Ta polityka wyjaśnia, w jaki sposób Polish Travel Quo Vadis Sp. z o.o. przetwarza dane osobowe w związku ze swoimi stronami internetowymi, w szczególności polishtravel.com.pl i visitpoland.com, komunikacją, ofertami, rezerwacjami, podróżami służbowymi i wypoczynkowymi oraz wydarzeniami. VisitPoland jest marką tej samej spółki, a nie odrębnym administratorem danych.
Polityka obejmuje osoby odwiedzające strony internetowe, osoby kierujące zapytania, klientów, podróżnych, uczestników wydarzeń i osoby kontaktowe w relacjach biznesowych. Ma zastosowanie, gdy PTQV działa jako administrator. Jeżeli w ramach konkretnej usługi działamy wyłącznie jako podmiot przetwarzający na polecenie klienta, odpowiednią informację o przetwarzaniu danych przekazuje ten klient; ta polityka nie zmienia podziału ról.
Przekazujemy te informacje na podstawie art. 13 i 14 rozporządzenia (UE) 2016/679 (ogólnego rozporządzenia o ochronie danych, „RODO”). Ta polityka stanowi podstawową informację o przetwarzaniu danych dla stron internetowych PTQV, stron docelowych kampanii, formularzy i korespondencji, które się do niej odwołują, w zakresie opisanych tu usług. Informacje dotyczące konkretnych rezerwacji, wydarzeń lub formularzy uzupełniają ją, zwłaszcza gdy występują dodatkowe cele lub odbiorcy. Nie zastępuje ona odrębnych informacji dotyczących zatrudnienia, rekrutacji ani przetwarzania przez innego administratora.
Narzędzia stosowane na stronach internetowych mogą się różnić pomiędzy domenami. Część X i rejestr na końcu opisują wspólne zasady; właściwy panel zgód i deklaracja plików cookie wskazują narzędzia faktycznie uruchomione na danej stronie. Sam opis narzędzia w tej polityce nie oznacza, że jest ono aktywne ani że użytkownik wyraził zgodę.
I. Administrator i dane kontaktowe
Administratorem jest Polish Travel Quo Vadis Sp. z o.o., ul. Ptasia 2, 00-138 Warszawa, Polska, numer w Krajowym Rejestrze Sądowym (KRS) 0000148731, numer identyfikacji podatkowej (NIP) 5260211386 („PTQV”, „Administrator” lub „my”).
W sprawach dotyczących prywatności, wycofania zgody i żądań związanych z wykonywaniem Twoich praw skontaktuj się z Administratorem za pomocą naszego formularza kontaktowego lub listownie na powyższy adres. Możesz rozpocząć wiadomość od słów „Ochrona danych osobowych”, aby ułatwić nam skierowanie jej do właściwej osoby, ale nie jest to wymagane. Formularz służy do spraw dotyczących zarówno Polish Travel, jak i VisitPoland.
II. Cele i podstawy prawne
Przetwarzamy wyłącznie dane potrzebne do określonego celu, na odpowiedniej podstawie prawnej:
1. Zapytania, oferty i umowy
Przygotowanie oferty na Twoje żądanie, zawarcie i wykonanie umowy, obsługa rezerwacji oraz organizacja usług biletowych, zakwaterowania, transportu, wynajmu samochodów, ubezpieczeń podróżnych, podróży indywidualnych i służbowych, usług DMC, konferencji, spotkań, wyjazdów motywacyjnych i wydarzeń: art. 6 ust. 1 lit. b RODO, gdy jesteś stroną umowy lub żądasz podjęcia działań przed jej zawarciem.
2. Kontakty biznesowe i podróże rezerwowane przez inne osoby
Komunikacja z przedstawicielami firm i partnerów oraz organizacja usług dla osób wskazanych przez pracodawcę, organizatora wydarzenia lub osobę dokonującą rezerwacji: art. 6 ust. 1 lit. f RODO. Prawnie uzasadnionym interesem jest koordynacja ustaleń, realizacja zamówienia i wsparcie osób objętych usługą. Nie stosujemy automatycznie podstawy umownej z punktu 1 do każdego podróżnego, który nie jest stroną umowy z nami.
3. Obowiązki prawne
Rozliczenia, dokumentacja księgowa i podatkowa, wystawianie faktur oraz obowiązki mające zastosowanie do konkretnej usługi: art. 6 ust. 1 lit. c RODO, w tym wynikające z właściwych przepisów o rachunkowości, podatkach i turystyce.
4. Korespondencja, jakość usług i roszczenia
Udzielanie odpowiedzi na pytania niezwiązane bezpośrednio z proponowaną umową, rozpatrywanie uwag, prowadzenie niezbędnej dokumentacji ustaleń, ocena jakości usług oraz ustalanie, dochodzenie lub obrona roszczeń: art. 6 ust. 1 lit. f RODO. Prawnie uzasadnionymi interesami są komunikacja, doskonalenie usług i ochrona praw. Jeżeli obsługa danej sprawy służy wykonaniu konkretnego obowiązku prawnego, do tej części przetwarzania stosuje się art. 6 ust. 1 lit. c RODO.
5. Marketing własnych usług
Marketing własnych usług może opierać się na art. 6 ust. 1 lit. f RODO, jeżeli pozwalają na to okoliczności, ocena interesów i zasady dotyczące danego kanału komunikacji. Ten interes nie zastępuje zgody wymaganej na komunikację marketingową lub technologie śledzące.
