Polityka prywatności

Administratorem danych przetwarzanych w ramach serwisu PrawoHub — konta, wyszukiwania, profili, opinii, rezerwacji terminów i abonamentów — jest podmiot prowadzący serwis, wskazany na stronie Kontakt.

Rozdzielamy dwie role i to nie jest formalność. Wobec danych marketplace'u jesteśmy administratorem. Wobec danych, które kancelaria wprowadza do panelu — akt spraw, dokumentów, bazy klientów — administratorem jest kancelaria, a my jedynie podmiotem przetwarzającym, działającym na jej polecenie i w granicach umowy powierzenia. Nie decydujemy o celach przetwarzania tych danych i nie wykorzystujemy ich do własnych.

Nie jesteśmy też administratorem danych, które przekazujesz prawnikowi po nawiązaniu kontaktu. Od momentu, w którym opisujesz swoją sprawę prawnikowi, administratorem tych informacji jest on — i obowiązuje go tajemnica zawodowa, znacznie ostrzejsza niż samo RODO.

Zakres zależy od tego, kim jesteś w serwisie.

Klient szukający prawnika

• Bez konta: tylko dane techniczne z § 9 — nie musisz się rejestrować, żeby szukać, przeglądać profile i porównywać prawników.
• Z kontem: adres e-mail. Nie zbieramy hasła, bo logowanie działa jednorazowym linkiem. Opcjonalnie imię i telefon, jeśli sam je podasz przy rezerwacji.
• Rezerwacja terminu: wybrany prawnik, data, forma spotkania i krótki temat, jeśli go wpiszesz.
• Opinia: treść, ocena, zapis Twojej zgody na publikację wraz z datą. Zgodę zapisujemy, bo bez niej nie wolno nam opinii opublikować — szczegóły w metodologii opinii.
• Opis sprawy w wyszukiwarce: tekst, który wpisujesz w polu „opisz sprawę”, służy wyłącznie do dobrania dziedziny prawa i podpowiedzi wyników. Nie trafia do żadnego prawnika i nie dołączamy go do profilu ani do rezerwacji.

Prawnik i kancelaria

• Dane profilu: imię i nazwisko, tytuł zawodowy, numer wpisu na listę, izba, adresy kancelarii, specjalizacje, języki, opis, cennik, zdjęcie. To dane publiczne — profil jest widoczny w internecie i taki jest jego sens.
• Dane weryfikacyjne: informacje potrzebne do potwierdzenia wpisu w publicznym rejestrze samorządu zawodowego.
• Dane rozliczeniowe: dane do faktury i historia płatności za abonament.
• Dane operacyjne: kalendarz, dostępność, ustawienia powiadomień o zastępstwach procesowych, aktywność w panelu.

Podstawy wskazujemy z konkretnych liter art. 6 ust. 1 RODO, bo „uzasadniony interes” bez wskazania, jaki, nie jest żadną informacją.

• art. 6 ust. 1 lit. b — wykonanie umowy: prowadzenie konta, udostępnianie profilu, obsługa rezerwacji, świadczenie abonamentu i funkcji panelu.
• art. 6 ust. 1 lit. a — zgoda: publikacja opinii, newsletter, powiadomienia o zastępstwach procesowych, cookies analityczne. Zgodę możesz wycofać w każdej chwili, a wycofanie nie wpływa na zgodność z prawem przetwarzania przed wycofaniem.
• art. 6 ust. 1 lit. c — obowiązek prawny: przechowywanie dokumentacji księgowej i rozliczenia podatkowe.
• art. 6 ust. 1 lit. f — uzasadniony interes: bezpieczeństwo serwisu i zapobieganie nadużyciom (w tym fałszywym opiniom), obsługa reklamacji, dochodzenie i obrona roszczeń, statystyka i rozwój serwisu na danych zagregowanych.

Nie profilujemy użytkowników w sposób wywołujący skutki prawne i nie podejmujemy wobec nich decyzji wyłącznie automatycznie w rozumieniu art. 22 RODO. Nie sprzedajemy danych i nie przekazujemy ich brokerom danych ani sieciom reklamowym.

