Polityka prywatności - Hiram Trade

Wersja: 2026-11-09. Data wejścia w życie: 2026-11-09.

Zmiany w stosunku do wersji 2026-11-08: dodano sprawdzenie w publicznym rejestrze identyfikatorów podmiotów prawnych (LEI) prowadzonym przez Global Legal Entity Identifier Foundation (GLEIF) jako jedno z pomocniczych źródeł weryfikacji firm mających formę prawną (sekcja 2 pkt 4, sekcja 3 - nowy wiersz tabeli, sekcja 5 pkt 11, sekcja 6 pkt 5, sekcja 7 pkt 6, sekcja 8 pkt 6 oraz sekcja „Dane z rejestru LEI (GLEIF)”). Sprawdzenie ma charakter pomocniczy i nie wiąże się z automatyczną decyzją; zapytanie kierujemy bezpośrednio do GLEIF, a wynik wyświetlamy w serwisie działającym w sieci Cloudflare (zob. sekcja 6). Doprecyzowano też informację o przekazywaniu danych z rejestru REGON (sekcja „Dane z rejestru REGON (GUS)”). Wersja 2026-11-08 obowiązywała do dnia 2026-11-08 włącznie.

Zmiany w stosunku do wersji 2026-11-01: dodano sprawdzenie w publicznym rejestrze REGON prowadzonym przez Główny Urząd Statystyczny (GUS) jako jedno z pomocniczych źródeł weryfikacji polskich firm (sekcja 2 pkt 4, sekcja 3 - nowy wiersz tabeli, sekcja 5 pkt 10, sekcja 6 pkt 4, sekcja 7 pkt 5, sekcja 8 pkt 5 oraz sekcja „Dane z rejestru REGON (GUS)”). Sprawdzenie ma charakter pomocniczy, nie wiąże się z automatyczną decyzją, a samo zapytanie do GUS nie powoduje przekazania danych poza EOG (wynik wyświetlamy w serwisie działającym w sieci Cloudflare, zob. sekcja 6); wobec osób prowadzących jednoosobową działalność gospodarczą jest także naszym obowiązkiem informacyjnym z art. 14 RODO. Wersja 2026-11-01 obowiązywała do dnia 2026-11-07 włącznie.

Dodano PostHog (analityka produktu) i Google Analytics 4 (analityka odbiorców i ruchu) jako narzędzia analityczne uruchamiane wyłącznie po zgodzie na kategorię „Analityka”: PostHog w zalogowanej aplikacji i na stronach publicznych, Google Analytics 4 wyłącznie na stronach publicznych. Żadne z nich nie zbiera imion, adresów e-mail ani identyfikatorów konta. Zob. sekcja 3 (tabela), sekcje 5, 6 i 10 oraz sekcja „Analityka produktu i ruchu (PostHog i Google Analytics 4)” poniżej.

Zmiany w stosunku do wersji 2026-10-09: dodano próbki produktów - adres dostawy próbki i opcjonalnie odbiorca „do rąk” (sekcja 3 - nowy wiersz tabeli). Wersja 2026-10-09 obowiązywała do dnia 2026-10-11 włącznie.

Korekta z 2026-10-31 (bez nowej wersji; bez wymogu ponownej akceptacji): usunięto zdanie, że nie stosujemy narzędzi reklamowych, i ujawniono piksel Meta, ładowany wyłącznie po zgodzie na kategorię „Marketing” (sekcje 5, 6 oraz sekcja „Pomiar reklamy (piksel Meta)”); Meta Platforms Ireland Limited wskazana jako niezależny administrator i odbiorca. Zgoda na Marketing jest zbierana odrębnie przez baner plików cookie (Polityka plików cookies w wersji 2026-10-31). To, czy ujawnienie to powinno podnieść wersję polityki i wymagać ponownego potwierdzenia, pozostaje do rozstrzygnięcia.

Zmiany w stosunku do wersji 2026-10-07: (1) narzędzie Microsoft Clarity obejmuje także strony kreatora ogłoszenia bez konta w app.hiramtrade.com (/start/offer, /start/request) (sekcja 3 - wiersz analityki, sekcja 10 pkt 2); (2) dodano tłumaczenie maszynowe tekstu Ogłoszeń i wiadomości na żądanie Użytkownika (sekcja 3 - nowy wiersz tabeli i akapit po tabeli, sekcja 5 pkt 2 i 3, sekcja 6 pkt 3, sekcja 7 pkt 4). Wersja 2026-10-07 obowiązywała do dnia 2026-10-08 włącznie. Postanowienia o tłumaczeniu maszynowym stosuje się od chwili włączenia funkcji tłumaczenia; do tego czasu funkcja pozostaje wyłączona, a tekst nie jest wysyłany do tłumacza.

Zmiany w stosunku do wersji 2026-10-06: dodano narzędzie Microsoft Clarity (sekcja 3 - nowy wiersz tabeli i uzupełnione zdanie po tabeli, sekcja 5 pkt 2, sekcja 6 pkt 2 oraz sekcja 10 pkt 2). Wersja 2026-10-06 obowiązywała do dnia 2026-10-06 włącznie.

