Polityka prywatności i ochrony danych osobowych

Celem niniejszej Polityki prywatności i ochrony danych osobowych jest ustanowienie zasad, zakresów odpowiedzialności oraz minimalnych wymagań stosowanych przez DashStack sp. z o.o. przy zbieraniu, udostępnianiu, wykorzystywaniu, przechowywaniu, ujawnianiu, przekazywaniu, aktualizowaniu, eksportowaniu, retencji i usuwaniu danych osobowych.

DashStack zobowiązuje się przetwarzać dane osobowe zgodnie z prawem, rzetelnie, w sposób przejrzysty i bezpieczny oraz wyłącznie w określonych celach biznesowych. Polityka ma wspierać zgodność z rozporządzeniem (UE) 2016/679 (RODO), polską ustawą o ochronie danych osobowych, obowiązującymi zobowiązaniami umownymi oraz wymaganiami prywatności klientów i platform.

Niniejszą Politykę należy czytać łącznie z Polityką bezpieczeństwa informacji DashStack sp. z o.o. w wersji 1.0 oraz z obowiązującymi umowami powierzenia przetwarzania danych, umowami z klientami, informacjami o przetwarzaniu, zasadami retencji i procedurami bezpieczeństwa.

Polityka dotyczy danych osobowych przetwarzanych przez DashStack w związku z prowadzoną działalnością, w tym danych przetwarzanych w roli administratora oraz danych przetwarzanych w imieniu klientów lub partnerów biznesowych w roli podmiotu przetwarzającego albo dalszego podmiotu przetwarzającego.

• wszystkich pracowników, współpracowników, podwykonawców, personelu tymczasowego i konsultantów DashStack;
• wszystkich systemów, aplikacji, baz danych, serwerów, urządzeń końcowych, usług chmurowych i narzędzi komunikacji wykorzystywanych do przetwarzania danych osobowych;
• danych klientów, sprzedawców, konsumentów, pracowników, kandydatów, współpracowników, dostawców oraz kontaktów biznesowych;
• danych osobowych przetwarzanych w związku z platformami e-commerce, integracjami, API, usługami wsparcia oraz oprogramowaniem tworzonym lub utrzymywanym przez DashStack;
• danych osobowych otrzymanych od klientów, sprzedawców, marketplace’ów i platform lub przetwarzanych na ich rzecz, w tym TikTok Shop — w zakresie, w jakim ma to zastosowanie.

Dane osobowe oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Przetwarzanie obejmuje każdą operację wykonywaną na danych osobowych, zautomatyzowaną lub manualną.

DashStack może występować w różnych rolach, zależnie od czynności przetwarzania:

• Administrator — gdy DashStack samodzielnie ustala cele i sposoby przetwarzania danych osobowych na potrzeby własnej działalności;
• Podmiot przetwarzający lub dalszy podmiot przetwarzający — gdy DashStack przetwarza dane osobowe na udokumentowane polecenie klienta, sprzedawcy, platformy albo innego administratora.

Zarząd odpowiada za zatwierdzenie niniejszej Polityki oraz za utrzymanie odpowiedniego nadzoru nad ochroną prywatności. Osoba wyznaczona przez zarząd jako Osoba odpowiedzialna za ochronę prywatności koordynuje działania w zakresie zgodności, wspiera obsługę żądań osób, których dane dotyczą, uczestniczy w obsłudze incydentów, prowadzi odpowiednią dokumentację i eskaluje istotne ryzyka do zarządu.

Wszystkie osoby przetwarzające dane osobowe odpowiadają za przestrzeganie niniejszej Polityki, zobowiązań do poufności, ograniczeń dostępu oraz udokumentowanych poleceń przetwarzania.

