Polityka prywatności serwisu afterbell.pl
Wersja: 1.0
Data sporządzenia: 18 sierpnia 2026 r.
Data wejścia w życie: 18 sierpnia 2026 r.
Dokumenty powiązane: Regulamin świadczenia usług drogą elektroniczną Afterbell (regulamin.md) oraz Umowa Powierzenia Przetwarzania Danych Osobowych (umowa-powierzenia-dpa.md). Pojęcia pisane wielką literą, których ta polityka nie definiuje, mają znaczenie nadane im w Regulaminie.
1. Kogo dotyczy ta polityka
Ta polityka opisuje, jak przetwarzamy dane osobowe:
- osób odwiedzających stronę afterbell.pl,
- osób, które zostawiły imię i numer telefonu w formularzu na stronie („Zajmij miejsce"),
- osób, które kontaktują się z nami e-mailem lub innym kanałem kontaktowym,
- osób reprezentujących Klientów (salony) i osób wyznaczonych przez Klienta do kontaktu.
Czego ta polityka NIE obejmuje
Ta polityka nie dotyczy danych osobowych Klientów Końcowych, czyli osób, które piszą lub dzwonią do salonu i są obsługiwane przez Afterbell. Dotyczy to w szczególności:
- treści rozmów w Kanałach Tekstowych (Instagram, Messenger, SMS),
- treści rozmów telefonicznych w postaci transkrypcji, w Planie Pro i Planie Sieć. Nagrania rozmów nie powstają: dźwięk istnieje wyłącznie przejściowo, na czas zamiany na tekst, i nie jest nigdzie zapisywany,
- numerów telefonu, nazw profili w mediach społecznościowych, historii wizyt i kwot,
- zapisów zgód marketingowych,
- danych o nieodebranych połączeniach i czasach reakcji.
W tym zakresie administratorem danych jest salon (nasz Klient biznesowy), a my jesteśmy podmiotem przetwarzającym działającym na podstawie Umowy Powierzenia zawartej z tym salonem (art. 28 RODO). Osoba, której dane dotyczą, powinna kierować swoje żądania do salonu, w którego imieniu prowadzona była rozmowa. Jeżeli takie żądanie trafi do nas, przekazujemy je salonowi i informujemy o tym osobę (§ 13 Umowy Powierzenia).
Tak samo traktujemy dane użytkowników Panelu po stronie salonu (imię i nazwisko, adres e-mail, rola, przypisana lokalizacja): są to dane powierzone przez salon, a nie dane, których administratorem jesteśmy my.
2. Administrator danych
Administratorem danych osobowych, w zakresie objętym tą polityką, jest:
JLP VISION SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ
Kawka 33B, 21-025 Niemce, Polska
KRS: 0001106546
NIP: 7133132023
REGON: 528679483
Kontakt w sprawach danych osobowych: jakub@afterbell.pl
3. Cele przetwarzania, podstawy prawne i okresy przechowywania
3.1. Formularz „Zajmij miejsce" (imię i numer telefonu)
Na stronie afterbell.pl znajduje się formularz, w którym można zostawić imię i numer telefonu, żeby umówić się na prezentację produktu. Deklarujemy przy formularzu, że dzwonimy tego samego dnia w godzinach pracy salonu oraz że numer nie będzie wykorzystany do newslettera, odsprzedaży ani wiadomości reklamowych. Ta deklaracja wiąże nas tak samo jak treść tej polityki.
| Element | Treść |
|---|---|
| Zakres danych | imię, numer telefonu wraz z numerem kierunkowym kraju, informacja o źródle (afterbell.pl) |
| Cel | jednorazowy kontakt telefoniczny i umówienie prezentacji produktu Afterbell |
| Podstawa prawna | art. 6 ust. 1 lit. b RODO, działania podejmowane na żądanie osoby przed zawarciem umowy. Osoba sama prosi o kontakt, więc połączenie zwrotne nie jest marketingiem bezpośrednim w rozumieniu art. 398 ustawy Prawo komunikacji elektronicznej |
| Okres przechowywania | 12 miesięcy od ostatniego kontaktu, chyba że dojdzie do zawarcia umowy, wtedy zgodnie z pkt 3.4. Jeżeli osoba powie w rozmowie, że nie jest zainteresowana, usuwamy numer niezwłocznie, najpóźniej w ciągu 30 dni |
| Odbiorcy | dostawca obsługi formularza (pkt 5), dostawca poczty |
Nie wysyłamy na ten numer wiadomości SMS ani wiadomości marketingowych. Jeżeli miałoby się to zmienić, konieczna jest odrębna zgoda: zgoda z art. 6 ust. 1 lit. a RODO oraz uprzednia zgoda z art. 398 Prawa komunikacji elektronicznej, pozyskana przed pierwszą wiadomością.
