Polityka prywatności platformy Soverano LEXA

1. Administrator danych i kontakt

Administratorem danych osobowych przetwarzanych w związku z prowadzeniem Platformy jest Soverano Sp. z o.o. z siedzibą w Łodzi, ul. Juliana Tuwima 48/11, 90-021 Łódź, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0001143501, NIP 8133917812, REGON 529329712 (dalej: „Administrator”).

Administrator nie wyznaczył inspektora ochrony danych. We wszystkich sprawach dotyczących przetwarzania danych osobowych, w tym realizacji praw opisanych w pkt 9, można kontaktować się z Administratorem:

• pocztą elektroniczną, pod adresem kontakt@soverano.pl;
• listownie, na adres: Soverano Sp. z o.o., ul. Juliana Tuwima 48/11, 90-021 Łódź.

2. Kto odpowiada za dane: role podmiotów na Platformie

Z Platformy korzystają różne podmioty, które przetwarzają dane w różnych celach. Za poszczególne operacje odpowiadają:

• Administrator (Soverano Sp. z o.o.): za dane przetwarzane w związku z prowadzeniem Platformy, w szczególności za zakładanie i prowadzenie Kont, logowanie i bezpieczeństwo, program LEXA punktów, stronę weryfikacji certyfikatów, przypomnienia i powiadomienia, korespondencję z Administratorem oraz przetwarzanie na podstawie zgód udzielonych Administratorowi;
• Dostawca usług (organizator szkolenia): jako odrębny administrator, za dane przetwarzane w związku ze szkoleniem, które organizuje, w tym za przyjęcie zapisu, zawarcie i wykonanie umowy o udział w szkoleniu, listy obecności, walidację, wystawienie certyfikatu, dostosowanie szkolenia do szczególnych potrzeb oraz rozliczenie szkolenia, również wobec operatorów i instytucji finansujących; nazwa Dostawcy usług jest podana w opisie szkolenia;
• Uczestnik instytucjonalny (np. pracodawca): za dane swoich pracowników i współpracowników, które wprowadza do Platformy w celu zgłoszenia ich na szkolenia, w tym za podstawę prawną ich przekazania i poinformowanie tych osób;
• operatorzy i instytucje publiczne (np. Polska Agencja Rozwoju Przedsiębiorczości, operatorzy regionalni): jako odrębni administratorzy, za dane przekazane im w związku z dofinansowaniem, na zasadach określonych w ich klauzulach informacyjnych.

W zakresie, w jakim Dostawca usług korzysta z narzędzi Platformy do obsługi własnych szkoleń (np. list obecności, walidacji, certyfikatów lub modułu CRM), Administrator przetwarza dane na polecenie Dostawcy usług jako podmiot przetwarzający, na podstawie umowy powierzenia przetwarzania danych (art. 28 RODO). Jeżeli w określonym zakresie Administrator i Dostawca usług wspólnie ustalają cele i sposoby przetwarzania, są współadministratorami (art. 26 RODO), a zasadnicza treść ich uzgodnień jest udostępniana na żądanie.

Jeżeli szkolenie organizuje Soverano Sp. z o.o., jest ona administratorem danych zarówno jako operator Platformy, jak i jako Dostawca usług.

Trenerzy przetwarzają dane uczestników szkolenia w imieniu Dostawcy usług, który ich zaangażował, wyłącznie w zakresie potrzebnym do przeprowadzenia szkolenia.

Niezależnie od tego, który podmiot jest administratorem, może Pani/Pan kierować żądania dotyczące danych na adres kontakt@soverano.pl. Żądanie dotyczące przetwarzania, za które odpowiada inny podmiot, Administrator niezwłocznie przekaże temu podmiotowi i poinformuje o tym Panią/Pana.

