Polityka prywatności serwisu internetowego

25 maja 2018 roku zaczęło obowiązywać Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (określane jako „RODO”, „ORODO”, „GDPR” lub „Ogólne Rozporządzenie o Ochronie Danych”). W związku z tym chcielibyśmy poinformować o przetwarzaniu Twoich danych oraz zasadach, na jakich się odbywa.

Niniejsza polityka prywatności dotyczy serwisu internetowego sunrise-sarbinowo.pl.

Mówimy o danych osobowych wprowadzanych przez Ciebie w formularzach oraz zbieranych podczas korzystania przez Ciebie z naszego serwisu, w tym zapisywanych w plikach cookies.

Administratorem Twoich danych jest P.P.H.U. BIX Beata Misztal, Rybitwy 10/4, 88-170 Pakość, NIP 556-207-50-69, tel. 510 050 908, e-mail: kontakt@sunrise-sarbinowo.pl.

Przetwarzamy Twoje dane osobowe w celu: a) umożliwienia Ci kontaktu z nami poprzez formularze; b) aby zapewnić Ci większe bezpieczeństwo usług, wykryć działania robotów, oszustwa oraz nadużycia, a także w celu dokonywania pomiarów, pozwalających nam na tworzenie lepszych, bardziej dopasowanych do Ciebie usług.

Dane podlegają udostępnieniu podmiotom zewnętrznym wyłącznie w granicach prawnie dozwolonych.

Dane Użytkownika mogą być przekazywane poza obszar Unii Europejskiej — do państw trzecich. W związku z faktem, że Administrator korzysta z zewnętrznych dostawców różnych usług, np. Facebook i spółki zależne, Google, Microsoft, Apple itp., dane Użytkownika mogą być przekazywane do Stanów Zjednoczonych Ameryki (USA) w związku z ich przechowywaniem na amerykańskich serwerach (w całości lub częściowo). Google i Facebook stosują mechanizmy zgodności przewidziane przez RODO (np. certyfikaty) lub standardowe klauzule umowne w odniesieniu do swoich usług.

Dane będą przekazywane wyłącznie odbiorcom, którzy gwarantują najwyższą ochronę i bezpieczeństwo danych, m.in. poprzez: a) współpracę z podmiotami przetwarzającymi dane osobowe w państwach, w odniesieniu do których została wydana stosowna decyzja Komisji Europejskiej; b) stosowanie standardowych klauzul umownych wydanych przez Komisję Europejską (tak jak ma to miejsce np. w przypadku Google); c) stosowanie wiążących reguł korporacyjnych zatwierdzonych przez właściwy organ nadzorczy; d) lub tym, na przekazywanie danych osobowych którym Użytkownik wyraził zgodę.

Szczegółowe informacje dostępne są w treści polityki prywatności każdego z dostawców tych usług, dostępnych na ich stronach internetowych, np. Apple: apple.com/pl/legal/privacy, Google LLC: policies.google.com/privacy, Meta Platforms Ireland Ltd.: facebook.com/privacy/policy. Obecnie usługi oferowane przez Google oraz Facebook dostarczane są głównie przez podmioty znajdujące się w Unii Europejskiej. Należy jednak każdorazowo zapoznać się z polityką prywatności tych dostawców w celu otrzymania aktualnej informacji w zakresie ochrony danych osobowych.

Dane osobowe przetwarzane są według zasad zgodnych z obowiązującymi przepisami: w części a) na podstawie art. 6 ust. 1 lit. a ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów); w części b) na podstawie art. 6 ust. 1 lit. f ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem).

W przypadku naruszenia ochrony danych informowane są stosowne organy zgodnie z obowiązującym prawem.

Twoje dane osobowe przetwarzamy przez czas, który jest potrzebny, aby osiągnąć wyznaczony cel, lub do momentu wycofania Twojej zgody.

W celu ochrony Twoich danych osobowych wdrożono Politykę Ochrony Danych Osobowych, zgodną z rozporządzeniem RODO, obowiązującą w naszej firmie według poniższych reguł i standardów.

