Polityka Prywatności i Plików Cookies

Niniejsza Polityka Prywatności i Plików Cookies (dalej: „Polityka") określa zasady przetwarzania i ochrony danych osobowych w związku z korzystaniem z serwisu internetowegonordscan.eu (dalej: „Serwis") oraz zasady stosowania plików cookies i podobnych technologii.

Administratorem danych osobowych jest EXELO ITS Sp. z o.o. z siedzibą w 85-092 Bydgoszcz, ul. Michała Kleofasa Ogińskiego 2, NIP 5272857846, właściciel i operator Serwisu nordscan.eu (dalej: „Administrator").

Administrator przetwarza dane osobowe zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych, ustawą z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną oraz ustawą z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej.

Administrator zapewnia, że dane osobowe są: przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty; zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach; adekwatne i ograniczone do tego, co niezbędne; prawidłowe i w razie potrzeby uaktualniane; przechowywane nie dłużej niż jest to niezbędne; przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo.

Administrator nie wyznaczył Inspektora Ochrony Danych. W sprawach dotyczących ochrony danych osobowych można kontaktować się z Administratorem pod adresem: office@exelo.pl.

Serwis jest przeznaczony wyłącznie dla profesjonalnych użytkowników biznesowych. Usługi płatne Serwisu nie są kierowane do konsumentów ani osób korzystających z Serwisu w celach prywatnych, osobistych, rodzinnych lub domowych. Sam fakt technicznej dostępności Serwisu w danym państwie nie oznacza, że Serwis jest kierowany do konsumentów w tym państwie.

Publicznie dostępne strony Serwisu (strona internetowa) mogą być przeglądane przez osoby z różnych państw. Nie zmienia to biznesowego charakteru usług płatnych ani zakresu, w jakim są one oferowane. Niniejsza Polityka jest spójna z Regulaminem Serwisu, który określa model świadczenia usług jako wyłącznie B2B.

• Administrator – EXELO ITS Sp. z o.o., podmiot decydujący o celach i sposobach przetwarzania danych osobowych.
• Dane osobowe – informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
• RODO – Rozporządzenie (UE) 2016/679 o ochronie danych osobowych.
• Serwis – serwis internetowy nordscan.eu wraz z udostępnianymi w nim funkcjami.
• Raport – zestawienie informacji o podmiocie gospodarczym (Kontrahencie), generowane na podstawie danych z rejestrów i innych legalnych źródeł, udostępniane Użytkownikowi Konta.
• Odwiedzający – osoba przeglądająca publicznie dostępne strony Serwisu bez zakładania Konta.
• Użytkownik Konta – osoba fizyczna działająca jako przedsiębiorca albo w imieniu Klienta biznesowego, posiadająca Konto w Serwisie.
• Klient biznesowy / Organizacja – przedsiębiorca, osoba prawna, jednostka organizacyjna albo inny podmiot prowadzący działalność gospodarczą, w imieniu którego działa Użytkownik Konta.
• Osoba kontaktowa / reprezentant Klienta – osoba wskazana do kontaktu, rozliczeń, obsługi konta lub reprezentacji Klienta biznesowego.
• Osoba widoczna w Raporcie – osoba fizyczna, której dane występują w publicznych rejestrach lub innych legalnych źródłach i są prezentowane w Raporcie, np. członek zarządu, wspólnik, prokurent, pełnomocnik, beneficjent rzeczywisty, osoba prowadząca działalność gospodarczą lub osoba reprezentująca podmiot gospodarczy.
• Kontrahent – podmiot gospodarczy, którego dane są prezentowane w Raporcie w celu weryfikacji.
• Cookies – pliki tekstowe oraz podobne technologie zapisywane na urządzeniu końcowym podczas korzystania z Serwisu.

Administrator przetwarza dane osobowe następujących kategorii osób:

• Odwiedzający – w zakresie danych zbieranych automatycznie podczas przeglądania publicznych stron Serwisu (np. dane techniczne, pliki cookies).
• Użytkownicy Konta oraz osoby reprezentujące Klienta biznesowego – w zakresie danych podawanych przy zakładaniu i obsłudze Konta, Organizacji oraz korzystaniu z usług, a także danych zbieranych automatycznie.
• Osoby kontaktowe / reprezentanci Klienta – w zakresie danych niezbędnych do obsługi, rozliczeń i reprezentacji Klienta biznesowego.
• Osoby widoczne w Raportach – osoby fizyczne, których dane ujawnione są w publicznych rejestrach lub innych legalnych źródłach (np. członkowie zarządu, wspólnicy, prokurenci, pełnomocnicy, beneficjenci rzeczywiści, osoby prowadzące działalność gospodarczą) i prezentowane w Raportach w celu umożliwienia weryfikacji Kontrahenta. Szczegóły dotyczące tej kategorii opisuje sekcja 6.

