Informacja o ochronie danych

1. Administrator

EAS International

Urs Zimmermann

Klybeckstr. 141

4057 Basel

Schweiz

E-mail: info@batteriepass-online.eu

Nie mamy obowiązku wyznaczenia inspektora ochrony danych na podstawie art. 37 RODO. Zapytania dotyczące ochrony danych prosimy kierować na powyższy adres e-mail.

1a. Przedstawiciel w UE (art. 27 RODO)

Urs Zimmermann

Eichacker 2

79418 Schliengen

Germany

E-mail: info@batteriepass-online.eu

Osoby, których dane dotyczą, i organy nadzorcze w UE mogą zwracać się do przedstawiciela we wszystkich sprawach związanych z przetwarzaniem; przedstawiciel działa w imieniu administratora.

2. Nasza rola: administrator czy podmiot przetwarzający

W odniesieniu do kont klientów, rozliczeń, bezpieczeństwa i działania strony internetowej jesteśmy administratorem. Niniejsza informacja opisuje te operacje przetwarzania.

Treści paszportów baterii, przesłane dokumenty, osoby kontaktowe u dostawców i wnioski o dostęp są wprowadzane do oprogramowania przez naszych klientów (podmioty gospodarcze). W odniesieniu do tych danych administratorem jest dany klient, a my jesteśmy jego podmiotem przetwarzającym w rozumieniu art. 28 RODO na podstawie naszej umowy powierzenia przetwarzania danych (/avv). W sprawie tych danych osoby, których dane dotyczą, mogą zwracać się do podmiotu gospodarczego wskazanego w paszporcie; przekazujemy mu zapytania.

3. Odwiedzanie strony internetowej

Gdy otwierasz nasze strony, nasz serwer przetwarza Twój adres IP, żądany adres i identyfikator przeglądarki (user agent), aby dostarczyć stronę i odpierać ataki (art. 6 ust. 1 lit. f RODO). Nasz serwer pośredniczący rejestruje adres IP, czas, żądany adres, kod statusu i user agent w celu wykrywania ataków i nadużyć; ten dziennik serwera jest automatycznie usuwany po siedmiu dniach. Poza tym adres IP jest przetwarzany wyłącznie w licznikach ograniczania liczby żądań (pkt 5) oraz – w postaci skróconej i zahaszowanej – w dzienniku dostępu do chronionych treści paszportów (pkt 7).

Nie stosujemy narzędzi analitycznych do śledzenia, wtyczek mediów społecznościowych ani zewnętrznych czcionek. Z Google Ads korzystamy wyłącznie za Twoją zgodą, aby mierzyć skuteczność naszych reklam (pkt 4).

4. Pliki cookie

Technicznie niezbędne pliki cookie i wpisy w pamięci, które nie wymagają zgody (§ 25 ust. 2 pkt 2 TDDDG):

• bpo_session: logowanie do strefy klienta; okres ważności 30 dni, usuwany po wylogowaniu.
• bpo_access: zapamiętuje przyznany dostęp do niepublicznych treści paszportu (uzasadniony interes lub organ); okres ważności zgodny z przyznanym dostępem.
• bpo_consent (pamięć lokalna przeglądarki): zapisuje Twój wybór dotyczący plików cookie; okres ważności 12 miesięcy.
• Google Ads (wyłącznie za zgodą): jeśli wyrazisz zgodę w banerze cookie, osadzamy śledzenie konwersji Google Ads (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia). Google zapisuje w tym celu pliki cookie (np. _gcl_au, okres ważności do 90 dni) i otrzymuje Twój adres IP, odwiedzone strony, czas i dane przeglądarki, aby zmierzyć, czy kliknięcie naszej reklamy doprowadziło do rejestracji lub zakupu. Podstawą prawną jest Twoja zgoda (art. 6 ust. 1 lit. a RODO, § 25 ust. 1 TDDDG). Przekazywanie danych do Google LLC w USA odbywa się w ramach unijno-amerykańskich ram ochrony danych (EU-US Data Privacy Framework). Bez zgody kod Google nie jest ładowany. Zgodę możesz w każdej chwili odwołać ze skutkiem na przyszłość w „Ustawieniach plików cookie” w stopce. Polityka prywatności Google: https://policies.google.com/privacy

