Polityka Prywatności i Cookies

§ 1. POSTANOWIENIA OGÓLNE

1. Niniejsza Polityka Prywatności i Cookies (dalej: „Polityka") określa zasady przetwarzania danych osobowych, wykorzystywania plików cookies oraz innych technologii śledzących w serwisie internetowym innovacreative.pl (dalej: „Serwis").
2. Administratorem danych osobowych jest:

3. Administrator dokłada szczególnej staranności w celu ochrony prywatności Użytkowników Serwisu oraz bezpieczeństwa przetwarzanych danych osobowych, stosując odpowiednie środki techniczne i organizacyjne zgodne ze stanem wiedzy technicznej.
4. Dane osobowe przetwarzane są zgodnie z obowiązującymi przepisami prawa, w szczególności z:
   • Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (dalej: „RODO"),
   • Ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000 ze zm.),
   • Ustawą z dnia 16 lipca 2004 r. — Prawo telekomunikacyjne (Dz.U. 2004 Nr 171, poz. 1800 ze zm.), w zakresie stosowania cookies i podobnych technologii,
   • Ustawą z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. 2002 Nr 144, poz. 1204 ze zm.).

§ 2. DEFINICJE

Na potrzeby niniejszej Polityki poniższe pojęcia oznaczają:

1. Użytkownik — każda osoba fizyczna odwiedzająca Serwis lub korzystająca z usług oferowanych za jego pośrednictwem.
2. Dane osobowe — wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej w rozumieniu art. 4 pkt 1 RODO.
3. Przetwarzanie — każda operacja lub zestaw operacji wykonywanych na danych osobowych w rozumieniu art. 4 pkt 2 RODO.
4. Cookies (ciasteczka) — niewielkie pliki tekstowe zapisywane na urządzeniu końcowym Użytkownika przez przeglądarkę internetową.
5. Profilowanie — dowolna forma zautomatyzowanego przetwarzania danych osobowych, która polega na ich wykorzystaniu do oceny niektórych czynników osobowych osoby fizycznej (art. 4 pkt 4 RODO).

§ 3. ZAKRES ZBIERANYCH DANYCH OSOBOWYCH

3.1. Formularz kontaktowy

Podczas przesyłania zapytania przez formularz kontaktowy Administrator zbiera:

• imię i nazwisko,
• adres e-mail,
• numer telefonu,
• nazwę firmy (opcjonalnie),
• wybrane kategorie usług,
• treść wiadomości,
• załączone pliki (opcjonalnie).

Podanie danych oznaczonych jako wymagane jest niezbędne do obsługi zapytania. Podanie danych opcjonalnych jest dobrowolne i służy lepszemu przygotowaniu odpowiedzi.

3.2. Formularz briefu projektowego

Podczas przesyłania briefu Administrator zbiera:

• imię i nazwisko,
• adres e-mail,
• nazwę firmy,
• numer telefonu,
• wybraną kategorię usługi,
• zakres budżetowy,
• preferowany termin realizacji,
• szczegóły projektu (odpowiedzi na pytania dotyczące potrzeb biznesowych),
• załączone pliki (opcjonalnie).

3.3. Narzędzie „Grupa docelowa Twojego biznesu"

Podczas korzystania z narzędzia do analizy grupy docelowej, Administrator zbiera:

• imię i nazwisko,
• adres e-mail,
• numer telefonu,
• nazwę firmy,
• branżę,
• lokalizację (obszar działania),
• opis produktu lub usługi,
• adresy profili w mediach społecznościowych (Instagram, Facebook, TikTok, LinkedIn, YouTube — opcjonalnie),
• opis wyróżnika na tle konkurencji,
• opis rozwiązywanych problemów klientów,
• opis idealnego klienta,
• opis obaw i wartości klientów,
• źródła pozyskiwania klientów,
• główny cel biznesowy.

Dane te są przetwarzane w celu wygenerowania spersonalizowanego raportu strategicznego dotyczącego grupy docelowej i pozycjonowania marki. Wygenerowany raport wraz z danymi wejściowymi przechowywany jest w bazie danych Administratora.

3.4. Dane zbierane automatycznie

Podczas korzystania z Serwisu mogą być automatycznie zbierane następujące dane techniczne:

• adres IP,
• typ i wersja przeglądarki internetowej,
• system operacyjny,
• rozdzielczość ekranu,
• język przeglądarki,
• adres URL strony odsyłającej (referer),
• dane dotyczące aktywności na stronie (odwiedzone podstrony, czas spędzony na stronie, głębokość przewijania, kliknięcia).

