§01·Administrator danych
Administratorem Twoich danych osobowych jest:
Concorda nie wyznaczyła Inspektora Ochrony Danych. Wyznaczenie IOD nie jest wymagane na podstawie art. 37 RODO. Wszystkie pytania dotyczące przetwarzania danych osobowych kierujesz na adres rodo@concorda.pl.
§02·Role Concorda w przetwarzaniu danych
Concorda występuje w dwóch rolach prawnych:
- Administrator (controller) danych osób odwiedzających serwis concorda.pl, osób kontaktujących się przez formularz, Subskrybentów Waitlisty, subskrybentów newslettera, osób reprezentujących klientów platformy SaaS oraz danych technicznych użytkowników panelu (uwierzytelnianie, sesja, logi bezpieczeństwa).
- Podmiot przetwarzający (processor) danych pracowniczych, zawodowych i merytorycznych pracowników, managerów i kontraktorów klientów Concorda, wprowadzanych do platformy SaaS. Administratorem tych danych jest klient Concorda (firma korzystająca z usługi). Zasady tego powierzenia reguluje osobna Umowa Powierzenia Przetwarzania Danych Osobowych zawierana z każdym klientem na podstawie art. 28 RODO.
Niniejsza polityka prywatności pokrywa rolę 1. Rola 2 jest regulowana umownie pomiędzy Concorda a klientem korporacyjnym.
§03·Cele i podstawy przetwarzania danych
Concorda przetwarza dane osobowe w następujących celach:
3.1 · Odpowiedź na zapytanie z formularza kontaktowego
- Cel
- Udzielenie odpowiedzi na pytanie wysłane przez formularz kontaktowy lub email.
- Kategorie danych
- Imię, adres email, treść zapytania, opcjonalnie nazwa firmy i numer telefonu.
- Podstawa prawna
- Art. 6 ust. 1 lit. b RODO (działania na żądanie osoby przed zawarciem umowy) oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w obsłudze korespondencji).
- Okres przechowywania
- 6 miesięcy od zakończenia korespondencji, chyba że dłuższe przechowywanie wynika z prawnie uzasadnionego interesu (obrona przed roszczeniami).
- Skutki niepodania
- Brak możliwości udzielenia odpowiedzi.
3.2 · Wysyłka newslettera
- Cel
- Wysyłka newslettera Concorda z informacjami o produkcie, treściach merytorycznych i zmianach prawnych.
- Kategorie danych
- Adres email, opcjonalnie imię, dane o interakcjach z wiadomościami (otwarcie, kliknięcie).
- Podstawa prawna
- Art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 398 ustawy Prawo komunikacji elektronicznej.
- Okres przechowywania
- Do czasu wycofania zgody, a po wycofaniu jeszcze 3 lata w celu obrony przed roszczeniami w zakresie dokumentowania zgody.
- Skutki niepodania
- Brak możliwości wysyłki newslettera.
3.3 · Świadczenie usługi SaaS klientowi
- Cel
- Zawarcie i wykonanie umowy o świadczenie usługi platformy Concorda na rzecz klienta korporacyjnego, w tym dostarczenie subdomeny tenantowej {tenant}.concorda.pl.
- Kategorie danych
- Imię, nazwisko, adres email służbowy, stanowisko, telefon służbowy, dane fakturowe firmy.
- Podstawa prawna
- Art. 6 ust. 1 lit. b RODO (wykonanie umowy lub działania na żądanie osoby przed jej zawarciem).
- Okres przechowywania
- Przez okres obowiązywania umowy oraz okres przedawnienia roszczeń z umowy (3 lata dla B2B); dane fakturowe 5 lat od końca roku rozliczeniowego.
- Skutki niepodania
- Brak możliwości zawarcia umowy.
3.4 · Wystawianie faktur i prowadzenie księgowości
- Cel
- Realizacja obowiązków podatkowych i rachunkowych.