Reguła adekwatności — przetwarzamy tylko te dane, które są niezbędne dla osiągnięcia danego celu przetwarzania.

Reguła transparentności — powinieneś mieć pełną wiedzę o tym, co dzieje się z Twoimi danymi. Niniejszy dokument, w którym staramy się udzielić Ci pełnej informacji o regułach przetwarzania przez nas Twoich danych osobowych, jest jej przejawem.

Reguła prawidłowości — staramy się, aby Twoje dane osobowe w naszych systemach były aktualne i zgodne z prawdą. Jeżeli stwierdzisz, że w jakimś obszarze Twoje dane osobowe nie zostały przez nas zaktualizowane lub są błędne, proszę skontaktuj się z nami: tel. 510 050 908, e-mail kontakt@sunrise-sarbinowo.pl.

Reguła integralności i poufności — stosujemy niezbędne środki zabezpieczające poufność i integralność Twoich danych osobowych. Cały czas je usprawniamy, wraz ze zmieniającym się otoczeniem i postępem technologicznym. Zabezpieczenia obejmują środki fizyczne i technologiczne ograniczające dostęp do Twoich danych, jak również stosowne środki zabezpieczające przed utratą Twoich danych.

Reguła rozliczalności — chcemy móc rozliczyć się z każdego naszego działania na danych osobowych tak, abyśmy w razie Twojego zapytania mogli udzielić Ci pełnej i rzetelnej informacji dotyczącej tego, jakie działania realizowaliśmy na Twoich danych.

Prawo ochrony danych osobowych daje Ci szereg praw, z których możesz skorzystać w dowolnej chwili. O ile nie będziesz tych praw nadużywał (np. przez nieuzasadnione codzienne prośby o udzielenie informacji), to korzystanie z nich będzie dla Ciebie nieodpłatne i powinno być łatwe w realizacji.

Prawo dostępu do treści swoich danych osobowych — możesz poprosić, abyśmy wyeksportowali z naszych baz danych informacje, jakie mamy o Tobie, i przesłali je do Ciebie w jednym z powszechnie wykorzystywanych formatów.

Prawo do poprawiania danych — jeżeli dowiesz się, że przetwarzane przez nas dane są nieprawidłowe, masz prawo poprosić nas o ich poprawienie, a my będziemy zobowiązani to zrobić. W takim przypadku mamy prawo poprosić Cię o przedstawienie jakiegoś dokumentu lub innego dowodu na okoliczność zmiany danych.

Prawo do ograniczenia przetwarzania danych — jeżeli pomimo zastosowania się przez nas do reguły adekwatności uznasz, że dla określonego procesu przetwarzamy zbyt szeroki katalog Twoich danych osobowych, masz prawo zażądać, abyśmy ograniczyli ten zakres przetwarzania. O ile Twoje żądanie nie będzie sprzeciwiało się wymaganiom nakładanym na nas przez obowiązujące prawo lub nie będzie uniemożliwiało realizacji umowy, przychylimy się do Twojego żądania.

Prawo do żądania usunięcia danych — prawo to, zwane również prawem do bycia zapomnianym, oznacza Twoje prawo do żądania, abyśmy usunęli z naszych systemów bazodanowych oraz z naszej dokumentacji wszelkie informacje zawierające Twoje dane osobowe. Pamiętaj, że nie będziemy mogli tego uczynić, jeżeli na podstawie przepisów prawa mamy obowiązek przetwarzania Twoich danych.

Prawo do przenoszenia danych do innego administratora danych — zgodnie z ogólnym rozporządzeniem o ochronie danych osobowych możesz poprosić nas, abyśmy wyeksportowali dane, które nam podałeś w toku wszystkich naszych kontaktów i całej współpracy, do odrębnego pliku, w celu ich dalszego przekazania do innego administratora danych.

Uprawnienia, o których mowa powyżej, możesz wykonywać poprzez kontakt z nami: tel. 510 050 908, e-mail kontakt@sunrise-sarbinowo.pl. Na powyższe dane możesz się także kontaktować z nami wtedy, gdy jakieś nasze działanie będzie budziło Twoją obawę, czy nie narusza Twoich praw lub wolności.

