1 Zakres dokumentu

Niniejsza Polityka prywatności dotyczy serwisu hardvice.com (dalej: „strona”) oraz kontaktu z Hardvice przez formularz, e-mail i telefon. Opisuje, jakie dane przetwarzamy, w jakim celu, na jakiej podstawie prawnej, komu je udostępniamy i jakie masz prawa.

Przetwarzanie odbywa się zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), ustawą o ochronie danych osobowych oraz - w zakresie komunikacji elektronicznej - z przepisami o świadczeniu usług drogą elektroniczną i Prawem komunikacji elektronicznej.

2 Administrator danych

Administratorem danych osobowych przetwarzanych w związku ze stroną i bezpośrednim kontaktem z nami jest Hardvice.

Kontakt w sprawach ochrony danych: e-mail hardvicehr@gmail.com, tel. +48 607 144 066.

Pełne dane identyfikacyjne administratora (imię i nazwisko lub nazwa, adres prowadzenia działalności, NIP - jeśli dotyczy) podajemy w umowach i na fakturach oraz przekażemy na żądanie, pisząc na powyższy adres e-mail.

Nie wyznaczyliśmy inspektora ochrony danych. We wszystkich sprawach dotyczących danych osobowych kontaktujesz się bezpośrednio z administratorem.

3 Kiedy jesteśmy administratorem, a kiedy procesorem

Administrator

Jesteśmy administratorem, gdy przetwarzamy dane we własnym celu, w szczególności: odwiedziny strony, formularz konsultacji, korespondencja z nami, umawianie spotkania, rozliczenia i dokumentacja współpracy z Tobą jako klientem albo kandydatem, który zgłosił się do nas bezpośrednio.

Podmiot przetwarzający (procesor)

Gdy wspieramy firmę klienta (np. rekrutacja, audyt, wynagrodzenia, szkolenia, sprawy pracownicze), dane pracowników, kandydatów lub kontrahentów klienta przetwarzamy zasadniczo w imieniu klienta, na jego udokumentowane polecenie (art. 28 RODO). Administratorem tych danych jest wtedy klient. Zakres, cele i czas przetwarzania określa umowa z klientem oraz umowa powierzenia, jeśli jest wymagana.

Przez formularz na stronie nie zbieramy akt osobowych, list płac ani baz pracowników klienta.

4 Jakie dane przetwarzamy

Dane z formularza

Po kliknięciu „Wyślij zgłoszenie” dane idą na serwer hardvice.com (funkcja Vercel), a następnie są przekazywane przez FormSubmit na skrzynkę hardvicehr@gmail.com. Możesz podać:

• imię i nazwisko (wymagane)
• adres e-mail (wymagany)
• numer telefonu (opcjonalnie)
• nazwę firmy (opcjonalnie)
• temat, treść wiadomości i preferowany termin konsultacji

Pola wymagane są potrzebne, żeby przyjąć zgłoszenie i się z Tobą skontaktować. Niepodanie ich uniemożliwia wysłanie formularza. Nie prosimy przez stronę o hasła, dane płatnicze, PESEL, numer dowodu ani dane szczególnych kategorii z art. 9 RODO (np. zdrowie). Prosimy, aby takich danych nie wpisywać w wiadomości.

Dane techniczne

• adres IP i podstawowe logi dostępu po stronie hostingu (bezpieczeństwo, diagnostyka)
• adres IP tymczasowo przy ograniczeniu nadużyć formularza (limit zgłoszeń) - bez trwałej bazy IP
• token rezerwacji terminu (powiązany z imieniem, e-mailem i terminem), żeby potwierdzić zgłoszenie
• język interfejsu i znacznik akceptacji informacji o cookies w pamięci przeglądarki

Korespondencja i współpraca

Jeśli napiszesz e-mail, zadzwonisz albo rozpoczniemy współpracę, przetwarzamy dane podane w tej korespondencji oraz dane rozliczeniowe potrzebne do umowy i obowiązków podatkowych.

Po wysłaniu formularza możesz dostać automatyczne potwierdzenie odbioru na podany adres e-mail.

5 Cele i podstawy prawne

• Obsługa zapytania i umówienie konsultacji

  Art. 6 ust. 1 lit. b RODO - działania przed zawarciem umowy (albo lit. f, jeśli nie zmierzasz do umowy, np. ogólne pytanie). Obejmuje też automatyczne potwierdzenie zgłoszenia.

• Wykonanie umowy i rozliczenia

  Art. 6 ust. 1 lit. b oraz lit. c RODO (obowiązki rachunkowe i podatkowe), gdy dojdzie do współpracy.

