Polityka prywatności

1. Administrator danych

NIS2Certify ("my", "nas", "nasz") jest odpowiedzialny za przetwarzanie danych osobowych w sposób opisany w niniejszej polityce prywatności, zgodnie z Ogólnym rozporządzeniem o ochronie danych (RODO / Rozporządzenie UE 2016/679, znanym również jako GDPR). Można się z nami skontaktować pod adresem privacy@nis2certify.org.

NIS2Certify
Doddegras 7, 3994NL Houten
KVK: 76172872

2. Jakie dane przetwarzamy

Przetwarzamy następujące kategorie danych osobowych:

• Dane konta: imię i nazwisko, adres e-mail, hasło (zaszyfrowane), nazwa organizacji
• Dane organizacji: nazwa firmy, numer KVK, numer VAT, adres, branża, liczba pracowników
• Dane oceny: odpowiedzi na pytania dotyczące zgodności z NIS2, wyniki, poziomy zgodności
• Dane płatnicze: adres do faktury, rodzaj subskrypcji (dane płatnicze są przetwarzane przez Stripe)
• Dane o korzystaniu: adres IP, typ przeglądarki, odwiedzane strony, czas dostępu
• Pytania do asystenta NIS2: pytania zadawane naszemu asystentowi NIS2 są przetwarzane przez OpenAI (za pośrednictwem API; nie są wykorzystywane do trenowania modeli) w celu wygenerowania odpowiedzi i przechowywane do 90 dni wraz z zahaszowanym adresem IP w celu poprawy jakości odpowiedzi. Prosimy nie wpisywać danych osobowych w pytaniach
• Nagrania sesji: na naszych publicznych stronach marketingowych (w tym na stronach darmowego Quick Scan i asystenta NIS2) rejestrujemy kliknięcia, przewijanie i ruchy myszy wraz z układem strony w postaci nagrań sesji (replay) i map cieplnych. Cały tekst na stronie oraz wszystko, co Państwo wpisują, jest maskowane (poziom "strict" w Umami), dzięki czemu nie jest widoczne w nagraniach. Nigdy nie nagrywamy w panelu dostępnym po zalogowaniu ani w środowisku ocen. Nagrywanie rozpoczyna się dopiero po wyrażeniu przez Państwa zgody za pośrednictwem banera cookie

3. Cele przetwarzania

• Tworzenie konta i zarządzanie nim
• Przeprowadzanie ocen zgodności z NIS2 oraz generowanie raportów
• Przetwarzanie płatności i zarządzanie subskrypcjami
• Wysyłanie wiadomości e-mail związanych z usługą (zaproszenia, raporty, resetowanie hasła)
• Ulepszanie naszych usług i rozwiązywanie problemów technicznych
• Spełnianie obowiązków prawnych

4. Podstawa prawna

Przetwarzamy Państwa dane na podstawie:

• Wykonanie umowy: w celu świadczenia naszych usług
• Prawnie uzasadniony interes: w celu ulepszania naszych usług i zapewnienia bezpieczeństwa
• Obowiązek prawny: w celu wypełnienia obowiązków podatkowych i administracyjnych
• Zgoda: na komunikację marketingową (jeśli dotyczy) oraz na nagrywanie sesji na naszych publicznych stronach marketingowych

5. Podmioty przetwarzające i strony trzecie

Korzystamy z następujących podmiotów przetwarzających:

• Supabase (USA/UE): hosting bazy danych i uwierzytelnianie
• Stripe (USA/UE): przetwarzanie płatności i zarządzanie subskrypcjami
• Resend (USA): wysyłka transakcyjnych wiadomości e-mail
• Vercel/dostawca hostingu: hosting aplikacji internetowej
• Google Analytics (USA/UE): statystyki strony internetowej i analiza korzystania (wyłącznie po wyrażeniu przez Państwa zgody)
• OpenAI Ireland Limited (Irlandia): generowanie odpowiedzi dla asystenta NIS2; dane mogą być przetwarzane w Stanach Zjednoczonych na podstawie standardowych klauzul umownych lub decyzji stwierdzającej odpowiedni stopień ochrony, zgodnie z umową powierzenia przetwarzania danych OpenAI
• Umami (hostowane samodzielnie, UE): nagrania sesji (replay i mapy cieplne) na naszych publicznych stronach marketingowych, hostowane przez NIS2Certify na serwerze w UE pod adresem analytics.nis2certify.org (wyłącznie po wyrażeniu przez Państwa zgody)

Ze wszystkimi naszymi podmiotami przetwarzającymi zawarliśmy umowy powierzenia przetwarzania danych zgodnie z RODO.

6. Okresy przechowywania

• Dane konta: do momentu usunięcia konta
• Dane oceny i raporty: do momentu usunięcia konta lub do 2 lat od ostatniego użycia
• Dane płatnicze: 7 lat od daty faktury (ustawowy obowiązek przechowywania)
• Pliki dziennika: maksymalnie 90 dni
• Nagrania sesji (Umami): maksymalnie 30 dni

7. Państwa prawa

Na podstawie RODO przysługują Państwu następujące prawa:

• Prawo dostępu: mogą Państwo zażądać informacji o tym, jakie dane na Państwa temat przetwarzamy
• Prawo do sprostowania: mogą Państwo zażądać poprawienia nieprawidłowych danych
• Prawo do usunięcia: mogą Państwo zażądać usunięcia swoich danych
• Prawo do ograniczenia: mogą Państwo zażądać ograniczenia przetwarzania
• Prawo do przenoszenia danych: mogą Państwo otrzymać swoje dane w powszechnie używanym formacie
• Prawo do sprzeciwu: mogą Państwo wnieść sprzeciw wobec określonych operacji przetwarzania

Mogą Państwo skorzystać ze swoich praw, kontaktując się z nami pod adresem privacy@nis2certify.org. Na Państwa wniosek odpowiadamy w ciągu 30 dni.

8. Bezpieczeństwo

Stosujemy odpowiednie środki techniczne i organizacyjne, aby chronić Państwa dane osobowe przed nieuprawnionym dostępem, utratą lub niewłaściwym wykorzystaniem. Obejmuje to między innymi szyfrowanie danych w trakcie przesyłania i w spoczynku, kontrolę dostępu opartą na rolach oraz regularne audyty bezpieczeństwa.

9. Pliki cookie

Używamy ściśle niezbędnych plików cookie do funkcjonowania aplikacji oraz analitycznych plików cookie (Google Analytics), które są umieszczane wyłącznie po wyrażeniu przez Państwa wyraźnej zgody za pośrednictwem banera cookie. Na podstawie tej samej zgody nagrywamy sesje na naszych publicznych stronach marketingowych za pomocą Umami (zob. sekcja 2); w tym celu nie są umieszczane żadne pliki cookie.

Prosimy zapoznać się z naszą pełną polityką cookie, aby uzyskać więcej informacji o tym, w jaki sposób wykorzystujemy pliki cookie i jak mogą Państwo nimi zarządzać.

10. Skargi

Jeśli mają Państwo skargę dotyczącą przetwarzania swoich danych osobowych, mogą Państwo skontaktować się z nami pod adresem privacy@nis2certify.org. Mają Państwo również prawo do wniesienia skargi do organu nadzorczego. W przypadku Holandii jest to Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl). Jeśli mają Państwo siedzibę w innym państwie członkowskim UE, mogą Państwo również wnieść skargę do organu nadzorczego we własnym kraju.