POLITYKA PRYWATNOŚCI W PODRÓŻACH SŁUŻBOWYCH WORKTRIPS

1. Wprowadzenie

Niniejsza polityka prywatności w podróżach służbowych WorkTrips („Polityka”) opisuje zasady przetwarzania danych osobowych w związku z korzystaniem z platformy WorkTrips oraz obsługą podróży służbowych realizowanych za jej pośrednictwem. Wyjaśniamy w szczególności, jakie dane osobowe przetwarzamy, w jakich celach i na jakich podstawach prawnych, komu dane mogą być udostępniane, jak długo są przechowywane oraz jakie prawa przysługują osobom, których dane dotyczą.

WorkTrips świadczy na rzecz klientów korporacyjnych usługę dostępu do systemu informatycznego w modelu SaaS, umożliwiającego organizację podróży służbowych, w szczególności wyszukiwanie i rezerwację noclegów, lotów, przejazdów kolejowych oraz innych usług związanych z podróżą („Platforma”). Platforma jest udostępniana osobom wskazanym przez klienta korporacyjnego („Partner”).

W związku z korzystaniem z Platformy role uczestników procesu przetwarzania danych zależą od celu i etapu przetwarzania. W zakresie danych osobowych wprowadzanych do Platformy przed złożeniem rezerwacji w celu umożliwienia korzystania z Platformy lub organizacji podróży służbowej administratorem danych pozostaje Partner (lub odpowiednio Podmiot Grupowy), natomiast WorkTrips działa jako podmiot przetwarzający w rozumieniu art. 28 RODO.

Od momentu złożenia rezerwacji WorkTrips działa jako odrębny administrator danych osobowych w zakresie niezbędnym do obsługi rezerwacji, wystawiania voucherów, rozliczeń, obsługi zmian, anulacji, reklamacji oraz wykonywania obowiązków prawnych związanych z rezerwacją. WorkTrips jest również administratorem danych osobowych przetwarzanych w związku z zawarciem i wykonywaniem umowy z Partnerem, rozliczeniami, obowiązkami księgowymi i podatkowymi, obsługą reklamacji oraz zapewnieniem bezpieczeństwa Platformy.

2. Administrator danych osobowych

Administratorem danych osobowych w zakresie opisanym w niniejszej Polityce jest WorkTrips spółka z ograniczoną odpowiedzialnością z siedzibą w Poznaniu (60–603), Polska, Al. Wielkopolska 67/3, wpisana do rejestru przedsiębiorców prowadzonego przez Sąd Rejonowy Poznań – Nowe Miasto i Wilda w Poznaniu, VIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS 0000952583, NIP 7812031945, REGON 521168839, kapitał zakładowy 5.000,00 zł, dalej zwana „Spółką” lub „WorkTrips”.

W sprawach dotyczących przetwarzania Twoich danych osobowych możesz skontaktować się z nami pod adresem e–mail: rodo@worktrips.com lub pisemnie na adres siedziby Spółki.

WorkTrips jest administratorem danych osobowych wyłącznie w zakresie danych przetwarzanych we własnych celach oraz danych osobowych związanych z obsługą rezerwacji od momentu jej złożenia.

W szczególności WorkTrips działa jako administrator danych osobowych w związku z:

• obsługą rezerwacji, wystawianiem voucherów, rozliczeniami, obsługą zmian, anulacji i reklamacji oraz wykonywaniem obowiązków prawnych związanych z rezerwacją;
• zawarciem i wykonywaniem umowy z Partnerem;
• realizacją obowiązków księgowych i podatkowych;
• obsługą reklamacji;
• zapewnieniem bezpieczeństwa Platformy.

W zakresie danych osobowych wprowadzanych do Platformy przed złożeniem rezerwacji administratorem danych pozostaje Partner, natomiast WorkTrips działa jako podmiot przetwarzający w rozumieniu art. 28 RODO.

Partner może również przetwarzać dane osobowe we własnych celach, w szczególności związanych z organizacją i rozliczaniem podróży służbowych, zarządzaniem personelem lub kontrolą zgodności z obowiązującymi politykami wewnętrznymi. W tym zakresie Partner pozostaje odrębnym administratorem danych osobowych.

3. Kogo dotyczy niniejsza Polityka?

Niniejsza Polityka dotyczy wszystkich osób, których dane osobowe są przetwarzane przez WorkTrips w związku z działaniem Platformy. Dane mogą pochodzić bezpośrednio od osoby, której dotyczą lub od Partnera bądź osób działających w jego imieniu (szczegóły w Sekcji 4). W zależności od sposobu, w jaki dane trafiają do Platformy, wyróżniamy następujące kategorie osób, których dane dotyczą:

3.1. Użytkownicy z dostępem do Platformy

Osoby posiadające konto użytkownika i dostęp do Platformy. Obejmuje to zarówno osoby samodzielnie organizujące podróże służbowe, jak i osoby posiadające uprawnienia administracyjne, np. do tworzenia rezerwacji dla innych osób, zarządzania profilami użytkowników, zatwierdzania podróży lub konfiguracji ustawień Partnera. Jedna osoba może łączyć więcej niż jedną z powyższych ról, a zakres dostępnych funkcjonalności i uprawnień zależy od konfiguracji Platformy przyjętej przez Partnera.

