Polityka Prywatności

1. Administrator i Inspektor Ochrony Danych

1.1 Administrator (art. 4 pkt 7 RODO)

Administratorem odpowiedzialnym za przetwarzanie danych osobowych w związku z działaniem strony internetowej biscotti-cmp.com, aplikacji app.biscotti-cmp.com oraz wszystkich powiązanych usług jest:

Campcruisers GmbH
Berliner Str. 21 B
14612 Falkensee
Niemcy

Reprezentowana przez: Daniel Bosch (Prezes Zarządu / CEO)
Ponadto uprawniony do reprezentacji: Philipp André Marschall (Prokurent)

1.2 Inspektor Ochrony Danych

Jeżeli istnieje prawny obowiązek wyznaczenia Inspektora Ochrony Danych zgodnie z § 38 ust. 1 BDSG lub art. 37 RODO, zostanie on wyznaczony, a dane kontaktowe zostaną opublikowane w tym miejscu. Niezależnie od tego, zarząd (Daniel Bosch, Philipp André Marschall) zapewnia pełny nadzór i przestrzeganie obowiązków w zakresie ochrony danych.

W przypadku wszystkich zapytań dotyczących ochrony danych prosimy o kontakt:
E-mail: [email protected]
Telefon: +49 3322 50703301
Godziny pracy: Poniedziałek – Piątek, 10:00–17:00 (CET/CEST)

2. Przegląd czynności przetwarzania

Biscotti CMP to kompleksowa platforma do zarządzania zgodami i zapewniania zgodności prawnej. W ramach działania platformy przetwarzamy dane osobowe w następujących obszarach:

• Rejestracja i zarządzanie kontem (sekcja 3)
• Korzystanie z platformy SaaS / Panelu sterowania (sekcja 4)
• Dane dotyczące zgód odwiedzających strony internetowe naszych klientów (sekcja 5)
• Skaner plików cookie (sekcja 6)
• Legal Suite — Generowanie tekstów prawnych za pomocą AI (sekcja 7)
• Legal Sync — Monitorowanie zmian w przepisach prawnych (sekcja 8)
• Policy-Audit — Scraping stron internetowych i analiza AI (sekcja 9)
• Rynek prawników (sekcja 10)
• Funkcje agencji i white-label (sekcja 11)
• Newsletter (sekcja 12)
• Program nagród za recenzje (sekcja 13)
• Obsługa płatności (sekcja 14)
• Wykrywanie GeoIP (sekcja 15)
• Wykrywanie botów (sekcja 16)
• Śledzenie sesji (sekcja 17)
• Kopie zapasowe (sekcja 18)
• Hosting i infrastruktura (sekcja 19)
• Pliki cookie i pamięć lokalna na biscotti-cmp.com (sekcja 20)

Dla każdej czynności przetwarzania poniżej podano cel, podstawę prawną, kategorie przetwarzanych danych, odbiorców oraz okres przechowywania.

3. Rejestracja i zarządzanie kontem

3.1 Rejestracja i tworzenie konta

Cel: Utworzenie i zarządzanie Twoim kontem użytkownika w celu korzystania z platformy Biscotti CMP.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy — rejestracja jest warunkiem korzystania z platformy SaaS).

Kategorie przetwarzanych danych:

• Adres e-mail (wymagane)
• Hasło (przechowywane jako kryptograficzny hash, nigdy w postaci jawnej)
• Imię, nazwisko (opcjonalnie)
• Nazwa firmy (opcjonalnie)
• Język konta (automatycznie wykrywany z języka przeglądarki lub ręcznie wybrany spośród 42 dostępnych języków)
• Czas rejestracji
• Adres IP w momencie rejestracji (do protokołowania zgody na AVV zgodnie z art. 28 ust. 9 RODO)

Odbiorcy: Resend (wysyłka e-maila weryfikacyjnego), Hetzner Online GmbH (hosting bazy danych).

Okres przechowywania: Dane są przechowywane przez cały okres trwania stosunku umownego. Po usunięciu konta dane są niezwłocznie usuwane, z zastrzeżeniem ustawowych obowiązków przechowywania (por. sekcja 23).

3.2 Double-Opt-In (Weryfikacja adresu e-mail)

Cel: Weryfikacja adresu e-mail w celu zapewnienia, że właściciel adresu e-mail faktycznie dokonał rejestracji.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy) w związku z art. 6 ust. 1 lit. f RODO (uzasadniony interes w zapobieganiu nadużyciom).

Kategorie przetwarzanych danych:

• Adres e-mail
• Token weryfikacyjny (generowany losowo, ważny przez 24 godziny)
• Czas wysłania i potwierdzenia
• Status weryfikacji (emailVerified: true/false)

Odbiorcy: Resend (wysyłka e-maila weryfikacyjnego).

Okres przechowywania: Token weryfikacyjny jest usuwany po potwierdzeniu lub po upływie 24-godzinnego terminu. Status weryfikacji jest przechowywany przez cały okres trwania stosunku umownego.

3.3 Reset hasła

Cel: Umożliwienie przywrócenia dostępu do konta w przypadku zapomnianego hasła.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Kategorie przetwarzanych danych:

• Adres e-mail
• Token resetujący (generowany losowo, ograniczony czasowo)
• Czas żądania

Odbiorcy: Resend (wysyłka e-maila resetującego).

Okres przechowywania: Token resetujący jest usuwany po użyciu lub po upływie terminu ważności.

4. Korzystanie z platformy SaaS (Panel sterowania)

4.1 Korzystanie z panelu sterowania i konfiguracja banerów

Cel: Udostępnienie internetowego interfejsu użytkownika (panelu sterowania) pod adresem app.biscotti-cmp.com do konfiguracji i zarządzania banerem zgody, stronami internetowymi, kategoriami, tekstami prawnymi i wszystkimi innymi funkcjami platformy.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Kategorie przetwarzanych danych:

• Dane konta (e-mail, imię, firma)
• Konfiguracje stron internetowych (domena, ustawienia banerów, kolory, teksty, kategorie zgód)
• Statystyki banerów (wyświetlenia, interakcje, wskaźniki akceptacji)
• Wyniki skanowania i historie skanowania
• Wygenerowane teksty prawne
• Raporty zgodności i wskaźniki Health-Score
• Wpisy w dzienniku audytu (sygnatura czasowa, ID użytkownika, wykonana akcja, adres IP)

Odbiorcy: Hetzner Online GmbH (hosting).

Okres przechowywania: Przez cały okres trwania stosunku umownego. Dzienniki audytu są przechowywane przez 12 miesięcy. Po usunięciu konta dane są nieodwracalnie usuwane po upływie 30-dniowego okresu karencji.

4.2 Zarządzanie zespołem

Cel: Umożliwienie dostępu wielu użytkownikom do konta poprzez zapraszanie członków zespołu.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Kategorie przetwarzanych danych:

• Adresy e-mail zaproszonych członków zespołu
• Przypisane role i uprawnienia
• Czas zaproszenia i akceptacji

Odbiorcy: Resend (wysyłka e-maila z zaproszeniem), Hetzner Online GmbH (hosting).