DashStack przetwarza dane osobowe zgodnie z następującymi zasadami:

• Zgodność z prawem, rzetelność i przejrzystość — przetwarzanie musi mieć właściwą podstawę prawną i nie może wprowadzać w błąd ani być nierzetelne;
• Ograniczenie celu — dane osobowe zbiera się w konkretnych, wyraźnych i prawnie uzasadnionych celach i nie wykorzystuje w sposób niezgodny z tymi celami;
• Minimalizacja danych — przetwarza się wyłącznie dane osobowe racjonalnie niezbędne do danego celu;
• Prawidłowość — podejmuje się rozsądne kroki, aby dane osobowe były prawidłowe i w razie potrzeby uaktualniane;
• Ograniczenie przechowywania — dane osobowe nie są przechowywane dłużej, niż jest to niezbędne do danego celu lub obowiązku prawnego;
• Integralność i poufność — dane osobowe są chronione odpowiednimi środkami technicznymi i organizacyjnymi;
• Rozliczalność — DashStack musi być w stanie wykazać zgodność poprzez udokumentowane polityki, umowy, rejestry i zabezpieczenia.

Gdy DashStack działa jako administrator, dane osobowe są przetwarzane wyłącznie wtedy, gdy istnieje właściwa podstawa prawna — taka jak wykonanie umowy, wypełnienie obowiązku prawnego, prawnie uzasadniony interes, zgoda albo inna podstawa dopuszczalna przez obowiązujące prawo.

Gdy DashStack działa jako podmiot przetwarzający lub dalszy podmiot przetwarzający, dane osobowe są przetwarzane wyłącznie na udokumentowane polecenie właściwego administratora, chyba że przetwarzanie jest wymagane przepisami prawa. Jeżeli DashStack uzna, że polecenie narusza przepisy o ochronie danych, sprawa jest eskalowana do Osoby odpowiedzialnej za ochronę prywatności, a klient lub administrator jest informowany, gdy jest to zasadne.

Dane osobowe otrzymane od klienta, marketplace’u, sprzedawcy lub platformy nie są wykorzystywane do celów niezwiązanych, sprzedawane ani ujawniane nieupoważnionym podmiotom trzecim, chyba że zostało to odrębnie autoryzowane i jest dopuszczalne w świetle obowiązującego prawa.

W zależności od usługi i poleceń klienta systemy DashStack mogą przetwarzać takie kategorie danych osobowych jak:

• dane identyfikacyjne i kontaktowe, w tym imię i nazwisko, adres e-mail, numer telefonu oraz dane do dostawy lub rozliczeń;
• identyfikatory kont, sprzedawców, klientów i użytkowników;
• informacje o zamówieniach, transakcjach, realizacji, wsparciu i obsłudze klienta;
• adresy IP, identyfikatory urządzeń, logi uwierzytelniania i bezpieczeństwa oraz inne identyfikatory internetowe;
• dane pracowników, współpracowników, kandydatów i kontaktów biznesowych;
• inne dane osobowe niezbędne do świadczenia zakontraktowanych usług programistycznych, integracyjnych, wsparcia lub operacyjnych.

Szczególne kategorie danych osobowych oraz dane dotyczące wyroków skazujących nie są przetwarzane w sposób zamierzony, chyba że jest to wymagane dla zatwierdzonego celu biznesowego i poparte odpowiednią podstawą prawną, zabezpieczeniami oraz autoryzacją.

Systemy i procesy biznesowe projektuje się tak, aby unikać zbierania danych osobowych, które nie są racjonalnie niezbędne. Pola obowiązkowe, ładunki API, logi, eksporty i raporty powinny ograniczać się do informacji potrzebnych do wskazanego celu.

Tam, gdzie DashStack może poprawiać dane osobowe, utrzymywane są rozsądne mechanizmy aktualizacji informacji nieprawidłowych lub nieaktualnych. Gdy dane są kontrolowane przez klienta lub platformę, żądania sprostowania są przekazywane albo realizowane zgodnie z udokumentowanymi poleceniami.

Gdy DashStack działa jako administrator i wymaga tego obowiązujące prawo, osobom fizycznym przekazywana jest informacja o przetwarzaniu opisująca dane czynności w jasnym i przystępnym języku.

Informacje o przetwarzaniu powinny wyjaśniać — w odpowiednim zakresie — tożsamość administratora, cele przetwarzania, podstawy prawne, kategorie odbiorców, przekazywanie międzynarodowe, okresy lub kryteria retencji, prawa osób, których dane dotyczą, prawo do wniesienia skargi oraz właściwe dane kontaktowe.