3.2. Użytkownicy bez dostępu do Platformy

Osoby, których dane zostały wprowadzone do Platformy przez Partnera lub osobę działającą w jego imieniu, bez utworzenia konta użytkownika. Osoby te nie posiadają konta ani dostępu do Platformy, a ich dane są przetwarzane w celu organizacji podróży służbowych na ich rzecz.

3.3. Goście

Osoby dodawane do konkretnej rezerwacji bez wcześniejszego utworzenia profilu w Platformie. Goście nie posiadają konta ani dostępu do Platformy. Ich dane są wykorzystywane na potrzeby danej rezerwacji. Jeżeli jest to niezbędne do organizacji kolejnych podróży służbowych, dane gościa mogą zostać zapisane w Platformie jako profil użytkownika bez dostępu do Platformy, zgodnie z konfiguracją oraz instrukcjami Partnera.

4. Zakres gromadzonych danych osobowych

W związku z działaniem Platformy przetwarzamy dane osobowe w zakresie zależnym od roli danej osoby, rodzaju rezerwowanych usług, konfiguracji Platformy przyjętej przez Partnera oraz wymagań dostawców usług podróżnych. Dane przekazujemy wyłącznie w zakresie niezbędnym do realizacji danej usługi lub rezerwacji.

Podanie danych podstawowych (imię, nazwisko, adres e–mail, numer telefonu) jest niezbędne do utworzenia profilu lub dokonania rezerwacji. Podanie danych dodatkowych (np. data urodzenia, dane dokumentu podróży) jest dobrowolne na etapie tworzenia profilu, jednak może stać się wymagane w konkretnej rezerwacji, jeżeli wynika to z charakteru usługi, wymagań dostawcy lub kanału rezerwacyjnego. W takim przypadku Platforma informuje o konieczności uzupełnienia określonych danych w toku procesu rezerwacji.

Platforma nie jest przeznaczona do gromadzenia danych szczególnych kategorii w rozumieniu art. 9 RODO. Prosimy o nieprzekazywanie takich danych, chyba że jest to niezbędne do realizacji konkretnej usługi podróżnej. Jeżeli takie dane zostaną wyjątkowo przekazane, będą przetwarzane wyłącznie w zakresie niezbędnym do realizacji zgłoszonej potrzeby oraz na podstawie odpowiedniej przesłanki przewidzianej w art. 9 ust. 2 RODO.

Przetwarzamy następujące kategorie danych:

4.1. Dane identyfikacyjne i kontaktowe

Imię i nazwisko, adres e–mail, numer telefonu.

4.2. Dane profilu podróżnego

Dane podawane przez użytkownika lub wprowadzane przez Partnera, w szczególności: data urodzenia, płeć, narodowość, dane dokumentów podróży, dane programów lojalnościowych, preferencje podróżne oraz inne informacje wymagane do realizacji określonej podróży.

WorkTrips nie przechowuje skanów ani zdjęć dokumentów tożsamości.

4.3. Dane dotyczące rezerwacji, podróży i organizacji

Dane związane z wyszukiwaniem, rezerwacją, zmianą, anulowaniem i realizacją podróży, w szczególności informacje o trasie, terminach, numerach rezerwacji i biletów, rodzaju usługi, statusie rezerwacji oraz dokumentów związanych z podróżą, takich jak bilety, vouchery, potwierdzenia rezerwacji, polisy ubezpieczeniowe, dokumenty rozliczeniowe.

W ramach Platformy mogą być również przetwarzane dane organizacyjne przypisane przez Partnera, takie jak: dział, stanowisko, centrum kosztów, projekt, identyfikator pracownika oraz informacje dotyczące polityki podróży i ścieżek zatwierdzania.

4.4. Dane finansowe i rozliczeniowe

Informacje o sposobie płatności przypisanym do rezerwacji, wartości rezerwacji, kosztach poszczególnych usług, statusie płatności oraz ograniczone dane transakcyjne (np. identyfikator transakcji). WorkTrips co do zasady nie przetwarza pełnych danych kart płatniczych. Jeżeli płatność jest realizowana przez zewnętrznego dostawcę usług płatniczych, dane instrumentu płatniczego są przetwarzane w systemach tego dostawcy.

4.5. Dane z komunikacji z obsługą

Treść korespondencji, zgłoszeń, załączników oraz informacje dotyczące przebiegu i obsługi sprawy.

4.6. Dane techniczne i dotyczące bezpieczeństwa

Dane związane z korzystaniem z Platformy i zapewnieniem jej bezpieczeństwa, w szczególności identyfikator użytkownika, przypisana rola i zakres uprawnień, adres IP, identyfikatory sesji i urządzeń, informacje o używanej przeglądarce i systemie operacyjnym, logi aktywności oraz dane o błędach. Zasady dotyczące plików cookies i podobnych technologii opisujemy w odrębnej sekcji.

