Prywatność

Polityka prywatności i umowa powierzenia przetwarzania danych systemu IRVYS. Dokumentacja RODO & DPA, tryb B2B / B2G (Unia Europejska & EOG).

To jest tłumaczenie informacyjne. W razie rozbieżności interpretacyjnych pierwszeństwo ma wersja słowacka. Wiążąca wersja słowacka

Artykuł I. Dane administratora i postanowienia wstępne

Niniejszy dokument określa zasady przetwarzania i ochrony danych osobowych w związku z prowadzeniem i korzystaniem z chmurowego systemu emisyjnego i informacyjnego IRVYS zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (dalej „RODO”) oraz słowacką ustawą nr 18/2018 Dz.U. o ochronie danych osobowych w obowiązującym brzmieniu.
Dostawcą i operatorem Systemu IRVYS jest spółka:
Firma
Datawell s.r.o.
Siedziba
Jeruzalemská 293/2, 917 01 Trnava, Republika Słowacka
Numer identyfikacyjny (IČO)
53983483
Numer podatkowy (DIČ)
2121540751
Numer VAT UE
SK2121540751
Wpis do rejestru
Rejestr handlowy Sądu Rejonowego w Trnawie, dział: Sro, wpis nr 49729/T
E-mail kontaktowy w sprawach RODO
info@irvys.net
(dalej „Dostawca”).
Świadcząc System IRVYS w segmencie B2B i B2G (przedsiębiorcy, gminy, szkoły, instytucje w UE/EOG) Dostawca występuje w dwóch różnych rolach prawnych w rozumieniu RODO:
- A) Dostawca jako Administrator (Artykuły II–IV): w odniesieniu do danych osobowych przedstawicieli, organów statutowych, osób kontaktowych i administratorów Klienta, które przetwarza w celu zawarcia umowy, fakturowania, obsługi kont użytkowników i wsparcia klienta.
- B) Dostawca jako Podmiot przetwarzający (Artykuł V – Umowa powierzenia przetwarzania danych / DPA): w odniesieniu do danych osobowych osób trzecich, które sam Klient wgrywa do Systemu IRVYS, przechowuje w nim lub emituje za jego pośrednictwem w ramach swoich emitowanych Treści.

Artykuł II. Zakres, cele i podstawy prawne przetwarzania (Dostawca jako Administrator)

W przypadkach, w których Dostawca występuje jako samodzielny Administrator (art. 4 pkt 7 RODO), przetwarza dane osobowe przedstawicieli i użytkowników po stronie Klienta w następującym zakresie, w następujących celach i przez wskazany okres przechowywania:

Cel przetwarzania	Podstawa prawna (RODO)	Kategorie danych osobowych	Okres przechowywania
Wykonanie Umowy i zarządzanie kontem w Systemie IRVYS (nadanie dostępu, wsparcie techniczne, powiadomienia o działaniu)	Art. 6 ust. 1 lit. b) RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. f) RODO (prawnie uzasadniony interes w wykonaniu umowy przez pracowników Klienta)	Imię, nazwisko, stanowisko, adres e-mail, numer telefonu, login, zaszyfrowane hasło	Przez czas trwania Umowy i 30 dni po jej zakończeniu (do usunięcia konta użytkownika)
Ewidencja księgowa i podatkowa (wystawianie faktur, ewidencja VAT i informacje VIES w UE)	Art. 6 ust. 1 lit. c) RODO (wypełnienie obowiązku prawnego wynikającego z ustawy o rachunkowości i ustawy o VAT)	Dane do faktury, imię i nazwisko osoby kontaktowej na fakturze, IČO, DIČ, numer VAT UE, dane płatnicze, historia płatności	10 lat od końca roku, którego dotyczą dokumenty księgowe i faktury
Bezpieczeństwo sieci, zapobieganie oszustwom i logowanie (ochrona serwerów, obsługa incydentów i zgłoszeń zgodnie z DSA)	Art. 6 ust. 1 lit. f) RODO (prawnie uzasadniony interes Dostawcy w cyberbezpieczeństwie i sprawnym działaniu Systemu)	Adres IP, znaczniki czasu logowania (logi), identyfikator urządzenia końcowego/ekranu, zapisy aktywności w panelu administracyjnym	12 miesięcy od utworzenia wpisu (logu), chyba że incydent wymaga dłuższego przechowywania
Dochodzenie roszczeń i komunikacja handlowa (windykacja należności, informacje o aktualizacjach Systemu)	Art. 6 ust. 1 lit. f) RODO (prawnie uzasadniony interes Dostawcy w ochronie swoich praw i bezpośrednim marketingu B2B własnych usług)	Dane kontaktowe przedstawiciela Klienta, historia korespondencji umownej i e-mailowej, informacje o wykorzystywanych usługach	Przez czas trwania Umowy i do upływu terminów przedawnienia według słowackiego Kodeksu handlowego (zwykle 4 lata)

