Polityka Prywatności

§ 1. Administrator danych osobowych

1.1. Status administratora danych

Administratorem danych osobowych w rozumieniu prawa europejskiego jest FraVeRa Journey, działalność gospodarcza zarejestrowana w Królestwie Niderlandów, działająca jako disclosed travel agent.

1.2. Obowiązek informacyjny wobec osoby, której dane dotyczą

Administrator spełnia obowiązek informacyjny wobec osób, których dane dotyczą, poprzez niniejszą Politykę Prywatności, udostępnioną na stronie internetowej.

1.3. Dane identyfikacyjne i kontaktowe administratora

Dane identyfikacyjne administratora, w tym forma prawna, kraj rejestracji, numer rejestracyjny i dane kontaktowe, są wskazane w Impressum oraz w sekcji kontaktowej strony internetowej.

1.4. Brak wspólnych administratorów

FraVeRa Journey przetwarza dane osobowe niezależnie i nie występuje jako wspólny administrator danych osobowych w rozumieniu art. 26 RODO.

1.5. Brak obowiązku powołania inspektora ochrony danych

FraVeRa Journey nie jest zobowiązana do powołania inspektora ochrony danych, ponieważ nie spełnia kryteriów wskazanych w art. 37 ust. 1 RODO.

1.6. Prawo właściwe dla administratora

Administrator podlega prawu Królestwa Niderlandów jako państwa członkowskiego Unii Europejskiej, w którym ma siedzibę, przy jednoczesnym bezpośrednim stosowaniu RODO.

§ 2. Zakres przetwarzanych danych osobowych

2.1. Zasada adekwatności i minimalizacji

Administrator przetwarza wyłącznie takie dane osobowe, które są adekwatne, istotne i ograniczone do tego, co jest niezbędne do wyraźnie zdefiniowanych celów przetwarzania.

2.2. Dane identyfikacyjne i kontaktowe

Administrator może przetwarzać dane identyfikacyjne i kontaktowe, w szczególności imię, nazwisko, adres e-mail, numer telefonu oraz inne dane niezbędne do nawiązania kontaktu i identyfikacji Klienta przy świadczeniu usług agencyjnych.

2.3. Dane dotyczące podróży i preferencji organizacyjnych

Administrator może przetwarzać dane dotyczące planowanej podróży, preferencji zakwaterowania, dat, zakresu usług oraz innych informacji organizacyjnych niezbędnych do przygotowania oferty i koordynacji podróży.

2.4. Dane techniczne i online

Administrator może przetwarzać dane techniczne dotyczące korzystania ze strony internetowej, w tym adres IP, dane przeglądarki, urządzenie, system operacyjny i identyfikatory plików cookie, w zakresie dozwolonym przez prawo i udzieloną zgodę.

2.5. Szczególne kategorieje danych - Dane o zdrowiu

Administrator może przetwarzać dane o zdrowiu wyłącznie gdy jest to niezbędne do zorganizowania pobytu zdrowotnego lub uzdrowiskowego i wyłącznie w zakresie dobrowolnie przekazanym przez Klienta. Dane te nie są przetwarzane w celach diagnostycznych ani leczniczych.

2.6. Brak przetwarzania zbędnych danych

Administrator nie przetwarza danych osobowych, które nie są niezbędne do osiągnięcia celów wskazanych w niniejszej Polityce Prywatności, w szczególności danych niezwiązanych z organizacją podróży ani obowiązkami prawnymi.

§ 3. Źródła danych osobowych

3.1. Dane pozyskiwane bezpośrednio od osoby, której dane dotyczą

Administrator pozyskuje dane osobowe bezpośrednio od osoby, której dane dotyczą, w szczególności w ramach kontaktu zainicjowanego przez tę osobę.

3.2. Formularze online

Dane osobowe mogą być zbierane za pośrednictwem formularzy dostępnych na stronie internetowej Administratora. Formularze są własnymi rozwiązaniami Administratora, a ich obsługa techniczna realizowana jest przez zewnętrznego dostawcę narzędzi formularzowych (BASIN), działającego jako podmiot przetwarzający.

3.3. Korespondencja elektroniczna i bezpośrednia komunikacja

Dane osobowe mogą być zbierane w ramach korespondencji e-mail, rozmów telefonicznych, rozmów online lub innych form bezpośredniej komunikacji zainicjowanej przez osobę, której dane dotyczą.

