Polityka prywatności

Informacja o wersji językowej. Niniejszy dokument jest wyłącznie informacyjnym tłumaczeniem na język polski. Prawnie wiążąca jest wersja litewska: Polityka prywatności (po litewsku). Tłumaczenie może różnić się od oryginału sformułowaniami; w razie rozbieżności rozstrzyga wersja litewska.

Obowiązuje od 2026-10-31 (wersja 1.3).

1. Kim jesteśmy

Administratorem danych osobowych (w Części A) i podmiotem przetwarzającym (w Części B) jest UAB NVGroup, kod osoby prawnej 149942553, numer VAT LT499425515, siedziba: Elektrinės g. 8, 03150 Vilnius (dalej: my).

W sprawach ochrony danych oraz z wnioskami osób, których dane dotyczą, prosimy pisać na adres: info@skerry.eu. Obsługujemy wyłącznie drogą e-mailową. Nie przyjmujemy rozmów telefonicznych i nie udzielamy informacji przez telefon.

Nie tworzymy odrębnego adresu dla wniosków osób, których dane dotyczą: wszystkie wnioski przyjmujemy pod tym adresem. Nie wyznaczamy inspektora ochrony danych: w naszej ocenie przesłanki z art. 37 ust. 1 RODO nie zachodzą (nie jesteśmy organem publicznym, a naszą główną działalnością nie jest regularne i systematyczne monitorowanie osób na dużą skalę ani przetwarzanie szczególnych kategorii danych).

Polityka dotyczy strony internetowej skerry.eu oraz portalu klienta (dalej łącznie: Usługa). Jest skierowana do osób odwiedzających stronę, składających zapytania i zamówienia oraz do użytkowników portalu. Usługa jest świadczona na rzecz przedsiębiorców; nie jest przeznaczona dla konsumentów.

2. Nasza rola: dwie odrębne relacje

Administratorem danych osób odwiedzających stronę, składających zapytania i zamawiających jest UAB NVGroup. Administratorem danych przetwarzanych w portalu klienta jest klient, a UAB NVGroup jest jego podmiotem przetwarzającym na podstawie umowy powierzenia przetwarzania danych osobowych.

W Części A cele i środki przetwarzania określamy my. W Części B cele i środki określa klient (operator basenu, SPA lub hotelu, firma obsługująca), a my działamy wyłącznie na jego polecenie, na podstawie art. 28 RODO oraz umowy powierzenia przetwarzania danych (po litewsku).

Jeżeli Państwa dane znajdują się we wpisach wprowadzonych lub przesłanych przez klienta (na przykład jest Pan/Pani pracownikiem tego klienta, a Państwa imię wskazano jako autora odczytu), w sprawie swoich praw należy zwrócić się w pierwszej kolejności do tego klienta; my pomożemy mu w udzieleniu odpowiedzi.

---

Część A. Dane, których jesteśmy administratorem

3. Dane, cele i podstawy prawne

Źródła danych (art. 14 RODO). Najczęściej dane podają Państwo sami. Gdy zaproszenie do portalu wysyła Państwu administrator klienta lub firma obsługująca, Państwa imię i adres e-mail przekazuje nam osoba, która wysłała zaproszenie; wówczas administratorem danych Państwa konta jesteśmy my, a o tym i o niniejszej polityce informujemy w wiadomości z zaproszeniem i na stronie zaproszenia. Gdy zamówienie lub konto tworzone jest w imieniu klienta, dane klienta przekazuje reprezentująca go firma obsługująca.

Czy muszą Państwo podać dane (art. 13 ust. 2 lit. e RODO). W formularzu zapytania imię, adres e-mail i wiadomość są niezbędne, abyśmy mogli odpowiedzieć. W zamówieniu dane firmy, adres e-mail i imię osoby kontaktowej są niezbędne do zawarcia umowy, a dane faktur i płatności musimy przetwarzać na podstawie przepisów o rachunkowości; bez podania tych danych nie będziemy mogli przyjąć zamówienia ani wystawić faktury. Do konta w portalu niezbędne są imię, adres e-mail i hasło. Zpseudonimizowane wartości IP i dane z dzienników serwera są zbierane automatycznie ze względów bezpieczeństwa; ich podanie nie zależy od Państwa.

Zpseudonimizowana wartość IP to skrót SHA-256 adresu IP. Jest traktowana jako dane osobowe, ponieważ zbiór adresów IPv4 jest ograniczony, więc skrót można co do zasady odtworzyć; my go nie odtwarzamy i wykorzystujemy wyłącznie do wykrywania powtórzeń i nadużyć.

