Polityka prywatności

PUH Auto-Stop Piotr Stokłosa · autostop.co

§ 1. Administrator danych osobowych

1. Administratorem Twoich danych osobowych jest PUH Auto-Stop Piotr Stokłosa, ul. Limanowskiego 3, 58-300 Wałbrzych, NIP 886-159-15-73, REGON 890464701, wpisany do rejestru przedsiębiorców prowadzących ośrodek szkolenia kierowców pod numerem 0070265 (organ prowadzący rejestr: Prezydent Miasta Wałbrzycha).
2. Kontakt w sprawach ochrony danych osobowych:
   • e-mail: rodo@autostop.co
   • telefon: +48 604 054 108
   • listownie: adres wskazany w pkt 1.
3. Administrator nie powołał Inspektora Ochrony Danych — nie zachodzi żadna z przesłanek art. 37 ust. 1 RODO. We wszystkich sprawach dotyczących danych osobowych kontaktuj się bezpośrednio z Administratorem.
4. Niniejsza polityka opisuje, jakie dane zbieramy za pośrednictwem strony autostop.co, w jakim celu, na jakiej podstawie prawnej, jak długo je przechowujemy i jakie masz w związku z tym prawa.

§ 2. Cele, podstawy prawne i zakres przetwarzania

Przetwarzamy dane w celach opisanych poniżej. Każdy cel ma własną podstawę prawną i własny zakres danych.

2.1. Zapis na kurs prawa jazdy (formularz zapisu)

Podstawa przetwarzania numeru PESEL. Numer PESEL przetwarzamy, ponieważ wymagają tego przepisy prawa regulujące działalność ośrodków szkolenia kierowców — ustawa z dnia 5 stycznia 2011 r. o kierujących pojazdami oraz rozporządzenie Ministra Infrastruktury i Budownictwa z dnia 4 marca 2016 r. w sprawie szkolenia osób ubiegających się o uprawnienia do kierowania pojazdami, instruktorów i wykładowców. Bez numeru PESEL nie możemy wpisać Cię do książki ewidencji osób szkolonych — dokumentacji obowiązkowej, którą ośrodek prowadzi na podstawie § 18 tego rozporządzenia — ani obsłużyć Twojego profilu kandydata na kierowcę (PKK). Oznacza to, że bez PESEL nie możemy przyjąć zgłoszenia na kurs. Numer PESEL stanowi krajowy numer identyfikacyjny w rozumieniu art. 87 RODO i objęty jest u nas podwyższonymi środkami ochrony opisanymi w § 12.

Numer PESEL zbieramy wyłącznie w formularzu zapisu na kurs. Jeśli chcesz tylko zadać pytanie (§ 2.3) albo zapisać się na powiadomienie o nowym terminie (§ 2.2) — nie prosimy o PESEL i nie jest on wtedy potrzebny.

2.2. Zgłoszenie zainteresowania kolejnym terminem („Powiadom mnie o nowym terminie”)

Powiadomienie wysyłamy ręcznie, pojedynczo, po otwarciu nowego terminu. Nie prowadzimy newslettera ani automatycznej wysyłki masowej. Zgodę możesz wycofać w każdej chwili, pisząc na rodo@autostop.co — wycofanie oznacza usunięcie Twoich danych z listy.

2.3. Odpowiedź na zapytanie zadane przez formularz kontaktowy

2.4. Ochrona strony przed nadużyciami

Do ochrony formularza nie zapisujemy w bazie zgłoszeń ani Twojego adresu IP w postaci jawnej, ani informacji o przeglądarce (User-Agent). Serwer WWW zapisuje je osobno — w dzienniku technicznym (§ 2.7).

2.5. Statystyka odwiedzin strony (Umami, bez plików cookies)

Statystykę liczymy narzędziem zainstalowanym na naszym serwerze (§ 5 pkt 1) — dane w czytelnej postaci nie trafiają do Google ani do żadnej firmy trzeciej. Poza nasz serwer wychodzi wyłącznie zaszyfrowana kopia zapasowa bazy statystyk, przechowywana w Unii Europejskiej u dostawcy, który nie ma klucza do jej odczytania (§ 5 pkt 3, § 12 pkt 7). Jeśli masz w przeglądarce włączony sygnał „nie śledź mnie” (Do Not Track), respektujemy go — Twoja wizyta wtedy w ogóle nie jest liczona.

