Polityka Prywatności — OneBayt Messaging
Polityka Prywatności
Operator usługi: ONE BAYT sp. z o.o.
Wersja: 2.0
Data wejścia w życie: 1 stycznia 2023
Data ostatniej aktualizacji: 1 maja 2026
Spis treści
- Postanowienia wstępne i definicje
- Administrator danych, role i kontakt
- Zakres i kategorie przetwarzanych danych
- Cele i podstawy prawne przetwarzania
- Komunikacja elektroniczna (WhatsApp, SMS, e-mail)
- Sub-procesorzy i transfery danych poza EOG
- Okres przechowywania danych
- Prawa osoby, której dane dotyczą
- Bezpieczeństwo danych
- Cookies i technologie śledzące
- Zmiany polityki
- Kontakt i zgłoszenia
- English summary
§1. Postanowienia wstępne i definicje
1.1. Niniejsza Polityka Prywatności (dalej: „Polityka”) opisuje zasady przetwarzania danych osobowych przez ONE BAYT sp. z o.o. z siedzibą we Wrocławiu (dalej: „OneBayt”, „my”, „Operator”) w związku ze świadczeniem usług platformy Eliot oraz powiązanych usług komunikacji elektronicznej (WhatsApp, SMS, e-mail).
1.2. Definicje:
– RODO — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (General Data Protection Regulation).
– Dane osobowe — wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (Art. 4(1) RODO).
– Administrator danych (Data Controller) — podmiot decydujący o celach i sposobach przetwarzania danych.
– Podmiot przetwarzający (Data Processor) — podmiot przetwarzający dane w imieniu Administratora, na podstawie umowy powierzenia (Art. 28 RODO).
– Sub-procesor (Sub-processor) — podmiot trzeci wspomagający Procesora w wykonaniu umowy powierzenia.
– Użytkownik — osoba fizyczna, której dane są przetwarzane (kandydat, pracownik, opiekunka, kontrahent, klient, odbiorca komunikacji).
– Platforma Eliot — system informatyczny OneBayt do zarządzania zasobami ludzkimi, rekrutacją oraz świadczeniem usług opieki.
– OneBayt Messaging — moduł komunikacji elektronicznej Platformy Eliot, integrujący WhatsApp Business Cloud API (Meta), SMS oraz e-mail.
§2. Administrator danych, role i kontakt
2.1. OneBayt jako Administrator (Data Controller). OneBayt jest Administratorem danych osobowych w następujących sytuacjach:
– prowadzenie procesów rekrutacyjnych do struktur OneBayt;
– komunikacja marketingowa we własnym imieniu (newsletter, oferty OneBayt);
– obsługa zapytań i reklamacji kierowanych bezpośrednio do OneBayt;
– realizacja obowiązków prawnych (księgowość, podatki, archiwizacja).
2.2. OneBayt jako Procesor (Data Processor). OneBayt jest Procesorem działającym w imieniu Klientów Platformy Eliot (spółek inwentaryzacyjnych, opiekuńczych, rekrutacyjnych — dalej: „Klient OneBayt”) w sytuacjach:
– prowadzenie procesów rekrutacyjnych w imieniu Klienta OneBayt;
– komunikacja z opiekunkami / pracownikami / kandydatami Klienta OneBayt poprzez WhatsApp, SMS, e-mail;
– obsługa serwisów, kontraktów, fakturowania i innych operacji biznesowych Klienta OneBayt.
W tym przypadku Administratorem jest Klient OneBayt, a OneBayt działa na podstawie umowy powierzenia przetwarzania danych (Art. 28 RODO).
2.3. Dane Administratora:
| Nazwa | ONE BAYT sp. z o.o. |
| Adres siedziby | ul. Gajowicka 195, 53-150 Wrocław, Polska |
| NIP | PL 897-18-25-612 |
| KRS | 0000624206 |
| Telefon | +48 881 981 785 |
| E-mail (kontakt ogólny) | hello@onebayt.com |
| Inspektor Ochrony Danych (IOD) | iod@onebayt.com |
2.4. We wszystkich sprawach dotyczących przetwarzania danych osobowych — w tym wykonywania praw określonych w §8 — prosimy o kontakt pod adresem iod@onebayt.com.
