1. Definicje

1.1. Na potrzeby niniejszej Polityki stosuje się następujące definicje:

• Polityka – niniejsza Polityka Prywatności;
• RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE;
• Administrator – Fundacja Aesthetic Unit Klub Sportowy z siedzibą w Warszawie, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy, XIV Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0001120591, posiadająca NIP: 5253012964 oraz REGON: 529355966;
• Strona – strona internetowa prowadzona przez Administratora pod adresem https://piotrradomyski.aestheticunit-coop.workers.dev/;
• Użytkownik – każda osoba fizyczna odwiedzająca Stronę lub korzystająca z jednej albo większej liczby usług lub funkcjonalności opisanych w Polityce.

1.2. Dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

2. Przetwarzanie danych w związku z korzystaniem ze strony

2.1. Niniejsza Polityka określa zasady przetwarzania danych osobowych przez Administratora.

2.2. W związku z korzystaniem przez Użytkownika ze Strony Administrator zbiera dane w zakresie niezbędnym do świadczenia poszczególnych oferowanych usług, a także informacje o aktywności Użytkownika na Stronie. Szczegółowe zasady oraz cele przetwarzania danych osobowych zbieranych podczas korzystania ze Strony przez Użytkownika opisano poniżej.

3. Cele i podstawy prawne przetwarzania danych

A. Korzystanie ze Strony

3.1. Dane osobowe osób korzystających ze Strony (w szczególności adres IP, dane urządzenia, dane przeglądarki, lokalizacja geograficzna, czas wizyty oraz inne informacje zbierane za pośrednictwem plików cookies) są przetwarzane przez Administratora:

• w celach analitycznych i statystycznych – podstawą prawną jest prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO) polegający na prowadzeniu analiz aktywności Użytkowników i ich preferencji w celu poprawy jakości świadczonych usług;
• w celu ewentualnego ustalenia i dochodzenia roszczeń lub obrony przed nimi – podstawą prawną jest prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO) polegający na ochronie jego praw.

3.2. Aktywność Użytkownika na Stronie, w tym dane osobowe, jest rejestrowana w logach systemowych (specjalnym programie komputerowym służącym do chronologicznego przechowywania zapisów zdarzeń i działań dotyczących systemu informatycznego wykorzystywanego do świadczenia usług przez Administratora). Administrator przetwarza je również w celach technicznych i administracyjnych, w celu zapewnienia bezpieczeństwa systemu informatycznego oraz zarządzania tym systemem, a także w celach analitycznych i statystycznych – podstawą prawną przetwarzania w tym zakresie jest prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO).

3.3. Konsultacje. W ramach Strony Administrator udostępnia możliwość umówienia konsultacji za pośrednictwem formularza. Korzystanie z formularza wymaga podania następujących danych osobowych, niezbędnych do przeprowadzenia konsultacji:

• imię;
• adres e-mail;
• numer telefonu.

3.4. Dane osobowe są przetwarzane:

• w celu obsługi zapytania i przeprowadzenia konsultacji – podstawą prawną przetwarzania jest podjęcie działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b RODO);
• w celach analitycznych i statystycznych – podstawą prawną przetwarzania jest prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO) polegający na prowadzeniu analiz aktywności Użytkowników na Stronie i ich preferencji w celu poprawy stosowanych funkcjonalności;
• w celu ewentualnego ustalenia i dochodzenia roszczeń lub obrony przed nimi – podstawą prawną przetwarzania jest prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO) polegający na ochronie jego praw;
• w celu realizacji obowiązków księgowych, podatkowych i rachunkowych – przetwarzanie niezbędne do wypełnienia obowiązku prawnego ciążącego na Administratorze (art. 6 ust. 1 lit. c RODO).

B. Marketing i komunikacja

3.5. W związku z kierowaniem do Użytkownika reklam niedopasowanych do jego preferencji (reklama kontekstowa) przetwarzamy dane Użytkownika na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO).

3.6. Administrator może przetwarzać dane osobowe Użytkownika, w tym dane z plików cookies i podobnych technologii, w celach marketingowych związanych z wyświetlaniem reklam dopasowanych do zainteresowań Użytkownika (reklama behawioralna). Takie przetwarzanie odbywa się wyłącznie na podstawie zgody (art. 6 ust. 1 lit. a RODO), którą Użytkownik może w każdej chwili wycofać.

3.7. W ramach newslettera Administrator może wysyłać treści marketingowe – w takim przypadku podstawą prawną jest zgoda (art. 6 ust. 1 lit. a RODO) na otrzymywanie newslettera; Użytkownik może w każdej chwili zrezygnować z newslettera.

