Polityka prywatności

1. Administrator danych

Administratorem Twoich danych osobowych jest Chmielewscy Sp. z o.o. z siedzibą w Olsztynie (10-691) przy ul. Edwarda Mroza 23a/43, NIP 7393907337 (dalej „Administrator", „my").

We wszystkich sprawach dotyczących danych osobowych i realizacji Twoich praw skontaktujesz się z nami pod adresem kuba@chmielewski.studio. Nie wyznaczyliśmy inspektora ochrony danych (IOD) - korespondencję kieruj na powyższy adres.

2. Czego dotyczy ta polityka

Polityka obejmuje dwa konteksty przetwarzania w serwisie:

• Rezerwacja konsultacji - gdy umawiasz 30-minutowe spotkanie online przez formularz na stronie głównej (sekcja „Rezerwacja").
• Analityka ofert - gdy otwierasz indywidualną, chronioną hasłem ofertę handlową, którą Ci wysłaliśmy; mierzymy zainteresowanie ofertą w sposób pseudonimowy.
• Rejestr zgód cookies - gdy podejmujesz decyzję w banerze cookies (zgoda lub jej brak), zapisujemy ją, aby móc wykazać udzieloną zgodę (rozliczalność).

Opisujemy tu również przetwarzanie danych w zwykłej korespondencji e-mail.

3. Jakie dane przetwarzamy i w jakim celu

Rezerwacja konsultacji. Aby umówić i potwierdzić spotkanie, przetwarzamy: imię i nazwisko, adres e-mail, opcjonalną notatkę (temat rozmowy), Twoją strefę czasową oraz wybrany termin. W celu ochrony formularza przed nadużyciami przetwarzamy także nieodwracalny skrót (hash) Twojego adresu IP - nie przechowujemy surowego adresu IP.

Po rezerwacji tworzymy wydarzenie w kalendarzu gospodarza z linkiem Google Meet i wysyłamy Ci e-mail potwierdzający. Treści notatki używamy wyłącznie do przygotowania się do rozmowy.

Analityka strony. Ruch na stronach publicznych mierzymy dwutorowo. Po Twojej zgodzie analitycznej działa Google Analytics 4: przetwarza adres odwiedzanej strony, adres strony odsyłającej (skąd przyszedłeś/przyszłaś), parametry kampanii z adresu, przybliżoną lokalizację (kraj, miasto), typ urządzenia i przeglądarki oraz identyfikator z plików _ga*, a także zdarzenia: umówienie konsultacji, kliknięcie w nasz e-mail lub telefon i doczytanie artykułu do końca. Niezależnie od zgody, ale bez sięgania do pamięci Twojego urządzenia, liczymy odwiedziny narzędziem Vercel Web Analytics: rozpoznaje ono wizytę po nieodwracalnym skrócie wyliczanym po stronie serwera z samego zapytania (skrót jest odrzucany po 24 godzinach) i zapisuje adres strony, adres odsyłający, przefiltrowane parametry adresu, przybliżoną lokalizację oraz typ urządzenia i przeglądarki. W żadnym z tych pomiarów nie przechowujemy surowego adresu IP i nie łączymy tych danych z danymi z formularza rezerwacji.

Analityka ofert. Gdy otwierasz wysłaną Ci ofertę, zapisujemy pseudonimowy identyfikator sesji (w pamięci lokalnej przeglądarki), kraj oraz zgrubną rodzinę przeglądarki/systemu, a także zdarzenia typu „otwarto ofertę", „przewinięto do sekcji", „użyto kalkulatora". Nie zbieramy surowego adresu IP ani pełnego identyfikatora przeglądarki (user-agent) i nie zapisujemy wartości liczbowych, które wpisujesz w interaktywnym kalkulatorze. Celem jest wyłącznie pomiar zainteresowania naszą własną ofertą.

Rejestr zgód cookies. Gdy podejmujesz decyzję w banerze cookies, zapisujemy: pseudonimowy identyfikator zgody (consentId, tworzony w pamięci lokalnej przeglądarki), Twój wybór kategorii (zapis w formie „necessary:1,analytics:1,marketing:0"), wersję polityki, datę i czas decyzji, język interfejsu, identyfikator przeglądarki (user-agent) oraz nieodwracalny skrót (hash) Twojego adresu IP - nie przechowujemy surowego adresu IP. Rejestr jest anonimowy (nie wiążemy go z Twoim imieniem ani adresem e-mail); służy wyłącznie wykazaniu, że i kiedy wyraziłeś(-aś) lub wycofałeś(-aś) zgodę.

