1) Administrator danych, usługodawca i role podmiotów

• W zakresie publicznie dostępnej strony serwisu, obsługi zapytań i zgłoszeń, wsparcia technicznego, bezpieczeństwa, logów technicznych i audytowych oraz kont tworzonych i utrzymywanych bezpośrednio przez operatora serwisu, administratorem danych osobowych jest SMART OBYWATEL (mgr inż. Mikołaj Kabała), ul. Leszczyńska 69B/27, 25-326 Kielce.
• Kontakt w sprawach prywatności, danych osobowych oraz obsługi technicznej i organizacyjnej: profilnaukowca@gmail.com.
• Jeżeli narzędzie „PROFIL NAUKOWCA” jest udostępniane konkretnej instytucji, jednostce organizacyjnej albo partnerowi do realizacji procesów określanych przez ten podmiot, role administratora i podmiotu przetwarzającego są ustalane zgodnie z rzeczywistym podziałem decyzji o celach i sposobach przetwarzania oraz dokumentacją danej współpracy. Jeżeli SMART OBYWATEL przetwarza dane wyłącznie na udokumentowane polecenie innego administratora, działa jako podmiot przetwarzający w rozumieniu art. 28 RODO.
• Współadministracja występuje wyłącznie wtedy, gdy dwa lub więcej podmiotów wspólnie ustalają cele i sposoby przetwarzania oraz zostało to odpowiednio udokumentowane zgodnie z art. 26 RODO.
• Na potrzeby utrzymania infrastruktury mogą być wykorzystywani zewnętrzni dostawcy hostingu, infrastruktury, kopii zapasowych, poczty elektronicznej lub zabezpieczeń – wyłącznie w zakresie niezbędnym do świadczenia, utrzymania i zabezpieczenia usługi.

2) Jakie dane mogą być przetwarzane?

• Dane konta i uprawnień – np. login, nazwa wyświetlana, imię i nazwisko, adres e-mail, organizacja, rola, pakiet, termin ważności, limity i liczniki wykorzystania funkcji. Hasła nie są przechowywane w postaci jawnej, lecz wyłącznie jako bezpieczny skrót kryptograficzny.
• Dane techniczne, bezpieczeństwa i audytu – np. adres IP, data i godzina zdarzenia, informacje o przeglądarce i urządzeniu, identyfikatory sesji, informacje o logowaniu i wylogowaniu, błędach, statusach żądań i zdarzeniach związanych z bezpieczeństwem.
• Dane eksploatacyjne dotyczące korzystania z usługi – np. wejście do modułu lub strony, rodzaj wykonanej operacji, zastosowany filtr, wyświetlenie profilu, wykonanie eksportu, utworzenie lub modyfikacja listy roboczej, rozpoczęcie i zakończenie korzystania z funkcji oraz orientacyjny czas przebywania w danym widoku. Dane te służą przede wszystkim bezpieczeństwu, rozliczalności, obsłudze limitów, diagnostyce i utrzymaniu usługi.
• Dane wprowadzane przez użytkownika – np. kryteria wyszukiwania, filtry, słowa kluczowe, tagi, treść zgłoszeń, uwag i wiadomości. Pełna treść zapytań wyszukiwawczych nie powinna być utrwalana w logach ponad zakres niezbędny do działania usługi, chyba że dla konkretnej instancji wprowadzono odrębną, uzasadnioną konfigurację i poinformowano o tym użytkowników.
• Dane robocze – np. listy wyników, zapisane listy robocze, ustawienia widoków, raporty oraz inne dane zapisywane przez użytkownika w ramach funkcji narzędzia.
• Pliki i treści przesyłane do analizy – np. dokumenty PDF lub ich fragmenty oraz techniczny rezultat analizy. W podstawowej funkcji dopasowania PDF analiza jest wykonywana w obrębie infrastruktury aplikacji; pliki nie są przekazywane do zewnętrznego modelu generatywnej sztucznej inteligencji w celu wykonania dopasowania.
• Dane dotyczące naukowców, ekspertów lub innych osób widocznych w wynikach – np. imię i nazwisko, stopień lub tytuł, afiliacja, identyfikatory naukowe, specjalizacje, informacje o aktywności naukowej, bibliograficzne i opisowe metadane dorobku oraz informacje pochodzące ze źródeł publicznie dostępnych, referencyjnych albo przekazanych do zasilenia narzędzia na odpowiedniej podstawie.

