Przetwarzanie danych osobowych w serwisie ePBW

Wersja 1.0 · obowiązuje od 20.10.2026

Najważniejsze informacje w skrócie

Administrator: Karol Szambelańczyk i Łukasz Weber, wspólnicy NENTECH S.C., ul. Powstańców Wielkopolskich 24, 62-300 Września, biuro@nentech.pl.
Cele: prowadzenie Konta i członkostwa w organizacji, wiadomości Serwisu, przechowywanie zapisywanych przez Ciebie danych, bezpieczeństwo oraz udostępnianie danych referencyjnych.
Podstawy: umowa (art. 6 ust. 1 lit. b RODO), prawnie uzasadniony interes (lit. f) i obowiązki prawne (lit. c).
Odbiorcy: Hetzner (serwery, Niemcy) i Mailgun (poczta, region UE). Nie sprzedajemy danych, nie wyświetlamy reklam i nie używamy narzędzi analitycznych.
Prawa: dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw i skarga do Prezesa UODO.

1. Administrator i kontakt

Administratorami danych osobowych przetwarzanych w serwisie ePBW (https://epbw.pl, dalej: „Serwis”) są Karol Szambelańczyk i Łukasz Weber, wspólnicy spółki cywilnej „NENTECH” S.C. Karol Szambelańczyk, Łukasz Weber, ul. Powstańców Wielkopolskich 24, 62-300 Września, NIP 7891662047, REGON 300338178 (dalej: „my”). Wspólnie ustalamy cele i sposoby przetwarzania (art. 26 RODO); żądania można kierować do każdego z nas na wspólny adres biuro@nentech.pl lub pocztą. Nie wyznaczyliśmy inspektora ochrony danych, ponieważ nie wymagają tego przepisy.

Informacja dotyczy Użytkowników, osób zapraszanych do Serwisu, osób, których dane są częścią danych organizacji (np. osób prowadzących działalność gospodarczą), osób kontaktujących się z nami oraz osób fizycznych w danych referencyjnych (punkt 4).

2. Cele, podstawy i okresy przetwarzania

Cel i dane	Podstawa (RODO)	Jak długo
Konto: imię, nazwisko, adres e-mail, skrót hasła, status	umowa – art. 6 ust. 1 lit. b	do usunięcia Konta (w ciągu 14 dni od prośby)
Członkostwo i organizacja: rola, status, stanowisko, decyzje; nazwa, adres i identyfikatory organizacji	umowa; wobec osób reprezentujących organizację – uzasadniony interes organizacji i nasz w kontroli dostępu (lit. f)	do usunięcia członkostwa, Konta lub organizacji
Zaproszenia: adres e-mail, imię, nazwisko, stanowisko, organizacja	działania na Twoje żądanie przed zawarciem umowy (lit. b), jeśli sam prosiłeś o dostęp; w pozostałych przypadkach uzasadniony interes organizacji (lit. f)	do przyjęcia, wycofania lub wygaśnięcia zaproszenia i 90 dni później
Wiadomości e-mail Serwisu	umowa	zlecenie wysyłki – do minuty po wysłaniu; dziennik doręczeń dostawcy – do 30 dni
Dane, które zapisujesz w Serwisie (np. rysunki na mapie)	umowa	do ich usunięcia albo usunięcia Konta
Logowanie i bezpieczeństwo: sesje, jednorazowe linki, liczniki prób z adresem IP lub e-mail, dzienniki serwera (punkt 10)	umowa; nasz uzasadniony interes w ochronie Serwisu (lit. f)	sesja do 14 dni („Zapamiętaj mnie” – 30 dni), linki od 10 minut do 14 dni, liczniki do 1 godziny; zapisy o sesjach – najpóźniej do usunięcia Konta
Korespondencja, reklamacje, zgłoszenia nielegalnych treści	uzasadniony interes w obsłudze spraw i obronie roszczeń (lit. f); zgłoszenia – obowiązek z aktu o usługach cyfrowych (lit. c)	3 lata od zakończenia sprawy, w sprawach z konsumentami 6 lat
Akceptacja Regulaminu: wersja, data i godzina	uzasadniony interes w wykazaniu zawarcia umowy (lit. f)	czas posiadania Konta i okres przedawnienia roszczeń
Dane referencyjne	uzasadniony interes (lit. f), punkt 4	punkt 4

Nie wykorzystujemy danych do marketingu ani badania preferencji Użytkowników.

