§ 1. Administrator danych osobowych
Administratorem danych osobowych przetwarzanych w związku z korzystaniem ze strony internetowej qctravel.pl (dalej: „Serwis”) oraz w związku z zawieraniem i wykonywaniem umów o udział w imprezach turystycznych jest QC Travel Sp. z o.o. z siedzibą w ul. Włościańska 23/19, 01-710 Warszawa, wpisana do rejestru przedsiębiorców KRS pod numerem 0001232333, NIP: 5253084662, REGON: 544371703.
Kontakt w sprawach ochrony danych osobowych: e-mail: hello@qctravel.pl, poczta: QC Travel Sp. z o.o., ul. Włościańska 23/19, 01-710 Warszawa.
§ 2. Zasady ogólne przetwarzania danych
Administrator przetwarza dane osobowe zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz przepisami krajowymi wdrażającymi RODO. Dane przetwarzane są wyłącznie w zakresie niezbędnym do realizacji określonych celów, na podstawie właściwej przesłanki prawnej, przez czas nie dłuższy niż wymagany dla danego celu.
§ 3. Cele i podstawy przetwarzania danych - zestawienie
| Cel przetwarzania | Kategorie danych | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Zawarcie i wykonanie umowy o imprezę turystyczną (rezerwacja, realizacja wyjazdu) | Imię, nazwisko, adres, e-mail, telefon, data urodzenia, PESEL (na potrzeby ubezpieczenia) | Art. 6 ust. 1 lit. b RODO (wykonanie umowy) | Przez czas trwania umowy i okres przedawnienia roszczeń - 3 lata od jej wykonania lub terminu, w którym miała zostać wykonana |
| Dane uczestników niepełnoletnich (dane zdrowotne z Karty Informacyjnej: alergie, choroby, leki) | Imię, nazwisko, data urodzenia, PESEL, dane zdrowotne (szczególna kategoria danych) | Art. 6 ust. 1 lit. b + art. 9 ust. 2 lit. c RODO (ochrona żywotnych interesów dziecka) | 3 miesiące od zakończenia imprezy; dłużej wyłącznie jeżeli reklamacja lub postępowanie sądowe wymagają zachowania danych |
| Wystawianie faktur i dokumentacja podatkowa | Imię i nazwisko / firma, adres, NIP | Art. 6 ust. 1 lit. c RODO (obowiązek prawny - przepisy podatkowe) | 5 lat od końca roku kalendarzowego, w którym powstało zobowiązanie podatkowe |
| Newsletter - wysyłka informacji o ofertach i nowościach | Adres e-mail | Art. 6 ust. 1 lit. a RODO (zgoda) + art. 391 PKE (zgoda na komunikację elektroniczną) | Do chwili wycofania zgody lub przez 3 lata od jej udzielenia bez ponownego potwierdzenia aktywności (prawo jest sprawdzane przez Administratora) |
| Marketing bezpośredni - remarketing, reklamy spersonalizowane (Google, Meta) | Dane behawioralne z cookies (historia przeglądania, kliknięcia), identyfikatory urządzeń | Art. 6 ust. 1 lit. a RODO (zgoda na cookies marketingowe) | Do wycofania zgody na cookies marketingowe |
| Obsługa zapytań przez formularz kontaktowy lub e-mail | Imię, e-mail, treść wiadomości | Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes - obsługa korespondencji) | 12 miesięcy od ostatniego kontaktu; dłużej, jeśli korespondencja dotyczy zawarcia umowy (wówczas jak umowa) |
| Dochodzenie i obrona roszczeń | Dane z umowy i korespondencji | Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes) | Do upływu okresu przedawnienia roszczeń - co do zasady 3 lata od wykonania umowy |
| Bezpieczeństwo Serwisu - logi dostępu, wykrywanie nadużyć | Adres IP, identyfikatory sesji, znaczniki czasu | Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes) | 12 miesięcy, chyba że logi są dowodem w postępowaniu - wówczas do jego zakończenia |
§ 4. Szczególna ochrona danych dzieci
Administrator przetwarza dane zdrowotne uczestników niepełnoletnich (w szczególności informacje o alergiach, chorobach przewlekłych i przyjmowanych lekach) wyłącznie w celu zapewnienia bezpieczeństwa dziecka podczas imprezy turystycznej, w tym podczas zajęć Szkółki narciarskiej. Dane te są udostępniane wyłącznie Rezydentowi i instruktorom szkółki, w zakresie bezwzględnie niezbędnym dla opieki nad dzieckiem.
Dane zdrowotne dzieci są przechowywane w formie papierowej (Karta Informacyjna) w warunkach zapewniających poufność (zamknięty sejf lub szafa z zamkiem). Po upływie okresu przechowywania Karty Informacyjne są niszczone w sposób uniemożliwiający odczytanie danych.
