Polityka prywatności Poland.One

1 Postanowienia ogólne i zakres Polityki

1.1. Poland.One jest nazwą wspólnego projektu Andrii Marchenko i Yury Drazdouski. Usługi są świadczone przez te osoby w ramach działalności nierejestrowanej w Polsce. Sama nazwa Poland.One nie oznacza odrębnej osoby prawnej. Wykonawcę konkretnej usługi, jej zakres i warunki współpracy wskazujemy w ofercie lub umowie.

1.2. Polityka dotyczy serwisu polandone.pl, panelu klienta i korespondencji związanej z usługami. Przetwarzamy dane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679, zwanym RODO lub GDPR, oraz właściwymi przepisami polskimi, w tym ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych.

1.3. Polityka jest dokumentem informacyjnym. Zapoznanie się z nią, założenie konta ani dalsze korzystanie z serwisu nie oznaczają zgody na reklamę, opcjonalne pliki cookies lub inne przetwarzanie wymagające odrębnej zgody.

2 Administratorzy danych i podział odpowiedzialności

2.1. Współadministratorami danych przetwarzanych w ramach wspólnego serwisu, panelu klienta, obsługi zgłoszeń i organizacji usług są:

• Andrii Marchenko — e-mail: andre.marchenko@gmail.com.

• Yury Drazdouski — e-mail: icreative.mix@gmail.com.

2.2. Wspólnie ustalamy cele i zasadnicze sposoby przetwarzania danych wspólnego projektu. Zasadnicza treść podziału obowiązków zgodnie z art. 26 RODO jest następująca: obaj administratorzy odpowiadają za zgodność przetwarzania z prawem i poufność danych; Andrii Marchenko koordynuje udzielanie informacji o przetwarzaniu, obsługę żądań dotyczących praw, zarządzanie dostępem do systemu i współpracę z dostawcami technicznymi; każdy administrator odpowiada za niezbędność i poprawność danych zbieranych podczas obsługi klienta. Uzgadniamy odpowiedzi na żądania, okresy przechowywania i działania w przypadku naruszenia ochrony danych.

2.3. Wspólny punkt kontaktowy w sprawach ochrony danych: hello@polandone.pl. Osobą odpowiedzialną za koordynację obsługi zgłoszeń jest Andrii Marchenko. Możesz też zwrócić się bezpośrednio do każdego ze współadministratorów pod jego adresem e-mail wskazanym w punkcie 2.1. Wewnętrzny podział obowiązków nie ogranicza możliwości wykonywania Twoich praw wobec każdego z nas.

2.4. Jeżeli wykonawca samodzielnie prowadzi własną obowiązkową dokumentację rozliczeń lub umowy, jest odrębnym administratorem danych w tym zakresie. Ośrodki egzaminacyjne, banki, organy publiczne i inni niezależni odbiorcy mogą przetwarzać dane na własnych zasadach. Dostawcy techniczni działający na nasze polecenie są podmiotami przetwarzającymi.

3 Kategorie danych i źródła ich pozyskiwania

3.1. Kontakt i konsultacje: imię i nazwisko, adres e-mail, numer telefonu, preferowany język kontaktu, wybrana usługa, treść wiadomości, ustalenia i historia komunikacji.

3.2. Panel klienta: dane profilu, adres e-mail do logowania, techniczne dane uwierzytelniania, informacje o logowaniach i powiązane zgłoszenia. Jeśli wybierzesz logowanie przez Google, otrzymamy dane wskazane na ekranie autoryzacji Google, w szczególności identyfikator konta i adres e-mail. Nie otrzymujemy hasła do Twojego konta Google.

3.3. Sprawy i usługi: cel zgłoszenia, status sprawy, zadania, wiadomości, spotkania i przekazane pliki. Zależnie od uzgodnionej usługi potrzebne mogą być obywatelstwo, data urodzenia, adres, informacje o pobycie w Polsce, dane dokumentu tożsamości, PESEL oraz informacje o pracy, rodzinie lub działalności gospodarczej. Nie wymagamy wszystkich tych danych od każdego użytkownika. Prosimy tylko o informacje potrzebne do konkretnej usługi.

3.4. Językowy Self-test: odpowiedzi, czas rozpoczęcia i zakończenia próby, wynik oraz historia prób powiązane z Twoim kontem. Wynik służy orientacyjnej ocenie poziomu języka i nie jest oficjalnym certyfikatem.

