1. Administrator danych

Administratorem danych osobowych osób przekazujących darowizny (Darczyńców) jest Fundacja Usuwanie Hejtu z siedzibą w Krakowie, ul. Rybitwy 22/326, 30-722 Kraków, KRS 0001263258, NIP 5130314082, REGON 54559130600000. Kontakt w sprawach danych osobowych: biuro@usuwaniehejtu.pl lub pisemnie na adres siedziby. Fundacja nie wyznaczyła inspektora ochrony danych.

2. Jakie dane przetwarzamy

– dane podane w formularzu darowizny: imię i nazwisko, adres e-mail, kwota i rodzaj darowizny (jednorazowa lub cykliczna), wybrana zbiórka celowa, a jeżeli Darczyńca je poda – adres, nazwa firmy lub organizacji i NIP (do potwierdzenia darowizny) oraz pseudonim do listy darczyńców;

– dane o płatności przekazywane przez operatora płatności: identyfikator transakcji, data, kwota, waluta, status płatności, rodzaj metody płatności, a w przypadku karty – jej typ, cztery ostatnie cyfry numeru i data ważności; Fundacja nie otrzymuje pełnego numeru karty;

– dane techniczne: adres IP, informacje o urządzeniu i przeglądarce, data i godzina akceptacji Regulaminu oraz treść wyrażonych zgód;

– treść korespondencji z Fundacją (reklamacje, wnioski o zwrot, wnioski o potwierdzenie darowizny).

3. Cele, podstawy prawne i okresy przetwarzania

Przyjęcie i rozliczenie darowizny, obsługa darowizny cyklicznej (w tym potwierdzenia, przypomnienia o obciążeniu, informacje o nieudanej płatności), wystawianie potwierdzeń darowizn | art. 6 ust. 1 lit. b RODO – wykonanie umowy darowizny; do wykonania darowizny, a przy darowiźnie cyklicznej – do jej anulowania lub wygaśnięcia, a następnie do upływu terminu przedawnienia roszczeń.

Prowadzenie ksiąg rachunkowych, rozliczenia podatkowe, sprawozdania Fundacji (w tym wobec organów podatkowych i ministra nadzorującego); art. 6 ust. 1 lit. c RODO – obowiązek prawny wynikający z ustawy o rachunkowości, przepisów podatkowych i ustawy o fundacjach; 5 lat od końca roku kalendarzowego, w którym powstał obowiązek podatkowy lub sporządzono sprawozdanie.

Rozpatrywanie reklamacji i wniosków o zwrot, obrona przed roszczeniami i sporami (w tym reklamacjami kartowymi), przechowywanie dowodów akceptacji Regulaminu i zgód; art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Fundacji; do upływu terminu przedawnienia roszczeń.

Informowanie Darczyńców danej zbiórki celowej o jej wyniku i wykorzystaniu środków; art. 6 ust. 1 lit. b i f RODO  do zakończenia rozliczenia zbiórki.

Publikacja na liście darczyńców i przyznawanie wyróżnień honorowych; art. 6 ust. 1 lit. a RODO – zgoda; do cofnięcia zgody.

Przesyłanie e-mailem informacji o działaniach, zbiórkach i efektach pomocy Fundacji; art. 6 ust. 1 lit. a RODO – zgoda; art. 398 ustawy – Prawo komunikacji elektroniczne; do cofnięcia zgody.

4. Odbiorcy danych

– Stripe Payments Europe, Limited z siedzibą w Dublinie (Irlandia) – operator płatności; realizuje płatności, obsługuje darowizny cykliczne i Panel darczyńcy oraz wysyła potwierdzenia płatności. W zakresie realizacji płatności, zapobiegania oszustwom i wykonywania własnych obowiązków prawnych Stripe jest odrębnym administratorem danych i przetwarza je zgodnie z własną polityką prywatności dostępną pod adresem https://stripe.com/privacy;

– KKR Doradztwo Podatkowe Sp zoo – obsługa księgowa;

– STATNET Online sp. z o.o. – przechowywanie danych Serwisu;

– STATNET Online sp. z o.o. – wysyłka wiadomości e-mail;

– BNP Paribas Bank Polska S.A. – bank prowadzący rachunek Fundacji;

– kancelarie prawne i doradcy podatkowi – w razie sporu lub potrzeby porady;

– organy podatkowe i inne organy publiczne – w zakresie wynikającym z przepisów prawa.

5. Przekazywanie danych poza Europejski Obszar Gospodarczy

Operator płatności należy do grupy Stripe, której spółki mają siedziby także poza Europejskim Obszarem Gospodarczym, w tym w Stanach Zjednoczonych (Stripe, Inc.). Przekazanie danych do Stanów Zjednoczonych odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-U.S. Data Privacy Framework), a w pozostałym zakresie – standardowych klauzul umownych zatwierdzonych przez Komisję Europejską. Fundacja nie przekazuje samodzielnie danych Darczyńców poza Europejski Obszar Gospodarczy.

6. Zautomatyzowane przetwarzanie

Fundacja nie podejmuje wobec Darczyńców decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu danych. Operator płatności stosuje zautomatyzowane systemy oceny ryzyka transakcji (Stripe Radar), które służą zapobieganiu oszustwom; w ich wyniku płatność może zostać odrzucona. Zasady tej oceny opisuje polityka prywatności Stripe.

7. Pliki cookies operatora płatności

Formularz i strona płatności korzystają z plików cookies Stripe (m.in. stripe_mid, stripe_sid), które służą wykrywaniu oszustw i prawidłowej realizacji płatności. Są to pliki niezbędne do działania płatności, przechowywane odpowiednio przez [1 rok] i [30 minut].

8. Prawa osób, których dane dotyczą

Każdej osobie przysługuje prawo: dostępu do danych i uzyskania ich kopii; sprostowania danych; usunięcia danych; ograniczenia przetwarzania; przenoszenia danych (w zakresie przetwarzanym na podstawie umowy lub zgody); sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie; cofnięcia zgody w każdej chwili, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem; wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa.

Żądania można kierować na adres biuro@usuwaniehejtu.pl. Fundacja odpowiada bez zbędnej zwłoki, nie później niż w ciągu miesiąca. Prawo do usunięcia danych nie obejmuje danych, które Fundacja musi przechowywać w dokumentacji księgowej i podatkowej przez okres wynikający z przepisów.

9. Dobrowolność podania danych

Podanie danych oznaczonych w formularzu jako wymagane jest dobrowolne, ale bez nich nie można przekazać darowizny – są potrzebne do zawarcia i rozliczenia umowy darowizny. Zgody na otrzymywanie wiadomości e-mail i na publikację na liście darczyńców są dobrowolne i nie wpływają na możliwość przekazania darowizny.

10. Bezpieczeństwo

Dane karty płatniczej są podawane wyłącznie na stronie operatora płatności, który spełnia standard PCI DSS. Fundacja nie przechowuje pełnych numerów kart. Połączenia z Serwisem są szyfrowane (HTTPS). Dostęp do danych Darczyńców mają wyłącznie osoby upoważnione przez Fundację oraz podmioty wymienione w pkt 4, w zakresie niezbędnym do wykonania ich zadań.