Polityka prywatności

Administratorem danych osobowych przetwarzanych na tej stronie w rozumieniu ogólnego rozporządzenia o ochronie danych (RODO), brytyjskiego UK GDPR oraz szwajcarskiej federalnej ustawy o ochronie danych (FADP) jest:

Firma

Don Agency Spółka z o.o.

Adres

Rynek Główny 28, 31-010 Kraków, Polska

Rejestr

KRS 0001073665 (Krajowy Rejestr Sądowy)

E-mail

hello@don-agency.com

Pełne dane spółki podajemy w nocie prawnej. DON świadczy usługi wyłącznie na rzecz przedsiębiorców. Niniejsza polityka dotyczy wszystkich osób korzystających z tej strony, niezależnie od tego, gdzie się znajdują.

W zależności od sposobu korzystania ze strony przetwarzamy:

• techniczne dane dostępowe, które otrzymuje każdy serwer przy otwarciu strony (zob. Hosting);
• Państwa wybór dotyczący prywatności (zapis zgody), zapisany we własnym pliku cookie;
• dane wpisane w formularzu kontaktowym;
• w przypadku aplikacji na stanowisko lub zgłoszenia do puli talentów: Państwa aplikację;
• wyłącznie za Państwa zgodą: dane analityczne i dane pomiaru reklam (Google Analytics, Google Ads, Meta) oraz informacje o kampanii opisane w części „Formularz kontaktowy”;
• wyłącznie po kliknięciu: kalendarz Calendly.

Czcionki i obrazy dostarczamy z własnego serwera, więc otwarcie strony nie wysyła zapytania do Google Fonts ani innych usług czcionek. Nie sprzedajemy danych osobowych i nie stosujemy zautomatyzowanego podejmowania decyzji, w tym profilowania, które wywołuje wobec Państwa skutki prawne lub w podobny sposób istotnie na Państwa wpływa (art. 22 RODO).

Po wysłaniu formularza kontaktowego przetwarzamy imię i nazwisko, adres e-mail, firmę (opcjonalnie), wybraną usługę, wiadomość (opcjonalnie), stronę, z której wysłano formularz, oraz czas wysłania. Cel: odpowiedź na zapytanie i, na Państwa życzenie, przygotowanie oferty. Podstawa prawna: art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy) oraz art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes w odpowiadaniu na zapytania). Podanie danych jest dobrowolne, ale bez imienia i nazwiska oraz adresu e-mail nie możemy odpowiedzieć.

Gdzie dane są przechowywane i dokąd trafiają: nasz serwer zapisuje zapytanie w naszej bazie danych u naszego dostawcy hostingu (serwery w Unii Europejskiej, zob. Hosting) i przekazuje je do naszej skrzynki za pośrednictwem usługi wysyłki e-maili Resend (Resend, Inc., USA) i/lub, jeśli takie podłączyliśmy, przez webhook do narzędzia CRM lub automatyzacji. Resend i to narzędzie, podobnie jak nasz dostawca hostingu, są naszymi podmiotami przetwarzającymi w rozumieniu art. 28 RODO. Resend posiada certyfikację w ramach EU-U.S. Data Privacy Framework, w tym jego rozszerzenia dla Wielkiej Brytanii; w przypadku innych dostawców z państw trzecich stosujemy standardowe klauzule umowne UE.

Ochrona przed spamem: formularz zawiera niewidoczne pole i kontrolę czasu wypełnienia. Aby ograniczyć nadużycia, serwer przechowuje adres IP w pamięci operacyjnej maksymalnie przez 10 minut; nie jest on zapisywany razem z zapytaniem ani przekazywany dalej (art. 6 ust. 1 lit. f RODO).

Informacje o kampanii, wyłącznie za zgodą marketingową: jeśli trafiają Państwo na stronę przez reklamę lub link kampanii, strona odczytuje parametry kampanii w adresie (np. utm_source, gclid lub fbclid), stronę wejścia i stronę odsyłającą. Są one zapisywane w pamięci sesji przeglądarki (czyszczonej po zamknięciu karty) i wysyłane z formularzem tylko wtedy, gdy w ustawieniach cookie włączono kategorię „Marketingowe”; w przeciwnym razie są odrzucane, także na naszym serwerze (art. 6 ust. 1 lit. a RODO, art. 399 Prawa komunikacji elektronicznej). Tylko w tym przypadku zapisujemy razem z zapytaniem również identyfikator przeglądarki (user agent).

Jeśli wyrazili Państwo także zgodę na marketingowe pliki cookie, zapytanie jest zgłaszane do Meta jako konwersja; zob. Analityka i marketing.

Nie wykorzystujemy zapytań do wysyłania newsletterów ani innych e-maili marketingowych. Odpowiadamy osobiście.

Gdy aplikują Państwo na stanowisko lub wysyłają zgłoszenie do naszej puli talentów, przetwarzamy przekazane nam dane: imię i nazwisko oraz adres e-mail, a jeśli zostaną podane, także numer telefonu, kraj zamieszkania, link do profilu lub portfolio, CV (PDF), znajomość języków, dostępność, odpowiedzi na pytania dotyczące stanowiska i wiadomość, wraz ze stanowiskiem i czasem wysłania aplikacji. Wykorzystujemy te dane wyłącznie do oceny kandydatury oraz, jeśli zdecydujemy się na współpracę, do jej przygotowania. Podstawa prawna: art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy). Podanie danych jest dobrowolne, ale bez imienia i nazwiska, adresu e-mail oraz CV lub linku do profilu nie możemy rozpatrzyć aplikacji. Prosimy nie przesyłać szczególnych kategorii danych osobowych, np. informacji o zdrowiu, ani zdjęcia; nie są nam potrzebne.

Gdzie dane są przechowywane i dokąd trafiają: nasz serwer zapisuje aplikację wraz z CV w naszej bazie danych u naszego dostawcy hostingu (serwery w Unii Europejskiej, zob. Hosting) i przekazuje ją wraz z CV w załączniku do naszej skrzynki rekrutacyjnej za pośrednictwem Resend (Resend, Inc., USA) i/lub, jeśli takie podłączyliśmy, przez webhook do narzędzia rekrutacyjnego lub automatyzacji. Resend i to narzędzie, podobnie jak nasz dostawca hostingu, są naszymi podmiotami przetwarzającymi w rozumieniu art. 28 RODO; przekazywanie danych do USA odbywa się na podstawie EU-U.S. Data Privacy Framework lub standardowych klauzul umownych UE. Przyjmujemy CV jako pliki PDF do 5 MB i sprawdzamy je przed zapisaniem lub przekazaniem.

Okres przechowywania: jeśli nie zdecydujemy się na współpracę, usuniemy dokumenty aplikacyjne 6 miesięcy po przekazaniu decyzji.

Pula talentów, wyłącznie za Państwa zgodą: po zaznaczeniu opcjonalnego pola puli talentów przechowujemy aplikację przez 12 miesięcy po zakończeniu rekrutacji, aby kontaktować się w sprawie innych odpowiednich ofert (art. 6 ust. 1 lit. a RODO). Zgodę można wycofać w dowolnym momencie, pisząc na adres hello@don-agency.com; wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem. Po wycofaniu zgody lub po upływie 12 miesięcy usuwamy aplikację.

Ochrona przed spamem: formularz aplikacyjny zawiera niewidoczne pole i kontrolę czasu wypełnienia. Aby ograniczyć nadużycia, serwer przechowuje adres IP w pamięci operacyjnej maksymalnie przez 30 minut; nie jest on zapisywany ani przekazywany dalej.

Podczas pierwszej wizyty pytamy o Państwa wybór. Dopóki nie wyrażą Państwo zgody, ustawiany jest wyłącznie niezbędny plik cookie zgody; nie ładuje się żaden tag analityczny ani reklamowy i nie są zapisywane informacje o kampanii. Podstawa prawna: przechowywanie informacji w urządzeniu bez zgody jest dopuszczalne tylko wtedy, gdy jest niezbędne do świadczenia usługi, o którą Państwo proszą (art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej, wdrożony w Polsce art. 399 ustawy – Prawo komunikacji elektronicznej, w Niemczech § 25 TDDDG, w Austrii § 165 ust. 3 TKG 2021, a w Wielkiej Brytanii regulacją 6 PECR). Wszystko inne wymaga Państwa zgody (art. 6 ust. 1 lit. a RODO). Zgodę można w każdej chwili wycofać lub zmienić ze skutkiem na przyszłość w „Ustawieniach cookie” u dołu każdej strony; pliki cookie i zapisane dane wycofanych kategorii są usuwane.

Zapis zgody: plik cookie don_consent przechowuje wersję niniejszej polityki, czas dokonania wyboru, dozwolone kategorie oraz informację, czy przeglądarka wysłała sygnał Global Privacy Control. Służy jako dowód Państwa wyboru (art. 7 ust. 1 RODO) i opuszcza przeglądarkę wyłącznie jako plik cookie w zapytaniach do naszego serwera. Pytamy ponownie po 12 miesiącach oraz za każdym razem, gdy zmiana tej polityki dotyczy Państwa wyboru.

Nie korzystamy z pamięci lokalnej (local storage) ani innych technologii śledzących, a przed wyrażeniem zgody lub kliknięciem strona nie wysyła żadnych zapytań do podmiotów trzecich.

Te usługi ładują się tylko wtedy, gdy ich kategoria jest włączona w ustawieniach cookie. Korzystamy z Google Consent Mode v2: każdy sygnał Google ma wartość „denied”, zanim jakikolwiek tag Google może się załadować, a na „granted” zmieniane są tylko kategorie, na które Państwo się zgodzą. Jeśli przeglądarka wysyła sygnał Global Privacy Control, kategoria „Marketingowe” pozostaje wyłączona (zob. Wybory dotyczące prywatności). Podstawa prawna: art. 6 ust. 1 lit. a RODO oraz przepisy o zgodzie wymienione w części „Pliki cookie”.

Google Analytics 4 (analityka): Google Ireland Limited, Irlandia. Rejestruje, które strony są odwiedzane, jak długo, na jakim rodzaju urządzenia i mniej więcej z jakiego regionu, abyśmy mogli ulepszać stronę. Według Google usługa Google Analytics 4 nie rejestruje ani nie przechowuje adresów IP. Dane analityczne są przechowywane przez okres ustawiony w naszej usłudze Google Analytics (maksymalnie 14 miesięcy), a następnie automatycznie usuwane.

Śledzenie konwersji Google Ads (marketing): Google Ireland Limited. Mierzy, czy wizyta rozpoczęta od jednej z naszych reklam Google zakończyła się zapytaniem.

Meta Pixel i Conversions API (marketing): Meta Platforms Ireland Limited, Irlandia. Pixel rejestruje w przeglądarce wyświetlenia stron i zdarzenie „Lead”. Po wysłaniu formularza kontaktowego nasz serwer zgłasza to samo zdarzenie bezpośrednio do Meta (Conversions API) wraz z adresem e-mail w postaci zahashowanej (SHA-256), adresem IP, identyfikatorem przeglądarki (user agent) oraz identyfikatorami kliknięcia i przeglądarki Meta, aby Meta mogła przypisać je do kliknięcia reklamy; wspólny identyfikator zdarzenia zapobiega podwójnemu liczeniu. Za to zbieranie i przekazywanie odpowiadamy wspólnie z Meta (art. 26 RODO); obowiązuje umowa uzupełniająca Meta dla administratorów.

Dane mogą otrzymywać Google LLC i Meta Platforms, Inc. w USA; obie firmy posiadają certyfikację w ramach EU-U.S. Data Privacy Framework. Więcej informacji: polityka prywatności Google, polityka prywatności Meta.

Rozmowę można zarezerwować przez Calendly (Calendly LLC, USA). Kalendarz nie ładuje się przy otwieraniu naszych stron: najpierw widać podgląd, a dopiero po kliknięciu przycisku wczytania przeglądarka łączy się z Calendly. Calendly ustawia wtedy własne pliki cookie i przetwarza dane podane przy rezerwacji (np. imię i nazwisko, adres e-mail, wybrany termin). Podstawa prawna: art. 6 ust. 1 lit. a RODO (Państwa kliknięcie) oraz art. 6 ust. 1 lit. b RODO (umówienie rozmowy). Calendly LLC posiada certyfikację w ramach EU-U.S. Data Privacy Framework, jego rozszerzenia dla Wielkiej Brytanii oraz Swiss-U.S. Data Privacy Framework. Więcej informacji: informacja o prywatności Calendly.

Stronę hostuje Hostinger International Ltd., Cypr, na serwerach w Unii Europejskiej. Przy otwarciu strony serwer automatycznie przetwarza adres IP, datę i godzinę, żądaną stronę, stronę odsyłającą oraz informacje o przeglądarce i systemie operacyjnym. Cel: bezpieczne dostarczanie strony i wykrywanie ataków. Podstawa prawna: art. 6 ust. 1 lit. f RODO. Hostinger jest naszym podmiotem przetwarzającym w rozumieniu art. 28 RODO na podstawie umowy powierzenia przetwarzania danych. Logi serwera przechowujemy tylko tak długo, jak wymagają tego te cele, a następnie je usuwamy.

Hostinger prowadzi również bazę danych, w której przechowujemy zapytania i aplikacje (zob. Formularz kontaktowy i e-mail oraz Rekrutacja). Odczytujemy ją wyłącznie przez chroniony hasłem panel administracyjny. Aby chronić ten panel przed odgadywaniem haseł, liczymy nieudane próby logowania dla każdego adresu IP w postaci pseudonimizowanej (jako skrót utworzony z użyciem tajnego klucza) i usuwamy te dane najpóźniej po dwóch dniach (art. 6 ust. 1 lit. f RODO).

Dane osobowe przekazujemy wyłącznie:

• naszemu dostawcy hostingu (podmiot przetwarzający; zob. Hosting);
• usłudze wysyłki e-maili Resend, Inc., USA, oraz, jeśli je podłączyliśmy, narzędziu CRM, rekrutacyjnemu lub automatyzacji (podmioty przetwarzające);
• Calendly LLC, USA, dopiero po wczytaniu kalendarza;
• Google i Meta, wyłącznie za Państwa zgodą (zob. Analityka i marketing);
• doradcom zobowiązanym do zachowania tajemnicy oraz organom publicznym, jeśli wymagają tego przepisy.

Niektórzy z wymienionych odbiorców działają w USA. Przekazywanie danych opiera się na decyzji Komisji Europejskiej z 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony w ramach EU-U.S. Data Privacy Framework (dla certyfikowanych firm: Google, Meta, Resend, Calendly), a w przypadku danych z Wielkiej Brytanii i Szwajcarii na rozszerzeniu dla Wielkiej Brytanii i na Swiss-U.S. Data Privacy Framework, jeśli odbiorca w nich uczestniczy. Jeśli odbiorca nie posiada certyfikacji, stosujemy standardowe klauzule umowne UE (decyzja wykonawcza Komisji (UE) 2021/914), w razie potrzeby z brytyjskim aneksem lub dostosowaniami szwajcarskimi. Kopię tych zabezpieczeń można otrzymać, pisząc na adres hello@don-agency.com.

• Zapytania: tak długo, jak jest to potrzebne do ich obsługi. Jeśli nie dojdzie do zawarcia umowy, usuwamy je po zamknięciu sprawy, gdy nie należy się już spodziewać dalszych pytań, chyba że przepisy (np. prawa handlowego lub podatkowego) wymagają dłuższego przechowywania.
• Aplikacje: 6 miesięcy po przekazaniu decyzji; w puli talentów 12 miesięcy po zakończeniu rekrutacji (wyłącznie za Państwa zgodą, którą można w każdej chwili wycofać).
• Kopie zapasowe: nasza baza danych jest regularnie kopiowana, aby można ją było przywrócić po awarii. Usunięte dane pozostają w tych kopiach do czasu ich nadpisania, najdłużej przez 6 tygodni; kopii używamy wyłącznie do przywrócenia bazy danych.
• Zapis zgody (plik cookie): 12 miesięcy, potem pytamy ponownie.
• Dane analityczne i reklamowe: zgodnie z ustawieniami przechowywania danej usługi (zob. wyżej).
• Adres IP na potrzeby ochrony przed spamem: do 10 minut (formularz kontaktowy) lub 30 minut (formularz aplikacyjny), wyłącznie w pamięci operacyjnej.
• Pseudonimizowany adres IP po nieudanej próbie logowania do naszego panelu administracyjnego: najwyżej dwa dni.
• Informacje o kampanii w pamięci sesji (wyłącznie za zgodą marketingową): do zamknięcia karty przeglądarki.

• Dostęp do danych (art. 15 RODO)
• Sprostowanie (art. 16 RODO) i usunięcie danych (art. 17 RODO)
• Ograniczenie przetwarzania (art. 18 RODO)
• Przenoszenie danych (art. 20 RODO)
• Sprzeciw wobec przetwarzania (art. 21 RODO; zob. niżej)
• Wycofanie zgody w dowolnym momencie ze skutkiem na przyszłość (art. 7 ust. 3 RODO)
• Skarga do organu nadzorczego (art. 77 RODO; zob. niżej)

Aby skorzystać ze swoich praw, prosimy napisać na adres hello@don-agency.com. Odpowiadamy w ciągu miesiąca (art. 12 ust. 3 RODO) i możemy wcześniej poprosić o potwierdzenie tożsamości.

Jeśli przetwarzamy dane na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), mogą Państwo w każdej chwili wnieść sprzeciw z przyczyn związanych z Państwa szczególną sytuacją (art. 21 ust. 1 RODO). Przestaniemy wtedy przetwarzać dane, chyba że wykażemy ważne prawnie uzasadnione podstawy lub dane są potrzebne do ustalenia, dochodzenia lub obrony roszczeń. Jeśli dane są przetwarzane na potrzeby marketingu bezpośredniego, sprzeciw można wnieść w każdej chwili bez podawania przyczyn, a my zaprzestaniemy przetwarzania (art. 21 ust. 2 i 3 RODO). Wystarczy napisać na adres hello@don-agency.com.

Mają Państwo prawo wnieść skargę do organu nadzorczego ds. ochrony danych, w szczególności w państwie członkowskim UE swojego zwykłego pobytu, miejsca pracy lub miejsca domniemanego naruszenia (art. 77 RODO). Organem nadzorczym właściwym dla naszej siedziby jest Prezes Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

Wobec osób przebywających w Wielkiej Brytanii zastosowanie mają UK GDPR, Data Protection Act 2018 oraz Privacy and Electronic Communications Regulations (PECR). Przysługują im prawa opisane powyżej oraz prawo do złożenia skargi do Information Commissioner’s Office (ico.org.uk). Przekazywanie danych z Wielkiej Brytanii do USA opiera się na rozszerzeniu EU-U.S. Data Privacy Framework dla Wielkiej Brytanii (UK-US data bridge) lub na brytyjskim International Data Transfer Addendum. Wobec osób z Wielkiej Brytanii stosujemy ten sam standard zgody na pliki cookie co w UE.

Wobec osób przebywających w Szwajcarii zastosowanie ma szwajcarska federalna ustawa o ochronie danych (FADP). Przysługuje im prawo do informacji, sprostowania i usunięcia danych, sprzeciwu oraz wydania danych (art. 25 i nast. FADP), a także prawo zwrócenia się do Federalnego Pełnomocnika ds. Ochrony Danych i Informacji (FDPIC, edoeb.admin.ch). Dane mogą być ujawniane w USA (Swiss-U.S. Data Privacy Framework, uznany przez Radę Federalną za zapewniający odpowiedni poziom ochrony od 15 września 2024 r.) oraz w państwach UE i EOG; w przypadku innych państw stosujemy standardowe klauzule umowne uznane przez FDPIC.

Wobec osób mieszkających w USA niniejsza sekcja uzupełnia politykę zgodnie z California Consumer Privacy Act w brzmieniu nadanym przez CPRA (CCPA) oraz kompleksowymi ustawami o prywatności innych stanów, takich jak Wirginia, Kolorado, Connecticut, Teksas i Oregon, w zakresie, w jakim mają do nas zastosowanie.

Jakie dane zbieramy (w ostatnich 12 miesiącach): identyfikatory (imię i nazwisko, adres e-mail, adres IP), informacje zawodowe (firma, interesująca Państwa usługa, aplikacja i CV) oraz, wyłącznie za zgodą, aktywność w internecie na tej stronie (analityka i pomiar reklam). Pozyskujemy je od Państwa i z Państwa przeglądarki, w celach opisanych powyżej, i przechowujemy przez okresy podane w części „Jak długo przechowujemy dane”. Nie zbieramy celowo danych wrażliwych i nie wykorzystujemy żadnych danych do wnioskowania o Państwa cechach.

Sprzedaż i udostępnianie: nie sprzedajemy danych osobowych za pieniądze. Jeśli w ustawieniach cookie włączą Państwo kategorię „Marketingowe”, pomiar reklam przez Google i Meta może zostać uznany za „udostępnianie” (sharing) na potrzeby reklamy behawioralnej lub za „reklamę ukierunkowaną” w rozumieniu przepisów stanowych. Można z tego zrezygnować w każdej chwili, wyłączając marketing w ustawieniach cookie. Respektujemy sygnał Global Privacy Control: jeśli przeglądarka go wysyła, marketing pozostaje wyłączony, zarówno w przeglądarce, jak i na naszym serwerze. Nie sprzedajemy ani nie udostępniamy świadomie danych osób poniżej 16 lat.

Państwa prawa, zależnie od stanu: prawo do informacji o przechowywanych danych i dostępu do nich, do ich usunięcia, sprostowania i otrzymania kopii w przenośnym formacie, do rezygnacji ze sprzedaży, udostępniania, reklamy ukierunkowanej i profilowania oraz prawo do niedyskryminacji z powodu korzystania z tych praw. Żądanie prosimy wysłać na adres hello@don-agency.com. Weryfikujemy je, kontaktując się z Państwem pod znanym nam adresem e-mail, i odpowiadamy w ciągu 45 dni (z możliwością jednorazowego przedłużenia o 45 dni, jeśli prawo na to pozwala). Żądanie może złożyć w Państwa imieniu upoważniony pełnomocnik na podstawie podpisanego upoważnienia. Jeśli odmówimy, mogą Państwo złożyć odwołanie, odpowiadając na naszą wiadomość słowem „Appeal”; rozstrzygamy je w terminie przewidzianym przez prawo danego stanu, a w razie jego oddalenia mogą Państwo zwrócić się do prokuratora generalnego swojego stanu (Attorney General).

Do Not Track: dla sygnałów Do Not Track nie istnieje wspólny standard, dlatego strona nie reaguje na nie w szczególny sposób. I tak nie ładuje żadnego tagu analitycznego ani reklamowego bez Państwa zgody, a sygnał Global Privacy Control respektuje w sposób opisany powyżej (California Business and Professions Code § 22575). Nie ujawniamy danych osobowych podmiotom trzecim na potrzeby ich własnego marketingu bezpośredniego (California Civil Code § 1798.83).

Ta strona i nasze usługi są skierowane do przedsiębiorców, a nie do dzieci. Nie zbieramy świadomie danych osobowych dzieci poniżej 16 lat (w USA: poniżej 13 lat, Children’s Online Privacy Protection Act, COPPA). Jeśli uważają Państwo, że dziecko przekazało nam dane, prosimy napisać na adres hello@don-agency.com, a usuniemy je.

DON pracuje dla firm na całym świecie. Niezależnie od tego, gdzie Państwo się znajdują, stosujemy do Państwa danych standard RODO opisany w tej polityce. Jeśli prawo Państwa kraju przyznaje dodatkowe prawa, prosimy napisać na adres hello@don-agency.com, a uwzględnimy je.

Pytania dotyczące ochrony danych: hello@don-agency.com. Aktualizujemy tę politykę, gdy zmienia się strona lub wykorzystywane usługi. Data w spisie treści wskazuje obowiązującą wersję; jeśli zmiana dotyczy udzielonej zgody, baner cookie zapyta Państwa ponownie.