Polityka prywatności

Niniejsza Polityka prywatności wyjaśnia, jak przetwarzane są dane osobowe w związku z Collectionframe: stroną collectionframe.com, aplikacją pod adresem app.collectionframe.com, Publicznymi Stronami muzeów pod adresem collectionframe.com/m/…, Katalogiem Muzeów, podpisywaniem dokumentów oraz wysyłanymi przez nas e-mailami. Terminy pisane wielką literą mają znaczenie nadane im w Regulaminie.

1. Administrator i kontakt

1.1. Administratorem Twoich danych osobowych jest Grzegorz Piechnik, prowadzący działalność gospodarczą pod firmą BUGSPACE GRZEGORZ PIECHNIK, ul. Aleksandra Dworskiego 40/5A, 37-700 Przemyśl, NIP 5170424581, REGON 521697638 („my”, „nas”).

1.2. We wszystkich sprawach dotyczących danych osobowych napisz na adres grzegorz@collectionframe.com lub na adres pocztowy wskazany powyżej. Nie wyznaczyliśmy inspektora ochrony danych, ponieważ przepisy tego od nas nie wymagają.

2. Kiedy administratorem jesteśmy my, a kiedy organizacja

2.1. Jesteśmy administratorem danych osobowych przetwarzanych w naszych własnych celach: kont użytkowników i logowania, Organizacji i rozliczeń, korespondencji i wsparcia, bezpieczeństwa Usługi, naszych stron internetowych oraz Katalogu Muzeów.

2.2. Muzea i inne organizacje korzystające z Collectionframe (nasi Klienci) wprowadzają do Usługi własne treści: rekordy obiektów, dokumenty i pliki, prośby o podpis wraz ze Śladem Audytowym oraz to, co publikują na swoich Publicznych Stronach. W odniesieniu do danych osobowych zawartych w tych treściach administratorem jest organizacja, a my przetwarzamy dane w jej imieniu jako podmiot przetwarzający, na podstawie punktu 14 Regulaminu. Jeżeli podpisałeś dokument, jesteś wymieniony w rekordzie zbiorów albo odwiedziłeś Publiczną Stronę muzeum, w sprawie tych treści skontaktuj się z daną organizacją; jeżeli napiszesz do nas, przekażemy jej Twoje żądanie i pomożemy na nie odpowiedzieć.

3. Jakie dane przetwarzamy, w jakim celu, na jakiej podstawie i jak długo

3.1. Twoje konto i logowanie

Przetwarzamy Twój adres e-mail, imię i nazwisko oraz zdjęcie profilowe (jeśli je dodasz), preferencje językowe i wyglądu, Organizacje, do których należysz, i Twoje role w nich, jednorazowe kody logowania oraz sesje wraz z adresem IP i informacjami o przeglądarce (user agent), z których się logowałeś, oraz datami tych zdarzeń.

Robimy to, aby prowadzić Twoje konto i świadczyć Usługę zgodnie z Regulaminem (art. 6 ust. 1 lit. b RODO); gdy korzystasz z Collectionframe jako członek organizacji, również w naszym prawnie uzasadnionym interesie i interesie tej organizacji, polegającym na świadczeniu jej Usługi (art. 6 ust. 1 lit. f RODO); a także w celu zapewnienia bezpieczeństwa Usługi i przeciwdziałania nadużyciom (art. 6 ust. 1 lit. f RODO).

Kod logowania jest ważny przez kilka minut, a sesja wygasa po 7 dniach nieaktywności. Dane konta przechowujemy, dopóki konto istnieje. Po usunięciu konta usuwamy jego dane w ciągu 90 dni, z wyjątkiem danych, które musimy przechowywać na podstawie przepisów, danych niezbędnych do ustalenia, dochodzenia lub obrony roszczeń (nie dłużej niż do upływu terminów przedawnienia) oraz danych zapisanych w Śladach Audytowych (punkt 4).

3.2. Organizacje, plany i płatności

Przetwarzamy nazwę i dane Organizacji, dane kontaktowe jej Właścicieli, jej Plan, status i daty okresu próbnego i subskrypcji oraz identyfikator klienta w Polar. Płatności obsługuje Polar Software, Inc., nasz sprzedawca rejestrowany (merchant of record), który jest odrębnym administratorem danych podawanych mu przy zakupie i przetwarza je zgodnie z własną polityką prywatności. Nie otrzymujemy ani nie przechowujemy danych kart płatniczych.

