Na początek: dwie różne role
Sourevo przetwarza dane osobowe w dwóch rolach i warto je rozróżnić, ponieważ prawa wykonuje się wobec właściwego podmiotu:
- Jako administrator przetwarzamy dane osób odwiedzających stronę, użytkowników kont klientów oraz dostawców, którzy zakładają własne konto w portalu. Tego dotyczy niniejsza polityka.
- Jako podmiot przetwarzający przetwarzamy dane, które każda organizacja kliencka (importer, podmiot lub spedytor) wprowadza lub wykorzystuje w swojej przestrzeni: jej dostawców, działki i dowody, dane podmiotu na potrzeby TRACES NT oraz treść składanych przez nią oświadczeń. W tym zakresie administratorem jest ta organizacja, a my wykonujemy wyłącznie jej polecenia, zgodnie z umową powierzenia przetwarzania danych.
Gdy dostawca postanawia udostępnić działkę klientowi, klient ten zaczyna ją wykorzystywać na potrzeby własnej należytej staranności i w zakresie tego wykorzystania jest administratorem.
Jeżeli są Państwo dostawcą lub producentem, a Państwa dane wprowadził klient Sourevo, Państwa sprawą powinien zająć się ten klient. Jeżeli nie wiedzą Państwo, który to klient, prosimy do nas napisać, a pomożemy się z nim skontaktować.
1. Administrator danych
- Administrator: Juan Cantón Rodríguez, osoba prowadząca jednoosobową działalność gospodarczą pod marką „Francodesystems”.
- NIF: 45492167F
- Adres: Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España
- E-mail: juan.canton@sourevo.com
Nie wyznaczyliśmy inspektora ochrony danych, ponieważ nasza działalność nie mieści się w przypadkach określonych w art. 37 RODO i art. 34 LOPDGDD. We wszelkich sprawach dotyczących prywatności prosimy korzystać z podanego adresu e-mail.
2. Jakie dane przetwarzamy jako administrator
- Użytkownicy kont klientów: imię i nazwisko, adres e-mail, hasło (przechowywane wyłącznie jako skrót argon2id, nigdy w postaci jawnej), organizacja, do której należą (firma i NIF lub numer VAT), oraz ich rola w niej.
- Dostawcy posiadający własne konto w portalu: imię i nazwisko, adres e-mail, hasło (wyłącznie skrót), preferowany język, weryfikacja adresu e-mail, zadeklarowany identyfikator podatkowy (rodzaj, numer i kraj), wynik jego weryfikacji oraz wynikający z niego poziom wiarygodności.
- Dane deklarowane przez dostawcę w portalu: dane dostawcy (nazwa, kraj, adres e-mail, telefon), jego działki (nazwa, kraj, powierzchnia i geolokalizacja w postaci punktu lub wielokąta), załączane dowody oraz informacja, którym klientom postanawia udostępnić każdą działkę. Geolokalizacja działki drobnego producenta może stanowić dane osobowe.
- Bezpieczeństwo i identyfikowalność: rejestr audytowy działań (co zrobiono, czego to dotyczyło, kiedy i przez jaki rodzaj użytkownika), kody jednorazowe do weryfikacji adresu e-mail lub resetowania hasła (przechowujemy wyłącznie ich skrót), adres IP przechowywany w pamięci przez kilka minut w celu ograniczenia liczby prób logowania (nie jest zapisywany w bazie danych) oraz dzienniki techniczne serwera.
- Wsparcie i kontakt: informacje przekazane nam drogą elektroniczną lub przez WhatsApp.
Nie zbieramy szczególnych kategorii danych (art. 9 RODO). Nie stosujemy narzędzi analitycznych, reklam ani mechanizmów śledzących osób trzecich.
Skąd pochodzą dane. Niemal wszystkie dane przekazują nam Państwo sami. Istnieją trzy wyjątki: jeżeli zaprasza Państwa administrator Państwa organizacji, to on przekazuje nam Państwa imię i nazwisko oraz adres e-mail; jeżeli klient zaprasza Państwa jako dostawcę, przekazuje nam Państwa imię i nazwisko oraz adres e-mail w celu wysłania zaproszenia (w tym zakresie działamy jako jego podmiot przetwarzający); wynik weryfikacji Państwa identyfikatora podatkowego pochodzi z zapytania do rejestru publicznego (VIES lub CNPJ).