• Bezpieczeństwo strony i formularza

  Art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes: ochrona przed spamem, nadużyciami i atakami.

• Działanie strony

  Art. 6 ust. 1 lit. f RODO - język, zapamiętanie informacji o cookies, rezerwacja terminu w przeglądarce. To nie jest marketingowy tracking.

• Marketing elektroniczny

  Tylko jeśli wyrazisz na to odrębną zgodę (art. 6 ust. 1 lit. a RODO oraz przepisy o komunikacji elektronicznej). Wysyłając formularz nie wyrażasz zgody marketingowej. Nie dodajemy adresu z formularza do bazy reklamowej „z automatu”.

• Informacje związane ze współpracą

  Art. 6 ust. 1 lit. f RODO - informowanie klientów o sprawach związanych z usługą, z prawem sprzeciwu w każdym momencie.

• Roszczenia

  Art. 6 ust. 1 lit. f RODO - ustalenie, dochodzenie lub obrona roszczeń.

Zgodę możesz wycofać w każdej chwili, bez wpływu na zgodność z prawem przetwarzania przed wycofaniem. Sprzeciw wobec art. 6 ust. 1 lit. f zgłosisz na hardvicehr@gmail.com.

6 Odbiorcy i przekazywanie poza EOG

Dane mogą być powierzone lub udostępnione wyłącznie, gdy jest to potrzebne do celów opisanych wyżej:

• Vercel Inc. (hosting i funkcja formularza)

  Udostępnianie strony i odbiór zgłoszenia na hardvice.com. Możliwe techniczne logi (w tym IP).

• FormSubmit

  Pośredniczy w dostarczeniu treści formularza na naszą skrzynkę. Nadawcą technicznym jest usługa pośrednicząca; Twój e-mail jest ustawiany jako odpowiedź (reply-to).

• Google LLC (Gmail i Google Fonts)

  Zgłoszenia i korespondencja trafiają na Gmail Hardvice. Czcionki ładują się z serwerów Google, co może oznaczać przetwarzanie IP przez Google.

Część z tych dostawców ma siedzibę w USA lub może przetwarzać dane poza Europejskim Obszarem Gospodarczym. Przekazanie odbywa się wtedy na podstawie rozdziału V RODO, w praktyce mechanizmów stosowanych przez dostawcę (m.in. standardowe klauzule umowne Komisji Europejskiej albo - jeśli dostawca w nim uczestniczy - Data Privacy Framework). Szczegóły są w politykach tych dostawców.

Dane możemy też przekazać, gdy wymaga tego prawo (organy publiczne) albo gdy jest to niezbędne do ochrony naszych praw (np. doradca prawny, księgowość) - w zakresie niezbędnym i na podstawie umowy powierzenia, jeśli pełnią rolę procesora.

7 Jak długo przechowujemy dane

• Zapytanie bez umowy

  Do 12 miesięcy od ostatniego kontaktu w sprawie zgłoszenia, chyba że wcześniej poprosisz o usunięcie i nie mamy innej podstawy (np. spór).

• Umowa i rozliczenia

  Przez czas współpracy, a potem przez okres wymagany przepisami (dokumentacja księgowa - zwykle 5 lat od końca roku podatkowego) oraz przez okres przedawnienia roszczeń.

• Logi i limity formularza

  Krótko, w zakresie działania hostingu i tymczasowego limitu zgłoszeń. Nie prowadzimy osobnej, trwałej ewidencji adresów IP użytkowników strony.

• Zgoda marketingowa

  Do wycofania zgody lub skutecznego sprzeciwu, a następnie przez krótki czas w celu wykazania, że żądanie zostało zrealizowane.

• Dane w przeglądarce (localStorage)

  Do wyczyszczenia danych strony w przeglądarce albo zmiany ustawienia.

Po upływie okresu dane usuwamy lub anonimizujemy, o ile przepisy nie nakazują dłuższego przechowywania.

8 Twoje prawa

Przysługuje Ci, w granicach RODO:

• dostęp do danych i kopia (art. 15)
• sprostowanie (art. 16)
• usunięcie - „prawo do bycia zapomnianym” (art. 17)
• ograniczenie przetwarzania (art. 18)
• przenoszenie danych, gdy przetwarzanie opiera się na zgodzie lub umowie i odbywa się automatycznie (art. 20)
• sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21)
• wycofanie zgody, jeśli przetwarzanie na niej polega (art. 7 ust. 3)

Żądanie wyślij na hardvicehr@gmail.com. Żeby nie wydać danych osobie nieuprawnionej, możemy poprosić o potwierdzenie tożsamości.

Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Nie stosujemy zautomatyzowanego podejmowania decyzji, w tym profilowania, które wywoływałoby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływało (art. 22 RODO).

9 Pliki cookie i pamięć lokalna

Nie stosujemy śledzących plików cookie stron trzecich ani pikseli reklamowych. Nie przekazujemy danych z przeglądarki do sieci reklamowych.

Korzystamy z niezbędnej pamięci lokalnej przeglądarki (localStorage):

• wybrany język strony - hr-site-lang
• potwierdzenie zapoznania się z informacją o cookies - hr-cookie-consent
• tymczasowe zapamiętanie wybranego terminu w kalendarzu formularza - hr-pending-slot

Te informacje zostają na Twoim urządzeniu. Możesz je usunąć w ustawieniach przeglądarki. Strona może wtedy zapomnieć język i ponownie pokazać informację o cookies.

Google Fonts to zasób ładowany z serwerów Google (nie cookie Hardvice). Jeśli nie chcesz takiego połączenia, możesz zablokować żądania do domen Google w przeglądarce; strona pozostanie czytelna, czcionki systemowe mogą wyglądać inaczej.

10 Bezpieczeństwo

Stosujemy środki odpowiednie do ryzyka, m.in.:

• połączenie HTTPS ze stroną
• ograniczenie pól formularza i odrzucanie oczywistego spamu
• limit liczby zgłoszeń z jednego adresu w czasie
• dostęp do skrzynki i panelu strony tylko dla osób upoważnionych
• poufność treści HR jak w pracy wewnętrznego działu (w umowach z klientami)

Żaden system nie daje gwarancji absolutnej. Jeśli zgłosisz incydent lub podejrzewasz wyciek, napisz natychmiast na hardvicehr@gmail.com.

11 Procedury ochrony danych

Poniżej opisujemy, jak realizujemy obowiązki z RODO w praktyce.

11.1. Żądania osób, których dane dotyczą

1. Przyjmujemy żądanie e-mailem na hardvicehr@gmail.com (temat np. „RODO - żądanie”).
2. W razie wątpliwości prosimy o dane pozwalające potwierdzić tożsamość (nie prosimy o skan dowodu, jeśli wystarczy korespondencja z tego samego adresu e-mail).
3. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu 30 dni. W sprawach skomplikowanych możemy przedłużyć ten termin o kolejne 2 miesiące, informując Cię o przyczynie.
4. Jeśli żądanie jest oczywiście nieuzasadnione lub nadmierne, możemy odmówić lub pobrać opłatę - zgodnie z art. 12 RODO - i to uzasadnić.
5. Gdy działamy jako procesor klienta, żądanie dotyczące danych pracowników lub kandydatów klienta przekazujemy administratorowi (klientowi) i informujemy Cię o tym, chyba że klient poleci inaczej.

11.2. Usuwanie i ograniczenie

1. Po zasadnym żądaniu usunięcia kasujemy dane ze skrzynki i kopii roboczych, których nie musimy zachować z mocy prawa.
2. Kopie zapasowe poczty lub hostingu wygasają zgodnie z cyklem dostawcy; nie odtwarzamy ich w celu dalszego przetwarzania danej osoby.
3. Ograniczenie przetwarzania oznacza, że dane oznaczamy i używamy ich tylko do celów dopuszczonych przy ograniczeniu (np. obrona roszczeń).

11.3. Sprzeciw i wycofanie zgody

1. Sprzeciw lub wycofanie zgody realizujemy niezwłocznie, nie później niż w 30 dni (zwykle szybciej).
2. Przestajemy przetwarzać dane w celu, którego dotyczy sprzeciw, o ile nie wykażemy nadrzędnych podstaw (art. 21 RODO).
3. Potwierdzamy realizację krótkim e-mailem, jeśli żądanie przyszło elektronicznie.

11.4. Naruszenie ochrony danych

1. Po wykryciu incydentu oceniamy, czy doszło do naruszenia i jakie jest ryzyko dla osób.
2. Jeśli ryzyko jest prawdopodobne, zgłaszamy naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w 72 godziny od stwierdzenia (art. 33 RODO).
3. Jeśli ryzyko jest wysokie, zawiadamiamy też osoby, których dane dotyczą (art. 34 RODO), chyba że zastosowaliśmy środki zwalniające z tego obowiązku.
4. Dokumentujemy incydent: fakty, skutki, działania naprawcze.

