Polityka prywatności i RODO

Wersja: 1.0
Data wejścia w życie: 2024-02-01
Data ostatniej aktualizacji: 2024-01-15

---

I. POSTANOWIENIA OGÓLNE

§ 1. Wprowadzenie

1. Niniejsza Polityka Prywatności określa zasady przetwarzania i ochrony danych osobowych uczestniczek wyjazdów organizowanych przez [NAZWA FIRMY] (dalej: "Organizator").

2. Polityka została opracowana zgodnie z:

   • Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO)
   • Ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000)
   • Ustawą z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną

3. Organizator przykłada szczególną wagę do ochrony prywatności uczestniczek i zapewnia bezpieczeństwo powierzonych danych osobowych.

---

II. ADMINISTRATOR DANYCH OSOBOWYCH

§ 2. Dane Administratora

1. Administratorem danych osobowych jest:

   • Nazwa: [NAZWA FIRMY]
   • Forma prawna: [FORMA PRAWNA]
   • NIP: [NIP]
   • REGON: [REGON]
   • Adres: [ADRES SIEDZIBY]
   • Email: [EMAIL KONTAKT]
   • Telefon: [TELEFON KONTAKT]

2. Z Administratorem można skontaktować się w sprawach dotyczących ochrony danych osobowych:

   • Email: [EMAIL KONTAKT]
   • Listownie: [ADRES SIEDZIBY]
   • Telefonicznie: [TELEFON KONTAKT]

§ 3. Inspektor Ochrony Danych (DPO)

1. Ze względu na skalę działalności Organizator nie jest zobowiązany do wyznaczenia Inspektora Ochrony Danych (DPO).

2. Wszystkie sprawy dotyczące ochrony danych osobowych można kierować bezpośrednio do Administratora na adres: [EMAIL KONTAKT]

---

III. ZAKRES I CEL PRZETWARZANIA DANYCH

§ 4. Kategorie przetwarzanych danych

Organizator przetwarza następujące kategorie danych osobowych:

1. Dane identyfikacyjne i kontaktowe:

   • Imię i nazwisko
   • Data urodzenia
   • Adres zamieszkania
   • Numer telefonu
   • Adres email
   • Numer paszportu

2. Dane dotyczące zdrowia (szczególne kategorie danych):

   • Informacje o chorobach przewlekłych
   • Alergie (pokarmowe, lekowe, inne)
   • Przyjmowane leki
   • Ograniczenia dietetyczne
   • Inne informacje medyczne istotne dla bezpieczeństwa

3. Dane finansowe:

   • Historia płatności
   • Dane do faktury (jeśli różne od danych osobowych)

4. Dane techniczne:

   • Adres IP
   • Dane z cookies
   • Dane lokalizacyjne (GPS) - za zgodą

5. Dane wizerunkowe:

   • Zdjęcia i nagrania wideo - za zgodą

§ 5. Cele przetwarzania danych

Dane osobowe przetwarzane są w następujących celach:

1. Wykonanie umowy o świadczenie usług turystycznych (art. 6 ust. 1 lit. b RODO):

   • Obsługa rezerwacji i zawieranie umów
   • Organizacja i realizacja wyjazdów do Japonii
   • Komunikacja z uczestniczkami
   • Zapewnienie bezpieczeństwa podczas wyjazdu
   • Obsługa reklamacji

2. Wypełnienie obowiązków prawnych (art. 6 ust. 1 lit. c RODO):

   • Wystawianie faktur i dokumentów księgowych
   • Archiwizacja dokumentów zgodnie z przepisami podatkowymi i rachunkowymi
   • Realizacja obowiązków wynikających z ustawy o imprezach turystycznych

3. Prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO):

   • Dochodzenie roszczeń i obrona przed roszczeniami
   • Analiza i statystyka wewnętrzna
   • Zapewnienie bezpieczeństwa IT

4. Zgoda (art. 6 ust. 1 lit. a RODO):

   • Marketing bezpośredni (newsletter, oferty)
   • Wykorzystanie wizerunku w materiałach promocyjnych
   • Geolokalizacja GPS (oznaczenia bagażu, bezpieczeństwo)

5. Przetwarzanie szczególnych kategorii danych - dane zdrowotne (art. 9 RODO):

5.1. Podstawy prawne (wielopodstawowość)

Organizator przetwarza dane zdrowotne na podstawie trzech podstaw prawnych stosowanych kumulatywnie w zależności od sytuacji:

a) Podstawa główna - wyraźna zgoda (art. 9 ust. 2 lit. a RODO):

• Zastosowanie: Rutynowe przetwarzanie danych zdrowotnych
• Forma: Wyraźna, dobrowolna, świadoma zgoda uczestniczki
• Cel: Zapewnienie bezpieczeństwa i odpowiednich warunków podczas wyjazdu
• Zakres: Alergie pokarmowe, potrzeby medyczne, choroby przewlekłe, przyjmowane leki
• Cofnięcie: Zgoda może być wycofana w dowolnym momencie (nie wpływa na zgodność wcześniejszego przetwarzania)
• Konsekwencje cofnięcia: Może uniemożliwić uczestnictwo w wyjeździe (brak możliwości zapewnienia bezpieczeństwa)

b) Podstawa pomocnicza - ochrona interesów żywotnych (art. 9 ust. 2 lit. c RODO):