3.5. Zapisy na egzamin: dane uczestnika, wybrany język, poziom, miasto i oferta, status zgłoszenia, ustalenia dotyczące udziału, informacje o płatnościach, egzaminie, wyniku lub odbiorze certyfikatu — w zakresie przekazanym przez uczestnika albo partnera egzaminacyjnego.

3.6. Rozliczenia: kwota, data, tytuł i potwierdzenie płatności, dane płatnika, status rozliczenia oraz dane do wystawienia dokumentu sprzedaży. Pełne dane karty płatniczej i kod CVV nie są potrzebne do odnotowania płatności w panelu. Jeżeli uruchomimy płatności online, przed skorzystaniem z tej funkcji poinformujemy o operatorze i zasadach przetwarzania danych.

3.7. Dane techniczne: adres IP, czas żądania, rodzaj przeglądarki i urządzenia, dzienniki bezpieczeństwa, dane sesji i informacje o wyborze dotyczącym cookies. Dane pomiaru marketingowego opisujemy w rozdziale 7.

3.8. Dane otrzymujemy przede wszystkim od Ciebie. Mogą też pochodzić od upoważnionego przedstawiciela, Google podczas wybranego logowania, partnera egzaminacyjnego lub strony płatności. Gdy otrzymujemy dane od innej osoby lub podmiotu, przekazujemy osobie, której dane dotyczą, informacje wymagane przez art. 14 RODO, chyba że ma zastosowanie przewidziany prawem wyjątek.

3.9. Nie przesyłaj zbędnych informacji medycznych ani innych szczególnych kategorii danych. Jeśli są potrzebne, np. do uzgodnienia dostosowania egzaminu, odrębnie wyjaśnimy cel, odbiorców i podstawę z art. 9 RODO oraz, gdy jest to wymagane, poprosimy o wyraźną zgodę. Samo przesłanie dokumentu nie zastępuje takiej zgody. Dane dotyczące wyroków skazujących i czynów zabronionych przetwarzamy wyłącznie na warunkach art. 10 RODO.

4 Cele i podstawy prawne przetwarzania

4.1. Każdą zgodę możesz wycofać. Wycofanie nie wpływa na zgodność z prawem wcześniejszego przetwarzania. W przypadku reklamy elektronicznej i opcjonalnych technologii zapisu informacji uwzględniamy również właściwe wymagania ustawy Prawo komunikacji elektronicznej.

4.2. E-maile z kodem logowania, odpowiedzi na zgłoszenia i informacje o Twojej sprawie, płatności lub egzaminie są komunikacją dotyczącą obsługi usługi. Zgoda na reklamę nie jest warunkiem otrzymywania tych wiadomości ani korzystania z podstawowych usług.

4.3. Podanie danych jest dobrowolne. Bez adresu e-mail nie możemy utworzyć konta ani zapewnić odpowiedniego sposobu logowania; bez wymaganych danych uczestnika — zarejestrować go na egzamin; bez dokumentów potrzebnych do uzgodnionej sprawy — wykonać odpowiedniej części usługi. Przy zbieraniu danych wyjaśniamy, które informacje są wymagane i jakie są skutki ich niepodania.

5 Odbiorcy i udostępnianie danych

5.1. Dostęp mają administratorzy oraz upoważnione osoby obsługujące projekt, wyłącznie w zakresie potrzebnym do ich zadań. Dostawcy techniczni mogą zapewniać hosting, bazy danych, przechowywanie plików, kopie zapasowe, wysyłkę e-maili i wsparcie techniczne. Do przetwarzania na nasze polecenie stosujemy wymagania art. 28 RODO. Korespondencja wysyłana na wskazane adresy Gmail jest obsługiwana za pomocą usług poczty Google; dostawca może przetwarzać jej treść i dane techniczne na zasadach właściwych dla tej usługi.

5.2. W celu zapisu na TELC lub inny uzgodniony egzamin przekazujemy niezbędne dane rejestracyjne właściwemu ośrodkowi egzaminacyjnemu oraz, gdy wymaga tego procedura egzaminu, organizacji sprawdzającej prace lub wydającej certyfikat. O konkretnym partnerze, zakresie przekazania i jego roli informujemy przed przekazaniem danych lub podczas zapisu. Podmioty te mogą być odrębnymi administratorami danych.

5.3. W ramach pomocy w sprawach dokumenty mogą być przekazywane uzgodnionym specjalistom, tłumaczom, pełnomocnikom lub właściwym organom, wyłącznie gdy wymaga tego usługa, przepisy albo Twoje zlecenie. Reprezentacja i składanie dokumentów odbywają się w granicach uzgodnionego umocowania.