Prawnie uzasadniony interes to ochrona Usługi i znajdujących się w niej danych klientów przed nieuprawnionym dostępem oraz możliwość wykazania, co zostało wykonane. Dane przetwarzamy w minimalnym zakresie i nie wykorzystujemy ich do marketingu ani profilowania.

Czego nie zbieramy. Nie stosujemy analityki odwiedzin, narzędzi reklamowych ani śledzących, osadzeń podmiotów trzecich ani danych kart płatniczych (płatność odbywa się przelewem bankowym). Obecnie nie korzystamy z usług sztucznej inteligencji do przetwarzania danych klientów ani odwiedzających. Czcionki są hostowane na naszym serwerze. Jeśli to zmienimy, zaktualizujemy politykę z wyprzedzeniem.

Marketing bezpośredni. Nie wysyłamy wiadomości marketingowych. Gdybyśmy zaczęli, stosowalibyśmy art. 81 litewskiej ustawy o łączności elektronicznej: w przypadku osób prawnych uprzednia zgoda nie jest wymagana, ale każda wiadomość musi zawierać wyraźną, bezpłatną i prostą możliwość rezygnacji; w przypadku osób fizycznych (także prowadzących indywidualną działalność i rolników) wymagana byłaby uprzednia zgoda albo wyjątek dotyczący „podobnych usług” z możliwością rezygnacji. Politykę zaktualizowalibyśmy w tej sprawie z wyprzedzeniem.

4. Odbiorcy i podmioty przetwarzające

Nie korzystamy z operatora płatności (płatność odbywa się przelewem bankowym). Zewnętrznego podmiotu przetwarzającego dane księgowe obecnie nie ma; jeżeli taki będzie wykorzystywany, poinformujemy o tym klientów z wyprzedzeniem i zaktualizujemy niniejszą tabelę oraz umowę powierzenia przetwarzania danych (po litewsku).

Z każdym podmiotem przetwarzającym zawarto lub zostanie zawarta umowa powierzenia przetwarzania danych zgodnie z art. 28 RODO. O zmianach na liście podmiotów przetwarzających informujemy klientów z wyprzedzeniem, w sposób określony w umowie powierzenia przetwarzania danych (po litewsku).

5. Przekazywanie danych poza Europejski Obszar Gospodarczy

Nie przekazujemy danych poza Europejski Obszar Gospodarczy (EOG), z wyjątkiem Szwajcarii. Serwer znajduje się w Unii Europejskiej (Niemcy). Proton AG ma siedzibę w Szwajcarii: wobec Szwajcarii stosuje się decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony (art. 45 RODO; decyzja z 2000 r., pozostawiona w mocy w sprawozdaniu z przeglądu Komisji z 2024-01-15), dlatego dodatkowe środki nie są potrzebne.

6. Okresy przechowywania

Jak usuwamy dane. Obecnie nie ma automatycznych procesów usuwania danych: usunięcie lub anonimizację zapytań, niepotwierdzonych zamówień i przeterminowanych danych wykonuje administrator Dostawcy, a anonimizacja konta została już wdrożona jako działanie administratora.

Dlaczego 24 miesiące. HN 109 wymaga przechowywania niektórych dzienników nie krócej niż 2 lata (zgodnie z pkt 33, 59 i 62); inne rejestry nie mają takiego terminu w tym akcie, ale klient może ich potrzebować do kontroli. Limit 24 miesięcy zapewnia, że po zakończeniu umowy klient nadal może wykazać zgodność, a dane nie są przechowywane bezterminowo. Klient (administrator) może polecić usunięcie wcześniej.

Odczyty, badania laboratoryjne, działania, oceny i dziennik działań są wyłącznie dopisywane: baza danych nie pozwala zmienić ani usunąć istniejącego wpisu, a poprawka jest nowym wpisem. Wyjątkiem jest imię osoby we wpisie (rozdział 7): można je zanonimizować bez zmiany odczytu, czasu, limitu ani działania.

Po upływie 24 miesięcy (lub wcześniej — na pisemne polecenie klienta) dane osobowe w rejestrach są anonimizowane: usuwane są imiona („pomiaru dokonał”, „wykonał”), natomiast same wiersze rejestru (wartość pomiaru, czas, limit, działanie) nie są fizycznie usuwane, ponieważ bez imienia nie są już danymi osobowymi i stanowią materiał dowodowy klienta oraz kontroli. Jeżeli klient jest osobą fizyczną, a nazwa lub adres obiektu go identyfikuje, kwestię tę rozstrzygamy indywidualnie na wniosek klienta: anonimizacja na poziomie organizacji jest obecnie wykonywana ręcznie, przez administratora.

