Polityka Prywatności

Niniejsza wersja zastępuje wersję 1.0. Dla Użytkowników posiadających Konto w dniu publikacji zmiany wchodzą w życie po upływie 14 dni od publikacji, zgodnie z pkt 13.

1. Administrator danych

Administratorem Twoich danych osobowych jest Aleksander Ambros, prowadzący działalność nierejestrowaną w rozumieniu art. 5 ustawy z dnia 6 marca 2018 r. Prawo przedsiębiorców, adres: 41-902 Bytom, ul. Łukasza Wallisa 19/3, Polska, e-mail: [email protected].

Administrator nie wyznaczył Inspektora Ochrony Danych. We wszystkich sprawach dotyczących ochrony danych osobowych należy kontaktować się bezpośrednio z Administratorem pod wskazanym adresem e-mail.

2. Zakres dokumentu i serwisy

Niniejsza Polityka prywatności dotyczy korzystania z:

strony publicznej https://entiway.com,
panelu użytkownika https://app.entiway.com,
interfejsu API https://api.entiway.com.

Entiway jest usługą skierowaną wyłącznie do przedsiębiorców. Administrator stosuje zasadę minimalizacji danych i przetwarza wyłącznie dane niezbędne do świadczenia usługi, bezpieczeństwa, rozliczeń i komunikacji.

Zasady wykorzystywania plików cookies i podobnych technologii opisuje odrębna Polityka cookies.

Niniejszy dokument obejmuje dwie odrębne kategorie osób:

Użytkowników – osoby korzystające z Konta, Panelu i API (pkt 3–11),
osoby, których dotyczą Dane Rejestrowe – pochodzące z publicznych rejestrów państwowych (pkt 12).

3. Kategorie danych i cele przetwarzania – Użytkownicy

3.1. Dane podawane przy rejestracji i prowadzeniu Konta

Administrator przetwarza dane niezbędne do utworzenia i obsługi Konta, w szczególności:

adres e-mail,
hasło w postaci skrótu kryptograficznego,
nazwę profilu,
strefę czasową,
identyfikatory techniczne niezbędne do obsługi Konta,
dane konfiguracyjne związane z API, Monitoringiem, Portfelem i ustawieniami Konta.

Cel przetwarzania	Podstawa prawna
Rejestracja, aktywacja i utrzymanie Konta	Art. 6 ust. 1 lit. b RODO – niezbędność do wykonania umowy
Świadczenie usług dostępnych w Panelu i API	Art. 6 ust. 1 lit. b RODO – niezbędność do wykonania umowy
Bezpieczeństwo Konta i przeciwdziałanie nadużyciom	Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora

3.2. Dane logowania, sesji i bezpieczeństwa

W związku z logowaniem do Panelu i korzystaniem z Entiway Administrator może przetwarzać dane techniczne, takie jak:

identyfikatory sesji,
adres IP,
data i godzina logowania lub zdarzenia,
informacje techniczne niezbędne do zabezpieczenia logowania i wykrywania nadużyć,
dane o nieudanych próbach logowania i czasowej blokadzie dostępu.

Cel przetwarzania	Podstawa prawna
Uwierzytelnienie Użytkownika i utrzymanie sesji	Art. 6 ust. 1 lit. b RODO – niezbędność do wykonania umowy
Zapewnienie bezpieczeństwa usługi, wykrywanie nadużyć i ochrona Infrastruktury	Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora

3.3. Logi techniczne API i Panelu

Administrator przetwarza logi techniczne związane z działaniem Entiway, w trzech odrębnych warstwach:

logi serwera WWW – serwer HTTP (Nginx) automatycznie rejestruje żądania kierowane do serwisów, w tym adres IP, datę i godzinę, wywołany zasób, kod odpowiedzi HTTP, adres strony odsyłającej oraz informacje o przeglądarce,
logi aplikacji – zdarzenia diagnostyczne rejestrowane przez samą aplikację w związku z jej działaniem i obsługą błędów,
logi zapytań API – metadane zautoryzowanych żądań kierowanych do API, obejmujące m.in. adres IP, znacznik czasu, endpoint, metodę żądania, kod odpowiedzi i czas przetwarzania, udostępniane Użytkownikowi w Panelu jako element usługi. W przypadku żądań zakończonych błędem rejestrowana jest dodatkowo treść przekazanych parametrów żądania, z wyłączeniem haseł i Tokenów API.