3.4. Dobrowolnie przekazane dokumenty i informacje

Dane osobowe, w tym dane o zdrowiu, mogą być zbierane z dokumentów lub informacji dobrowolnie przekazanych przez osobę, której dane dotyczą, w szczególności na etapie finalizacji organizacji pobytu u Partnera świadczącego usługę.

3.5. Brak pozyskiwania z ukrytych źródeł

Administrator nie pozyskuje danych osobowych z ukrytych źródeł, baz danych osób trzecich ani publicznie dostępnych rejestrów w celu tworzenia profili klientów.

3.6. Zakres stosowania art. 13 i 14 RODO

W zdecydowanej większości przypadków ma zastosowanie art. 13 RODO, ponieważ dane zbierane są bezpośrednio od osoby, której dane dotyczą. Art. 14 RODO ma zastosowanie wyłącznie w sytuacjach wyjątkowych, gdyby dane nie były zbierane bezpośrednio od tej osoby, co za każdym razem wiązałoby się z wypełnieniem odrębnego obowiązku informacyjnego.

§ 4. Cele przetwarzania danych osobowych

4.1. Zasada określenia celu i legalności

Administrator przetwarza dane osobowe wyłącznie w konkretnych, wyraźnie określonych i prawnie uzasadnionych celach, zdefiniowanych przed rozpoczęciem przetwarzania.

4.2. Przygotowanie oferty i działania przedkontraktowe

Dane osobowe są przetwarzane w celu przygotowania oferty podróży oraz podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy agencyjnej.

4.3. Świadczenie usług agencyjnych i koordynacyjnych

Dane osobowe są przetwarzane w celu świadczenia usług agencyjnych przez Administratora, w tym doradztwa, pośrednictwa, koordynacji i wsparcia organizacyjnego dla podróży.

4.4. Komunikacja operacyjna z klientem

Dane osobowe są przetwarzane w celu ciągłej komunikacji z Klientem w zakresie organizacji podróży, w tym przekazywania informacji organizacyjnych, potwierdzeń i ustaleń.

4.5. Przekazywanie danych partnerom świadczącym usługi

Dane osobowe są przetwarzane w celu przekazania ich Partnerom świadczącym usługi główne, w zakresie niezbędnym dla tych Partnerów do świadczenia ich usług.

4.6. Organizacja pobytów zdrowotnych i uzdrowiskowych

W przypadku danych o zdrowiu, dane te są przetwarzane w celu zorganizowania pobytu zdrowotnego lub uzdrowiskowego oraz przekazania informacji Partnerowi świadczącemu usługę medyczną lub uzdrowiskową.

4.7. Zgodność z obowiązkami prawnymi i księgowymi

Dane osobowe są przetwarzane w celu spełnienia obowiązków prawnych ciążących na Administratorze, w szczególności księgowych, podatkowych i archiwizacyjnych.

4.8. Analiza statystyczna strony (GA4)

Dane osobowe są przetwarzane w celu analizy statystycznej ruchu na stronie internetowej za pomocą Google Analytics 4, wyłącznie po uzyskaniu zgody użytkownika na pliki cookie.

4.9. Marketing i remarketing (Google Ads, Meta Ads)

Dane osobowe są przetwarzane w celach marketingowych i remarketingowych wyłącznie po uzyskaniu zgody użytkownika, bez łączenia z danymi o zdrowiu.

§ 5. Podstawy prawne przetwarzania danych osobowych

5.1. Podstawowe regulacje prawne

Przetwarzanie danych osobowych odbywa się na podstawie Rozporządzenia (UE) 2016/679 Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO).

5.2. Przetwarzanie dla wykonania umowy i działań przedkontraktowych

Dane osobowe są przetwarzane, gdy jest to niezbędne do wykonania umowy agencyjnej lub podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem tej umowy.

5.3. Przetwarzanie dla wypełnienia obowiązku prawnego

Dane osobowe są przetwarzane, gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na Administratorze, w szczególności księgowych, podatkowych i archiwizacyjnych.

5.4. Przetwarzanie na podstawie zgody

Dane osobowe są przetwarzane na podstawie dobrowolnej, świadomej i jednoznacznie wyrażonej zgody osoby, której dane dotyczą, w zakresie określonym w treści tej zgody.

