Podmiot odpowiedzialny i zakres
Proponowanym administratorem danych dla serwisu shop.exsel.ai jest firma Exsel AI Inc., 254 Chapman Road, Newark, Delaware 19702, Stany Zjednoczone. Należy zweryfikować dane rejestrowe tej firmy, adres do korespondencji w sprawach dotyczących prywatności oraz dane ewentualnego lokalnego przedstawiciela. Niniejszy projekt dotyczy odwiedzających, osób ubiegających się o konto handlowe, przedstawicieli kupujących, osób kontaktowych w sprawie dostaw oraz osób kontaktujących się z działem pomocy technicznej. W przypadku innych relacji może być konieczne sporządzenie odrębnego zawiadomienia dla pracowników lub dostawców.
Informacje podawane przez użytkownika
Formularze rejestracyjne i zapytania mogą gromadzić imię i nazwisko osoby, służbowy adres e-mail, numer telefonu, stanowisko, nazwę firmy, dane podatkowe lub rejestracyjne, adres rozliczeniowy i wysyłkowy, zamówione produkty, wiadomości oraz załączniki. W ramach realizacji zamówień mogą być gromadzone dodatkowe dane, takie jak historia zakupów, faktury, instrukcje dotyczące dostawy oraz dowody roszczeń. Exsel powinien ograniczyć do minimum gromadzenie danych w postaci tekstu swobodnego oraz unikać proszenia o podanie wrażliwych danych osobowych, chyba że jest to konieczne i zgodne z prawem.
Informacje generowane podczas korzystania z serwisu
Witryna oraz jej elementy związane z hostingiem, bezpieczeństwem i handlem mogą rejestrować adres IP, charakterystykę urządzenia i przeglądarki, sygnatury czasowe, odwiedzane strony, zdarzenia związane z kontem, stan koszyka, wybrany kraj i język, dzienniki błędów oraz sygnały oszustw. Jeśli w późniejszym terminie zostanie włączona funkcja płatności, dostawcy usług płatniczych mogą przetwarzać identyfikatory transakcji i szczegóły płatności zgodnie z własnymi informacjami. Nie twierdzi się tutaj, że odbywa się przetwarzanie danych kart w czasie rzeczywistym.
Inne źródła i weryfikacja
Tożsamość firmy i status podatkowy mogą być sprawdzane w oparciu o publiczne rejestry lub dokumenty dostarczone przez firmę. Exsel powinien zidentyfikować każdego dostawcę usług w zakresie informacji kredytowych, weryfikacji tożsamości, wzbogacania danych lub sprawdzania sankcji przed skorzystaniem z jego usług. Dostawcy produktów lub przewoźnicy mogą dostarczać dane dotyczące realizacji zamówień i reklamacji. Źródła te nie powinny być opisywane jako aktywne, dopóki nie zostaną zweryfikowane.
Cele i podstawy prawne
Możliwe cele obejmują udzielanie odpowiedzi na zapytania, tworzenie kont, przygotowywanie i realizację przyjętych zamówień, dostawę, obsługę klienta, księgowość, bezpieczeństwo, zapobieganie oszustwom oraz zapewnienie zgodności z przepisami prawa. W przypadku gdy zastosowanie ma RODO lub brytyjskie RODO, ostateczna informacja powinna powiązać każdy cel z rzeczywistą podstawą prawną, taką jak czynności związane z umową, obowiązek prawny, prawnie uzasadniony interes lub zgoda. Zgoda na marketing oraz sposoby wyrażenia sprzeciwu wymagają oddzielnego, zweryfikowanego wyjaśnienia.