Informacje o przetwarzaniu oraz wewnętrzna dokumentacja prywatności podlegają przeglądowi przy istotnych zmianach czynności przetwarzania oraz co najmniej okresowo, w ramach corocznego przeglądu Polityki.

DashStack wspiera realizację przysługujących praw osób, których dane dotyczą, w tym — w odpowiednim zakresie:

• dostępu do danych osobowych;
• sprostowania danych nieprawidłowych lub niekompletnych;
• usunięcia danych osobowych;
• ograniczenia przetwarzania;
• przenoszenia danych;
• sprzeciwu wobec przetwarzania;
• wycofania zgody, gdy przetwarzanie opiera się na zgodzie;
• praw związanych ze zautomatyzowanym podejmowaniem decyzji, gdy ma to zastosowanie.

Żądania otrzymane bezpośrednio przez DashStack są weryfikowane i obsługiwane stosownie do roli, jaką DashStack pełni w danej czynności przetwarzania. Weryfikacja tożsamości jest proporcjonalna i nie wymaga zbierania zbędnych dodatkowych danych osobowych.

Gdy DashStack przetwarza dane osobowe w imieniu TikTok Shop, sprzedawcy, klienta lub innego administratora, DashStack w rozsądnym zakresie wspiera administratora w odpowiadaniu na żądania osób, których dane dotyczą, odnoszące się do danych przetwarzanych w systemach DashStack.

Wsparcie to może obejmować odnalezienie, wyeksportowanie, sprostowanie, aktualizację, ograniczenie lub usunięcie danych osobowych zgodnie z udokumentowanymi i autoryzowanymi poleceniami. DashStack nie zmienia ani nie ujawnia samodzielnie danych należących do administratora w odpowiedzi na żądanie, chyba że administrator to autoryzuje albo wymaga tego prawo.

Żądania otrzymane od osoby, której dane dotyczą, a odnoszące się do danych kontrolowanych przez klienta, sprzedawcę lub TikTok Shop, są niezwłocznie kierowane do właściwego administratora albo obsługiwane zgodnie z jego udokumentowanymi poleceniami.

Dostęp do danych osobowych jest ograniczany zgodnie z zasadą najmniejszych uprawnień oraz wiedzy koniecznej. Dostęp przyznaje się wyłącznie osobom, którym jest on potrzebny do uzasadnionych obowiązków służbowych.

• tam, gdzie to zasadne, stosuje się indywidualne konta użytkowników;
• dostęp uprzywilejowany i administracyjny podlega ograniczeniu;
• dostęp do systemów produkcyjnych i wrażliwych danych osobowych podlega wzmocnionej ochronie;
• uprawnienia dostępu są okresowo przeglądane i korygowane przy zmianie zakresu obowiązków;
• dostęp jest niezwłocznie odbierany z chwilą zakończenia zatrudnienia, współpracy lub ustania potrzeby biznesowej;
• osoby mające dostęp do informacji poufnych podlegają odpowiednim zobowiązaniom do zachowania poufności.

DashStack stosuje odpowiednie środki techniczne i organizacyjne chroniące dane osobowe przed przypadkowym lub niezgodnym z prawem zniszczeniem, utratą, zmianą, nieuprawnionym ujawnieniem, nieuprawnionym dostępem, nadużyciem lub innymi formami przetwarzania niezgodnego z prawem.

Zabezpieczenia opisano szczegółowo w Polityce bezpieczeństwa informacji DashStack; mogą one obejmować ochronę urządzeń końcowych, mechanizmy antymalware, zapory sieciowe, segregację sieci, bezpieczne uwierzytelnianie, uwierzytelnianie wieloskładnikowe, rejestrowanie dostępu, monitorowanie, kopie zapasowe, zarządzanie poprawkami oraz usuwanie podatności.