Zmiany w stosunku do wersji 2026-10-03: publiczne Strony Ogłoszeń, kod Partnera w linkach i zliczanie wyświetleń (sekcja 3, nowe wiersze tabeli i podsekcja „Ogłoszenia publiczne a osoby fizyczne prowadzące działalność”), odbiorcy danych (sekcja 5 pkt 1, 7 i 8) oraz pliki cookies (sekcja 10 pkt 6). Wersja 2026-10-03 obowiązywała do dnia 2026-10-05 włącznie.

Niniejsza polityka stanowi informację, o której mowa w art. 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej: „RODO”), dla osób, których dane przetwarzamy w związku z platformą Hiram Trade: użytkowników, przedstawicieli i pracowników firm, osób składających wnioski o dostęp i osób odwiedzających serwis. Terminy zdefiniowane w Regulaminie mają w niniejszej polityce to samo znaczenie.

1. Administrator danych

1. Administratorem danych osobowych jest JIII-LEGACY spółka z ograniczoną odpowiedzialnością z siedzibą: ul. Jaworowa 19, Kuźniki, 63-500 Ostrzeszów, Polska, KRS 0001251213, NIP 5140369127, REGON 545127744 (dalej: „Operator” lub „my”).
2. Kontakt w sprawach danych osobowych: privacy@hiramtrade.com lub pisemnie na adres siedziby z dopiskiem „Dane osobowe”.
3. Operator nie wyznaczył inspektora ochrony danych, ponieważ nie jest do tego zobowiązany na podstawie art. 37 RODO. Sprawy dotyczące danych osobowych prowadzi Operator pod adresem wskazanym w pkt 2. Jeżeli inspektor zostanie wyznaczony, jego dane kontaktowe zostaną wskazane w tym miejscu.
4. Operator jest samodzielnym administratorem danych przetwarzanych w Platformie. Wyjaśnienie, dlaczego Operator nie działa jako podmiot przetwarzający na rzecz Firm, zawiera dokument „Status administratora danych” (slug: dpa).

2. Czyje dane i skąd je mamy

1. Od Ciebie: dane podane przy rejestracji, w profilu, w Ogłoszeniach, wiadomościach, RFQ, Ofertach Cenowych, Transakcjach, zgłoszeniach i reklamacjach.
2. Od Twojej firmy lub innych Użytkowników (art. 14 RODO): Administrator Firmy może podać Twój adres e-mail w zaproszeniu do Konta Firmy; druga strona Transakcji może wskazać Cię jako osobę kontaktową lub umieścić Twoje dane w dokumentach Transakcji.
3. Od dostawców tożsamości: jeżeli logujesz się przez Google lub Microsoft, otrzymujemy identyfikator konta u dostawcy (subject), adres e-mail, informację o jego potwierdzeniu, imię i nazwisko (jeśli udostępnione) oraz identyfikator dzierżawy Microsoft Entra ID. Nie otrzymujemy hasła ani dostępu do Twojej skrzynki; tokeny dostępowe są odrzucane.
4. Z rejestrów publicznych: w ramach weryfikacji firm możemy pobierać dane z KRS, CEIDG, wykazu podatników VAT, VIES, GLEIF, Centralnego Rejestru Beneficjentów Rzeczywistych, rejestrów zagranicznych i list sankcyjnych, w tym dane członków organów i beneficjentów rzeczywistych. W przypadku polskich firm jest to także publiczny rejestr REGON prowadzony przez Główny Urząd Statystyczny (GUS), odpytywany z użyciem numeru REGON, NIP lub KRS podanego przez Państwa (zob. sekcja „Dane z rejestru REGON (GUS)”). W przypadku firm mających formę prawną jest to także publiczny rejestr LEI prowadzony przez GLEIF, odpytywany nazwą podmiotu (i krajem) lub numerem LEI (zob. sekcja „Dane z rejestru LEI (GLEIF)”).
5. Automatycznie: adres IP, dane o przeglądarce i urządzeniu, znaczniki czasu, dzienniki zdarzeń bezpieczeństwa.

3. Cele, podstawy prawne i okresy przechowywania

Pomiar reklamy prowadzimy wyłącznie za Twoją zgodą na kategorię „Marketing”, przy użyciu piksela Meta (zob. sekcja „Pomiar reklamy (piksel Meta)” poniżej). Narzędzia analityczne stron trzecich (Cloudflare Web Analytics, Microsoft Clarity, PostHog i Google Analytics 4) uruchamiamy wyłącznie za Twoją zgodą (sekcja 10). Jeżeli którykolwiek z tych elementów się zmieni, zaktualizujemy politykę i - gdzie jest to wymagane - poprosimy o zgodę.

