Polityka ochrony danych
RODO

01Administrator danych

Administratorem danych osobowych jest Piotr Kędzierski, prowadzący działalność gospodarczą pod firmą Piotr Kędzierski Consulting, ul. św. Urszuli Ledóchowskiej 5F/5, 02‑972 Warszawa, NIP (VAT ID): 5372054822, REGON: 146864581 („Administrator”). GotIt Lab jest marką handlową PKC. Niniejsza Polityka ochrony danych osobowych („Polityka RODO”) opisuje, jak Administrator wypełnia obowiązki wynikające z rozporządzenia (UE) 2016/679 („RODO”) w całej swojej działalności — nie tylko w serwisie gotitlab.eu. Informację o przetwarzaniu danych użytkowników serwisu zawiera odrębna Polityka prywatności.

02Kontakt w sprawach ochrony danych

Osobą odpowiedzialną za ochronę danych osobowych i punktem kontaktowym we wszystkich sprawach dotyczących RODO jest Piotr Kędzierski. Pełni zadania informacyjne, doradcze i nadzorcze odpowiadające roli inspektora ochrony danych: monitoruje zgodność przetwarzania z RODO, prowadzi rejestr czynności, obsługuje żądania osób, których dane dotyczą, oraz zgłoszenia naruszeń.

Kontakt: piotr.kedzierski [at] gotitlab.eu (sprawy ochrony danych) lub listownie na adres Administratora z dopiskiem „RODO”. Administrator — jako osoba fizyczna prowadząca jednoosobową działalność — nie podlega obowiązkowi wyznaczenia inspektora ochrony danych w rozumieniu art. 37 RODO; w razie formalnego wyznaczenia IOD jego dane zostaną opublikowane w tym miejscu i zgłoszone Prezesowi UODO.

03Zasady przetwarzania

Dane osobowe są przetwarzane zgodnie z zasadami z art. 5 RODO:

• zgodność z prawem, rzetelność i przejrzystość — każda operacja ma zidentyfikowaną podstawę prawną, a osoby otrzymują zrozumiałą informację o przetwarzaniu;
• ograniczenie celu — dane zbierane w konkretnym celu nie są wykorzystywane w celach z nim niezgodnych;
• minimalizacja — zbieramy tylko dane niezbędne; formularze i narzędzia projektujemy tak, aby nie prosić o więcej;
• prawidłowość — dane nieaktualne są poprawiane lub usuwane;
• ograniczenie przechowywania — okresy retencji są określone z góry (sekcja 08) i egzekwowane;
• integralność i poufność — stosujemy środki techniczne i organizacyjne opisane w sekcji 11;
• rozliczalność — jesteśmy w stanie wykazać zgodność: prowadzimy rejestr czynności przetwarzania, dokumentujemy decyzje i incydenty.

04Kategorie osób i danych

Administrator przetwarza dane następujących kategorii osób:

• użytkownicy serwisów gotitlab.eu, gotitlab.pl i gotit.pl — dane techniczne (adres IP, czas i adres żądania, przeglądarka, informacje o błędach i bezpieczeństwie) oraz, po zgodzie, dane analityczne Google Analytics 4;
• osoby kontaktujące się przez formularz, e‑mail, telefon lub rezerwację spotkania — imię i nazwisko, adres e‑mail, organizacja, temat i treść wiadomości, wybrany termin;
• klienci i ich przedstawiciele — dane identyfikacyjne i kontaktowe, dane do umów i rozliczeń, korespondencja projektowa, dane zawarte w materiałach powierzonych w ramach usług doradczych i wdrożeniowych;
• inwestorzy i odbiorcy materiałów otrzymujący spersonalizowane łącza do materiałów inwestorskich — imię i nazwisko, adres e‑mail, organizacja, dziennik otwarć łącza (czas, adres IP, przeglądarka) służący potwierdzeniu doręczenia i ochronie poufności materiałów;
• kontrahenci, dostawcy i współpracownicy — dane identyfikacyjne, kontaktowe i rozliczeniowe;
• kandydaci do współpracy — dane przekazane w zgłoszeniu.

Administrator nie przetwarza celowo danych szczególnych kategorii (art. 9 RODO) ani danych dzieci. Jeżeli takie dane trafią do nas w treści wiadomości, są usuwane, o ile nie są niezbędne do obsługi sprawy.

