Castpol - firma hostingowo - usługowa. Polityka prywatności

Polityka Prywatności (RODO)

Administratorem danych klientów i osób kontaktujących się z Castpol jest Tomasz Dobiecki, działający pod marką Castpol – Usługi Informatyczne, Wola Dalsza 407, 37-100 Łańcut, NIP 5581782431, e-mail: kontakt@castpol.pl. Castpol jest marką, nie odrębnym administratorem. Dokument opisuje przetwarzanie danych przez Usługodawcę; nie zastępuje informacji publikowanych przez klientów na ich stronach.

1. Cele przetwarzania danych

1.1. Przetwarzane dane zależą od sposobu korzystania z usług. Mogą obejmować imię i nazwisko, nazwę podmiotu, adres, NIP, e-mail, podany numer telefonu, dane konta i zamówień, informacje o płatności, treść korespondencji i zgłoszeń, adres IP, daty operacji oraz techniczne dzienniki dostępu i błędów. Nie należy przesyłać dokumentów tożsamości ani danych szczególnych kategorii, jeśli nie są niezbędne do konkretnej sprawy.

• Konto, zamówienie i wykonanie umowy: art. 6 ust. 1 lit. b RODO, gdy stroną jest osoba, której dane dotyczą. Obejmuje kontakt techniczny konieczny do realizacji usługi. Dla przedstawicieli klientów będących innymi podmiotami podstawą jest art. 6 ust. 1 lit. f RODO – interes w zawarciu, obsłudze i rozliczeniu umowy z reprezentowanym klientem.
• Dokumenty sprzedaży i obowiązki podatkowe: art. 6 ust. 1 lit. c RODO, w związku z właściwymi przepisami podatkowymi i dotyczącymi dokumentowania sprzedaży. Nie opieramy wszystkich czynności rozliczeniowych wyłącznie na zgodzie.
• Reklamacje i uprawnienia ustawowe: art. 6 ust. 1 lit. b lub c RODO, zależnie od czynności i obowiązku; dane niezbędne do ustalenia, obrony lub dochodzenia roszczeń – art. 6 ust. 1 lit. f RODO.
• Bezpieczeństwo, logi i zwalczanie nadużyć: art. 6 ust. 1 lit. f RODO – interes w ochronie kont, infrastruktury i danych oraz wyjaśnianiu incydentów. Gdy konkretne przetwarzanie wynika z obowiązku prawnego, podstawą jest art. 6 ust. 1 lit. c RODO. Zakres logowania powinien być ograniczony do tego, co konieczne.
• Kontakt niezwiązany z umową: art. 6 ust. 1 lit. f RODO – interes w udzieleniu odpowiedzi i prowadzeniu korespondencji. Dane osób reprezentujących inne podmioty mogą pochodzić od tych podmiotów lub z korespondencji; obejmują dane identyfikacyjne, służbowy kontakt i funkcję. Osoba może zapytać o konkretne źródło swoich danych.
• Zgłoszenia DSA, wykonanie nakazów i obowiązki ochrony danych: art. 6 ust. 1 lit. c RODO w zakresie obowiązków prawnych; dodatkowa dokumentacja służąca obronie przed roszczeniami – art. 6 ust. 1 lit. f RODO. Danych zgłaszającego nie przekazuje się automatycznie osobie, której dotyczy zgłoszenie.
• Opcjonalny marketing i analityka: Castpol nie korzysta z Google Analytics. Google Search Console służy sprawdzaniu widoczności strony w wyszukiwarce; nie jest narzędziem śledzenia sesji użytkownika na stronie. Inne narzędzia: tylko jeżeli zostaną rzeczywiście uruchomione i po przedstawieniu odrębnej informacji o celu, narzędziu i danych. Zgoda na dostęp do urządzenia lub marketing elektroniczny jest uzyskiwana, gdy wymaga jej Prawo komunikacji elektronicznej. Jeśli przetwarzanie danych oparto na zgodzie, podstawą jest art. 6 ust. 1 lit. a RODO.

1.2. Podanie danych niezbędnych do założenia konta i wykonania zamówienia jest warunkiem realizacji danej czynności; ich niepodanie uniemożliwi jej wykonanie. Dane do dokumentów sprzedaży mogą być wymagane prawem. Pozostałe dane są dobrowolne. Brak zgody marketingowej lub na opcjonalne cookies nie uniemożliwia zakupu usługi.

1.3. Treści przechowywane przez klienta w hostingu mogą zawierać dane osób trzecich. W zakresie, w którym Castpol przetwarza je na polecenie klienta, działa jako podmiot przetwarzający, a klient jako administrator lub dalszy podmiot przetwarzający. Przed rozpoczęciem takiego przetwarzania wymagane jest odpowiednie uzgodnienie zgodne z art. 28 RODO, określające m.in. zakres, instrukcje, zabezpieczenia, podwykonawców i usunięcie danych. Sam zakup hostingu ani ta polityka nie zastępują takiej umowy.