2.6. Obowiązki podatkowe i rachunkowe oraz obrona przed roszczeniami

2.7. Dziennik techniczny serwera WWW

Dziennik techniczny serwera WWW przechowujemy nie dłużej niż 90 dni, po czym zapisy są usuwane. Dotyczy on każdego, kto odwiedza stronę — także gdy nie wysyła żadnego formularza. Zapis ten jest odrębny od danych opisanych w § 2.4 i § 2.5: zastrzeżenia o braku adresu IP w postaci jawnej dotyczą wyłącznie tamtych celów (ochrony formularza i statystyki Umami).

§ 3. Dobrowolność podania danych

1. Dane niezbędne do zapisu na kurs (imię, nazwisko, PESEL, adres, kontakt) — ich podanie jest wymogiem ustawowym i umownym. Bez nich nie możemy przyjąć zgłoszenia na kurs ani prowadzić wymaganej przepisami dokumentacji szkolenia. Konsekwencją niepodania jest brak możliwości zapisu na kurs za pośrednictwem strony — pozostaje kontakt telefoniczny lub osobisty w biurze. Dotyczy to wyłącznie formularza zapisu na kurs — w pozostałych formularzach nie prosimy ani o PESEL, ani o adres zamieszkania.
2. Dane w formularzu zapytania oraz przy zgłoszeniu zainteresowania terminem — ich podanie jest całkowicie dobrowolne, ale niezbędne, byśmy mogli się z Tobą skontaktować. Konsekwencją niepodania jest brak możliwości udzielenia odpowiedzi.
3. Zgoda na powiadomienie o nowym terminie — w pełni dobrowolna, odmowa nie powoduje żadnych negatywnych konsekwencji.

§ 4. Okresy przechowywania danych

§ 5. Odbiorcy danych

Twoje dane mogą być udostępniane następującym kategoriom odbiorców — wyłącznie w zakresie niezbędnym do realizacji wskazanych celów:

1. Dostawca infrastruktury serwerowej — OVH Sp. z o.o., ul. Powstańców Śląskich 9, 53-332 Wrocław; centrum danych w Warszawie (Polska, Unia Europejska); serwer, na którym działa strona, baza zgłoszeń oraz nasze własne narzędzie do anonimowej statystyki odwiedzin (Umami, § 2.5/§ 10.2) — statystyka nie ma osobnego, zewnętrznego dostawcy, bo działa na tym samym serwerze co reszta strony. Podmiot ten działa jako dalszy podmiot przetwarzający (podprocesor) — usługę serwera zamawia i obsługuje podmiot świadczący obsługę informatyczną (pkt 4).
2. Dostawca poczty elektronicznej — Google Ireland Limited / Google LLC (usługa Google Workspace); pocztą przekazywane jest zgłoszenie do biura szkoły.
3. Dostawca zabezpieczenia antyspamowego formularza oraz magazynu zaszyfrowanych kopii zapasowych — Cloudflare, Inc. (usługa Turnstile oraz usługa R2, w której przechowujemy kopie zapasowe w Unii Europejskiej; kopie szyfrujemy po naszej stronie, przed wysłaniem, a klucza do nich Cloudflare nie ma).
4. Podmioty świadczące obsługę informatyczną Administratora — w zakresie utrzymania i serwisu strony oraz serwera.
5. Biuro rachunkowe Administratora — w zakresie niezbędnym do rozliczenia umowy o szkolenie i wypełnienia obowiązków podatkowych.
6. Instruktorzy nauki jazdy współpracujący z nami w ramach własnej działalności gospodarczej — w zakresie prowadzenia zajęć praktycznych i dokumentacji szkolenia.
7. Organy administracji publicznej — w szczególności starosta (organ prowadzący ewidencję i nadzór nad ośrodkami szkolenia kierowców) oraz organ generujący profil kandydata na kierowcę, w zakresie wynikającym z ustawy o kierujących pojazdami.
8. Dolnośląski Ośrodek Ruchu Drogowego (DORD), oddział Wałbrzych — w zakresie niezbędnym do zgłoszenia kursanta na egzamin państwowy.
9. Uprawnione organy państwowe — sądy, prokuratura, organy ścigania i organy podatkowe, wyłącznie na podstawie obowiązujących przepisów prawa i w zakresie w nich określonym.