5. Konto klienta i organizacja

Przy rejestracji przetwarzamy imię i nazwisko, adres e-mail, firmę i hasło, które przechowujemy wyłącznie w postaci skrótu (scrypt). W odniesieniu do organizacji przechowujemy nazwę prawną, adres, kraj, numer identyfikacyjny VAT, numer EORI i inne identyfikatory przedsiębiorstwa (np. numer w rejestrze handlowym lub numer LEI), które klient podaje na potrzeby paszportów i rejestracji w UE, a także plan i limity. Ponadto rejestrujemy czas ostatniego logowania i ustawienie języka.

Celem jest udostępnienie strefy klienta, przypisanie paszportów do podmiotu gospodarczego i rozliczenia. Podstawą prawną jest wykonanie umowy (art. 6 ust. 1 lit. b RODO).

Potwierdzenia e-mail, linki do logowania i resetowania hasła są wysyłane za pośrednictwem usługi e-mail STRATO GmbH (Niemcy). Rejestrujemy wysłane wiadomości z odbiorcą, tematem, treścią i statusem doręczenia, aby móc wyjaśniać problemy z doręczeniem; dziennik jest usuwany po dwunastu miesiącach.

W celu ochrony przed nadużyciami ograniczamy liczbę prób logowania, rejestracji i resetowania hasła na adres IP i konto. W tym celu przechowujemy liczniki z adresem IP przez maksymalnie 24 godziny (art. 6 ust. 1 lit. f RODO). Próby logowania (udane i nieudane) rejestrujemy z czasem, adresem e-mail, wynikiem, pełnym adresem IP i user agentem przez 90 dni, aby wykrywać ataki na konta i odróżniać je od sytuacji, w której klient błędnie wpisuje własne hasło. Dziennik ten widzi wyłącznie operator w wewnętrznym panelu operatora, gdzie domyślnie jest ukryty za przyciskiem wyświetlania.

6. Płatności i rozliczenia

Płatne plany są obsługiwane przez Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irlandia. Stripe otrzymuje imię i nazwisko, adres e-mail, adres firmy, numer VAT i dane płatnicze; dane kart i rachunków są zbierane wyłącznie przez Stripe i nigdy nie trafiają na nasze serwery. Przechowujemy identyfikator klienta Stripe, status subskrypcji i dane faktur.

Stripe jest samodzielnym administratorem w zakresie przetwarzania płatności; obowiązuje polityka prywatności Stripe (https://stripe.com/privacy). Przekazywanie danych do Stripe Inc. w USA odbywa się w ramach unijno-amerykańskich ram ochrony danych i na podstawie standardowych klauzul umownych.

Podstawami prawnymi są wykonanie umowy (art. 6 ust. 1 lit. b RODO) i nasze ustawowe obowiązki przechowywania (art. 6 ust. 1 lit. c RODO). Dane faktur przechowujemy przez dziesięć lat.

7. Publiczne paszporty baterii

Opublikowane paszporty baterii są dostępne na całym świecie pod swoim adresem (kod QR). To, które dane są publiczne, widoczne tylko dla osób mających uzasadniony interes lub tylko dla organów, określa załącznik XIII do rozporządzenia (UE) 2023/1542; oprogramowanie technicznie realizuje te poziomy. Do danych publicznych należą nazwa i dane kontaktowe podmiotu gospodarczego; jeżeli dotyczy to osoby fizycznej, odpowiada za to podmiot gospodarczy.

Dostęp do niepublicznych treści paszportów rejestrujemy dla klienta z czasem, poziomem dostępu, skróconym zahaszowanym adresem IP i user agentem. Ten dziennik dostępu jest usuwany po 90 dniach.

Kto jako organ lub osoba mająca uzasadniony interes wnioskuje o dostęp do chronionych treści, podaje adres e-mail, organizację, rolę, cel i w stosownych przypadkach dowody. Informacje te widzi klient, który decyduje o przyznaniu dostępu; przetwarzamy je w imieniu klienta.