Okres przechowywania: Przez cały okres członkostwa w zespole. Po usunięciu z zespołu dane przypisania są usuwane.

4.3 Analityka zgód i testy A/B

Cel: Statystyczna ocena wskaźników zgód, interakcji z banerami i śledzenia konwersji. Testy A/B umożliwiają porównanie różnych wariantów banerów w celu optymalizacji wskaźników akceptacji.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy — funkcje analityczne są częścią wykupionego pakietu).

Kategorie przetwarzanych danych:

• Zagregowane statystyki zgód (brak danych pojedynczych osób)
• Przypisanie wariantów banerów (w przypadku testów A/B)
• Rozkład ruchu i wskaźniki konwersji

Odbiorcy: Hetzner Online GmbH (hosting).

Okres przechowywania: Zagregowane statystyki są przechowywane przez cały okres trwania stosunku umownego.

5. Dane dotyczące zgód odwiedzających strony internetowe

5.1 Gromadzenie decyzji o zgodzie

Cel: Gromadzenie, przechowywanie i dokumentowanie decyzji o zgodzie odwiedzających stronę internetową w celu spełnienia obowiązku dowodowego operatora strony internetowej zgodnie z art. 7 ust. 1 RODO i § 25 ust. 1 TDDDG.

Podstawa prawna: Art. 6 ust. 1 lit. c RODO (obowiązek prawny — obowiązek dowodowy zgodnie z art. 7 ust. 1 RODO) w związku z art. 6 ust. 1 lit. f RODO (uzasadniony interes operatora strony internetowej w dokumentowaniu zgody).

Kategorie przetwarzanych danych:

• ID zgody (pseudonimowy UUID, przypisany do urządzenia końcowego/przeglądarki)
• Decyzje o zgodzie dla każdej kategorii (Niezbędne, Funkcjonalne, Analityczne, Marketingowe oraz ewentualnie kategorie niestandardowe)
• Sygnatura czasowa zgody (data i godzina)
• Hash IP (adres IP jest przetwarzany wyłącznie w celu wykrycia jurysdykcji, a następnie anonimizowany do kryptograficznego hasha; surowe adresy IP **nie** są trwale przechowywane)
• Kod kraju (ustalony za pomocą wykrywania GeoIP)
• Język przeglądarki
• Ciąg User-Agent
• Kategoria referera (organic, social, paid, direct, referral)
• Ciąg TCF (przy aktywowanym IAB Transparency & Consent Framework 2.3)
• Wariant zgody (przy aktywowanych testach A/B)
• Sygnały Google Consent Mode v2
• Sygnał Global Privacy Control (GPC)

Odbiorcy: Hetzner Online GmbH (hosting, baza danych), MinIO (kopia zapasowa, hostowana samodzielnie na Hetzner).

Okres przechowywania: Dane dotyczące zgód są standardowo przechowywane przez 18 miesięcy. Operator strony internetowej (klient) może indywidualnie skonfigurować okres przechowywania. Po upływie okresu przechowywania dane są automatycznie i nieodwracalnie usuwane.

5.2 Wyszukiwanie zgód (Informacje dla odwiedzających stronę internetową)

Cel: Umożliwienie odwiedzającym stronę internetową wglądu w przechowywane dane dotyczące zgód w celu spełnienia prawa do informacji zgodnie z art. 15 RODO.

Podstawa prawna: Art. 6 ust. 1 lit. c RODO (obowiązek prawny — prawo do informacji zgodnie z art. 15 RODO).

Kategorie przetwarzanych danych:

• ID zgody (wprowadzone przez odwiedzającego stronę internetową)
• Adres IP (do ograniczania liczby żądań, nie przechowywany trwale)

Odbiorcy: Hetzner Online GmbH (hosting).

Okres przechowywania: Nie są przechowywane żadne dodatkowe dane. Zapytanie jest ograniczone do 10 żądań na minutę na adres IP.

6. Skaner plików cookie

6.1 Zautomatyzowane skanowanie strony internetowej

Cel: Zautomatyzowane przeszukiwanie stron internetowych naszych klientów pod kątem plików cookie, wpisów w pamięci lokalnej i trackerów stron trzecich w celu identyfikacji, kategoryzacji i dokumentacji stosowanych technologii. Wyniki służą do konfiguracji banera zgody zgodnej z przepisami o ochronie danych.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy — skaner plików cookie jest podstawową funkcją platformy).

Kategorie przetwarzanych danych:

• Domena i URL skanowanej strony internetowej
• Znalezione pliki cookie (nazwa, wartość, domena, data wygaśnięcia, ścieżka, flaga Secure, atrybut SameSite)
• Wpisy w pamięci lokalnej
• Trackery stron trzecich i zintegrowane zasoby zewnętrzne
• Kategoryzacja znalezionych elementów (Niezbędne, Funkcjonalne, Analityczne, Marketingowe)
• Porównanie z listą IAB Global Vendor List (GVL)
• Czas i czas trwania skanowania

Implementacja techniczna: Skaner wykorzystuje Playwright (przeglądarkę headless open-source firmy Microsoft), która działa na naszych własnych serwerach w Hetzner (Falkenstein, Niemcy). Nie dochodzi do przekazywania danych do Microsoftu. Skaner odwiedza stronę internetową klienta jak zwykła przeglądarka, aby rejestrować treści renderowane przez JavaScript i dynamicznie ustawiane pliki cookie.

Odbiorcy: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (kategoryzacja znalezionych plików cookie wspomagana AI).

Okres przechowywania: Wyniki skanowania są przechowywane przez cały okres trwania stosunku umownego. Historie skanowania umożliwiają porównanie z wcześniejszymi skanami.

6.2 Publiczny sprawdzacz plików cookie

Cel: Udostępnienie bezpłatnego, publicznego sprawdzacza plików cookie na stronie marketingowej, z którego można korzystać bez rejestracji.

Podstawa prawna: Art. 6 ust. 1 lit. f RODO (uzasadniony interes w świadczeniu usługi informacyjnej i pozyskiwaniu klientów).

Kategorie przetwarzanych danych:

• Wprowadzona domena/URL
• Adres IP (do ograniczania liczby żądań, nie przechowywany trwale)
• Wyniki skanowania

Odbiorcy: Hetzner Online GmbH (hosting).

Okres przechowywania: Wyniki skanowania publicznego sprawdzacza są przechowywane tymczasowo. Korzystanie jest ograniczone do 3 skanów dziennie na adres IP.

7. Legal Suite — Generowanie tekstów prawnych za pomocą AI

7.1 Generowanie tekstów prawnych wspomagane AI

Cel: Generowanie spersonalizowanych tekstów prawnych (stopka redakcyjna, polityka prywatności, polityka plików cookie, OWH, pouczenie o prawie odstąpienia od umowy, AVV/DPA, warunki wysyłki i zwrotów, warunki użytkowania, disclaimer, NDA, informacje DSA i ponad 30 innych typów dokumentów) na podstawie informacji wprowadzonych przez klienta z wykorzystaniem sztucznej inteligencji.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy — Legal Suite jest częścią wykupionego pakietu).

