POLITYKA PRYWATNOŚCI

WSPÓŁADMINISTRATORZY DANYCH

W zakresie wspólnego prowadzenia Platformy NEXIVO oraz procesów, w których oba podmioty wspólnie ustalają cele i zasadnicze sposoby przetwarzania danych, współadministratorami danych osobowych Użytkowników są:

• Marek Kupaj prowadzący działalność gospodarczą pod firmą Nivato Marek Kupaj, Stara Kakawa 65, 62-872 Godziesze Małe, NIP 9681000625, REGON 388436395.
• Nivato spółka z ograniczoną odpowiedzialnością z siedzibą w Starej Kakawie, Stara Kakawa 65, 62-872 Godziesze Małe, KRS 0001138219, NIP 9681014159, REGON 540177631.

W dalszej części dokumentu określenie „Administrator” oznacza, zależnie od danego procesu, właściwego administratora albo Współadministratorów działających wspólnie.

Jak skontaktować się ze Współadministratorami?

• adres pocztowy: Stara Kakawa 65, 62-872 Godziesze Małe;
• poczta elektroniczna: biuro@nivato.pl;
• wspólny punkt kontaktowy w sprawach ochrony danych osobowych: rodo@nivato.pl.

Osoba, której dane dotyczą, może wykonywać swoje prawa wobec każdego ze Współadministratorów niezależnie od ustanowienia wspólnego punktu kontaktowego.

Zasadnicza treść uzgodnienia Współadministratorów

• Współadministrowanie obejmuje te procesy związane z Platformą NEXIVO, w których oba podmioty faktycznie wspólnie decydują, po co i w jaki sposób dane są przetwarzane. Może to dotyczyć w szczególności wspólnej obsługi i rozwoju Platformy, jej bezpieczeństwa, komunikacji z Użytkownikami oraz innych działań realizowanych wspólnie.
• Jeżeli dany proces jest prowadzony samodzielnie przez jeden z podmiotów, ten podmiot działa jako odrębny administrator. Dotyczy to w szczególności własnych umów, rozliczeń i obowiązków prawnych. Nivato Marek Kupaj jest usługodawcą, stroną umów z klientami bezpośrednimi B2B i B2C, odbiorcą płatności i wystawcą faktur oraz administratorem danych przetwarzanych dla tych własnych celów.
• W modelu partnerskim Nivato Marek Kupaj zawiera umowę z Partnerem i udostępnia mu Platformę, natomiast Partner zawiera umowy ze swoimi klientami. Jeżeli Partner lub jego klient wprowadza do Platformy dane osobowe swoich pracowników, współpracowników, klientów lub innych osób i sam decyduje o celu ich wykorzystania, pozostaje administratorem tych danych, a Nivato może je przetwarzać na jego polecenie jako podmiot przetwarzający, na zasadach art. 28 RODO i odpowiedniej umowy powierzenia.
• Współadministrator pozyskujący dane zapewnia dostęp do właściwej informacji o przetwarzaniu, a Współadministratorzy współpracują przy realizacji praw osób, których dane dotyczą, oraz przy obsłudze ewentualnych naruszeń ochrony danych.

ZAKRES PRZETWARZANYCH DANYCH OSOBOWYCH

Administrator przetwarza dane osobowe Użytkowników:

• dotyczące korzystania z Platformy i jej bezpieczeństwa, w tym adres IP, informacje o urządzeniu i przeglądarce, dane dotyczące sesji i zdarzeń bezpieczeństwa oraz ustawienia zapisywane w cookies, local storage lub session storage;
• podane przy zakładaniu i prowadzeniu konta oraz korzystaniu z obszaru roboczego, w szczególności imię i nazwisko, adres e-mail, numer telefonu, awatar, dane organizacji lub obszaru roboczego, rola i uprawnienia, informacje o zaproszeniach, a także dane związane z logowaniem, odzyskiwaniem dostępu i dodatkowymi metodami zabezpieczenia konta. Jeżeli Użytkownik wybiera logowanie przez Google lub Facebook albo dodatkowe zabezpieczenia konta, przetwarzane są również dane niezbędne do obsługi tych funkcji (np. połączenie konta zewnętrznego lub ustawienia TOTP/WebAuthn);
• podane lub powstające w związku z korzystaniem z usług Administratora, zawieraniem i wykonywaniem umów, subskrypcjami, zamówieniami, płatnościami, fakturowaniem, reklamacjami i pomocą techniczną, w tym dane kupującego, dane adresowe i rozliczeniowe, NIP, informacje o wybranym planie, zamówieniu i płatności oraz identyfikatory transakcji. Przy inicjowaniu płatności adres IP może być przekazywany operatorowi płatności; pełne dane karty płatniczej są obsługiwane przez operatora i nie są przechowywane przez Platformę;
• związane z korzystaniem z funkcji Platformy dotyczących zarządzania instalacjami i danymi energetycznymi, w tym dane dotyczące instalacji, pomiarów, prognoz i harmonogramów, a także dane wprowadzane do Platformy przez Partnerów lub ich klientów. Informacje te stanowią dane osobowe wyłącznie wtedy, gdy dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

Zakres przetwarzanych danych zależy od tego, z jakich funkcji Platformy korzysta Użytkownik, jaką pełni rolę oraz czy korzysta z Platformy bezpośrednio, czy w modelu partnerskim. Nie każda z opisanych kategorii danych dotyczy każdego Użytkownika.

Dane mogą pochodzić bezpośrednio od Użytkownika, od osoby zarządzającej obszarem roboczym lub wysyłającej zaproszenie, od Partnera w modelu partnerskim, od dostawcy logowania zewnętrznego – jeżeli Użytkownik wybierze taką metodę – oraz od operatora płatności w zakresie informacji o przebiegu i statusie transakcji.

Administrator stosuje środki organizacyjne i techniczne odpowiednie do ryzyka. Obejmują one w szczególności szyfrowane połączenie z Platformą, kontrolę dostępu i role Użytkowników, weryfikację adresu e-mail, zasady dotyczące haseł, możliwość stosowania dodatkowych metod zabezpieczenia logowania, zarządzanie aktywnymi sesjami, kontrolę przesyłanych plików oraz logi techniczne dostępne osobom upoważnionym w zakresie niezbędnym do utrzymania i bezpieczeństwa Platformy.

CEL I PODSTAWA PRAWNA PRZETWARZANYCH DANYCH OSOBOWYCH

Dane osobowe Użytkownika będą przetwarzane przez Administratora w poniższych celach:

• wykonania umowy lub podjęcia działań przed jej zawarciem, w szczególności utworzenia i prowadzenia konta, umożliwienia logowania i korzystania z Platformy oraz obszaru roboczego, obsługi zaproszeń, subskrypcji, zamówień, płatności, reklamacji, pomocy technicznej i funkcji Platformy związanych z obsługą instalacji i danych energetycznych (art. 6 ust. 1 lit. b RODO);
• wypełnienia ciążących na Administratorze obowiązków wskazanych przepisami prawa, w szczególności obowiązków podatkowych, rachunkowych i konsumenckich, obowiązków związanych z wystawianiem i przechowywaniem faktur oraz obsługą reklamacji (art. 6 ust. 1 lit. c RODO);
• realizacji prawnie uzasadnionych interesów Administratora, w szczególności zapewnienia bezpieczeństwa i prawidłowego działania Platformy, zapobiegania nadużyciom, prowadzenia niezbędnych logów technicznych i diagnostyki, obsługi korespondencji i zgłoszeń, zarządzania zaproszeniami i uprawnieniami osób działających w imieniu klientów oraz ustalenia, dochodzenia lub obrony roszczeń (art. 6 ust. 1 lit. f RODO).

Jeżeli zostaną wprowadzone działania wymagające zgody, np. newsletter, kontakt marketingowy albo opcjonalne technologie analityczne lub marketingowe, dane będą przetwarzane na podstawie zgody Użytkownika (art. 6 ust. 1 lit. a RODO), w zakresie wskazanym przy jej udzielaniu.

