Polityka prywatności

Administratorem danych osobowych w rozumieniu art. 4 pkt 7 RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679) jest OPTIALL sp. z o.o. z siedzibą we Wrocławiu, ul. Żmigrodzka 244, 51-131 Wrocław, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000813129, NIP 8971872882, REGON 384848818 (dalej: „Administrator", „my"), operator marki ClickGuard 360 oraz Optiall.pl.

We wszystkich sprawach dotyczących przetwarzania danych osobowych oraz realizacji przysługujących praw można kontaktować się:

• e-mailowo: kontakt@clickguard360.pl,
• z Inspektorem Ochrony Danych (IOD): iod@clickguard360.pl,
• korespondencyjnie na adres siedziby wskazany powyżej.

W zależności od kontekstu występujemy w jednej z dwóch ról przewidzianych przez RODO:

a) Jako administrator - gdy samodzielnie ustalamy cele i sposoby przetwarzania. Dotyczy to m.in. danych osób odwiedzających stronę, korzystających z formularza kontaktowego, osób zakładających konto oraz osób reprezentujących klientów i kontrahentów.

b) Jako podmiot przetwarzający (procesor) - gdy przetwarzamy dane na zlecenie i w imieniu naszego klienta (organizacji korzystającej z platformy). Dotyczy to w szczególności danych pracowników klienta wykorzystywanych w symulacjach phishingu i szkoleniach (adresy e-mail, dział, stanowisko, wyniki kampanii i szkoleń, wskaźnik ryzyka). W tym zakresie administratorem danych jest organizacja-klient, a my przetwarzamy je wyłącznie na podstawie i w granicach umowy powierzenia przetwarzania oraz udokumentowanych poleceń klienta. Osoby, których dane dotyczą (pracownicy), powinny kierować żądania dotyczące swoich praw przede wszystkim do swojego pracodawcy.

Przetwarzamy dane osobowe w następujących celach i na następujących podstawach prawnych:

Podanie danych jest dobrowolne, lecz w zakresie niezbędnym do zawarcia i realizacji umowy lub udzielenia odpowiedzi na zapytanie - konieczne; ich niepodanie uniemożliwi realizację danego celu.

Dane mogą być udostępniane zaufanym podmiotom przetwarzającym, które wspierają nas w świadczeniu usług, wyłącznie na podstawie umów powierzenia i w zakresie niezbędnym:

• dostawcy infrastruktury i hostingu zlokalizowani w UE/EOG (serwery, baza danych),
• dostawca usługi poczty wychodzącej (SMTP),
• Cloudflare, Inc. - usługa Turnstile (ochrona antyspamowa formularzy),
• po wyrażeniu zgody na cookies - dostawcy narzędzi analitycznych i reklamowych: Google Ireland Ltd. (Google Tag Manager, Google Analytics 4, Google Ads), Meta Platforms Ireland Ltd. (Meta Pixel), LinkedIn Ireland Unlimited Company (LinkedIn Insight Tag) oraz Microsoft Ireland Operations Ltd. (Microsoft Clarity) - w zakresie narzędzi, z których aktualnie korzystamy (lista w sekcji 9),
• biuro rachunkowe, doradcy prawni i podatkowi - w zakresie obowiązków księgowych i prawnych,
• uprawnione organy publiczne - gdy obowiązek wynika z przepisów prawa.

W zakresie zbierania i przekazywania danych za pomocą Meta Pixel jesteśmy współadministratorem razem z Meta Platforms Ireland Ltd. (art. 26 RODO). Dalsze przetwarzanie tych danych odbywa się na zasadach określonych przez Meta, opisanych w polityce prywatności Meta (facebook.com/privacy/policy). Google, LinkedIn i Microsoft mogą przetwarzać dane z narzędzi reklamowych także we własnych celach, zgodnie ze swoimi politykami prywatności.

Nie sprzedajemy danych osobowych. Nie udostępniamy ich w celach marketingowych podmiotom trzecim bez podstawy prawnej.

Dane platformy ClickGuard 360 (konta, organizacje, pracownicy klientów, wyniki kampanii i szkoleń) przetwarzamy na terenie Europejskiego Obszaru Gospodarczego (EOG).

