Privacy policy

Zakres dokumentu Polityka opisuje nie tylko dane zbierane podczas korzystania z suneko.pl. Obejmuje również dane związane z ofertowaniem i produkcją, dokumentacją techniczną i jakościową, portalami klientów, zakupami i dostawcami, usługodawcami, organami publicznymi, rekrutacją, zatrudnieniem, bezpieczeństwem i sprawami rejestrowymi.

1 Administrator danych i kontakt

1.1 Administratorem danych jest SUNEKO Michał Górkiewicz, prowadzący działalność gospodarczą pod firmą SUNEKO Michał Górkiewicz, z miejscem wykonywania działalności i adresem do doręczeń przy ul. Marii Skłodowskiej-Curie 16, 32-640 Zator, NIP 6462078407, REGON 241828399, wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), dalej „Firma” albo „Administrator”.

1.2 W sprawach dotyczących prywatności i realizacji praw można kontaktować się na adres info@suneko.pl, telefonicznie pod numerem +48 792 011 011 albo pocztą na adres Administratora wskazany w punkcie 1.1.

1.3 Firma nie powołała inspektora ochrony danych. Za organizacyjną koordynację ochrony danych odpowiada osoba odpowiedzialna za ochronę danych, wyznaczona przez Właściciela firmy, w zakresie określonym w dokumentacji Firmy. Kontakt w sprawach danych osobowych jest dostępny pod adresem i numerem wskazanymi w punkcie 1.2.

2 Charakter i zastosowanie Polityki

2.1 Polityka jest ogólną, publiczną informacją o najważniejszych procesach przetwarzania danych przez Firmę. Stosuje się ją do użytkowników Serwisu, osób kontaktujących się z Firmą, klientów i ich personelu, dostawców i ich personelu, wykonawców, gości, kandydatów, pracowników, byłych pracowników, osób bliskich zgłoszonych przez personel, pełnomocników, urzędników, audytorów, osób zgłaszających nieprawidłowości oraz innych osób występujących w dokumentacji Firmy.

2.2 W miejscu pozyskania danych Firma może przekazać krótszą albo bardziej szczegółową informację dla konkretnego procesu, np. rekrutacji, zatrudnienia, monitoringu, zgłoszeń nieprawidłowości, wizyt w zakładzie, konkursu ofert lub portalu. Taka informacja uzupełnia Politykę, a w zakresie szczegółowym ma pierwszeństwo.

2.3 Polityka nie stanowi podstawy do rozpoczęcia procesu, którego Firma faktycznie nie prowadzi. W szczególności sama nie wprowadza monitoringu, kontroli trzeźwości, profilowania ani współadministracji. Procesy warunkowe stosuje się wyłącznie wtedy, gdy zostały zgodnie z prawem wdrożone i objęte właściwą dokumentacją.

2.4 Informacje biznesowe, rysunki, modele, parametry, dokumentacja jakościowa i produkcyjna mogą stanowić tajemnicę przedsiębiorstwa lub własność intelektualną, choć nie zawsze są danymi osobowymi. Jeżeli pozwalają zidentyfikować osobę – np. autora, zatwierdzającego, konstruktora lub użytkownika portalu – w tej części stosuje się RODO i niniejszą Politykę.

2.5 Serwis jest kierowany przede wszystkim do odbiorców zawodowych i nie jest przeznaczony dla dzieci. Firma nie zbiera świadomie danych dzieci przez Serwis, z wyjątkiem danych wymaganych w relacji pracowniczej lub świadczeniowej i przekazanych na właściwej podstawie prawnej.

3 Najważniejsze pojęcia

3.1 RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.

3.2 Serwis – witryna https://suneko.pl i jej podstrony.

3.3 Dane techniczne – modele i pliki CAD/3D, rysunki, BOM, specyfikacje, tolerancje, normy, wymagania materiałowe, narzędziowe i procesowe oraz historia zmian.

3.4 Dane jakościowe – dane APQP, PFMEA, plany kontroli, dokumenty PPAP, raporty pomiarowe, wyniki badań, niezgodności, reklamacje, działania korygujące, identyfikowalność partii i zatwierdzenia.

3.5 Portal – zewnętrzny system klienta, dostawcy albo partnera służący m.in. do wymiany dokumentacji, ofert, zamówień, prognoz, jakości, dostaw, faktur, audytów lub zgłoszeń.