Z podmiotem świadczącym obsługę informatyczną (pkt 4) zawarto umowę powierzenia przetwarzania danych osobowych zgodną z art. 28 RODO; dostawcy infrastruktury serwerowej (pkt 1) oraz zabezpieczenia formularza i magazynu kopii zapasowych (pkt 3) przetwarzają dane jako dalsze podmioty przetwarzające, na podstawie umów zawartych przez ten podmiot i za zgodą Administratora wyrażoną w tej umowie.

Nie sprzedajemy danych osobowych i nie udostępniamy ich podmiotom w celach marketingowych.

§ 6. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Dane przetwarzane na serwerze Administratora (w tym baza zgłoszeń zawierająca numer PESEL oraz statystyka odwiedzin z Umami, § 2.5) są przechowywane wyłącznie na terenie Unii Europejskiej — centrum danych: Polska (Warszawa). Zaszyfrowane kopie zapasowe tych danych (§ 12 pkt 7) przechowujemy również na terenie Unii Europejskiej, w magazynie dostawcy z § 5 pkt 3, który nie ma klucza do ich odczytania. Statystyka odwiedzin w czytelnej postaci nie opuszcza naszego serwera.
2. Korzystanie z usług Google (poczta służbowa) oraz Cloudflare (zabezpieczenie formularza oraz przesyłanie zaszyfrowanych kopii zapasowych do magazynu w Unii Europejskiej) może wiązać się z przekazaniem danych do Stanów Zjednoczonych. Odbywa się to na podstawie decyzji wykonawczej Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony danych osobowych zapewniony przez Ramy Ochrony Danych UE–USA (Data Privacy Framework), do których przystąpiły Google LLC oraz Cloudflare, Inc.
3. Możesz uzyskać kopię informacji o stosowanych zabezpieczeniach, kontaktując się z nami na adres rodo@autostop.co.

§ 7. Twoje prawa

Przysługuje Ci prawo do:

1. dostępu do danych oraz uzyskania ich kopii (art. 15 RODO);
2. sprostowania danych nieprawidłowych oraz uzupełnienia niekompletnych (art. 16 RODO);
3. usunięcia danych — „prawo do bycia zapomnianym” (art. 17 RODO). Prawo to nie ma zastosowania w zakresie, w jakim przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego — dotyczy to w szczególności dokumentacji szkolenia kierowców i dokumentów księgowych;
4. ograniczenia przetwarzania (art. 18 RODO);
5. przenoszenia danych przetwarzanych na podstawie zgody lub umowy, w sposób zautomatyzowany (art. 20 RODO);
6. wniesienia sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 21 RODO);
7. cofnięcia zgody w dowolnym momencie (art. 7 ust. 3 RODO) — dotyczy listy powiadomień o nowych terminach. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed jej cofnięciem.

Żądania kierować można na adres rodo@autostop.co lub listownie na adres siedziby. Odpowiadamy bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania. W sprawach szczególnie skomplikowanych lub przy dużej liczbie żądań termin ten może zostać przedłużony o kolejne dwa miesiące — poinformujemy Cię o takim przedłużeniu wraz z podaniem przyczyn w ciągu miesiąca od otrzymania żądania (art. 12 ust. 3 RODO).

Skarga do organu nadzorczego. Jeżeli uznasz, że przetwarzamy Twoje dane niezgodnie z prawem, masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl).

§ 8. Brak profilowania i decyzji zautomatyzowanych

Twoje dane nie są wykorzystywane do profilowania ani do zautomatyzowanego podejmowania decyzji wywołujących wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływających (art. 22 RODO). Każde zgłoszenie rozpatruje człowiek.