- Kategorie danych
- Dane firmowe klienta, dane osoby reprezentującej, kwoty i opisy transakcji.
- Podstawa prawna
- Art. 6 ust. 1 lit. c RODO (obowiązek prawny wynikający z ustawy o VAT, ustawy o rachunkowości, przepisów o KSeF).
- Okres przechowywania
- 5 lat od końca roku rozliczeniowego, w którym powstał obowiązek podatkowy.
3.5 · Analityka strony
- Cel
- Analiza ruchu na stronie i poprawa działania serwisu.
- Kategorie danych
- Adres IP w postaci zanonimizowanej, identyfikator urządzenia, dane przeglądarki, dane o zachowaniu na stronie (kliknięcia, czas spędzony, ścieżki).
- Podstawa prawna
- Art. 6 ust. 1 lit. a RODO (zgoda wyrażona przez baner cookies dla cookies analitycznych).
- Okres przechowywania
- 12 miesięcy.
- Skutki niepodania
- Brak danych analitycznych o Twojej wizycie; strona działa bez zmian.
3.6 · Marketing własnych usług do istniejących klientów
- Cel
- Informowanie istniejących klientów o nowych funkcjach, treściach i ofertach Concorda.
- Kategorie danych
- Adres email służbowy, imię, nazwisko, historia interakcji z produktem.
- Podstawa prawna
- Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w marketingu bezpośrednim do własnych klientów). Klient ma prawo wniesienia sprzeciwu w każdej chwili.
- Okres przechowywania
- Do wniesienia sprzeciwu lub przez okres 3 lat od ostatniej interakcji.
3.7 · Obrona przed roszczeniami
- Cel
- Ustalenie, dochodzenie lub obrona przed roszczeniami.
- Kategorie danych
- Dane korespondencji, dane umowne, logi systemowe, dowody zawarcia transakcji.
- Podstawa prawna
- Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes administratora).
- Okres przechowywania
- Okres przedawnienia roszczeń (zasadniczo 3 lata dla relacji B2B, 6 lat dla niektórych roszczeń konsumenckich).
3.8 · Lead magnet (materiały do pobrania)
- Cel
- Przekazanie pobranego materiału (e-book, raport, checklist) oraz nawiązanie kontaktu sprzedażowego.
- Kategorie danych
- Adres email, imię, nazwa firmy, stanowisko.
- Podstawa prawna
- Art. 6 ust. 1 lit. a RODO (zgoda na otrzymanie materiału i kontakt sprzedażowy).
- Okres przechowywania
- Do wycofania zgody, najpóźniej 24 miesiące od pobrania.
3.9 · Zapewnienie bezpieczeństwa serwisu
- Cel
- Wykrywanie nadużyć, ochrona przed atakami, ochrona przed nieuprawnionym dostępem.
- Kategorie danych
- Adres IP, logi dostępu, identyfikator sesji, dane przeglądarki.
- Podstawa prawna
- Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w zapewnieniu bezpieczeństwa).
- Okres przechowywania
- 12 miesięcy dla logów dostępu, dłużej dla logów incydentów bezpieczeństwa.
3.10 · Obsługa Waitlisty (Listy Oczekujących) na uruchomienie Platformy
- Cel
- Prowadzenie Waitlisty i powiadomienie Subskrybenta o uruchomieniu Platformy, postępach prac i opcjonalnie zaproszenie do programu Early Access lub Closed MVP. Zakres komunikacji reguluje Regulamin Waitlisty (concorda.pl/regulamin-waitlisty).
- Kategorie danych
- Adres email (obowiązkowo), opcjonalnie imię, nazwa firmy, stanowisko.
- Podstawa prawna
- Art. 6 ust. 1 lit. b RODO (działania na żądanie przed zawarciem umowy), alternatywnie art. 6 ust. 1 lit. a RODO (zgoda). Komunikacja Waitlistowa nie stanowi marketingu bezpośredniego w rozumieniu art. 393 ust. 1 PKE.