Kategorie przetwarzanych danych, które są przekazywane do Alibaba Cloud Qwen:

• Dane firmy klienta (nazwa firmy, forma prawna, adres, dane kontaktowe)
• Nazwiska osób uprawnionych do reprezentacji (prezesi zarządu, prokurenci)
• Dane rejestrowe (sąd rejestrowy, numer rejestrowy, NIP UE)
• Informacje branżowe i kategoria działalności
• Opis czynności przetwarzania
• Indywidualne dane wprowadzone przez klienta dotyczące typu dokumentu
• Informacje o jurysdykcji

Dostawca AI: Alibaba Cloud Qwen (Alibaba (Netherlands) B.V., Herengracht 448, 1017 CA Amsterdam, Niederlande). Przetwarzanie odbywa się za pośrednictwem API Alibaba Cloud Qwen w obrębie UE/EOG. Zgodnie z polityką prywatności Alibaba Cloud, dane wejściowe **nie** są wykorzystywane do szkolenia modeli AI.

Odbiorcy: Alibaba Cloud Qwen (przetwarzanie AI), Hetzner Online GmbH (hosting, przechowywanie wygenerowanych tekstów).

Okres przechowywania: Wygenerowane teksty prawne są przechowywane przez cały okres trwania stosunku umownego. W Alibaba Cloud Qwen dane wejściowe nie są przechowywane poza procesem przetwarzania, zgodnie z warunkami użytkowania Alibaba Cloud.

7.2 Bring Your Own Key (BYOK)

Cel: Klienci mogą opcjonalnie przechowywać własne klucze API dla dostawców AI (Alibaba Qwen, Google Gemini, OpenAI, Anthropic Claude, Ollama), aby realizować generowanie tekstu za pośrednictwem własnego konta u danego dostawcy AI.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Kategorie przetwarzanych danych:

• Klucz API klienta (przechowywany zaszyfrowany za pomocą AES-256-GCM)

Uwaga: W przypadku korzystania z własnego klucza API, przetwarzanie danych wejściowych u danego dostawcy AI odbywa się na odpowiedzialność klienta. Obowiązują zasady ochrony danych danego dostawcy.

Odbiorcy: Wybrany przez klienta dostawca AI.

Okres przechowywania: Zaszyfrowany klucz API jest przechowywany przez cały okres trwania stosunku umownego i usuwany po usunięciu konta.

8. Legal Sync — Monitorowanie zmian w przepisach prawnych

Cel: Zautomatyzowane monitorowanie zmian w przepisach prawnych w ponad 186 jurysdykcjach. W przypadku istotnych zmian, odpowiednie teksty prawne klienta są automatycznie oznaczane jako wymagające aktualizacji. W pakietach z funkcją „Auto-Update" odpowiednie teksty mogą być automatycznie regenerowane.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy — Legal Sync jest częścią wykupionego pakietu).

Kategorie przetwarzanych danych:

• Przypisanie jurysdykcji do stron internetowych klientów
• Przypisanie wygenerowanych tekstów prawnych do jurysdykcji
• Czas i rodzaj wykrytej zmiany w przepisach prawnych
• Status aktualizacji (aktualny, wymagający aktualizacji, automatycznie zaktualizowany)

Implementacja techniczna: Codzienny zautomatyzowany proces (Cron-Job, 03:00 UTC) sprawdza zmiany w przepisach prawnych i porównuje je z dokumentami klienta.

Odbiorcy: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (w przypadku automatycznego regenerowania tekstów prawnych), Resend (e-maile powiadomień).

Okres przechowywania: Protokoły zmian są przechowywane przez cały okres trwania stosunku umownego.

9. Policy-Audit — Scraping stron internetowych i analiza AI

9.1 Zautomatyzowane audyty zgodności

Cel: Zautomatyzowana cotygodniowa weryfikacja stron internetowych klientów pod kątem ryzyka związanego z ochroną danych. Obejmuje to wykrywanie nowych plików cookie od ostatniego skanowania, sprawdzanie problemów ze zgodą oraz analizę istniejących tekstów prawnych (polityka prywatności, stopka redakcyjna) klienta wspomaganą AI. Wynik jest przedstawiany jako Health-Score (A–F).

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy — funkcja audytu zgodności jest częścią platformy).

Kategorie przetwarzanych danych:

• Domena i URL audytowanej strony internetowej
• Zeskrapowane treści polityki prywatności i stopki redakcyjnej klienta
• Wyniki analizy AI (wykryte luki, przestarzałe odniesienia, brakujące usługi)
• Health-Score i raport zgodności
• Czas audytu

Implementacja techniczna: Playwright (przeglądarka headless, hostowana samodzielnie na Hetzner) scrapt publicznie dostępne teksty prawne ze strony internetowej klienta. Zeskrapowane teksty są następnie analizowane za pośrednictwem API Alibaba Cloud Qwen.

Odbiorcy: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (analiza AI), Resend (e-maile powiadomień w przypadku wykrytych problemów).

Okres przechowywania: Wyniki audytu i raporty zgodności są przechowywane przez cały okres trwania stosunku umownego.

10. Rynek prawniczy

10.1 Pośrednictwo w świadczeniu usług prawnych

Cel: Pośrednictwo w świadczeniu usług prawnych między klientami a niezależnymi prawnikami zarejestrowanymi na platformie. Campcruisers GmbH działa wyłącznie jako pośrednik i nie staje się stroną stosunku zlecenia między klientem a prawnikiem (por. § 14 OWH).

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy — korzystanie z rynku prawniczego).

10.2 Rejestracja prawnika

Kategorie przetwarzanych danych:

• Dane kontaktowe prawnika (imię i nazwisko, e-mail, telefon, adres kancelarii)
• Kwalifikacje zawodowe i specjalizacje
• Dokumenty weryfikacyjne (maks. 10 MB, PDF/JPEG/PNG)
• Status weryfikacji (PENDING_APPROVAL, APPROVED, REJECTED)
• Dostępność (tygodniowe okna czasowe, zablokowane daty, strefa czasowa)
• Zdjęcie profilowe i opis profilu
• Dane konta Stripe Connect (do wypłat)

10.3 Dane zlecenia

Kategorie przetwarzanych danych:

• Zapytania ofertowe i oferty (opis, cena, okres ważności)
• Status zlecenia (QUOTE_REQUESTED, QUOTE_SENT, PAYMENT_PENDING, IN_REVIEW, COMPLETED, QUOTE_REJECTED, QUOTE_EXPIRED, CANCELLED, DISPUTED)
• Wiadomości między klientem a prawnikiem
• Informacje o płatnościach (kwota, prowizja platformy, kwota wypłaty)

10.4 Konsultacje wideo (Twilio)

Cel: Świadczenie konsultacji wideo między klientami a prawnikami.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Kategorie przetwarzanych danych:

• Metadane konsultacji wideo (czas, czas trwania, uczestnicy)
• ID pokoju Twilio i token dostępu

Odbiorcy: Twilio Ireland Limited, Dublin, Irlandia (świadczenie infrastruktury wideo).

