Zgodność z RODO

1. Nasze zobowiązanie wobec RODO

UnnaData została założona z ochroną prywatności jako fundamentem działalności. Jako platforma zgodności z RODO oparta na AI rozumiemy, że zaufanie jest naszym najcenniejszym atutem. Jesteśmy w pełni zaangażowani w przestrzeganie ogólnego rozporządzenia o ochronie danych (UE) 2016/679 ("RODO") oraz zapewnienie, że dane naszych klientów są przetwarzane z najwyższą starannością i przejrzystością.

2. Zasady RODO, których przestrzegamy

Działania UnnaData w zakresie przetwarzania danych są zgodne z siedmioma kluczowymi zasadami RODO określonymi w art. 5:

Zasada	Sposób wdrożenia
Zgodność z prawem, rzetelność, przejrzystość	Jasna polityka prywatności, wyraźne mechanizmy zgody, przejrzyste praktyki dotyczące danych
Ograniczenie celu	Dane gromadzone wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach
Minimalizacja danych	Gromadzimy wyłącznie minimalny zakres danych niezbędny do świadczenia naszych Usług
Prawidłowość	Użytkownicy mogą aktualizować swoje dane w dowolnym momencie; regularne przeglądy jakości danych
Ograniczenie przechowywania	Określone okresy przechowywania dla wszystkich kategorii danych; automatyczne zasady usuwania
Integralność & poufność	Szyfrowanie, kontrola dostępu, monitorowanie bezpieczeństwa oraz reagowanie na incydenty
Rozliczalność	Udokumentowane polityki, procesy DPIA, powołanie Inspektora Ochrony Danych, regularne audyty

3. Podstawa prawna przetwarzania

Dane osobowe przetwarzamy na podstawie następujących podstaw prawnych określonych w art. 6 ust. 1 RODO:

• Wykonanie umowy (art. 6 ust. 1 lit. b): przetwarzanie niezbędne do świadczenia naszych Usług zgodnie z Regulaminem świadczenia usług, w tym zarządzanie kontem, przechowywanie dokumentów oraz analiza zgodności oparta na AI.
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f): monitorowanie bezpieczeństwa, zapobieganie oszustwom, ulepszanie usług oraz analityka. Przeprowadzamy testy równowagi interesów, aby zapewnić, że nasze interesy nie są nadrzędne wobec praw osób, których dane dotyczą.
• Zgoda (art. 6 ust. 1 lit. a): komunikacja marketingowa, opcjonalne analityczne pliki cookie oraz wszelkie inne nieobowiązkowe przetwarzanie. Zgodę można wycofać w dowolnym momencie.
• Obowiązek prawny (art. 6 ust. 1 lit. c): przechowywanie dokumentacji podatkowej, raportowanie regulacyjne oraz odpowiadanie na zgodne z prawem żądania dostępu do danych ze strony organów.

4. Prawa osób, których dane dotyczą

W pełni wspieramy wszystkie prawa osób, których dane dotyczą, wynikające z RODO. Prawa te można wykonywać w dowolnym momencie, kontaktując się z naszym Inspektorem Ochrony Danych:

• Prawo dostępu (art. 15): żądanie pełnej kopii wszystkich przetwarzanych przez nas danych osobowych.
• Prawo do sprostowania (art. 16): żądanie poprawienia nieprawidłowych lub niekompletnych danych osobowych.
• Prawo do usunięcia danych (art. 17): żądanie usunięcia danych osobowych, z zastrzeżeniem wymogów prawnych dotyczących ich przechowywania.
• Prawo do ograniczenia przetwarzania (art. 18): żądanie ograniczenia sposobu przetwarzania danych w określonych okolicznościach.
• Prawo do przenoszenia danych (art. 20): otrzymanie danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego.
• Prawo do sprzeciwu (art. 21): wniesienie sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie lub prowadzonego w celach marketingu bezpośredniego.
• Prawa związane ze zautomatyzowanym podejmowaniem decyzji (art. 22): nie podejmujemy decyzji wywołujących skutki prawne wyłącznie na podstawie zautomatyzowanego przetwarzania. Nasza AI dostarcza rekomendacji podlegających weryfikacji przez człowieka.

Czas odpowiedzi: na wszystkie żądania osób, których dane dotyczą, odpowiadamy w ciągu 30 dni. W złożonych przypadkach termin ten może zostać wydłużony o dodatkowe 60 dni, o czym poinformujemy.

