Polityka prywatności

1. Kto odpowiada za Twoje dane

Administratorem danych osobowych osób korzystających ze strony panekweb.pl jest:

We wszystkich sprawach dotyczących danych, w tym po to, żeby skorzystać z praw opisanych w punkcie 8, pisz na szymon.panek05@gmail.com. Odpowiadam osobiście, bo firma to jedna osoba.

Nie wyznaczyłem inspektora ochrony danych. Nie zachodzi żadna z przesłanek z art. 37 ust. 1 RODO: nie jestem organem publicznym, nie monitoruję nikogo na dużą skalę i nie przetwarzam na dużą skalę danych szczególnych kategorii.

2. Jakie dane zbieram i skąd je mam

Prawie wszystko dostaję od Ciebie, z formularzy na tej stronie. Jedyny wyjątek to statystyki odwiedzin, które zbierają się same, ale dopiero po Twojej zgodzie. Nie kupuję baz kontaktów i nie pobieram danych z zewnętrznych źródeł.

Rezerwacja rozmowy

Żeby zarezerwować termin, wypełniasz krótki formularz. Podajesz w nim imię, adres e-mail, numer telefonu, nazwę firmy i to, czym się zajmuje, rodzaj strony, o której myślisz, cel tej strony, termin, w jakim jest potrzebna, oraz opcjonalną notatkę. Do tego dochodzi wybrana przez Ciebie data i godzina rozmowy.

Pełny brief

Po rezerwacji dostajesz mailem link do dłuższego formularza. Jest w pełni dobrowolny i możesz go zignorować, a rozmowa i tak się odbędzie. Pytam w nim o firmę, o oczekiwania wobec strony, o posiadane materiały (logo, teksty, zdjęcia, domena, poczta), o sklep, jeśli ma powstać, i o budżet. Zapisuję odpowiedzi razem z brzmieniem pytań, żeby po latach dało się odczytać, na co odpowiadałeś.

Formularz „wolę po prostu napisać"

Jeśli zamiast rezerwacji wybierzesz zwykłą wiadomość, zbieram imię, adres e-mail, opcjonalnie telefon i treść tego, co napiszesz.

Adres IP

Adres IP zapisuję wyłącznie w liczniku prób wysłania formularza, razem z informacją, czy próba się powiodła. Nie buduję z niego historii Twoich odwiedzin, nie zapisuję go przy zwykłym przeglądaniu strony i nie łączę z rezerwacją. Służy jednemu: żeby bot nie zapchał kalendarza setką fikcyjnych spotkań. Szczegóły w punkcie 3.

Statystyki odwiedzin

Jeśli zgodzisz się na statystyki, Google Analytics 4 zapisuje, którą podstronę otworzyłeś, kiedy, jak długo na niej byłeś, skąd do mnie trafiłeś, jakiego urządzenia i przeglądarki używasz oraz z jakiego kraju i miasta łączysz się z siecią. Twój adres IP służy Google do ustalenia tej przybliżonej lokalizacji i nie jest zapisywany w raportach. Jeśli zgody nie wyrazisz, nie zbiera się nic z tej listy, bo skrypt w ogóle się nie uruchamia. Cały ten mechanizm opisuje punkt 7.

Czego tu nie ma. Strona nie zbiera danych o zdrowiu, poglądach, przynależności do organizacji ani żadnych innych z art. 9 RODO. Jeśli wpiszesz je z własnej inicjatywy w polu notatki, usunę je przy pierwszym przeglądzie.

3. Po co je przetwarzam i na jakiej podstawie

Nie ma tu marketingu. Nie prowadzę newslettera, nie wysyłam ofert do osób, które o nie nie prosiły, nie profiluję nikogo i nie proszę o zgody marketingowe. Wiadomości, które ode mnie dostaniesz, dotyczą wyłącznie Twojej rezerwacji albo Twojego pytania.

4. Komu je powierzam

Dane trafiają wyłącznie do podmiotów, bez których strona nie mogłaby działać. Każdy z nich przetwarza je na moje polecenie i tylko w zakresie opisanym niżej.