A. Użytkownicy Konta oraz osoby reprezentujące Klienta biznesowego. Administrator przetwarza dane w celu: obsługi Konta, Organizacji i dostępu do Serwisu; realizacji umowy z Klientem biznesowym; obsługi płatności, faktur i rozliczeń; komunikacji technicznej i organizacyjnej; zapewnienia bezpieczeństwa, prowadzenia logów i przeciwdziałania nadużyciom; a także dochodzenia i obrony roszczeń.

Podstawy prawne dla tej kategorii:

• art. 6 ust. 1 lit. b RODO (wykonanie umowy) — wyłącznie wtedy, gdy osoba fizyczna jest bezpośrednio stroną umowy, np. osoba prowadząca jednoosobową działalność gospodarczą (JDG);
• art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes) — gdy osoba działa w imieniu spółki, organizacji lub innego Klienta biznesowego; uzasadnionym interesem jest umożliwienie świadczenia usług na rzecz Klienta biznesowego oraz utrzymanie relacji biznesowej;
• art. 6 ust. 1 lit. c RODO (obowiązek prawny) — księgowość, podatki i inne obowiązki wynikające z przepisów prawa;
• art. 6 ust. 1 lit. a RODO (zgoda) — zgody marketingowe, newsletter oraz pliki cookies inne niż niezbędne, jeżeli są stosowane.

B. Osoby widoczne w Raportach. Podstawą przetwarzania jest art. 6 ust. 1 lit. f RODO, tj. prawnie uzasadniony interes Administratora oraz profesjonalnych użytkowników biznesowych, polegający na umożliwieniu dostępu do informacji rejestrowych i gospodarczych wspierających samodzielną ocenę ryzyka współpracy przez profesjonalnych użytkowników biznesowych, przeciwdziałaniu nadużyciom oraz ochronie bezpieczeństwa obrotu gospodarczego.

Administrator przeprowadził ocenę uzasadnionego interesu (test równowagi), uwzględniając publiczny charakter źródeł danych, biznesowy cel przetwarzania, ograniczony zakres przetwarzanych danych oraz prawa i wolności osób, których dane dotyczą. W ocenie Administratora przetwarzanie nie narusza w sposób nadrzędny interesów ani podstawowych praw i wolności tych osób, z uwagi na to, że dane pochodzą ze źródeł jawnych i są wykorzystywane w profesjonalnym, ograniczonym celu weryfikacji kontrahentów.

Niniejsza sekcja jest skierowana do osób fizycznych, których dane mogą być prezentowane w Raportach (np. członków zarządu, wspólników, prokurentów, pełnomocników, beneficjentów rzeczywistych, osób prowadzących działalność gospodarczą lub reprezentujących podmiot gospodarczy).

Jakie kategorie danych mogą być przetwarzane:

• imię i nazwisko;
• funkcja oraz rola w podmiocie;
• powiązania z podmiotem gospodarczym;
• daty powołania, objęcia funkcji lub wykreślenia;
• status działalności;
• dane rejestrowe oraz publiczne identyfikatory;
• inne dane ujawnione w rejestrach lub innych legalnych źródłach.

Źródła danych: dane pochodzą z publicznych rejestrów, oficjalnych baz państwowych i innych legalnych źródeł (zob. sekcja 7).

Cel przetwarzania: dane są prezentowane profesjonalnym użytkownikom biznesowym w celu umożliwienia weryfikacji kontrahentów oraz wsparcia samodzielnej oceny ryzyka współpracy przez tych użytkowników. Raport ma charakter wyłącznie informacyjny.

Administrator nie jest źródłem pierwotnym danych rejestrowych i nie ma wpływu na treść wpisów w rejestrach publicznych. Administrator prezentuje dane w zakresie, w jakim zostały one ujawnione w źródle.

Osoba, której dane są widoczne w Raporcie, może zgłosić żądanie dostępu, sprostowania, ograniczenia przetwarzania, sprzeciwu lub inne żądanie przewidziane w RODO (zob. sekcja 13). Sprzeciw wobec przetwarzania będzie rozpatrywany indywidualnie, z uwzględnieniem interesów osoby oraz prawnie uzasadnionego interesu Administratora i użytkowników biznesowych.