Jeżeli uznasz, że w jakikolwiek sposób naruszyliśmy reguły przetwarzania Twoich danych osobowych, masz prawo do złożenia skargi bezpośrednio do organu nadzoru — Prezesa Urzędu Ochrony Danych Osobowych. W ramach wykonania tego uprawnienia powinieneś podać pełny opis zaistniałej sytuacji oraz wskazać, jakie działanie uznajesz za naruszające Twoje prawa lub wolności. Skargę należy złożyć bezpośrednio do organu nadzoru na adres: ul. Stawki 2, 00-193 Warszawa.

Prawo do sprzeciwu — masz również prawo do tzw. sprzeciwu wobec przetwarzania Twoich danych osobowych. Prawo do sprzeciwu składasz wówczas, gdy nie chcesz, abyśmy przetwarzali Twoje dane osobowe w określonym celu. W takim przypadku dalej będziemy przetwarzali Twoje dane dla potrzeb innych procesów (w innych celach), ale już nie dla celu, dla którego zgłosiłeś sprzeciw, chyba że Twoje żądanie sprzeciwia się obowiązkom, które nakładają na nas przepisy prawa. Prawo do sprzeciwu możesz zgłosić: tel. 510 050 908, e-mail kontakt@sunrise-sarbinowo.pl.

Serwis realizuje funkcje pozyskiwania informacji o użytkownikach i ich zachowaniu w następujący sposób.

1. Informacje w formularzach. Serwis zbiera informacje podane dobrowolnie przez użytkownika. Serwis może zapisać ponadto informacje o parametrach połączenia (oznaczenie czasu, adres IP). Dane w formularzu nie są udostępniane podmiotom trzecim inaczej niż za zgodą użytkownika. Dane podane w formularzu są przetwarzane w celu wynikającym z funkcji konkretnego formularza, np. w celu kontaktu z nami. Dane podane w formularzach mogą być przekazane podmiotom technicznie realizującym niektóre nasze usługi.

2. Pliki cookies i pamięć przeglądarki. Strona zapisuje w Twojej przeglądarce tylko informacje potrzebne do jej działania (lista w rozdziale „Pliki cookies — lista i zmiana zgody”). Na samej stronie nie używamy narzędzi statystycznych ani reklamowych. Google Analytics i Google Ads działają wyłącznie w kalendarzu rezerwacji Hotres na podstronie Rezerwacja i ładują się dopiero po Twojej zgodzie.

3. Logi serwera. Informacje o niektórych zachowaniach użytkowników podlegają logowaniu w warstwie serwerowej. Dane te są wykorzystywane wyłącznie w celu administrowania serwisem oraz w celu zapewnienia jak najbardziej sprawnej obsługi świadczonych usług hostingowych. Przeglądane zasoby identyfikowane są poprzez adresy URL. Ponadto zapisowi mogą podlegać: czas nadejścia zapytania, czas wysłania odpowiedzi, nazwa stacji klienta — identyfikacja realizowana przez protokół HTTP, informacje o błędach, jakie nastąpiły przy realizacji transakcji HTTP, adres URL strony poprzednio odwiedzanej przez użytkownika (referer link) — w przypadku gdy przejście do Serwisu nastąpiło przez odnośnik, informacje o przeglądarce użytkownika, informacje o adresie IP. Dane powyższe nie są kojarzone z konkretnymi osobami przeglądającymi strony i są wykorzystywane jedynie dla celów administrowania serwerem.

Cookies to małe pliki zapisywane przez przeglądarkę. Tak samo traktujemy dane zapisywane w pamięci przeglądarki (localStorage, sessionStorage). Poniżej każdy taki zapis: nazwa, kto go zapisuje, po co i na jak długo. Ten rozdział ma pierwszeństwo przed wcześniejszymi wzmiankami o pomiarach i plikach cookies w tej polityce.

