Polityka prywatności

1. Administrator danych

Administratorem danych osobowych jest:

WAYSTAR Kamil Sławiński
ul. Bratysławska 24, 44-240 Żory
NIP: 6511727806
E-mail: kontakt@kamilslawinski.com
Telefon: +48 690 968 088

2. Jakie dane przetwarzam

2.1 Formularz kontaktowy

Imię i nazwisko, adres e-mail, opcjonalnie: nazwa firmy, strona www firmy, stanowisko, telefon, treść wiadomości oraz wybrana usługa.

2.2 Newsletter

Adres e-mail oraz, opcjonalnie, imię. Dodatkowo zbieram dane o zaangażowaniu (otwarcia, kliknięcia) służące poprawie jakości newslettera. Dostawcą platformy jest Beehiiv - szczegóły w sekcji „Odbiorcy danych".

2.3 Kontakt e-mail / telefoniczny

Dane, które dobrowolnie podasz w treści wiadomości lub rozmowy (np. imię, firma, numer kontaktowy).

2.4 Dane techniczne (logi serwera)

Adres IP, typ przeglądarki, język, strona odsyłająca, znacznik czasu, ścieżka URL, status odpowiedzi HTTP - automatycznie zbierane przez serwer w celach diagnostycznych i bezpieczeństwa. Logi przechowywane są do 12 miesięcy.

2.5 Dane analityczne i marketingowe (cookies)

Identyfikatory pseudonimowe, dane o przeglądanych stronach, źródłach wejść, czasie sesji, zdarzeniach (np. wysłanie formularza, zapis na newsletter). Zbierane wyłącznie po wyrażeniu zgody w bannerze cookies. Pełna lista narzędzi i kategorii - w sekcji „Pliki cookies".

2.6 Dane o sesji użytkownika (Microsoft Clarity)

Po wyrażeniu zgody analitycznej rejestrowany jest anonimizowany zapis Twoich interakcji ze stroną: ruchy myszy, kliknięcia, scroll, mapy ciepła. Pola formularzy oraz tekst wpisywany przez użytkownika są automatycznie maskowane przez Clarity - nie zapisuję wpisywanych haseł, danych kontaktowych ani innych tekstów wprowadzanych do formularzy.

2.7 Dane o firmie odwiedzającej (Albacross - kontekst B2B)

Dla ruchu z firm/organizacji (zidentyfikowanych po publicznym adresie IP) korzystam z usługi Albacross, która łączy adres IP z publicznymi rejestrami firm (nazwa firmy, branża, lokalizacja). Nie identyfikuję poszczególnych osób - dane mają charakter agregowany na poziomie organizacji. Użytkownicy z połączeń prywatnych (np. domowych, mobilnych) nie są w ogóle identyfikowani.

3. Cele i podstawy prawne

• Odpowiedź na zapytanie z formularza kontaktowego, e-maila lub telefonu - podstawa: art. 6 ust. 1 lit. b oraz lit. f RODO (działania zmierzające do zawarcia umowy oraz prawnie uzasadniony interes administratora).
• Realizacja umowy i prowadzenie współpracy - podstawa: art. 6 ust. 1 lit. b RODO.
• Newsletter (Beehiiv) - podstawa: art. 6 ust. 1 lit. a RODO (zgoda osoby, której dane dotyczą).
• Wystawianie faktur i obowiązki podatkowe - podstawa: art. 6 ust. 1 lit. c RODO (obowiązek prawny).
• Statystyki, działanie i bezpieczeństwo strony (logi serwera, podstawowe metryki) - podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).
• Analityka strony (Google Analytics 4, Microsoft Clarity) - podstawa: art. 6 ust. 1 lit. a RODO (zgoda przez banner cookies, kategoria „Analityka").
• Marketing i remarketing (Meta Pixel, Meta Conversions API) - podstawa: art. 6 ust. 1 lit. a RODO (zgoda przez banner cookies, kategoria „Marketing").
• Identyfikacja firm odwiedzających stronę w kontekście B2B (Albacross) - podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes administratora w prowadzeniu sprzedaży B2B), z możliwością sprzeciwu w każdym momencie.

