Polityka prywatności

Niniejsza Polityka wyjaśnia, w jaki sposób Mad Mountain sp. z o.o. przetwarza dane osobowe osób korzystających ze strony internetowej www.madmountain.io (dalej: „Strona”) oraz kontaktujących się z Mad Mountain za pośrednictwem Strony. Polityka określa również zasady korzystania z plików cookies i podobnych technologii, w tym Google Analytics 4 i LinkedIn Insight Tag, a także opisuje Google Tag Manager jako narzędzie służące do technicznego zarządzania tagami na Stronie.

Polityka dotyczy przetwarzania związanego ze Stroną. Nie zastępuje odrębnych informacji o przetwarzaniu danych przekazywanych w innych procesach, jeżeli ze względu na ich charakter wymagane jest przekazanie dodatkowych informacji.

1. Administrator danych osobowych

Administratorem danych osobowych jest Mad Mountain sp. z o.o. z siedzibą w Warszawie, ul. Żelazna 51/53, 00-841 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000630335, NIP 5272775982, REGON 364961996 (dalej: „Administrator” albo „Mad Mountain”).

Kontakt w sprawach prywatności i przetwarzania danych osobowych: [email protected].

2. Jakie dane przetwarzamy i skąd je otrzymujemy

Zakres danych zależy od sposobu korzystania ze Strony. Administrator może przetwarzać w szczególności:

• dane przekazane w formularzu kontaktowym lub w dalszej korespondencji, takie jak imię i nazwisko, adres e-mail, numer telefonu, nazwa firmy, stanowisko oraz informacje zawarte w treści wiadomości;
• dane techniczne powstające podczas korzystania ze Strony, w szczególności adres IP, dane o urządzeniu, systemie operacyjnym i przeglądarce, znaczniki czasu, adresy odwiedzanych podstron, adres strony odsyłającej, identyfikatory internetowe oraz informacje o aktywności na Stronie - w zakresie wynikającym z faktycznej konfiguracji Strony i wyborów użytkownika dotyczących prywatności.

Dane są co do zasady pozyskiwane bezpośrednio od użytkownika albo automatycznie z jego urządzenia podczas korzystania ze Strony. Administrator nie wymaga przekazywania w formularzu kontaktowym szczególnych kategorii danych osobowych, o których mowa w art. 9 RODO. Takich danych nie należy zamieszczać w wiadomości, jeżeli nie jest to konieczne do załatwienia sprawy.

3. Cele i podstawy prawne przetwarzania

Administrator przetwarza dane osobowe w następujących celach:

Obsługa zapytań i prowadzenie korespondencji - art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes Administratora polegający na komunikacji z osobami zainteresowanymi działalnością lub usługami Mad Mountain. Jeżeli osoba fizyczna kontaktuje się we własnym imieniu w celu podjęcia działań przed zawarciem z nią umowy, podstawą przetwarzania może być art. 6 ust. 1 lit. b RODO.

Zawarcie i wykonanie umowy - art. 6 ust. 1 lit. b RODO, jeżeli stroną umowy jest osoba fizyczna. W przypadku danych osób reprezentujących kontrahenta, pracowników albo innych osób kontaktowych podstawą jest art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes Administratora polegający na zawarciu, wykonywaniu i obsłudze relacji biznesowej.

Realizacja obowiązków prawnych - art. 6 ust. 1 lit. c RODO - w zakresie, w jakim obowiązek przetwarzania wynika z przepisów prawa, w szczególności podatkowych, rachunkowych lub dotyczących prowadzenia dokumentacji.

Zapewnienie prawidłowego i bezpiecznego działania Strony - art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes Administratora polegający na utrzymaniu Strony, diagnozowaniu błędów, zapewnieniu bezpieczeństwa systemów i przeciwdziałaniu nadużyciom.

Analityka i statystyka z wykorzystaniem Google Analytics 4 - art. 6 ust. 1 lit. a RODO - zgoda użytkownika. Zgoda jest wymagana również przed uruchomieniem technologii analitycznych w zakresie określonym w art. 399 i art. 400 Prawa komunikacji elektronicznej.

Pomiar skuteczności kampanii, ustalanie, czy reklama doprowadziła do określonego działania na Stronie, tworzenie grup odbiorców i kierowanie reklam do osób, które odwiedziły Stronę (remarketing), z wykorzystaniem LinkedIn Insight Tag - art. 6 ust. 1 lit. a RODO - zgoda użytkownika. Zgoda jest wymagana również przed uruchomieniem technologii marketingowych w zakresie określonym w art. 399 i art. 400 Prawa komunikacji elektronicznej.