To najwrażliwsza część systemu, więc opisujemy ją dokładniej niż wymaga tego RODO. Kancelaria prowadząca sprawy w panelu wprowadza dane, które są objęte tajemnicą adwokacką lub tajemnicą radcy prawnego. Zbudowaliśmy to tak, żeby nasz dostęp był technicznie ograniczony, a nie tylko obiecany w dokumencie.

• Osobne schematy bazy danych. Dane spraw leżą poza schematem publikowanym przez API. Nie da się do nich dojść zapytaniem z aplikacji klienckiej, nawet z poprawnym tokenem użytkownika.
• Reguły dostępu po stronie bazy. Każdy wiersz jest chroniony regułą wymuszaną przez silnik bazy danych, domyślnie odmawiającą dostępu. Uprawnienia wynikają z przypisania do kancelarii i roli w niej, a nie z tego, co wyśle aplikacja.
• Szyfrowanie wrażliwych pól z kluczami trzymanymi poza samą bazą.
• Drugi składnik uwierzytelnienia jest wymagany dla kont z dostępem do akt.
• Log dostępu tylko do dopisywania. Wejścia w akta zostają w rejestrze, którego nie da się nadpisać ani usunąć — także nam. Kancelaria widzi, kto i kiedy otwierał sprawę.

Nasz zespół nie przegląda treści spraw. Dostęp techniczny do infrastruktury jest ograniczony do osób, którym jest niezbędny do utrzymania systemu, i rejestrowany. Do treści objętych tajemnicą zawodową sięgamy wyłącznie na wyraźne polecenie kancelarii — na przykład przy zgłoszonej przez nią awarii — i tylko w niezbędnym zakresie.

Nie używamy danych z akt spraw do trenowania modeli sztucznej inteligencji. Nigdy i niezależnie od planu abonamentowego.

• Konto: przez okres jego posiadania. Po usunięciu konta usuwamy dane albo je anonimizujemy, z wyjątkami niżej.
• Opinie: pozostają w serwisie po usunięciu konta autora, ale w formie pozbawionej danych identyfikujących. Usunięcie opinii natychmiast zmieniałoby ocenę prawnika, a ocena ma być odzwierciedleniem historii, nie stanu konta autora.
• Dokumentacja księgowa: 5 lat licząc od końca roku podatkowego, w którym powstał obowiązek podatkowy — to wymóg ustawowy, nie nasza decyzja.
• Dane potrzebne do obrony roszczeń: do upływu terminów przedawnienia.
• Logi bezpieczeństwa: co do zasady do 12 miesięcy.
• Dane spraw w panelu: zgodnie z polityką retencji kancelarii, która jest ich administratorem. Po rozwiązaniu umowy usuwamy je albo zwracamy kancelarii w ustalonym terminie.

Korzystamy z dostawców, bez których serwis nie mógłby działać. Każdy ma z nami umowę powierzenia przetwarzania i przetwarza dane wyłącznie na nasze polecenie. Kategorie:

• Hosting i baza danych — infrastruktura serwisu, region Unii Europejskiej.
• Dostawca poczty transakcyjnej — linki do logowania, potwierdzenia rezerwacji, przypomnienia o terminach.
• Operator płatności — obsługa abonamentów. Nie przechowujemy pełnych numerów kart; obsługuje je operator.
• Dostawca map — wyświetlanie punktów na mapie wyników.
• Analityka — statystyka ruchu, wyłącznie po Twojej zgodzie i w formie możliwie zagregowanej.

Dane możemy udostępnić organom publicznym, gdy obowiązek wynika z przepisów prawa. Każde takie żądanie oceniamy pod kątem podstawy prawnej i zakresu, a jeśli dotyczy danych objętych tajemnicą zawodową — informujemy kancelarię, o ile prawo tego nie zakazuje.