11.5. Minimalizacja i poufność

1. Zbieramy tylko dane potrzebne do celu (formularz: kontakt i termin).
2. Nie publikujemy treści zgłoszeń. Dostęp mają osoby, które muszą je obsłużyć.
3. Przy pracy dla klienta nie wykorzystujemy powierzonych danych we własnym marketingu ani nie łączymy ich z innymi klientami.
4. Po zakończeniu powierzenia zwracamy lub usuwamy dane klienta według umowy, z wyjątkiem kopii, które prawo każe zachować.

11.6. Dostawcy (powierzenie)

1. Korzystamy z hostingu, poczty i przekazu formularza, bo są potrzebne do działania strony.
2. Nie sprzedajemy danych osobowych.
3. Gdy zawieramy umowę z nowym procesorem, oceniamy, czy zapewnia odpowiednie gwarancje z art. 28 RODO.

1 Scope

This Privacy Policy covers hardvice.com (the “site”) and contact with Hardvice by form, email and phone. It explains what data we process, why, on what legal basis, who receives it, and your rights.

Processing follows Regulation (EU) 2016/679 (GDPR), Polish data-protection law and, for electronic communications, the applicable e-communications rules.

2 Data controller

The controller of personal data processed in connection with the site and direct contact with us is Hardvice.

Data-protection contact: hardvicehr@gmail.com, tel. +48 607 144 066.

Full identification details (name, business address, tax ID where applicable) appear in contracts and invoices and will be provided on request to the email above.

We have not appointed a Data Protection Officer. For all personal-data matters you contact the controller directly.

3 Controller vs processor

Controller

We are the controller when we process data for our own purposes, in particular: site visits, the consultation form, correspondence, booking a meeting, billing and records of cooperation with you as a client or as a candidate who contacted us directly.

Processor

When we support a client company (e.g. recruitment, audit, pay, training, people processes), data of that client’s employees, candidates or contractors is processed on the client’s documented instructions (Art. 28 GDPR). The client is then the controller. Scope, purposes and retention follow the client contract and a data-processing agreement where required.

The website form does not collect personnel files, payroll or the client’s employee databases.

4 What data we process

Form data

When you click “Send request”, data goes to the hardvice.com server (Vercel function) and is then relayed via FormSubmit to hardvicehr@gmail.com. You may provide:

• full name (required)
• email address (required)
• phone number (optional)
• company name (optional)
• topic, message and preferred consultation time

Required fields are needed to accept the request and contact you. We do not ask via the site for passwords, payment data, national ID numbers or special-category data under Art. 9 GDPR (e.g. health). Please do not include such data in the message.

Technical data

• IP address and basic access logs on the hosting side (security, diagnostics)
• IP address temporarily for form abuse limits - no lasting IP database
• a booking token (linked to name, email and slot) to confirm the request
• interface language and cookie-notice acknowledgement in the browser

Correspondence and cooperation

If you email, call or start working with us, we process data from that correspondence and billing data needed for the contract and tax duties.

After submitting the form you may receive an automatic acknowledgement to the email you provided.

5 Purposes and legal bases

• Handling the enquiry and booking a consultation

  Art. 6(1)(b) GDPR - steps prior to a contract (or (f) if you are not aiming at a contract). Includes the automatic acknowledgement.

• Contract performance and accounting

  Art. 6(1)(b) and (c) GDPR when cooperation starts.

• Site and form security

  Art. 6(1)(f) GDPR - legitimate interest in preventing spam and abuse.

• Site operation

  Art. 6(1)(f) GDPR - language, cookie-notice memory, calendar slot in the browser. This is not advertising tracking.

• Electronic marketing

  Only with separate consent (Art. 6(1)(a) GDPR and e-communications rules). Submitting the form is not marketing consent. We do not add the form email to an advertising list automatically.

• Service-related messages to clients

  Art. 6(1)(f) GDPR, with a right to object at any time.

• Claims

  Art. 6(1)(f) GDPR - establishing, exercising or defending legal claims.

You may withdraw consent at any time, without affecting processing before withdrawal. Object to Art. 6(1)(f) processing at hardvicehr@gmail.com.

6 Recipients and transfers outside the EEA

Data is disclosed only as needed for the purposes above:

• Vercel Inc. (hosting and form function)

  Serves the site and receives the submission on hardvice.com. Technical logs (including IP) may be stored.

• FormSubmit

  Relays the form to our inbox. The technical sender is the relay; your email is set as reply-to.

• Google LLC (Gmail and Google Fonts)

  Submissions and mail arrive in Hardvice Gmail. Fonts load from Google servers, which may involve IP processing by Google.

Some providers are in the United States or may process data outside the EEA. Transfers then rely on Chapter V GDPR, in practice the provider’s mechanism (e.g. EU Standard Contractual Clauses or, if the provider participates, the Data Privacy Framework). Details are in those providers’ policies.