• Zastosowanie: Sytuacje awaryjne zagrażające życiu lub zdrowiu
• Warunek: Osoba jest fizycznie lub prawnie niezdolna do wyrażenia zgody
• Przykłady:
  • Przekazanie informacji o alergii na leki służbom medycznym w Japonii w sytuacji nagłej
  • Podanie informacji o chorobie przewlekłej lekarzowi w szpitalu (nieprzytomność)
  • Kontakt z rodziną w sytuacji zagrożenia życia
• Ograniczenie: Tylko dane niezbędne do ochrony życia/zdrowia

c) Podstawa dodatkowa - medycyna pracy/bezpieczeństwo (art. 9 ust. 2 lit. h RODO):

• Zastosowanie: Ocena zdolności do uczestnictwa w aktywności fizycznej
• Przykłady:
  • Ocena czy uczestniczka może uczestniczyć w trekkingu górskim
  • Ocena czy stan zdrowia pozwala na długie spacery (10-15 km dziennie)
  • Ocena czy uczestniczka może korzystać z onsen (gorące źródła)
• Ograniczenie: Tylko w zakresie niezbędnym do oceny zdolności

5.2. Katalog przetwarzanych danych zdrowotnych

a) Alergie:

• Alergie pokarmowe (np. orzechy, owoce morza, gluten, laktoza)
• Alergie lekowe (np. penicylina, aspiryna)
• Alergie środowiskowe (np. pyłki, kurz, zwierzęta)
• Inne alergie (np. lateks, metale)

b) Choroby przewlekłe:

• Cukrzyca (typ, leczenie)
• Nadciśnienie tętnicze
• Astma
• Choroby serca
• Inne choroby wymagające stałego leczenia

c) Przyjmowane leki:

• Nazwa leku (substancja czynna)
• Dawka
• Częstotliwość przyjmowania
• Przeciwwskazania i interakcje

d) Ograniczenia fizyczne:

• Ograniczenia mobilności (np. problemy z kolanami, plecami)
• Ograniczenia dietetyczne (np. dieta cukrzycowa, bezglutenowa)
• Ograniczenia aktywności (np. zakaz intensywnego wysiłku)

e) Kontakt awaryjny medyczny:

• Imię i nazwisko osoby kontaktowej
• Numer telefonu (dostępny 24/7)
• Związek z uczestniczką (np. mąż, córka, lekarz rodzinny)

5.3. Szczególne zabezpieczenia danych zdrowotnych

Środki techniczne:

• Szyfrowanie: AES-256 w spoczynku i TLS 1.3 w transmisji
• Oddzielny system: Dane zdrowotne przechowywane w oddzielnej, zabezpieczonej bazie danych
• Kontrola dostępu: Uwierzytelnianie dwuskładnikowe (2FA) dla dostępu
• Logowanie: Każdy dostęp do danych zdrowotnych jest logowany (kto, kiedy, jakie dane)
• Backup: Zaszyfrowane kopie zapasowe w oddzielnej lokalizacji

Środki organizacyjne:

• Ograniczony dostęp: Tylko upoważnione osoby (przewodnik główny, osoba kontaktowa 24/7, administrator danych)
• Umowy NDA: Wszystkie osoby z dostępem podpisują umowy o zachowaniu poufności
• Szkolenia: Regularne szkolenia z ochrony danych zdrowotnych
• Procedury: Szczegółowe procedury dostępu, przetwarzania i usuwania danych

Minimalizacja i pseudonimizacja:

• Transfer do Japonii: Tylko niezbędne dane (np. alergie pokarmowe do restauracji)
• Pseudonimizacja: Tam gdzie możliwe (np. "uczestniczka nr 3 - alergia na orzechy" zamiast imienia)
• Ograniczenie czasu: Dane przechowywane tylko przez okres niezbędny (6 lat zgodnie z przepisami księgowymi)
• Automatyczne usuwanie: Po upływie okresu retencji dane są automatycznie i trwale usuwane

5.4. Przekazywanie danych zdrowotnych do Japonii

Odbiorcy w Japonii:

• Restauracje: Tylko alergie pokarmowe (pseudonimizowane gdzie możliwe)
• Hotele/ryokany: Tylko preferencje dietetyczne (bez szczegółów medycznych)
• Przewodnicy lokalni: Tylko informacje niezbędne do bezpieczeństwa (za zgodą)
• Służby medyczne: Tylko w sytuacjach awaryjnych (art. 9 ust. 2 lit. c)

Podstawa transferu:

