Polityka Prywatności

QReportly („Platforma” lub „Dostawca”) przywiązuje fundamentalne znaczenie do ochrony danych osobowych i prywatności osób korzystających z jego usług.

Niniejsza Polityka Prywatności ma zastosowanie do: (i) przetwarzania prowadzonego przez Dostawcę jako Administratora Danych na potrzeby własnych działań (konta administratorów, fakturowanie, wsparcie); (ii) przetwarzania prowadzonego przez Dostawcę jako Podmiot Przetwarzający (Processor) w imieniu Klientów, dla danych zawartych w zgłoszeniach i operacjach wewnętrznego kanału zgłoszeń.

Dla publicznego kanału zgłoszeń dostępnego dla zgłaszających, Dostawca stosuje zaawansowane techniczne i organizacyjne środki minimalizacji danych, opisane w dedykowanych sekcjach poniżej.

Qreportly LLC nie wyznaczyła przedstawiciela w UE na podstawie art. 27 RODO na datę ostatniej aktualizacji tej Polityki. Nie publikuje się imienia, firmy, adresu ani e-maila przedstawiciela, ponieważ żaden nie jest zweryfikowany. Przedstawiciel z art. 27 nie jest oddziałem UE. Czy art. 27 ma zastosowanie, wymaga oceny prawnej i nie jest tu rozstrzygane.

W odniesieniu do danych osobowych zawartych w zgłoszeniach przesyłanych przez kanał wewnętrzny, raportach, wiadomościach, załączonych plikach i metadanych operacyjnych związanych z obsługą spraw, Klient — Wdrozony Podmiot Prawny — działa jako Administrator Danych (Data Controller).

QReportly działa wyłącznie jako Podmiot Przetwarzający (Data Processor / Dostawca techniczny), przetwarzając dane wyłącznie na podstawie udokumentowanych instrukcji Klienta, w celu świadczenia zakontraktowanych usług i w granicach niniejszej Polityki oraz Umowy Korzystania.

W odniesieniu do danych własnych kont administratorów, danych rozliczeniowych i komunikacji handlowej, Dostawca działa jako niezależny Administrator Danych i ma obowiązek przekazywać osobom, których dane dotyczą, informacje wymagane przez RODO.

W zależności od sposobu korzystania z Platformy mogą być przetwarzane następujące kategorie danych:

Platforma została zaprojektowana strukturalnie tak, aby nie zbierać, nie logować ani nie przechowywać adresów IP, danych geolokalizacyjnych ani odcisków cyfrowych przeglądarki (browser fingerprinting) sygnalistów korzystających z publicznego kanału zgłoszeń.

Ta architektura minimalizacji ma na celu ograniczenie ryzyka ponownej identyfikacji zgłaszających, którzy wybierają zgłoszenie anonimowe, oraz wsparcie Klienta w realizacji obowiązków prawnych dotyczących poufności.

Dostawca nie stosuje technologii śledzenia behawioralnego, profilowania reklamowego ani inwazyjnej analityki wewnątrz przepływu zgłoszeń przeznaczonego dla zgłaszających. Wszelkie narzędzia analityczne używane na publicznej stronie prezentacyjnej są oddzielone od bezpiecznego kanału zgłoszeń.

QReportly nie utrwala adresów IP sygnalistów w bazie aplikacji. Publiczne endpointy zgłoszeń stosują limit w pamięci, który haszuje IP klienta na czas okna. Dostawcy infrastruktury dostarczający aplikację (w tym host) mogą nadal obserwować IP na poziomie sieci i metadane żądania. Platforma nie traktuje dalszego przeglądania jako zgody na analitykę.

Wszystkie pliki załączane do zgłoszeń (dokumenty PDF, DOCX, obrazy PNG/JPG/JPEG) są poddawane automatycznemu procesowi kryptograficznego czyszczenia metadanych w momencie przesyłania, w tym między innymi: danych EXIF obrazów, informacji o autorze dokumentu, osadzonych właściwości, znaczników czasu edycji i innych elementów, które mogłyby ułatwić niezamierzoną ponowną identyfikację.

Proces sanityzacji odbywa się przed ostatecznym zapisaniem plików w infrastrukturze Platformy. Klient odpowiada za ocenę, czy informacje pozostające w widocznej treści dokumentów są odpowiednie dla celu postępowania wyjaśniającego.

Pliki, które nie mogą zostać bezpiecznie przetworzone lub przekraczają ustalone limity techniczne, mogą zostać automatycznie odrzucone bez zachowania oryginalnej treści.

Dostawca stosuje rygorystyczne polityki retencji i automatycznego usuwania, zaprojektowane w celu ograniczenia ekspozycji danych poza okresy niezbędne do świadczenia usługi i zapewnienia zgodności prawnej.

Jako podmiot przetwarzający treść zgłoszeń, akta spraw, wiadomości i załączniki, Dostawca przetwarza dane na udokumentowane polecenia Klienta jako administratora, zgodnie z art. 28 RODO oraz postanowieniami niniejszej Polityki i Regulaminu. Klient jako administrator określa podstawę z art. 6 RODO (oraz w razie potrzeby art. 9 i 10), cele, retencję i sposób realizacji praw osób, których dane dotyczą, w odniesieniu do danych ze zgłoszeń. Umowa abonamentowa sama w sobie nie jest podstawą z art. 6 ust. 1 lit. b RODO dla danych sygnalistów ani osób wymienionych w zgłoszeniu.

Jako Administrator dla kont administracyjnych, podstawy obejmują: wykonanie umowy; uzasadniony interes dotyczący bezpieczeństwa Platformy i zapobiegania nadużyciom; obowiązki prawne rachunkowe i podatkowe; zgodę, tam gdzie jest wyraźnie wymagana (np. komunikacja marketingowa — jeśli aktywowana).

