Polityka prywatności

1. Zakres Polityki

Niniejsza Polityka Prywatności opisuje zasady przetwarzania danych osobowych przez Do uzupełnienia: PELNA_NAZWA_SPOLKI w związku z korzystaniem z serwisów Mivare Group, Mivare Interiors, Mivare Motors, Mivare Systems i Mivare Labs, kontaktem z Mivare, przygotowaniem oferty, nawiązaniem i realizacją relacji B2B lub B2C oraz wykonywaniem obowiązków prawnych związanych z tymi procesami. Polityka ma charakter ogólny. Jeżeli dla konkretnej usługi, procesu, umowy lub formularza przekazana zostanie odrębna klauzula informacyjna, należy ją czytać łącznie z niniejszą Polityką; w zakresie bardziej szczegółowego opisu danego procesu pierwszeństwo ma właściwa klauzula szczegółowa.

2. Administrator i dane kontaktowe

Element Dane Administrator Do uzupełnienia: PELNA_NAZWA_SPOLKI Forma prawna Do uzupełnienia: FORMA_PRAWNA Siedziba i adres Do uzupełnienia: SIEDZIBA_I_ADRES Rejestr / KRS Do uzupełnienia: SAD_REJESTROWY_I_KRS NIP Do uzupełnienia: NIP REGON Do uzupełnienia: REGON E-mail ogólny Do uzupełnienia: EMAIL_GLOWNY Kontakt privacy Do uzupełnienia: EMAIL_PRIVACY IOD Do uzupełnienia: CZY_WYZNACZONO_IOD; JESLI_TAK_DANE_KONTAKTOWE

3. Źródła i kategorie danych

Dane mogą pochodzić bezpośrednio od osoby, której dotyczą, od klienta lub kontrahenta, który wskazał osobę kontaktową, z publicznie dostępnych rejestrów i źródeł zawodowych, a także z systemów technicznych obsługujących serwis. Nie pozyskujemy danych z niejawnych źródeł ani nie tworzymy profili osób z baz zakupionych od podmiotów trzecich, chyba że w przyszłości zostanie to odrębnie zweryfikowane i opisane.

przeglądarki/urządzenia, status odpowiedzi, informacje diagnostyczne i bezpieczeństwa;

zgody;

przesyłać danych szczególnych kategorii, jeżeli nie są konieczne.

• dane identyfikacyjne: imię, nazwisko, firma, stanowisko lub rola;
• dane kontaktowe: e-mail, telefon, adres korespondencyjny, jeśli jest potrzebny;
• dane związane z zapytaniem, ofertą, umową, zleceniem, reklamacją lub rozliczeniem;
• dane osób reprezentujących klientów, kontrahentów i partnerów;
• dane techniczne: adres IP, identyfikatory techniczne, data i czas żądania, URL, typ
• dane analityczne zbierane przez Google Analytics wyłącznie po uzyskaniu wymaganej
• inne dane dobrowolnie przekazane w wiadomości - z zastrzeżeniem, że nie należy

