Data ostatniej aktualizacji: 14 października 2026 r.
Szanujemy Twoją prywatność. Ten dokument w jednym miejscu wyjaśnia, jakie dane osobowe przetwarza Studio DR sp. z o.o., w jakim celu, na jakiej podstawie, komu je przekazujemy, jak długo je przechowujemy i jakie masz prawa. Ma charakter uniwersalny: te same zasady obowiązują na naszych stronach internetowych, podczas wydarzeń, na platformach kursów online i przy usługach świadczonych na zlecenie. To, co jest specyficzne dla danej usługi, znajduje się w dokumentach tej usługi.
Administratorem Twoich danych osobowych jest Studio DR sp. z o.o., ul. Malinka 65D/2, 43-460 Wisła, Polska, wpisana do Krajowego Rejestru Sądowego (KRS) pod numerem 0000112221 (dokumentacja rejestrowa prowadzona przez Sąd Rejonowy w Bielsku-Białej, VIII Wydział Gospodarczy KRS), NIP 548-10-11-757, REGON 070569257 („Studio DR”, „my”). Studio DR jest organizatorem turystyki wpisanym do Centralnej Ewidencji Organizatorów Turystyki i Przedsiębiorców Ułatwiających Nabywanie Powiązanych Usług Turystycznych pod numerem 43558 (organ rejestrowy: Marszałek Województwa Śląskiego).
W każdej sprawie dotyczącej Twoich danych osobowych napisz do nas na adres iod@studiodr.pl (Polska) lub privacy@studiodr.pl (poza Polską) albo listownie na powyższy adres z dopiskiem „IOD”. Naszym Inspektorem Ochrony Danych jest Emilian Kujawski. Adresy służące do prowadzenia naszych usług (na przykład wydarzenia@studiodr.pl lub contact@thesecondstep.net) są przeznaczone do spraw związanych z usługą; wnioski dotyczące danych osobowych prosimy kierować na adresy IOD.
Ta Polityka jest jednym dokumentem dla całej działalności Studio DR: naszych stron internetowych (na przykład studiodr.pl i thesecondstep.net), kontaktu z nami, wydarzeń i imprez turystycznych, platform kursów online oraz usług świadczonych na zlecenie. Określa zasady wspólne dla nich wszystkich. Szczegóły dotyczące konkretnej usługi znajdują się w dokumentach tej usługi, które uzupełniają niniejszą Politykę.
| KIM JESTEŚ | CO PRZECZYTAĆ OPRÓCZ TEJ POLITYKI |
|---|---|
| Odwiedzasz nasze strony internetowe | Polityka plików cookies |
| Rejestrujesz się na wydarzenie lub imprezę turystyczną albo bierzesz w niej udział (również jako rodzic, opiekun prawny lub osoba kontaktowa) | Ogólne Warunki Uczestnictwa (OWU) danego wydarzenia oraz klauzula dotycząca wizerunku |
| Masz konto lub kupujesz kursy na platformie kursów online | Regulamin tej platformy i jej Polityka plików cookies |
| Zamawiasz u nas usługę (nagrania, strony i aplikacje, hosting, film, foto, tłumaczenia, sprzęt studyjny) albo jesteś przedstawicielem lub osobą kontaktową Zamawiającego | Umowa lub oferta na daną usługę oraz, jeśli ją zawarto, umowa powierzenia przetwarzania danych |
Usługi świadczone na zlecenie. Poza wydarzeniami i kursami świadczymy usługi na rzecz zamawiających na podstawie odrębnych umów: nagrania muzyczne i lektorskie (w naszym studiu i w terenie), projektowanie stron internetowych, tworzenie aplikacji mobilnych i internetowych, hosting, filmy, grafiki i materiały promocyjne, usługi fotograficzne, obsługę wydarzeń i transmisji, tłumaczenia oraz dystrybucję sprzętu studyjnego. Wobec danych zamawiającego i osób, które wskazał (przedstawicieli, osób kontaktowych, pracowników), jesteśmy administratorem i stosuje się ta Polityka. Jeżeli w ramach usługi przetwarzamy dane osobowe powierzone nam przez zamawiającego (na przykład dane użytkowników jego strony lub aplikacji, dane w hostowanych systemach albo w dokumentach do tłumaczenia), robimy to jako podmiot przetwarzający, wyłącznie na jego udokumentowane polecenie i na podstawie umowy powierzenia (art. 28 RODO). W tym zakresie administratorem jest zamawiający i to on informuje osoby, których dane dotyczą. Zasady utrwalania i wykorzystywania wizerunku lub głosu osób występujących w nagraniach, filmach i zdjęciach określa umowa z zamawiającym.