Tłumaczenie maszynowe. Tekst jest wysyłany do tłumacza wyłącznie wtedy, gdy Użytkownik kliknie „Przetłumacz” przy danym tekście; nic nie jest tłumaczone z góry. Tłumaczenie jest wyświetlane pod tekstem oryginalnym z oznaczeniem „Tłumaczenie maszynowe”, a wiążący pozostaje tekst oryginalny (Regulamin § 16). Nie używamy tekstów Użytkowników do uczenia modeli, a zgodnie z dokumentacją Microsoft usługa Azure AI Translator nie wykorzystuje przesłanego tekstu do trenowania modeli. Dzienne limity znaków na Firmę i na Użytkownika ograniczają wolumen tłumaczeń; po ich wyczerpaniu tłumaczenie jest niedostępne do następnego dnia (UTC), a dostęp do tekstu oryginalnego się nie zmienia. Adresy pocztowe i imiona i nazwiska, które nie zostaną rozpoznane jako dane kontaktowe, a które autor wpisał w tekst swobodny, trafiają do tłumacza razem z resztą tekstu.

Ogłoszenia publiczne a osoby fizyczne prowadzące działalność

1. Ogłoszenia są publiczne: każde aktywne Ogłoszenie publiczne jest prezentowane na Stronie Ogłoszenia dostępnej bez logowania, którą mogą indeksować wyszukiwarki internetowe, a serwisy, w których ktoś udostępni link, mogą pobrać jej podgląd (Regulamin § 8a). Firma nie może wyłączyć tej prezentacji ani ukryć ceny; może w każdej chwili wstrzymać albo zamknąć Ogłoszenie.
2. Ogłoszenie i profil anonimowy nie zawierają imienia i nazwiska, nazwy Firmy ani danych kontaktowych. Jeżeli jednak prowadzisz jednoosobową działalność gospodarczą, treść Ogłoszenia (rodzaj działalności, kraj, produkt, ilość, cena, zdjęcie) w połączeniu z innymi informacjami może w niektórych przypadkach pozwolić Cię zidentyfikować. W takim zakresie Ogłoszenie jest Twoją daną osobową, a jej administratorem jest Operator (sekcja 1).
3. Podstawą publicznej prezentacji Ogłoszenia jest umowa o świadczenie Usług (art. 6 ust. 1 lit. b RODO): publikacja Ogłoszenia na publicznym rynku jest Usługą, którą zamawiasz, publikując Ogłoszenie.
4. Treść Ogłoszenia możesz w każdej chwili poprawić (sprostowanie), a Ogłoszenie wstrzymać albo zamknąć, co kończy jego publiczną prezentację w terminie wskazanym w tabeli powyżej. Zamknięte Ogłoszenie przechowujemy jako część historii handlowej; żądanie usunięcia (art. 17 RODO) rozpatrujemy z uwzględnieniem sekcji 8 pkt 2. Pozostałe prawa opisuje sekcja 8.
5. Kopie i podglądy Strony Ogłoszenia przechowywane przez wyszukiwarki, serwisy społecznościowe, komunikatory i archiwa internetowe są przetwarzane przez te podmioty jako odrębnych administratorów, na ich własnych zasadach i poza kontrolą Operatora. Ich usunięcia możesz żądać bezpośrednio od tych podmiotów.

4. Czy musisz podać dane

Podanie adresu e-mail i danych Firmy jest warunkiem założenia Konta i korzystania z Platformy. Podanie danych do celów DAC7 jest obowiązkiem sprzedawcy wynikającym z przepisów; ich niepodanie może skutkować ograniczeniem funkcji sprzedawcy (Regulamin § 27). Pozostałe dane podajesz dobrowolnie.