- Okres przechowywania
- Do uruchomienia Platformy plus 30 dni. Po tym terminie dane trwale usunięte, chyba że Subskrybent wyraził dodatkową zgodę na Newsletter (§ 3.2) lub utworzył konto w Platformie (§ 3.3).
- Odbiorcy
- Resend, Inc. (region eu-west-1, Irlandia) jako dostawca infrastruktury wysyłki email, wskazany w § 4.1 pkt 4.
- Skutki niepodania
- Brak możliwości zapisu na Waitlistę.
3.11 · Dowodzenie zgodności zapisów na Waitlistę (logi consent)
- Cel
- Wykazanie zgodności obsługi Waitlisty z RODO, PKE i UŚUDE w razie skargi, kontroli organu nadzoru lub roszczenia. Rejestr obejmuje znacznik czasu, adres IP, user agent, źródło zapisu oraz wersję Regulaminu i Polityki Prywatności obowiązujących w chwili zapisu.
- Kategorie danych
- Znacznik czasu, adres IP (w formie pseudonimizowanego skrótu kryptograficznego), user agent, parametry źródła, identyfikatory wersji dokumentów prawnych.
- Podstawa prawna
- Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w wykazaniu rozliczalności na podstawie art. 5 ust. 2 oraz art. 7 ust. 1 RODO, a także obowiązków z art. 398 PKE).
- Okres przechowywania
- 6 lat od daty zapisu, zgodnie z terminem przedawnienia administracyjnych kar pieniężnych wynikających z PKE.
- Skutki niepodania
- Nie dotyczy. Dane są tworzone automatycznie w chwili wypełnienia formularza.
3.12 · Rozróżnienie Waitlista a Newsletter
- Status
- Waitlista (§ 3.10) i Newsletter (§ 3.2) to dwie odrębne usługi z osobnymi podstawami prawnymi, osobnymi zgodami oraz osobnymi okresami przechowywania danych.
- Waitlista
- Powiadomienie o uruchomieniu Platformy w działaniu na żądanie Subskrybenta. Zapis na Waitlistę nie jest zgodą na Newsletter. Dane usuwane zgodnie z § 3.10.
- Newsletter
- Wymaga osobnej, dobrowolnej zgody potwierdzonej drugą wiadomością aktywacyjną (double opt-in). Wycofanie zgody na Newsletter nie skutkuje rezygnacją z Waitlisty i odwrotnie.
- Wykluczenie
- Concorda nie wysyła treści Newslettera do osób zapisanych wyłącznie na Waitlistę bez ich odrębnej zgody. Wykluczone jest wnioskowanie zgody na Newsletter z zapisu na Waitlistę.
§04·Odbiorcy danych osobowych
Twoje dane mogą być przekazywane następującym kategoriom odbiorców.
4.1. Podmioty przetwarzające na zlecenie Concorda (podprocesorzy)
- nazwa.pl S.A. (Polska), ul. Mieczysława Medweckiego 17, 31-870 Kraków. Hosting strony marketingowej concorda.pl. Dane w spoczynku w Polsce.
- Microsoft Corporation, region Microsoft Azure Poland Central (Warszawa, Polska). Hosting aplikacji tenantowej Concorda na subdomenach {tenant}.concorda.pl. Dane w spoczynku w Polsce.
- Cloudflare, Inc. (USA), 101 Townsend St, San Francisco, CA 94107. CDN, WAF oraz ochrona DDoS dla całej infrastruktury Concorda.
- Resend, Inc. (region eu-west-1, Irlandia). Dostawca infrastruktury do wysyłki wiadomości email (transakcyjnych i marketingowych). Dane w EOG.
- PostHog EU Cloud, PostHog Inc., region UE. Analityka produktowa i analityka strony. Dane w EOG.
