Zgodność z RODO i ochrona danych | heyhey

1. Czym jest RODO

RODO (Rozporządzenie Ogólne o Ochronie Danych Osobowych) to europejskie prawo obowiązujące od 25 maja 2018 roku. Reguluje, jak firmy i osoby mogą przetwarzać dane osobowe obywateli Unii Europejskiej.

Adres email, imię, adres IP, dane lokalizacyjne, identyfikatory urządzeń, wszystkie te informacje to dane osobowe i podlegają RODO. Jeśli zbierasz takie dane, jesteś administratorem danych osobowych i masz określone obowiązki.

Kary za naruszenie RODO sięgają 20 milionów EUR lub 4% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa.

2. Role w heyhey

W kontekście RODO mamy w heyhey trzy role:

• heyhey, administrator danych Użytkowników (osób posiadających konta) oraz procesor danych w stosunku do subskrybentów Twoich list (działa na Twoje zlecenie).
• Ty (Użytkownik heyhey), administrator danych swoich subskrybentów. Odpowiadasz za zgodność zbierania i przetwarzania ich danych z RODO.
• Twoi subskrybenci, osoby, których dane przetwarzasz. Mają pełne prawa wynikające z RODO (dostępu, sprostowania, usunięcia itd.).

heyhey dostarcza narzędzia, które wspierają Cię w wypełnianiu obowiązków administratora. Ale ostateczna odpowiedzialność za zgodność Twoich działań z RODO leży po Twojej stronie.

3. Funkcje heyhey wspierające zgodność z RODO

heyhey domyślnie wspiera następujące wymogi RODO:

• Dane na serwerach w UE (Frankfurt, Niemcy)
• Szyfrowanie połączenia (HTTPS/TLS) na każdej stronie
• Szyfrowanie haseł w bazie danych (bcrypt)
• Double opt-in (potwierdzenie zapisu) domyślnie włączony
• Automatyczny link "wypisz się" w każdym wysłanym mailu
• Pełna dokumentacja zgody: data, adres IP, treść formularza
• Eksport danych subskrybentów do CSV w dowolnym momencie
• Pełne usunięcie danych w 30 dni od żądania
• Gotowy szablon polityki prywatności dla każdej strony zapisu
• Umowa powierzenia przetwarzania danych (UPP) dostępna automatycznie
• Procedura zgłaszania naruszeń ochrony danych
• Regularne audyty bezpieczeństwa

4. Dane przechowywane w UE

Wszystkie dane Użytkowników heyhey i ich subskrybentów są przechowywane na serwerach zlokalizowanych w Niemczech (Frankfurt). Nie przekazujemy danych poza Europejski Obszar Gospodarczy (EOG).

Wykorzystujemy infrastrukturę następujących dostawców:

• Hetzner Online GmbH (Niemcy), serwery aplikacji i bazy danych
• Cloudflare Inc., CDN i DNS, z konfiguracją kierującą ruch do data center w UE
• Amazon Web Services (Niemcy), infrastruktura wysyłki maili (region eu-central-1)
• Resend (Niemcy), dostawca usługi transactional email (region UE)

5. Double opt-in

Double opt-in to mechanizm, który wymaga od subskrybenta dwóch kroków:

1. Wypełnienie formularza zapisu i podanie emaila
2. Kliknięcie linku potwierdzającego w mailu, który zostaje automatycznie wysłany

Subskrybent zostaje dodany do Twojej listy dopiero po wykonaniu drugiego kroku. To zapewnia, że osoba rzeczywiście chciała się zapisać i jest właścicielem podanego adresu email.

Dlaczego to ważne: double opt-in jest praktycznie jedyną metodą udowodnienia, że zgoda RODO była "świadoma, jednoznaczna i potwierdzona aktywnym działaniem". W razie kontroli UODO masz dowód: log z datą, adresem IP i potwierdzeniem kliknięcia linku.

W heyhey double opt-in jest włączony domyślnie. Możesz go wyłączyć dla niektórych list (np. importowanych z innego narzędzia, gdzie zgody już zostały zebrane), ale rekomendujemy zostawienie go włączonego.

6. Łatwe wypisanie

Każdy email wysłany przez heyhey zawiera automatyczny link "Wypisz się" w stopce. Kliknięcie tego linku:

• Natychmiast wypisuje subskrybenta z Twojej listy
• Aktualizuje status w bazie danych
• Wyłącza dalsze wysyłki do tego adresu
• Zapisuje datę i sposób wypisania (dla logu audytu)

Nie wolno usuwać ani modyfikować linku wypisania w kampaniach, to wymóg RODO i naszego regulaminu.

