Napiszanna@umikoexpeditions.comZadzwoń+48 516 621 211
Napiszanna@umikoexpeditions.com
Zadzwoń+48 516 621 211
anna@umikoexpeditions.com+48 516 621 211

Polityka prywatności (RODO)

1. Informacje ogólne

Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych przez:

UMIKO Spółka z ograniczoną odpowiedzialnością
ul. Puławska 77/U5, 02-595 Warszawa
KRS: 0001180769
e-mail: anna@umikoexpeditions.com, tel. +48 516 621 211

Administrator jest dalej zwany "UMIKO" lub "Administrator". Polityka dotyczy danych osób korzystających ze strony internetowej, formularzy, newslettera oraz usług UMIKO.

2. Cele i podstawy przetwarzania danych

Administrator może przetwarzać dane w następujących celach:

  1. Kontakt (formularz, e-mail, telefon): odpowiedź na zapytanie; podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora).
  2. Zawarcie i realizacja umów turystycznych, rezerwacji: przygotowanie oferty, dokumentów, rezerwacji, biletów, umów; podstawa: art. 6 ust. 1 lit. b RODO.
  3. Newsletter i komunikacja marketingowa: wysyłka newsletterów, promocji, inspiracji; podstawa: art. 6 ust. 1 lit. a RODO (zgoda).
  4. Marketing własny Administratora: podstawa: art. 6 ust. 1 lit. f RODO.
  5. Reklama Umiko na Facebooku i Instagramie oraz pomiar jej skuteczności: piksel Meta, uruchamiany wyłącznie po zgodzie na cookies reklamowe (pkt 4 i 8); podstawa: art. 6 ust. 1 lit. a RODO (zgoda), a nie prawnie uzasadniony interes.
  6. Realizacja obowiązków prawnych: księgowość, podatki, archiwizacja; podstawa: art. 6 ust. 1 lit. c RODO.

3. Zakres przetwarzanych danych

W zależności od usługi Administrator może przetwarzać: imię i nazwisko, adres e-mail, telefon, dane paszportowe (dla uczestników wyjazdów), datę urodzenia (jeśli wymaga tego przewoźnik), dane niezbędne do ubezpieczenia, dane płatnicze, preferencje wyjazdowe, treść wiadomości przekazywanych przez formularz, wizerunek (zdjęcia z wypraw, za zgodą).

UMIKO nie przetwarza danych wrażliwych, poza przypadkami wymaganymi przy ubezpieczeniach (zgoda klienta).

