Polityka prywatności

1. Administrator

Elni Consulting SRL, Rue Grande Coyarde 7, 1367 Ramillies, Belgique — BE 1002.511.925.

Pytania i realizacja praw: privacy@climatememory.com.

Nie wyznaczyliśmy inspektora ochrony danych: nasza działalność nie mieści się w żadnym z przypadków, w których RODO tego wymaga (art. 37).

2. Co przetwarzamy i po co

Konto: adres e-mail, ewentualna nazwa wyświetlana, język oraz nieprzejrzysty identyfikator dostawcy tożsamości, jeśli korzystają Państwo z Google lub GitHub. Cel: uwierzytelnienie i kontakt. Podstawa: wykonanie umowy.

Rozliczenia: kraj, ewentualnie nazwa firmy i numer VAT oraz indeks Państwa faktur. Cel: wystawianie zgodnych faktur i naliczanie właściwego VAT. Podstawa: obowiązek prawny.

Korzystanie z API: identyfikator klucza, znacznik czasu co do minuty, wywołany punkt końcowy i koszt w kredytach. Cel: rozliczanie, egzekwowanie limitów, wykrywanie nadużyć. Podstawa: umowa i prawnie uzasadniony interes. Zapisy te nie zawierają ani parametrów Państwa żądań, ani żądanych współrzędnych.

Bezpieczeństwo: skrócony i solony odcisk Państwa adresu IP przy logowaniu i czynnościach wrażliwych oraz agent użytkownika. Cel: wykrycie nietypowego użycia. Podstawa: prawnie uzasadniony interes. Samych adresów nie przechowujemy.

Zgody: opatrzony datą dowód akceptacji dokumentów umownych oraz, w stosownych przypadkach, zrzeczenia się prawa odstąpienia. Podstawa: obowiązek prawny (RODO art. 7 ust. 1 i KPG art. VI.53).

3. Czego nie robimy

Nie sprzedajemy ani nie wynajmujemy Państwa danych. Nie używamy ich do reklamy ukierunkowanej. Nie podejmujemy zautomatyzowanych decyzji wywołujących wobec Państwa skutki prawne ani nie profilujemy.

Nie przechowujemy haseł, bo ich nie używamy.

4. Odbiorcy

Hosting: OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France. Serwery i bazy danych znajdują się w Unii Europejskiej.

Sieć dostarczania i ochrona: Cloudflare, Inc., który przetwarza adresy IP odwiedzających w celu filtrowania ataków.

Płatność: Stripe Payments Europe, Ltd., Dublin, Irlande, działający jako administrator danych płatniczych i jedyny podmiot przechowujący dane karty.

Poczta transakcyjna: Amazon Web Services EMEA SARL (Amazon SES, region Paryż), Luksemburg. Skrzynki pocztowe: OVHcloud (Zimbra), Francja.

Podmioty te działają na polecenie i są związane umową. Żadne dane nie są przekazywane poza Europejski Obszar Gospodarczy, z wyjątkiem Cloudflare, Stripe i Amazon Web Services w ramach ich własnych, prawnie uregulowanych mechanizmów przekazywania.

5. Okresy przechowywania

Konto: dopóki istnieje, następnie usunięcie na żądanie.

Faktury i dane rozliczeniowe: siedem lat od zamknięcia roku obrotowego, jak wymaga belgijskie prawo rachunkowe. Przechowywanie to trwa mimo żądania usunięcia (RODO art. 17 ust. 3 lit. b), lecz zachowana faktura nie jest już powiązana z aktywnym kontem.

Dzienniki użycia: trzynaście miesięcy w trybie kroczącym.

Sesje: trzydzieści dni od ostatniego użycia.

Linki logowania: piętnaście minut, następnie usuwane najpóźniej po siedmiu dniach.

Surowe zdarzenia płatnicze otrzymane od Stripe: dziewięćdziesiąt dni, a w razie usunięcia danego konta — natychmiast.

6. Państwa prawa

Przysługują Państwu prawa dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu i przenoszenia danych z art. 15–22 RODO.

Usunięcie uruchamiają Państwo samodzielnie w panelu klienta, bez wniosku i bez oczekiwania: unieważnia klucze, usuwa tożsamości logowania i sesje, nadpisuje dane identyfikujące konto i odłącza faktury, które pozostają bez powiązanych danych osobowych. Operacja jest nieodwracalna.

Mogą Państwo także napisać na privacy@climatememory.com. Odpowiadamy w ciągu miesiąca.

7. Skarga

Jeśli nasza odpowiedź Państwa nie zadowoli, mogą Państwo zwrócić się do Autorité de protection des données (APD/GBA), Rue de la Presse 35, 1000 Bruxelles, Belgique — https://www.autoriteprotectiondonnees.be.

Właściwy jest organ belgijski, a nie francuski: nasza główna jednostka organizacyjna znajduje się w Belgii.

8. Bezpieczeństwo

Kluczy API i tokenów sesji nigdy nie przechowujemy jawnie: zachowujemy wyłącznie ich odcisk kryptograficzny, przez co kopia bazy danych nie pozwala się zalogować.

Role bazodanowe są rozdzielone: proces odpowiadający na żądania API nie ma żadnego prawa odczytu tabel z danymi osobowymi. To nie wewnętrzna wytyczna, lecz ograniczenie egzekwowane przez serwer.

Transmisja jest szyfrowana. W razie naruszenia mogącego powodować ryzyko dla Państwa praw zawiadamiamy organ w ciągu 72 godzin i informujemy Państwa, gdy ryzyko jest wysokie.

9. Zmiany

O każdej istotnej zmianie niniejszej polityki informujemy pocztą elektroniczną. Obowiązująca wersja nosi datę widoczną na górze strony.