4.7. Dane lokalizacyjne

Platforma oferuje funkcjonalność dobrowolnego udostępniania lokalizacji (Traveller tracker). Jeżeli użytkownik włączy tę funkcję, WorkTrips przetwarza dane o jego bieżącej pozycji (GPS), widoczne wyłącznie dla uprawnionych osób po stronie Partnera. Funkcja może zostać wyłączona w dowolnym momencie bez wpływu na możliwość korzystania z Platformy. Dane lokalizacyjne nie są przekazywane dostawcom usług podróżnych. Szczegółowe informacje dotyczące podstaw prawnych i zasad przetwarzania danych lokalizacyjnych znajdują się w Sekcji 5.

5. Źródło danych osobowych

5.1. Dane pozyskiwane bezpośrednio od Ciebie

Jeżeli jesteś użytkownikiem z dostępem do Platformy (pkt 3.1), część danych podajesz samodzielnie – podczas rejestracji, uzupełniania profilu podróżnego, dokonywania rezerwacji, korzystania z funkcjonalności Platformy lub kontaktu z obsługą WorkTrips.

Informacje wymagane przez art. 13 RODO udostępniamy w związku z pozyskiwaniem danych – w szczególności przy pierwszym uzyskaniu dostępu do Platformy, w ramach niniejszej Polityki, a w odniesieniu do funkcji opcjonalnych lub dodatkowych kategorii danych – również w kontekście korzystania z tych funkcji.

5.2. Dane pozyskiwane od Partnera lub osób działających w jego imieniu

Jeżeli jesteś użytkownikiem bez dostępu do Platformy (pkt 3.2) lub gościem (pkt 3.3), Twoje dane zostały przekazane do Platformy przez Partnera lub osobę działającą w jego imieniu (np. osobę z uprawnieniami administracyjnymi lub inną osobę dokonującą rezerwacji w imieniu Partnera).

Także część danych użytkownika z dostępem do Platformy może pochodzić od Partnera – np. służbowy adres e–mail, dane organizacyjne lub informacje potrzebne do skonfigurowania profilu.

Partner, jako odrębny administrator danych w zakresie własnych operacji, powinien dysponować odpowiednią podstawą prawną do przekazania danych do WorkTrips oraz poinformować o tym osoby, których dane przekazuje. Nie wyłącza to obowiązków informacyjnych realizowanych przez WorkTrips zgodnie z właściwymi przepisami. Charakter prawny przekazania danych pomiędzy Partnerem a WorkTrips zależy od celu i etapu przetwarzania oraz ról stron opisanych w Sekcji 1. W szczególności, w zakresie danych osobowych przetwarzanych przez WorkTrips jako podmiot przetwarzający, przekazanie danych następuje w ramach powierzenia przetwarzania zgodnie z art. 28 RODO, natomiast w przypadku przetwarzania danych przez Partnera i WorkTrips jako odrębnych administratorów może stanowić udostępnienie danych pomiędzy niezależnymi administratorami.

5.3. Dane pozyskiwane od dostawców tożsamości lub usług uwierzytelniania

Jeżeli logowanie do Platformy odbywa się przy użyciu zewnętrznego dostawcy tożsamości (SSO Partnera lub konto Google), możemy otrzymywać od takiego dostawcy dane niezbędne do uwierzytelnienia i powiązania konta – np. identyfikator użytkownika, imię i nazwisko, adres e–mail, nazwę organizacji – w zakresie zależnym od konfiguracji rozwiązania i zakresu danych udostępnianych przez dostawcę.

5.4. Realizacja obowiązku informacyjnego przez WorkTrips

Jeżeli pozyskujemy dane osobowe nie bezpośrednio od Ciebie, realizujemy obowiązek informacyjny zgodnie z art. 14 RODO, przekazując lub udostępniając informacje o przetwarzaniu w sposób odpowiedni do okoliczności pozyskania danych. W przypadku podróży służbowych Partner powinien przekazać Ci informacje dotyczące przetwarzania danych osobowych związane z organizacją podróży służbowych oraz korzystaniem z Platformy.

Jeżeli uważasz, że nie otrzymałeś/aś wystarczających informacji o przetwarzaniu Twoich danych, możesz zwrócić się bezpośrednio do WorkTrips w celu uzyskania pełnej informacji oraz skorzystać z przysługujących Ci praw opisanych w Sekcji 10.

6. Cele przetwarzania danych i podstawy prawne

Cele i podstawy prawne opisane w niniejszej Sekcji dotyczą wyłącznie przypadków, w których WorkTrips występuje jako administrator danych osobowych. W zakresie, w jakim WorkTrips przetwarza dane osobowe w imieniu Partnera jako podmiot przetwarzający, cele i podstawy przetwarzania określa Partner jako administrator danych.

Jako Administrator Twoje dane osobowe przetwarzamy wyłącznie w określonych, wyraźnych i prawnie uzasadnionych celach, na podstawach prawnych wskazanych poniżej.