8. Formularze dla dostawców, API i webhooki

Klienci mogą prosić dostawców o dane produktów za pomocą linku w wiadomości e-mail. W tym celu przechowujemy w imieniu klienta wprowadzony przez niego adres e-mail dostawcy, status przetwarzania i przesłane wartości.

Na potrzeby API przechowujemy klucze API wyłącznie w postaci skrótu wraz z czasem ostatniego użycia. Adresy i sekrety webhooków podaje klient; sekrety są przechowywane w postaci zaszyfrowanej. Próby doręczenia rejestrujemy z czasem, kodem statusu i fragmentem odpowiedzi przez 30 dni.

9. Hosting i odbiorcy

Korzystamy z następujących usługodawców, którzy przetwarzają dane w naszym imieniu (art. 28 RODO):

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Niemcy: serwery aplikacji, bazy danych i magazynu dokumentów w centrach danych w Falkenstein i Norymberdze.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Niemcy: wysyłka systemowych wiadomości e-mail.
• Stripe Payments Europe Ltd., Dublin, Irlandia: obsługa płatności (jako samodzielny administrator, zob. pkt 6).

10. Przekazywanie do państw trzecich

Mamy siedzibę w Szwajcarii. Komisja Europejska uznała, że Szwajcaria zapewnia odpowiedni stopień ochrony danych (decyzja stwierdzająca odpowiedni stopień ochrony 2000/518/WE, potwierdzona w 2024), w związku z czym dostęp ze Szwajcarii do danych przechowywanych w Niemczech jest dozwolony. Poza obsługą płatności przez Stripe (pkt 6) nie dochodzi do przekazywania danych do innych państw trzecich.

11. Okresy przechowywania

• Dane konta klienta i organizacji: do usunięcia konta, następnie 30 dni blokady; dane faktur dziesięć lat.
• Sesje logowania: 30 dni; linki do logowania i resetowania: do 24 godzin.
• Dziennik serwera WWW: siedem dni. Liczniki ograniczania liczby żądań: 24 godziny. Dziennik logowań: 90 dni. Dzienniki dostępu do chronionych treści paszportów: 90 dni. Dziennik wiadomości e-mail: dwanaście miesięcy. Dziennik doręczeń webhooków: 30 dni.
• Paszporty baterii i dokumenty: przez ustawowy okres przechowywania zgodnie z art. 77 ust. 8 rozporządzenia (UE) 2023/1542. Po zakończeniu umowy paszporty pozostają dostępne w trybie tylko do odczytu przez co najmniej 15 lat, a następnie do zgłoszenia recyklingu; usunięcie zgodnie z naszymi ogólnymi warunkami handlowymi (pkt 8).
• Dziennik zmian (dziennik audytu) strefy klienta: przez okres obowiązywania umowy, aby móc wykazać łańcuch weryfikacji paszportów.

12. Bezpieczeństwo

Wszystkie połączenia są szyfrowane za pomocą TLS. Hasła są przechowywane jako skróty scrypt, sekrety w postaci zaszyfrowanej. Dostęp opiera się na rolach, liczba prób logowania jest ograniczona, a zmiany w paszportach są zapisywane w łańcuchu skrótów. Baza danych jest dostępna wyłącznie z sieci prywatnej. Kopie zapasowe są tworzone codziennie i przechowywane przez 30 dni.

13. Twoje prawa

Przysługuje Ci prawo dostępu (art. 15 RODO), sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20) oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionych interesach (art. 21). Prosimy o kontakt pod adresem info@batteriepass-online.eu. Odpowiadamy w ciągu miesiąca.

Możesz wnieść skargę do organu nadzorczego ds. ochrony danych, w Szwajcarii do Federalnego Inspektora Ochrony Danych i Informacji (FDPIC/EDÖB), w UE do organu właściwego dla Twojego miejsca zamieszkania lub pracy.

Nie podejmujemy zautomatyzowanych decyzji w indywidualnych przypadkach i nie wykorzystujemy Twoich danych do celów reklamowych bez Twojej uprzedniej zgody.

14. Zmiany

Aktualizujemy niniejszą informację, gdy zmieniają się nasze operacje przetwarzania lub stan prawny. Aktualna wersja jest zawsze dostępna pod adresem /datenschutz; o istotnych zmianach informujemy klientów e-mailem.