Ostatnia aktualizacja: 18 października 2026 r.
Ta polityka wyjaśnia, jak Pentesters przetwarza dane osób korzystających ze strony i kontaktujących się w sprawie usług oraz jak można zarządzać cookies i podobnymi technologiami. Dotyczy formularza, korespondencji, działania serwisu i analityki.
1. Administrator i kontakt
Administratorem danych osobowych jest Pentesters sp. z o.o., ul. Święty Marcin 29/8, 61-806 Poznań, KRS 0000409150, NIP 7831686179. W sprawach danych osobowych możesz kontaktować się z nami pod adresem consulting@pentesters.pl lub listownie na wskazany adres. Nie wyznaczyliśmy inspektora ochrony danych.
2. Formularz i korespondencja
Gdy kontaktujesz się z nami przez formularz lub e-mail, przetwarzamy dane kontaktowe, treść i historię korespondencji. Formularz obejmuje imię i nazwisko, adres e-mail służbowy, opcjonalnie firmę, wybrany obszar testu oraz opis systemu, celu i terminu. Dane wykorzystujemy do odpowiedzi, ustalenia zakresu, przygotowania oferty i dalszych rozmów o współpracy. Nie zapisujemy Cię na newsletter ani nie wykorzystujemy zgłoszenia do niezależnych wysyłek marketingowych.
Podanie danych jest dobrowolne. Pola oznaczone jako wymagane są potrzebne do wysłania formularza; firma jest opcjonalna. Możesz skontaktować się również przez e-mail. Nie przesyłaj formularzem haseł, danych dostępowych ani poufnej dokumentacji technicznej. Sposób ich ewentualnego przekazania uzgodnimy osobno.
Zgłoszenia obsługujemy ręcznie w poczcie. W obecnym procesie nie przekazujemy ich do CRM ani usług AI. Nie udostępniamy zewnętrznego narzędzia do rezerwacji spotkań.
Przy obsłudze połączeń serwer może zapisywać dane techniczne w logach, takie jak adres IP, data i czas żądania, adres żądanego zasobu, kod odpowiedzi oraz informacje o przeglądarce. Służą one zapewnieniu działania i bezpieczeństwa serwisu oraz diagnozowaniu błędów, a nie niezależnym wysyłkom marketingowym.
3. Cele i podstawy prawne
- Odpowiedź i przygotowanie oferty na żądanie przyszłej strony umowy: art. 6 ust. 1 lit. b RODO, w zakresie niezbędnym do działań przed zawarciem umowy.
- Korespondencja z reprezentantami firm i instytucji oraz inne zapytania: art. 6 ust. 1 lit. f RODO — uzasadniony interes polegający na prowadzeniu korespondencji i obsłudze kontaktów biznesowych.
- Działanie i bezpieczeństwo serwisu, diagnozowanie błędów oraz przeciwdziałanie nadużyciom: art. 6 ust. 1 lit. f RODO.
- Ustalenie, dochodzenie lub obrona roszczeń: art. 6 ust. 1 lit. f RODO, w niezbędnym zakresie.
- Opcjonalna analityka: zgoda na podstawie art. 6 ust. 1 lit. a RODO oraz zgoda na zapis lub odczyt informacji z urządzenia wymagana przez Prawo komunikacji elektronicznej.
Formularz działa niezależnie od decyzji dotyczącej analityki. Wysłanie zapytania nie oznacza zgody na cookies analityczne ani marketing.
4. Hosting, poczta i odbiorcy danych
Infrastrukturę serwera dedykowanego zapewnia OVH sp. z o.o., ul. Powstańców Śląskich 9, 53-332 Wrocław, NIP 8992520556. Serwer strony znajduje się w Warszawie i jest administrowany przez Pentesters.
Do obsługi korespondencji korzystamy z firmowych usług Microsoft 365 oraz Google Workspace. Ich dostawcami umownymi są Microsoft Ireland Operations Ltd, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irlandia, oraz Google Cloud Poland sp. z o.o., Rondo Daszyńskiego 2C, 00-843 Warszawa, Polska. Dane przetwarzają także uprawnieni podwykonawcy dostawców, w zakresie niezbędnym do świadczenia usług.