Przesyłanie informacji handlowych, w tym prowadzenie marketingu bezpośredniego z wykorzystaniem telekomunikacyjnych urządzeń końcowych, wymaga ponadto uprzedniej zgody, o której mowa w art. 398 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej. Przechowywanie informacji lub uzyskiwanie dostępu do informacji przechowywanych w urządzeniu Użytkownika wymaga zgody na zasadach określonych w art. 399 tej ustawy, z wyjątkiem przypadków wskazanych w tym przepisie. Zakres oraz cel udzielonej zgody wskazany jest w jej treści.

W modelu partnerskim Nivato może przetwarzać dane wprowadzone do Platformy przez Partnera lub jego klienta także jako podmiot przetwarzający. Dotyczy to sytuacji, w których Partner lub jego klient sam określa cele wykorzystania tych danych, a Nivato przetwarza je wyłącznie na jego udokumentowane polecenie, zgodnie z art. 28 RODO i odpowiednią umową powierzenia.

OKRES PRZECHOWYWANIA DANYCH

Okres przetwarzania danych osobowych Użytkownika jest uzależniony od celu, w jakim są one przetwarzane, oraz podstawy prawnej przetwarzania, tj. jest to:

• okres, na jaki została udzielona zgoda, a jeżeli zgoda nie została udzielona na ustalony z góry czas – do czasu jej wycofania lub ustania celu, dla którego została udzielona;
• czas potrzebny do wykonania umowy, w szczególności okres posiadania konta i korzystania z Platformy, trwania subskrypcji, realizacji zamówień i płatności, obsługi reklamacji, pomocy technicznej oraz korzystania z funkcji Platformy związanych z obsługą instalacji i danych energetycznych, a następnie okres niezbędny do rozliczenia umowy;
• okres wskazany przez przepisy prawa dotyczące przechowywania określonej dokumentacji lub konieczności wypełnienia ciążących na Administratorze obowiązków prawnych, w szczególności podatkowych i rachunkowych;
• okres niezbędny do realizacji prawnie uzasadnionych interesów Administratora, w tym do prowadzenia i wykazania przebiegu korespondencji oraz do ustalenia, dochodzenia lub obrony roszczeń, z uwzględnieniem okresów ich przedawnienia, albo do czasu skutecznego wniesienia sprzeciwu, jeżeli ma on zastosowanie;

a także:

• w przypadku cookies, local storage, session storage i podobnych technologii – okres wynikający z ich funkcji i ustawień, nie dłużej niż jest to potrzebne do działania danej funkcji lub do upływu ważności danego identyfikatora. Technologie niezbędne mogą być stosowane przez czas konieczny do prawidłowego i bezpiecznego działania Platformy;
• w przypadku danych związanych z obszarem roboczym oraz funkcjami Platformy dotyczącymi instalacji i danych energetycznych – co do zasady do usunięcia obszaru roboczego lub zakończenia umowy, z zastrzeżeniem danych, które muszą być dalej przechowywane na podstawie prawa albo dla rozliczeń lub ochrony roszczeń; zaproszenia są przechowywane do ich przyjęcia, odrzucenia, anulowania lub wygaśnięcia, a dane połączenia z zewnętrznym kontem logowania (OAuth) – do czasu odłączenia takiego konta;
• w przypadku Konta, którego adres e-mail nie został zweryfikowany w terminie 24 godzin od rejestracji – do upływu tego terminu; po jego upływie Konto wraz z danymi podanymi przy rejestracji jest automatycznie usuwane;
• w przypadku logów technicznych, w tym adresów IP i danych technicznych żądań zapisywanych w celu zapewnienia prawidłowego działania i bezpieczeństwa Platformy – przez okres do 2 lat;
• w przypadku danych znajdujących się w kopiach zapasowych – przez okres do 30 dni od utworzenia danej kopii.