Do przekazania danych poza EOG, w szczególności do USA, może dojść w związku z korzystaniem z Cloudflare Turnstile oraz - wyłącznie po wyrażeniu zgody na cookies - z narzędzi analitycznych i reklamowych Google, Meta, LinkedIn i Microsoft, których spółki macierzyste mają siedzibę w USA. Następuje to wyłącznie przy zapewnieniu zabezpieczeń przewidzianych w rozdziale V RODO: na podstawie decyzji Komisji Europejskiej o adekwatności (EU-US Data Privacy Framework) w odniesieniu do podmiotów certyfikowanych w tym programie, a w pozostałym zakresie na podstawie standardowych klauzul umownych (SCC). Kopię zabezpieczeń można uzyskać, kontaktując się z Administratorem.

• dane z formularza kontaktowego - do czasu obsługi zapytania, a następnie do 12 miesięcy lub do wycofania zgody,
• dane związane z umową i kontem - przez czas trwania umowy oraz przez okres przedawnienia roszczeń,
• dane rozliczeniowe i księgowe - przez okres wymagany przepisami prawa (co do zasady 5 lat),
• dane przetwarzane na podstawie zgody (np. marketing) - do czasu wycofania zgody,
• dane przetwarzane jako procesor (dane pracowników klienta) - zgodnie z umową powierzenia; po jej zakończeniu są usuwane lub zwracane klientowi,
• logi bezpieczeństwa - przez okres niezbędny dla celów bezpieczeństwa, zwykle do 12 miesięcy,
• dane z narzędzi analitycznych i reklamowych - do wycofania zgody, nie dłużej niż okresy wskazane w sekcji 9 (w Google Analytics 4 do 14 miesięcy),
• zapis Twojego wyboru w banerze cookie - w pamięci przeglądarki, do czasu jego zmiany lub wyczyszczenia danych przeglądarki.

W związku z przetwarzaniem danych przysługują Ci następujące prawa:

• prawo dostępu do danych oraz uzyskania ich kopii (art. 15 RODO),
• prawo do sprostowania danych (art. 16 RODO),
• prawo do usunięcia danych - „prawo do bycia zapomnianym" (art. 17 RODO),
• prawo do ograniczenia przetwarzania (art. 18 RODO),
• prawo do przenoszenia danych (art. 20 RODO),
• prawo do sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie, w tym wobec marketingu bezpośredniego (art. 21 RODO),
• prawo do cofnięcia zgody w dowolnym momencie - bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia (art. 7 ust. 3 RODO),
• prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa.

Aby skorzystać z praw, skontaktuj się z nami pod adresem wskazanym w sekcji Kontakt. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca. Jeżeli przetwarzamy Twoje dane jako procesor, przekażemy żądanie właściwemu administratorowi (Twojemu pracodawcy) lub zrealizujemy je zgodnie z jego poleceniem.

W ramach platformy wyliczany jest wskaźnik ryzyka (risk score)pracownika na podstawie jego reakcji na symulacje phishingu i ukończonych szkoleń. Stanowi to profilowanie w rozumieniu art. 4 pkt 4 RODO, służące wyłącznie celom edukacyjnym i raportowym po stronie pracodawcy (administratora).

Nie podejmujemy wobec osób, których dane dotyczą, decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nie wpływały (art. 22 RODO). Sposób wykorzystania wskaźnika ryzyka (np. w ramach polityki szkoleniowej) ustala pracodawca jako administrator.

Po wyrażeniu zgody na cookies narzędzia reklamowe (Google Ads, Meta Pixel, LinkedIn Insight Tag) mogą zaliczyć Cię do grupy odbiorców reklam ClickGuard 360 (remarketing), co stanowi profilowanie w celach marketingowych. Nie wywołuje ono wobec Ciebie skutków prawnych. Możesz mu się sprzeciwić w każdej chwili, wycofując zgodę na cookies.