5.4. Banki oraz operatorzy płatności po uruchomieniu ich usług przetwarzają dane potrzebne do rozliczeń na własnych zasadach. Osoby świadczące obsługę księgową lub prawną otrzymują tylko potrzebną dokumentację. Dane mogą być udostępnione organom uprawnionym do ich uzyskania na odpowiedniej podstawie prawnej.

5.5. Meta otrzymuje dane w ramach pomiaru marketingowego po Twojej zgodzie, zgodnie z rozdziałem 7. Nie sprzedajemy bazy klientów i nie przekazujemy dokumentów spraw, odpowiedzi Self-test ani danych panelu klienta do celów targetowania reklam.

6 Infrastruktura serwerowa i transfery międzynarodowe

6.1. Główny serwer i bazy danych Poland.One znajdują się w Niemczech. Administracja serwerem i wsparcie techniczne są prowadzone z Polski. Te operacje odbywają się w Unii Europejskiej i same w sobie nie stanowią przekazania danych do państwa trzeciego w rozumieniu rozdziału V RODO. Korzystamy z dostawców infrastruktury chmurowej w Niemczech oraz z dostawców usług technicznych związanych z przechowywaniem plików, kopiami zapasowymi i dostarczaniem wiadomości systemowych. Zakres ewentualnego przetwarzania poza EOG przez usługi zewnętrzne opisujemy poniżej.

6.2. Lokalizacja głównej bazy w Europejskim Obszarze Gospodarczym (EOG) nie oznacza, że wszystkie usługi zewnętrzne przetwarzają dane wyłącznie w EOG. Google, Meta lub dostawcy techniczni mogą przewidywać transfery albo dostęp spoza EOG. Dla każdego takiego przepływu stosujemy właściwy mechanizm z rozdziału V RODO: obowiązującą decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony albo inne właściwe zabezpieczenia, w tym standardowe klauzule umowne, gdy są wymagane.

6.3. Korzystanie z logowania Google, poczty Google oraz, po Twojej zgodzie marketingowej, Meta Pixel może wiązać się z przetwarzaniem danych przez podmioty z grup Google i Meta poza EOG, w szczególności w Stanach Zjednoczonych. Google LLC i Meta Platforms, Inc. uczestniczą w EU–US Data Privacy Framework. Przekazywanie danych do tych podmiotów w zakresie objętym ich certyfikacją opiera się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, zgodnie z art. 45 RODO. Gdy przekazanie nie jest objęte odpowiednią decyzją, zastosowanie mają właściwe zabezpieczenia z art. 46 RODO, w szczególności standardowe klauzule umowne, stosownie do warunków danej usługi. Szczegóły i informacje o uzyskaniu kopii zabezpieczeń znajdziesz na https://policies.google.com/privacy/frameworks?hl=pl oraz https://www.facebook.com/privacy/policies/data_privacy_framework/ i https://www.facebook.com/legal/EU_data_transfer_addendum. Możesz również napisać na hello@polandone.pl. Ten opis nie oznacza przekazywania Google lub Meta całej bazy klientów ani dokumentów spraw; zakres danych zależy od używanej funkcji i został opisany w rozdziałach 3, 5 i 7.

7 Cookies i pomiar marketingowy

7.1. Niezbędne cookies i podobne technologie zapewniają logowanie, bezpieczeństwo, zapamiętanie wybranego języka, tymczasową wersję zgłoszenia oraz zapis decyzji dotyczącej cookies. Opcjonalne preferencje interfejsu i pomiar marketingowy są domyślnie wyłączone i wymagają odrębnego wyboru.

7.2. Meta Pixel ładuje się tylko po zgodzie na marketing i służy do pomiaru odsłon publicznych stron marketingowych. Meta otrzymuje adres strony bez parametrów i fragmentów oraz standardowe dane połączenia, np. IP i informacje o przeglądarce. Pixel nie działa w panelu klienta, panelu administracyjnym, na stronach uwierzytelniania ani w Self-test. Nie przekazujemy mu treści formularzy, cen, dokumentów, danych profilu, płatności ani wyników testu. Nie stosujemy automatycznego dopasowywania ani śledzenia zdarzeń formularzy.

7.3. W pamięci naszego serwisu nie zapisujemy reklamowych cookies _fbp/_fbc. Nie oznacza to braku przetwarzania po stronie Meta: dane i cookies tego dostawcy zależą również od jego zasad i ustawień przeglądarki. Wybór dotyczący cookies przechowujemy przez 180 dni. Po tym okresie lub po istotnej zmianie celów ponownie prosimy o wybór.