3.8. Dane osobowe Użytkownika mogą być wykorzystywane do kierowania treści marketingowych za pośrednictwem różnych kanałów komunikacji (e-mail, SMS/MMS, telefon) – wyłącznie za zgodą Użytkownika (art. 6 ust. 1 lit. a RODO), która może być w każdej chwili wycofana.

3.9. Użytkownik ma prawo w każdej chwili wycofać zgodę udzieloną na przetwarzanie danych w celach marketingowych, co nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem zgody.

3.10. Administrator przetwarza dane osobowe Użytkowników odwiedzających profile Administratora prowadzone w mediach społecznościowych. Dane te są przetwarzane wyłącznie w związku z prowadzeniem profilu, w tym w celu informowania Użytkowników o działalności Administratora oraz promowania różnych wydarzeń, usług i produktów. Podstawą prawną przetwarzania danych osobowych przez Administratora w tym celu jest jego prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na promowaniu własnej marki.

4. Pliki cookies i podobne technologie

4.1. Strona korzysta z plików cookies, tj. małych plików tekstowych instalowanych na Twoim urządzeniu podczas przeglądania Strony. Pliki cookies zbierają informacje ułatwiające korzystanie ze Strony (np. poprzez zapamiętywanie Twoich wizyt i podejmowanych działań), a także w celach personalizacji, marketingu lub analityki.

4.2. Administrator wykorzystuje tzw. cookies serwisowe przede wszystkim w celu dostarczenia Użytkownikowi usług świadczonych drogą elektroniczną oraz poprawy jakości tych usług. W tym zakresie Administrator oraz inne podmioty świadczące na jego rzecz usługi analityczne, statystyczne i marketingowe korzystają z plików cookies, przechowując informacje lub uzyskując dostęp do informacji już przechowywanych w telekomunikacyjnym urządzeniu końcowym Użytkownika (komputer, telefon, tablet itp.). Pliki cookies wykorzystywane w tym celu obejmują:

• cookies wejściowe Użytkownika (identyfikator sesji), na czas trwania sesji;
• cookies uwierzytelniające wykorzystywane do usług wymagających uwierzytelnienia, na czas trwania sesji;
• cookies bezpieczeństwa zorientowane na użytkownika, np. wykorzystywane do wykrywania nadużyć w zakresie uwierzytelniania;
• cookies sesyjne odtwarzaczy multimedialnych (np. cookies odtwarzacza flash), na czas trwania sesji;
• trwałe cookies wykorzystywane do personalizacji interfejsu Użytkownika, na czas trwania sesji lub nieco dłużej;
• cookies służące do monitorowania ruchu na stronie, tj. analityki danych, w tym cookies Google Analytics (pliki wykorzystywane przez Google do analizy sposobu korzystania ze Strony przez Użytkownika, do tworzenia statystyk i raportów dotyczących funkcjonowania Strony). Google nie wykorzystuje zebranych danych do identyfikacji Użytkownika ani nie łączy tych informacji w sposób umożliwiający identyfikację. Szczegółowe informacje o zakresie i zasadach zbierania danych w związku z tą usługą znajdują się pod adresem: https://www.google.com/intl/pl/policies/privacy/partners;
• cookies marketingowe i remarketingowe, wykorzystywane do prezentowania reklam dopasowanych do preferencji Użytkownika (reklama behawioralna), prowadzenia kampanii remarketingowych oraz automatyzacji komunikacji (np. wysyłania wiadomości po określonych działaniach na Stronie) – wyłącznie za wyraźną zgodą Użytkownika.

5. Prawa osób, których dane dotyczą

5.1. Każda osoba, której dane osobowe są przetwarzane, ma prawo:

5.1.1. Dostępu do danych – na podstawie art. 15 RODO:

Masz prawo uzyskać od Administratora informację, czy dane osobowe są przetwarzane, a jeśli tak, masz prawo do: dostępu do swoich danych osobowych; uzyskania kopii swoich danych osobowych; uzyskania informacji o celach przetwarzania, kategoriach przetwarzanych danych osobowych, odbiorcach lub kategoriach odbiorców tych danych, planowanym okresie przechowywania danych lub – gdy nie jest to możliwe – kryteriach ustalania tego okresu, prawach przysługujących na mocy RODO, prawie do wniesienia skargi do organu nadzorczego, źródle pochodzenia danych, zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu, oraz o zabezpieczeniach stosowanych w związku z przekazaniem tych danych poza Unię Europejską.