3) Cele i podstawy prawne przetwarzania

• Zapewnienie dostępu do serwisu, logowania, autoryzacji, obsługi pakietów i utrzymania sesji – art. 6 ust. 1 lit. b RODO, gdy przetwarzanie jest niezbędne do wykonania umowy lub działań na żądanie użytkownika, albo art. 6 ust. 1 lit. f RODO, gdy konto jest udostępniane w ramach relacji instytucjonalnej lub B2B.
• Bezpieczeństwo, przeciwdziałanie nadużyciom, rozliczalność, egzekwowanie limitów i diagnostyka, w tym prowadzenie adekwatnych logów technicznych i audytowych – art. 6 ust. 1 lit. f RODO. Prawnie uzasadnionym interesem jest zapewnienie bezpieczeństwa i integralności usługi, możliwość wykrywania nadużyć, odtworzenia zdarzeń, obsługi incydentów oraz obrony przed roszczeniami.
• Wykonanie funkcji wyszukiwania, dopasowania i generowania wyników – art. 6 ust. 1 lit. b RODO w zakresie usługi żądanej przez użytkownika lub art. 6 ust. 1 lit. f RODO w zakresie prawnie uzasadnionego interesu polegającego na organizowaniu i udostępnianiu narzędzi do wyszukiwania i porównywania profesjonalnych oraz naukowych metadanych.
• Przetwarzanie publicznie dostępnych danych zawodowych i naukowych osób widocznych w bazie – co do zasady art. 6 ust. 1 lit. f RODO, gdy administratorem jest operator serwisu. Prawnie uzasadnionym interesem jest uporządkowanie i wyszukiwanie publicznie dostępnych informacji o aktywności naukowej oraz wspieranie identyfikacji potencjalnych ekspertów, recenzentów i uczestników zespołów przy zachowaniu kontroli człowieka. W instancjach prowadzonych przez podmioty publiczne podstawą może być także art. 6 ust. 1 lit. e RODO, jeżeli wynika to z ich zadań i dokumentacji.
• Obsługa zgłoszeń, korekt, kontaktu i wsparcia technicznego – art. 6 ust. 1 lit. b lub f RODO, zależnie od charakteru sprawy.
• Rozwój, testowanie i doskonalenie usługi – art. 6 ust. 1 lit. f RODO, przy czym dane osobowe wykorzystywane do tych celów powinny być ograniczane do zakresu niezbędnego, a tam, gdzie jest to możliwe, anonimizowane lub agregowane.
• Wypełnienie obowiązków prawnych oraz ustalenie, dochodzenie lub obrona roszczeń – odpowiednio art. 6 ust. 1 lit. c oraz art. 6 ust. 1 lit. f RODO.

4) Czy podanie danych jest obowiązkowe?

• Dane niezbędne do utworzenia i obsługi konta, uwierzytelnienia, autoryzacji i bezpieczeństwa są wymagane, jeżeli użytkownik chce korzystać z funkcji dostępnych po zalogowaniu. Brak tych danych może uniemożliwić utworzenie konta albo korzystanie z usługi.
• Wprowadzenie słów kluczowych, filtrów, przesłanie PDF albo zapisanie listy roboczej jest dobrowolne, ale brak danych wymaganych przez daną funkcję uniemożliwi jej wykonanie.
• Dane techniczne i eksploatacyjne niezbędne do działania, bezpieczeństwa i rozliczalności są generowane automatycznie podczas korzystania z usługi.

5) Cookies i lokalne mechanizmy pamięci przeglądarki

• Serwis może wykorzystywać cookies niezbędne, pamięć lokalną przeglądarki oraz podobne mechanizmy potrzebne do logowania, utrzymania sesji, ochrony formularzy, obsługi ustawień, przyspieszania działania i zapewnienia bezpieczeństwa. W zakresie, w jakim są one konieczne do dostarczenia usługi żądanej przez użytkownika, zastosowanie ma wyjątek przewidziany dla mechanizmów niezbędnych w art. 399 ust. 3 ustawy – Prawo komunikacji elektronicznej.
• Mechanizmy niewymagane do świadczenia usługi, w szczególności ewentualne narzędzia marketingowe, reklamowe lub analityczne służące śledzeniu użytkownika, mogą być uruchamiane wyłącznie po spełnieniu wymogów informacyjnych i uzyskaniu wymaganej zgody zgodnie z art. 399 i 400 Prawa komunikacji elektronicznej oraz przepisami o ochronie danych osobowych.
• Użytkownik może zarządzać cookies i innymi danymi lokalnymi za pomocą ustawień przeglądarki. Usunięcie mechanizmów niezbędnych może spowodować wylogowanie, utratę ustawień lokalnych albo ograniczenie części funkcji.
• Jeżeli urządzenie jest współdzielone z innymi osobami, zaleca się wylogowanie po zakończeniu pracy i usunięcie danych lokalnych, jeżeli użytkownik nie chce pozostawiać informacji na tym urządzeniu.

