§1. Administrator i kontakt
- Administratorem danych jest Katarzyna Wojtasińska prowadząca działalność gospodarczą pod firmą K8 Katarzyna Wojtasińska, ul. Kościuszki 1a/2, 44-100 Gliwice, NIP 9691543646, REGON 242751090, prowadząca serwis startujzbur.pl i system BUR Master CRM (dalej: „Administrator”, „my”).
- W sprawach danych osobowych piszesz na kontakt@startujzbur.pl, dzwonisz pod +48 533 184 826 albo piszesz listownie na adres powyżej.
- Nie wyznaczyliśmy inspektora ochrony danych, bo nie prowadzimy przetwarzania na dużą skalę w rozumieniu art. 37 RODO. Wszystkie sprawy obsługuje osoba wskazana pod adresem kontaktowym.
§2. Czego dotyczy polityka
Polityka obejmuje:
- system BUR Master CRM (panel, aplikacja, API),
- wtyczkę przeglądarki „BUR Master Asystent”,
- serwis startujzbur.pl wraz z formularzami, landing page’ami i sklepem,
- newsletter, listę mailingową, webinary i prezentacje,
- nasze profile w mediach społecznościowych (Facebook, Instagram).
BUR Master CRM jest narzędziem dla firm szkoleniowych i doradczych działających w Bazie Usług Rozwojowych oraz dla osób, które szukają dofinansowania do usług rozwojowych (PSF, KFS).
§3. Dwie role: administrator i podmiot przetwarzający
- Jesteśmy administratorem danych osób, które korzystają z naszych usług bezpośrednio: właścicieli i pracowników firm-klientów (użytkowników konta), osób zapisanych na newsletter, uczestników webinarów, osób korzystających z monitoringu naborów i kwalifikatora, osób kontaktujących się z nami.
- Jesteśmy podmiotem przetwarzającym dane uczestników usług rozwojowych i innych osób, których dane firma szkoleniowa wprowadza do systemu (np. uczestnicy szkoleń, pracownicy firm zgłaszanych do projektów, trenerzy). Administratorem tych danych jest firma szkoleniowa. Przetwarzamy je wyłącznie na jej polecenie, na podstawie umowy powierzenia, opisanej szerzej w §9.
- Jeżeli jesteś uczestnikiem szkolenia i chcesz skorzystać ze swoich praw, zwróć się do firmy szkoleniowej, która wprowadziła Twoje dane. Jeśli napiszesz do nas, przekażemy żądanie tej firmie i pomożemy jej odpowiedzieć.
§4. Skąd mamy dane
- Od Ciebie, gdy zakładasz konto, uzupełniasz dane firmy, wypełniasz formularz, zapisujesz się na listę lub webinar, korzystasz z asystenta AI albo wgrywasz dokumenty.
- Od firmy szkoleniowej, gdy wprowadza dane uczestników, pracowników lub trenerów do systemu (rola podmiotu przetwarzającego, §9).
- Z rejestrów i źródeł publicznych, gdy system sprawdza dane firmy (np. CEIDG, KRS, REGON, Baza Usług Rozwojowych) albo publikowane przez operatorów listy rankingowe i wyniki naborów.
- Od Meta Platforms, gdy wypełniasz formularz reklamowy (Lead Ads) na Facebooku lub Instagramie.
- Automatycznie: adres IP, dane urządzenia i przeglądarki, gdy korzystasz z systemu lub serwisu albo otwierasz nasze wiadomości e-mail.