3.2. Korespondencja i kontakt
| Element | Treść |
|---|---|
| Zakres danych | imię i nazwisko, adres e-mail, numer telefonu, nazwa firmy, treść korespondencji |
| Cel | odpowiedź na zapytanie i prowadzenie korespondencji |
| Podstawa prawna | art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes polegający na obsłudze zapytań kierowanych do nas; art. 6 ust. 1 lit. b RODO, jeżeli korespondencja dotyczy zawarcia lub wykonania umowy |
| Okres przechowywania | 12 miesięcy od zakończenia korespondencji; dłużej, jeżeli korespondencja jest potrzebna do ustalenia, dochodzenia lub obrony roszczeń, nie dłużej niż do upływu terminu przedawnienia |
| Odbiorcy | dostawca poczty elektronicznej (pkt 5) |
3.3. Prezentacja produktu (demo) i rozmowy handlowe
| Element | Treść |
|---|---|
| Zakres danych | imię i nazwisko, adres e-mail, numer telefonu, nazwa i dane firmy, informacje o potrzebach biznesowych podane w rozmowie, notatki ze spotkania |
| Cel | przeprowadzenie prezentacji produktu i przygotowanie oferty |
| Podstawa prawna | art. 6 ust. 1 lit. b RODO, działania na żądanie osoby przed zawarciem umowy; art. 6 ust. 1 lit. f RODO w zakresie danych osób reprezentujących potencjalnego Klienta |
| Okres przechowywania | 12 miesięcy od ostatniego kontaktu, chyba że dojdzie do zawarcia umowy |
Prezentacji nie nagrywamy i nie transkrybujemy.
3.4. Zawarcie i wykonanie umowy z Klientem biznesowym
| Element | Treść |
|---|---|
| Zakres danych | dane osób reprezentujących Klienta lub wyznaczonych do kontaktu: imię i nazwisko, stanowisko, służbowy e-mail i telefon; dane logowania do Panelu tych osób |
| Cel | zawarcie i wykonanie Umowy o świadczenie Usługi Afterbell, obsługa Klienta, wsparcie, rozliczenia |
| Podstawa prawna | art. 6 ust. 1 lit. b RODO (gdy Klientem jest osoba fizyczna prowadząca działalność gospodarczą) lub art. 6 ust. 1 lit. f RODO, nasz i Klienta prawnie uzasadniony interes w wykonaniu umowy zawartej z podmiotem, który dana osoba reprezentuje |
| Okres przechowywania | przez czas trwania Umowy, a następnie do upływu terminu przedawnienia roszczeń |
3.5. Obowiązki księgowe i podatkowe
| Element | Treść |
|---|---|
| Zakres danych | dane wymagane na fakturach i w dokumentacji księgowej |
| Cel | wystawianie i przechowywanie dokumentów księgowych |
| Podstawa prawna | art. 6 ust. 1 lit. c RODO, obowiązek prawny wynikający z ustawy o rachunkowości i przepisów podatkowych |
| Okres przechowywania | 5 lat licząc od końca roku kalendarzowego, w którym powstał obowiązek podatkowy |
3.6. Bezpieczeństwo, logi serwera i rozliczalność dostępu
| Element | Treść |
|---|---|
| Zakres danych | adres IP, data i godzina żądania, adres strony, typ przeglądarki; w odniesieniu do Panelu także identyfikator konta, rola i wykonana czynność (rejestr dostępu) |
| Cel | zapewnienie bezpieczeństwa i ciągłości działania strony i Panelu, wykrywanie nadużyć, wykazanie kto i kiedy uzyskał dostęp do danych |
| Podstawa prawna | art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes w postaci zabezpieczenia systemów; w zakresie rejestru dostępu w Panelu, w którym działamy jako podmiot przetwarzający, podstawę wskazuje Umowa Powierzenia (art. 32 RODO) |