3. Zakres i źródła danych

Zakres przetwarzanych danych zależy od rodzaju Konta oraz funkcji, z których Pani/Pan korzysta. Mogą to być:

• dane identyfikacyjne i kontaktowe: imię, nazwisko, adres e-mail, numer telefonu;
• numer PESEL, adres zamieszkania oraz adres zameldowania (jeżeli jest inny niż adres zamieszkania), w zakresie potrzebnym do jednoznacznej identyfikacji Uczestnika i dokumentowania szkoleń, w szczególności dofinansowanych;
• informacje o statusie na rynku pracy (osoba pracująca, bezrobotna albo bierna zawodowo), a w przypadku osoby pracującej także nazwa pracodawcy;
• informacje o szczególnych potrzebach (np. osoba niewidoma lub słabowidząca, osoba głucha lub słabosłysząca, osoba z niepełnosprawnością ruchową, potrzeba tłumacza języka migowego lub inna potrzeba wraz z opisem), podawane dobrowolnie na podstawie wyraźnej zgody (pkt 5);
• dane Uczestnika instytucjonalnego: nazwa, NIP, REGON, wielkość przedsiębiorstwa, adres, województwo i kod PKD oraz dane Administratora firmy; dane przedsiębiorcy mogą stanowić dane osobowe, w szczególności w przypadku jednoosobowej działalności gospodarczej;
• dane dotyczące dofinansowania: przesłane dokumenty (np. umowa wsparcia zawarta z operatorem) oraz odczytane z nich informacje: numer umowy, wartość wsparcia i województwo operatora;
• dane dotyczące udziału w szkoleniach: zapisy, zgłoszenia i rezygnacje, obecności, odpowiedzi, wyniki i protokoły walidacji, certyfikaty, oceny i referencje, stan i historia LEXA punktów;
• dane Trenerów: imię, nazwisko, dane kontaktowe, informacje o szkoleniach, do których Trener został zaproszony, oraz o przyjęciu Zlecenia (data i godzina akceptacji);
• dane techniczne: adres IP, identyfikator sesji, data i godzina logowania oraz wykonywanych czynności, informacje o udzielonych zgodach i akceptacji Regulaminu;
• treść korespondencji z Administratorem oraz powiadomień wysyłanych w Platformie.

Dane pochodzą przede wszystkim bezpośrednio od Pani/Pana. Część danych może pochodzić od innych podmiotów: od Dostawcy usług, który wysyła zaproszenie do Platformy (imię, nazwisko, adres e-mail, informacje o szkoleniu), od Uczestnika instytucjonalnego, który dodaje swoich pracowników i zgłasza ich na szkolenia (dane identyfikacyjne i kontaktowe oraz informacje o zatrudnieniu), a także z przesłanych dokumentów. Dane techniczne i dane o udziale w szkoleniach powstają w związku z korzystaniem z Platformy.

4. Cele i podstawy prawne przetwarzania

Dane osobowe są przetwarzane w następujących celach i na następujących podstawach prawnych:

