Polityka prywatności

1. Kto odpowiada za dane

Administratorem danych związanych ze zgłoszeniem zainteresowania, zaproszeniem, RSVP, listą gości oraz analityką serwisu, marketingiem i wykorzystaniem wizerunku na opisanych dalej zasadach jest XPADIA LTD, spółka prawa cypryjskiego, zarejestrowana 6 marca 2023 r. pod numerem HE 444439; siedziba: Mykinon 12, Floor 6, 1065 Nicosia (Lefkosia), Cypr; adres korespondencyjny: Labs Tower, 4 Fotie Pitta, 1065 Nicosia, Cypr; VAT UE: CY60014811J. Kontakt w sprawach danych i zgód: info@xpadia.com.

AVATARLAND sp. z o.o., ul. Trybunalska 46, 60-325 Poznań, KRS 0000099765, NIP 7792167451, obsługuje stronę i rejestrację na zlecenie oraz według instrukcji XPADIA. Kontakt organizacyjny i pomoc przy przekazaniu żądania do XPADIA: info@MocneStronyCypru.pl.

AVATARLAND jest jednocześnie formalnym organizatorem wydarzenia. Wyłącznie w zakresie własnych obowiązków prawnych, rozpatrywania reklamacji oraz ustalania, dochodzenia lub obrony własnych roszczeń działa jako odrębny administrator niezbędnych do tego danych. Nie oznacza to prawa do prowadzenia własnego marketingu na podstawie zgód udzielonych XPADIA.

2. Jakie dane otrzymujemy i skąd

• Od osoby wypełniającej formularz: imię i nazwisko uczestnika, firmę i stanowisko oraz uzasadnienie zainteresowania w formularzu zgłoszenia, adres e-mail, numer telefonu z krajem i kierunkowym, preferowany sposób kontaktu oraz informację, czy formularz wypełnia uczestnik, czy jego upoważniony przedstawiciel.
• Przy kontakcie przez sekretariat lub asystenta: także imię i nazwisko wskazanej osoby oraz jej dane kontaktowe zamiast danych kontaktowych uczestnika.
• Oświadczenia składane w formularzu RSVP: akceptacja Regulaminu, odrębne wybory dotyczące wizerunku i marketingu, kanały komunikacji objęte zgodą marketingową, data i czas, wersje i treści oświadczeń oraz numer zgłoszenia.
• W toku obsługi: korespondencję, status zaproszenia, RSVP i obecności oraz informacje niezbędne do rozpatrzenia zgłoszonej sprawy.
• Technicznie: dane żądania HTTP, w tym adres IP, datę i informacje o przeglądarce w zakresie obsługi i zabezpieczenia serwera; identyfikator sesji i dane zabezpieczeń formularza. Nie wykorzystujemy ich do śledzenia reklamowego.
• W ramach analityki: statystyki stron, urządzeń i wydajności opisane w pkt 8, bez treści zgłoszeń.
• W razie odrębnej zgody: rozpoznawalny wizerunek utrwalony podczas wydarzenia na zdjęciach lub w nagraniach wideo. Publikację wypowiedzi lub wywiadu uzgadniamy osobno.

Jeżeli dane podała osoba inna niż uczestnik, ich źródłem jest osoba zgłaszająca lub wskazująca kontakt przez sekretariat. Osoby te prosimy o przekazanie tej informacji zainteresowanemu; niezależnie od tego administrator realizuje własny obowiązek informacyjny, najpóźniej przy pierwszym kontakcie i w terminach wynikających z art. 14 RODO. W uzasadnieniu zgłoszenia nie należy podawać informacji o zdrowiu, danych dokumentów tożsamości ani innych szczególnie wrażliwych informacji.