3.5. Panele administracyjne (Nexus Control / Nexus Staff)

W przypadku pracowników i współpracowników Administratora korzystających z wewnętrznych paneli zarządzania, przetwarzane są:

• adres e-mail (login),
• imię i nazwisko,
• numer telefonu (opcjonalnie),
• rola i uprawnienia w systemie,
• data ostatniego logowania,
• zdjęcie profilowe (opcjonalnie).

3.6. Konto w Panelu Klienta (rejestracja i logowanie)

Serwis udostępnia zamknięty Panel Klienta (dostępny pod adresem /panel), umożliwiający zalogowanym klientom Administratora dostęp do dokumentów, wiadomości oraz — jeżeli usługa jest aktywna — modułu CRM. W związku z założeniem i prowadzeniem konta Administrator przetwarza:

• adres e-mail (login),
• imię i nazwisko,
• hasło — przechowywane wyłącznie w postaci nieodwracalnego skrótu kryptograficznego (hash) przez dostawcę usługi uwierzytelniania; Administrator nie ma dostępu do hasła w postaci jawnej,
• zdjęcie profilowe (avatar) — jeżeli zostało dodane przez Użytkownika lub pobrane z konta Google przy logowaniu,
• datę ostatniego logowania oraz techniczne identyfikatory sesji.

Konto można założyć na dwa sposoby: (i) klasycznie — podając adres e-mail i hasło, albo (ii) korzystając z logowania za pomocą zewnętrznego dostawcy tożsamości — obecnie „Zaloguj się przez Google" (Google Sign-In), a w przyszłości również „Zaloguj się przez Facebook" (Facebook Login). Szczegółowe zasady przetwarzania danych pozyskiwanych z tych usług opisano w § 9 niniejszej Polityki.

3.7. Dane przetwarzane w module CRM (integracja Meta Lead Ads)

W ramach modułu CRM Administrator — działając na zlecenie i na rzecz swoich klientów biznesowych (reklamodawców) — pobiera i porządkuje dane osób, które samodzielnie wypełniły formularze kontaktowe (Lead Ads) w kampaniach reklamowych prowadzonych na platformach Meta (Facebook, Instagram). Zakres tych danych zależy od treści konkretnego formularza reklamowego i może obejmować:

• imię i nazwisko,
• adres e-mail,
• numer telefonu,
• odpowiedzi na pytania zawarte w formularzu reklamowym (np. zainteresowanie usługą, lokalizacja, orientacyjny budżet),
• informacje o kampanii, z której pochodzi zapytanie (nazwa kampanii, zestawu reklam i reklamy oraz platforma).

Dane te są automatycznie porządkowane i ujednolicane z wykorzystaniem narzędzia sztucznej inteligencji (zob. § 5.1 oraz § 7). Podział ról między Administratorem a klientem biznesowym w odniesieniu do tych danych opisano w § 5.4.

§ 4. CELE I PODSTAWY PRAWNE PRZETWARZANIA DANYCH

Administrator przetwarza dane osobowe wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach:

§ 5. ODBIORCY DANYCH OSOBOWYCH

5.1. Podmioty przetwarzające (procesory)

Administrator korzysta z usług zaufanych partnerów technologicznych, którym może powierzyć przetwarzanie danych osobowych na podstawie stosownych umów powierzenia (art. 28 RODO):

5.2. Transfer danych poza Europejski Obszar Gospodarczy (EOG)

W związku z korzystaniem z usług dostawców mających siedzibę w Stanach Zjednoczonych, dane osobowe mogą być transferowane poza EOG. W każdym takim przypadku Administrator zapewnia odpowiedni poziom ochrony danych poprzez:

• stosowanie Standardowych Klauzul Umownych (SCC) zatwierdzonych decyzją Komisji Europejskiej,
• weryfikację uczestnictwa podmiotu w programie EU-U.S. Data Privacy Framework (DPF) — decyzja wykonawcza Komisji Europejskiej z dnia 10 lipca 2023 r.,
• przeprowadzanie oceny skutków transferu (TIA), tam gdzie jest to wymagane.