5.5. Szczególne kategorieje danych - Ogólny zakaz

Dane osobowe ujawniające informacje o stanie zdrowia należą do szczególnych kategorii danych osobowych, których przetwarzanie jest w zasadzie zakazane.

5.6. Szczególne kategorieje danych - Wyraźna zgoda

Przetwarzanie danych o zdrowiu jest dozwolone, gdy osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych w jednym lub większej liczbie określonych celów.

5.7. Szczególne kategorieje danych - Organizacja opieki zdrowotnej

Przetwarzanie danych o zdrowiu jest dozwolone, gdy jest niezbędne do organizacji opieki zdrowotnej lub pobytów uzdrowiskowych, realizowanych przez upoważnionych Partnerów.

5.8. Pliki cookie i technologie śledzące

Przetwarzanie danych osobowych za pomocą plików cookie i podobnych technologii odbywa się wyłącznie w zakresie i na warunkach określonych w przepisach o prywatności w komunikacji elektronicznej oraz na podstawie zgody użytkownika, gdy jest wymagana.

5.9. Cofnięcie zgody

Osoba, której dane dotyczą, ma prawo cofnąć zgodę w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania opartego na zgodzie przed jej cofnięciem.

§ 6. Szczególne kategorieje danych (zdrowie) - Szczególne zasady przetwarzania

6.1. Definicja danych o zdrowiu

Dane o zdrowiu oznaczają dane osobowe dotyczące stanu zdrowia fizycznego lub psychicznego osoby fizycznej, w tym informacje o korzystaniu z usług opieki zdrowotnej.

6.2. Zakaz przetwarzania jako zasada ogólna

Przetwarzanie danych o zdrowiu jest w zasadzie zakazane, chyba że spełniony jest jeden z warunków legalizacyjnych wskazanych w RODO.

6.3. Dopuszczalność przetwarzania na podstawie wyraźnej zgody

Administrator może przetwarzać dane o zdrowiu, gdy osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie w konkretnym celu.

6.4. Dopuszczalność przetwarzania dla organizacji opieki zdrowotnej i pobytów uzdrowiskowych

Administrator może przetwarzać dane o zdrowiu, gdy jest to niezbędne do świadczenia opieki zdrowotnej lub zarządzania usługami opieki zdrowotnej realizowanymi przez Partnerów.

6.5. Warunek tajemnicy zawodowej dla podstawy "h"

Gdy przetwarzanie odbywa się na podstawie art. 9 ust. 2 lit. h RODO, dane muszą być przetwarzane przez osobę związaną tajemnicą zawodową lub podmiot związany podobnym obowiązkiem.

6.6. Podział faz przetwarzania (przygotowawcza vs. finalizacja)

W fazie przygotowawczej Administrator przetwarza wyłącznie opisowe informacje o zdrowiu niezbędne do dopasowania pobytu. W fazie finalizacji Administrator przekazuje dane o zdrowiu Partnerowi wyłącznie w zakresie niezbędnym dla Partnera do świadczenia usługi.

6.7. Standard zgody i jej dowodzenie

Gdy przetwarzanie danych o zdrowiu odbywa się na podstawie zgody, Administrator zapewnia, że zgoda jest wyrażona dobrowolnie, w sposób szczegółowy, świadomy i jednoznaczny, oraz jest w stanie wykazać fakt jej udzielenia.

6.8. Prawo do cofnięcia zgody

Osoba, której dane dotyczą, może cofnąć zgodę w dowolnym momencie, a cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania opartego na zgodzie przed jej cofnięciem.

6.9. Brak porad medycznych i decyzji terapeutycznych

Administrator nie udziela porad medycznych, nie stawia diagnoz ani nie podejmuje decyzji terapeutycznych. Administrator przetwarza dane o zdrowiu wyłącznie w celu organizacji i koordynacji pobytu oraz przekazania informacji Partnerowi.

6.10. Zakaz zautomatyzowanego podejmowania decyzji i profilowania medycznego

Administrator nie stosuje zautomatyzowanego podejmowania decyzji ani profilowania na podstawie danych o zdrowiu.

6.11. Ograniczenie przechowywania danych o zdrowiu

Dane o zdrowiu są przechowywane wyłącznie przez okres niezbędny do osiągnięcia celów organizacyjnych i rozliczeniowych, a następnie są usuwane lub anonimizowane.

6.12. Bezpieczeństwo danych o zdrowiu

Administrator stosuje środki techniczne i organizacyjne zapewniające bezpieczeństwo danych o zdrowiu, w tym ograniczenie dostępu i kontrolę upoważnień.