§5. Cele, zakres danych i podstawy prawne
Dotyczy danych, których jesteśmy administratorem.
| Cel | Dane | Podstawa prawna |
|---|---|---|
| Założenie i prowadzenie konta, świadczenie usługi BUR Master CRM | imię, nazwisko, e-mail, telefon, hasło (tylko skrót), dane firmy (nazwa, NIP, adres, numer w BUR), rola użytkownika, plan abonamentu, historia logowań | umowa (art. 6 ust. 1 lit. b RODO) |
| Płatności, faktury, rozliczenia abonamentu | dane firmy, dane do faktury, historia płatności | obowiązek prawny (art. 6 ust. 1 lit. c RODO; przepisy podatkowe i rachunkowe) |
| Bezpieczeństwo logowania i ochrona przed nadużyciami | identyfikator sesji, skrót (hash) adresu IP i e-maila, czas próby logowania | prawnie uzasadniony interes: ochrona kont i systemu (art. 6 ust. 1 lit. f) |
| Logi serwera, wykrywanie błędów i ataków | adres IP, czas, adres żądania, kod odpowiedzi, dane przeglądarki | prawnie uzasadniony interes (art. 6 ust. 1 lit. f) |
| Asystent AI i odczyt dokumentów | treść pytania, fragmenty danych i dokumentów potrzebne do odpowiedzi | umowa (art. 6 ust. 1 lit. b); szczegóły w §10 |
| Monitoring naborów i dopasowanie do projektów | e-mail, województwo, miejscowość, status (firma / osoba prywatna), odpowiedzi w kwalifikatorze, preferencje alertów | umowa lub żądanie przed zawarciem umowy (art. 6 ust. 1 lit. b) |
| Wiadomości systemowe (potwierdzenia, reset hasła, alerty, podsumowania wyników naborów) | e-mail, treść wiadomości | umowa (art. 6 ust. 1 lit. b) |
| Wsparcie we wdrożeniu w pierwszych tygodniach | dane konta, źródło pozyskania, sygnały aktywności (ostatnie logowanie, liczba wniosków, użyte funkcje) | prawnie uzasadniony interes: pomoc klientowi i rozwój usługi (art. 6 ust. 1 lit. f); możesz się sprzeciwić |
| Newsletter, lista oczekujących, materiały marketingowe | e-mail, imię, grupy i tagi, data zapisu, adres IP (dowód zgody) | zgoda (art. 6 ust. 1 lit. a RODO i art. 398 Prawa komunikacji elektronicznej) |
| Pomiar otwarć i kliknięć w e-mailach | fakt otwarcia, kliknięty link, czas, przybliżona lokalizacja z IP | prawnie uzasadniony interes: dopasowanie treści (art. 6 ust. 1 lit. f); możesz się sprzeciwić |
| Formularze kontaktowe i reklamowe (w tym Lead Ads), rozmowy sprzedażowe | imię, e-mail, telefon, nazwa firmy, treść zapytania, etap rozmowy | żądanie przed zawarciem umowy (art. 6 ust. 1 lit. b) oraz prawnie uzasadniony interes: odpowiedź i marketing własnych usług (art. 6 ust. 1 lit. f) |
| Pomiar skuteczności reklam (Pixel Meta, Conversions API) | identyfikatory plików cookies, zdarzenia na stronie, identyfikator leada, etap leada | zgoda na cookies marketingowe (art. 6 ust. 1 lit. a); dla zdarzeń z CRM prawnie uzasadniony interes (art. 6 ust. 1 lit. f), z prawem sprzeciwu |
| Webinary i prezentacje | e-mail, imię, dane widoczne w narzędziu (obraz, czat) | umowa (art. 6 ust. 1 lit. b) |
| Profile w mediach społecznościowych | nazwa użytkownika, publiczne dane profilu, komentarze i wiadomości | prawnie uzasadniony interes (art. 6 ust. 1 lit. f) |
| Kontrola zgodności korzystania z licencji i zapobieganie nadużyciom (§8 Regulaminu BUR Master CRM) | nazwy i numery NIP Organizatorów w sprawach i dokumentach konta, liczba Organizatorów, liczba użytkowników i równoczesnych sesji, adresy IP logowań | prawnie uzasadniony interes (art. 6 ust. 1 lit. f), z prawem sprzeciwu |
| Dochodzenie i obrona roszczeń | dane z umowy, korespondencja | prawnie uzasadniony interes (art. 6 ust. 1 lit. f) |
Podanie imienia, nazwiska i e-maila jest potrzebne do założenia konta; bez nich nie możemy go utworzyć. Pozostałe dane podajesz dobrowolnie. Zgodę na wiadomości marketingowe możesz wycofać w każdej chwili linkiem „Wypisz się” lub mailem; nie wpływa to na zgodność z prawem wcześniejszego przetwarzania.