5. Odbiorcy danych

1. Inne Firmy w Platformie - w zakresie etapowego ujawniania danych (Regulamin § 10). Przed Połączeniem inne Firmy nie widzą Twojego imienia i nazwiska, nazwy Firmy ani danych kontaktowych; dotyczy to także Ogłoszeń publicznych, z zastrzeżeniem informacji o osobach prowadzących jednoosobową działalność w sekcji 3. Dane osób kontaktowych są ujawniane drugiej stronie dopiero w Transakcji w statusie AGREED.
2. Podmioty przetwarzające na nasze zlecenie - dostawcy hostingu, bazy danych, pamięci podręcznej, poczty e-mail, tłumaczenia maszynowego na żądanie (Microsoft - Azure AI Translator) oraz - za Twoją zgodą - analityki (Cloudflare Web Analytics, Microsoft Clarity, PostHog i Google Analytics 4) wymienieni w dokumencie „Lista podmiotów przetwarzających”, na podstawie umów zawartych zgodnie z art. 28 RODO.
3. Microsoft Ireland Operations Limited (Azure AI Translator) - jako podmiot przetwarzający w zakresie tłumaczenia maszynowego na żądanie (pkt 2); tekst jest wysyłany po zamaskowaniu danych kontaktowych (sekcja 3).
4. Dostawcy tożsamości (Google, Microsoft) - jeżeli wybierzesz logowanie za ich pośrednictwem; działają jako odrębni administratorzy na podstawie własnych polityk prywatności.
   • Meta Platforms Ireland Limited (piksel Meta) - wyłącznie za Twoją zgodą na kategorię „Marketing”, jako niezależny administrator, w celu pomiaru reklamy na Facebooku i Instagramie (sekcja 10 oraz sekcja „Pomiar reklamy (piksel Meta)”). Zakres przekazywanych danych opisano w tej sekcji; przekazanie poza EOG obejmuje sekcja 6.
5. Organy publiczne - wyłącznie na podstawie przepisów prawa, w tym Szef Krajowej Administracji Skarbowej (DAC7), organy ścigania (art. 18 DSA) i sądy.
6. Doradcy Operatora (prawni, księgowi, audytorzy) - związani tajemnicą zawodową lub umową o poufności.
7. Nabywca działalności - w razie przeniesienia Platformy, z uprzednim poinformowaniem.
8. Każdy odwiedzający Platformę, wyszukiwarki internetowe i serwisy pobierające podglądy linków - w zakresie Ogłoszeń prezentowanych publicznie (Regulamin § 8a). Wyszukiwarki i serwisy zewnętrzne działają jako odrębni administratorzy i mogą przechowywać kopie Ogłoszenia po jego wycofaniu.
9. Partner - jeżeli Twoja Firma została przypisana do Partnera, Partner widzi ją na liście przypisanych Firm wraz z etapem (zarejestrowana, zweryfikowana, aktywna, pierwsza Transakcja), bez cen, kontrahentów, wiadomości i warunków Transakcji (Regulamin Programu Partnerów Handlowych).
10. Główny Urząd Statystyczny (GUS), rejestr REGON - otrzymuje wyłącznie identyfikator (REGON, NIP lub KRS) polskiej firmy w zapytaniu do publicznego rejestru; GUS jest źródłem danych, a nie naszym podmiotem przetwarzającym (sekcja „Dane z rejestru REGON (GUS)”).
11. Global Legal Entity Identifier Foundation (GLEIF), rejestr LEI - otrzymuje wyłącznie nazwę podmiotu (i kraj) lub numer LEI firmy mającej formę prawną w zapytaniu do publicznego rejestru; GLEIF jest źródłem danych, a nie naszym podmiotem przetwarzającym (sekcja „Dane z rejestru LEI (GLEIF)”).

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Baza danych, pamięć podręczna i serwer poczty e-mail są zlokalizowane w UE (baza danych i pamięć podręczna - Frankfurt nad Menem, poczta - Irlandia).
2. Część dostawców ma siedzibę w Stanach Zjednoczonych (Cloudflare, Supabase, Upstash, Resend, PostHog, Inc. oraz, w zakresie narzędzia Microsoft Clarity, Microsoft Corporation; podmiotem przetwarzającym jest Microsoft Ireland Operations Limited), a sieć Cloudflare przetwarza ruch w centrach danych najbliższych użytkownikowi, także poza EOG, a dane z narzędzia Microsoft Clarity mogą być przetwarzane w USA. Za Twoją zgodą na kategorię „Marketing” dane z piksela Meta otrzymuje Meta Platforms Ireland Limited jako niezależny administrator i mogą być przetwarzane w USA przez Meta Platforms, Inc. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej z 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework - w odniesieniu do dostawców certyfikowanych - albo standardowych klauzul umownych przyjętych decyzją wykonawczą Komisji (UE) 2021/914, wraz z dodatkowymi zabezpieczeniami (szyfrowanie w tranzycie i spoczynku). Za Twoją zgodą na kategorię „Analityka” PostHog Cloud EU przechowuje dane we Frankfurcie i - według PostHog - dane nie opuszczają jurysdykcji UE (PostHog, Inc. ma siedzibę w Stanach Zjednoczonych; nasza umowa DPA z PostHog obejmuje ewentualny dostęp spoza EOG), a dane z Google Analytics 4 otrzymuje Google Ireland Limited i mogą być przetwarzane przez Google LLC w Stanach Zjednoczonych, gdzie Google LLC jest certyfikowana w ramach EU-US Data Privacy Framework (decyzja Komisji Europejskiej o adekwatności z 10 lipca 2023 r.) oraz, w stosownych przypadkach, standardowe klauzule umowne. Szczegóły dla każdego dostawcy zawiera „Lista podmiotów przetwarzających”.
3. Tłumaczenie maszynowe wykonuje Microsoft Ireland Operations Limited w usłudze Azure AI Translator w regionie Germany West Central (Niemcy), przez punkt końcowy geografii Europa; zgodnie z dokumentacją Microsoft przetwarzanie odbywa się w Unii Europejskiej (EU Data Boundary). Ewentualny zdalny dostęp personelu Microsoft spoza EOG podlega mechanizmom opisanym w pkt 2 (EU-US Data Privacy Framework i standardowe klauzule umowne).
4. Zapytanie do rejestru REGON (GUS) kierujemy bezpośrednio do GUS, polskiego organu publicznego, i samo w sobie nie powoduje przekazania danych poza EOG. Wynik jest wyświetlany w naszym serwisie, który działa w sieci Cloudflare, więc jego przetwarzanie podlega zasadom opisanym w pkt 2.
5. Zapytanie do rejestru LEI kierujemy bezpośrednio do GLEIF, fundacji z siedzibą w Szwajcarii, dla której Komisja Europejska stwierdziła odpowiedni stopień ochrony danych (decyzja o adekwatności dla Szwajcarii). Wynik jest wyświetlany w naszym serwisie, który działa w sieci Cloudflare, więc jego przetwarzanie podlega zasadom opisanym w pkt 2.
6. Kopię zabezpieczeń lub informację o nich można uzyskać, kontaktując się z nami.