4. Odbiorcy danych

Administrator może przekazywać dane jedynie zaufanym partnerom niezbędnym do realizacji usług, np.: ubezpieczycielom, liniom lotniczym, przewoźnikom, konsolidatorom lotów, hotelom, resortom, łodziom nurkowym, partnerom nurkowym na świecie, biurom podróży i agentom współpracującym, firmie księgowej, prawnej i informatycznej. Infrastrukturę Serwisu i systemu rezerwacji (w tym bazę danych) dostarcza Cloudflare, a wiadomości e-mail wysyła Resend; oba podmioty mają siedzibę w USA, a przekazanie danych odbywa się na podstawie decyzji Komisji Europejskiej o odpowiedniej ochronie danych (EU-US Data Privacy Framework), z klauzulami umownymi jako zabezpieczeniem zapasowym. Oferty wypraw w formacie PDF składamy w narzędziu firmy Anthropic Ireland Limited z siedzibą w Dublinie (Irlandia). Dostęp do niego zapewnia nasz dostawca usług informatycznych, który działa jako podmiot przetwarzający. Do narzędzia trafiają zdjęcia z ofert; mogą być na nich widoczne osoby, które zgodziły się na użycie swojego wizerunku. Trafia tam też imię i nazwisko opiekuna grupy albo członka załogi, którego oferta wymienia w roli służbowej; podstawą jest prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO). W narzędziu dane zostają do 7 dni od ostatniej pracy nad dokumentem, a w kopiach technicznych Anthropic do 30 dni. Dłużej tylko wtedy, gdy wymaga tego prawo albo bezpieczeństwo usługi. Anthropic może przetwarzać te dane także w USA (w spółce powiązanej i u dostawców infrastruktury); stosuje wtedy zabezpieczenia wymagane przez rozdział V RODO: standardowe klauzule umowne zatwierdzone przez Komisję Europejską albo równoważny mechanizm. Dane techniczne o korzystaniu z Serwisu (pliki cookies, identyfikatory online) trafiają, w razie zgody opisanej w pkt 8, do dostawców narzędzi analitycznych: Google (Google Analytics) i Microsoft (Clarity), a informacja o samej zgodzie do CookieYes (platforma zarządzania zgodą). Bez zgody do Google trafiają wyłącznie sygnały bez plików cookies opisane w pkt 8. Niezależnie od zgody podstawowe dane techniczne odwiedzin (adres IP, typ przeglądarki, odwiedzone strony) trafiają do dwóch bezcookiesowych narzędzi Ahrefs (Ahrefs Pte. Ltd. z siedzibą w Singapurze, transfer danych na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską): statystyki odwiedzin Ahrefs Web Analytics oraz Ahrefs Bot Analytics, które po stronie serwera odróżnia ruch robotów i automatów AI od odwiedzin ludzi; żadne z nich nie zapisuje niczego w przeglądarce, żądania do systemu rezerwacji nie przechodzą przez Bot Analytics, a podstawą przetwarzania jest prawnie uzasadniony interes Administratora, czyli pomiar odwiedzin i bezpieczeństwo Serwisu (art. 6 ust. 1 lit. f RODO). Dane nie są sprzedawane podmiotom trzecim.

Jeżeli użytkownik zgodzi się na cookies reklamowe, Serwis uruchamia piksel Meta. Piksel przekazuje firmie Meta Platforms Ireland Limited (Merrion Road, Dublin 4, D04 X2K5, Irlandia) informację o odwiedzonych stronach Serwisu i o stronie, z której użytkownik do niego wszedł, o wysłaniu formularza pytania lub rezerwacji oraz o kliknięciu w link do e-maila, telefonu albo WhatsAppa (sam fakt kliknięcia, bez adresu i numeru). Razem z tymi informacjami trafiają do Meta identyfikator z pliku cookie _fbp, adres IP i dane przeglądarki; jeśli w przeglądarce jest plik fr z domeny facebook.com, Meta odczytuje go po swojej stronie. Gdy użytkownik wchodzi do Serwisu z reklamy na Facebooku lub Instagramie, adres zawiera identyfikator kliknięcia reklamy (fbclid): piksel zapisuje go w pliku cookie _fbc oraz we wpisie multiFbc w pamięci przeglądarki i przekazuje go Meta, żeby powiązać wizytę z reklamą. Nie przekazujemy treści formularzy ani wpisanych w nie imion, adresów e-mail i numerów telefonów. Cel: pokazywanie reklam Umiko na Facebooku i Instagramie osobom, które odwiedziły Serwis, oraz pomiar skuteczności tych reklam. Meta może połączyć te informacje z kontem użytkownika w swoich serwisach i wykorzystać je do dopasowania reklam (profilowanie); na tej podstawie nie zapadają decyzje, które wywołują wobec użytkownika skutki prawne lub w podobny sposób istotnie na niego wpływają (art. 22 RODO). Podstawa: zgoda na zapis i odczyt plików cookies (art. 399 Prawa komunikacji elektronicznej) i na przetwarzanie danych (art. 6 ust. 1 lit. a RODO). Zgoda jest dobrowolna: jej brak nie ogranicza korzystania z Serwisu, kontaktu ani rezerwacji. Zgodę można w każdej chwili cofnąć przyciskiem "Ustawienia cookies" w stopce Serwisu; cofnięcie nie wpływa na zgodność z prawem przetwarzania sprzed cofnięcia.