| Okres przechowywania | 12 miesięcy |
3.7. Analityka strony afterbell.pl
| Element | Treść |
|---|---|
| Zakres danych | zdarzenie odwiedzin strony, identyfikator przypisany przeglądarce przez narzędzie analityczne, informacje o urządzeniu i przeglądarce przekazywane przez nie automatycznie. Adres IP nie jest zapisywany, narzędzie jest uruchamiane z wyłączonym zbieraniem adresu IP |
| Cel | statystyka odwiedzin i ocena, które treści strony działają |
| Podstawa prawna | zgoda: art. 173 ustawy Prawo komunikacji elektronicznej (przechowywanie informacji na urządzeniu użytkownika) oraz art. 6 ust. 1 lit. a RODO |
| Okres przechowywania | 12 miesięcy, ustawiane w konfiguracji projektu Mixpanel; zapis zgody przechowywany w przeglądarce użytkownika do czasu jej zmiany |
| Odbiorcy | Mixpanel (pkt 5 i pkt 7) |
Szczegóły w pkt 7. Bez zgody nie uruchamiamy żadnej analityki, skrypt narzędzia nie jest w ogóle ładowany.
3.8. Ustalenie, dochodzenie i obrona roszczeń
| Element | Treść |
|---|---|
| Cel | ochrona przed roszczeniami i dochodzenie własnych roszczeń |
| Podstawa prawna | art. 6 ust. 1 lit. f RODO |
| Okres przechowywania | do upływu terminu przedawnienia roszczeń |
4. Czy podanie danych jest obowiązkowe
Podanie danych jest dobrowolne. Bez imienia i numeru telefonu nie oddzwonimy i nie umówimy prezentacji. Bez danych kontaktowych i danych do faktury nie zawrzemy i nie rozliczymy Umowy. Zgoda na analitykę jest w pełni dobrowolna: strona działa tak samo, niezależnie od tego, czy zgoda zostanie udzielona.
5. Odbiorcy danych
Dane mogą być przekazywane następującym kategoriom odbiorców: dostawcom hostingu i infrastruktury, dostawcom poczty elektronicznej i narzędzi komunikacji, dostawcy obsługi formularza, dostawcy narzędzia analitycznego, biuru rachunkowemu, doradcom prawnym, dostawcom usług płatniczych i fakturowania oraz organom publicznym, jeżeli wymagają tego przepisy prawa.
Konkretni dostawcy:
| Rola | Dostawca (podmiot umowny) | Lokalizacja przetwarzania | Podstawa transferu poza EOG |
|---|---|---|---|
| Hosting strony afterbell.pl i aplikacji Panelu | Vercel, Inc., 340 Pine Street, San Francisco, Kalifornia 94104, USA | infrastruktura globalna; funkcje serwerowe tego projektu działają w regionie arn1 (Sztokholm, Szwecja), co potwierdza nagłówek x-vercel-id w odpowiedziach serwisu | EU-US Data Privacy Framework (Vercel ogłosił certyfikację i figuruje na liście jako aktywny) oraz standardowe klauzule umowne w swojej umowie powierzenia |
| Baza danych i uwierzytelnianie użytkowników Panelu | Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 | dane przechowywane w UE, region eu-north-1 (Sztokholm, Szwecja), projekt royhlenbutlicgbrgoqy | standardowe klauzule umowne. Podmiot umowny ma siedzibę w Singapurze, dla którego nie ma decyzji o adekwatności, więc sama lokalizacja serwerów w UE nie wystarcza; podstawą są klauzule w umowie powierzenia Supabase |
| DNS, ochrona brzegowa, kontrola dostępu do paneli administracyjnych (Cloudflare Access) | Cloudflare, Inc., 101 Townsend Street, San Francisco, Kalifornia 94107, USA | sieć rozproszona; ruch obsługuje punkt obecności najbliższy odwiedzającemu. Nie korzystamy z płatnego pakietu lokalizacji danych, więc nie deklarujemy ograniczenia przetwarzania wyłącznie do UE | EU-US Data Privacy Framework oraz standardowe klauzule umowne |