7. Zautomatyzowane przetwarzanie i profilowanie

1. Wynik Dopasowania jest obliczany automatycznie na podstawie parametrów Ogłoszeń (produkt, ilość, geografia, terminy, Incoterms, cena, weryfikacja). Dotyczy ofert i zapotrzebowania firm, a nie oceny osób. Nie wywołuje wobec Ciebie skutków prawnych ani w podobny sposób istotnie na Ciebie nie wpływa - każda decyzja o kontakcie i zawarciu Transakcji należy do ludzi. Nie jest to zatem decyzja, o której mowa w art. 22 RODO.
2. Maskowanie danych kontaktowych i kontrola jakości Zapytań działają automatycznie, ale wyłącznie maskują fragmenty treści lub wstrzymują publikację do weryfikacji. Decyzje o usunięciu treści, zawieszeniu lub zamknięciu konta podejmuje człowiek.
3. Wskaźniki wiarygodności (liczba zakończonych Transakcji, terminowość, odsetek powracających klientów) dotyczą Firm i są obliczane wyłącznie z Transakcji w Platformie.
4. Tłumaczenie maszynowe jest wykonywane automatycznie przez zewnętrzny system tłumaczenia (Azure AI Translator), wyłącznie na żądanie Użytkownika, i służy jako pomoc w czytaniu: nie wywołuje wobec nikogo skutków prawnych, niczego nie wysyła ani nie zawiera zobowiązań, a decyzje handlowe podejmują ludzie na podstawie tekstu oryginalnego. Inne funkcje sztucznej inteligencji nie są obecnie używane; przed ich uruchomieniem zaktualizujemy politykę.
5. Sprawdzenie w rejestrze REGON (GUS) ma wyłącznie charakter pomocniczy: jego wynik nigdy nie zmienia, nie przyznaje ani nie obniża poziomu weryfikacji, sam nie tworzy żadnej odznaki i nie jest na jego podstawie podejmowana decyzja w sposób zautomatyzowany. Nie jest to zatem decyzja, o której mowa w art. 22 RODO.
6. Sprawdzenie w rejestrze LEI (GLEIF) ma wyłącznie charakter pomocniczy: jego wynik nigdy nie zmienia, nie przyznaje ani nie obniża poziomu weryfikacji, sam nie tworzy żadnej odznaki i nie jest na jego podstawie podejmowana decyzja w sposób zautomatyzowany. Nie jest to zatem decyzja, o której mowa w art. 22 RODO.

8. Twoje prawa

1. Przysługuje Ci prawo do: dostępu do danych i otrzymania ich kopii (art. 15 RODO), sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych przetwarzanych na podstawie umowy w sposób zautomatyzowany (art. 20) oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21).
2. Prawo do usunięcia nie obejmuje danych, które musimy przechowywać na podstawie przepisów prawa lub które są niezbędne do ustalenia, dochodzenia lub obrony roszczeń (art. 17 ust. 3 lit. b i e RODO). Historia handlowa jest niezmienna; po usunięciu Konta Twoje dane w historii handlowej mogą zostać zastąpione oznaczeniem pseudonimowym, o ile nie są potrzebne jako dowód.
3. Wnioski prosimy kierować na adres privacy@hiramtrade.com. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca; w sprawach złożonych termin może zostać przedłużony o dwa miesiące, o czym poinformujemy. Możemy poprosić o potwierdzenie tożsamości.
4. Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl) lub do organu nadzorczego w państwie Twojego zwykłego pobytu, miejsca pracy lub miejsca naruszenia.
5. Jeżeli prowadzą Państwo jednoosobową działalność gospodarczą, mogą Państwo w każdej chwili wnieść sprzeciw wobec przetwarzania danych z rejestru REGON (art. 21 RODO) pod adresem privacy@hiramtrade.com. W razie uwzględnienia sprzeciwu nie będziemy już odpytywać rejestru w sprawie Państwa firmy i ocenimy, czy wcześniejszy zapis sprawdzenia powinien zostać usunięty; firma pozostaje na dotychczasowym poziomie weryfikacji i jest obsługiwana w trybie weryfikacji ręcznej.
6. Jeżeli prowadzą Państwo jednoosobową działalność gospodarczą lub w rejestrze LEI widnieją dane dotyczące Państwa, mogą Państwo w każdej chwili wnieść sprzeciw wobec przetwarzania danych z rejestru LEI (art. 21 RODO) pod adresem privacy@hiramtrade.com. W razie uwzględnienia sprzeciwu nie będziemy już odpytywać rejestru w sprawie Państwa firmy i ocenimy, czy wcześniejszy zapis sprawdzenia powinien zostać usunięty; firma pozostaje na dotychczasowym poziomie weryfikacji i jest obsługiwana w trybie weryfikacji ręcznej.

9. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), w tym: szyfrowanie połączeń (HTTPS, TLS z weryfikacją certyfikatu do bazy danych), przechowywanie haseł wyłącznie w postaci skrótu argon2id, przechowywanie wyłącznie skrótów tokenów sesji, zaproszeń i linków, ochronę sesji (ciasteczka httpOnly, Secure, SameSite), ochronę przed CSRF, ograniczanie liczby żądań i blokadę konta po nieudanych logowaniach, izolację danych między Firmami egzekwowaną po stronie serwera, zasadę najmniejszych uprawnień w bazie danych, niezmienny dziennik zdarzeń audytowych, niezapisywanie haseł, tokenów i treści prywatnych wiadomości w dziennikach technicznych. Żaden system nie jest w pełni odporny na naruszenia; o naruszeniach powodujących wysokie ryzyko poinformujemy zgodnie z art. 34 RODO.

10. Pliki cookies i podobne technologie

1. Platforma używa plików cookies oraz podobnych technologii (pamięć przeglądarki: localStorage i sessionStorage). Niezbędne - do logowania, bezpieczeństwa, zapamiętania wybranego języka, obsługi formularzy oraz zapisania Twojego wyboru dotyczącego plików cookies - stosujemy bez zgody (art. 399 ust. 2 Prawa komunikacji elektronicznej).
2. Za Twoją zgodą (art. 399 ust. 1 Prawa komunikacji elektronicznej; art. 6 ust. 1 lit. a RODO) stosujemy kategorię „Analityka”: (a) Cloudflare Web Analytics - pomiar odsłon, strony odsyłającej i typu urządzenia bez plików cookies i bez profilowania, dostawca: Cloudflare, Inc. jako podmiot przetwarzający; (b) Microsoft Clarity - nagrania przebiegu wizyty (ruch wskaźnika, przewijanie, kliknięcia, odwiedzone podstrony) i mapy cieplne na publicznych stronach hiramtrade.com oraz na stronach kreatora ogłoszenia bez konta w app.hiramtrade.com (/start/offer, /start/request), z użyciem plików cookies Clarity (_clck, _clsk, CLID, ANONCHK, MR, MUID, SM); ścisłe maskowanie zasłania treść pól formularzy i tekst stron, a zalogowana aplikacja oraz strony rejestracji, logowania i wdrożenia (onboarding) nie są nagrywane, a nagrywanie kończy się po przejściu z kreatora do rejestracji lub logowania; dostawca: Microsoft Ireland Operations Limited jako podmiot przetwarzający; (c) zapamiętanie w Twojej przeglądarce źródła kampanii pierwszej wizyty (parametry utm, strona wejścia, host strony odsyłającej), które - jeżeli założysz konto - zapisujemy przy koncie w celu oceny skuteczności kanałów pozyskiwania użytkowników; (d) PostHog - analityka produktu w zalogowanej aplikacji i na stronach publicznych, bez plików cookies (dane w pamięci lokalnej przeglądarki, localStorage), ładowana przez naszą pierwszostronną ścieżkę /_ph, dzięki czemu Twój adres IP nie jest wysyłany do PostHog, z wyłączonym autocapture i nagrywaniem sesji; dostawca: PostHog, Inc. jako podmiot przetwarzający; (e) Google Analytics 4 - analityka odbiorców i ruchu na stronach publicznych, z użyciem plików cookies _ga i _ga_<container-id>, bez rejestrowania ani przechowywania adresu IP dla użytkowników z UE, Wielkiej Brytanii i Szwajcarii; dostawca: Google Ireland Limited jako podmiot przetwarzający. Podstawą jest zgoda.
3. Zgodę wyrażasz lub odrzucasz przy pierwszej wizycie, a zmienisz lub wycofasz ją w każdej chwili przez link „Ustawienia plików cookie” w stopce Platformy lub w menu użytkownika. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem. Odmowa zgody nie ogranicza korzystania z Platformy.
4. Aby móc wykazać zgodę (art. 7 ust. 1 RODO), zapisujemy przy każdym wyborze: datę, wersję komunikatu, wybór, język i adres podstrony, rodzinę przeglądarki (bez pełnego nagłówka User-Agent), skrót kryptograficzny adresu IP z tajnym kluczem (nie sam adres IP) oraz, jeśli jesteś zalogowany, identyfikator konta. Dane te przechowujemy przez 5 lat od wyboru (podstawa: art. 6 ust. 1 lit. c RODO w związku z art. 7 ust. 1 RODO oraz uzasadniony interes administratora - obrona roszczeń). Po usunięciu konta powiązanie z kontem jest usuwane.
5. Szczegóły i wykaz plików cookies zawiera „Polityka plików cookies”.
6. Kod Partnera w linku polecającym lub w linku do Strony Ogłoszenia jest przekazywany wyłącznie w adresie strony i w formularzu rejestracji; nie zapisujemy go w plikach cookies ani w pamięci przeglądarki. Zliczanie wyświetleń Stron Ogłoszeń (sekcja 3) nie korzysta z plików cookies ani z pamięci przeglądarki i nie wymaga zgody na kategorię „Analityka”.