4. Cele, podstawy prawne i interesy Administratora

Proces / cel Podstawa Zakres / prawnie uzasadniony interes Wyświetlanie strony, obsługa ruchu i logów serwera art. 6 ust. 1 lit. f RODO zapewnienie działania, diagnostyka, cyberbezpieczeństwo, zapobieganie nadużyciom, ustalanie przyczyn błędów Obsługa kontaktu i zapytań niezwiązanych jeszcze z umową art. 6 ust. 1 lit. f RODO prowadzenie komunikacji i udzielanie odpowiedzi; jeżeli kontakt inicjuje osoba fizyczna w celu zawarcia umowy - także lit. b Działania przed zawarciem umowy na żądanie osoby art. 6 ust. 1 lit. b RODO przygotowanie oferty, doprecyzowanie zakresu, wycena, ustalenia przedkontraktowe Zawarcie i wykonanie umowy z osobą fizyczną art. 6 ust. 1 lit. b RODO realizacja świadczeń, komunikacja, rozliczenia i obsługa umowy Proces / cel Podstawa Zakres / prawnie uzasadniony interes Kontakty służbowe osób reprezentujących podmiot art. 6 ust. 1 lit. f RODO prowadzenie relacji z klientem/kontrahentem i komunikacja z jego personelem lub przedstawicielami Obowiązki prawne art. 6 ust. 1 lit. c RODO obowiązki podatkowe, rachunkowe, konsumenckie i inne obowiązki ustawowe mające zastosowanie Reklamacje i obsługa sporów art. 6 ust. 1 lit. b, c lub f RODO zależnie od relacji rozpatrywanie zgłoszeń, wykazanie prawidłowego wykonania, ustalenie, dochodzenie lub obrona roszczeń Analityka WWW - Google Analytics art. 6 ust. 1 lit. a RODO oraz zgoda wymagana przez art. 399-400 PKE pomiar korzystania z serwisu, jakości treści i ruchu; Google Analytics nie uruchamia się przed zgodą Dokumentowanie zgód i ich wycofania art. 6 ust. 1 lit. c RODO; dodatkowo lit. f w zakresie ustalenia, dochodzenia lub obrony roszczeń wykazanie zgodności i rozliczalności oraz obsługa wyborów użytkownika; po ustaniu celu dowodowego dane nie są wykorzystywane do profilowania

5. Logi serwera i bezpieczeństwo

Niezależnie od zgody na Google Analytics serwer i infrastruktura mogą automatycznie tworzyć logi niezbędne do transmisji danych, bezpieczeństwa, diagnostyki i ochrony przed nadużyciami. Logi mogą obejmować w szczególności adres IP, czas żądania, żądany zasób, kod odpowiedzi, informacje o przeglądarce i urządzeniu oraz dane techniczne wymagane do analizy incydentów. Logów nie wykorzystujemy do ukrytego profilowania marketingowego. Okres retencji logów wynosi Do uzupełnienia: RETENCJA_LOGOW_SERWERA albo dłużej wyłącznie, jeżeli konkretny zapis jest potrzebny do wyjaśnienia incydentu, ochrony roszczeń lub wykonania obowiązku prawnego.

6. Formularze, e-mail i zapytania

Podanie danych w formularzu jest dobrowolne, lecz pola oznaczone jako wymagane są konieczne do przesłania lub obsługi zapytania. Prosimy o nieprzekazywanie danych szczególnych kategorii oraz nadmiarowych danych osób trzecich. Jeżeli wiadomość obejmuje dane innej osoby, nadawca powinien mieć podstawę do ich przekazania.

7. Dane uzyskane pośrednio - art. 14 RODO

Jeżeli dane służbowe osoby kontaktowej otrzymujemy od jej pracodawcy, klienta, kontrahenta, współpracownika albo z publicznie dostępnego rejestru lub źródła zawodowego, przetwarzamy co do zasady imię, nazwisko, stanowisko/rolę, służbowy e- mail, służbowy telefon oraz informacje konieczne do prowadzenia relacji. Źródłem jest odpowiednio podmiot przekazujący dane lub publiczne źródło, z którego dane pozyskano. Celem jest komunikacja i realizacja relacji biznesowej, a podstawą - art. 6 ust. 1 lit. f RODO, tj. uzasadniony interes polegający na organizacji i prowadzeniu współpracy. Informację wymaganą przez art. 14 RODO przekazujemy w rozsądnym terminie po pozyskaniu danych, nie później niż w ciągu miesiąca, z uwzględnieniem konkretnych okoliczności. Jeżeli dane mają służyć komunikacji z osobą - informację przekazujemy najpóźniej przy pierwszej komunikacji; jeżeli planowane jest ujawnienie danych innemu odbiorcy - najpóźniej przy pierwszym takim ujawnieniu. Stosujemy ustawowe wyjątki wyłącznie wtedy, gdy rzeczywiście spełnione są ich przesłanki.