Okresy przechowywania poszczególnych warstw wskazano w pkt 8.

Cel przetwarzania	Podstawa prawna
Monitoring techniczny, utrzymanie ciągłości działania i diagnostyka błędów	Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora
Zapewnienie bezpieczeństwa usługi	Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora

3.4. Dane związane z rozliczeniami

W celu powiązania płatności z Kontem Administrator może przetwarzać dane otrzymywane od Operatora Płatności, w szczególności:

transaction_id,
event_id,
techniczne dane payload związane z obsługą płatności i subskrypcji,
informacje o stanie zasilenia Portfela i historii operacji Portfela.

Cel przetwarzania	Podstawa prawna
Wykonanie Umowy i obsługa rozliczeń wewnątrz Entiway	Art. 6 ust. 1 lit. b RODO – niezbędność do wykonania umowy
Prowadzenie dokumentacji i rozliczeń wymaganych prawem	Art. 6 ust. 1 lit. c RODO – obowiązek prawny
Obrona przed roszczeniami i zapewnienie rozliczalności	Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora

Administrator nie przetwarza danych kart płatniczych ani pełnych danych płatniczych Użytkowników; obsługa transakcji odbywa się przez Paddle jako Merchant of Record.

3.5. Dane z formularza kontaktowego

W przypadku skorzystania z formularza kontaktowego na entiway.com Administrator przetwarza dane podane przez nadawcę wiadomości: imię lub nazwę, adres e-mail, nazwę firmy oraz treść wiadomości, a także automatycznie dołączane dane techniczne: publiczny adres IP nadawcy, wybraną wersję językową serwisu, znacznik czasu udzielenia zgody oraz znaczniki czasu utworzenia i modyfikacji zgłoszenia. Zgłoszenie zapisywane jest w bazie danych Administratora oraz przesyłane na jego skrzynkę pocztową; odnotowywany jest również status wysyłki wiadomości.

Cel przetwarzania	Podstawa prawna
Obsługa zapytania, korespondencji i kontaktu zwrotnego	Art. 6 ust. 1 lit. f RODO albo art. 6 ust. 1 lit. b RODO, jeżeli wiadomość dotyczy zawarcia lub wykonania Umowy
Dochodzenie lub obrona przed roszczeniami	Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora
Przetwarzanie danych przesłanych za pośrednictwem formularza na podstawie zgody wyrażonej przy jego wysłaniu	Art. 6 ust. 1 lit. a RODO – zgoda osoby, której dane dotyczą

Zgoda wyrażana jest przez zaznaczenie pola wyboru w formularzu, a moment jej udzielenia jest odnotowywany. Zgodę można wycofać w każdej chwili, kierując żądanie na adres [email protected]. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed jej wycofaniem.

3.6. Dane związane z Monitoringiem i użyciem usługi

Administrator przetwarza dane konfiguracyjne i operacyjne związane z korzystaniem z Entiway, takie jak lista monitorowanych podmiotów, historia zdarzeń monitoringu, wykorzystanie API, stan Portfela, historia operacji Portfela i ustawienia Konta.

Cel przetwarzania	Podstawa prawna
Świadczenie usług dostępnych w Entiway	Art. 6 ust. 1 lit. b RODO – niezbędność do wykonania umowy
Utrzymanie bezpieczeństwa i integralności usługi	Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora

3.7. Alerty Monitoringu

Jeżeli Użytkownik samodzielnie włączy i skonfiguruje Alerty w Panelu, Administrator przetwarza jego adres e-mail oraz preferencje powiadomień w celu ich doręczenia.

Alerty są domyślnie wyłączone i wysyłane wyłącznie zgodnie z indywidualnymi preferencjami ustawionymi przez Użytkownika. Alerty stanowią element funkcjonalny usługi i nie są komunikacją marketingową.