Baza danych, w której zapisuję rezerwacje i briefy, stoi na tym samym serwerze co strona, czyli u Hetznera we Frankfurcie. Nie korzystam z niczyjej chmurowej bazy danych, więc nie ma tu kolejnego podmiotu w łańcuchu.

Przekazywanie danych poza Europejski Obszar Gospodarczy

Serwer i kopie zapasowe zostają w EOG. Poza EOG trafiają trzy rzeczy: treść i adresat wiadomości e-mail, które obsługuje dostawca poczty ze Stanów Zjednoczonych, dane wydarzenia w kalendarzu, do których dostęp mają spółki grupy Google poza EOG, oraz statystyki odwiedzin, jeśli zgodzisz się na ich zbieranie. Podstawą wszystkich trzech przekazań jest decyzja wykonawcza Komisji Europejskiej z 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony danych w Stanach Zjednoczonych, uzupełniona standardowymi klauzulami umownymi. Kopię zabezpieczeń udostępnię na żądanie.

Poza tym dane mogą trafić do organów uprawnionych na podstawie przepisów prawa, gdy wystąpią o nie w przewidzianym trybie. Nikomu ich nie sprzedaję i nie udostępniam w celach reklamowych.

5. Kalendarz Google i Twój adres e-mail w wydarzeniu

Ten punkt opisuję osobno, bo dotyczy jedynego miejsca, w którym Twoje dane wychodzą z mojego serwera do cudzej usługi w sposób dla Ciebie widoczny.

Rezerwacja terminu zakłada wydarzenie w moim kalendarzu Google i generuje link do Google Meet. Do Google trafiają wtedy:

• Twoje imię w tytule wydarzenia. Tylko imię, w postaci oczyszczonej ze znaków specjalnych. Nazwa firmy, notatka i dane kontaktowe nie trafiają do tytułu.
• Nazwa firmy, telefon, adres e-mail i notatka w opisie wydarzenia. Potrzebuję ich w jednym miejscu, żeby przygotować się do rozmowy i móc się z Tobą skontaktować, gdy termin się przesunie.
• Twój adres e-mail dopisany jako adres gościa wydarzenia. To jest świadoma decyzja: Google Meet wpuszcza uczestnika zapisanego w wydarzeniu od razu, bez czekania w poczekalni, aż ktoś kliknie „wpuść". Bez tego rozmowa zaczynałaby się od problemu technicznego. Google nie wysyła Ci przy tym własnego zaproszenia, potwierdzenie dostajesz ode mnie.
• Zapis rozmowy nie powstaje. Nie nagrywam spotkań i nie włączam transkrypcji. Gdyby kiedyś było to potrzebne, poproszę o zgodę przed nagraniem.

Jeśli nie chcesz, żeby Twój adres e-mail znalazł się w wydarzeniu Google, napisz do mnie zamiast rezerwować termin. Umówię rozmowę ręcznie i przyślę link innym kanałem.

6. Jak długo je trzymam

Gdy dla tych samych danych zbiega się kilka okresów, obowiązuje najdłuższy. Po jego upływie dane są usuwane.

7. Pliki cookies i śledzenie

Ta strona liczy odwiedziny, ale tylko wtedy, gdy się na to zgodzisz. Przy pierwszym wejściu zobaczysz pytanie z dwoma równorzędnymi przyciskami. Do momentu, w którym klikniesz, żaden skrypt statystyk się nie ładuje i żadne żądanie nie wychodzi do Google. Jeśli odmówisz albo zignorujesz baner, strona działa dokładnie tak samo, po prostu nie wiem, że u mnie byłeś.

Czym są statystyki i kto je prowadzi

Korzystam z Google Analytics 4. Dostawcą narzędzia jest Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia, ta sama spółka, która obsługuje kalendarz opisany w punkcie 5. Google przetwarza te dane na moje polecenie, jako podmiot przetwarzający.

Po co mi to. Chcę wiedzieć, które podstrony ludzie faktycznie czytają, w którym miejscu przestają czytać i skąd do mnie trafiają, bo na tej podstawie poprawiam treść i układ strony. Nie buduję profili, nie sprzedaję tych danych i nie łączę ich z tym, co wpisujesz w formularzach.