8. Google Analytics

Google Analytics może być używany wyłącznie po uprzedniej zgodzie na kategorię analityczną. Przyjęty do wdrożenia standard Mivare to Basic Consent Mode: tag Google Analytics ma pozostawać zablokowany przed zgodą, a po odmowie nie może być uruchamiany. Publikacja wersji APPROVED wymaga technicznego potwierdzenia, że przed zgodą i po odmowie tag Analytics nie wysyła danych do Google. Google Analytics może korzystać z pierwszostronnych plików cookie, w szczególności _ga i _ga_<container-id>, których domyślny okres ważności według dokumentacji Google wynosi 2 lata, o ile konfiguracja nie zostanie zmieniona. Okres przechowywania danych użytkowników/zdarzeń w GA4 jest odrębnym ustawieniem i wynosi Do uzupełnienia: RETENCJA_DANYCH_GA4_2_LUB_14_MIESIECY. Measurement ID: Do uzupełnienia: GA4_MEASUREMENT_ID. W Mivare nie należy aktywować Google Signals, funkcji reklamowych, remarketingu, łączenia z Google Ads ani podobnych funkcji bez osobnej decyzji, analizy i aktualizacji dokumentacji.

9. Google Search Console

Google Search Console jest narzędziem administracyjnym wykorzystywanym przez Administratora do monitorowania indeksowania, widoczności i danych dotyczących ruchu z wyszukiwarki Google. Samo korzystanie z Search Console nie stanowi osadzenia trackera Search Console w serwisie użytkownika i nie uzasadnia wpisywania do Polityki Cookies fikcyjnych plików cookie tej usługi.

10. Odbiorcy danych i podmioty przetwarzające

Dane mogą być ujawniane wyłącznie w zakresie niezbędnym: dostawcom hostingu i infrastruktury, usług IT i bezpieczeństwa, poczty i komunikacji, narzędzi analitycznych, usług prawnych i audytowych, podmiotom świadczącym usługi księgowe lub rozliczeniowe, bankom lub operatorom płatności - jeżeli uczestniczą w konkretnej transakcji, podwykonawcom wymagającym danych do wykonania zlecenia oraz organom publicznym uprawnionym na podstawie prawa. Publiczna polityka nie publikuje nazw systemu księgowego, CRM ani systemu fakturowania. Szczegółowy rejestr rzeczywistych odbiorców, procesorów i podprocesorów jest utrzymywany wewnętrznie i aktualizowany po zmianach.

11. Przekazywanie danych poza EOG

Jeżeli dany dostawca lub jego podwykonawca przetwarza dane poza Europejskim Obszarem Gospodarczym, transfer odbywa się wyłącznie na podstawie mechanizmu dopuszczonego przez rozdział V RODO, odpowiedniego do konkretnego odbiorcy i miejsca przetwarzania, np. decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych wraz z dodatkowymi środkami, jeżeli są wymagane. Dla Google Analytics przed publikacją finalnej wersji należy zweryfikować faktyczną konfigurację, podmioty umowne i mechanizm transferu: Do uzupełnienia: MECHANIZM_TRANSFERU_GOOGLE_PO_WERYFIKACJI. Informacje o możliwości uzyskania kopii zabezpieczeń lub miejscu ich udostępnienia należy uzupełnić, jeżeli są wymagane przez zastosowany mechanizm.

