Polityka prywatności (RODO)

1. Informacje ogólne

Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych przez:

UMIKO Spółka z ograniczoną odpowiedzialnością
ul. Puławska 77/U5, 02-595 Warszawa
KRS: 0001180769
e-mail: anna@umikoexpeditions.com, tel. +48 516 621 211

Administrator jest dalej zwany "UMIKO" lub "Administrator". Polityka dotyczy danych osób korzystających ze strony internetowej, formularzy, newslettera oraz usług UMIKO.

2. Cele i podstawy przetwarzania danych

Administrator może przetwarzać dane w następujących celach:

Kontakt (formularz, e-mail, telefon): odpowiedź na zapytanie; podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora).
Zawarcie i realizacja umów turystycznych, rezerwacji: przygotowanie oferty, dokumentów, rezerwacji, biletów, umów; podstawa: art. 6 ust. 1 lit. b RODO.
Newsletter i komunikacja marketingowa: wysyłka newsletterów, promocji, inspiracji; podstawa: art. 6 ust. 1 lit. a RODO (zgoda).
Marketing własny Administratora: podstawa: art. 6 ust. 1 lit. f RODO.
Realizacja obowiązków prawnych: księgowość, podatki, archiwizacja; podstawa: art. 6 ust. 1 lit. c RODO.

3. Zakres przetwarzanych danych

W zależności od usługi Administrator może przetwarzać: imię i nazwisko, adres e-mail, telefon, dane paszportowe (dla uczestników wyjazdów), datę urodzenia (jeśli wymaga tego przewoźnik), dane niezbędne do ubezpieczenia, dane płatnicze, preferencje wyjazdowe, treść wiadomości przekazywanych przez formularz.

UMIKO nie przetwarza danych wrażliwych, poza przypadkami wymaganymi przy ubezpieczeniach (zgoda klienta).

4. Odbiorcy danych

Administrator może przekazywać dane jedynie zaufanym partnerom niezbędnym do realizacji usług, np.: ubezpieczycielom, liniom lotniczym, przewoźnikom, konsolidatorom lotów, hotelom, resortom, łodziom nurkowym, partnerom nurkowym na świecie, biurom podróży i agentom współpracującym, firmie księgowej, prawnej i informatycznej. Infrastrukturę Serwisu i systemu rezerwacji (w tym bazę danych) dostarcza Cloudflare, a wiadomości e-mail wysyła Resend; oba podmioty mają siedzibę w USA, a przekazanie danych odbywa się na podstawie decyzji Komisji Europejskiej o odpowiedniej ochronie danych (EU-US Data Privacy Framework), z klauzulami umownymi jako zabezpieczeniem zapasowym. Dane techniczne o korzystaniu z Serwisu (pliki cookies, identyfikatory online) trafiają, wyłącznie w razie zgody opisanej w pkt 8, do dostawców narzędzi analitycznych: Google (Google Analytics) i Microsoft (Clarity), a informacja o samej zgodzie do CookieYes (platforma zarządzania zgodą). Niezależnie od zgody podstawowe dane techniczne odwiedzin (adres IP, typ przeglądarki, odwiedzone strony) trafiają do dwóch bezcookiesowych narzędzi Ahrefs (Ahrefs Pte. Ltd. z siedzibą w Singapurze, transfer danych na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską): statystyki odwiedzin Ahrefs Web Analytics oraz Ahrefs Bot Analytics, które po stronie serwera odróżnia ruch robotów i automatów AI od odwiedzin ludzi; żadne z nich nie zapisuje niczego w przeglądarce, żądania do systemu rezerwacji nie przechodzą przez Bot Analytics, a podstawą przetwarzania jest prawnie uzasadniony interes Administratora, czyli pomiar odwiedzin i bezpieczeństwo Serwisu (art. 6 ust. 1 lit. f RODO). Dane nie są sprzedawane podmiotom trzecim.