7. Dokumentacja zgody

Dla każdego subskrybenta heyhey automatycznie zapisuje:

• Datę i godzinę zapisu
• Adres IP, z którego dokonano zapisu
• URL strony, na której subskrybent się zapisał
• Treść formularza w momencie zapisu (źródło zgody)
• Datę i godzinę potwierdzenia double opt-in (jeśli włączony)
• Adres IP potwierdzenia double opt-in
• Pełną historię zmian statusu subskrybenta

Te informacje stanowią pełny dowód zgody w razie kontroli UODO lub sporu prawnego.

8. Eksport i usunięcie danych

8.1. Eksport danych

W dowolnym momencie możesz wyeksportować:

• Pełną listę subskrybentów (email, imię, pola własne, tagi, daty)
• Statystyki kampanii (otwarcia, kliknięcia, daty wysłania)
• Dokumentację zgody dla każdego subskrybenta

Format: CSV, zgodny z wymogiem przenoszenia danych RODO.

8.2. Usunięcie subskrybenta

Subskrybent może w każdej chwili zażądać usunięcia swoich danych. Realizujesz to w panelu heyhey, klikając "Usuń" przy danym subskrybencie. Dane są trwale usuwane z bazy (poza logami niezbędnymi do dowodu zgody w razie sporu, przechowywanymi 3 lata).

8.3. Usunięcie konta

Jeśli zdecydujesz się zakończyć korzystanie z heyhey, możesz usunąć konto z ustawień. Wszystkie dane (lista subskrybentów, kampanie, statystyki) są usuwane w terminie 30 dni. Wyjątkiem są dane do faktur, które przechowujemy 5 lat (obowiązek prawny).

9. Umowa powierzenia przetwarzania

Korzystając z heyhey jako narzędzia do zarządzania listą subskrybentów, powierzasz nam przetwarzanie ich danych osobowych. RODO wymaga zawarcia w takiej sytuacji umowy powierzenia przetwarzania danych (UPP).

UPP jest integralną częścią naszego regulaminu i zostaje zawarta automatycznie z chwilą akceptacji regulaminu i założenia konta. Określa ona:

• Zakres i cel przetwarzania danych subskrybentów
• Czas trwania powierzenia
• Środki bezpieczeństwa stosowane przez heyhey
• Obowiązki heyhey jako procesora
• Twoje uprawnienia jako administratora
• Procedurę zgłaszania naruszeń

Pełną treść UPP możesz pobrać w sekcji "Dokumenty prawne" w ustawieniach Twojego konta.

10. Twoje obowiązki jako administratora listy

heyhey daje Ci narzędzia, ale to Ty jako administrator listy subskrybentów odpowiadasz za zgodność z RODO. W szczególności:

1. Posiadanie polityki prywatności na stronie, gdzie zbierasz emaile (lub używanie szablonu heyhey)
2. Informowanie subskrybentów w jakim celu zbierasz dane i jak je będziesz wykorzystywać
3. Posiadanie podstawy prawnej przetwarzania (najczęściej zgoda)
4. Realizacja praw subskrybentów, dostęp do danych, sprostowanie, usunięcie
5. Nieprzesyłanie danych poza UE bez odpowiednich zabezpieczeń
6. Zgłaszanie naruszeń ochrony danych w terminie 72 godzin
7. Prowadzenie rejestru czynności przetwarzania (jeśli wymagane przez Twoją skalę działalności)

Jeśli masz wątpliwości co do swoich obowiązków, skonsultuj się z prawnikiem specjalizującym się w RODO lub Inspektorem Ochrony Danych (IOD).

11. Dalsze informacje

Polecamy zapoznać się również z naszymi pozostałymi dokumentami:

• Polityka prywatności, jak heyhey przetwarza dane swoich Użytkowników
• Polityka cookies, jakie ciasteczka wykorzystuje serwis heyhey.pl
• Regulamin, warunki świadczenia usługi heyhey
• Zasady używania heyhey, czego nie wolno robić w heyhey

Pytania o RODO? Napisz na info@heyhey.pl.

Oficjalne źródła informacji o RODO:

• Urząd Ochrony Danych Osobowych (UODO), polski organ nadzorczy
• European Data Protection Board (EDPB), europejska rada ochrony danych
• Pełny tekst RODO na portalu EUR-Lex