3. Skąd mamy dane, jeśli nie od Ciebie?

Zaproszenie – Twój adres e-mail, imię, nazwisko, stanowisko i organizację podał Zespół ePBW (na podstawie Twojej prośby o dostęp, np. zgłoszonej podczas szkolenia, listy uczestników szkolenia albo prośby osoby z Twojej organizacji) lub administrator Twojej organizacji. Każda wiadomość Serwisu zawiera odnośnik do tej informacji.
Dane organizacji podaje osoba, która ją zgłasza; Zespół ePBW sprawdza je w publicznych rejestrach (KRS, REGON, CEIDG, wykaz podatników VAT).

4. Dane osób fizycznych w danych referencyjnych

Dwa publiczne zbiory udostępniane w Serwisie zawierają dane osób fizycznych, które nie są jego Użytkownikami. Ta część jest informacją z art. 14 RODO.

Źródła: baza POBORY Państwowego Instytutu Geologicznego – Państwowego Instytutu Badawczego (cbdgmapa.pgi.gov.pl) i rejestr REGON Głównego Urzędu Statystycznego (jawny na podstawie art. 45 ustawy o statystyce publicznej) – źródła publicznie dostępne.
Dane: nazwa i adres użytkownika ujęcia wód podziemnych, położenie ujęcia i wielkość poboru; imię, nazwisko lub nazwa, adres i status osoby fizycznej prowadzącej działalność gospodarczą (w tym gospodarstwa rolnego).
Cel i podstawa: ocena ryzyka w obszarach zasilania ujęć wody przeznaczonej do spożycia, wymagana od przedsiębiorstw wodociągowych; prawnie uzasadniony interes nasz i Użytkowników (art. 6 ust. 1 lit. f RODO), którzy muszą wiedzieć, kto pobiera wodę w obszarze zasilania ujęcia.
Kto widzi: tylko zalogowani Użytkownicy ze zweryfikowanych organizacji, na kartach ujęć i źródeł presji (nie na mapie ogólnej ani w wyszukiwarce). Nie uzupełniamy danych, które wydawca zastąpił oznaczeniem „<dana osobowa>”.
Jak długo: do zastąpienia zbioru nowszą wersją; poprzednie wersje usuwamy najpóźniej 12 miesięcy po ich zastąpieniu.

Indywidualne poinformowanie każdej z tych osób wymagałoby niewspółmiernie dużego wysiłku, dlatego zgodnie z art. 14 ust. 5 lit. b RODO udostępniamy tę informację publicznie. Osobom tym przysługują prawa z punktu 7, w szczególności prawo sprzeciwu.

5. Kto widzi dane i komu je przekazujemy?

Twoje imię, nazwisko, adres e-mail, stanowisko i status członkostwa widzą administratorzy Twojej organizacji i Zespół ePBW, a zatwierdzeni członkowie organizacji widzą się nawzajem. Nazwę, adres i identyfikatory organizacji widzą wszyscy zalogowani Użytkownicy z potwierdzonym adresem e-mail. Dane, które zapisujesz w Serwisie (np. rysunki na mapie), widzisz tylko Ty, chyba że Serwis pozwala je udostępnić i to zrobisz.
Na nasze zlecenie dane przetwarzają: Hetzner Online GmbH (Gunzenhausen, Niemcy; serwery w Falkenstein) i Mailgun Technologies, Inc. (grupa Sinch; wysyłka poczty w regionie UE).
Gdy oglądasz mapę, Twoja przeglądarka pobiera mapę podkładową z serwerów OpenStreetMap Foundation (Wielka Brytania) lub Głównego Urzędu Geodezji i Kartografii, przekazując im adres IP; są one odrębnymi administratorami tych danych.
Organom państwowym i sądom udostępniamy dane wyłącznie na ich żądanie, na podstawie przepisów prawa. Nie sprzedajemy danych.