4. Okres przechowywania

• Zapytania kontaktowe: do 24 miesięcy od ostatniego kontaktu, o ile nie doszło do nawiązania współpracy.
• Dane klientów: przez okres współpracy oraz 5 lat po jej zakończeniu (przepisy podatkowe).
• Newsletter: do momentu wycofania zgody (rezygnacja z subskrypcji w stopce każdego maila lub na żądanie).
• Logi serwera: do 12 miesięcy.
• Google Analytics 4: 14 miesięcy (ustawienie w panelu GA4).
• Microsoft Clarity: nagrania sesji do 90 dni, dane zagregowane (heatmapy) do 13 miesięcy.
• Meta Pixel / CAPI: zgodnie z polityką Meta - do 180 dni dla zdarzeń konwersji, dłużej w formie zagregowanej.
• Albacross: dane o odwiedzających firmach do 24 miesięcy.
• Cookies: zgodnie z czasem życia danego ciasteczka (np. Google Analytics _ga: 13 miesięcy, _ga_*: 13 miesięcy, Meta _fbp: 90 dni).

5. Odbiorcy danych (procesorzy)

Dane mogą być powierzane następującym podmiotom przetwarzającym, wspierającym działanie strony i komunikacji:

5.1 Hosting i infrastruktura

• RapidDC (RapidDC Sp. z o.o., Polska) - hosting VPS, na którym działa strona kamilslawinski.com. Dane: pliki strony, logi serwera, dane formularzy w trakcie przetwarzania. Kraj: Polska (EOG). Polityka RapidDC.
• Google Workspace (Google Ireland Limited, Irlandia) - obsługa firmowej skrzynki e-mail (kontakt@kamilslawinski.com). Dane: korespondencja e-mail. DPA Google Workspace.

5.2 Analityka strony

• Google Analytics 4 (Google Ireland Limited, Irlandia) - pomiar ruchu i zachowań użytkowników. Dane: pseudonimowe identyfikatory, zdarzenia, źródła wejść. Aktywne tylko po zgodzie analitycznej. Polityka Google.
• Google Tag Manager (Google Ireland Limited, Irlandia) - narzędzie do zarządzania tagami marketingowymi. Sam GTM nie zbiera danych, dostarcza tylko skrypty innych narzędzi.
• Microsoft Clarity (Microsoft Corporation, USA) - nagrania sesji i mapy ciepła z automatycznym maskowaniem pól formularzy. Aktywne tylko po zgodzie analitycznej. Polityka Microsoft.
• Google Search Console (Google Ireland Limited) - agregowane statystyki widoczności strony w wynikach wyszukiwania (dostęp tylko dla administratora, nie zbiera danych użytkowników).

5.3 Marketing i konwersje

• Meta Pixel + Meta Conversions API (Meta Platforms Ireland Limited, Irlandia) - pomiar skuteczności reklam, remarketing. Dane przekazywane przez przeglądarkę (Pixel) oraz po stronie serwera (Conversions API). Gdy podasz dane kontaktowe w formularzu i wyrazisz zgodę marketingową, ich haszowane wersje (e-mail, telefon) trafiają do Meta - zarówno przez Pixel (zaawansowane dopasowanie), jak i przez CAPI - wyłącznie w celu dopasowania konwersji. Aktywne tylko po zgodzie marketingowej. Polityka Meta.
• Albacross (Albacross Nordic AB, Szwecja) - identyfikacja firm odwiedzających stronę na podstawie publicznych adresów IP (B2B intent data). Nie identyfikuje osób fizycznych. Polityka Albacross.

5.4 Newsletter

• Beehiiv (Beehiiv Inc., USA) - platforma do wysyłki newslettera „AI Memo". Dane: adres e-mail, opcjonalnie imię, dane o zaangażowaniu (otwarcia, kliknięcia). Aktywne tylko po dobrowolnym zapisie. Polityka Beehiiv.

5.5 Inne

• Biuro księgowe - w zakresie wystawiania faktur i obowiązków podatkowych.
• Organy państwowe - wyłącznie w przypadku obowiązku prawnego (np. urzędy skarbowe, sądy).

