English version below

Polityka prywatności

Administratorem danych osobowych jest Łukasz Mestales („Administrator”). Kontakt z Administratorem jest możliwy pod adresem e-mail: l@mestales.com.

Niniejsza polityka prywatności określa zasady przetwarzania danych osobowych oraz korzystania z plików cookies i podobnych technologii na stronie internetowej Administratora.

1. Zakres stosowania

Strona nie zawiera formularza kontaktowego, sklepu ani newslettera. Dane osobowe są przetwarzane wyłącznie w zakresie niezbędnym do obsługi korespondencji e-mail, zapewnienia prawidłowego działania strony, analizy statystycznej ruchu oraz ewentualnego ustalenia, dochodzenia lub obrony roszczeń.

Administrator dokłada starań, aby przetwarzanie danych odbywało się zgodnie z przepisami prawa, w szczególności z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. („RODO”).

2. Jakie dane mogą być przetwarzane

W zależności od sposobu korzystania ze strony Administrator może przetwarzać:

• dane podane dobrowolnie w wiadomości e-mail, w szczególności adres e-mail, imię, nazwisko oraz treść korespondencji;
• dane techniczne dotyczące korzystania ze strony, takie jak adres IP, rodzaj przeglądarki, typ urządzenia, system operacyjny, przybliżona lokalizacja, identyfikatory cookies oraz informacje o aktywności na stronie;
• dane zapisywane w logach serwera, które są przetwarzane w celu zapewnienia bezpieczeństwa, diagnostyki błędów oraz administracji stroną.

3. Cele i podstawy prawne przetwarzania

Administrator przetwarza dane osobowe w następujących celach:

• udzielenie odpowiedzi na wiadomości e-mail i prowadzenie korespondencji;
• podjęcie działań przed zawarciem umowy lub wykonanie umowy, jeżeli do niej dojdzie;
• zapewnienie działania, bezpieczeństwa i stabilności strony internetowej;
• analiza statystyczna ruchu na stronie i poprawa jej funkcjonalności;
• ustalenie, dochodzenie lub obrona roszczeń.

Podstawą prawną przetwarzania danych jest w szczególności:

• art. 6 ust. 1 lit. b RODO – gdy przetwarzanie jest niezbędne do podjęcia działań przed zawarciem umowy lub do wykonania umowy;
• art. 6 ust. 1 lit. f RODO – gdy przetwarzanie wynika z prawnie uzasadnionego interesu Administratora, w szczególności w zakresie kontaktu, zapewnienia bezpieczeństwa strony, prowadzenia podstawowej analityki oraz dochodzenia roszczeń;
• art. 6 ust. 1 lit. a RODO – jeżeli w danym przypadku wymagana jest zgoda użytkownika, zwłaszcza w odniesieniu do niektórych plików cookies lub narzędzi analitycznych.

4. Google Analytics i pliki cookies

Administrator korzysta z Google Analytics w celu analizowania sposobu korzystania ze strony, tworzenia statystyk oraz ulepszania jej funkcjonalności. Google wskazuje, że w ramach Consent Mode przy ustawieniu analytics_storage='denied' nie są ustawiane ani odczytywane pliki cookies Analytics, a do Google przesyłane są tzw. cookieless pings. Google podaje również, że takie komunikaty mogą zawierać m.in. user agent, rozdzielczość ekranu i adres IP, przy czym Google Analytics nie przechowuje ani nie loguje adresów IP. Google Analytics oferuje także narzędzia umożliwiające kontrolę sposobu zbierania i wykorzystywania danych.

Jeżeli na stronie stosowany jest baner zgody na cookies, użytkownik może zdecydować, czy wyraża zgodę na wykorzystanie cookies analitycznych. W ustawieniach przeglądarki można również ograniczyć lub usunąć pliki cookies.

5. Odbiorcy danych

Dane mogą być przekazywane podmiotom świadczącym na rzecz Administratora usługi hostingu, obsługi poczty elektronicznej oraz analityki internetowej, w szczególności Google w związku z korzystaniem z Google Analytics. Dane mogą być także udostępniane podmiotom uprawnionym na podstawie przepisów prawa.

Administrator korzysta wyłącznie z takich podmiotów, które zapewniają odpowiedni poziom bezpieczeństwa i przetwarzają dane na podstawie właściwych umów lub innych wymaganych prawem mechanizmów.