3. Cele i podstawy prawne

1. Rozpatrzenie zgłoszenia, kwalifikacja, zaproszenia, RSVP, komunikacja organizacyjna i lista wejściowa: art. 6 ust. 1 lit. f RODO, czyli uzasadniony interes XPADIA polegający na organizacji zamkniętego wydarzenia biznesowego, obsłudze dobrowolnych zgłoszeń i zapewnieniu bezpieczeństwa gości.
2. Obsługa wskazanej osoby kontaktowej: art. 6 ust. 1 lit. f RODO, czyli uzasadniony interes w komunikacji organizacyjnej zgodnie z wyborem uczestnika. Nie jest to zgoda na marketing do tej osoby.
3. Marketing XPADIA po zakończeniu Wydarzenia: art. 6 ust. 1 lit. a RODO oraz zgoda Uczestnika. Wykorzystujemy dane do przedstawiania usług XPADIA, możliwości współpracy biznesowej i przyszłych wydarzeń dotyczących inwestowania oraz działalności biznesowej na Cyprze. Po udzieleniu wymaganej zgody możemy kontaktować się za pośrednictwem dowolnego środka lub kanału komunikacji dozwolonego przez obowiązujące prawo, w tym telefonu, poczty elektronicznej, SMS-ów, MMS-ów, WhatsApp oraz innych usług elektronicznych lub komunikatorów.
4. Utrwalanie i publikacja wizerunku w relacji z wydarzenia w ramach komunikacji marketingowej XPADIA: art. 6 ust. 1 lit. a RODO i odrębne zezwolenie na rozpowszechnianie wizerunku na warunkach § 6 regulaminu.
5. Zabezpieczenie strony i formularzy przed nadużyciami: art. 6 ust. 1 lit. f RODO, czyli uzasadniony interes w zapewnieniu bezpieczeństwa i ciągłości działania.
6. Własne zobowiązania AVATARLAND wynikające z udziału w wydarzeniu i reklamacje: art. 6 ust. 1 lit. b RODO, gdy osoba jest stroną umowy, oraz art. 6 ust. 1 lit. f RODO w zakresie niezbędnym do obsługi innych zgłaszających lub reprezentantów. Własne obowiązki wynikające z prawa: art. 6 ust. 1 lit. c RODO, tylko gdy taki obowiązek rzeczywiście ma zastosowanie.
7. Dowody udzielonych i wycofanych zgód oraz ustalanie, dochodzenie i obrona roszczeń: art. 6 ust. 1 lit. f RODO, czyli uzasadniony interes w wykazaniu prawidłowej obsługi i ochronie praw właściwego administratora. Taka dokumentacja nie jest wykorzystywana do kontynuowania marketingu po wycofaniu zgody.
8. Analityka ruchu i wydajności strony: uzasadniony interes XPADIA w ocenie popularności treści i poprawie działania serwisu (art. 6 ust. 1 lit. f RODO w zakresie danych osobowych). Nie łączymy statystyk ze zgłoszeniami ani nie używamy ich do profilowania reklamowego. Analityka jest niezależna od zgód wydarzenia.

Podanie podstawowych danych formularza jest dobrowolne, ale potrzebne do rozpatrzenia zgłoszenia lub obsługi RSVP. Brak wymaganych danych uniemożliwia obsługę formularza. Zgłoszenie zainteresowania nie wymaga akceptacji regulaminu i nie zbiera zgód na wizerunek ani marketing. Po otrzymaniu zaproszenia gość potwierdza udział przez RSVP, w którym akceptuje regulamin i może wybrać zgody. Zgoda na wizerunek i zgoda marketingowa są niewymagane, niezaznaczone domyślnie i niezależne od siebie. Jedno pole marketingowe obejmuje cele i kanały komunikacji opisane w § 7 ust. 1 Regulaminu, pod warunkiem ważnej zgody i zgodności z obowiązującym prawem. Odmowa lub wycofanie zgody marketingowej nie wpływają na zgłoszenia, zaproszenia ani udział. Wcześniejsze zgody zachowują pierwotny zakres zgodnie z § 10 ust. 2 Regulaminu. Akceptacja regulaminu nie zastępuje tych zgód.

4. Odbiorcy danych

XPADIA ma dostęp do zgłoszeń potrzebnych do kwalifikacji oraz do całej listy potwierdzonych uczestników. AVATARLAND i upoważniona obsługa korzystają z danych zgodnie z zakresem powierzonych zadań. Hosting i pocztę obsługuje dhosting. W ramach analityki odbiorcą danych technicznych jest również Cloudflare, Inc., USA, dostawca Cloudflare Web Analytics. Dane mogą otrzymać również dostawcy techniczni, obsługa recepcji i bezpieczeństwa Skyfall Warsaw, wykonawcy foto i wideo oraz doradcy prawni, tylko w zakresie niezbędnym do konkretnej usługi lub obowiązku. Podmioty przetwarzające działają na udokumentowane polecenie i na podstawie wymaganych prawem ustaleń.

Jeżeli w ramach ważnej zgody używany jest WhatsApp, jego dostawca przetwarza również dane kontaktowe i komunikacyjne zgodnie z własną polityką prywatności. Dostawcy usług telefonicznych, pocztowych i komunikatorów otrzymują dane w zakresie niezbędnym do wybranego kontaktu. Przed użyciem usługi XPADIA musi zweryfikować warunki dostawcy, jego rolę w ochronie danych oraz odpowiednie zabezpieczenia transferów; sama zgoda nie zastępuje tych wymogów.