Korespondencja. Jeśli napiszesz do nas e-mail, przetwarzamy dane zawarte w wiadomości w celu udzielenia odpowiedzi i obsługi sprawy.

4. Podstawy prawne

Przetwarzamy dane na podstawie RODO (rozporządzenie UE 2016/679):

• Rezerwacja konsultacji - art. 6 ust. 1 lit. b (podjęcie działań na Twoje żądanie przed zawarciem umowy / organizacja spotkania), lit. a (Twoja zgoda wyrażona przez zaznaczenie checkboxa) oraz lit. f (nasz prawnie uzasadniony interes - bezpieczeństwo formularza i ochrona przed spamem).
• Analityka ofert oraz analityka strony w Google Analytics 4 - art. 6 ust. 1 lit. a (Twoja zgoda wyrażona w banerze cookies). Uruchamiamy je dopiero po udzieleniu zgody; bez niej nie zapisujemy identyfikatora sesji i nie ładujemy skryptu Google.
• Pomiar odwiedzin bez plików (Vercel Web Analytics) - art. 6 ust. 1 lit. f (nasz prawnie uzasadniony interes: rzetelna wiedza o skali i źródłach ruchu). Pomiar nie zapisuje ani nie odczytuje niczego na Twoim urządzeniu, operuje na danych zagregowanych i pseudonimowych, a Ty możesz wnieść sprzeciw - patrz sekcja 8.
• Rejestr zgód cookies - art. 6 ust. 1 lit. c (obowiązek prawny rozliczalności wynikający z art. 5 ust. 2 w zw. z art. 7 RODO - musimy umieć wykazać udzieloną zgodę).
• Korespondencja - art. 6 ust. 1 lit. f (obsługa zapytania), a jeśli dotyczy umowy - lit. b.

5. Odbiorcy danych (podmioty przetwarzające)

Korzystamy z zaufanych dostawców, którzy przetwarzają dane wyłącznie na nasze polecenie, na podstawie umów powierzenia:

Odrębnie od powyższych: jeżeli wyrazisz zgodę marketingową w banerze cookies, uruchamiamy pixel konwersji OpenAI i wówczas dane o Twojej wizycie (pseudonimowy identyfikator przeglądarki, adres odwiedzanej strony, adres IP oraz informacje o przeglądarce) trafiają do OpenAI w celu pomiaru skuteczności naszych reklam. Jeżeli w takiej sesji wypełnisz formularz, pixel rozpozna w nim dane kontaktowe i przekaże je wyłącznie w postaci nieodwracalnych skrótów (SHA-256 adresu e-mail, imienia i nazwiska) - nigdy jawnie. Samą rezerwację konsultacji potwierdza dodatkowo nasz serwer, wysyłając to samo zdarzenie z tym samym skrótem adresu e-mail i wspólnym identyfikatorem zdarzenia, dzięki czemu konwersja liczy się raz i nie ginie przy zablokowanym skrypcie. W tym zakresie OpenAI nie jest naszym podmiotem przetwarzającym, lecz odrębnym administratorem - zgodnie z Ad Tools Data Processing Addendum każda ze stron przetwarza te dane jako niezależny administrator i strony nie są współadministratorami. Dane z Europejskiego Obszaru Gospodarczego przetwarza OpenAI Ireland Limited (Irlandia). Bez Twojej zgody pixel nie jest ładowany i żadne dane do OpenAI nie trafiają. Zgodę możesz wycofać w każdej chwili w polityce cookies; wycofanie oznacza, że przestajemy udostępniać OpenAI dane z Twojej przeglądarki.

Poza tym dane możemy ujawnić podmiotom uprawnionym na podstawie przepisów prawa.