Dokumentowanie wyborów dotyczących cookies i wykazanie zgodności - art. 6 ust. 1 lit. c RODO w związku z obowiązkami Administratora wynikającymi w szczególności z art. 5 ust. 2 i art. 7 ust. 1 RODO oraz z art. 399-400 Prawa komunikacji elektronicznej. Administrator może utrwalać w tym celu informacje o dokonanym wyborze, jego czasie i wersji ustawień prywatności w zakresie niezbędnym do wykazania, czy i kiedy zgoda została udzielona albo wycofana.

Ustalenie, dochodzenie lub obrona przed roszczeniami - art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes Administratora polegający na ochronie jego praw i interesów prawnych.

4. Formularz kontaktowy i kontakt biznesowy

Podanie danych w formularzu kontaktowym jest dobrowolne, jednak brak danych koniecznych do udzielenia odpowiedzi może uniemożliwić obsługę zapytania. Jeżeli kontakt doprowadzi do zawarcia umowy, podanie danych niezbędnych do zawarcia lub wykonania umowy może być warunkiem jej zawarcia lub realizacji.

Do obsługi zwykłego zapytania nie jest wymagana odrębna zgoda na przetwarzanie danych osobowych. Administrator nie opiera takiego przetwarzania na zgodzie, jeżeli właściwą podstawą jest art. 6 ust. 1 lit. b albo f RODO. Ewentualne zgody dotyczące analityki, reklamy lub innych odrębnych celów są niezależne od możliwości przesłania formularza.

5. Pliki cookies i podobne technologie

Strona korzysta z plików cookies i podobnych technologii, które mogą umożliwiać przechowywanie informacji w urządzeniu końcowym użytkownika lub uzyskiwanie dostępu do informacji już w nim przechowywanych. W tym zakresie Administrator stosuje art. 399 ustawy z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej (dalej: „PKE”). Zgodnie z art. 400 PKE do zgody wymaganej na podstawie PKE stosuje się przepisy o ochronie danych osobowych dotyczące zgody.

Technologie inne niż konieczne do transmisji komunikatu albo dostarczenia usługi wyraźnie żądanej przez użytkownika są uruchamiane dopiero po uprzednim przekazaniu informacji i uzyskaniu zgody. Brak zgody na technologie opcjonalne nie ogranicza dostępu do podstawowych funkcji Strony ani możliwości wysłania formularza kontaktowego.

Administrator stosuje następujące kategorie technologii:

Niezbędne - technologie konieczne do prawidłowego i bezpiecznego działania Strony albo do zapamiętania wyborów dotyczących prywatności. Nie stanowią one kategorii zgody. W zakresie spełniającym przesłanki art. 399 ust. 3 PKE mogą być stosowane bez odrębnej zgody użytkownika.

Analityczne - technologie wykorzystywane do badania sposobu korzystania ze Strony i tworzenia statystyk, w szczególności Google Analytics 4. Są domyślnie wyłączone i uruchamiane dopiero po zgodzie.

Marketingowe - technologie wykorzystywane do pomiaru skuteczności kampanii, ustalania, czy reklama doprowadziła do określonego działania na Stronie, tworzenia grup odbiorców oraz kierowania reklam do osób, które odwiedziły Stronę (remarketingu), w szczególności LinkedIn Insight Tag. Są domyślnie wyłączone i uruchamiane dopiero po zgodzie.

Przy pierwszym wyświetleniu banera użytkownik może wyrazić zgodę na wszystkie technologie opcjonalne, klikając „Akceptuję i przechodzę do serwisu”, albo przejść do „Ustawień prywatności”. Przed przyciskiem akceptacji użytkownik otrzymuje informację o wykorzystywaniu Google Analytics 4 do analizy ruchu i sposobu korzystania ze Strony oraz LinkedIn Insight Tag do mierzenia skuteczności kampanii, sprawdzania, czy reklama doprowadziła do określonego działania na Stronie, tworzenia grup odbiorców i kierowania reklam do osób, które odwiedziły Stronę, a także o związanym z tym wykorzystywaniu cookies lub podobnych identyfikatorów oraz informacji o aktywności na Stronie, urządzeniu i przeglądarce. W „Ustawieniach prywatności” użytkownik ma dwa opcjonalne przełączniki: „Analityczne” dla Google Analytics 4 oraz „Marketingowe” dla LinkedIn Insight Tag. Może odrzucić wszystkie technologie opcjonalne albo niezależnie włączyć lub wyłączyć każdą z tych dwóch kategorii. Kategorie opcjonalne są domyślnie wyłączone. Google Tag Manager nie ma odrębnego przełącznika zgody.