05Cele i podstawy prawne

• odpowiedź na zapytanie i prowadzenie korespondencji — art. 6 ust. 1 lit. f RODO (uzasadniony interes), a gdy zapytanie zmierza do zawarcia umowy — art. 6 ust. 1 lit. b RODO;
• zawarcie i wykonanie umów o usługi doradcze, wdrożeniowe lub licencyjne — art. 6 ust. 1 lit. b RODO; wobec przedstawicieli klientów — art. 6 ust. 1 lit. f RODO;
• udostępnianie materiałów inwestorskich wskazanym osobom i potwierdzanie ich doręczenia — art. 6 ust. 1 lit. f RODO (ochrona poufności i interesów Administratora w procesie pozyskiwania finansowania);
• rozliczenia, księgowość i obowiązki podatkowe — art. 6 ust. 1 lit. c RODO;
• bezpieczeństwo systemów, przeciwdziałanie nadużyciom, ustalanie i obrona roszczeń — art. 6 ust. 1 lit. f RODO;
• analityka Google Analytics — wyłącznie po zgodzie, art. 6 ust. 1 lit. a RODO; zgodę można wycofać w każdej chwili („Ustawienia cookies” w stopce);
• marketing bezpośredni własnych usług wobec dotychczasowych klientów — art. 6 ust. 1 lit. f RODO, z prawem sprzeciwu w każdej chwili; wysyłka informacji handlowej drogą elektroniczną — wyłącznie za zgodą.

06Odbiorcy i podmioty przetwarzające

Dane mogą otrzymywać podmioty wspierające działalność Administratora, wyłącznie na podstawie umów powierzenia (art. 28 RODO) albo jako odrębni administratorzy w zakresie własnych obowiązków prawnych:

• Amazon Web Services EMEA SARL — hosting serwisów i panelu materiałów (region Frankfurt, eu‑central‑1), wysyłka wiadomości e‑mail z formularza (Amazon SES);
• Google Ireland Ltd. — Google Workspace (poczta, kalendarz, dokumenty), Google Calendar (rezerwacje) oraz — po zgodzie — Google Analytics 4;
• GitHub, Inc. — repozytoria kodu (bez danych osobowych klientów);
• biuro rachunkowe, doradcy prawni i podatkowi, banki i operatorzy płatności — w zakresie rozliczeń i obowiązków prawnych;
• dostawcy narzędzi IT i podwykonawcy zaangażowani w projekty — tylko w zakresie niezbędnym do realizacji konkretnej umowy, po zawarciu umowy powierzenia i zobowiązaniu do poufności.

Administrator prowadzi wykaz podmiotów przetwarzających i weryfikuje ich gwarancje bezpieczeństwa przed powierzeniem danych. Dane nie są sprzedawane ani udostępniane w celach marketingowych podmiotów trzecich.

07Przekazywanie poza EOG

Główna infrastruktura działa w Unii Europejskiej (AWS Frankfurt). Korzystanie z usług globalnych dostawców (Google, AWS, GitHub) może wiązać się z dostępem do danych z państw trzecich, w szczególności ze Stanów Zjednoczonych. Przekazanie odbywa się wówczas na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU‑US Data Privacy Framework — wobec dostawców certyfikowanych w tym programie) lub standardowych klauzul umownych z art. 46 ust. 2 lit. c RODO, uzupełnionych o ocenę skutków transferu. Kopię stosowanych zabezpieczeń można uzyskać pod adresem kontaktowym z sekcji 02.

08Okresy przechowywania

• zapytania i korespondencja — przez czas obsługi sprawy, następnie do 3 lat na potrzeby obrony przed roszczeniami, chyba że przepisy przewidują okres dłuższy;
• umowy, faktury i dokumentacja rozliczeniowa — 5 lat od końca roku podatkowego, w którym powstał obowiązek podatkowy;
• dane inwestorów i dziennik otwarć materiałów — przez czas trwania procesu pozyskiwania finansowania i 12 miesięcy po jego zakończeniu, a następnie usunięcie lub anonimizacja;
• dane rezerwacji spotkań — przez czas organizacji spotkania, następnie zgodnie z retencją konta Google Workspace;
• logi serwerowe i bezpieczeństwa — co do zasady do 30 dni; dłużej wyłącznie w razie incydentu wymagającego zabezpieczenia dowodów;
• dane analityczne GA4 — zgodnie z ustawionym okresem retencji (maksymalnie 14 miesięcy) albo do wycofania zgody;
• dane kandydatów — do zakończenia procesu rekrutacyjnego, chyba że osoba zgodzi się na dłuższe przechowywanie.

Po upływie okresu dane są usuwane lub anonimizowane; kopie bezpieczeństwa są nadpisywane w cyklu nie dłuższym niż 7 dni.

09Prawa osób i sposób ich realizacji

Każdej osobie przysługuje prawo dostępu do danych i otrzymania ich kopii, sprostowania, usunięcia („prawo do bycia zapomnianym”), ograniczenia przetwarzania, przenoszenia danych (gdy przetwarzanie opiera się na zgodzie lub umowie i odbywa się automatycznie), sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie oraz wycofania zgody w dowolnym momencie — bez wpływu na zgodność wcześniejszego przetwarzania z prawem.