6. Przekazywanie danych poza EOG

Mailgun przechowuje dane w Unii Europejskiej, ale jako spółka amerykańska może mieć do nich dostęp z USA; uczestniczy w programie EU-U.S. Data Privacy Framework (decyzja Komisji Europejskiej (UE) 2023/1795), a umowa powierzenia zawiera standardowe klauzule umowne. OpenStreetMap Foundation działa w Wielkiej Brytanii, wobec której Komisja Europejska stwierdziła odpowiedni stopień ochrony danych. Kopię zabezpieczeń prześlemy na prośbę.

7. Twoje prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i przenoszenia (art. 15–18 i 20 RODO), a także cofnięcia zgody na plik cookie „Zapamiętaj mnie” (punkt 9). Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl .

Prawo sprzeciwu W każdej chwili możesz wnieść sprzeciw wobec przetwarzania Twoich danych na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO) z przyczyn związanych z Twoją szczególną sytuacją (art. 21 RODO), w tym wobec danych w danych referencyjnych. Przestaniemy wtedy przetwarzać te dane, chyba że wykażemy ważne, nadrzędne podstawy lub potrzebę obrony roszczeń.

Żądanie wyślij na biuro@nentech.pl. Odpowiemy w ciągu miesiąca (w sprawach złożonych termin może być przedłużony o dwa miesiące) i możemy poprosić o potwierdzenie tożsamości, np. wiadomością z adresu e-mail Konta.

8. Czy musisz podać dane?

Imię, nazwisko, adres e-mail i hasło są potrzebne do założenia Konta, a nazwa, adres i identyfikator organizacji – do członkostwa i dostępu do danych referencyjnych; stanowisko jest dobrowolne. Nie podejmujemy decyzji wyłącznie zautomatyzowanych, które wywoływałyby wobec Ciebie skutki prawne, i nie profilujemy Użytkowników; Serwis jedynie tymczasowo, na maksymalnie godzinę, ogranicza liczbę prób rejestracji i wysyłania wiadomości.

9. Pliki cookies i pamięć przeglądarki

Serwis zapisuje w przeglądarce tylko to, co jest potrzebne do jego działania: plik cookie sesji (logowanie, ochrona formularzy, język), wybrany motyw kolorystyczny i – do zamknięcia karty – ustawienia mapy. Nie wymaga to zgody (art. 399 ust. 3 ustawy Prawo komunikacji elektronicznej). Plik cookie „Zapamiętaj mnie”, utrzymujący zalogowanie przez 30 dni, zapisujemy tylko po zaznaczeniu tego pola przy logowaniu – to Twoja zgoda, którą wycofasz, wylogowując się lub usuwając pliki cookies. Nie używamy plików cookies analitycznych, reklamowych ani innych podmiotów. Zablokowanie plików cookies w przeglądarce uniemożliwi logowanie.

10. Bezpieczeństwo i dzienniki serwera

Dane przesyłamy szyfrowanym połączeniem i przechowujemy na serwerach w Unii Europejskiej, hasła – wyłącznie w postaci skrótów kryptograficznych, a dostęp ograniczamy zgodnie z rolą Użytkownika i do upoważnionych osób. Dziennik serwera zawiera czas, adres strony i wynik zapytania, bez adresu IP i identyfikatora Użytkownika; ma ograniczony rozmiar, jest usuwany przy każdej aktualizacji Serwisu i służy wyłącznie do usuwania awarii i wyjaśniania incydentów.

11. Zmiany tej informacji

O istotnych zmianach tej informacji powiadamiamy Użytkowników e-mailem i w Serwisie; wersja i data są podane w nagłówku.