Po upływie właściwego okresu dane są usuwane lub anonimizowane, chyba że dalsze przechowywanie jest wymagane prawem albo potrzebne do rozliczeń lub ochrony roszczeń. Usunięcie konta obejmuje co do zasady profil, połączenia z zewnętrznymi kontami logowania, dane bezpieczeństwa, aktywne sesje i członkostwa w obszarach roboczych. Dokumentacja zamówień, płatności i faktur może być przechowywana dłużej, jeżeli wymagają tego przepisy lub rozliczenia. Usunięcie obszaru roboczego powoduje co do zasady usunięcie danych operacyjnych dotyczących tego obszaru, ale nie powoduje automatycznego usunięcia kont przypisanych do niego Użytkowników.

UDOSTĘPNIENIE DANYCH OSOBOWYCH UŻYTKOWNIKÓW

Dane osobowe Użytkowników możemy przekazywać:

• podmiotom zapewniającym hosting, infrastrukturę, pocztę elektroniczną oraz wsparcie techniczne i informatyczne Platformy, w szczególności OVH i cyber_Folks;
• dostawcom usług wykorzystywanych w wybranych funkcjach Platformy, w tym Google i Meta/Facebook, jeżeli Użytkownik wybiera logowanie przez odpowiednie konto zewnętrzne, oraz OpenStreetMap / Nominatim w zakresie map i geokodowania;
• operatorom płatności, w szczególności PayU S.A. oraz właściwemu podmiotowi z grupy Stripe, a także bankom i innym podmiotom uczestniczącym w realizacji płatności. PayU S.A. przetwarza dane osobowe przekazane w związku z realizacją płatności również jako odrębny administrator danych osobowych, w zakresie wynikającym z realizowanych przez niego usług płatniczych oraz ciążących na nim obowiązków prawnych. Właściwy podmiot z grupy Stripe może działać jako odrębny administrator danych osobowych w zakresie, w jakim samodzielnie określa cele i sposoby przetwarzania danych związanych z realizacją płatności;
• dostawcom systemów fakturowania i rozliczeń, w szczególności Insert Subiekt Nexo, oraz Krajowemu Systemowi e-Faktur (KSeF);
• operatorom energetycznym Energa, PGE i Tauron – jeżeli Użytkownik korzysta z funkcji Platformy wymagających przekazania prognoz lub innych danych operacyjnych operatorowi energetycznemu – oraz Nivato sp. z o.o. w zakresie, w jakim uczestniczy ona w obsłudze lub rozwoju Platformy i ma odpowiednią podstawę dostępu do danych;
• podmiotom świadczącym usługi księgowe, prawne, audytorskie lub doradcze, a także podmiotom lub organom uprawnionym na podstawie przepisów prawa do pozyskania danych Użytkownika oraz podmiotom, którym przekazanie danych będzie niezbędne w celu ochrony praw Administratora lub osób trzecich, w tym dochodzenia roszczeń lub obrony przed nimi.

Jeżeli zewnętrzny dostawca obsługuje proces realizowany wspólnie przez obu Współadministratorów, odpowiednie ustalenia dotyczące przetwarzania obejmują obu Współadministratorów. Jeżeli obsługuje proces prowadzony samodzielnie przez jeden z podmiotów, działa na rzecz administratora właściwego dla tego procesu.

W związku z korzystaniem z globalnych usług chmurowych, komunikacyjnych, uwierzytelniających lub płatniczych dane Użytkownika mogą być przekazywane poza Europejski Obszar Gospodarczy. Administrator każdorazowo weryfikuje podstawę transferu i stosuje mechanizmy wymagane rozdziałem V RODO, w szczególności decyzję stwierdzającą odpowiedni stopień ochrony, w tym EU-US Data Privacy Framework wobec certyfikowanych odbiorców, albo standardowe klauzule umowne Komisji Europejskiej wraz z dodatkowymi zabezpieczeniami, jeżeli są potrzebne. Szczegółowe informacje o zastosowanych zabezpieczeniach, w tym informacje o możliwości uzyskania ich kopii, można uzyskać, kontaktując się z Administratorem.