UMIKO i Meta Platforms Ireland Limited odpowiadają wspólnie, jako współadministratorzy (art. 26 RODO), za zebranie tych danych w Serwisie i ich przekazanie Meta, na zasadach dodatku Meta dla administratorów (Meta Controller Addendum). UMIKO odpowiada za informację o tym przetwarzaniu i za zebranie zgody, a Meta za realizację praw dotyczących danych, które otrzymała. Prawa można wykonywać wobec każdego ze współadministratorów: żądanie skierowane do UMIKO przekażemy Meta. Dalsze przetwarzanie danych przez Meta nie jest objęte współadministrowaniem: jego cele, podstawy prawne, okresy przechowywania, dane kontaktowe Meta i jej inspektora ochrony danych oraz sposób korzystania z praw wobec Meta opisuje polityka prywatności Meta. Meta może przekazywać dane do Meta Platforms, Inc. w USA na podstawie decyzji Komisji Europejskiej o odpowiedniej ochronie danych (EU-US Data Privacy Framework).

5. Przekazywanie danych poza UE

Z uwagi na charakter działalności (wyjazdy zagraniczne) dane mogą być przekazywane partnerom spoza UE (hotele, łodzie nurkowe, lokalni touroperatorzy), wyłącznie w zakresie niezbędnym do realizacji wyjazdu. Administrator zapewnia, że przekazanie odbywa się zgodnie z RODO.

6. Okres przechowywania danych

Okres przechowywania zależy od celu i kategorii danych:

Po usunięciu lub anonimizacji dane mogą pozostawać jeszcze do 7 dni w rotacyjnych kopiach zapasowych systemu, poza zwykłym dostępem; po odtworzeniu systemu z kopii wcześniej usunięte dane są usuwane ponownie.

7. Prawa użytkownika (RODO)

Użytkownik ma prawo do: dostępu do danych, sprostowania, usunięcia ("bycia zapomnianym"), ograniczenia przetwarzania, przeniesienia danych, sprzeciwu wobec przetwarzania, cofnięcia zgody w dowolnym momencie. Wniosek można wysłać na anna@umikoexpeditions.com. Po otrzymaniu wniosku o usunięcie usuwamy dane, których dalsze przetwarzanie nie jest potrzebne; jeżeli część danych musimy zachować (pkt 6 - obowiązki podatkowe z art. 17 ust. 3 lit. b RODO albo obrona roszczeń z art. 17 ust. 3 lit. e RODO), informujemy wnioskodawcę o zachowanym zakresie, podstawie i terminie. Każdej osobie przysługuje skarga do Prezesa UODO.

8. Pliki cookies

Serwis wykorzystuje pliki cookies do zapewnienia prawidłowego działania strony oraz, za zgodą użytkownika, do statystyk, analityki i reklamy. Przy pierwszej wizycie baner zgody (CookieYes) pozwala zaakceptować lub odrzucić poszczególne kategorie cookies; do czasu wyrażenia zgody aktywne są wyłącznie cookies niezbędne. Bez zgody (zanim użytkownik zdecyduje albo po odrzuceniu) Google Analytics nie zapisuje plików cookies, ale przy każdej odsłonie i przy działaniach na stronie wysyła do Google sygnał. Działania to kliknięcie w e-mail, telefon albo WhatsApp, wysłanie formularza, rezerwacji albo zapisu do newslettera, a także automatycznie mierzone przewinięcie strony czy rozpoczęcie wypełniania formularza. Sygnał zawiera adres strony i strony poprzedniej, nazwę działania z kanałem kontaktu i tytułem oferty, dane przeglądarki, adres IP, informację o braku zgody i jednorazowy identyfikator, którego nie zapisujemy w przeglądarce. Google wykorzystuje te sygnały do szacowania statystyk odwiedzin osób, które nie wyraziły zgody. Podstawą jest prawnie uzasadniony interes Administratora, czyli pomiar odwiedzin (art. 6 ust. 1 lit. f RODO). Zgodę można w każdej chwili zmienić lub wycofać przyciskiem "Ustawienia cookies" w stopce Serwisu. Wybór zapamiętywany jest przez 12 miesięcy. Podstawa prawna dla cookies innych niż niezbędne: art. 6 ust. 1 lit. a RODO (zgoda).

