Polityka prywatności

Polityka prywatności DockRay
obowiązująca od dnia jej opublikowania w Serwisie

1. Administrator i kontakt

1.1. Administratorem danych osobowych przetwarzanych w związku z serwisem internetowym, panelem i usługą DockRay („Serwis”) jest Dock sp. z o.o. z siedzibą w Gdańsku, ul. Rakoczego 9/73, 80-288 Gdańsk, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0001105135, NIP 9571173402, REGON 524088178 („Administrator”, „Dock” lub „my”).

1.2. W sprawach dotyczących prywatności można skontaktować się z nami pod adresem hello@dock.codes lub pisemnie na adres siedziby.

1.3. Administrator wyznaczył Inspektora Ochrony Danych - Mirona Miotka. Kontakt z Inspektorem jest możliwy pod adresem m.miotk@dock.codes albo korespondencyjnie na adres siedziby Administratora z dopiskiem „Inspektor Ochrony Danych”.

2. Zakres i role w przetwarzaniu danych

2.1. Niniejsza Polityka opisuje przetwarzanie danych osób odwiedzających stronę DockRay, zakładających Konto, korzystających z panelu, składających Zamówienia, kontaktujących się z nami oraz reprezentujących Klientów i dostawców.

2.2. W odniesieniu do danych konta, użytkowników panelu, rozliczeń, kontaktu, bezpieczeństwa Serwisu i marketingu własnego Dock jest administratorem danych i sam określa cele oraz sposoby przetwarzania.

2.3. Dane telemetryczne przesyłane z monitorowanych aplikacji Klienta - w szczególności zgłoszenia błędów, informacje o transakcjach HTTP, adresy IP, identyfikatory użytkowników, adresy URL, nagłówki i inne informacje dołączone przez Integrację - przetwarzamy co do zasady jako podmiot przetwarzający na polecenie Klienta. Administratorem tych danych pozostaje Klient. Zasady powierzenia określa Regulamin usługi lub odrębna umowa z Klientem.

2.4. Klient decyduje, jakie dane wysyła z własnych systemów do DockRay, i odpowiada za podstawę prawną, obowiązki informacyjne oraz prawidłową konfigurację Integracji. Osoba, której dane trafiły do DockRay z monitorowanej aplikacji, powinna w pierwszej kolejności kierować żądania dotyczące tych danych do administratora tej aplikacji. Pomagamy Klientowi w realizacji takich żądań zgodnie z umową powierzenia.

3. Jakie dane przetwarzamy

• dane Konta i Użytkownika - nazwa Konta, imię, nazwisko, adres e-mail, numer telefonu, preferowany język, role i uprawnienia, status weryfikacji adresu oraz ustawienia uwierzytelniania;
• dane uwierzytelniające i bezpieczeństwa - skrót hasła, zaszyfrowany sekret TOTP, informacje o zaufanych urządzeniach lub adresach IP, daty logowania, historia istotnych operacji, adres IP, identyfikatory sesji oraz informacje o przeglądarce i urządzeniu;
• dane logowania społecznościowego - identyfikator konta u wybranego dostawcy, adres e-mail, imię, nazwisko, pseudonim lub adres awatara udostępnione przez Google, Facebook albo GitHub, jeżeli Klient korzysta z takiej metody logowania;
• dane firmowe i rozliczeniowe - firma lub nazwa, NIP lub inny numer podatkowy, adres, kraj, adres rozliczeniowy e-mail, wybrany Plan, waluta, historia Zamówień, płatności i wystawionych dokumentów;
• dane płatnicze - metoda płatności, status i identyfikator transakcji. Pełne dane karty są podawane bezpośrednio operatorowi płatności i nie są przechowywane przez DockRay;
• dane kontaktowe - dane podane w formularzu kontaktowym, na czacie, w wiadomości e-mail lub zgłoszeniu wsparcia, treść korespondencji i informacje potrzebne do obsługi sprawy;
• dane techniczne Serwisu - adres IP, data i czas żądania, żądany adres URL, adres strony odsyłającej, kod odpowiedzi, rodzaj przeglądarki i systemu, identyfikatory cookies, dane diagnostyczne i zdarzenia związane z bezpieczeństwem;
• dane telemetryczne Klienta - zakres zależny od konfiguracji monitorowanej aplikacji, mogący obejmować komunikaty i stosy błędów, dane żądań i transakcji, identyfikatory, adresy IP, adresy URL, informacje o urządzeniu, środowisku i wersji oprogramowania.