5.1.2. Do informacji o przetwarzaniu danych osobowych.

5.1.3. Do uzyskania kopii danych.

5.1.4. Do sprostowania lub zmiany danych – na podstawie art. 16 RODO:

Masz prawo żądać od Administratora niezwłocznego sprostowania nieprawidłowych danych osobowych Ciebie dotyczących. Z uwzględnieniem celów przetwarzania masz prawo żądać uzupełnienia niekompletnych danych osobowych lub zmiany danych, w tym danych kontaktowych i adresowych, również poprzez przedstawienie dodatkowego oświadczenia. Sprostowania lub uzupełnienia danych osobowych możesz żądać w formie wiadomości e-mail na adres: office@aesthetic-unit.com. Administrator odpowiednio udostępni link do zmiany danych.

5.1.5. Do usunięcia danych (tzw. „prawo do bycia zapomnianym”) – na podstawie art. 17 RODO:

Masz prawo żądać usunięcia wszystkich lub niektórych swoich danych osobowych. Masz prawo żądać usunięcia danych osobowych, jeżeli: dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane; cofnięto zgodę, w zakresie w jakim dane osobowe były przetwarzane na jej podstawie; wniesiono sprzeciw wobec wykorzystywania danych w celach marketingowych; dane osobowe są przetwarzane niezgodnie z prawem; dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega Administrator; dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego.

Niezależnie od żądania usunięcia danych osobowych, w związku z wniesieniem sprzeciwu lub wycofaniem zgody, Administrator może zachować pewne dane osobowe w zakresie, w jakim przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń, a także do wywiązania się z obowiązku prawnego wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega Administrator. Dotyczy to w szczególności danych osobowych obejmujących: imię, nazwisko, adres e-mail, które są przechowywane na potrzeby obsługi reklamacji i roszczeń związanych z korzystaniem z usług Administratora, lub dodatkowo adresu, który jest przechowywany na potrzeby obsługi reklamacji i roszczeń związanych z umowami o świadczenie usług.

5.1.6. Do ograniczenia przetwarzania danych – na podstawie art. 18 RODO:

Masz prawo żądać ograniczenia przetwarzania danych osobowych. Złożenie żądania, do czasu jego rozpatrzenia, uniemożliwia korzystanie z określonych usług, których korzystanie wiązałoby się z przetwarzaniem danych objętych żądaniem. Do czasu rozpatrzenia żądania Administrator nie będzie wysyłał żadnych komunikatów, w tym komunikatów marketingowych. Masz prawo żądać ograniczenia wykorzystywania danych osobowych w następujących przypadkach: gdy kwestionujesz prawidłowość danych osobowych – wówczas Administrator ogranicza ich wykorzystywanie na okres niezbędny do sprawdzenia prawidłowości danych; gdy przetwarzanie danych jest niezgodne z prawem, a zamiast usunięcia danych żądasz ograniczenia ich wykorzystywania; gdy dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub wykorzystane, ale są potrzebne Tobie do ustalenia, dochodzenia lub obrony roszczeń; gdy wniosłeś sprzeciw wobec przetwarzania danych – wówczas ograniczenie następuje na okres niezbędny do rozważenia, czy – ze względu na Twoją szczególną sytuację – ochrona Twoich interesów, praw i wolności przeważa nad interesami realizowanymi przez Administratora podczas przetwarzania danych osobowych.

5.1.7. Do przenoszenia danych – na podstawie art. 20 RODO:

Masz prawo otrzymać swoje dane osobowe, które dostarczyłeś Administratorowi, a następnie przesłać je do wybranego przez siebie innego administratora danych. Masz również prawo żądać, by dane osobowe zostały przesłane przez Administratora bezpośrednio takiemu administratorowi, o ile jest to technicznie możliwe. W takim przypadku Administrator prześle Twoje dane osobowe w formie pliku csv, który jest powszechnie używanym formatem, nadającym się do odczytu maszynowego, umożliwiającym przesłanie otrzymanych danych innemu administratorowi danych.

W przypadku skorzystania z powyższych praw Administrator spełni żądanie albo odmówi jego spełnienia niezwłocznie, nie później jednak niż w ciągu miesiąca od jego otrzymania. Jeżeli jednak – z uwagi na skomplikowany charakter żądania lub liczbę żądań – Administrator nie będzie w stanie spełnić żądania w ciągu miesiąca, spełni je w ciągu kolejnych dwóch miesięcy, informując Cię uprzednio, w terminie miesiąca od otrzymania żądania, o zamierzonym przedłużeniu terminu oraz jego przyczynach. Możesz kierować do Administratora skargi, zapytania i wnioski dotyczące przetwarzania Twoich danych osobowych oraz realizacji przysługujących Ci praw. Masz prawo żądać od Administratora udostępnienia kopii standardowych klauzul umownych.

