Wersja 2.0.1. Obowiązuje od 25 września 2026 r. Zastępuje Politykę prywatności obowiązującą do 1 września 2026 r. Archiwum wcześniejszych wersji udostępniamy na żądanie skierowane na adres rodo@sandrakos.com.

Wersja 2.0.1 zmienia wyłącznie adres siedziby spółki. Prawa i obowiązki stron pozostają takie same jak w wersji 2.0 obowiązującej od 2 września 2026 r.

Twoja prywatność w skrócie

• Nie handlujemy Twoimi danymi. Przekazujemy je dostawcom, z których usług korzystamy, żeby Cię obsłużyć; naszym doradcom, na przykład księgowym i prawnikom; a jeśli zdecydujesz się na kredyt, także spółce NOTUS Finanse S.A., która poprowadzi Twój wniosek. Szczegóły w punkcie 4.
• Zapisanie się na spotkanie nie zapisuje Cię do newslettera. Materiały marketingowe wysyłamy wyłącznie po Twojej odrębnej zgodzie, którą możesz cofnąć jednym kliknięciem.
• Masz kontrolę nad swoimi danymi. Możesz sprawdzić, jakie dane mamy, poprawić je, usunąć, ograniczyć ich przetwarzanie, przenieść je gdzie indziej – tam, gdzie przetwarzamy je na podstawie zgody albo umowy – i wnieść sprzeciw.
• Najprościej: piszesz na rodo@sandrakos.com. Odpowiadamy w ciągu miesiąca.
• Poniżej pełna wersja.

1. Kto jest administratorem Twoich danych

Administratorem Twoich danych osobowych zbieranych przez stronę https://sandrakos.com i powiązane z nią systemy jest Instytut Edukacji Finansowej sp. z o.o. z siedzibą w Warszawie (00-030), pl. Powstańców Warszawy 2, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000879198, dla której akta rejestrowe prowadzi Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego, NIP 5252849513, REGON 388004224, kapitał zakładowy 5 000,00 zł (dalej: Administrator).

⚠️ Jeden wyjątek: publikacja wizerunku i historii współpracy. Jeżeli podpiszesz Umowę o nieodpłatnym wykorzystaniu wizerunku i historii współpracy, Twoje dane w zakresie objętym tą umową przetwarzają wspólnie dwie spółki: Instytut Edukacji Finansowej sp. z o.o. oraz Doradcy MŚP sp. z o.o. (KRS 0001112525, NIP 5253007880), jako współadministratorzy w rozumieniu art. 26 RODO. Szczegóły opisuje punkt 3.7.

Administrator jest agentem NOTUS Finanse S.A., powiązanego pośrednika kredytu hipotecznego, i działa w jego imieniu na podstawie wpisu do Rejestru pośredników kredytowych prowadzonego przez Komisję Nadzoru Finansowego pod numerem RHA0016081. Administrator pośredniczy również w kredytach gotówkowych i ma w tym rejestrze drugi wpis, o numerze RPK043499. Rejestr jest dostępny pod adresem https://rpkip.knf.gov.pl. To, czym się zajmujemy i czego nie robimy, opisuje Regulamin kontaktu.

Sandra Kos jest Członkiem Zarządu Administratora i wykonuje czynności w jego imieniu, występując pod marką Strateg Finansowania. Nazwa i wizerunek Sandry Kos są wykorzystywane w ramach marki Sandra Kos, której operatorem prawnym jest Administrator.

2. Jak się z nami skontaktować w sprawach danych

W sprawach dotyczących Twoich danych, w tym w sprawie realizacji Twoich praw, pisz na rodo@sandrakos.com albo listownie na adres siedziby wskazany w punkcie 1. Możesz też skorzystać z naszego adresu do doręczeń elektronicznych: AE:PL-24422-24467-SWHSI-26.

Jeżeli Twoje żądanie dotrze do nas inną drogą, również je obsłużymy – termin liczymy od doręczenia pierwszej wiadomości.

Pod numerem 517 760 780 odpowiemy na pytania o to, jak przetwarzamy dane. Samo żądanie lepiej jednak złożyć pisemnie – wtedy nie ma wątpliwości, czego dotyczy i kiedy wpłynęło.

Nie wyznaczyliśmy inspektora ochrony danych, więc wszystkie sprawy trafiają bezpośrednio do nas.

3. Po co, na jakiej podstawie i jak długo przetwarzamy Twoje dane

3.1. Rezerwacja terminu spotkania

• Zakres danych – Imię, adres e-mail, numer telefonu, wybrany termin, a przy spotkaniu w miejscu uzgodnionym – adres tego miejsca.
• Cel – Przyjęcie rezerwacji wraz z przekazaniem dokumentów, które musimy Ci przekazać przed spotkaniem, zorganizowanie spotkania w uzgodnionym miejscu, przygotowanie się do niego, wysłanie odnośnika do spotkania oraz przypomnień e-mail i SMS, informowanie o zmianie albo odwołaniu terminu, a także odnotowanie nieobecności na umówionym spotkaniu, którego wcześniej nie odwołałaś albo nie odwołałeś (§ 6 ust. 5 Regulaminu kontaktu).
• Podstawa prawna – Art. 6 ust. 1 lit. b RODO – podjęcie działań na Twoje żądanie przed zawarciem umowy. Przypomnienia o zarezerwowanym przez Ciebie terminie, przekazanie dokumentów przedumownych i informacja o zmianie albo odwołaniu terminu są częścią tej samej usługi, więc obejmuje je ta sama podstawa. Odnotowanie nieobecności: art. 6 ust. 1 lit. f RODO – nasz uzasadniony interes polegający na ochronie dostępności terminów dla innych osób. Wobec przetwarzania opartego na uzasadnionym interesie możesz wnieść sprzeciw – zob. punkt 6.
• Okres przechowywania – Do czasu odbycia spotkania, a jeżeli sprawa przejdzie w obsługę opisaną w punkcie 3.3 – przez okres wskazany w tamtym punkcie. Jeżeli do spotkania nie dojdzie – 3 lata od odwołanego albo niewykorzystanego terminu.

