Polityka prywatności

Informacja o przetwarzaniu danych osobowych zgodnie z art. 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)

Ostatnia aktualizacja: [DATA]

1. Administrator danych osobowych

Administratorem danych osobowych jest [PEŁNA NAZWA FIRMY], z siedzibą przy [ADRES], [KOD POCZTOWY] [MIASTO], KRS [NR KRS], NIP [NIP] (dalej: „Administrator").

Kontakt w sprawach ochrony danych osobowych:

e-mail: [EMAIL, np. privacy@omnisgraph.pl]
adres korespondencyjny: [ADRES], z dopiskiem „Dane osobowe"

2. Charakter platformy i zakres podmiotowy

OmnisGraph jest platformą świadczącą usługi wyłącznie na rzecz podmiotów prowadzących działalność gospodarczą (B2B). Serwis nie jest kierowany do konsumentów w rozumieniu art. 22¹ Kodeksu cywilnego.

Dane osobowe przetwarzane w ramach Serwisu dotyczą osób fizycznych działających w imieniu lub na rzecz podmiotów gospodarczych, w tym:

pracowników i przedstawicieli Zleceniodawców (Sklepów) — osób upoważnionych do korzystania z konta firmowego w Serwisie,
Grafików i Kontrolerów Jakości — przedsiębiorców lub osób działających w ramach działalności zawodowej, współpracujących z Administratorem na podstawie umów B2B.

Rejestrując konto, potwierdzasz, że działasz w ramach działalności gospodarczej lub zawodowej, a nie jako osoba prywatna.

3. Kategorie danych i cele przetwarzania

3.1. Konta Zleceniodawców (Sklepy)

Kategoria danych	Cel przetwarzania	Podstawa prawna (RODO)	Okres przechowywania
Adres e-mail służbowy, hasło (hash)	Uwierzytelnienie i dostęp do konta firmowego	Art. 6 ust. 1 lit. b — wykonanie umowy o świadczenie usług B2B	Do zamknięcia konta lub 3 lata od ostatniej aktywności
Dane firmy (nazwa, NIP, dane kontaktowe)	Identyfikacja strony umowy, wystawianie dokumentów księgowych	Art. 6 ust. 1 lit. b — wykonanie umowy; art. 6 ust. 1 lit. c — obowiązek prawny	Dane umowne: 3 lata; dokumenty księgowe: 5 lat od końca roku obrotowego
Historia zleceń, pliki źródłowe i wynikowe	Realizacja zamówionych usług graficznych, rozpatrywanie reklamacji	Art. 6 ust. 1 lit. b — wykonanie umowy	Pliki: zgodnie z ustawieniem retencji workflow (1–720 godz.); historia: 3 lata
Adres IP, logi aktywności	Bezpieczeństwo systemu, wykrywanie nadużyć, audyt	Art. 6 ust. 1 lit. f — prawnie uzasadniony interes Administratora (bezpieczeństwo IT)	90 dni

3.2. Konta Grafików i Kontrolerów Jakości

Kategoria danych	Cel przetwarzania	Podstawa prawna (RODO)	Okres przechowywania
Adres e-mail służbowy, hasło (hash)	Uwierzytelnienie i dostęp do panelu współpracownika	Art. 6 ust. 1 lit. b — wykonanie umowy B2B o współpracę	Do zamknięcia konta lub 3 lata od zakończenia współpracy
Dane do rozliczeń (NIP/PESEL, numer konta, raporty miesięczne)	Naliczanie i wypłata wynagrodzenia, wystawianie dokumentów księgowych	Art. 6 ust. 1 lit. b — wykonanie umowy; art. 6 ust. 1 lit. c — obowiązek prawny	5 lat od końca roku obrotowego
Statystyki zadań, oceny QC, poziom doświadczenia	Ocena jakości współpracy, naliczanie wynagrodzenia, przydzielanie zadań	Art. 6 ust. 1 lit. b — wykonanie umowy; art. 6 ust. 1 lit. f — uzasadniony interes (zarządzanie jakością usług)	3 lata od zakończenia współpracy
Pliki przesłane jako wynik zadania	Przekazanie wyniku Zleceniodawcy, kontrola jakości	Art. 6 ust. 1 lit. b — wykonanie umowy	Zgodnie z retencją workflow (1–720 godz.)
Adres IP, logi aktywności	Bezpieczeństwo systemu, wykrywanie nadużyć	Art. 6 ust. 1 lit. f — uzasadniony interes (bezpieczeństwo IT)	90 dni