• SCC 2021 + TIA + środki uzupełniające (jak opisano w § 8)
• W sytuacjach awaryjnych: art. 49 ust. 1 lit. f (ochrona interesów żywotnych)

Język: Dane przekazywane w języku angielskim lub japońskim (tłumaczenie przez Organizatora)

5.5. Prawa uczestniczki dotyczące danych zdrowotnych

Wszystkie prawa z art. 15-22 RODO, w szczególności:

• Dostęp: Prawo do kopii wszystkich przetwarzanych danych zdrowotnych
• Sprostowanie: Prawo do poprawienia nieprawidłowych danych (np. aktualizacja leków)
• Usunięcie: Prawo do usunięcia danych (z ograniczeniami wynikającymi z przepisów księgowych)
• Ograniczenie: Prawo do ograniczenia przetwarzania (np. tylko do celów archiwizacyjnych)
• Cofnięcie zgody: W każdej chwili, bez podania przyczyny

Realizacja praw: Email [EMAIL_KONTAKT], odpowiedź w ciągu 30 dni

[Podstawa prawna: art. 9 ust. 2 lit. a, c, h RODO; art. 25-32 RODO (bezpieczeństwo); Wytyczne EDPB 03/2020 w sprawie przetwarzania danych zdrowotnych]

---

IV. PODSTAWY PRAWNE PRZETWARZANIA

§ 6. Podstawy prawne

1. Dane osobowe przetwarzane są na podstawie:

   • Art. 6 ust. 1 lit. b RODO - wykonanie umowy
   • Art. 6 ust. 1 lit. c RODO - obowiązek prawny
   • Art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes
   • Art. 6 ust. 1 lit. a RODO - zgoda (marketing, wizerunek, geolokalizacja)
   • Art. 9 ust. 2 lit. a RODO - wyraźna zgoda (dane zdrowotne)

2. Podanie danych osobowych jest:

   • Dobrowolne, ale niezbędne do zawarcia i wykonania umowy
   • Brak podania danych uniemożliwia zawarcie umowy i uczestnictwo w wyjeździe

3. Zgoda na przetwarzanie danych może być w każdej chwili wycofana, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

---

V. ODBIORCY DANYCH OSOBOWYCH

§ 7. Kategorie odbiorców danych

Dane osobowe mogą być przekazywane następującym kategoriom odbiorców:

1. Podmioty świadczące usługi na rzecz Organizatora:

   • Biuro rachunkowe
   • Kancelaria prawna
   • Dostawcy systemów IT i hostingu
   • Operatorzy płatności (PayPro, banki)

2. Podmioty realizujące usługi turystyczne:

   • Przewoźnicy lotniczy
   • Hotele, ryokany i inne obiekty noclegowe w Japonii
   • Restauracje i punkty gastronomiczne
   • Lokalni przewodnicy i agencje turystyczne w Japonii
   • Firmy transportowe (autobusy, koleje)

3. Ubezpieczyciele:

   • Towarzystwa ubezpieczeniowe (gwarancja turystyczna, OC, ubezpieczenie uczestniczek)

4. Organy publiczne:

   • Urząd Skarbowy
   • Marszałek Województwa (rejestr organizatorów turystyki)
   • Inne organy na podstawie przepisów prawa

§ 8. Transfer danych do państw trzecich

⚠️ UWAGA PRAWNA - KRYTYCZNA KOREKTA:

1. Transfer danych do Japonii:

   • Dane osobowe uczestniczek są przekazywane do Japonii w celu realizacji usług turystycznych (hotele, restauracje, przewoźnicy, przewodnicy lokalni)
   • Japonia NIE posiada aktualnie decyzji adekwatności Komisji Europejskiej
   • Transfer odbywa się na podstawie Standardowych Klauzul Umownych (SCC 2021) zatwierdzonych decyzją wykonawczą Komisji (UE) 2021/914

2. Podstawy prawne transferu:

   a) Standardowe Klauzule Umowne (SCC 2021):

   • Organizator zawiera umowy z odbiorcami danych w Japonii zawierające SCC 2021
   • Moduł: Kontroler do Podmiotu Przetwarzającego (Module 2) lub Kontroler do Kontrolera (Module 1)
   • Wersja: Decyzja wykonawcza Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r.

   b) Transfer Impact Assessment (TIA):

   • Organizator przeprowadził ocenę wpływu transferu na prawa i wolności osób, których dane dotyczą
   • Ocena uwzględnia prawo japońskie i praktyki dostępu organów publicznych do danych
   • Wynik: Transfer możliwy przy zastosowaniu środków uzupełniających

   c) Środki uzupełniające:

   • Minimalizacja danych - przekazywane są tylko dane niezbędne do realizacji usługi
   • Szyfrowanie danych w tranzycie (TLS 1.3)
   • Pseudonimizacja danych wrażliwych (dane zdrowotne) tam gdzie możliwe
   • Ograniczenie czasu przechowywania danych przez odbiorców japońskich
   • Zobowiązania umowne odbiorców do ochrony danych zgodnie z RODO

   d) Wyjątek art. 49 ust. 1 lit. b RODO (pomocniczo):

