (jeśli była podstawą), skargi do Prezesa UODO (uodo.gov.pl).

7. Podmioty przetwarzające (procesorzy) i zmiana listy

VERIC korzysta z podmiotów wspierających hosting i utrzymanie produktu. Na podstawie kodu i typowego wdrożenia mogą to być m.in.:

• Vercel Inc. — hosting aplikacji (możliwy transfer poza EOG, np. USA).
• Neon — hosting bazy PostgreSQL (często region UE).
• Resend — wysyłka e-maili transakcyjnych (jeśli skonfigurowano).
• Sentry — monitoring błędów (jeśli ustawiono DSN).
• Microsoft Clarity — nagrywanie/heatmapy zachowań na stronie rezerwacji (tylko jeśli włączono identyfikator projektu).

VERIC może zmieniać lub rozszerzać listę podprocesorów w miarę rozwoju produktu. O istotnych zmianach będziemy informować z wyprzedzeniem co najmniej 14 dni (np. komunikat w panelu lub e-mail), a Organizacja może zgłosić sprzeciw wobec zmiany podprocesora w terminie 14 dni od powiadomienia — w razie uzasadnionego sprzeciwu strony podejmą rozmowy o rozwiązaniu (np. zaprzestanie korzystania z modułu wymagającego danego podmiotu). To uproszczony mechanizm roboczy; prawnik może go dopasować do modelu umownego.

8. Transfer poza EOG

Jeżeli dane są przekazywane poza Europejski Obszar Gospodarczy, stosujemy mechanizmy przewidziane przez RODO (np. Standardowe Klauzule Umowne, decyzje Komisji Europejskiej, inne rozwiązania dopuszczone prawem) — zgodnie z dokumentacją danego dostawcy.

9. Pliki cookies i podobne technologie (tabela robocza)

Poniższa tabela ma charakter roboczy — weryfikujcie ją przy każdej zmianie frontu lub dodaniu narzędzia analitycznego.

10. Web Push w panelu

Po włączeniu powiadomień przeglądarkowych zapisujemy techniczne dane subskrypcji (m.in. endpoint, klucze p256dh, auth), aby dostarczać komunikaty powiązane z działaniem panelu. Możemy zapisać też User-Agent urządzenia. Użytkownik może wycofać zgodę na powiadomienia w przeglądarce lub wyłączyć subskrypcję w panelu — wtedy dane subskrypcji usuwamy lub unieważniamy przy kolejnych próbach dostarczenia.

Podstawę prawną doprecyzuje prawnik (często: zgoda i/lub realizacja usługi — zależnie od treści komunikatów).

11. Okresy przechowywania (domyślne propozycje)

• Dane konta i treści Organizacji (aktywne) — do czasu trwania konta i korzystania z Usługi.
• Logi techniczne — orientacyjnie 30–90 dni.
• Backupy — mogą zawierać dane sprzed usunięcia; retencja kopii np. 7–35 dni (zależnie od procedury operacyjnej).
• Po usunięciu konta / zakończeniu współpracy — usunięcie lub anonimizacja w terminie ok. 30 dni, z wyjątkiem danych, które przepis prawa wymaga zachować dłużej.

12. Zautomatyzowane podejmowanie decyzji i profilowanie

VERIC nie stosuje wobec użytkowników panelu zautomatyzowanego podejmowania decyzji, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływały, ani profilowania w rozumieniu art. 22 RODO — o ile nie zostanie to wyraźnie włączone w przyszłości i opisane w odrębnym dokumencie.

13. Dzieci

Usługa jest skierowana do przedsiębiorców i osób działających w ich imieniu. Nie kierujemy produktu do dzieci poniżej 16 roku życia. Jeśli nie masz ukończonych 16 lat, nie zakładaj konta bez udziału opiekuna prawnego / zgody zgodnej z prawem.

14. Naruszenie ochrony danych osobowych

W razie stwierdzenia naruszenia ochrony danych osobowych, które może wiązać się z wysokim ryzykiem dla praw i wolności osób fizycznych, VERIC podejmie działania wymagane przez RODO (w tym — w uzasadnionych przypadkach — zgłoszenie na UODO oraz poinformowanie osób, których dotyczy naruszenie), zgodnie z procedurami wdrożonymi w miarę rozwoju organizacji.

15. Środki bezpieczeństwa (ogólnie)

Stosujemy środki adekwatne do ryzyka, m.in. szyfrowanie transmisji (HTTPS), kontrolę dostępu do panelu, rozdzielenie danych Organizacji w modelu SaaS, kopie zapasowe oraz ograniczenie dostępu administracyjnego (zasada „need to know”). Dokładny opis środków może być udostępniony Organizacjom na żądanie (np. przed audytem).

16. Zmiany Polityki

VERIC może aktualizować Politykę, w szczególności przy zmianie narzędzi, procesorów lub funkcji. O istotnych zmianach poinformujemy rozsądnie (np. komunikat w Usłudze lub e-mail).

17. Postanowienia końcowe

Prawem właściwym dla zasad ochrony danych jest prawo polskie oraz RODO. W sprawach nieuregulowanych mają zastosowanie przepisy powszechnie obowiązujące.