1.4. Turnstile może automatycznie rozpoznać ruch jako podejrzany i zablokować przesłanie formularza. W razie błędnej blokady można skontaktować się przez kontakt@castpol.pl i zwrócić o sprawdzenie przez człowieka; blokada nie odbiera możliwości zgłoszenia reklamacji, odstąpienia ani wykonania praw dotyczących danych.

2. Udostępnianie danych

2.1. Dane mogą otrzymywać, w zakresie niezbędnym dla ich zadań: dostawcy infrastruktury serwerowej i kopii zapasowych, dostawcy obsługi poczty oraz wsparcia technicznego, wybrani operatorzy płatności i banki, osoby obsługujące rozliczenia lub sprawy prawne, a także uprawnione organy na odpowiedniej podstawie prawnej. Korzystanie z lokalnie zainstalowanego oprogramowania nie oznacza samo przez się przekazywania danych jego autorowi.

2.2. Operator wybranej płatności otrzymuje dane konieczne do jej obsługi. Może działać jako odrębny administrator, m.in. dla realizacji własnych obowiązków prawnych. Usługodawca otrzymuje informacje o wyniku płatności i dane rozliczeniowe potrzebne do przypisania jej do zamówienia. Zakres wymiany danych i podmiot wskazuje informacja przy danej metodzie płatności.

2.3. Korzystamy z następujących dostawców w zakresie związanym z wybraną usługą:

• netcup GmbH (Niemcy) – infrastruktura hostingu WWW, poczty i serwerów radiowych, z serwerami w Niemczech; informacje o ochronie danych.
• OVHcloud – infrastruktura serwerów gier i VPS, z serwerami w Polsce; informacje grupy OVHcloud o ochronie danych i podmiotach uczestniczących w przetwarzaniu.
• Hetzner Online GmbH (Niemcy) – przechowywanie kopii zapasowych w Niemczech; polityka prywatności.
• HotPay (Polska) – obsługa płatności przez operatora wskazanego dla danej transakcji. System obsługują ePłatności sp. z o.o. sp. k. oraz HotPay B2B sp. z o.o.; regulaminy i polityki prywatności operatorów. Operator płatności może działać jako odrębny administrator.
• Stripe – obsługa płatności i zapobieganie oszustwom płatniczym; dane są przetwarzane przez podmioty grupy właściwe dla transakcji, w tym Stripe Payments Europe, Limited w Irlandii oraz Stripe, LLC w USA. Ich role, odbiorców i zasady przetwarzania określają polityka prywatności Stripe i dokumentacja transferów.
• Cloudflare, Inc. (USA) – Turnstile, służący ochronie formularzy przed automatycznymi nadużyciami. Przetwarza sygnały techniczne, m.in. adres IP i informacje o przeglądarce. Przy ochronie strony działa jako podmiot przetwarzający, a w zakresie doskonalenia wykrywania botów opisanym przez Cloudflare – jako odrębny administrator. Szczegóły: informacja o Turnstile.

Infrastruktura hostingu i kopii służy przetwarzaniu danych w ramach świadczonych usług; nie oznacza to, że każdy dostawca otrzymuje wszystkie dane każdego klienta. FOSSBilling, DirectAdmin i Pterodactyl są oprogramowaniem paneli, a samo jego używanie nie oznacza automatycznie przekazywania danych autorom oprogramowania.

2.4. Udostępnienie danych podmiotowi przetwarzającemu wymaga podstawy zgodnej z art. 28 RODO i udokumentowanych instrukcji. Podmioty przetwarzające nie są uprawnione do wykorzystywania powierzonych danych do własnego marketingu. Dostęp osób upoważnionych ogranicza się do zadań wymagających tego dostępu. Odrębni administratorzy, w szczególności operatorzy płatności, wykonują także własne obowiązki prawne.

2.5. Serwery usług i kopii zapasowych wskazane powyżej znajdują się w Polsce i Niemczech. Korzystanie ze Stripe i Cloudflare Turnstile wiąże się również z przekazywaniem danych poza Europejski Obszar Gospodarczy, w szczególności do USA. W odniesieniu do transferów objętych aktywną certyfikacją Stripe, LLC lub Cloudflare, Inc. podstawą jest decyzja Komisji Europejskiej o adekwatności EU–US Data Privacy Framework. W pozostałych przypadkach wymagane są odpowiednie zabezpieczenia, w szczególności standardowe klauzule umowne Komisji Europejskiej, zgodnie z dokumentacją właściwego dostawcy i oceną danego transferu. Informacje o odbiorcach, dalszych podwykonawcach i zabezpieczeniach zawierają Data Transfers Addendum Stripe, polityka prywatności Cloudflare oraz Data Processing Addendum Cloudflare. Szczegóły właściwe dla danych konkretnej osoby oraz kopię mających zastosowanie zabezpieczeń można uzyskać przez kontakt@castpol.pl, z ochroną danych innych osób i informacji poufnych. Położenie serwera w EOG nie wyklucza zdalnego dostępu lub dalszego przetwarzania poza EOG.

