Polityka prywatności i cookies

1. Administrator danych i kontakt

Administratorem Państwa danych osobowych jest RSHolding Sp. z o.o. Sp. K. z siedzibą przy ul. Dąbrówki 8, 35-036 Rzeszów, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem 0000780671, NIP 8133809791, REGON 383029426.

We wszystkich sprawach dotyczących danych osobowych, w tym przy zgłaszaniu żądań opisanych w części 12, prosimy o kontakt: rs@rsholding.com.pl albo telefonicznie +48 793 738 360.

Nie wyznaczyliśmy inspektora ochrony danych. Sprawy z zakresu ochrony danych prowadzi bezpośrednio zarząd spółki, pod adresem podanym wyżej.

2. Co ten serwis zbiera, a czego nie

Serwis jest wizytówką spółki. Nie ma w nim kont użytkowników, newslettera, sklepu ani systemu rezerwacji. Jedyne pole, w które można wpisać dane, to formularz zgłoszeniowy w zakładce „Praca": opisujemy go osobno w części 14.

Serwis nie ustawia własnych plików cookie. Nie pobiera też kroju pisma z zewnętrznego serwera: font jest hostowany razem ze stroną, więc jej otwarcie nie powoduje połączenia z Google Fonts ani z inną siecią dostarczania treści. Ma to znaczenie praktyczne, bo takie połączenie przesyła adres IP odwiedzającego do usługodawcy, co bywało przedmiotem sporów sądowych (wyrok Sądu Krajowego w Monachium I, sygn. 3 O 17493/20).

Dane osobowe pojawiają się tu w pięciu sytuacjach: gdy serwer zapisuje Państwa zapytanie w logu, gdy przeglądarka pobiera skrypt Google Tag Managera, gdy wyświetli się mapa w stopce, gdy zdecydują się Państwo do nas napisać lub zadzwonić oraz gdy wyślą Państwo zgłoszenie przez formularz w zakładce „Praca". Każdą z nich opisujemy niżej osobno, wraz z podstawą prawną.

3. Informacje zapisywane w Państwa przeglądarce

Serwis nie zapisuje plików cookie. Korzysta natomiast z pamięci lokalnej przeglądarki i przechowuje w niej dwie wartości:

• rsh-consent: Państwa decyzja dotycząca zgód, czyli zapis tego, czy kategoria analityczna i marketingowa zostały włączone, wraz z datą jej dokonania. Bez tego zapisu baner pytałby o zgodę przy każdym otwarciu strony. Data pozwala nam wykazać, kiedy zgoda została udzielona, i odmierzyć rok, po którym pytamy o nią ponownie.
• rsh-lang: informacja o tym, że wersję językową wybrali Państwo ręcznie. Służy wyłącznie temu, żeby pasek proponujący drugą wersję językową więcej się nie pokazywał.

Obie wartości pozostają w Państwa przeglądarce. Nie są nigdzie przesyłane, nie odczytujemy ich po stronie serwera i nie zawierają identyfikatora, który pozwalałby rozpoznać Państwa przy kolejnej wizycie albo w innym serwisie.

Rozróżnienie na „pliki cookie" i „pamięć lokalną" jest techniczne i nie zmienia Państwa uprawnień. Przepis, który tu obowiązuje (art. 398 ustawy Prawo komunikacji elektronicznej, wcześniej art. 173 Prawa telekomunikacyjnego), mówi o przechowywaniu informacji w urządzeniu końcowym i o dostępie do informacji już tam przechowywanej, niezależnie od użytej techniki. Obie wartości traktujemy więc dokładnie tak, jak traktowałoby się pliki cookie: jako niezbędne do wykonania usługi, o którą Państwo poprosili, i z tego powodu niewymagające zgody. Można je w każdej chwili skasować, czyszcząc dane tej witryny w ustawieniach przeglądarki.

4. Zgody: kategorie, stan domyślny i wycofanie

Przy pierwszej wizycie pokazujemy baner z trzema kategoriami:

• Niezbędne: zapamiętanie decyzji o zgodach, zapamiętanie wybranej wersji językowej oraz bezpieczeństwo serwisu. Zawsze włączone i niewymagające zgody.
• Analityczne: pomiar ruchu, czyli liczby wejść i sposobu poruszania się po stronie.
• Marketingowe: dopasowanie przekazu reklamowego i pomiar jego skuteczności.