7. Państwa prawa

Przysługuje Państwu prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Zgodę mogą Państwo odwołać w każdej chwili (nie wpływa to na zgodność z prawem przetwarzania dokonanego przed jej odwołaniem). Wnioski prosimy kierować na adres info@skerry.eu; odpowiadamy bez zbędnej zwłoki, w każdym razie w terminie miesiąca od otrzymania wniosku (art. 12 ust. 3 RODO); z uwagi na złożoność lub liczbę wniosków termin ten może zostać przedłużony o kolejne dwa miesiące, o czym wraz z podaniem przyczyn poinformujemy w ciągu pierwszego miesiąca. Przed realizacją wniosku możemy poprosić o potwierdzenie tożsamości.

Usunięcie danych a niezmienne rejestry (art. 17 RODO). Rozróżniamy dwie rzeczy:

• dane osobowe — imię, adres e-mail, dane logowania i uwierzytelniania dwuskładnikowego, sesje, a także imię osoby, która dokonała pomiaru (measured_by), i osoby, która wykonała działanie, we wpisie rejestru;
• wpis pomiaru lub badania — sam odczyt, czas, limit, działanie, które stanowi dla klienta istotny dowód rejestrowy.

Na wniosek osoby, której dane dotyczą, lub klienta (oraz po upływie okna wynoszącego 90 dni po zakończeniu umowy) administrator Dostawcy anonimizuje użytkownika: wyłącza konto, zastępuje jego adres e-mail i imię neutralnym oznaczeniem („Anonimizuotas naudotojas”, czyli zanonimizowany użytkownik), usuwa hasło, sekrety uwierzytelniania dwuskładnikowego i kody odzyskiwania, odwołuje członkostwa i sesje, a w rejestrach klienta zastępuje jego imię (measured_by, imię osoby wykonującej działanie). Odczyty, czasy, limity i działania nie ulegają zmianie. Zmiana jest nieodwracalna; system zapisuje ją w dzienniku działań administratora. Dane faktur, umów i zamówień nie są zmieniane, ponieważ musimy je przechowywać na podstawie przepisów o rachunkowości (rozdział 6).

Wyjątek od prawa do usunięcia danych z uwagi na prawny obowiązek ich przechowywania (art. 17 ust. 3 lit. b RODO) może mieć zastosowanie tylko wtedy, gdy klient (administrator) jest zobowiązany przepisami prawa do przechowywania konkretnego wpisu. Zgodnie z HN 109 termin przechowywania (nie krótszy niż 2 lata) ustalono tylko dla niektórych dzienników (pkt 33, 59 i 62); dla dzienników z załączników 2, 4 i 6 akt nie określa terminu przechowywania. O danych z Części B decyduje klient jako administrator, a my — na jego polecenie.

Kopie zapasowe. Usunięcie lub anonimizacja dotyczy systemu produkcyjnego od razu. Kopie zapasowe są przechowywane przez 14 dni na serwerze i 60 dni w Proton Drive, po czym są automatycznie usuwane, dlatego wniosek w pełni wywiera skutek najpóźniej po 60 dniach. Nie zmieniamy kopii zapasowych i nie wprowadzamy z nich danych do działającego systemu; gdyby kopię trzeba było odtworzyć, powtórzylibyśmy anonimizacje na podstawie dziennika działań administratora. Jest to zgodne z wyjaśnieniem Państwowej Inspekcji Ochrony Danych (Valstybinė duomenų apsaugos inspekcija, VDAI) dotyczącym prawa do bycia zapomnianym w kopiach zapasowych (2026-05): dane są usuwane z systemów aktywnych, wnioski są rejestrowane, a kopie starzeją się w sposób naturalny.

Jeżeli uważają Państwo, że Państwa prawa zostały naruszone, mogą Państwo złożyć skargę do Państwowej Inspekcji Ochrony Danych (VDAI): L. Sapiegos g. 17, 10312 Vilnius (Wilno), adres e-mail ada@ada.lt, strona internetowa vdai.lrv.lt.

8. Decyzje zautomatyzowane

System automatycznie porównuje wprowadzone odczyty i wyniki badań laboratoryjnych z limitami określonymi w przepisach prawa, oznacza przekroczenia, wymaga uwagi o podjętym działaniu oraz pokazuje pominięte pomiary i niewykonane obowiązki. Jest to techniczna weryfikacja według publicznie znanych reguł. Nie podejmuje ona decyzji wywołujących skutki prawne ani w podobny sposób istotnie wpływających na osobę fizyczną i nie jest profilowaniem, dlatego art. 22 RODO nie ma zastosowania. Wnioski, ich status i dalsze działania ustala człowiek (klient lub nasz specjalista).

