Polityka prywatnosci Wersja 1.2

§ 1. Wprowadzenie i zasady ogolne

KM Energy Sp. z o.o. przyklada szczegolna wage do ochrony prywatnosci i danych osobowych uzytkownikow platformy monitor.km-energy.pl. Niniejsza Polityka prywatnosci (zwana dalej "Polityka") opisuje, w jaki sposob gromadzimy, wykorzystujemy, udostepniamy i chronimy dane osobowe oraz jakie prawa przysluguja osobom, ktorych dane przetwarzamy.

Polityka zostala opracowana zgodnie z Rozporzadzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osob fizycznych w zwiazku z przetwarzaniem danych osobowych i w sprawie swobodnego przeplywu takich danych (zwanym dalej "RODO") oraz ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych.

Stosujemy nastepujace zasady przetwarzania danych osobowych:

1. Minimalizacja danych - zbieramy wylacznie te dane, ktore sa niezbedne do swiadczenia uslugi.
2. Zgodnosc z prawem - kazde przetwarzanie odbywa sie na konkretnej podstawie prawnej wskazanej w art. 6 lub art. 9 RODO.
3. Bezpieczenstwo - stosujemy adekwatne srodki techniczne i organizacyjne ochrony danych.
4. Przejrzystosc - informujemy o sposobie przetwarzania danych i prawach osob, ktorych dane dotycza.
5. Ograniczenie celu - przetwarzamy dane wylacznie w zakresie celow wskazanych w niniejszej Polityce.
6. Nie sprzedajemy danych - nie udostepniamy danych osobowych podmiotom trzecim w celach marketingowych ani komercyjnych.

§ 2. Administrator danych osobowych

Administratorem danych osobowych w rozumieniu RODO jest:

1. Inspektor Ochrony Danych (IOD): KM Energy Sp. z o.o. nie wyznaczyla Inspektora Ochrony Danych, poniewaz przetwarzanie danych osobowych prowadzone w ramach Platformy nie spelnia kryteriow obligatoryjnego wyznaczenia IOD okreslonych w art. 37 ust. 1 RODO. Wszelkie zapytania, wnioski i sprawy dotyczace ochrony danych osobowych nalezy kierowac bezposrednio do Administratora na adres biuro@voltia.online.
2. Administrator zastrzega sobie prawo do wyznaczenia Inspektora Ochrony Danych w przyszlosci, o czym poinformuje w niniejszej Polityce.

Zakres rol KM Energy wobec roznych kategorii danych osobowych:

1. Administrator danych - w odniesieniu do danych przedstawicieli i osob kontaktowych Klientow partnerskich oraz osob korzystajacych z naszej strony internetowej, formularzy kontaktowych i newslettera.
2. Podmiot przetwarzajacy (Procesor) - w odniesieniu do danych osobowych Klientow koncowych powierzonych nam przez Klientow partnerskich na podstawie Umowy powierzenia przetwarzania danych osobowych (DPA). W tym zakresie administratorem danych pozostaje Klient partnerski.

§ 3. Cele, podstawy prawne i okresy przechowywania

Przetwarzamy dane osobowe wylacznie w celach i na podstawach prawnych okreslonych w ponizszej tabeli:

§ 4. Kategorie przetwarzanych danych

4.1. Dane Klientow partnerskich (firmy)

1. Dane identyfikujace firme: pelna nazwa, NIP, KRS (jezeli dotyczy), REGON, adres siedziby, adres do korespondencji.
2. Dane osob reprezentujacych firme oraz osob kontaktowych: imie i nazwisko, stanowisko, sluzbowy adres e-mail, sluzbowy numer telefonu.
3. Dane uwierzytelniajace: identyfikator uzytkownika, hash hasla (algorytm Argon2id - wartosc nieodwracalna), klucze API, tokeny sesyjne, dane uwierzytelniania dwuskladnikowego (2FA).
4. Dane rozliczeniowe: historia platnosci, faktury VAT, identyfikatory transakcji platniczych. Wszystkie platnosci sa realizowane wylacznie tradycyjnym przelewem bankowym na rachunek Uslugodawcy w Erste Bank Polska S.A. Uslugodawca nie korzysta z bramki szybkich platnosci ani innego posrednika platnosci - nie przetwarza danych kart platniczych ani danych logowania do bankowosci elektronicznej Klienta partnerskiego.
5. Dane o aktywnosci na Platformie: historia logowan, wykonywanych operacji, dziennik audytowy.