Dane przechowujemy w Unii Europejskiej — infrastruktura znajduje się we Frankfurcie nad Menem. Nie przekazujemy danych osobowych poza Europejski Obszar Gospodarczy. Jeśli kiedykolwiek stałoby się to konieczne, zrobimy to wyłącznie na podstawie mechanizmu przewidzianego w rozdziale V RODO i uprzedzimy o tym w zmienionej polityce.

Ta zasada obejmuje również funkcje oparte na modelach językowych — podpowiadanie dziedziny prawa na podstawie opisu sprawy i podsumowania w panelu. Modele uruchamiamy u dostawców w regionie europejskim, a dane wysłane do modelu nie są wykorzystywane do jego trenowania. Treści objęte tajemnicą zawodową nie są do modeli wysyłane bez wyraźnej decyzji kancelarii dla konkretnej funkcji.

W zakresie danych, których administratorem jesteśmy my, masz prawo do:

• dostępu do danych i uzyskania ich kopii (art. 15 RODO),
• sprostowania danych nieprawidłowych lub niekompletnych (art. 16),
• usunięcia danych, jeżeli nie mamy podstawy do dalszego przetwarzania (art. 17),
• ograniczenia przetwarzania (art. 18),
• przenoszenia danych w formacie nadającym się do odczytu maszynowego (art. 20),
• sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21),
• wycofania zgody w każdej chwili, tam gdzie przetwarzamy na jej podstawie.

Wniosek składasz przez stronę Kontakt. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; w sprawach skomplikowanych możemy ten termin przedłużyć, informując o przyczynie.

Jeśli chodzi o dane w aktach sprawy prowadzonej przez kancelarię, wniosek kieruj do tej kancelarii — to ona jest administratorem i tylko ona może o nim rozstrzygnąć. Zgłoszenie przekierowane do nas przekażemy jej, jeśli wskażesz, o którą kancelarię chodzi.

Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Dzielimy je na dwie grupy i traktujemy różnie.

• Niezbędne — utrzymanie sesji po zalogowaniu, bezpieczeństwo formularzy, zapamiętanie decyzji o cookies. Bez nich serwis nie działa, dlatego nie pytamy o zgodę na ich stosowanie.
• Analityczne — wyłącznie po Twojej zgodzie. Służą do sprawdzenia, które elementy serwisu są używane, i nie zakładamy na ich podstawie profilu reklamowego. Zgodę możesz wycofać w tym samym miejscu, w którym jej udzielasz.

Nie umieszczamy w serwisie kodów sieci reklamowych ani pikseli śledzących z serwisów społecznościowych. Przy stronach dotyczących spraw wrażliwych — na przykład przemocy domowej czy postępowań karnych — byłoby to nie do przyjęcia, więc nie robimy tego nigdzie.

Stosujemy szyfrowanie transmisji, szyfrowanie danych w spoczynku, uwierzytelnianie bez haseł (jednorazowe linki), drugi składnik dla kont z dostępem do akt, kontrolę dostępu na poziomie wiersza w bazie danych, zasadę minimalnych uprawnień oraz rejestrowanie dostępu do danych wrażliwych.

Jeżeli naruszenie ochrony danych będzie powodować wysokie ryzyko naruszenia Twoich praw lub wolności, poinformujemy Cię o nim bez zbędnej zwłoki, a właściwy organ nadzorczy — w terminie 72 godzin od stwierdzenia naruszenia, zgodnie z art. 33 i 34 RODO.

Znalazłeś lukę w zabezpieczeniach? Zgłoś ją przez stronę kontaktową. Nie kierujemy roszczeń wobec osób, które zgłaszają podatności w dobrej wierze, nie wykorzystują ich do uzyskania dostępu do danych użytkowników i dają nam czas na naprawę.

O istotnych zmianach informujemy w serwisie, a użytkowników z kontem — pocztą elektroniczną, z co najmniej 14-dniowym wyprzedzeniem. Zmiana, która wymagałaby nowej zgody, nie wchodzi w życie bez jej uzyskania. Datę ostatniej aktualizacji podajemy na górze strony.