Polityka Prywatności i Ochrony Danych Osobowych (RODO / GDPR)

1. Administrator Danych Osobowych i Inspektor Ochrony Danych

Administratorem Państwa danych osobowych w rozumieniu Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO / GDPR) oraz brytyjskiego UK GDPR jest:

W sprawach związanych z przetwarzaniem danych, realizacją praw przysługujących na mocy RODO lub w celu zgłoszenia incydentu bezpieczeństwa, zachęcamy do bezpośredniego kontaktu z naszym Inspektorem Ochrony Danych pod adresem iod@kamasze.com.

2. Ścisła Rezydencja Danych w Unii Europejskiej (Frankfurt am Main)

Mając na uwadze najwyższy stopień wrażliwości spraw prowadzonych w systemie (postępowania przed Wojskowymi Centrami Rekrutacji, komisjami RWKL, dane medyczne, sytuacja rodzinna i zawodowa), cała infrastruktura bazodanowa oraz serwery przetwarzające dokumenty zlokalizowane są w granicach Unii Europejskiej:

• Główny Region Hostingowy: Frankfurt am Main, Hesja, Niemcy (Unia Europejska).
• Operatorzy Infrastruktury: AWS Europe (Frankfurt Region eu-central-1) oraz Hetzner Online GmbH (Frankfurt Data Center Park).
• Standardy i Certyfikacje: Wszystkie ośrodki przetwarzania posiadają certyfikaty ISO/IEC 27001, ISO 27017, ISO 27018 oraz raporty SOC 2 Type II.
• Żadne dokumenty procesowe ani wrażliwe dane obywateli nie opuszczają terytorium Europejskiego Obszaru Gospodarczego (EOG).

3. Kategorie Przetwarzanych Danych i Podstawy Prawne

Przetwarzamy dane wyłącznie w zakresie niezbędnym do realizacji usług świadczonych drogą elektroniczną:

4. Szczególna Ochrona Danych o Stanie Zdrowia (Art. 9 RODO)

Sprawy związane z powołaniem do wojska często wymagają powołania się na zły stan zdrowia, zaświadczenia specjalistyczne lub zaskarżenie decyzji komisji lekarskiej. Rozumiemy unikalny ciężar gatunkowy tych informacji:

• Dane medyczne są przetwarzane wyłącznie na podstawie wyraźnej, świadomej i odrębnej zgody Użytkownika (zgodnie z art. 9 ust. 2 lit. a RODO), wyrażanej przed uruchomieniem kreatora RWKL.
• Technologia Pseudonimizacji i Redakcji: Wbudowany moduł GDPR Redactor umożliwia automatyczne wymazanie z plików PDF danych wrażliwych niezwiązanych z procedurą odwoławczą.
• Tryb Burner Mode (Autodestrukcja): Użytkownik ma możliwość aktywowania trybu Burner, w którym wszelkie dane medyczne są automatycznie usuwane z pamięci serwera w momencie ukończenia generowania pliku PDF i pobrania go na komputer klienta.

5. Odbiorcy Danych i Podprocesorzy (Sub-processors)

Współpracujemy wyłącznie ze sprawdzonymi, globalnymi dostawcami technologii spełniającymi rygorystyczne normy bezpieczeństwa informacji i prywatności:

6. Międzynarodowy Przepływ Danych (Wielka Brytania - Unia Europejska)

Z uwagi na fakt, iż nasza spółka KAMASZE LEGALTECH LTD posiada siedzibę w Londynie (Zjednoczone Królestwo), informujemy, że:

• W dniu 28 czerwca 2021 r. Komisja Europejska przyjęła formalną Decyzję Wykonawczą stwierdzającą odpowiedni stopień ochrony danych osobowych przez Zjednoczone Królestwo (tzw. UK Adequacy Decision) na mocy art. 45 ust. 3 RODO.
• Decyzja ta potwierdza, że prawo brytyjskie gwarantuje poziom ochrony danych zasadniczo równoważny poziomowi obowiązującemu w Unii Europejskiej.
• Niezależnie od powyższego, nasze bazy danych i serwery operacyjne znajdują się fizycznie w Niemczech (Frankfurt).

7. Prawa Przysługujące Użytkownikom (Katalog Praw RODO)

Każdemu Użytkownikowi przysługują następujące uprawnienia gwarantowane przez RODO:

1. Prawo dostępu do danych (Art. 15 RODO): Użytkownik ma prawo uzyskać potwierdzenie, czy przetwarzamy jego dane, oraz otrzymać kopię swoich danych w formacie czytelnym maszynowo.
2. Prawo do sprostowania (Art. 16 RODO): Możliwość edycji nieaktualnych lub błędnych informacji bezpośrednio w panelu Użytkownika.
3. Prawo do usunięcia danych („prawo do bycia zapomnianym” - Art. 17 RODO): Użytkownik może w każdej chwili zażądać bezpowrotnego usunięcia swojego Konta i wszelkich wygenerowanych spraw z Sejfu Spraw.
4. Prawo do ograniczenia przetwarzania (Art. 18 RODO) oraz przenoszenia danych (Art. 20 RODO): Możliwość eksportu spraw do formatu JSON/PDF i przekazania innemu administratorowi.
5. Prawo do cofnięcia zgody (Art. 7 ust. 3 RODO): W przypadku danych medycznych przetwarzanych na podstawie zgody, Użytkownik może wycofać zgodę w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem.
6. Prawo do sprzeciwu (Art. 21 RODO).
7. Prawo do wniesienia skargi do organu nadzorczego: W Polsce organem właściwym jest Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa. W Zjednoczonym Królestwie organem jest Information Commissioner's Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

8. Okres Przechowywania Danych (Retencja)

• Dane konta aktywnego: Przechowywane przez czas trwania umowy / posiadania konta w Serwisie.
• Wygenerowane pisma w Sejfie Spraw: Domyślnie przechowywane do momentu ich samodzielnego usunięcia przez Użytkownika lub przez 3 lata (w celu ewentualnego wniesienia skargi kasacyjnej do NSA). W trybie Burner Mode – usuwane natychmiast po pobraniu.
• Dane transakcyjne i rachunkowe: Przechowywane przez okres wymagany przepisami prawa podatkowego (5 lat od zakończenia roku podatkowego).
• Logi techniczne: Przechowywane maksymalnie przez 90 dni, po czym ulegają automatycznemu nadpisaniu.

9. Zastosowane Środki Techniczne i Organizacyjne

Kamasze.com wdraża zaawansowane procedury bezpieczeństwa zgodne z najlepszymi praktykami OWASP oraz normą ISO 27001:

• Szyfrowanie w tranzycie: Protokół TLS 1.3 z mechanizmem HSTS (Strict-Transport-Security) i silnymi zestawami szyfrów ECDHE-RSA-AES256-GCM.
• Szyfrowanie spoczynkowe (Data at Rest): Bazy danych i magazyny plików zaszyfrowane kluczem AES-256.
• Izolacja środowisk: Pełna konteneryzacja aplikacji i separacja logów operacyjnych.
• Ochrona przed atakami: Rygorystyczny firewall aplikacji webowych (WAF), ograniczniki zapytań (Rate Limiting) oraz reguły ochrony przed atakami CSRF, XSS i SSRF.