11. Zmiany polityki

O istotnych zmianach poinformujemy e-mailem lub w Platformie. Zmiana wchodzi w życie z chwilą opublikowania nowej wersji; aktualna wersja jest zawsze dostępna na stronie Platformy wraz z datą wersji. Gdy Polityka prywatności jest dokumentem wymaganym, zalogowany Użytkownik jest o nowej wersji powiadamiany przy logowaniu.

Dane z rejestru REGON (GUS)

W przypadku polskich firm możemy odpytać publiczny rejestr REGON prowadzony przez Główny Urząd Statystyczny (GUS), używając numeru REGON, NIP lub KRS podanego przez Państwa. Robimy to, aby sprawdzić, czy podmiot istnieje i jest aktywny, jako jedno z pomocniczych źródeł weryfikacji firmy oraz w celu przeciwdziałania oszustwom i podszywaniu się. Wynik ma charakter pomocniczy: sam nigdy nie zmienia poziomu weryfikacji i nie podejmujemy na jego podstawie zautomatyzowanych decyzji.

Dane. Nazwa firmy, adres, forma prawna, kody PKD, status i powiązane daty. Jeżeli prowadzą Państwo jednoosobową działalność gospodarczą, są to informacje o Państwu; nie zbieramy numeru PESEL.

Podstawa prawna. Nasz prawnie uzasadniony interes w wiarygodnym handlu B2B i przeciwdziałaniu oszustwom (art. 6 ust. 1 lit. f RODO). Mogą Państwo w każdej chwili wnieść sprzeciw (art. 21 RODO) pod adresem privacy@hiramtrade.com.

Przechowywanie i dostęp. Przechowujemy zapis każdego sprawdzenia (źródło, zapytany identyfikator, czas, skrót kryptograficzny odpowiedzi i krótkie podsumowanie), a nie surową odpowiedź rejestru, przez 5 lat od zakończenia relacji z Państwa firmą, jak inne zapisy weryfikacji. Podsumowanie widzą Państwa firma i nasi weryfikatorzy; inne firmy widzą wyłącznie poziom weryfikacji.

Źródło danych. Ponieważ dane pochodzą z publicznego rejestru, a nie od Państwa, ten tekst jest także naszym obowiązkiem informacyjnym z art. 14 RODO. Mogą Państwo żądać dostępu, sprostowania, usunięcia lub ograniczenia przetwarzania pod adresem privacy@hiramtrade.com oraz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Zapytanie kierujemy bezpośrednio do GUS, polskiego organu publicznego; wynik jest wyświetlany w serwisie działającym w sieci Cloudflare, zob. sekcja 6 pkt 2 i 4.

Dane z rejestru LEI (GLEIF)

W przypadku firm mających formę prawną możemy odpytać publiczny rejestr identyfikatorów podmiotów prawnych (LEI) prowadzony przez Global Legal Entity Identifier Foundation (GLEIF). Zapytanie zawiera wyłącznie nazwę podmiotu (i kraj) albo numer LEI; nigdy nie odpytujemy rejestru o osoby fizyczne ani o przedsiębiorców jednoosobowych wyszukiwanych po nazwie. Robimy to, aby sprawdzić, czy podmiot prawny istnieje i jaki jest jego status, jako jedno z pomocniczych źródeł weryfikacji firmy oraz w celu przeciwdziałania oszustwom i podszywaniu się. Wynik ma charakter pomocniczy: sam nigdy nie zmienia poziomu weryfikacji, nie tworzy odznaki i nie podejmujemy na jego podstawie zautomatyzowanych decyzji.

Dane. Numer LEI, nazwa podmiotu, kraj i adres siedziby, forma prawna, status i powiązane daty.

Podstawa prawna. Nasz prawnie uzasadniony interes w wiarygodnym handlu B2B i przeciwdziałaniu oszustwom (art. 6 ust. 1 lit. f RODO). Mogą Państwo w każdej chwili wnieść sprzeciw (art. 21 RODO) pod adresem privacy@hiramtrade.com.

Przechowywanie i dostęp. Przechowujemy zapis każdego sprawdzenia (źródło, zapytany identyfikator, czas, skrót kryptograficzny odpowiedzi i krótkie podsumowanie), a nie surową odpowiedź rejestru, przez 5 lat od zakończenia relacji z Państwa firmą, jak inne zapisy weryfikacji. Podsumowanie widzą Państwa firma i nasi weryfikatorzy; inne firmy widzą wyłącznie poziom weryfikacji.

Źródło danych i przekazywanie. Ponieważ dane pochodzą z publicznego rejestru, a nie od Państwa, ten tekst jest także naszym obowiązkiem informacyjnym z art. 14 RODO. Mogą Państwo żądać dostępu, sprostowania, usunięcia lub ograniczenia przetwarzania pod adresem privacy@hiramtrade.com oraz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Zapytanie kierujemy bezpośrednio do GLEIF (fundacja z siedzibą w Szwajcarii; decyzja Komisji Europejskiej o adekwatności dla Szwajcarii), a wynik jest wyświetlany w serwisie działającym w sieci Cloudflare, zob. sekcja 6 pkt 2 i 5.