4 Kategorie i źródła danych

4.1 W zależności od relacji Firma może przetwarzać następujące kategorie danych:

Identyfikacyjne – imię, nazwisko, data urodzenia, identyfikator pracowniczy lub portalowy, podpis, wizerunek, a gdy wymaga tego prawo lub umowa – PESEL, dane dokumentu tożsamości, obywatelstwo lub numer uprawnienia;
Kontaktowe i zawodowe – adres, e-mail, telefon, pracodawca lub reprezentowany podmiot, stanowisko, dział, rola, zakres umocowania, język komunikacji;
Handlowe i umowne – zapytania, oferty, negocjacje, cenniki, zamówienia, umowy, NDA, prognozy, harmonogramy, dostawy, reklamacje, korespondencja, historia współpracy i ustaleń;
Finansowe i rozliczeniowe – dane faktur, rachunku bankowego, płatności, podatków, należności, windykacji, statusu kontrahenta, reprezentantów, beneficjentów rzeczywistych i sankcji – w zakresie wymaganym;
Techniczne, produkcyjne i jakościowe – dokumenty wymienione w punkcie 3, dane projektu, narzędzia, materiału, prób, zatwierdzeń, partii, pomiarów, kontroli, logistyki i zmian wraz z danymi autorów lub osób zatwierdzających;
Portalowe i teleinformatyczne – login lub identyfikator konta, rola i uprawnienia, identyfikator MFA, czas i historia logowania, adres IP, informacje o urządzeniu, operacje, pobrania, wysłania, zatwierdzenia, zgłoszenia i logi audytowe;
Rekrutacyjne – dane przewidziane w Kodeksie pracy, CV, wykształcenie, kwalifikacje, doświadczenie, dostępność, oczekiwania, wyniki rozmów i testów adekwatnych do stanowiska oraz dane dobrowolnie przekazane;
Pracownicze i organizacyjne – dane umowy, stanowiska, wynagrodzenia, czasu pracy, urlopów i nieobecności, szkoleń, ocen, uprawnień, podróży, kosztów, sprzętu, kont, dostępu, odpowiedzialności i zakończenia zatrudnienia;
Podatkowe, ubezpieczeniowe i świadczeniowe – dane ZUS, urzędu skarbowego, PPK, płac, rachunku, potrąceń, ubezpieczeń, świadczeń i osób uprawnionych, w tym członków rodziny – tylko w zakresie potrzebnym;
Zdrowotne i bhp – orzeczenia medycyny pracy bez zbędnych informacji diagnostycznych, niezdolność do pracy, ograniczenia i uprawnienia, wypadki, choroby zawodowe, szkolenia BHP, środki ochrony i dane wymagane do realizacji obowiązków;
Bezpieczeństwa fizycznego i informacji – wejścia i wyjścia, wizyty gości, dostęp do stref i systemów, incydenty i logi, a jeżeli stosowany jest monitoring wizyjny – wizerunek, sylwetka, widoczne cechy mogące wskazywać m.in. na płeć lub przybliżony wiek, ubiór, sposób poruszania się i zachowanie, czas, miejsce oraz kierunek przemieszczania, interakcje, przenoszone przedmioty, a jeżeli znajdują się w polu widzenia kamery – wizerunek pojazdu i numer rejestracyjny;
Rejestrowe i pełnomocnictwa – dane właściciela, prokurentów i pełnomocników Firmy oraz osób reprezentujących kontrahentów, ich beneficjentów rzeczywistych, wpisy w rejestrach publicznych, pełnomocnictwa i dokumenty postępowań;
Zgłoszeń nieprawidłowości – treść zgłoszenia, dane osoby zgłaszającej – jeżeli zostały ujawnione – osoby, której dotyczy zgłoszenie, świadków, osób pomagających i powiązanych, dowody i działania następcze;
Korespondencji i spraw urzędowych – dane urzędników, pracowników instytucji, sądów, organów, jednostek certyfikujących, ubezpieczycieli i innych uczestników sprawy;
Internetowe – adres IP, data i czas, żądany URL, kod odpowiedzi, nagłówki, typ urządzenia i przeglądarki, źródło przejścia, błędy, zdarzenia bezpieczeństwa i wybory w ustawieniach ciasteczek.

4.2 Dane pochodzą bezpośrednio od osoby albo z jej urządzenia, od jej pracodawcy lub podmiotu, który reprezentuje, od klienta, dostawcy, usługodawcy, agencji pracy, operatora Portalu, audytora, ubezpieczyciela, organu lub instytucji. Mogą pochodzić także z publicznych rejestrów, takich jak KRS, CEIDG, CRBR, wykaz podatników VAT, BDO lub listy sankcyjne, oraz z legalnie dostępnych źródeł zawodowych.

4.3 Osoba przekazująca Firmie dane innych osób powinna być uprawniona do ich udostępnienia, ograniczyć zakres do niezbędnego minimum i – jeżeli jest to wymagane – przekazać im informację o tej Polityce. Firma wykonuje własny obowiązek z art. 14 RODO w odpowiednim czasie, chyba że zachodzi ustawowe zwolnienie.

5 Cele, podstawy i okresy przetwarzania

Poniższe okresy są maksymalnymi okresami podstawowymi, liczonymi od wskazanego zdarzenia. Dane usuwa się wcześniej po ustaniu celu. Przedłużenie wymaga konkretnego obowiązku prawa albo udokumentowanej konieczności i podstawy ochrony określonego roszczenia lub postępowania. Sam audyt, umowa, NDA lub wymaganie klienta nie uzasadnia bezterminowego przechowywania wszystkich danych osobowych. Ogranicza się zakres, dostęp i czas zachowania materiału konkretnej sprawy.

5.1 Serwis, cookies i kontakt

Proces i dane	Cel i podstawa prawna	Okres / kryterium
Wyświetlanie Serwisu i logi IP, czas, URL, nagłówki, urządzenie, błędy	Dostarczenie treści, transmisja, diagnostyka, dostępność, zapobieganie nadużyciom i bezpieczeństwo. Art. 6 ust. 1 lit. f RODO – uzasadniony interes w prowadzeniu bezpiecznego Serwisu; art. 399 ust. 3 PKE dla mechanizmów koniecznych.	Logi operacyjne co do zasady do 12 miesięcy; dłużej tylko dla incydentu, dowodu lub roszczenia.
Niezbędne pliki cookies PHPSESSID, CookieConsent	Utrzymanie sesji w Serwisie oraz zapamiętanie wyboru dotyczącego plików cookies. Art. 6 ust. 1 lit. f RODO w zakresie bezpieczeństwa i prawidłowego działania Serwisu; art. 399 ust. 3 PKE dla mechanizmów koniecznych lub funkcji żądanej przez użytkownika.	PHPSESSID – do zamknięcia przeglądarki; CookieConsent – 365 dni lub do zmiany wyboru albo usunięcia zapisu z przeglądarki.
Statystyka i marketing – tylko za zgodą Google Analytics (_ga, _gid, _gat), Google Ads (_gcl_au)	Analiza ruchu, poprawa Serwisu oraz pomiar skuteczności kampanii reklamowych. Art. 6 ust. 1 lit. a RODO i art. 399 ust. 1–2 PKE – wyłącznie po uprzedniej zgodzie użytkownika.	_ga – 2 lata; _gid i _gat – 1 dzień; _gcl_au – zwykle do 90 dni (okres ustala Google). Zgodę można w każdej chwili wycofać w ustawieniach ciasteczek.
Google Maps i YouTube dane połączenia, identyfikatory i zdarzenia	Wyświetlenie mapy dojazdu i filmu osadzonych w Serwisie. Art. 6 ust. 1 lit. a RODO i art. 399 ust. 1–2 PKE, gdy użycie treści wymaga zgody zgodnie z wyborem w ustawieniach ciasteczek; w pozostałym zakresie art. 6 ust. 1 lit. f RODO – uzasadniony interes w prezentacji lokalizacji i materiałów o Firmie.	Połączenie trwa podczas wyświetlania osadzonej treści; dalsze zapisy i okresy określa dostawca. Wycofanie wyboru w ustawieniach ciasteczek zatrzymuje dalsze ładowanie; samo odświeżenie strony nie zastępuje tego mechanizmu.
E-mail, telefon lub poczta	Obsługa zapytania, ocena możliwości współpracy i prowadzenie korespondencji. Art. 6 ust. 1 lit. f RODO dla komunikacji B2B; art. 6 ust. 1 lit. b, gdy osoba działa we własnym imieniu przed umową; art. 6 ust. 1 lit. c, gdy wiadomość dotyczy obowiązku prawnego.	Do zakończenia sprawy, nie dłużej niż 24 miesiące od otrzymania zapytania; zbędne dane usuwa się wcześniej. Dokumentację wynikającej współpracy lub konkretnego roszczenia przechowuje się odrębnie, w niezbędnym zakresie, na właściwej podstawie i przez właściwy okres.

