Polityka prywatności
i informacja o cookies

Formularz kontaktowy

Kiedy wysyłasz wiadomość przez formularz, dostajemy dokładnie to, co w nim wpiszesz: imię i nazwisko, adres e-mail, opcjonalnie nazwę firmy, wybrany temat oraz treść wiadomości. Nic poza tym — nie doklejamy do zgłoszenia danych z innych źródeł.

Używamy tych danych po to, żeby odpowiedzieć na zapytanie i ustalić, czy i jak możemy pomóc. Podstawą prawną są art. 6 ust. 1 lit. b UK GDPR (działania podejmowane na Twoje żądanie przed zawarciem umowy) oraz art. 6 ust. 1 lit. f — nasz prawnie uzasadniony interes, jakim jest prowadzenie korespondencji z osobami, które się do nas zgłaszają.

Podanie danych jest dobrowolne, ale bez adresu e-mail nie mamy jak odpisać. Nie stosujemy profilowania ani zautomatyzowanego podejmowania decyzji — Twoje zgłoszenie czyta człowiek.

Na podany adres wysyłamy jedno automatyczne potwierdzenie, że wiadomość do nas dotarła. Nie odsyłamy w nim treści zgłoszenia i nie wykorzystujemy tego adresu do niczego innego — nie trafia on na żadną listę wysyłkową.

Dane techniczne i ochrona formularza

Formularz jest chroniony przed botami na cztery sposoby: ukryte pole-pułapka, sprawdzenie czasu wypełniania, limit zgłoszeń z jednego adresu IP oraz zadanie obliczeniowe, które Twoja przeglądarka rozwiązuje w tle, zanim wyślesz wiadomość. To znaczy, że przy wysyłce przetwarzamy także dane techniczne — adres IP i podstawowe nagłówki żądania.

Zadanie liczy się w całości na Twoim urządzeniu, a wynik sprawdzamy na własnym serwerze. Nie bierze w tym udziału żadna firma trzecia, nie ładujemy w tym celu obcych skryptów i nie zbieramy przy okazji danych o zachowaniu — ani ruchów myszy, ani sposobu pisania, ani niczego podobnego.

Adres IP służy wyłącznie do policzenia zgłoszeń z jednego źródła w dziesięciominutowym oknie. Samego adresu nie zapisujemy nigdzie — ani w logach aplikacji, ani w treści wiadomości, która do nas trafia. Licznik przechowuje wyłącznie jego skrót kryptograficzny, wyliczony z tajnym kluczem znanym tylko naszej aplikacji. Taki skrót pozwala rozpoznać kolejne zgłoszenia z tego samego źródła, ale nie jest adresem — żeby wrócić do adresu, trzeba znać ten klucz. Mimo to traktujemy go jak dane osobowe i opisujemy tu na równi z resztą. Podstawą jest art. 6 ust. 1 lit. f UK GDPR — zapewnienie bezpieczeństwa usługi.

Niezależnie od tego dostawca hostingu (Microsoft) prowadzi własne logi serwera, na zasadach opisanych w jego dokumentacji.

Certyfikaty ze szkoleń

Uczestnik, który ukończy nasze szkolenie, dostaje imienny certyfikat. Do rejestru trafia wtedy: imię i nazwisko, kod i nazwa kursu, data szkolenia, data wydania dokumentu, forma prowadzenia i miejsce zajęć (przy szkoleniu zdalnym miejsca nie ma), język zajęć, numer certyfikatu oraz kod weryfikacyjny. Nie ma tam adresu e-mail, wyniku, oceny ani notatki o przebiegu zajęć. Dane bierzemy z listy uczestników — od Ciebie albo od podmiotu, który zamówił szkolenie, zwykle pracodawcy.

Rejestr istnieje po to, żeby certyfikat dało się sprawdzić: rekruter albo pracodawca, któremu go pokażesz, może potwierdzić, że dokument jest prawdziwy. Certyfikat, którego nikt nie jest w stanie zweryfikować, niewiele znaczy. Podstawą są art. 6 ust. 1 lit. b UK GDPR (wykonanie umowy o szkolenie) oraz lit. f — prawnie uzasadniony interes, wspólny nasz i Twój: wydać dokument, który da się potwierdzić, i utrudnić podrabianie.