Artykuł III. Odbiorcy danych osobowych i przekazywanie do państw trzecich

Dostawca udostępnia dane osobowe wyłącznie w niezbędnym zakresie sprawdzonym kategoriom odbiorców i podmiotów przetwarzających, z którymi zawarł umowę powierzenia przetwarzania danych zgodnie z art. 28 RODO:
- dostawcy certyfikowanej infrastruktury chmurowej, serwerowej i hostingowej zlokalizowanej na terytorium Unii Europejskiej,
- zewnętrzne biura rachunkowe, doradztwa podatkowego i kancelarie prawne zobowiązane do zachowania tajemnicy,
- zewnętrzni specjaliści IT i programiści zapewniający techniczne utrzymanie i rozwój Systemu IRVYS,
- organy władzy publicznej (np. urząd skarbowy, sądy, organy ścigania) wyłącznie wtedy, gdy wymagają tego obowiązujące przepisy Słowacji lub UE.
Lokalizacja danych w UE/EOG: Dostawca przechowuje i przetwarza dane osobowe przede wszystkim w centrach danych zlokalizowanych w państwach członkowskich Unii Europejskiej lub Europejskiego Obszaru Gospodarczego (EOG). Dane osobowe nie są przekazywane do państw trzecich poza UE/EOG; gdyby wyjątkowo doszło do tego przy korzystaniu z globalnych narzędzi komunikacyjnych, nastąpi to wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (np. EU-US Data Privacy Framework) lub standardowych klauzul umownych (SCC) zgodnie z art. 46 RODO.
Przy przetwarzaniu danych osobowych Dostawca nie prowadzi zautomatyzowanego podejmowania decyzji w indywidualnych przypadkach ani profilowania w rozumieniu art. 22 RODO.

Artykuł IV. Prawa osób, których dane dotyczą, w UE

Osobie fizycznej, której dane osobowe przetwarza Dostawca (dalej „Osoba, której dane dotyczą”), przysługują zgodnie z art. 15–21 RODO następujące prawa:
- Prawo dostępu do danych (art. 15 RODO): prawo do uzyskania potwierdzenia, czy przetwarzane są jej dane osobowe, oraz do uzyskania ich kopii.
- Prawo do sprostowania (art. 16 RODO): prawo do niezwłocznego sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych osobowych.
- Prawo do usunięcia danych – „prawo do bycia zapomnianym” (art. 17 RODO): prawo do żądania usunięcia danych osobowych, jeżeli ustał cel ich przetwarzania i nie istnieje inna podstawa prawna do ich przechowywania (np. okres archiwizacji faktur).
- Prawo do ograniczenia przetwarzania (art. 18 RODO) oraz prawo do przenoszenia danych (art. 20 RODO) w ustrukturyzowanym formacie nadającym się do odczytu maszynowego.
- Prawo sprzeciwu (art. 21 RODO): prawo do wniesienia w dowolnym momencie sprzeciwu wobec przetwarzania danych osobowych na podstawie prawnie uzasadnionego interesu Dostawcy (w tym sprzeciwu wobec otrzymywania informacji handlowych).
Osoba, której dane dotyczą, może wykonywać swoje prawa pisemnie na adres siedziby Dostawcy lub elektronicznie na adres e-mail info@irvys.net. Dostawca rozpatrzy żądanie niezwłocznie, najpóźniej w terminie 1 miesiąca od jego otrzymania.
Prawo do wniesienia skargi do organu nadzorczego: Jeżeli Osoba, której dane dotyczą, uważa, że przetwarzanie jej danych osobowych narusza RODO, ma prawo wnieść skargę do organu nadzorczego w Republice Słowackiej, którym jest Urząd Ochrony Danych Osobowych Republiki Słowackiej (Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27, www.dataprotection.gov.sk), lub do właściwego organu nadzorczego ds. ochrony danych w państwie członkowskim UE, w którym ma miejsce zwykłego pobytu lub miejsce pracy.