3.2. Dowód udzielonych zgód i przekazanych informacji

• Zakres danych – Data i godzina zdarzenia, adres IP urządzenia, identyfikator przeglądarki i jego oznaczenie, adres strony, z której nastąpiło zgłoszenie, adres strony poprzedniej, kraj numeru telefonu, oznaczenie wersji formularza, pełna treść informacji wyświetlonej przy przycisku, napis przycisku oraz adresy i oznaczenia wersji dokumentów prawnych.
• Cel – Wykazanie, jaką informację otrzymałaś albo otrzymałeś przy rezerwacji, przy wysłaniu formularza albo prośby o telefon i przy udzieleniu zgody, w jakim brzmieniu i kiedy, a przy zgodach – że zostały udzielone. Danych tych nie wykorzystujemy do żadnych innych celów, w szczególności marketingowych.
• Podstawa prawna – Art. 6 ust. 1 lit. f RODO w związku z art. 5 ust. 2 i art. 7 ust. 1 RODO – obowiązek wykazania zgodności przetwarzania z prawem.
• Okres przechowywania – 6 lat od końca roku, w którym złożono oświadczenie. Okres ten biegnie niezależnie od tego, czy do spotkania doszło, i niezależnie od okresu z punktu 3.1 – rejestr służy wyłącznie wykazaniu, co i kiedy Ci pokazaliśmy.

3.3. Prowadzenie Twojej sprawy kredytowej, od pierwszego spotkania

Dotyczy zarówno kredytu hipotecznego, jak i kredytu gotówkowego. Te dane zbieramy już podczas pierwszego spotkania, bo bez nich nie da się powiedzieć nic sensownego o możliwościach finansowania.

• Zakres danych – Dane kontaktowe; informacje o Twoich dochodach i ich źródle; informacje o Twoich zobowiązaniach i zadłużeniu; stan cywilny oraz ustrój majątkowy małżeński, w tym istnienie rozdzielności majątkowej; liczba osób pozostających na Twoim utrzymaniu; informacje o nieruchomości i o wkładzie własnym (przy kredycie hipotecznym); etap sprawy, ustalenia i dalsze kroki.
• Cel – Obsługa procesu finansowania: rozpoznanie Twojej sytuacji, przedstawianie i porównywanie ofert kredytodawców, przygotowanie dokumentów, wyjaśnianie decyzji kredytowych i warunków umów, rozpatrzenie reklamacji.
• Podstawa prawna – Art. 6 ust. 1 lit. b RODO – wykonanie umowy o świadczenie usług pośrednictwa, a przed jej zawarciem podjęcie działań na Twoje żądanie. Rozpatrzenie reklamacji: art. 6 ust. 1 lit. c RODO – obowiązek wynikający z ustawy z dnia 5 sierpnia 2015 r. o rozpatrywaniu reklamacji przez podmioty rynku finansowego, o Rzeczniku Finansowym i o Funduszu Edukacji Finansowej.
• Okres przechowywania – Przez czas obsługi sprawy, a następnie 6 lat od końca roku, w którym sprawa została zamknięta.
• Dlaczego pytamy o stan cywilny i ustrój majątkowy. Od tego zależy, kto musi wystąpić jako kredytobiorca, czyja zdolność kredytowa jest liczona i czy potrzebna będzie zgoda małżonka.

Dane innych osób. Część tych informacji dotyczy także Twojego małżonka, współkredytobiorcy albo osób pozostających na Twoim utrzymaniu. Jeżeli przekazujesz nam ich dane, przetwarzamy je na zasadach opisanych w punkcie 3.5, a informację o przetwarzaniu kierujemy do tych osób przy pierwszej kierowanej do nich wiadomości.

3.4. Zapytanie przez formularz kontaktowy, prośba o telefon i wiadomość komunikatorem albo SMS-em

• Zakres danych – Adres e-mail albo numer telefonu, treść wiadomości, data i godzina, a przy zapytaniu wysłanym formularzem i przy prośbie o telefon także adres IP. Jeżeli piszesz komunikatorem – także numer telefonu albo identyfikator, pod którym korzystasz z tej aplikacji, oraz nazwa profilu i zdjęcie profilowe, jeżeli je w niej udostępniasz. Jeżeli piszesz SMS-em – Twój numer telefonu.
• Cel – Przygotowanie odpowiedzi na Twoje pytanie. Przy zapytaniu wysłanym formularzem i przy prośbie o telefon – także oddzwonienie, potwierdzenie przyjęcia prośby wiadomością SMS oraz wykazanie, jaką informację wyświetliliśmy przy formularzu i kiedy, na zasadach z punktu 3.2. Przy wiadomości komunikatorem albo SMS-em – także zaproponowanie rozmowy telefonicznej i przesłanie odnośnika do rezerwacji terminu.
• Podstawa prawna – Art. 6 ust. 1 lit. b RODO – wykonanie usługi obsługi zapytania, którą zamawiasz, wysyłając formularz, prosząc o telefon albo pisząc do nas komunikatorem lub SMS-em, a gdy pytanie zmierza do zawarcia umowy o pośrednictwo – podjęcie działań na Twoje żądanie przed zawarciem umowy. Jeżeli Twoje pytanie wykracza poza te usługi, podstawą jest art. 6 ust. 1 lit. f RODO – nasz uzasadniony interes polegający na udzieleniu odpowiedzi na zadane pytanie. Wobec przetwarzania opartego na uzasadnionym interesie możesz wnieść sprzeciw – zob. punkt 6.
• Okres przechowywania – 3 lata od ostatniego kontaktu, chyba że sprawa przejdzie w obsługę opisaną w punkcie 3.1 albo 3.3.
• Pozostawienie numeru telefonu albo adresu e-mail przy kontakcie z nami nie jest zgodą marketingową. Nie wysyłamy na nie ofert ani reklam bez Twojej odrębnej zgody.