Stosujemy Google Consent Mode w wersji 2. Zanim wyrażą Państwo zgodę, sygnały ustawione są tak: security_storage oraz functionality_storage na „granted" (dozwolone), ponieważ dotyczą bezpieczeństwa i podstawowego działania serwisu, a analytics_storage, ad_storage, ad_user_data, ad_personalization i personalization_storage na „denied" (odrzucone). W praktyce oznacza to, że dopóki nie wyrażą Państwo zgody, żaden znacznik nie zapisze na Państwa urządzeniu pliku cookie Google ani nie odczyta identyfikatora reklamowego.

Podstawą prawną przetwarzania w kategorii analitycznej i marketingowej jest Państwa zgoda (art. 6 ust. 1 lit. a RODO). Zgoda jest dobrowolna, a odmowa nie ogranicza dostępu do żadnej treści serwisu. Przycisk odrzucenia jest w banerze równie widoczny i wymaga tylu samo kliknięć co przycisk akceptacji.

Jak długo obowiązuje. Państwa decyzja jest honorowana przez rok od jej dokonania. Po tym czasie baner pojawia się ponownie, a stan zgód wraca do domyślnego odrzucenia, zanim uruchomi się jakikolwiek znacznik. Pytamy ponownie, ponieważ zgoda udzielona bezterminowo przestaje odpowiadać temu, na co faktycznie się Państwo godzą.

Jak wycofać zgodę. W stopce każdej strony, obok odnośnika do niniejszej polityki, znajduje się przycisk „Ustawienia cookies". Otwiera on ten sam baner, z odtworzonym Państwa dotychczasowym wyborem. Można w nim odznaczyć kategorie i zapisać wybór albo od razu użyć przycisku „Odrzucam opcjonalne".

Co się wtedy dzieje. Nowy stan zapisuje się w pamięci lokalnej i natychmiast trafia do Google Tag Managera jako aktualizacja zgody, co blokuje dalsze uruchamianie znaczników zależnych od zgody i zapisywanie kolejnych plików cookie. Pliki cookie zapisane wcześniej nie znikają przez to automatycznie z Państwa urządzenia: usuwa się je, czyszcząc dane witryny w przeglądarce. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na jej podstawie przed wycofaniem.

5. Google Tag Manager

Serwis korzysta z Google Tag Managera (kontener GTM-TFV3Q6SG), narzędzia dostarczanego użytkownikom z Europejskiego Obszaru Gospodarczego przez Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia. Menedżer tagów sam nie mierzy ruchu: zarządza uruchamianiem innych znaczników i sprawdza, czy pozwala na to stan zgody.

Skrypt menedżera pobierany jest przy każdym otwarciu strony, także wtedy, gdy odrzucą Państwo zgody. Samo pobranie pliku z serwera googletagmanager.com nie zapisuje niczego na Państwa urządzeniu, ale powoduje, że dostawca poznaje Państwa adres IP oraz standardowe informacje wysyłane przez przeglądarkę: jej typ i wersję, system operacyjny i ustawienia językowe. Podstawą prawną tego jednego działania jest nasz prawnie uzasadniony interes polegający na tym, aby warstwa zgody i przyszły pomiar ruchu były obsługiwane jednym, kontrolowanym mechanizmem (art. 6 ust. 1 lit. f RODO). Mogą Państwo wnieść wobec niego sprzeciw na zasadach opisanych w części 12.

W kontenerze uruchomiona jest wyłącznie usługa Google Analytics 4 (identyfikator pomiaru G-0NBRXE0L7K). Mierzymy: otwarcia stron, wyświetlenie poszczególnych sekcji strony głównej oraz kliknięcia w podany numer telefonu i adres e-mail. Służy to jednemu celowi: sprawdzeniu, czy strona odpowiada na pytania, z którymi przychodzą dostawcy. Nie działa żaden znacznik reklamowy, nie korzystamy z funkcji Google Signals ani z przekazywania danych do systemów reklamowych. Kategoria marketingowa w banerze pozostaje dostępna, ale obecnie nie uruchamia niczego.

Po odrzuceniu zgody Google Analytics nadal wysyła pojedyncze zgłoszenie o otwarciu strony. Nie zapisuje wtedy pliku cookie ani identyfikatora, który pozwalałby rozpoznać Państwa przy kolejnej wizycie, ale samo zgłoszenie zawiera adres IP, adres oglądanej strony, informacje o przeglądarce oraz znacznik mówiący, że zgody nie udzielono. Google wykorzystuje takie zgłoszenia do szacowania statystyk. Jest to domyślne zachowanie mechanizmu Consent Mode w wersji 2, a nie skutek naszej odrębnej decyzji, ale uznajemy, że należy o tym powiedzieć wprost, ponieważ odbiega od tego, czego można oczekiwać po kliknięciu przycisku odmowy. Podstawą prawną jest nasz prawnie uzasadniony interes polegający na poznaniu skali ruchu w serwisie (art. 6 ust. 1 lit. f RODO), a sprzeciw wobec niego mogą Państwo wnieść na zasadach opisanych w części 12.