W przypadku przetwarzania opartego na prawnie uzasadnionym interesie WorkTrips (art. 6 ust. 1 lit. f RODO) przeprowadziliśmy ocenę, czy nasz interes nie narusza Twoich praw i wolności. Masz prawo w dowolnym momencie wnieść sprzeciw wobec takiego przetwarzania – szczegóły w Sekcji 10.

6.1. Zarządzanie kontami użytkowników

Utworzenie i utrzymanie kont użytkowników, uwierzytelnianie, zarządzanie dostępem, nadawanie i egzekwowanie ról i uprawnień, identyfikacja użytkowników w ramach Platformy oraz zapewnienie bezpieczeństwa dostępu.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes WorkTrips polegający na zapewnieniu Partnerowi i uprawnionym przez niego użytkownikom możliwości korzystania z Platformy w celu organizacji podróży służbowych.

6.2. Organizacja podróży służbowych

Organizacja podróży służbowych, w szczególności dokonywanie rezerwacji, przekazywanie danych dostawcom usług podróżnych i pośrednikom rezerwacyjnym w zakresie niezbędnym do realizacji rezerwacji, obsługa zmian i anulacji oraz realizacja usług związanych z podróżą.

W ramach tego celu możemy również wykorzystywać dane organizacyjne przekazane przez Partnera oraz obsługiwać mechanizmy konfiguracyjne Platformy ustawione przez Partnera (w szczególności polityki podróży, limity kosztów, ścieżki zatwierdzania oraz przypisywanie kosztów do struktur organizacyjnych Partnera).

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes WorkTrips polegający na umożliwieniu organizacji podróży służbowych w ramach Platformy.

6.3. Obsługa programów lojalnościowych

Przekazywanie danych programu lojalnościowego do dostawców usług w celu naliczenia punktów lub skorzystania z benefitów programu. Podanie danych programu lojalnościowego jest w pełni dobrowolne i nie wpływa na możliwość dokonania rezerwacji.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes WorkTrips polegający na usprawnieniu obsługi podróży zgodnie z danymi przekazanymi przez użytkownika lub osobę upoważnioną przez Partnera.

6.4. Komunikacja operacyjna i wsparcie

Wysyłanie potwierdzeń rezerwacji, dokumentów podróży, powiadomień o zmianach, obsługa zgłoszeń i zapytań, kontakt w sprawach związanych z realizacją podróży.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes WorkTrips polegający na zapewnieniu ciągłości obsługi podróży i odpowiedniej jakości wsparcia.

6.5. Rozliczenia i obsługa płatności

Przypisywanie kosztów do struktur organizacyjnych Partnera, przygotowywanie zestawień rozliczeniowych, weryfikacja statusów płatności, obsługa korekt i zwrotów.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes WorkTrips polegający na prawidłowym rozliczeniu usług z Partnerem.

6.6. Dokumentacja księgowa i podatkowa

Przetwarzanie danych zawartych w dokumentach księgowych i podatkowych (faktury, dowody płatności, dokumenty rozliczeniowe) w zakresie i przez okres wymagany przepisami prawa, w szczególności przepisów dotyczących rachunkowości i należności publicznoprawnych.

Podstawa prawna: art. 6 ust. 1 lit. c RODO – wypełnienie obowiązku prawnego ciążącego na WorkTrips.

6.7. Bezpieczeństwo Platformy

Wykrywanie i zapobieganie nieautoryzowanym działaniom, prowadzenie logów bezpieczeństwa, diagnozowanie awarii, tworzenie kopii zapasowych, odtwarzanie danych po incydentach.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes WorkTrips polegający na zapewnieniu bezpieczeństwa teleinformatycznego Platformy i ochronie danych.

6.8. Rozwój i usprawnianie Platformy

Analiza sposobu korzystania z funkcji Platformy, wykrywanie błędów, poprawa stabilności i użyteczności. W możliwie szerokim zakresie wykorzystujemy dane zagregowane lub poddane anonimizacji; jeżeli do analizy konieczne jest użycie danych osobowych, przetwarzamy je w zakresie ograniczonym do niezbędnego minimum.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes WorkTrips polegający na rozwijaniu i ulepszaniu Platformy.

6.9. Wypełnienie obowiązków prawnych

Przetwarzanie danych w celu wypełnienia obowiązków wynikających z przepisów prawa innych niż księgowe i podatkowe – w szczególności w odpowiedzi na żądania uprawnionych organów (sądy, prokuratura, policja, organy podatkowe, organ ochrony danych osobowych), o ile żądanie opiera się na właściwej podstawie prawnej.

Podstawa prawna: art. 6 ust. 1 lit. c RODO – wypełnienie obowiązku prawnego ciążącego na WorkTrips.

6.10. Ustalenie, dochodzenie lub obrona roszc

Dokumentowanie przebiegu rezerwacji, komunikacji i realizacji usług w zakresie niezbędnym do ustalenia, dochodzenia lub obrony roszczeń.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes WorkTrips polegający na ochronie prawnej.