• założenie i prowadzenie Konta, weryfikacja tożsamości osoby zakładającej Konto, uwierzytelnianie oraz świadczenie usług drogą elektroniczną zgodnie z Regulaminem: art. 6 ust. 1 lit. b RODO;
• obsługa zapisów i zgłoszeń na szkolenia, list obecności, walidacji, protokołów i certyfikatów, przypomnień o terminach oraz powiadomień w Platformie: art. 6 ust. 1 lit. b RODO, a w przypadku Pracowników zgłoszonych przez Uczestnika instytucjonalnego art. 6 ust. 1 lit. f RODO (prawnie uzasadnionym interesem jest realizacja szkolenia zamówionego przez Uczestnika instytucjonalnego);
• organizacja, rozliczanie, dokumentowanie, monitorowanie i kontrola szkoleń dofinansowanych, w tym przekazywanie danych operatorom i instytucjom publicznym: art. 6 ust. 1 lit. c RODO w związku z przepisami regulującymi wydatkowanie środków europejskich, w tym art. 87 ustawy z dnia 28 kwietnia 2022 r. o zasadach realizacji zadań finansowanych ze środków europejskich w perspektywie finansowej 2021–2027, a w zakresie obowiązków wynikających z regulaminu Bazy Usług Rozwojowych oraz umów zawartych z operatorami: art. 6 ust. 1 lit. b lub f RODO;
• dostosowanie szkolenia do szczególnych potrzeb Uczestnika: art. 9 ust. 2 lit. a RODO (wyraźna zgoda);
• automatyczne odczytanie wybranych danych z przesłanej umowy wsparcia (numer umowy, wartość wsparcia, województwo operatora) w celu uzupełnienia formularza: art. 6 ust. 1 lit. b RODO;
• naliczanie, wykorzystywanie i korygowanie LEXA punktów: art. 6 ust. 1 lit. b RODO;
• obsługa Zleceń kierowanych do Trenerów, w tym rejestrowanie ich akceptacji: art. 6 ust. 1 lit. b RODO;
• udostępnianie strony weryfikacji certyfikatów, umożliwiającej osobom trzecim potwierdzenie ich autentyczności: art. 6 ust. 1 lit. f RODO (prawnie uzasadnionym interesem posiadaczy certyfikatów, Dostawców usług i Administratora jest zapobieganie fałszowaniu certyfikatów);
• publikacja referencji: art. 6 ust. 1 lit. a RODO (zgoda osoby, której dane zawiera referencja);
• wysyłanie informacji handlowych o szkoleniach pocztą elektroniczną: art. 6 ust. 1 lit. a RODO (zgoda wyrażona zgodnie z ustawą z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej);
• obsługa zapytań, reklamacji i żądań dotyczących danych osobowych: art. 6 ust. 1 lit. c RODO w zakresie obowiązków wynikających z RODO, a w pozostałym zakresie art. 6 ust. 1 lit. b lub f RODO;
• zapewnienie bezpieczeństwa Platformy, w tym rejestrowanie zdarzeń, wykrywanie nadużyć i ochrona przed nieuprawnionym dostępem: art. 6 ust. 1 lit. f RODO;
• sporządzanie zbiorczych zestawień statystycznych dotyczących korzystania z Platformy: art. 6 ust. 1 lit. f RODO;
• wypełnianie obowiązków rachunkowych i podatkowych: art. 6 ust. 1 lit. c RODO;
• ustalenie, dochodzenie i obrona roszczeń: art. 6 ust. 1 lit. f RODO.

Dostawca usług, przetwarzając dane jako administrator, opiera się na analogicznych podstawach prawnych, w szczególności na umowie o udział w szkoleniu, obowiązkach wynikających z zasad dofinansowania oraz swoim prawnie uzasadnionym interesie.

5. Informacje o szczególnych potrzebach (dane szczególnej kategorii)

Informacje o szczególnych potrzebach mogą ujawniać informacje o stanie zdrowia, dlatego stanowią szczególną kategorię danych osobowych w rozumieniu art. 9 ust. 1 RODO. Ich podanie jest całkowicie dobrowolne i nie jest warunkiem założenia Konta ani zapisu na szkolenie.

Dane te są przetwarzane wyłącznie na podstawie Pani/Pana wyraźnej zgody (art. 9 ust. 2 lit. a RODO) i wyłącznie w celu dostosowania szkolenia do Pani/Pana potrzeb, np. miejsca, materiałów, sposobu prowadzenia zajęć lub zapewnienia tłumacza języka migowego.

Dostęp do tych informacji mają wyłącznie osoby organizujące szkolenie po stronie Dostawcy usług, w tym prowadzący je Trener, w zakresie niezbędnym do jego dostosowania. Informacje te podaje i zmienia wyłącznie osoba, której dotyczą. Nie są one udostępniane Uczestnikowi instytucjonalnemu (pracodawcy), operatorom ani instytucjom publicznym i nie są wykorzystywane w innych celach, w tym do profilowania.

Zgodę można w każdej chwili wycofać, usuwając te informacje z profilu Konta lub wysyłając wiadomość na adres kontakt@soverano.pl. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem, ale może uniemożliwić dostosowanie szkolenia.