- PayPro S.A., ul. Pastelowa 8, 60-198 Poznań (operator Przelewy24). Obsługa płatności abonamentowych w SaaS po uruchomieniu funkcji rozliczeniowej.
- Marka Konsultacje Podatkowe i Usługi Księgowe Danuta Kaczmarek, NIP 852-060-62-79, REGON 810096415, Szczecin. Obsługa księgowo-rachunkowa Concorda (księgi, VAT, PIT, ZUS).
Aktualna i pełna lista podprocesorów wraz z lokalizacjami przetwarzania, podstawami transferu i datą ostatniej aktualizacji dostępna jest pod adresem concorda.pl/legal/subprocessors. Istotne zmiany komunikowane są klientom SaaS z wyprzedzeniem zgodnie z warunkami Umowy Powierzenia.
4.2. Podmioty uprawnione na podstawie przepisów prawa
- Organy administracji publicznej: urzędy skarbowe, ZUS, PIP, sądy, prokuratura, policja — na podstawie konkretnego żądania.
- Prezes UODO w przypadku skargi lub kontroli.
- Krajowa Administracja Skarbowa, w zakresie KSeF.
4.3. Inne podmioty
Inne podmioty wyłącznie na podstawie Twojej zgody albo odrębnej podstawy prawnej w konkretnym przypadku.
§05·Transfer danych poza EOG
Dane w spoczynku (bazy danych, pliki, kopie zapasowe) są przechowywane wyłącznie w Polsce, w infrastrukturze nazwa.pl oraz Microsoft Azure region Poland Central.
Cały ruch sieciowy do i z serwisu concorda.pl oraz subdomen tenantowych {tenant}.concorda.pl jest dostarczany przez sieć CDN Cloudflare, Inc. Cloudflare obsługuje globalną sieć węzłów brzegowych, w tym węzły w UE i poza nią. Zakończenie TLS i ochrona DDoS odbywa się na najbliższym węźle Cloudflare dla danego użytkownika. Oznacza to techniczny transfer pakietów sieciowych przez infrastrukturę Cloudflare, której spółka macierzysta ma siedzibę w USA.
Podstawy transferu danych do USA w przypadku Cloudflare:
- Certyfikacja Cloudflare, Inc. w ramach EU-US Data Privacy Framework na podstawie decyzji wykonawczej Komisji Europejskiej 2023/1795 z dnia 10 lipca 2023 r.
- Standardowe Klauzule Umowne zatwierdzone decyzją wykonawczą Komisji 2021/914 z dnia 4 czerwca 2021 r. jako dodatkowy mechanizm prawny.
Pozostali podprocesorzy mają lokalizację w EOG:
- Resend (Irlandia, region eu-west-1): brak transferu poza EOG.
- PostHog EU Cloud: brak transferu poza EOG.
- Przelewy24 (Polska): brak transferu poza EOG.
- nazwa.pl (Polska): brak transferu poza EOG.
- Microsoft Azure Poland Central: dane w spoczynku w Polsce. Microsoft jest dodatkowo certyfikowany w ramach EU-US DPF, lecz Concorda korzysta wyłącznie z regionu Poland Central.
Concorda nie korzysta z Google Analytics, Meta Pixel, LinkedIn Insight Tag, Mixpanel, Hotjar ani Stripe.
Pełna lista podprocesorów: concorda.pl/legal/subprocessors.
§06·Prawa osób, których dane dotyczą
Masz następujące prawa wobec Concorda:
- Prawo dostępu (art. 15 RODO) — kopia danych przetwarzanych przez Concorda oraz informacje o celach, kategoriach, odbiorcach i okresach przechowywania.
- Prawo sprostowania (art. 16 RODO) — poprawienie danych nieprawidłowych lub uzupełnienie niekompletnych.
- Prawo usunięcia / bycia zapomnianym (art. 17 RODO) — usunięcie danych w przypadkach przewidzianych w RODO, w tym gdy dane nie są już potrzebne lub gdy wycofałeś zgodę.