   • Transfer niezbędny do wykonania umowy zawartej między osobą, której dane dotyczą, a administratorem
   • Zastosowanie tylko w przypadkach, gdy SCC nie są możliwe do wdrożenia

3. Odbiorcy danych w Japonii:

   a) Preferowane: Platformy pośredniczące z siedzibą w UE/EOG:

   • Organizator priorytetowo korzysta z platform rezerwacyjnych posiadających siedzibę w UE/EOG lub stosujących SCC (np. Booking.com, Agoda, Airbnb, GetYourGuide)
   • Platformy te działają jako pośrednicy i posiadają własne umowy SCC z dostawcami usług w Japonii
   • Transfer danych odbywa się przez platformę, która zapewnia zgodność z RODO
   • Organizator weryfikuje, że platforma posiada odpowiednie zabezpieczenia prawne (SCC, BCR, lub decyzja adekwatności dla kraju siedziby platformy)

   b) Bezpośrednie umowy z dostawcami japońskimi (gdy platformy niedostępne):

   • Hotele i ryokany (rezerwacje, zakwaterowanie) - SCC wymagane
   • Restauracje (rezerwacje, preferencje dietetyczne, alergie) - SCC lub art. 49
   • Przewoźnicy (koleje, autobusy, taksówki) - art. 49 ust. 1 lit. b
   • Lokalni przewodnicy i agencje turystyczne - SCC wymagane
   • Punkty sprzedaży (karty ICOCA, eSIM) - art. 49 ust. 1 lit. b

4. Zakres przekazywanych danych (minimalizacja):

   • Imię i nazwisko (niezbędne)
   • Data urodzenia (tylko jeśli wymagana przez odbiorcę)
   • Preferencje dietetyczne i alergie (restauracje) - pseudonimizowane gdzie możliwe
   • Numer paszportu (hotele, przewoźnicy - tylko jeśli wymagane prawem japońskim)

5. Prawa uczestniczek:

   • Uczestniczka ma prawo uzyskać kopię SCC stosowanych przez Organizatora
   • Uczestniczka ma prawo do informacji o wynikach TIA
   • Uczestniczka może wnieść sprzeciw wobec transferu (co może uniemożliwić uczestnictwo w wyjeździe)

6. Zobowiązania Organizatora:

   • Organizator priorytetowo korzysta z platform pośredniczących z siedzibą w UE/EOG lub stosujących SCC
   • Organizator weryfikuje, że platformy posiadają odpowiednie zabezpieczenia prawne przed dokonaniem rezerwacji
   • W przypadku bezpośrednich umów z dostawcami japońskimi, Organizator regularnie monitoruje zgodność z SCC
   • Organizator aktualizuje TIA przy zmianach w prawie japońskim
   • Organizator zawiadamia uczestniczki o wszelkich naruszeniach danych przez odbiorców japońskich w terminie 72 godzin

7. Dokumentacja platform pośredniczących:

   • Organizator prowadzi rejestr platform pośredniczących używanych do rezerwacji
   • Rejestr zawiera: nazwę platformy, siedzibę, podstawę prawną transferu (SCC/BCR/decyzja adekwatności)
   • Organizator przechowuje kopie polityk prywatności platform i dokumentacji SCC (jeśli dostępne)

[Podstawa prawna: art. 44-49 RODO, Decyzja wykonawcza Komisji (UE) 2021/914, Wytyczne EDPB 2/2018 w sprawie odstępstw art. 49]

⚠️ REKOMENDACJA: Organizator powinien niezwłocznie skonsultować się z radcą prawnym specjalizującym się w RODO w celu:

• Wdrożenia procedur weryfikacji platform pośredniczących
• Przeprowadzenia formalnego Transfer Impact Assessment (TIA) dla bezpośrednich transferów
• Wdrożenia SCC 2021 z kluczowymi partnerami w Japonii (gdy platformy niedostępne)
• Udokumentowania środków uzupełniających
• Przeglądu wszystkich umów z odbiorcami japońskimi

---

VI. OKRES PRZECHOWYWANIA DANYCH

§ 9. Czas przechowywania

1. Dane osobowe przechowywane są przez okres niezbędny do realizacji celów, dla których zostały zebrane:

   a) Dane związane z wykonaniem umowy:

   • Przez czas trwania umowy oraz przez okres przedawnienia roszczeń (6 lat od końca roku, w którym zakończono świadczenie usługi)

   b) Dane księgowe i podatkowe:

   • 6 lat od końca roku, w którym powstał obowiązek podatkowy (zgodnie z ustawą o rachunkowości i ordynacją podatkową)

   c) Dane przetwarzane na podstawie zgody:

   • Do momentu wycofania zgody lub osiągnięcia celu, dla którego zgoda została udzielona

   d) Dane marketingowe:

