Zakres dokumentu Polityka opisuje nie tylko dane zbierane podczas korzystania z suneko.pl. Obejmuje również dane związane z ofertowaniem i produkcją, dokumentacją techniczną i jakościową, portalami klientów, zakupami i dostawcami, usługodawcami, organami publicznymi, rekrutacją, zatrudnieniem, bezpieczeństwem i sprawami rejestrowymi.
1 Administrator danych i kontakt
1.1 Administratorem danych jest Michał Górkiewicz, prowadzący działalność gospodarczą pod firmą SUNEKO Michał Górkiewicz, z miejscem wykonywania działalności i adresem do doręczeń przy ul. Marii Skłodowskiej-Curie 16, 32-640 Zator, NIP 6462078407, REGON 241828399, wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), dalej „Firma” albo „Administrator”.
1.2 W sprawach dotyczących prywatności i realizacji praw można kontaktować się na adres info@suneko.pl, telefonicznie pod numerem +48 792 011 011 albo pocztą na adres Administratora wskazany w punkcie 1.1.
1.3 Firma nie powołała inspektora ochrony danych. Za organizacyjną koordynację ochrony danych odpowiada osoba odpowiedzialna za ochronę danych, wyznaczona przez Właściciela firmy, w zakresie określonym w dokumentacji Firmy. Kontakt w sprawach danych osobowych jest dostępny pod adresem i numerem wskazanymi w punkcie 1.2.
1.4 Sprawę dotyczącą danych osobowych można zgłosić także Formularzem „Zgłoszenia i skargi” dostępnym w Serwisie (rodzaj zgłoszenia: sprawa dotycząca danych osobowych); w tym trybie wymagany jest adres e-mail, na który zostanie udzielona odpowiedź.
2 Charakter i zastosowanie Polityki
2.1 Polityka jest ogólną, publiczną informacją o najważniejszych procesach przetwarzania danych przez Firmę. Stosuje się ją do użytkowników Serwisu, osób kontaktujących się z Firmą, klientów i ich personelu, dostawców i ich personelu, wykonawców, gości, kandydatów, pracowników, byłych pracowników, osób bliskich zgłoszonych przez personel, pełnomocników, urzędników, audytorów, osób zgłaszających nieprawidłowości oraz innych osób występujących w dokumentacji Firmy.
2.2 W miejscu pozyskania danych Firma może przekazać krótszą albo bardziej szczegółową informację dla konkretnego procesu, np. rekrutacji, zatrudnienia, monitoringu, zgłoszeń nieprawidłowości, wizyt w zakładzie, konkursu ofert lub portalu. Taka informacja uzupełnia Politykę, a w zakresie szczegółowym ma pierwszeństwo.
2.3 Polityka nie stanowi podstawy do rozpoczęcia procesu, którego Firma faktycznie nie prowadzi. W szczególności sama nie wprowadza monitoringu, kontroli trzeźwości, profilowania ani współadministracji. Procesy warunkowe stosuje się wyłącznie wtedy, gdy zostały zgodnie z prawem wdrożone i objęte właściwą dokumentacją.
2.4 Informacje biznesowe, rysunki, modele, parametry, dokumentacja jakościowa i produkcyjna mogą stanowić tajemnicę przedsiębiorstwa lub własność intelektualną, choć nie zawsze są danymi osobowymi. Jeżeli pozwalają zidentyfikować osobę – np. autora, zatwierdzającego, konstruktora lub użytkownika portalu – w tej części stosuje się RODO i niniejszą Politykę.
2.5 Serwis jest kierowany przede wszystkim do odbiorców zawodowych i nie jest przeznaczony dla dzieci. Firma nie zbiera świadomie danych dzieci przez Serwis, z wyjątkiem danych wymaganych w relacji pracowniczej lub świadczeniowej i przekazanych na właściwej podstawie prawnej.
3 Najważniejsze pojęcia
3.1 RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.
3.2 Serwis – witryna https://suneko.pl i jej podstrony.
3.3 Dane techniczne – modele i pliki CAD/3D, rysunki, BOM, specyfikacje, tolerancje, normy, wymagania materiałowe, narzędziowe i procesowe oraz historia zmian.
3.4 Dane jakościowe – dane APQP, PFMEA, plany kontroli, dokumenty PPAP, raporty pomiarowe, wyniki badań, niezgodności, reklamacje, działania korygujące, identyfikowalność partii i zatwierdzenia.
3.5 Portal – zewnętrzny system klienta, dostawcy albo partnera służący m.in. do wymiany dokumentacji, ofert, zamówień, prognoz, jakości, dostaw, faktur, audytów lub zgłoszeń.
3.6 Formularze – formularze dostępne w Serwisie: zapytania ofertowego („Zapytaj o projekt”), kontaktowy, „Zgłoszenia i skargi” oraz aplikacyjny, opisane w punkcie 5.6.
3.7 Panel administracyjny – panel Serwisu, w którym upoważnione osoby obsługują zgłoszenia przesłane Formularzami.
4 Kategorie i źródła danych
4.1 W zależności od relacji Firma może przetwarzać następujące kategorie danych:
- Identyfikacyjne – imię, nazwisko, data urodzenia, identyfikator pracowniczy lub portalowy, podpis, wizerunek, a gdy wymaga tego prawo lub umowa – PESEL, dane dokumentu tożsamości, obywatelstwo lub numer uprawnienia;
- Kontaktowe i zawodowe – adres, e-mail, telefon, pracodawca lub reprezentowany podmiot, stanowisko, dział, rola, zakres umocowania, język komunikacji;
- Handlowe i umowne – zapytania, oferty, negocjacje, cenniki, zamówienia, umowy, NDA, prognozy, harmonogramy, dostawy, reklamacje, korespondencja, historia współpracy i ustaleń;
- Finansowe i rozliczeniowe – dane faktur, rachunku bankowego, płatności, podatków, należności, windykacji, statusu kontrahenta, reprezentantów, beneficjentów rzeczywistych i sankcji – w zakresie wymaganym;
- Techniczne, produkcyjne i jakościowe – dokumenty wymienione w punkcie 3, dane projektu, narzędzia, materiału, prób, zatwierdzeń, partii, pomiarów, kontroli, logistyki i zmian wraz z danymi autorów lub osób zatwierdzających;
- Portalowe i teleinformatyczne – login lub identyfikator konta, rola i uprawnienia, identyfikator MFA, czas i historia logowania, adres IP, informacje o urządzeniu, operacje, pobrania, wysłania, zatwierdzenia, zgłoszenia i logi audytowe;
- Rekrutacyjne – dane przewidziane w Kodeksie pracy, CV, wykształcenie, kwalifikacje, doświadczenie, dostępność, oczekiwania, wyniki rozmów i testów adekwatnych do stanowiska oraz dane dobrowolnie przekazane;
- Pracownicze i organizacyjne – dane umowy, stanowiska, wynagrodzenia, czasu pracy, urlopów i nieobecności, szkoleń, ocen, uprawnień, podróży, kosztów, sprzętu, kont, dostępu, odpowiedzialności i zakończenia zatrudnienia;
- Podatkowe, ubezpieczeniowe i świadczeniowe – dane ZUS, urzędu skarbowego, PPK, płac, rachunku, potrąceń, ubezpieczeń, świadczeń i osób uprawnionych, w tym członków rodziny – tylko w zakresie potrzebnym;
- Zdrowotne i bhp – orzeczenia medycyny pracy bez zbędnych informacji diagnostycznych, niezdolność do pracy, ograniczenia i uprawnienia, wypadki, choroby zawodowe, szkolenia BHP, środki ochrony i dane wymagane do realizacji obowiązków;
- Bezpieczeństwa fizycznego i informacji – wejścia i wyjścia, wizyty gości, dostęp do stref i systemów, incydenty i logi, a jeżeli stosowany jest monitoring wizyjny – wizerunek, sylwetka, widoczne cechy mogące wskazywać m.in. na płeć lub przybliżony wiek, ubiór, sposób poruszania się i zachowanie, czas, miejsce oraz kierunek przemieszczania, interakcje, przenoszone przedmioty, a jeżeli znajdują się w polu widzenia kamery – wizerunek pojazdu i numer rejestracyjny;
- Rejestrowe i pełnomocnictwa – dane właściciela, prokurentów i pełnomocników Firmy oraz osób reprezentujących kontrahentów, ich beneficjentów rzeczywistych, wpisy w rejestrach publicznych, pełnomocnictwa i dokumenty postępowań;
- Zgłoszeń nieprawidłowości – treść zgłoszenia, dane osoby zgłaszającej – jeżeli zostały ujawnione – osoby, której dotyczy zgłoszenie, świadków, osób pomagających i powiązanych, dowody i działania następcze;
- Korespondencji i spraw urzędowych – dane urzędników, pracowników instytucji, sądów, organów, jednostek certyfikujących, ubezpieczycieli i innych uczestników sprawy;
- Internetowe – adres IP, data i czas, żądany URL, kod odpowiedzi, nagłówki, typ urządzenia i przeglądarki, źródło przejścia, błędy, zdarzenia bezpieczeństwa i wybory w ustawieniach ciasteczek;
- Z formularzy w Serwisie – dane wpisane przez nadawcę (imię i nazwisko, firma, stanowisko, adres e-mail, telefon, kraj, preferowany sposób kontaktu), treść i parametry zapytania, wiadomości, zgłoszenia lub aplikacji (m.in. nazwa projektu lub detalu, numer rysunku i rewizja, materiał, ilości, terminy, tolerancje, wymagania jakościowe, uwagi, temat i opis, akceptacje i zgody wraz z wersją dokumentu, którego dotyczą), przesłane pliki (np. rysunki, modele, zrzuty ekranu, CV) wraz z zawartymi w nich danymi osobowymi, numer zgłoszenia, data, godzina i status obsługi, notatki wewnętrzne pracowników Firmy oraz – poza zgłoszeniami anonimowymi – skrót kryptograficzny (HMAC) adresu IP nadawcy.