5. Przekazywanie danych poza UE

Z uwagi na charakter działalności (wyjazdy zagraniczne) dane mogą być przekazywane partnerom spoza UE (hotele, łodzie nurkowe, lokalni touroperatorzy), wyłącznie w zakresie niezbędnym do realizacji wyjazdu. Administrator zapewnia, że przekazanie odbywa się zgodnie z RODO.

6. Okres przechowywania danych

Okres przechowywania zależy od celu i kategorii danych:

zapytania z formularza kontaktowego, które nie doprowadziły do umowy: do 24 miesięcy od ostatniego merytorycznego kontaktu (długi cykl planowania wypraw); wcześniejsze usunięcie na wniosek (anna@umikoexpeditions.com),
dokumenty księgowe i podatkowe (potwierdzenia wpłat, dokumenty rozliczeniowe): przez okres wymagany przepisami, zasadniczo 5 lat liczonych zgodnie z Ordynacją podatkową i ustawą o rachunkowości,
umowa, potwierdzenie jej zawarcia, dziennik akceptacji i podstawowe dowody wykonania: do końca roku kalendarzowego, w którym upływa 6 lat od zakończenia lub rozwiązania umowy (ustalenie, dochodzenie lub obrona roszczeń - art. 6 ust. 1 lit. f RODO); w razie sporu odpowiedni zakres danych przechowujemy do jego prawomocnego zakończenia,
numery PESEL i dane paszportowe: tylko do zrealizowania celu ubezpieczeniowego lub podróżnego, po czym są usuwane lub trwale maskowane (co do zasady ok. 30 dni po zakończeniu imprezy), chyba że są potrzebne w konkretnym sporze,
dane marketingowe: do czasu cofnięcia zgody,
newsletter: do czasu wypisania się.

Po usunięciu lub anonimizacji dane mogą pozostawać jeszcze do 7 dni w rotacyjnych kopiach zapasowych systemu, poza zwykłym dostępem; po odtworzeniu systemu z kopii wcześniej usunięte dane są usuwane ponownie.

7. Prawa użytkownika (RODO)

Użytkownik ma prawo do: dostępu do danych, sprostowania, usunięcia ("bycia zapomnianym"), ograniczenia przetwarzania, przeniesienia danych, sprzeciwu wobec przetwarzania, cofnięcia zgody w dowolnym momencie. Wniosek można wysłać na anna@umikoexpeditions.com. Po otrzymaniu wniosku o usunięcie usuwamy dane, których dalsze przetwarzanie nie jest potrzebne; jeżeli część danych musimy zachować (pkt 6 - obowiązki podatkowe z art. 17 ust. 3 lit. b RODO albo obrona roszczeń z art. 17 ust. 3 lit. e RODO), informujemy wnioskodawcę o zachowanym zakresie, podstawie i terminie. Każdej osobie przysługuje skarga do Prezesa UODO.

8. Pliki cookies

Serwis wykorzystuje pliki cookies do zapewnienia prawidłowego działania strony oraz, za zgodą użytkownika, do statystyk i analityki. Przy pierwszej wizycie baner zgody (CookieYes) pozwala zaakceptować lub odrzucić poszczególne kategorie cookies; do czasu wyrażenia zgody aktywne są wyłącznie cookies niezbędne. Zgodę można w każdej chwili zmienić lub wycofać przyciskiem "Ustawienia cookies" w stopce Serwisu. Wybór zapamiętywany jest przez 12 miesięcy. Podstawa prawna dla cookies innych niż niezbędne: art. 6 ust. 1 lit. a RODO (zgoda).