Strona weryfikacji odpowiada wyłącznie na konkretny kod z certyfikatu. Nie da się jej zapytać o nazwisko, nie ma tam listy uczestników ani niczego do przeglądania, a wyniki sprawdzenia nie trafiają do wyszukiwarek. Kod jest losowy i na tyle długi, że nie sposób go zgadnąć. Ale każdy, komu pokażesz certyfikat albo prześlesz sam kod, zobaczy imię i nazwisko, kurs i datę — na tym ten dokument polega.

Rejestr trzymamy w Azure Table Storage (Microsoft, region europejski). Nie publikujemy go, nie umieszczamy w repozytorium kodu strony i nie używamy do niczego poza weryfikacją — nie powstaje z niego żadna lista wysyłkowa.

Gotowy certyfikat wysyłamy e-mailem — razem z podręcznikiem uczestnika, w jednej wiadomości. Adres e-mail bierzemy z listy uczestników i nie trafia on do rejestru certyfikatów: rejestr nie ma takiego pola. Wiadomość wychodzi z adresu training@qshmobile.com, a odpowiedzi przychodzą na info@qshmobile.com.

Pocztę prowadzi za nas Microsoft 365 (Exchange Online) — ten sam dostawca, u którego stoi reszta naszej infrastruktury. Przechodzą przez niego treść wiadomości i oba załączniki, a Microsoft zapisuje techniczne ślady doręczenia: kiedy wiadomość wyszła, do jakiego serwera i z jakim skutkiem. Nie sprawdzamy natomiast, czy i kiedy otworzyłeś wiadomość ani czy kliknąłeś w odsyłacz — nie włączamy takiego śledzenia i nie wstawiamy w treść niczego, co by je umożliwiało.

Po szkoleniu wysyłamy osobną wiadomość z odsyłaczem do ankiety prowadzonej przez Microsoft (MetricsThatMatter). Odsyłacz jest wspólny dla całej grupy — nie przekazujemy tam Twoich danych i nie wiemy, kto ankietę wypełnił. Jeśli ją otworzysz, dalsze przetwarzanie odbywa się po stronie Microsoftu i na jego zasadach.

Udział w ankiecie jest dobrowolny, a certyfikat dostajesz niezależnie od tego, czy ją wypełnisz. Nie mamy zresztą jak tego sprawdzić.

Wpis możesz kazać nam usunąć i zrobimy to. Mówimy jednak wprost, co się wtedy stanie: od tej chwili Twój certyfikat przestaje się weryfikować, a sprawdzający zobaczy, że takiego dokumentu nie ma w rejestrze. Samego pliku PDF nikt Ci nie odbiera — traci on tylko możliwość potwierdzenia.

Jak długo przechowujemy dane

Trzymamy dane tak długo, jak są nam do czegoś potrzebne:

• Korespondencja z formularza — do 24 miesięcy od ostatniej wymiany wiadomości, chyba że wcześniej poprosisz o usunięcie.
• Dokumenty związane z umową, jeśli do niej dojdzie — przez okres wymagany brytyjskimi przepisami rachunkowymi i podatkowymi, czyli co do zasady 6 lat od końca roku obrotowego.
• Rejestr certyfikatów — bezterminowo, dopóki nie poprosisz o usunięcie wpisu. Certyfikat nie ma daty ważności, więc wpis, który sam by wygasł, unieważniłby po cichu dokument leżący w czyjejś teczce.
• Listy uczestników i wiadomości z certyfikatami — do 24 miesięcy od zakończenia szkolenia. Sama lista jest plikiem roboczym poza stroną i poza rejestrem; nie trafia do repozytorium kodu.
• Licznik zgłoszeń z formularza — skrót adresu wygasa po 10 minutach i od tej chwili nie ma już wpływu na limit. Sam wpis kasujemy przy okazji kolejnych zgłoszeń, więc przy zupełnym braku ruchu potrafi przeleżeć w magazynie do czasu, aż ktoś znów wyśle formularz.