Cel przetwarzania	Podstawa prawna
Doręczanie powiadomień o zdarzeniach Monitoringu jako element wykonania Umowy	Art. 6 ust. 1 lit. b RODO – niezbędność do wykonania umowy

4. Dobrowolność podania danych

Podanie danych jest dobrowolne, jednak:

podanie adresu e-mail i ustalenie hasła jest niezbędne do założenia Konta i zawarcia Umowy – bez nich świadczenie usługi nie jest możliwe,
w ścieżce rejestracji przez API wymagany jest firmowy adres e-mail; adresy z bezpłatnych publicznych usług pocztowych oraz skrzynek tymczasowych nie są przyjmowane w tej ścieżce,
podanie danych w formularzu kontaktowym jest dobrowolne, a ich niepodanie uniemożliwia wyłącznie udzielenie odpowiedzi na zapytanie,
podanie adresu e-mail dla celów Alertów jest dobrowolne, a rezygnacja skutkuje wyłącznie brakiem powiadomień, bez wpływu na pozostałe funkcje usługi.

5. Czego Administrator co do zasady nie przetwarza

Administrator nie przetwarza pełnych danych kart płatniczych Użytkowników.
Administrator nie prowadzi profilowania marketingowego użytkowników Entiway.
Administrator nie wykorzystuje danych Użytkowników do sprzedaży baz danych ani do niezależnych celów reklamowych.
Administrator nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, wywołujących skutki prawne lub w podobny sposób istotnie na nich wpływających.

6. Odbiorcy danych

Dane mogą być ujawniane następującym kategoriom odbiorców:

Odbiorca	Rola i zakres
Hetzner Online GmbH (Niemcy, EOG)	Dostawca infrastruktury serwerowej i hostingu, działający jako podmiot przetwarzający. Administrator nie korzysta z zewnętrznych dostawców usług pocztowych typu SaaS – infrastruktura pocztowa jest zarządzana samodzielnie na serwerach hostowanych przez Hetzner.
Cloudflare, Inc. (USA / globalnie)	Dostawca sieci dostarczania treści, usługi DNS, ochrony przed atakami DDoS oraz odwrotnego serwera pośredniczącego, działający jako podmiot przetwarzający. Cały ruch HTTP i HTTPS kierowany do entiway.com, app.entiway.com i api.entiway.com przechodzi przez infrastrukturę Cloudflare, która przetwarza adresy IP odwiedzających w celach bezpieczeństwa i optymalizacji dostarczania treści. Odrębnie, w Panelu oraz w dokumentacji API biblioteki prezentacyjne ładowane są z publicznej sieci cdnjs.cloudflare.com, wskutek czego przeglądarka Użytkownika nawiązuje z nią połączenie, a sieć ta może otrzymać dane techniczne połączenia, w tym adres IP i informacje o przeglądarce.
Paddle.com Market Limited (Wielka Brytania)	Niezależny operator płatności i Merchant of Record, odpowiedzialny za płatności, fakturowanie, zwroty i obsługę subskrypcji, działający jako odrębny administrator w zakresie realizowanych przez siebie transakcji.
Google LLC (USA)	W zakresie połączeń wykonywanych przez przeglądarkę Użytkownika do serwerów Google Fonts. Fonty ładowane są z domen fonts.googleapis.com oraz fonts.gstatic.com zarówno na stronie publicznej, jak i w Panelu; dostawca może otrzymać dane techniczne połączenia, w tym adres IP i informacje o przeglądarce.
Podmioty świadczące usługi techniczne, prawne lub księgowe	Jeżeli będzie to niezbędne do prowadzenia działalności i obsługi Entiway.
Organy publiczne	Wyłącznie w przypadkach i w zakresie wynikającym z obowiązujących przepisów prawa.

7. Przekazywanie danych poza EOG

Podstawowa infrastruktura Entiway utrzymywana jest na serwerach zlokalizowanych w Europejskim Obszarze Gospodarczym.