6. Odbiorcy danych

Dane mogą być udostępniane lub powierzane następującym kategoriom odbiorców, wyłącznie w zakresie niezbędnym do realizacji danego celu:

• Dostawcy usług organizującemu szkolenie, którego dotyczy zapis lub zgłoszenie, oraz Trenerom prowadzącym to szkolenie;
• Uczestnikowi instytucjonalnemu (np. pracodawcy), z którego kontem powiązane jest Pani/Pana Konto, w zakresie informacji o zgłoszeniach, udziale w szkoleniach, wynikach walidacji i certyfikatach dotyczących szkoleń, na które zgłosił Panią/Pana ten podmiot;
• operatorom, instytucjom zarządzającym i pośredniczącym, Polskiej Agencji Rozwoju Przedsiębiorczości oraz innym instytucjom publicznym i podmiotom kontrolującym, w przypadku szkoleń dofinansowanych, w zakresie wymaganym zasadami przyznania i rozliczenia wsparcia, w tym art. 87 ustawy z dnia 28 kwietnia 2022 r. o zasadach realizacji zadań finansowanych ze środków europejskich w perspektywie finansowej 2021–2027;
• podmiotom przetwarzającym dane na zlecenie Administratora: dostawcy usług hostingu (serwer VPS zlokalizowany w Europejskim Obszarze Gospodarczym, OVH) i poczty elektronicznej (OVH), dostawcy usługi przechowywania plików (Cloudflare R2), dostawcom usług analizy dokumentów z wykorzystaniem sztucznej inteligencji oraz dostawcom usług modeli językowych wykorzystywanych do przygotowywania projektów kart usług;
• podmiotom świadczącym na rzecz Administratora usługi księgowe, prawne i doradcze;
• organom publicznym, w szczególności sądom, organom ścigania i organom podatkowym, jeżeli obowiązek udostępnienia danych wynika z przepisów prawa;
• każdej osobie korzystającej ze strony weryfikacji certyfikatów, w zakresie numeru certyfikatu, imienia i nazwiska, tytułu szkolenia i jego daty;
• odbiorcom publikowanych referencji, wyłącznie w zakresie objętym zgodą na publikację.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

Platforma jest utrzymywana na serwerze zlokalizowanym w Europejskim Obszarze Gospodarczym (EOG), a poczta elektroniczna jest obsługiwana przez dostawcę z siedzibą w EOG.

Niektórzy dostawcy, w szczególności dostawca usługi przechowywania plików (Cloudflare, Inc.) oraz dostawcy usług wykorzystujących sztuczną inteligencję, mogą przetwarzać dane poza EOG, w tym w Stanach Zjednoczonych Ameryki. W takim przypadku dane są przekazywane na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO) albo, jeżeli odbiorca uczestniczy w programie EU-U.S. Data Privacy Framework, na podstawie decyzji Komisji stwierdzającej odpowiedni stopień ochrony (art. 45 RODO).

Kopię stosowanych zabezpieczeń można uzyskać, kontaktując się z Administratorem pod adresem kontakt@soverano.pl.

8. Okres przechowywania danych

Dane są przechowywane nie dłużej, niż jest to niezbędne do realizacji celów, w których są przetwarzane:

• dane Konta: przez okres jego prowadzenia, a po usunięciu Konta w zakresie niezbędnym do ustalenia, dochodzenia lub obrony roszczeń, do upływu okresu ich przedawnienia (co do zasady 6 lat, a dla roszczeń związanych z prowadzeniem działalności gospodarczej 3 lata, przy czym koniec okresu przypada na ostatni dzień roku kalendarzowego);
• dokumentacja szkoleń dofinansowanych (w tym dane uczestników, przesłane dokumenty, listy obecności, protokoły walidacji i certyfikaty): przez okres wymagany zasadami finansowania i umową wsparcia, zwykle do 5 lat od rozliczenia wsparcia lub od zakończenia okresu trwałości, a jeżeli zasady programu lub umowa wsparcia tego wymagają (np. przy pomocy de minimis), do 10 lat od dnia udzielenia pomocy;
• protokoły walidacji i certyfikaty pozostałych szkoleń: przez okres prowadzenia Konta, a następnie do upływu okresu przedawnienia roszczeń;
• dane prezentowane na stronie weryfikacji certyfikatu (numer, imię i nazwisko, tytuł i data szkolenia): przez okres, w którym potwierdzanie autentyczności certyfikatu jest uzasadnione, nie dłużej niż 10 lat od daty jego wydania, chyba że wcześniej zostanie uwzględniony Pani/Pana sprzeciw;
• informacje o szczególnych potrzebach: do czasu wycofania zgody, usunięcia tych informacji z profilu lub usunięcia Konta;
• dane przetwarzane na podstawie innych zgód (informacje handlowe, publikacja referencji): do czasu wycofania zgody;
• stan i historia LEXA punktów: przez okres prowadzenia Konta;
• dane osób zaproszonych, które nie założyły Konta: do czasu wygaśnięcia lub usunięcia zaproszenia, nie dłużej niż 12 miesięcy od jego wysłania;
• dokumenty księgowe: przez 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku;
• dzienniki zdarzeń (logi) i dane techniczne: nie dłużej niż 12 miesięcy, chyba że są potrzebne do wyjaśnienia incydentu bezpieczeństwa lub dochodzenia roszczeń;
• korespondencja: przez okres niezbędny do obsługi sprawy, a następnie do upływu okresu przedawnienia roszczeń.

Okresy przechowywania danych, których administratorem jest Dostawca usług lub instytucja finansująca, określają te podmioty. Po upływie okresów przechowywania dane są usuwane lub anonimizowane.

9. Prawa osób, których dane dotyczą

W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo:

• dostępu do danych oraz otrzymania ich kopii (art. 15 RODO);
• sprostowania danych (art. 16 RODO);
• usunięcia danych (art. 17 RODO), z zastrzeżeniem danych, które muszą być przechowywane na podstawie przepisów prawa lub zasad finansowania;
• ograniczenia przetwarzania (art. 18 RODO);
• przenoszenia danych przetwarzanych w sposób zautomatyzowany na podstawie umowy lub zgody (art. 20 RODO);
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO), w tym wobec prezentowania danych na stronie weryfikacji certyfikatów;
• cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem (art. 7 ust. 3 RODO);
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), jeżeli uważa Pani/Pan, że przetwarzanie danych narusza przepisy RODO (art. 77 RODO).

Żądania można kierować na adres kontakt@soverano.pl lub listownie na adres siedziby Administratora. Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania; w uzasadnionych przypadkach termin ten może zostać przedłużony o kolejne dwa miesiące, o czym Administrator poinformuje (art. 12 ust. 3 RODO).

W razie uzasadnionych wątpliwości co do tożsamości osoby składającej żądanie Administrator może poprosić o dodatkowe informacje niezbędne do jej potwierdzenia.

Żądania dotyczące danych, których administratorem jest Dostawca usług, Uczestnik instytucjonalny lub instytucja finansująca, można kierować także bezpośrednio do tych podmiotów.

10. Dobrowolność podania danych

Podanie danych jest dobrowolne, ale niezbędne do założenia Konta i korzystania z Platformy. W przypadku szkoleń dofinansowanych zakres danych wymaganych do udziału w szkoleniu i rozliczenia wsparcia wynika z zasad finansowania, w tym regulaminu Bazy Usług Rozwojowych i umowy wsparcia, a ich niepodanie może uniemożliwić udział w szkoleniu lub uzyskanie dofinansowania.

Podanie informacji o szczególnych potrzebach oraz wyrażenie zgody na otrzymywanie informacji handlowych są w pełni dobrowolne i nie wpływają na możliwość korzystania z Platformy.