§3. Zakres i kategorie przetwarzanych danych
3.1. Dane identyfikacyjne i kontaktowe: imię, nazwisko, adres e-mail, numer telefonu (w tym numer wykorzystywany na WhatsApp), nazwa użytkownika, adres korespondencyjny.
3.2. Dane zawodowe (dotyczy kandydatów, pracowników, opiekunek): CV, historia zatrudnienia, kwalifikacje, certyfikaty, znajomość języków, dyspozycyjność, doświadczenie zawodowe, referencje.
3.3. Dane identyfikujące w systemach państwowych (gdy wymagane dla świadczenia usługi i przy zachowaniu zasady minimalizacji): PESEL, NIP, numer dokumentu tożsamości — wyłącznie w niezbędnym zakresie zgodnie z przepisami prawa pracy.
3.4. Dane techniczne komunikacji: treść wymienianych wiadomości WhatsApp / SMS / e-mail, znaczniki czasu (wysyłki, dostarczenia, odczytu), statusy techniczne, identyfikatory wiadomości (wa_message_id, message_id), adres IP, metadane sesji.
3.5. Dane behawioralne w Platformie Eliot: historia logowań, zmian w profilu, wykonanych operacji.
3.6. Dane finansowe (gdy dotyczy): numer rachunku bankowego, dane do fakturowania.
3.7. OneBayt nie przetwarza świadomie danych szczególnych kategorii (Art. 9 RODO) — w tym danych o stanie zdrowia, przekonaniach religijnych, orientacji seksualnej. W razie incydentalnego przekazania takich danych przez Użytkownika (np. w treści wiadomości) — są one usuwane niezwłocznie po wykryciu lub poddawane szczególnej ochronie zgodnie z procedurą wewnętrzną.
§4. Cele i podstawy prawne przetwarzania
| Cel przetwarzania | Podstawa prawna RODO | Okres przechowywania |
|---|---|---|
| Realizacja umowy z Klientem OneBayt (świadczenie Platformy Eliot) | Art. 6(1)(b) | Czas trwania umowy + 5 lat (przepisy podatkowe) |
| Prowadzenie procesów rekrutacyjnych | Art. 6(1)(a) — zgoda Art. 6(1)(b) — działania przed zawarciem umowy |
12 miesięcy od ostatniej interakcji lub zgody na kolejne procesy |
| Komunikacja serwisowa (potwierdzenia, statusy, przypomnienia) | Art. 6(1)(b) — wykonanie umowy Art. 6(1)(f) — uzasadniony interes |
36 miesięcy od ostatniej interakcji |
| Komunikacja marketingowa | Art. 6(1)(a) — zgoda | Do momentu wycofania zgody |
| Obsługa reklamacji i zgłoszeń | Art. 6(1)(c) — obowiązek prawny Art. 6(1)(f) — uzasadniony interes |
6 lat (kodeks cywilny) |
| Realizacja obowiązków księgowych i podatkowych | Art. 6(1)(c) | 5 lat od końca roku podatkowego |
| Dochodzenie i obrona przed roszczeniami | Art. 6(1)(f) | Czas właściwy dla roszczeń (do 10 lat) |
§5. Komunikacja elektroniczna (WhatsApp, SMS, e-mail)
5.1. Wykorzystywane kanały. OneBayt prowadzi komunikację z Użytkownikami przez:
– WhatsApp Business Cloud API (operator: Meta Platforms Ireland Ltd.) — wiadomości tekstowe, multimedialne, ankiety, szablony zatwierdzane przez Meta;
– SMS (operator: m.in. Twilio Inc.) — wiadomości tekstowe transakcyjne i informacyjne;
– E-mail (operator: Microsoft 365 / Exchange Online) — korespondencja standardowa.