5.1.8. Do wniesienia sprzeciwu wobec przetwarzania danych w celach marketingowych lub wobec innych celów przetwarzania danych – na podstawie art. 21 RODO:

Masz prawo w każdej chwili wnieść sprzeciw – z przyczyn związanych z Twoją szczególną sytuacją – wobec przetwarzania Twoich danych osobowych, w tym profilowania, jeżeli Administrator przetwarza Twoje dane na podstawie prawnie uzasadnionego interesu, np. analityki. Możesz wnieść sprzeciw wobec przetwarzania danych osobowych, wysyłając wiadomość e-mail zawierającą informację o rezygnacji z otrzymywania komunikatów marketingowych. Jeżeli Administrator uzna Twój sprzeciw za uzasadniony i nie będzie miał innej podstawy prawnej przetwarzania danych osobowych, usunie dane osobowe, wobec których przetwarzania wniosłeś sprzeciw.

5.1.9. Do wycofania zgody – na podstawie art. 7 ust. 3 RODO:

Masz prawo wycofać każdą zgodę, której udzieliłeś Administratorowi. Wycofanie zgody odnosi skutek od chwili wyrażenia woli jej wycofania. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania danych osobowych dokonanego przez Administratora przed wycofaniem zgody.

5.1.10. Do wniesienia skargi do organu nadzorczego zajmującego się ochroną danych osobowych.

5.2. Kontakt z osobą nadzorującą przetwarzanie danych osobowych w organizacji Administratora jest możliwy drogą elektroniczną pod adresem e-mail: office@aesthetic-unit.com.

5.3. Użytkownik ma prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych w zakresie naruszenia praw Użytkownika do ochrony danych osobowych lub innych praw przyznanych na mocy RODO.

6. Okres przechowywania danych

6.1. Okres przetwarzania danych przez Administratora zależy od podstawy prawnej i celu przetwarzania, zgodnie z przepisami prawa. W szczególności:

• w przypadku przetwarzania danych na podstawie prawnie uzasadnionego interesu Administratora, np. ze względów bezpieczeństwa, dane są przetwarzane przez okres umożliwiający realizację tego interesu lub do czasu wniesienia skutecznego sprzeciwu wobec przetwarzania danych;
• jeżeli przetwarzanie odbywa się na podstawie zgody, dane są przetwarzane do czasu wycofania zgody;
• w związku z realizacją umowy oraz dochodzeniem roszczeń i obroną przed roszczeniami z nią związanymi – przez czas trwania umowy, a po jej zakończeniu do upływu okresu przedawnienia roszczeń z nią związanych;
• w związku z obsługą zapytań, reklamacji, roszczeń lub innej korespondencji kierowanej do Administratora – do czasu wyjaśnienia sprawy objętej zapytaniem, reklamacją, roszczeniem lub inną korespondencją kierowaną do Administratora;
• w związku z realizacją obowiązków prawnych – do czasu wygaśnięcia obowiązku.

6.2. Okres przetwarzania danych może zostać przedłużony, jeżeli przetwarzanie jest niezbędne do ustalenia lub dochodzenia roszczeń albo obrony przed roszczeniami, a po tym okresie – wyłącznie jeżeli i w zakresie, w jakim wymagają tego przepisy prawa. Po upływie okresu przetwarzania dane są nieodwracalnie usuwane lub anonimizowane.

6.3. Administrator zastrzega sobie prawo do przetwarzania danych po rozwiązaniu umowy lub wycofaniu zgody wyłącznie w zakresie niezbędnym do dochodzenia ewentualnych roszczeń przed sądem lub jeżeli prawo krajowe, unijne albo prawo międzynarodowe zobowiązuje go do przechowywania danych.

6.4. Usunięcie danych osobowych może nastąpić w wyniku wycofania zgody lub wniesienia prawnie dopuszczalnego sprzeciwu wobec przetwarzania danych osobowych.

7. Odbiorcy danych

7.1. W związku ze świadczeniem usług dane osobowe będą ujawniane podmiotom zewnętrznym, w tym w szczególności:

• dostawcom usług IT, hostingu i utrzymania systemów informatycznych – w celu zapewnienia prawidłowego działania Strony, przechowywania danych i zarządzania nimi;
• operatorom płatności i bankom – w celu obsługi płatności, rozliczeń, w niezbędnym zakresie;
• podmiotom świadczącym usługi księgowe, prawne lub doradcze – w celu realizacji obowiązków prawnych, podatkowych lub dochodzenia roszczeń;
• partnerom marketingowym i analitycznym – w celu prowadzenia działań analitycznych, statystycznych i marketingowych (z zastrzeżeniem zgody);
• podmiotom powiązanym – wyłącznie w zakresie niezbędnym do świadczenia usług lub wsparcia technicznego;
• organom publicznym lub osobom trzecim uprawnionym do uzyskania danych na podstawie przepisów prawa – wyłącznie w zakresie i w celach wynikających z tych przepisów.