10.5 Oceny

Cel: Umożliwienie klientom oceniania prawników w celu zapewnienia jakości.

Podstawa prawna: Art. 6 ust. 1 lit. f RODO (uzasadniony interes w zapewnieniu jakości i przejrzystości).

Kategorie przetwarzanych danych:

• Ocena (gwiazdki, tekst swobodny)
• Czas oceny
• Przyporządkowanie do zlecenia

Odbiorcy dla całego rynku prawniczego: Stripe Connect (obsługa płatności), Twilio (konsultacje wideo), Hetzner Online GmbH (hosting), Resend (powiadomienia).

Okres przechowywania: Dane zlecenia są przechowywane przez czas trwania stosunku umownego, jednak co najmniej przez okres ustawowych obowiązków przechowywania (10 lat dla danych rachunkowych). Oceny pozostają widoczne przez czas trwania rejestracji prawnika. Nieprzyjęte oferty wygasają automatycznie po 7 dniach.

11. Funkcje agencji i White-Label

11.1 Zarządzanie subkontami

Cel: Umożliwienie agencjom zarządzania kontami klientów końcowych (subkontami) w ramach taryfy Agency.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Kategorie przetwarzanych danych:

• Adresy e-mail i dane kontaktowe właścicieli subkont (klientów końcowych agencji)
• Dane zaproszeń (e-mail, czas)
• Protokoły dostępu do tokenów proxy (czas, użytkownik agencji, subkonto)
• Konfiguracje stron internetowych i dane zgód subkont

Odbiorcy: Hetzner Online GmbH (hosting), Resend (e-maile z zaproszeniami).

Okres przechowywania: Przez czas trwania stosunku umownego między agencją a Campcruisers GmbH.

11.2 Niestandardowa domena (CNAME)

Cel: Udostępnienie własnej domeny dla panelu agencji.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Kategorie przetwarzanych danych:

• Nazwa domeny agencji
• Dane weryfikacyjne DNS
• Dane certyfikatu SSL/TLS (automatycznie dostarczane przez Let's Encrypt)

Odbiorcy: Let's Encrypt (wydawanie certyfikatów SSL — przekazywane są wyłącznie nazwy domen, żadne dane osobowe osób fizycznych), Hetzner Online GmbH (hosting, routing Traefik).

11.3 Własne e-maile transakcyjne

Cel: Umożliwienie wysyłania e-maili transakcyjnych pod marką agencji za pośrednictwem własnego dostawcy poczty e-mail.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Kategorie przetwarzanych danych:

• API-Keys dostawcy poczty e-mail agencji (przechowywane zaszyfrowane za pomocą AES-256-GCM)
• Dane nadawcy e-mail (imię i nazwisko, adres e-mail)
• Obsługiwani dostawcy: Resend, SendGrid, Mailjet, Mailchimp/Mandrill, Maileroo, Gmail SMTP, Custom SMTP

Uwaga: W przypadku korzystania z własnego dostawcy poczty e-mail, wysyłka e-maili odbywa się na odpowiedzialność agencji w zakresie ochrony danych.

Okres przechowywania: Zaszyfrowane API-Keys są przechowywane przez czas trwania stosunku umownego.

12. Newsletter

12.1 Subskrypcja newslettera

Cel: Wysyłanie informacji o aktualizacjach produktów, prawie ochrony danych, kwestiach zgodności i nowościach dotyczących Biscotti CMP.

Podstawa prawna: Art. 6 ust. 1 lit. a RODO (zgoda — newsletter jest wysyłany tylko po wyraźnej zgodzie w procedurze double opt-in).

Kategorie przetwarzanych danych:

• Adres e-mail
• Czas rejestracji i potwierdzenia double opt-in
• Status rezygnacji z subskrypcji

Procedura Double-Opt-In: Po wprowadzeniu adresu e-mail otrzymasz e-mail z potwierdzeniem zawierający link weryfikacyjny. Dopiero po kliknięciu tego linku Twój adres e-mail zostanie dodany do listy dystrybucyjnej newslettera.

Odbiorcy: Resend (wysyłka e-maili z newsletterem i e-maila z potwierdzeniem).

Rezygnacja z subskrypcji: Możesz zrezygnować z newslettera w dowolnym momencie. Każdy e-mail z newsletterem zawiera link do rezygnacji z subskrypcji (Unsubscribe-Link). Alternatywnie możesz zrezygnować, wysyłając e-mail na adres [email protected].

Okres przechowywania: Twój adres e-mail będzie przechowywany do momentu rezygnacji z newslettera. Po rezygnacji adres e-mail zostanie natychmiast usunięty z listy dystrybucyjnej. W celu udokumentowania udzielonej zgody, czas rejestracji i potwierdzenia jest przechowywany przez 3 lata po rezygnacji (uzasadniony interes w możliwości udowodnienia zgody, Art. 6 ust. 1 lit. f RODO).

13. Program nagród za recenzje

Cel: Nagradzanie klientów, którzy wystawiają recenzje o Biscotti CMP na zewnętrznych platformach recenzenckich, dodatkowymi sesjami i tymczasowym ulepszeniem planu.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy — udział w programie jest dobrowolny i stanowi dodatkową usługę umowną).

Kategorie przetwarzanych danych:

• Dane konta uczestniczącego klienta
• Platforma recenzencka (OMR Reviews, Capterra, G2, Google Business, WordPress.org, Trustpilot, SourceForge, Facebook, earlybird.so)
• Link do wystawionej recenzji
• Status zatwierdzenia (przez weryfikację administratora)
• Dane nagród (15 000 sesji bonusowych, 1 miesiąc ulepszenia planu)

Odbiorcy: Hetzner Online GmbH (hosting).

Okres przechowywania: Dane nagród są przechowywane przez czas trwania stosunku umownego. Sesje bonusowe wygasają po 6 miesiącach (plany regularne) lub są ważne bezterminowo (plany LTD).

14. Obsługa płatności (Stripe)

14.1 Płatności abonamentowe

Cel: Obsługa płatności za płatne plany abonamentowe, pakiety kredytów i inne płatne usługi.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Kategorie przetwarzanych danych:

• Adres rozliczeniowy (imię i nazwisko/firma, ulica, kod pocztowy, miejscowość, kraj)
• Numer identyfikacji podatkowej (USt-IdNr.) (w przypadku klientów B2B)
• Metoda płatności (karta kredytowa, polecenie zapłaty SEPA, PayPal, Apple Pay, Google Pay itp.)
• Historia płatności i faktury
• Stripe Customer-ID i Subscription-ID

Odbiorcy: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlandia. Stripe jest certyfikowany w ramach EU-US Data Privacy Framework.

Okres przechowywania: Faktury i dane księgowe są przechowywane przez 10 lat (§ 147 AO, §§ 238, 257 HGB). Metody płatności są przechowywane w Stripe przez czas trwania abonamentu.