Podstawa prawna: art. 6 ust. 1 lit. a RODO, czyli Twoja zgoda, a dla samego zapisu i odczytu informacji na Twoim urządzeniu także art. 398 ust. 1 Prawa komunikacji elektronicznej. Reszta tego dokumentu stoi na art. 6 ust. 1 lit. b, bo tam dane są niezbędne do wykonania czynności, o którą prosisz. Tu jest inaczej: statystyki nie są do niczego niezbędne, więc nie próbuję ich podpiąć pod uzasadniony interes. Zgoda to jedyna uczciwa podstawa i taka jest podana.

Jakie pliki się zapisują

O pamięci lokalnej osobno, bo poprzednia wersja tego punktu mówiła, że w ogóle z niej nie korzystam, a to już nieprawda. Klucz panekweb-zgoda-v1 zapisuje się nawet wtedy, gdy odmówisz zgody, i tak musi być: gdybym go nie zapisał, nie miałbym gdzie zapamiętać Twojej odmowy i baner wracałby przy każdym odświeżeniu. Sam zapis decyzji o zgodach jest niezbędny do świadczenia usługi, o którą prosisz, więc art. 398 ust. 3 pkt 2 Prawa komunikacji elektronicznej zwalnia go z obowiązku pytania o zgodę. Nie ma w nim adresu IP, identyfikatora ani niczego, co pozwala Cię rozpoznać.

Formularz rezerwacji nadal niczego nie zapisuje na dysku. Wpisane odpowiedzi żyją wyłącznie w pamięci otwartej karty i trafiają na serwer dopiero w chwili, gdy klikniesz przycisk wysyłki. Zamknięcie karty przed wysłaniem kasuje wszystko.

Gdzie statystyki nie działają

Na podstronach /brief i /odwolaj skrypt nie uruchamia się nigdy, nawet po Twojej zgodzie. To świadoma decyzja, nie przeoczenie: na te podstrony wchodzi się z linku w mailu, a link ma w adresie jednorazowy token dostępu do Twoich danych. Google Analytics wysyła do siebie pełny adres otwartej strony razem z tym, co stoi po znaku zapytania, więc token wyszedłby na zewnątrz razem z odsłoną. Ruch z tych dwóch podstron zwyczajnie mnie nie interesuje na tyle, żeby to ryzykować.

Jak cofnąć zgodę

Kliknij poniżej, a wróci to samo pytanie co przy pierwszej wizycie. Zmiana decyzji zajmuje jedno kliknięcie, dokładnie tyle samo, co jej udzielenie. Po cofnięciu zgody skrypt przestaje działać, ciasteczka _ga i _ga_* są kasowane, a strona przeładowuje się, żeby usunąć z pamięci to, co zdążyło się już wczytać. Ten sam odnośnik znajdziesz na stałe w stopce każdej podstrony.

Zmień zgodę na statystyki

Wycofanie zgody nie wpływa na to, czy dane zbierane wcześniej były zbierane zgodnie z prawem. Możesz też zablokować albo skasować ciasteczka w ustawieniach przeglądarki, a przy zmianie urządzenia lub przeglądarki decyzję trzeba podjąć jeszcze raz, bo zapisuje się ona lokalnie.

Przekazanie danych do Stanów Zjednoczonych

Dane ze statystyk trafiają do infrastruktury Google poza Europejskim Obszarem Gospodarczym, w tym do Stanów Zjednoczonych. Podstawą przekazania jest decyzja wykonawcza Komisji Europejskiej z 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony danych w Stanach Zjednoczonych (EU–US Data Privacy Framework), pod którą Google LLC jest certyfikowana, uzupełniona standardowymi klauzulami umownymi. To ta sama podstawa co przy kalendarzu i przy dostawcy poczty, opisana w punkcie 4.

Czego na stronie nadal nie ma

• pikseli i skryptów reklamowych, także reklamowych funkcji samego Google Analytics;
• przycisków i wtyczek serwisów społecznościowych;
• map, filmów ani czcionek ładowanych z cudzych serwerów;
• pikseli śledzących w wiadomościach e-mail;
• nagrań sesji, map kliknięć i podglądu tego, co robisz na stronie.