7.2. Podmioty, którym przekazywane są dane osobowe, w zależności od ustaleń umownych i okoliczności, albo podlegają poleceniom Administratora co do celów i sposobów przetwarzania tych danych (podmioty przetwarzające), albo samodzielnie określają cele i sposoby ich przetwarzania (administratorzy):

• podmioty przetwarzające: Administrator współpracuje z podmiotami przetwarzającymi dane osobowe wyłącznie na polecenie Administratora. Należą do nich m.in. dostawcy usług hostingowych, usług księgowych;
• administratorzy: Administrator współpracuje z podmiotami, które nie działają wyłącznie na polecenie i samodzielnie określają cele i sposoby przetwarzania danych osobowych (np. banki, operatorzy płatności).

8. Przekazywanie danych poza EOG

8.1. Poziom ochrony danych osobowych poza Europejskim Obszarem Gospodarczym (EOG) może różnić się od poziomu zapewnianego przez prawo europejskie. Administrator będzie przekazywał dane osobowe Użytkownika wyłącznie wówczas, gdy jest to konieczne, oraz z zapewnieniem odpowiedniego poziomu ochrony.

8.2. Użytkownik zostanie poinformowany o każdym przekazaniu danych osobowych poza EOG.

9. Bezpieczeństwo danych osobowych

9.1. Administrator na bieżąco prowadzi analizę ryzyka w celu zapewnienia, że dane osobowe są przez niego przetwarzane w sposób bezpieczny – zapewniając przede wszystkim, że dostęp do danych mają wyłącznie osoby upoważnione i jedynie w zakresie, w jakim jest to niezbędne ze względu na wykonywane przez nie zadania. Administrator zapewnia, że wszelkie operacje na danych osobowych są rejestrowane i dokonywane wyłącznie przez upoważnionych pracowników i współpracowników.

9.2. Administrator podejmuje wszelkie niezbędne działania, aby również jego podwykonawcy i inne podmioty współpracujące gwarantowali stosowanie odpowiednich środków bezpieczeństwa w każdym przypadku, gdy przetwarzają dane osobowe na polecenie Administratora.

9.3. Administrator stosuje odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzania danych osobowych, w tym m.in. szyfrowanie danych, zarządzanie dostępem, monitorowanie systemów informatycznych oraz regularne audyty bezpieczeństwa.

10. Dane kontaktowe

10.1. Kontakt z Administratorem jest możliwy za pośrednictwem poczty e-mail: office@aesthetic-unit.com lub adresu korespondencyjnego: ul. Aleja „Solidarności” 68 lok. 121, 00-240 Warszawa, Polska.

11. Zmiany polityki prywatności

11.1. Administrator zastrzega sobie prawo do wprowadzania zmian w Polityce w dowolnym czasie. Aktualizacje Polityki będą publikowane na stronie internetowej https://piotrradomyski.aestheticunit-coop.workers.dev/.

1. Definitions

1.1. For the purposes of this Policy, the following definitions shall apply:

• Policy – this Privacy Policy;
• GDPR – Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC;
• Controller – Fundacja Aesthetic Unit Klub Sportowy, with its registered office in Warsaw, entered in the register of entrepreneurs of the National Court Register maintained by the District Court for the Capital City of Warsaw, XIV Commercial Division of the National Court Register, under number KRS 0001120591, holding NIP: 5253012964 and REGON: 529355966;
• Website – the website operated by the Controller at https://piotrradomyski.aestheticunit-coop.workers.dev/;
• User – any natural person visiting the Website or using one or more of the services or functionalities described in the Policy.

1.2. Personal data means any information relating to an identified or identifiable natural person (“data subject”); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person.

2. Data processing in connection with use of the website

2.1. This Policy sets out the rules for the processing of personal data by the Controller.

2.2. In connection with the User's use of the Website, the Controller collects data to the extent necessary to provide particular services offered, as well as information about the User's activity on the Website. The detailed rules and purposes of personal data processing collected during the use of the Website by the User are described below.

3. Purposes and legal bases for data processing

A. Use of the Website

3.1. Personal data of persons using the Website (in particular IP address, device data, browser data, geographical location, time of visit and other information collected through cookies) are processed by the Controller:

• For analytical and statistical purposes – the legal basis is the Controller's legitimate interest (Art. 6(1)(f) GDPR) consisting in conducting analyses of Users' activity and their preferences in order to improve the quality of services provided;
• For the possible establishment and pursuit of claims or defence against them – the legal basis is the Controller's legitimate interest (Art. 6(1)(f) GDPR) consisting in protecting its rights.