6.11. Udostępnianie lokalizacji (Traveller tracker)

Jeżeli włączysz funkcję udostępniania lokalizacji, WorkTrips przetwarza dane o Twojej bieżącej pozycji (GPS) w celu umożliwienia działania funkcjonalności Traveller tracker. Lokalizacja jest widoczna wyłącznie dla uprawnionych osób po stronie Partnera posiadających odpowiednie uprawnienia.

Włączenie funkcji jest w pełni dobrowolne. Możesz ją wyłączyć w dowolnym momencie bez jakichkolwiek konsekwencji. Udostępnianie lokalizacji wymaga również potwierdzenia po stronie przeglądarki lub urządzenia.

Przetwarzana jest wyłącznie bieżąca lokalizacja – WorkTrips nie przechowuje historii lokalizacji. Dane lokalizacyjne nie są przekazywane dostawcom usług podróży ani wykorzystywane do realizacji rezerwacji.

Podstawa prawna: art. 6 ust. 1 lit. a RODO – zgoda wyrażona poprzez aktywne włączenie funkcji. Zgodę możesz wycofać w dowolnym momencie, a wycofanie nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem.

Jeżeli w związku z organizacją podróży służbowej zostaną wyjątkowo przekazane dane szczególnej kategorii w rozumieniu art. 9 RODO, przetwarzamy je wyłącznie w zakresie niezbędnym do obsługi zgłoszonej potrzeby oraz na podstawie właściwej przesłanki z art. 9 ust. 2 RODO.

7. Odbiorcy danych

W związku ze świadczeniem przez nas usług możemy udostępniać lub powierzać przetwarzanie Twoich danych osobowych wybranym odbiorcom – zawsze jednak w minimalnym zakresie niezbędnym do realizacji danego celu przetwarzania. 

7.1. Partner

Dane dotyczące Twoich podróży służbowych i rezerwacji są dostępne dla Partnera za pośrednictwem funkcjonalności Platformy (np. panel administracyjny, raporty).

Dostęp mają osoby upoważnione przez Partnera w zakresie wynikającym z nadanych im uprawnień.

Partner jest odrębnym administratorem danych w zakresie swoich celów (Sekcja 1).

7.2. Dostawcy usług podróży

W celu realizacji rezerwacji przekazujemy dane dostawcom usług – takim jak linie lotnicze, hotele, przewoźnicy kolejowi, firmy wynajmu pojazdów, ubezpieczyciele – w zakresie wymaganym do wykonania danej usługi. Zakres danych zależy od rodzaju usługi i wymagań dostawcy.

Dostawcy usług podróży działają co do zasady jako odrębni administratorzy danych.

7.3. Pośrednicy rezerwacyjni

W celu zapewnienia dostępu do ofert wielu dostawców korzystamy z usług pośredników rezerwacyjnych, takich jak globalne systemy dystrybucji (GDS) oraz agregatory ofert. Pośrednicy ci uczestniczą w wyszukiwaniu ofert, dokonywaniu rezerwacji, wystawianiu dokumentów podróży oraz obsłudze zmian i anulacji.

W zakresie operacji realizowanych w ich własnych systemach pośrednicy ci co do zasady przetwarzają dane jako odrębni administratorzy. Szczegółowa rola danego podmiotu może jednak zależeć od modelu współpracy, rodzaju usługi i architektury technicznej danego rozwiązania. Jeżeli w konkretnym przypadku pośrednik przetwarza dane wyłącznie na polecenie WorkTrips, zapewniamy zawarcie umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO.

7.4. Dostawcy usług płatniczych

Dane niezbędne do realizacji płatności (np. kwota, identyfikator transakcji) mogą być przekazywane dostawcom usług płatniczych (operatorom płatności, bankom). Dostawcy usług płatniczych działają co do zasady jako odrębni administratorzy danych w zakresie realizacji płatności i obowiązków wynikających z przepisów regulujących świadczenie usług płatniczych.

7.5. Podmioty przetwarzające

W zakresie niezbędnym do utrzymania Platformy i świadczenia usług korzystamy z dostawców, którzy przetwarzają dane w naszym imieniu i na nasze polecenie (podmioty przetwarzające w rozumieniu art. 28 RODO) – w szczególności dostawców usług IT, usług komunikacyjnych oraz narzędzi wsparcia użytkowników. Z każdym takim podmiotem zawarliśmy umowę powierzenia przetwarzania danych. Podmioty te nie mogą wykorzystywać powierzonych danych do własnych celów.

7.6. Dostawca usługi uwierzytelniania

W przypadku logowania z wykorzystaniem zewnętrznego dostawcy tożsamości, w tym systemu SSO Partnera albo konta Google, dane uwierzytelniające są wymieniane między Platformą a dostawcą danego mechanizmu logowania w zakresie niezbędnym do uwierzytelnienia użytkownika i zapewnienia dostępu do Platformy.

W przypadku logowania przez konto Google dostawcą tym jest Google Ireland Limited / Google LLC, które działają jako odrębny administrator w zakresie prowadzenia kont i procesów uwierzytelniania.