6) Odbiorcy danych

• upoważnione osoby działające po stronie właściwego administratora,
• podmioty przetwarzające dane na podstawie odpowiednich umów lub innych instrumentów prawnych, w szczególności dostawcy hostingu, infrastruktury, kopii zapasowych, poczty elektronicznej, utrzymania systemu i narzędzi bezpieczeństwa,
• instytucje lub partnerzy korzystający z danej instancji narzędzia – wyłącznie w zakresie wynikającym z ich roli i dokumentacji współpracy,
• podmioty uprawnione do otrzymania danych na podstawie obowiązujących przepisów prawa.

7) Okres przechowywania danych

• Dane kont, pakietów, uprawnień i rozliczalności – przez okres aktywności konta lub współpracy, a następnie przez okres niezbędny do wykazania prawidłowości świadczenia usługi, obrony przed roszczeniami i wykonania obowiązków prawnych. Dane zbędne są usuwane lub anonimizowane.
• Logi aplikacyjne, bezpieczeństwa i audytu – co do zasady przez okres niezbędny do bezpieczeństwa, diagnostyki i rozliczalności, standardowo nie dłużej niż 90 dni, chyba że konkretny wpis jest potrzebny dłużej z powodu incydentu bezpieczeństwa, nadużycia, audytu, postępowania wyjaśniającego, roszczenia lub obowiązku prawnego.
• Pliki PDF przesłane do analizy – nie dłużej niż 7 dni, przy czym konfiguracja danej instancji może przewidywać wcześniejsze usunięcie. Pliki odrzucone, niepoprawne albo niepotrzebne powinny być usuwane możliwie szybko. Samo przesłanie PDF nie oznacza zgody na wykorzystanie jego treści do trenowania zewnętrznych modeli generatywnej AI.
• Zapisane listy robocze i dane robocze – do czasu ich usunięcia przez użytkownika lub administratora, dezaktywacji/likwidacji konta albo utraty celu ich dalszego przechowywania, z uwzględnieniem wymaganej rozliczalności.
• Zgłoszenia, korekty, korespondencja i wsparcie – przez czas obsługi sprawy, a następnie przez okres niezbędny do wykazania sposobu jej załatwienia i ewentualnej obrony przed roszczeniami.
• Dane osób widocznych w bazie – przez okres, w którym są potrzebne do realizacji celu narzędzia i istnieje odpowiednia podstawa prawna; dane są aktualizowane, ograniczane, korygowane albo usuwane w razie utraty celu, skutecznego sprzeciwu, stwierdzenia nieprawidłowości lub innej przesłanki wynikającej z prawa.
• Kopie zapasowe – do czasu usunięcia danych w naturalnym cyklu rotacji kopii, co do zasady przez okres niezbędny do zapewnienia ciągłości i bezpieczeństwa usługi; kopie nie są wykorzystywane do bieżących celów operacyjnych poza odtworzeniem danych po awarii lub incydencie.

8) Bezpieczeństwo danych

9) Prawa osób, których dane dotyczą

• prawo dostępu do danych i uzyskania ich kopii,
• prawo sprostowania i uzupełnienia danych,
• prawo usunięcia danych – w przypadkach przewidzianych prawem,
• prawo ograniczenia przetwarzania,
• prawo sprzeciwu z przyczyn związanych ze szczególną sytuacją – gdy podstawą przetwarzania jest art. 6 ust. 1 lit. e lub f RODO; po skutecznym sprzeciwie dane nie są dalej przetwarzane, chyba że administrator wykaże nadrzędne prawnie uzasadnione podstawy albo dane są potrzebne do ustalenia, dochodzenia lub obrony roszczeń,
• prawo przenoszenia danych – wyłącznie w przypadkach, w których spełnione są przesłanki art. 20 RODO,
• jeżeli przetwarzanie opiera się na zgodzie – prawo jej wycofania w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania dokonanego przed wycofaniem,
• prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

10) Wyszukiwanie, dopasowanie, profilowanie i decyzje człowieka

11) Źródła danych i obowiązek informacyjny z art. 14 RODO

12) Przekazywanie danych poza Europejski Obszar Gospodarczy

13) Zmiany polityki prywatności