Polityka prywatności

Twoja prywatność jest dla nas ważna. Niniejszy dokument wyjaśnia, w jaki sposób K.A. HOTEL Spółka z ograniczoną odpowiedzialnością przetwarza dane osobowe osób korzystających z serwisu https://www.kristoff.pl, gości naszych obiektów, uczestników wydarzeń oraz klientów usług świadczonych pod markami Hotel Kristoff, KTW Szałe Restaurant & Events, Fundacja Etcetera oraz Magazyn Scenografii.

Polityka została przygotowana w zgodzie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (dalej „RODO") oraz ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych.

§ 1. Administrator danych osobowych

1. Administratorem Twoich danych osobowych jest K.A. HOTEL Spółka z ograniczoną odpowiedzialnością, sp. z o.o., z siedzibą pod adresem: Łaszków 8A, 62-814 Blizanów, NIP: 9680966225, REGON: 301766440, KRS: 0000388595, Sąd Rejonowy Poznań — Nowe Miasto i Wilda w Poznaniu, IX Wydział Gospodarczy Krajowego Rejestru Sądowego, kapitał zakładowy 887 300,00 zł (dalej „Administrator").
2. W sytuacjach, w których organizatorem konkretnego wydarzenia jest Fundacja Etcetera, administratorem danych osobowych uczestników tego wydarzenia może być Fundacja Etcetera (adres e-mail: fundacjaetcetera@gmail.com). Każdorazowa informacja o administratorze jest przekazywana w opisie wydarzenia oraz w korespondencji potwierdzającej rezerwację.

§ 2. Kontakt w sprawach ochrony danych

1. We wszystkich sprawach dotyczących przetwarzania danych osobowych oraz wykonywania praw wynikających z RODO można skontaktować się z Administratorem:
   • pocztą elektroniczną na adres [DO UZUPEŁNIENIA: dedykowany adres do spraw RODO, np. rodo@kristoff.pl] lub kontakt@kristoff.pl;
   • listownie na adres siedziby Administratora wskazany powyżej.
2. Administrator nie wyznaczył Inspektora Ochrony Danych, gdyż nie jest to wymagane przez przepisy RODO w odniesieniu do prowadzonej działalności.

§ 3. Zakres przetwarzanych danych i źródła ich pozyskiwania

W zależności od interakcji z naszymi usługami, możemy przetwarzać następujące kategorie danych osobowych:

3.1. Dane podawane bezpośrednio przez Ciebie

• Newsletter — adres e-mail.
• Formularz kontaktowy / formularz zapytania ofertowego — imię i nazwisko, adres e-mail, numer telefonu, treść wiadomości, wybrany dział, dane dotyczące planowanego wydarzenia (typ, data, liczba gości — jeśli zostały podane).
• Formularz wynajmu scenografii — imię i nazwisko, adres e-mail, numer telefonu, data wydarzenia, lista wybranych pozycji, treść wiadomości.
• Rezerwacje pobytu w hotelu, stolika lub eventu — imię i nazwisko, adres e-mail, numer telefonu, daty pobytu lub wydarzenia, liczba osób, preferencje (np. dieta, dostępność), a w przypadku zameldowania w hotelu — dane wymagane przepisami o usługach hotelarskich (numer dokumentu tożsamości w zakresie wymaganym do meldunku, dane do faktury — jeśli dotyczy).
• Zakup biletu na wydarzenie Fundacji Etcetera — imię i nazwisko, adres e-mail, numer telefonu, dane do faktury (jeśli dotyczy), dane dotyczące dostosowań (np. dieta, dostępność).
• Zamówienia w sklepie internetowym / wynajem scenografii — imię i nazwisko (lub firma), adres dostawy i adres do faktury, NIP (jeśli dotyczy), adres e-mail, numer telefonu, dane zamówienia.
• Płatności — dane niezbędne do realizacji płatności są przekazywane bezpośrednio do podmiotu obsługującego płatności i przetwarzane przez ten podmiot zgodnie z jego polityką prywatności; Administrator otrzymuje informację o statusie płatności.
• Program lojalnościowy „Przyjaciele Fundacji" — dane uczestnika programu w zakresie wymaganym do jego prowadzenia (w szczególności imię i nazwisko, adres e-mail, numer telefonu) oraz dane dotyczące aktywności w programie (np. punkty, udział w wydarzeniach).