W przypadku logowania przez system SSO Partnera administratorem danych przetwarzanych w ramach tego systemu pozostaje co do zasady Partner albo dostawca jego rozwiązania tożsamościowego, zgodnie z zasadami obowiązującymi w danym środowisku uwierzytelniania.

7.7. Organy publiczne

W przypadkach przewidzianych prawem możemy udostępnić dane organom publicznym (np. sądom, prokuraturze, organom ścigania, organom podatkowym, organowi ochrony danych osobowych) – wyłącznie w granicach obowiązku prawnego i na podstawie żądania opartego na przepisach prawa.

7.8. Doradcy i podmioty świadczące usługi profesjonalne

W zakresie niezbędnym do prowadzenia działalności możemy udostępniać dane osobowe podmiotom świadczącym na naszą rzecz usługi profesjonalne, w szczególności kancelariom prawnym, doradcom podatkowym, audytorom oraz podmiotom świadczącym usługi księgowe. Podmioty te przetwarzają dane jako odrębni administratorzy albo podmioty przetwarzające, w zależności od charakteru świadczonych usług i podstawy prawnej przetwarzania.

8. Przekazywanie danych poza EOG

Z uwagi na międzynarodowy charakter podróży służbowych oraz korzystanie z pośredników rezerwacyjnych i dostawców usług IT, Twoje dane osobowe mogą być przekazywane do państw spoza Europejskiego Obszaru Gospodarczego (EOG).

8.1. Kiedy może dojść do przekazania

Przekazanie danych poza EOG może nastąpić w szczególności, gdy: pośrednik rezerwacyjny lub dostawca usług IT, z którego korzystamy, ma siedzibę poza EOG lub przetwarza dane w infrastrukturze zlokalizowanej poza EOG; rezerwujesz podróż do kraju poza EOG, a dane muszą zostać przekazane dostawcy usługi w tym kraju; korzystasz z logowania z wykorzystaniem zewnętrznego dostawcy tożsamości (np. konto Google).

8.2. Stosowane zabezpieczenia

W przypadku przekazywania danych poza EOG stosujemy mechanizmy przewidziane w Rozdziale V RODO, w szczególności:

• decyzję o adekwatności (art. 45 RODO) – jeżeli Komisja Europejska stwierdziła, że dane państwo trzecie zapewnia odpowiedni poziom ochrony. W odniesieniu do podmiotów z siedzibą w USA dotyczy to w szczególności podmiotów certyfikowanych w ramach EU–US Data Privacy Framework (DPF);

• standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO) – przyjęte przez Komisję Europejską, w module odpowiednim do relacji między stronami. W przypadku transferów opartych na SCC przeprowadzamy ocenę, czy prawo państwa odbiorcy nie podważa skuteczności zastosowanych zabezpieczeń, a w razie potrzeby wdrażamy dodatkowe środki ochronne;

• wyjątki przewidziane w art. 49 RODO – wyłącznie wyjątkowo, gdy przekazanie jest niezbędne do realizacji konkretnej usługi podróżnej lub rezerwacji dotyczącej danej osoby, a zastosowanie mechanizmów przewidzianych w Rozdziale V RODO nie jest możliwe lub nie jest odpowiednie w danych okolicznościach.

8.3. Dalsze przekazywanie w łańcuchu rezerwacyjnym

Dane przekazane pośrednikom rezerwacyjnym lub dostawcom usług podróży mogą być następnie przetwarzane lub dalej przekazywane przez te podmioty zgodnie z zasadami obowiązującymi w ich własnych systemach i relacjach z kolejnymi odbiorcami. W zakresie takich dalszych operacji podmioty te odpowiadają jako odrębni administratorzy za zgodność własnego przetwarzania z prawem.

8.4. Prawo do informacji

Masz prawo uzyskać informację o zastosowanych zabezpieczeniach dotyczących przekazywania danych poza EOG oraz – w zakresie wymaganym przez przepisy prawa – kopię odpowiednich postanowień umownych (z wyłączeniem informacji poufnych). W tym celu skontaktuj się z nami (dane kontaktowe w Sekcji 2).

9. Okres przechowywania danych

Twoje dane osobowe przechowujemy przez okres niezbędny do realizacji celów opisanych w Sekcji 6, a następnie usuwamy je lub poddajemy anonimizacji. Jeżeli te same dane są wykorzystywane do kilku celów, dla których przewidziano różne okresy przechowywania, stosujemy okres najdłuższy właściwy dla danego zestawu danych. Po ustaniu celu, który uzasadniał krótszy okres przechowywania, dane nie są już wykorzystywane do tego celu.

Okresy przechowywania dla poszczególnych kategorii danych:

9.1. Dane profilu użytkownika (z dostępem i bez dostępu do Platformy)

Dane profilu przechowujemy przez cały okres aktywności konta lub profilu. Po dezaktywacji konta lub profilu, w szczególności w związku z zakończeniem współpracy Partnera z WorkTrips, usunięciem profilu, zakończeniem relacji łączącej Cię z Partnerem albo naruszeniem zasad korzystania z Platformy, dane profilu są usuwane lub anonimizowane w ramach przyjętego przez WorkTrips cyklu retencyjnego, chyba że ich dalsze przechowywanie jest konieczne z przyczyn wskazanych w pkt 9.6.