12. Okresy przechowywania

Kategoria Okres / kryterium Logi serwera Do uzupełnienia: RETENCJA_LOGOW_SERWERA; dłużej tylko dla konkretnego incydentu/roszczenia. Zapytania bez umowy do zakończenia obsługi + Do uzupełnienia: RETENCJA_ZAPYTAN_BEZ_UMOWY, chyba że wcześniej wniesiono skuteczny sprzeciw albo istnieje dalsza podstawa. Proces ofertowy do zakończenia procesu oraz przez okres uzasadniony możliwością powrotu do oferty: Do uzupełnienia: RETENCJA_OFERT. Umowy przez czas trwania relacji, następnie przez okres obowiązkowej archiwizacji oraz do upływu właściwych terminów przedawnienia roszczeń. Dokumentacja podatkowa/rachunkowa przez okres wymagany właściwymi przepisami. Roszczenia/spory do prawomocnego zakończenia sprawy i upływu okresów niezbędnych do wykonania rozstrzygnięcia lub obrony przed dalszymi roszczeniami. Google Analytics zgodnie z ustawieniem: Do uzupełnienia: RETENCJA_DANYCH_GA4; cookies zgodnie z Polityką Cookies. Dowód zgody przez okres niezbędny do wykazania zgodności i do upływu potencjalnych roszczeń dotyczących zgody: Do uzupełnienia: RETENCJA_DOWODU_ZGODY.

13. Prawa osób

sprzeciwu wobec marketingu bezpośredniego - art. 21;

przetwarzania sprzed wycofania;

Zakres danego prawa zależy od podstawy i okoliczności przetwarzania. Żądanie można wysłać na Do uzupełnienia: EMAIL_PRIVACY. Administrator może zweryfikować tożsamość w zakresie niezbędnym do ochrony danych przed nieuprawnionym ujawnieniem. Na żądania odpowiadamy bez zbędnej zwłoki, co do zasady w terminie miesiąca od ich otrzymania; termin może zostać przedłużony wyłącznie w przypadkach i na zasadach przewidzianych w art. 12 ust. 3 RODO, z przekazaniem wymaganej informacji o przedłużeniu.

• prawo dostępu do danych i uzyskania kopii - art. 15 RODO;
• prawo sprostowania - art. 16;
• prawo usunięcia w przypadkach przewidzianych w art. 17;
• prawo ograniczenia przetwarzania - art. 18;
• prawo przenoszenia danych w zakresie art. 20;
• prawo sprzeciwu wobec przetwarzania na podstawie art. 6 ust. 1 lit. e lub f, w tym
• prawo wycofania zgody w dowolnym momencie, bez wpływu na zgodność
• prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

14. Obowiązek lub dobrowolność podania danych

Podanie danych w zwykłym kontakcie jest co do zasady dobrowolne, ale brak danych niezbędnych do odpowiedzi może uniemożliwić obsługę zapytania. Dane wymagane do zawarcia lub wykonania umowy są konieczne, jeżeli bez nich nie można zawrzeć lub wykonać umowy. Dane wymagane przepisami są obowiązkowe w zakresie wynikającym z prawa. Zgoda na analitykę jest dobrowolna i jej odmowa nie pozbawia dostępu do podstawowej treści serwisu.

15. Zautomatyzowane decyzje i profilowanie

Mivare nie podejmuje wobec użytkowników decyzji wywołujących skutki prawne lub w podobny sposób istotnie na nich wpływających wyłącznie na podstawie zautomatyzowanego przetwarzania, w rozumieniu art. 22 RODO. Jeżeli model ten ulegnie zmianie, przed jego uruchomieniem dokumentacja zostanie uzupełniona o wymagane informacje i podstawy.

16. Bezpieczeństwo i minimalizacja

Stosujemy środki techniczne i organizacyjne dobierane do ryzyka, w tym kontrolę dostępu, zasadę minimalnych uprawnień, aktualizacje, kopie zapasowe tam gdzie są wymagane, szyfrowanie transmisji, monitoring zdarzeń oraz procedury obsługi incydentów. Nie publikujemy szczegółowych parametrów zabezpieczeń, jeżeli ich ujawnienie mogłoby obniżyć poziom ochrony.