Nie publikujemy listy uczestników ani uzasadnień zgłoszeń i nie udostępniamy ich pozostałym gościom lub partnerom do własnego marketingu. Uprawnione organy mogą otrzymać dane, jeśli wynika to z obowiązującego prawa.

5. Zdjęcia, wideo i serwisy zewnętrzne

Zgoda na wizerunek obejmuje relację z wydarzenia w ramach komunikacji marketingowej XPADIA wyłącznie na www.xpadia.com i oficjalnym profilu XPADIA w LinkedIn, najpóźniej do końca 6 października 2028 r. Nie obejmuje druku, płatnych reklam, innych profili lub stron ani własnego marketingu AVATARLAND i pozostałych partnerów. Szczegółowe zasady oraz możliwość wcześniejszego wycofania określa § 6 regulaminu.

Publiczna publikacja umożliwia dostęp odbiorcom na całym świecie. LinkedIn przetwarza dane także na własnych zasadach opisanych w polityce prywatności LinkedIn. Korzystanie z globalnych dostawców kanałów publikacji i komunikacji może wiązać się z przetwarzaniem poza Europejskim Obszarem Gospodarczym. Administrator może korzystać z takich usług tylko z zapewnieniem właściwych mechanizmów ochrony, np. decyzji o odpowiednim stopniu ochrony albo standardowych klauzul umownych wraz z wymaganymi dodatkowymi zabezpieczeniami. Informacje o stosowanym mechanizmie i sposobie uzyskania kopii zabezpieczeń można otrzymać przez info@xpadia.com. Przekazanie danych z Polski do XPADIA na Cyprze samo w sobie nie jest transferem poza EOG.

Strona wydarzenia nie osadza wtyczek społecznościowych ani zewnętrznych filmów. Linki do serwisów społecznościowych nie ładują ich wtyczek. Osobne zasady analityki Cloudflare opisuje pkt 8. Monitoring bezpieczeństwa prowadzony przez obiekt, jeżeli jest stosowany, podlega odrębnej informacji jego administratora i nie jest objęty zgodą na marketingowy wizerunek.

6. Jak długo przechowujemy dane

1. Zgłoszenia, dane do kontaktu organizacyjnego i lista gości: do zakończenia obsługi wydarzenia, zasadniczo do 6 listopada 2026 r. Dłużej pozostają wyłącznie dane potrzebne do spraw nadal w toku, obowiązków prawnych lub roszczeń, w niezbędnym zakresie.
2. Dane do marketingu: do wycofania zgody, wcześniejszego zakończenia danego celu albo najpóźniej do 6 października 2028 r. Dalszy marketing po tym terminie wymaga nowej podstawy i odpowiednich zgód.
3. Zdjęcia i filmy do marketingu: do wycofania zgody albo najpóźniej do końca 6 października 2028 r. Po tym czasie materiały, w tym źródłowe, są usuwane lub anonimizowane w zakresie rozpoznawalnego wizerunku. Nie pozostawiamy wcześniejszych publikacji w kontrolowanych kanałach wyłącznie dlatego, że ukazały się przed upływem tego okresu.
4. Dowody zgód, reklamacje i dokumentacja roszczeń: przez okres potrzebny do wykazania prawidłowości działań i nie dłużej niż do upływu właściwego terminu przedawnienia, z uwzględnieniem prawnie skutecznego zawieszenia lub przerwania tego terminu. Przechowywana jest tylko niezbędna dokumentacja, a nie automatycznie komplet wszystkich danych.
5. Krótkotrwałe dane formularza: przez czas obsługi sesji i ewentualnego poprawienia błędów. Rejestry bezpieczeństwa i kopie zapasowe są objęte cyklem retencji dostawcy oraz ograniczeniem dostępu; nie służą marketingowi. Informacje o konkretnym czasie dotyczącym danej kategorii logów lub kopii można uzyskać od administratora. W razie incydentu mogą być zabezpieczone wyłącznie na czas jego wyjaśnienia i właściwych postępowań.
6. Według dokumentacji Cloudflare pełne dane pomiarowe są przechowywane przez 7 dni, później podlegają próbkowaniu, a raporty są dostępne za ostatnie 6 miesięcy. Okres dostępności raportów nie jest deklaracją usunięcia wszystkich danych technicznych dostawcy.