4.2. Dane Klientow koncowych (powierzone przez Klientow partnerskich)

1. Dane identyfikacyjne: imie i nazwisko lub nazwa podmiotu, adres instalacji magazynu energii.
2. Dane kontaktowe: adres e-mail, numer telefonu (w zakresie niezbednym do obslugi serwisowej).
3. Dane techniczne urzadzen: model i numer seryjny magazynu energii, parametry techniczne, konfiguracja, ustawienia pracy.
4. Dane pomiarowe i operacyjne: profil zuzycia energii, stan naladowania (SOC), dane optymalizacji, raporty pracy, historia alarmow.
5. Dane te sa przetwarzane na podstawie Umowy powierzenia przetwarzania danych osobowych (DPA) zawartej z Klientem partnerskim. Administratorem tych danych pozostaje Klient partnerski.

4.3. Dane techniczne i analityczne (automatyczne)

1. Adres IP, identyfikator urzadzenia, typ i wersja przegladarki, system operacyjny, rozdzielczosc ekranu.
2. Pliki cookies sesyjne i analityczne (zgodnie z § 10 Polityki).
3. Dane o ruchu na stronie: czas wizyty, zrodlo odwiedzin, odwiedzane podstrony, zdarzenia interfejsu.

§ 5. Zrodla pozyskania danych

1. Dane Klientow partnerskich pozyskujemy bezposrednio od osob reprezentujacych Klientow partnerskich w procesie rejestracji konta oraz w trakcie swiadczenia uslugi.
2. Dane Klientow koncowych pozyskujemy od Klientow partnerskich, ktorzy powierzaja nam ich przetwarzanie na podstawie DPA, oraz bezposrednio z urzadzen (magazynow energii) za posrednictwem dedykowanych interfejsow producentow.
3. Dane techniczne pozyskujemy automatycznie podczas korzystania z Platformy.
4. W niektorych przypadkach dane moga pochodzic z publicznych rejestrow (KRS, CEIDG, REGON) w celu weryfikacji firm partnerskich.

§ 6. Odbiorcy danych i podmioty przetwarzajace

Dane osobowe moga byc udostepniane nastepujacym kategoriom odbiorcow (zaufanym podmiotom przetwarzajacym), wylacznie w zakresie niezbednym do realizacji wskazanych celow:

Kazdy z wymienionych odbiorcow dziala w oparciu o umowe powierzenia przetwarzania danych osobowych (zgodnie z art. 28 RODO) lub samodzielnie jako administrator, jesli wynika to z jego roli w lancuchu przetwarzania.

§ 7. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Co do zasady dane osobowe sa przetwarzane na terenie Europejskiego Obszaru Gospodarczego (EOG).
2. W ograniczonym zakresie, w celu zapewnienia komunikacji z urzadzeniami magazynow energii za posrednictwem API producenta (Marstek Energy Ltd.), niektore dane techniczne (numery seryjne urzadzen, dane pomiarowe) moga byc przekazywane poza EOG.
3. Przekazywanie danych do Wielkiej Brytanii odbywa sie na podstawie decyzji wykonawczej Komisji Europejskiej (UE) 2021/1772 z dnia 28 czerwca 2021 r. stwierdzajacej odpowiedni stopien ochrony danych osobowych w Zjednoczonym Krolestwie.
4. Przekazywanie danych do panstw trzecich niespelniajacych kryterium decyzji o adekwatnosci odbywa sie na podstawie Standardowych Klauzul Umownych (SCC) przyjetych decyzja wykonawcza Komisji Europejskiej (UE) 2021/914 z dnia 4 czerwca 2021 r. oraz uzupelniajacych srodkow zabezpieczajacych, takich jak szyfrowanie danych w tranzycie i w spoczynku, pseudonimizacja oraz ograniczenie zakresu danych przekazywanych do minimum niezbednego.
5. Kopia stosowanych zabezpieczen jest dostepna na zadanie pod adresem biuro@voltia.online.