Nie sprzedajemy danych i nie udostępniamy ich innym firmom do ich własnego marketingu. Danych uczestników szkoleń nigdy nie wykorzystujemy do reklam ani do własnych celów.
§6. Komu przekazujemy dane
Korzystamy z dostawców, którzy przetwarzają dane w naszym imieniu (podprocesorzy). Każdy ma z nami umowę powierzenia i dostaje tylko dane potrzebne do swojej funkcji.
| Dostawca | Funkcja | Miejsce przetwarzania | Podstawa transferu poza EOG |
|---|---|---|---|
| SEOHOST (hosting) | hosting serwisu i systemu, poczta, wysyłka e-maili | Polska | nie dotyczy |
| Anthropic Ireland, Limited (Irlandia) | model językowy Claude: asystent AI, odczyt dokumentów, projekty kart usług | USA | standardowe klauzule umowne (umowa DPA z Anthropic) |
O planowanej zmianie podprocesora informujemy klientów BUR Master CRM e-mailem co najmniej 30 dni wcześniej.
Odrębni administratorzy (przetwarzają dane na własny rachunek):
- Meta Platforms Ireland Ltd.: formularze reklamowe, Pixel, profile na Facebooku i Instagramie,
- operatorzy płatności: Krajowy Integrator Płatności S.A. (Tpay) oraz Bank Polska Kasa Opieki S.A. (płatność ratalna), gdy płacisz za abonament lub zakupy w sklepie,
- operatorzy PSF/KFS i PARP (Baza Usług Rozwojowych): gdy system na polecenie firmy wprowadza dane do BUR lub wysyła dokumenty,
- biuro rachunkowe, kancelarie prawne i doradcy podatkowi, w zakresie koniecznym i z zachowaniem tajemnicy zawodowej,
- organy publiczne, gdy wymaga tego prawo.
§7. Przekazywanie danych poza EOG
Gdy dostawca przetwarza dane poza Europejskim Obszarem Gospodarczym, opieramy się na decyzji o adekwatności (EU-U.S. Data Privacy Framework, jeśli dostawca ma certyfikat) albo na standardowych klauzulach umownych Komisji Europejskiej (art. 46 ust. 2 lit. c RODO). Kopię zabezpieczeń udostępniamy na żądanie.
§8. Jak długo przechowujemy dane
| Dane | Okres przechowywania |
|---|---|
| Konto i dane firmy | do usunięcia konta lub końca umowy, potem 30 dni na eksport i przywrócenie, następnie trwałe usunięcie |
| Dane uczestników i dokumenty (dane powierzone) | zgodnie z poleceniem firmy szkoleniowej; po zakończeniu umowy 30 dni na eksport, potem usunięcie |
| Faktury i dokumenty rozliczeniowe | 5 lat od końca roku, w którym upłynął termin płatności podatku |
| Rozmowy z asystentem AI | 12 miesięcy od ostatniej wiadomości |
| Treści wysłane do modelu AI (u Anthropic) | do 30 dni; do 2 lat tylko treści oznaczone jako naruszenie zasad korzystania albo gdy wymaga tego prawo |
| Pliki wgrane wyłącznie do odczytu przez AI | nie przechowujemy ich osobno; zapisujemy tylko dane, które zatwierdzisz, i dokument, jeśli dodasz go do dokumentacji uczestnika |
| Sesja logowania | do wylogowania, maksymalnie 30 dni |
| Skróty IP i e-maila (ochrona logowania), logi serwera | 30 dni |
| Newsletter i lista oczekujących | do wycofania zgody; dowód zgody do upływu przedawnienia roszczeń |
| Dane o otwarciach i kliknięciach | do wypisania się lub sprzeciwu |
| Leady i rozmowy sprzedażowe bez zawartej umowy | 24 miesiące od ostatniego kontaktu |
| Kopie zapasowe | usunięte dane znikają z kopii najpóźniej po 30 dniach |
| Roszczenia | do upływu przedawnienia (zwykle 3 lata dla roszczeń z działalności gospodarczej, z końcem roku kalendarzowego) |
§9. Dane uczestników usług rozwojowych
- Firma szkoleniowa decyduje, czyje dane wprowadza, w jakim celu i jak długo mają być przechowywane. Odpowiada też za podstawę prawną i poinformowanie uczestników.