W przypadku danych, które nie są pozyskiwane bezpośrednio od osoby, której dotyczą, lecz z rejestrów publicznych lub innych legalnych źródeł, Administrator realizuje obowiązek informacyjny, o którym mowa w art. 14 RODO, poprzez udostępnienie niniejszej Polityki oraz — tam, gdzie jest to wymagane i możliwe — w inny odpowiedni sposób.

W przypadkach, w których indywidualne poinformowanie każdej osoby widocznej w publicznych rejestrach wymagałoby niewspółmiernie dużego wysiłku, Administrator może realizować obowiązek informacyjny poprzez publiczne udostępnienie niniejszej informacji, zgodnie z art. 14 ust. 5 RODO, po dokonaniu odpowiedniej oceny.

Dane podawane samodzielnie przez Użytkownika Konta lub reprezentanta Klienta:

• adres e-mail oraz hasło (przechowywane wyłącznie w postaci kryptograficznych skrótów);
• imię i nazwisko (opcjonalnie);
• dane Organizacji: nazwa firmy, identyfikator podatkowy (NIP / VAT ID / TAX ID), adres — w przypadku kont firmowych;
• dane osoby kontaktowej / reprezentanta na potrzeby obsługi i rozliczeń;
• treść wiadomości przesyłanych przez formularz kontaktowy.

Dane zbierane automatycznie podczas korzystania z Serwisu:

• adres IP, informacje o przeglądarce i systemie operacyjnym, przybliżona lokalizacja;
• logi serwera, daty i godziny logowań, wyświetlane strony, wykorzystane funkcje;
• identyfikatory plików cookies.

Dane pozyskiwane ze źródeł zewnętrznych (prezentowane w Raportach):

Dane prezentowane w Raportach mogą pochodzić z publicznych rejestrów, oficjalnych baz państwowych, rejestrów gospodarczych, rejestrów beneficjentów rzeczywistych, rejestrów podatkowych, rejestrów upadłościowych, rejestrów statystycznych oraz od komercyjnych dostawców danych, o ile dane te zostały udostępnione zgodnie z prawem.

Podanie danych osobowych przez Użytkownika Konta jest dobrowolne, jednak niezbędne do założenia Konta, dokonania zakupu kredytów oraz korzystania z pełnej funkcjonalności Serwisu. Niepodanie wymaganych danych uniemożliwia świadczenie tych usług.

Podanie danych identyfikujących działalność gospodarczą (np. VAT ID) jest wymagane dla Użytkowników spoza Polski oraz dla wystawienia faktury.

Dane osobowe mogą być przekazywane następującym kategoriom odbiorców:

• Dostawca infrastruktury hostingowej, bazodanowej i uwierzytelniania — zapewniający przechowywanie danych i działanie Serwisu, z serwerami zlokalizowanymi w Unii Europejskiej (Frankfurt, Niemcy). Podmiot przetwarza dane na podstawie umowy powierzenia oraz Standardowych Klauzul Umownych, jeżeli mają zastosowanie.
• Dostawca usług sieciowych (CDN), ochrony przed atakami DDoS i hostingu brzegowego — zapewniający bezpieczeństwo, dostępność i wydajność Serwisu.
• Stripe Inc. (510 Townsend Street, San Francisco, CA 94103, USA) — operator płatności. Dane kart płatniczych są tokenizowane bezpośrednio przez Stripe i nie są przechowywane na serwerach Administratora. Stripe posiada certyfikację PCI DSS Level 1 oraz uczestniczy w EU-US Data Privacy Framework.
• podmioty świadczące Administratorowi usługi księgowe, prawne i informatyczne;
• organy publiczne — wyłącznie gdy obowiązek przekazania wynika z przepisów prawa.

Z każdym podmiotem przetwarzającym dane w imieniu Administratora zawierana jest umowa powierzenia przetwarzania zapewniająca zgodne z prawem i bezpieczne przetwarzanie danych.

Serwis może być technicznie dostępny z różnych państw świata. Dostępność techniczna nie oznacza kierowania usług płatnych do konsumentów w tych państwach.