Jeżeli piszesz komunikatorem albo SMS-em. Przycisk w Serwisie otwiera zewnętrzną aplikację i sam nie przekazuje nam treści wiadomości ani Twoich danych kontaktowych; kliknięcie odnotowujemy w statystykach Serwisu, na zasadach opisanych w punkcie 8. Piszesz na służbowy numer 517 760 780 albo na profil w serwisie Facebook, którym administruje spółka.

Twoja wiadomość przechodzi przez system operatora – WhatsApp Ireland Limited przy WhatsAppie, Meta Platforms Ireland Limited przy Messengerze, a przy SMS-ie przez sieć Twojego operatora telekomunikacyjnego i naszego. Każdy z nich przetwarza ją na własnych zasadach, jako odrębny administrator, na co nie mamy wpływu; zasady operatorów komunikatorów obejmują także przekazywanie danych poza Europejski Obszar Gospodarczy i znajdziesz je w polityce prywatności danej aplikacji.

Wiadomość dotyczącą Twojej sprawy przechowujemy na zasadach z tego punktu, a gdy sprawa przechodzi w obsługę kredytową – z punktu 3.3.

Czego nie przesyłać tą drogą. Skanów dokumentów, danych o dochodach i innych dokumentów z Twoimi danymi osobowymi nie przesyłaj komunikatorem ani SMS-em. Nie zalecamy przesyłania ich również pocztą elektroniczną – wiadomość e-mail nie jest domyślnie szyfrowana na całej drodze i może zostać przeczytana przez osobę trzecią. Do przekazywania dokumentów udostępniamy Ci wydzielone miejsce, do którego dostęp mamy tylko Ty i my. Numeru PESEL nie przesyłaj żadnym z tych kanałów: podajesz go bezpośrednio w formularzu NOTUS Finanse S.A. Wiadomość zostaje na Twoim urządzeniu i jest widoczna dla każdego, kto ma do niego dostęp, a treści SMS-a nie chroni szyfrowanie końcowe.

3.5. Dane osób wskazanych przez Ciebie

• Zakres danych – Imię i adres e-mail osoby, którą wskażesz jako uczestnika spotkania, na przykład współkredytobiorcy.
• Źródło danych – Od Ciebie – osoby dokonującej rezerwacji.
• Cel – Przekazanie zaproszenia i informacji organizacyjnych o spotkaniu oraz umożliwienie udziału.
• Podstawa prawna – Art. 6 ust. 1 lit. f RODO – uzasadniony interes polegający na umożliwieniu obsługi sprawy prowadzonej wspólnie przez kilka osób.
• Okres przechowywania – 6 lat od końca roku, w którym sprawa została zamknięta, a jeżeli do spotkania nie dojdzie – 3 lata od niewykorzystanego terminu.
• Osobie wskazanej przekazujemy informację o przetwarzaniu jej danych przy pierwszej kierowanej do niej wiadomości (art. 14 ust. 3 lit. b RODO). Może w każdej chwili wnieść sprzeciw, pisząc na rodo@sandrakos.com. Wobec tego przetwarzania sprzeciw uwzględniamy bezwarunkowo – nie wymagamy podania przyczyn.

3.6. Badanie satysfakcji i publikacja opinii

• Zakres danych – Imię, adres e-mail, numer telefonu, fakt odbycia spotkania, etap sprawy: złożenie wniosków kredytowych i uruchomienie kredytu, ocena liczbowa, treść opinii, miejscowość, ogólne określenie rodzaju i lokalizacji finansowanej nieruchomości, a także fakt wystawienia przez Ciebie opinii w naszej wizytówce Google, jej treść, data i podpis autora widoczny w tym serwisie.
• Źródło danych – Od Ciebie. Fakt wystawienia opinii w naszej wizytówce Google i jej treść pozyskujemy z tej wizytówki, czyli ze źródła publicznie dostępnego. Jeżeli opinię wystawiłeś w innym serwisie zewnętrznym, w szczególności w serwisie Oferteo, i cytujemy ją na naszej stronie z podaniem źródła, źródłem danych jest ten serwis.
• Cel – Badanie jakości usług; sprawdzenie, czy opinia została już wystawiona, żeby nie prosić o nią po raz kolejny; a po wyrażeniu odrębnej zgody – publikacja wybranych opinii.
• Podstawa prawna – Wysyłka ankiety i prośby o opinię oraz sprawdzenie, czy opinia została wystawiona: art. 6 ust. 1 lit. f RODO – nasze uzasadnione interesy, którymi są dbałość o jakość usług, nieponawianie prośby wobec osoby, która opinię już wystawiła, oraz sprawdzenie, że publikowana opinia pochodzi od osoby, która z nami współpracowała. Wobec tego przetwarzania możesz wnieść sprzeciw – zob. punkt 6. Publikacja opinii przekazanej nam, wraz z imieniem, miejscowością i określeniem rodzaju nieruchomości: art. 6 ust. 1 lit. a RODO – Twoja zgoda. Cytowanie opinii, którą sam opublikowałeś w serwisie zewnętrznym: art. 6 ust. 1 lit. f RODO – nasz uzasadniony interes polegający na przedstawianiu referencji o naszych usługach; wobec tego przetwarzania również możesz wnieść sprzeciw.
• Okres przechowywania – Ocena i treść opinii: 3 lata od wystawienia opinii. Zapis o tym, że opinia została wystawiona i że zakończyliśmy prośby: 3 lata od ostatniej prośby. Opinia opublikowana: do wycofania zgody. Oryginalne brzmienie opublikowanej opinii, zapis udzielonej zgody i wynik jej weryfikacji: przez cały okres publikacji – potrzebujemy ich, żeby wykazać, że opinia jest prawdziwa i niezmieniona.
• Publikujemy wyłącznie opinie osób, które faktycznie z nami rozmawiały albo współpracowały. Zasady zbierania, weryfikacji i publikowania opinii opisuje Regulamin opinii.

