Polityka Prywatności i informacja RODO

1.Administrator danych

Administratorem danych osobowych przetwarzanych w związku z korzystaniem z systemu Utilite OS Loyal jest UTILITE IO GROUP Sp. z o.o., KRS 0001246955, NIP 6832155963, REGON 544981146 (dalej: „Administrator”).

Kontakt w sprawach ochrony danych osobowych: e-mail info@utilite.io, tel. +48 602 581 411. Administrator nie wyznaczył odrębnego Inspektora Ochrony Danych — kontakt odbywa się bezpośrednio na powyższy adres.

W przypadku Firm korzystających z Systemu w celu prowadzenia własnego programu lojalnościowego, to Firma jest odrębnym administratorem danych swoich Klientów w zakresie, w jakim samodzielnie decyduje o celach i sposobach ich przetwarzania (np. treść komunikacji z Klientem, decyzje o przyznaniu/odebraniu punktów), natomiast Utilite IO Group Sp. z o.o. działa w tym zakresie jako podmiot przetwarzający (dostawca infrastruktury technicznej Systemu) na podstawie umowy powierzenia przetwarzania danych zawieranej z Firmą.

2.Jakie dane przetwarzamy

Podanie danych jest dobrowolne, lecz niezbędne do założenia konta Firmy lub korzystania z programu lojalnościowego jako Klient — bez nich nie jest możliwe świadczenie usługi.

3.Cele i podstawy prawne przetwarzania

• Wykonanie umowy (art. 6 ust. 1 lit. b RODO) — świadczenie usługi Systemu na rzecz Firmy oraz umożliwienie Klientowi korzystania z programu lojalnościowego (rejestracja, naliczanie punktów i wizyt, wyświetlanie stanu konta).
• Prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO) — zapewnienie bezpieczeństwa Systemu (m.in. blokady po nieudanych próbach logowania/PIN, logi techniczne, przeciwdziałanie nadużyciom i próbom nieautoryzowanego dostępu), dochodzenie i obrona przed roszczeniami, statystyki techniczne działania usługi.
• Obowiązek prawny (art. 6 ust. 1 lit. c RODO) — w zakresie danych Firm rozliczających subskrypcję, np. dokumentacja księgowa i podatkowa.

4.Okres przechowywania danych

• Dane konta Firmy i Klienta przechowywane są przez czas trwania umowy/uczestnictwa w programie, a po jej zakończeniu — przez okres niezbędny do obsługi ewentualnych roszczeń (co do zasady nie dłużej niż 6 lat od zakończenia współpracy, zgodnie z ogólnymi terminami przedawnienia roszczeń majątkowych).
• Historia wizyt i punktów Klienta jest technicznie ograniczana do 100 najnowszych wpisów na Klienta (starsze wpisy są automatycznie usuwane) — jest to mechanizm operacyjny ograniczający rozmiar danych, a nie gwarancja usunięcia danych Klienta jako takiego.
• Usunięcie konta Firmy lub Klienta w Systemie oznacza oznaczenie konta jako usunięte i zaprzestanie jego widoczności/używania w Systemie; pełne, trwałe usunięcie danych z kopii zapasowych i logów technicznych następuje w terminach wynikających z cykli rotacji tych kopii u dostawcy infrastruktury.

5.Odbiorcy danych i transfer poza EOG

Dane są przetwarzane przy użyciu infrastruktury Cloudflare, Inc. (hosting, baza danych, funkcje brzegowe) jako podmiotu przetwarzającego działającego na zlecenie Administratora. Cloudflare może przetwarzać dane w centrach danych zlokalizowanych poza Europejskim Obszarem Gospodarczym (m.in. w USA). W takim przypadku przekazanie danych odbywa się w oparciu o mechanizmy zgodności uznane przez RODO — standardowe klauzule umowne (Standard Contractual Clauses) i/lub uczestnictwo w programie EU-U.S. Data Privacy Framework, stosowane przez Cloudflare jako jej dostawcę.

W przypadku funkcji wysyłki e-mail (np. reset hasła/PIN-u) dane mogą być przekazywane dostawcy usług e-mail (Resend lub MailChannels, w zależności od konfiguracji) wyłącznie w zakresie niezbędnym do doręczenia wiadomości.

Dane nie są sprzedawane ani udostępniane podmiotom trzecim w celach marketingowych.

6.Prawa osób, których dane dotyczą

Każdej osobie, której dane dotyczą, przysługuje prawo do:

• dostępu do swoich danych oraz otrzymania ich kopii,
• sprostowania (poprawienia) danych,
• usunięcia danych („prawo do bycia zapomnianym”), w zakresie w jakim nie stoi to w sprzeczności z obowiązkami prawnymi Administratora,
• ograniczenia przetwarzania,
• przenoszenia danych,
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

W celu realizacji powyższych praw należy skontaktować się z Administratorem pod adresem info@utilite.io — w przypadku Klientów programu lojalnościowego danej Firmy zalecany jest również bezpośredni kontakt z tą Firmą, która zna kontekst konkretnego zgłoszenia.

7.Bezpieczeństwo danych

• Hasła użytkowników są przechowywane wyłącznie w postaci zahaszowanej (PBKDF2-HMAC-SHA256, 100 000 iteracji, z losową solą) — nigdy w postaci jawnej.
• Sesje logowania przechowywane są w podpisanym ciasteczku z flagami HttpOnly, Secure i SameSite, weryfikowanym w sposób odporny na ataki czasowe.
• Logowanie do Panelu Właściciela/Administratora oraz odblokowanie Panelu Klienta chronionego PIN-em jest ograniczane po kilku nieudanych próbach (blokada czasowa), co ma chronić przed atakami typu brute-force.
• Transmisja danych odbywa się przez szyfrowane połączenie HTTPS.

8.Pliki cookies

System wykorzystuje wyłącznie niezbędne pliki cookies — w szczególności plik sesyjny loyal_session, służący do utrzymania zalogowanej sesji Właściciela/Administratora. Nie są obecnie wykorzystywane pliki cookies analityczne, marketingowe ani reklamowe podmiotów trzecich.

9.Zautomatyzowane podejmowanie decyzji

System nie podejmuje wobec Firm ani Klientów zautomatyzowanych decyzji wywołujących skutki prawne ani nie dokonuje profilowania w rozumieniu art. 22 RODO. Naliczanie punktów/wizyt odbywa się według reguł jawnie skonfigurowanych przez Firmę, a nie w wyniku profilowania Klienta.

10.Zmiany Polityki Prywatności

Administrator zastrzega sobie prawo do aktualizacji niniejszej Polityki Prywatności, w szczególności w razie zmiany przepisów prawa, zakresu przetwarzanych danych lub wykorzystywanych podprocesorów. Aktualna wersja dostępna jest zawsze pod niniejszym adresem.