Zamówione newslettery i inne marketingowe wiadomości e-mail wysyłamy, a marketingowe połączenia telefoniczne wykonujemy na podstawie odpowiedniej dobrowolnej zgody: art. 6 ust. 1 lit. a RODO oraz art. 398 polskiej ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej („PKE”). Zgoda określa cel i kanał komunikacji. Odpowiedź na konkretne zapytanie nie oznacza zapisania Cię do kolejnych kampanii marketingowych.
6. Działanie i bezpieczeństwo stron internetowych
Udostępnianie stron internetowych, ich utrzymanie techniczne, wykrywanie błędów i nadużyć oraz ochrona systemów: art. 6 ust. 1 lit. f RODO. Prawnie uzasadnionym interesem jest utrzymanie dostępności i bezpieczeństwa usług. Zasady przechowywania informacji na Twoim urządzeniu omówiono odrębnie w części X.
7. Żądania dotyczące praw i ewidencja zgód
Wykonywanie obowiązków wynikających z RODO, w tym obsługa żądań i wykazywanie zgodności: art. 6 ust. 1 lit. c RODO. Ograniczony zapis sprzeciwu lub rezygnacji może być potrzebny, aby nie wznowić niechcianego marketingu. Podstawą jest wykonanie obowiązków prawnych, a w zakresie niezbędnym do ochrony roszczeń art. 6 ust. 1 lit. f RODO.
8. Szczególne kategorie danych
Jeżeli zamawiana przez Ciebie usługa wymaga informacji o zdrowiu, niepełnosprawności, alergiach lub innych szczególnych potrzebach ujawniających dane objęte art. 9 RODO, przetwarzamy niezbędne informacje na podstawie wyraźnej zgody: art. 6 ust. 1 lit. a i art. 9 ust. 2 lit. a RODO. Preferencja żywieniowa nie musi być daną dotyczącą zdrowia ani inną szczególną kategorią danych.
Gdy zagrożone są żywotne interesy, zastosowanie mogą mieć art. 6 ust. 1 lit. d i art. 9 ust. 2 lit. c RODO; w przypadku szczególnych kategorii danych wymaga to, aby osoba była fizycznie lub prawnie niezdolna do wyrażenia zgody. Takie dane mogą być również przetwarzane, gdy jest to niezbędne w związku z roszczeniami na podstawie art. 6 ust. 1 lit. f i art. 9 ust. 2 lit. f RODO. Prosimy nie przesyłać zbędnej dokumentacji medycznej ani kopii dokumentów tożsamości wraz z ogólnymi zapytaniami.
9. Analityka i użyteczność stron internetowych
Pomiar ruchu, źródeł odwiedzin, wyników treści i kampanii, działań prowadzących do zapytań o usługi oraz użyteczności stron za pomocą narzędzi opisanych w części X: na podstawie zgody, art. 6 ust. 1 lit. a RODO, z uwzględnieniem art. 399 PKE. Obejmuje to także łączenie zdarzeń z pseudonimowym identyfikatorem, jeżeli jest stosowane. Nie uznajemy analityki za niezbędną do samego wyświetlenia oferty.
10. Materiały informacyjne i dalszy kontakt
Udostępnienie przewodnika, planu podróży, prezentacji lub innego zamówionego przez Ciebie materiału oraz odpowiedź na wyraźnie zgłoszoną potrzebę: art. 6 ust. 1 lit. b RODO, gdy świadczymy zamówioną usługę lub podejmujemy działania przed zawarciem umowy; w pozostałych przypadkach art. 6 ust. 1 lit. f, czyli nasz prawnie uzasadniony interes polegający na udzieleniu odpowiedzi na prośbę o informacje. Dodanie Twoich danych do newslettera lub kolejnych kampanii niezwiązanych z zapytaniem wymaga odrębnej podstawy i odpowiedniej zgody na dany kanał komunikacji.
III. Czy trzeba podawać dane
Aby przeglądać publicznie dostępne treści, nie musisz podawać imienia i nazwiska. Gdy się z nami kontaktujesz, potrzebujemy danych pozwalających udzielić odpowiedzi; gdy dokonujesz rezerwacji, potrzebujemy danych wymaganych do realizacji konkretnej usługi. Bez wymaganych informacji możemy nie być w stanie odpowiedzieć, zawrzeć umowy lub zrealizować rezerwacji. Podanie danych do faktury może być wymagane prawem.
Dodatkowe informacje i zgoda na marketing są dobrowolne. Odmowa zgody na marketing nie uniemożliwia obsługi zapytania, wykonania zakupionej usługi ani dostarczenia zamówionego materiału. Formularze odróżniają pola wymagane od opcjonalnych. Wycofanie zgody dotyczącej danych potrzebnych do udzielenia określonej pomocy może uniemożliwić jej udzielenie, ale nie uzasadnia gromadzenia dodatkowych, zbędnych danych.