   • Do momentu wycofania zgody lub wniesienia sprzeciwu

   e) Dane wizerunkowe:

   • Do momentu wycofania zgody

2. Po upływie okresu przechowywania dane osobowe są trwale usuwane lub anonimizowane.

---

VII. PRAWA OSÓB, KTÓRYCH DANE DOTYCZĄ

§ 10. Katalog praw

Uczestniczka ma prawo do:

1. Dostępu do danych (art. 15 RODO):

   • Uzyskania informacji, czy dane są przetwarzane
   • Uzyskania kopii danych

2. Sprostowania danych (art. 16 RODO):

   • Poprawienia nieprawidłowych danych
   • Uzupełnienia niekompletnych danych

3. Usunięcia danych - "prawo do bycia zapomnianym" (art. 17 RODO):

   • Jeśli dane nie są już niezbędne do celów, dla których zostały zebrane
   • Jeśli zgoda została wycofana
   • Jeśli dane były przetwarzane niezgodnie z prawem
   • UWAGA: Prawo to nie ma zastosowania, jeśli przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego (np. archiwizacja dokumentów księgowych)

4. Ograniczenia przetwarzania (art. 18 RODO):

   • W przypadku kwestionowania prawidłowości danych
   • W przypadku wniesienia sprzeciwu wobec przetwarzania

5. Przenoszenia danych (art. 20 RODO):

   • Otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie
   • Przesłania danych innemu administratorowi

6. Sprzeciwu wobec przetwarzania (art. 21 RODO):

   • W przypadku przetwarzania na podstawie prawnie uzasadnionego interesu
   • W przypadku marketingu bezpośredniego

7. Cofnięcia zgody (art. 7 ust. 3 RODO):

   • W każdej chwili, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem

8. Wniesienia skargi do organu nadzorczego (art. 77 RODO):

   • Urząd Ochrony Danych Osobowych (UODO)
   • Adres: ul. Stawki 2, 00-193 Warszawa
   • Email: kancelaria@uodo.gov.pl
   • Telefon: 22 531 03 00

§ 11. Realizacja praw

1. W celu realizacji swoich praw Uczestniczka powinna skontaktować się z Administratorem:

   • Email: [EMAIL KONTAKT]
   • Listownie: [ADRES SIEDZIBY]

2. Administrator odpowiada na żądanie bez zbędnej zwłoki, nie później niż w ciągu miesiąca od otrzymania żądania.

3. W przypadku skomplikowanych żądań termin może zostać przedłużony o kolejne 2 miesiące, o czym Uczestniczka zostanie poinformowana.

---

VIII. BEZPIECZEŃSTWO DANYCH

§ 12. Środki bezpieczeństwa

1. Organizator stosuje odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych:

   a) Środki techniczne:

   • Szyfrowanie danych (SSL/TLS)
   • Zabezpieczenia serwerów i baz danych
   • Regularne kopie zapasowe
   • Oprogramowanie antywirusowe i firewall
   • Kontrola dostępu (hasła, uwierzytelnianie dwuskładnikowe)

   b) Środki organizacyjne:

   • Polityki i procedury ochrony danych
   • Szkolenia pracowników
   • Umowy powierzenia przetwarzania danych z podmiotami zewnętrznymi
   • Kontrola dostępu do danych (zasada "need to know")
   • Procedury zgłaszania naruszeń

2. Dostęp do danych osobowych mają wyłącznie osoby upoważnione, zobowiązane do zachowania poufności.

§ 13. Naruszenie ochrony danych - Procedury szczegółowe

⚠️ UWAGA: Niniejsza sekcja zawiera szczegółowe procedury zgodne z art. 33-34 RODO.

13.1. Definicja naruszenia

Naruszenie ochrony danych osobowych oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem:

• Zniszczenia danych
• Utracenia danych
• Zmiany danych
• Nieuprawnionego ujawnienia danych
• Nieuprawnionego dostępu do danych

Przykłady naruszeń:

• Utrata laptopa z danymi uczestniczek
• Wysłanie emaila z danymi do niewłaściwego odbiorcy
• Atak hakerski na system
• Kradzież dokumentów zawierających dane osobowe
• Nieautoryzowany dostęp pracownika do danych

13.2. Procedura wewnętrzna (0-24h od wykrycia)

Krok 1: Wykrycie i zgłoszenie

• Każdy pracownik/współpracownik, który wykryje lub podejrzywa naruszenie, natychmiast zgłasza je do osoby odpowiedzialnej
• Osoba odpowiedzialna: [EMAIL_ODPOWIEDZIALNY]
• Formularz zgłoszenia: GDPR_BREACH_001
• Kanały zgłoszenia: email, telefon, osobiście

Krok 2: Wstępna ocena (do 6h)