Serwis nie posiada formularza zapytania ani formularza aplikacyjnego. Zapytania ofertowe i inne wiadomości przyjmujemy e-mailem, telefonicznie lub pocztą, a aplikacje na opublikowane oferty pracy – w sposób wskazany w ogłoszeniu.

5.2 Ofertowanie, klienci, produkcja i Portale

Proces i dane	Cel i podstawa prawna	Okres / kryterium
Zapytania, oferty i kwalifikacja projektu	Ocena wykonalności, materiału, narzędzia, tolerancji, wolumenu, terminu, kosztu, wymagań jakościowych i bezpieczeństwa; negocjacje i NDA. Art. 6 ust. 1 lit. b RODO dla osoby zawierającej umowę oraz lit. f dla kontaktów i relacji B2B.	Do zakończenia rozmów, a następnie zwykle do 3 lat dla wykazania ustaleń i obrony roszczeń; dłużej, jeśli oferta pozostaje ważna, strony wracają do projektu lub wymaga tego NDA.
Umowy, zamówienia, produkcja i dostawy	Realizacja zamówień, planowanie, produkcja (toczenie i frezowanie CNC), kontrola jakości, pakowanie, logistyka, komunikacja i potwierdzenie wykonania. Art. 6 ust. 1 lit. b RODO lub lit. f dla personelu stron; lit. c dla obowiązków prawnych.	Przez współpracę i okres przedawnienia roszczeń; dokumenty objęte wymogiem jakości, bezpieczeństwa, identyfikowalności lub wymaganiem klienta – przez uzgodniony albo wymagany okres.
Dokumentacja techniczna i jakościowa	Projektowanie procesu, analiza, przygotowanie i utrzymanie technologii, oprzyrządowania i narzędzi, APQP, PFMEA, plan kontroli, PPAP, pomiary (w tym CMM), zatwierdzenia, niezgodności, 8D, reklamacje, audyty i identyfikowalność. Art. 6 ust. 1 lit. b RODO wyłącznie dla osoby będącej stroną umowy; lit. f dla relacji B2B i ochrony praw; lit. c wyłącznie dla konkretnego obowiązku ustawowego.	Według umowy, wymagań klienta, systemu jakości, cyklu życia wyrobu i terminów roszczeń; dłużej, jeżeli dokument jest konieczny dla bezpieczeństwa produktu, audytu lub postępowania.
Portale klientów i partnerów	Obsługa RFQ, ofert, zamówień, prognoz, EDI, dostaw, jakości, PPAP, reklamacji, audytów, faktur i dostępu. Art. 6 ust. 1 lit. b dla umowy z osobą; lit. f dla kontaktu B2B i ochrony roszczeń RODO; lit. c, gdy operacja realizuje obowiązek prawny.	Przez czas posiadania roli i współpracy; logi oraz historia operacji zgodnie z wymaganiem bezpieczeństwa, umową i ustawieniami operatora Portalu; dalej tylko dla audytu, jakości lub roszczeń.
Fakturowanie, KSeF, płatności i księgowość	Wystawianie i odbiór faktur, rozliczenia, kontrola płatności, podatki i rachunkowość. Art. 6 ust. 1 lit. c RODO; art. 6 ust. 1 lit. b dla rozliczenia umowy; lit. f dla windykacji.	Co najmniej 5 lat według zasad ustawy o rachunkowości, a dla zobowiązań podatkowych 5 lat od końca roku, w którym upłynął termin płatności podatku; terminy mogą ulec zawieszeniu lub przedłużeniu.
Reklamacje, odpowiedzialność i ubezpieczenie	Obsługa niezgodności, rękojmi, gwarancji, szkody, wycofania produktu, ubezpieczenia oraz ustalanie, dochodzenie i obrona roszczeń. Art. 6 ust. 1 lit. b, c i f RODO; art. 9 ust. 2 lit. f, jeżeli dokumentacja roszczenia obejmuje dane szczególne.	Do zakończenia sprawy, wykonania obowiązków jakościowych i upływu właściwych terminów roszczeń; dłużej, gdy trwa postępowanie lub wymaga tego bezpieczeństwo i identyfikowalność produktu.
Marketing bezpośredni B2B	Informowanie o własnych usługach i utrzymywanie relacji zawodowych, jeżeli Firma prowadzi takie działania. Art. 6 ust. 1 lit. f RODO; użycie e-maila, telefonu lub innego urządzenia do informacji handlowej lub marketingu wymaga uprzedniej zgody zgodnie z art. 398 PKE, chyba że przepis szczególny stanowi inaczej.	Do sprzeciwu, cofnięcia zgody albo ustania przydatności kontaktu. Dane na liście sprzeciwów mogą pozostać w minimalnym zakresie, aby respektować żądanie.

