Polityka prywatności — wersja 1.1

Polityka realizuje obowiązki informacyjne z art. 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

1. Administrator

Administratorem danych osobowych jest Samael Spółka z ograniczoną odpowiedzialnością, Czarna Droga 84, 33-101 Tarnów, KRS 0000503734, NIP 9930654255 (dalej „my”). Kontakt w sprawach danych osobowych: biuro@substraty.pl lub listownie na adres siedziby.

Nie wyznaczyliśmy inspektora ochrony danych (art. 37 RODO nie nakłada na nas takiego obowiązku).

2. Zasady w skrócie

Serwis nie używa ciasteczek analitycznych ani reklamowych i nie korzysta z zewnętrznych narzędzi śledzących (szczegóły: Polityka cookies).
Nie profilujemy Cię i nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu (art. 22 RODO).
Nie sprzedajemy danych i nie przekazujemy ich do celów marketingowych innych podmiotów.
Kalkulator kofermentacji działa w Twojej przeglądarce — wpisane dane trafiają tylko do adresu strony, nie do nas.

3. Cele, podstawy prawne i okresy przechowywania

Kiedy	Jakie dane	Cel i podstawa prawna	Jak długo
Przeglądasz Serwis	adres IP, data i godzina, adres strony, nagłówek przeglądarki (logi serwera)	bezpieczeństwo i diagnostyka Serwisu — prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO)	90 dni
Oglądasz profil firmy w katalogu	adres IP i nagłówek przeglądarki — wyłącznie w pamięci operacyjnej serwera	liczenie wyświetleń i kliknięć dla statystyk firm bez powtórzeń oraz ochrona przed nadużyciami — art. 6 ust. 1 lit. f RODO. Zapisujemy tylko dzienne sumy bez danych osobowych; nie używamy ciasteczek	do 30 minut, bez zapisu na dysk
Piszesz do nas (e-mail, korekta, zgłoszenie firmy, reklamacja, zgłoszenie treści)	adres e-mail, imię i nazwisko, treść wiadomości i załączniki	obsługa sprawy — art. 6 ust. 1 lit. f RODO; gdy sprawa dotyczy umowy — art. 6 ust. 1 lit. b; reklamacje i zgłoszenia DSA — także art. 6 ust. 1 lit. c (obowiązki z u.p.k. i DSA)	do zakończenia sprawy, a potem 3 lata (przedawnienie roszczeń, art. 118 k.c.)
Zapisujesz się do newslettera	adres e-mail, daty zapisu, potwierdzenia i wypisu, źródło zapisu, treść i wersja zgody (bez adresu IP)	wysyłka newslettera — zgoda (art. 6 ust. 1 lit. a RODO; art. 398 ustawy — Prawo komunikacji elektronicznej); dowód zgody i wypisu — art. 6 ust. 1 lit. f	do wypisu; zapis niepotwierdzony — usuwamy po 7 dniach; po wypisie przechowujemy adres i daty jako dowód przez 3 lata
Zakładasz konto w panelu	e-mail, skrót hasła (argon2id — nie znamy hasła), opcjonalnie sekret i kody zapasowe logowania dwuetapowego, wersja i data akceptacji regulaminu, sesje	zawarcie i wykonanie umowy o prowadzenie konta — art. 6 ust. 1 lit. b RODO	do usunięcia konta; konto bez potwierdzonego e-maila — usuwamy po 30 dniach. Po usunięciu konta e-mail jest anonimizowany, a hasło, 2FA i sesje usuwane
Bezpieczeństwo panelu	dziennik zdarzeń: logowania, nieudane próby, zmiany konta, odrzucone formularze — z adresem IP i przeglądarką	ochrona kont i Serwisu, wykrywanie nadużyć — art. 6 ust. 1 lit. f RODO	12 miesięcy
Prowadzisz profil firmy	dane firmy i osób kontaktowych podane w profilu (imię i nazwisko, stanowisko, telefon, e-mail, zdjęcia), historia wersji profilu	publikacja w katalogu — art. 6 ust. 1 lit. b RODO (umowa); dane osób kontaktowych wskazanych przez firmę — art. 6 ust. 1 lit. f (interes firmy i nasz w prezentacji kontaktu)	do usunięcia wpisu; dane z pakietu płatnego po jego wygaśnięciu — 12 miesięcy