5.3. Inne kategorie odbiorców

Dane mogą być również udostępniane:

• podmiotom uprawnionym na podstawie przepisów prawa (np. organy ścigania, Urząd Skarbowy),
• doradcom prawnym i księgowym Administratora,
• w zakresie niezbędnym — podwykonawcom realizującym projekty na zlecenie Administratora (na podstawie umów powierzenia).

5.4. Role w zakresie danych przetwarzanych w module CRM

W odniesieniu do danych osób pozyskanych z kampanii reklamowych klientów biznesowych (§ 3.7) Administrator występuje co do zasady jako podmiot przetwarzający (procesor) w rozumieniu art. 28 RODO — przetwarza te dane wyłącznie w imieniu i zgodnie z udokumentowanymi instrukcjami klienta biznesowego, który pozostaje administratorem tych danych. Szczegółowe zasady tego powierzenia określa odrębna umowa powierzenia przetwarzania danych zawierana z klientem biznesowym. Wyłącznie w zakresie własnych, wewnętrznych celów (np. zapewnienie bezpieczeństwa systemu, dochodzenie lub obrona roszczeń, rozliczenia) Administrator działa jako odrębny administrator na podstawie art. 6 ust. 1 lit. f) RODO.

§ 6. PRAWA UŻYTKOWNIKA

Każdy Użytkownik, którego dane osobowe są przetwarzane przez Administratora, ma prawo do:

1. Dostępu do danych (art. 15 RODO) — uzyskania potwierdzenia, czy dane są przetwarzane, a jeśli tak, uzyskania dostępu do nich oraz informacji o celach, kategoriach danych, odbiorcach, okresie przechowywania.
2. Sprostowania danych (art. 16 RODO) — żądania niezwłocznego sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych.
3. Usunięcia danych (art. 17 RODO, „prawo do bycia zapomnianym") — żądania usunięcia danych, gdy m.in. dane nie są już niezbędne do celów przetwarzania, zgoda została cofnięta, dane były przetwarzane niezgodnie z prawem.
4. Ograniczenia przetwarzania (art. 18 RODO) — żądania ograniczenia przetwarzania, np. gdy Użytkownik kwestionuje prawidłowość danych lub wnosi sprzeciw.
5. Przenoszenia danych (art. 20 RODO) — otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego.
6. Sprzeciwu (art. 21 RODO) — wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora, w tym wobec profilowania. W przypadku sprzeciwu wobec przetwarzania na potrzeby marketingu bezpośredniego, Administrator niezwłocznie zaprzestanie przetwarzania w tym celu.
7. Cofnięcia zgody (art. 7 ust. 3 RODO) — w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem.
8. Wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl.

Realizacja praw: Wszelkie żądania należy kierować na adres e-mail: info@innovacreative.pl. Administrator rozpatruje żądania bez zbędnej zwłoki, nie później niż w terminie 30 dni od otrzymania żądania.

§ 7. PROFILOWANIE I ZAUTOMATYZOWANE PODEJMOWANIE DECYZJI

1. Serwis nie podejmuje zautomatyzowanych decyzji w rozumieniu art. 22 RODO, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na Użytkownika.
2. W zakresie analityki (Google Analytics 4) i reklamy (Meta Pixel) może dochodzić do profilowania w celach statystycznych i reklamowych, polegającego na analizie zachowań Użytkownika na stronie w celu dostosowania treści reklamowych. Profilowanie to opiera się na zgodzie Użytkownika (art. 6 ust. 1 lit. a RODO) wyrażonej za pośrednictwem banera cookies.
3. W module CRM treść zapytań pozyskanych z kampanii reklamowych (§ 3.7) jest wstępnie porządkowana przez narzędzie AI (model językowy) wyłącznie w celu ujednolicenia i czytelnego przedstawienia danych (np. rozpoznanie imienia, adresu e-mail, numeru telefonu, streszczenie zapytania). Nie stanowi to zautomatyzowanego podejmowania decyzji wywołującego skutki prawne lub w podobny sposób istotnie wpływającego na osobę, której dane dotyczą. Dane logowania pozyskane z kont Google lub Facebook nie są przekazywane do narzędzi AI.

§ 8. POLITYKA COOKIES I TECHNOLOGII ŚLEDZĄCYCH

8.1. Czym są pliki cookies

Cookies to niewielkie pliki tekstowe zapisywane na urządzeniu końcowym Użytkownika (komputer, smartfon, tablet) przez przeglądarkę internetową podczas korzystania z Serwisu. Cookies nie zawierają danych pozwalających na bezpośrednią identyfikację Użytkownika i nie powodują zmian konfiguracyjnych w urządzeniu końcowym.