9.2. Dane gości

Jeżeli dane zostały wykorzystane wyłącznie na potrzeby jednorazowej rezerwacji, przechowujemy je do czasu zakończenia podróży oraz związanych z nią rozliczeń, a następnie usuwamy je lub anonimizujemy w ramach przyjętego cyklu retencyjnego. Jeżeli dane gościa zostały następnie zapisane jako profil użytkownika bez dostępu do Platformy (pkt 3.2), stosujemy zasady właściwe dla danych profilu, o których mowa w pkt 9.1.

9.3. Dane dotyczące rezerwacji i podróży

Dane dotyczące rezerwacji i podróży przechowujemy przez okres obowiązywania umowy z Partnerem, a następnie przez okres niezbędny do rozliczenia usług, obsługi ewentualnych reklamacji, wyjaśnienia kwestii związanych z realizacją podróży oraz ustalenia, dochodzenia lub obrony roszczeń.

9.4. Dokumentacja księgowa i podatkowa

Dane zawarte w dokumentacji księgowej i podatkowej przechowujemy przez okres wymagany przepisami prawa, w szczególności przepisami o rachunkowości i zobowiązaniach podatkowych.

9.5. Dane z komunikacji z obsługą

Korespondencję, zgłoszenia oraz inne dane związane z obsługą sprawy przechowujemy przez okres niezbędny do obsługi zgłoszenia, a następnie przez okres uzasadniony potrzebą udokumentowania przebiegu obsługi, wyjaśnienia sprawy oraz ustalenia, dochodzenia lub obrony roszczeń.

9.6. Przedłużenie okresu przechowywania

Po upływie okresów wskazanych powyżej dane są usuwane lub anonimizowane, chyba że ich dalsze przechowywanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń, do wykonania obowiązku wynikającego z przepisów prawa lub w związku z toczącym się postępowaniem, kontrolą albo innym postępowaniem wyjaśniającym.

W takich przypadkach dane przechowujemy przez okres niezbędny do realizacji danego celu.

9.7. Dane techniczne, logi i kopie zapasowe

Dane techniczne i logi systemowe przechowujemy przez okres wynikający z potrzeb zapewnienia bezpieczeństwa, wykrywania incydentów, diagnozowania błędów oraz utrzymania ciągłości działania Platformy, zgodnie z przyjętymi przez WorkTrips zasadami retencji dla danych technicznych. Dane osobowe mogą znajdować się również w kopiach zapasowych systemów Platformy. Kopie zapasowe są zabezpieczone, szyfrowane i przechowywane z ograniczonym dostępem. Dane usunięte z systemów produkcyjnych są usuwane z kopii zapasowych w ramach przyjętego cyklu rotacji backupów.

10. Prawa osób, których dane dotyczą

W związku z przetwarzaniem Twoich danych osobowych przez WorkTrips jako administratora, przysługują Ci następujące prawa zgodnie z RODO:

10.1. Prawo dostępu do danych

Masz prawo uzyskać potwierdzenie, czy przetwarzamy Twoje dane osobowe, a jeżeli ma to miejsce – uzyskać do nich dostęp oraz otrzymać kopię danych osobowych podlegających przetwarzaniu. 

Udzielimy Ci również informacji m.in. o celach przetwarzania, kategoriach danych, odbiorcach, planowanym okresie przechowywania oraz o przysługujących Ci prawach.

10.2. Prawo do sprostowania danych

Masz prawo zażądać poprawienia swoich danych osobowych, jeśli są nieaktualne, niekompletne lub nieprawidłowe.

W wielu przypadkach możesz samodzielnie dokonać aktualizacji podstawowych danych profilowych, logując się na swoje konto na Platformie i edytując profil.

W przypadku użytkowników, którzy nie mają dostępu do Platformy, sprostowania można dokonać poprzez kontakt z nami (lub za pośrednictwem Partnera, który może zgłosić nam potrzebę aktualizacji danych lub zmienić dane we własnym zakresie).

10.3. Prawo do usunięcia danych

W określonych sytuacjach możesz zażądać usunięcia swoich danych osobowych. Masz do tego prawo m.in. gdy: (i) dane nie są już niezbędne do celów, w których zostały zebrane, (ii) cofnąłeś/cofnęłaś zgodę na przetwarzanie (w zakresie, w jakim to zgoda była podstawą przetwarzania) i nie mamy innej podstawy prawnej, (iii) zgłosiłeś/zgłosiłaś skuteczny sprzeciw wobec przetwarzania Twoich danych, (iv) dane były przetwarzane niezgodnie z prawem, (v) istnieje obowiązek usunięcia danych wynikający z prawa.