6. Okres przechowywania danych

Dane z korespondencji e-mail są przechowywane przez czas potrzebny do obsługi sprawy, a następnie przez okres niezbędny do zabezpieczenia ewentualnych roszczeń lub do czasu, w którym przepisy prawa wymagają ich dalszego przechowywania.

Dane techniczne oraz dane analityczne są przechowywane przez okres wynikający z ustawień strony, konfiguracji narzędzi analitycznych lub do czasu wycofania zgody, jeżeli zgoda była podstawą ich przetwarzania.

7. Zasady bezpieczeństwa

Administrator stosuje odpowiednie środki techniczne i organizacyjne, aby chronić dane osobowe przed utratą, nieuprawnionym dostępem, ujawnieniem, modyfikacją lub zniszczeniem. Zakres tych środków jest dostosowany do charakteru strony, rodzaju przetwarzanych danych oraz aktualnego poziomu ryzyka.

W szczególności Administrator może stosować następujące rozwiązania:

• połączenie szyfrowane SSL/TLS;
• silne hasła oraz uwierzytelnianie wieloskładnikowe (MFA) do paneli administracyjnych;
• zasadę najmniejszych uprawnień, czyli ograniczenie dostępu tylko do osób i systemów, które rzeczywiście go potrzebują;
• regularne aktualizacje oprogramowania, wtyczek i komponentów serwera;
• monitorowanie zdarzeń bezpieczeństwa i analizę logów serwera;
• kopie zapasowe tworzone regularnie, przechowywane w formie zaszyfrowanej i – w miarę możliwości – offline;
• procedury odtwarzania danych po awarii lub incydencie;
• ograniczanie powierzchni ataku poprzez wyłączanie zbędnych usług i funkcji;
• stosowanie zasady „zero trust” w zakresie dostępu administracyjnego, tj. brak domyślnego zaufania do każdego połączenia i każdorazowa weryfikacja dostępu. Takie podejście odpowiada obecnym kierunkom rozwoju cyberbezpieczeństwa wskazywanym przez CISA i NIST.

Aktualne analizy zagrożeń wskazują, że istotnymi problemami pozostają ataki na dostępność usług, ransomware oraz incydenty związane z wyciekiem danych, dlatego kopie zapasowe, kontrola dostępu, monitoring i szybka reakcja na incydenty pozostają kluczowe.

W przypadku incydentu bezpieczeństwa Administrator podejmuje działania zmierzające do ograniczenia skutków zdarzenia, zbadania jego przyczyny, przywrócenia działania usług oraz – jeżeli będzie to wymagane – poinformowania osób, których dane dotyczą, i właściwych organów.

8. Prawa osoby, której dane dotyczą

Użytkownik ma prawo do:

• dostępu do swoich danych;
• sprostowania danych;
• usunięcia danych;
• ograniczenia przetwarzania;
• przenoszenia danych;
• wniesienia sprzeciwu wobec przetwarzania;
• cofnięcia zgody w dowolnym momencie, jeżeli przetwarzanie odbywa się na podstawie zgody;
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

W celu realizacji swoich praw należy skontaktować się z Administratorem pod adresem e-mail: l@mestales.com.

9. Dobrowolność podania danych

Podanie danych w wiadomości e-mail jest dobrowolne, ale może być niezbędne do udzielenia odpowiedzi lub prowadzenia dalszej korespondencji. Brak podania danych może utrudnić lub uniemożliwić rozpatrzenie sprawy.

10. Zautomatyzowane podejmowanie decyzji

Administrator nie podejmuje wobec użytkowników zautomatyzowanych decyzji, w tym decyzji opartych wyłącznie na profilowaniu, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie wpływały na ich sytuację.

11. Postanowienia końcowe

Administrator może okresowo aktualizować niniejszą politykę prywatności, zwłaszcza w razie zmiany przepisów prawa, sposobu działania strony lub używanych narzędzi.

Aktualna wersja polityki prywatności obowiązuje od dnia jej opublikowania na stronie.

Privacy Policy

The controller of personal data is Łukasz Mestales ("Controller"). Contact with the Controller is possible at: l@mestales.com.

This Privacy Policy sets out the rules for processing personal data and for the use of cookies and similar technologies on the Controller’s website.

1. Scope

The website does not include a contact form, online store, or newsletter. Personal data is processed only to the extent necessary to handle e-mail correspondence, ensure the proper functioning of the website, perform statistical traffic analysis, and, where applicable, establish, pursue, or defend claims.

The Controller makes efforts to ensure that data is processed in accordance with applicable law, in particular with Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 (“GDPR”).