| Poczta e-mail w domenie afterbell.pl (Professional Email) | GoDaddy Online Services Cayman Islands Ltd., c/o Mourant Governance Services (Cayman) Limited, 94 Solaris Avenue, Camana Bay, Grand Cayman KY1-1108, Kajmany | infrastruktura europejska: serwer poczty przychodzącej rozwiązuje się na imap.eu-central.vox.secureserver.net, a wychodzącej na smtpout.eu-sxb1.vox.secureserver.net (Strasburg, Francja) | standardowe klauzule umowne. Kajmany nie mają decyzji o adekwatności. Płatności bywają obsługiwane przez GoDaddy Online Services Netherlands B.V., co nie zmienia statusu podmiotu umownego dla samej usługi |
| Analityka strony (planowana) | Mixpanel, Inc., 1 Front Street, 28. piętro, San Francisco, Kalifornia 94111, USA | UE, program rezydencji danych z punktem zbiorczym api-eu.mixpanel.com (Amsterdam); biblioteka pobierana z cdn.mxpnl.com | EU-US Data Privacy Framework (certyfikacja aktywna od 26 października 2023 r.) oraz standardowe klauzule umowne, moduł 2, w umowie powierzenia Mixpanel |
| Obsługa formularza „Zajmij miejsce" | brak podmiotu trzeciego | nie dotyczy | Zgłoszenie przyjmuje nasza własna funkcja serwerowa na Vercelu i zapisuje je w bazie Supabase; oba podmioty są już wymienione wyżej. Powiadomienie o zgłoszeniu wysyłane jest pocztą na nasz adres w domenie afterbell.pl |
| Narzędzie do wideokonferencji (prezentacje demo) | nie korzystamy | nie dotyczy | Prezentacje prowadzimy bez narzędzia zapisującego spotkanie. Gdyby to się zmieniło, dostawca zostanie tu dopisany, a wcześniej sprawdzimy, czy nie nagrywa rozmów |
| Biuro rachunkowe | podmiot prowadzący księgi rachunkowe spółki | Polska | Otrzymuje wyłącznie dokumenty księgowe, bez dostępu do Panelu i bez danych klientek salonów |
| Płatności abonamentowe | Stripe Payments Europe, Limited (Irlandia), podmiot umowny dla kont spoza obu Ameryk | Irlandia, czyli EOG, oraz USA w zakresie, w jakim dane trafiają do spółki macierzystej | podmiot umowny w EOG; dla transferów do USA standardowe klauzule umowne (moduł pierwszy i drugi) oraz EU-US Data Privacy Framework. Przechodzą tędy dane rozliczeniowe salonu, nie dane klientek |
| Wystawianie faktur i przekazanie do KSeF | nie korzystamy z zewnętrznego narzędzia | nie dotyczy | Faktury wystawiamy samodzielnie. Po przekroczeniu progu zwolnienia dla mikroprzedsiębiorców wprowadzimy program do e-faktur i dopiszemy go tutaj przed pierwszym użyciem |
Z każdym dostawcą, który przetwarza dane osobowe w naszym imieniu, zawieramy umowę powierzenia przetwarzania danych osobowych. Aktualna lista podmiotów przetwarzających dane powierzone nam przez salony stanowi Załącznik nr 2 do Umowy Powierzenia i jest dostępna pod adresem afterbell.pl/podprocesorzy.
6. Przekazywanie danych poza Europejski Obszar Gospodarczy
Dążymy do tego, aby dane były przetwarzane na terenie Europejskiego Obszaru Gospodarczego. Baza danych Panelu działa w regionie UE (Sztokholm), a narzędzie analityczne korzysta z europejskiego punktu zbiorczego.