3.7. Referencje wideo i wykorzystanie wizerunku

• Zakres danych – Wizerunek, głos, imię, miejscowość, opis przebiegu współpracy bez kwot kredytu, oszczędności, rat i marż, nazwisko – jeżeli zaznaczysz odrębne pole w umowie, a także adres e-mail i adres do korespondencji w zakresie potrzebnym do zawarcia umowy.
• Cel – Zawarcie i wykonanie Umowy o nieodpłatnym wykorzystaniu wizerunku i historii współpracy, publikacja materiałów.
• Podstawa prawna – Zawarcie i wykonanie umowy: art. 6 ust. 1 lit. b RODO. Publikacja: art. 6 ust. 1 lit. a RODO – Twoja zgoda oraz zezwolenie z art. 81 ustawy o prawie autorskim i prawach pokrewnych. Przechowywanie umowy po jej rozwiązaniu: art. 6 ust. 1 lit. f RODO, nasz uzasadniony interes polegający na wykazaniu zakresu zgody i obronie przed roszczeniami. Wobec przetwarzania opartego na uzasadnionym interesie możesz wnieść sprzeciw – zob. punkt 6.
• Okres przechowywania – Do wycofania zgody. Po jej wycofaniu usuwamy materiał w terminie 7 dni, na zasadach opisanych w § 5 umowy. Samą umowę przechowujemy przez 6 lat od jej rozwiązania, żeby wykazać, co obejmowała zgoda.
• Współadministrowanie – Dane objęte tą umową przetwarzają wspólnie Instytut Edukacji Finansowej sp. z o.o. oraz Doradcy MŚP sp. z o.o., jako współadministratorzy (art. 26 RODO). Zasadnicza treść naszych uzgodnień: Instytut prowadzi sprawę klienta, zawiera umowę, wykonuje obowiązek informacyjny i obsługuje wszystkie zgłoszenia dotyczące danych, w tym wycofanie zgody; obie spółki korzystają z materiałów w kanałach wskazanych w umowie i odpowiadają za zgodność własnych publikacji. Swoje prawa możesz wykonywać wobec każdej ze spółek, a zgłoszenie złożone jednej z nich działa wobec obu. Kontakt w obu sprawach: rodo@sandrakos.com.

3.8. Newsletter, poradniki e-mail, webinary i materiały do pobrania

• Zakres danych – Imię, adres e-mail, numer telefonu (jeżeli go podasz: przy zapisie na webinar służy przypomnieniom o nim, poza tym wymaga zgody na kontakt telefoniczny), wybrany webinar i fakt udziału, pobrane materiały, informacje o otwarciach wiadomości i kliknięciach.
• Cel – Zapisanie Cię na wybraną usługę i jej wykonanie: dostarczenie materiału, przeprowadzenie webinaru, przypomnienie o nim wraz z odnośnikiem dostępowym – pocztą elektroniczną, a jeżeli podasz numer, także SMS-em, rozpatrzenie reklamacji. Odrębnie: wysyłka treści edukacyjnych i informacji handlowych oraz dopasowanie tematów do Twoich zainteresowań – pocztą elektroniczną, a po odrębnej zgodzie także telefonicznie, w rozmowie albo SMS-em.
• Podstawa prawna – Zapisanie na usługę i jej wykonanie: art. 6 ust. 1 lit. b RODO – wykonanie umowy o dostarczenie treści cyfrowych. Na tej samej podstawie wysyłamy przypomnienie o webinarze, a jeżeli podasz numer – także SMS-em: dostarczenie odnośnika dostępowego jest wykonaniem umowy, a nie informacją handlową, więc nie wymaga zgody z art. 398 ust. 1 Prawa komunikacji elektronicznej. Numeru podanego przy zapisie na webinar nie wykorzystujemy do przesyłania informacji o usługach – do tego potrzebna jest odrębna zgoda na kontakt telefoniczny. Wysyłka i dopasowanie treści: art. 6 ust. 1 lit. a RODO – Twoja zgoda, wymagana także przez art. 398 ust. 1 ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej. Zgoda na kontakt pocztą elektroniczną i zgoda na kontakt telefoniczny są odrębne – możesz wyrazić jedną, obie albo żadnej i wycofać każdą osobno. Zapis adresu zachowany po wycofaniu zgody: art. 6 ust. 1 lit. f RODO – nasz uzasadniony interes polega na tym, żeby nie wysłać Ci wiadomości omyłkowo i żeby wykazać, że zgoda była zebrana i obsłużona zgodnie z prawem. Zapytanie o zgodę kierowane po Spotkaniu: art. 6 ust. 1 lit. f RODO – nasz uzasadniony interes polegający na umożliwieniu Ci decyzji, czy chcesz otrzymywać nasze materiały. Pytamy raz i nie ponawiamy pytania.
• Okres przechowywania – Do wycofania zgody. Po wycofaniu zachowujemy adres wraz z datą zapisu i datą wycofania, oznaczony jako wypisany, przez czas prowadzenia wysyłki na tej liście, nie dłużej niż 6 lat od końca roku, w którym wycofano zgodę.
• Jak dopasowujemy treści. Zgoda na dopasowywanie treści do Twoich zainteresowań obejmuje sprawdzanie, czy wiadomość została odczytana i w które odnośniki klikasz – po to, żeby wysyłać Ci mniej wiadomości i takie, które są dla Ciebie przydatne. Odnotowanie odczytania podlega dodatkowo warunkom z art. 399 ust. 1 tej ustawy. W ustawieniach programu pocztowego możesz wyłączyć automatyczne pobieranie obrazów – wtedy nie odnotujemy odczytania wiadomości.

Zasady zapisu, rezygnacji i dostarczania materiałów opisuje Regulamin materiałów edukacyjnych.

3.9. Sprzedaż materiałów edukacyjnych i udziału w webinarach

• Zakres danych – Imię, nazwisko, adres e-mail, wybrany materiał albo webinar, dane do faktury, dane o płatności.
• Cel – Realizacja zamówienia, wystawienie dokumentu księgowego, obsługa reklamacji.
• Podstawa prawna – Art. 6 ust. 1 lit. b RODO – wykonanie umowy; art. 6 ust. 1 lit. c RODO – obowiązki podatkowe i rachunkowe.
• Okres przechowywania – Dokumentacja księgowa: 5 lat od końca roku podatkowego. Pozostałe dane: 6 lat od końca roku, w którym zawarto umowę.
• Adresu podanego przy zakupie nie dopisujemy do żadnej listy marketingowej, nie wykorzystujemy go do profilowania reklamowego i nie przekazujemy do serwisów reklamowych.