Robimy to w celu wykonania umowy (art. 6 ust. 1 lit. b RODO), wypełnienia obowiązków prawnych, w tym podatkowych i rachunkowych (art. 6 ust. 1 lit. c RODO), oraz w naszym prawnie uzasadnionym interesie polegającym na ustaleniu i dochodzeniu roszczeń (art. 6 ust. 1 lit. f RODO). Dane te przechowujemy przez czas trwania umowy, a następnie przez okres wymagany przepisami podatkowymi i rachunkowymi (co do zasady 5 lat od końca danego roku) oraz do upływu terminów przedawnienia roszczeń.

3.3. Korespondencja, wsparcie i e-maile dotyczące Usługi

Gdy do nas piszesz, korzystasz z formularza zgłoszeniowego lub pytasz o Plan Enterprise, przetwarzamy Twoje imię i nazwisko, adres e-mail, organizację, treść wiadomości i ewentualne załączniki, aby Ci odpowiedzieć i obsłużyć sprawę (art. 6 ust. 1 lit. f RODO, a jeżeli sprawa dotyczy umowy, także art. 6 ust. 1 lit. b RODO).

Wysyłamy e-maile niezbędne do działania Usługi: kody logowania, zaproszenia, prośby o podpis i kody do podpisu oraz informacje o okresie próbnym, planach i zmianach (art. 6 ust. 1 lit. b RODO). Kilka dni po założeniu konta oraz po zakończeniu okresu próbnego założyciel Collectionframe może napisać z pytaniem o Twoje wrażenia, w naszym prawnie uzasadnionym interesie polegającym na wspieraniu klientów i ulepszaniu Usługi (art. 6 ust. 1 lit. f RODO); możesz w każdej chwili wnieść sprzeciw, po prostu odpowiadając na wiadomość. Otrzymujemy też codzienne wewnętrzne zestawienie nowych kont (imię i nazwisko, adres e-mail i data). Nie wysyłamy newsletterów ani e-maili marketingowych.

Korespondencję przechowujemy przez czas potrzebny do załatwienia sprawy, a następnie do 3 lat lub dłużej, jeżeli jest potrzebna w związku z roszczeniem.

3.4. Bezpieczeństwo i logi techniczne

Gdy korzystasz z naszych stron, aplikacji lub jej API, nasz dostawca hostingu rejestruje dane techniczne: adres IP, datę i godzinę, żądany adres, informacje o przeglądarce i błędach. Wykorzystujemy je do zapewnienia bezpieczeństwa Usługi, przeciwdziałania nadużyciom i usuwania błędów, w naszym prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO). Logi te przechowujemy krótko, co do zasady nie dłużej niż 30 dni, chyba że są potrzebne do wyjaśnienia incydentu.

3.5. Strona collectionframe.com

Nie korzystamy z narzędzi analitycznych, reklamowych ani śledzących, ani z wtyczek serwisów społecznościowych. Podczas wizyty na stronie przetwarzamy wyłącznie logi techniczne (punkt 3.4) i dane w przeglądarce opisane w punkcie 7. Autorzy bloga są przedstawiani z imieniem i nazwiskiem, rolą i linkami do profili, które sami zdecydowali się opublikować.

3.6. Katalog Muzeów

Katalog Muzeów przedstawia informacje o muzeach pochodzące ze źródeł publicznych, głównie z Wikidanych i Wikimedia Commons, oraz od samych muzeów: nazwy, adresy i dane kontaktowe instytucji oraz zdjęcia wraz z imionami i nazwiskami ich autorów i licencjami, zgodnie z wymogami tych licencji. Są to głównie informacje o instytucjach, ale mogą obejmować imię i nazwisko osoby (np. autora zdjęcia) lub dane kontaktowe pozwalające ją zidentyfikować. Przetwarzamy je w naszym prawnie uzasadnionym interesie polegającym na prowadzeniu publicznego katalogu muzeów i oznaczaniu autorstwa zgodnie z licencjami (art. 6 ust. 1 lit. f RODO), przez czas publikacji wpisu. Możesz poprosić o ich sprostowanie lub wnieść sprzeciw, pisząc na adres grzegorz@collectionframe.com.