7. Twoje prawa i wycofanie zgody

W przypadkach przewidzianych przez RODO przysługują Ci prawa dostępu i kopii danych, sprostowania, usunięcia, ograniczenia przetwarzania oraz przenoszenia danych. Możesz wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją wobec przetwarzania na podstawie uzasadnionego interesu. Sprzeciw wobec przetwarzania do marketingu bezpośredniego można wnieść w każdej chwili i jest on skuteczny dla tego celu.

Każdą zgodę można wycofać oddzielnie, bez opłat i bez podawania powodu, przez info@xpadia.com, przez info@MocneStronyCypru.pl, odpowiadając na e-mail marketingowy albo zgłaszając rezygnację w rozmowie marketingowej. Można również użyć udostępnionego linku rezygnacji lub wycofać zgodę w odpowiednim komunikatorze, gdy jest to dostępne. Wycofanie może objąć wszystkie kanały marketingowe lub tylko wskazane. Wycofanie nie wpływa na zgodne z prawem przetwarzanie sprzed wycofania ani na uczestnictwo w wydarzeniu. Wiadomości organizacyjne niezbędne do realizacji udziału mogą być nadal przekazywane.

Żądanie należy rozpatrzyć bez zbędnej zwłoki, zasadniczo w ciągu miesiąca. Jeżeli prawo pozwala na przedłużenie terminu ze względu na złożoność lub liczbę żądań, poinformujemy o tym i o przyczynie. Weryfikujemy tożsamość tylko w niezbędnym zakresie, nie wymagając rutynowo kopii dokumentu tożsamości.

Masz prawo skargi do właściwego organu nadzorczego, w szczególności Prezesa UODO w Polsce albo cypryjskiego organu ochrony danych. Możesz wybrać organ właściwy dla zwykłego pobytu, miejsca pracy lub domniemanego naruszenia, na zasadach RODO.

8. Sesja, analityka i bezpieczeństwo

Serwis używa niezbędnego pliku sesyjnego CYPRUSEVENT do zabezpieczenia formularzy i wyświetlania błędów lub potwierdzeń. Cookie jest sesyjne, HttpOnly, SameSite=Lax, a przy HTTPS także Secure. Blokada cookies może uniemożliwić wysłanie formularza. Fonty i grafiki pozostają lokalne; nie stosujemy reklamowych cookies ani profilowania reklamowego.

Cloudflare Web Analytics działa domyślnie podczas odwiedzania serwisu, bez bannera zgód. Skrypt pobierany jest z static.cloudflareinsights.com, a pomiary trafiają do cloudflareinsights.com. Zgodnie z opisem Cloudflare pomiar nie używa cookies ani pamięci przeglądarki. Dostawca otrzymuje IP przy połączeniu, lecz deklaruje jego odrzucenie w centrum danych, bez utrwalania w głównych bazach i logach usługi.

Raporty obejmują odwiedzane strony, źródło wejścia, kraj, typ urządzenia, przeglądarkę i system oraz czas ładowania i wydajność. Nie przekazujemy treści pól, imion, telefonów ani e-maili z formularzy i nie łączymy statystyk ze zgłoszeniami. Zakres raportów Cloudflare.

Nie zapisujemy wyborów analityki w cookies ani localStorage. W sprawach danych, w tym sprzeciwu wobec przetwarzania na podstawie uzasadnionego interesu, możesz napisać na info@xpadia.com. Możesz też zablokować skrypt pomiarowy w przeglądarce; nie uniemożliwia to używania formularzy. Zbiorcze raporty nie służą identyfikowaniu konkretnych uczestników.

Cloudflare działa globalnie; dane techniczne mogą być przetwarzane poza EOG, w tym w USA. Warunki powierzenia Cloudflare przewidują mechanizmy transferu, w tym standardowe klauzule umowne dla transferów wymagających zabezpieczeń. Informacje o właściwym mechanizmie i kopię zabezpieczeń można uzyskać przez info@xpadia.com. Więcej: polityka prywatności Cloudflare.

Formularz stosuje szyfrowanie transmisji przy HTTPS, ochronę przed fałszowaniem żądań, walidację danych i ograniczenia antyspamowe. Zgłoszenia trafiają e-mailem z załącznikiem JSON do obsługi wydarzenia, a nie do publicznie dostępnego pliku lub katalogu. Dostęp powinny mieć tylko osoby upoważnione. Decyzje o zaproszeniach podejmowane są indywidualnie przez ludzi; formularz nie podejmuje decyzji o udziale wyłącznie automatycznie ani nie stosuje profilowania reklamowego.