Zasady zakupu, dostawy, odstąpienia i reklamacji opisuje Regulamin sprzedaży materiałów edukacyjnych.

3.10. Reklamy w serwisach zewnętrznych

Dotyczy przekazywania Twoich danych z naszych systemów do serwisów reklamowych. To coś innego niż pliki cookies zapisywane w Twojej przeglądarce, które opisujemy w punkcie 8.

• Zakres danych – Adres e-mail albo numer telefonu w postaci nieodwracalnie zaszyfrowanej (skrót kryptograficzny), informacja o zdarzeniu, którego dotyczy przekazanie, na przykład o umówieniu spotkania, a jeżeli trafiłaś albo trafiłeś do nas z reklamy – także identyfikator kliknięcia reklamy Google (gclid) i cztery oznaczenia kampanii (utm_source, utm_medium, utm_campaign, utm_content) zapisane przy Twoim zgłoszeniu.
• Odbiorcy – Google Ireland Limited, Meta Platforms Ireland Limited, LinkedIn Ireland Unlimited Company, TikTok Information Technologies UK Limited. W zakresie własnych celów każdy z nich jest odrębnym administratorem – zob. punkt 4.
• Cel – Wyświetlenie Ci naszej reklamy, zmierzenie jej skuteczności albo wykluczenie Cię z kampanii, żeby nie pokazywać Ci reklam usług, z których już skorzystałaś albo skorzystałeś. Identyfikator kliknięcia i oznaczenia kampanii służą wyłącznie temu, żeby ustalić, z której reklamy przyszło zgłoszenie.
• Podstawa prawna – Art. 6 ust. 1 lit. a RODO – Twoja zgoda, wyrażona przez zaznaczenie kategorii marketingowej w banerze zgód. Zgodę wycofasz w tym samym miejscu, klikając ikonę ustawień zgód na stronie – zob. punkt 8.
• Okres przechowywania – Do wycofania zgody albo zakończenia kampanii.
• Serwis, którego jeszcze nie uruchomiliśmy, nie otrzymuje żadnych danych. Powyższa lista obejmuje także serwisy, z których zaczniemy korzystać w okresie obowiązywania tej Polityki. Przekazanie następuje dopiero z chwilą uruchomienia współpracy z danym serwisem i wyłącznie po Twojej zgodzie.

Nie dotyczy to danych zebranych wyłącznie przy zakupie materiału – adresu podanego przy zakupie nie przekazujemy do serwisów reklamowych (punkt 3.9).

3.11. Ruch na stronie i pliki cookies

• Zakres danych – Identyfikator zapisany w pliku cookie, adres odwiedzanej podstrony, adres strony, z której przyszłaś albo przyszedłeś, przybliżona lokalizacja, dane o urządzeniu i przeglądarce, informacje o sposobie korzystania ze strony.
• Cel – Statystyka odwiedzin, analiza sposobu korzystania ze strony oraz prowadzenie i mierzenie kampanii reklamowych.
• Podstawa prawna – Cookies analityczne i marketingowe: art. 6 ust. 1 lit. a RODO – Twoja zgoda, wyrażona w banerze zgód. Cookies niezbędne: art. 6 ust. 1 lit. f RODO – nasz uzasadniony interes polegający na zapewnieniu działania i bezpieczeństwa strony. Warunki dostępu do Twojego urządzenia określa dodatkowo art. 399 Prawa komunikacji elektronicznej.
• Okres przechowywania – Przez czas życia poszczególnych plików cookies albo do wycofania zgody, a w narzędziach analitycznych i reklamowych – przez okres retencji ustawiony w każdym z nich.
• Szczegóły, w tym wykaz narzędzi, opisuje punkt 8.

3.12. Kontakty biznesowe i media

• Zakres danych – Imię, nazwisko, stanowisko, firma, służbowy adres e-mail i telefon, historia korespondencji.
• Źródło danych – Od Ciebie albo ze źródeł publicznie dostępnych: strony internetowej Twojej firmy, wizytówki, rejestrów publicznych, serwisów branżowych i profili zawodowych.
• Cel – Współpraca z partnerami (deweloperzy, biura nieruchomości, kancelarie, rzeczoznawcy), obsługa zapytań mediów.
• Podstawa prawna – Art. 6 ust. 1 lit. b RODO, gdy partner jest osobą fizyczną prowadzącą działalność i sam jest stroną umowy; w pozostałych przypadkach, w tym wobec osób reprezentujących partnera, art. 6 ust. 1 lit. f RODO – nasz uzasadniony interes polegający na prowadzeniu współpracy, budowaniu sieci kontaktów i obsłudze zapytań mediów.
• Okres przechowywania – Przez czas współpracy, a po jej zakończeniu przez okres przedawnienia roszczeń, zwykle 6 lat, albo do wniesienia skutecznego sprzeciwu.
• Osobie, której dane pozyskaliśmy ze źródeł publicznie dostępnych, przekazujemy informację o przetwarzaniu przy pierwszym kierowanym do niej kontakcie (art. 14 ust. 3 lit. b RODO).

3.13. Archiwizacja i obrona przed roszczeniami

• Zakres danych – Dane zebrane w trakcie kontaktu i współpracy, w zakresie niezbędnym do wykazania przebiegu sprawy.
• Cel – Zabezpieczenie dowodów na wypadek sporu oraz wykazanie zgodności naszego działania przed organami nadzoru.
• Podstawa prawna – Art. 6 ust. 1 lit. f RODO – nasz uzasadniony interes polegający na ustaleniu, dochodzeniu i obronie roszczeń oraz na wykazaniu zgodności naszego działania z prawem.
• Okres przechowywania – Do upływu terminów przedawnienia roszczeń, zwykle 6 lat, a w zakresie dokumentacji podatkowej 5 lat od końca roku podatkowego.

