1. Kto odpowiada za Twoje dane
Administratorem Twoich danych osobowych jest [Operator: full name and business name of the sole trader, or company name], [Registered business address in Poland], [NIP, REGON and CEIDG entry, or KRS number and registry court] (dalej „my”). We wszystkich sprawach dotyczących tej polityki możesz pisać na adres [contact email]. Nie wyznaczyliśmy inspektora ochrony danych, ponieważ w naszym przypadku przepisy tego nie wymagają.
Polityka dotyczy osób odwiedzających naszą stronę, uczestników Promerang i członków ich zespołów, osób oglądających reklamy Promerang na stronach uczestników, kontaktów biznesowych, które możemy zaprosić, oraz każdego, kto do nas pisze. Zawiera informacje wymagane przez art. 13 i 14 rozporządzenia (UE) 2016/679 (dalej „RODO”).
2. Odwiedzający naszą stronę
Jakie dane: adres IP, dane przeglądarki i urządzenia, adres żądanej strony i czas, zapisywane w logach serwera.
Cel i podstawa: udostępnianie strony, jej zabezpieczenie i usuwanie usterek. Podstawą jest nasz prawnie uzasadniony interes w prowadzeniu bezpiecznej strony (art. 6 ust. 1 lit. f RODO).
Czcionki: nasze strony pobierają czcionki z Google Fonts, więc Twoja przeglądarka łączy się z serwerami Google, które otrzymują Twój adres IP i dane przeglądarki. Robimy to na podstawie prawnie uzasadnionego interesu, aby strona wyglądała spójnie.
Weryfikacja bezpieczeństwa: strony logowania i rejestracji korzystają z Cloudflare Turnstile, aby odróżnić ludzi od botów. Cloudflare przetwarza w tym celu informacje o przeglądarce, urządzeniu i adresie IP. Podstawą jest nasz prawnie uzasadniony interes w ochronie kont przed zautomatyzowanymi atakami (art. 6 ust. 1 lit. f RODO).
3. Uczestnicy
Konto: adres e-mail; hasło, przechowywane wyłącznie jako jednokierunkowy skrót; imię i nazwisko, jeśli zostały podane; role; daty utworzenia konta, potwierdzenia adresu e-mail i ostatniego logowania. Linki do potwierdzenia adresu i resetu hasła przechowujemy wyłącznie jako skróty; wygasają po 24 godzinach i po 1 godzinie. Dane te służą do założenia i prowadzenia konta oraz wysyłania wiadomości dotyczących konta. Podstawa: wykonanie zawartej z Tobą umowy (art. 6 ust. 1 lit. b RODO).
Strony i kampanie: domena, nazwa, kategoria, odbiorcy, język i klucz weryfikacyjny każdej strony; Twoje kampanie, ich linki docelowe, format i status; Twoje reguły kierowania; decyzje weryfikacyjne i ich uzasadnienia; ustawienia cotygodniowego raportu, w tym strefa czasowa. Podstawa: wykonanie umowy. Twoje kampanie są publicznie wyświetlane na stronach innych uczestników, a inni uczestnicy widzą nazwę, domenę i kategorię Twojej strony w swoich narzędziach kierowania.
Kredyty i statystyki: wpisy w rejestrze kredytów, wyświetlenia i kliknięcia na Twoich miejscach reklamowych i w kampaniach, wyciągi i eksporty. Podstawa: wykonanie umowy oraz nasz prawnie uzasadniony interes w prowadzeniu rzetelnej dokumentacji i rozstrzyganiu sporów (art. 6 ust. 1 lit. f RODO).
Płatności: przy każdym zamówieniu kredytów: pakiet, kwota, waluta, status i identyfikatory płatności Stripe, adres e-mail przekazywany do Stripe oraz skrót i skrócona postać adresu IP, używane do przeciwdziałania oszustwom. Dane karty wpisujesz na stronie Stripe; nie otrzymujemy ich. Podstawa: wykonanie umowy; wypełnienie obowiązków wynikających z przepisów podatkowych i rachunkowych (art. 6 ust. 1 lit. c RODO); nasz prawnie uzasadniony interes w zapobieganiu oszustwom płatniczym.