W związku z korzystaniem z usług podmiotów trzecich, w szczególności Cloudflare, Paddle oraz Google, niektóre dane techniczne mogą być przetwarzane poza EOG. Przekazywanie odbywa się na podstawie mechanizmów przewidzianych w rozdziale V RODO – decyzji Komisji Europejskiej stwierdzających odpowiedni stopień ochrony albo standardowych klauzul umownych stosowanych przez tych dostawców.

8. Okres przechowywania danych

Administrator przechowuje dane przez okres nie dłuższy, niż jest to niezbędne do realizacji celu przetwarzania, w szczególności:

Kategoria danych	Okres przechowywania
Dane Konta	Czas trwania Umowy oraz 180 dni od dezaktywacji Konta
Dane konfiguracyjne, Monitoring, preferencje Alertów, historia użycia	Czas trwania Umowy oraz do 180 dni od dezaktywacji Konta
Historia operacji Portfela i dane powiązane z rozliczeniami	Czas trwania Umowy oraz okres wynikający z przepisów o rachunkowości i przepisów podatkowych
Logi serwera WWW	Podlegają automatycznej rotacji i są trwale usuwane po około 10 dniach (rotate 10)
Logi aplikacji	Podlegają automatycznej rotacji i są trwale usuwane po 14 dniach
Logi zapytań API widoczne w Panelu	Czas trwania Umowy oraz do 180 dni od dezaktywacji Konta, wraz z pozostałymi danymi Konta
Dane z formularza kontaktowego	Czas obsługi sprawy, a następnie okres niezbędny do archiwizacji korespondencji lub obrony przed roszczeniami, nie dłużej niż 12 miesięcy, chyba że dłuższe przechowywanie jest uzasadnione konkretną sprawą
Dane wymagane przepisami prawa	Okres wynikający z tych przepisów

Po upływie 180 dni od dezaktywacji Konto oraz związane z nim dane są trwale usuwane, z zastrzeżeniem danych, które muszą być przechowywane dłużej na podstawie prawa lub dla obrony przed roszczeniami.

9. Prawa osób, których dane dotyczą

Osobie, której dane dotyczą, przysługują prawa:

dostępu do danych (art. 15 RODO),
sprostowania danych (art. 16 RODO),
usunięcia danych (art. 17 RODO) – żądanie złożone w trakcie trwania Umowy skutkuje jej rozwiązaniem,
ograniczenia przetwarzania (art. 18 RODO),
przenoszenia danych (art. 20 RODO),
sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie Administratora (art. 21 RODO),
wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

W celu realizacji swoich praw należy skontaktować się z Administratorem pod adresem: [email protected]. Administrator odpowiada bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania.

10. Bezpieczeństwo

Administrator stosuje odpowiednie środki techniczne i organizacyjne służące ochronie danych, w szczególności:

szyfrowanie połączeń z użyciem TLS,
kontrolę dostępu do zasobów, w tym ograniczenie dostępu do baz danych do autoryzowanych adresów,
mechanizmy zabezpieczające logowanie i sesję,
przechowywanie haseł w postaci skrótów kryptograficznych,
przechowywanie Tokenów API w postaci zahashowanej – w przypadku utraty Tokenu konieczne jest wygenerowanie nowego,
ograniczanie zakresu przetwarzanych danych do minimum niezbędnego do działania usługi.

11. Analityka na stronie publicznej

Na stronie publicznej entiway.com Administrator korzysta z własnej, samohostowanej instancji narzędzia Matomo Analytics, zainstalowanej na prywatnym serwerze Administratora, skonfigurowanej w trybie bez plików cookies (disableCookies) oraz z włączoną anonimizacją adresów IP, wyłącznie w celu tworzenia zagregowanych statystyk ruchu i poprawy działania strony. Dane statystyczne mają charakter wyłącznie zagregowany i nie są łączone z konkretnymi osobami fizycznymi. Dane analityczne przetwarzane są na infrastrukturze Administratora i nie są przekazywane podmiotom trzecim.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – uzasadniony interes polegający na prowadzeniu zagregowanych statystyk oglądalności i doskonaleniu serwisu.

Analityka nie jest stosowana w Panelu app.entiway.com ani w api.entiway.com.

Szczegóły techniczne opisuje Polityka cookies.

