Polityka Prywatności

QReportly („Platforma” lub „Dostawca”) przywiązuje fundamentalne znaczenie do ochrony danych osobowych i prywatności osób korzystających z jego usług.

Niniejsza Polityka Prywatności ma zastosowanie do: (i) przetwarzania prowadzonego przez Dostawcę jako Administratora Danych na potrzeby własnych działań (konta administratorów, fakturowanie, wsparcie); (ii) przetwarzania prowadzonego przez Dostawcę jako Podmiot Przetwarzający (Processor) w imieniu Klientów, dla danych zawartych w zgłoszeniach i operacjach wewnętrznego kanału zgłoszeń.

Dla publicznego kanału zgłoszeń dostępnego dla zgłaszających, Dostawca stosuje zaawansowane techniczne i organizacyjne środki minimalizacji danych, opisane w dedykowanych sekcjach poniżej.

W odniesieniu do danych osobowych zawartych w zgłoszeniach przesyłanych przez kanał wewnętrzny, raportach, wiadomościach, załączonych plikach i metadanych operacyjnych związanych z obsługą spraw, Klient — Wdrozony Podmiot Prawny — działa jako Administrator Danych (Data Controller).

QReportly działa wyłącznie jako Podmiot Przetwarzający (Data Processor / Dostawca techniczny), przetwarzając dane wyłącznie na podstawie udokumentowanych instrukcji Klienta, w celu świadczenia zakontraktowanych usług i w granicach niniejszej Polityki oraz Umowy Korzystania.

W odniesieniu do danych własnych kont administratorów, danych rozliczeniowych i komunikacji handlowej, Dostawca działa jako niezależny Administrator Danych i ma obowiązek przekazywać osobom, których dane dotyczą, informacje wymagane przez RODO.

W zależności od sposobu korzystania z Platformy mogą być przetwarzane następujące kategorie danych:

Platforma została zaprojektowana strukturalnie tak, aby nie zbierać, nie logować ani nie przechowywać adresów IP, danych geolokalizacyjnych ani odcisków cyfrowych przeglądarki (browser fingerprinting) sygnalistów korzystających z publicznego kanału zgłoszeń.

Ta architektura minimalizacji ma na celu ograniczenie ryzyka ponownej identyfikacji zgłaszających, którzy wybierają zgłoszenie anonimowe, oraz wsparcie Klienta w realizacji obowiązków prawnych dotyczących poufności.

Dostawca nie stosuje technologii śledzenia behawioralnego, profilowania reklamowego ani inwazyjnej analityki wewnątrz przepływu zgłoszeń przeznaczonego dla zgłaszających. Wszelkie narzędzia analityczne używane na publicznej stronie prezentacyjnej są oddzielone od bezpiecznego kanału zgłoszeń.

Wszystkie pliki załączane do zgłoszeń (dokumenty PDF, DOCX, obrazy PNG/JPG/JPEG) są poddawane automatycznemu procesowi kryptograficznego czyszczenia metadanych w momencie przesyłania, w tym między innymi: danych EXIF obrazów, informacji o autorze dokumentu, osadzonych właściwości, znaczników czasu edycji i innych elementów, które mogłyby ułatwić niezamierzoną ponowną identyfikację.

Proces sanityzacji odbywa się przed ostatecznym zapisaniem plików w infrastrukturze Platformy. Klient odpowiada za ocenę, czy informacje pozostające w widocznej treści dokumentów są odpowiednie dla celu postępowania wyjaśniającego.

Pliki, które nie mogą zostać bezpiecznie przetworzone lub przekraczają ustalone limity techniczne, mogą zostać automatycznie odrzucone bez zachowania oryginalnej treści.

Dostawca stosuje rygorystyczne polityki retencji i automatycznego usuwania, zaprojektowane w celu ograniczenia ekspozycji danych poza okresy niezbędne do świadczenia usługi i zapewnienia zgodności prawnej.

Jako Podmiot Przetwarzający, Dostawca przetwarza dane zgłoszeń na podstawie umowy zawartej z Klientem (art. 6 ust. (1) lit. b RODO) oraz obowiązków prawnych mających zastosowanie do dostawców usług chmurowych (art. 6 ust. (1) lit. c RODO, tam gdzie ma to zastosowanie).

Jako Administrator dla kont administracyjnych, podstawy obejmują: wykonanie umowy; uzasadniony interes dotyczący bezpieczeństwa Platformy i zapobiegania nadużyciom; obowiązki prawne rachunkowe i podatkowe; zgodę, tam gdzie jest wyraźnie wymagana (np. komunikacja marketingowa — jeśli aktywowana).

Osobom, których dane dotyczą, przysługują prawa przewidziane przez RODO: dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw oraz prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, na warunkach określonych prawem.

W przypadku danych ze zgłoszeń, żądania dotyczące realizacji praw powinny być kierowane w pierwszej kolejności do Klienta, jako Administratora Danych. Dostawca będzie wspierał Klienta w rozsądnym zakresie i zgodnie z umową w realizacji takich żądań.

W przypadku danych przetwarzanych przez Dostawcę jako Administratora (konta administratorów, rozliczenia), żądania można przekazywać na adres kontaktowy wskazany na końcu niniejszego dokumentu. Dostawca udzieli odpowiedzi w terminach przewidzianych przez RODO.

Osoby, których dane dotyczą, mają prawo złożyć skargę do właściwego organu nadzorczego w państwie członkowskim ich zwykłego miejsca pobytu, miejsca pracy lub miejsca domniemanego naruszenia.

Dostawca wdraża odpowiednie środki techniczne i organizacyjne w celu ochrony danych, w tym: szyfrowanie transmisji (TLS), kontrole dostępu oparte na rolach, logiczną izolację między workspace, monitorowanie bezpieczeństwa, procedury reagowania na incydenty oraz szyfrowane kopie zapasowe w infrastrukturze hostowanej w Unii Europejskiej.

Żaden system nie może zagwarantować absolutnego bezpieczeństwa. W przypadku incydentu bezpieczeństwa wpływającego na dane Klientów, Dostawca powiadomi Klienta bez nieuzasadnionej zwłoki, zgodnie z mającymi zastosowanie obowiązkami umownymi i prawnymi.

Dostawca może korzystać z podprzetwarzających w zakresie hostingu, przetwarzania płatności, dostarczania wiadomości e-mail lub bezpieczeństwa, z obowiązkiem nałożenia na nich gwarancji umownych równoważnych tym przewidzianym przez RODO.

Dane są przechowywane głównie w Unii Europejskiej. Jeżeli niektóre usługi podmiotów trzecich obejmują transfery poza EOG, Dostawca będzie stosował uznane mechanizmy transferu (Standardowe Klauzule Umowne, decyzje stwierdzające odpowiedni stopień ochrony lub inne gwarancje dopuszczone przez RODO).

Dostawca może aktualizować niniejszą Politykę w celu odzwierciedlenia zmian legislacyjnych, technicznych lub operacyjnych. Aktualna wersja jest publikowana na Platformie wraz z datą aktualizacji.

W przypadku istotnych zmian Klient zostanie poinformowany za pośrednictwem racjonalnych kanałów (powiadomienie w dashboardzie lub e-mail). Dalsze korzystanie z usług po wejściu zmian w życie oznacza akceptację aktualizacji, w granicach dozwolonych przez prawo.