Pamiętaj, że w pewnych przypadkach nie będziemy mogli od razu usunąć Twoich danych – dotyczy to głównie sytuacji, gdy przetwarzanie jest nadal potrzebne z uwagi na nasze obowiązki prawne (np. przechowywanie dokumentacji finansowej) lub w celu ustalenia, dochodzenia lub obrony roszczeń. W takiej sytuacji poinformujemy Cię o powodach odmowy spełnienia żądania i o przewidywanym czasie usunięcia danych.

10.4. Prawo do ograniczenia przetwarzania

Masz prawo zażądać, abyśmy czasowo ograniczyli przetwarzanie Twoich danych osobowych w następujących przypadkach: (i) gdy kwestionujesz prawidłowość danych (na okres pozwalający nam sprawdzić ich poprawność), (ii) gdy przetwarzanie jest niezgodne z prawem, ale sprzeciwiasz się usunięciu danych, żądając w zamian ograniczenia ich wykorzystywania, (iii) gdy nie potrzebujemy już danych do naszych celów, ale są one potrzebne Tobie do ustalenia, dochodzenia lub obrony roszczeń, (iv) gdy został wniesiony sprzeciw wobec przetwarzania – do czasu stwierdzenia, czy nasz interes nadrzędny przeważa nad podstawą sprzeciwu. W okresie ograniczenia będziemy jedynie przechowywać Twoje dane (ewentualnie wykorzystywać je wyłącznie w zakresie niezbędnym z uwagi na roszczenia lub obowiązki prawne).

10.5. Prawo do przenoszenia danych

W zakresie, w jakim Twoje dane są przetwarzane na podstawie Twojej zgody albo w celu wykonania umowy z Tobą oraz gdy przetwarzanie odbywa się w sposób zautomatyzowany – masz prawo otrzymać od nas swoje dane osobowe w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego oraz prawo zlecić nam przesłanie tych danych bezpośrednio innemu administratorowi, o ile jest to technicznie możliwe. Z uwagi na model działania Platformy prawo to może mieć zastosowanie jedynie do części danych lub określonych funkcjonalności. Pamiętaj, że prawo przenoszenia nie obejmuje danych przetwarzanych wyłącznie na podstawie naszego prawnie uzasadnionego interesu.

10.6. Prawo do sprzeciwu wobec przetwarzania

Masz prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z Twoją szczególną sytuacją – wobec przetwarzania Twoich danych osobowych, które odbywa się na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO). Po zgłoszeniu sprzeciwu zaprzestaniemy przetwarzania Twoich danych w tych celach, chyba że wykażemy istnienie ważnych, prawnie uzasadnionych podstaw, które według prawa mają charakter nadrzędny wobec Twoich interesów, praw i wolności (np. konieczność dalszego przetwarzania danych ze względu na dochodzenie lub obronę roszczeń).

Pamiętaj, że uwzględnienie sprzeciwu wobec przetwarzania danych niezbędnych do świadczenia niektórych funkcjonalności Platformy może skutkować brakiem możliwości dalszego korzystania z tych funkcjonalności albo organizacji podróży przy wykorzystaniu Platformy.

10.7. Prawo do cofnięcia zgody

Jeśli jakiekolwiek przetwarzanie Twoich danych odbywa się na podstawie Twojej zgody, masz prawo w dowolnym momencie taką zgodę wycofać. Wycofanie zgody nie wpływa na legalność przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem. W ramach Platformy przetwarzamy dane osobowe głównie na innych podstawach prawnych (jak opisano powyżej), więc zgoda może dotyczyć ewentualnie dodatkowych, dobrowolnych funkcjonalności (w takim przypadku poprosimy Cię osobno o zgodę).

10.8. Prawo do wniesienia skargi do organu nadzorczego

Jeżeli uważasz, że przetwarzamy Twoje dane osobowe niezgodnie z prawem lub naruszamy Twoje prawa, przysługuje Ci prawo wniesienia skargi do właściwego organu nadzorczego. W Polsce organem tym jest Prezes Urzędu Ochrony Danych Osobowych. 

Więcej informacji o sposobie złożenia skargi znajdziesz na stronie internetowej PUODO https://uodo.gov.pl/pl/p/kontakt. Zanim jednak złożysz skargę, zachęcamy do kontaktu z nami – postaramy się wyjaśnić wszelkie wątpliwości i poprawić nasze działania, jeśli doszło Twoim zdaniem do uchybienia.

Aby skorzystać ze swoich praw, możesz skontaktować się z nami w dowolnym momencie (dane kontaktowe w Sekcji 2).

11. Pliki cookies i podobne technologie

W związku z korzystaniem z Platformy WorkTrips może stosować pliki cookies i podobne technologie. Dokładne informacje dotyczące stosowanych przez WorkTrips rozwiązań znajdują się w Polityce Cookies.

12. Zmiany Polityki 

Możemy aktualizować niniejszą Politykę w związku ze zmieniającym się zakresem usług, rozwojem Platformy czy zmianami przepisów prawa.

Aktualna wersja Polityki będzie publikowana na naszej stronie internetowej.

Aktualna wersja Polityki obowiązuje od daty jej publikacji wskazanej poniżej.

Data ostatniej aktualizacji: [15.07.2026].