Polityka Prywatności – DRAMIŃSKI S.A.
Wersja zaktualizowana na dzień 7 października 2026 r. – z uwzględnieniem formularza CRA dotyczącego cyberbezpieczeństwa.
- Administrator danych osobowych
Administratorem danych osobowych klientów, kontrahentów, użytkowników serwisów internetowych DRAMIŃSKI S.A. oraz osób korzystających z formularzy udostępnianych przez Spółkę, w tym formularza dotyczącego zgłaszania podatności i incydentów bezpieczeństwa w związku z Cyber Resilience Act (CRA), jest DRAMIŃSKI S.A., ul. Wiktora Steffena 21, 11-036 Sząbruk, NIP: 7393855706, REGON: 281418440, tel. +48 89 675 26 00, e-mail: biuro@draminski.pl. - Inspektor Ochrony Danych
Administrator wyznaczył Inspektora Ochrony Danych – Michała Minurskiego. Kontakt z IOD jest możliwy pod adresem e-mail: iod@draminski.pl. - Cele, podstawy prawne i okres przetwarzania danych osobowych
Dane osobowe mogą być przetwarzane w następujących celach i na następujących podstawach prawnych:
– zawarcie i realizacja umowy lub podjęcie działań przed jej zawarciem – art. 6 ust. 1 lit. b RODO,
– wykonanie obowiązków prawnych ciążących na Administratorze, w tym obowiązków podatkowych, rachunkowych oraz – w odpowiednich przypadkach – obowiązków wynikających z przepisów dotyczących cyberbezpieczeństwa – art. 6 ust. 1 lit. c RODO,
– realizacja prawnie uzasadnionych interesów Administratora, w szczególności marketing własny, zapewnienie bezpieczeństwa systemów, usług i produktów, dochodzenie lub obrona przed roszczeniami oraz obsługa zgłoszeń dotyczących cyberbezpieczeństwa i podatności – art. 6 ust. 1 lit. f RODO,
– realizacja działań wymagających zgody, w szczególności w zakresie niektórych cookies, narzędzi analitycznych, marketingowych lub innych funkcji, jeżeli przepisy wymagają zgody – art. 6 ust. 1 lit. a RODO.
Okres przetwarzania:
Dane są przechowywane przez okres adekwatny do celu i podstawy prawnej przetwarzania, w szczególności:
– przez czas niezbędny do obsługi relacji z użytkownikiem lub klientem oraz – w przypadku umowy – przez okres jej wykonywania i do upływu właściwego terminu przedawnienia roszczeń,
– przez okres wymagany przepisami rachunkowymi, podatkowymi lub innymi przepisami prawa,
– w przypadku danych przetwarzanych na podstawie zgody – do czasu jej cofnięcia, chyba że istnieje inna podstawa prawna dalszego przetwarzania,
– w przypadku danych przetwarzanych na podstawie prawnie uzasadnionego interesu – do czasu ustania tego interesu, skutecznego wniesienia sprzeciwu albo upływu okresu niezbędnego do ustalenia, dochodzenia lub obrony roszczeń.
Podanie danych jest dobrowolne, ale niezbędne do zawarcia i realizacji umowy. Niepodanie danych może skutkować brakiem możliwości realizacji usługi.
- Formularz CRA – zgłaszanie podatności i incydentów bezpieczeństwa
Administrator udostępnia lub może udostępniać formularz służący do przekazywania informacji o potencjalnych podatnościach, lukach bezpieczeństwa, incydentach lub innych zdarzeniach mogących mieć wpływ na cyberbezpieczeństwo produktów, usług lub systemów DRAMIŃSKI S.A. Formularz ten służy w szczególności przyjęciu zgłoszenia, jego rejestracji, analizie, weryfikacji, wyjaśnieniu, kontaktowi ze zgłaszającym, podjęciu działań naprawczych lub ograniczających ryzyko oraz udokumentowaniu przebiegu obsługi zgłoszenia.
Cel i podstawa prawna przetwarzania. W zakresie przyjmowania, analizowania i obsługi zgłoszeń dotyczących podatności lub innych zagrożeń cyberbezpieczeństwa podstawą przetwarzania jest art. 6 ust. 1 lit. f RODO, tj. prawnie uzasadniony interes Administratora polegający na zapewnianiu i podnoszeniu bezpieczeństwa produktów z elementami cyfrowymi, systemów i użytkowników, wykrywaniu oraz usuwaniu podatności, ograniczaniu skutków incydentów oraz ochronie przed zagrożeniami cyberbezpieczeństwa. Jeżeli treść zgłoszenia powoduje powstanie po stronie Administratora obowiązku przewidzianego przepisami prawa, w szczególności obowiązku zgłoszeniowego wynikającego z art. 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/2847 (Cyber Resilience Act), dane są przetwarzane również na podstawie art. 6 ust. 1 lit. c RODO – w zakresie niezbędnym do wykonania tego obowiązku prawnego.
Zakres danych. W ramach formularza mogą być przetwarzane dane podane przez zgłaszającego, w szczególności dane identyfikacyjne i kontaktowe, informacje o reprezentowanej organizacji, treść zgłoszenia oraz dane techniczne niezbędne do oceny zdarzenia, takie jak informacje o produkcie, wersji oprogramowania, środowisku, logach, adresach IP, znacznikach czasu, załącznikach i innych danych technicznych przekazanych wraz ze zgłoszeniem. Administrator stosuje zasadę minimalizacji danych i nie oczekuje przekazywania danych osobowych, które nie są niezbędne do analizy zgłoszenia.