Uczciwe zasady i bezpieczeństwo konta: gdy po zalogowaniu korzystasz z panelu lub konsoli administracyjnej, zapisujemy skróty kluczowane Twojego adresu IP, Twojej sieci (pierwsze trzy części adresu IPv4 lub pierwsze 48 bitów adresu IPv6), połączenia adresu IP z przeglądarką oraz losowego identyfikatora urządzenia przechowywanego w pliku cookie sx_dev, wraz ze skróconym adresem IP jako etykietą. Służą one do rozpoznawania, kiedy Ty, Twój zespół lub powiązane konto oglądacie albo klikacie reklamy na Waszych stronach, tak aby ten ruch nigdy nie przynosił kredytów, a także do wykrywania prowadzenia kilku kont przez jedną osobę. Podstawa: nasz prawnie uzasadniony interes w uczciwym naliczaniu kredytów i zapobieganiu oszustwom (art. 6 ust. 1 lit. f RODO). Dopasowanie obejmuje ostatnie 14 dni, a wpisy usuwamy 90 dni po ostatnim użyciu. Są to ustawienia domyślne, które możemy zmienić.
Wiadomości e-mail: wysyłamy wiadomości niezbędne do działania Usługi, takie jak potwierdzenie adresu, reset hasła i informacje o zmianach tych dokumentów. Jeśli włączysz cotygodniowy raport strony, wysyłamy go w wybranym dniu i o wybranej godzinie, dopóki nie wyłączysz go w panelu. Podstawa: wykonanie umowy.
Moderacja i egzekwowanie zasad: decyzje weryfikacyjne, alerty dotyczące ruchu, reguły blokowania adresów IP, cofnięte wyświetlenia i rejestr działań naszych operatorów. Podstawa: nasz prawnie uzasadniony interes w ochronie giełdy i jej uczestników oraz nasze obowiązki jako usługi hostingu wynikające z aktu o usługach cyfrowych (art. 6 ust. 1 lit. c i f RODO).
Członkowie zespołu z dostępem wewnętrznym: jeśli udostępnimy Ci nasz CRM lub narzędzia administracyjne, zapisujemy także, co w nich tworzysz i zmieniasz, aby wiedzieć, kto co zrobił. Podstawa: nasz prawnie uzasadniony interes w rozliczalności naszych narzędzi.
Podanie adresu e-mail i hasła jest warunkiem założenia konta; bez nich nie możemy świadczyć Usługi. Dane do faktury są potrzebne tylko przy zakupie kredytów. Pozostałe dane są dobrowolne lub powstają w trakcie korzystania z Usługi.
4. Osoby oglądające reklamy na stronach uczestników
Uczestnicy umieszczają na swoich stronach Widżet Promerang. Gdy otwierasz taką stronę, Twoja przeglądarka prosi nasze serwery o reklamę, informuje nas, gdy reklama była widoczna przez sekundę, a po kliknięciu reklamy przechodzi przez nasze serwery.
Co otrzymują nasze serwery: adres IP, identyfikator przeglądarki (user-agent) i preferowane języki, metadane żądania przeglądarki (nagłówki Sec-Fetch), stronę, z której pochodzi żądanie, czas, informację, która reklama została pokazana, czy stała się widoczna i czy ją kliknięto. Jeśli w tej przeglądarce trwa Twoja sesja w Promerang, kliknięcie jest także powiązane z Twoim kontem i identyfikatorem urządzenia.
Co przechowujemy: pełny adres IP znajduje się wyłącznie w pamięci tymczasowej do chwili zapisania zdarzenia, zwykle przez kilka milisekund i nigdy dłużej niż 24 godziny; nasze reguły blokowania adresów IP mogą go sprawdzić w trakcie obsługi żądania. Jeśli reklamodawca ograniczył liczbę wyświetleń na adres IP, skrót kluczowany adresu jest dodatkowo przechowywany w pamięci tymczasowej przez wybrany przez niego okres. Następnie zapisujemy skróty kluczowane adresu IP, sieci i przeglądarki, skrócony adres IP (na przykład 203.0.113.x), identyfikator przeglądarki, ocenę ryzyka i jej powody. Po 90 dniach usuwamy te dane z rejestrów wyświetleń i kliknięć; pozostają liczby, które nie są już powiązane z Tobą.
Cel i podstawa: dobór reklamy pasującej do strony, liczenie wyświetleń i kliknięć, uczciwe przenoszenie kredytów, wykrywanie botów i oszustw, ochrona Usługi i przekazywanie uczestnikom statystyk. Podstawą jest nasz prawnie uzasadniony interes oraz interes naszych uczestników w prowadzeniu uczciwej giełdy reklam odpornej na oszustwa (art. 6 ust. 1 lit. f RODO). Jeśli prawo właściwe dla danej strony wymaga zgody na dostęp Widżetu do informacji na Twoim urządzeniu, właściciel strony prosi o nią przed wczytaniem Widżetu.