ODMOWA PODANIA DANYCH OSOBOWYCH

Podanie danych osobowych jest dobrowolne, ale część danych jest niezbędna do utworzenia i prowadzenia konta, zawarcia lub wykonania umowy, korzystania z określonych funkcji Platformy, realizacji subskrypcji, zamówienia lub płatności, wystawienia faktury, obsługi reklamacji albo pomocy technicznej. Brak takich danych może uniemożliwić realizację danego celu. Brak zgody na ewentualne przyszłe technologie opcjonalne, newsletter lub kontakt marketingowy nie będzie wpływał na możliwość korzystania z podstawowych funkcji Platformy.

WYCOFANIE ZGODY

W dowolnym momencie Użytkownik może cofnąć zgodę na przetwarzanie danych osobowych. Wycofanie zgody nie ma wpływu na zgodność z prawem przetwarzania dokonanego na jej podstawie przed cofnięciem. Po wycofaniu zgody Administrator nie będzie dalej przetwarzał danych w celach wymagających zgody, chyba że istnieje inna podstawa prawna przetwarzania. Zgodę można wycofać poprzez kontakt mailowy lub pisemny z Administratorem, skorzystanie z mechanizmu rezygnacji zawartego w wiadomości marketingowej albo zmianę ustawień w panelu zgód – odpowiednio do rodzaju udzielonej zgody.

PRAWA ZWIĄZANE Z PRZETWARZANIEM DANYCH OSOBOWYCH

W związku z przetwarzaniem danych Użytkownika przysługują mu, w zakresie i na zasadach określonych w RODO, prawa wymienione poniżej. Można z nich skorzystać, wykorzystując drogi kontaktu wskazane w tym dokumencie. Są to:

• prawo dostępu do swoich danych oraz otrzymania ich kopii (art. 15 RODO);
• prawo do sprostowania lub uzupełnienia swoich danych osobowych (art. 16 RODO);
• prawo do usunięcia danych osobowych, jeżeli zachodzą przesłanki określone w RODO (art. 17 RODO);
• prawo do ograniczenia przetwarzania danych osobowych (art. 18 RODO);
• prawo do przenoszenia danych do innego administratora - w przypadkach określonych w art. 20 RODO;
• prawo do wniesienia sprzeciwu wobec przetwarzania:
  • z przyczyn związanych ze szczególną sytuacją Użytkownika - wobec przetwarzania jego danych osobowych opartego na art. 6 ust. 1 lit. f RODO, w tym profilowania opartego na tej podstawie (art. 21 ust. 1 RODO);
  • w każdym czasie - jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, w tym profilowania, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem (art. 21 ust. 2 RODO).

W celu realizacji powyższych praw skontaktuj się z Administratorem. W sprawach objętych współadministrowaniem prawa można wykonywać wobec każdego ze Współadministratorów, a dla ułatwienia kontaktu ustanowiono adres rodo@nivato.pl.

Jeśli Użytkownik uzna, że jego dane są przetwarzane niezgodnie z przepisami, może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

PLIKI COOKIES I PODOBNE TECHNOLOGIE

Platforma wykorzystuje pliki cookies oraz podobne technologie, w tym pamięć local storage i session storage.

W Platformie stosowane mogą być:

• pliki niezbędne – służące do logowania, utrzymania bezpiecznej sesji, prawidłowego działania Platformy i obsługi obszaru roboczego;
• pliki funkcjonalne – służące do zapamiętywania ustawień Użytkownika i sposobu wyświetlania interfejsu oraz obsługi wybranych funkcji;
• pliki analityczne i statystyczne – obecnie nie są wykorzystywane przez Platformę;
• pliki marketingowe – obecnie nie są wykorzystywane przez Platformę.

Dla przejrzystości poniżej wskazujemy również techniczne nazwy najważniejszych cookies. „auth_sid” służy do obsługi sesji logowania, „NIVATO_LOCALE” zapamiętuje wybraną wersję językową, „SESSION-AUTH” i „SESSION-GATEWAY” utrzymują sesję Użytkownika, „sidebar_state” zapamiętuje ustawienie menu bocznego, a „wct” wspiera techniczną obsługę sesji lub obszaru roboczego.