5.3 Dostawcy, usługodawcy i organy

Proces i dane	Cel i podstawa prawna	Okres / kryterium
Zakupy i dostawcy	Wybór, kwalifikacja i audyt dostawcy; RFQ; złożenie i realizacja zamówienia; dostawa materiału, narzędzia, komponentu lub usługi; jakość, zgodność, reklamacja i rozliczenie. Art. 6 ust. 1 lit. b dla osoby fizycznej, lit. f dla relacji B2B oraz lit. c dla obowiązków prawnych.	Przez kwalifikację i współpracę, a następnie przez okres wynikający z prawa, audytów, wymogów klienta, jakości, rachunkowości i roszczeń.
Usługi dla Firmy	Koordynacja konsultingu, doradztwa, IT, hostingu, telekomunikacji, księgowości, prawa, ubezpieczeń, budowy, napraw, konserwacji, przeglądów, serwisu maszyn, laboratoriów, pomiarów, transportu, ochrony, BHP i medycyny pracy. Art. 6 ust. 1 lit. b, c lub f RODO.	Przez realizację i rozliczenie usługi oraz okres gwarancji, audytu i roszczeń; dokumenty księgowe zgodnie z terminami ustawowymi.
Weryfikacja kontrahenta	Potwierdzenie umocowania, rachunku, statusu VAT, beneficjenta rzeczywistego, konfliktu interesów, sankcji, wymagań eksportowych, etycznych i łańcucha dostaw. Art. 6 ust. 1 lit. c lub f RODO.	Przez okres wymagany prawem i procedurą należytej staranności; dowód sprawdzenia przez współpracę i okres ryzyka lub roszczeń.
Organy i instytucje publiczne	Realizacja obowiązków, kontroli, sprawozdawczości, zezwoleń, decyzji, postępowań oraz odpowiedzi na legalne żądania. Art. 6 ust. 1 lit. c RODO; art. 6 ust. 1 lit. f w zakresie ochrony praw Firmy; art. 9 ust. 2 lit. b, f lub h, gdy właściwe.	Przez okres prowadzenia sprawy i archiwizacji wymagany przepisami; dłużej w związku z kontrolą, odwołaniem, postępowaniem lub roszczeniem.
Audyty i certyfikacja	Wykazanie zgodności systemów, procesów, wyrobów, jakości, środowiska, bezpieczeństwa i wymagań klienta, m.in. ISO 9001, IATF 16949 i ISO 14001. Art. 6 ust. 1 lit. c lub f RODO.	Przez cykl certyfikacji, okres wymagany przez standard, umowę i jednostkę audytującą oraz czas działań korygujących i roszczeń.

5.4 Rekrutacja, zatrudnienie i personel

Proces i dane	Cel i podstawa prawna	Okres / kryterium
Bieżąca rekrutacja	Ocena kandydatury i wybór pracownika. Dane z art. 22¹ Kodeksu pracy: art. 6 ust. 1 lit. c RODO; czynności przed umową: lit. b; dodatkowe dane podane z inicjatywy kandydata: lit. a i art. 221a Kodeksu pracy. Dane szczególne tylko na właściwej podstawie z art. 9 RODO.	Do zakończenia bieżącej rekrutacji, nie dłużej niż 180 dni od otrzymania zgłoszenia. Przyszłe nabory wymagają odrębnej dobrowolnej zgody, maksymalnie 12 miesięcy od zgody. Ograniczony dowód roszczeń zachowuje się odrębnie na właściwej podstawie i przez właściwy termin.
Przyszłe rekrutacje	Uwzględnienie aplikacji w późniejszych naborach wyłącznie na dobrowolnej, konkretnej zgodzie – art. 6 ust. 1 lit. a RODO; dla danych szczególnych art. 9 ust. 2 lit. a. Brak zgody nie wpływa na bieżący nabór.	Przez okres wskazany przy zgodzie, rekomendowany maksymalnie 12 miesięcy, nie dłużej niż do jej cofnięcia.
Zatrudnienie i organizacja pracy	Zawarcie i wykonanie umowy, prowadzenie akt, czas pracy, urlopy, kwalifikacje, szkolenia, ocena obowiązków, komunikacja, podróże i zakończenie zatrudnienia. Art. 6 ust. 1 lit. b i c RODO; art. 9 ust. 2 lit. b, gdy niezbędne.	Przez zatrudnienie; dokumentacja pracownicza co do zasady 10 lat od końca roku kalendarzowego ustania stosunku pracy. Dla części starszej dokumentacji albo sytuacji szczególnych okres może być dłuższy.
Płace, podatki, ZUS, PPK i świadczenia	Naliczanie wynagrodzeń, zgłoszenia, potrącenia, rozliczenia, świadczenia, PPK – gdy ma zastosowanie – i obsługa uprawnionych członków rodziny. Art. 6 ust. 1 lit. b i c oraz art. 9 ust. 2 lit. b RODO.	Według prawa pracy, podatkowego, ubezpieczeniowego, emerytalnego i przepisów o danym świadczeniu; nie krócej niż właściwa dokumentacja pracownicza lub księgowa.
Medycyna pracy, BHP, nieobecności i wypadki	Dopuszczenie do pracy, profilaktyka, bezpieczeństwo, nieobecności, wypadki i choroby zawodowe. Art. 6 ust. 1 lit. c oraz art. 9 ust. 2 lit. b i h RODO w związku z prawem pracy i ubezpieczeń.	Przez okresy ustawowe. Rejestr i protokoły wypadków przy pracy – 10 lat; pozostałe dokumenty zgodnie z kategorią i przepisami.
Sprzęt, konta, dostęp i cyberbezpieczeństwo	Wydanie mienia, nadawanie ról, ciągłość działania, kontrola dostępu, ochrona informacji, wykrywanie nadużyć i incydentów. Art. 6 ust. 1 lit. c lub f RODO.	Przez korzystanie z mienia lub uprawnienia; logi przez proporcjonalny okres określony w polityce bezpieczeństwa, dłużej dla incydentu, audytu lub roszczenia.
Dane osób bliskich i kontakt awaryjny	Realizacja świadczeń, ubezpieczeń, podatków, uprawnień rodzicielskich lub kontaktu w nagłym zdarzeniu. Art. 6 ust. 1 lit. c lub f; art. 9 ust. 2 lit. b, jeśli dotyczy danych szczególnych.	Przez okres potrzebny dla danego uprawnienia albo kontaktu, z okresowymi przeglądami aktualności; dokumenty rozliczeniowe zgodnie z prawem.