Jak złożyć żądanie: wiadomością na adres z sekcji 02 lub listownie. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; w sprawach złożonych termin może zostać przedłużony o kolejne dwa miesiące, o czym informujemy. Realizacja praw jest bezpłatna. Gdy mamy uzasadnione wątpliwości co do tożsamości wnioskodawcy, możemy poprosić o dodatkowe informacje potrzebne do jej potwierdzenia — nie prosimy o kopie dokumentów tożsamości, jeśli nie jest to konieczne.

10Naruszenia ochrony danych

Administrator ma procedurę postępowania z naruszeniami ochrony danych: każde zdarzenie jest oceniane pod kątem ryzyka dla praw i wolności osób, dokumentowane w wewnętrznym rejestrze naruszeń (art. 33 ust. 5 RODO), a gdy ryzyko jest prawdopodobne — zgłaszane Prezesowi UODO w ciągu 72 godzin od stwierdzenia. Gdy ryzyko jest wysokie, zawiadamiamy także osoby, których dane dotyczą, jasnym językiem i ze wskazaniem zalecanych działań (art. 34 RODO).

Podejrzenie naruszenia — także przez osoby z zewnątrz, badaczy bezpieczeństwa czy klientów — można zgłaszać na adres z sekcji 02. Zgłoszenia dokonane w dobrej wierze nie spotkają się z działaniami prawnymi ze strony Administratora.

11Środki bezpieczeństwa

Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka (art. 32 RODO), m.in.:

• szyfrowanie transmisji TLS z automatycznie odnawianymi certyfikatami i wymuszeniem HTTPS (HSTS), polityka Content‑Security‑Policy, brak zewnętrznych skryptów i fontów poza wyraźnie dopuszczonymi;
• dostęp administracyjny do serwerów wyłącznie kluczem SSH z ograniczonej listy adresów; brak paneli administracyjnych dostępnych publicznie; panel materiałów inwestorskich za uwierzytelnieniem i tokenami jednorazowymi;
• sekrety (dane dostępowe do poczty, tokeny formularza) przechowywane poza katalogami serwisu i poza repozytoriami kodu;
• codzienne automatyczne kopie zapasowe oraz migawki instancji; testowane odtwarzanie;
• minimalizacja i pseudonimizacja — analityka tylko po zgodzie, logi z krótką retencją, formularz bez zbędnych pól;
• zasady organizacyjne: zasada najmniejszych uprawnień, przegląd dostawców, dokumentowanie zmian w konfiguracji, uwzględnianie ochrony danych w fazie projektowania (art. 25 RODO).

Żadna transmisja internetowa nie daje absolutnej gwarancji bezpieczeństwa; środki są jednak regularnie przeglądane i dostosowywane do zmieniających się zagrożeń.

12Zautomatyzowane decyzje i profilowanie

Administrator nie podejmuje wobec osób decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nie wpływały (art. 22 RODO). Nie prowadzimy profilowania marketingowego. Statystyki Google Analytics są zagregowane i służą wyłącznie ocenie działania serwisu.

13Rejestr czynności i rozliczalność

Administrator prowadzi rejestr czynności przetwarzania (art. 30 RODO) obejmujący cele, kategorie osób i danych, odbiorców, transfery, okresy retencji oraz ogólny opis środków bezpieczeństwa, a także wykaz podmiotów przetwarzających, rejestr naruszeń i rejestr żądań osób. Przed uruchomieniem nowych usług lub narzędzi o podwyższonym ryzyku przeprowadzana jest ocena skutków dla ochrony danych (art. 35 RODO). Dokumentacja jest udostępniana organowi nadzorczemu na żądanie.

14Skarga do organu nadzorczego

Osoba, która uważa, że jej dane są przetwarzane niezgodnie z prawem, może wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych: ul. Stanisława Moniuszki 1A, 00‑014 Warszawa, uodo.gov.pl. Zachęcamy, by wcześniej skontaktować się z nami — większość spraw da się wyjaśnić bezpośrednio.

15Dokumenty powiązane i zmiany

Politykę RODO uzupełniają: Polityka prywatności i informacja RODO (informacja dla użytkowników serwisu zgodnie z art. 13 RODO), Polityka cookies oraz Regulamin serwisu. Dokument jest przeglądany co najmniej raz w roku oraz przy każdej istotnej zmianie usług, dostawców lub przepisów. Data wersji znajduje się na początku strony; wcześniejsze wersje udostępniamy na życzenie.