Strona korzysta z plików cookie oraz podobnych technologii (np. pamięci lokalnej przeglądarki i skryptów pomiarowych). Wyróżniamy:

• niezbędne - konieczne do działania strony i bezpieczeństwa: Cloudflare Turnstile (ochrona formularzy) oraz zapis Twojego wyboru w banerze cookie (cg360_cookie_consent w pamięci przeglądarki); nie wymagają zgody,
• analityczne - statystyki odwiedzin i analiza korzystania ze strony (Google Analytics 4, Microsoft Clarity); wyłącznie po wyrażeniu zgody na tę kategorię,
• marketingowe - pomiar skuteczności reklam i remarketing (Google Ads, Meta Pixel, LinkedIn Insight Tag); wyłącznie po wyrażeniu zgody na tę kategorię. Google Tag Manager ładuje się, gdy zgodzisz się na którąkolwiek z tych dwóch kategorii.

Narzędzia z danej kategorii ładują się dopiero po wyrażeniu na nią zgody. Do tego czasu strona nie wysyła ich dostawcom żadnych danych. W banerze możesz zaakceptować wszystkie kategorie, odrzucić wszystkie albo w „Ustawieniach” wybrać osobno analityczne i marketingowe. Wybór „Odrzuć wszystkie” oznacza, że pozostają wyłącznie technologie niezbędne. Narzędzia Google działają w trybie Consent Mode v2, który przekazuje Google Twoją decyzję osobno dla statystyk i dla reklam.

Niezależnie od zgody prowadzimy własne, zbiorcze statystyki (ile wysłano formularzy, ile osób ukończyło quiz, z jakich kampanii przyszli odwiedzający). Nie używają one plików cookie ani pamięci przeglądarki, nie zapisują adresu IP i nie pozwalają rozpoznać konkretnej osoby (szczegóły w sekcji 3).

Poniżej znajduje się lista narzędzi zewnętrznych, z których możemy korzystać. Nie wszystkie muszą być w danym momencie aktywne:

Zgodę możesz w każdej chwili zmienić lub wycofać, bez wpływu na zgodność z prawem przetwarzania sprzed jej wycofania. Wystarczy kliknąć przycisk poniżej (lub link „Ustawienia cookies” w stopce strony), aby otworzyć panel ustawień i zmienić wybór dla każdej kategorii. Możesz też usunąć pliki cookie w ustawieniach przeglądarki.

Zasady stosowania plików cookie określa art. 399 ustawy z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej. Technologie niezbędne stosujemy bez zgody, na podstawie naszego uzasadnionego interesu (art. 6 ust. 1 lit. f RODO). Pozostałe stosujemy wyłącznie na podstawie Twojej zgody (art. 6 ust. 1 lit. a RODO).

Stosujemy odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych adekwatne do ryzyka, m.in.: szyfrowanie transmisji (TLS), kontrolę dostępu w oparciu o role, uwierzytelnianie wieloskładnikowe, rozdzielenie danych organizacji (multi-tenant), kopie zapasowe oraz monitorowanie i rejestrowanie zdarzeń. Dane przechowujemy na infrastrukturze zlokalizowanej w UE/EOG.

Jeżeli korzystasz z platformy jako organizacja (klient) i wprowadzasz do niej dane swoich pracowników, pozostajesz administratorem tych danych, a my działamy jako podmiot przetwarzający na podstawie umowy powierzenia przetwarzania danych (DPA)zgodnej z art. 28 RODO. Umowa określa m.in. przedmiot i czas przetwarzania, rodzaj danych, obowiązki i prawa stron, zasady korzystania z podwykonawców (subprocesorów) oraz zasady usunięcia lub zwrotu danych po zakończeniu współpracy.

Wzór umowy powierzenia udostępniamy na żądanie pod adresem wskazanym w sekcji Kontakt. Jako administrator danych swoich pracowników odpowiadasz za poinformowanie ich o przetwarzaniu (w tym o prowadzeniu symulacji phishingu) zgodnie z art. 13/14 RODO.

Politykę możemy aktualizować, np. w związku ze zmianą przepisów lub zakresu usług. Aktualna wersja jest zawsze dostępna na tej stronie, ze wskazaniem daty ostatniej aktualizacji. O istotnych zmianach poinformujemy w widoczny sposób (np. komunikatem na stronie lub e-mailem).

W sprawach dotyczących ochrony danych osobowych oraz realizacji praw skontaktuj się z nami: