W skrócie
Dane z formularza służą do odpowiedzi na zapytanie. Google Analytics i osadzony feed Facebooka mogą uruchamiać się dopiero po dobrowolnej zgodzie na opcjonalne technologie.
1. Administrator danych
- Administratorem danych osobowych jest KamaLogic Kamil Tosnowiec, ul. Nadrzeczna 7, 05-840 Krosna-Parcela, NIP 5342671266, działający pod marką Nallipop.
- W sprawach danych osobowych można skontaktować się przez animacje@nallipop.pl, +48 795 103 108 lub +48 739 492 254.
- Natalia Marciniak jest główną przedstawicielką marki Nallipop i może przetwarzać dane w imieniu Administratora jako osoba upoważniona; nie jest z tego powodu odrębnym administratorem danych z formularza.
2. Zakres pozyskiwanych danych
- Administrator może przetwarzać dane podane w Formularzu lub korespondencji: imię i nazwisko, telefon, e-mail, dane organizacji, termin, godzinę, miejsce i rodzaj wydarzenia, liczbę i przedziały wieku dzieci, wybrane atrakcje, treść uwag oraz historię ustaleń.
- Podczas korzystania ze strony mogą być automatycznie przetwarzane dane techniczne, takie jak adres IP, data i czas żądania, typ urządzenia i przeglądarki, adres URL, identyfikatory cookies oraz dane o zdarzeniach na stronie – zależnie od ustawień zgód.
- Administrator może otrzymać dane od osoby składającej zapytanie, Organizatora, szkoły, pracodawcy lub instytucji. Osoba przekazująca dane innych osób powinna być uprawniona do ich przekazania i przekazać im odpowiednie informacje o przetwarzaniu.
- Nie należy wpisywać danych o zdrowiu dziecka w otwartym polu Formularza. Jeżeli po rezerwacji informacje o alergii, chorobie lub ograniczeniu są konieczne dla bezpieczeństwa, Administrator pozyska je odrębnie, w minimalnym zakresie i – gdy jest to wymagane – na podstawie wyraźnej zgody.
3. Cele, podstawy prawne i okresy przechowywania
| Cel | Dane / podstawa | Okres | Czy podanie jest konieczne? |
|---|---|---|---|
| Odpowiedź na zapytanie i przygotowanie Oferty | Dane kontaktowe i wydarzenia; art. 6 ust. 1 lit. b RODO (działania przed umową) oraz lit. f (obsługa korespondencji instytucjonalnej) | Do 12 miesięcy od zakończenia kontaktu, chyba że powstanie umowa lub spór | Dobrowolne, lecz bez danych kontaktowych odpowiedź może być niemożliwa |
| Zawarcie i realizacja umowy | Dane Klienta, Organizatora i wydarzenia; art. 6 ust. 1 lit. b RODO | Przez czas umowy, a następnie do upływu właściwych terminów roszczeń | Konieczne do zawarcia i wykonania umowy |
| Rozliczenia i dokumentacja | Dane identyfikacyjne i płatnicze; art. 6 ust. 1 lit. c RODO | Przez okres wymagany prawem podatkowym i rachunkowym, co do zasady 5 lat liczonych zgodnie z tymi przepisami | Konieczne, gdy obowiązek wynika z prawa |
| Ustalenie, dochodzenie i obrona roszczeń | Dane związane ze zleceniem i korespondencją; art. 6 ust. 1 lit. f RODO | Do przedawnienia roszczeń lub prawomocnego zakończenia sprawy | Nie jest odrębnym warunkiem usługi |
| Bezpieczeństwo strony i logi | IP, logi, dane techniczne; art. 6 ust. 1 lit. f RODO | Przez okres wynikający z konfiguracji usług, nie dłużej niż jest to potrzebne; dłużej tylko w razie incydentu lub obowiązku prawnego | Powstają automatycznie podczas korzystania ze strony |
| Analityka strony | Identyfikatory i zdarzenia Google Analytics; art. 6 ust. 1 lit. a RODO i zgoda na opcjonalne technologie | Do wycofania zgody lub upływu okresu ustawionego w narzędziu, nie dłużej niż jest to potrzebne do analizy | Dobrowolne; odmowa nie ogranicza podstawowych funkcji |
| Wizerunek w celach promocyjnych | Zdjęcia/filmy; art. 6 ust. 1 lit. a RODO oraz zezwolenie na rozpowszechnianie wizerunku | Przez okres wskazany w zgodzie lub do jej wcześniejszego wycofania | Całkowicie dobrowolne; brak zgody nie wpływa na usługę |
4. Odbiorcy danych
- Dane mogą być przekazywane wyłącznie w zakresie niezbędnym: osobom upoważnionym współpracującym przy realizacji Usług, dostawcom hostingu i utrzymania IT, Google w związku z Google Cloud Run, Google Workspace, kalendarzem i – po zgodzie – Google Analytics, dostawcom poczty, bankom i operatorom płatności, księgowości, doradcom prawnym oraz organom publicznym, gdy wymagają tego przepisy.
- Po wyrażeniu zgody na osadzone treści społecznościowe dane techniczne mogą być przekazywane Meta Platforms Ireland Limited i podmiotom z grupy Meta zgodnie z ich zasadami prywatności. Samo odwiedzenie profilu Nallipop na Facebooku lub Instagramie podlega także zasadom tych serwisów.
- Podmioty przetwarzające działają na podstawie umów i poleceń Administratora, o ile przepisy nie nadają im roli niezależnego administratora.
5. Przekazywanie danych poza EOG
- Korzystanie z usług Google i Meta może wiązać się z dostępem do danych lub ich przekazywaniem poza Europejski Obszar Gospodarczy, w szczególności do Stanów Zjednoczonych. Zależnie od usługi i odbiorcy podstawą są decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony, w tym EU–US Data Privacy Framework, jeżeli odbiorca jest objęty, albo standardowe klauzule umowne wraz z wymaganymi zabezpieczeniami.
- Informacje o zabezpieczeniach można uzyskać, kontaktując się z Administratorem. Szczegóły przetwarzania przez dostawców są również opisane w ich aktualnych politykach prywatności.
6. Prawa osób
- W zakresie przewidzianym przez RODO osobie przysługuje prawo dostępu do danych, otrzymania ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.
- Zgodę można wycofać w dowolnym momencie, równie łatwo jak jej udzielono, np. przez ustawienia cookies albo wiadomość na animacje@nallipop.pl. Wycofanie nie wpływa na zgodność z prawem wcześniejszego przetwarzania.
- Osobie przysługuje prawo skargi do Prezesa Urzędu Ochrony Danych Osobowych: ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl.
- Administrator nie podejmuje wobec użytkowników decyzji wywołujących skutki prawne wyłącznie w sposób zautomatyzowany i nie prowadzi profilowania w tym znaczeniu.
7. Dane dzieci i wizerunek
- Dane dzieci są przetwarzane wyłącznie w minimalnym zakresie koniecznym do zaplanowania i bezpiecznego przeprowadzenia Usługi. Formularz zapytania powinien co do zasady zawierać liczbę i wiek dzieci, a nie ich imiona i nazwiska.
- Publikowanie zdjęć i filmów dzieci w celach promocyjnych wymaga osobnej, konkretnej i dobrowolnej zgody rodzica lub opiekuna prawnego. Zgoda nie może być warunkiem udziału w wydarzeniu i nie może być domyślnie zaznaczona.
- Zgoda powinna określać wydarzenie, dziecko, rodzaje materiałów i kanały publikacji. Administrator nie publikuje imienia, nazwiska ani innych identyfikujących informacji o dziecku bez dodatkowej, wyraźnej podstawy.
- Administrator uwzględnia dobro i zdanie dziecka odpowiednio do jego wieku i dojrzałości. W razie wycofania zgody Administrator usuwa materiały z kontrolowanych przez siebie kanałów w rozsądnym terminie, z zastrzeżeniem kopii wymaganych prawem i technicznie nieuniknionych kopii bezpieczeństwa.
8. Cookies i podobne technologie
- Strona może korzystać z cookies lub podobnych technologii zapisywanych na urządzeniu albo uzyskiwać dostęp do informacji już zapisanych. Technologie niezbędne mogą działać bez zgody, gdy są konieczne do transmisji komunikatu lub dostarczenia usługi wyraźnie żądanej przez użytkownika.
- Technologie analityczne Google Analytics i technologie związane z osadzonym feedem Facebooka są opcjonalne. Nie powinny być uruchamiane ani pobierać danych przed zgodą użytkownika.
- Baner udostępnia na pierwszej warstwie równorzędne opcje: „Akceptuję wszystkie”, „Odrzucam opcjonalne” i „Ustawienia”. Brak działania, przewijanie strony ani domyślnie zaznaczone pola nie stanowią zgody.
- Użytkownik może w każdej chwili zmienić wybór przez stale dostępny przycisk „Ustawienia cookies” w stopce. Wycofanie zgody jest równie łatwe jak jej udzielenie.
9. Kategorie stosowanych technologii
| Kategoria | Cel | Podstawa | Domyślne ustawienie |
|---|---|---|---|
| Niezbędne | Bezpieczeństwo, transmisja, zapamiętanie wyboru cookies i obsługa żądanych funkcji | Niezbędność techniczna / prawnie uzasadniony interes w bezpieczeństwie | Zawsze aktywne, tylko w niezbędnym zakresie |
| Analityczne | Pomiar ruchu i sposobu korzystania ze strony za pomocą Google Analytics | Dobrowolna zgoda | Wyłączone do czasu zgody |
| Treści społecznościowe | Wyświetlenie osadzonego feedu Facebooka i interakcja z treścią Meta | Dobrowolna zgoda | Wyłączone do czasu zgody |
Dokładne nazwy, dostawcy i okresy działania cookies zależą od bieżącej konfiguracji strony i powinny być automatycznie prezentowane w panelu ustawień zgód. Administrator okresowo weryfikuje tę listę po zmianach technicznych.
10. Bezpieczeństwo
- Administrator stosuje środki organizacyjne i techniczne odpowiednie do ryzyka, w tym kontrolę dostępu, aktualizacje, szyfrowaną transmisję HTTPS i ograniczanie zakresu danych.
- Użytkownik powinien zachować ostrożność przy przesyłaniu danych, nie umieszczać danych szczególnie chronionych w Formularzu oraz chronić własne urządzenie i pocztę.
11. Zmiany Polityki
- Polityka może być aktualizowana w razie zmian prawa, funkcji strony, dostawców lub sposobów przetwarzania. Aktualna wersja jest publikowana na nallipop.pl z datą aktualizacji.
- Zmiana Polityki nie legalizuje wstecz nowych celów opartych na zgodzie. Jeżeli nowy cel wymaga zgody, zostanie ona pozyskana odrębnie.