Pomiar reklamy (piksel Meta)

Jeśli zaakceptujesz kategorię Marketing w banerze plików cookie, na stronach publicznych ładuje się piksel Meta dostarczany przez Meta Platforms Ireland Limited. Przekazuje on Meta informację, które z naszych stron publicznych oglądałeś (zdarzenia PageView i ViewContent), abyśmy mogli mierzyć skuteczność reklam na Facebooku i Instagramie. Nie wysyłamy imienia i nazwiska, adresu e-mail, numeru telefonu ani danych firmy, ani żadnych informacji o kontrahentach, ofertach, wycenach czy transakcjach; zaawansowane dopasowanie (advanced matching) jest wyłączone. Marketing jest wyłączony, dopóki go nie włączysz, i możesz go wycofać w każdej chwili w Ustawieniach plików cookie — wtedy piksel i jego pliki cookie (_fbp, _fbc) zostają usunięte. Meta występuje jako niezależny administrator otrzymanych danych; zobacz politykę danych Meta.

Analityka produktu i ruchu (PostHog i Google Analytics 4)

Jeśli zaakceptujesz kategorię „Analityka” w banerze plików cookie, uruchamiają się dwa narzędzia analityczne: PostHog (analityka produktu) w zalogowanej aplikacji i na stronach publicznych oraz Google Analytics 4 (analityka odbiorców i ruchu) wyłącznie na stronach publicznych. Nic nie jest uruchamiane, zapisywane ani wysyłane, zanim wyrazisz zgodę. Wycofanie zgody w „Ustawieniach plików cookie” zatrzymuje oba narzędzia. PostHog przestaje zbierać dane, jego identyfikator jest resetowany, a w pamięci lokalnej pozostaje wyłącznie techniczny znacznik rezygnacji (opt-out). Pliki cookie Google Analytics (_ga, _ga_<container-id>) są usuwane.

PostHog jest obsługiwany przez naszą własną pierwszostronną ścieżkę (/_ph), która przekazuje dane do PostHog Cloud EU (Frankfurt); dzięki temu Twój adres IP nie jest wysyłany do PostHog, geo-IP jest wyłączone, a anonimizacja IP na poziomie projektu włączona, autocapture, nagrywanie sesji i rejestrowanie odsłon są wyłączone, adres URL, ścieżka i strona odsyłająca są usuwane, a PostHog zapisuje dane w pamięci lokalnej przeglądarki (localStorage), a nie w plikach cookies. Obecnie PostHog ustawia wyłącznie pseudonimowy, losowy identyfikator; nie rejestruje odsłon i nie ustawia identyfikatora użytkownika. Zdarzenia produktowe ścieżki transakcyjnej oraz identyfikacja po wewnętrznym identyfikatorze są zaimplementowane, ale jeszcze nieaktywne i przed uruchomieniem będą wymagały aktualizacji polityki prywatności. Według PostHog dane w PostHog Cloud EU nie opuszczają jurysdykcji UE. Przy włączonym rozszerzonym pomiarze (Enhanced Measurement) Google Analytics 4 zbiera automatycznie na stronach publicznych: odsłony, przewijanie (do 90%), kliknięcia linków wychodzących, zaangażowanie w wideo i pobrania plików. Zbiera też lokalizację na poziomie miasta oraz szczegółowe dane o urządzeniu, przeglądarce i systemie operacyjnym. Zgodnie z informacjami Google nie rejestruje ani nie przechowuje adresu IP użytkowników z UE, Wielkiej Brytanii i Szwajcarii. Google Signals i udostępnianie danych Google są wyłączone, nie ustawia się identyfikatora użytkownika, a dane są przechowywane przez 14 miesięcy (z przedłużeniem przy nowej aktywności). Skrypt gtag.js jest ładowany z googletagmanager.com.

Dane z Google Analytics 4 otrzymuje Google Ireland Limited i mogą być przetwarzane przez Google LLC w Stanach Zjednoczonych w ramach EU-US Data Privacy Framework i standardowych klauzul umownych (sekcja 6).

Do żadnego z tych narzędzi nie wysyłamy imion i nazwisk, adresów e-mail, numerów telefonu ani danych firmy, ani niczego o kontrahentach, ofertach, wycenach, transakcjach czy cenach; nie ustawiamy identyfikatora użytkownika, a Google Signals i funkcje reklamowe są wyłączone. Okres przechowywania: Google Analytics 4 - dane na poziomie użytkownika i zdarzeń są przechowywane przez 14 miesięcy, z przedłużeniem przy nowej aktywności; zagregowane raporty nie podlegają temu ograniczeniu; PostHog Cloud EU przechowuje zdarzenia do 1 roku na planie darmowym (7 lat na planach płatnych); profil osoby to pseudonimowy, losowy identyfikator, usuwany na żądanie narzędziami usuwania PostHog.