Użytkownik może w każdej chwili ponownie otworzyć panel „Ustawienia prywatności” dostępny na Stronie i wycofać albo zmienić zgodę. Wycofanie zgody blokuje dalsze uruchamianie odpowiednich narzędzi przez Administratora i nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem. Aktualna lista stosowanych cookies i podobnych identyfikatorów jest dostępna przed udzieleniem zgody oraz później w panelu „Ustawienia prywatności”. W panelu dla każdej technologii dostępne są co najmniej jej nazwa, dostawca, cel, kategoria i okres działania. Informacje w panelu uzupełniają niniejszą Politykę i odpowiadają aktualnej konfiguracji Strony.

Kiedy działają narzędzia analityczne i marketingowe

Google Analytics 4 oraz LinkedIn Insight Tag są uruchamiane dopiero po wyrażeniu przez użytkownika odpowiedniej zgody. Google Analytics 4 wymaga zgody na analitykę, a LinkedIn Insight Tag - zgody na marketing. Do czasu udzielenia właściwej zgody dane narzędzie pozostaje nieaktywne i nie przekazuje danych do swojego dostawcy za pośrednictwem Strony.

6. Google Analytics 4

Administrator korzysta z Google Analytics 4 w celu tworzenia statystyk dotyczących korzystania ze Strony oraz oceny jej funkcjonowania. Dostawcą usługi dla klientów z Europejskiego Obszaru Gospodarczego jest Google Ireland Limited.

Po wyrażeniu zgody Google Analytics 4 może przetwarzać m.in. informacje o urządzeniu i przeglądarce, aktywności na Stronie, odwiedzanych podstronach, czasie wizyty, źródle wejścia na Stronę oraz przybliżonej lokalizacji wynikającej z danych sieciowych. Zakres danych zależy od konfiguracji usługi.

Google Analytics 4 jest na Stronie skonfigurowany jako narzędzie analityczne, a nie reklamowe. W aktualnej konfiguracji Administrator nie korzysta z Google Signals, funkcji reklamowych Google Analytics, przekazywania danych użytkownika dostarczonych przez formularz ani połączenia GA4 z Google Ads na potrzeby personalizacji reklam lub remarketingu.

Administrator ustawia w standardowej usłudze Google Analytics 4 okres przechowywania danych na poziomie użytkownika i zdarzenia na 14 miesięcy. Ustawienie to nie musi dotyczyć zagregowanych raportów, które nie służą identyfikacji użytkownika.

7. LinkedIn Insight Tag

Administrator korzysta z LinkedIn Insight Tag w związku z prowadzeniem kampanii reklamowych na LinkedIn. Tag jest uruchamiany wyłącznie po wyrażeniu zgody na technologie marketingowe.

LinkedIn Insight Tag może służyć do pomiaru skuteczności kampanii, ustalania, czy reklama doprowadziła do określonego działania na Stronie, tworzenia zagregowanych statystyk dotyczących odbiorców Strony, tworzenia grup odbiorców oraz kierowania reklam do osób, które odwiedziły Stronę (remarketingu). W ramach działania tego narzędzia LinkedIn może otrzymywać w szczególności adres URL odwiedzanej strony, adres strony odsyłającej, adres IP, informacje o urządzeniu i przeglądarce oraz znacznik czasu. Jeżeli do pomiaru konwersji wykorzystywana jest funkcja Website Actions, LinkedIn może dodatkowo rejestrować ograniczone informacje o działaniach na Stronie, takie jak element strony, z którym użytkownik wchodzi w interakcję, rodzaj działania oraz pseudonimowy identyfikator sesji.

Zgodnie z informacjami LinkedIn bezpośrednie identyfikatory związane z danymi zbieranymi przez Insight Tag są usuwane w ciągu 7 dni. Pozostałe dane, po ich pseudonimizacji, są usuwane w ciągu 180 dni.

Administrator nie korzysta z Enhanced Matching ani z innego mechanizmu przekazywania do LinkedIn adresu e-mail, numeru telefonu lub innych danych podanych przez użytkownika w formularzu kontaktowym.