Czego nie robimy: nie zapisujemy plików cookie na stronach uczestników, nie śledzimy Cię między stronami i nie tworzymy Twojego profilu. Reklamy dobieramy według odbiorców i języka strony oraz reguł kierowania uczestników, nigdy według tego, kim jesteś. Widżet zapisuje coś w pamięci Twojej przeglądarki tylko wtedy, gdy zamkniesz pasek reklamowy (aby pozostał zamknięty do końca tej sesji przeglądarki) albo gdy właściciel strony otwiera własny link podglądu.
Współadministrowanie: o osadzeniu Widżetu decyduje uczestnik prowadzący stronę. W zakresie zbierania Twoich danych i przekazywania ich nam przy wczytaniu Widżetu ten uczestnik i my możemy być współadministratorami. Zgodnie z naszym uzgodnieniem uczestnik informuje Cię i w razie potrzeby prosi o zgodę, a my odpowiadamy za wszystko pozostałe, w tym za obsługę Twoich żądań dotyczących danych. Możesz zwrócić się do każdego z nas.
Po kliknięciu reklamy trafiasz na stronę reklamodawcy, do której ma zastosowanie jego własna polityka prywatności.
5. Kontakty biznesowe
Korzystamy z systemu CRM, aby śledzić kontakty z założycielami i firmami, którym Promerang może się przydać.
Jakie dane: imię i nazwisko, służbowy adres e-mail, firma, stanowisko, kraj siedziby i strona internetowa; publiczne nazwy profili w mediach społecznościowych i liczba obserwujących; notatki z rozmów; etap współpracy i zdarzenia, takie jak wysłanie zaproszenia lub założenie konta; a także wysłane do Ciebie wiadomości e-mail wraz z ich treścią.
Skąd je mamy: od Ciebie, z publicznie dostępnych źródeł, takich jak strona Twojej firmy i publiczne profile w mediach społecznościowych, oraz od osób, które nam Cię polecają.
Cel i podstawa: przedstawianie Promerang firmom i prowadzenie rejestru rozmów. Podstawą jest nasz prawnie uzasadniony interes w marketingu bezpośrednim naszej usługi (art. 6 ust. 1 lit. f RODO). Informacje handlowe wysyłamy e-mailem tylko wtedy, gdy pozwalają na to przepisy, w szczególności gdy wyrazisz na to zgodę.
Możesz w każdej chwili wnieść sprzeciw, a my przestaniemy wykorzystywać Twoje dane do marketingu. Zachowamy jedynie Twój adres e-mail na liście wykluczeń, aby więcej się z Tobą nie kontaktować. W pozostałych przypadkach przechowujemy dane w CRM do czasu wniesienia sprzeciwu lub do chwili, gdy przestaną być potrzebne, nie dłużej niż trzy lata od naszego ostatniego kontaktu. Jeśli zostaniesz uczestnikiem, Twój wpis w CRM może zostać powiązany z Twoim kontem.
6. Kontakt z nami
Jeśli do nas piszesz, w tym z reklamacją, zgłoszeniem nielegalnych treści lub żądaniem dotyczącym danych, przetwarzamy Twoje dane kontaktowe i treść wiadomości, aby odpowiedzieć i zachować dokumentację. Podstawa: nasz prawnie uzasadniony interes w udzieleniu odpowiedzi i obronie przed roszczeniami oraz nasze obowiązki prawne, na przykład wynikające z aktu o usługach cyfrowych (art. 6 ust. 1 lit. c i f RODO).
8. Odbiorcy danych
Udostępniamy dane osobowe tylko w niezbędnym zakresie następującym dostawcom, którzy działają na nasze polecenie, chyba że wskazano inaczej:
- [Hosting provider and the country where its servers are]: hosting naszych serwerów i baz danych;
- Mailjet SAS (Francja, grupa Sinch): wysyłka wiadomości e-mail; część wiadomości z CRM możemy wysyłać przez Zoho jako drugiego dostawcę poczty;
- Stripe Payments Europe, Limited (Irlandia): obsługa płatności. Stripe jest także odrębnym administratorem w zakresie własnego przeciwdziałania oszustwom i obowiązków prawnych;
- Cloudflare, Inc. (USA): weryfikacja Turnstile oraz ikony w naszym wewnętrznym CRM;
- Google Ireland Limited i Google LLC: Google Fonts;
- jsDelivr: skrypty wykresów w naszym wewnętrznym CRM;
- księgowi, doradcy prawni oraz, gdy wymagają tego przepisy, organy publiczne.