• Użytkownik biznesowy spoza Europejskiego Obszaru Gospodarczego (EOG) odpowiada za zgodność korzystania z Serwisu i Raportów z prawem kraju swojej siedziby, kraju prowadzenia działalności oraz kraju, którego dane dotyczą.
• Jeżeli Użytkownik spoza EOG uzyskuje dostęp do Raportu zawierającego dane osobowe, zobowiązuje się stosować odpowiednie środki techniczne i organizacyjne w celu ochrony tych danych.
• Użytkownik nie może udostępniać Raportów osobom nieuprawnionym, odsprzedawać ich, masowo kopiować ani wykorzystywać do budowy konkurencyjnej bazy danych.

Niektórzy podwykonawcy Administratora mogą mieć siedzibę poza EOG (m.in. w USA). W takich przypadkach przekazywanie danych zabezpieczone jest poprzez:

• certyfikację EU-US Data Privacy Framework — jeżeli dany dostawca jest aktywnie certyfikowany, lub
• Standardowe Klauzule Umowne zatwierdzone przez Komisję Europejską, gdy są stosowane, oraz
• przechowywanie danych w Unii Europejskiej tam, gdzie jest to technicznie możliwe.

Uzyskanie dostępu do Raportu przez Użytkownika biznesowego mającego siedzibę lub prowadzącego działalność poza EOG może oznaczać udostępnienie danych poza EOG. Za dalsze wykorzystanie tych danych odpowiada Użytkownik, zgodnie z Regulaminem oraz właściwym prawem.

Każdej osobie, której dane dotyczą, przysługują następujące prawa:

• prawo dostępu do danych oraz uzyskania ich kopii;
• prawo do sprostowania nieprawidłowych lub niekompletnych danych;
• prawo do usunięcia danych („prawo do bycia zapomnianym") — w przypadkach z art. 17 RODO;
• prawo do ograniczenia przetwarzania — w przypadkach z art. 18 RODO;
• prawo do przenoszenia danych — w zakresie danych przetwarzanych na podstawie umowy lub zgody;
• prawo do sprzeciwu — wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym wobec marketingu bezpośredniego;
• prawo do wycofania zgody — w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem;
• prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa) lub organu właściwego dla kraju zwykłego pobytu.

Administrator udziela odpowiedzi na żądanie co do zasady w terminie jednego miesiąca od jego otrzymania. W sprawach skomplikowanych lub przy znacznej liczbie żądań termin ten może zostać przedłużony o kolejne dwa miesiące, o czym osoba zostanie poinformowana. W celu potwierdzenia tożsamości Administrator może zwrócić się o podanie dodatkowych informacji.

Usunięcie lub sprostowanie danych w Serwisie nie zawsze oznacza zmianę danych w rejestrze publicznym. W przypadku danych pochodzących z rejestru publicznego osoba może być również zobowiązana do skontaktowania się z właściwym rejestrem w celu zmiany danych źródłowych, ponieważ Administrator nie ma wpływu na treść wpisów w takich rejestrach.

W celu realizacji praw prosimy o kontakt: office@exelo.pl.

• Dane Konta — przez okres posiadania Konta, a po jego usunięciu do upływu okresów wskazanych poniżej oraz przez czas niezbędny do usunięcia kopii zapasowych (do 30 dni).
• Dane Organizacji — przez okres obowiązywania umowy z Klientem biznesowym oraz przez okres niezbędny do rozliczenia tej umowy.
• Dane rozliczeniowe i fakturowe — przez okres wymagany przepisami podatkowymi i o rachunkowości (co do zasady 5 lat od końca roku, w którym powstał obowiązek podatkowy).
• Logi bezpieczeństwa — przez okres niezbędny do zapewnienia bezpieczeństwa Serwisu, nie dłużej niż 12 miesięcy.
• Dane kontaktowe (np. korespondencja, formularz) — przez okres niezbędny do obsługi sprawy oraz 12 miesięcy po jej zakończeniu.
• Dane marketingowe — do czasu wycofania zgody lub wniesienia sprzeciwu.
• Dane Raportów — odblokowany Raport jest dostępny dla Użytkownika przez 30 dni od odblokowania.
• Cache danych pobranych ze źródeł — dane pobrane z rejestrów państwowych przechowywane są w pamięci podręcznej co do zasady do 1 godziny (w wyjątkach, np. kursy walut z EBC, do 24 godzin), a następnie odświeżane.
• Informacje o transakcjach i odblokowanych Raportach — przez okres wymagany przepisami rozliczeniowymi i podatkowymi (co do zasady 5 lat).
• Dane na potrzeby dochodzenia i obrony roszczeń — do upływu okresów przedawnienia (maks. 6 lat).