3.7. Roszczenia i obowiązki prawne

Możemy również przetwarzać dane opisane w tym punkcie, gdy jest to niezbędne do ustalenia, dochodzenia lub obrony roszczeń (art. 6 ust. 1 lit. f RODO) albo do wypełnienia obowiązków prawnych, np. udzielenia odpowiedzi na uprawnione żądania organów (art. 6 ust. 1 lit. c RODO), przez czas, jakiego to wymaga.

4. Podpisywanie dokumentów: informacje dla sygnatariuszy

4.1. Gdy organizacja korzystająca z Collectionframe prosi Cię o podpisanie dokumentu, to ona decyduje o jego treści i o tym, kto go podpisuje, i to ona jest administratorem Twoich danych. Przetwarzamy je w jej imieniu.

4.2. Dla każdej prośby o podpis rejestrujemy: Twoje imię i nazwisko oraz adres e-mail w brzmieniu podanym przez organizację; dokument w wersji przedstawionej do podpisu i jego skrót; kolejne kroki prośby, takie jak wysłanie i otwarcie zaproszenia, wysłanie, weryfikacja lub błędne wpisanie jednorazowych kodów, złożenie podpisu oraz zakończenie, anulowanie lub unieważnienie prośby; datę i godzinę każdego kroku; adres IP i informacje o przeglądarce (user agent), z których działałeś; Twoje potwierdzenie, że zapoznałeś się z dokumentem i zamierzasz podpisać go elektronicznie; oraz wartość kryptograficzną, która wiąże te dane ze sobą. Ten zapis to Ślad Audytowy.

4.3. Ślad Audytowy pozwala organizacji zawrzeć i udokumentować umowę oraz wykazać, kto, co i kiedy podpisał. Po złożeniu pierwszego podpisu organizacja nie może go usunąć. Jest przechowywany przez czas korzystania przez organizację z Collectionframe i przez 6 lat po jego zakończeniu, chyba że organizacja poleci nam inaczej.

4.4. Jeżeli masz pytania lub chcesz skorzystać ze swoich praw, skontaktuj się z organizacją, która wysłała Ci dokument. Możesz też napisać do nas, a przekażemy jej Twoje żądanie.

5. Publiczne Strony muzeów

Organizacje mogą publikować wybrane treści z Collectionframe pod adresem collectionframe.com/m/…. O tym, co jest pokazywane, decyduje publikująca organizacja i to ona za to odpowiada; my przechowujemy te treści w jej imieniu. Podczas wizyty na tych stronach przetwarzamy wyłącznie logi techniczne (punkt 3.4). Zasady zgłaszania nielegalnych treści opisuje punkt 8 Regulaminu.

6. Odbiorcy danych

6.1. Korzystamy z usług następujących dostawców, którzy działają jako nasze podmioty przetwarzające, a w odniesieniu do Treści Klienta jako dalsze podmioty przetwarzające:

• Cloudflare, Inc. (USA, sieć globalna): hosting aplikacji, API i stron internetowych, dostarczanie treści, przechowywanie plików (R2), przetwarzanie obrazów, połączenia z bazami danych, wysyłka e-maili, logi techniczne i ochrona przed atakami;

• PlanetScale, Inc. (USA): bazy danych aplikacji i strony internetowej, utrzymywane w Amazon Web Services w Stanach Zjednoczonych;

• Polar Software, Inc. (USA): nasz sprzedawca rejestrowany (merchant of record) dla płatnych Planów, obsługujący zakup, płatności, podatki i faktury. W odniesieniu do danych podawanych mu przy zakupie Polar jest odrębnym administratorem.

6.2. Inni odbiorcy: dostawcy narzędzi poczty e-mail i narzędzi biurowych, z których korzystamy, aby odbierać wiadomości i na nie odpowiadać; w razie potrzeby nasza księgowość i doradcy prawni; organy publiczne, gdy wymagają tego przepisy. Treści opublikowane przez Klienta na jego Publicznej Stronie są dostępne dla każdego.

6.3. Treści osób trzecich w Twojej przeglądarce: mapa Katalogu Muzeów pobiera kafelki mapy z OpenFreeMap (tiles.openfreemap.org), a zdjęcia muzeów są pobierane z Wikimedia Commons (upload.wikimedia.org). Twoja przeglądarka łączy się z tymi serwisami bezpośrednio i przekazuje im Twój adres IP. Linki do Map Google i Map Apple otwierają te serwisy dopiero po kliknięciu.