Po zgodzie na analitykę dane pomiarowe otrzymuje dostawca Google Analytics — Google Ireland Limited, Irlandia — oraz podmioty uczestniczące w świadczeniu tej usługi. Jest to odrębna usługa od Google Workspace. Nie przekazujemy do Analytics imienia, adresu e-mail, firmy ani treści wpisanej w formularzu. Zakres pomiaru, w tym identyfikator zapytania lead_id, opisujemy w punkcie 7.
Dostęp wewnątrz Pentesters jest ograniczony do osób upoważnionych i niezbędnego zakresu. Dane możemy udostępnić organom uprawnionym na podstawie przepisów prawa.
5. Przetwarzanie poza EOG
Lokalizacja serwera WWW w Polsce nie oznacza, że wszystkie operacje dostawców poczty i analityki odbywają się w Europejskim Obszarze Gospodarczym. Usługi Microsoft i Google mogą obejmować przetwarzanie poza EOG, w tym w USA. Zgoda na analitykę nie zastępuje wymaganych zabezpieczeń transferu.
Warunki przetwarzania danych w usługach pocztowych określają umowy powierzenia dostawców: Microsoft Products and Services Data Protection Addendum (DPA) oraz Google Cloud Data Processing Addendum (CDPA). Google Analytics podlega odrębnym warunkom usługi oraz właściwym warunkom przetwarzania danych Google dla usług pomiarowych. W przypadku transferów wymagających zabezpieczeń Microsoft przewiduje standardowe klauzule umowne zatwierdzone przez Komisję Europejską. Google dla transferów do USA objętych certyfikacją Google LLC stosuje ramy EU–US Data Privacy Framework oparte na decyzji o odpowiednim stopniu ochrony; w pozostałych właściwych przypadkach stosowane są zabezpieczenia przewidziane w warunkach odpowiedniej usługi, w tym standardowe klauzule umowne. Dobór podstawy zależy od konkretnego odbiorcy i transferu, nie od samego polskiego lub irlandzkiego adresu dostawcy.
Dane poczty w Exchange Online są przechowywane w regionie Unia Europejska/EFTA. Zobowiązania Microsoft dotyczące EU Data Boundary przewidują ograniczone wyjątki transferów poza ten obszar. W Google Workspace Business Starter nie zapewniamy ograniczenia lokalizacji przetwarzania wyłącznie do UE. Informację o zabezpieczeniach transferów oraz sposobie uzyskania ich kopii można otrzymać pod adresem consulting@pentesters.pl.
Informacje dostawców: Microsoft DPA, Google Workspace CDPA, mechanizmy transferów Google Workspace, zasady transferów Google, warunki Google Analytics oraz warunki przetwarzania danych Google dla usług pomiarowych.
6. Przechowywanie danych
Niezrealizowane zapytania: przyjęty okres przechowywania korespondencji wynosi do 24 miesięcy od ostatniej merytorycznej wymiany dotyczącej współpracy. Automatyczne potwierdzenie odbioru ani wewnętrzna operacja techniczna nie rozpoczynają tego okresu od nowa. Po upływie tego okresu dane podlegają usunięciu lub trwałej anonimizacji, chyba że niezbędny zakres danych podlega uzasadnionemu wyjątkowi opisanemu poniżej. Zasada obejmuje kopie w skrzynkach, archiwach i eksportach pozostających pod naszą kontrolą.
Zapytania, które prowadzą do współpracy: nie usuwamy dokumentacji projektowej na podstawie samego upływu terminu dla niezrealizowanych zapytań. Przechowujemy ją przez czas realizacji umowy, a następnie w zakresie i przez okres niezbędny do spełnienia obowiązków prawnych oraz ustalenia, dochodzenia lub obrony roszczeń. Okres ustalamy według rodzaju dokumentu, właściwych przepisów i terminów przedawnienia. Same względy archiwalne nie uzasadniają bezterminowego przechowywania danych osobowych. Szczegółowe informacje dotyczące realizacji usług przekazujemy odrębnie.