3. Okres przechowywania danych

3.1. Dane potrzebne do prowadzenia konta i wykonania umowy są przechowywane w czasie jej wykonywania. Po zakończeniu konto i dane usług podlegają procedurze zwrotu lub usunięcia z §7 i §10a regulaminu oraz umowy powierzenia. Nie oznacza to przechowywania całej zawartości hostingu przez okres właściwy dla dokumentów podatkowych.

3.2. Dokumenty podatkowe i dane niezbędne do ich wykazania przechowuje się przez okres wymagany właściwymi przepisami, co do zasady do upływu 5 lat od końca roku, w którym upłynął termin płatności podatku, z uwzględnieniem zdarzeń przedłużających ten termin. Dane do obrony lub dochodzenia roszczeń – do upływu właściwego terminu przedawnienia, a w razie postępowania do jego prawomocnego zakończenia i wymaganego rozliczenia. Retencja jest ograniczona do danych rzeczywiście potrzebnych dla danej sprawy.

3.3. Zwykła korespondencja jest przechowywana do zakończenia sprawy, a dłużej tylko w zakresie potrzebnym do udokumentowania umowy, obowiązków lub roszczeń. Dane oparte na zgodzie przetwarza się do jej wycofania albo wcześniejszego ustania celu; odrębnie można zachować minimum potrzebne do wykazania prawidłowości uzyskania i wycofania zgody. Sprzeciw wobec marketingu kończy przetwarzanie w tym celu.

3.4. Logi WWW, logowania do paneli, obsługi poczty i bezpieczeństwa są przechowywane w zakresie niezbędnym do diagnozowania błędów, wykrywania nadużyć i wyjaśniania zdarzeń. Okres wynika z rodzaju zdarzenia i czasu potrzebnego do jego weryfikacji; po ustaniu tych celów logi podlegają usunięciu lub anonimizacji. Zabezpieczenie dowodów konkretnego incydentu nie uzasadnia bezterminowego zachowania wszystkich logów. Dane niezbędne do roszczeń mogą być zachowane do upływu właściwego terminu przedawnienia. Dla kopii usług obowiązuje cykl co 24 godziny i zachowanie 10 ostatnich kopii, zgodnie z §8 regulaminu. Kopie radia nie obejmują muzyki, a kopie VPS obejmują całą maszynę. Wyłączenie usługi i usunięcie danych roboczych po 3 dniach nie oznaczają natychmiastowego usunięcia ich z kopii; pierwszeństwo mają obowiązki zachowania lub usunięcia wynikające z prawa i umowy powierzenia.

3.5. Kopie służące odtwarzaniu są odseparowane od bieżącego użytkowania i usuwane według ustalonego cyklu, z uwzględnieniem terminów wiążących z Data Act i umów powierzenia. Po przywróceniu kopii należy ponownie zastosować skuteczne żądania usunięcia i ograniczenia. Usługodawca nie wykorzystuje danych z kopii do innych celów.

4. Prawa użytkownika

4.1. W zakresie i na warunkach przewidzianych RODO można żądać dostępu do danych i ich kopii, sprostowania, usunięcia lub ograniczenia przetwarzania. Prawo przenoszenia dotyczy danych przetwarzanych automatycznie na podstawie zgody lub umowy. Usunięcie nie obejmuje danych, których dalsze przechowywanie jest konieczne do wykonania obowiązku prawnego lub ustalenia, dochodzenia albo obrony roszczeń.

4.2. Wobec przetwarzania na podstawie uzasadnionego interesu można wnieść sprzeciw z przyczyn związanych ze szczególną sytuacją. Wobec marketingu bezpośredniego sprzeciw jest skuteczny w każdym czasie, bez uzasadnienia. Zgodę można wycofać w dowolnej chwili, co nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

4.3. Przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl) lub innego właściwego organu nadzorczego, zwłaszcza w państwie zwykłego pobytu, pracy lub zarzucanego naruszenia.

4.4. Administrator odpowiada bez zbędnej zwłoki, zasadniczo w ciągu miesiąca. Przedłużenie o maksymalnie dwa kolejne miesiące jest możliwe z uwagi na złożoność lub liczbę żądań, po przekazaniu w pierwszym miesiącu informacji z uzasadnieniem. Realizacja jest co do zasady bezpłatna; wyjątki wynikają z RODO. Weryfikacja tożsamości ogranicza się do informacji niezbędnych i proporcjonalnych, bez rutynowego żądania skanu dowodu.

5. Kontakt w sprawach danych osobowych

5.1. Administrator nie wyznaczył inspektora ochrony danych. W sprawach danych osobowych należy kontaktować się bezpośrednio z Tomaszem Dobieckim: kontakt@castpol.pl, Wola Dalsza 407, 37-100 Łańcut.

5.2. Pytania dotyczące danych przetwarzanych przez klienta Castpol, np. użytkowników jego strony lub gry, należy kierować przede wszystkim do tego klienta jako administratora. Castpol udziela mu pomocy zgodnie z prawem i umową powierzenia; nie wykorzystuje tej zasady do odmowy obsługi żądań dotyczących własnego przetwarzania.