§ 9. Dane osób, które nie ukończyły 18 lat

1. Na kurs prawa jazdy kategorii B można zapisać się po ukończeniu 17 lat (lub gdy do 17. urodzin pozostały nie więcej niż 3 miesiące). Oznacza to, że przetwarzamy dane osób małoletnich.
2. Zgłoszenia takiej osoby może dokonać rodzic lub opiekun prawny — formularz zawiera pole pozwalające wskazać, że zapis dotyczy dziecka. Osoba dokonująca zgłoszenia oświadcza tym samym, że jest uprawniona do przekazania danych małoletniego. Nie zbieramy przy tym odrębnych danych opiekuna: formularz nie ma pól na jego imię, nazwisko ani numer PESEL, a dane opiekuna powstają dopiero na pisemnej zgodzie podpisywanej w biurze (ust. 3). Dane kontaktowe podane w formularzu dotyczą przyszłego kierowcy — to z nim umawia się instruktor i do niego kierujemy korespondencję dotyczącą kursu.
3. Rozpoczęcie szkolenia osoby, która nie ukończyła 18 lat, wymaga pisemnej zgody rodzica lub opiekuna prawnego — oświadczenia według wzoru urzędowego, podpisywanego w biurze przy formalnościach na starcie kursu (ta sama zgoda jest potrzebna do założenia profilu kandydata na kierowcę).
4. Zgodnie z art. 8 RODO oraz art. 8 ustawy o ochronie danych osobowych, zgoda na przetwarzanie danych w związku z usługami społeczeństwa informacyjnego wymaga zgody opiekuna, gdy dziecko nie ukończyło 16 lat — dolna granica wieku kursantów wyklucza taki przypadek.
5. Prawa opisane w § 7 wykonuje w imieniu małoletniego jego przedstawiciel ustawowy.

§ 10. Pliki cookies

10.1. Czym są pliki cookies

1. Pliki cookies to niewielkie pliki tekstowe zapisywane na Twoim urządzeniu podczas przeglądania strony. Wykorzystujemy je wyłącznie do zabezpieczenia formularza przed automatami — sami nie ustawiamy żadnych własnych plików cookies.
2. Podstawę stosowania cookies stanowi ustawa Prawo komunikacji elektronicznej (obowiązująca od 10 listopada 2024 r., w miejsce uchylonego Prawa telekomunikacyjnego) oraz — w zakresie danych osobowych — RODO.

10.2. Jakich cookies używamy

Jedyne pliki cookies na tej stronie to cookies zabezpieczenia formularza (Cloudflare Turnstile) — nie wymagają one zgody i nie służą śledzeniu. Nie ustawiamy żadnych własnych plików cookies. Nie stosujemy plików cookies statystycznych, analitycznych, reklamowych, marketingowych, remarketingowych ani służących personalizacji treści — dotyczy to również statystyki odwiedzin (§ 2.5): liczymy ją narzędziem Umami, które nie ustawia żadnego pliku cookie i niczego nie zapisuje na Twoim urządzeniu; odczytuje wyłącznie dane potrzebne do pomiaru (adres i tytuł podstrony, stronę odsyłającą, język, rozdzielczość ekranu) oraz sprawdza, czy wyłączyłeś pomiar albo wysyłasz sygnał „nie śledź mnie” (Do Not Track). Nie korzystamy z Google Analytics, Piksela Meta (Facebook), Google Ads ani innych narzędzi śledzących. Statystykę liczymy własnym narzędziem zainstalowanym na naszym serwerze w Polsce (§ 5 pkt 1) — bez cookies i bez adresu IP w postaci jawnej.