Organ nadzorczy: przysługuje prawo wniesienia skargi do organu ochrony danych państwa członkowskiego UE, w którym użytkownik ma miejsce zwykłego pobytu, miejsce pracy lub w którym miało miejsce domniemane naruszenie. UnnaData OÜ ma siedzibę w Estonii, gdzie właściwym organem nadzorczym jest Andmekaitse Inspektsioon (Estoński Inspektorat Ochrony Danych).

5. Środki techniczne & organizacyjne

Wdrażamy kompleksowe środki techniczne i organizacyjne w celu zapewnienia poziomu bezpieczeństwa odpowiadającego ryzyku (art. 32 RODO):

5.1 Środki techniczne

• Szyfrowanie: AES-256 dla danych przechowywanych, TLS 1.3 dla danych przesyłanych
• Uwierzytelnianie: e-mail/hasło z tokenami JWT; krótkotrwałe tokeny dostępu (30 min) i dłuższe tokeny odświeżające (7 dni)
• Kontrola dostępu: kontrola dostępu oparta na rolach (RBAC) z rolami Administratora Organizacji, Administratora i Członka
• Bezpieczeństwo sieci: izolacja VPC, grupy bezpieczeństwa, szyfrowana komunikacja gRPC
• Rejestrowanie zdarzeń audytowych: kompleksowe rejestrowanie wszystkich żądań API, zdarzeń uwierzytelniania oraz dostępu do danych
• Kopie zapasowe & odzyskiwanie: regularne szyfrowane kopie zapasowe wraz z przetestowanymi procedurami odzyskiwania danych

5.2 Środki organizacyjne

• Ochrona danych w fazie projektowania: aspekty ochrony danych uwzględniane w każdej funkcji już od etapu projektowania
• Domyślna ochrona danych: domyślnie stosowane są najbardziej restrykcyjne ustawienia prywatności
• Szkolenia pracowników: regularne szkolenia z zakresu RODO i bezpieczeństwa dla wszystkich członków zespołu
• Polityki dostępu: zasada najmniejszych uprawnień stosowana we wszystkich systemach wewnętrznych
• Ocena dostawców: ocena bezpieczeństwa i prywatności wszystkich dostawców zewnętrznych
• Reagowanie na incydenty: udokumentowany plan reagowania na incydenty z określonymi rolami i procedurami

6. Przetwarzanie danych

6.1 UnnaData jako administrator danych

Podczas tworzenia konta i korzystania z naszej platformy UnnaData działa jako administrator danych w odniesieniu do danych osobowych konta użytkownika (imię i nazwisko, adres e-mail, dane uwierzytelniające, dane o użytkowaniu).

6.2 UnnaData jako podmiot przetwarzający

Podczas przesyłania dokumentów i danych dotyczących zgodności na naszą platformę UnnaData działa w imieniu użytkownika jako podmiot przetwarzający. W tym charakterze:

• przetwarzamy dane wyłącznie zgodnie z instrukcjami użytkownika (określonymi w Regulaminie świadczenia usług oraz umowie powierzenia przetwarzania danych)
• wdrażamy odpowiednie techniczne i organizacyjne środki bezpieczeństwa
• nie udostępniamy danych podmiotom trzecim, z wyjątkiem sytuacji niezbędnych do świadczenia Usług oraz ujawnionych w naszej Polityce prywatności
• wspieramy użytkownika w realizacji żądań osób, których dane dotyczą
• usuwamy lub zwracamy dane po zakończeniu obowiązywania umowy

6.3 Umowa powierzenia przetwarzania danych

Oferujemy kompleksową umowę powierzenia przetwarzania danych (DPA) zgodną z art. 28 RODO. Klienci Enterprise mogą wystąpić o dostosowaną umowę DPA. Szczegóły można uzyskać pod adresem legal@unnadata.com.