Serwer, na którym stoi strona, prowadzi techniczne logi dostępu, potrzebne do utrzymania i bezpieczeństwa. Są niezależne od statystyk i powstają także wtedy, gdy odmówisz zgody. Nie łączę ich z danymi z formularzy ani ze statystykami i nie wykorzystuję do analizy zachowania odwiedzających.

8. Twoje prawa

W związku z przetwarzaniem danych masz prawo do:

• dostępu do danych i kopii (art. 15 RODO): przygotuję zestawienie wszystkiego, co o Tobie mam;
• sprostowania danych nieprawidłowych i uzupełnienia niepełnych (art. 16 RODO);
• usunięcia danych (art. 17 RODO): jeśli poprosisz, usuwam rezerwację, brief i wydarzenie w kalendarzu;
• ograniczenia przetwarzania (art. 18 RODO);
• przenoszenia danych (art. 20 RODO): dane przetwarzane na podstawie art. 6 ust. 1 lit. b wydam w formacie nadającym się do odczytu maszynowego;
• sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21 RODO), z przyczyn związanych z Twoją szczególną sytuacją. Dotyczy to licznika prób i obrony roszczeń.

Żądanie wyślij na szymon.panek05@gmail.com. Odpowiadam bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Przy żądaniach złożonych mogę ten termin przedłużyć o dwa miesiące, zawiadamiając Cię o przyczynie. Realizacja praw jest bezpłatna.

9. Czy musisz podać dane

Podanie danych jest dobrowolne. Nie ma tu przepisu, który by Cię do tego zobowiązywał. Konsekwencje niepodania są takie:

• Bez imienia, adresu e-mail i numeru telefonu nie zarezerwujesz terminu. Imię jest potrzebne w wydarzeniu, adres e-mail do wysłania linku i potwierdzenia, numer telefonu na wypadek, gdyby rozmowa nie chciała się połączyć.
• Bez nazwy firmy i informacji o tym, czego potrzebujesz rozmowa też się odbędzie, tylko zacznie się od pytań, które można było zadać wcześniej.
• Pełny brief jest w całości dobrowolny. Nie wypełniając go, niczego nie tracisz poza czasem na rozmowie.

Zawsze możesz zamiast rezerwacji napisać zwykłą wiadomość, podając tylko adres, na który mam odpowiedzieć.

10. Profilowanie i decyzje automatyczne

Nie podejmuję wobec Ciebie decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne albo w podobny sposób istotnie na Ciebie wpływały. Nie profiluję nikogo: nie oceniam cech osobistych, wiarygodności ani zachowania.

Strona rzeczywiście robi część rzeczy sama, na przykład sprawdza, które terminy są wolne, i odrzuca kolejną rezerwację z tego samego adresu IP w ciągu godziny. To wykonanie z góry ustalonej reguły technicznej, a nie ocena Twojej osoby. Jeśli limit zablokuje Cię przez pomyłkę, napisz, a umówię termin ręcznie.

Statystyki opisane w punkcie 7 pokazują mi liczby zbiorcze: ile osób otworzyło daną podstronę i jak długo na niej zostało. Nie sprawdzam w nich pojedynczych osób, nie przypisuję im cech i nie dzielę ich na grupy, do których kierowałbym różne treści. Reklamowe funkcje Google Analytics są wyłączone.

11. Zmiany tej polityki

Politykę aktualizuję, gdy zmienia się sposób działania strony, zestaw dostawców albo przepisy. Data na górze wskazuje, od kiedy obowiązuje bieżąca wersja. Jeśli zmiana rozszerzy zakres przetwarzania albo dołoży nowy podmiot, opublikuję ją tutaj przed jej wejściem w życie.

Zasady korzystania ze strony opisuje osobno regulamin świadczenia usług. Dane osób, które mają konto w panelu klienta, opisuje polityka prywatności dostępna pod adresem panel.panekweb.pl/prywatnosc.