17. Osoby małoletnie

Ogólne serwisy Mivare nie są kierowane do dzieci jako samodzielnych odbiorców usług. Jeżeli konkretna marka będzie przetwarzać dane dzieci w związku z usługą realizowaną dla rodzica/opiekuna, powstanie odrębny proces i odpowiednia klauzula informacyjna przed rozpoczęciem takiego przetwarzania.

18. Zewnętrzne serwisy i integracje

Link do zewnętrznej witryny nie oznacza, że Mivare jest administratorem danych przetwarzanych przez jej operatora. Przed wdrożeniem osadzeń takich jak YouTube, mapy, reCAPTCHA, czat, zewnętrzne formularze lub piksele marketingowe należy przeprowadzić ocenę wpływu na prywatność i cookies oraz zaktualizować dokumentację przed publikacją integracji.

19. Zmiany Polityki

Polityka jest aktualizowana po zmianie prawa, procesu, narzędzia, celu, odbiorcy lub sposobu przetwarzania. Istotne zmiany nie działają wstecz w sposób naruszający prawa osób. Aktualna wersja zawiera numer wersji i datę obowiązywania; poprzednie wersje są archiwizowane. Wzmocnienie red-team — warunki zatwierdzenia Zakres i tożsamość Polityka dotyczy wszystkich kanałów Mivare Group prowadzonych pod markami Interiors, Motors, Labs i Systems. Jeden administrator nie oznacza dowolnego łączenia danych: każde wykorzystanie wymaga zgodnego celu, podstawy prawnej i obowiązku informacyjnego. Rejestr czynności Każda deklaracja w Polityce prywatności musi mieć odpowiadający wpis w ROPA, właściciela procesu, retencję, odbiorców, system oraz ocenę transferów poza EOG. Brak wpisu oznacza zakaz publikacji danej deklaracji. Zmiany Zmiana Polityki nie działa wstecz wobec danych już zebranych, jeżeli wymagałoby to nowej podstawy lub nowej informacji. Wersja, data obowiązywania i archiwum zmian są publikowane po uzupełnieniu danych rejestrowych. Niniejsze warunki stanowią integralne wymagania zatwierdzenia tego wzoru i mają pierwszeństwo nad ogólną treścią dokumentu w razie sprzeczności. Baseline wykonawczy Mivare Group Stroną prawną jest wyłącznie Mivare Group Do uzupełnienia: PEŁNA NAZWA, FORMA PRAWNA I DANE REJESTROWE, działająca pod wskazaną marką. Marka nie jest odrębną stroną umowy. Zakres, cena, termin, kryteria odbioru, wyłączenia, odpowiedzialności i dane kontaktowe obowiązują tylko wtedy, gdy są wyraźnie uzupełnione albo włączone przez podpisany dokument wskazany numerem i datą. Zmiana wymaga trwałego, możliwego do przypisania dowodu akceptacji osoby umocowanej. Ustalenia operacyjne nie zmieniają ceny, zakresu, praw IP, odpowiedzialności ani ochrony danych bez takiej akceptacji. Żadne postanowienie nie ogranicza praw konsumenta, przedsiębiorcy na prawach konsumenta, osoby, której dane dotyczą, ani odpowiedzialności, której nie można wyłączyć na mocy bezwzględnie obowiązującego prawa. W razie sprzeczności pierwszeństwo mają: bezwzględnie obowiązujące prawo, DPA w sprawach danych, podpisany dokument szczególny w wyraźnie wskazanym zakresie, a następnie niniejszy wzór. Kontrole szczegółowe red-team — MGR-LEG-001

dowodu oznacza brak potwierdzenia wykonania.

wygaśnięcia, akceptacji ryzyka oraz działania kompensującego.

wyniku audytu.

• Właściciel dokumentu utrzymuje rejestr decyzji, wyjątków i dowodów wykonania; brak
• Wymaganie stosuje się po ocenie proporcjonalności i ryzyka; wyjątek wymaga daty
• Przegląd jest obowiązkowy po istotnej zmianie usługi, incydencie, zmianie prawa lub