7. Podwykonawcy przetwarzania

Prowadzimy aktualną listę podwykonawców przetwarzania, którzy przetwarzają dane osobowe w naszym imieniu:

Podwykonawca przetwarzania	Cel	Lokalizacja	Zabezpieczenia
Amazon Web Services (AWS)	Infrastruktura chmurowa, hosting, przechowywanie danych	UE (Irlandia, eu-west-1)	DPA, SOC 2, ISO 27001
Anthropic	Model językowy AI (Claude) do analizy zgodności	Stany Zjednoczone	DPA, SCC, polityka zerowego przechowywania danych
Stripe	Przetwarzanie płatności	Stany Zjednoczone / UE	DPA, SCC, PCI DSS Level 1

O wszelkich zmianach na liście podwykonawców przetwarzania poinformujemy klientów z co najmniej 30-dniowym wyprzedzeniem, dając możliwość wniesienia sprzeciwu.

8. Międzynarodowe przekazywanie danych

Dane są przechowywane i przetwarzane przede wszystkim na terenie Unii Europejskiej (AWS eu-west-1, Irlandia). W przypadku konieczności przekazania danych poza EOG (na przykład do Anthropic w celu przetwarzania przez AI) zapewniamy odpowiednie zabezpieczenia:

• Standardowe klauzule umowne (SCC): klauzule zatwierdzone przez UE zgodnie z decyzją wykonawczą Komisji Europejskiej (UE) 2021/914
• Oceny skutków przekazania danych: przeprowadzamy oceny przepisów o ochronie danych obowiązujących w krajach odbiorców
• Środki dodatkowe: dodatkowe środki techniczne i organizacyjne, w tym szyfrowanie, pseudonimizacja oraz kontrola dostępu
• Minimalizacja danych: do przetwarzania przez AI przekazywany jest wyłącznie minimalny niezbędny zakres danych

9. Zgłaszanie naruszeń ochrony danych

W przypadku naruszenia ochrony danych osobowych postępujemy zgodnie ze ścisłym protokołem powiadamiania, zgodnym z art. 33 i 34 RODO:

• Wykrywanie wewnętrzne: ciągłe monitorowanie bezpieczeństwa i zautomatyzowane systemy alertów
• Powiadomienie organu w ciągu 72 godzin: powiadamiamy właściwy organ nadzorczy w ciągu 72 godzin od powzięcia wiadomości o naruszeniu podlegającym zgłoszeniu
• Powiadomienie klientów: powiadamiamy dotkniętych klientów bez zbędnej zwłoki, przekazując szczegóły naruszenia, jego prawdopodobne skutki oraz podjęte środki
• Powiadomienie osób, których dane dotyczą: gdy naruszenie może powodować wysokie ryzyko dla osób fizycznych, bezpośrednio powiadamiamy dotknięte osoby, których dane dotyczą
• Dokumentacja: wszystkie naruszenia są dokumentowane wraz z faktami, skutkami oraz podjętymi działaniami naprawczymi

10. Inspektor Ochrony Danych

UnnaData powołała Inspektora Ochrony Danych (IOD) zgodnie z art. 37 RODO. Nasz IOD odpowiada za:

• monitorowanie zgodności z RODO oraz powiązanymi przepisami o ochronie danych
• doradztwo w zakresie ocen skutków dla ochrony danych
• pełnienie funkcji punktu kontaktowego dla osób, których dane dotyczą, oraz organów nadzorczych
• szkolenie personelu w zakresie obowiązków dotyczących ochrony danych

Z naszym IOD można skontaktować się pod adresem: dpo@unnadata.com

11. Oceny skutków dla ochrony danych

Przeprowadzamy oceny skutków dla ochrony danych (DPIA) zgodnie z wymogami art. 35 RODO w odniesieniu do działań przetwarzania, które mogą powodować wysokie ryzyko dla osób, których dane dotyczą. Obejmuje to:

• funkcje analizy dokumentów i czatu oparte na AI
• przetwarzanie dokumentów dotyczących zgodności na dużą skalę
• rozwój nowych funkcji obejmujących dane osobowe
• zmiany podwykonawców przetwarzania lub mechanizmów przekazywania danych

Oceny DPIA są regularnie przeglądane i aktualizowane, a nasz IOD jest konsultowany na każdym etapie tego procesu.

12. Kontakt

W przypadku pytań dotyczących naszej zgodności z RODO lub w celu skorzystania z praw w zakresie ochrony danych:

• Inspektor Ochrony Danych: dpo@unnadata.com
• Zapytania dotyczące prywatności: privacy@unnadata.com
• Zespół prawny: legal@unnadata.com

Więcej szczegółów na temat sposobu przetwarzania danych osobowych znajduje się w naszej Polityce prywatności oraz Polityce plików cookie.