4.2 Dane pochodzą bezpośrednio od osoby albo z jej urządzenia, od jej pracodawcy lub podmiotu, który reprezentuje, od klienta, dostawcy, usługodawcy, agencji pracy, operatora Portalu, audytora, ubezpieczyciela, organu lub instytucji. Mogą pochodzić także z publicznych rejestrów, takich jak KRS, CEIDG, CRBR, wykaz podatników VAT, BDO lub listy sankcyjne, oraz z legalnie dostępnych źródeł zawodowych.
4.3 Osoba przekazująca Firmie dane innych osób powinna być uprawniona do ich udostępnienia, ograniczyć zakres do niezbędnego minimum i – jeżeli jest to wymagane – przekazać im informację o tej Polityce. Firma wykonuje własny obowiązek z art. 14 RODO w odpowiednim czasie, chyba że zachodzi ustawowe zwolnienie.
5 Cele, podstawy i okresy przetwarzania
Poniższe okresy są maksymalnymi okresami podstawowymi, liczonymi od wskazanego zdarzenia. Dane usuwa się wcześniej po ustaniu celu. Przedłużenie wymaga konkretnego obowiązku prawa albo udokumentowanej konieczności i podstawy ochrony określonego roszczenia lub postępowania. Sam audyt, umowa, NDA lub wymaganie klienta nie uzasadnia bezterminowego przechowywania wszystkich danych osobowych. Ogranicza się zakres, dostęp i czas zachowania materiału konkretnej sprawy.
5.1 Serwis, cookies i kontakt
| Proces i dane | Cel i podstawa prawna | Okres / kryterium |
|---|---|---|
| Wyświetlanie Serwisu i logi IP, czas, URL, nagłówki, urządzenie, błędy | Dostarczenie treści, transmisja, diagnostyka, dostępność, zapobieganie nadużyciom i bezpieczeństwo. Art. 6 ust. 1 lit. f RODO – uzasadniony interes w prowadzeniu bezpiecznego Serwisu; art. 399 ust. 3 PKE dla mechanizmów koniecznych. | Logi operacyjne co do zasady do 12 miesięcy; dłużej tylko dla incydentu, dowodu lub roszczenia. |
| Niezbędne pliki cookies CookieConsent; sesja panelu administracyjnego (tylko zalogowani pracownicy) | Zapamiętanie wyboru dotyczącego plików cookies i treści zewnętrznych oraz – wyłącznie dla zalogowanych pracowników Firmy – utrzymanie sesji w panelu administracyjnym. Art. 6 ust. 1 lit. f RODO w zakresie bezpieczeństwa i prawidłowego działania Serwisu; art. 399 ust. 3 PKE dla mechanizmów koniecznych lub funkcji żądanej przez użytkownika. | CookieConsent – 365 dni lub do zmiany wyboru albo usunięcia zapisu z przeglądarki; sesja panelu – do wylogowania lub wygaśnięcia sesji. |
| Statystyka – tylko za zgodą i o ile funkcja jest włączona Google Analytics (_ga, _ga_*) | Analiza ruchu i poprawa Serwisu. Art. 6 ust. 1 lit. a RODO i art. 399 ust. 1–2 PKE – wyłącznie po uprzedniej zgodzie użytkownika. | _ga i _ga_* – zwykle 2 lata (okres ustala Google). Zgodę można w każdej chwili wycofać w ustawieniach ciasteczek. |
| Google Maps, YouTube i wtyczka strony Facebook dane połączenia, identyfikatory i zdarzenia | Wyświetlenie mapy dojazdu, filmu i wtyczki profilu Firmy w serwisie Facebook osadzonych w Serwisie. Treści ładują się po kliknięciu „Załaduj” albo po zgodzie na treści zewnętrzne. Art. 6 ust. 1 lit. a RODO i art. 399 ust. 1–2 PKE, gdy użycie treści wymaga zgody zgodnie z wyborem w ustawieniach ciasteczek; w pozostałym zakresie art. 6 ust. 1 lit. f RODO – uzasadniony interes w prezentacji lokalizacji i materiałów o Firmie. | Połączenie trwa podczas wyświetlania osadzonej treści; dalsze zapisy i okresy określa dostawca. Wycofanie wyboru w ustawieniach ciasteczek zatrzymuje dalsze ładowanie; samo odświeżenie strony nie zastępuje tego mechanizmu. |
| E-mail, telefon lub poczta | Obsługa zapytania, ocena możliwości współpracy i prowadzenie korespondencji. Art. 6 ust. 1 lit. f RODO dla komunikacji B2B; art. 6 ust. 1 lit. b, gdy osoba działa we własnym imieniu przed umową; art. 6 ust. 1 lit. c, gdy wiadomość dotyczy obowiązku prawnego. | Do zakończenia sprawy, nie dłużej niż 24 miesiące od otrzymania zapytania; zbędne dane usuwa się wcześniej. Dokumentację wynikającej współpracy lub konkretnego roszczenia przechowuje się odrębnie, w niezbędnym zakresie, na właściwej podstawie i przez właściwy okres. |
Zapytania ofertowe i inne wiadomości przyjmujemy e-mailem, telefonicznie, pocztą oraz za pomocą formularzy dostępnych w Serwisie (formularza zapytania ofertowego, kontaktowego i „Zgłoszenia i skargi”), a aplikacje na opublikowane oferty pracy – za pomocą formularza aplikacyjnego albo w inny sposób wskazany w ogłoszeniu. Zasady przetwarzania danych z formularzy opisuje punkt 5.6.