5.5 Bezpieczeństwo fizyczne, zgłoszenia i sprawy rejestrowe

Proces i dane	Cel i podstawa prawna	Okres / kryterium
Goście, serwisanci i wejście do zakładu	Identyfikacja, odbiór gościa i stałe towarzyszenie mu przez osobę odpowiedzialną za wizytę, BHP, ochrona osób, mienia, informacji i stref produkcyjnych. Art. 6 ust. 1 lit. f RODO – ochrona osób, mienia i poufnych informacji; lit. c tylko dla odrębnego konkretnego obowiązku.	Ewidencja przez okres proporcjonalny do ryzyka, rekomendacyjnie do 12 miesięcy; dłużej dla zdarzenia, audytu lub roszczenia.
Monitoring wizyjny – jeżeli stosowany wizerunek, sylwetka, widoczne cechy, ubiór, zachowanie, czas i miejsce; pojazd/rejestracja – jeśli widoczne	Bezpieczeństwo pracowników, ochrona mienia, kontrola produkcji lub zachowanie poufności – tylko w celach i granicach art. 22² Kodeksu pracy albo innej właściwej podstawy. Art. 6 ust. 1 lit. f RODO w związku z art. 22² Kodeksu pracy; lit. c tylko dla odrębnego, konkretnego obowiązku ustawowego. Z nagrania może wynikać postrzegana płeć, przybliżony wiek lub inne cechy fizyczne, lecz monitoring nie jest prowadzony w celu systematycznego ustalania lub profilowania takich cech.	Nie dłużej niż 3 miesiące od nagrania (art. 22² § 3 Kodeksu pracy); okres wskazany w odrębnym dokumencie o monitoringu może być krótszy. Niezbędny fragment będący dowodem zabezpiecza się do prawomocnego zakończenia postępowania (art. 22² § 4 Kodeksu pracy). Szczegóły: SUN-CCTV-01. Odrębna informacja dla pracowników, informacja warstwowa i oznakowanie stref pozostają wymagane.
Poczta służbowa i inne formy monitoringu – jeżeli stosowane	Organizacja pracy, właściwe użycie narzędzi, bezpieczeństwo i ochrona informacji, wyłącznie przy spełnieniu wymogów Kodeksu pracy i poinformowaniu personelu. Art. 6 ust. 1 lit. f RODO; lit. c wyłącznie dla konkretnego obowiązku ustawowego lub innego prawa. Faktyczny zakres kontroli, informowanie personelu i retencję opisują odrębne regulacje wewnętrzne Firmy. Nie oznacza to uruchomienia dodatkowych form kontroli.	Przez okres wskazany w odrębnej regulacji i proporcjonalny do celu; materiał incydentu lub roszczenia do zakończenia sprawy.
Zgłoszenia nieprawidłowości – dobrowolna procedura	Przyjęcie zgłoszenia, kontakt ze zgłaszającym, wyjaśnienie sprawy, działania następcze i ochrona zgłaszającego przed działaniami odwetowymi zgodnie z SUN-CSR-02. Art. 6 ust. 1 lit. f RODO – uzasadniony interes w zapewnieniu zgodności z prawem, etyką i wymaganiami klientów; art. 9 ust. 2 lit. f i art. 10 RODO, gdy zgłoszenie obejmuje takie dane.	Do zakończenia wyjaśnienia sprawy i działań następczych, a następnie nie dłużej niż 3 lata po zakończeniu roku, w którym je zakończono. Dane nieistotne usuwa się niezwłocznie po ustaleniu ich zbędności.
Rejestry publiczne i pełnomocnictwa	Obsługa wpisu w CEIDG, prokury i pełnomocnictw, weryfikacja reprezentacji kontrahentów oraz ich beneficjentów rzeczywistych (CRBR) i innych obowiązków rejestrowych. Art. 6 ust. 1 lit. c i f RODO.	Przez okres istnienia obowiązku rejestrowego i archiwizacji, często przez czas prowadzenia działalności; dokumenty dowodowe dłużej, gdy wymaga tego prawo lub roszczenie.
Roszczenia, spory i incydenty	Ustalenie faktów, zgłoszenie ubezpieczycielowi, dochodzenie lub obrona roszczeń, postępowania i zapewnienie rozliczalności. Art. 6 ust. 1 lit. f lub c; art. 9 ust. 2 lit. f i art. 10 RODO, gdy właściwe.	Do prawomocnego zakończenia sprawy i upływu właściwego terminu przedawnienia; podstawowy termin dla roszczeń gospodarczych wynosi zwykle 3 lata, lecz przepisy szczególne przewidują inne okresy.

Jeżeli Firma stosuje monitoring wizyjny, szczegółowy dokument dotyczący monitoringu jest przekazywany pracownikom. Określa on w szczególności cele, podstawę prawną, obszary i zasięg kamer, kategorie nagrywanych osób i danych, odbiorców, czas przechowywania, zasady dostępu, zabezpieczenia oraz prawa osób. Niniejsza publiczna Polityka zawiera informację ogólną i nie zastępuje dokumentu pracowniczego. Oba dokumenty, oznakowanie stref oraz rzeczywista konfiguracja systemu muszą pozostawać ze sobą zgodne.

6 Obowiązek lub dobrowolność podania danych

6.1 Dane techniczne potrzebne do transmisji i bezpieczeństwa Serwisu są przetwarzane automatycznie. Zgoda na technologie niekonieczne jest dobrowolna, może być odmówiona lub cofnięta, a podstawowa treść pozostaje dostępna.

6.2 Podanie danych przy zapytaniu jest dobrowolne, lecz brak danych kontaktowych lub informacji technicznych może uniemożliwić odpowiedź, ocenę wykonalności albo ofertę.