3.2. Dane zbierane automatycznie podczas korzystania z Serwisu

• informacje techniczne: adres IP, identyfikator sesji, typ i wersja przeglądarki, system operacyjny, ustawienia językowe, źródło wejścia, czas wizyty;
• identyfikator koszyka zakupowego przechowywany w pliku cookie, pozwalający kojarzyć Twoją sesję z zawartością koszyka;
• logi serwera, zawierające standardowe dane techniczne związane z obsługą połączeń HTTP.

§ 4. Cele i podstawy prawne przetwarzania

Twoje dane osobowe przetwarzamy w następujących celach i na następujących podstawach prawnych:

• Świadczenie usługi Newsletter — na podstawie Twojej zgody (art. 6 ust. 1 lit. a RODO oraz art. 10 ustawy o świadczeniu usług drogą elektroniczną i art. 172 Prawa telekomunikacyjnego). Zgodę można w każdej chwili wycofać.
• Obsługa Zapytania kontaktowego lub zapytania ofertowego — w celu udzielenia odpowiedzi i podjęcia działań na Twoje żądanie przed zawarciem umowy (art. 6 ust. 1 lit. b RODO) oraz w ramach prawnie uzasadnionego interesu Administratora polegającego na prowadzeniu korespondencji i obsłudze relacji z klientami (art. 6 ust. 1 lit. f RODO).
• Zawarcie i wykonanie umowy (pobyt hotelowy, rezerwacja stolika, organizacja eventu, najem scenografii, zakup w sklepie, udział w wydarzeniu, program lojalnościowy) — art. 6 ust. 1 lit. b RODO.
• Wystawianie i przechowywanie dokumentów księgowych (faktury, dowody zakupu) oraz inne obowiązki podatkowo-księgowe — art. 6 ust. 1 lit. c RODO w zw. z ustawą o rachunkowości, ustawą o VAT i Ordynacją podatkową.
• Obsługa reklamacji — art. 6 ust. 1 lit. b i c RODO.
• Ustalanie, dochodzenie i obrona roszczeń — prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO).
• Marketing bezpośredni własnych produktów i usług (np. wysyłka Newslettera, informacje o promocjach) — prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), przy czym w odniesieniu do komunikacji elektronicznej na podany adres e-mail przetwarzanie odbywa się dodatkowo na podstawie Twojej zgody.
• Zapewnienie bezpieczeństwa i prawidłowego działania Serwisu (logi serwera, wykrywanie i przeciwdziałanie nadużyciom) — prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO).
• Wypełnianie obowiązków wynikających z ustawy o usługach hotelarskich oraz innych przepisów regulujących prowadzoną działalność — art. 6 ust. 1 lit. c RODO.

§ 5. Okresy przechowywania danych

• Subskrypcja Newslettera — do czasu wycofania zgody przez subskrybenta lub rezygnacji z usługi; dane mogą być następnie przechowywane do upływu terminu przedawnienia roszczeń związanych z usługą.
• Zapytania kontaktowe i ofertowe — przez okres prowadzenia korespondencji, a następnie przez czas niezbędny do ustalenia, dochodzenia lub obrony ewentualnych roszczeń, nie dłużej jednak niż 3 lata od ostatniej korespondencji.
• Dane związane z umowami (pobyt, event, najem, zakup, bilet) — przez okres niezbędny do realizacji umowy, a następnie do upływu terminu przedawnienia roszczeń (co do zasady 6 lat — art. 118 Kodeksu cywilnego — lub 3 lata dla roszczeń związanych z działalnością gospodarczą lub świadczeniami okresowymi).
• Dokumentacja księgowo-podatkowa — przez okres wymagany przepisami prawa, w szczególności 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku.
• Dane meldunkowe gości Hotelu Kristoff — przez okres wymagany przepisami o usługach hotelarskich i ewidencji ludności.
• Pliki cookies oraz dane zbierane automatycznie — zgodnie z okresami wskazanymi w § 10.