3. W jakim celu i na jakiej podstawie prawnej
| Cel | Dane | Podstawa prawna |
|---|---|---|
| Założenie i prowadzenie Państwa konta, identyfikacja oraz świadczenie zamówionej lub żądanej usługi | Konto klienta lub dostawcy, organizacja | Wykonanie umowy (art. 6 ust. 1 lit. b RODO). Jeżeli korzystają Państwo z konta jako pracownik przedsiębiorstwa będącego klientem: prawnie uzasadniony interes w utrzymaniu relacji z tym przedsiębiorstwem (art. 6 ust. 1 lit. f RODO i art. 19 LOPDGDD) |
| Udostępnianie wybranym przez Państwa klientom działek deklarowanych przez Państwa jako dostawcę | Dane dostawcy, działki, dowody | Wykonanie umowy z dostawcą (art. 6 ust. 1 lit. b RODO) |
| Weryfikacja identyfikatora podatkowego dostawcy w rejestrach publicznych i obliczanie jego poziomu wiarygodności | Identyfikator podatkowy i wynik weryfikacji | Prawnie uzasadniony interes w wiarygodności informacji w łańcuchu dostaw, do której dąży sam dostawca, deklarując je (art. 6 ust. 1 lit. f RODO) |
| Wysyłanie wiadomości e-mail związanych z usługą: weryfikacja, zaproszenia, resetowanie hasła, powiadomienia dotyczące konta | Imię i nazwisko, adres e-mail, język | Wykonanie umowy (art. 6 ust. 1 lit. b RODO) |
| Bezpieczeństwo, zapobieganie nadużyciom i rejestr audytowy | Rejestry audytowe i techniczne, adres IP w pamięci | Prawnie uzasadniony interes w ochronie usługi i możliwości wykazania, kto dokonał każdej zmiany (art. 6 ust. 1 lit. f RODO) |
| Wypełnianie obowiązków prawnych: podatkowych i rachunkowych w razie fakturowania oraz realizacja żądań organów | Dane do faktur i dane wymagane przez organy | Obowiązek prawny (art. 6 ust. 1 lit. c RODO) |
| Odpowiadanie na zapytania i wsparcie | Informacje przekazane nam przez Państwa | Wykonanie umowy lub działania przed zawarciem umowy (art. 6 ust. 1 lit. b RODO), a w przypadku zapytań ogólnych prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) |
Mogą Państwo wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie (zob. pkt 8). Obecnie nie wysyłamy newsletterów ani informacji handlowych. Poziom wiarygodności dostawcy jest wskaźnikiem opartym na obiektywnych weryfikacjach; nie jest zautomatyzowaną decyzją wywołującą wobec Państwa skutki prawne (art. 22 RODO): decyzję o współpracy z dostawcą lub jej braku podejmuje każdy klient.
Dane oznaczone w formularzach jako obowiązkowe są niezbędne do świadczenia usługi; bez nich nie możemy założyć konta ani wykonać operacji.
Przygotowywanie, składanie, zmiana lub wycofywanie oświadczeń w TRACES NT nie figuruje w tej tabeli, ponieważ wykonujemy te czynności jako podmiot przetwarzający, na polecenie organizacji klienckiej: o celu i podstawie prawnej decyduje ona.
4. Komu przekazywane są dane
- Komisja Europejska (TRACES NT): gdy organizacja kliencka lub jej upoważniony przedstawiciel zleca złożenie DDS, dane oświadczenia (podmiot, produkty, ilości, geolokalizacja działek i numery referencyjne) są przesyłane do systemu informacyjnego EUDR prowadzonego przez Komisję Europejską. Czynimy to jako podmiot przetwarzający tego klienta. Z tego systemu dane są dostępne dla właściwych organów państw członkowskich i organów celnych. Komisja przetwarza je zgodnie z własnymi przepisami o ochronie danych (rozporządzenie (UE) 2018/1725).