IV. Kategorie i źródła danych osobowych
W zależności od komunikacji i usługi przetwarzamy:
- dane identyfikacyjne i kontaktowe: imię i nazwisko, adres, adres e-mail i numer telefonu, a w kontaktach biznesowych także organizację, stanowisko lub rolę;
- informacje dotyczące rezerwacji: terminy, plany podróży, uczestników, wymagane usługi, preferencje, numery rezerwacji i niezbędne dane dokumentów podróży; datę urodzenia, wiek lub obywatelstwo wyłącznie wtedy, gdy wymaga tego usługa lub prawo;
- informacje rozliczeniowe i dokumentację ustaleń: dane do faktur, status płatności, korespondencję, reklamacje i dokumentację realizacji usługi;
- informacje o szczególnych potrzebach opisane w części II, punkcie 8;
- techniczne dane połączenia: adres IP, czas żądania, adres strony, informacje o przeglądarce i urządzeniu oraz informacje o błędach, w zakresie rejestrowanym przez infrastrukturę strony;
- treść i datę zgód, ich wycofania oraz sprzeciwów, jeżeli są istotne dla danego procesu.
Dane otrzymujemy bezpośrednio od Ciebie lub od osoby rezerwującej w Twoim imieniu, pracodawcy, organizatora grupy lub wydarzenia albo partnera obsługującego rezerwację. Dane kontaktowe w relacjach biznesowych mogą także pochodzić z udostępnionych przez Ciebie informacji zawodowych. Otrzymujemy wyłącznie kategorie danych potrzebne do komunikacji lub realizacji zamówionej usługi.
Jeżeli dane nie pochodzą bezpośrednio od Ciebie, przekazujemy wymagane informacje zgodnie z art. 14 RODO, zwykle w ciągu miesiąca. Jeżeli wcześniej kontaktujemy się z Tobą lub ujawniamy dane innemu odbiorcy, przekazujemy wymagane informacje odpowiednio przy pierwszym kontakcie lub pierwszym ujawnieniu, chyba że ma zastosowanie wyjątek przewidziany w przepisach. Samo opublikowanie polityki na stronie internetowej nie zastępuje wymaganego przekazania tych informacji.
Analityka może obejmować pseudonimowe identyfikatory przeglądarki i sesji, źródła odwiedzin, odwiedzane strony, kliknięcia, przewijanie, czas aktywności, rodzaj urządzenia, język i przybliżoną lokalizację. Takie informacje nie są z definicji anonimowe. Pomiar wysłania formularza wymaga jedynie zarejestrowania zdarzenia; treści wiadomości, imiona i nazwiska, adresy e-mail, numery telefonów i szczegóły podróży nie powinny być przekazywane do narzędzi analitycznych ani umieszczane w adresach URL wykorzystywanych do pomiaru.
Niezbędne dane dzieci podróżujących z rodziną lub grupą otrzymujemy od upoważnionego rodzica, opiekuna lub organizatora, na przykład na potrzeby biletów lub zakwaterowania. Opis podróży rodzinnych nie jest zaproszeniem dla dzieci do samodzielnego przekazywania informacji ani upoważnieniem do profilowania dzieci w celach reklamowych.
V. Odbiorcy danych osobowych
Jeżeli jest to niezbędne do danego celu, dane mogą być przekazywane:
- hotelom i innym podmiotom świadczącym usługi zakwaterowania; przewoźnikom lotniczym, kolejowym, promowym i autokarowym; firmom transportowym i wypożyczalniom samochodów; oraz ubezpieczycielom;
- dostawcom systemów rezerwacyjnych i globalnych systemów dystrybucji (GDS) oraz organizacjom wspierającym wystawianie biletów i rozliczenia;
- przewodnikom, pilotom wycieczek, partnerom lokalnym, obiektom konferencyjnym i innym usługodawcom realizującym program podróży lub wydarzenia;
- pracodawcy lub organizatorowi finansującemu usługę, w zakresie potrzebnym do uzgodnionej rezerwacji i rozliczenia, bez automatycznego dostępu do wszystkich dodatkowych informacji o podróżnym;
- dostawcom hostingu, wsparcia informatycznego i narzędzi komunikacyjnych, podmiotom świadczącym usługi księgowe, doradcom prawnym, bankom i dostawcom usług płatniczych;
- właściwym organom publicznym, a w przypadku zamówionych usług wizowych odpowiednim urzędom konsularnym, wyłącznie na odpowiedniej podstawie i w niezbędnym zakresie.
Nie każdy odbiorca otrzymuje dane w związku z każdą usługą. Udostępniamy wyłącznie dane potrzebne do określonego zadania. Dostawcy działający na nasze polecenie są podmiotami przetwarzającymi, natomiast przewoźnicy, hotele, ubezpieczyciele lub inni usługodawcy mogą być niezależnymi administratorami w zakresie swoich usług i obowiązków. Odpowiednie informacje o konkretnych dostawcach przekazujemy podczas obsługi rezerwacji.
Korzystamy z Microsoft 365 do komunikacji i pracy z dokumentami. Przy rezerwacjach i rozliczeniach korzystamy również z systemów branży turystycznej, zarządzania usługami i księgowości. Nazwa oprogramowania nie oznacza, że jego producent otrzymuje wszystkie przetwarzane w nim dane. Odbiorcami są podmioty faktycznie świadczące usługi hostingu, utrzymania, wsparcia lub przetwarzania danych. Google Analytics 4, Cookiebot i Microsoft Clarity opisano w części X i rejestrze narzędzi.
W przypadku Clarity Microsoft działa jako niezależny administrator danych w zakresie opisanym przez dostawcę, a nie wyłącznie jako podmiot przetwarzający na nasze polecenie. Odróżniamy warunki Clarity od warunków usług Microsoft 365. Szczegóły znajdują się w części X.4.