- Prawo ograniczenia przetwarzania (art. 18 RODO) — ograniczenie w sytuacjach przewidzianych w RODO, np. podczas weryfikacji prawidłowości danych.
- Prawo przenoszenia danych (art. 20 RODO) — odbiór danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego lub żądanie przekazania ich innemu administratorowi.
- Prawo sprzeciwu (art. 21 RODO) — sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym wobec marketingu bezpośredniego. Sprzeciw wobec marketingu jest bezwzględny.
- Prawo wycofania zgody (art. 7 ust. 3 RODO) — w dowolnym momencie; nie wpływa na zgodność z prawem przetwarzania przed wycofaniem.
- Prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu (art. 22 RODO) — patrz § 7.
- Prawo skargi (art. 77 RODO) — do Prezesa UODO, ul. Stawki 2, 00-193 Warszawa, kancelaria@uodo.gov.pl, +48 22 531 03 00.
Wniosek o realizację prawa składasz pisemnie lub elektronicznie na adres rodo@concorda.pl. Concorda odpowiada bez zbędnej zwłoki, najpóźniej w terminie miesiąca od otrzymania żądania. W sprawach złożonych termin może być przedłużony o kolejne 2 miesiące z uprzednim poinformowaniem Cię o przyczynach przedłużenia.
Realizacja praw jest bezpłatna. W przypadku żądań w sposób oczywisty nieuzasadnionych lub nadmiernych, w szczególności z uwagi na powtarzalny charakter, Concorda może pobrać rozsądną opłatę lub odmówić podjęcia działań zgodnie z art. 12 ust. 5 RODO.
§07·Zautomatyzowane podejmowanie decyzji
Concorda nie stosuje zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 RODO, w tym profilowania wywołującego skutki prawne lub w podobny sposób istotnie wpływającego na osobę, której dane dotyczą.
Wszystkie decyzje dotyczące Twojej osoby (zawarcie umowy, treść oferty, dostęp do panelu) są podejmowane przez człowieka.
W przypadku wdrożenia funkcji opartych na sztucznej inteligencji w platformie Concorda, niniejsza polityka zostanie zaktualizowana zgodnie z wymogami art. 22 RODO oraz Rozporządzenia (UE) 2024/1689 (AI Act), a klienci i użytkownicy zostaną poinformowani o zakresie i logice działania takich systemów przed ich uruchomieniem.
§08·Pliki cookies i podobne technologie
Concorda używa plików cookies oraz podobnych technologii (local storage, pixele, identyfikatory urządzeń). Szczegółowy opis kategorii cookies, ich celów, dostawców oraz okresów przechowywania znajduje się w odrębnej Polityce Cookies dostępnej pod adresem concorda.pl/polityka-cookies.
Zgodę na cookies inne niż techniczne (niezbędne do działania strony) wyrażasz przez baner zgody widoczny przy pierwszej wizycie w serwisie, zgodnie z art. 398 ustawy Prawo komunikacji elektronicznej oraz art. 6 ust. 1 lit. a RODO.
Swoimi preferencjami zarządzasz przez panel ustawień cookies dostępny pod linkiem „Ustawienia cookies” w stopce serwisu. Zgodę możesz wycofać w każdej chwili.
§09·Bezpieczeństwo danych
Concorda stosuje środki techniczne i organizacyjne zapewniające ochronę danych odpowiednią do ryzyka, zgodnie z art. 32 RODO. W szczególności:
- Szyfrowanie transmisji TLS 1.3.
- Szyfrowanie danych w spoczynku AES-256.
- Kontrola dostępu oparta na rolach (RBAC) z zasadą najmniejszych uprawnień.
- Uwierzytelnianie wieloskładnikowe dla kont administracyjnych.
- Regularne kopie zapasowe z testowanym przywracaniem.