- Publiczne rejestry podatkowe: w celu weryfikacji identyfikatora podatkowego dostawcy korzystamy z usługi VIES Komisji Europejskiej (numery VAT UE) lub z publicznego rejestru CNPJ w Brazylii. Przesyłamy wyłącznie numer i kraj.
- Klienci Sourevo: działki i dane, które dostawca postanawia udostępnić konkretnemu klientowi, i wyłącznie temu klientowi. Klient ten wykorzystuje je jako administrator na potrzeby własnej należytej staranności.
- Usługodawcy (podmioty przetwarzające): wskazani w pkt 5, z którymi zawarliśmy umowę powierzenia zgodnie z art. 28 RODO.
- Organy i sądy, gdy zobowiązują nas do tego przepisy prawa.
Nie sprzedajemy ani nie udostępniamy danych w celach handlowych.
5. Usługodawcy pomagający nam w świadczeniu usługi
- Hetzner Online GmbH (Niemcy): hosting serwera, który znajduje się w jej centrum danych w Finlandii (Unia Europejska), wraz z bazą danych i plikami. Platformą wdrożeniową (Coolify) zarządzamy sami na tym serwerze; nie jest ona osobą trzecią.
- Resend, Inc. (Stany Zjednoczone): wysyłka wiadomości e-mail związanych z usługą. Otrzymuje adres odbiorcy, imię i nazwisko oraz treść wiadomości i przechowuje je w Stanach Zjednoczonych.
- Mollie B.V. (Holandia): płatności kartą i poleceniem zapłaty SEPA. Otrzymuje dane do faktury, imię i nazwisko posiadacza oraz numer IBAN lub dane karty, których my nie przechowujemy. W odniesieniu do danych płatniczych działa również jako administrator, na podstawie własnej polityki prywatności.
- Holded Technologies S.L. (Hiszpania): program do fakturowania. Otrzymuje dane do faktur klientów płacących (firma, NIF, adres i adres e-mail) oraz zafakturowane kwoty.
- Google Cloud EMEA Limited (Irlandia), w ramach Google Workspace: skrzynka pocztowa juan.canton@sourevo.com. Otrzymuje to, co Państwo do nas piszą drogą elektroniczną.
- Cloudflare, Inc. (Stany Zjednoczone): wyłącznie obsługa DNS domeny sourevo.com. Ruch na stronie nie przechodzi przez Cloudflare (bez proxy), więc nie otrzymuje on treści Państwa odwiedzin ani Państwa danych.
Jeżeli piszą Państwo do nas przez WhatsApp, usługę tę świadczy WhatsApp Ireland Limited na podstawie własnych warunków i własnej polityki prywatności. Prosimy nie przesyłać tą drogą danych osób trzecich; w tym celu należy korzystać z poczty elektronicznej.
6. Przekazywanie danych do państw trzecich
Dane usługi są przechowywane w Unii Europejskiej. Do przekazania danych poza Europejski Obszar Gospodarczy dochodzi w następujących przypadkach:
- Resend, Inc. (USA): na podstawie standardowych klauzul umownych Komisji Europejskiej zawartych w jej umowie o przetwarzaniu danych, a ponadto na podstawie decyzji stwierdzającej odpowiedni stopień ochrony w ramach Ramowego porozumienia w zakresie ochrony danych UE-USA (Data Privacy Framework), w którym Resend posiada certyfikację.
- Google (Workspace): umowa jest zawarta z przedsiębiorstwem irlandzkim, jednak Google może przetwarzać dane w innych państwach, w tym w USA. Przekazywanie to odbywa się na podstawie standardowych klauzul umownych zawartych w jego umowie o przetwarzaniu danych oraz Ramowego porozumienia w zakresie ochrony danych UE-USA.
- Cloudflare, Inc. (USA): ograniczone do danych technicznych obsługi DNS, na podstawie tego samego Ramowego porozumienia w zakresie ochrony danych i standardowych klauzul umownych.
- Rejestr CNPJ w Brazylii: sprawdzany jest numer identyfikacyjny brazylijskiego przedsiębiorstwa w celu weryfikacji tożsamości zadeklarowanej przez samego dostawcę.
Więcej informacji o tych zabezpieczeniach można uzyskać pod adresem juan.canton@sourevo.com.