Serwis stosuje następujące kategorie cookies:

  1. Niezbędne: cookieyes-consent (CookieYes, przechowuje wybory zgody użytkownika, 1 rok) oraz cookie sesyjne __Host-konto_sesja (logowanie do panelu klienta "Moja wyprawa", 30 dni, powstaje dopiero po zalogowaniu linkiem z e-maila).
  2. Analityczne (za zgodą): Google Analytics 4 (_ga i _ga_*, ok. 13 miesięcy) - statystyki odwiedzin; Microsoft Clarity (_clck do 1 roku, _clsk 1 dzień oraz SM i MR na domenach Microsoft, od sesji do 7 dni) - analiza sposobu korzystania ze strony. Osobno działają narzędzia Ahrefs (Web Analytics i Bot Analytics) - bez plików cookies i bez zapisywania czegokolwiek w przeglądarce, dlatego nie występują w tej tabeli i działają niezależnie od zgody (podstawa i szczegóły: pkt 4 powyżej).
  3. Wydajnościowe (za zgodą): SRM_B (Microsoft, ok. 1 rok) - pomiar wydajności strony.
  4. Reklamowe (za zgodą): _fbp i _fbc (Meta, 90 dni; _fbc tylko po wejściu z reklamy Meta) oraz fr (Meta, domena facebook.com, około 90 dni) - piksel Meta, dzięki któremu możemy pokazywać reklamy Umiko na Facebooku i Instagramie osobom odwiedzającym Serwis i mierzyć ich skuteczność (szczegóły w pkt 4); MUID (około 1 rok) i ANONCHK (10 minut) - pliki infrastruktury Microsoft (domeny bing.com i clarity.ms), z której korzysta narzędzie Clarity.

Google, Microsoft i Meta mogą przekazywać dane zebrane przez cookies do USA na podstawie decyzji Komisji Europejskiej o odpowiedniej ochronie danych (EU-US Data Privacy Framework). Cookies można także blokować i usuwać w ustawieniach przeglądarki; zablokowanie cookies niezbędnych może uniemożliwić korzystanie z części funkcji Serwisu.

9. Zabezpieczenia danych

Administrator stosuje odpowiednie środki techniczne i organizacyjne, w tym szyfrowanie, certyfikat SSL, zabezpieczenia serwera oraz kontrolę dostępu.

10. Zmiany polityki

Administrator może zmienić Politykę. Nowa treść będzie publikowana na stronie.

11. Rezerwacje online (formularz zgłoszeniowy)

Formularz zgłoszenia rezerwacyjnego przy ofercie wyprawy służy do przyjęcia i obsługi zgłoszenia przed zawarciem umowy o udział w imprezie turystycznej. Podstawa prawna: art. 6 ust. 1 lit. b RODO (działania podejmowane na żądanie osoby, której dane dotyczą, przed zawarciem umowy). Podanie danych jest dobrowolne, ale niezbędne do przyjęcia zgłoszenia rezerwacyjnego; bez nich nie przyjmiemy zgłoszenia.

Formularz zabezpieczamy za pomocą Cloudflare Turnstile (weryfikacja, że zgłoszenie nie pochodzi od automatu) oraz licznika zgłoszeń z tego samego adresu IP. Te mechanizmy ochronne chronią formularz przed nadużyciami. Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora, ochrona przed nadużyciami formularza).

Dane ze zgłoszenia przetwarza Cloudflare (infrastruktura, w tym baza danych rezerwacji) oraz Resend (wysyłka wiadomości e-mail potwierdzających zgłoszenie). Oba podmioty mają siedzibę w USA; przekazanie danych do tych odbiorców odbywa się na podstawie decyzji Komisji Europejskiej o odpowiedniej ochronie danych (EU-US Data Privacy Framework, DPF).

Okres przechowywania danych ze zgłoszenia rezerwacyjnego zależy od jego dalszego losu:

Po usunięciu lub anonimizacji dane mogą pozostawać jeszcze do 7 dni w kopiach zapasowych systemu.