Z tego powodu strona nie wyświetla banera zgód na cookies. Przepisy (art. 399–400 ustawy Prawo komunikacji elektronicznej) co do zasady wymagają zgody, gdy strona zapisuje informacje na Twoim urządzeniu albo uzyskuje do nich dostęp — z wyjątkami, które te przepisy przewidują. Nasz pomiar odwiedzin nie ustawia cookies i niczego nie zapisuje na Twoim urządzeniu; odczytuje jedynie dane opisane powyżej, a adres IP nie jest przez Umami przechowywany w postaci jawnej. W naszej ocenie taki pomiar mieści się w tych wyjątkach i nie wymaga banera — w zakresie pomiaru bez cookies i bez zapisu na urządzeniu potwierdziliśmy to w konsultacji prawnej.

10.3. Jak zarządzać plikami cookies

Ustawieniami cookies możesz zarządzać w swojej przeglądarce: Chrome · Firefox · Edge · Safari · Opera. Zablokowanie cookies Cloudflare może uniemożliwić wysłanie formularza.

§ 11. Wtyczki i treści zewnętrzne

1. Strona nie zawiera wtyczek społecznościowych (przycisków „Lubię to”, widżetów, ramek osadzonych z serwisów społecznościowych). Znajduje się na niej wyłącznie zwykły odnośnik do naszego profilu na Facebooku — jego kliknięcie jest Twoją świadomą decyzją i dopiero wtedy przechodzisz do serwisu Meta, gdzie obowiązują zasady prywatności tego serwisu.
2. Kroje pisma (fonty) są udostępniane z naszego serwera — nie korzystamy z Google Fonts ani z zewnętrznych sieci CDN. Przeglądając stronę, nie wysyłasz zapytań do serwerów zewnętrznych poza opisanymi w § 5.
3. Lokalizacje naszych obiektów prezentujemy w formie odnośnika do map zewnętrznych. Otwarcie mapy następuje dopiero po Twoim kliknięciu.

§ 12. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiadające ryzyku (art. 32 RODO), w szczególności:

1. szyfrowane połączenie HTTPS na całej stronie, w tym na stronie formularza;
2. szyfrowaną transmisję poczty (TLS) przy przekazywaniu zgłoszenia do biura;
3. bazę danych niedostępną z sieci publicznej — serwer bazy nasłuchuje wyłącznie lokalnie, dostęp chroni zapora sieciowa i konto o minimalnych uprawnieniach;
4. dziennik aplikacji bez danych kontaktowych i numeru PESEL — zdarzenia techniczne formularza zapisujemy z identyfikatorami spseudonimizowanymi, a nie z danymi, które podajesz w formularzu; okresy przechowywania wskazuje § 4;
5. przechowywanie adresu IP w naszej bazie i dzienniku aplikacji wyłącznie w postaci solonego skrótu kryptograficznego, istotnie utrudniającego odtworzenie adresu — skrót służy nam wyłącznie do porównywania zgłoszeń między sobą przy ograniczaniu spamu i nie jest przez nas odwracany (jawny adres IP trafia tylko do dziennika technicznego serwera WWW z § 2.7);
6. maskowanie numeru PESEL w wiadomości potwierdzającej wysyłanej do osoby zapisującej się — pełny numer trafia wyłącznie do biura szkoły;
7. szyfrowane kopie zapasowe przechowywane poza serwerem produkcyjnym (w tym w magazynie w Unii Europejskiej, § 5 pkt 3), podlegające rotacji — nie przechowujemy ich dłużej niż 30 dni, po czym są automatycznie usuwane; kopii nie wykorzystujemy do przywracania danych usuniętych na żądanie ani danych, dla których upłynęły okresy z § 4;
8. usuwanie danych po upływie okresów wskazanych w § 4, wykonywane zadaniem automatycznym nie rzadziej niż raz na kwartał;
9. zabezpieczenie antyspamowe formularza (Cloudflare Turnstile oraz mechanizmy wykrywania automatów).

§ 13. Zmiany polityki prywatności

1. Polityka może być aktualizowana, w szczególności w związku ze zmianą przepisów, zakresu usług lub stosowanych narzędzi.
2. Aktualna wersja jest zawsze dostępna na tej stronie wraz z datą jej wejścia w życie. Aktualną wersję udostępniamy też w biurze, przy formalnościach na starcie kursu.
3. Data wejścia w życie niniejszej wersji: 19 października 2026 r. Wersja dokumentu: 1.2.