Zwykłe logi WWW: przechowujemy do 90 dni od zapisania zdarzenia. Techniczne kopie strony i bazy danych: przechowujemy do 90 dni od utworzenia kopii. Kopie służą odtwarzaniu, a nie bieżącemu używaniu danych usuniętych z systemu podstawowego. Przy odtwarzaniu należy uwzględnić wcześniejsze usunięcia. Te okresy nie określają czasu usuwania technicznych kopii u dostawców poczty.
Wyjątki i kopie techniczne: dane związane z konkretnym incydentem, obowiązkiem prawnym lub roszczeniem wydzielamy wyłącznie w potrzebnym zakresie i zachowujemy przez okres uzasadniony daną sprawą. Usunięcie danych z aktywnej skrzynki nie zawsze oznacza natychmiastowe usunięcie wszystkich technicznych kopii dostawcy; wygasają one według właściwych warunków usługi i cykli usuwania, z ograniczonym dostępem. Nie traktujemy tych kopii jako archiwum do bieżących celów biznesowych.
7. Google Analytics i dane źródłowe zapytania
Za Twoją zgodą korzystamy z Google Analytics 4 do analizy odwiedzin i interakcji, takich jak wejście na ofertę, kliknięcie przycisku, rozpoczęcie formularza, błąd lub skuteczne wysłanie. Skrypt GA4 nie jest ładowany przez moduł pomiarowy przed zgodą ani po odmowie. Dane pomiarowe oznaczamy według środowiska strony.
Pomiar obejmuje identyfikatory przeglądarki i sesji, informacje o urządzeniu, odwiedzone strony, czas i rodzaj działania oraz źródło wejścia. Google technicznie otrzymuje również adres IP przy połączeniu. Nie przekazujemy do GA4 imienia, e-maila, firmy ani treści zgłoszenia. Adresy stron i odsyłaczy przekazywane do pomiaru są pozbawiane parametrów zapytania i fragmentów. Nie umieszczaj danych osobowych w nazwach kampanii ani ścieżkach URL.
Opcjonalne udostępnianie danych Analytics na potrzeby ulepszania innych produktów i usług Google oraz wkład w modelowanie i statystyki biznesowe są wyłączone. Korzystamy z pomiaru na potrzeby analizy własnej strony. Google przetwarza dane również w zakresie niezbędnym do świadczenia, utrzymania i ochrony usługi Analytics. Nie stosujemy remarketingu ani personalizacji reklam na podstawie odwiedzin.
Więcej informacji o roli Google i przetwarzaniu danych znajdziesz w opisie jak Google używa informacji z witryn i aplikacji, które korzystają z jego usług.
Do wiadomości z formularza dołączamy identyfikator zapytania lead_id, dostępne parametry utm_source, utm_medium, utm_campaign, utm_content i utm_term, stronę wejścia, referrer, identyfikator wariantu komunikatu, oznaczenie środowiska i stan zgód. Po zgodzie na analitykę mogą być dołączone także identyfikatory GA4. lead_id pozwala Pentesters powiązać zdarzenie pomiarowe z wiadomością, dlatego pomiaru nie nazywamy całkowicie anonimowym.
Bez zgody nie zapisujemy między stronami opcjonalnej atrybucji. W wiadomości mogą nadal znaleźć się dane źródłowe dostępne na bieżącej stronie formularza, np. UTM z jej adresu. Służą obsłudze i ocenie źródła zapytania na podstawie uzasadnionego interesu; nie uprawniają do niezależnych wysyłek marketingowych.
W GA4 okres przechowywania danych zdarzeń wynosi 2 miesiące, a danych użytkownika 14 miesięcy, z odnawianiem okresu danych użytkownika przy nowej aktywności. Raporty zbiorcze mogą pozostawać dłużej. Okresy w GA4 nie są tym samym co czas życia cookies w przeglądarce.
8. Cookies i wybór zgody
Komunikat „Wybierz cookies” zawiera przyciski „Odrzuć opcjonalne”, „Wybierz ustawienia” i „Zezwól”. „Zezwól” włącza wyłącznie analitykę. W panelu „Ustawienia cookies” możesz włączyć lub wyłączyć analitykę i użyć „Zapisz wybór”. Technologie niezbędne do działania i bezpieczeństwa oraz zapamiętania decyzji są zawsze aktywne. Analityka jest domyślnie wyłączona.