Firma jest w katalogu bez konta	dane z publicznych źródeł (strona firmy, KRS, CEIDG, REGON, wykaz VAT) — dla jednoosobowych działalności także imię i nazwisko w nazwie firmy	prowadzenie katalogu branżowego — art. 6 ust. 1 lit. f RODO	do usunięcia wpisu albo uwzględnienia sprzeciwu
Przejmujesz profil firmy	e-mail, domena, dokumenty potwierdzające umocowanie	weryfikacja uprawnienia — art. 6 ust. 1 lit. f RODO	dokumenty — 12 miesięcy od decyzji
Przesyłasz pliki	treść oświadczenia o prawach do materiałów, jego wersja i skrót, data, konto, firma, rodzaj pliku, adres IP, przeglądarka	dowód udzielenia licencji i obrona przed roszczeniami — art. 6 ust. 1 lit. f RODO	przez czas publikacji materiału i 3 lata po jej zakończeniu (art. 442¹ k.c.)
Zamawiasz usługę płatną	dane do faktury (nazwa, NIP, adres, e-mail do dokumentów), zamówienia, pro formy, dane osoby składającej zamówienie, korespondencja	zawarcie i wykonanie umowy — art. 6 ust. 1 lit. b RODO; ustalenie i dochodzenie roszczeń — art. 6 ust. 1 lit. f	czas umowy i 3 lata po jej zakończeniu, licząc do końca roku kalendarzowego (art. 118 k.c.)
Płacisz	kwota, data, tytuł, numer rachunku nadawcy (przelew); identyfikator transakcji i status (płatność online)	rozliczenie umowy — art. 6 ust. 1 lit. b; obowiązki podatkowe i rachunkowe — art. 6 ust. 1 lit. c RODO	jak faktury
Wystawiamy fakturę	dane z faktury	obowiązki z ustawy o VAT (w tym KSeF) i ustawy o rachunkowości — art. 6 ust. 1 lit. c RODO	5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 70 § 1 Ordynacji podatkowej, art. 112 ustawy o VAT); dowody księgowe — co najmniej 5 lat (art. 74 ust. 2 ustawy o rachunkowości)
Zamawiasz badanie BMP w laboratorium	dane kontaktowe (imię i nazwisko osoby kontaktowej, telefon, e-mail), adres wysyłki Zestawu, opis próbki, zamówione pozycje, śledzenie przesyłki, wyniki badania i raport laboratorium	wykonanie umowy (wysyłka Zestawu, odbiór próbki, badanie, udostępnienie wyników) — art. 6 ust. 1 lit. b RODO; faktura po wynikach — jak w wierszu „Wystawiamy fakturę”	czas umowy i 3 lata po jej zakończeniu, licząc do końca roku kalendarzowego (art. 118 k.c.); wyniki i raporty w Panelu — do usunięcia konta lub firmy z Panelu, nie krócej niż do upływu terminu przedawnienia roszczeń
Zgadzasz się na publikację wyniku badania w bazie BMP	opis próbki i dane z wyniku badania w formie anonimowej (bez nazwy firmy i danych kontaktowych); zapis treści i daty zgody	publikacja w bazie BMP Serwisu — zgoda (art. 6 ust. 1 lit. a RODO); możesz ją wycofać w Panelu lub e-mailem na biuro@substraty.pl do czasu publikacji (wycofanie nie wpływa na zgodność z prawem wcześniejszego przetwarzania); opublikowane dane anonimowe nie są danymi osobowymi	zapis zgody — do jej wycofania i 3 lata po tym dniu; opublikowane dane anonimowe — bezterminowo
Zamawiasz artykuł	brief, teksty, materiały, dane ekspertów wskazanych przez Klienta, uwagi do wersji	wykonanie umowy — art. 6 ust. 1 lit. b RODO (dane ekspertów — art. 6 ust. 1 lit. f)	czas publikacji artykułu i 3 lata
Wiadomości o umowie	e-mail, treść wiadomości (pro forma, faktura, przypomnienia o końcu okresu, zmiana cennika lub regulaminu)	wykonanie umowy — art. 6 ust. 1 lit. b RODO	kopie wysłanych wiadomości — 12 miesięcy
Informacje handlowe e-mailem	e-mail, treść zgody	marketing własnych usług — zgoda (art. 6 ust. 1 lit. a RODO, art. 398 Prawa komunikacji elektronicznej)	do cofnięcia zgody
Kopie zapasowe	wszystkie powyższe dane systemów	ciągłość działania i odtworzenie po awarii — art. 6 ust. 1 lit. f RODO	rotacja 30 dni