8.2. Mechanizm zgody (Consent Mode)

Serwis stosuje mechanizm zarządzania zgodami oparty na Google Consent Mode v2, który zapewnia:

• Domyślne zablokowanie cookies analitycznych i marketingowych do momentu wyrażenia zgody,
• Możliwość wyboru kategorii cookies przez Użytkownika (niezbędne, analityczne, marketingowe),
• Możliwość zmiany preferencji w dowolnym momencie.

Preferencje Użytkownika dotyczące cookies przechowywane są w pamięci lokalnej przeglądarki (localStorage) pod kluczem cookie_consent i nie są przesyłane na serwer Administratora.

8.3. Kategorie cookies

Cookies niezbędne (zawsze aktywne)

Te pliki cookies są konieczne do prawidłowego funkcjonowania Serwisu i nie mogą być wyłączone.

Cookies analityczne (wymagają zgody)

Służą do zbierania informacji o sposobie korzystania z Serwisu w celu jego ulepszania.

Cookies marketingowe (wymagają zgody)

Służą do śledzenia aktywności Użytkowników w celu wyświetlania spersonalizowanych reklam i mierzenia ich skuteczności.

8.4. Inne technologie śledzące

1. localStorage — pamięć lokalna przeglądarki do przechowywania preferencji Użytkownika. Dane te nie są przesyłane na serwer.
2. Meta Conversions API (CAPI) — technologia server-side umożliwiająca przesyłanie zdarzeń konwersji (np. wypełnienie formularza) bezpośrednio z serwera Administratora do serwera Meta Platforms. Przesyłane mogą być hashowane (SHA-256) adresy e-mail, numery telefonów oraz adres IP.
3. Google Tag Manager dataLayer — mechanizm przesyłania zdarzeń analitycznych do Google Analytics. Dane te mają charakter anonimowy.

8.5. Zarządzanie cookies

Użytkownik może w każdej chwili zarządzać ustawieniami cookies poprzez baner cookies na stronie, ustawienia przeglądarki internetowej lub usunięcie danych z localStorage. Zablokowanie cookies analitycznych i marketingowych nie wpływa na działanie Serwisu.

§ 9. LOGOWANIE ZA POMOCĄ GOOGLE I FACEBOOK ORAZ WYKORZYSTANIE DANYCH KONTA GOOGLE

9.1. Zakres uzyskiwanych danych

Serwis umożliwia logowanie do Panelu Klienta za pośrednictwem usługi „Zaloguj się przez Google" (Google Sign-In), opartej na protokole OAuth 2.0 / OpenID Connect. W przypadku skorzystania z tej opcji Administrator uzyskuje z konta Google Użytkownika wyłącznie dane objęte podstawowymi (niewrażliwymi) zakresami uprawnień: openid, email oraz profile, tj.:

• adres e-mail przypisany do konta Google oraz status jego weryfikacji,
• imię i nazwisko (dane profilu),
• zdjęcie profilowe (avatar),
• unikalny identyfikator konta Google.

Administrator nie uzyskuje dostępu do hasła do konta Google, treści wiadomości Gmail, listy kontaktów, plików na Dysku Google, kalendarza ani żadnych innych danych wykraczających poza wskazane wyżej podstawowe dane profilowe. Administrator nie żąda i nie wykorzystuje żadnych zakresów wrażliwych ani zastrzeżonych (sensitive / restricted scopes).

9.2. Cel wykorzystania danych z konta Google

Dane pozyskane z konta Google wykorzystywane są wyłącznie w celu:

• utworzenia i zabezpieczenia konta Użytkownika w Panelu Klienta,
• uwierzytelnienia (zalogowania) Użytkownika oraz utrzymania sesji,
• wstępnego wypełnienia profilu (imię, nazwisko, zdjęcie profilowe) oraz komunikacji związanej z obsługą konta.