7.4. Wybór możesz zmienić przez „Ustawienia plików cookie” w stopce. Wycofanie zgody marketingowej zatrzymuje dalsze wysyłanie danych przez Pixel; samo usunięcie cookies nie usuwa danych już otrzymanych przez Meta. Zamknięcie banera, przewijanie i dalsze korzystanie z serwisu nie oznaczają zgody. Odmowa opcjonalnych kategorii nie ogranicza podstawowych usług.

7.5. Szczegółową listę technologii, ich celów i okresów przechowywania znajdziesz na polandone.pl/pl/cookies. Odnośnik do Instagram jest zwykłym linkiem zewnętrznym. Logowanie Google uruchamia się po wybraniu tej opcji. Google Analytics uruchamia się wyłącznie po odrębnej zgodzie na Google Analytics. Czcionki i okładki bloga są pobierane z naszego serwisu.

7.6. Google Analytics 4 (Google Ireland Limited) służy do pomiaru publicznych odsłon i źródeł ruchu wyłącznie po odrębnej zgodzie na Google Analytics (art. 6 ust. 1 lit. a RODO). Google otrzymuje oczyszczony adres publicznej strony, domenę źródła ruchu, identyfikatory cookies oraz standardowe dane połączenia i urządzenia. Nie wysyłamy parametrów URL, fragmentów, treści formularzy, danych panelu, dokumentów ani wyników testów. Pomiar nie działa na stronach logowania, panelu, administracji, zaproszeń, przesyłania dokumentów i Self-test. Google Signals, personalizacja reklam i automatyczny pomiar formularzy są wyłączone. Cookies _ga i _ga_* przechowujemy maksymalnie 180 dni; dane zdarzeń w Google Analytics przez 2 miesiące. Wycofanie zgody zatrzymuje pomiar i usuwa dostępne cookies; nie usuwa danych wcześniej otrzymanych przez Google. Przetwarzanie może wiązać się z transferami opisanymi w rozdziale 6. Więcej: https://policies.google.com/technologies/partner-sites oraz https://policies.google.com/privacy.

8 Okresy przechowywania i bezpieczeństwo

8.1. Przechowujemy dane tylko przez okres potrzebny do określonego celu, wynikający z przepisów albo niezbędny do ochrony konkretnych roszczeń. Zakończenie usługi nie oznacza możliwości natychmiastowego usunięcia obowiązkowej dokumentacji rozliczeń.

8.2. Zgłoszenia, po których nie zawarto umowy, przechowujemy przez czas udzielenia odpowiedzi i uzgodnienia zapytania. Następnie pozostawiamy jedynie minimum danych potrzebne do udokumentowania komunikacji lub ochrony uzasadnionych roszczeń przez odpowiedni okres przedawnienia. Nie przechowujemy wszystkich załączników tylko dlatego, że otrzymaliśmy zapytanie.

8.3. Profil i historię Self-test przechowujemy przez czas korzystania z konta. Po żądaniu usunięcia usuwamy lub anonimizujemy dane, które nie są już potrzebne. Informacje związane z aktywną usługą, niezbędna historia sprawy, dowody zgodności przetwarzania z prawem i obowiązkowe dokumenty mogą pozostać przechowywane osobno na właściwej podstawie.

8.4. Oryginały przesłanych dokumentów są szyfrowane i dostępne tylko upoważnionym osobom. Przechowujemy je przez cały czas aktywnej powiązanej sprawy oraz przez 30 dni od zakończenia lub anulowania ostatniej powiązanej sprawy, chyba że dla danego rodzaju dokumentu obowiązuje inny udokumentowany okres albo istnieje prawna podstawa dalszego przechowywania. Weryfikacja, odrzucenie lub zastąpienie pliku nie powodują same w sobie usunięcia poprzedniego oryginału. Ponowne otwarcie sprawy przed rozpoczęciem usuwania anuluje zaplanowane usunięcie. Wynik weryfikacji i niezbędna historia mogą pozostać po usunięciu oryginału. Niejasny techniczny związek pliku ze sprawą podlega weryfikacji i nie stanowi podstawy bezterminowego przechowywania.

8.5. Umowy, potwierdzenia usług i dokumentację rozliczeń przechowuje właściwy wykonawca przez wymagane okresy ustawowe oraz, gdy jest to niezbędne, przez okres ochrony roszczeń. Okresy zależą od rodzaju dokumentu i obowiązków danego wykonawcy. Dane potrzebne wyłącznie do reklamy przechowujemy do wycofania zgody; minimalne dowody udzielenia zgody lub odmowy — przez czas potrzebny do wykazania wykonania naszych obowiązków.