We may also disclose data where the law requires it, or as needed to protect our rights (e.g. legal or accounting advisers), on a processor contract where they act as processors.

7 How long we keep data

• Enquiry with no contract

  Up to 12 months after the last contact on that request, unless you ask for deletion sooner and we have no other basis (e.g. a dispute).

• Contract and accounting

  For the cooperation, then as required by law (accounting records typically 5 years from the end of the tax year) and for limitation periods.

• Logs and form limits

  Briefly, as the host and temporary rate limit operate. We do not keep a separate lasting register of site-user IPs.

• Marketing consent

  Until withdrawal or objection, then a short period to show the request was handled.

• Browser storage

  Until you clear site data or change the setting.

After the period we delete or anonymise the data unless the law requires longer storage.

8 Your rights

Within the limits of the GDPR you may:

• access your data and obtain a copy (Art. 15)
• rectify it (Art. 16)
• erase it (Art. 17)
• restrict processing (Art. 18)
• receive data portability where processing is based on consent or contract and is automated (Art. 20)
• object to processing based on legitimate interests (Art. 21)
• withdraw consent where processing relies on it (Art. 7(3))

Send requests to hardvicehr@gmail.com. We may ask you to confirm identity so we do not release data to the wrong person.

You may lodge a complaint with the President of the Personal Data Protection Office (ul. Stawki 2, 00-193 Warsaw, Poland, uodo.gov.pl).

We do not use automated decision-making, including profiling, that produces legal effects concerning you or similarly significantly affects you (Art. 22 GDPR).

9 Cookies and local storage

We do not use third-party tracking cookies or ad pixels. We do not send browser data to ad networks.

We use essential browser localStorage:

• chosen language - hr-site-lang
• acknowledgement of the cookie notice - hr-cookie-consent
• temporary calendar slot in the form - hr-pending-slot

This stays on your device. You can delete it in the browser. The site may then forget the language and show the cookie notice again.

Google Fonts load from Google servers (not a Hardvice cookie). You may block Google domains in the browser; the site remains readable with system fonts.

10 Security

We apply measures appropriate to the risk, including:

• HTTPS
• limited form fields and rejection of obvious spam
• a rate limit on submissions
• inbox and site-admin access only for authorised people
• HR confidentiality in client contracts, as with an in-house HR team

No system is perfectly secure. If you suspect an incident, write immediately to hardvicehr@gmail.com.

11 Data-protection procedures

How we meet GDPR duties in practice:

11.1. Data-subject requests

1. We accept requests by email to hardvicehr@gmail.com (subject e.g. “GDPR request”).
2. If needed we ask for information to confirm identity (we do not ask for an ID scan if the same email thread is enough).
3. We reply without undue delay and within 30 days. For complex cases we may extend by two months and tell you why.
4. If a request is manifestly unfounded or excessive we may refuse or charge a fee under Art. 12 GDPR, with reasons.
5. If we act as a client’s processor, requests about that client’s employees or candidates are forwarded to the client as controller, and we tell you, unless the client instructs otherwise.

11.2. Erasure and restriction

1. After a valid erasure request we delete data from the inbox and working copies we are not required by law to keep.
2. Mail or hosting backups expire on the provider’s cycle; we do not restore them to keep processing that person.
3. Restriction means we mark the data and use it only for the purposes allowed while restricted (e.g. defending claims).

11.3. Objection and withdrawal of consent

1. We action objection or withdrawal without undue delay, within 30 days (usually faster).
2. We stop the processing you object to unless we demonstrate overriding grounds (Art. 21 GDPR).
3. We confirm by short email if the request came electronically.

11.4. Personal-data breaches

1. After detecting an incident we assess whether a breach occurred and the risk to people.
2. If risk is likely, we notify the Polish SA without undue delay and, where feasible, within 72 hours of becoming aware (Art. 33 GDPR).
3. If risk is high, we also inform the people concerned (Art. 34 GDPR), unless an exemption applies.
4. We document the incident: facts, effects and remedial steps.

11.5. Minimisation and confidentiality

1. We collect only what the purpose needs (form: contact and slot).
2. We do not publish submissions. Access is limited to people who must handle them.
3. Client-entrusted data is not used for our own marketing or mixed with other clients.
4. After processing ends we return or delete client data as the contract requires, except copies the law requires us to keep.

11.6. Vendors

1. We use hosting, email and form relay because the site needs them.
2. We do not sell personal data.
3. Before a new processor we assess whether they provide Art. 28 GDPR guarantees.