Klauzula informacyjna dla Kontrahentów Inventia Sp. z o.o.
i ich przedstawicieli

1. ZAKRES

1. Niniejsza klauzula zawiera informacje, o których mowa w art. 13 i 14 RODO, dla osób, których dane osobowe Inventia Sp. z o.o. przetwarza w związku z nawiązaniem i prowadzeniem współpracy z dostawcami, podwykonawcami, klientami i innymi kontrahentami, w szczególności dla:
   1. kontrahentów będących osobami fizycznymi, w tym osobami prowadzącymi jednoosobową działalność gospodarczą i wspólnikami spółek cywilnych;
   2. osób reprezentujących kontrahentów oraz ich pełnomocników;
   3. pracowników i współpracowników kontrahentów wskazanych do kontaktu lub do realizacji umowy lub zamówienia, w tym osób wykonujących prace lub usługi w obiektach Inventia Sp. z o.o. albo korzystających z dostępu do jej systemów ICT;
   4. osób kontaktujących się z Inventia Sp. z o.o. w sprawie współpracy handlowej przed zawarciem umowy.
2. Klauzula nie dotyczy danych przetwarzanych w związku z korzystaniem z serwisów internetowych Inventia (zasady te określa Polityka prywatności) ani danych przetwarzanych przez Inventia Sp. z o.o. w imieniu klientów w udostępnianych im platformach (DataPortal, CoolSens, XWAY, Agreus) – w tym zakresie administratorem danych jest klient.
3. Klauzula zawiera także informację o procedurze zgłoszeń wewnętrznych przekazywaną kontrahentom zgodnie z ustawą z dnia 14 czerwca 2024 r. o ochronie sygnalistów (pkt 10).

2. ADMINISTRATOR DANYCH I KONTAKT

1. Administratorem danych osobowych jest Inventia Sp. z o.o. z siedzibą w Warszawie, ul. Poleczki 23, 02-822 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000023113, NIP 9512017534, REGON 017311391, BDO 000017953 (dalej: „Administrator”).
2. Administrator wyznaczył Inspektora Ochrony Danych. Kontakt: iod@inventia.pl albo pisemnie na adres siedziby Administratora z dopiskiem „Inspektor Ochrony Danych”.
3. Dotychczasowy adres kontaktowy abi@inventia.pl pozostaje aktywny przez okres przejściowy i korespondencja kierowana na ten adres jest przekazywana Inspektorowi Ochrony Danych.

3. ŹRÓDŁO I ZAKRES DANYCH

1. Administrator otrzymuje dane bezpośrednio od osoby, której dane dotyczą, albo od kontrahenta, który wskazał ją jako swojego przedstawiciela, pełnomocnika lub osobę do kontaktu lub realizacji umowy. Administrator może także pozyskiwać dane z publicznie dostępnych rejestrów (Krajowy Rejestr Sądowy, CEIDG, wykaz podatników VAT) w celu weryfikacji kontrahenta.
2. Administrator przetwarza w szczególności: imię i nazwisko, stanowisko lub funkcję, nazwę pracodawcy lub zleceniodawcy, służbowy adres poczty elektronicznej i numer telefonu, dane zawarte w umowie, zamówieniu, pełnomocnictwie i korespondencji, a w przypadku kontrahentów będących osobami fizycznymi – także firmę, adres prowadzenia działalności, NIP, REGON i numer rachunku bankowego, a także informacje o wyrażonych zgodach na kontakt marketingowy i ich wycofaniu.
3. W przypadku osób wykonujących prace lub usługi w obiektach Administratora albo korzystających z dostępu do jego systemów ICT Administrator przetwarza również dane związane z dostępem: dane konta użytkownika, identyfikatora lub karty dostępu, rejestry wejść i dostępu do systemów oraz wizerunek utrwalony przez monitoring wizyjny obiektu.