Nie sprzedajemy baz danych klientów. W przypadku działań promocyjnych współfinansowanych przez Polską Organizację Turystyczną (POT) sprawozdawczość wykorzystuje zbiorcze, zanonimizowane wyniki; samo wysłanie zapytania przez VisitPoland nie powoduje przekazania POT danych kontaktowych potencjalnego klienta.
VI. Okresy przetwarzania i przechowywania
Okres przechowywania zależy od celu i kategorii danych. Przyjmujemy poniższe zasady; dłuższe przechowywanie wymaga opisanej odrębnej przyczyny, a nie tylko możliwości, że dane mogą przydać się później:
- Zapytania i oferty bez zawarcia umowy: przez czas aktywnych rozmów i do 12 miesięcy od ostatniego merytorycznego kontaktu, aby umożliwić powrót do ustaleń dotyczących podróży lub wydarzenia. Dane zbędne usuwamy wcześniej. Następnie przechowujemy wyłącznie dane niezbędne do wykonania obowiązku prawnego lub w związku z konkretnym roszczeniem.
- Umowy i rezerwacje: przez czas przygotowania, realizacji i rozliczenia usługi. Następnie przechowujemy dokumentację niezbędną do wykonania obowiązków prawnych i ochrony roszczeń; nie obejmuje to automatycznie wszystkich danych dokumentów podróży, informacji o szczególnych potrzebach ani pełnych profili podróżnych.
- Kontakty biznesowe: przez czas trwania relacji biznesowej i pełnienia przez daną osobę funkcji kontaktowej, do uzyskania informacji o zmianie lub otrzymania skutecznego sprzeciwu, z zastrzeżeniem zachowania niezbędnej dokumentacji umów i roszczeń.
- Roszczenia: przez właściwy okres przedawnienia, a w przypadku sporu do jego ostatecznego rozstrzygnięcia i zakończenia egzekucji. Ogólny termin na podstawie art. 118 polskiego Kodeksu cywilnego wynosi 6 lat, a dla świadczeń okresowych i roszczeń związanych z prowadzeniem działalności gospodarczej 3 lata, chyba że zastosowanie ma przepis szczególny. Początek, koniec, zawieszenie lub przerwanie biegu terminu oceniamy dla konkretnego przypadku.
- Dokumentacja księgowa i podatkowa: przez okres wymagany właściwymi przepisami prawa. Co do zasady księgi rachunkowe i wiele dowodów księgowych przechowuje się przez 5 lat, liczonych zgodnie z art. 74 polskiej ustawy o rachunkowości. Dokumentację podatkową przechowuje się do przedawnienia zobowiązania; ogólny termin wynosi 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności, z zastrzeżeniem wyjątków ustawowych. Faktury objęte art. 112aa polskiej ustawy o VAT są przechowywane w KSeF przez 10 lat od końca roku ich wystawienia. Okres KSeF nie ma automatycznie zastosowania do innych danych klientów.
- Marketing oparty na zgodzie: do wycofania zgody lub wcześniejszego ustania celu. W przypadku marketingu opartego na prawnie uzasadnionym interesie do skutecznego sprzeciwu lub ustania tego interesu. Minimalny zapis rezygnacji lub sprzeciwu przechowujemy tak długo, jak jest to potrzebne do poszanowania tego wyboru, bez wykorzystywania go do dalszego marketingu.
- Dokumentacja zgód i żądań dotyczących praw: przez czas korzystania ze zgody lub rozpatrywania sprawy, a następnie przez okres niezbędny do wykazania zgodności lub obrony przed konkretnym roszczeniem; zachowujemy potrzebne dowody, a nie całą historię aktywności. Dane zgód obsługiwane przez Cookiebot podlegają odrębnemu cyklowi dostawcy opisanemu w części X.
- Dane dotyczące zdrowia i szczególnych potrzeb: do zakończenia odpowiedniej usługi i wszelkich zgłoszonych w związku z nią spraw lub wcześniejszego wycofania zgody. Dalsze przechowywanie wymaga odrębnej podstawy, na przykład art. 9 ust. 2 lit. f RODO w związku z konkretnym roszczeniem.
- Logi publicznych stron internetowych: standardowe logi dostępu i błędów do 30 dni od zdarzenia; odrębne logi bezpieczeństwa do 90 dni. Wpisy dotyczące incydentów mogą zostać wyodrębnione na czas wyjaśniania sprawy, usuwania skutków i niezbędnej ochrony roszczeń. Te okresy nie dotyczą dokumentacji księgowej ani rezerwacji.
- Analityka i badanie użyteczności: zgodnie z zasadami GA4 i Microsoft Clarity opisanymi w części X. Nieodwracalnie zanonimizowane wyniki, które nie pozwalają na ponowną identyfikację osoby, mogą być przechowywane dłużej jako statystyki.
- Pliki cookie i pamięć przeglądarki: przez okresy wskazane dla poszczególnych mechanizmów w deklaracji dotyczącej danej domeny. Wygaśnięcie pliku cookie nie jest okresem przechowywania wszystkich danych posiadanych przez dostawcę.