Niezbędne (bez zgody, art. 399 ust. 3 Prawa komunikacji elektronicznej): a) sunrise_zgoda (cookie, nasza strona) — Twój wybór w sprawie cookies: wersja ustawień, decyzja i data; 6 miesięcy, potem zapytamy ponownie; b) lucy-session-sunrise (sessionStorage) — identyfikator rozmowy z czatem LUCY; powstaje po wysłaniu pierwszej wiadomości i znika po zamknięciu karty; c) lucy-nudge-shown (sessionStorage) — informacja, że dymek zachęty LUCY został już pokazany, żeby nie wyświetlał się na każdej podstronie; zawiera tylko wartość „1”, nie opuszcza urządzenia i znika po zamknięciu karty; d) PHPSESSID (cookie, booking.hotres.pl) — sesja systemu rezerwacji Hotres (termin, koszyk); tylko w załadowanym kalendarzu, do zamknięcia przeglądarki.

Statystyki i reklama w kalendarzu Hotres (tylko za zgodą — art. 399 ust. 1 Prawa komunikacji elektronicznej i art. 6 ust. 1 lit. a RODO): kalendarz rezerwacji Hotres ładuje tag Google ośrodka (Google Analytics połączony z Google Ads). Zapisuje m.in. _ga (rozróżnianie odwiedzających, 2 lata), _ga_RVHR3Z2RD1 (stan sesji Google Analytics, 2 lata), _gcl_au (łączenie wizyt z reklamami Google Ads, 90 dni), _gcl_ls (to samo w pamięci przeglądarki localStorage; dane w nim są ważne ok. 90 dni) oraz test_cookie w domenie doubleclick.net (sprawdzenie, czy przeglądarka przyjmuje cookies, 15 minut). Część z nich, zależnie od przeglądarki, może się nie zapisać. Wysyła też do Google informację o odsłonie na potrzeby list remarketingowych. Odbiorcy: Google Ireland Limited i Google LLC (USA, EU-US Data Privacy Framework).

Jak zmienić zgodę: link „Ustawienia cookies” w stopce każdej strony. Wycofanie zgody od razu wyłącza kalendarz Hotres na naszej stronie, także w innych otwartych kartach; kalendarz otwarty bezpośrednio w nowym oknie zamknij. Pliki zapisane wcześniej przez Google usuniesz w ustawieniach przeglądarki, czyszcząc dane tej strony oraz witryn booking.hotres.pl i doubleclick.net. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.

Bez zapisu w przeglądarce: prognozę pogody pobieramy z Open-Meteo, mapę z OpenStreetMap, a widżet czatu z serwera Lange Software Solutions; kalendarz Hotres pobiera czcionki z Google Fonts i skrypty z jsDelivr. Te usługi widzą adres IP i standardowe informacje techniczne zapytania.

Rezerwacje online na stronie obsługuje system Hotres (Hotres sp. z o.o.), działający jako podmiot przetwarzający dane w imieniu Administratora — dane podane w formularzu rezerwacji (imię i nazwisko, e-mail, telefon, liczba osób, termin) służą zawarciu i wykonaniu umowy o pobyt (art. 6 ust. 1 lit. b RODO).

Czat na stronie (wirtualna recepcja LUCY) obsługuje platforma Lange Software Solutions (Edynburg, Wielka Brytania — kraj objęty decyzją Komisji Europejskiej o odpowiednim stopniu ochrony danych), korzystająca z modeli językowych jako narzędzia do udzielania odpowiedzi; treść rozmów służy wyłącznie obsłudze zapytania (art. 6 ust. 1 lit. f RODO) i nie jest używana do trenowania modeli. Strona pobiera też prognozę pogody z Open-Meteo i mapę z OpenStreetMap — te usługi widzą adres IP i standardowe informacje techniczne zapytania (np. typ przeglądarki).

Ta część uzupełnia wcześniejsze rozdziały polityki i opisuje, jak działa obecna strona. Jeżeli coś w starszych rozdziałach jest z nią sprzeczne, pierwszeństwo ma ta część.