4. CELE I PODSTAWY PRAWNE PRZETWARZANIA

1. Zawarcie i wykonanie umowy z kontrahentem będącym osobą fizyczną – wykonanie umowy lub działania przed jej zawarciem (art. 6 ust. 1 lit. b RODO);
2. Zawarcie i wykonanie umowy z kontrahentem będącym osobą prawną lub jednostką organizacyjną, w tym kontakt z jego przedstawicielami i osobami wskazanymi do realizacji umowy – prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO);
3. Realizacja obowiązków wynikających z przepisów prawa, w szczególności podatkowych i rachunkowych, w tym wystawiania i przechowywania faktur i dokumentów księgowych – obowiązek prawny (art. 6 ust. 1 lit. c RODO);
4. Weryfikacja kontrahentów, w tym w publicznych rejestrach i pod kątem środków ograniczających (sankcji) – obowiązek prawny (art. 6 ust. 1 lit. c RODO) w zakresie, w jakim wynika z przepisów, a w pozostałym zakresie prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO);
5. Zarządzanie bezpieczeństwem informacji i bezpieczeństwem łańcucha dostaw, w tym ocena i klasyfikacja dostawców, obsługa zgłoszeń incydentów i podatności oraz kontrola dostępu do obiektów i systemów ICT – obowiązek prawny wynikający z ustawy o krajowym systemie cyberbezpieczeństwa (art. 6 ust. 1 lit. c RODO) oraz prawnie uzasadniony interes Administratora polegający na ochronie informacji, osób i mienia (art. 6 ust. 1 lit. f RODO);
6. Zapewnienie bezpieczeństwa osób i mienia za pomocą monitoringu wizyjnego obiektu – prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO); szczegółowe informacje o monitoringu są dostępne w miejscach nim objętych;
7. Ustalenie, dochodzenie lub obrona roszczeń oraz obsługa reklamacji – prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO);
8. Marketing bezpośredni własnych produktów i usług Administratora wobec kontrahentów i ich przedstawicieli – prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO); przesyłanie informacji handlowych pocztą elektroniczną i kontakt telefoniczny w celach marketingowych – wyłącznie za zgodą osoby, której dane dotyczą, wyrażoną zgodnie z przepisami Prawa komunikacji elektronicznej;
9. Przyjmowanie zgłoszeń naruszeń prawa i podejmowanie działań następczych – obowiązek prawny wynikający z ustawy o ochronie sygnalistów (art. 6 ust. 1 lit. c RODO), na zasadach opisanych w pkt 10.

5. ODBIORCY DANYCH

1. Dane osobowe mogą być ujawniane podmiotom wspierającym Administratora w prowadzeniu działalności, wyłącznie w zakresie niezbędnym do realizacji celów wskazanych w niniejszej klauzuli.
2. Odbiorcami danych są w szczególności:
   1. dostawcy usług IT, w tym systemu ERP, poczty elektronicznej, pracy grupowej i komunikacji (Microsoft), oraz podmioty świadczące na rzecz Administratora usługi utrzymania infrastruktury i bezpieczeństwa;
   2. podmioty świadczące usługi prawne, księgowe, doradcze i audytowe, w tym jednostki certyfikujące systemy zarządzania Administratora;
   3. operatorzy pocztowi, kurierzy, przewoźnicy i spedytorzy oraz banki – w zakresie realizacji dostaw i płatności;
   4. zarządca obiektu przy ul. Poleczki 23 – w zakresie kontroli dostępu i monitoringu obiektu;
   5. podmioty uprawnione do otrzymania danych na podstawie przepisów prawa, w szczególności organy publiczne i sądy.
3. Jeżeli odbiorca przetwarza dane osobowe w imieniu Administratora, odbywa się to na podstawie umowy powierzenia przetwarzania danych osobowych albo innego instrumentu prawnego wymaganego przez RODO.