Podanie danych jest dobrowolne, ale niezbędne do skorzystania z danej usługi (np. bez adresu e-mail nie założysz konta ani nie zapiszesz się do newslettera; bez danych do faktury nie zawrzemy umowy płatnej). Dane do faktury są wymagane przepisami ustawy o VAT.

4. Skąd mamy dane, jeśli nie od Ciebie

Dane firm w katalogu (i, w jednoosobowych działalnościach, imię i nazwisko przedsiębiorcy) pozyskujemy z publicznych źródeł: stron internetowych firm, Krajowego Rejestru Sądowego, CEIDG, rejestru REGON i wykazu podatników VAT (art. 14 RODO). Dane osób kontaktowych w profilu przekazuje nam firma, która je wskazała. Przy podpowiadaniu danych firmy po NIP panel wysyła zapytanie do wykazu podatników VAT Ministerstwa Finansów.

5. Odbiorcy danych

Dane przekazujemy wyłącznie w zakresie niezbędnym do celu:

OVHcloud (grupa OVH; spółka dominująca: OVH SAS, 2 rue Kellermann, 59100 Roubaix, Francja) — hosting serwera (VPS), na którym działają Serwis, panel, system treści i nasz serwer poczty (Mailcow); podmiot przetwarzający (art. 28 RODO). Serwer znajduje się w centrum danych OVHcloud w Niemczech; ten dostawca nie przekazuje danych poza Europejski Obszar Gospodarczy. Poczta biuro@substraty.pl i noreply@substraty.pl jest obsługiwana na naszym serwerze, bez zewnętrznego dostawcy poczty.
Krajowy Integrator Płatności S.A. (tpay.com; plac Andersa 3, 17 piętro, 61-894 Poznań; KRS 0000412357) — płatności online: BLIK, karta płatnicza i szybki przelew; w zakresie danych płatniczych operator działa jako odrębny administrator. Do operatora przekazujemy tylko dane niezbędne do realizacji płatności (kwota, tytuł, adres e-mail i nazwa płatnika).
mBank S.A. — bank prowadzący nasz rachunek; otrzymuje dane z przelewów jako odrębny administrator.
Szef Krajowej Administracji Skarbowej / Ministerstwo Finansów — Krajowy System e-Faktur (faktury ustrukturyzowane) oraz wykaz podatników VAT (zapytania o NIP); na podstawie przepisów prawa.
Podmiot świadczący usługi księgowe i podatkowe na rzecz Usługodawcy — w zakresie dokumentów rozliczeniowych (faktury, pro formy, dowody zapłaty); podmiot przetwarzający (art. 28 RODO).
Przewoźnik (DPD Polska Sp. z o.o.) doręczający Zestaw do pobrania próbki i przewożący próbkę do laboratorium — otrzymuje imię i nazwisko lub nazwę odbiorcy, adres i telefon kontaktowy w zakresie niezbędnym do doręczenia przesyłki; w zakresie doręczenia działa jako odrębny administrator albo podmiot przetwarzający, zależnie od umowy z przewoźnikiem. Numer przesyłki i adres śledzenia podajemy w e-mailu i w Panelu.
Laboratorium wykonujące badania BMP — zewnętrzny, niezależny od nas podmiot (nie jest częścią Samael Sp. z o.o.). Otrzymuje opis próbki, numer zamówienia i dane kontaktowe niezbędne do realizacji badania i przekazania wyników; zależnie od umowy z laboratorium działa jako nasz podmiot przetwarzający (art. 28 RODO) albo jako odrębny administrator w zakresie swoich obowiązków prawnych. Nazwę laboratorium podajemy w Panelu i na stronie zamawiania badań.
OpenStreetMap Foundation (Wielka Brytania) — tylko gdy klikniesz „Wczytaj mapę” w profilu firmy: Twoja przeglądarka łączy się z serwerem OpenStreetMap, który otrzymuje Twój adres IP jako odrębny administrator. Wielka Brytania ma decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony. Bez kliknięcia nie łączymy się z OpenStreetMap.
Organy publiczne i sądy — gdy żądają tego na podstawie przepisów.

