Polityka prywatności

1. Administrator danych

Administratorem danych osobowych jest , prowadzący działalność gospodarczą pod firmą , , NIP . Kontakt w sprawach danych osobowych: .

Administrator nie wyznaczył inspektora ochrony danych; nie wymagają tego przepisy przy tej skali i charakterze przetwarzania.

2. Jakie dane przetwarzamy

1. Dane konta Użytkownika: imię i nazwisko, służbowy adres e-mail, służbowy numer telefonu, stanowisko, nazwa firmy Klienta, ustawienia powiadomień, data i wersja zaakceptowanego regulaminu.
2. Dane uwierzytelniania: hasło w postaci skrótu kryptograficznego, sekret aplikacji uwierzytelniającej lub klucz publiczny passkey, informacje o logowaniach (data, adres IP, przeglądarka).
3. Dane osób kontaktowych Klienta wskazane w umowie: imię i nazwisko, stanowisko, e-mail, telefon.
4. Treści wprowadzone do Portalu: wiadomości, notatki, dane produktów i listy komponentów (SBOM), decyzje i oceny, raporty. Dane produktów i SBOM co do zasady nie zawierają danych osobowych.
5. Dziennik zdarzeń: kto, kiedy i jaką czynność wykonał w Portalu (np. logowanie, wgranie pliku, decyzja, publikacja raportu, potwierdzenie zgłoszenia).
6. Dane rozliczeniowe Klienta niezbędne do wystawienia faktury.
7. Dane z formularza „Umów demo” na stronie publicznej: imię i nazwisko, firma, stanowisko, służbowy e-mail i telefon, informacje o produktach, proponowane terminy, treść wiadomości, język formularza, źródło kontaktu oraz data i treść wyrażonej zgody.

3. Cele i podstawy prawne przetwarzania

1. Prowadzenie kont i świadczenie usług objętych umową z Klientem, w tym monitoring podatności, przygotowywanie raportów, komunikacja i powiadomienia e-mail oraz SMS: wykonanie umowy, której stroną jest Klient (art. 6 ust. 1 lit. b RODO), a w odniesieniu do danych Użytkowników będących pracownikami lub współpracownikami Klienta: prawnie uzasadniony interes administratora i Klienta polegający na realizacji umowy (art. 6 ust. 1 lit. f RODO).
2. Zapewnienie bezpieczeństwa Portalu, uwierzytelnianie, wykrywanie nadużyć i prowadzenie dziennika zdarzeń: prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) oraz obowiązek zapewnienia bezpieczeństwa przetwarzania (art. 32 RODO).
3. Dokumentowanie wypełnienia przez Klienta obowiązków z Cyber Resilience Act (dziennik zlecenia, potwierdzenia zgłoszeń): prawnie uzasadniony interes administratora i Klienta (art. 6 ust. 1 lit. f RODO).
4. Rozliczenia, księgowość i podatki: obowiązek prawny administratora (art. 6 ust. 1 lit. c RODO).
5. Ustalenie, dochodzenie i obrona roszczeń: prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO).
6. Odpowiedź na zgłoszenie z formularza „Umów demo”, umówienie i przeprowadzenie prezentacji oraz przygotowanie oferty: zgoda osoby zgłaszającej (art. 6 ust. 1 lit. a RODO), którą można wycofać w każdej chwili, oraz podjęcie działań przed zawarciem umowy na żądanie tej osoby (art. 6 ust. 1 lit. b RODO). Formularz nie służy do wysyłania newslettera ani innych treści marketingowych.

Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu i nie profilujemy Użytkowników. Powiadomienia automatyczne (np. SMS o pilnej podatności) są elementem usługi, a nie decyzją wywołującą skutki prawne wobec osoby.

4. Skąd mamy dane

Dane otrzymujemy od Klienta (pracodawcy lub zleceniodawcy Użytkownika) przy zawarciu umowy i zakładaniu kont, od Użytkownika zapraszającego kolejne osoby, od samego Użytkownika podczas korzystania z Portalu oraz od osoby wypełniającej formularz „Umów demo”.

5. Odbiorcy danych

Dane mogą być przekazywane podmiotom przetwarzającym je na nasze zlecenie, wyłącznie w zakresie niezbędnym do świadczenia usługi i na podstawie umów powierzenia:

1. dostawcy hostingu i infrastruktury serwerowej (centra danych w Unii Europejskiej),
2. dostawcy usługi poczty transakcyjnej (powiadomienia e-mail),
3. dostawcy usługi SMS (powiadomienia o sprawach pilnych),
4. dostawcy przechowywania kopii zapasowych (drugi region w Unii Europejskiej),
5. biuru rachunkowemu w zakresie danych rozliczeniowych.

