Polityka prywatności ESGraport

1. Jakie dane zbieramy?

W zależności od sposobu korzystania z Platformy przetwarzamy następujące kategorie danych:

Kategoria danych	Przykłady	Cel
Dane rejestracyjne	imię, nazwisko, adres e-mail, hasło (hash)	Obsługa konta
Dane firmowe	NIP, nazwa firmy, branża, liczba pracowników	Identyfikacja podmiotu raportującego
Dane ankietowe ESG	zużycie energii, liczba wypadków, dane o odpadach	Generowanie raportu VSME
Dane płatności	dane rozliczeniowe, historia transakcji (nie nr karty)	Rozliczenia i fakturowanie
Dane techniczne	adres IP, przeglądarka, logi aktywności	Bezpieczeństwo i diagnostyka

2. Podstawy prawne przetwarzania

• Art. 6 ust. 1 lit. b RODO — przetwarzanie niezbędne do wykonania umowy (obsługa konta, generowanie raportów).
• Art. 6 ust. 1 lit. c RODO — przetwarzanie wymagane przez przepisy prawa (wystawianie faktur, archiwizacja dokumentów księgowych przez 5 lat).
• Art. 6 ust. 1 lit. f RODO — uzasadniony interes Administratora (bezpieczeństwo platformy, zapobieganie nadużyciom, marketing bezpośredni własnych usług).
• Art. 6 ust. 1 lit. a RODO — zgoda (pliki cookies analityczne i marketingowe — można wycofać w dowolnym momencie).

3. Odbiorcy danych

Dane mogą być przekazywane wyłącznie:

• Podmiotom przetwarzającym (procesorom) na podstawie umów DPA: dostawca hostingu (serwery w UE), operator płatności, dostawca poczty transakcyjnej.
• Organom państwowym — wyłącznie na podstawie przepisów prawa (np. organom podatkowym, organom ścigania na ich żądanie).

Nie sprzedajemy ani nie udostępniamy danych osobowych podmiotom trzecim w celach marketingowych.

4. Przekazywanie danych poza EOG

Dane przechowywane są wyłącznie na serwerach zlokalizowanych w Unii Europejskiej lub Europejskim Obszarze Gospodarczym. Nie przekazujemy danych do krajów trzecich.

5. Okres przechowywania danych

• Dane konta: do czasu usunięcia konta, a następnie przez 12 miesięcy (backupy).
• Dane rozliczeniowe i faktury: 5 lat od zakończenia roku podatkowego, zgodnie z art. 74 ustawy o rachunkowości.
• Logi techniczne: 90 dni.
• Dane ankietowe i raporty: do usunięcia konta przez Użytkownika + 30 dni na backupy.

6. Prawa osoby, której dane dotyczą

Na podstawie RODO przysługują Ci następujące prawa:

• Dostęp do danych (art. 15) — prawo do uzyskania kopii przetwarzanych danych.
• Sprostowanie (art. 16) — prawo do poprawienia nieprawidłowych lub uzupełnienia niepełnych danych.
• Usunięcie (art. 17) — prawo do żądania usunięcia danych („prawo do bycia zapomnianym") — z wyjątkiem danych, które Administrator jest zobowiązany przechowywać na podstawie przepisów prawa.
• Ograniczenie przetwarzania (art. 18) — prawo do ograniczenia przetwarzania w określonych przypadkach.
• Przenoszenie danych (art. 20) — prawo do otrzymania danych w formacie CSV/JSON.
• Sprzeciw (art. 21) — prawo do sprzeciwu wobec przetwarzania na podstawie uzasadnionego interesu.
• Wycofanie zgody (art. 7 ust. 3) — prawo do wycofania zgody na przetwarzanie w dowolnym momencie (bez wpływu na zgodność przetwarzania dokonanego przed wycofaniem).

Wnioski w sprawach realizacji praw prosimy kierować na adres: kontakt@esgraport.com. Odpowiadamy w terminie 30 dni. W przypadku skarg masz prawo wnieść je do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

7. Dane pracownicze w raportach ESG

Dane pracownicze zbierane w ankiecie ESG (np. liczba pracowników według płci, wiek, wypadki przy pracy) są przetwarzane wyłącznie w formie zagregowanej lub anonimowej na potrzeby raportu VSME. Administrator nie przetwarza danych identyfikujących konkretnych pracowników. Zakres danych jest zgodny z wymogami standardu VSME i nie wykracza poza zakres wymagany przez ten standard.

8. Pliki cookies

Platforma stosuje:

• Cookies niezbędne — wymagane do działania sesji i bezpieczeństwa (podstawa: niezbędność umowna).
• Cookies analityczne — anonimowe statystyki ruchu (podstawa: zgoda).

Możesz zarządzać cookies w ustawieniach przeglądarki lub w panelu zgód dostępnym w stopce strony.

9. Bezpieczeństwo danych

Stosujemy środki bezpieczeństwa opisane w dokumencie Bezpieczeństwo, w tym szyfrowanie TLS 1.3 w tranzycie i AES-256 w spoczynku, uwierzytelnianie wieloskładnikowe dla kont administratorów oraz regularne testy penetracyjne.

10. Zmiany Polityki prywatności

O istotnych zmianach niniejszej Polityki informujemy Użytkowników drogą e-mail z co najmniej 14-dniowym wyprzedzeniem. Aktualna wersja jest zawsze dostępna pod adresem esgraport.com/polityka-prywatnosci.