14.2 Stripe Connect (Rynek prawniczy)

Cel: Obsługa płatności między klientami a prawnikami za pośrednictwem rynku prawniczego oraz wypłaty dla prawników.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Kategorie przetwarzanych danych:

• Dane konta Stripe Connect Express prawników
• Kwoty płatności, prowizja platformy, kwoty wypłat
• Dane sesji Checkout

Odbiorcy: Stripe Payments Europe, Ltd., Dublin, Irlandia.

Okres przechowywania: Zgodnie z obowiązkami przechowywania danych rachunkowych (10 lat).

14.3 Faktury ZUGFeRD

Cel: Tworzenie i udostępnianie faktur w formacie ZUGFeRD (PDF z osadzonym XML zgodnie z EN 16931).

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy) w związku z Art. 6 ust. 1 lit. c RODO (obowiązek prawny — obowiązki wystawiania faktur zgodnie z UStG, HGB).

Kategorie przetwarzanych danych:

• Adres rozliczeniowy, numer klienta (CUS-RRMM-XXXXX), numer faktury (INV-RRMM-XXXXX)
• Opis usługi, kwoty, stawki podatkowe

Odbiorcy: Resend (wysyłka faktury e-mailem), Hetzner Online GmbH (hosting).

Okres przechowywania: 10 lat (§ 147 AO, §§ 238, 257 HGB).

15. Wykrywanie GeoIP

Cel: Ustalenie kraju lub jurysdykcji odwiedzającego stronę internetową na podstawie adresu IP w celu dynamicznego wyświetlania zgodnych z prawem wariantów banerów (np. Opt-In dla krajów RODO, Opt-Out dla krajów CCPA, Notice-Only dla krajów bez specyficznych przepisów dotyczących plików cookie).

Podstawa prawna: Art. 6 ust. 1 lit. f RODO (uzasadniony interes w zgodnym z prawem wyświetlaniu banera zgody zgodnie z obowiązującą jurysdykcją odwiedzającego stronę internetową).

Kategorie przetwarzanych danych:

• Adres IP odwiedzającego stronę internetową (przekazywany do ip-api.com w celu rozpoznania kraju)
• Ustalony kod kraju

Implementacja techniczna: Adres IP jest przekazywany do usługi ip-api.com (siedziba: Litwa, UE). Wynik (kod kraju) jest buforowany w pamięci podręcznej (Redis) przez 1 godzinę, aby uniknąć powtarzających się zapytań. Po rozpoznaniu kraju adres IP jest anonimizowany do kryptograficznego hasha (IP-Hash). Surowe adresy IP nie są trwale przechowywane.

Odbiorcy: ip-api.com (ip-api, Litwa — usługa GeoIP), Hetzner Online GmbH (hosting, Redis-cache).

Okres przechowywania: Wynik GeoIP jest przechowywany w pamięci podręcznej przez 1 godzinę. Surowe adresy IP są natychmiast anonimizowane po rozpoznaniu kraju. IP-Hash jest przechowywany jako część danych zgody przez skonfigurowany okres przechowywania (standardowo: 18 miesięcy).

16. Wykrywanie botów

Cel: Rozróżnianie między ludzkimi odwiedzającymi stronę internetową a zautomatyzowanymi dostępami (boty, crawlery, scrapers) w celu prawidłowego zliczania sesji. Zautomatyzowane dostępy nie są liczone jako sesje i nie są naliczane.

Podstawa prawna: Art. 6 ust. 1 lit. f RODO (uzasadniony interes w prawidłowym rozliczaniu i ochronie platformy przed nadużyciami).

Kategorie przetwarzanych danych:

• Ciąg User-Agent
• Nagłówki HTTP (np. Accept-Language, Accept-Encoding)
• Cechy przeglądarek headless
• Adres IP (do limitowania stawek na podstawie IP, nie jest trwale przechowywany)

Implementacja techniczna: Wykrywanie botów analizuje każdy dostęp na podstawie analizy User-Agent, analizy nagłówków (np. brak nagłówków Accept-Language), wykrywania przeglądarek headless i limitowania stawek na podstawie IP. Analiza odbywa się w czasie rzeczywistym na naszych serwerach.

Odbiorcy: Hetzner Online GmbH (hosting).

Okres przechowywania: Wyniki analizy nie są trwale przechowywane. Wynik (Bot: tak/nie) jest uwzględniany w zliczaniu sesji.

16.1 Cloudflare Turnstile (ochrona przed botami przy logowaniu/rejestracji)

Cel: Ochrona formularzy logowania i rejestracji przed zautomatyzowanymi atakami botów.

Podstawa prawna: Art. 6 ust. 1 lit. f RODO (uzasadniony interes w ochronie platformy przed nadużyciami i zautomatyzowanymi atakami).

Kategorie przetwarzanych danych:

• Adres IP
• Informacje o przeglądarce
• Dane interakcji z widżetem Turnstile

Odbiorcy: Cloudflare Germany GmbH, Rosental 7, 80331 Monachium, Niemcy. Cloudflare jest certyfikowany w ramach EU-US Data Privacy Framework. Zabezpieczenie jest dodatkowo zapewnione przez Standardowe Klauzule Umowne (SCCs).

Okres przechowywania: Cloudflare przechowuje dane zgodnie z własnymi przepisami o ochronie danych. Na naszych serwerach nie są przechowywane żadne dodatkowe dane z Turnstile.

17. Śledzenie sesji

Cel: Zliczanie sesji do rozliczania opartego na taryfach. Sesja jest zliczana, gdy widget Biscotti-CMP (biscotti.min.js) zostanie załadowany na stronie internetowej klienta i wyśle HTTP-Ping do punktu końcowego /api/v1/ping.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy — rozliczanie oparte na sesjach jest podstawą modelu taryfowego).

Kategorie przetwarzanych danych:

• Licznik sesji (zagregowany dla każdej strony internetowej i miesiąca rozliczeniowego)
• Czas Pingu
• Wynik wykrywania botów (por. sekcja 16)

Implementacja techniczna: Redis jest używany jako baza danych in-memory do śledzenia sesji i buforowania. Redis jest hostowany samodzielnie na Hetzner (Falkenstein, Niemcy). Nie następuje przekazywanie danych stronom trzecim.

Odbiorcy: Hetzner Online GmbH (hosting, Redis).

Okres przechowywania: Liczniki sesji są przechowywane dla danego miesiąca rozliczeniowego. Historyczne dane sesji są przechowywane przez czas trwania stosunku umownego w celu weryfikacji rozliczeń.

18. Kopie zapasowe

Cel: Regularne tworzenie kopii zapasowych logów zgód, konfiguracji banerów, konfiguracji stron internetowych i danych baz danych w celu zapewnienia możliwości odzyskania danych w przypadku ich utraty.

Podstawa prawna: Art. 6 ust. 1 lit. f RODO (uzasadniony interes w bezpieczeństwie danych i możliwości ich odzyskania zgodnie z Art. 32 ust. 1 lit. c RODO).