Po upływie właściwego okresu usuwamy dane lub nieodwracalnie je anonimizujemy. Dane przeznaczone do usunięcia mogą pozostawać w odizolowanych operacyjnych kopiach zapasowych publicznych stron internetowych do zakończenia cyklu nadpisywania kopii, nie dłużej niż przez 90 dni; nie są wykorzystywane w bieżącej obsłudze ani marketingu. Przywrócenie kopii zapasowej nie przywraca podstawy do wykorzystywania wcześniej usuniętych danych. Kopie dokumentów podlegających ustawowemu obowiązkowi przechowywania zachowujemy zgodnie z obowiązkami dotyczącymi tych dokumentów.
VII. Profilowanie i zautomatyzowane decyzje
Pomiary na naszych stronach służą ocenie widoczności, źródeł ruchu, użyteczności treści i skuteczności pozyskiwania zapytań. Nie prowadzimy kampanii remarketingowych kierowanych ponownie do osób z powodu ich wcześniejszych wizyt na naszych stronach. Nie wykorzystujemy zautomatyzowanych ocen aktywności na stronie do ustalania indywidualnej ceny, odmowy świadczenia usługi ani oceny sytuacji ekonomicznej lub zdrowia użytkownika.
Brak remarketingu prowadzonego przez PTQV nie oznacza, że dostawca Clarity działa wyłącznie na nasze polecenie lub nie ma własnych celów. Część X.4 wyjaśnia niezależną rolę Microsoft, jego cele i możliwości wyboru dotyczące prywatności.
Narzędzia analityczne mogą rozróżniać sesje i łączyć interakcje z pseudonimowym identyfikatorem. W zakresie, w jakim zautomatyzowana analiza ocenia zachowanie osoby, może ona stanowić profilowanie w rozumieniu art. 4 pkt 4 RODO. W opisanym zakresie jej celem jest zrozumienie sposobu korzystania ze strony i usunięcie przeszkód w jej użytkowaniu, a nie podejmowanie decyzji o prawach danej osoby. Taka analiza jest ograniczona do zgody udzielonej na konkretne narzędzie i cel. Możesz odmówić tej zgody lub ją wycofać bez utraty możliwości złożenia zapytania.
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie na Ciebie wpływają w rozumieniu art. 22 RODO. Nasz zespół obsługuje i kwalifikuje zapytania. Automatyczne potwierdzenia otrzymania wiadomości, kierowanie zapytań do właściwego działu lub wyszukiwanie usług według podanych parametrów same w sobie nie stanowią takich decyzji.
VIII. Twoje prawa
Na warunkach określonych w RODO przysługuje Ci prawo dostępu do danych i otrzymania ich kopii, sprostowania, usunięcia i ograniczenia przetwarzania. Usunięcie danych nie uchyla prawnych obowiązków ich przechowywania ani konieczności zachowania odpowiednich danych w związku z roszczeniami.
Przenoszenie danych: gdy przetwarzanie opiera się na zgodzie lub umowie i odbywa się w sposób zautomatyzowany, możesz otrzymać dostarczone nam dane w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego oraz, jeżeli jest to technicznie możliwe, zażądać ich przekazania innemu administratorowi.
Sprzeciw: możesz wnieść sprzeciw wobec przetwarzania na podstawie art. 6 ust. 1 lit. f z przyczyn związanych z Twoją szczególną sytuacją. W każdej chwili, bez podawania przyczyny, możesz wnieść sprzeciw wobec marketingu bezpośredniego, w tym związanego z nim profilowania. Wówczas zaprzestaniemy tego marketingu.
Wycofanie zgody: możesz w każdej chwili wycofać zgodę bez wpływu na zgodność z prawem wcześniejszego przetwarzania. Skorzystaj z dostępnego mechanizmu rezygnacji lub skontaktuj się z nami zgodnie z częścią I. Wycofanie zgody nie pozbawia Cię praw ani nie powoduje automatycznego usunięcia danych przechowywanych na innej ważnej podstawie.
Odpowiadamy bez zbędnej zwłoki, zwykle w ciągu miesiąca. Jeżeli RODO na to pozwala, okres ten może zostać przedłużony o kolejne dwa miesiące; przyczynę wyjaśniamy w ciągu pierwszego miesiąca. W razie uzasadnionych wątpliwości możemy poprosić o informacje niezbędne do potwierdzenia Twojej tożsamości. Żądania dotyczące praw są zwykle realizowane nieodpłatnie, z zastrzeżeniem wyjątków przewidzianych w RODO.
Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO) (informacje na stronie uodo.gov.pl/en) lub do innego właściwego organu nadzorczego, w szczególności w państwie członkowskim UE Twojego zwykłego pobytu, miejsca pracy lub domniemanego naruszenia. Nie musisz najpierw składać skargi do nas.
IX. Przekazywanie danych poza Europejski Obszar Gospodarczy
Dane związane z usługami chmurowymi, analityką lub rezerwacjami międzynarodowymi mogą być przekazywane poza Europejski Obszar Gospodarczy („EOG”), również poprzez zdalny dostęp personelu dostawcy. Umieszczenie głównego serwera w UE nie wyklucza takiego dostępu.
Korzystanie z Microsoft 365 i Google Analytics 4 może wiązać się z przekazywaniem danych do podmiotów z grup Microsoft i Google, w szczególności w Stanach Zjednoczonych, w ramach świadczenia i zabezpieczania usług. Warunki dostawców obejmują mechanizmy przekazywania danych, w tym standardowe klauzule umowne Komisji Europejskiej, jeżeli mają zastosowanie. Dokumentacja: Dodatek dotyczący ochrony danych firmy Microsoft i Warunki przetwarzania danych Google.