6.3 Dane potrzebne do umowy, zamówienia, dostawy, jakości, dostępu do Portalu, identyfikowalności lub faktury mogą być wymogiem umownym albo ustawowym. Ich brak może uniemożliwić zawarcie lub wykonanie umowy, dopuszczenie do systemu albo rozliczenie.

6.4 Kandydat i pracownik podają dane wymagane prawem w niezbędnym zakresie. Do danych wymaganych Kodeksem pracy Firma nie potrzebuje zgody. Dodatkowe dane i przyszłe rekrutacje mogą opierać się na dobrowolnej zgodzie, której odmowa nie może powodować niekorzystnego traktowania.

6.5 Przekazanie danych szczególnych kategorii, danych o wyrokach, danych dzieci albo pełnych kopii dokumentów jest dopuszczalne tylko wtedy, gdy jest niezbędne i istnieje szczególna podstawa prawna. Nie należy przesyłać takich danych zwykłą pocztą bez uzgodnienia.

7 Prawnie uzasadnione interesy

7.1 Gdy podstawą jest art. 6 ust. 1 lit. f RODO, interes Firmy może polegać na: komunikacji i utrzymaniu relacji B2B; organizacji zakupów, ofertowania, produkcji, jakości i logistyki; ochronie osób, mienia, informacji i ciągłości działania; administrowaniu dostępem; dokumentowaniu ustaleń; zapobieganiu nadużyciom; audycie; marketingu własnych usług z poszanowaniem PKE; oraz ustalaniu, dochodzeniu i obronie roszczeń.

7.2 Przed zastosowaniem tej podstawy Firma ocenia niezbędność, wpływ na osobę i jej racjonalne oczekiwania. Osoba ma prawo sprzeciwu na zasadach punktu 12.

8 Odbiorcy danych

8.1 Dane mogą otrzymywać, wyłącznie w zakresie potrzebnym do danego celu:

upoważnieni pracownicy i współpracownicy sprzedaży, zakupów, technologii, produkcji, jakości, logistyki, finansów, kadr, BHP, IT, bezpieczeństwa, kierownictwa i administracji;
dostawcy hostingu i utrzymania Serwisu, poczty, telekomunikacji, chmury, kopii zapasowych, cyberbezpieczeństwa, archiwizacji, systemów ERP, księgowych, HR, jakościowych, EDI i zarządzania dostępem;
operatorzy Portali klientów, dostawców i platform branżowych oraz podmioty, w których imieniu Portal jest prowadzony;
klienci, dostawcy materiałów i narzędzi, podwykonawcy, laboratoria, jednostki pomiarowe, przewoźnicy i operatorzy logistyczni – gdy jest to potrzebne do projektu, zamówienia, dostawy, jakości lub reklamacji;
firmy konsultingowe, doradcze, prawne, podatkowe, audytowe, księgowe, IT, budowlane, naprawcze, konserwatorskie, serwisowe, przeglądowe, ochrony, BHP i medycyny pracy;
banki, ubezpieczyciele, brokerzy, operatorzy płatności, KSeF i PPK oraz podmioty świadczeń pracowniczych – jeżeli są wykorzystywane;
agencje zatrudnienia, portale rekrutacyjne, podmioty szkoleniowe i firmy obsługujące kadry lub płace;
audytorzy klientów i jednostki certyfikujące, w zakresie jakości, środowiska, bezpieczeństwa lub zgodności;
Google (Google Analytics, Google Ads, Google Maps, YouTube) i dostawcy innych Treści Zewnętrznych – zgodnie z wyborem użytkownika w ustawieniach ciasteczek i zasadami tych podmiotów;
ZUS, organy podatkowe, PIP, PFRON, urzędy pracy, sądy, organy ścigania, organy ochrony danych, organy nadzoru, organy celne i inne instytucje publiczne, gdy ujawnienie jest wymagane lub dozwolone prawem.

8.2 Podmiot usługowy jest procesorem, gdy przetwarza dane wyłącznie w imieniu Firmy na podstawie umowy i poleceń. Odbiorca może być niezależnym administratorem, gdy sam określa ustawowy lub własny cel, np. urząd, bank, podmiot medycyny pracy, ubezpieczyciel, przewoźnik lub klient. Rola jest ustalana dla konkretnej operacji, a nie na podstawie samej nazwy kategorii.

9 Podmioty powiązane i role stron

9.1 Firma może współpracować z podmiotami powiązanymi osobowo lub kapitałowo z Administratorem oraz z innymi przedsiębiorcami uczestniczącymi w realizacji projektów. Samo powiązanie nie powoduje automatycznie przekazywania wszystkich danych i nie tworzy automatycznie współadministracji.

9.2 Dane mogą być przekazywane takiemu podmiotowi tylko wtedy, gdy faktycznie uczestniczy w określonym procesie, np. koordynacji projektu, zakupach, jakości, IT, raportowaniu, audycie, obsłudze klienta albo zarządzaniu dostępem, i tylko w niezbędnym zakresie.

9.3 W zależności od procesu podmioty mogą działać jako odrębni administratorzy, administrator i procesor albo współadministratorzy. Przy powierzeniu zawiera się umowę z art. 28 RODO; przy wspólnym ustalaniu celów i zasad – uzgodnienie z art. 26 RODO, którego zasadnicza treść jest udostępniana osobom.

10 Portale klientów i bezpieczeństwo kont

10.1 Firma może korzystać z Portali udostępnionych przez klientów lub partnerów. Operator Portalu oraz Firma mogą przetwarzać dane w odmiennych rolach. Informacje operatora i regulamin Portalu stosują się równolegle do tej Polityki.

10.2 Firma przetwarza dane kont i operacji w zakresie potrzebnym do zadań użytkownika, realizacji umowy, identyfikowalności oraz bezpieczeństwa. Uprawnienia powinny być imienne, nadawane zgodnie z rolą, okresowo przeglądane i niezwłocznie odbierane po zmianie obowiązków lub ustaniu współpracy.