Dane z publicznego profilu firmy w katalogu są dostępne dla wszystkich odwiedzających Serwis.

Sztuczna inteligencja. Do przygotowania i weryfikacji treści redakcyjnych (wpisy, FAQ, dane BMP) używamy modeli AI zewnętrznych dostawców, bez przekazywania im danych osobowych użytkowników Serwisu — danych kont panelu, zamówień, korespondencji ani subskrybentów newslettera. Zadania redakcyjne są w naszym systemie oznaczone jako nieprzetwarzające danych osobowych; jeżeli w materiale źródłowym wystąpią dane osobowe, system wykrywa je i przekazuje wyłącznie modelom dostawców z UE lub USA dopuszczonym do danych osobowych (dla USA — na podstawie EU-US Data Privacy Framework lub standardowych klauzul umownych) albo przed wysłaniem zastępuje je znacznikami (pseudonimizacja).

6. Przekazywanie poza Europejski Obszar Gospodarczy

Przekazanie poza EOG może nastąpić wyłącznie przez podmioty wymienione w pkt 5 (OpenStreetMap — Wielka Brytania) oraz — wyłącznie dla danych osobowych występujących w publicznych materiałach źródłowych — dostawców modeli AI z USA (zob. „Sztuczna inteligencja” w pkt 5) na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (art. 45 RODO, w tym EU-US Data Privacy Framework) albo standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO). Kopię zabezpieczeń możesz uzyskać, pisząc na biuro@substraty.pl.

7. Twoje prawa

Masz prawo do:

dostępu do danych i otrzymania ich kopii (art. 15 RODO),
sprostowania danych (art. 16),
usunięcia danych (art. 17),
ograniczenia przetwarzania (art. 18),
przenoszenia danych przetwarzanych na podstawie umowy lub zgody (art. 20),
sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 21) — m.in. wobec publikacji danych w katalogu firm,
cofnięcia zgody w dowolnym momencie (np. link wypisu w newsletterze) — bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia (art. 7 ust. 3),
wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Wniosek wyślij na biuro@substraty.pl. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca (art. 12 ust. 3 RODO). Konto usuniesz samodzielnie w panelu („Konto i bezpieczeństwo”); z newslettera wypiszesz się linkiem w każdej wiadomości.

8. Bezpieczeństwo

Stosujemy m.in.: szyfrowane połączenia (HTTPS, HSTS), hasła przechowywane jako skrót argon2id, logowanie dwuetapowe (TOTP), limity prób logowania, ochronę formularzy przed atakami CSRF, nagłówki bezpieczeństwa (CSP), usuwanie metadanych (EXIF, GPS) ze zdjęć, kontrolę typów przesyłanych plików i dziennik zdarzeń bezpieczeństwa. Dostęp do danych w panelu administracyjnym mają wyłącznie upoważnione osoby.

9. Zmiany polityki

O zmianach informujemy na tej stronie (z numerem wersji i archiwum), a użytkowników panelu i subskrybentów newslettera — także e-mailem, jeżeli zmiana ich dotyczy.