3.2. User activity on the Website, including personal data, is recorded in system logs (a special computer program used to chronologically store records of events and actions relating to the IT system used to provide services by the Controller). The Controller also processes them for technical and administrative purposes, for the purpose of ensuring the security of the IT system and managing that system, as well as for analytical and statistical purposes – the legal basis for processing in this respect is the Controller's legitimate interest (Art. 6(1)(f) GDPR).

3.3. Consultations. Within the Website, the Controller provides the possibility to book a consultation through a form. The use of the form requires the provision of the following personal data, necessary to conduct the consultation:

• Name;
• E-mail address;
• Phone number.

3.4. Personal data are processed:

• For the purpose of handling the request and carrying out the consultation – the legal basis for processing is the taking of steps at the request of the data subject prior to entering into a contract (Art. 6(1)(b) GDPR);
• For analytical and statistical purposes – the legal basis for processing is the Controller's legitimate interest (Art. 6(1)(f) GDPR) consisting in conducting analyses of Users' activity on the Website and their preferences in order to improve the functionalities used;
• For the possible establishment and pursuit of claims or defence against them – the legal basis for processing is the Controller's legitimate interest (Art. 6(1)(f) GDPR) consisting in protecting its rights;
• For the performance of bookkeeping, tax and accounting obligations – processing necessary for the performance of a legal obligation to which the Controller is subject (Art. 6(1)(c) GDPR).

B. Marketing and communication

3.5. In connection with directing advertisements to the User that are not tailored to the User's preferences (contextual advertising), we process the User's data on the basis of our legitimate interest (Art. 6(1)(f) GDPR).

3.6. The Controller may process the User's personal data, including data from cookies and similar technologies, for marketing purposes related to displaying advertisements tailored to the User's interests (behavioural advertising). Such processing takes place solely on the basis of consent (Art. 6(1)(a) GDPR), which the User may withdraw at any time.

3.7. Within the newsletter, the Controller may send marketing content – in such case the legal basis is consent (Art. 6(1)(a) GDPR) to receive the newsletter; the User may unsubscribe from the newsletter at any time.

3.8. The User's personal data may be used to direct marketing content through various communication channels (e-mail, SMS/MMS, telephone) – solely with the User's consent (Art. 6(1)(a) GDPR), which may be withdrawn at any time.

3.9. The User has the right to withdraw consent given for the processing of data for marketing purposes at any time, which does not affect the lawfulness of processing carried out before the withdrawal of consent.

3.10. The Controller processes the personal data of Users visiting the Controller's profiles maintained on social media. Such data are processed exclusively in connection with the maintenance of the profile, including for the purpose of informing Users about the Controller's activities and promoting various events, services and products. The legal basis for the processing of personal data by the Controller for this purpose is its legitimate interest (Art. 6(1)(f) GDPR) consisting in promoting its own brand.

4. Cookies and similar technology

4.1. The Website uses cookies, i.e. small text files installed on Your device while browsing the Website. Cookies collect information facilitating use of the Website (e.g. by remembering Your visits and actions taken), as well as for the purposes of personalisation, marketing or analytics.

4.2. The Controller uses so-called service cookies primarily for the purpose of providing the User with services rendered electronically and improving the quality of these services. In this regard, the Controller and other entities providing analytical, statistical and marketing services to the Controller use cookies by storing information or obtaining access to information already stored in the User's telecommunications terminal equipment (computer, phone, tablet, etc.). Cookies used for this purpose include:

• User input cookies (session identifier), for the duration of the session;
• Authentication cookies used for services requiring authentication, for the duration of the session;
• User centric security cookies, e.g. used for detecting authentication abuse;
• Multimedia player session cookies (e.g. flash player cookies), for the duration of the session;
• Persistent cookies used for user interface customisation, for the duration of the session or slightly longer;
• Cookies used to monitor website traffic, i.e. data analytics, including Google Analytics cookies (files used by Google to analyse how the User uses the Website, to create statistics and reports on the functioning of the Website). Google does not use the collected data to identify the User or combine this information to enable identification. Detailed information on the scope and rules of data collection in connection with this service can be found at: https://www.google.com/intl/pl/policies/privacy/partners;
• Marketing and remarketing cookies, used to present advertisements tailored to the User's preferences (behavioural advertising), to conduct remarketing campaigns and automate communication (e.g. sending messages after specific actions on the Website) – solely with the User's explicit consent.