5.2 Ofertowanie, klienci, produkcja i Portale
| Proces i dane | Cel i podstawa prawna | Okres / kryterium |
|---|---|---|
| Zapytania, oferty i kwalifikacja projektu | Ocena wykonalności, materiału, narzędzia, tolerancji, wolumenu, terminu, kosztu, wymagań jakościowych i bezpieczeństwa; negocjacje i NDA. Art. 6 ust. 1 lit. b RODO dla osoby zawierającej umowę oraz lit. f dla kontaktów i relacji B2B. | Do zakończenia rozmów, a następnie zwykle do 3 lat dla wykazania ustaleń i obrony roszczeń; dłużej, jeśli oferta pozostaje ważna, strony wracają do projektu lub wymaga tego NDA. |
| Umowy, zamówienia, produkcja i dostawy | Realizacja zamówień, planowanie, produkcja (toczenie i frezowanie CNC), kontrola jakości, pakowanie, logistyka, komunikacja i potwierdzenie wykonania. Art. 6 ust. 1 lit. b RODO lub lit. f dla personelu stron; lit. c dla obowiązków prawnych. | Przez współpracę i okres przedawnienia roszczeń; dokumenty objęte wymogiem jakości, bezpieczeństwa, identyfikowalności lub wymaganiem klienta – przez uzgodniony albo wymagany okres. |
| Dokumentacja techniczna i jakościowa | Projektowanie procesu, analiza, przygotowanie i utrzymanie technologii, oprzyrządowania i narzędzi, APQP, PFMEA, plan kontroli, PPAP, pomiary (w tym CMM), zatwierdzenia, niezgodności, 8D, reklamacje, audyty i identyfikowalność. Art. 6 ust. 1 lit. b RODO wyłącznie dla osoby będącej stroną umowy; lit. f dla relacji B2B i ochrony praw; lit. c wyłącznie dla konkretnego obowiązku ustawowego. | Według umowy, wymagań klienta, systemu jakości, cyklu życia wyrobu i terminów roszczeń; dłużej, jeżeli dokument jest konieczny dla bezpieczeństwa produktu, audytu lub postępowania. |
| Portale klientów i partnerów | Obsługa RFQ, ofert, zamówień, prognoz, EDI, dostaw, jakości, PPAP, reklamacji, audytów, faktur i dostępu. Art. 6 ust. 1 lit. b dla umowy z osobą; lit. f dla kontaktu B2B i ochrony roszczeń RODO; lit. c, gdy operacja realizuje obowiązek prawny. | Przez czas posiadania roli i współpracy; logi oraz historia operacji zgodnie z wymaganiem bezpieczeństwa, umową i ustawieniami operatora Portalu; dalej tylko dla audytu, jakości lub roszczeń. |
| Fakturowanie, KSeF, płatności i księgowość | Wystawianie i odbiór faktur, rozliczenia, kontrola płatności, podatki i rachunkowość. Art. 6 ust. 1 lit. c RODO; art. 6 ust. 1 lit. b dla rozliczenia umowy; lit. f dla windykacji. | Co najmniej 5 lat według zasad ustawy o rachunkowości, a dla zobowiązań podatkowych 5 lat od końca roku, w którym upłynął termin płatności podatku; terminy mogą ulec zawieszeniu lub przedłużeniu. |
| Reklamacje, odpowiedzialność i ubezpieczenie | Obsługa niezgodności, rękojmi, gwarancji, szkody, wycofania produktu, ubezpieczenia oraz ustalanie, dochodzenie i obrona roszczeń. Art. 6 ust. 1 lit. b, c i f RODO; art. 9 ust. 2 lit. f, jeżeli dokumentacja roszczenia obejmuje dane szczególne. | Do zakończenia sprawy, wykonania obowiązków jakościowych i upływu właściwych terminów roszczeń; dłużej, gdy trwa postępowanie lub wymaga tego bezpieczeństwo i identyfikowalność produktu. |
| Marketing bezpośredni B2B | Informowanie o własnych usługach i utrzymywanie relacji zawodowych, jeżeli Firma prowadzi takie działania. Art. 6 ust. 1 lit. f RODO; użycie e-maila, telefonu lub innego urządzenia do informacji handlowej lub marketingu wymaga uprzedniej zgody zgodnie z art. 398 PKE, chyba że przepis szczególny stanowi inaczej. | Do sprzeciwu, cofnięcia zgody albo ustania przydatności kontaktu. Dane na liście sprzeciwów mogą pozostać w minimalnym zakresie, aby respektować żądanie. |
5.3 Dostawcy, usługodawcy i organy
| Proces i dane | Cel i podstawa prawna | Okres / kryterium |
|---|---|---|
| Zakupy i dostawcy | Wybór, kwalifikacja i audyt dostawcy; RFQ; złożenie i realizacja zamówienia; dostawa materiału, narzędzia, komponentu lub usługi; jakość, zgodność, reklamacja i rozliczenie. Art. 6 ust. 1 lit. b dla osoby fizycznej, lit. f dla relacji B2B oraz lit. c dla obowiązków prawnych. | Przez kwalifikację i współpracę, a następnie przez okres wynikający z prawa, audytów, wymogów klienta, jakości, rachunkowości i roszczeń. |
| Usługi dla Firmy | Koordynacja konsultingu, doradztwa, IT, hostingu, telekomunikacji, księgowości, prawa, ubezpieczeń, budowy, napraw, konserwacji, przeglądów, serwisu maszyn, laboratoriów, pomiarów, transportu, ochrony, BHP i medycyny pracy. Art. 6 ust. 1 lit. b, c lub f RODO. | Przez realizację i rozliczenie usługi oraz okres gwarancji, audytu i roszczeń; dokumenty księgowe zgodnie z terminami ustawowymi. |
| Weryfikacja kontrahenta | Potwierdzenie umocowania, rachunku, statusu VAT, beneficjenta rzeczywistego, konfliktu interesów, sankcji, wymagań eksportowych, etycznych i łańcucha dostaw. Art. 6 ust. 1 lit. c lub f RODO. | Przez okres wymagany prawem i procedurą należytej staranności; dowód sprawdzenia przez współpracę i okres ryzyka lub roszczeń. |
| Organy i instytucje publiczne | Realizacja obowiązków, kontroli, sprawozdawczości, zezwoleń, decyzji, postępowań oraz odpowiedzi na legalne żądania. Art. 6 ust. 1 lit. c RODO; art. 6 ust. 1 lit. f w zakresie ochrony praw Firmy; art. 9 ust. 2 lit. b, f lub h, gdy właściwe. | Przez okres prowadzenia sprawy i archiwizacji wymagany przepisami; dłużej w związku z kontrolą, odwołaniem, postępowaniem lub roszczeniem. |
| Audyty i certyfikacja | Wykazanie zgodności systemów, procesów, wyrobów, jakości, środowiska, bezpieczeństwa i wymagań klienta, m.in. ISO 9001, IATF 16949 i ISO 14001. Art. 6 ust. 1 lit. c lub f RODO. | Przez cykl certyfikacji, okres wymagany przez standard, umowę i jednostkę audytującą oraz czas działań korygujących i roszczeń. |
5.4 Rekrutacja, zatrudnienie i personel
| Proces i dane | Cel i podstawa prawna | Okres / kryterium |
|---|---|---|
| Bieżąca rekrutacja | Ocena kandydatury i wybór pracownika. Dane z art. 22¹ Kodeksu pracy: art. 6 ust. 1 lit. c RODO; czynności przed umową: lit. b; dodatkowe dane podane z inicjatywy kandydata: lit. a i art. 221a Kodeksu pracy. Dane szczególne tylko na właściwej podstawie z art. 9 RODO. | Do zakończenia bieżącej rekrutacji, nie dłużej niż 180 dni od otrzymania zgłoszenia. Przyszłe nabory wymagają odrębnej dobrowolnej zgody, maksymalnie 12 miesięcy od zgody. Ograniczony dowód roszczeń zachowuje się odrębnie na właściwej podstawie i przez właściwy termin. |
| Przyszłe rekrutacje | Uwzględnienie aplikacji w późniejszych naborach wyłącznie na dobrowolnej, konkretnej zgodzie – art. 6 ust. 1 lit. a RODO; dla danych szczególnych art. 9 ust. 2 lit. a. Brak zgody nie wpływa na bieżący nabór. | Przez okres wskazany przy zgodzie, rekomendowany maksymalnie 12 miesięcy, nie dłużej niż do jej cofnięcia. |