Administrator stosuje środki techniczne i organizacyjne zapewniające ochronę danych osobowych odpowiednią do zagrożeń oraz kategorii chronionych danych, w szczególności:

• szyfrowanie transmisji danych (protokół HTTPS/TLS);
• hasła są przechowywane wyłącznie w postaci kryptograficznych skrótów z zastosowaniem odpowiednich mechanizmów bezpieczeństwa;
• ochronę danych wymagających podwyższonej ochrony;
• kontrolę dostępu i mechanizmy uwierzytelniania;
• przechowywanie danych w infrastrukturze zlokalizowanej w Unii Europejskiej;
• regularne kopie zapasowe oraz monitorowanie bezpieczeństwa.

Administrator nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nich wpływały w rozumieniu art. 22 RODO.

Raporty nie powinny być wykorzystywane przez Użytkowników jako jedyna podstawa wyłącznie zautomatyzowanych decyzji wobec osób fizycznych, jeżeli decyzje te wywołują wobec tych osób skutki prawne lub w podobny sposób istotnie na nie wpływają.

• Komunikacja marketingowa (e-mail, newsletter lub podobne działania) odbywa się wyłącznie na odpowiedniej podstawie prawnej, w szczególności na podstawie zgody, jeżeli jest wymagana.
• Zgoda na komunikację marketingową może zostać cofnięta w dowolnym momencie.
• Komunikaty techniczne, dotyczące bezpieczeństwa oraz informacje dotyczące działania Konta i Serwisu nie stanowią marketingu i mogą być wysyłane w celu obsługi usługi.

Serwis wykorzystuje pliki cookies i podobne technologie. Cookies niezbędne są stosowane w celu zapewnienia prawidłowego działania Serwisu, utrzymania sesji logowania, bezpieczeństwa oraz realizacji podstawowych funkcji Serwisu. W zakresie, w jakim korzystanie z cookies wiąże się z przetwarzaniem danych osobowych, podstawą prawną przetwarzania danych w przypadku cookies niezbędnych jest art. 6 ust. 1 lit. f RODO, tj. prawnie uzasadniony interes Administratora polegający na zapewnieniu bezpieczeństwa, dostępności i prawidłowego działania Serwisu, a w przypadku funkcji dostępnych po zalogowaniu — także art. 6 ust. 1 lit. b RODO, jeżeli przetwarzanie jest niezbędne do wykonania umowy lub podjęcia działań na żądanie Użytkownika.

Cookies i podobne technologie inne niż niezbędne, w szczególności analityczne, funkcjonalne niewymagane technicznie oraz marketingowe, są stosowane wyłącznie po uzyskaniu zgody Użytkownika, jeżeli taka zgoda jest wymagana przez obowiązujące przepisy. Podstawą prawną przetwarzania danych osobowych w takim przypadku jest art. 6 ust. 1 lit. a RODO. Zapis lub odczyt informacji z urządzenia końcowego Użytkownika odbywa się zgodnie z ustawą z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej. Zgoda jest dobrowolna i może zostać wycofana w dowolnym momencie.

Kategorie plików cookies:

• Niezbędne — utrzymanie sesji logowania i podstawowych funkcji Serwisu; zawsze aktywne.
• Analityczne — analiza sposobu korzystania z Serwisu w celu jego doskonalenia.
• Funkcjonalne — zapamiętywanie preferencji Użytkownika (np. wybór języka).
• Marketingowe — jeżeli są stosowane.

Szczegółowy wykaz stosowanych plików cookies i podobnych technologii zawiera poniższa tabela:

Użytkownik może zarządzać plikami cookies również za pomocą ustawień przeglądarki. Wyłączenie cookies niezbędnych może uniemożliwić korzystanie z Serwisu.

Serwis jest przeznaczony wyłącznie do użytku biznesowego i nie jest kierowany do osób poniżej 18 roku życia. Administrator nie zbiera świadomie danych osób małoletnich.

Administrator zastrzega sobie prawo do zmiany niniejszej Polityki. O istotnych zmianach Użytkownicy zostaną poinformowani komunikatem w Serwisie lub drogą e-mailową. Aktualna wersja Polityki jest zawsze dostępna w Serwisie nordscan.eu (zakładka „Polityka Prywatności").

W sprawach dotyczących przetwarzania danych osobowych oraz realizacji praw prosimy o kontakt: office@exelo.pl

EXELO ITS Sp. z o.o.
ul. Michała Kleofasa Ogińskiego 2
85-092 Bydgoszcz, Polska