7. Pliki cookie i pamięć przeglądarki

7.1. Korzystamy wyłącznie z plików cookie i pamięci przeglądarki niezbędnych do świadczenia usługi, o którą prosisz, lub do zapamiętania Twoich wyborów. Nie używamy analitycznych ani reklamowych plików cookie, dlatego nie prosimy o zgodę na ich stosowanie.

7.2. W aplikacji: plik cookie sesji ustawiany przez api.collectionframe.com na czas zalogowania (do 7 dni nieaktywności); plik cookie zapamiętujący, czy panel boczny jest otwarty (7 dni); oraz, w pamięci lokalnej lub sesyjnej przeglądarki, Twój język i motyw, ostatnio otwierane elementy, postęp w „Pierwszych krokach”, zamknięte komunikaty o nowościach, muzeum wybrane w katalogu przed zalogowaniem i wersja robocza formularza rejestracji.

7.3. Na stronie collectionframe.com: plik cookie cf_lang z wybranym językiem (1 rok) oraz, w pamięci lokalnej, informacja o zamkniętym komunikacie.

7.4. Pliki cookie i dane w pamięci przeglądarki możesz usunąć w jej ustawieniach. Usługa może wtedy Cię wylogować lub zapomnieć Twoje wybory.

8. Przekazywanie danych poza Europejski Obszar Gospodarczy

Dostawcy wymienieni w punkcie 6.1 mają siedzibę w Stanach Zjednoczonych lub przetwarzają tam dane, a nasze bazy danych są utrzymywane w Stanach Zjednoczonych. Przekazywanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony w ramach EU–US Data Privacy Framework, w przypadku odbiorców posiadających certyfikację, a w pozostałych przypadkach na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO), wraz z dodatkowymi zabezpieczeniami, takimi jak szyfrowanie transmisji. Możesz poprosić nas o kopię tych zabezpieczeń.

9. Twoje prawa

9.1. Masz prawo dostępu do swoich danych osobowych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu, z przyczyn związanych z Twoją szczególną sytuacją, wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 15–21 RODO). Aby z nich skorzystać, napisz na adres grzegorz@collectionframe.com. Odpowiadamy w ciągu miesiąca; w razie potrzeby termin ten może zostać przedłużony o kolejne dwa miesiące. Możemy poprosić o potwierdzenie Twojej tożsamości.

9.2. Masz również prawo wnieść skargę do organu nadzorczego: w Polsce do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl, lub do organu w państwie UE, w którym mieszkasz lub pracujesz.

9.3. W sprawie treści, które organizacja wprowadziła do Collectionframe, z praw korzystasz wobec tej organizacji (punkt 2.2).

10. Czy musisz podać dane?

Podanie adresu e-mail jest niezbędne do założenia konta, logowania i podpisania dokumentu; bez niego nie możemy świadczyć Usługi. Podanie pozostałych danych jest dobrowolne.

11. Zautomatyzowane decyzje

Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały.

12. Bezpieczeństwo

Chronimy dane osobowe środkami odpowiednimi do ryzyka, w tym szyfrowaniem połączeń (HTTPS), prywatnym przechowywaniem plików udostępnianych przez podpisane linki o ograniczonym czasie ważności (z wyjątkiem treści publikowanych przez organizację), kontrolą dostępu i rozdzieleniem danych poszczególnych Organizacji, krótko ważnymi kodami jednorazowymi, rejestrowaniem zdarzeń związanych z podpisami oraz kopiami zapasowymi. Żaden system nie jest w pełni bezpieczny: dbaj o swoje konto e-mail, ponieważ daje ono dostęp do Twojego konta w Collectionframe.

13. Dzieci

Usługa jest przeznaczona do użytku profesjonalnego. Nie jest skierowana do dzieci i nie zbieramy świadomie danych dzieci poniżej 16. roku życia.

14. Zmiany polityki

Możemy aktualizować Politykę prywatności, np. gdy zmienia się Usługa, nasi dostawcy lub przepisy. Aktualna wersja wraz z datą jej obowiązywania jest zawsze dostępna pod adresem collectionframe.com/legal/privacy. O istotnych zmianach poinformujemy Użytkowników e-mailem lub w Usłudze.