Osobom, których dane dotyczą, przysługują prawa przewidziane przez RODO: dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw oraz prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, na warunkach określonych prawem.

W przypadku danych ze zgłoszeń, żądania dotyczące realizacji praw powinny być kierowane w pierwszej kolejności do Klienta, jako Administratora Danych. Dostawca będzie wspierał Klienta w rozsądnym zakresie i zgodnie z umową w realizacji takich żądań.

W przypadku danych przetwarzanych przez Dostawcę jako Administratora (konta administratorów, rozliczenia), żądania można przekazywać na adres kontaktowy wskazany na końcu niniejszego dokumentu. Dostawca udzieli odpowiedzi w terminach przewidzianych przez RODO.

Osoby, których dane dotyczą, mają prawo złożyć skargę do właściwego organu nadzorczego w państwie członkowskim ich zwykłego miejsca pobytu, miejsca pracy lub miejsca domniemanego naruszenia.

Dostawca wdraża odpowiednie środki techniczne i organizacyjne w celu ochrony danych, w tym: szyfrowanie transmisji (TLS), kontrole dostępu oparte na rolach, logiczną izolację między workspace, monitorowanie bezpieczeństwa, procedury reagowania na incydenty oraz szyfrowane kopie zapasowe w infrastrukturze hostowanej w Unii Europejskiej.

Żaden system nie może zagwarantować absolutnego bezpieczeństwa. W przypadku incydentu bezpieczeństwa wpływającego na dane Klientów, Dostawca powiadomi Klienta bez nieuzasadnionej zwłoki, zgodnie z mającymi zastosowanie obowiązkami umownymi i prawnymi.

QReportly stosuje środki techniczne i organizacyjne zaprojektowane w celu zmniejszenia ryzyka bezpieczeństwa. Połączenia są chronione TLS. Środowiska najemców są logicznie izolowane. QReportly nie zapewnia obecnie szyfrowania end-to-end treści zgłoszeń. Szyfrowanie w spoczynku pochodzi ze stosu hostingu UE; QReportly nie twierdzi o osobnym kluczu AES per najemca ani o certyfikacji ISO/SOC.

Należy rozróżnić dwa stosunki przekazania; nie są one wymienne.

Przekazanie A — Klient → Qreportly LLC: gdy Klient (administrator / eksporter) podlega rozdziałowi V RODO w zakresie przekazania do Qreportly LLC (podmiot przetwarzający / importer, z siedzibą w Stanach Zjednoczonych), strony opierają się na Module 2 standardowych klauzul umownych z decyzji wykonawczej (UE) 2021/914, uzupełnionych Aneksem w sprawie międzynarodowego przekazywania danych opublikowanym na tej stronie. Modułu 3 nie stosuje się do Przekazania A.

Produkcyjna baza danych i magazyn obiektów Danych kanału są przeznaczone do hostingu w Unii Europejskiej. Region produkcyjny nie jest niezależnie zweryfikowany z repozytorium aplikacji. Hosting w UE sam w sobie nie znosi Przekazania A: Qreportly LLC jest amerykańskim podmiotem przetwarzającym i może zdalnie uzyskiwać dostęp do Danych kanału w celach eksploatacji, wsparcia, bezpieczeństwa i utrzymania.

Przekazanie B — Qreportly LLC → podmioty przetwarzające: gdy podwykonawca przetwarza dane w państwie trzecim bez decyzji stwierdzającej odpowiedni stopień ochrony albo rozdział V wymaga narzędzia transferu, Qreportly LLC (eksporter / podmiot przetwarzający) stosuje Moduł 3 decyzji (UE) 2021/914 z tym podmiotem (importer / podmiot przetwarzający), w wymaganym zakresie. Modułu 2 nie stosuje się do Przekazania B. Aktualna lista jest na stronie Podmiotów przetwarzających.

Dane kanału, w tym treść zgłoszeń i załączniki, przechodzą przez host aplikacji (Vercel, Inc.), ponieważ aplikacja Next.js obsługuje API zgłoszeń. Ten host nie jest głównym magazynem treści zgłoszeń. Poczta transakcyjna (Brevo) otrzymuje zawiadomienia operacyjne z kodami śledzenia i nazwą organizacji według bieżących szablonów; nie otrzymuje treści zgłoszenia. Rozliczenia (Stripe) i opcjonalne logowanie Google przetwarzają dane konta, nie treść zgłoszeń.

Qreportly LLC nie twierdzi, że uczestniczy w EU-US Data Privacy Framework. Certyfikacja dostawcy nie jest certyfikacją QReportly.

W razie prawnie wiążącego żądania organu publicznego dotyczącego Danych Klienta QReportly zastosuje obowiązki wynikające z właściwego mechanizmu transferu i prawa. W zakresie dozwolonym prawem QReportly powiadomi Klienta, ograniczy ujawnienie do tego, czego wymaga prawo, i oceni dostępne środki zaskarżenia lub zawężenia żądania.

Jeżeli ujawnienie Klientowi jest prawnie zabronione, QReportly nie ujawni informacji, których ujawniać nie wolno.

Dostawca może aktualizować niniejszą Politykę w celu odzwierciedlenia zmian legislacyjnych, technicznych lub operacyjnych. Aktualna wersja jest publikowana na Platformie wraz z datą aktualizacji.

W przypadku istotnych zmian Klient zostanie poinformowany za pośrednictwem racjonalnych kanałów (powiadomienie w dashboardzie lub e-mail). Dalsze korzystanie z usług po wejściu zmian w życie oznacza akceptację aktualizacji, w granicach dozwolonych przez prawo.