§ 6. Odbiorcy danych i podmioty przetwarzające

1. Twoje dane osobowe mogą być przekazywane następującym kategoriom odbiorców — wyłącznie w zakresie niezbędnym do realizacji wskazanych wyżej celów:
   • dostawcom infrastruktury i usług IT (hosting, kopie zapasowe, monitoring), w szczególności Vercel Inc. obsługującej hosting Serwisu;
   • dostawcom platformy e-commerce oraz oprogramowania do obsługi zamówień, koszyka i komunikacji ze sklepem (dostawca platformy „Your Next Store / Commerce Kit");
   • operatorom płatności obsługującym płatności elektroniczne — [DO UZUPEŁNIENIA: nazwa i siedziba operatora płatności, np. Stripe Payments Europe, Limited; PayU S.A.; Przelewy24 / DialCom24 sp. z o.o.];
   • dostawcom usług poczty elektronicznej i narzędzi do wysyłki Newslettera — [DO UZUPEŁNIENIA: nazwa dostawcy, np. Resend, Mailgun, MailerLite];
   • kancelariom prawnym, doradcom podatkowym oraz biurom rachunkowym świadczącym usługi na rzecz Administratora;
   • podmiotom uprawnionym do otrzymania danych na podstawie przepisów prawa (np. organom administracji publicznej, sądom, urzędom skarbowym);
   • w odniesieniu do wydarzeń Fundacji Etcetera — Fundacji Etcetera oraz prowadzącym wydarzenie ekspertom, w zakresie niezbędnym do organizacji wydarzenia;
   • w odniesieniu do najmu scenografii i organizacji eventów — podwykonawcom (firmom transportowym, technicznym, cateringowym) w zakresie niezbędnym do wykonania usługi.
2. Z podmiotami przetwarzającymi dane w naszym imieniu zawieramy umowy powierzenia przetwarzania danych osobowych, zapewniające odpowiedni poziom ochrony zgodny z RODO.

§ 7. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Część dostawców usług IT i komunikacyjnych (w szczególności Vercel Inc. — hosting Serwisu — oraz potencjalnie dostawcy poczty elektronicznej i narzędzi marketingowych) ma siedzibę poza Europejskim Obszarem Gospodarczym (EOG), w tym w Stanach Zjednoczonych Ameryki.
2. W takich przypadkach przekazanie danych odbywa się na podstawie odpowiednich zabezpieczeń przewidzianych w RODO, w szczególności:
   • decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w szczególności decyzji wykonawczej dotyczącej EU-U.S. Data Privacy Framework w odniesieniu do dostawców certyfikowanych w ramach tego programu);
   • standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (SCC);
   • innych mechanizmów wskazanych w art. 46–49 RODO.
3. Kopię stosowanych zabezpieczeń lub szczegółowe informacje o nich możesz otrzymać, kontaktując się z Administratorem pod adresem wskazanym w § 2.