Kategorie przetwarzanych danych:

• Wszystkie dane przechowywane w bazie danych (logi zgód, konfiguracje, dane konta, teksty prawne, wyniki skanowania)
• Konfiguracje banerów

Implementacja techniczna:

• Codzienne automatyczne kopie zapasowe bazy danych PostgreSQL
• Codzienne automatyczne kopie zapasowe konfiguracji banerów i konfiguracji stron internetowych
• Przechowywanie na samodzielnie hostowanej pamięci MinIO w ramach Hetzner
• Szyfrowanie po stronie serwera za pomocą AES-256
• Sprawdzanie integralności za pomocą sum kontrolnych SHA-256
• Regularne testy odzyskiwania danych

Odbiorcy: MinIO (hostowane samodzielnie na Hetzner Online GmbH).

Okres przechowywania: Kopie zapasowe są przechowywane przez okres rotacyjny. W przypadku usunięcia konta, dane kopii zapasowych są usuwane po upływie 30-dniowego okresu karencji i następnego cyklu rotacji kopii zapasowych.

19. Hosting i infrastruktura

19.1 Hetzner Online GmbH

Cel: Hosting całej infrastruktury Biscotti CMP, w tym serwerów WWW, bazy danych, logiki aplikacji i wszystkich powiązanych usług.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy) w związku z Art. 6 ust. 1 lit. f RODO (uzasadniony interes w posiadaniu niezawodnej i bezpiecznej infrastruktury).

Lokalizacja centrum danych: Falkenstein/Vogtland (Niemcy, EU).

Dostawca: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Niemcy.

Architektura techniczna:

• Aplikacja skonteneryzowana (Docker)
• Traefik jako reverse-proxy i load-balancer
• PostgreSQL jako relacyjna baza danych (hostowana samodzielnie na Hetzner)
• Redis jako baza danych in-memory do śledzenia sesji i buforowania (hostowana samodzielnie na Hetzner)
• Playwright jako przeglądarka headless do skanowania stron internetowych (hostowana samodzielnie na Hetzner)
• MinIO jako pamięć obiektowa kompatybilna z S3 do tworzenia kopii zapasowych (hostowana samodzielnie na Hetzner)

19.2 Pliki dziennika serwera

Cel: Techniczne udostępnienie strony internetowej i zapewnienie stabilności systemu.

Podstawa prawna: Art. 6 ust. 1 lit. f RODO (uzasadniony interes w technicznym udostępnianiu i bezpieczeństwie).

Kategorie przetwarzanych danych:

• Adres IP (anonimizowany)
• Data i godzina dostępu
• Odwiedzona strona/punkt końcowy
• Kod statusu HTTP
• Przesłana ilość danych
• Adres URL odsyłający (referrer)
• Typ i wersja przeglądarki
• System operacyjny

Okres przechowywania: Pliki dziennika serwera są przechowywane przez maksymalnie 30 dni, a następnie automatycznie usuwane.

20. Pliki cookie i pamięć lokalna na biscotti-cmp.com

20.1 Własne wykorzystanie Biscotti CMP

W celu zarządzania niezbędnymi zgodami na naszej własnej stronie internetowej (biscotti-cmp.com) używamy naszego własnego produktu „Biscotti CMP".

20.2 Technicznie niezbędne pliki cookie

Cel: Zapewnienie funkcjonalności strony internetowej i panelu sterowania.

Podstawa prawna: Art. 6 ust. 1 lit. f RODO (uzasadniony interes w funkcjonalności technicznej) w związku z § 25 ust. 2 nr 2 TDDDG (technicznie niezbędne pliki cookie są wyłączone z obowiązku uzyskania zgody).

Używane technicznie niezbędne pliki cookie:

• Plik cookie sesji (token JWT do uwierzytelniania, ważność: 7 dni)
• Plik cookie zgody (przechowywanie decyzji o zgodzie odwiedzającego na biscotti-cmp.com)
• Plik cookie preferencji językowych

20.3 Analityczne pliki cookie (tylko za zgodą)

Cel: Statystyczna ocena korzystania z naszej strony internetowej w celu ulepszenia naszej oferty.

Podstawa prawna: Art. 6 ust. 1 lit. a RODO (zgoda) w związku z § 25 ust. 1 TDDDG.

Google Analytics 4: Korzystamy z Google Analytics 4 do analizy statystycznej wyłącznie za Państwa zgodą. Dostawca: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia. Przetwarzanie danych odbywa się w UE. Anonimizacja IP jest aktywna.

20.4 Szczegółowe informacje o plikach cookie

Szczegółowe informacje o wszystkich plikach cookie używanych na biscotti-cmp.com, w tym nazwa, cel, dostawca, okres przechowywania i typ, znajdują się w naszej oddzielnej Polityce plików cookie.

21. Zewnętrzni dostawcy usług / Odbiorcy

W celu świadczenia naszych usług korzystamy z następujących zewnętrznych dostawców usług. Lista ta odpowiada § 24 naszych OWH i § 7 naszej Umowy o Powierzenie Przetwarzania Danych:

Technologie hostowane samodzielnie (niezależne podmioty przetwarzające):

• PostgreSQL (Open Source) — Relacyjna baza danych, hostowana samodzielnie na Hetzner (Falkenstein)
• Redis (Open Source) — Baza danych in-memory do śledzenia sesji i buforowania, hostowana samodzielnie na Hetzner (Falkenstein)
• Playwright (Open Source, Microsoft) — Przeglądarka headless do skanowania stron internetowych, hostowana samodzielnie na Hetzner (Falkenstein)
• MinIO (Open Source) — Pamięć obiektowa kompatybilna z S3 do tworzenia kopii zapasowych, hostowana samodzielnie na Hetzner (Falkenstein)

W przypadku tych technologii nie dochodzi do przekazywania danych stronom trzecim. Stanowią one część infrastruktury Hetzner wymienionej w pkt 5.

22. Przekazywanie danych do państw trzecich

22.1 Zasada ogólna

Przetwarzanie danych osobowych odbywa się zasadniczo w obrębie Unii Europejskiej (UE) lub Europejskiego Obszaru Gospodarczego (EOG). Główna infrastruktura (Hetzner Online GmbH, Falkenstein) znajduje się w Niemczech.