• Osoba odpowiedzialna przeprowadza wstępną ocenę naruszenia
• Dokumentacja: data, czas, okoliczności, zakres danych
• Klasyfikacja ryzyka według matrycy:
  • Niskie: Dane niezaszyfrowane, ale bez danych wrażliwych
  • Średnie: Dane wrażliwe, ale ograniczony zakres
  • Wysokie: Dane wrażliwe, szeroki zakres, potencjalne szkody
  • Krytyczne: Dane zdrowotne/finansowe, masowe ujawnienie

Krok 3: Działania naprawcze (do 24h)

• Zatrzymanie naruszenia (np. zmiana haseł, odcięcie dostępu)
• Zabezpieczenie dowodów
• Ocena skali naruszenia (liczba osób, kategorie danych)
• Ocena potencjalnych konsekwencji dla osób

13.3. Zgłoszenie do UODO (24-72h)

Warunek zgłoszenia: Naruszenie prawdopodobnie stwarza ryzyko dla praw i wolności osób fizycznych.

Termin: Najpóźniej 72 godziny od wykrycia naruszenia (art. 33 ust. 1 RODO)

Metoda zgłoszenia:

• Portal edukacyjny UODO: https://www.uodo.gov.pl
• Formularz elektroniczny na stronie UODO
• W wyjątkowych przypadkach: email, poczta

Osoba odpowiedzialna za zgłoszenie: Administrator danych / Osoba wyznaczona

Zawartość zgłoszenia (art. 33 ust. 3 RODO):

1. Opis charakteru naruszenia:
   • Kategorie i przybliżona liczba osób, których dane dotyczą
   • Kategorie i przybliżona liczba wpisów danych osobowych
2. Dane kontaktowe osoby odpowiedzialnej
3. Opis prawdopodobnych konsekwencji naruszenia
4. Opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu

Jeśli zgłoszenie po 72h:

• Należy podać uzasadnienie opóźnienia
• Zgłoszenie nadal obowiązkowe

13.4. Powiadomienie osób, których dane dotyczą (do 72h)

Warunek powiadomienia: Naruszenie stwarza wysokie ryzyko dla praw i wolności osób fizycznych.

Kryteria wysokiego ryzyka:

• Dane zdrowotne, finansowe, biometryczne
• Dane mogące prowadzić do dyskryminacji
• Kradzież tożsamości
• Straty finansowe
• Szkody na reputacji

Termin: Bez zbędnej zwłoki (art. 34 ust. 1 RODO)

Kanały powiadomienia:

1. Email (preferowany)
2. SMS (jeśli brak emaila)
3. Poczta tradycyjna (jeśli brak kontaktu elektronicznego)
4. Komunikat publiczny (jeśli niemożliwy kontakt indywidualny)

Zawartość powiadomienia (art. 34 ust. 2 RODO):

1. Opis charakteru naruszenia w jasnym i prostym języku
2. Dane kontaktowe osoby odpowiedzialnej
3. Opis prawdopodobnych konsekwencji naruszenia
4. Opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu
5. Zalecenia dla osoby: co powinna zrobić (np. zmiana hasła, monitorowanie konta)

Szablon powiadomienia: BREACH_NOTIFY_001

Wyjątki od obowiązku powiadomienia (art. 34 ust. 3 RODO):

• Dane były zaszyfrowane (klucz nie został skompromitowany)
• Zastosowano środki techniczne/organizacyjne eliminujące wysokie ryzyko
• Powiadomienie wymagałoby niewspółmiernie dużego wysiłku (wtedy: komunikat publiczny)

13.5. Rejestr naruszeń

Obowiązek prowadzenia rejestru: TAK (art. 33 ust. 5 RODO)

Zawartość rejestru:

• Data i czas wykrycia naruszenia
• Okoliczności naruszenia
• Skutki naruszenia
• Podjęte działania naprawcze
• Czy zgłoszono do UODO (data, numer zgłoszenia)
• Czy powiadomiono osoby (data, sposób)

Dostępność rejestru:

• Dostępny dla UODO na żądanie
• Przechowywany przez minimum 6 lat
• Przegląd rejestru co 3 miesiące

Analiza przyczyn:

• Identyfikacja przyczyn źródłowych
• Wdrożenie środków zapobiegawczych
• Aktualizacja procedur bezpieczeństwa

13.6. Zgłaszanie przez uczestniczki

Jak zgłosić podejrzenie naruszenia:

1. Email: [EMAIL_KONTAKT]
2. Telefon: [TELEFON_KONTAKT]
3. Formularz na stronie: [STRONA_WWW]/zglos-naruszenie

Co zgłosić:

• Opis sytuacji (co się stało, kiedy, gdzie)
• Jakie dane mogły zostać naruszone
• Czy zauważono podejrzane aktywności
• Kontakt zwrotny

Potwierdzenie zgłoszenia:

• Organizator potwierdza otrzymanie zgłoszenia w ciągu 24h
• Informuje o podjętych działaniach w ciągu 72h

[Podstawa prawna: art. 33-34 RODO, art. 33 ust. 5 RODO (rejestr), Wytyczne EDPB 01/2021 w sprawie przykładów naruszeń]