6.13. Obowiązek rozliczalności

Administrator dokumentuje zgodność przetwarzania danych o zdrowiu z RODO i jest w stanie wykazać zgodność z zasadami przetwarzania.

§ 7. Odbiorcy danych osobowych

7.1. Zasada ujawniania kategorii odbiorców

Administrator udostępnia dane osobowe wyłącznie wskazanym kategoriom odbiorców i wyłącznie w zakresie niezbędnym do osiągnięcia celów przetwarzania.

7.2. Partnerzy świadczący usługi główne

Dane osobowe mogą być przekazywane Partnerom świadczącym usługi główne, w szczególności sanatoriom, klinikom, obiektom uzdrowiskowym, hotelom, podmiotom medycznym i firmom transportowym, wyłącznie w zakresie niezbędnym do świadczenia konkretnej usługi.

7.3. Przekazywanie danych o zdrowiu partnerom

Dane o zdrowiu mogą być przekazywane Partnerom wyłącznie, gdy jest to niezbędne do świadczenia usług zdrowotnych lub uzdrowiskowych i wyłącznie na podstawie odpowiedniego warunku legalizacyjnego.

7.4. Dostawcy usług IT i narzędzia komunikacyjne

Dane osobowe mogą być przekazywane dostawcom usług IT, hostingu, e-mail, systemów formularzowych (w tym BASIN) i innym narzędziom technicznym, wyłącznie jako podmiotom przetwarzającym.

7.5. Narzędzia analityczne i reklamowe

Dane osobowe mogą być przekazywane dostawcom narzędzi analitycznych i reklamowych, w tym Google i Meta, wyłącznie po uzyskaniu zgody użytkownika, w zakresie wynikającym z konfiguracji zgody i Consent Mode v2.

7.6. Organy publiczne i podmioty upoważnione

Dane osobowe mogą być przekazywane organom publicznym lub innym podmiotom upoważnionym, gdy taki obowiązek wynika z przepisów prawa Unii Europejskiej lub prawa Królestwa Niderlandów.

7.7. Brak sprzedaży danych osobowych

Administrator nie sprzedaje, nie udostępnia odpłatnie ani nie wymienia danych osobowych z innymi podmiotami w celach handlowych niezwiązanych ze świadczeniem usług.

7.8. Ograniczenie dostępu do danych

Dostęp do danych osobowych jest ograniczony do podmiotów i osób, dla których taki dostęp jest niezbędny do osiągnięcia celów przetwarzania.

7.9. Obowiązek rozliczalności za przekazywanie danych

Administrator dokumentuje przekazywanie danych osobowych odbiorcom i jest w stanie wykazać zgodność tych przekazań z RODO.

§ 8. Przekazywanie danych osobowych poza Unię Europejską / Europejski Obszar Gospodarczy

8.1. Ogólna zasada transferów międzynarodowych

Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych jest dozwolone wyłącznie na warunkach określonych w Rozdziale V RODO.

8.2. Transfer na podstawie decyzji o adekwatności

Przekazywanie danych osobowych do państwa trzeciego jest dozwolone, gdy Komisja Europejska uznała, że dane państwo zapewnia odpowiedni poziom ochrony danych osobowych.

8.3. Transfer z odpowiednimi zabezpieczeniami

W przypadku braku decyzji o adekwatności, przekazywanie danych może odbywać się pod warunkiem zastosowania odpowiednich zabezpieczeń prawnych, w szczególności standardowych klauzul umownych.

8.4. Transfer do dostawców narzędzi technologicznych

W przypadku korzystania z narzędzi dostarczanych przez podmioty z siedzibą poza UE/EOG (w szczególności Google i Meta), przekazywanie danych odbywa się zgodnie z mechanizmami określonymi w Rozdziale V RODO.

8.5. Ocena skutków transferu

W przypadku transferów na podstawie standardowych klauzul umownych Administrator przeprowadza ocenę skutków transferu w celu weryfikacji, czy prawo państwa trzeciego nie podważa skuteczności zastosowanych zabezpieczeń.

8.6. Dane o zdrowiu i transfery poza UE/EOG

Dane o zdrowiu są przekazywane poza UE/EOG wyłącznie w przypadkach wyjątkowych, gdy spełnione są łącznie warunki Rozdziału V RODO i warunki art. 9 RODO.