Nie prosimy o przesyłanie w danych telemetrycznych haseł, kluczy API, tokenów sesji, pełnych danych kart płatniczych, szczególnych kategorii danych osobowych ani danych dotyczących wyroków i naruszeń prawa. Klient powinien stosować filtry i mechanizmy anonimizacji udostępniane przez Integracje.

4. Cele, podstawy prawne i obowiązek podania danych

• założenie i prowadzenie Konta, uwierzytelnianie, świadczenie Usługi, obsługa Zamówień i wsparcia - wykonanie umowy lub działania przed jej zawarciem (art. 6 ust. 1 lit. b RODO), a w przypadku osób reprezentujących Klienta - nasz prawnie uzasadniony interes polegający na wykonaniu umowy z Klientem i komunikacji z jego personelem (art. 6 ust. 1 lit. f RODO);
• rozliczenia, faktury, księgowość i obowiązki podatkowe - wykonanie obowiązku prawnego (art. 6 ust. 1 lit. c RODO) oraz wykonanie umowy;
• ochrona Kont, zapobieganie nadużyciom, obsługa incydentów, prowadzenie logów i dziennika zmian - prawnie uzasadniony interes Administratora i Klientów polegający na zapewnieniu bezpieczeństwa, rozliczalności i ciągłości Usługi (art. 6 ust. 1 lit. f RODO);
• odpowiedzi na formularze, czat i korespondencję - działania przed zawarciem umowy, wykonanie umowy albo prawnie uzasadniony interes polegający na obsłudze zapytań i relacji biznesowych;
• ustalenie, dochodzenie i obrona roszczeń - prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO);
• analityka korzystania ze strony, badanie użyteczności i pomiar skuteczności działań promocyjnych - zgoda użytkownika, jeżeli używane narzędzie zapisuje informacje w urządzeniu lub uzyskuje do nich dostęp (art. 6 ust. 1 lit. a RODO oraz właściwe przepisy prawa komunikacji elektronicznej);
• przesyłanie informacji handlowych lub newslettera - zgoda, jeżeli użytkownik osobno ją wyraził; niezależnie od tego możemy kierować do obecnych Klientów informacje związane z działaniem lub bezpieczeństwem zakupionej Usługi, ponieważ nie są one marketingiem.

Podanie danych oznaczonych jako wymagane jest konieczne do utworzenia Konta, realizacji Zamówienia albo udzielenia odpowiedzi. Pozostałe dane są dobrowolne. Niepodanie danych wymaganych może uniemożliwić wykonanie danej czynności.

5. Źródła danych

Dane otrzymujemy bezpośrednio od osoby, której dotyczą, od Klienta lub innego Użytkownika zarządzającego zespołem, z monitorowanej aplikacji za pośrednictwem Integracji, od dostawcy logowania społecznościowego wybranego przez Użytkownika, od operatora płatności oraz automatycznie z urządzenia podczas korzystania z Serwisu. Dane reprezentantów przedsiębiorców możemy otrzymywać także z publicznych rejestrów i stron firmowych.

6. Odbiorcy danych i dostawcy

6.1. Dane mogą być udostępniane wyłącznie w zakresie niezbędnym:

• dostawcom hostingu, infrastruktury chmurowej, baz danych, kopii zapasowych i wyszukiwarki;
• dostawcom poczty elektronicznej, komunikacji i obsługi zgłoszeń;
• operatorowi płatności Stripe oraz bankom i operatorom rozliczeń - gdy wybrana zostanie odpowiednia metoda płatności;
• dostawcom logowania Google, Facebook lub GitHub - gdy Użytkownik wybierze daną metodę;
• Google w związku z reCAPTCHA, Google Tag Managerem lub usługami uruchomionymi za jego pomocą - jeżeli zostały włączone;
• Hotjar - jeżeli narzędzie analizy zachowania zostało włączone;
• tawk.to - jeżeli użytkownik korzysta z dostępnego w danym czasie czatu;
• dostawcom usług księgowych, prawnych, audytowych, bezpieczeństwa i utrzymania oprogramowania;
• organom publicznym lub innym podmiotom, gdy obowiązek udostępnienia wynika z prawa.