W przypadku Microsoft Clarity dostawca wskazuje Microsoft Ireland Operations Limited (Irlandia) jako stronę umowy dla klientów z UE i opisuje przekazywanie danych do Microsoft Corporation (Stany Zjednoczone) na podstawie standardowych klauzul umownych między tymi podmiotami. Dane są przetwarzane z wykorzystaniem infrastruktury Microsoft Azure. Nie twierdzimy, że wszystkie dane Clarity są przechowywane wyłącznie w EOG. Zastosowanie mają warunki właściwe dla tej usługi i Oświadczenie o ochronie prywatności firmy Microsoft; korzystanie z Microsoft 365 nie przesądza o warunkach dotyczących Clarity.
Oceniamy odpowiednią podstawę każdego przekazania: decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony w jej właściwym zakresie albo zabezpieczenia na podstawie art. 46 RODO, w szczególności standardowe klauzule umowne, wraz z oceną przekazania i środkami uzupełniającymi, gdy są potrzebne. Nie zakładamy, że każdy zagraniczny podmiot należący do znanej grupy kapitałowej jest automatycznie objęty decyzją stwierdzającą odpowiedni stopień ochrony.
W przypadku konkretnej podróży dane trafiają do odbiorców w krajach związanych z jej trasą, na przykład do przewoźnika lub hotelu. Jeżeli nie ma ani decyzji stwierdzającej odpowiedni stopień ochrony, ani odpowiednich zabezpieczeń, wyjątki z art. 49 RODO można stosować wyłącznie po spełnieniu ich warunków, na przykład gdy przekazanie jest niezbędne do wykonania konkretnej umowy o podróż zawartej z Tobą lub umowy zawartej w Twoim interesie. Nie jest to ogólna podstawa do rutynowego korzystania z zagranicznych narzędzi chmurowych lub marketingowych.
O informacje dotyczące konkretnego odbiorcy, kraju, podstawy przekazania i sposobu uzyskania kopii zabezpieczeń możesz zwrócić się za pomocą naszego formularza kontaktowego. Udostępniamy zabezpieczenia z odpowiednią ochroną praw innych osób i uzasadnionej poufności. Część X i aktualny rejestr narzędzi zawierają dalsze informacje o narzędziach stron internetowych.
X. Pliki cookie, podobne technologie i zgoda
1. Cele i zasady stosowania technologii
Pliki cookie, pamięć lokalna przeglądarki, piksele i podobne technologie mogą wspierać działanie strony, zapisywać wybory dotyczące prywatności, mierzyć ruch i oceniać użyteczność. Techniczne dane niezbędne do obsługi połączenia z serwerem odróżniamy od dodatkowego śledzenia aktywności.
Zgodnie z art. 399 PKE przechowywanie informacji na urządzeniu lub uzyskiwanie do niej dostępu wymaga uprzedniej zgody, chyba że jest ściśle niezbędne do transmisji lub usługi wyraźnie żądanej przez użytkownika. Do danych osobowych analizowanych w tym kontekście stosuje się art. 6 ust. 1 lit. a RODO. Zgoda na newsletter, zapytanie lub dalsze przeglądanie strony nie zastępują zgody na te technologie.
2. Wybór i zmiana zgody: Cookiebot
Cookiebot by Usercentrics to rozwiązanie wyznaczone do zarządzania wyborami dotyczącymi prywatności na naszych stronach. W domenie, w której wdrożono jego panel, możesz zaakceptować wybrane cele, odmówić opcjonalnych technologii i ponownie otworzyć ustawienia za pomocą przycisku prywatności lub odnośnika „Ustawienia cookies” / „Cookie settings”. Odmowa zgody nie wyłącza podstawowych treści ani możliwości kontaktu z nami. Nie uruchamiamy opcjonalnych narzędzi wymagających zgody, dopóki panel danej domeny nie jest dostępny i sprawdzony.
Cookiebot obsługuje dane potrzebne do zapamiętania i udokumentowania wyborów, w tym identyfikator zgody, wybór, datę i odpowiednie informacje techniczne. Wykazywanie zgody opiera się na art. 6 ust. 1 lit. c w związku z art. 7 ust. 1 RODO; mechanizmy potrzebne do zapisania wyboru użytkownika nie są reklamą. Dostawca, Usercentrics A/S, Dania, opisuje usuwanie danych użytkowników końcowych w cyklu 12 miesięcy od rejestracji. Odrębny minimalny zapis przechowywany przez PTQV podlega zasadom części VI. Więcej informacji: polityka prywatności Cookiebot.
Wycofanie zgody zatrzymuje dalsze korzystanie z objętych nią opcjonalnych narzędzi, ale nie wpływa na zgodność z prawem przetwarzania przed jej wycofaniem. Usunięcie danych już przesłanych dostawcy wymaga użycia odpowiednich mechanizmów lub złożenia żądania usunięcia. Ustawienia przeglądarki są dodatkową możliwością, a nie zamiennikiem wyborów udostępnianych przez stronę.
3. Google Analytics 4
Korzystamy z Google Analytics 4 (GA4), usługi Google Ireland Limited z Irlandii, do pomiaru ruchu, źródeł odwiedzin, popularności treści i działań prowadzących do zapytań. Analiza może obejmować identyfikatory przeglądarki i sesji, informacje o urządzeniu, język, przybliżoną lokalizację, odwiedzane strony oraz zdarzenia, takie jak kliknięcie przycisku lub wysłanie formularza. Samo kliknięcie adresu e-mail lub numeru telefonu nie oznacza, że wysłano wiadomość lub odbyła się rozmowa.