3.14. Czy musisz podawać nam dane

Podanie danych jest dobrowolne, ale w większości przypadków jest warunkiem skorzystania z usługi. Przy każdej sytuacji podajemy, czy dane trzeba podać, a dalej co się stanie, jeśli ich nie podasz:

• Rezerwacja spotkania – warunek zawarcia umowy; nie będziemy mogli przyjąć rezerwacji ani przeprowadzić spotkania.
• Adres miejsca spotkania o wnioskach – wymóg umowny; nie będziemy wiedzieli, gdzie przyjechać.
• Prowadzenie sprawy kredytowej: dochody, zobowiązania, stan cywilny i ustrój majątkowy – wymóg umowny; nie sprawdzimy Twoich możliwości, nie przedstawimy ani nie porównamy ofert i nie złożymy wniosku kredytowego.
• Zapytanie przez formularz, prośba o telefon albo wiadomość komunikatorem lub SMS-em – dobrowolne, ale bez tych danych nie odpowiemy; nie będziemy mogli odpowiedzieć ani oddzwonić.
• Newsletter i materiały edukacyjne – dobrowolne, na podstawie zgody; nie wyślemy Ci materiałów, nic więcej się nie zmieni.
• Publikacja opinii i wizerunku – całkowicie dobrowolne; nie ma to żadnego wpływu na Twoją sprawę ani na warunki współpracy.
• Zakup materiału albo udziału w webinarze – wymóg umowny i podatkowy; nie zrealizujemy zamówienia ani nie wystawimy dokumentu księgowego.
• Numer telefonu przy zapisie na webinar – całkowicie dobrowolne; nie wyślemy SMS-a z przypomnieniem, odnośnik dostaniesz samą pocztą elektroniczną.

4. Komu przekazujemy Twoje dane

Korzystamy z zewnętrznych narzędzi, żeby Cię obsłużyć. Odbiorcami Twoich danych mogą być następujące kategorie podmiotów. Przy każdej wskazujemy, do czego jej używamy i w jakiej roli występuje:

• Dostawca systemu obsługi klienta (CRM) – Kartoteka Twojej sprawy, historia kontaktu, zadania; podmiot przetwarzający, art. 28 RODO.
• Dostawca platformy automatyzującej przepływ danych – Przekazywanie danych między formularzami a naszymi systemami; podmiot przetwarzający, art. 28 RODO.
• Dostawca kalendarza rezerwacji i jego infrastruktury serwerowej – Przyjmowanie rezerwacji, przechowywanie ich i rejestr dowodowy; podmiot przetwarzający, art. 28 RODO.
• Dostawcy poczty, dysku i wideokonferencji – Korespondencja, dokumenty Twojej sprawy, spotkania online; podmiot przetwarzający, art. 28 RODO.
• Dostawca systemu wysyłki wiadomości – Newsletter, zamówione materiały i ankiety o jakości usług; podmiot przetwarzający, art. 28 RODO.
• Dostawca bramki SMS – Przypomnienia, potwierdzenia, ankiety o jakości usług, a po odrębnej zgodzie – informacje o naszych usługach; podmiot przetwarzający, art. 28 RODO.
• Operatorzy komunikatorów i sieci telekomunikacyjnych, przez które możesz do nas napisać – Doręczenie i przechowanie wiadomości, którą do nas wysyłasz, i naszej odpowiedzi. Nie budujemy u nich Twojego profilu i nie przekazujemy im danych z innych źródeł; w zakresie własnych celów są odrębnymi administratorami, na których zasady nie mamy wpływu – zob. punkt 3.4.
• Dostawca platformy podpisu elektronicznego – Zawieranie Umowy o nieodpłatnym wykorzystaniu wizerunku i historii współpracy; podmiot przetwarzający, art. 28 RODO.
• Dostawcy narzędzi wspierających naszą pracę biurową i przygotowanie notatek ze spotkań – Porządkowanie ustaleń ze spotkań; podmiot przetwarzający, art. 28 RODO.
• Dostawca platformy zarządzania zgodami – Zapamiętanie i wykazanie Twojej decyzji o plikach cookies; podmiot przetwarzający, art. 28 RODO.
• Dostawcy usług montażu i postprodukcji materiałów wideo – Przygotowanie materiałów z Twoim udziałem; podmiot przetwarzający, art. 28 RODO.
• Dostawca hostingu i dostarczania materiałów wideo – Odtwarzanie nagrań i referencji wideo na naszych stronach; podmiot przetwarzający, art. 28 RODO.
• Dostawca serwera pomiarowego – Przekazywanie zdarzeń do narzędzi analitycznych i reklamowych; podmiot przetwarzający, art. 28 RODO.
• Dostawca mechanizmu ochrony formularzy przed nadużyciem – Odróżnienie człowieka od programu automatycznego przy wysyłce formularza; podmiot przetwarzający, art. 28 RODO.
• Dostawcy infrastruktury sieciowej – Ustalenie adresu IP urządzenia, z którego wysyłasz formularz; w zakresie własnych celów są odrębnymi administratorami.
• Serwisy, w których publikujemy materiały, w tym serwisy wideo i społecznościowe – Publikacja opinii, referencji wideo i materiałów edukacyjnych oraz prowadzenie transmisji spotkań online. Materiały objęte umową wizerunkową publikuje każda z obu spółek we własnych kanałach, profilach i kampaniach reklamowych; w zakresie własnych celów tych serwisów są odrębnymi administratorami.
• Biuro rachunkowe, kancelarie prawne, dostawcy usług informatycznych i hostingu serwisu – Obsługa księgowa, prawna i techniczna, utrzymanie strony; podmiot przetwarzający albo odrębny administrator, zależnie od usługi.
• Dostawcy narzędzi analitycznych i reklamowych – Statystyka odwiedzin i kampanie reklamowe, wyłącznie po Twojej zgodzie; w zakresie własnych celów tych dostawców są odrębnymi administratorami.
• NOTUS Finanse S.A. – Prowadzenie procesu kredytowego; odrębny administrator – zob. punkt 4.1.
• Organy władzy publicznej – Wyłącznie gdy obowiązek wynika z przepisów prawa; nie są odbiorcami w rozumieniu art. 4 pkt 9 RODO, gdy otrzymują dane w ramach postępowania prowadzonego na podstawie prawa.
• Jeżeli z którymkolwiek z podmiotów wymienionych w tym punkcie ustalamy cele i sposoby przetwarzania wspólnie, zasadniczą treść takich uzgodnień udostępniamy na żądanie (art. 26 ust. 2 RODO).