---

IX. GEOLOKALIZACJA I URZĄDZENIA MOBILNE

§ 14. Przetwarzanie danych lokalizacyjnych

14.1. GPS i śledzenie lokalizacji

Zastosowanie: Tylko w sytuacjach awaryjnych

Podstawa prawna: Wyraźna zgoda (art. 6 ust. 1 lit. a RODO)

Cel przetwarzania:

• Lokalizacja uczestniczki w sytuacji zagubienia
• Koordynacja ewakuacji w sytuacji zagrożenia (trzęsienie ziemi, tajfun)
• Pomoc w sytuacji medycznej (wezwanie pomocy na dokładną lokalizację)

Zakres danych:

• Współrzędne GPS (szerokość, długość geograficzna)
• Znacznik czasu (data i godzina)
• Identyfikator urządzenia (pseudonimizowany)

Okres przechowywania: Maksymalnie 72 godziny po zakończeniu wyjazdu

Zabezpieczenia:

• Szyfrowanie end-to-end
• Dostęp tylko dla przewodnika głównego i osoby kontaktowej 24/7
• Automatyczne usuwanie po 72h
• Brak udostępniania innym uczestniczkom

Cofnięcie zgody:

• Możliwe w każdej chwili przez wyłączenie funkcji w aplikacji
• Konsekwencje: Ograniczona możliwość pomocy w sytuacji awaryjnej

[Podstawa prawna: art. 6 ust. 1 lit. a RODO, art. 7 RODO (zgoda)]

14.2. Oznaczenia bagażu (AirTags, SmartTags)

Status: Opcjonalne, na życzenie uczestniczki

Administrator danych: Uczestniczka (nie Organizator)

• Uczestniczka jest kontrolerem danych z własnych oznaczeń bagażu
• Organizator nie ma dostępu do danych lokalizacyjnych z oznaczeń

Obowiązek informacyjny:

• Uczestniczka powinna zapoznać się z polityką prywatności producenta (Apple, Samsung)
• Organizator informuje o wymogach prawnych w Japonii dotyczących oznaczeń

Zalecenia Organizatora:

• Używanie oznaczeń zgodnych z prawem japońskim
• Wyłączenie funkcji śledzenia po zakończeniu wyjazdu
• Zabezpieczenie oznaczeń hasłem/PIN

[Podstawa prawna: art. 4 pkt 7 RODO (kontroler), Wytyczne EDPB 05/2020 w sprawie zgody]

14.3. Aplikacja mobilna "Nihonika"

Status: Opcjonalna (zalecana)

Funkcje aplikacji:

• Harmonogram wyjazdu (offline)
• Mapy offline
• Informacje o miejscach
• Czat grupowy (szyfrowany)
• Kontakt SOS 24/7
• Opcjonalnie: udostępnianie lokalizacji (za zgodą)

Uprawnienia aplikacji (granularne):

• Wymagane:
  • Dostęp do internetu (synchronizacja)
  • Powiadomienia push (alerty)
• Opcjonalne (za zgodą):
  • Lokalizacja (tylko w sytuacjach awaryjnych)
  • Aparat (skanowanie QR kodów)
  • Kontakty (import kontaktów awaryjnych)

Tryb offline:

• Aplikacja działa w trybie offline (mapy, harmonogram)
• Synchronizacja tylko gdy uczestniczka włączy internet

Dane przetwarzane przez aplikację:

• Identyfikator urządzenia (pseudonimizowany)
• Wersja systemu operacyjnego
• Logi błędów (anonimowe)
• Opcjonalnie: lokalizacja (za zgodą)

Okres przechowywania: 30 dni po zakończeniu wyjazdu

Usunięcie danych: Automatyczne po odinstalowaniu aplikacji lub na żądanie

[Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda na opcjonalne uprawnienia), art. 25 RODO (privacy by design)]

14.4. Kontakty awaryjne

Przechowywanie:

• Kontakty awaryjne przechowywane lokalnie na urządzeniu uczestniczki
• Zaszyfrowana kopia w systemie Organizatora (dostęp tylko w sytuacji awaryjnej)

Dostępność: 24/7, nawet bez internetu

Backup lokalny: Zalecany (zapis kontaktów w telefonie, wydruk papierowy)

Zabezpieczenia:

• Szyfrowanie AES-256
• Dostęp tylko dla upoważnionych osób
• Automatyczne usuwanie po 90 dniach od zakończenia wyjazdu

[Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes - bezpieczeństwo)]

---

X. COOKIES I TECHNOLOGIE ŚLEDZĄCE

§ 15. Pliki cookies

15.1. Rodzaje cookies

a) Cookies niezbędne (nie wymagają zgody):

• Zarządzanie sesją użytkownika
• Bezpieczeństwo (CSRF tokens)
• Zapamiętywanie wyboru języka
• Koszyk zakupowy (jeśli dotyczy)

b) Cookies funkcjonalne (wymagają zgody):