Artykuł V. Umowa powierzenia przetwarzania danych osobowych (DPA zgodnie z art. 28 RODO)

Przedmiot i charakter przetwarzania: Niniejszy artykuł stanowi wiążącą Umowę powierzenia przetwarzania danych osobowych (Data Processing Agreement – DPA) w rozumieniu art. 28 ust. 3 RODO pomiędzy Klientem jako Administratorem a Dostawcą jako Podmiotem przetwarzającym. Ma zastosowanie, gdy Klient wgrywa do Systemu IRVYS, przechowuje w chmurze lub emituje za pośrednictwem ekranów końcowych Treści audio, wideo, tekstowe lub graficzne zawierające dane osobowe osób trzecich (np. zdjęcia i filmy pracowników, mieszkańców gminy, uczniów, występujących osób lub klientów Klienta).
Odpowiedzialność Klienta jako Administratora: Klient ponosi wyłączną odpowiedzialność za posiadanie ważnej podstawy prawnej zgodnie z art. 6 RODO do przetwarzania i publicznego rozpowszechniania danych osobowych zawartych w jego Treściach (np. zgoda osoby, której dane dotyczą, na publikację zdjęcia/filmu, wykonanie umowy, wykonanie zadania w interesie publicznym gminy/szkoły lub prawnie uzasadniony interes) oraz za wypełnienie obowiązku informacyjnego wobec osób, których dane dotyczą, zgodnie z art. 13 i 14 RODO.
Obowiązki Dostawcy jako Podmiotu przetwarzającego: Przez czas trwania głównej Umowy o świadczenie usług Dostawca zobowiązuje się:
- przetwarzać dane osobowe zawarte w Treściach wyłącznie na udokumentowane polecenie Klienta, przy czym za polecenie uważa się wgranie, zapisanie, zaplanowanie emisji i usunięcie pliku przez Klienta w interfejsie użytkownika Systemu IRVYS,
- zapewnić, aby osoby upoważnione do przetwarzania danych osobowych po stronie Dostawcy (pracownicy i administratorzy) były zobowiązane do zachowania tajemnicy,
- udzielać Klientowi odpowiedniej pomocy przy obsłudze żądań osób, których dane dotyczą, oraz przy wypełnianiu obowiązków wynikających z art. 32–36 RODO (w tym niezwłocznego zgłoszenia ewentualnego naruszenia ochrony danych osobowych na serwerach Systemu),
- umożliwić Klientowi, na jego pisemne żądanie, weryfikację przestrzegania obowiązków wynikających z niniejszego artykułu poprzez udostępnienie odpowiedniej dokumentacji bezpieczeństwa.
Techniczne i organizacyjne środki bezpieczeństwa (art. 32 RODO): Dostawca wdrożył odpowiednie środki bezpieczeństwa w celu ochrony danych w Systemie IRVYS, w szczególności szyfrowanie transmisji danych (protokoły HTTPS / TLS), szyfrowanie haseł logowania, logiczne oddzielenie danych poszczególnych Klientów w chmurze, zarządzanie uprawnieniami dostępu oraz regularną aktualizację infrastruktury serwerowej.
Korzystanie z dalszych podmiotów przetwarzających (Sub-processors): Klient udziela Dostawcy ogólnej pisemnej zgody na korzystanie z dalszych podmiotów przetwarzających zapewniających hosting w chmurze i utrzymanie Systemu na terenie UE/EOG. Dostawca zapewni, aby dalszy podmiot przetwarzający był związany takimi samymi obowiązkami w zakresie ochrony danych jak w niniejszej DPA.
Usunięcie danych po zakończeniu Umowy: Po zakończeniu głównej Umowy o korzystanie z Systemu IRVYS Klient może pobrać swoje dane z Systemu w terminie 14 dni (w przypadku natychmiastowego zakończenia) lub przed upływem okresu wypowiedzenia. Najpóźniej w ciągu 30 dni od dnia wygaśnięcia Umowy Dostawca trwale i nieodwracalnie usunie wszystkie Treści i dane osobowe Klienta ze wszystkich serwerów produkcyjnych i kopii zapasowych Systemu IRVYS, chyba że szczególny przepis UE lub Słowacji wymaga ich przechowywania.

Artykuł VI. Postanowienia końcowe

Niniejszy dokument stanowi odrębną część dokumentacji umownej do Ogólnych warunków handlowych korzystania z systemu IRVYS spółki Datawell s.r.o.
Dostawca jest uprawniony do aktualizacji niniejszej Polityki prywatności w przypadku zmian w przepisach UE/Słowacji lub zmian technicznych Systemu IRVYS. Aktualna wersja jest zawsze opublikowana w interfejsie Systemu i na stronie internetowej Dostawcy.
Niniejsza Polityka prywatności i umowa powierzenia przetwarzania danych wchodzą w życie z dniem 3.11.2026 r.