8.7. Transfer na podstawie wyjątków (derogacje)

W przypadku braku decyzji o adekwatności i odpowiednich zabezpieczeń, przekazywanie danych może odbywać się wyłącznie na podstawie wyjątków określonych w art. 49 RODO, stosowanych restrykcyjnie i incydentalnie.

8.8. Obowiązek informacyjny w zakresie transferów

Administrator informuje osoby, których dane dotyczą, o zamiarze przekazania danych poza UE/EOG oraz o zastosowanych zabezpieczeniach lub wyjątkach.

8.9. Dokumentacja transferów i obowiązek rozliczalności

Administrator dokumentuje wszystkie przypadki przekazywania danych poza UE/EOG i jest w stanie wykazać ich zgodność z RODO.

§ 9. Pliki cookie i podobne technologie

9.1. Definicja plików cookie i pokrewnych technologii

Pliki cookie i podobne technologie (w tym localStorage, sessionStorage, piksele, tagi i identyfikatory online) stanowią informacje przechowywane lub odczytywane w urządzeniu końcowym użytkownika.

9.2. Klasyfikacja plików cookie według celu

Administrator stosuje pliki cookie niezbędne, analityczne i marketingowe, przy czym pliki cookie inne niż niezbędne są aktywowane wyłącznie po uzyskaniu zgody użytkownika.

9.3. Pliki cookie niezbędne (techniczne)

Pliki cookie niezbędne są stosowane wyłącznie w celu zapewnienia prawidłowego funkcjonowania strony internetowej i jej podstawowych funkcji oraz nie wymagają zgody użytkownika.

9.4. Pliki cookie analityczne (Google Analytics 4)

Pliki cookie analityczne są stosowane do analizy statystycznej ruchu na stronie internetowej za pomocą Google Analytics 4, wyłącznie po uzyskaniu zgody użytkownika.

9.5. Pliki cookie marketingowe i remarketingowe (Google Ads, Meta Ads)

Pliki cookie marketingowe i remarketingowe są stosowane wyłącznie po uzyskaniu zgody użytkownika w celu wyświetlania spersonalizowanych lub mierzalnych reklam oraz analizy skuteczności kampanii.

9.6. Platforma zarządzania zgodami (CMP)

Administrator korzysta z platformy zarządzania zgodami (CMP), która umożliwia użytkownikowi udzielenie, odmowę lub zmianę zgody na stosowanie plików cookie.

9.7. Google Consent Mode v2

Administrator korzysta z Google Consent Mode v2, który przekazuje sygnały zgody do Google dla kategorii: ad_storage, analytics_storage, ad_user_data, ad_personalization.

9.8. Brak zgody i jej konsekwencje

Brak zgody na pliki cookie analityczne lub marketingowe nie wpływa na możliwość korzystania ze strony internetowej, z wyjątkiem funkcji bezpośrednio związanych z tymi plikami cookie.

9.9. Okres przechowywania plików cookie

Okres przechowywania plików cookie zależy od ich rodzaju i jest za każdym razem wskazany w szczegółowej Polityce Cookie lub w ustawieniach CMP.

9.10. Dostęp do informacji i przejrzystość

Administrator zapewnia użytkownikowi łatwy dostęp do informacji o stosowanych plików cookie oraz umożliwia w każdej chwili zmianę ustawień zgody za pośrednictwem linku w stopce strony.

§ 10. Okres przechowywania danych osobowych

10.1. Zasada ograniczenia przechowywania

Dane osobowe są przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane.

10.2. Kryteria określania okresu przechowywania

Okres przechowywania danych osobowych jest określany na podstawie: a) celu przetwarzania danych, b) podstawy prawnej przetwarzania, c) obowiązków prawnych Administratora, d) potencjalnych terminów przedawnienia roszczeń.

10.3. Dane przetwarzane dla przygotowania oferty i działań przedkontraktowych

Dane osobowe przetwarzane w celu przygotowania oferty i działań przedkontraktowych są przechowywane przez okres trwania kontaktu i po jego zakończeniu przez czas niezbędny do zabezpieczenia ewentualnych roszczeń.

10.4. Dane przetwarzane dla wykonania umowy

Dane osobowe przetwarzane w celu wykonania umowy agencyjnej są przechowywane przez okres trwania umowy, a po jej zakończeniu przez okres wymagany przez prawo lub do upływu terminów przedawnienia roszczeń.