6. Prawa osób, których dane dotyczą

Osobie, której dane dotyczą, przysługuje:

• prawo dostępu do swoich danych oraz otrzymania ich kopii,
• prawo do sprostowania (poprawiania) danych,
• prawo do usunięcia danych ("prawo do bycia zapomnianym"),
• prawo do ograniczenia przetwarzania,
• prawo do przenoszenia danych,
• prawo do sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu,
• prawo do wycofania zgody w dowolnym momencie (jeśli przetwarzanie odbywa się na podstawie zgody),
• prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

Aby skorzystać z któregokolwiek z tych praw, wystarczy wysłać wiadomość na kontakt@kamilslawinski.com.

7. Pliki cookies i technologie śledzące

Strona kamilslawinski.com używa plików cookies oraz podobnych technologii (np. localStorage) w trzech kategoriach. Przy pierwszej wizycie pojawia się banner zgody - możesz zaakceptować wszystkie kategorie, wybrać tylko niezbędne, lub dostosować preferencje w ustawieniach. Wybór zapisuje się w Twojej przeglądarce.

Stosuję Google Consent Mode v2 - domyślnym stanem przed wyrażeniem zgody jest denied dla wszystkich kategorii poza niezbędnymi. Oznacza to, że żadne ciasteczka marketingowe, identyfikatory użytkownika ani pełna telemetria analityczna nie są zapisywane bez Twojej wyraźnej zgody.

Przed wyrażeniem zgody Google Analytics 4 może wysyłać tzw. cookieless pings - anonimowe sygnały techniczne zawierające wyłącznie typ urządzenia, język przeglądarki, region kraju oraz źródło wejścia (z parametrów UTM). Pingi te nie zawierają ciasteczek, identyfikatorów osobowych, precyzyjnej geolokalizacji ani danych umożliwiających identyfikację użytkownika, dlatego nie stanowią danych osobowych w rozumieniu RODO i nie wymagają zgody. Wykorzystywane są do podstawowych statystyk oraz modelowania konwersji.

7.1 Niezbędne (zawsze aktywne - bez zgody)

Cookies techniczne, konieczne do działania strony - np. zapamiętanie wyboru w bannerze zgody, podtrzymanie sesji formularza, zabezpieczenia przed spamem. Podstawa: art. 173 ust. 3 ustawy Prawo telekomunikacyjne, art. 6 ust. 1 lit. f RODO.

7.2 Analityka (opcjonalna - za zgodą)

Po wyrażeniu zgody na kategorię „Analityka" aktywują się następujące narzędzia:

Google Analytics 4

Dostawca: Google Ireland Limited (Irlandia). Mierzy ruch na stronie: liczbę wizyt, źródła wejść, długość sesji, zdarzenia (kliknięcia w CTA, wysłanie formularza). Dane są pseudonimowe - IP nie jest zapisywane (anonimizacja). Cookies: _ga, _ga_* (czas życia 13 miesięcy). Okres retencji w panelu GA4: 14 miesięcy.

Microsoft Clarity

Dostawca: Microsoft Corporation (USA). Rejestruje anonimizowane sesje użytkowników (ruchy myszy, kliknięcia, scroll, mapy ciepła) w celu poprawy użyteczności strony. Pola formularzy oraz tekst wpisywany przez użytkownika są automatycznie maskowane i nie zapisywane. Cookies: _clck, _clsk, MUID (czas życia od sesji do 13 miesięcy). Retencja nagrań: 90 dni.

7.3 Marketing (opcjonalna - za zgodą)

Po wyrażeniu zgody na kategorię „Marketing" aktywują się następujące narzędzia:

Meta Pixel + Meta Conversions API (CAPI)

Dostawca: Meta Platforms Ireland Limited (Irlandia). Mierzy skuteczność reklam Meta (Facebook/Instagram), umożliwia remarketing oraz tworzenie grup podobnych odbiorców. Meta CAPI dodatkowo przesyła zdarzenia po stronie serwera, w tym haszowane (SHA-256) dane kontaktowe z formularza, jeśli zostały podane (e-mail, telefon) - pozwala to na lepsze dopasowanie konwersji do reklam. Cookies: _fbp, _fbc (czas życia do 90 dni).