5. Rights of data subjects

5.1. Every person whose personal data is processed has the right:

5.1.1. Of access to data – pursuant to Art. 15 GDPR:

You have the right to obtain from the Controller information as to whether personal data is being processed, and, if so, you have the right to: access to your personal data; obtain a copy of your personal data; obtain information about the purposes of processing, the categories of personal data being processed, the recipients or categories of recipients of such data, the envisaged period for which data will be stored, or, where not possible, the criteria used to determine that period, the rights available under the GDPR, the right to lodge a complaint with a supervisory authority, the source of such data, automated decision-making, including profiling, and the safeguards applied in connection with the transfer of such data outside the European Union.

5.1.2. To information about the processing of personal data.

5.1.3. To obtain a copy of data.

5.1.4. To rectification or change of data – pursuant to Art. 16 GDPR:

You have the right to request the Controller to rectify without undue delay inaccurate personal data concerning you. Taking into account the purposes of the processing, you have the right to request the completion of incomplete personal data or changes to the data, including contact and address data, including by means of providing a supplementary statement. You may request rectification or completion of personal data in the form of an e-mail to the following address: office@aesthetic-unit.com. The Controller will accordingly provide a link to change the data.

5.1.5. To erasure of data (the so-called “right to be forgotten”) – pursuant to Art. 17 GDPR:

You have the right to request the erasure of all or some of your personal data. You have the right to request erasure of personal data if: the personal data are no longer necessary for the purposes for which they were collected or otherwise processed; a given consent has been withdrawn, to the extent that the personal data were processed based on that consent; an objection has been raised against the use of the data for marketing purposes; the personal data are being processed unlawfully; the personal data must be erased for compliance with a legal obligation under the law of the Union or a Member State to which the Controller is subject; the personal data were collected in relation to the offering of information society services.

Notwithstanding a request for erasure of personal data, in connection with the raising of an objection or the withdrawal of consent, the Controller may retain certain personal data to the extent that processing is necessary for the establishment, exercise or defence of legal claims, as well as for compliance with a legal obligation requiring processing under the law of the Union or a Member State to which the Controller is subject. This applies in particular to personal data including: first name, surname, e-mail address, which are retained for the purposes of handling complaints and claims related to the use of the Controller's services, or additionally the address, which is retained for the purposes of handling complaints and claims related to service contracts.

5.1.6. To restriction of processing of data – pursuant to Art. 18 GDPR:

You have the right to request restriction of the processing of personal data. Submitting a request, until it is considered, prevents the use of certain services whose use would involve the processing of the data covered by the request. Until the request is considered, the Controller will not send any communications, including marketing communications. You have the right to request restriction on the use of personal data in the following cases: when you contest the accuracy of your personal data – then the Controller restricts their use for the period necessary to verify the accuracy of the data; when the processing of the data is unlawful and, instead of erasing the data, you request restriction of their use; when the personal data are no longer necessary for the purposes for which they were collected or used, but they are needed by you for the establishment, exercise or defence of legal claims; when you have objected to the processing of your data – then the restriction takes place for the period necessary to consider whether – due to your particular situation – the protection of your interests, rights and freedoms overrides the interests pursued by the Controller when processing personal data.

5.1.7. To data portability – pursuant to Art. 20 GDPR:

You have the right to receive your personal data, which you have provided to the Controller, and then transmit it to another data controller of your choice. You also have the right to request that the personal data be transmitted by the Controller directly to such a controller, where technically feasible. In such a case, the Controller will send your personal data in the form of a csv file, which is a commonly used format, suitable for machine reading, allowing the transmission of received data to another data controller.

In the event of exercising the above rights, the Controller shall fulfil or refuse to fulfil the request without undue delay, but no later than within one month of its receipt. However, if – due to the complexity of the request or the number of requests – the Controller is unable to fulfil the request within one month, it will fulfil it within the next two months, informing you in advance, within one month of receipt of the request, of the intended extension of the deadline and its reasons. You may submit to the Controller complaints, inquiries and requests regarding the processing of your personal data and the exercise of the rights vested in you. You have the right to request the Controller to provide a copy of the standard contractual clauses.

5.1.8. To object to the processing of data for marketing purposes or to object to other purposes of data processing – pursuant to Art. 21 GDPR:

You have the right to object at any time – on grounds relating to your particular situation – to the processing of your personal data, including profiling, if the Controller processes your data on the basis of a legitimate interest, e.g. analytics. You may object to the processing of personal data by sending an e-mail message containing information about opting out of receiving marketing communications. If the Controller finds your objection justified and does not have another legal basis for processing personal data, it will erase the personal data against whose processing you have objected.