§ 8. Prawa osob, ktorych dane dotycza

Kazdej osobie, ktorej dane przetwarzamy, przysluguja nastepujace prawa:

1. Prawo dostepu do danych (art. 15 RODO) - prawo do uzyskania informacji o tym, czy przetwarzamy dane oraz ich kopii.
2. Prawo do sprostowania (art. 16 RODO) - prawo do zadania poprawienia nieprawidlowych lub uzupelnienia niekompletnych danych.
3. Prawo do usuniecia danych (art. 17 RODO) - "prawo do bycia zapomnianym", z zastrzezeniem wyjatkow przewidzianych w RODO oraz przepisach krajowych.
4. Prawo do ograniczenia przetwarzania (art. 18 RODO) - prawo do zadania ograniczenia przetwarzania w okreslonych sytuacjach.
5. Prawo do przenoszenia danych (art. 20 RODO) - prawo do otrzymania danych w ustrukturyzowanym formacie i przekazania ich innemu administratorowi.
6. Prawo sprzeciwu (art. 21 RODO) - prawo do sprzeciwu wobec przetwarzania danych w oparciu o uzasadniony interes Administratora lub w celach marketingu bezposredniego.
7. Prawo do cofniecia zgody - w kazdym czasie, jezeli przetwarzanie odbywa sie na podstawie zgody. Cofniecie zgody nie wplywa na zgodnosc z prawem przetwarzania, ktorego dokonano na podstawie zgody przed jej cofnieciem.
8. Prawo wniesienia skargi do Prezesa Urzedu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl), gdy osoba uzna, ze przetwarzanie narusza przepisy RODO.

Realizacja praw jest co do zasady nieodplatna. W przypadku oczywiscie nieuzasadnionych lub nadmiernych zadan Administrator moze pobrac rozsadna oplate lub odmowic podjecia dzialan.

§ 9. Srodki bezpieczenstwa danych

KM Energy stosuje adekwatne srodki techniczne i organizacyjne ochrony danych osobowych, oparte na dobrych praktykach branzowych w zakresie bezpieczenstwa informacji, w szczegolnosci na standardach ISO/IEC 27001 oraz ISO/IEC 27017 w zakresie srodkow technicznych, bez uzyskania formalnej certyfikacji w tym zakresie. Stosowane srodki obejmuja:

9.1. Srodki techniczne

1. Szyfrowanie transmisji TLS 1.3 dla calej komunikacji (HTTPS z certyfikatami Let's Encrypt lub rownowaznymi).
2. Szyfrowanie danych w spoczynku (encryption at rest): AWS RDS KMS, AWS S3 SSE-AES256.
3. Hashowanie hasel algorytmem Argon2id z odpowiednimi parametrami sily kryptograficznej.
4. Uwierzytelnianie dwuskladnikowe (2FA TOTP) wymagane dla wszystkich kont administracyjnych.
5. Izolacja najemcow na poziomie bazy danych (Row-Level Security).
6. Niezmienialny dziennik audytowy (append-only audit log) z lancuchem hashy SHA-256.
7. Kopie zapasowe wykonywane co 6 godzin, przechowywane w wielu lokalizacjach geograficznych w ramach UE.
8. Mechanizmy rate limiting i firewall aplikacyjny (WAF) chroniace przed atakami zautomatyzowanymi.
9. Monitoring bezpieczenstwa, system detekcji intruzji oraz alerting incydentow.