Odbiorcy danych. Dane osobowe związane z korzystaniem ze strony mogą otrzymywać: a) Lange Software Solutions (Edynburg, Wielka Brytania) — wykonawca strony i czatu LUCY, przetwarzający dane w imieniu Administratora na podstawie umowy powierzenia; b) Vercel Inc. — hosting strony i czatu; dzienniki serwera (m.in. adres IP, adres odwiedzanej podstrony, czas, typ przeglądarki) są przechowywane do 30 dni; serwery w UE i USA; c) Supabase Inc. — baza danych czatu, serwery w UE; d) Anthropic PBC — model językowy, który przygotowuje odpowiedzi LUCY i streszczenia rozmów; USA; Anthropic nie trenuje modeli na treści rozmów; e) Hotres sp. z o.o. — silnik rezerwacji osadzony na podstronie rezerwacji, przetwarzający dane w imieniu Administratora: formularz rezerwacji oraz zapis do newslettera, jeżeli z niego skorzystasz; f) Google Ireland Limited i Google LLC — Google Analytics i Google Ads w kalendarzu rezerwacji Hotres; działają wyłącznie po Twojej zgodzie i zapisują w przeglądarce pliki cookies (lista w rozdziale „Pliki cookies — lista i zmiana zgody”); g) Open-Meteo (prognoza pogody) i OpenStreetMap (mapa dojazdu) — otrzymują tylko adres IP i standardowe informacje techniczne zapytania, potrzebne do wyświetlenia pogody i mapy; h) Resend, Inc. — wysyłka wiadomości e-mail, którymi obiekt dostaje dane kontaktowe i pytania zostawione w czacie; USA.

Przekazywanie danych poza Europejski Obszar Gospodarczy. Dane mogą trafiać do Wielkiej Brytanii, wobec której Komisja Europejska wydała decyzję o odpowiednim stopniu ochrony danych, oraz do USA (Vercel, Anthropic, Google, Resend). Przekazanie do USA odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (SCC) albo decyzji o odpowiednim stopniu ochrony dla podmiotów certyfikowanych w ramach EU-US Data Privacy Framework (DPF).

Rozmowy z LUCY. Treść rozmowy z czatem zapisujemy razem z czasem wiadomości, adresem IP i informacją o przeglądarce (user-agent). Rozmowy są przechowywane przez 365 dni, a następnie oznaczane do usunięcia i trwale usuwane po kolejnych 30 dniach (ten okres pozwala przywrócić rozmowę, jeżeli jest potrzebna do sprawy). Dane z rozmowy służą obsłudze Twojego zapytania i bezpieczeństwu usługi (art. 6 ust. 1 lit. f RODO), a gdy pytasz o rezerwację — także podjęciu działań przed zawarciem umowy (art. 6 ust. 1 lit. b RODO). Prosimy nie podawać w czacie danych, które nie są potrzebne do odpowiedzi, np. numeru dokumentu tożsamości ani danych karty płatniczej. Czat zapisuje w pamięci przeglądarki identyfikator bieżącej rozmowy (sessionStorage; powstaje po pierwszej wiadomości i znika po zamknięciu karty) oraz informację, że dymek zachęty został już pokazany (sessionStorage). Jeżeli w czacie zostawisz dane kontaktowe (imię, telefon, e-mail) albo pytanie do obiektu, przekazujemy je obiektowi e-mailem, żeby mógł odpowiedzieć. Te dane przechowujemy przez czas potrzebny do obsługi zapytania, a gdy dojdzie do rezerwacji — tak jak dane rezerwacji opisane wyżej. W każdej chwili możesz zażądać ich usunięcia.

Dyktowanie wiadomości. Przycisk mikrofonu korzysta z rozpoznawania mowy wbudowanego w przeglądarkę. Działa tylko wtedy, gdy go klikniesz i zezwolisz przeglądarce na użycie mikrofonu. Nagranie przetwarza dostawca przeglądarki na własnych zasadach (np. Google w przeglądarce Chrome, Apple w Safari) — Administrator ani Lange Software Solutions nie otrzymują nagrania. Rozpoznany tekst trafia do pola wiadomości i jest wysyłany do LUCY jak zwykła wiadomość.