8.6. Dzienniki techniczne przechowujemy nie dłużej niż przez 3 lata od zarejestrowania danego zdarzenia, a kopie zapasowe nie dłużej niż przez 3 lata od ich utworzenia. Okresy te nie przedłużają przechowywania danych w aktywnym systemie określonego w pozostałych punktach. Dane usunięte z aktywnego systemu mogą pozostać w ograniczonych dostępem kopiach zapasowych do ich usunięcia lub nadpisania w tym okresie; nie wykorzystujemy ich do bieżącej obsługi ani marketingu. Przy odtworzeniu systemu ponownie stosujemy odpowiednie żądania usunięcia, o ile nie istnieje inna prawna podstawa zachowania danych.

8.7. Stosujemy kontrolę dostępu, zabezpieczone połączenie, ograniczenie dostępu do prywatnych plików i środki tworzenia kopii zapasowych. Dobieramy zabezpieczenia do ryzyka. Gdy naruszenie ochrony danych powoduje wysokie ryzyko dla Twoich praw i wolności, powiadamiamy Cię w przypadkach i trybie przewidzianych w RODO.

9 Twoje prawa i sposób ich realizacji

9.1. W przypadkach przewidzianych w RODO masz prawo dostępu do danych i otrzymania ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania oraz przenoszenia danych. Prawo przenoszenia dotyczy danych dostarczonych przez Ciebie, przetwarzanych automatycznie na podstawie zgody lub umowy.

9.2. Możesz wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie z przyczyn związanych z Twoją szczególną sytuacją. Sprzeciw wobec marketingu bezpośredniego możesz wnieść w każdej chwili; zaprzestaniemy przetwarzania w tym celu. Zgodę można wycofać równie łatwo, jak ją udzielono.

9.3. Żądania kieruj na hello@polandone.pl. Ich obsługę koordynuje Andrii Marchenko. Możesz też skontaktować się bezpośrednio z nim pod adresem andre.marchenko@gmail.com lub z Yury Drazdouski pod adresem icreative.mix@gmail.com. Eksport lub zgłoszenie usunięcia konta w profilu to dodatkowe sposoby kontaktu. W razie uzasadnionych wątpliwości możemy poprosić o minimum informacji potrzebnych do potwierdzenia tożsamości.

9.4. Odpowiadamy bez zbędnej zwłoki, co do zasady w ciągu miesiąca od otrzymania żądania. Jeżeli złożoność lub liczba żądań to uzasadniają, RODO pozwala przedłużyć termin o kolejne dwa miesiące. O przedłużeniu i jego przyczynach informujemy w pierwszym miesiącu. Realizacja żądania jest zasadniczo bezpłatna. Każde ograniczenie lub odmowę uzasadniamy zgodnie z prawem.

9.5. Możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych w Polsce (uodo.gov.pl) lub innego właściwego organu nadzorczego. Nie musisz wcześniej uzyskiwać naszej zgody ani kończyć wewnętrznego postępowania.

9.6. Self-test automatycznie oblicza wynik służący orientacyjnej ocenie poziomu języka. Na tej podstawie nie podejmujemy wyłącznie zautomatyzowanych decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na użytkownika i nie odmawiamy automatycznie zapisu na egzamin. Danych spraw i dokumentów nie wykorzystujemy do profilowania reklamowego.

10 Osoby niepełnoletnie i zmiany Polityki

10.1. Self-test jest przeznaczony dla osób od 14. roku życia. Jeśli oferowana bezpośrednio dziecku funkcja online wymaga zgody na przetwarzanie danych, w przypadku osoby poniżej 16. roku życia w Polsce stosujemy art. 8 RODO dotyczący zgody lub jej zatwierdzenia przez osobę sprawującą władzę rodzicielską albo opiekę. Zawarcie umowy przez osobę niepełnoletnią podlega odrębnie właściwym przepisom prawa cywilnego. Zgoda marketingowa nie jest warunkiem wykonania testu.

10.2. Aktualna Polityka jest dostępna na stronie polandone.pl/pl/privacy. W przypadku istotnej zmiany celów, odbiorców lub administratora informujemy użytkowników w odpowiedni sposób przed rozpoczęciem nowego przetwarzania. Jeśli potrzebna jest nowa zgoda, prosimy o nią odrębnie. Sama publikacja nowej wersji nie stanowi podstawy przetwarzania w nowym celu.