9.3. Zgodność z Zasadami Google API Services (Limited Use)

Wykorzystanie i przekazywanie przez Serwis informacji otrzymanych z kont Google oraz interfejsów API Google odbywa się w zgodzie z Zasadami dotyczącymi danych użytkowników usług API Google (Google API Services User Data Policy), w tym z wymogami ograniczonego wykorzystania (Limited Use). W szczególności Administrator oświadcza, że:

• wykorzystuje dane z konta Google wyłącznie w celu zapewnienia i ulepszenia funkcji logowania oraz obsługi konta opisanych w niniejszej Polityce,
• nie przekazuje danych z konta Google podmiotom trzecim, z wyjątkiem dostawcy infrastruktury uwierzytelniania (§ 5.1), gdy jest to niezbędne do świadczenia usługi, wymagane przepisami prawa lub konieczne ze względów bezpieczeństwa,
• nie wykorzystuje danych z konta Google do celów reklamowych ani marketingowych,
• nie sprzedaje danych z konta Google,
• nie udostępnia danych z konta Google narzędziom sztucznej inteligencji ani nie wykorzystuje ich do trenowania modeli AI,
• nie zezwala osobom fizycznym na odczytywanie tych danych, chyba że: Użytkownik wyraził na to uprzednią, wyraźną zgodę; jest to konieczne ze względów bezpieczeństwa (np. badanie nadużyć); wymagają tego obowiązujące przepisy prawa; albo dane zostały uprzednio zagregowane i zanonimizowane na wewnętrzne potrzeby operacyjne.

Oryginalne, wiążące brzmienie powyższego zobowiązania (Limited Use):

„Innova Creative's use and transfer to any other app of information received from Google Accounts and Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements."

9.4. Cofnięcie dostępu i usunięcie danych

Użytkownik może w dowolnym momencie:

• cofnąć dostęp aplikacji do swojego konta Google w ustawieniach konta Google (sekcja Bezpieczeństwo → Twoje połączenia z aplikacjami i usługami innych firm),
• zażądać usunięcia konta w Panelu Klienta oraz powiązanych z nim danych, wysyłając wiadomość na adres info@innovacreative.pl. Administrator usuwa dane bez zbędnej zwłoki, nie później niż w terminie 30 dni, z zastrzeżeniem danych, których dalsze przechowywanie jest wymagane obowiązującymi przepisami prawa.

Zasady prywatności Google dostępne są pod adresem policies.google.com/privacy.

9.5. Logowanie za pomocą Facebook (planowane)

Administrator planuje udostępnić w przyszłości logowanie za pomocą usługi „Zaloguj się przez Facebook" (Facebook Login) dostarczanej przez Meta Platforms. Po uruchomieniu tej funkcji Administrator będzie uzyskiwał z konta Facebook wyłącznie podstawowe dane profilu publicznego (imię i nazwisko, adres e-mail oraz zdjęcie profilowe), wykorzystywane analogicznie — wyłącznie w celu uwierzytelnienia i obsługi konta — z poszanowaniem regulaminów platformy Meta oraz zasad określonych w niniejszej Polityce. Do czasu udostępnienia tej funkcji dane za pośrednictwem Facebook Login nie są zbierane.

§ 10. BEZPIECZEŃSTWO DANYCH

Administrator stosuje odpowiednie środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych, w szczególności:

• szyfrowanie transmisji danych protokołem SSL/TLS (HTTPS),
• zabezpieczenie bazy danych mechanizmem Row Level Security (RLS),
• nagłówki bezpieczeństwa HTTP zapobiegające m.in. clickjackingowi,
• ograniczanie częstotliwości żądań (rate limiting) na formularzach,
• hashowanie danych osobowych (algorytm SHA-256) przed przekazaniem podmiotom trzecim.

§ 11. DANE DZIECI

Serwis nie jest kierowany do osób poniżej 16 roku życia. Administrator świadomie nie zbiera danych osobowych dzieci.

§ 12. LINKI DO SERWISÓW ZEWNĘTRZNYCH

Serwis może zawierać linki do zewnętrznych stron internetowych (np. profili w mediach społecznościowych). Administrator nie ponosi odpowiedzialności za zasady ochrony prywatności stosowane przez operatorów tych stron.

§ 13. ZMIANY POLITYKI PRYWATNOŚCI

Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce. Korzystanie z Serwisu po dacie wprowadzenia zmian oznacza zapoznanie się z nową treścią Polityki.

§ 14. KONTAKT W SPRAWACH OCHRONY DANYCH

W sprawach związanych z przetwarzaniem danych osobowych prosimy o kontakt e-mailowy: info@innovacreative.pl

§ 15. POSTANOWIENIA KOŃCOWE

W sprawach nieuregulowanych niniejszą Polityką zastosowanie mają obowiązujące przepisy prawa polskiego i unijnego, w szczególności RODO.