2. What data may be processed

Depending on how the website is used, the Controller may process:

• data voluntarily provided in e-mail correspondence, in particular e-mail address, first name, last name, and the content of the message;
• technical data related to the use of the website, such as IP address, browser type, device type, operating system, approximate location, cookie identifiers, and information about on-site activity;
• data stored in server logs, processed for security, error diagnostics, and website administration purposes.

3. Purposes and legal bases for processing

The Controller processes personal data for the following purposes:

• to reply to e-mail messages and maintain correspondence;
• to take steps prior to entering into a contract or to perform a contract, if such a contract is concluded;
• to ensure the operation, security, and stability of the website;
• to analyze website traffic and improve website functionality;
• to establish, pursue, or defend claims.

The legal basis for processing is in particular:

• Article 6(1)(b) GDPR – where processing is necessary to take steps prior to entering into a contract or to perform a contract;
• Article 6(1)(f) GDPR – where processing is based on the Controller’s legitimate interests, in particular for contact purposes, website security, basic analytics, and claim handling;
• Article 6(1)(a) GDPR – where user consent is required in a given case, especially in relation to certain cookies or analytical tools.

4. Google Analytics and cookies

The Controller uses Google Analytics to analyze how the website is used, generate statistics, and improve its functionality. Google indicates that, under Consent Mode with analytics_storage='denied', Analytics cookies are neither set nor read, and so-called cookieless pings are sent to Google. Google also states that such messages may include, among other things, the user agent, screen resolution, and IP address, while Google Analytics does not store or log IP addresses. Google Analytics also provides tools that allow control over how data is collected and used.

If a cookie consent banner is used on the website, the user may decide whether to consent to the use of analytics cookies. Cookies may also be limited or deleted in the browser settings.

5. Data recipients

Data may be transferred to entities providing hosting, e-mail, and web analytics services to the Controller, in particular Google in connection with the use of Google Analytics. Data may also be disclosed to entities authorized to receive it under applicable law.

The Controller uses only entities that ensure an appropriate level of security and process data on the basis of proper agreements or other legally required mechanisms.

6. Data retention period

E-mail correspondence data is retained for as long as necessary to handle the matter, and thereafter for the period necessary to secure any potential claims or for as long as required by law.

Technical and analytical data is retained for the period resulting from the website settings, the configuration of analytical tools, or until consent is withdrawn, if consent was the basis for processing.

7. Security measures

The Controller applies appropriate technical and organizational measures to protect personal data against loss, unauthorized access, disclosure, alteration, or destruction. The scope of these measures is adapted to the nature of the website, the type of data processed, and the current level of risk.

In particular, the Controller may apply the following solutions:

• encrypted SSL/TLS connection;
• strong passwords and multi-factor authentication (MFA) for administrative panels;
• the principle of least privilege, meaning access is limited only to persons and systems that genuinely need it;
• regular updates of software, plugins, and server components;
• monitoring of security events and analysis of server logs;
• regular backups stored in encrypted form and, where possible, offline;
• data restoration procedures in the event of a failure or incident;
• limiting the attack surface by disabling unnecessary services and functions;
• applying the “zero trust” principle in administrative access, meaning no connection is trusted by default and access is verified each time. This approach reflects current cybersecurity trends promoted by CISA and NIST.

Current threat analyses show that attacks on service availability, ransomware, and data breach incidents remain major issues; therefore, backups, access control, monitoring, and rapid incident response remain essential.

In the event of a security incident, the Controller takes measures aimed at limiting the effects of the incident, investigating its cause, restoring the operation of services, and—where required—informing the data subjects and the relevant authorities.

8. Rights of the data subject

The user has the right to:

• access their data;
• rectify their data;
• erase their data;
• restrict processing;
• data portability;
• object to processing;
• withdraw consent at any time, if processing is based on consent;
• lodge a complaint with the President of the Personal Data Protection Office (UODO).

To exercise these rights, please contact the Controller at: l@mestales.com.

9. Voluntary provision of data

Providing data in an e-mail message is voluntary, but it may be necessary to receive a reply or continue correspondence. Failure to provide data may make it difficult or impossible to handle the matter.

10. Automated decision-making

The Controller does not make automated decisions about users, including decisions based solely on profiling, which would produce legal effects concerning them or similarly significantly affect their situation.

11. Final provisions

The Controller may periodically update this Privacy Policy, especially if applicable law, the operation of the website, or the tools used change.

The current version of the Privacy Policy applies from the date of publication on the website.