Google Ads nie jest jeszcze uruchomiony. „Pomiar reklam” jest nieaktywną kategorią, a nie udzieloną zgodą na przyszłe reklamy. Nie stosujemy remarketingu, personalizacji reklam na podstawie odwiedzin ani konwersji rozszerzonych z danymi kontaktowymi. Uruchomienie pomiaru reklam będzie wymagało aktualizacji informacji i osobnego wyboru.
Stale dostępny przycisk „Ustawienia cookies”, również na tej stronie, pozwala wrócić do decyzji. Zgodę i odmowę zapamiętujemy na urządzeniu przez 6 miesięcy. Istotna zmiana zakresu pomiaru wymaga ponownego wyboru.
Po udzieleniu zgody w ustawieniach dostępne jest „Wycofaj wszystkie zgody”. Wyłączenie analityki zatrzymuje dalszy pomiar i usuwa kontrolowane identyfikatory oraz zapis źródła. Jeżeli tag GA4 został już załadowany, strona zostanie odświeżona — wcześniej zachowaj ewentualny opis wpisany w formularzu. Wycofanie nie oznacza automatycznego usunięcia danych wcześniej przekazanych Google i nie wpływa na zgodność wcześniejszego przetwarzania z prawem. W sprawie tych danych skontaktuj się z nami.
- pa_consent_v2 — własny localStorage, niezbędny zapis decyzji, wersji i terminów; do 6 miesięcy.
- pa_acquisition_session_v1 — sessionStorage po zgodzie na analitykę; źródło wejścia i parametry kampanii; do 30 minut, z kontrolą ważności i usuwaniem po upływie czasu przy działającej stronie lub po powrocie.
- _ga i _ga_H6MMETESMW — nazwy cookies GA4 właściwe dla używanego identyfikatora; konfiguracja modułu ustawia ważność do 90 dni, bez automatycznego odnawiania. Są usuwane przez moduł przy wycofaniu w zakresie kontrolowanym przez mechanizm strony.
- Cookies administracyjne WordPressa — związane z logowaniem i sesją administratora; nie są zgodą odwiedzającego na analitykę lub reklamę.
Możesz także usuwać lub blokować zapis w ustawieniach swojej przeglądarki. Usunięcie zapisu decyzji spowoduje ponowne pytanie o zgodę. Zablokowanie technologii niezbędnych może ograniczyć funkcje techniczne.
9. Twoje prawa
W zależności od podstawy i okoliczności przetwarzania możesz żądać dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania oraz przeniesienia danych. Możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie z przyczyn związanych z Twoją szczególną sytuacją. Zgodę możesz wycofać w dowolnym momencie. Masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.
Wnioski kieruj na consulting@pentesters.pl. Co do zasady obsługa jest bezpłatna; nie pobieramy stałej opłaty za dostęp do danych. Przy uzasadnionych wątpliwościach możemy poprosić o informacje niezbędne do potwierdzenia tożsamości, bez rutynowego wymagania kopii dokumentu. Odpowiadamy bez zbędnej zwłoki, co do zasady w ciągu miesiąca; ewentualne przedłużenie wyjaśnimy zgodnie z RODO.
W tym procesie nie podejmujemy decyzji opartych wyłącznie na automatycznym przetwarzaniu, które wywołują skutki prawne lub podobnie istotnie wpływają na osobę.
10. Zmiany i zakres polityki
Politykę aktualizujemy przy zmianach procesów i narzędzi. Obecna zgoda na analitykę nie obejmuje uruchomienia pomiaru reklam. Dodanie CRM lub wsparcia AI wymaga osobnego określenia zasad przetwarzania i odpowiedniej aktualizacji informacji; nie następuje automatycznie na podstawie zgody na cookies. Linki do zewnętrznych serwisów prowadzą do usług działających według własnych zasad prywatności. Ta polityka opisuje obsługę zapytań i korzystanie ze strony, nie zastępuje odrębnych informacji dotyczących danych przetwarzanych w realizacji testów dla klientów.