Dane osobowe poufne, o ograniczonym dostępie oraz inne dane wrażliwe są chronione przy użyciu standardowych rynkowo mechanizmów szyfrowania, odpowiednio do ryzyka i kontekstu przetwarzania.

Dane osobowe przesyłane przez sieci publiczne lub niezaufane korzystają z bezpiecznych protokołów szyfrowanych, takich jak TLS/HTTPS, SSH lub VPN. Dane wrażliwe przechowywane na urządzeniach firmowych, serwerach, w bazach danych, kopiach zapasowych oraz zatwierdzonych magazynach chmurowych są chronione odpowiednim szyfrowaniem na poziomie dysku, magazynu, bazy danych, urządzenia lub platformy — tam, gdzie jest ono dostępne i zasadne.

Klucze szyfrujące, poświadczenia i sekrety są dostępne wyłącznie dla upoważnionych osób i nie są przechowywane w publicznie dostępnych repozytoriach kodu źródłowego.

Dane osobowe są przechowywane wyłącznie tak długo, jak jest to niezbędne do realizacji danego celu przetwarzania, polecenia klienta, wymogu umownego lub obowiązku prawnego.

Gdy DashStack działa jako podmiot przetwarzający lub dalszy podmiot przetwarzający, retencja i usuwanie następują zgodnie z właściwą umową, umową powierzenia przetwarzania, wymaganiami platformy oraz udokumentowanymi poleceniami administratora. Po zakończeniu świadczenia usługi dane osobowe są zwracane lub usuwane zgodnie z wymaganiami, z zastrzeżeniem prawnie wymaganej retencji i ograniczeń wynikających z zarządzania kopiami zapasowymi.

Procesy usuwania uwzględniają systemy produkcyjne, bazy danych, eksporty, pliki tymczasowe, logi oraz kopie zapasowe. Kopie zapasowe mogą być przechowywane przez ograniczony okres odtwarzania i pozostają chronione przed nieuprawnionym wykorzystaniem do czasu nadpisania lub bezpiecznego usunięcia w ramach obowiązującego cyklu życia kopii.

DashStack dąży do wykorzystywania infrastruktury na terenie Europejskiego Obszaru Gospodarczego (EOG) dla danych osobowych — tam, gdzie jest to racjonalnie wykonalne i gdzie DashStack kontroluje wybór regionu. Obecne podstawowe lokalizacje produkcyjne i hostingowe wykorzystywane dla właściwych usług obejmują Polskę i Niemcy, w tym infrastrukturę we Frankfurcie nad Menem.

Dane osobowe nie są przekazywane poza EOG, chyba że przekazanie jest dopuszczalne w świetle obowiązujących przepisów o ochronie danych i wdrożono odpowiednie zabezpieczenia. W zależności od okoliczności zabezpieczeniem może być decyzja stwierdzająca odpowiedni stopień ochrony, standardowe klauzule umowne albo inny zgodny z prawem mechanizm przekazywania.

Jeżeli dostawcy zewnętrzni mogą przetwarzać dane osobowe poza EOG, DashStack ocenia dostawcę, warunki umowne, mechanizm przekazywania oraz odpowiednie środki bezpieczeństwa przed zatwierdzeniem przetwarzania objętego niniejszą Polityką.

Podmioty trzecie przetwarzające dane osobowe na rzecz DashStack lub w imieniu klientów DashStack są wybierane z odpowiednim uwzględnieniem ryzyk prywatności i bezpieczeństwa.

Tam, gdzie jest to wymagane, przetwarzanie jest regulowane postanowieniami umownymi obejmującymi poufność, bezpieczeństwo, obowiązki w zakresie ochrony danych, powiadamianie o incydentach, wsparcie przy realizacji praw osób, których dane dotyczą, usunięcie lub zwrot danych oraz korzystanie z dalszych podmiotów przetwarzających.

Gdy DashStack działa jako podmiot przetwarzający i zamierza powierzyć przetwarzanie dalszemu podmiotowi, autoryzacja lub powiadomienie klienta następuje zgodnie z obowiązującą umową powierzenia przetwarzania.