9. Środki bezpieczeństwa

• każda organizacja widzi tylko swoje dane: izolacja jest wdrożona na poziomie wierszy bazy danych (PostgreSQL row-level security, włączone i obowiązujące nawet właściciela tabeli) i jest sprawdzana testami automatycznymi;
• hasła są przechowywane wyłącznie jako skrót argon2; tokeny sesji, zaproszeń i odzyskiwania — wyłącznie jako skrót (hash);
• można włączyć uwierzytelnianie dwuskładnikowe (TOTP); dla administratorów platformy jest ono obowiązkowe; sekrety TOTP są przechowywane w postaci zaszyfrowanej;
• próby logowania, uwierzytelniania dwuskładnikowego, odzyskiwania hasła i zaproszeń są ograniczane;
• połączenie jest szyfrowane (TLS);
• dziennik działań i wpisy rejestrów są wyłącznie dopisywane; w dzienniku nie ma treści dokumentów;
• dostęp wsparcia do konta klienta jest możliwy wyłącznie w trybie tylko do odczytu, nie dłużej niż 30 minut, i pozostawia ślad audytowy (w tym w dzienniku działań klienta).

Bardziej szczegółowy opis zabezpieczeń udostępniamy na wniosek pod adresem info@skerry.eu.

10. Pliki cookie i magazyn przeglądarki

Stosujemy jeden niezbędny plik cookie:

Jest ustawiany wyłącznie po zalogowaniu i jest bezwzględnie niezbędny do świadczenia Usługi. Nie stosujemy plików cookie analitycznych, reklamowych ani śledzących; publiczne strony serwisu nie ustawiają plików cookie.

Poza plikami cookie w przeglądarce korzystamy z następujących magazynów (nie są one wysyłane na nasz serwer, z wyjątkiem odczytów, które sami Państwo przesyłają do portalu):

Z tych magazynów korzystamy wyłącznie po to, aby zapewnić wyraźnie żądaną przez Państwa funkcję (logowanie, wprowadzanie odczytów bez połączenia, zapisanie wyników autokontroli lub wyboru motywu), dlatego uznajemy je za niezbędne i zgoda nie jest wymagana (wyjątek z art. 73 ust. 4 litewskiej ustawy o łączności elektronicznej: techniczne przechowywanie niezbędne do świadczenia usługi społeczeństwa informacyjnego zamówionej przez użytkownika). Nie wykorzystujemy ich do analityki, reklamy ani do Państwa śledzenia; gdyby zaszła taka potrzeba, wcześniej poprosilibyśmy o zgodę.

11. Zmiany

Politykę aktualizujemy w razie zmiany podmiotów przetwarzających, celów lub terminów. O istotnych zmianach informujemy klientów z wyprzedzeniem. Obowiązująca wersja i jej data są wskazane na górze strony.

12. Kontakt

Ochrona danych i pytania ogólne: info@skerry.eu. UAB NVGroup, Elektrinės g. 8, 03150 Vilnius.

Powiązane dokumenty: regulamin usługi (po litewsku), umowa powierzenia przetwarzania danych (po litewsku), kontakt (po litewsku).

Dla osób w Polsce

Jako administrator danych w Części A mamy siedzibę na Litwie; organem nadzorczym właściwym dla nas jest litewska Państwowa Inspekcja Ochrony Danych (VDAI) — dane kontaktowe znajdują się w rozdziale 7.

Niezależnie od tego, zgodnie z art. 77 ust. 1 RODO każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca domniemanego naruszenia. W Polsce organem tym jest Prezes Urzędu Ochrony Danych Osobowych (UODO): ul. Stanisława Moniuszki 1A, 00-014 Warszawa, strona internetowa uodo.gov.pl. Informacje o sposobie złożenia skargi (w formie pisemnej lub za pomocą e-Doręczeń) są dostępne na stronie UODO. W zależności od okoliczności sprawy skargę może rozpatrzyć UODO albo — w ramach współpracy organów nadzorczych (art. 56 i 60 RODO) — organ właściwy dla siedziby administratora, czyli VDAI.

Skarga do organu nadzorczego nie wyłącza prawa do skutecznego środka ochrony prawnej przed sądem przeciwko administratorowi lub podmiotowi przetwarzającemu (art. 79 RODO).

Historia zmian