- Przetwarzamy te dane tylko po to, by świadczyć funkcje systemu: prowadzenie bazy uczestników, przygotowanie dokumentów (umowy uczestnictwa, zaświadczenia, listy obecności, protokoły), śledzenie wniosków i wyników naborów, wypełnianie formularzy BUR na polecenie firmy.
- System przewiduje dla uczestnika w szczególności: imię i nazwisko, PESEL, datę urodzenia, płeć, adres, e-mail, telefon, wykształcenie, status na rynku pracy, formę zatrudnienia, dane pracodawcy, numer ID wsparcia i numer wniosku, dane o udziale w usłudze (obecności, wyniki walidacji, certyfikaty).
- Jeżeli dokumenty operatora wymagają danych szczególnej kategorii (np. informacji o niepełnosprawności), system przechowuje je wyłącznie w dokumencie, którego wymaga operator, bez osobnego pola do wyszukiwania i bez przekazywania do modelu AI. Jeżeli firma wgra do odczytu przez AI dokument zawierający takie dane, plik trafia do modelu w całości — dlatego Regulamin BUR Master CRM (§7) zobowiązuje firmę, by przed wgraniem je zakryła.
- System nie pobiera sam danych uczestników z innych systemów. Odczyt danych z BUR odbywa się tylko na polecenie firmy i w jej koncie.
- Nie wykorzystujemy danych uczestników do własnych celów, reklam ani trenowania modeli AI.
§10. Sztuczna inteligencja i brak decyzji zautomatyzowanych
- Asystent w panelu to program, nie człowiek. Korzysta z modelu językowego Claude firmy Anthropic do odpowiadania na pytania, odczytu dokumentów i przygotowania projektów kart usług.
- Do modelu wysyłamy tylko to, co jest potrzebne do danej odpowiedzi, a nie całą bazę.
- Zgodnie z warunkami komercyjnymi Anthropic treści przesyłane przez API nie służą do trenowania modeli. Anthropic usuwa je automatycznie w ciągu 30 dni; dłużej, do 2 lat, przechowuje wyłącznie treści oznaczone jako naruszenie zasad korzystania albo gdy wymaga tego prawo.
- Wynik odczytu dokumentu lub projekt karty usługi widzisz przed zapisem. Do systemu trafia to, co zatwierdzisz.
- System automatycznie sprawdza opublikowane przez operatorów listy rankingowe i na tej podstawie zmienia etap wniosku (kolejny etap albo archiwum) oraz wysyła firmie podsumowanie. To informacja dla firmy szkoleniowej: o kwalifikacji uczestnika decyduje operator, a firma weryfikuje wynik, zanim skontaktuje się z uczestnikiem. Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne wobec Ciebie (art. 22 RODO).
§11. Wtyczka przeglądarki „BUR Master Asystent”
- Wtyczka działa tylko na stronach Bazy Usług Rozwojowych i stronach operatorów, na których ją uruchomisz.
- Wypełnia formularze danymi z Twojego konta BUR Master CRM. Nigdy sama nie wysyła formularzy i nie nadpisuje pól wypełnionych przez człowieka.