7. Jak długo przechowujemy dane
- Konto: przez czas jego aktywności. Po rezygnacji dane są blokowane (art. 32 LOPDGDD) na okres, w którym mogą być dochodzone roszczenia (co do zasady 5 lat w przypadku roszczeń umownych i do 6 lat w przypadku dokumentacji księgowej i podatkowej), a następnie usuwane.
- Oświadczenia (DDS) i dane wprowadzone przez klienta: przechowujemy je jako podmiot przetwarzający, zgodnie z poleceniami klienta i postanowieniami umowy powierzenia przetwarzania danych. Domyślnie archiwum oświadczeń jest przechowywane w stanie zablokowanym przez 5 lat od każdego złożenia, co odpowiada minimalnemu okresowi nałożonemu przez EUDR na podmiot.
- Rejestr audytowy: przez czas istnienia danych, których dotyczy, maksymalnie 5 lat.
- Kody jednorazowe: do czasu ich wygaśnięcia lub wykorzystania.
- Adres IP do ograniczania prób logowania: wyłącznie w pamięci, przez okres kontroli (minuty).
- Dzienniki techniczne serwera: przez czas niezbędny dla bezpieczeństwa i rozwiązywania incydentów, maksymalnie 30 dni.
- Konta próbne, dla których nie zawarto umowy: usuwane w rozsądnym terminie po zakończeniu okresu próbnego, po uprzednim powiadomieniu.
- Zapytania kierowane do wsparcia: przez czas trwania sprawy i do roku po jej zakończeniu.
8. Państwa prawa
Mogą Państwo wykonywać prawo dostępu, sprostowania, usunięcia, sprzeciwu, ograniczenia przetwarzania i przenoszenia danych oraz prawo do niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu, pisząc na adres juan.canton@sourevo.com. Potwierdzenia tożsamości zażądamy wyłącznie w razie uzasadnionych wątpliwości. Odpowiadamy w terminie jednego miesiąca, który w sprawach złożonych może zostać przedłużony o kolejne dwa miesiące (poinformujemy o tym Państwa).
Jeżeli uznają Państwo, że Państwa żądanie nie zostało należycie rozpatrzone, mogą Państwo wnieść skargę do Hiszpańskiej Agencji Ochrony Danych (Agencia Española de Protección de Datos, C/ Jorge Juan 6, 28001 Madryt, www.aepd.es) lub do organu nadzorczego państwa, w którym Państwo mieszkają lub pracują.
Jeżeli Państwa dane wprowadził klient Sourevo, prosimy zwrócić się do niego; jeżeli Państwa żądanie trafi do nas, przekażemy je temu klientowi.
9. Bezpieczeństwo
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka: szyfrowane połączenia (HTTPS), hasła zabezpieczone skrótem argon2id, dane dostępowe do TRACES NT szyfrowane algorytmem AES-256-GCM, podpisane pliki cookie sesji z atrybutami HttpOnly i Secure, izolację danych każdej organizacji przy każdym zapytaniu, widoczność działek kontrolowaną przez dostawcę, historię oświadczeń w trybie wyłącznie dopisywania, ograniczanie prób logowania oraz dostęp ograniczony do niezbędnego minimum. Zobowiązujemy się ponadto przechowywać kopie zapasowe bazy danych na terytorium Unii Europejskiej.
Żaden system nie jest niezawodny. W razie naruszenia ochrony danych dotyczącego Państwa danych zgłosimy je AEPD w przypadkach i terminach określonych w art. 33 RODO i powiadomimy Państwa, jeżeli będzie ono powodować wysokie ryzyko dla Państwa (art. 34 RODO).
10. Osoby niepełnoletnie
Sourevo jest usługą profesjonalną i nie jest skierowana do osób poniżej 18. roku życia. Nie zbieramy świadomie danych osób niepełnoletnich; jeżeli stwierdzimy, że konto założyła osoba niepełnoletnia, usuniemy je.
11. Zmiany niniejszej polityki
Jeżeli istotnie zmienimy niniejszą politykę (na przykład dodając nowego usługodawcę lub nowy cel przetwarzania), powiadomimy Państwa drogą elektroniczną lub w aplikacji przed wejściem zmiany w życie. Data ostatniej aktualizacji jest podana powyżej.