12. Dane osób, których dotyczą Dane Rejestrowe

12.1. Źródło i zakres danych

Entiway udostępnia dane podmiotów gospodarczych pochodzące wyłącznie z publicznie dostępnych rejestrów państwowych. Administrator nie pozyskuje tych danych bezpośrednio od osób, których dotyczą, ani z żadnych źródeł niepublicznych.

W zakresie, w jakim dane te dotyczą osób fizycznych prowadzących działalność gospodarczą, stanowią one dane osobowe. Dane te są jawne z mocy przepisów regulujących funkcjonowanie właściwych rejestrów, ponieważ w przypadku takiej formy prowadzenia działalności osoba fizyczna jest jednocześnie podmiotem gospodarczym.

Dane osób fizycznych występujących w charakterze reprezentantów podmiotów posiadających odrębną osobowość prawną są udostępniane przez źródłowe rejestry w postaci zanonimizowanej lub zamaskowanej i w takiej postaci są przez Administratora pobierane i przechowywane. Administrator nie odtwarza, nie uzupełnia ani nie wzbogaca tych danych z innych źródeł.

12.2. Cele i podstawa prawna

Cele przetwarzania:

udostępnianie Danych Rejestrowych Użytkownikom za pośrednictwem Panelu i API,
wykrywanie i prezentowanie zmian w Danych Rejestrowych w ramach funkcjonalności Monitoringu,
utrzymanie aktualności i integralności zasobu danych.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora oraz odbiorców danych, polegający na udostępnianiu i wykorzystywaniu informacji jawnych z rejestrów publicznych w obrocie gospodarczym, w szczególności w celu weryfikacji kontrahentów i przeciwdziałania nadużyciom.

12.3. Zakres obowiązku informacyjnego

Dane nie są zbierane od osób, których dotyczą, lecz z publicznych rejestrów państwowych. Niniejsza sekcja stanowi realizację obowiązku informacyjnego, o którym mowa w art. 14 RODO, w zakresie, w jakim udzielenie informacji indywidualnej nie wymagałoby niewspółmiernie dużego wysiłku w rozumieniu art. 14 ust. 5 lit. b RODO – z uwagi na skalę zasobu oraz publiczny charakter źródła.

12.4. Rola Użytkownika

Z chwilą pobrania Danych Rejestrowych za pośrednictwem Entiway Użytkownik staje się ich odrębnym administratorem. Administrator nie działa wówczas jako podmiot przetwarzający na zlecenie Użytkownika i nie odpowiada za dalsze wykorzystanie danych w systemach Użytkownika.

Użytkownik samodzielnie odpowiada w szczególności za posiadanie własnej podstawy prawnej przetwarzania, realizację obowiązku informacyjnego wobec osób, których dane dotyczą, obsługę żądań tych osób oraz zabezpieczenie danych we własnej infrastrukturze. Szczegółowe zasady określa §7 Regulaminu.

12.5. Prawa i okres przechowywania

Osobom, których dotyczą Dane Rejestrowe, przysługują prawa wskazane w pkt 9, w tym prawo sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie. Żądania należy kierować na adres [email protected].

Jednocześnie, ponieważ dane pochodzą z rejestrów publicznych i są w nich jawne, sprostowanie treści wpisu jest możliwe wyłącznie u organu prowadzącego właściwy rejestr. Administrator odzwierciedla stan rejestru źródłowego i uwzględnia jego zmiany w kolejnych cyklach przetwarzania.

Dane przechowywane są tak długo, jak pozostają jawne w źródłowym rejestrze publicznym i jak długo trwa cel wskazany w pkt 12.2.

13. Zmiany Polityki prywatności

Administrator może aktualizować niniejszą Politykę prywatności w przypadku zmiany przepisów, technologii, sposobu działania Entiway lub zakresu przetwarzania danych.

Nowa wersja publikowana jest w odpowiednim serwisie wraz z numerem wersji i datą wejścia w życie. W przypadku zmian istotnych Użytkownicy informowani są dodatkowo drogą elektroniczną lub poprzez komunikat w usłudze, z co najmniej 14-dniowym wyprzedzeniem.