| Zatrudnienie i organizacja pracy | Zawarcie i wykonanie umowy, prowadzenie akt, czas pracy, urlopy, kwalifikacje, szkolenia, ocena obowiązków, komunikacja, podróże i zakończenie zatrudnienia. Art. 6 ust. 1 lit. b i c RODO; art. 9 ust. 2 lit. b, gdy niezbędne. | Przez zatrudnienie; dokumentacja pracownicza co do zasady 10 lat od końca roku kalendarzowego ustania stosunku pracy. Dla części starszej dokumentacji albo sytuacji szczególnych okres może być dłuższy. |
| Płace, podatki, ZUS, PPK i świadczenia | Naliczanie wynagrodzeń, zgłoszenia, potrącenia, rozliczenia, świadczenia, PPK – gdy ma zastosowanie – i obsługa uprawnionych członków rodziny. Art. 6 ust. 1 lit. b i c oraz art. 9 ust. 2 lit. b RODO. | Według prawa pracy, podatkowego, ubezpieczeniowego, emerytalnego i przepisów o danym świadczeniu; nie krócej niż właściwa dokumentacja pracownicza lub księgowa. |
| Medycyna pracy, BHP, nieobecności i wypadki | Dopuszczenie do pracy, profilaktyka, bezpieczeństwo, nieobecności, wypadki i choroby zawodowe. Art. 6 ust. 1 lit. c oraz art. 9 ust. 2 lit. b i h RODO w związku z prawem pracy i ubezpieczeń. | Przez okresy ustawowe. Rejestr i protokoły wypadków przy pracy – 10 lat; pozostałe dokumenty zgodnie z kategorią i przepisami. |
| Sprzęt, konta, dostęp i cyberbezpieczeństwo | Wydanie mienia, nadawanie ról, ciągłość działania, kontrola dostępu, ochrona informacji, wykrywanie nadużyć i incydentów oraz dokumentowanie okresowych przeglądów zabezpieczeń (rejestr przeglądów: data, rodzaj, wynik i osoba wykonująca przegląd). Art. 6 ust. 1 lit. c lub f RODO. | Przez korzystanie z mienia lub uprawnienia; logi i wpisy rejestru przeglądów zabezpieczeń przez proporcjonalny okres określony w polityce bezpieczeństwa, dłużej dla incydentu, audytu lub roszczenia. |
| Dane osób bliskich i kontakt awaryjny | Realizacja świadczeń, ubezpieczeń, podatków, uprawnień rodzicielskich lub kontaktu w nagłym zdarzeniu. Art. 6 ust. 1 lit. c lub f; art. 9 ust. 2 lit. b, jeśli dotyczy danych szczególnych. | Przez okres potrzebny dla danego uprawnienia albo kontaktu, z okresowymi przeglądami aktualności; dokumenty rozliczeniowe zgodnie z prawem. |
5.5 Bezpieczeństwo fizyczne, zgłoszenia i sprawy rejestrowe
| Proces i dane | Cel i podstawa prawna | Okres / kryterium |
|---|---|---|
| Goście, serwisanci i wejście do zakładu | Identyfikacja, odbiór gościa i stałe towarzyszenie mu przez osobę odpowiedzialną za wizytę, BHP, ochrona osób, mienia, informacji i stref produkcyjnych. Art. 6 ust. 1 lit. f RODO – ochrona osób, mienia i poufnych informacji; lit. c tylko dla odrębnego konkretnego obowiązku. | Ewidencja przez okres proporcjonalny do ryzyka, rekomendacyjnie do 12 miesięcy; dłużej dla zdarzenia, audytu lub roszczenia. |
| Monitoring wizyjny – jeżeli stosowany wizerunek, sylwetka, widoczne cechy, ubiór, zachowanie, czas i miejsce; pojazd/rejestracja – jeśli widoczne | Bezpieczeństwo pracowników, ochrona mienia, kontrola produkcji lub zachowanie poufności – tylko w celach i granicach art. 22² Kodeksu pracy albo innej właściwej podstawy. Art. 6 ust. 1 lit. f RODO w związku z art. 22² Kodeksu pracy; lit. c tylko dla odrębnego, konkretnego obowiązku ustawowego. Z nagrania może wynikać postrzegana płeć, przybliżony wiek lub inne cechy fizyczne, lecz monitoring nie jest prowadzony w celu systematycznego ustalania lub profilowania takich cech. | Nie dłużej niż 3 miesiące od nagrania (art. 22² § 3 Kodeksu pracy); okres wskazany w odrębnym dokumencie o monitoringu może być krótszy. Niezbędny fragment będący dowodem zabezpiecza się do prawomocnego zakończenia postępowania (art. 22² § 4 Kodeksu pracy). Szczegóły: SUN-CCTV-01. Odrębna informacja dla pracowników, informacja warstwowa i oznakowanie stref pozostają wymagane. |
| Poczta służbowa i inne formy monitoringu – jeżeli stosowane | Organizacja pracy, właściwe użycie narzędzi, bezpieczeństwo i ochrona informacji, wyłącznie przy spełnieniu wymogów Kodeksu pracy i poinformowaniu personelu. Art. 6 ust. 1 lit. f RODO; lit. c wyłącznie dla konkretnego obowiązku ustawowego lub innego prawa. Faktyczny zakres kontroli, informowanie personelu i retencję opisują odrębne regulacje wewnętrzne Firmy. Nie oznacza to uruchomienia dodatkowych form kontroli. | Przez okres wskazany w odrębnej regulacji i proporcjonalny do celu; materiał incydentu lub roszczenia do zakończenia sprawy. |
| Zgłoszenia nieprawidłowości – dobrowolna procedura | Przyjęcie zgłoszenia, kontakt ze zgłaszającym, wyjaśnienie sprawy, działania następcze i ochrona zgłaszającego przed działaniami odwetowymi zgodnie z SUN-CSR-02. Art. 6 ust. 1 lit. f RODO – uzasadniony interes w zapewnieniu zgodności z prawem, etyką i wymaganiami klientów; art. 9 ust. 2 lit. f i art. 10 RODO, gdy zgłoszenie obejmuje takie dane. | Do zakończenia wyjaśnienia sprawy i działań następczych, a następnie nie dłużej niż 3 lata po zakończeniu roku, w którym je zakończono. Dane nieistotne usuwa się niezwłocznie po ustaleniu ich zbędności. |
| Rejestry publiczne i pełnomocnictwa | Obsługa wpisu w CEIDG, prokury i pełnomocnictw, weryfikacja reprezentacji kontrahentów oraz ich beneficjentów rzeczywistych (CRBR) i innych obowiązków rejestrowych. Art. 6 ust. 1 lit. c i f RODO. | Przez okres istnienia obowiązku rejestrowego i archiwizacji, często przez czas prowadzenia działalności; dokumenty dowodowe dłużej, gdy wymaga tego prawo lub roszczenie. |
| Roszczenia, spory i incydenty | Ustalenie faktów, zgłoszenie ubezpieczycielowi, dochodzenie lub obrona roszczeń, postępowania i zapewnienie rozliczalności. Art. 6 ust. 1 lit. f lub c; art. 9 ust. 2 lit. f i art. 10 RODO, gdy właściwe. | Do prawomocnego zakończenia sprawy i upływu właściwego terminu przedawnienia; podstawowy termin dla roszczeń gospodarczych wynosi zwykle 3 lata, lecz przepisy szczególne przewidują inne okresy. |
Jeżeli Firma stosuje monitoring wizyjny, szczegółowy dokument dotyczący monitoringu jest przekazywany pracownikom. Określa on w szczególności cele, podstawę prawną, obszary i zasięg kamer, kategorie nagrywanych osób i danych, odbiorców, czas przechowywania, zasady dostępu, zabezpieczenia oraz prawa osób. Niniejsza publiczna Polityka zawiera informację ogólną i nie zastępuje dokumentu pracowniczego. Oba dokumenty, oznakowanie stref oraz rzeczywista konfiguracja systemu muszą pozostawać ze sobą zgodne.