4.1. Przekazanie sprawy do NOTUS Finanse S.A.

Dopóki Twoje dane nie trafią do systemu NOTUS Finanse S.A., ich jedynym administratorem jest Instytut Edukacji Finansowej sp. z o.o.

Dotyczy tak samo kredytu hipotecznego, jak i gotówkowego – w obu przypadkach wniosek prowadzi NOTUS Finanse S.A. jako pośrednik, a Twoje dane trafiają do jego systemu.

Przekazanie następuje w trakcie drugiego spotkania, czyli pierwszego dotyczącego pośrednictwa – wtedy wyrażasz zgodę. Dane potrzebne do wniosków, w tym numer PESEL i dane z dokumentu tożsamości, podajesz bezpośrednio w formularzu NOTUS Finanse S.A., zatwierdzając go kodem SMS. My ich nie zbieramy i nie zapisujemy u siebie. Przed złożeniem wniosków sprawdzamy dokument tożsamości każdej osoby, która ma wystąpić jako kredytobiorca – oglądamy go, ale nie kopiujemy i nie zapisujemy jego danych.

Od tej chwili Twoje dane przetwarzają dwie spółki, każda jako odrębny administrator, we własnym celu i we własnym systemie. NOTUS Finanse S.A. prowadzi proces kredytowy i przekazuje Ci własną informację o przetwarzaniu. My prowadzimy Twoją sprawę i wykonujemy naszą umowę o pośrednictwo – podstawą jest art. 6 ust. 1 lit. b RODO (punkt 3.3). Gdybyśmy chcieli wykorzystać te dane do czegoś, co wykracza poza wykonanie umowy, poprosimy Cię o odrębną zgodę, którą możesz w każdej chwili wycofać.

5. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część naszych dostawców przechowuje dane na serwerach poza Europejskim Obszarem Gospodarczym, w szczególności w Stanach Zjednoczonych. Transfery te odbywają się na podstawie mechanizmów przewidzianych w RODO:

• uczestnictwa dostawcy w programie EU-US Data Privacy Framework, zatwierdzonego decyzją wykonawczą Komisji Europejskiej (art. 45 RODO),
• decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony danych w danym państwie (art. 45 RODO) – na tej podstawie odbywa się przekazanie do Zjednoczonego Królestwa, albo
• standardowych klauzul umownych wydanych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).
• Gdzie znajdziesz treść tych zabezpieczeń. Standardowe klauzule umowne są opublikowane w decyzji wykonawczej Komisji Europejskiej 2021/914 i dostępne w Dzienniku Urzędowym Unii Europejskiej. Aktualną listę uczestników programu Data Privacy Framework prowadzi Departament Handlu Stanów Zjednoczonych pod adresem www.dataprivacyframework.gov (art. 13 ust. 1 lit. f RODO).

Ten rozdział dotyczy transferów dokonywanych przez naszych dostawców. Jeżeli piszesz komunikatorem, Twoja wiadomość przechodzi dodatkowo przez system jego operatora, który działa jako odrębny administrator – na jego zasadach, w tym na zasadach przekazywania danych poza Europejski Obszar Gospodarczy, nie mamy wpływu (punkt 3.4).

6. Twoje prawa

• Dostęp do danych – Możesz zapytać, czy i jakie dane przetwarzamy, i poprosić o ich kopię.
• Sprostowanie – Możesz żądać poprawienia danych nieprawidłowych i uzupełnienia niekompletnych.
• Usunięcie – Możesz żądać usunięcia danych, jeśli nie są już potrzebne albo po wycofaniu zgody. Nie usuniemy danych, które musimy zachować z powodów księgowych albo do obrony przed roszczeniami – wtedy wyjaśnimy Ci, dlaczego.
• Ograniczenie przetwarzania – Możesz żądać „zamrożenia" danych, na przykład gdy kwestionujesz ich prawidłowość.
• Przenoszenie danych – Możesz otrzymać dane w formacie nadającym się do odczytu maszynowego i przenieść je do innego podmiotu. Dotyczy danych, które przetwarzamy na podstawie Twojej zgody albo umowy z Tobą, w sposób zautomatyzowany.
• Sprzeciw – Możesz sprzeciwić się przetwarzaniu opartemu na naszym uzasadnionym interesie. Sprzeciw wobec marketingu bezpośredniego uwzględniamy natychmiast i bezwarunkowo.
• Wycofanie zgody – Każdą zgodę możesz wycofać w dowolnym momencie, równie łatwo jak przy jej udzielaniu. Nie wpływa to na legalność działań sprzed wycofania.
• Skarga – Możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa.
• Prawo do sprzeciwu, osobno i wyraźnie. Jeżeli przetwarzamy Twoje dane na podstawie naszego uzasadnionego interesu, masz prawo w dowolnym momencie wnieść sprzeciw wobec takiego przetwarzania, z przyczyn związanych z Twoją szczególną sytuacją. Jeżeli przetwarzamy je na potrzeby marketingu bezpośredniego, w tym profilowania na jego potrzeby, masz prawo wnieść sprzeciw w każdej chwili i bez uzasadnienia, a my natychmiast przestaniemy. Sprzeciw zgłoś na rodo@sandrakos.com.

Aby skorzystać z któregokolwiek z tych praw, napisz na rodo@sandrakos.com. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania, a w sprawach szczególnie złożonych informujemy o przedłużeniu terminu i o jego przyczynie.

7. Profilowanie i decyzje automatyczne

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec Ciebie skutki prawne. W szczególności nie oceniamy Twojej zdolności kredytowej algorytmem bez udziału człowieka.