6. Mapa siedziby

W stopce osadzamy mapę wskazującą siedzibę spółki. Ramka z mapą ładuje się leniwie, czyli dopiero wtedy, gdy przewiną Państwo stronę do stopki. Jeżeli Państwo tam nie dotrą, żadne połączenie z serwerami mapy nie następuje. Nie osadzamy map Google.

Wyświetlenie mapy powoduje, że jej dostawca, OpenStreetMap Foundation (St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Wielka Brytania), otrzymuje Państwa adres IP oraz informacje techniczne wysyłane przez przeglądarkę. Jest to nieuniknione przy pobieraniu kafelków mapy. Ramka ma ustawiony atrybut zakazujący przekazywania adresu strony odsyłającej, więc dostawca nie dowiaduje się, z której podstrony mapa została otwarta. Poza tym, co przeglądarka wysyła sama przy pobieraniu treści, nie przekazujemy dostawcy żadnych informacji o Państwu.

Podstawą prawną jest nasz prawnie uzasadniony interes polegający na wskazaniu lokalizacji siedziby spółki, co dla odwiedzających weryfikujących kontrahenta jest istotną informacją (art. 6 ust. 1 lit. f RODO). Zasady przetwarzania po stronie dostawcy opisuje jego polityka prywatności: osmfoundation.org. Nie mamy wpływu na jej treść ani na to, jak długo dostawca przechowuje własne logi.

7. Logi serwera i hosting

Serwis działa na hostingu współdzielonym w home.pl. Operator hostingu przetwarza dane na nasze zlecenie, jako podmiot przetwarzający w rozumieniu art. 28 RODO.

Serwer zapisuje w logu standardowe informacje o zapytaniach: adres IP, datę i godzinę, adres żądanego zasobu, kod odpowiedzi, jej rozmiar oraz informacje o przeglądarce. Logi powstają niezależnie od zgód, bo bez nich serwer nie mógłby odpowiadać na zapytania ani wykryć nadużycia. Nie zestawiamy ich z żadnym innym zbiorem i nie używamy do analizy zachowań odwiedzających.

Podstawą prawną jest nasz prawnie uzasadniony interes polegający na utrzymaniu bezpieczeństwa i sprawności serwisu (art. 6 ust. 1 lit. f RODO).

Do potwierdzenia: dokładny okres przechowywania logów oraz zakres zapisywanych w nich pól wynikają z konfiguracji usługi po stronie operatora hostingu i z zawartej z nim umowy powierzenia przetwarzania. Nie podajemy tu liczby, której nie potwierdziliśmy w umowie. Jeżeli chcą Państwo poznać ten okres, prosimy o kontakt na adres z części 1.

8. Kontakt telefoniczny i pocztą elektroniczną

Serwis podaje numer telefonu i adresy poczty elektronicznej spółki. Jeżeli napiszą Państwo do nas albo zadzwonią, przetwarzamy dane zawarte w korespondencji lub podane w rozmowie: imię i nazwisko, adres poczty elektronicznej, numer telefonu, nazwę reprezentowanej firmy oraz treść sprawy. Zakres zależy wyłącznie od tego, co Państwo podadzą.

Podstawą prawną jest podjęcie działań na Państwa żądanie przed zawarciem umowy, gdy sprawa dotyczy oferty lub współpracy (art. 6 ust. 1 lit. b RODO), a w pozostałych przypadkach nasz prawnie uzasadniony interes polegający na prowadzeniu bieżącej korespondencji i obronie przed roszczeniami (art. 6 ust. 1 lit. f RODO). Jeżeli z kontaktu powstanie zamówienie lub umowa, dane z nią związane przetwarzamy dodatkowo w celu wykonania obowiązków podatkowych i rachunkowych (art. 6 ust. 1 lit. c RODO).

Nie prowadzimy wysyłki handlowej do osób, które się o nią nie zwróciły, i nie zapisujemy nikogo do żadnej listy adresowej na podstawie kontaktu w sprawie oferty.