22.2 Przekazywanie danych do państw trzecich

W zakresie, w jakim przetwarzanie odbywa się przez zewnętrznych dostawców usług poza UE/EOG, zapewniamy spełnienie szczególnych wymogów Art. 44 i nast. RODO:

(a) Resend (USA):

• Zabezpieczenie poprzez aktualne standardowe klauzule umowne (SCC) Komisji Europejskiej zgodnie z decyzją wykonawczą (UE) 2021/914
• Dodatkowe zabezpieczenie poprzez ramy ochrony danych UE-USA (DPF) zgodnie z decyzją wykonawczą Komisji Europejskiej z dnia 10 lipca 2023 r.
• Uzupełniające środki techniczne: szyfrowanie TLS wszystkich transmisji e-mail
• Przetwarzanie danych odbywa się na serwerach AWS w UE (region eu-west-1)

(b) Let's Encrypt (USA):

• Komunikacja z Let's Encrypt ogranicza się do automatycznego wydawania certyfikatów SSL/TLS za pośrednictwem protokołu ACME
• Przekazywane są wyłącznie nazwy domen — żadne dane osobowe osób fizycznych

(c) Cloudflare Turnstile (Globalnie):

• Zabezpieczenie poprzez standardowe klauzule umowne (SCC) Komisji Europejskiej
• Dodatkowe zabezpieczenie poprzez ramy ochrony danych UE-USA
• Przetwarzanie ogranicza się do wykrywania botów podczas procesów logowania i rejestracji

22.3 Ocena skutków przekazywania danych

Dla każdego przekazania danych do państwa trzeciego przeprowadzamy ocenę skutków przekazywania danych (Transfer Impact Assessment — TIA), aby upewnić się, że poziom ochrony danych w państwie trzecim odpowiada w zasadzie poziomowi w UE. Wyniki TIA udostępniamy na żądanie.

22.4 Zmiany stanu prawnego

W przypadku uchylenia decyzji Komisji Europejskiej o adekwatności lub zakazu przekazywania danych do państwa trzeciego przez organ nadzorczy lub sąd, niezwłocznie Państwa o tym poinformujemy i podejmiemy odpowiednie alternatywne środki ochronne lub zaprzestaniemy przetwarzania danych.

23. Okres przechowywania i terminy usunięcia danych

Przechowujemy dane osobowe tylko tak długo, jak jest to niezbędne do danego celu przetwarzania lub gdy istnieją ustawowe obowiązki przechowywania. Poniżej przedstawiamy przegląd głównych okresów przechowywania:

Po usunięciu konta wszystkie dane osobowe zostaną nieodwracalnie i zgodnie z przepisami o ochronie danych usunięte z systemów produkcyjnych i kopii zapasowych po upływie 30-dniowego okresu karencji, z zastrzeżeniem wyżej wymienionych ustawowych obowiązków przechowywania.

24. Prawa osób, których dane dotyczą (Art. 15–22 RODO)

Jako osoba, której dane dotyczą, przysługują Państwu następujące prawa w odniesieniu do Państwa danych osobowych:

24.1 Prawo dostępu do danych (Art. 15 RODO)

Mają Państwo prawo żądać od nas potwierdzenia, czy przetwarzamy dane osobowe Państwa dotyczące. Jeśli tak, mają Państwo prawo do uzyskania dostępu do tych danych osobowych oraz do informacji wymienionych w Art. 15 ust. 1 RODO (cele przetwarzania, kategorie danych osobowych, odbiorcy, planowany okres przechowywania, pochodzenie danych, istnienie zautomatyzowanego podejmowania decyzji).

Implementacja techniczna: Mogą Państwo w każdej chwili przeglądać swoje dane konta w panelu sterowania. Dane zgód można pobrać za pomocą funkcji eksportu (CSV). Odwiedzający stronę internetową mogą przeglądać swoje zapisane dane zgód, podając swój identyfikator zgody na publicznej stronie wyszukiwania zgód.

24.2 Prawo do sprostowania danych (Art. 16 RODO)

Mają Państwo prawo żądać niezwłocznego sprostowania nieprawidłowych danych osobowych. Z uwzględnieniem celów przetwarzania, mają Państwo prawo żądać uzupełnienia niekompletnych danych osobowych.

Implementacja techniczna: Dane konta (imię, e-mail, firma, adres) mogą być w każdej chwili poprawione w panelu sterowania.

24.3 Prawo do usunięcia danych (Art. 17 RODO)

Mają Państwo prawo żądać niezwłocznego usunięcia swoich danych osobowych, o ile zachodzi jedna z przyczyn wymienionych w Art. 17 ust. 1 RODO (np. dane nie są już niezbędne do celu, cofnięcie zgody, niezgodne z prawem przetwarzanie).

Implementacja techniczna: Mogą Państwo w każdej chwili zlecić usunięcie swojego konta za pośrednictwem panelu sterowania lub poczty elektronicznej na adres [email protected]. Podczas usuwania konta wszystkie dane osobowe są nieodwracalnie usuwane, z zastrzeżeniem ustawowych obowiązków przechowywania (por. sekcja 23). Dane zgód mogą być usunięte przez klienta (operatora strony internetowej) za pomocą funkcji panelu sterowania.

Ograniczenia: Prawo do usunięcia danych nie przysługuje, o ile przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego (np. obowiązki przechowywania wynikające z prawa podatkowego i handlowego).

24.4 Prawo do ograniczenia przetwarzania (Art. 18 RODO)

Mają Państwo prawo żądać ograniczenia przetwarzania, jeżeli spełniony jest jeden z warunków wymienionych w Art. 18 ust. 1 RODO (np. kwestionowanie prawidłowości, niezgodne z prawem przetwarzanie, sprzeciw zgodnie z Art. 21 RODO).

Implementacja techniczna: Ograniczenie poszczególnych zbiorów danych może być zlecone za pośrednictwem funkcji panelu sterowania lub poprzez kontakt z naszym wsparciem technicznym.

24.5 Prawo do przenoszenia danych (Art. 20 RODO)

Mają Państwo prawo otrzymać w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego dane osobowe Państwa dotyczące, które nam Państwo dostarczyli. Mają Państwo prawo przesłać te dane innemu administratorowi bez przeszkód.

Implementacja techniczna: Biscotti CMP oferuje szerokie możliwości eksportu danych w formacie CSV za pośrednictwem panelu sterowania i interfejsu REST-API. Można eksportować: dane zgód, konfiguracje stron internetowych, wyniki skanowania, teksty prawne, logi audytu i faktury.

24.6 Prawo do sprzeciwu (Art. 21 RODO)

Mają Państwo prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z Państwa szczególną sytuacją – wobec przetwarzania dotyczących Państwa danych osobowych opartego na Art. 6 ust. 1 lit. f RODO (uzasadniony interes). Wówczas nie będziemy już przetwarzać tych danych osobowych, chyba że wykażemy istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec Państwa interesów, praw i wolności, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń prawnych.

24.7 Prawo do wycofania zgody (Art. 7 ust. 3 RODO)

W zakresie, w jakim przetwarzanie opiera się na Państwa zgodzie (Art. 6 ust. 1 lit. a RODO), mają Państwo prawo w każdej chwili wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.

Implementacja techniczna dla odwiedzających stronę internetową: Baner zgody Biscotti CMP oferuje użytkownikom końcowym funkcję, która umożliwia w każdej chwili wywołanie i wycofanie dokonanych ustawień. Wycofanie zgody jest tak samo proste, jak jej udzielenie.

Implementacja techniczna dla newslettera: Każda wiadomość e-mail z newsletterem zawiera link do rezygnacji.