Stosujemy natomiast profilowanie marketingowe i analityczne: nasze systemy przypisują znaczniki na podstawie Twojej aktywności w wysyłanych przez nas wiadomościach i na stronie, na przykład pobrania materiału. Służy to dopasowaniu treści, które do Ciebie wysyłamy, i optymalizacji kampanii reklamowych. Nie ma to wpływu na Twoją sytuację prawną ani na warunki naszej współpracy.

Profilowanie opiera się na Twojej zgodzie, więc zatrzymasz je, wycofując zgodę: marketingową – w stopce dowolnej wiadomości, analityczną i reklamową – w ustawieniach zgód na stronie (punkt 8). Możesz też w każdej chwili wnieść sprzeciw wobec marketingu bezpośredniego, pisząc na rodo@sandrakos.com (punkt 6).

8. Pliki cookies i technologie śledzące

1. Nasza strona korzysta z plików cookies oraz podobnych technologii. Zapisywanie informacji na Twoim urządzeniu i uzyskiwanie do niej dostępu jest dopuszczalne po Twojej zgodzie, na warunkach określonych w art. 399 ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej. Podstawę przetwarzania danych osobowych, które w ten sposób pozyskujemy, wskazuje punkt 3.11.
2. Zaraz po wejściu na stronę pokazujemy Ci baner zarządzania zgodami. Do czasu wyrażenia zgody nie zapisujemy na Twoim urządzeniu żadnych informacji poza niezbędnymi, a narzędzia analityczne i reklamowe nie odczytują identyfikatorów pozwalających Cię rozpoznać. Ich kod uruchamia się jednak razem ze stroną, więc dostawca takiego narzędzia odnotowuje samo wejście, wraz z adresem IP i informacją o przeglądarce. Pełny zakres opisany niżej narzędzia zaczynają wykonywać dopiero po Twojej zgodzie.
3. Cookies niezbędne (zawsze aktywne). Konieczne do działania strony: zapamiętanie Twojej decyzji o zgodach, zabezpieczenie formularzy, poprawne załadowanie kalendarza. Nie można ich wyłączyć w banerze. Nie stosuje się do nich warunków zgody – wynika to z art. 399 ust. 3 Prawa komunikacji elektronicznej.
4. Cookies analityczne (wymagają zgody).
   • Google Analytics 4 (Google Ireland Limited) – statystyka odwiedzin: skąd przychodzisz, które podstrony oglądasz, ile czasu na nich spędzasz; pomiar odbywa się przez nasz własny serwer w domenie serwisu.
   • Microsoft Clarity (Microsoft Ireland Operations Limited) – analiza sposobu korzystania ze strony: ruch kursora, przewijanie, kliknięcia, w postaci zbiorczych map.
   • HubSpot (HubSpot Ireland Limited) – rozpoznanie powracającej wizyty i powiązanie jej z Twoją sprawą w systemie obsługi klienta.
5. Cookies marketingowe (wymagają zgody). Poniżej narzędzia, z których korzystamy albo które uruchamiamy w okresie obowiązywania tej Polityki. Narzędzie, którego jeszcze nie uruchomiliśmy, nie zapisuje żadnych plików ani nie zbiera danych – zaczyna działać dopiero po wyrażeniu przez Ciebie zgody i po uruchomieniu go przez nas.
   • Google Ads (Google Ireland Limited) – mierzenie skuteczności reklam i wyświetlanie Ci ich po opuszczeniu strony.
   • Meta Pixel (Facebook, Instagram) (Meta Platforms Ireland Limited) – mierzenie skuteczności reklam w serwisach Meta i kierowanie do Ciebie kolejnych.
   • LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company) – mierzenie skuteczności reklam w serwisie LinkedIn i kierowanie do Ciebie kolejnych.
   • TikTok Pixel (TikTok Information Technologies UK Limited) – mierzenie skuteczności reklam w serwisie TikTok i kierowanie do Ciebie kolejnych.
   Operatorzy tych narzędzi mogą powiązać informację o Twojej wizycie z Twoim profilem w swoich serwisach.
6. Filmy osadzone na stronie. Nagrania i referencje wideo odtwarzamy z serwisu Bunny Stream, którego dostawcą jest BunnyWay, spółka z siedzibą w Słowenii, działająca na nasze zlecenie jako podmiot przetwarzający. Uruchomienie filmu oznacza połączenie z jej serwerami. Jeżeli osadzimy film z serwisu YouTube (Google Ireland Limited), zrobimy to w trybie ograniczonego śledzenia, w którym serwis nie zapisuje plików cookies, dopóki nie uruchomisz odtwarzania; uruchomienie oznacza wtedy połączenie z serwerami Google i możliwość powiązania odtworzenia z Twoim kontem, jeżeli masz w tym serwisie zalogowaną sesję.
7. Odczyt adresu IP. Niezależnie od cookies, kiedy wysyłasz formularz, odczytujemy Twój publiczny adres IP; ustalamy go z pomocą dostawcy infrastruktury sieciowej, do którego kieruje wtedy zapytanie Twoja przeglądarka. Wykorzystujemy go wyłącznie jako dowód tego, kiedy i w jakim brzmieniu wyświetliliśmy Ci informacje prawne przy formularzach (punkt 3.2). Nie używamy go do analityki ani do reklamy.
8. Ochrona formularzy przed nadużyciem. Formularze w Serwisie są chronione mechanizmem, który odróżnia człowieka od programu automatycznego. Mechanizm ten uruchamia się przy wysyłce formularza, a nie przy wejściu na stronę.
9. Zmiana zdania. W każdej chwili możesz wycofać zgodę na wybraną kategorię, klikając ikonę ustawień zgód w lewym dolnym rogu strony. Możesz też zarządzać cookies w ustawieniach przeglądarki.

9. Zmiany tej Polityki

Zmiany prawa i rozwiązań technicznych mogą wymagać aktualizacji tego dokumentu. O każdej istotnej zmianie poinformujemy, wskazując datę wejścia w życie nowego brzmienia. Aktualna wersja jest zawsze dostępna pod adresem https://sandrakos.com/prawne/polityka-prywatnosci.