5.2. Zakres przetwarzanych danych w komunikacji. Numer telefonu / adres e-mail, treść wymienianych wiadomości, znaczniki czasu, statusy doręczenia (sent / delivered / read / failed), identyfikatory techniczne wiadomości, kategoria wiadomości (transakcyjna / marketingowa / autoryzacyjna).
5.3. Zgody i klasyfikacja wiadomości. OneBayt klasyfikuje wiadomości zgodnie ze standardami Meta WhatsApp Business:
– Utility (użytkowe / transakcyjne) — potwierdzenia, statusy, przypomnienia. Podstawa: realizacja umowy lub uzasadniony interes.
– Authentication (autoryzacyjne) — kody jednorazowe (OTP). Podstawa: realizacja umowy.
– Marketing — promocje, oferty, newslettery. Wymaga osobnej, wyraźnej zgody (Art. 10 Ustawy o świadczeniu usług drogą elektroniczną oraz Art. 172 Prawa telekomunikacyjnego).
5.4. 24-godzinne okno serwisowe (WhatsApp). Zgodnie z polityką Meta, OneBayt może odpowiadać swobodną treścią (“freetext”) na wiadomości Użytkownika wyłącznie w ciągu 24 godzin od ostatniej wiadomości Użytkownika. Po upływie tego czasu komunikacja odbywa się wyłącznie poprzez wcześniej zatwierdzone przez Meta szablony.
5.5. Wycofanie zgody na komunikację marketingową (opt-out). Każda wiadomość marketingowa zawiera czytelną instrukcję rezygnacji. Rezygnacja jest natychmiastowa, nieodwracalna i obowiązuje na wszystkich kanałach komunikacji marketingowej. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed wycofaniem zgody, ani nie wstrzymuje komunikacji transakcyjnej (gdzie podstawą nie jest zgoda).
5.6. Zakaz spamu. OneBayt nie wykorzystuje WhatsApp ani innych kanałów komunikacji do wysyłki niezamówionych wiadomości handlowych. OneBayt przestrzega WhatsApp Business Messaging Policy oraz Meta Business Terms.
§6. Sub-procesorzy i transfery danych poza EOG
6.1. OneBayt korzysta z usług następujących sub-procesorów w zakresie świadczenia OneBayt Messaging oraz Platformy Eliot:
| Sub-procesor | Rola | Lokalizacja | Podstawa transferu (jeśli poza EOG) |
|---|---|---|---|
| Meta Platforms Ireland Ltd. | Operator WhatsApp Business Cloud API | USA (standardowy Cloud API; EU Data Hosting niedostępne na tym tier) | Meta Business DPA + Standard Contractual Clauses (SCC) Komisji Europejskiej |
| Microsoft Ireland Operations Ltd. (Azure / Microsoft 365) | Hosting infrastruktury Platformy Eliot, e-mail | EU (Holandia, Irlandia) | Microsoft Products and Services DPA + SCC |
| Twilio Inc. | Operator SMS | USA | Data Privacy Framework (DPF) + SCC |
| OVH SAS / OVHcloud | Hosting alternatywny | EU (Francja, Niemcy, Polska) | EOG — transfer nie ma zastosowania |
| Sentry / GlitchTip | Telemetria błędów aplikacji | EU (Niemcy) | EOG — transfer nie ma zastosowania |
6.2. WhatsApp i lokalizacja danych. Dane wiadomości WhatsApp przetwarzane przez Meta Platforms Ireland Ltd. w ramach standardowego tier WhatsApp Business Cloud API przechowywane są w centrach danych Mety zlokalizowanych w Stanach Zjednoczonych. Transfer odbywa się na podstawie Standard Contractual Clauses (SCC) zatwierdzonych przez Komisję Europejską oraz w oparciu o Meta Business Data Processing Terms akceptowane przez OneBayt podczas integracji z Meta Business Platform. Ten mechanizm jest zgodny z wymogami RODO dotyczącymi transferów do państw trzecich. EU Data Hosting (lokalizacja danych w EU) jest opcją Meta Enterprise i nie jest stosowana w aktualnej konfiguracji.