GA4 działa w granicach udzielonej zgody na analitykę. Nie przekazujemy celowo do GA4 korespondencji, imion i nazwisk, adresów e-mail, numerów telefonów, danych dokumentów tożsamości ani danych rezerwacji. Nie wykorzystujemy danych GA4 do kampanii remarketingowych. Dostawca wskazuje, że GA4 nie rejestruje ani nie przechowuje indywidualnych adresów IP; nie oznacza to, że wszystkie pozostałe dane są anonimowe.
Dla danych użytkowników i zdarzeń objętych ustawieniem przechowywania GA4 przyjmujemy okres 14 miesięcy, bez resetowania okresu przechowywania identyfikatora przy nowej aktywności. Po upływie tego okresu dane są usuwane w miesięcznym cyklu usuwania dostawcy. Ustawienie to nie obejmuje standardowych raportów zbiorczych i nie jest okresem ważności plików cookie. Prawa osób i wcześniejsze usunięcie danych mają zastosowanie niezależnie od tego ustawienia. Dokumentacja: przechowywanie danych w GA4 i polityka prywatności Google.
4. Badanie użyteczności: Microsoft Clarity
Cel i uruchomienie. Microsoft Clarity jest narzędziem wybranym do badania użyteczności publicznych stron internetowych PTQV. Tam, gdzie je wdrożono, korzystamy z niego wyłącznie po uzyskaniu uprzedniej zgody obejmującej tę analizę i udostępnienie danych firmie Microsoft. Oceniamy, które treści są zrozumiałe i gdzie użytkownicy napotykają trudności. Nie służy to nagrywaniu rozmów ani ocenie indywidualnego klienta.
Zbierane dane. Analiza obejmuje kliknięcia, przewijanie, ruchy wskaźnika, przechodzenie pomiędzy stronami, informacje o urządzeniu i przeglądarce, czas aktywności, źródła odwiedzin, przybliżoną lokalizację i pseudonimowe identyfikatory. Informacje te służą tworzeniu map cieplnych i odtworzeń korzystania ze strony. Odtworzenie sesji rekonstruuje widok strony i interakcje; nie jest nagraniem z Twojej kamery ani mikrofonu. Dane pseudonimowe nie stają się automatycznie anonimowe.
Ograniczenia. Clarity nie obejmuje stref po zalogowaniu, obszarów płatności, szczegółów rezerwacji ani stron przeznaczonych dla dzieci. Treści formularzy i inne dane osobowe wyświetlane na stronie są wyłączane z rejestracji lub maskowane przed przesłaniem. Nie wysyłamy do Clarity imion i nazwisk, adresów e-mail, numerów telefonów, treści wiadomości, danych dokumentów podróży ani informacji o zdrowiu. Nie łączymy odtworzeń z rekordami CRM, imionami i nazwiskami, historią podróży ani indywidualnymi ocenami potencjalnych klientów. Te ograniczenia obejmują również adresy URL, parametry i niestandardowe tagi wysyłane do narzędzia.
Dostawca i rola. Dla klientów z UE dostawca wskazuje Microsoft Ireland Operations Limited, przy udziale Microsoft Corporation i innych podmiotów z grupy w świadczeniu usługi. Microsoft przetwarza dane Clarity jako administrator zgodnie z własnym oświadczeniem o ochronie prywatności. Oświadczenie to opisuje również własne cele Microsoft, w tym bezpieczeństwo, rozwój i doskonalenie usług oraz reklamę, z uwzględnieniem właściwych warunków i wyborów dotyczących prywatności. Nie przedstawiamy Clarity jako narzędzia działającego wyłącznie na nasze polecenie. Więcej informacji o celach, odbiorcach i prawach: Oświadczenie o ochronie prywatności firmy Microsoft.
Przechowywanie. Zgodnie z dokumentacją Clarity standardowe dane odtwarzania sesji są przechowywane przez 30 dni od zarejestrowania. Dane o kliknięciach, mapy cieplne oraz sesje z etykietą lub oznaczone jako ulubione mogą być przechowywane przez 9 miesięcy. Microsoft opisuje również przechowywanie losowo wybranej próbki nagrań przez okres do 9 miesięcy. W przyjętym zakresie PTQV nie oznacza sesji jako ulubionych ani nie nadaje im etykiet w celu wydłużenia ich przechowywania oraz nie tworzy własnego archiwum odtworzeń. Nie zapobiega to dłuższemu przechowywaniu danych o kliknięciach, map cieplnych ani próbki zachowanej przez usługę. 30 dni nie jest terminem usunięcia wszystkich danych Clarity. Dane o kliknięciach mogą zawierać identyfikator użytkownika, dlatego nie opisujemy ich wszystkich jako anonimowych. Szczegóły: przechowywanie danych w Clarity i najczęściej zadawane pytania dotyczące Clarity.
Zgoda i rezygnacja. Odmowa lub wycofanie zgody na Clarity nie uniemożliwia dostępu do naszych ofert ani kontaktu z nami. W przyjętym modelu nie uruchamiamy zbierania danych przez Clarity bez tej zgody, również w ograniczonym trybie bez plików cookie. Zgoda na analitykę nie jest zgodą na cele reklamowe. Wyborów dokonuje się w panelu prywatności danej domeny; wysyłamy do narzędzia sygnały odzwierciedlające faktyczny wybór. W opisanym zakresie PTQV nie uruchamia integracji Clarity z Microsoft Advertising ani nie prowadzi kampanii remarketingowych.