6. PRZEKAZYWANIE DANYCH POZA EUROPEJSKI OBSZAR GOSPODARCZY

1. Co do zasady Administrator przetwarza dane osobowe na terytorium Europejskiego Obszaru Gospodarczego. Korzystanie z usług dostawców IT może wiązać się z przekazaniem danych do państw trzecich, w szczególności do Stanów Zjednoczonych. Przekazanie następuje wyłącznie przy spełnieniu wymagań rozdziału V RODO, w szczególności na podstawie decyzji o odpowiednim stopniu ochrony (Data Privacy Framework) albo standardowych klauzul umownych.
2. Informacje o stosowanych zabezpieczeniach można uzyskać, kontaktując się z Inspektorem Ochrony Danych.

7. OKRES PRZECHOWYWANIA DANYCH

Dane osobowe są przechowywane przez okres niezbędny do realizacji celów, dla których zostały zebrane, a następnie przez okres wymagany przepisami prawa albo niezbędny do dochodzenia roszczeń lub obrony przed nimi. W szczególności:

1. dane związane z zawarciem i wykonaniem umowy – przez okres współpracy, a następnie do upływu terminu przedawnienia roszczeń;
2. faktury i dokumenty księgowe – przez okres wymagany przepisami podatkowymi i o rachunkowości;
3. rejestry dostępu do systemów ICT i dzienniki zdarzeń – do 12 miesięcy, chyba że dłuższe przechowywanie jest niezbędne do obsługi incydentu, postępowania wyjaśniającego lub wynika z przepisów prawa;
4. nagrania z monitoringu wizyjnego – nie dłużej niż 3 miesiące od dnia nagrania, chyba że nagranie stanowi dowód w postępowaniu;
5. dane przetwarzane w celach marketingowych – do czasu wniesienia sprzeciwu albo wycofania zgody, a dowód wyrażenia i wycofania zgody – przez okres przedawnienia roszczeń;
6. dane związane ze zgłoszeniem naruszenia prawa – przez okres wskazany w pkt 10.

Po upływie okresu przechowywania dane są usuwane albo anonimizowane.

8. PRAWA OSÓB, KTÓRYCH DANE DOTYCZĄ

Osobie, której dane dotyczą, przysługuje prawo:

1. dostępu do danych osobowych oraz uzyskania ich kopii;
2. sprostowania nieprawidłowych danych oraz uzupełnienia danych niekompletnych;
3. żądania usunięcia danych, jeżeli zachodzą przesłanki określone w RODO;
4. żądania ograniczenia przetwarzania;
5. przenoszenia danych, jeżeli przetwarzanie odbywa się na podstawie umowy i w sposób zautomatyzowany;
6. wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora, w tym w każdym czasie wobec przetwarzania w celach marketingu bezpośredniego;
7. wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem;
8. wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Moniuszki 1A, 00-014 Warszawa.

W celu realizacji praw należy skontaktować się z Inspektorem Ochrony Danych pod adresem iod@inventia.pl albo pisemnie na adres siedziby Administratora. Ograniczenia praw w związku ze zgłoszeniami naruszeń prawa opisuje pkt 10.

9. INFORMACJE DODATKOWE

1. Podanie danych jest dobrowolne, ale niezbędne do zawarcia i wykonania umowy albo realizacji zamówienia. W przypadku osób wskazanych przez kontrahenta podanie danych może wynikać z ich obowiązków wobec kontrahenta. Wyrażenie zgody na kontakt marketingowy jest dobrowolne, a jej brak nie wpływa na współpracę z Administratorem.
2. Administrator nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na osobę, której dane dotyczą.
3. Kontrahent, który przekazuje Administratorowi dane swoich przedstawicieli, pracowników lub współpracowników, informuje te osoby o przekazaniu ich danych i o treści niniejszej klauzuli.