24.8 Prawo do wniesienia skargi do organu nadzorczego (Art. 77 RODO)

Mają Państwo prawo wnieść skargę do organu nadzorczego ds. ochrony danych w związku z przetwarzaniem Państwa danych osobowych przez nas. Właściwym dla nas organem nadzorczym jest:

Pełnomocnik Kraju Związkowego Brandenburgia ds. Ochrony Danych i Prawa Dostępu do Akt
Stahnsdorfer Damm 77
14532 Kleinmachnow
Telefon: +49 33203 356-0
E-mail: [email protected]

Mogą Państwo jednak również skontaktować się z organem nadzorczym w miejscu Państwa zwykłego pobytu lub pracy.

24.9 Kontakt w celu skorzystania z Państwa praw

W celu skorzystania z Państwa praw prosimy o kontakt:

E-mail: [email protected]
Telefon: +49 3322 50703301
Poczta: Campcruisers GmbH, Berliner Str. 21 B, 14612 Falkensee, Niemcy

Państwa zapytanie zostanie rozpatrzone niezwłocznie, najpóźniej w ciągu jednego miesiąca od daty jego otrzymania (Art. 12 ust. 3 RODO). W skomplikowanych przypadkach lub przy dużej liczbie zapytań termin ten może zostać przedłużony o kolejne dwa miesiące, o czym Państwa poinformujemy, podając przyczyny.

25. Zautomatyzowane podejmowanie decyzji (Art. 22 RODO)

25.1 Generowanie tekstu AI

W ramach Legal Suite teksty prawne są generowane przez sztuczną inteligencję (Alibaba Cloud Qwen). Generowanie tekstu stanowi zautomatyzowane przetwarzanie, które jednak nie jest zautomatyzowanym podejmowaniem decyzji w rozumieniu Art. 22 ust. 1 RODO, ponieważ:

• Wygenerowane teksty nie wywołują skutków prawnych wobec osoby, której dane dotyczą, ani nie wpływają na nią w podobny sposób w znacznym stopniu.
• Teksty stanowią jedynie projekty, które muszą zostać sprawdzone, edytowane i zatwierdzone przez klienta przed użyciem.
• Żadna decyzja nie opiera się wyłącznie na zautomatyzowanym przetwarzaniu — klient zawsze zachowuje pełną kontrolę nad wykorzystaniem wygenerowanych tekstów.

25.2 Kategoryzacja plików cookie wspomagana AI

Automatyczna kategoryzacja plików cookie przez AI (Niezbędne, Funkcjonalne, Analityczne, Marketingowe) stanowi funkcję wspierającą. Klient może w każdej chwili ręcznie sprawdzić i dostosować kategoryzację. Nie jest to zautomatyzowane podejmowanie decyzji w rozumieniu Art. 22 RODO.

25.3 Wykrywanie botów

Zautomatyzowane wykrywanie botów (por. sekcja 16) automatycznie decyduje, czy dostęp jest klasyfikowany jako ludzki czy zautomatyzowany. Decyzja ta ma wpływ na liczenie sesji, a tym samym na rozliczenia. Ponieważ decyzja dotyczy wyłącznie klienta (a nie odwiedzającego stronę internetową) i klient może śledzić liczenie sesji w panelu sterowania, nie ma tu zautomatyzowanego podejmowania decyzji w rozumieniu Art. 22 RODO, które znacząco wpływałoby na osobę, której dane dotyczą.

25.4 Wynik zdrowia zgodności

Automatyczne obliczanie wyniku zdrowia zgodności (A–F) w ramach audytu polityki (por. sekcja 9) stanowi funkcję informacyjną i wspierającą. Wynik nie ma skutków prawnych i służy wyłącznie informowaniu klienta.

25.5 Informacja o przejrzystości zgodnie z aktem o sztucznej inteligencji UE

Wykorzystujemy systemy AI (Alibaba Cloud Qwen) do generowania tekstu, kategoryzacji plików cookie i analizy polityki. Zgodnie z obowiązkami przejrzystości wynikającymi z rozporządzenia (UE) 2024/1689 (akt o sztucznej inteligencji UE) informujemy, że:

• Treści generowane przez AI są odpowiednio oznaczane.
• AI symuluje różne role ekspertów prawnych — nie jest to weryfikacja przez prawdziwych prawników.
• Zdecydowanie zalecamy, aby teksty prawne generowane przez AI były sprawdzane przez wykwalifikowanego prawnika przed ich produktywnym użyciem.

26. Zmiany w polityce prywatności

Zastrzegamy sobie prawo do dostosowania niniejszej polityki prywatności w celu uwzględnienia zmian w przepisach prawnych, rozwoju technicznego lub nowych funkcjonalności Biscotti CMP. Aktualna wersja jest zawsze dostępna na naszej stronie internetowej pod adresem biscotti-cmp.com/de/datenschutz.

W przypadku istotnych zmian, które dotyczą Państwa praw lub sposobu przetwarzania danych, poinformujemy Państwa drogą mailową na adres e-mail zapisany w Państwa koncie. Zalecamy regularne sprawdzanie niniejszej polityki prywatności.

27. Właściwy organ nadzorczy

Właściwym organem nadzorczym ds. ochrony danych dla Campcruisers GmbH jest:

Pełnomocnik Kraju Związkowego Brandenburgia ds. Ochrony Danych i Prawa Dostępu do Akt
Stahnsdorfer Damm 77
14532 Kleinmachnow
Niemcy
Telefon: +49 33203 356-0
E-mail: [email protected]
Strona internetowa: https://www.lda.brandenburg.de

Bezpieczeństwo danych

Stosujemy kompleksowe techniczne i organizacyjne środki bezpieczeństwa zgodnie z Art. 32 RODO w celu ochrony Państwa danych osobowych. Należą do nich w szczególności:

• Szyfrowanie podczas transmisji: TLS 1.2/1.3 dla wszystkich transmisji danych, wymuszanie HTTPS (HSTS)
• Szyfrowanie w spoczynku: Szyfrowanie AES-256 wszystkich baz danych i nośników pamięci na platformie Hetzner Online GmbH, AES-256-GCM dla wrażliwych danych konfiguracyjnych (klucze API, klucze BYOK)
• Pseudonimizacja: Dane zgód są powiązane z pseudonimowymi identyfikatorami zgód, adresy IP są anonimizowane do hashów IP
• Kontrola dostępu: Kontrola dostępu oparta na rolach (RBAC), zasada minimalnych uprawnień, logiczne rozdzielenie klientów
• Uwierzytelnianie: Uwierzytelnianie oparte na JWT, Cloudflare Turnstile do ochrony przed atakami botów
• Kopia zapasowa i odzyskiwanie: Codzienne automatyczne kopie zapasowe z szyfrowaniem AES-256 i weryfikacją integralności SHA-256
• Logowanie audytu: Kompleksowy system logowania dla wszystkich działań związanych z bezpieczeństwem

Pełne techniczne i organizacyjne środki (TOM) są udokumentowane w § 8 naszej Umowy o Powierzenie Przetwarzania Danych (AVV).