LinkedIn Ireland Unlimited Company działa jako odrębny, niezależny administrator danych otrzymywanych i przetwarzanych przez LinkedIn w związku z LinkedIn Insight Tag oraz usługami opartymi na tym tagu. LinkedIn samodzielnie odpowiada za własne cele i sposoby dalszego przetwarzania w zakresie wynikającym z jego warunków i informacji o prywatności. W zakresie przetwarzania prowadzonego przez LinkedIn osoba, której dane dotyczą, może wykonywać swoje prawa również bezpośrednio wobec LinkedIn.

8. Google Tag Manager

Administrator korzysta z Google Tag Manager (GTM) do technicznego zarządzania tagami i skryptami wykorzystywanymi na Stronie. Za jego pośrednictwem Administrator kontroluje m.in. uruchamianie Google Analytics 4 i LinkedIn Insight Tag zgodnie z wyborem użytkownika dotyczącym odpowiednio technologii analitycznych i marketingowych. Google Tag Manager nie jest odrębną kategorią zgody i użytkownik nie wyraża na niego osobnej zgody.

Zgodnie z informacjami Google, GTM może gromadzić zagregowane dane diagnostyczne dotyczące uruchamiania tagów; dane te nie obejmują adresów IP użytkowników ani identyfikatorów pomiarowych powiązanych z konkretną osobą. Google wskazuje również, że standardowe dzienniki żądań HTTP związane z GTM są usuwane w ciągu 14 dni. W zakresie ograniczonych danych technicznych związanych z działaniem GTM podstawą przetwarzania po stronie Administratora jest art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes polegający na technicznym zarządzaniu Stroną i mechanizmem zgód.

9. Odbiorcy danych i role dostawców

Dane mogą być przekazywane podmiotom wspierającym Administratora w prowadzeniu Strony i działalności, w szczególności dostawcom hostingu, infrastruktury IT, usług bezpieczeństwa, poczty elektronicznej, platformy zarządzania zgodami (CMP), usług analitycznych i marketingowych, a także podmiotom świadczącym usługi prawne lub księgowe - wyłącznie w zakresie, w jakim dostęp do danych jest niezbędny do realizacji danego celu i posiada właściwą podstawę prawną.

W związku z narzędziami opisanymi w Polityce odbiorcami danych mogą być w szczególności Google Ireland Limited oraz podmioty z grupy Google, a w przypadku LinkedIn Insight Tag - LinkedIn Ireland Unlimited Company oraz podmioty z grupy LinkedIn. Tam, gdzie dostawca przetwarza dane w imieniu Administratora, Administrator korzysta z niego na podstawie właściwych warunków powierzenia przetwarzania. Jeżeli dostawca działa jako niezależny administrator, odpowiada za własne obowiązki wynikające z RODO w zakresie swojego przetwarzania.

Dane mogą być również udostępniane organom publicznym lub innym podmiotom, jeżeli obowiązek ich przekazania wynika z przepisów prawa lub prawnie wiążącego żądania uprawnionego organu.

10. Przekazywanie danych poza Europejski Obszar Gospodarczy

Ze względu na globalny charakter usług Google i LinkedIn dane mogą być przetwarzane również poza Europejskim Obszarem Gospodarczym, w szczególności w Stanach Zjednoczonych. Przekazanie danych do państwa trzeciego odbywa się wyłącznie z zastosowaniem mechanizmu dopuszczonego w rozdziale V RODO.

Jeżeli właściwy odbiorca w Stanach Zjednoczonych posiada aktualną certyfikację w EU-U.S. Data Privacy Framework i transfer mieści się w zakresie tej certyfikacji, przekazanie może opierać się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony. W innych przypadkach mogą być stosowane w szczególności standardowe klauzule umowne zatwierdzone przez Komisję Europejską oraz - jeżeli jest to wymagane - dodatkowe środki ochrony.

Informację o zastosowanym mechanizmie transferu lub kopię odpowiednich zabezpieczeń można uzyskać, kontaktując się z Administratorem pod adresem [email protected]. Dostawcy publikują również własne informacje o transferach międzynarodowych i stosowanych zabezpieczeniach.