4. Odbiorcy danych osobowych

Podwykonawcy infrastrukturalni (procesorzy, art. 28 RODO) — z którymi Administrator zawarł umowy powierzenia przetwarzania:
- Supabase, Inc. — uwierzytelnienie i przechowywanie plików; infrastruktura w regionie EU (Frankfurt, Niemcy).
- Vercel, Inc. — hosting aplikacji; infrastruktura w regionie EU (Dublin, Irlandia).
- Resend, Inc. — wysyłka e-maili transakcyjnych (potwierdzenia, powiadomienia); dane przetwarzane w regionie EU.
- Sentry, Inc. — monitoring błędów aplikacji; dane przetwarzane w regionie EU.
Inne podmioty gospodarcze uczestniczące w realizacji zlecenia — Graficy i Kontrolerzy Jakości otrzymują dostęp do plików i notatek wyłącznie w zakresie niezbędnym do realizacji konkretnego zadania.
Organy publiczne — urzędy skarbowe, ZUS lub inne organy uprawnione przepisami prawa.
Doradcy prawni i biura rachunkowe — w zakresie obsługi działalności Administratora, na podstawie umów zachowania poufności.

Administrator nie sprzedaje danych osobowych ani nie udostępnia ich podmiotom trzecim w celach marketingowych lub innych celach niezwiązanych ze świadczeniem usług.

5. Przekazywanie danych poza EOG

Cała infrastruktura techniczna Serwisu zlokalizowana jest na terenie Europejskiego Obszaru Gospodarczego. Dane osobowe nie są przekazywane do państw trzecich. W przypadku zmiany dostawców infrastruktury skutkującej transferem poza EOG, Administrator wdroży zabezpieczenia zgodne z art. 46 RODO (standardowe klauzule umowne) i poinformuje o tym Użytkowników.

6. Prawa osób, których dane dotyczą

Osobom fizycznym, których dane są przetwarzane, przysługują prawa wynikające z RODO. W kontekście B2B prawa te wykonywane są przez konkretną osobę fizyczną (np. pracownika), a nie przez podmiot gospodarczy jako taki:

Dostęp do danych (art. 15) — prawo do uzyskania informacji o przetwarzanych danych i kopii danych.
Sprostowanie (art. 16) — prawo do żądania poprawy nieprawidłowych lub uzupełnienia niekompletnych danych.
Usunięcie (art. 17) — prawo do żądania usunięcia danych, gdy nie są już niezbędne do celów, dla których zostały zebrane. Prawo nie przysługuje, gdy przetwarzanie jest niezbędne do wykonania obowiązku prawnego (np. przechowywanie dokumentów księgowych) lub dochodzenia roszczeń. Usunięcie konta dostępne jest w ustawieniach Serwisu.
Ograniczenie przetwarzania (art. 18) — prawo do żądania wstrzymania przetwarzania w określonych przypadkach.
Przenoszenie danych (art. 20) — prawo do otrzymania danych w ustrukturyzowanym formacie, w zakresie w jakim przetwarzanie odbywa się na podstawie umowy w sposób zautomatyzowany.
Sprzeciw (art. 21) — prawo do wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora (art. 6 ust. 1 lit. f). Administrator zaprzestanie przetwarzania, o ile nie wykaże nadrzędnych podstaw prawnych lub konieczności ustalenia bądź obrony roszczeń.

Żądania kieruj na adres e-mail wskazany w sekcji 1. Odpowiedź nastąpi w terminie miesiąca od otrzymania żądania (art. 12 ust. 3 RODO).

7. Prawo do skargi

W przypadku naruszenia przepisów RODO przysługuje prawo wniesienia skargi do organu nadzorczego:

Prezes Urzędu Ochrony Danych Osobowych
ul. Stawki 2, 00-193 Warszawa
e-mail: kancelaria@uodo.gov.pl · uodo.gov.pl

8. Zautomatyzowane podejmowanie decyzji

W Serwisie stosowany jest zautomatyzowany system przypisywania poziomów doświadczenia Grafikom i Kontrolerom Jakości na podstawie statystyk wykonanych zadań i ocen QC. Poziom doświadczenia wpływa na dostęp do bardziej złożonych workflow i wysokość wynagrodzenia. Osoba, której to dotyczy, ma prawo do uzyskania wyjaśnienia przyjętej logiki oraz żądania weryfikacji przez pracownika Administratora — kontakt przez adres e-mail z sekcji 1.

9. Bezpieczeństwo danych

Szyfrowanie transmisji (TLS/HTTPS) i danych w spoczynku,
hasła przechowywane wyłącznie jako skróty kryptograficzne (bcrypt),
dostęp do plików realizowany wyłącznie przez podpisane czasowo URL (signed URLs),
dostęp do danych ograniczony rolami (RBAC) — każda rola widzi tylko swój zakres danych,
monitoring błędów i anomalii (Sentry), logi infrastruktury (Vercel).

10. Zmiany polityki prywatności

O istotnych zmianach Administrator poinformuje Użytkowników co najmniej 14 dni przed ich wejściem w życie, wysyłając powiadomienie na służbowy adres e-mail przypisany do konta. Dalsze korzystanie z Serwisu po tej dacie oznacza akceptację zmian.