Kto otrzymuje dane
Tylko odpowiedni pracownicy i zakontraktowani dostawcy usług powinni otrzymywać dane niezbędne do wykonywania ich pracy. Potencjalne kategorie obejmują dostawców usług hostingowych WordPress i WooCommerce, poczty elektronicznej, tłumaczeń, CRM, wsparcia technicznego, analityki, płatności, logistyki, księgowości i bezpieczeństwa. Rzeczywiste nazwy, role administratorów lub podmiotów przetwarzających, podwykonawcy przetwarzania oraz warunki udostępniania danych wymagają sporządzenia wykazu środowiska produkcyjnego przed publikacją. Firma Exsel nie powinna twierdzić, że żadne dane nie są sprzedawane, bez sprawdzenia wszystkich umów dotyczących reklamy i udostępniania danych.
Przekazywanie danych za granicę
Globalna witryna może wiązać się z dostępem do danych lub ich przechowywaniem poza krajem danej osoby. Ostateczna informacja powinna zawierać wykaz rzeczywistych lokalizacji przechowywania danych oraz miejsc, do których są one przekazywane, a także wyjaśniać wszelkie wymagane zabezpieczenia, takie jak decyzje o adekwatności lub klauzule umowne, po weryfikacji przez dostawcę. Wybór kraju lub języka nie oznacza, że dane pozostają w tej jurysdykcji.
Przechowywanie i usuwanie
Różne rodzaje danych wymagają różnych okresów przechowywania: dane konta, porzucone zapytania, zrealizowane zamówienia, faktury, dokumentacja pomocy technicznej, logi bezpieczeństwa, zapisy zgód oraz kopie zapasowe. Ostateczna polityka powinna zawierać uzasadniony harmonogram powiązany z wymogami podatkowymi, umownymi i bezpieczeństwa, w tym terminy usuwania lub anonimizacji nieaktywnych kont. W niniejszym projekcie nie określono konkretnych okresów.
Bezpieczeństwo i incydenty
Exsel powinien stosować środki kontroli dostępu, odpowiednie uwierzytelnianie, aktualizacje, kopie zapasowe oraz środki kontroli dostawców proporcjonalne do przechowywanych informacji. Żaden system internetowy nie może zagwarantować absolutnego bezpieczeństwa. Ostateczna polityka powinna wskazywać osobę kontaktową ds. zgłaszania incydentów oraz opisywać, w jaki sposób osoby, których dotyczy incydent, oraz organy regulacyjne zostaną powiadomione, gdy będzie to wymagane przez prawo.
Prawa i wnioski
W zależności od lokalizacji i obowiązującego prawa osoba może zażądać dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych lub informacji o udostępnianiu danych, a także może sprzeciwić się określonemu przetwarzaniu lub wycofać zgodę. Wnioski można obecnie przesyłać na adres https://shop.exsel.ai/pl/skontaktuj-sie-z-exsel/ do czasu potwierdzenia adresu przeznaczonego specjalnie do spraw prywatności. Konieczne może być przeprowadzenie weryfikacji tożsamości. Firma Exsel powinna wyjaśnić przyczyny ewentualnej odmowy oraz wskazać właściwy organ regulacyjny lub ścieżkę odwoławczą w ostatecznym ogłoszeniu krajowym.
Marketing i komunikacja
Komunikaty dotyczące zamówień, bezpieczeństwa i wycen różnią się od opcjonalnych działań marketingowych. Każdy biuletyn, działania remarketingowe lub profilowanie wymagają własnej, zweryfikowanej podstawy prawnej oraz możliwości rezygnacji z subskrypcji lub kontroli preferencji. Firma Exsel nie powinna kontynuować opcjonalnych działań marketingowych po ważnej rezygnacji, natomiast niezbędne komunikaty transakcyjne mogą być nadal wysyłane.
Dzieci, zmiany i kontakt
Sklep nie jest przeznaczony dla dzieci. Istotne zmiany powinny być opatrzone datą i wyjaśnione. Pytania dotyczące prywatności można kierować na adres https://shop.exsel.ai/pl/skontaktuj-sie-z-exsel/ do czasu potwierdzenia dedykowanej osoby kontaktowej ds. prywatności oraz pełnych danych firmy.