Żaden z dostawców wymienionych w pkt 5 nie ma siedziby w EOG. Przekazanie danych poza EOG odbywa się na jednej z dwóch podstaw z rozdziału V RODO, wskazanych przy każdym dostawcy w tabeli w pkt 5:
- decyzja wykonawcza Komisji Europejskiej o odpowiednim stopniu ochrony, to jest decyzja dotycząca EU-US Data Privacy Framework, dla dostawców z siedzibą w USA, którzy do niego przystąpili i figurują na aktualnej liście uczestników (Vercel, Cloudflare, Mixpanel),
- standardowe klauzule umowne przyjęte przez Komisję Europejską, wraz z oceną skutków transferu i dodatkowymi zabezpieczeniami tam, gdzie są konieczne. Ta podstawa działa dla dostawców spoza USA, dla których nie ma decyzji o adekwatności (Supabase w Singapurze, GoDaddy na Kajmanach), a dla dostawców z USA stanowi drugą, niezależną podstawę na wypadek zakwestionowania Data Privacy Framework.
Warto rozróżnić dwie rzeczy, które łatwo pomylić: miejsce przechowywania danych i siedzibę podmiotu, z którym mamy umowę. Baza danych Panelu stoi fizycznie w Sztokholmie, ale umowa jest zawarta ze spółką singapurską, więc podstawa transferu jest i tak potrzebna.
Osoba, której dane dotyczą, może uzyskać kopię zastosowanych zabezpieczeń, pisząc na jakub@afterbell.pl.
7. Pliki cookies, analityka i inne informacje przechowywane na urządzeniu
7.1. Podstawa prawna
Przechowywanie informacji na urządzeniu użytkownika i uzyskiwanie do nich dostępu wymaga zgody (art. 173 ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej). Zgoda nie jest potrzebna tylko wtedy, gdy przechowywanie jest niezbędne do świadczenia usługi żądanej przez użytkownika. Tam, gdzie w wyniku takiego przechowywania przetwarzane są dane osobowe, podstawą jest dodatkowo art. 6 ust. 1 lit. a RODO.
Zasada obowiązująca na afterbell.pl: żadne narzędzie analityczne nie jest uruchamiane, dopóki użytkownik nie wyrazi zgody. Skrypt Mixpanel nie jest pobierany przy wejściu na stronę; pobiera się dopiero po kliknięciu „Zgadzam się".
7.2. Kategorie
a) Niezbędne (bez zgody)
| Nazwa | Rodzaj | Cel | Czas przechowywania |
|---|---|---|---|
ab_cc | wpis w pamięci lokalnej przeglądarki (localStorage), nie plik cookie | zapamiętanie decyzji o cookies. Zapisujemy trzy wartości: numer wersji treści komunikatu (v), samą decyzję (analytics, tak albo nie) i znacznik czasu jej podjęcia (at). Wersja i data są po to, żeby dało się wykazać, na jaką treść i kiedy użytkownik się zgodził; po zmianie treści komunikatu numer wersji rośnie i pytamy ponownie | bezterminowo, do czasu zmiany decyzji albo wyczyszczenia danych strony w przeglądarce. Pamięć lokalna nie ma daty wygaśnięcia |
ab_salon | plik cookie, domena .afterbell.pl, z flagami httpOnly i sameSite: lax | tylko w Panelu i tylko dla konta właściciela przełączającego się między salonami w części administracyjnej: zapamiętanie, którego salonu dotyczy widok. Konto salonu tego pliku nie otrzymuje, bo widzi wyłącznie własne dane | 12 godzin |
| pliki sesyjne uwierzytelniania Panelu | pliki cookie | utrzymanie zalogowanej sesji użytkownika Panelu | do wylogowania lub wygaśnięcia sesji |
b) Analityczne (wyłącznie za zgodą)
| Nazwa | Dostawca | Cel | Czas przechowywania | Podstawa |
|---|---|---|---|---|
mp_* (wpisy w pamięci lokalnej przeglądarki, tworzone przez bibliotekę Mixpanel uruchomioną z ustawieniem persistence: localStorage) | Mixpanel | statystyka odwiedzin strony. Jedyne zdarzenie, jakie obecnie wysyłamy, nosi nazwę „Odwiedziny strony” | bezterminowo po stronie przeglądarki, do czasu wyczyszczenia danych strony albo wycofania zgody; po stronie Mixpanel 12 miesięcy | zgoda |
Konfiguracja narzędzia analitycznego, którą stosujemy:
- dane trafiają do europejskiego punktu zbiorczego
api-eu.mixpanel.com, - zbieranie adresu IP jest wyłączone,
- biblioteka jest pobierana z
cdn.mxpnl.com, co oznacza połączenie przeglądarki użytkownika z serwerem dostawcy, - nie stosujemy pikseli reklamowych, narzędzi remarketingowych ani narzędzi Meta na stronie afterbell.pl.