5.6 Formularze w Serwisie
| Proces i dane | Cel i podstawa prawna | Okres / kryterium |
|---|---|---|
| Formularz zapytania ofertowego („Zapytaj o projekt”) dane o projekcie lub detalu, dane kontaktowe nadawcy, opcjonalne pliki, numer zgłoszenia | Przyjęcie zapytania, ocena możliwości współpracy, przygotowanie oferty i wyceny oraz prowadzenie korespondencji; ochrona formularza przed nadużyciami. Art. 6 ust. 1 lit. f RODO dla komunikacji B2B i bezpieczeństwa; art. 6 ust. 1 lit. b, gdy osoba działa we własnym imieniu przed umową; art. 6 ust. 1 lit. c, gdy wiadomość dotyczy obowiązku prawnego. Informacja: Klauzula informacyjna dla zapytań ofertowych i kontaktu. | Do zakończenia sprawy, nie dłużej niż 24 miesiące od otrzymania zapytania; zbędne dane usuwa się wcześniej. Dokumentację wynikającej współpracy lub konkretnego roszczenia przechowuje się odrębnie, w niezbędnym zakresie, na właściwej podstawie i przez właściwy okres. |
| Formularz kontaktowy imię, firma, telefon, e-mail, temat i treść wiadomości, numer zgłoszenia | Obsługa wiadomości, odpowiedź i prowadzenie korespondencji; ochrona formularza przed nadużyciami. Podstawy jak dla wiadomości e-mail w punkcie 5.1: art. 6 ust. 1 lit. f RODO; lit. b, gdy osoba działa we własnym imieniu przed umową; lit. c, gdy wiadomość dotyczy obowiązku prawnego. Informacja: Klauzula informacyjna dla zapytań ofertowych i kontaktu. | Do zakończenia sprawy, nie dłużej niż 24 miesiące od otrzymania wiadomości; zbędne dane usuwa się wcześniej. |
| Formularz „Zgłoszenia i skargi” rodzaj, temat i opis zgłoszenia, dane kontaktowe – jeżeli podano, opcjonalne pliki, numer zgłoszenia | Przyjęcie i rozpatrzenie zgłoszenia (reklamacji dotyczącej działania Serwisu, nieprawidłowości, sprawy dotyczącej danych osobowych, zgłoszenia bezpieczeństwa – podatności lub incydentu – albo innej sprawy), kontakt ze zgłaszającym i działania następcze; ochrona formularza przed nadużyciami. Art. 6 ust. 1 lit. f RODO – uzasadniony interes w obsłudze zgłoszeń, zapewnieniu zgodności z prawem i bezpieczeństwie Serwisu; art. 6 ust. 1 lit. c RODO, gdy zgłoszenie dotyczy wykonania obowiązku prawnego, w tym realizacji praw osób (punkt 12); art. 9 ust. 2 lit. f i art. 10 RODO, gdy zgłoszenie obejmuje takie dane. Zgłoszenia nieprawidłowości – także zgodnie z opisem w punkcie 5.5. Informacja: niniejsza Polityka. | Do zakończenia wyjaśnienia sprawy i działań następczych, a następnie nie dłużej niż 3 lata po zakończeniu roku, w którym sprawę zakończono. Dane nieistotne usuwa się niezwłocznie po ustaleniu ich zbędności. |
| Formularz aplikacyjny (Kariera i ogłoszenia) imię i nazwisko, e-mail, telefon, wiadomość, pliki CV, zgody, numer zgłoszenia | Rekrutacja – cele i podstawy jak w punkcie 5.4 (wiersze „Bieżąca rekrutacja” i „Przyszłe rekrutacje”). Zgoda na przyszłe rekrutacje jest odrębna i dobrowolna. Informacja: Klauzula informacyjna dla kandydatów. | Jak w punkcie 5.4: do zakończenia bieżącej rekrutacji, nie dłużej niż 180 dni od otrzymania zgłoszenia; przyszłe nabory – tylko za odrębną zgodą, maksymalnie 12 miesięcy od zgody. |
| Ochrona formularzy przed nadużyciami skrót (HMAC) adresu IP, liczniki wysyłek, czas wypełniania, jednorazowy znacznik formularza | Zapobieganie spamowi i zautomatyzowanemu wysyłaniu oraz zapewnienie bezpieczeństwa Serwisu, bez zewnętrznych usług CAPTCHA i narzędzi śledzących. Art. 6 ust. 1 lit. f RODO – uzasadniony interes w prowadzeniu bezpiecznego Serwisu. | Znacznik formularza jest jednorazowy i ważny przez ograniczony czas; liczniki wysyłek z adresu IP działają w pamięci serwera przez okres obowiązywania limitu (do 24 godzin); skrót adresu IP zapisany przy zgłoszeniu – tak długo jak samo zgłoszenie (przy zgłoszeniach anonimowych nie jest zapisywany). |
| Panel administracyjny, dziennik zdarzeń i alerty bezpieczeństwa konto pracownika (imię i nazwisko, e-mail, rola), czas, czynność, numer zgłoszenia, adres IP użytkownika panelu; treść alertu (rodzaj zdarzenia, konto, adres IP) | Obsługa zgłoszeń przez upoważnione osoby, kontrola dostępu, bezpieczeństwo oraz rozliczalność czynności w panelu (dziennik zdarzeń zabezpieczony łańcuchem skrótów, który umożliwia wykrycie zmiany wpisów). Wybrane zdarzenia bezpieczeństwa (np. utworzenie konta administratora, reset uwierzytelniania dwuskładnikowego, seria błędnych logowań, nieudana kopia zapasowa) powodują wysłanie alertu e-mail do wskazanych osób, aby można było szybko zareagować; alert nie zawiera haseł ani treści zgłoszeń. Art. 6 ust. 1 lit. f RODO – uzasadniony interes w ochronie informacji i rozliczalności; art. 6 ust. 1 lit. c lub f dla kont personelu (punkt 5.4). | Dziennik zdarzeń panelu – 730 dni; wysłane powiadomienia i alerty e-mail w kolejce Serwisu – 90 dni; kopie alertów w skrzynkach odbiorców – nie dłużej niż okres dla dziennika zdarzeń; dłużej tylko dla incydentu, audytu lub roszczenia. |
Po wysłaniu formularza Serwis zapisuje zgłoszenie w zaszyfrowanej bazie danych, nadaje mu numer i wyświetla go nadawcy. Zgłoszenie jest dostępne w panelu administracyjnym dla upoważnionych osób, w zakresie zależnym od roli (zapytania ofertowe i wiadomości – osoby obsługujące zapytania; zgłoszenia i skargi – osoby odpowiedzialne za bezpieczeństwo i zgłoszenia; aplikacje – osoby prowadzące rekrutację; administratorzy panelu – w zakresie niezbędnym do utrzymania systemu). Jednocześnie na skrzynkę Firmy wysyłane jest powiadomienie e-mail (zapytania ofertowe i wiadomości z formularza kontaktowego – rfq@suneko.pl; zgłoszenia i skargi oraz aplikacje – info@suneko.pl), do którego mogą być dołączone przesłane pliki; adresem do odpowiedzi jest adres nadawcy. Potwierdzeniem przyjęcia jest numer zgłoszenia wyświetlany po wysłaniu formularza; wiadomość potwierdzająca na adres nadawcy jest wysyłana tylko wtedy, gdy Firma włączy taką funkcję.
Okresy z tabeli dotyczą danych w panelu, które są usuwane automatycznie po ich upływie. Kopie powiadomień pozostające w skrzynkach pocztowych Firmy (rfq@suneko.pl i info@suneko.pl) usuwają po upływie właściwego okresu z tabeli osoby obsługujące te skrzynki. Kopie zapasowe Serwisu (zaszyfrowane) są wykonywane codziennie i przechowywane na serwerze przez 14 dni, a kopie zapasowe skrzynek pocztowych wykonuje dostawca poczty (punkt 8.3) i przechowuje przez okres wynikający z zakresu usługi – od 7 do 180 dni. Wiadomość usunięta ze skrzynki może więc pozostawać w kopiach zapasowych przez ten czas.
Zgłoszenie w formularzu „Zgłoszenia i skargi” można przesłać bez podawania imienia i nazwiska, adresu e-mail i telefonu; wtedy Serwis nie zapisuje także skrótu adresu IP nadawcy, a Firma nie może odpowiedzieć ani poprosić o uzupełnienie informacji. Dla niektórych rodzajów zgłoszeń (reklamacja dotycząca działania Serwisu, sprawa dotycząca danych osobowych) adres e-mail jest wymagany, aby możliwa była odpowiedź.
Pliki dołączone do formularzy są sprawdzane technicznie (typ i zawartość, a gdy skaner jest skonfigurowany – także antywirusowo) i przechowywane w postaci zaszyfrowanej do czasu usunięcia zgłoszenia, do którego należą. Mogą zawierać dane osobowe osób trzecich (np. autorów rysunków albo osób widocznych na zrzutach ekranu); nadawca przekazuje je zgodnie z punktem 4.3, a materiały objęte NDA lub tajemnicą przedsiębiorstwa – uzgodnionym kanałem (punkt 15.3).
Formularze działają z włączoną obsługą JavaScript: przeglądarka rozwiązuje krótkie zadanie obliczeniowe i dołącza jednorazowy, podpisany znacznik formularza. Do tej ochrony nie używamy zewnętrznych usług CAPTCHA, plików cookies ani narzędzi śledzących. Przy każdym formularzu wyświetlany jest odnośnik do właściwej informacji o przetwarzaniu danych, która w zakresie szczegółowym ma pierwszeństwo zgodnie z punktem 2.2.
6 Obowiązek lub dobrowolność podania danych
6.1 Dane techniczne potrzebne do transmisji i bezpieczeństwa Serwisu są przetwarzane automatycznie. Zgoda na technologie niekonieczne jest dobrowolna, może być odmówiona lub cofnięta, a podstawowa treść pozostaje dostępna.