Kwestie prywatności są uwzględniane przy projektowaniu oraz istotnych modyfikacjach systemów i czynności przetwarzania obejmujących dane osobowe. Odpowiednie środki mogą obejmować minimalizację danych, pseudonimizację, restrykcyjne ustawienia domyślne, kontrolę dostępu, ograniczenia retencji, szyfrowanie, rozdzielenie środowisk oraz ograniczone wykorzystanie produkcyjnych danych osobowych w rozwoju i testach.

Produkcyjne dane osobowe klientów nie są wykorzystywane w środowiskach rozwojowych ani testowych, chyba że jest to niezbędne, autoryzowane i odpowiednio zabezpieczone — na przykład przez anonimizację lub pseudonimizację.

Nowe lub istotnie zmienione czynności przetwarzania podlegają — tam, gdzie jest to zasadne — ocenie ryzyka dla prywatności. Gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych, DashStack wspiera lub przeprowadza ocenę skutków dla ochrony danych (DPIA) zgodnie z obowiązującym prawem i stosownie do swojej roli w przetwarzaniu.

Ryzyka prywatności zidentyfikowane w wyniku ocen, przeglądów klienckich, incydentów, audytów lub zmian technicznych są dokumentowane i adresowane proporcjonalnie.

Podejrzenia naruszenia ochrony danych osobowych są niezwłocznie zgłaszane Osobie odpowiedzialnej za ochronę prywatności i obsługiwane wraz z procesem zarządzania incydentami bezpieczeństwa określonym w Polityce bezpieczeństwa informacji DashStack.

Obsługa incydentu obejmuje odpowiednie wykrycie, ocenę, ograniczenie skutków, postępowanie wyjaśniające, działania naprawcze, przywrócenie, dokumentację oraz działania korygujące. Ocena uwzględnia kategorie i wolumen danych osobowych, osoby dotknięte naruszeniem, prawdopodobne konsekwencje oraz istniejące środki ochronne.

Gdy DashStack działa jako podmiot przetwarzający lub dalszy podmiot przetwarzający, właściwy administrator jest informowany bez zbędnej zwłoki po powzięciu przez DashStack wiedzy o naruszeniu dotyczącym danych przetwarzanych w jego imieniu. DashStack przekazuje rozsądne informacje i wsparcie niezbędne administratorowi do oceny obowiązków notyfikacyjnych.

Gdy DashStack działa jako administrator, zawiadomienie właściwego organu nadzorczego oraz osób, których dane dotyczą, następuje w przypadkach wymaganych przez RODO lub inne obowiązujące prawo, z uwzględnieniem przewidzianego w RODO terminu 72 godzin na zawiadomienie organu nadzorczego, jeżeli zawiadomienie jest wymagane.

DashStack prowadzi dokumentację prywatności odpowiednią do swojej roli, skali i czynności przetwarzania. Dokumentacja ta może obejmować rejestry czynności przetwarzania, umowy powierzenia przetwarzania, informacje o zatwierdzonych dalszych podmiotach przetwarzających, polityki bezpieczeństwa i prywatności, rejestry incydentów, rejestry żądań osób, których dane dotyczą, zasady retencji oraz odpowiednie oceny ryzyka.

Dokumentacja dotycząca prywatności jest udostępniana upoważnionym osobom oraz — gdy wymagają tego umowy lub przepisy — klientom albo właściwym organom.

Dane osobowe pracowników, współpracowników i kandydatów są przetwarzane wyłącznie w uzasadnionych celach zatrudnieniowych, współpracy, rekrutacyjnych, bezpieczeństwa, prawnych, płacowych, administracyjnych lub operacyjnych i są dostępne wyłącznie dla upoważnionych osób.

Jeżeli systemy firmowe podlegają monitorowaniu w celach bezpieczeństwa, operacyjnych lub zgodności, monitorowanie jest proporcjonalne, prowadzone zgodnie z obowiązującym prawem i komunikowane personelowi, gdy jest to wymagane.