• Zapamiętywanie preferencji użytkownika
• Wybór języka interfejsu
• Ustawienia wyświetlania

c) Cookies analityczne:

• Google Analytics: NIE (domyślnie wyłączone)
• Statystyki wewnętrzne: TAK (anonimowe, bez identyfikacji użytkownika)

d) Cookies marketingowe (wymagają zgody):

• Remarketing: NIE (domyślnie wyłączone)
• Social media tracking: NIE (domyślnie wyłączone)

15.2. Zarządzanie cookies

Zgoda na cookies:

• Banner cookies przy pierwszej wizycie
• Możliwość szczegółowego wyboru kategorii
• Możliwość zmiany zgody w każdej chwili

Ustawienia przeglądarki:

• Blokowanie wszystkich cookies
• Usuwanie cookies
• Powiadomienia o cookies

Konsekwencje wyłączenia:

• Cookies niezbędne: Strona może nie działać prawidłowo
• Cookies funkcjonalne: Utrata preferencji
• Cookies analityczne: Brak wpływu na funkcjonalność
• Cookies marketingowe: Brak wpływu na funkcjonalność

[Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda), Dyrektywa ePrivacy 2002/58/WE]

§ 15. Geolokalizacja

1. Organizator może wykorzystywać dane lokalizacyjne (GPS) w celu:

   • Oznaczenia bagażu (tracking w przypadku zgubienia)
   • Zapewnienia bezpieczeństwa uczestniczek w sytuacjach awaryjnych

2. Geolokalizacja wymaga wyraźnej zgody uczestniczki.

3. Dane lokalizacyjne nie są udostępniane osobom trzecim (z wyjątkiem sytuacji awaryjnych).

---

X. MARKETING

§ 16. Newsletter i komunikacja marketingowa

1. Organizator może wysyłać informacje marketingowe (newsletter, oferty) wyłącznie za zgodą uczestniczki.

2. Zgoda może być wycofana w każdej chwili poprzez:

   • Link "wypisz się" w wiadomości email
   • Email na adres: [EMAIL KONTAKT]
   • Kontakt telefoniczny: [TELEFON KONTAKT]

3. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

§ 17. Wykorzystanie wizerunku

1. Organizator może dokumentować wyjazdy w formie zdjęć i nagrań wideo.

2. Wykorzystanie wizerunku uczestniczek w materiałach marketingowych (strona www, social media, materiały drukowane) wymaga odrębnej zgody.

3. Zgoda na wykorzystanie wizerunku może być wycofana w każdej chwili.

4. Po wycofaniu zgody Organizator zaprzestaje dalszego wykorzystywania wizerunku (z zastrzeżeniem materiałów już opublikowanych, które zostaną usunięte w rozsądnym terminie).

---

XI. ZMIANY POLITYKI PRYWATNOŚCI

§ 18. Aktualizacje

1. Organizator zastrzega sobie prawo do zmiany Polityki Prywatności.

2. O zmianach Organizator informuje poprzez:

   • Publikację nowej wersji na stronie internetowej
   • Email do uczestniczek (jeśli zmiany są istotne)

3. Zmiany wchodzą w życie z datą wskazaną w zaktualizowanej Polityce.

4. Aktualna wersja Polityki Prywatności dostępna jest na stronie: [STRONA WWW]

---

XII. POSTANOWIENIA KOŃCOWE

§ 19. Kontakt

W sprawach dotyczących ochrony danych osobowych prosimy o kontakt:

Administrator danych:
[NAZWA FIRMY]
[ADRES SIEDZIBY]
Email: [EMAIL KONTAKT]
Tel: [TELEFON KONTAKT]

Urząd Ochrony Danych Osobowych (UODO):
ul. Stawki 2, 00-193 Warszawa
Email: kancelaria@uodo.gov.pl
Tel: 22 531 03 00
Strona: https://uodo.gov.pl

§ 20. Obowiązywanie

1. Niniejsza Polityka Prywatności wchodzi w życie z dniem 2024-02-01.

2. Polityka stanowi integralną część Regulaminu świadczenia usług turystycznych.

---

SŁOWNICZEK

• Administrator danych - podmiot decydujący o celach i sposobach przetwarzania danych osobowych (Organizator)
• RODO - Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
• Dane osobowe - informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej
• Przetwarzanie - operacje na danych osobowych (zbieranie, przechowywanie, wykorzystywanie, usuwanie)
• Zgoda - dobrowolne, konkretne, świadome i jednoznaczne okazanie woli
• Szczególne kategorie danych - dane wrażliwe (np. dane o zdrowiu)
• Cookies - małe pliki tekstowe zapisywane na urządzeniu użytkownika

---

ZASTRZEŻENIE:
Niniejszy dokument stanowi materiał informacyjny i nie stanowi porady prawnej. Zalecana jest weryfikacja przez radcę prawnego lub adwokata przed wdrożeniem.

---

Koniec dokumentu
Wygenerowano: 2024-01-15
Wersja: 1.0