6.2 Podanie danych przy zapytaniu jest dobrowolne, lecz brak danych kontaktowych lub informacji technicznych może uniemożliwić odpowiedź, ocenę wykonalności albo ofertę.
6.3 Dane potrzebne do umowy, zamówienia, dostawy, jakości, dostępu do Portalu, identyfikowalności lub faktury mogą być wymogiem umownym albo ustawowym. Ich brak może uniemożliwić zawarcie lub wykonanie umowy, dopuszczenie do systemu albo rozliczenie.
6.4 Kandydat i pracownik podają dane wymagane prawem w niezbędnym zakresie. Do danych wymaganych Kodeksem pracy Firma nie potrzebuje zgody. Dodatkowe dane i przyszłe rekrutacje mogą opierać się na dobrowolnej zgodzie, której odmowa nie może powodować niekorzystnego traktowania.
6.5 Przekazanie danych szczególnych kategorii, danych o wyrokach, danych dzieci albo pełnych kopii dokumentów jest dopuszczalne tylko wtedy, gdy jest niezbędne i istnieje szczególna podstawa prawna. Nie należy przesyłać takich danych zwykłą pocztą bez uzgodnienia.
6.6 W Formularzach pola wymagane są oznaczone; ich niewypełnienie uniemożliwia wysłanie formularza, a podanie pozostałych danych jest dobrowolne. W formularzu „Zgłoszenia i skargi” podanie imienia i nazwiska, adresu e-mail i telefonu jest dobrowolne (możliwe jest zgłoszenie anonimowe), z tym że dla niektórych rodzajów zgłoszeń adres e-mail jest wymagany; brak danych kontaktowych uniemożliwia odpowiedź i prośbę o uzupełnienie informacji.
6.7 Akceptacja Regulaminu, wymagana do wysłania Formularza, dotyczy zasad korzystania z Serwisu i nie jest zgodą na przetwarzanie danych osobowych. Zgoda na udział w przyszłych rekrutacjach, dostępna w formularzu aplikacyjnym, jest odrębna i dobrowolna, a jej brak nie wpływa na bieżący nabór (punkt 5.4).
6.8 W Formularzach nie należy podawać danych, o których mowa w punkcie 6.5 (w tym danych szczególnych kategorii), haseł ani danych kart płatniczych, chyba że jest to niezbędne do rozpatrzenia sprawy. Dane takie, przekazane mimo tego zastrzeżenia, są usuwane niezwłocznie po stwierdzeniu, że nie są niezbędne do rozpatrzenia sprawy; jeżeli są niezbędne do ustalenia, dochodzenia lub obrony roszczeń, przetwarza się je w niezbędnym zakresie na podstawie art. 9 ust. 2 lit. f RODO.
7 Prawnie uzasadnione interesy
7.1 Gdy podstawą jest art. 6 ust. 1 lit. f RODO, interes Firmy może polegać na: komunikacji i utrzymaniu relacji B2B; organizacji zakupów, ofertowania, produkcji, jakości i logistyki; ochronie osób, mienia, informacji i ciągłości działania; administrowaniu dostępem; dokumentowaniu ustaleń; zapobieganiu nadużyciom; audycie; marketingu własnych usług z poszanowaniem PKE; oraz ustalaniu, dochodzeniu i obronie roszczeń.
7.2 Przed zastosowaniem tej podstawy Firma ocenia niezbędność, wpływ na osobę i jej racjonalne oczekiwania. Osoba ma prawo sprzeciwu na zasadach punktu 12.
8 Odbiorcy danych
8.1 Dane mogą otrzymywać, wyłącznie w zakresie potrzebnym do danego celu:
- upoważnieni pracownicy i współpracownicy sprzedaży, zakupów, technologii, produkcji, jakości, logistyki, finansów, kadr, BHP, IT, bezpieczeństwa, kierownictwa i administracji;
- dostawcy hostingu i utrzymania Serwisu, poczty, telekomunikacji, chmury, kopii zapasowych, cyberbezpieczeństwa, archiwizacji, systemów ERP, księgowych, HR, jakościowych, EDI i zarządzania dostępem;
- operatorzy Portali klientów, dostawców i platform branżowych oraz podmioty, w których imieniu Portal jest prowadzony;
- klienci, dostawcy materiałów i narzędzi, podwykonawcy, laboratoria, jednostki pomiarowe, przewoźnicy i operatorzy logistyczni – gdy jest to potrzebne do projektu, zamówienia, dostawy, jakości lub reklamacji;
- firmy konsultingowe, doradcze, prawne, podatkowe, audytowe, księgowe, IT, budowlane, naprawcze, konserwatorskie, serwisowe, przeglądowe, ochrony, BHP i medycyny pracy;
- banki, ubezpieczyciele, brokerzy, operatorzy płatności, KSeF i PPK oraz podmioty świadczeń pracowniczych – jeżeli są wykorzystywane;
- agencje zatrudnienia, portale rekrutacyjne, podmioty szkoleniowe i firmy obsługujące kadry lub płace;
- audytorzy klientów i jednostki certyfikujące, w zakresie jakości, środowiska, bezpieczeństwa lub zgodności;
- Google (Google Analytics – o ile jest włączony, Google Maps, YouTube), Meta (wtyczka strony Facebook) i dostawcy innych Treści Zewnętrznych – zgodnie z wyborem użytkownika w ustawieniach ciasteczek i zasadami tych podmiotów;
- ZUS, organy podatkowe, PIP, PFRON, urzędy pracy, sądy, organy ścigania, organy ochrony danych, organy nadzoru, organy celne i inne instytucje publiczne, gdy ujawnienie jest wymagane lub dozwolone prawem.
8.2 Podmiot usługowy jest procesorem, gdy przetwarza dane wyłącznie w imieniu Firmy na podstawie umowy i poleceń. Odbiorca może być niezależnym administratorem, gdy sam określa ustawowy lub własny cel, np. urząd, bank, podmiot medycyny pracy, ubezpieczyciel, przewoźnik lub klient. Rola jest ustalana dla konkretnej operacji, a nie na podstawie samej nazwy kategorii.
8.3 W związku z Formularzami dane może otrzymywać także dostawca usług, z którego Firma korzysta do ich obsługi: dhosting.pl Sp. z o.o. z siedzibą w Warszawie (ul. Pamiętna 14B/2, 02-972 Warszawa) – jako dostawca serwera, na którym działa Serwis i baza zgłoszeń, oraz poczty elektronicznej (skrzynek rfq@suneko.pl i info@suneko.pl, obsługiwanych przez panel dpoczta.pl). Dane są przetwarzane w centrum danych w Polsce. Kopie zapasowe Serwisu są przechowywane na tym serwerze, a kopie zapasowe skrzynek pocztowych – u dostawcy poczty (okresy – punkt 5.6). Dostawca ten przetwarza dane w imieniu Firmy jako podmiot przetwarzający w rozumieniu art. 28 RODO.
9 Podmioty powiązane i role stron
9.1 Firma może współpracować z podmiotami powiązanymi osobowo lub kapitałowo z Administratorem oraz z innymi przedsiębiorcami uczestniczącymi w realizacji projektów. Samo powiązanie nie powoduje automatycznie przekazywania wszystkich danych i nie tworzy automatycznie współadministracji.
9.2 Dane mogą być przekazywane takiemu podmiotowi tylko wtedy, gdy faktycznie uczestniczy w określonym procesie, np. koordynacji projektu, zakupach, jakości, IT, raportowaniu, audycie, obsłudze klienta albo zarządzaniu dostępem, i tylko w niezbędnym zakresie.
9.3 W zależności od procesu podmioty mogą działać jako odrębni administratorzy, administrator i procesor albo współadministratorzy. Przy powierzeniu zawiera się umowę z art. 28 RODO; przy wspólnym ustalaniu celów i zasad – uzgodnienie z art. 26 RODO, którego zasadnicza treść jest udostępniana osobom.
10 Portale klientów i bezpieczeństwo kont
10.1 Firma może korzystać z Portali udostępnionych przez klientów lub partnerów. Operator Portalu oraz Firma mogą przetwarzać dane w odmiennych rolach. Informacje operatora i regulamin Portalu stosują się równolegle do tej Polityki.