Inni uczestnicy widzą wyłącznie to, co opisano w sekcji 3, oraz statystyki własnych stron, nigdy dane poszczególnych odwiedzających. Nie sprzedajemy danych osobowych.
9. Przekazywanie danych poza Europejski Obszar Gospodarczy
Cloudflare, Google, Stripe i Zoho mogą przetwarzać dane w Stanach Zjednoczonych lub innych państwach spoza EOG. Opieramy się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony w odniesieniu do firm certyfikowanych w ramach EU-U.S. Data Privacy Framework albo na standardowych klauzulach umownych zatwierdzonych przez Komisję. Możesz poprosić nas o kopię odpowiednich zabezpieczeń.
10. Jak długo przechowujemy dane
- Konto, strony i kampanie: dopóki istnieje Twoje konto. Po jego zamknięciu usuwamy lub anonimizujemy te dane w ciągu 30 dni, z wyjątkiem danych wskazanych poniżej.
- Rejestr kredytów, zamówienia i faktury: przez okres wymagany przepisami podatkowymi i rachunkowymi, co do zasady pięć lat od końca roku, w którym upłynął termin płatności podatku.
- Dane potrzebne do ustalenia, dochodzenia lub obrony roszczeń: do upływu terminu przedawnienia tych roszczeń.
- Dane sieci i przeglądarki dotyczące wyświetleń i kliknięć oraz wpisy służące rozpoznawaniu właścicieli: 90 dni, jak opisano w sekcjach 3 i 4.
- Logi serwera: przez krótki czas, zwykle nie dłużej niż 30 dni.
- Dane w CRM: jak opisano w sekcji 5.
- Kopie zapasowe: są nadpisywane rotacyjnie; usunięte dane znikają z nich wraz z ich zastępowaniem.
Zbiorcze statystyki, które nie pozwalają nikogo zidentyfikować, możemy przechowywać dłużej.
11. Twoje prawa
Masz prawo dostępu do swoich danych i otrzymania ich kopii, ich sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia danych przekazanych nam przez Ciebie oraz wniesienia sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie. Sprzeciw wobec marketingu bezpośredniego możesz wnieść w każdej chwili bez podawania przyczyny. Jeśli przetwarzamy dane na podstawie zgody, możesz ją w każdej chwili wycofać; nie wpływa to na zgodność z prawem przetwarzania przed jej wycofaniem.
Aby skorzystać z tych praw, napisz na adres [contact email]. Odpowiadamy w ciągu miesiąca; w przypadku złożonych żądań termin ten może zostać przedłużony o kolejne dwa miesiące, o czym Cię poinformujemy. Adresy IP z wyświetleń i kliknięć przechowujemy wyłącznie w postaci skrótu lub skróconej, więc możemy nie być w stanie powiązać tych danych z Tobą. Jeśli podasz nam swój adres IP i czas, w którym reklama była wyświetlana, spróbujemy to zrobić.
Masz także prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl, lub do organu nadzorczego w państwie, w którym mieszkasz lub pracujesz.
12. Decyzje zautomatyzowane
Automatyczny system oceny decyduje, czy wyświetlenie lub kliknięcie się liczy i przenosi kredyty, na podstawie sygnałów opisanych w sekcjach 3 i 4. Nie wywołuje to skutków prawnych ani w podobny sposób istotnie nie wpływa na osoby oglądające reklamy. O odrzuceniu kampanii, zawieszeniu stron lub ograniczeniu kont decyduje człowiek.
13. Bezpieczeństwo
Stosujemy HTTPS, przechowujemy hasła i linki do konta wyłącznie jako skróty, zastępujemy adresy IP skrótami kluczowanymi i postacią skróconą, ograniczamy dostęp wewnętrzny według ról i wykonujemy kopie zapasowe. Żaden system nie jest w pełni bezpieczny; jeśli naruszenie zagrozi Twoim prawom, powiadomimy Ciebie i organ nadzorczy zgodnie z przepisami.
14. Zmiany polityki
Każdą zmianę opublikujemy na tej stronie wraz z nową datą. O istotnych zmianach poinformujemy także uczestników e-mailem, zanim zaczną obowiązywać. Usługa nie jest przeznaczona dla osób poniżej 18 roku życia.