Serwis internetowy nie jest skierowany do dzieci w rozumieniu art. 8 RODO. Osoby niepełnoletnie korzystają z Serwisu wyłącznie za zgodą i pod nadzorem rodziców lub opiekunów prawnych. Administrator nie zbiera świadomie danych od dzieci poniżej 16. roku życia bez weryfikowalnej zgody rodzica.
§ 5. Odbiorcy danych / podmioty przetwarzające
Dane osobowe mogą być przekazywane następującym kategoriom odbiorców:
- Ubezpieczyciel - SIGNAL IDUNA Polska Towarzystwo Ubezpieczeń S.A., ul. Siedmiogrodzka 9, 01-204 Warszawa (listy uczestników w celu zawarcia ubezpieczenia grupowego oraz gwarancji turystycznej);
- Obiekty zakwaterowania - hotele, w których realizowana jest impreza turystyczna, w szczególności: Hotel Das Saal (Saalfelden, Austria), Hotel Engel (Carezza, Włochy), Hotel Madonnina (Soraga di Fassa, Włochy) (dane uczestników niezbędne do realizacji zakwaterowania - imię, nazwisko, data urodzenia, liczba i wiek dzieci);
- Operator płatności online - jeżeli Administrator uruchomi płatności online, dane niezbędne do przetworzenia płatności będą przekazywane wybranemu operatorowi na podstawie umowy powierzenia przetwarzania danych;
- Dostawca usług wysyłki newslettera i e-mail - po uruchomieniu wysyłki newslettera dane subskrybentów będą powierzone wybranemu dostawcy narzędzia do e-mail marketingu na podstawie umowy powierzenia przetwarzania danych; informacja o dostawcy zostanie wskazana w niniejszej Polityce;
- Biuro rachunkowe - Soroban Sp. z o.o. (soroban.pl) (dane wymagane do prowadzenia ksiąg rachunkowych - na podstawie umowy powierzenia);
- Dostawca hostingu - nazwa.pl sp. z o.o. (dane przechowywane na serwerach dostawcy - na podstawie umowy powierzenia);
- Google LLC - w zakresie usług Google Analytics i Google Ads (dane behawioralne z cookies - patrz § 8);
- Meta Platforms, Inc. - w zakresie usług Facebook Pixel i Meta Ads (dane behawioralne z cookies - patrz § 8);
- Organy publiczne - wyłącznie w zakresie wymaganym obowiązującymi przepisami prawa (np. Urząd Skarbowy, Urząd Ochrony Danych Osobowych).
§ 6. Przekazywanie danych do państw trzecich (poza EOG)
Dane osobowe mogą być przekazywane do Stanów Zjednoczonych Ameryki w związku z korzystaniem z usług następujących dostawców:
- Google LLC - w zakresie usług Google Analytics i Google Ads. Podstawa przekazania: Standardowe Klauzule Umowne (SCC) przyjęte przez Komisję Europejską. Informacje o ochronie danych przez Google dostępne są pod adresem https://policies.google.com/privacy.
- Meta Platforms, Inc. - w zakresie usług Facebook Pixel i Meta Ads. Podstawa przekazania: Standardowe Klauzule Umowne (SCC). Informacje: https://www.facebook.com/policy.
W przypadku przekazywania danych do Stanów Zjednoczonych Administrator stosuje Standardowe Klauzule Umowne przyjęte decyzją Komisji Europejskiej nr 2021/914 z dnia 4 czerwca 2021 r. Przekazywanie danych do USA odbywa się wyłącznie za pośrednictwem podmiotów uczestniczących w EU-US Data Privacy Framework lub na podstawie SCC, co zapewnia odpowiedni stopień ochrony danych.
§ 7. Prawa osób, których dane dotyczą
Każdej osobie, której dane osobowe przetwarza Administrator, przysługują następujące prawa:
| Prawo | Zakres |
|---|---|
| Prawo dostępu (art. 15 RODO) | Prawo do uzyskania od Administratora potwierdzenia, czy przetwarzane są dane osobowe oraz do otrzymania kopii tych danych wraz z informacją o celach, podstawach i odbiorcach. |
| Prawo do sprostowania (art. 16 RODO) | Prawo do żądania niezwłocznego sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych. |
| Prawo do usunięcia (art. 17 RODO) | Prawo do żądania usunięcia danych, gdy nie są już niezbędne do celów, dla których zostały zebrane; gdy wycofano zgodę; gdy przetwarzanie jest niezgodne z prawem. Prawo nie dotyczy danych niezbędnych do ustalenia, dochodzenia lub obrony roszczeń ani danych przetwarzanych na podstawie obowiązku prawnego. |
| Prawo do ograniczenia przetwarzania (art. 18 RODO) | Prawo do żądania ograniczenia przetwarzania w przypadkach wskazanych w art. 18 RODO (np. gdy kwestionowana jest prawidłowość danych). |
| Prawo do przenoszenia danych (art. 20 RODO) | Prawo do otrzymania danych w ustrukturyzowanym formacie nadającym się do odczytu maszynowego oraz do przesłania ich innemu administratorowi - dotyczy danych przetwarzanych na podstawie zgody lub umowy. |
| Prawo do sprzeciwu (art. 21 RODO) | Prawo do wniesienia sprzeciwu wobec przetwarzania danych na podstawie prawnie uzasadnionego interesu Administratora (w tym profilowania w celach marketingowych). Po wniesieniu sprzeciwu Administrator zaprzestaje przetwarzania, chyba że wykaże ważne prawnie uzasadnione podstawy. |
| Prawo do wycofania zgody (art. 7 ust. 3 RODO) | W przypadku przetwarzania na podstawie zgody - prawo do jej wycofania w każdym czasie. Wycofanie nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem. |
Jak skorzystać z praw? Wniosek należy przesłać na adres e-mail: hello@qctravel.pl lub pocztą na adres siedziby Administratora. Administrator rozpatruje wniosek w terminie miesiąca od jego otrzymania (z możliwością przedłużenia o kolejne 2 miesiące przy złożonych żądaniach, o czym Administrator poinformuje wnioskodawcę).