10.2 Firma przetwarza dane kont i operacji w zakresie potrzebnym do zadań użytkownika, realizacji umowy, identyfikowalności oraz bezpieczeństwa. Uprawnienia powinny być imienne, nadawane zgodnie z rolą, okresowo przeglądane i niezwłocznie odbierane po zmianie obowiązków lub ustaniu współpracy.
10.3 Hasła i kody uwierzytelniające powinny być wprowadzane bezpośrednio w systemie operatora, nie mogą być współdzielone ani przesyłane zwykłą pocztą. Firma może przechowywać identyfikator konta, rolę i dowód nadania dostępu, ale nie powinna prowadzić jawnego wykazu haseł. Należy stosować MFA, jeśli Portal je oferuje.
10.4 Dane techniczne i jakościowe w Portalu podlegają również umowie, NDA, wymaganiom klienta, klasyfikacji informacji i zasadom eksportowym. Incydent, błędne uprawnienie lub podejrzenie przejęcia konta należy niezwłocznie zgłosić Firmie i operatorowi.
11 Przekazywanie danych poza EOG
11.1 Niektóre usługi chmurowe, teleinformatyczne, portalowe, rekrutacyjne, mapy lub filmy mogą powodować dostęp lub przetwarzanie poza Europejskim Obszarem Gospodarczym. Dotyczy to wyłącznie narzędzi faktycznie używanych przez Firmę, w tym usług Google używanych w Serwisie (Google Analytics – o ile jest włączony, Google Maps, YouTube) oraz wtyczki strony Facebook (Meta).
11.2 Jeżeli dochodzi do transferu, Firma stosuje mechanizm z rozdziału V RODO: decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony – w tym Ramy ochrony danych UE–USA wobec odbiorcy posiadającego ważną certyfikację – albo standardowe klauzule umowne, wraz z oceną transferu i dodatkowymi zabezpieczeniami, gdy są potrzebne.
11.3 Informację o państwie, odbiorcy i zabezpieczeniu lub kopię odpowiednich klauzul, z wyłączeniem informacji chronionych, można uzyskać korzystając z danych kontaktowych Administratora.
11.4 Dostawca wymieniony w punkcie 8.3 przetwarza dane w centrum danych w Polsce, a Firma nie przekazuje mu danych w celu ich przetwarzania poza EOG. Ewentualne przetwarzanie poza EOG mogłoby nastąpić wyłącznie w sposób zgodny z punktami 11.1–11.3.
12 Prawa osób
12.1 W zależności od podstawy i okoliczności osobie przysługuje prawo:
- dostępu do danych oraz uzyskania ich kopii;
- sprostowania nieprawidłowych danych i uzupełnienia danych niekompletnych;
- usunięcia danych, jeżeli zachodzą przesłanki prawne;
- ograniczenia przetwarzania;
- przenoszenia danych przetwarzanych automatycznie na podstawie zgody lub umowy;
- sprzeciwu – z przyczyn związanych ze szczególną sytuacją – wobec przetwarzania na podstawie art. 6 ust. 1 lit. f RODO;
- sprzeciwu w każdym czasie wobec marketingu bezpośredniego;
- cofnięcia zgody w każdym czasie, bez wpływu na zgodność wcześniejszego przetwarzania;
- niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu w przypadkach określonych w art. 22 RODO;
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, https://uodo.gov.pl.
12.2 Prawa nie są bezwzględne. Firma może odmówić w zakresie dozwolonym prawem, np. gdy dane są nadal potrzebne do obowiązku prawnego, bezpieczeństwa produktu, ochrony tajemnicy innej osoby albo obrony roszczeń. O przyczynie poinformuje zgodnie z RODO.
12.3 Wniosek można złożyć kanałami z punktu 1. Dla ochrony danych Firma może poprosić o informacje konieczne do potwierdzenia tożsamości i zakresu żądania, lecz nie będzie żądać nadmiarowych kopii dokumentów.
12.4 Firma odpowiada bez zbędnej zwłoki, zasadniczo w ciągu miesiąca. Termin może zostać przedłużony o dwa miesiące z uwagi na skomplikowanie lub liczbę żądań; informacja o przedłużeniu i przyczynach jest przekazywana w ciągu pierwszego miesiąca.
13 Zautomatyzowane decyzje i profilowanie
13.1 Firma nie podejmuje wobec osób decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nie wpływały, chyba że w konkretnym procesie poinformuje o tym odrębnie i zapewni wymagane zabezpieczenia.
13.2 Jeżeli po zgodzie używane są narzędzia statystyczne lub treści zewnętrzne, ich dostawcy mogą łączyć identyfikatory i zdarzenia w celu pomiaru lub doboru treści zgodnie ze swoją konfiguracją. Nie oznacza to, że Firma prowadzi kwalifikację kandydatów lub decyzje pracownicze wyłącznie automatycznie.
14 Cookies i podobne technologie
14.1 Cookies i podobne technologie mogą zapisywać lub odczytywać informacje na urządzeniu. Ochrona PKE dotyczy także informacji, które nie są danymi osobowymi. Kategorie niekonieczne są domyślnie wyłączone i uruchamiane dopiero po uprzedniej, dobrowolnej i jednoznacznej zgodzie.
| Kategoria | Cel i przykłady | Zasada |
|---|---|---|
| Niezbędne | Transmisja, bezpieczeństwo oraz zapamiętanie wyboru dotyczącego plików cookies (CookieConsent); dla zalogowanych pracowników Firmy – utrzymanie sesji w panelu administracyjnym. | Bez odrębnej zgody wyłącznie w zakresie koniecznym do transmisji lub dostarczenia funkcji żądanej przez użytkownika, zgodnie z art. 399 ust. 3 PKE. |
| Statystyczne | Google Analytics (_ga, _ga_*) – analiza ruchu i poprawa Serwisu (funkcja opcjonalna). | Wymagają uprzedniej, dobrowolnej zgody użytkownika, którą można w każdej chwili wycofać. |
| Treści zewnętrzne | Google Maps, YouTube i wtyczka strony Facebook; dostawca otrzymuje dane połączenia i może stosować identyfikatory. | Zasady określa wybór użytkownika w ustawieniach ciasteczek lub kliknięcie „Załaduj” przy danej treści oraz zasady dostawcy; odmowa nie ogranicza podstawowej treści. |
14.2 Serwis używa niezbędnego pliku cookies CookieConsent (zapamiętanie wyboru, 365 dni) oraz – wyłącznie dla zalogowanych pracowników Firmy – pliku sesji panelu administracyjnego. Za zgodą użytkownika Serwis może używać także Google Analytics (_ga i _ga_* – zwykle 2 lata), o ile funkcja jest włączona. Serwis nie używa reklamowych ani marketingowych plików cookies; ich ewentualne wdrożenie wymagałoby aktualizacji dokumentacji i uprzedniej zgody. Mechanizmy niezbędne nie służą reklamie ani profilowaniu.
14.3 Technologie statystyczne pozostają wyłączone do czasu uzyskania uprzedniej, dobrowolnej i jednoznacznej zgody, a treści zewnętrzne – do czasu zgody na treści zewnętrzne albo kliknięcia „Załaduj” przy danej treści. Odmowa jest równie łatwa jak akceptacja, a zgoda nie wynika z samego przewijania lub dalszego korzystania z Serwisu. Wybór można zmienić lub wycofać w oknie „Ustawienia ciasteczek” (opcje: Odmów, Dostosuj, Zezwól na wybrane, Zezwól na wszystkie oraz Wycofaj zgodę). Odnośnik do tego okna znajduje się w stopce Serwisu pod nazwą „Ustawienia cookies”.
14.4 Film YouTube (w trybie youtube-nocookie), mapa Google i wtyczka strony Facebook są treściami dostarczanymi przez podmioty trzecie. Odmowa zgody na technologie niekonieczne nie ogranicza podstawowych treści Serwisu. Wycofanie wyboru jest równie łatwe jak jego udzielenie; odświeżenie strony lub czyszczenie danych przeglądarki nie zastępuje mechanizmu wycofania. Dane już otrzymane przez dostawcę podlegają jego obowiązkom i prawom osoby.
14.5 Informacje o przetwarzaniu przez Google (w tym Google Analytics i Mapy Google), YouTube oraz Meta (wtyczka strony Facebook) znajdują się w dokumentach prywatności tych dostawców.