7.4 B2B intent data (Albacross - prawnie uzasadniony interes)

Niezależnie od zgody w bannerze, dla ruchu pochodzącego z firm/organizacji (zidentyfikowanych po publicznym adresie IP) używam usługi Albacross (Albacross Nordic AB, Szwecja). Albacross łączy adres IP z publicznymi rejestrami firm (nazwa, branża, lokalizacja, wielkość) - nie identyfikuje poszczególnych osób fizycznych. Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes administratora w zakresie sprzedaży B2B). Możesz zgłosić sprzeciw na kontakt@kamilslawinski.com lub poprzez opt-out na albacross.com/opt-out.

7.5 Jak zmienić swój wybór

Możesz w dowolnym momencie zmienić preferencje klikając „Ustawienia cookies" w stopce strony. Możesz też wyczyścić ciasteczka w ustawieniach przeglądarki - wtedy banner pojawi się ponownie. Dla GA4 dostępna jest też wtyczka Google Analytics Opt-out Browser Add-on.

8. Transfer danych poza EOG

Część moich procesorów ma siedzibę poza Europejskim Obszarem Gospodarczym (głównie w USA). W każdym przypadku zapewniony jest odpowiedni poziom ochrony zgodny z art. 44–49 RODO:

• Google (Analytics, Tag Manager, Workspace, Search Console) - Google LLC posiada certyfikację EU-US Data Privacy Framework (DPF). Dodatkowo stosowane są standardowe klauzule umowne (SCC).
• Meta Platforms - Meta jest certyfikowany w ramach DPF; CAPI dodatkowo umożliwia kontrolę nad zakresem przekazywanych danych po stronie serwera.
• Microsoft (Clarity) - Microsoft Corp. posiada certyfikację DPF oraz stosuje SCC; serwery Clarity dla użytkowników z UE znajdują się w UE/USA z mechanizmami ochrony.
• Beehiiv - siedziba w USA; jako mniejszy dostawca opiera transfer na standardowych klauzulach umownych (SCC) zgodnie ze swoją polityką prywatności.
• Albacross - siedziba w Szwecji (EOG), serwery w UE.
• RapidDC - siedziba i serwery w Polsce (EOG), brak transferu poza EOG.

Pełną listę certyfikacji DPF można sprawdzić na dataprivacyframework.gov/list.

9. Bezpieczeństwo

Strona działa na protokole HTTPS (szyfrowanie TLS komunikacji). Serwer aplikacyjny i bazodanowy znajdują się w Polsce (RapidDC, EOG). Stosowane są techniczne i organizacyjne środki bezpieczeństwa adekwatne do ryzyka:

• kontrola dostępu (klucze SSH, uwierzytelnianie wieloskładnikowe gdzie możliwe),
• regularne kopie zapasowe,
• aktualizacje oprogramowania serwerowego,
• szyfrowanie komunikacji formularzy (HTTPS),
• haszowanie danych kontaktowych przed przekazaniem do Meta CAPI (SHA-256, zgodne z wymaganiami Meta),
• weryfikacja origin w endpointach API (ochrona przed nieautoryzowanymi POST z innych domen),
• klucze API i tokeny przechowywane poza katalogiem publicznym serwera.

10. Zmiany polityki

Polityka może być aktualizowana - np. w przypadku zmian w przepisach, wprowadzenia nowych narzędzi lub procesorów. Aktualna wersja zawsze dostępna jest na tej stronie z datą ostatniej aktualizacji wskazaną u góry. Istotne zmiany (np. nowy procesor wymagający zgody) będą komunikowane dodatkowo poprzez ponowne wyświetlenie bannera cookies lub komunikat na stronie.

11. Kontakt

W sprawach związanych z ochroną danych osobowych:
E-mail: kontakt@kamilslawinski.com
Telefon: +48 690 968 088
Adres: WAYSTAR Kamil Sławiński, ul. Bratysławska 24, 44-240 Żory.