Usunięcie danych i kontakt. Wycofanie zgody zatrzymuje dalsze zbieranie danych, ale nie usuwa automatycznie danych już przekazanych. Żądania dotyczące danych przetwarzanych przez PTQV prosimy składać za pomocą naszego formularza kontaktowego. Microsoft udostępnia odrębną ścieżkę składania żądań dotyczących praw w swoim oświadczeniu o ochronie prywatności. Dokumentacja Clarity opisuje ograniczenia w usuwaniu pojedynczych nagrań i danych konkretnej osoby z poziomu panelu; konieczne może być działanie dotyczące całego projektu lub skierowanie żądania do Microsoft. Ograniczenia narzędzia nie znoszą praw wynikających z RODO.
5. Zakres zgody i aktualna deklaracja
Wybór dokonany na jednej stronie nie upoważnia automatycznie do działań w każdej innej domenie i w każdym celu. Szczegółowa deklaracja plików cookie powiązana z każdym panelem wskazuje mechanizmy faktycznie stosowane w danej domenie, ich dostawców, cele i okresy ważności. Rejestr narzędzi na końcu polityki stanowi dodatkową warstwę informacji, a nie zamiennik rzetelnej deklaracji technicznej. Nowy cel, narzędzie lub przekazanie danych wymagają aktualizacji informacji oraz, gdy istniejąca zgoda ich nie obejmuje, odpowiedniej zgody przed uruchomieniem.
XI. Bezpieczeństwo, inne strony internetowe i zmiany polityki
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyk, w tym ograniczenia dostępu, chronioną komunikację, zabezpieczenia systemów i rozwiązania zapewniające bezpieczne przetwarzanie danych. Dostęp otrzymują osoby i dostawcy, którzy potrzebują go do swoich zadań. Nie twierdzimy, że można wyeliminować wszelkie ryzyko.
Odnośniki do zewnętrznych stron prowadzą do środowisk z odrębnymi informacjami o prywatności. Osadzone mapy, filmy i inne elementy zewnętrzne wymagają odrębnej oceny przepływów danych i odpowiedniej podstawy; odnośnik do informacji dostawcy nie zastępuje informacji i zgody wymaganych po naszej stronie.
Aktualizujemy politykę, gdy faktycznie zmieniają się usługi, cele, podstawy prawne lub przetwarzanie. Szczegóły narzędzi stron internetowych mogą być aktualizowane w rejestrze i deklaracji plików cookie bez przepisywania pozostałych części. O istotnych zmianach informujemy przed rozpoczęciem odpowiedniego przetwarzania; nowy dokument nie jest zgodą użytkownika. Wersje językowe opisują te same zasady i nie ograniczają praw wynikających z bezwzględnie obowiązujących przepisów właściwego prawa.
Rejestr narzędzi i zakres wdrożenia
Rejestr narzędzi: treść źródłowa z 13 września 2026 r.
Poniższy rejestr wskazuje narzędzia objęte tą polityką. Ich obecność i aktualne działanie w konkretnej domenie przedstawiają właściwy panel zgód i deklaracja plików cookie. Narzędzia opcjonalne pozostają nieaktywne do czasu prawidłowego wdrożenia i uzyskania wymaganej zgody.
Google Analytics 4: pomiar ruchu i zapytań. Dostawca: Google Ireland Limited, Irlandia, z możliwym udziałem Google LLC i innych podmiotów z grupy, w tym w Stanach Zjednoczonych. Analityka oparta na zgodzie, bez remarketingu PTQV. Dane objęte ustawieniem przechowywania: 14 miesięcy, bez resetowania okresu przechowywania identyfikatora przy nowej aktywności. Szczegóły: X.3.
Microsoft Clarity: badanie użyteczności. Wybrane do wdrożenia na publicznych stronach po spełnieniu warunków z X.4; ten opis nie oznacza, że narzędzie jest aktywne w każdej domenie. Dla klientów z UE: Microsoft Ireland Operations Limited; możliwy jest udział Microsoft Corporation w Stanach Zjednoczonych. Standardowe odtworzenia: 30 dni; dane o kliknięciach, mapy cieplne i niektóre zachowane sesje: do 9 miesięcy. Microsoft działa jako administrator w opisywanym przez siebie zakresie. Nie łączymy odtworzeń z rekordami CRM ani rezerwacji.
Cookiebot: zarządzanie zgodami. Dostawca: Usercentrics A/S, Dania. Panel wdrożony dla każdej domeny obsługuje wybory dotyczące prywatności i deklaracje plików cookie. Dostawca opisuje usuwanie danych użytkowników końcowych po 12 miesiącach od rejestracji; odrębny, niezbędny zapis zgody przechowywany przez PTQV podlega części VI. Szczegóły: X.2.
Remarketing i automatyczna ocena potencjalnych klientów na podstawie wizyt: poza obecnym zakresem PTQV. Uruchomienie wymaga odrębnie zdefiniowanego procesu, informacji i odpowiedniej podstawy, a nie tylko dodatkowego tagu. Niezależne cele Microsoft w związku z Clarity opisano w X.4.