10.5. Dane przetwarzane dla wypełnienia obowiązku prawnego

Dane osobowe przetwarzane w celu wypełnienia obowiązków prawnych ciążących na Administratorze są przechowywane przez okres wynikający z obowiązującego prawa, w szczególności podatkowego i księgowego.

10.6. Dane o zdrowiu

Dane o zdrowiu są przechowywane wyłącznie przez okres niezbędny do zorganizowania i realizacji pobytu zdrowotnego, a następnie są niezwłocznie usuwane lub anonimizowane, chyba że dalsze przechowywanie jest wymagane przez prawo.

10.7. Dane przetwarzane na podstawie zgody

Dane osobowe przetwarzane na podstawie zgody są przechowywane do momentu cofnięcia zgody lub do momentu utraty przez nie przydatności dla celu, w jakim zgoda została udzielona.

10.8. Dane przetwarzane dla celów analitycznych i marketingowych

Dane osobowe przetwarzane dla celów analitycznych i marketingowych są przechowywane zgodnie z okresem ważności plików cookie lub do momentu cofnięcia zgody przez użytkownika.

10.9. Usuwanie i anonimizacja danych

Po upływie okresu przechowywania dane osobowe są usuwane lub anonimizowane w sposób uniemożliwiający identyfikację osoby, której dane dotyczą.

10.10. Obowiązek rozliczalności za okresy przechowywania

Administrator dokumentuje przyjęte okresy przechowywania danych i jest w stanie wykazać ich zgodność z zasadami RODO.

§ 11. Prawa osoby, której dane dotyczą

11.1. Katalog praw - Zasada ogólna

Osoba, której dane dotyczą, ma prawa określone w Rozdziale III RODO, wykonywane z poszanowaniem warunków i ograniczeń określonych w tym rozporządzeniu.

11.2. Prawo do informacji i przejrzystej komunikacji

Osoba, której dane dotyczą, ma prawo do otrzymania informacji dotyczących przetwarzania danych w zwięzły, przejrzysty, zrozumiały i łatwo dostępny sposób.

11.3. Prawo dostępu do danych

Osoba, której dane dotyczą, ma prawo uzyskać od Administratora potwierdzenie, czy przetwarzane są dane osobowe jej dotyczące, a jeśli ma to miejsce, dostęp do danych osobowych i informacji wskazanych w RODO.

11.4. Prawo do sprostowania

Osoba, której dane dotyczą, ma prawo uzyskać od Administratora niezwłoczne sprostowanie dotyczących jej nieprawidłowych danych osobowych oraz uzupełnienie niekompletnych danych.

11.5. Prawo do usunięcia danych ("prawo do bycia zapomnianym")

Osoba, której dane dotyczą, ma prawo uzyskać usunięcie danych osobowych w przypadkach określonych w RODO, w szczególności gdy dane nie są już niezbędne do celów, w których były przetwarzane.

11.6. Prawo do ograniczenia przetwarzania

Osoba, której dane dotyczą, ma prawo uzyskać ograniczenie przetwarzania danych osobowych w przypadkach wskazanych w RODO.

11.7. Prawo do przenoszenia danych

Osoba, której dane dotyczą, ma prawo otrzymać swoje dane osobowe w ustrukturyzowanym, powszechnie używanym formacie i przesłać je innemu administratorowi, gdy spełnione są warunki RODO.

11.8. Prawo do sprzeciwu

Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania danych osobowych, gdy podstawą przetwarzania jest prawnie uzasadniony interes Administratora.

11.9. Prawo do cofnięcia zgody

Gdy przetwarzanie odbywa się na podstawie zgody, osoba, której dane dotyczą, ma prawo cofnąć zgodę w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania opartego na zgodzie przed jej cofnięciem.

11.10. Prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji

Osoba, której dane dotyczą, ma prawo nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, wywołującej skutki prawne wobec niej lub w podobny sposób na nią istotnie wpływającej.

11.11. Prawo do wniesienia skargi do organu nadzorczego

Osoba, której dane dotyczą, ma prawo wnieść skargę do właściwego organu nadzorczego, gdy uzna, że przetwarzanie jej danych osobowych narusza przepisy RODO.

11.12. Procedura wykonywania praw

Administrator realizuje prawa osoby, której dane dotyczą, bez zbędnej zwłoki, nie później niż w terminie wskazanym w RODO, z możliwością przedłużenia we wskazanych w nim przypadkach.