10. ZGŁASZANIE NARUSZEŃ PRAWA (SYGNALIŚCI)

1. Zgłoszenia informacji o naruszeniach prawa uzyskanych w kontekście związanym z pracą mogą dokonywać, na zasadach ustawy z dnia 14 czerwca 2024 r. o ochronie sygnalistów, także kontrahenci Administratora będący przedsiębiorcami oraz osoby świadczące pracę pod nadzorem i kierownictwem wykonawcy, podwykonawcy lub dostawcy Administratora, również przed nawiązaniem współpracy lub po jej zakończeniu.
2. Administrator stosuje Regulamin Zgłoszeń Wewnętrznych wprowadzony Zarządzeniem Zarządu nr 55/2024 z dnia 12 września 2024 r., obowiązujący od dnia 25 września 2024 r. Zgłoszenia przyjmuje, weryfikuje i podejmuje działania następcze Pełnomocnik ds. Zgłoszeń upoważniony przez Administratora. Zgłoszenia można dokonać:
   1. pisemnie – listem na adres: Inventia Sp. z o.o., ul. Poleczki 23, 02-822 Warszawa, z dopiskiem „Pełnomocnik ds. Zgłoszeń – do rąk własnych”;
   2. pisemnie – przez skrzynkę na zgłoszenia w recepcji siedziby Administratora, ul. Poleczki 23 w Warszawie;
   3. ustnie – osobiście u Pełnomocnika ds. Zgłoszeń w siedzibie Administratora; z rozmowy sporządza się protokół, który zgłaszający może sprawdzić, poprawić i podpisać.
3. Jeżeli zgłoszenie dotyczy Pełnomocnika ds. Zgłoszeń, można je przesłać listem do Członka Zarządu na adres siedziby Administratora z dopiskiem „do rąk własnych”.
4. Administrator nie rozpatruje zgłoszeń anonimowych. Treść Regulaminu Zgłoszeń Wewnętrznych jest dostępna w siedzibie Administratora i jest przekazywana na żądanie.
5. Przyjęcie zgłoszenia potwierdza się w terminie 7 dni od dnia jego otrzymania, a informację zwrotną przekazuje się w terminie nie dłuższym niż 3 miesiące od dnia potwierdzenia przyjęcia zgłoszenia, chyba że sygnalista nie podał adresu do kontaktu.
6. Informację o naruszeniu prawa można w każdym przypadku zgłosić także z pominięciem procedury zgłoszeń wewnętrznych – do Rzecznika Praw Obywatelskich albo organu publicznego, a w stosownych przypadkach do instytucji, organów lub jednostek organizacyjnych Unii Europejskiej (zgłoszenie zewnętrzne).
7. Dane osobowe sygnalisty pozwalające na ustalenie jego tożsamości nie są ujawniane nieupoważnionym osobom, chyba że za wyraźną zgodą sygnalisty albo gdy ujawnienie jest koniecznym i proporcjonalnym obowiązkiem wynikającym z przepisów prawa w związku z postępowaniami prowadzonymi przez organy publiczne lub sądy.
8. Administrator przetwarza dane osobowe sygnalisty, osoby, której dotyczy zgłoszenie, oraz innych osób wskazanych w zgłoszeniu w zakresie niezbędnym do przyjęcia zgłoszenia i podjęcia działań następczych. Dane, które nie mają znaczenia dla rozpatrywania zgłoszenia, nie są zbierane, a w razie przypadkowego zebrania są usuwane w terminie 14 dni od ustalenia, że nie mają znaczenia dla sprawy.
9. Dane osobowe i dokumenty związane ze zgłoszeniem przechowuje się przez 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.
10. Osobie, której dotyczy zgłoszenie, nie przekazuje się informacji o źródle pozyskania jej danych osobowych (art. 14 ust. 2 lit. f i art. 15 ust. 1 lit. g RODO w związku z art. 8 ust. 5 i 6 ustawy o ochronie sygnalistów), chyba że sygnalista nie spełnia warunków ochrony określonych w ustawie albo wyraził wyraźną zgodę na ujawnienie swojej tożsamości.

11. ZMIANY KLAUZULI

1. Administrator może aktualizować niniejszą klauzulę, w szczególności w przypadku zmiany przepisów prawa, zmian organizacyjnych albo zmian w sposobach przetwarzania danych. Aktualna wersja jest publikowana na stronie inventia.pl, a poprzednie wersje są dostępne w archiwum wersji.
2. Klauzula wchodzi w życie z dniem 30 września 2026 r.