Okres przechowywania. Dane związane ze zgłoszeniem będą przechowywane przez czas niezbędny do przyjęcia, analizy, wyjaśnienia i zamknięcia zgłoszenia oraz wdrożenia ewentualnych działań naprawczych lub ograniczających ryzyko. Po zakończeniu obsługi zgłoszenia dane mogą być przechowywane przez okres niezbędny do wykazania prawidłowości działań Administratora, wykonania obowiązków wynikających z przepisów dotyczących cyberbezpieczeństwa oraz do upływu właściwego okresu przedawnienia ewentualnych roszczeń. Jeżeli przepisy prawa wymagają dłuższego przechowywania określonej dokumentacji, dane będą przechowywane przez okres wynikający z tych przepisów.
Dobrowolność podania danych. Podanie danych identyfikacyjnych lub kontaktowych jest dobrowolne, chyba że konkretne pole formularza zostało oznaczone jako wymagane z uwagi na konieczność prawidłowej obsługi zgłoszenia. Brak danych kontaktowych może uniemożliwić Administratorowi zwrócenie się o dodatkowe informacje lub przekazanie informacji zwrotnej o sposobie obsługi zgłoszenia.
Odbiorcy danych w związku ze zgłoszeniem CRA. Dane mogą być udostępniane upoważnionym pracownikom i współpracownikom Administratora, podmiotom świadczącym usługi IT, cyberbezpieczeństwa, hostingu, utrzymania formularza lub obsługi prawnej, a także – jeżeli będzie to wymagane przepisami lub konieczne do realizacji obowiązku prawnego – właściwym CSIRT-om, ENISA, organom nadzoru rynku lub innym uprawnionym organom.
- Prawa osoby, której dane dotyczą
Osobie, której dane dotyczą, przysługują – w granicach określonych w RODO – w szczególności prawa do:
– dostępu do danych i uzyskania ich kopii (art. 15 RODO),
– sprostowania danych (art. 16 RODO),
– usunięcia danych, gdy spełnione są przesłanki z art. 17 RODO,
– ograniczenia przetwarzania (art. 18 RODO),
– przenoszenia danych – w przypadkach określonych w art. 20 RODO,
– wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO, z przyczyn związanych ze szczególną sytuacją osoby, a w przypadku marketingu bezpośredniego – w każdym czasie (art. 21 RODO),
– cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem, gdy podstawą przetwarzania jest zgoda (art. 7 ust. 3 RODO),
– wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
W przypadku przetwarzania danych w celu wykonania obowiązku prawnego, o którym mowa w art. 6 ust. 1 lit. c RODO, prawo do sprzeciwu nie ma zastosowania do tego zakresu przetwarzania. - Odbiorcy danych i podmioty przetwarzające
Dane osobowe mogą być ujawniane podmiotom, które wspierają Administratora w prowadzeniu działalności i realizacji opisanych celów, w szczególności dostawcom usług IT, hostingu, utrzymania serwisów i formularzy, narzędzi analitycznych i marketingowych, operatorom płatności i dostaw, podmiotom świadczącym usługi księgowe, prawne, audytowe i cyberbezpieczeństwa, a także organom publicznym lub innym podmiotom uprawnionym na podstawie przepisów prawa. Jeżeli podmiot działa jako procesor, przetwarza dane na podstawie umowy powierzenia i zgodnie z poleceniami Administratora. - Przekazywanie danych poza Europejski Obszar Gospodarczy
W związku z korzystaniem z niektórych dostawców technologicznych dane mogą być przekazywane poza Europejski Obszar Gospodarczy. W takim przypadku Administrator zapewnia podstawę prawną transferu wymaganą przez RODO, w szczególności korzysta z decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony – jeżeli ma zastosowanie – albo z odpowiednich zabezpieczeń, takich jak standardowe klauzule umowne Komisji Europejskiej. Informację o stosowanym mechanizmie transferu można uzyskać, kontaktując się z Administratorem lub IOD. - Informacje o cookies i podobnych technologiach
Serwisy internetowe Administratora mogą wykorzystywać:
– cookies i technologie niezbędne do prawidłowego działania serwisu lub świadczenia żądanej usługi,
– cookies i technologie analityczne, funkcjonalne lub marketingowe – jeżeli wymagają zgody, są uruchamiane dopiero po jej udzieleniu.
Zgoda na nieobowiązkowe cookies jest udzielana za pośrednictwem mechanizmu zarządzania zgodami dostępnego w serwisie. Użytkownik może odmówić zgody lub ją wycofać w dowolnym momencie, korzystając z ustawień zgód. Cofnięcie zgody nie wpływa na zgodność z prawem operacji wykonanych przed jej wycofaniem.
- Informacje o profilowaniu
Administrator może wykorzystywać dane do analiz i dopasowania komunikacji marketingowej w zakresie dozwolonym przez prawo. Jeżeli profilowanie wykorzystuje nieobowiązkowe cookies lub podobne technologie, odbywa się ono po uzyskaniu wymaganej zgody. W zakresie, w którym podstawą jest prawnie uzasadniony interes Administratora, osobie przysługuje prawo sprzeciwu zgodnie z art. 21 RODO. - Zmiany polityki prywatności
Polityka Prywatności może być okresowo aktualizowana, w szczególności w celu dostosowania jej do zmian przepisów prawa, wytycznych organów nadzorczych, stosowanych technologii oraz rzeczywistego zakresu przetwarzania danych przez Administratora.
Data aktualizacji: 07.10.2026 r.
Administrator danych: DRAMIŃSKI S.A.