§ 12. Prawo do wniesienia skargi do organu nadzorczego

12.1. Prawo do wniesienia skargi - Zasada ogólna

Osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, gdy uzna, że przetwarzanie jej danych osobowych narusza przepisy RODO.

12.2. Właściwy organ nadzorczy

Właściwym organem nadzorczym dla administratora danych jest organ nadzorczy w Królestwie Niderlandów, tj. Autoriteit Persoonsgegevens.

12.3. Prawo osoby, której dane dotyczą, do wyboru organu nadzorczego

Osoba, której dane dotyczą, może wnieść skargę do organu nadzorczego w państwie członkowskim swojego zwykłego pobytu, miejsca pracy lub miejsca domniemanego naruszenia.

12.4. Niezależność prawa do skargi od innych środków prawnych

Prawo do wniesienia skargi do organu nadzorczego jest niezależne od innych środków prawnych, w tym prawa do wniesienia skargi do sądu.

12.5. Obowiązek współpracy administratora z organem nadzorczym

Administrator danych współpracuje z właściwym organem nadzorczym przy wykonywaniu jego zadań i przekazuje wszystkie wymagane informacje.

12.6. Prawo do skutecznego środka odwoławczego

Osoba, której dane dotyczą, ma prawo do skutecznego środka odwoławczego od decyzji organu nadzorczego lub w przypadku bezczynności tego organu.

12.7. Prawo do skutecznego środka odwoławczego od administratora

Osoba, której dane dotyczą, ma prawo do skutecznego środka odwoławczego od Administratora, gdy uzna, że jej prawa wynikające z RODO zostały naruszone.

12.8. Brak opłat za wniesienie skargi

Wniesienie skargi do organu nadzorczego jest zwolnione z opłat administracyjnych.

§ 13. Środki techniczne i organizacyjne zapewniające bezpieczeństwo

13.1. Obowiązek zapewnienia bezpieczeństwa przetwarzania

Administrator wdraża odpowiednie środki techniczne i organizacyjne w celu zapewnienia poziomu bezpieczeństwa danych osobowych odpowiedniego do ryzyka.

13.2. Kryteria wyboru środków bezpieczeństwa

Przy wyborze środków bezpieczeństwa Administrator uwzględnia stan wiedzy technicznej, koszty wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych.

13.3. Poufność, integralność i dostępność danych

Administrator zapewnia poufność, integralność i dostępność danych osobowych oraz odporność systemów i usług przetwarzania.

13.4. Ograniczenie dostępu i kontrola upoważnień

Dostęp do danych osobowych jest przyznawany wyłącznie osobom upoważnionym przez Administratora i wyłącznie w zakresie niezbędnym do wykonywania ich zadań.

13.5. Techniczne środki ochrony danych

Administrator stosuje środki techniczne, w szczególności zabezpieczenie systemów IT, zabezpieczenie dostępu, szyfrowanie lub pseudonimizację danych - w zakresie adekwatnym do ryzyka.

13.6. Bezpieczeństwo szczególnych kategorii danych

Dane o zdrowiu podlegają podwyższonym normom ochrony, w tym ograniczeniom dostępu, kontroli przekazywania i skróconym okresom przechowywania.

13.7. Testowanie i ocena skuteczności zabezpieczeń

Administrator testuje, mierzy i ocenia regularnie skuteczność zastosowanych środków technicznych i organizacyjnych.

13.8. Podmioty przetwarzające i bezpieczeństwo

Administrator korzysta wyłącznie z podmiotów przetwarzających zapewniających odpowiedni poziom bezpieczeństwa dla przetwarzania danych osobowych.

13.9. Procedura w przypadku naruszenia ochrony danych osobowych

Administrator posiada procedury umożliwiające wykrywanie, raportowanie i ocenę naruszeń ochrony danych osobowych.

13.10. Zasada rozliczalności w kwestiach bezpieczeństwa

Administrator dokumentuje zastosowane środki bezpieczeństwa i jest w stanie wykazać ich zgodność z RODO.

§ 14. Naruszenia ochrony danych osobowych

14.1. Definicja naruszenia ochrony danych osobowych

Naruszenie ochrony danych osobowych oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych.