9. Odbiorcy danych

Danych nie sprzedajemy i nie udostępniamy nikomu do celów marketingowych. Odbiorcami są:

• operator hostingu i poczty, home.pl, jako podmiot przetwarzający na nasze zlecenie: logi serwera i korespondencja elektroniczna;
• Google Ireland Limited, a w zakresie opisanym w części 10 także Google LLC: dane opisane w części 5;
• OpenStreetMap Foundation: dane opisane w części 6;
• biuro rachunkowe i doradcy prawni, jeżeli z korespondencji powstanie umowa albo spór;
• organy publiczne, jeżeli zwrócą się do nas z żądaniem mającym podstawę w przepisach.

Rola Google wobec danych zbieranych przez znaczniki, czyli to, czy będzie ono podmiotem przetwarzającym, czy współadministratorem, zależy od tego, które narzędzie zostanie uruchomione w kontenerze. Wskażemy ją, gdy konfiguracja zostanie przeprowadzona.

10. Przekazywanie danych poza Europejski Obszar Gospodarczy

Dostawcą Google Tag Managera dla użytkowników z Europejskiego Obszaru Gospodarczego jest spółka irlandzka, ale nie możemy wykluczyć, że dane z połączenia z serwerem googletagmanager.com oraz dane zbierane w przyszłości przez znaczniki trafią do Google LLC w Stanach Zjednoczonych.

Podstawą takiego przekazania jest decyzja wykonawcza Komisji Europejskiej z 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony danych osobowych zapewniany przez Ramy Ochrony Danych UE-USA (art. 45 RODO). Decyzja ta działa pod warunkiem, że odbiorca pozostaje wpisany na listę uczestników programu, prowadzoną przez Departament Handlu Stanów Zjednoczonych. Do potwierdzenia przed publikacją: aktualność wpisu Google LLC na tej liście oraz to, czy decyzja Komisji pozostaje w mocy.

Dostawca mapy ma siedzibę w Wielkiej Brytanii, która po wystąpieniu z Unii Europejskiej jest państwem trzecim w rozumieniu RODO i wobec której Komisja Europejska wydała decyzję stwierdzającą odpowiedni stopień ochrony danych. Do potwierdzenia przed publikacją: oznaczenie i aktualność tej decyzji na dzień publikacji, ponieważ jej obowiązywanie było przedłużane.

Poza sytuacjami opisanymi wyżej nie przekazujemy danych do państw trzecich ani do organizacji międzynarodowych.

11. Okresy przechowywania

• rsh-consent: zapis przestaje być honorowany po roku od dokonania wyboru. Baner pojawia się wtedy ponownie, a stan zgód wraca do domyślnego odrzucenia, zanim uruchomi się jakikolwiek znacznik. Sam wpis pozostaje w przeglądarce do czasu usunięcia przez Państwa danych witryny, ale nie wywołuje już żadnego skutku.
• rsh-lang: przechowywane bezterminowo, do czasu usunięcia przez Państwa danych witryny w przeglądarce. Nie wygasa samoczynnie, ponieważ dotyczy wyłącznie wyboru wersji językowej i nie wiąże się ze zgodą.
• Logi serwera: okres wynika z konfiguracji usługi hostingowej. Do potwierdzenia z operatorem, zgodnie z częścią 7. Świadomie nie podajemy tu liczby, której nie sprawdziliśmy.
• Dane w Google Analytics: dane o zdarzeniach przechowywane są 2 miesiące, a dane powiązane z użytkownikiem 14 miesięcy. Przy danych użytkownika włączone jest odnawianie licznika przy każdej kolejnej wizycie, więc dla osoby wracającej na stronę okres ten liczy się od ostatniej aktywności, a nie od pierwszej. Są to ustawienia wybrane przez nas w panelu Google Analytics; 2 miesiące to najkrótsza wartość, jaką ta usługa dopuszcza dla danych o zdarzeniach.
• Korespondencja: przez czas prowadzenia sprawy, a następnie do upływu terminu przedawnienia ewentualnych roszczeń związanych ze sprawą.
• Dokumenty księgowe: 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku, zgodnie z przepisami o rachunkowości i Ordynacją podatkową.
• Zgłoszenia rekrutacyjne: 12 miesięcy od otrzymania. Szczegóły w części 14.