Personel nie wprowadza danych osobowych klientów, poufnych danych osobowych, poświadczeń, informacji o ograniczonym dostępie ani niepublicznego kodu źródłowego do zewnętrznych narzędzi AI ani usług online, chyba że dana usługa została zatwierdzona dla odpowiedniej kategorii danych i wdrożono właściwe rozwiązania umowne oraz w zakresie ochrony danych.

Każde wykorzystanie AI lub usług zewnętrznych obejmujące dane osobowe podlega wymogom minimalizacji danych, kontroli dostępu, bezpieczeństwa, retencji oraz przekazywania międzynarodowego określonym w niniejszej Polityce.

Skargi, sprzeciwy, zawiadomienia lub korespondencja dotycząca prywatności otrzymane od osób fizycznych, klientów, byłych klientów, organów nadzorczych lub innych regulatorów są niezwłocznie przekazywane Osobie odpowiedzialnej za ochronę prywatności.

Sprawy takie są dokumentowane, oceniane i rozpatrywane w obowiązujących terminach prawnych lub umownych. Istotne skargi i sprawy regulacyjne są eskalowane do zarządu.

Osoby mające dostęp do danych osobowych są informowane o odpowiednich obowiązkach w zakresie prywatności i bezpieczeństwa. Szkolenia lub działania uświadamiające są proporcjonalne do roli i ryzyka i mogą obejmować poufność, phishing, bezpieczne postępowanie z danymi osobowymi, żądania osób, których dane dotyczą, zgłaszanie incydentów, korzystanie z usług zewnętrznych oraz ograniczenia w udostępnianiu danych osobowych.

DashStack może przeglądać lub audytować zabezpieczenia prywatności, uprawnienia dostępu, przepływy danych, ustalenia z podmiotami przetwarzającymi, praktyki retencji oraz środki bezpieczeństwa w celu weryfikacji zgodności z niniejszą Polityką i obowiązującymi wymogami umownymi.

Zidentyfikowane nieprawidłowości są dokumentowane i usuwane w terminie proporcjonalnym do związanego z nimi ryzyka.

Istotne odstępstwa od niniejszej Polityki są dokumentowane, uzasadnione uprawnionym wymogiem biznesowym lub prawnym, zatwierdzane przez osobę upoważnioną i — w miarę możliwości — poparte odpowiednimi środkami kompensującymi. Odstępstwa powinny być ograniczone czasowo i okresowo przeglądane.

Naruszenie niniejszej Polityki może skutkować ograniczeniem lub odebraniem dostępu do danych osobowych albo systemów firmowych oraz może prowadzić do odpowiednich środków organizacyjnych, umownych, dyscyplinarnych lub prawnych, zgodnie z obowiązującym prawem i ustaleniami umownymi.

Polityka podlega przeglądowi co najmniej raz na 12 miesięcy, a także po istotnych zmianach obowiązującego prawa, wytycznych regulacyjnych, czynności przetwarzania, wymagań klientów lub platform, infrastruktury IT, struktury organizacyjnej, ustaleń dotyczących przetwarzania przez podmioty trzecie albo po istotnym incydencie prywatności lub bezpieczeństwa.

Istotne aktualizacje zatwierdza zarząd lub upoważniony przedstawiciel DashStack sp. z o.o. Aktualnie zatwierdzona wersja jest udostępniana właściwemu personelowi oraz — gdy jest to zasadne — klientom lub partnerom biznesowym jako dowód nadzoru DashStack nad ochroną prywatności.

• Polityka bezpieczeństwa informacji DashStack sp. z o.o. w wersji 1.0;
• obowiązujące umowy powierzenia przetwarzania danych (DPA);
• wymagania umowne klientów i platform;
• procedury reagowania na incydenty, tworzenia kopii zapasowych, kontroli dostępu i bezpieczeństwa utrzymywane w ramach Polityki bezpieczeństwa informacji.

Niniejsza Polityka prywatności i ochrony danych osobowych została zatwierdzona do stosowania w DashStack sp. z o.o. przez zarząd lub upoważnionego przedstawiciela.

Spółka: DashStack sp. z o.o. Zatwierdzający: Zarząd / Upoważniony przedstawiciel.