14.6 Formularze w Serwisie nie wymagają plików cookies; ich ochronę przed automatami opisuje punkt 5.6. Przy pierwszej wizycie oraz po każdej zmianie wersji Polityki cookies Serwis ponownie pyta o wybór użytkownika.
15 Bezpieczeństwo i poufność
15.1 Firma stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności kontrolę dostępu i ról, upoważnienia, poufność personelu, ochronę urządzeń i sieci, aktualizacje, kopie zapasowe, szyfrowanie transmisji, rejestrację zdarzeń, zarządzanie podatnościami i incydentami, zasady retencji oraz wymagania wobec dostawców.
15.2 Dostęp do danych klientów, dokumentacji technicznej i jakościowej, danych kadrowych, zdrowotnych oraz zgłoszeń nieprawidłowości jest ograniczany według potrzeby wiedzy i obowiązków. Użytkownicy Portali nie mogą współdzielić kont, a dostęp po ustaniu potrzeby jest odbierany.
15.3 Materiały objęte NDA, wymaganiami klienta, klasyfikacją bezpieczeństwa, ograniczeniami eksportowymi albo szczególną kategorią danych należy przekazywać wyłącznie uzgodnionym kanałem. Zwykła poczta elektroniczna nie daje automatycznie poziomu ochrony właściwego dla każdego projektu.
15.4 Żaden system nie zapewnia bezpieczeństwa absolutnego. Firma regularnie ocenia ryzyko i dostosowuje zabezpieczenia, a naruszenia danych ocenia i zgłasza zgodnie z art. 33–34 RODO, gdy spełnione są przesłanki.
15.5 Zgłoszenia przesłane Formularzami są zapisywane w bazie danych Serwisu w postaci zaszyfrowanej, a dołączone pliki są sprawdzane technicznie i przechowywane w postaci zaszyfrowanej. Dostęp do nich w panelu administracyjnym mają wyłącznie upoważnione osoby na imiennych kontach, w zakresie zależnym od roli (m.in. osoby obsługujące zapytania ofertowe i wiadomości, osoby prowadzące rekrutację, osoby odpowiedzialne za bezpieczeństwo i zgłoszenia oraz administratorzy panelu). Czynności w panelu są rejestrowane w dzienniku zdarzeń zabezpieczonym łańcuchem skrótów, który umożliwia wykrycie zmiany wpisów; dziennik jest przechowywany przez 730 dni. Wybrane zdarzenia bezpieczeństwa (np. utworzenie konta administratora, reset uwierzytelniania dwuskładnikowego, seria błędnych logowań, nieudana kopia zapasowa) powodują wysłanie alertu e-mail do wskazanych osób; alert nie zawiera haseł ani treści zgłoszeń. Kopie zapasowe Serwisu są szyfrowane, a ich integralność jest sprawdzana po wykonaniu kopii.
15.6 Powiadomienia o zgłoszeniach są wysyłane e-mailem na skrzynki Firmy, a poczta elektroniczna nie daje automatycznie takiego poziomu ochrony jak panel. Materiały objęte NDA, wymaganiami klienta lub tajemnicą przedsiębiorstwa należy przekazywać zgodnie z punktem 15.3, a nie przez Formularze.
15.7 Okresowe przeglądy zabezpieczeń (m.in. kont i uprawnień, kopii zapasowych, aktualizacji i dostawców) zapisuje się w rejestrze przeglądów, który zawiera datę, rodzaj przeglądu, wynik i osobę, która go wykonała (punkt 5.4). Zgłoszenia podatności Serwisu przyjmuje się zgodnie z zasadami opisanymi na stronie „Bezpieczeństwo” – e-mailem na adres wskazany na tej stronie albo Formularzem „Zgłoszenia i skargi” (rodzaj: zgłoszenie bezpieczeństwa); dane zgłaszającego przetwarza się wyłącznie w celu obsługi zgłoszenia (punkt 5.6).
16 Aktualizacje Polityki
16.1 Polityka może być aktualizowana w razie zmiany prawa, procesów, dostawców, technologii, odbiorców albo danych Firmy. Nowa wersja otrzyma datę obowiązywania i zostanie opublikowana w Serwisie.
16.2 Istotna zmiana celu lub podstawy przetwarzania jest komunikowana osobom w sposób właściwy dla relacji. Publikacja nie zastępuje odrębnego zawiadomienia, jeżeli wymaga go prawo.
16.3 Polityka w wersji 1.2 obowiązuje od 22 października 2026 r.
Podstawy prawne i źródła
- RODO – rozporządzenie (UE) 2016/679
- Ustawa o ochronie danych osobowych, Dz.U. 2018 poz. 1000 ze zmianami
- Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221 ze zmianami
- Kodeks pracy – tekst jednolity, Dz.U. 2025 poz. 277 ze zmianami
- Kodeks cywilny – tekst jednolity, Dz.U. 2026 poz. 795
- Ordynacja podatkowa – tekst jednolity, Dz.U. 2026 poz. 622
- Ustawa o rachunkowości – tekst jednolity, Dz.U. 2026 poz. 522
- UODO – ABC rekrutacji, aktualizacja 6 lipca 2026 r.
- UODO – problematyka ochrony danych a pliki cookies
- EDPB – Wytyczne 05/2020 dotyczące zgody
- Serwis SUNEKO
Uzupełnienie zasad i wymagań
Uzupełnienie celów i retencji
Art. 6 ust. 1 lit. b stosuje się dla osoby będącej stroną umowy lub działań przed jej umową; dla pracowników i przedstawicieli kontrahenta stosuje się właściwy interes kontaktu B2B z lit. f. Podstawa lit. c wymaga konkretnego obowiązku prawa, nie samego wymagania umownego klienta. Maksima 180 dni i 24 miesięcy liczy się od otrzymania i nie oznaczają obowiązku zachowania danych po ustaniu celu. Odrębna ograniczona dokumentacja roszczeń wymaga oceny interesu, zakresu i właściwego terminu przedawnienia. Dobrowolne dodatkowe dane rekrutacyjne wymagają właściwej podstawy; szczególne na zgodzie tylko przy inicjatywie kandydata według Kodeksu pracy, a wyroków nie legalizuje sama zgoda.
Dane z innych źródeł
Dane otrzymujemy od osoby, a w potrzebnym zakresie także od jej pracodawcy lub kontrahenta, osób upoważnionych i z publicznych rejestrów, m.in. KRS i CEIDG. Przy źródle pośrednim informację przekazujemy najpóźniej w miesiąc od pozyskania, jednak wcześniej przy pierwszej komunikacji z osobą albo pierwszym ujawnieniu, jeśli następują wcześniej. Stosujemy wyłącznie udokumentowane wyjątki z art. 14 ust. 5; sama dostępność danych w internecie nie jest wyjątkiem.
Faktyczne transfery i usługi opcjonalne
Przed przekazaniem lub dostępem z państwa poza EOG Administrator ustala rzeczywistego odbiorcę, państwo i mechanizm rozdziału V RODO oraz przekazuje właściwą informację. Sama siedziba dostawcy w UE nie dowodzi braku transferu. Nie wystarcza wzmianka, że transfer „może” nastąpić. Mechanizm i możliwość otrzymania kopii zabezpieczeń bez ujawnienia chronionych tajemnic dokumentuje się w SUN-REC-11; transferu bez ustalenia wymaganych warunków nie uruchamia się. Dla usług Google (Analytics – o ile jest włączony, Maps) i YouTube oraz dla wtyczki strony Facebook (Meta) potwierdza się odbiorcę, państwo i aktualny mechanizm dostawcy, np. aktualne objęcie odpowiedniego odbiorcy decyzją o adekwatności lub właściwe klauzule wraz z potrzebnymi środkami. Takie samo ustalenie obejmuje dostawcę hostingu, poczty i kopii zapasowych wymienionego w punkcie 8.3. Weryfikację i kopię zabezpieczeń udostępnia się przez kontakt Firmy. Opis plików cookies i narzędzi używanych w Serwisie wymaga kontroli rzeczywistej konfiguracji i połączeń serwisu, także po każdej zmianie strony.
Nadzór aktualizacji: osoba odpowiedzialna za dokumentację; sprawdza w zakresie ochrony danych osoba odpowiedzialna za ochronę danych, w zakresie IT osoba odpowiedzialna za IT; zatwierdza Właściciel firmy. Zatwierdzono: 22 października 2026 r. Wdrożenie i doręczenia wymagają rzeczywistych zapisów.