14.2. Obowiązek reagowania na naruszenia

Administrator wdraża procedury umożliwiające niezwłoczne wykrywanie, analizę i ocenę każdego naruszenia ochrony danych osobowych.

14.3. Ocena ryzyka dla praw i wolności osób fizycznych

Po wykryciu naruszenia Administrator przeprowadza ocenę ryzyka naruszenia praw lub wolności osób fizycznych, uwzględniając charakter danych, zakres naruszenia i potencjalne konsekwencje.

14.4. Zgłaszanie naruszenia organowi nadzorczemu

Jeśli naruszenie ochrony danych osobowych może spowodować ryzyko dla praw i wolności osób fizycznych, Administrator zgłasza je właściwemu organowi nadzorczemu bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od momentu, gdy o naruszeniu się dowiedział.

14.5. Zakres zgłaszania organowi nadzorczemu

Zgłoszenie organowi nadzorczemu obejmuje co najmniej informacje wskazane w RODO, w tym charakter naruszenia, kategorie danych, prawdopodobne konsekwencje oraz zastosowane lub proponowane środki naprawcze.

14.6. Dokumentacja naruszeń danych

Administrator dokumentuje wszystkie naruszenia ochrony danych osobowych, niezależnie od tego, czy podlegały one obowiązkowi zgłoszenia organowi nadzorczemu.

14.7. Zgłaszanie osobie, której dane dotyczą

Jeśli naruszenie ochrony danych osobowych może spowodować wysokie ryzyko dla praw i wolności osób fizycznych, Administrator komunikuje je osobie, której dane dotyczą, bez zbędnej zwłoki.

14.8. Wyjątki od obowiązku informowania osoby, której dane dotyczą

Administrator nie jest zobowiązany do informowania osoby, której dane dotyczą, gdy spełniony jest jeden z warunków określonych w RODO, w szczególności gdy zastosowano środki techniczne eliminujące ryzyko.

14.9. Naruszenia dotyczące szczególnych kategorii danych

Naruszenia dotyczące danych o zdrowiu podlegają szczególnie rygorystycznej ocenie ryzyka i zazwyczaj kwalifikują się jako naruszenia o wysokim ryzyku.

14.10. Współpraca z organem nadzorczym

Administrator współpracuje z właściwym organem nadzorczym w procedurach związanych z naruszeniem ochrony danych osobowych.

14.11. Rozliczalność procedur reagowania na naruszenia

Administrator jest w stanie wykazać zgodność przyjętych procedur reagowania na naruszenia z wymogami RODO.

§ 15. Zmiany w Polityce Prywatności i jej aktualizacja

15.1. Prawo administratora do aktualizacji Polityki Prywatności

Administrator jest uprawniony do wprowadzania zmian w Polityce Prywatności w przypadku zmian w prawie, zmian w sposobie lub zakresie przetwarzania danych osobowych, zmian w stosowanych technologiach lub rozwoju działalności.

15.2. Obowiązek utrzymywania informacji aktualnych

Administrator zapewnia, że informacje przekazywane osobom, których dane dotyczą, są aktualne, rzetelne i odpowiadają faktycznemu sposobowi przetwarzania danych.

15.3. Forma publikacji zmian

Bieżąca wersja Polityki Prywatności jest za każdym razem publikowana na stronie internetowej Administratora i oznaczona datą wejścia w życie.

15.4. Zakres zmian i obowiązek informacyjny

Jeśli zmiany w Polityce Prywatności dotyczą istotnych aspektów przetwarzania danych osobowych, Administrator zapewnia wypełnienie obowiązków informacyjnych wobec osób, których dane dotyczą.

15.5. Brak mocy wstecznej zmian

Zmiany w Polityce Prywatności nie mają mocy wstecznej i nie wpływają na legalność przetwarzania danych osobowych przeprowadzonego przed datą wejścia w życie zmian.

15.6. Zmiany wynikające z obowiązku prawnego

Zmiany w Polityce Prywatności wprowadzone w celu dostosowania się do obowiązkowych przepisów prawa mają zastosowanie od daty wejścia w życie tych przepisów.

15.7. Rozliczalność procesu aktualizacji

Administrator dokumentuje proces aktualizacji Polityki Prywatności i jest w stanie wykazać jego zgodność z zasadami RODO.

15.8. Wejście w życie Polityki Prywatności

Niniejsza Polityka Prywatności wchodzi w życie z datą jej publikacji, chyba że wskazano inną datę wejścia w życie.