6. Przekazywanie poza EOG

Dane rezerwacji i analityki przechowujemy w bazie zlokalizowanej w Unii Europejskiej, a rejestr zgód cookies prowadzimy w regionie UE (Make EU2). Część dostawców (Google, Cloudflare, Vercel, Resend, Make) to podmioty z USA, które mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. Odbywa się to na podstawie standardowych klauzul umownych (SCC) i/lub certyfikacji Data Privacy Framework, zapewniających odpowiedni poziom ochrony. Dotyczy to również danych z Google Analytics 4 - usługę świadczy Google Ireland Limited, a dane mogą trafiać do Google LLC w USA na podstawie EU-U.S. Data Privacy Framework; przetwarzamy je wyłącznie wtedy, gdy wyrazisz zgodę analityczną. Kopię zabezpieczeń możesz uzyskać, pisząc na nasz adres kontaktowy. Dane przekazywane przy zgodzie marketingowej odbiera OpenAI Ireland Limited z siedzibą w Irlandii (EOG); dalsze przekazanie poza EOG odbywa się na podstawie ważnego mechanizmu transferu stosowanego przez ten podmiot.

7. Jak długo przechowujemy dane

• Rezerwacje - dane kontaktowe (imię, e-mail, notatka) usuwamy do 180 dni po odbytym lub anulowanym spotkaniu. Samo wydarzenie pozostaje w historii kalendarza gospodarza.
• Analityka ofert - zdarzenia i dane pseudonimowe usuwamy po 180 dniach (automatyczne czyszczenie).
• Analityka strony - w Google Analytics 4 dane zdarzeń przechowujemy 14 miesięcy (najkrótszy sensowny okres pozwalający porównać rok do roku), po czym Google je usuwa. Pomiar odwiedzin w Vercel Web Analytics operuje na danych zagregowanych, a skrót rozpoznający wizytę jest odrzucany po 24 godzinach.
• Rejestr zgód cookies - wpisy przechowujemy tak długo, jak musimy móc wykazać zgodę (rozliczalność): do czasu jej wycofania i przez okres przedawnienia ewentualnych roszczeń.
• Korespondencja - przez czas potrzebny do obsługi sprawy, a następnie przez okres przedawnienia ewentualnych roszczeń.

8. Twoje prawa

Masz prawo do: dostępu do danych i ich kopii, sprostowania, usunięcia („prawo do bycia zapomnianym"), ograniczenia przetwarzania, przenoszenia danych, a także sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.

Jeśli przetwarzanie opiera się na zgodzie, możesz ją w każdej chwili wycofać - bez wpływu na zgodność z prawem przetwarzania, którego dokonano przed wycofaniem.

Aby skorzystać z praw, napisz na kuba@chmielewski.studio. Przysługuje Ci też prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

9. Dobrowolność podania danych

Podanie danych w formularzu rezerwacji jest dobrowolne, ale niezbędne do umówienia spotkania - bez imienia, adresu e-mail i zgody nie zrealizujemy rezerwacji. Notatka jest opcjonalna. Analityka ofert nie wymaga od Ciebie podawania jakichkolwiek danych.

10. Brak profilowania i decyzji automatycznych

Nie podejmujemy wobec Ciebie decyzji wywołujących skutki prawne wyłącznie w sposób zautomatyzowany ani nie stosujemy profilowania w rozumieniu art. 22 RODO.

11. Pliki cookie i pamięć przeglądarki

Serwis używa plików marketingowych podmiotu trzeciego (pixel konwersji OpenAI) wyłącznie po wyrażeniu odrębnej zgody marketingowej; bez niej skrypt OpenAI nie jest ładowany. Analitykę ofert (pseudonimowy identyfikator sesji w pamięci lokalnej przeglądarki) uruchamiamy wyłącznie za Twoją zgodą wyrażoną w banerze cookies; możesz ją w każdej chwili zmienić lub wycofać. Mechanizm Cloudflare Turnstile może zapisać techniczny token niezbędny do weryfikacji, że formularz wypełnia człowiek (niezbędny - działa bez zgody); nie służy on śledzeniu ani profilowaniu. Pełną listę i sposób zarządzania znajdziesz w naszej polityce cookies.

12. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka: szyfrowanie transmisji (HTTPS), minimalizację danych (m.in. zamiast surowego adresu IP przechowujemy jego nieodwracalny skrót), ograniczenie dostępu oraz przechowywanie kluczy i sekretów wyłącznie po stronie serwera.

13. Zmiany polityki

Możemy aktualizować tę politykę, gdy zmienią się nasze procesy lub przepisy. Aktualna wersja jest zawsze dostępna pod tym adresem, z datą ostatniej aktualizacji na górze strony.