12. Państwa prawa

W zakresie, w jakim przetwarzamy Państwa dane, przysługują Państwu:

• prawo dostępu do danych i otrzymania ich kopii (art. 15 RODO);
• prawo sprostowania danych nieprawidłowych i uzupełnienia niekompletnych (art. 16 RODO);
• prawo usunięcia danych (art. 17 RODO), w zakresie, w jakim nie mamy obowiązku ich zachowania, na przykład dla dokumentacji księgowej;
• prawo ograniczenia przetwarzania (art. 18 RODO);
• prawo sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 21 RODO), czyli wobec logów serwera, pobierania skryptu Google Tag Managera, wyświetlania mapy oraz prowadzenia korespondencji;
• prawo przenoszenia danych (art. 20 RODO). Obejmuje ono dane przetwarzane automatycznie na podstawie zgody albo umowy, czyli w tym serwisie dane zbierane przez znaczniki po wyrażeniu zgody. Nie obejmuje logów serwera, które przetwarzamy w prawnie uzasadnionym interesie;
• prawo cofnięcia zgody w dowolnym momencie (art. 7 ust. 3 RODO), sposobem opisanym w części 4;
• prawo wniesienia skargi do organu nadzorczego.

Organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Żądania prosimy kierować na adres podany w części 1. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania. Jeżeli nie jesteśmy w stanie zidentyfikować Państwa w naszych zbiorach, na przykład gdy jedynym śladem jest adres IP w logu serwera, poprosimy o dodatkowe informacje umożliwiające identyfikację albo poinformujemy, że wykonanie żądania nie jest możliwe (art. 11 RODO).

13. Dobrowolność, zautomatyzowane decyzje i profilowanie

Korzystanie z serwisu nie wymaga podania jakichkolwiek danych. Wyrażenie zgód jest dobrowolne i nie warunkuje dostępu do treści; odmowa nie powoduje żadnych ograniczeń. Podanie danych w korespondencji jest dobrowolne, ale bez nich nie odpowiemy na zapytanie.

Nie podejmujemy wobec Państwa decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne albo w podobny sposób istotnie na Państwa wpływały (art. 22 RODO).

Nie prowadzimy profilowania. Uruchomiona analityka mierzy ruch w serwisie i nie tworzy profili pojedynczych osób na potrzeby reklamy: funkcja Google Signals, która wiązałaby dane z kontami zalogowanych użytkowników Google, jest wyłączona, podobnie jak przekazywanie danych do systemów reklamowych. Gdyby w przyszłości uruchomione zostały znaczniki reklamowe, mogłyby one obejmować profilowanie na potrzeby reklamy. Uruchomimy je wyłącznie w kategorii marketingowej, czyli po uzyskaniu zgody, i opiszemy to wcześniej w tej polityce.

14. Rekrutacja

Formularz w zakładce „Praca" służy wyłącznie do zgłoszeń o pracę przy naszej inwestycji. Zbieramy w nim imię, nazwisko, numer telefonu i wskazane stanowisko, a także adres e-mail, jeżeli zdecydują się go Państwo podać.

Dane przetwarzamy w celu prowadzenia rekrutacji na wskazane stanowisko: na podstawie Państwa zgody (art. 6 ust. 1 lit. a RODO) oraz w zakresie niezbędnym do podjęcia działań przed zawarciem umowy (art. 6 ust. 1 lit. b RODO).

Zgłoszenie trafia na skrzynkę sekretariat@rsholding.com.pl, obsługiwaną na tym samym serwerze, na którym stoi ta strona. Nie korzystamy z zewnętrznej usługi formularzy i nie przekazujemy zgłoszeń żadnemu podmiotowi spoza spółki.

Dane przechowujemy przez okres rekrutacji, nie dłużej niż 12 miesięcy od otrzymania zgłoszenia, po czym je usuwamy. Zgodę mogą Państwo wycofać w każdej chwili, pisząc na ten sam adres. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania sprzed jej wycofania.

Podanie danych jest dobrowolne, ale bez numeru telefonu nie mamy jak odpowiedzieć na zgłoszenie.

15. Zmiany polityki i status dokumentu

Politykę aktualizujemy, gdy zmieni się opisany wyżej stan faktyczny, w szczególności po uruchomieniu znaczników w kontenerze Google Tag Managera. Data wersji podana jest na początku dokumentu.

Dokument opisuje stan serwisu ustalony na podstawie jego kodu źródłowego i konfiguracji, a nie zbiór ogólnych klauzul. Fragmenty oznaczone jako „do potwierdzenia" czekają na dane, których nie da się odczytać z kodu, i zostaną uzupełnione. Całość podlega weryfikacji przez radcę prawnego.