Analityka jest uruchomiona, ale wyłącznie po wyrażeniu zgody. Do czasu kliknięcia „Zgadzam się" żaden skrypt analityczny nie jest pobierany ani wykonywany, a na urządzeniu nie zapisujemy niczego poza samą informacją o Twoim wyborze.
7.3. Jak wycofać zgodę
Zgodę można wycofać w każdej chwili i jest to równie łatwe, jak jej udzielenie:
- link „Ustawienia cookies" w stopce strony afterbell.pl otwiera ten sam komunikat i pozwala wybrać „Tylko niezbędne",
- można też wyczyścić dane strony w ustawieniach przeglądarki albo zablokować pliki cookies dla tej domeny.
Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem. Po wycofaniu zgody nie uruchamiamy narzędzia analitycznego przy kolejnych wizytach.
8. Sztuczna inteligencja: obowiązek informacyjny
Afterbell jest systemem sztucznej inteligencji przeznaczonym do bezpośredniej interakcji z osobami fizycznymi w rozumieniu art. 50 ust. 1 rozporządzenia (UE) 2024/1689 (akt w sprawie sztucznej inteligencji), którego przepisy w tym zakresie obowiązują od 2 sierpnia 2026 r.
Osoba, która pisze lub dzwoni do salonu korzystającego z Afterbella, jest informowana o tym, że rozmawia ze sztuczną inteligencją:
- w pierwszej wiadomości kierowanej do niej w danej rozmowie w Kanałach Tekstowych,
- na początku rozmowy w Kanale Głosowym, przed jej merytoryczną częścią.
Informacja jest przekazywana w treści samej rozmowy. Zamieszczenie jej wyłącznie w regulaminie lub w polityce prywatności nie spełnia tego obowiązku. Salon nie może tego komunikatu wyłączyć, ukryć ani skrócić tak, aby przestał być dostrzegalny (§ 4 Regulaminu, § 6 Umowy Powierzenia).
W Planie Pro i Planie Sieć rozmówca słyszy dodatkowo osobny komunikat o tym, że treść rozmowy jest zapisywana. Rozmowy nie nagrywamy, ale powstaje z niej zapis tekstowy, więc komunikat mówi o zapisie treści, a nie o nagrywaniu. Informacja o kontakcie ze sztuczną inteligencją i informacja o zapisie treści to dwa różne obowiązki i żadna nie zastępuje drugiej.
Na stronie afterbell.pl nie działa żaden asystent AI: strona jest zwykłą stroną informacyjną.
9. Profilowanie i zautomatyzowane podejmowanie decyzji
9.1. W zakresie objętym tą polityką
Wobec osób odwiedzających stronę, zostawiających numer w formularzu i kontaktujących się z nami nie podejmujemy decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na te osoby wpływały. Nie stosujemy scoringu leadów ani automatycznej kwalifikacji zapytań handlowych.
9.2. W samej Usłudze, czyli co robi asystent
Ten punkt opisujemy również tutaj, chociaż administratorem jest w tym zakresie salon, ponieważ pytanie „czy AI o czymś decyduje" pada najczęściej i zasługuje na uczciwą odpowiedź.
Asystent w rozmowie z Klientem Końcowym w sposób zautomatyzowany:
- generuje treść odpowiedzi na podstawie Bazy Wiedzy salonu (cennik, usługi, godziny otwarcia, zasady),
- rozpoznaje, o którą usługę chodzi i na jakim etapie jest rozmowa (pyta, wybiera termin, zarezerwowała, utknęła, zrezygnowała),
- rozpoznaje zapytania wrażliwe i medyczne i wtedy przestaje odpowiadać, przekazując rozmowę personelowi salonu. To jest jedyna „decyzja" asystenta, która wywołuje wyraźny skutek dla rozmówcy, i jest to skutek polegający na przekazaniu sprawy człowiekowi, a nie na odmowie czegokolwiek,
- zapisuje zgodę marketingową wraz z jej dokładnym brzmieniem, datą i kanałem,
- wybiera odbiorców kampanii (wypełnianie zwolnionego terminu, reaktywacja) na podstawie prostych, sprawdzalnych kryteriów: udzielonej zgody marketingowej, wcześniejszego pytania o daną usługę oraz typowego odstępu między wizytami przy tej usłudze.