Komu powierzamy dane

Nie sprzedajemy danych i nie udostępniamy ich do celów marketingowych. Korzystamy natomiast z dostawców, którzy przetwarzają dane w naszym imieniu:

• Microsoft — hosting strony (Azure Static Web Apps), wysyłka powiadomień o zgłoszeniach (Azure Communication Services), magazyn licznika zgłoszeń i rejestru certyfikatów (Azure Storage), poczta, którą wysyłamy certyfikaty (Microsoft 365 — Exchange Online), oraz ankieta po szkoleniu (MetricsThatMatter).
• Google — kroje pisma ładowane z Google Fonts. Przy wczytaniu strony Twój adres IP trafia do serwerów Google.
• Dostawca poczty obsługujący skrzynkę, na którą przychodzą zgłoszenia.

Przekazywanie danych za granicę

Nasza infrastruktura działa w regionach europejskich, ale część wymienionych wyżej dostawców to firmy amerykańskie i dane mogą być przetwarzane poza Wielką Brytanią oraz poza Europejskim Obszarem Gospodarczym.

Odbywa się to na podstawie brytyjskich przepisów o odpowiednim stopniu ochrony (w tym UK Extension do EU–U.S. Data Privacy Framework) albo standardowych klauzul umownych z brytyjskim aneksem — International Data Transfer Agreement lub UK Addendum.

Twoje prawa

W odniesieniu do swoich danych masz prawo do dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.

Żeby z któregokolwiek skorzystać, wystarczy napisać na adres podany wyżej — odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

Jeśli uznasz, że przetwarzamy dane niezgodnie z prawem, możesz złożyć skargę do brytyjskiego organu nadzorczego — Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire, SK9 5AF. Mieszkając w Unii Europejskiej, możesz zamiast tego zwrócić się do organu nadzorczego w swoim kraju — w Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych.

Ciasteczka i pamięć przeglądarki

Ta strona nie używa własnych ciasteczek, nie zbiera statystyk odwiedzin i nie prowadzi żadnego śledzenia reklamowego. Dlatego nie zobaczysz tu okna z pytaniem o zgodę — nie ma tu niczego, na co trzeba by jej udzielić.

Zapisujemy natomiast trzy rzeczy w pamięci lokalnej Twojej przeglądarki (localStorage), i to dopiero wtedy, gdy o to poprosisz:

• qsh-theme — czy wolisz jasny, czy ciemny wygląd strony.
• qsh-lang — wersję językową wybraną w stopce.
• qsh-notice — że notka o ciasteczkach została już zamknięta i nie trzeba jej pokazywać ponownie.

Co jeszcze warto o tym wiedzieć

Wszystkie trzy wartości zostają w Twojej przeglądarce, nie trafiają na nasz serwer i nie pozwalają Cię zidentyfikować. Usuniesz je, czyszcząc dane strony w ustawieniach przeglądarki albo otwierając stronę w trybie prywatnym.

Ochrona formularza nie dokłada do tej listy niczego. Zadanie obliczeniowe rozwiązuje się w pamięci otwartej karty i po jej zamknięciu nie zostaje po nim w przeglądarce żaden ślad — ani ciasteczko, ani wpis w pamięci lokalnej.

Brytyjskie przepisy o prywatności w łączności elektronicznej (PECR) wymagają zgody na zapis danych w urządzeniu użytkownika, ale zwalniają z niej to, co jest niezbędne do wykonania usługi, o którą użytkownik sam poprosił. Nasze trzy wartości mieszczą się w tym wyjątku — stąd sama informacja zamiast pytania o zgodę.

Gdybyśmy kiedyś dołożyli analitykę albo narzędzia marketingowe, pojawi się tu pytanie o zgodę — na dziś nie jest potrzebne.

Zmiany w tej polityce

Jeśli zmienimy sposób przetwarzania danych — dołożymy narzędzie, zmienimy dostawcę — zaktualizujemy ten dokument i podmienimy datę na górze. Warto tu zajrzeć, zanim wyślesz kolejne zgłoszenie.