- Monitoring bezpieczeństwa i centralne logowanie zdarzeń.
- Okresowe audyty bezpieczeństwa i testy penetracyjne.
- Szkolenia z bezpieczeństwa dla osób mających dostęp do danych.
- Procedura reagowania na incydenty bezpieczeństwa.
- Segregacja danych klientów w architekturze tenantowej (subdomena {tenant}.concorda.pl, izolacja schematu danych).
W przypadku naruszenia ochrony danych mogącego powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, Concorda zawiadamia te osoby bez zbędnej zwłoki zgodnie z art. 34 RODO. Naruszenia są zgłaszane do Prezesa UODO w terminie 72 godzin od stwierdzenia naruszenia, zgodnie z art. 33 RODO.
Zgłoszenia incydentów: naruszenia@concorda.pl.
§10·Obowiązek podania danych
Podanie danych osobowych w zakresie wskazanym w § 3 jest dobrowolne, z zastrzeżeniem:
- Brak podania danych niezbędnych do zawarcia i wykonania umowy (§ 3.3, § 3.4) uniemożliwia zawarcie umowy o świadczenie usługi.
- Podanie danych do wystawienia faktury wynika z obowiązków prawnych (§ 3.4) i jest niezbędne do prawidłowego rozliczenia transakcji.
- Podanie danych w formularzu kontaktowym (§ 3.1), przy subskrypcji newslettera (§ 3.2) lub przy zapisie na Waitlistę (§ 3.10) jest dobrowolne, lecz brak ich podania uniemożliwia odpowiednio: udzielenie odpowiedzi, wysyłkę newslettera lub powiadomienie o uruchomieniu Platformy.
§11·Zmiany polityki prywatności
Concorda zastrzega prawo do zmiany polityki prywatności w przypadku zmian w przepisach prawa, zmian w funkcjonowaniu serwisu, zmian w katalogu podprocesorów lub innych okolicznościach uzasadniających aktualizację.
O istotnych zmianach informujemy z odpowiednim wyprzedzeniem:
- Komunikatem na stronie głównej serwisu widocznym przez co najmniej 14 dni przed wejściem zmian w życie.
- Wiadomością email do zarejestrowanych użytkowników i subskrybentów newslettera.
- Wskazaniem daty ostatniej aktualizacji w nagłówku polityki oraz wpisem w rejestrze zmian na końcu dokumentu.
Korzystanie z serwisu po wejściu w życie zmian oznacza zapoznanie się z nową wersją polityki. W przypadku braku akceptacji zmian masz prawo zaprzestać korzystania z serwisu oraz żądać usunięcia danych w zakresie dozwolonym przez prawo.
Wersje archiwalne polityki prywatności są dostępne na żądanie pod adresem rodo@concorda.pl.
§12·Kontakt
Wszelkie pytania dotyczące przetwarzania danych osobowych kierujesz na:
Masz prawo wniesienia skargi do organu nadzorczego:
§13·Podstawy prawne
Niniejsza polityka prywatności została przygotowana w oparciu o:
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO).
- Ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych.
- Ustawę z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną.
- Ustawę z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej.
- Decyzję wykonawczą Komisji (UE) 2023/1795 z dnia 10 lipca 2023 r. (EU-US Data Privacy Framework).
- Decyzję wykonawczą Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. (Standardowe Klauzule Umowne).
§14·Historia zmian
| Wersja | Data | Opis zmian |
|---|
| 1.0 | 2026-05-19 | Pierwsza wersja polityki prywatności |
| 1.1 | 2026-05-19 | Dodano Waitlistę jako odrębny cel przetwarzania (§ 3.10), rejestr zapisów Waitlisty na potrzeby rozliczalności RODO/PKE/UŚUDE (§ 3.11), rozróżnienie Waitlista a Newsletter (§ 3.12); zaktualizowano § 2 i § 10. |