- Do systemu wysyła dane, które w ten sposób zapisujesz (np. fiszkę operatora wraz z jej adresem strony), aby dopasować operatora i projekt.
- Nie zbiera historii przeglądania, nie śledzi innych stron i nie wysyła danych nigdzie poza BUR Master CRM.
§12. Monitoring naborów i kwalifikator
- Jeśli korzystasz z monitoringu naborów jako osoba prywatna lub firma, jesteśmy administratorem Twoich danych.
- Na podstawie Twoich odpowiedzi (np. województwo, status zawodowy, wielkość firmy) system wskazuje projekty, do których możesz pasować, i wysyła alerty o naborach. To dopasowanie ma charakter informacyjny; o przyznaniu dofinansowania decyduje operator.
- Alerty wyłączysz w ustawieniach konta albo linkiem w wiadomości.
§13. Twoje prawa
Masz prawo do:
- dostępu do danych i otrzymania ich kopii (art. 15 RODO),
- sprostowania danych (art. 16),
- usunięcia danych w granicach, w jakich nie musimy ich przechowywać z mocy prawa (art. 17),
- ograniczenia przetwarzania (art. 18),
- przeniesienia danych w formacie nadającym się do odczytu maszynowego (art. 20),
- sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym pomiaru otwarć e-maili i sygnałów aktywności (art. 21),
- wycofania zgody w dowolnym momencie, bez wpływu na wcześniejsze przetwarzanie,
- skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa.
Odpowiadamy bez zbędnej zwłoki, najpóźniej w miesiąc; w sprawach złożonych termin może się wydłużyć o dwa miesiące, o czym informujemy. Uczestników szkoleń prosimy o kontakt z firmą szkoleniową (§3 ust. 3).
§14. Pliki cookies i narzędzia reklamowe
- System BUR Master CRM używa wyłącznie niezbędnych plików cookies (sesja logowania, ochrona formularzy, zapamiętanie ustawień). Nie wymagają one zgody (art. 399 ust. 3 Prawa komunikacji elektronicznej).
- Serwis startujzbur.pl poza cookies niezbędnymi używa, za Twoją zgodą, cookies analitycznych i marketingowych, w tym Pixela Meta. Zgodę wyrażasz lub zmieniasz w banerze cookies; bez zgody te narzędzia się nie uruchamiają.
- Conversions API. Gdy zostawisz dane w formularzu reklamowym Meta, możemy przekazać do Meta informację o etapie rozmowy (np. „spotkanie umówione”) powiązaną z identyfikatorem leada, aby reklamy trafiały do właściwych osób. Nie przekazujemy treści rozmów ani danych uczestników szkoleń. Możesz się temu sprzeciwić.
- E-maile mogą zawierać niewidoczny piksel i linki śledzące do pomiaru otwarć i kliknięć. Wyłączysz to, blokując automatyczne ładowanie obrazów w programie pocztowym lub zgłaszając sprzeciw.
- Pliki cookies możesz usuwać i blokować w ustawieniach przeglądarki. Zablokowanie cookies sesji uniemożliwi zalogowanie do systemu.
§15. Bezpieczeństwo
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), w szczególności:
- szyfrowane połączenie (HTTPS) z systemem,
- hasła przechowywane wyłącznie jako skrót,
- oddzielenie danych każdej firmy-klienta (izolacja kont),
- role i uprawnienia użytkowników w ramach konta firmy,
- dostęp naszego personelu tylko w zakresie niezbędnym do obsługi,
- kopie zapasowe i rejestrowanie zdarzeń bezpieczeństwa.
Żaden system nie jest w pełni odporny na ataki. W razie naruszenia ochrony danych postępujemy zgodnie z art. 33 i 34 RODO, a firmy szkoleniowe powiadamiamy bez zbędnej zwłoki, zgodnie z umową powierzenia.
§16. Zmiany polityki
O istotnych zmianach informujemy e-mailem lub komunikatem w systemie przed ich wejściem w życie. Wcześniejsze wersje udostępniamy na żądanie.