Prawo do skargi: W przypadku stwierdzenia, że przetwarzanie danych osobowych narusza przepisy RODO, każda osoba, której dane dotyczą, ma prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, e-mail: kancelaria@uodo.gov.pl.
§ 8. Pliki cookies - zasady korzystania
8.1. Czym są pliki cookies? Pliki cookies (ciasteczka) to małe pliki tekstowe zapisywane przez przeglądarkę internetową na urządzeniu Użytkownika w momencie odwiedzania Serwisu. Cookies umożliwiają Serwisowi zapamiętanie preferencji Użytkownika, badanie sposobu korzystania z Serwisu oraz wyświetlanie spersonalizowanych reklam.
8.2. Rodzaje stosowanych plików cookies
| Kategoria | Przykłady | Cel / opis | Podstawa / zgoda |
|---|---|---|---|
| Niezbędne | Sesja, CSRF, qc_consent | Niezbędne do prawidłowego działania Serwisu (bezpieczeństwo, formularz rezerwacji, zapamiętanie wyborów dotyczących cookies). Bez nich serwis nie działa poprawnie. | Art. 173 ust. 3 Pt. Kom. (PKE) - nie wymagają zgody |
| Funkcjonalne | Preferowany język, waluta | Zapamiętują preferencje Użytkownika w celu poprawy komfortu korzystania z Serwisu. | Art. 6 ust. 1 lit. a RODO - wymagają zgody |
| Analityczne | _ga, _gid, _gat (Google Analytics) | Zbierają zanonimizowane dane o sposobie korzystania z Serwisu (liczba odwiedzin, czas, strony). Umożliwiają doskonalenie Serwisu. Dane trafiają do Google LLC (USA - patrz § 6). | Art. 6 ust. 1 lit. a RODO - wymagają zgody. Implementacja z Google Consent Mode v2. |
| Marketingowe | _fbp, fr (Meta/Facebook Pixel), _gcl_au (Google Ads) | Umożliwiają wyświetlanie reklam dopasowanych do zainteresowań Użytkownika na platformach zewnętrznych (Facebook, Instagram, Google). Dane trafiają do Meta Platforms i Google LLC (USA - patrz § 6). | Art. 6 ust. 1 lit. a RODO - wymagają zgody. Implementacja z Google Consent Mode v2 i Meta Pixel Consent API. |
8.3. Zarządzanie plikami cookies Użytkownik może zarządzać plikami cookies za pomocą banera zgód wyświetlanego przy pierwszym wejściu do Serwisu (i dostępnego ponownie w stopce strony pod linkiem „Ustawienia cookies”). Zgodę można wycofać w każdym czasie bez konsekwencji dla korzystania z Serwisu - wyłącznie z możliwym pogorszeniem funkcjonalności zależnych od cookies funkcjonalnych.
Dodatkowo zarządzanie cookies jest możliwe z poziomu ustawień przeglądarki internetowej. Instrukcje dla popularnych przeglądarek:
- Chrome: Ustawienia → Prywatność i bezpieczeństwo → Pliki cookie i inne dane witryn
- Firefox: Ustawienia → Prywatność i bezpieczeństwo → Cookies i dane witryn
- Safari: Preferencje → Prywatność
- Edge: Ustawienia → Pliki cookie i uprawnienia witryn
Wyłączenie wszystkich plików cookies w przeglądarce może uniemożliwić prawidłowe korzystanie z niektórych funkcji Serwisu, w szczególności z formularza rezerwacji i systemu płatności.
§ 9. Zmiany Polityki Prywatności
Administrator zastrzega sobie prawo do aktualizacji niniejszej Polityki Prywatności. O każdej istotnej zmianie Użytkownicy będą informowani poprzez komunikat widoczny w Serwisie przez co najmniej 14 dni przed wejściem zmiany w życie. Subskrybenci newslettera zostaną dodatkowo powiadomieni e-mailem.
The binding version is the PDF document (in Polish). The permanent link below always points to the current file.