Czego asystent nie robi: nie ocenia stanu zdrowia, nie kwalifikuje do zabiegu, nie wypowiada się o przeciwwskazaniach, nie ustala cen indywidualnych, nie odmawia obsługi, nie tworzy oceny ani punktacji osoby, nie decyduje o dostępie do jakiejkolwiek usługi.
W ocenie autora tego projektu opisane wyżej przetwarzanie stanowi profilowanie w ograniczonym zakresie (pkt 5: dobór odbiorców kampanii na podstawie historii i cech), ale nie stanowi zautomatyzowanego podejmowania decyzji wywołującego skutki prawne lub podobnie istotnie wpływającego w rozumieniu art. 22 ust. 1 RODO. W każdej chwili personel salonu może przejąć rozmowę, a salon może włączyć tryb, w którym każda wiadomość wymaga zatwierdzenia przez człowieka przed wysłaniem.
10. Prawa osób, których dane dotyczą
Osobie, której dane dotyczą, przysługuje prawo do:
| Prawo | Podstawa | Kiedy przysługuje |
|---|---|---|
| dostępu do danych i uzyskania ich kopii | art. 15 RODO | zawsze |
| sprostowania danych | art. 16 RODO | zawsze |
| usunięcia danych („prawo do bycia zapomnianym") | art. 17 RODO | między innymi gdy dane nie są już potrzebne, zgoda została cofnięta albo wniesiono skuteczny sprzeciw; nie przysługuje w zakresie, w jakim mamy obowiązek prawny przechowywać dane, na przykład wobec dokumentów księgowych |
| ograniczenia przetwarzania | art. 18 RODO | między innymi na czas sprawdzenia prawidłowości danych lub rozpatrzenia sprzeciwu |
| przenoszenia danych | art. 20 RODO | gdy podstawą jest zgoda albo umowa i przetwarzanie odbywa się w sposób zautomatyzowany |
| sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie | art. 21 ust. 1 RODO | z przyczyn związanych ze szczególną sytuacją tej osoby |
| sprzeciwu wobec marketingu bezpośredniego | art. 21 ust. 2 RODO | w każdej chwili, bez uzasadnienia, i sprzeciw jest wtedy bezwzględnie skuteczny |
| cofnięcia zgody | art. 7 ust. 3 RODO | w każdej chwili, jeżeli podstawą jest zgoda; cofnięcie nie wpływa na zgodność z prawem przetwarzania dokonanego wcześniej |
| skargi do organu nadzorczego | art. 77 RODO | zob. pkt 11 |
Jak z nich skorzystać
- Żądanie można wysłać na adres jakub@afterbell.pl albo pisemnie na adres siedziby spółki. Nie wymagamy żadnego formularza.
- Jeżeli nie jesteśmy w stanie stwierdzić tożsamości osoby składającej żądanie, możemy poprosić o dodatkowe informacje służące wyłącznie potwierdzeniu tożsamości (art. 12 ust. 6 RODO). Nie prosimy o skan dowodu osobistego.
- Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania. W sprawach skomplikowanych termin może zostać przedłużony o kolejne dwa miesiące, o czym poinformujemy w ciągu pierwszego miesiąca wraz z podaniem przyczyny (art. 12 ust. 3 RODO).
- Realizacja żądania jest bezpłatna. Opłatę możemy pobrać tylko przy żądaniach ewidentnie nieuzasadnionych lub nadmiernych, w szczególności powtarzających się (art. 12 ust. 5 RODO).
- Jeżeli nie zrealizujemy żądania, poinformujemy o przyczynach oraz o prawie wniesienia skargi do organu nadzorczego i skorzystania ze środków ochrony przed sądem.