6.2. Pracownicy i współpracownicy Dock otrzymują dostęp wyłącznie w zakresie wynikającym z obowiązków i nadanych uprawnień oraz są zobowiązani do zachowania poufności.

6.3. Aktualna konfiguracja Serwisu decyduje, które opcjonalne narzędzia są aktywne. Samo wymienienie dostawcy w Polityce nie oznacza, że jego narzędzie jest uruchomione przy każdej wizycie.

7. Przekazywanie danych poza EOG

Niektórzy dostawcy technologii mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym, w szczególności w Stanach Zjednoczonych. W takim przypadku zapewniamy podstawę legalizującą transfer wymaganą przez rozdział V RODO, w szczególności decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony - w tym EU–US Data Privacy Framework wobec uczestniczących podmiotów - albo standardowe klauzule umowne wraz z oceną transferu i środkami uzupełniającymi, gdy są potrzebne. Informację o właściwym zabezpieczeniu można uzyskać, kontaktując się z Inspektorem Ochrony Danych.

8. Okres przechowywania

• dane Konta i Użytkowników - przez okres obowiązywania umowy, a po jej zakończeniu do upływu okresu przedawnienia roszczeń lub zakończenia sporu;
• dane księgowe i podatkowe - przez okres wymagany obowiązującymi przepisami;
• Zamówienia, potwierdzenia płatności i dokumenty rozliczeniowe - przez okres potrzebny do wykonania obowiązków prawnych oraz obrony przed roszczeniami;
• korespondencja i zgłoszenia - przez czas obsługi sprawy, a następnie do czasu przedawnienia związanych z nią roszczeń; zapytania, które nie doprowadziły do zawarcia umowy, co do zasady nie dłużej niż 3 lata;
• logi bezpieczeństwa i dziennik zmian - przez okres uzasadniony bezpieczeństwem, audytem i rozliczalnością, nie dłużej niż jest to potrzebne do tych celów;
• dane przetwarzane na podstawie zgody - do jej wycofania albo wcześniejszej utraty przydatności, chyba że istnieje inna podstawa dalszego przechowywania;
• surowe dane telemetryczne - przez okres retencji wynikający z Planu Klienta i ustawień Projektu; po jego upływie są automatycznie usuwane;
• zagregowane statystyki techniczne niezawierające danych osobowych - mogą być przechowywane bezterminowo.

Po upływie właściwego okresu dane są usuwane lub anonimizowane. Kopie zapasowe są nadpisywane zgodnie z cyklem ich rotacji, a do tego czasu pozostają odizolowane i nie są używane do innych celów.

9. Prawa osób

Osobie, której dane dotyczą, przysługuje - na warunkach określonych w RODO - prawo:

• dostępu do danych i otrzymania ich kopii;
• sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych;
• usunięcia danych;
• ograniczenia przetwarzania;
• przenoszenia danych przetwarzanych na podstawie zgody lub umowy w sposób zautomatyzowany;
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, z przyczyn związanych ze szczególną sytuacją, oraz w każdym czasie wobec marketingu bezpośredniego;
• wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania.

Żądanie można przesłać Administratorowi lub Inspektorowi Ochrony Danych. Możemy poprosić o informacje pozwalające bezpiecznie potwierdzić tożsamość. Jeżeli żądanie dotyczy danych przesłanych do DockRay przez Klienta jako administratora monitorowanej aplikacji, przekażemy żądanie właściwemu Klientowi albo poinformujemy, jak się z nim skontaktować.

Przysługuje również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl.

10. Zautomatyzowane podejmowanie decyzji

Nie podejmujemy wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nich wpływały. Mechanizmy bezpieczeństwa mogą automatycznie oceniać ryzyko żądania, ograniczać liczbę prób lub wymagać dodatkowego uwierzytelnienia. reCAPTCHA, jeżeli jest włączona, ocenia prawdopodobieństwo automatycznego działania formularza; odrzucenie formularza można zakwestionować, kontaktując się z nami innym kanałem.

11. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności szyfrowanie transmisji TLS, kontrolę dostępu opartą na rolach, uwierzytelnianie dwuskładnikowe, bezpieczne haszowanie haseł, szyfrowanie wybranych sekretów, separację danych Klientów, rejestrowanie istotnych operacji, kopie zapasowe, aktualizacje i monitoring infrastruktury. Żaden sposób transmisji ani przechowywania danych nie zapewnia jednak absolutnego bezpieczeństwa.

12. Cookies i podobne technologie

12.1. Cookies to niewielkie informacje zapisywane w urządzeniu użytkownika. Serwis może korzystać z:

• cookies niezbędnych - potrzebnych do utrzymania sesji, logowania, ochrony formularzy, zapamiętania ustawień bezpieczeństwa, języka i preferencji interfejsu; bez nich część Serwisu nie może działać;
• cookies analitycznych i funkcjonalnych - służących do pomiaru ruchu, badania użyteczności, zapamiętywania dodatkowych preferencji lub obsługi czatu, jeżeli odpowiednie narzędzia są włączone;
• cookies marketingowych - używanych do pomiaru kampanii lub dopasowania komunikacji, wyłącznie gdy takie narzędzia zostaną uruchomione.

12.2. Cookies niezbędne są stosowane w celu świadczenia żądanej usługi i zapewnienia bezpieczeństwa. Pozostałe cookies oraz podobne identyfikatory mogą być stosowane po uzyskaniu zgody, jeżeli prawo jej wymaga. Zgodę można wycofać tak samo łatwo, jak została wyrażona. Wycofanie zgody nie wpływa na wcześniejsze, zgodne z prawem działania.

12.3. Cookies mogą być sesyjne - usuwane po zamknięciu przeglądarki - albo trwałe, przechowywane do upływu terminu wskazanego w ich parametrach lub ręcznego usunięcia. Jeżeli w Serwisie zostaną uruchomione cookies inne niż niezbędne, szczegółowy wykaz aktywnych cookies, dostawców i okresów przechowywania zostanie udostępniony w narzędziu zarządzania zgodami.

12.4. Użytkownik może usuwać i blokować cookies w ustawieniach przeglądarki. Zablokowanie cookies niezbędnych może uniemożliwić logowanie, złożenie formularza lub korzystanie z panelu.

13. Usługi zewnętrzne na stronie

13.1. Formularze rejestracji, kontaktu i Zamówienia mogą być chronione przez Google reCAPTCHA. Po jej włączeniu Google otrzymuje dane techniczne potrzebne do oceny, czy formularz obsługuje człowiek, w tym adres IP oraz informacje o urządzeniu i zachowaniu na stronie. Zastosowanie mają również zasady prywatności Google.

13.2. Strona może korzystać z Google Tag Managera oraz narzędzi uruchamianych za jego pomocą, a także z Hotjar do analizy sposobu korzystania ze strony. Narzędzia te są opcjonalne, a ich uruchomienie wymaga respektowania wyboru użytkownika dotyczącego cookies.

13.3. W godzinach obsługi może być dostępny czat tawk.to. Skrypt czatu jest ładowany dopiero, gdy czat jest dostępny; poza tym okresem przycisk prowadzi do formularza kontaktowego. Rozpoczęcie czatu powoduje przekazanie dostawcy danych technicznych i treści rozmowy.

13.4. Wybranie logowania przez Google, Facebook lub GitHub powoduje przekierowanie do danego dostawcy. Dostawca otrzymuje informację o próbie logowania, a Dock otrzymuje dane wskazane na ekranie autoryzacji. Użytkownik może zamiast tego korzystać z logowania adresem e-mail i hasłem.

14. Zmiany Polityki

Polityka może być aktualizowana w szczególności w razie zmiany prawa, funkcji Serwisu, dostawców lub sposobów przetwarzania. Aktualną wersję publikujemy w Serwisie wraz z datą jej obowiązywania. O istotnych zmianach dotyczących osób posiadających Konto możemy dodatkowo informować e-mailem lub komunikatem w panelu.