Polityka prywatności

1. Administrator danych osobowych

Administratorem Twoich danych osobowych jest:

2. Dwie role Ekorejestr w zakresie RODO

Ekorejestr przetwarza dane osobowe w dwóch odrębnych rolach, które należy wyraźnie rozróżnić:

3. Ekorejestr jako Administrator (strona marketingowa)

3.1 Formularz zamówienia i kontakt

Gdy wypełniasz formularz zamówienia lub kontaktowy, przetwarzamy: nazwę urzędu/instytucji, NIP, adres, województwo, imię i nazwisko osoby kontaktowej, adres e-mail, numer telefonu, wybrany pakiet.

3.2 Logi serwera i dane techniczne

Serwer rejestruje adresy IP, daty i godziny dostępu, informacje o przeglądarce (User-Agent) w logach systemowych.
Podstawa: art. 6 ust. 1 lit. f RODO (uzasadniony interes: bezpieczeństwo systemu).
Okres: 90 dni.

4. Ekorejestr jako Procesor (system PDWD)

4.1 Konta użytkowników panelu administracyjnego

Dane pracowników urzędu korzystających z panelu (imię, nazwisko, e-mail, rola, logi aktywności) są przetwarzane przez Ekorejestr wyłącznie w celu technicznego umożliwienia korzystania z systemu przez urząd. Urząd jako administrator decyduje, komu tworzyć konta i w jakim zakresie. Ekorejestr nie przetwarza tych danych we własnych celach.

Prawa osób, których dane dotyczą, w zakresie tych danych należy kierować do urzędu jako administratora. Ekorejestr udziela urzędowi pomocy technicznej w realizacji tych praw.

4.2 Treść kart informacyjnych PDWD

Dane zawarte w kartach informacyjnych prowadzonego przez urząd PDWD (w tym ewentualne dane osobowe osób fizycznych) są przetwarzane przez Ekorejestr wyłącznie jako podmiot przetwarzający. Urząd odpowiada za podstawę prawną zamieszczania tych danych w wykazie oraz za ich prawidłowość.

4.3 Dokumenty przesyłane do Asystenta AI

Dokumenty przesyłane do analizy (PDF, DOCX, skany) są przetwarzane wyłącznie w czasie rzeczywistym. Plik jest usuwany natychmiast po otrzymaniu odpowiedzi od modelu AI – nadpisywany zerami i kasowany. Nie jest przechowywany przez Ekorejestr.

Analiza odbywa się przez Google Gemini (Vertex AI, region EU: europe-west3, Frankfurt). Logi przetwarzania AI zawierają wyłącznie: hash SHA-256 pliku, nazwę modelu, czas i wynik (bez treści dokumentu).

Urząd jest odpowiedzialny za ocenę podstawy prawnej przetwarzania danych osobowych zawartych w przesyłanych dokumentach, zanim użyje funkcji Asystenta AI.

5. Odbiorcy danych

Dane mogą być przekazywane wyłącznie następującym podmiotom:

• Contabo GmbH (Aschauer Str. 32a, 81549 Monachium, Niemcy) - dostawca infrastruktury serwerowej (serwer w Polsce, UE). Dostęp wyłącznie na poziomie infrastruktury fizycznej.
• Google LLC (Vertex AI) - w zakresie analizy dokumentów przez Asystenta AI. Usługa skonfigurowana w regionie UE (europe-west3, Frankfurt). Podstawa: Google Cloud DPA.
• Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Niemcy, UE) - przechowywanie zaszyfrowanych kopii bezpieczeństwa (szyfrowanie AES-256 przed przesłaniem; Hetzner nie ma dostępu do danych niezaszyfrowanych). Podstawa: Auftragsverarbeitungsvertrag (AVV).
• Biuro rachunkowe - w zakresie danych niezbędnych do wystawienia faktur (nazwa, NIP, adres).

Dane są przechowywane w Unii Europejskiej i nie przekazujemy ich sami poza Europejski Obszar Gospodarczy. Google LLC ma siedzibę w USA, dlatego ewentualny transfer lub dostęp spoza EOG w ramach usługi Google jest zabezpieczony standardowymi klauzulami umownymi (art. 46 ust. 2 lit. c RODO) oraz EU-US Data Privacy Framework.

6. Twoje prawa

W zakresie danych przetwarzanych przez Ekorejestr jako administratora (sekcja 3) przysługują Ci prawa:

• Dostęp – informacja o przetwarzanych danych i ich kopia
• Sprostowanie – poprawienie nieprawidłowych lub uzupełnienie niekompletnych danych
• Usunięcie – gdy dane nie są już niezbędne do celów, w których zostały zebrane
• Ograniczenie przetwarzania – wstrzymanie przetwarzania w określonych przypadkach
• Przenoszenie – otrzymanie danych w ustrukturyzowanym formacie
• Sprzeciw – wobec przetwarzania opartego na uzasadnionym interesie Administratora

Żądania kieruj na: rodo@ekorejestr.pl. Odpowiedź w terminie miesiąca (art. 12 ust. 3 RODO).

Masz prawo do wniesienia skargi do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl.

7. Pliki cookies

Serwis Ekorejestr używa plików cookies wyłącznie w zakresie niezbędnym do jego prawidłowego działania. Szczegóły w Polityce cookies.

8. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne zgodne z art. 32 RODO:

• szyfrowanie połączeń (HTTPS/TLS)
• nagłówki bezpieczeństwa HTTP (CSP, X-Frame-Options, Referrer-Policy)
• uwierzytelnianie dwuskładnikowe (2FA) dla użytkowników panelu
• izolacja danych poszczególnych organizacji (multi-tenancy)
• natychmiastowe usuwanie dokumentów po analizie AI
• regularne kopie zapasowe, przechowywane maksymalnie 30 dni (szczegóły w §10a Regulaminu i §7 Umowy powierzenia)

8a. Zgłaszanie podatności i incydentów bezpieczeństwa

Jeśli odkryjesz podatność bezpieczeństwa w serwisie Ekorejestr, prosimy o odpowiedzialne ujawnienie (responsible disclosure):

1. Zgłoś podatność na adres security@ekorejestr.pl - podaj opis, kroki reprodukcji i ewentualny wpływ.
2. Daj nam co najmniej 14 dni na potwierdzenie odbioru i 90 dni na naprawienie podatności przed publicznym ujawnieniem.
3. Nie uzyskuj dostępu do danych innych użytkowników ani nie zakłócaj działania serwisu podczas badania.

Podatności krytyczne potwierdzamy w ciągu 24 godzin. Współpracę z badaczami bezpieczeństwa działającymi w dobrej wierze traktujemy jako pomoc, nie zagrożenie.

9. Zmiany polityki prywatności

O istotnych zmianach powiadomimy użytkowników zarejestrowanych w systemie drogą e-mailową. Aktualna wersja jest zawsze dostępna pod adresem ekorejestr.pl/polityka-prywatnosci.