Żądania dotyczące rozmów z salonem
Jeżeli żądanie dotyczy rozmowy prowadzonej z salonem przez Afterbella (treść rozmowy, transkrypcja, zgoda marketingowa, numer telefonu), administratorem jest salon, a nie my. Takie żądanie:
- przekazujemy salonowi niezwłocznie, nie później niż w ciągu 3 dni roboczych,
- potwierdzamy osobie, że je przekazaliśmy, i wskazujemy, kto jest administratorem,
- wykonujemy czynności techniczne (wyszukanie, eksport, poprawienie, usunięcie, odnotowanie sprzeciwu) na polecenie salonu, w terminie 7 dni roboczych, a w sprawach pilnych niezwłocznie.
Szczegóły opisuje § 13 Umowy Powierzenia.
11. Skarga do organu nadzorczego
Osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego:
Prezes Urzędu Ochrony Danych Osobowych
ul. Stawki 2, 00-193 Warszawa
uodo.gov.pl
12. Bezpieczeństwo danych
Stosujemy środki techniczne i organizacyjne odpowiadające ryzyku. W szczególności:
- szyfrowanie transmisji (HTTPS/TLS) we wszystkich połączeniach ze stroną i z Panelem,
- izolacja danych między salonami wymuszona na poziomie bazy danych (mechanizm row level security w PostgreSQL, włączony na każdej tabeli i egzekwowany również wobec właściciela tabeli). Dane jednego salonu nie mogą pojawić się w widoku innego salonu nawet w razie błędu w kodzie aplikacji,
- klucz serwisowy omijający tę izolację nigdy nie trafia do przeglądarki i jest używany wyłącznie po stronie serwera, przy zakładaniu i zapraszaniu kont,
- rejestr dostępu odnotowujący, kto i kiedy otworzył profil klientki, przejął rozmowę, zatwierdził albo cofnął zgodę. Rejestr jest tylko do zapisu: nie da się go zmienić ani usunąć z poziomu aplikacji,
- uwierzytelnianie wieloskładnikowe dla kont administracyjnych oraz kontrola dostępu do paneli administracyjnych na brzegu sieci,
- zasada minimalnych uprawnień i odbieranie dostępów po zakończeniu współpracy,
- rozdzielenie środowiska produkcyjnego i testowego.
13. Usuwanie danych po zakończeniu współpracy
- Dane objęte tą polityką (kontakty handlowe, korespondencja, dane osób reprezentujących Klienta) usuwamy po upływie okresów wskazanych w pkt 3, z wyjątkiem danych, które musimy zachować na podstawie przepisów prawa, w szczególności dokumentów księgowych.
- Dane Klientów Końcowych powierzone przez salon po rozwiązaniu Umowy z salonem są zwracane albo usuwane, zgodnie z wyborem salonu. Zasady i terminy określa § 15 Umowy Powierzenia oraz § 18 Regulaminu:
- salon ma 30 dni na wskazanie, czy żąda zwrotu danych, czy ich usunięcia,
- przed usunięciem wysyłamy przypomnienie co najmniej 7 dni wcześniej,
- w braku wskazania dane usuwamy,
- usunięcie obejmuje wszystkie kopie, w tym kopie u podprocesorów,
- dane w kopiach zapasowych są usuwane zgodnie z cyklem rotacji kopii i do tego czasu nie są w żaden sposób wykorzystywane.
- Terminy z pkt 2 są takie same w Regulaminie i w Umowie Powierzenia i muszą takie pozostać: 30 dni na wskazanie sposobu postępowania z danymi, 30 dni na usunięcie od upływu tego terminu, 90 dni na usunięcie z kopii zapasowych, eksport w formacie CSV dostępny przez 30 dni od rozwiązania Umowy. Zmiana którejkolwiek z tych wartości wymaga zmiany wszystkich trzech dokumentów naraz.
14. Zmiany polityki
Możemy zmieniać tę politykę. Aktualna wersja jest zawsze dostępna na stronie afterbell.pl. Data ostatniej zmiany jest podana na początku dokumentu. O zmianach istotnych dla Klientów informujemy w trybie przewidzianym w § 20 Regulaminu.
Koniec dokumentu. Projekt do weryfikacji prawnej, nie publikować.