5.1.9. To withdraw consent – pursuant to Art. 7(3) GDPR:

You have the right to withdraw any consent you have given to the Controller. Withdrawal of consent takes effect from the moment of expressing the intention to withdraw consent. Withdrawal of consent does not affect the lawfulness of the processing of personal data carried out by the Controller before the withdrawal of consent.

5.1.10. To lodge a complaint with the supervisory authority dealing with the protection of personal data.

5.2. Contact with the person supervising the processing of personal data in the Controller's organisation is possible electronically at the e-mail address: office@aesthetic-unit.com.

5.3. The User has the right to lodge a complaint with the President of the Personal Data Protection Office, in the scope of violation of the User's rights to the protection of personal data or other rights granted under the GDPR.

6. Data retention period

6.1. The period for processing data by the Controller depends on the legal basis and the purpose of processing, in accordance with the provisions of law. In particular:

• In the case of data processing on the basis of the Controller's legitimate interest, e.g. for security reasons, the data are processed for the period enabling the pursuit of this interest or until an effective objection to the processing of data is raised;
• If the processing is based on consent, the data are processed until consent is withdrawn;
• In connection with the performance of the contract and the pursuit of claims and defence against claims related thereto – for the duration of the contract, and after its termination until the expiry of the limitation period for claims related thereto;
• In connection with the handling of requests, complaints, claims or other correspondence addressed to the Controller – until the matter covered by the request, complaint, claim or other correspondence addressed to the Controller has been clarified;
• In connection with the performance of legal obligations – until the obligation expires.

6.2. The data processing period may be extended where processing is necessary for the establishment or pursuit of claims or for defence against claims, and after that period – only if and to the extent required by law. After the expiry of the processing period, the data are irreversibly deleted or anonymised.

6.3. The Company reserves the right to process data after termination of the contract or withdrawal of consent only to the extent necessary to pursue possible claims before a court or if national or EU law, or international law, obliges it to retain data.

6.4. Erasure of personal data may occur as a result of the withdrawal of consent or the lodging of a legally permissible objection to the processing of personal data.

7. Data recipients

7.1. In connection with the provision of services, personal data will be disclosed to external entities, including in particular:

• Providers of IT, hosting and IT system maintenance services – in order to ensure the proper operation of the Website, storage and management of data.
• Payment operators and banks – for the purpose of handling payments, settlements, where necessary.
• Entities providing accounting, legal or advisory services – for the performance of legal, tax obligations or the pursuit of claims.
• Marketing and analytical partners – for the purpose of conducting analytical, statistical and marketing activities (subject to consent).
• Affiliated entities – solely to the extent necessary for the provision of services or technical support.
• Public authorities or third parties entitled to obtain data on the basis of legal provisions – solely to the extent and for the purposes resulting from those provisions.

7.2. The entities to which personal data are transferred, depending on contractual arrangements and circumstances, either are subject to the Controller's instructions as to the purposes and means of processing such data (processors) or independently determine the purposes and means of their processing (controllers):

• Processors: the Controller cooperates with entities that process personal data solely on the Controller's instructions. These include, among others, providers of hosting services, accounting services;
• Controllers: the Controller cooperates with entities that do not act solely on instructions and themselves determine the purposes and means of personal data processing (e.g. banks, payment operators).

8. Transfers of data outside the EEA

8.1. The level of personal data protection outside the European Economic Area (EEA) may differ from that provided by European law. The Controller will transfer the User's personal data only when necessary and with an adequate level of protection ensured.

8.2. The User will be informed of each transfer of personal data outside the EEA.

9. Security of personal data

9.1. The Controller continuously conducts risk analyses to ensure that personal data are processed by it in a secure manner – ensuring, above all, that only authorised persons have access to the data and only to the extent necessary in view of the tasks they perform. The Controller ensures that all operations on personal data are recorded and carried out only by authorised employees and associates.

9.2. The Controller takes all necessary measures to ensure that its subcontractors and other cooperating entities also guarantee the application of appropriate security measures in every case where they process personal data on the Controller's instructions.

9.3. The Controller applies appropriate technical and organisational measures ensuring the security of personal data processing, including, among others, data encryption, access management, monitoring of IT systems and regular security audits.

10. Contact details

10.1. Contact with the Controller is possible via e-mail: office@aesthetic-unit.com or correspondence address: ul. Aleja “Solidarności” 68 apt. 121, 00-240 Warsaw, Poland.

11. Changes to the privacy policy

11.1. The Controller reserves the right to introduce changes to the Policy at any time. Updates to the Policy will be published on the website https://piotrradomyski.aestheticunit-coop.workers.dev/.