6.3. Aktualny rejestr sub-procesorów dostępny jest pod adresem https://www.onebayt.com/sub-processors (jeśli zostanie uruchomiony) lub na żądanie wysłane na iod@onebayt.com.
§7. Okres przechowywania danych
7.1. Dane są przechowywane przez okres niezbędny do realizacji celu, dla którego zostały zebrane, oraz przez okresy wymagane przepisami prawa (patrz tabela w §4).
7.2. Szczegółowe okresy dla komunikacji elektronicznej:
| Typ danych | Okres przechowywania |
|---|---|
| Treść wiadomości WhatsApp / SMS / e-mail | 36 miesięcy od ostatniej interakcji, następnie anonimizacja lub trwałe usunięcie |
| Logi techniczne dostarczenia wiadomości | 24 miesiące od daty wysłania |
| Numer telefonu w bazie kontaktów | Czas trwania relacji + 12 miesięcy, chyba że Użytkownik zgłosi żądanie wcześniejszego usunięcia |
| Dane do faktury (numer telefonu używany w SMS premium, jeśli dotyczy) | 5 lat od końca roku podatkowego |
7.3. Po upływie okresu przechowywania dane są trwale usuwane lub anonimizowane w sposób uniemożliwiający identyfikację Użytkownika.
§8. Prawa osoby, której dane dotyczą
8.1. Zgodnie z RODO, Użytkownikowi przysługują następujące prawa:
| Prawo | Artykuł RODO | Opis |
|---|---|---|
| Prawo dostępu | Art. 15 | Uzyskanie informacji jakie dane są przetwarzane i otrzymanie ich kopii |
| Prawo do sprostowania | Art. 16 | Żądanie poprawienia nieprawidłowych danych |
| Prawo do usunięcia („prawo do bycia zapomnianym”) | Art. 17 | Żądanie trwałego usunięcia danych |
| Prawo do ograniczenia przetwarzania | Art. 18 | Żądanie wstrzymania określonych operacji na danych |
| Prawo do przenoszenia danych | Art. 20 | Otrzymanie danych w formacie ustrukturyzowanym, możliwym do przekazania innemu administratorowi |
| Prawo do sprzeciwu | Art. 21 | Sprzeciw wobec przetwarzania (zwłaszcza marketing bezpośredni) |
| Prawo do wycofania zgody | Art. 7 ust. 3 | Cofnięcie zgody w dowolnym momencie (skutek tylko na przyszłość) |
| Prawo do złożenia skargi | Art. 77 | Skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa) |
8.2. Sposób realizacji praw. Żądania można składać:
– e-mailem na adres iod@onebayt.com (preferowane);
– listownie na adres siedziby OneBayt;
– przez formularz dostępny pod https://www.onebayt.com/data-deletion (dla żądań usunięcia danych).
8.3. Termin realizacji. OneBayt realizuje żądania bez zbędnej zwłoki, nie później niż w terminie 30 dni od otrzymania żądania (Art. 12 ust. 3 RODO). W szczególnie skomplikowanych sprawach termin może zostać przedłużony o kolejne 60 dni z pisemnym uzasadnieniem.
8.4. Weryfikacja tożsamości. OneBayt może wystąpić z prośbą o dodatkową weryfikację tożsamości Użytkownika składającego żądanie — wyłącznie w zakresie niezbędnym do upewnienia się, że żądanie pochodzi od osoby uprawnionej.
§9. Bezpieczeństwo danych
9.1. OneBayt wdrożył środki techniczne i organizacyjne zapewniające ochronę danych osobowych zgodne z Art. 32 RODO:
- Szyfrowanie: transmisja danych (TLS 1.2+), szyfrowanie tokenów dostępu w Azure Key Vault, hasła użytkowników z bcrypt/argon2;
- Kontrola dostępu: uwierzytelnianie wielopoziomowe (MFA) dla pracowników OneBayt, role i uprawnienia w Platformie Eliot;
- Monitoring: ciągła obserwacja zdarzeń bezpieczeństwa, alerty incydentów, audyt logów dostępu;
- Backup i odtwarzanie: kopie zapasowe w odseparowanych lokalizacjach, regularne testy odtworzenia;
- Zarządzanie podatnościami: cykliczne aktualizacje, audyty bezpieczeństwa, testy penetracyjne;
- Szkolenia pracowników: regularne szkolenia z RODO, polityki bezpieczeństwa, klauzule poufności w umowach.