§ 8. Twoje prawa

1. W związku z przetwarzaniem Twoich danych osobowych przysługują Ci następujące prawa:
   • prawo dostępu do danych oraz uzyskania ich kopii (art. 15 RODO);
   • prawo do sprostowania (poprawienia) danych (art. 16 RODO);
   • prawo do usunięcia danych — tzw. „prawo do bycia zapomnianym" (art. 17 RODO), z zastrzeżeniem przypadków, w których przepisy prawa wymagają dalszego przetwarzania (np. obowiązki podatkowo-księgowe);
   • prawo do ograniczenia przetwarzania (art. 18 RODO);
   • prawo do przenoszenia danych (art. 20 RODO);
   • prawo do sprzeciwu wobec przetwarzania danych na podstawie prawnie uzasadnionego interesu Administratora (art. 21 RODO), w szczególności bezwzględne prawo sprzeciwu wobec marketingu bezpośredniego;
   • prawo do wycofania zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem (art. 7 ust. 3 RODO);
   • prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
2. Aby skorzystać ze swoich praw, skontaktuj się z Administratorem zgodnie z § 2. Odpowiedzi udzielamy niezwłocznie, nie później niż w terminie miesiąca od otrzymania żądania; w uzasadnionych przypadkach termin ten może zostać przedłużony o kolejne dwa miesiące, o czym poinformujemy Cię odrębnie.
3. Administrator może odmówić realizacji niektórych żądań, jeśli wykaże istnienie ważnych prawnie uzasadnionych podstaw do dalszego przetwarzania danych lub gdy obowiązek przetwarzania wynika z przepisów prawa.

§ 9. Profilowanie i automatyczne decyzje

Administrator nie podejmuje decyzji wywołujących wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływających w sposób oparty wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, w rozumieniu art. 22 RODO.

§ 10. Pliki cookies i podobne technologie

1. Serwis wykorzystuje pliki cookies oraz podobne technologie w celu zapewnienia prawidłowego działania Serwisu, w szczególności do utrzymywania sesji koszyka zakupowego.
2. Stosujemy następujące rodzaje plików cookies:
   • Niezbędne — wymagane do prawidłowego działania Serwisu (np. plik cookie przechowujący identyfikator koszyka). Bez tych plików określone funkcje Serwisu nie mogą być świadczone. Podstawą ich stosowania jest niezbędność do świadczenia usługi żądanej przez użytkownika końcowego — nie wymagają zgody.
   • Funkcjonalne — zapamiętujące preferencje użytkownika (np. zgodę na cookies, ustawienia interfejsu).
   • Analityczne i marketingowe — [DO UZUPEŁNIENIA: jeśli zostaną wdrożone narzędzia analityczne (np. Vercel Analytics, Google Analytics, Meta Pixel), należy je wymienić tutaj wraz z dostawcą, celem przetwarzania i okresem retencji. W przypadku ich braku zalecane jest pozostawienie wyłącznie kategorii „Niezbędne".]
3. Pliki cookies można w każdej chwili usunąć lub zablokować w ustawieniach przeglądarki. Ograniczenie ich stosowania może wpłynąć na funkcjonalność Serwisu, w szczególności uniemożliwić korzystanie z koszyka zakupowego.
4. Czas przechowywania plików cookies wynika z ich ustawień technicznych; pliki cookies sesji są usuwane po zamknięciu przeglądarki, a pliki trwałe — po upływie określonego terminu lub ich ręcznym usunięciu.

§ 11. Bezpieczeństwo danych

1. Administrator stosuje środki techniczne i organizacyjne odpowiadające ryzyku naruszenia praw lub wolności osób fizycznych, w szczególności:
   • szyfrowanie połączeń protokołem HTTPS;
   • kontrolę dostępu do systemów i baz danych;
   • zawieranie umów powierzenia przetwarzania danych z dostawcami zewnętrznymi oraz weryfikację stosowanych przez nich zabezpieczeń;
   • regularną aktualizację oprogramowania oraz monitorowanie incydentów.
2. Mimo dochowywania należytej staranności, przekazywanie danych przez Internet wiąże się ze standardowym ryzykiem; w razie podejrzenia naruszenia bezpieczeństwa danych prosimy o niezwłoczny kontakt zgodnie z § 2.

§ 12. Zmiany Polityki prywatności

1. Administrator zastrzega sobie prawo do zmiany niniejszej Polityki prywatności w razie zmiany przepisów prawa, zmiany zakresu świadczonych usług, wprowadzenia nowych narzędzi lub dostawców, a także w razie konieczności doprecyzowania jej postanowień.
2. Aktualna wersja Polityki jest zawsze dostępna pod adresem https://www.kristoff.pl/polityka-prywatnosci. Data ostatniej aktualizacji wskazana jest na wstępie dokumentu.