10.3 Hasła i kody uwierzytelniające powinny być wprowadzane bezpośrednio w systemie operatora, nie mogą być współdzielone ani przesyłane zwykłą pocztą. Firma może przechowywać identyfikator konta, rolę i dowód nadania dostępu, ale nie powinna prowadzić jawnego wykazu haseł. Należy stosować MFA, jeśli Portal je oferuje.

10.4 Dane techniczne i jakościowe w Portalu podlegają również umowie, NDA, wymaganiom klienta, klasyfikacji informacji i zasadom eksportowym. Incydent, błędne uprawnienie lub podejrzenie przejęcia konta należy niezwłocznie zgłosić Firmie i operatorowi.

11 Przekazywanie danych poza EOG

11.1 Niektóre usługi chmurowe, teleinformatyczne, portalowe, rekrutacyjne, mapy lub filmy mogą powodować dostęp lub przetwarzanie poza Europejskim Obszarem Gospodarczym. Dotyczy to wyłącznie narzędzi faktycznie używanych przez Firmę, w tym usług Google używanych w Serwisie (Google Analytics, Google Ads, Google Maps, YouTube).

11.2 Jeżeli dochodzi do transferu, Firma stosuje mechanizm z rozdziału V RODO: decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony – w tym Ramy ochrony danych UE–USA wobec odbiorcy posiadającego ważną certyfikację – albo standardowe klauzule umowne, wraz z oceną transferu i dodatkowymi zabezpieczeniami, gdy są potrzebne.

11.3 Informację o państwie, odbiorcy i zabezpieczeniu lub kopię odpowiednich klauzul, z wyłączeniem informacji chronionych, można uzyskać korzystając z danych kontaktowych Administratora.

12 Prawa osób

12.1 W zależności od podstawy i okoliczności osobie przysługuje prawo:

dostępu do danych oraz uzyskania ich kopii;
sprostowania nieprawidłowych danych i uzupełnienia danych niekompletnych;
usunięcia danych, jeżeli zachodzą przesłanki prawne;
ograniczenia przetwarzania;
przenoszenia danych przetwarzanych automatycznie na podstawie zgody lub umowy;
sprzeciwu – z przyczyn związanych ze szczególną sytuacją – wobec przetwarzania na podstawie art. 6 ust. 1 lit. f RODO;
sprzeciwu w każdym czasie wobec marketingu bezpośredniego;
cofnięcia zgody w każdym czasie, bez wpływu na zgodność wcześniejszego przetwarzania;
niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu w przypadkach określonych w art. 22 RODO;
wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, https://uodo.gov.pl.

12.2 Prawa nie są bezwzględne. Firma może odmówić w zakresie dozwolonym prawem, np. gdy dane są nadal potrzebne do obowiązku prawnego, bezpieczeństwa produktu, ochrony tajemnicy innej osoby albo obrony roszczeń. O przyczynie poinformuje zgodnie z RODO.

12.3 Wniosek można złożyć kanałami z punktu 1. Dla ochrony danych Firma może poprosić o informacje konieczne do potwierdzenia tożsamości i zakresu żądania, lecz nie będzie żądać nadmiarowych kopii dokumentów.

12.4 Firma odpowiada bez zbędnej zwłoki, zasadniczo w ciągu miesiąca. Termin może zostać przedłużony o dwa miesiące z uwagi na skomplikowanie lub liczbę żądań; informacja o przedłużeniu i przyczynach jest przekazywana w ciągu pierwszego miesiąca.

13 Zautomatyzowane decyzje i profilowanie

13.1 Firma nie podejmuje wobec osób decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nie wpływały, chyba że w konkretnym procesie poinformuje o tym odrębnie i zapewni wymagane zabezpieczenia.

13.2 Jeżeli po zgodzie używane są narzędzia statystyczne lub marketingowe, ich dostawcy mogą łączyć identyfikatory i zdarzenia w celu pomiaru lub doboru treści zgodnie ze swoją konfiguracją. Nie oznacza to, że Firma prowadzi kwalifikację kandydatów lub decyzje pracownicze wyłącznie automatycznie.

14 Cookies i podobne technologie

14.1 Cookies i podobne technologie mogą zapisywać lub odczytywać informacje na urządzeniu. Ochrona PKE dotyczy także informacji, które nie są danymi osobowymi. Kategorie niekonieczne są domyślnie wyłączone i uruchamiane dopiero po uprzedniej, dobrowolnej i jednoznacznej zgodzie.

Kategoria	Cel i przykłady	Zasada
Niezbędne	Transmisja, bezpieczeństwo, utrzymanie sesji (PHPSESSID) oraz zapamiętanie wyboru dotyczącego plików cookies (CookieConsent).	Bez odrębnej zgody wyłącznie w zakresie koniecznym do transmisji lub dostarczenia funkcji żądanej przez użytkownika, zgodnie z art. 399 ust. 3 PKE.
Statystyczne	Google Analytics (_ga, _gid, _gat) – analiza ruchu i poprawa Serwisu.	Wymagają uprzedniej, dobrowolnej zgody użytkownika, którą można w każdej chwili wycofać.
Marketingowe	Google Ads (_gcl_au) – pomiar skuteczności kampanii reklamowych i dopasowanie treści reklamowych.	Wymagają odrębnej, uprzedniej zgody. Brak zgody nie ogranicza podstawowej treści.
Treści zewnętrzne	Google Maps i YouTube; dostawca otrzymuje dane połączenia i może stosować identyfikatory.	Zasady określa wybór użytkownika w ustawieniach ciasteczek oraz zasady dostawcy; odmowa nie ogranicza podstawowej treści.

14.2 Serwis używa niezbędnych plików cookies: PHPSESSID (sesja, do zamknięcia przeglądarki) oraz CookieConsent (zapamiętanie wyboru, 365 dni). Za zgodą użytkownika Serwis może używać także Google Analytics (_ga – 2 lata, _gid i _gat – 1 dzień) oraz Google Ads (_gcl_au – zwykle do 90 dni). Mechanizmy niezbędne nie służą reklamie ani profilowaniu.