Serwis stosuje następujące kategorie cookies:

Niezbędne: cookieyes-consent (CookieYes, przechowuje wybory zgody użytkownika, 1 rok) oraz cookie sesyjne __Host-konto_sesja (logowanie do panelu klienta "Moja wyprawa", 30 dni, powstaje dopiero po zalogowaniu linkiem z e-maila).
Analityczne (za zgodą): Google Analytics 4 (_ga i _ga_*, ok. 13 miesięcy) - statystyki odwiedzin; Microsoft Clarity (_clck do 1 roku, _clsk 1 dzień oraz SM i MR na domenach Microsoft, od sesji do 7 dni) - analiza sposobu korzystania ze strony. Osobno działają narzędzia Ahrefs (Web Analytics i Bot Analytics) - bez plików cookies i bez zapisywania czegokolwiek w przeglądarce, dlatego nie występują w tej tabeli i działają niezależnie od zgody (podstawa i szczegóły: pkt 4 powyżej).
Wydajnościowe (za zgodą): SRM_B (Microsoft, ok. 1 rok) - pomiar wydajności strony.
Reklamowe (za zgodą): MUID (ok. 1 rok) i ANONCHK (10 minut). Serwis nie wyświetla reklam; są to pliki infrastruktury Microsoft (domeny bing.com i clarity.ms), z której korzysta narzędzie Clarity.

Google i Microsoft mogą przekazywać dane zebrane przez cookies do USA na podstawie decyzji Komisji Europejskiej o odpowiedniej ochronie danych (EU-US Data Privacy Framework). Cookies można także blokować i usuwać w ustawieniach przeglądarki; zablokowanie cookies niezbędnych może uniemożliwić korzystanie z części funkcji Serwisu.

9. Zabezpieczenia danych

Administrator stosuje odpowiednie środki techniczne i organizacyjne, w tym szyfrowanie, certyfikat SSL, zabezpieczenia serwera oraz kontrolę dostępu.

10. Zmiany polityki

Administrator może zmienić Politykę. Nowa treść będzie publikowana na stronie.

11. Rezerwacje online (formularz zgłoszeniowy)

Formularz zgłoszenia rezerwacyjnego przy ofercie wyprawy służy do przyjęcia i obsługi zgłoszenia przed zawarciem umowy o udział w imprezie turystycznej. Podstawa prawna: art. 6 ust. 1 lit. b RODO (działania podejmowane na żądanie osoby, której dane dotyczą, przed zawarciem umowy). Podanie danych jest dobrowolne, ale niezbędne do przyjęcia zgłoszenia rezerwacyjnego; bez nich nie przyjmiemy zgłoszenia.

Formularz zabezpieczamy za pomocą Cloudflare Turnstile (weryfikacja, że zgłoszenie nie pochodzi od automatu) oraz licznika zgłoszeń z tego samego adresu IP. Te mechanizmy ochronne chronią formularz przed nadużyciami. Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora, ochrona przed nadużyciami formularza).

Dane ze zgłoszenia przetwarza Cloudflare (infrastruktura, w tym baza danych rezerwacji) oraz Resend (wysyłka wiadomości e-mail potwierdzających zgłoszenie). Oba podmioty mają siedzibę w USA; przekazanie danych do tych odbiorców odbywa się na podstawie decyzji Komisji Europejskiej o odpowiedniej ochronie danych (EU-US Data Privacy Framework, DPF).

Okres przechowywania danych ze zgłoszenia rezerwacyjnego zależy od jego dalszego losu:

zgłoszenie, które wygasło lub zostało anulowane i nie przekształciło się w umowę: dane przechowujemy przez okres potrzebny do dochodzenia lub obrony ewentualnych roszczeń, nie dłużej niż okres wskazany niżej dla umów; wcześniejszą anonimizację można uzyskać na wniosek (anna@umikoexpeditions.com),
rezerwacja, która przekształciła się w umowę: dane przechowujemy według reguł z pkt 6 powyżej (dokumenty księgowe 5 lat; umowa i dowody jej wykonania do końca roku, w którym upływa 6 lat od zakończenia imprezy; PESEL i dane paszportowe usuwane lub maskowane po zrealizowaniu celu ubezpieczeniowego).

Po usunięciu lub anonimizacji dane mogą pozostawać jeszcze do 7 dni w kopiach zapasowych systemu.