9.2. Incydenty bezpieczeństwa. W przypadku naruszenia ochrony danych mogącego skutkować wysokim ryzykiem naruszenia praw lub wolności osób fizycznych, OneBayt zawiadomi:
– Prezesa UODO w terminie 72 godzin (Art. 33 RODO);
– osoby, których dane dotyczą — niezwłocznie (Art. 34 RODO).
§10. Cookies i technologie śledzące
10.1. Niniejsza Polityka dotyczy przetwarzania danych w Platformie Eliot oraz w komunikacji elektronicznej OneBayt Messaging. Zasady wykorzystania plików cookies na stronach internetowych OneBayt opisuje osobna Polityka Cookies dostępna pod https://www.onebayt.com/cookies.
§11. Zmiany polityki
11.1. OneBayt zastrzega prawo do okresowych aktualizacji niniejszej Polityki w celu odzwierciedlenia zmian przepisów prawa, technologii lub modelu świadczonych usług.
11.2. O istotnych zmianach Użytkownicy są informowani:
– przez e-mail (na adresy w bazie kontaktów) z wyprzedzeniem co najmniej 14 dni;
– przez komunikat w Platformie Eliot przy najbliższym logowaniu;
– przez aktualizację daty “Data ostatniej aktualizacji” na górze dokumentu.
11.3. Historia poprzednich wersji jest dostępna na żądanie.
§12. Kontakt i zgłoszenia
12.1. Wszelkie pytania, żądania i zgłoszenia związane z przetwarzaniem danych osobowych:
📧 iod@onebayt.com (Inspektor Ochrony Danych)
✉️ ONE BAYT sp. z o.o.
ul. Gajowicka 195
53-150 Wrocław
z dopiskiem: “RODO / IOD”
12.2. Skarga do organu nadzorczego:
Prezes Urzędu Ochrony Danych Osobowych
ul. Stawki 2, 00-193 Warszawa
www.uodo.gov.pl
§13. English summary
This Privacy Policy describes how ONE BAYT sp. z o.o. (a Polish limited liability company, registered seat: ul. Gajowicka 195, 53-150 Wrocław, Poland; NIP PL8971825612; KRS 0000624206) collects, uses, stores and protects personal data in connection with the Eliot HR/workforce management platform and the OneBayt Messaging electronic communications module (WhatsApp Business Cloud API, SMS, e-mail).
OneBayt acts as either Data Controller or Data Processor depending on the context (own operations vs. services rendered to Client companies). Personal data is processed in compliance with the EU General Data Protection Regulation (Regulation 2016/679, “GDPR”).
Data is shared with the following sub-processors: Meta Platforms Ireland Ltd. (WhatsApp Business Cloud API, EU data hosting enabled), Microsoft Ireland Operations Ltd. (Azure / Microsoft 365), Twilio Inc. (SMS — under EU-U.S. Data Privacy Framework + Standard Contractual Clauses), OVHcloud (alternative hosting, EU).
Users have the following rights (GDPR Art. 15–22): access, rectification, erasure, restriction of processing, data portability, objection, withdrawal of consent, and the right to lodge a complaint with the Polish Data Protection Authority (UODO).
Data deletion requests: e-mail iod@onebayt.com or use the form at https://www.onebayt.com/data-deletion. Requests are processed within 30 days as required by Art. 12(3) GDPR.
Marketing opt-out: every marketing message contains a clear unsubscribe instruction. Unsubscribing is immediate and applies across all channels.
For the full policy text in Polish, see the sections above. For questions in English, contact: iod@onebayt.com.
Niniejsza Polityka jest własnością ONE BAYT sp. z o.o. Treść może być powielana wyłącznie w celach informacyjnych z podaniem źródła.