14.3 Technologie statystyczne i marketingowe pozostają wyłączone do czasu uzyskania uprzedniej, dobrowolnej i jednoznacznej zgody. Odmowa jest równie łatwa jak akceptacja, a zgoda nie wynika z samego przewijania lub dalszego korzystania z Serwisu. Wybór można zmienić lub wycofać w oknie „Ustawienia ciasteczek” (opcje: Odmów, Dostosuj, Zezwól na wybrane, Zezwól na wszystkie oraz Wycofaj zgodę).

14.4 Film YouTube (w trybie youtube-nocookie) i mapa Google są treściami dostarczanymi przez podmioty trzecie. Odmowa zgody na technologie niekonieczne nie ogranicza podstawowych treści Serwisu. Wycofanie wyboru jest równie łatwe jak jego udzielenie; odświeżenie strony lub czyszczenie danych przeglądarki nie zastępuje mechanizmu wycofania. Dane już otrzymane przez dostawcę podlegają jego obowiązkom i prawom osoby.

14.5 Informacje o przetwarzaniu przez Google (w tym Google Analytics, Google Ads i Mapy Google) oraz YouTube znajdują się w dokumentach prywatności tych dostawców.

15 Bezpieczeństwo i poufność

15.1 Firma stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności kontrolę dostępu i ról, upoważnienia, poufność personelu, ochronę urządzeń i sieci, aktualizacje, kopie zapasowe, szyfrowanie transmisji, rejestrację zdarzeń, zarządzanie podatnościami i incydentami, zasady retencji oraz wymagania wobec dostawców.

15.2 Dostęp do danych klientów, dokumentacji technicznej i jakościowej, danych kadrowych, zdrowotnych oraz zgłoszeń nieprawidłowości jest ograniczany według potrzeby wiedzy i obowiązków. Użytkownicy Portali nie mogą współdzielić kont, a dostęp po ustaniu potrzeby jest odbierany.

15.3 Materiały objęte NDA, wymaganiami klienta, klasyfikacją bezpieczeństwa, ograniczeniami eksportowymi albo szczególną kategorią danych należy przekazywać wyłącznie uzgodnionym kanałem. Zwykła poczta elektroniczna nie daje automatycznie poziomu ochrony właściwego dla każdego projektu.

15.4 Żaden system nie zapewnia bezpieczeństwa absolutnego. Firma regularnie ocenia ryzyko i dostosowuje zabezpieczenia, a naruszenia danych ocenia i zgłasza zgodnie z art. 33–34 RODO, gdy spełnione są przesłanki.

16 Aktualizacje Polityki

16.1 Polityka może być aktualizowana w razie zmiany prawa, procesów, dostawców, technologii, odbiorców albo danych Firmy. Nowa wersja otrzyma datę obowiązywania i zostanie opublikowana w Serwisie.

16.2 Istotna zmiana celu lub podstawy przetwarzania jest komunikowana osobom w sposób właściwy dla relacji. Publikacja nie zastępuje odrębnego zawiadomienia, jeżeli wymaga go prawo.

16.3 Polityka obowiązuje od 20 października 2026 r.

Podstawy prawne i źródła

Uzupełnienie zasad i wymagań

Uzupełnienie celów i retencji

Art. 6 ust. 1 lit. b stosuje się dla osoby będącej stroną umowy lub działań przed jej umową; dla pracowników i przedstawicieli kontrahenta stosuje się właściwy interes kontaktu B2B z lit. f. Podstawa lit. c wymaga konkretnego obowiązku prawa, nie samego wymagania umownego klienta. Maksima 180 dni i 24 miesięcy liczy się od otrzymania i nie oznaczają obowiązku zachowania danych po ustaniu celu. Odrębna ograniczona dokumentacja roszczeń wymaga oceny interesu, zakresu i właściwego terminu przedawnienia. Dobrowolne dodatkowe dane rekrutacyjne wymagają właściwej podstawy; szczególne na zgodzie tylko przy inicjatywie kandydata według Kodeksu pracy, a wyroków nie legalizuje sama zgoda.

Dane z innych źródeł

Dane otrzymujemy od osoby, a w potrzebnym zakresie także od jej pracodawcy lub kontrahenta, osób upoważnionych i z publicznych rejestrów, m.in. KRS i CEIDG. Przy źródle pośrednim informację przekazujemy najpóźniej w miesiąc od pozyskania, jednak wcześniej przy pierwszej komunikacji z osobą albo pierwszym ujawnieniu, jeśli następują wcześniej. Stosujemy wyłącznie udokumentowane wyjątki z art. 14 ust. 5; sama dostępność danych w internecie nie jest wyjątkiem.

Faktyczne transfery i usługi opcjonalne

Przed przekazaniem lub dostępem z państwa poza EOG Administrator ustala rzeczywistego odbiorcę, państwo i mechanizm rozdziału V RODO oraz przekazuje właściwą informację. Sama siedziba dostawcy w UE nie dowodzi braku transferu. Nie wystarcza wzmianka, że transfer „może” nastąpić. Mechanizm i możliwość otrzymania kopii zabezpieczeń bez ujawnienia chronionych tajemnic dokumentuje się w SUN-REC-11; transferu bez ustalenia wymaganych warunków nie uruchamia się. Dla usług Google (Analytics, Ads, Maps) i YouTube potwierdza się odbiorcę, państwo i aktualny mechanizm Google, np. aktualne objęcie odpowiedniego odbiorcy decyzją o adekwatności lub właściwe klauzule wraz z potrzebnymi środkami. Weryfikację i kopię zabezpieczeń udostępnia się przez kontakt Firmy. Opis plików cookies i narzędzi używanych w Serwisie wymaga kontroli rzeczywistej konfiguracji i połączeń serwisu, także po każdej zmianie strony.

Nadzór aktualizacji: osoba odpowiedzialna za dokumentację; sprawdza w zakresie ochrony danych osoba odpowiedzialna za ochronę danych, w zakresie IT osoba odpowiedzialna za IT; zatwierdza Właściciel firmy. Data i podpis: __________________. Wdrożenie i doręczenia wymagają rzeczywistych zapisów.