11. Zautomatyzowane podejmowanie decyzji i narzędzia sztucznej inteligencji

Administrator nie podejmuje wobec Pani/Pana decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec Pani/Pana skutki prawne lub w podobny sposób istotnie na Panią/Pana wpływały (art. 22 RODO).

Po przesłaniu umowy wsparcia Platforma przekazuje dokument do zewnętrznego dostawcy usługi analizy dokumentów z wykorzystaniem sztucznej inteligencji w celu odczytania numeru umowy, wartości wsparcia i województwa operatora. Odczytane dane służą wyłącznie do uzupełnienia formularza i są prezentowane do sprawdzenia oraz poprawienia. Narzędzie nie podejmuje żadnych decyzji, w szczególności dotyczących udziału w szkoleniu ani przyznania lub rozliczenia dofinansowania.

Dostawcy usług mogą korzystać z usług modeli językowych przy przygotowywaniu projektów kart usług. Przekazywane są do nich informacje o usłudze wprowadzone przez Dostawcę usług; Platforma nie przekazuje w tym celu danych Uczestników.

Wynik testu walidacyjnego jest obliczany automatycznie na podstawie klucza odpowiedzi ustalonego przez Dostawcę usług. Uczestnik ma prawo do uzyskania interwencji ze strony Dostawcy usług, wyrażenia własnego stanowiska i zakwestionowania wyniku (art. 22 ust. 3 RODO), w szczególności w trybie reklamacji opisanym w Regulaminie.

12. Bezpieczeństwo danych

Administrator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka związanego z przetwarzaniem (art. 32 RODO), w szczególności:

• szyfrowanie połączeń z Platformą (protokół HTTPS);
• kontrolę dostępu opartą na rolach, dzięki której Dostawca usług, Trener i Uczestnik instytucjonalny mają dostęp wyłącznie do danych związanych z ich szkoleniami lub pracownikami;
• zabezpieczenie sesji użytkownika (plik cookie niedostępny dla skryptów, ograniczony czas trwania sesji);
• rejestrowanie zdarzeń istotnych dla bezpieczeństwa i monitorowanie nieprawidłowego działania Platformy;
• regularne aktualizacje oprogramowania oraz tworzenie kopii zapasowych;
• umowy powierzenia przetwarzania danych z podmiotami przetwarzającymi oraz zobowiązanie osób upoważnionych do zachowania danych w poufności.

W celu ochrony Konta nie należy udostępniać innym osobom linków otrzymanych w wiadomościach e-mail z Platformy (np. zaproszeń i Zleceń), a po korzystaniu z Platformy na urządzeniu współdzielonym należy się wylogować.

W razie naruszenia ochrony danych osobowych Administrator postępuje zgodnie z art. 33 i 34 RODO, w tym zgłasza naruszenie Prezesowi Urzędu Ochrony Danych Osobowych, a jeżeli naruszenie może powodować wysokie ryzyko, zawiadamia także osoby, których dane dotyczą.

13. Pliki cookies

Platforma korzysta wyłącznie z plików cookies i pamięci lokalnej przeglądarki niezbędnych do jej działania oraz do zapamiętania wybranych ustawień. Platforma nie stosuje plików cookies analitycznych, marketingowych ani plików cookies podmiotów trzecich. Szczegóły zawiera Polityka cookies dostępna na stronie lexa.soverano.pl/polityka-cookies.

14. Zmiany Polityki prywatności

Administrator może aktualizować Politykę prywatności, w szczególności w razie zmiany przepisów, funkcji Platformy lub dostawców usług. Aktualna wersja wraz z datą ostatniej aktualizacji jest dostępna na stronie lexa.soverano.pl/polityka-prywatnosci.

O istotnych zmianach Administrator informuje Użytkowników pocztą elektroniczną lub za pośrednictwem Platformy. Jeżeli zmiana dotyczy przetwarzania opartego na zgodzie w nowym celu, Administrator poprosi o odrębną zgodę.