Dane mogą być udostępnione organom publicznym, gdy wymagają tego przepisy prawa. Nie sprzedajemy danych i nie udostępniamy ich innym klientom. Nie przekazujemy danych poza Europejski Obszar Gospodarczy.

6. Jak długo przechowujemy dane

1. Dane kont Użytkowników: przez czas trwania umowy z Klientem oraz 30 dni po jej zakończeniu; konto usunięte przez Klienta jest dezaktywowane niezwłocznie, a jego dane w dzienniku zdarzeń pozostają zgodnie z poniższymi zasadami.
2. Dziennik zdarzeń, raporty i potwierdzenia zgłoszeń: przez czas trwania umowy, a następnie do upływu terminu przedawnienia roszczeń (co do zasady 6 lat) lub dłużej, jeżeli Klient zażąda zachowania ich jako dowodu wypełnienia obowiązków prawnych.
3. Dane logowań i adresy IP: 12 miesięcy.
4. Wiadomości i notatki: przez czas trwania umowy i 30 dni po jej zakończeniu.
5. Dane rozliczeniowe: 5 lat od końca roku podatkowego, w którym wystawiono dokument.
6. Zgłoszenia z formularza „Umów demo”: do zakończenia rozmów, nie dłużej niż 12 miesięcy od zgłoszenia, chyba że dojdzie do zawarcia umowy; konto demonstracyjne utworzone na potrzeby prezentacji usuwamy po 90 dniach od prezentacji, jeżeli nie zawarto umowy.

7. Prawa osób, których dane dotyczą

Każdej osobie przysługuje prawo do:

1. dostępu do swoich danych i otrzymania ich kopii,
2. sprostowania danych,
3. usunięcia danych, gdy nie ma już podstawy do ich przetwarzania,
4. ograniczenia przetwarzania,
5. przenoszenia danych przetwarzanych na podstawie umowy w sposób zautomatyzowany,
6. sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, z przyczyn związanych ze szczególną sytuacją osoby,
7. wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Żądania można kierować na adres . Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Możemy poprosić o potwierdzenie tożsamości, aby nie ujawnić danych osobie nieuprawnionej. Część danych (np. wpisy w dzienniku zdarzeń) musimy zachować pomimo żądania usunięcia, jeżeli wymaga tego prawo lub obrona roszczeń; w takim przypadku wyjaśnimy powód.

8. Pliki cookie i pamięć przeglądarki

Portal nie używa plików cookie marketingowych, analitycznych ani należących do osób trzecich. Korzysta wyłącznie z niezbędnych mechanizmów pamięci przeglądarki: identyfikatora sesji po zalogowaniu (usuwanego po wylogowaniu lub zamknięciu przeglądarki), zapamiętanego języka i motywu interfejsu oraz informacji o ukryciu komunikatów. Są one potrzebne do działania Portalu i nie wymagają zgody.

9. Bezpieczeństwo danych

1. uwierzytelnianie wieloskładnikowe (MFA) dla każdego konta; sesja wygasa po 30 minutach bezczynności,
2. izolacja danych każdej firmy na poziomie bazy danych (Row-Level Security),
3. szyfrowanie transmisji (TLS) i danych na dysku; SBOM i raporty szyfrowane dodatkowo kluczem przypisanym do firmy,
4. kopie zapasowe szyfrowane i przechowywane w drugim regionie Unii Europejskiej,
5. niezmienialny dziennik zdarzeń,
6. powiadomienia e-mail bez szczegółów podatności (wyłącznie link do Portalu),
7. testy bezpieczeństwa Portalu przed uruchomieniem i po istotnych zmianach.

W razie naruszenia ochrony danych, które może powodować ryzyko dla osób, których dane dotyczą, powiadomimy Klienta bez zbędnej zwłoki, a organ nadzorczy w ciągu 72 godzin, zgodnie z art. 33 i 34 RODO.

10. Zmiany polityki

Politykę aktualizujemy, gdy zmieniają się przepisy, podwykonawcy lub sposób działania Portalu. O istotnych zmianach informujemy w Portalu i e-mailem. Aktualna wersja jest zawsze dostępna w Portalu wraz z datą wejścia w życie.