Platforma może też zapisywać w pamięci przeglądarki (local storage lub session storage) informacje potrzebne do działania wybranych funkcji, np. preferencję motywu, informacje potrzebne do obsługi zaproszenia lub logowania przez konto zewnętrzne oraz techniczny stan powiadomień i interfejsu. Dane te mają charakter techniczny lub funkcjonalny i są używane tylko w zakresie potrzebnym do działania danej funkcji albo utrzymania bezpiecznej sesji.

Niezbędne pliki cookies i podobne technologie mogą być stosowane bez zgody Użytkownika. Pozostałe pliki cookies i podobne technologie są wykorzystywane po uzyskaniu zgody, jeżeli zgodnie z obowiązującymi przepisami taka zgoda jest wymagana, chyba że dana technologia jest niezbędna do świadczenia usługi wyraźnie żądanej przez Użytkownika.

Platforma nie korzysta obecnie z zewnętrznych narzędzi analitycznych, tagów reklamowych ani pikseli marketingowych. Dlatego nie są obecnie stosowane zgody na analitykę lub marketing. Jeżeli w przyszłości zostaną wdrożone technologie opcjonalne, będą uruchamiane dopiero po uzyskaniu wymaganej zgody, a Użytkownik będzie mógł później zmienić swój wybór lub wycofać zgodę.

Przy korzystaniu z wybranych funkcji Platforma może łączyć się z usługami podmiotów trzecich, w szczególności Google lub Meta/Facebook przy logowaniu zewnętrznym oraz OpenStreetMap / Nominatim przy korzystaniu z map lub geokodowania. Zakres przekazywanych danych zależy od funkcji wybranej przez Użytkownika i ustawień danego dostawcy.

Okres działania najważniejszych cookies wynosi obecnie: „auth_sid” – do 1 roku, „NIVATO_LOCALE” – do 1 roku, „SESSION-AUTH” i „SESSION-GATEWAY” – do 7 dni, „sidebar_state” – do 7 dni, „wct” – do 7 dni. Dane zapisane w local storage lub session storage są przechowywane do czasu zakończenia danej operacji, wygaśnięcia ich funkcji albo usunięcia zgodnie z działaniem Platformy.

Pliki cookies mogą mieć charakter sesyjny albo trwały. Użytkownik może również zarządzać nimi za pomocą ustawień przeglądarki. Ograniczenie stosowania plików niezbędnych może wpłynąć na prawidłowe działanie Platformy.

Jeżeli informacje pozyskiwane za pomocą plików cookies lub podobnych technologii stanowią dane osobowe, są one przetwarzane zgodnie z niniejszą Polityką prywatności.

PROFILOWANIE

Administrator nie wykorzystuje obecnie danych Użytkowników do profilowania marketingowego. Niektóre funkcje Platformy mogą wykorzystywać modele służące do przygotowywania prognoz związanych z procesami energetycznymi. Nie służą one jednak do oceniania Użytkownika ani do podejmowania wobec niego decyzji dotyczących jego praw lub sytuacji osobistej.

Administrator nie podejmuje wobec Użytkowników wyłącznie zautomatyzowanych decyzji, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nich wpływały.

Jeżeli w przyszłości zostanie wdrożone profilowanie oparte na zgodzie Użytkownika, Użytkownik będzie mógł w każdym czasie wycofać taką zgodę w sposób wskazany przy jej udzielaniu.

ZMIANY POLITYKI

Polityka może być aktualizowana w przypadku zmian sposobu działania Platformy, zakresu współadministrowania, wykorzystywanych funkcji lub technologii, dostawców, okresów przechowywania danych albo przepisów prawa. Aktualna wersja jest publikowana w Platformie i pod adresem nivato.app. Zmiana wersji językowej Platformy nie wpływa na to, kto jest administratorem lub Współadministratorem danych.