11. Jak długo przechowujemy dane

Administrator stosuje okresy przechowywania adekwatne do celu i podstawy przetwarzania:

• dane z formularza kontaktowego i zwykłej korespondencji, jeżeli nie dojdzie do zawarcia umowy - przez czas potrzebny do obsługi zapytania i prowadzenia korespondencji, a po zakończeniu sprawy tylko tak długo, jak jest to uzasadnione jej charakterem lub potrzebą ustalenia, dochodzenia albo obrony przed roszczeniami;
• dane związane z umową - przez okres jej wykonywania, następnie przez okres wymagany przez właściwe przepisy prawa oraz do czasu upływu okresu przedawnienia roszczeń właściwego dla danej relacji;
• dane na poziomie użytkownika i zdarzenia w standardowej usłudze Google Analytics 4 - zgodnie z ustawieniem przyjętym przez Administratora nie dłużej niż 14 miesięcy;
• dane LinkedIn Insight Tag - zgodnie z zasadami retencji stosowanymi przez LinkedIn bezpośrednie identyfikatory są usuwane w ciągu 7 dni, a pozostałe dane, po ich pseudonimizacji, są usuwane w ciągu 180 dni;
• informacje o wyborach dotyczących cookies i zgód - przez okres niezbędny do zapamiętania wyboru oraz wykazania zgodności z obowiązkami prawnymi, z uwzględnieniem okresów przedawnienia potencjalnych roszczeń lub odpowiedzialności; po ustaniu potrzeby dane są usuwane lub anonimizowane;
• logi techniczne i bezpieczeństwa - przez okres wynikający z konfiguracji systemów i niezbędny do zapewnienia bezpieczeństwa Strony, diagnozowania błędów i wyjaśniania incydentów; w przypadku danych zabezpieczonych w związku z konkretnym incydentem - do czasu jego wyjaśnienia lub zakończenia związanej z nim sprawy.

W przypadku skutecznego wniesienia sprzeciwu lub wycofania zgody Administrator zaprzestaje przetwarzania w zakresie wymaganym przez RODO, chyba że istnieje odrębna podstawa prawna dalszego przetwarzania. Wycofanie zgody na cookies zatrzymuje przyszłe uruchamianie odpowiednich tagów przez Administratora; dane przekazane wcześniej niezależnym administratorom mogą być przez nich przetwarzane zgodnie z ich własnymi obowiązkami i okresami retencji.

12. Prawa osób, których dane dotyczą

W zależności od podstawy i okoliczności przetwarzania osobie, której dane dotyczą, może przysługiwać:

• prawo dostępu do danych i uzyskania ich kopii;
• prawo sprostowania danych;
• prawo usunięcia danych (tzw. prawo do bycia zapomnianym) - w przypadkach przewidzianych w art. 17 RODO;
• prawo ograniczenia przetwarzania;
• prawo przenoszenia danych - w przypadkach określonych w art. 20 RODO;
• prawo wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO;
• prawo wycofania zgody w dowolnym momencie, jeżeli przetwarzanie opiera się na zgodzie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Prawo sprzeciwu

Jeżeli Administrator przetwarza dane na podstawie art. 6 ust. 1 lit. f RODO, użytkownik ma prawo w dowolnym momencie wnieść sprzeciw z przyczyn związanych z jego szczególną sytuacją. Po wniesieniu sprzeciwu Administrator zaprzestanie przetwarzania danych w tym celu, chyba że wykaże istnienie ważnych prawnie uzasadnionych podstaw do dalszego przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, albo podstaw do ustalenia, dochodzenia lub obrony przed roszczeniami.

Żądania dotyczące realizacji praw można kierować na adres e-mail: [email protected]. Jeżeli Administrator ma uzasadnione wątpliwości co do tożsamości osoby składającej żądanie, może poprosić o dodatkowe informacje niezbędne do jej potwierdzenia.

Osobie, której dane dotyczą, przysługuje również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, jeżeli uważa, że jej dane są przetwarzane niezgodnie z RODO.

13. Profilowanie i zautomatyzowane podejmowanie decyzji

Mad Mountain nie podejmuje wobec użytkowników Strony decyzji wywołujących skutki prawne lub w podobny sposób istotnie na nich wpływających wyłącznie w oparciu o zautomatyzowane przetwarzanie danych, o którym mowa w art. 22 RODO.

Po wyrażeniu zgody na LinkedIn Insight Tag dane o korzystaniu ze Strony mogą zostać wykorzystane do przypisania użytkownika do grup odbiorców i kierowania mu reklam w usługach LinkedIn. Szczegółowe zasady takiego przetwarzania, w tym dostępne ustawienia reklamowe, określa LinkedIn jako niezależny administrator w swoich informacjach o prywatności.

14. Zmiany Polityki

Polityka może być aktualizowana w szczególności w przypadku zmiany funkcjonalności Strony, zakresu formularzy, stosowanych technologii, dostawców usług albo obowiązujących przepisów prawa. Aktualna wersja Polityki jest publikowana na Stronie wraz z datą ostatniej aktualizacji.