9.2. Srodki organizacyjne

1. Procedury zarzadzania incydentami bezpieczenstwa z okreslonymi czasami reakcji.
2. Polityka zarzadzania uprawnieniami oparta na zasadzie najmniejszych uprawnien (least privilege).
3. Obowiazek zachowania poufnosci przez wszystkich pracownikow i wspolpracownikow majacych dostep do danych.
4. Regularne szkolenia z zakresu ochrony danych osobowych i bezpieczenstwa informacji.
5. Procedura zglaszania naruszen ochrony danych do Prezesa UODO w terminie 72 godzin od stwierdzenia naruszenia.

§ 10. Pliki cookies i podobne technologie

1. Platforma wykorzystuje pliki cookies oraz podobne technologie (local storage, session storage) w celu zapewnienia prawidlowego dzialania, zapamietywania preferencji uzytkownika oraz prowadzenia statystyk.
2. Stosowane sa nastepujace kategorie cookies:

3. Cookies analityczne sa aktywowane wylacznie po wyrazeniu wyraznej zgody uzytkownika za posrednictwem baneru cookies. Zgoda moze byc cofnieta w dowolnym momencie.
4. Wiekszosc przegladarek internetowych umozliwia zarzadzanie plikami cookies, w tym ich blokowanie lub usuwanie. Wylaczenie cookies niezbednych moze uniemozliwic korzystanie z czesci funkcjonalnosci Platformy.

§ 11. Zautomatyzowane podejmowanie decyzji i profilowanie

1. Platforma wykorzystuje autorski algorytm optymalizacyjny KM Energy, ktory podejmuje zautomatyzowane decyzje dotyczace pracy magazynu energii (decyzje o ladowaniu, rozladowywaniu, harmonogramowaniu zuzycia energii).
2. Decyzje algorytmu sa oparte na danych pomiarowych z urzadzen, prognozach pogodowych, harmonogramach cen energii oraz parametrach skonfigurowanych przez Klienta partnerskiego.
3. Decyzje algorytmu nie maja charakteru, o ktorym mowa w art. 22 ust. 1 RODO (decyzje wywolujace skutki prawne lub w podobny sposob istotnie wplywajace na osobe fizyczna), gdyz dotycza wylacznie technicznej pracy urzadzen.
4. Kazdy Klient koncowy ma prawo do: a) wylaczenia trybu automatycznego algorytmu i przejscia w tryb manualny lub w tryb pracy domyslnej urzadzenia w dowolnym momencie; b) uzyskania ogolnego wyjasnienia logiki podejmowanych decyzji (z zastrzezeniem ochrony tajemnicy przedsiebiorstwa w zakresie szczegolowych parametrow algorytmu); c) interwencji manualnej oraz korekty parametrow algorytmu w ramach udostepnionych konfiguracji.
5. Algorytm nie wykorzystuje danych identyfikujacych osobe fizyczna do podejmowania decyzji - operuje wylacznie na danych technicznych i pomiarowych.

§ 12. Zmiany Polityki prywatnosci

1. Polityka prywatnosci moze byc aktualizowana w przypadku zmian przepisow prawa, zmian organizacyjnych lub technologicznych, rozszerzenia funkcjonalnosci Platformy lub wykrycia watpliwosci interpretacyjnych.
2. O istotnych zmianach Polityki informujemy z 30-dniowym wyprzedzeniem poprzez powiadomienie e-mail na adres podany w Koncie oraz powiadomienie w panelu Platformy.
3. Historia zmian Polityki jest publikowana w Platformie z mozliwoscia wgladu w poprzednie wersje.
4. System Platformy rejestruje hash kryptograficzny tresci Polityki (algorytm SHA-256) w momencie akceptacji przez uzytkownika, stanowiac dowod obowiazujacej wersji w danym momencie.

§ 13. Kontakt w sprawach ochrony danych

Pytania, zadania i wnioski dotyczace przetwarzania danych osobowych prosimy kierowac na:

Organ nadzorczy:
Prezes Urzedu Ochrony Danych Osobowych
ul. Stawki 2, 00-193 Warszawa
www.uodo.gov.pl