Tabela wskazuje, według celów i dostawców, z jakich usług korzystamy, jakie dane osobowe są w nich przetwarzane i gdzie. Z naszej Polityki plików cookies wynika, które z nich działają na której stronie.
| CEL | USŁUGA I DOSTAWCA | DANE OSOBOWE | MIEJSCE PRZETWARZANIA |
|---|---|---|---|
| Analityka (za zgodą) | Matomo, hostowana samodzielnie przez Studio DR | Identyfikatory (pliki cookies), dane o korzystaniu ze strony | EOG |
| Analityka (za zgodą) | Google Analytics, Google Ireland Limited i Google LLC | Identyfikatory (pliki cookies), dane o korzystaniu ze strony | EOG i Stany Zjednoczone |
| Pomiar skuteczności reklam, w ograniczonym zakresie i tylko na wybranych stronach (za odrębną zgodą) | Meta Pixel, Meta Platforms Ireland Limited i Meta Platforms, Inc. | Identyfikatory (pliki cookies), dane o korzystaniu i zdarzeniach; zakres w Polityce plików cookies | Irlandia i Stany Zjednoczone |
| Płatności | Stripe, Stripe, Inc. (płatności online i międzynarodowe) oraz ING Pay, ING Bank Śląski S.A. | Adres rozliczeniowy, adres e-mail, dane płatności i transakcji. Nie przechowujemy pełnych danych kart płatniczych. | Stany Zjednoczone i EOG (Stripe); Polska (ING) |
| Hosting i własne platformy | OVH (centrum danych w pobliżu Strasburga, Francja) oraz platformy stworzone i prowadzone przez Studio DR | Dane w hostowanych systemach, w tym dane kont i kursów | EOG (Francja) |
| Kontakty i komunikacja e-mailowa | Salesforce i Salesforce Marketing Cloud, Salesforce, Inc. | Adres e-mail, imię i nazwisko, status subskrypcji, dane o otwarciach wiadomości e-mail (za zgodą) | Stany Zjednoczone |
| Kontakt z nami | Formularze kontaktowe, poczta elektroniczna, telefon | Adres e-mail, imię i nazwisko, treść wiadomości | EOG |
| Wydarzenia i imprezy turystyczne | System rejestracji wydarzenia (Gravity Forms + Salesforce) oraz Stowarzyszenie DeoLink jako podmiot przetwarzający (pkt 7) | Dane zgłaszających się i uczestników; zakres w OWU | Stany Zjednoczone i EOG |
| Usługi na zlecenie | Systemy do obsługi zleceń i komunikacji z zamawiającymi oraz podwykonawcy (pkt 8) | Dane kontaktowe i rozliczeniowe zamawiających i ich przedstawicieli; zakres w umowie | Zależnie od usługi; szczegóły w umowie z zamawiającym |
Narzędzia, które dopiero planujemy wprowadzić, dodajemy do tej listy w dniu ich uruchomienia.
Jeśli znajdujesz się w Europejskim Obszarze Gospodarczym, Zjednoczonym Królestwie lub Szwajcarii, przetwarzamy dane na podstawach prawnych RODO wskazanych w tabeli. Ostatnia kolumna pokazuje obszary, w których dany cel ma zastosowanie.
| CEL | PODSTAWA PRAWNA | OBSZAR |
|---|---|---|
| Odpowiadanie na zapytania i korespondencja | Art. 6 ust. 1 lit. f (prawnie uzasadniony interes polegający na udzieleniu Ci odpowiedzi); gdy dotyczy umowy: lit. b | wszystkie |
| Zawarcie i wykonanie umowy: udział w wydarzeniu lub imprezie turystycznej, konto i dostęp do kursów, zakup kursu | Art. 6 ust. 1 lit. b | wydarzenia, kursy online |
| Zawarcie i wykonanie umowy o usługę na zlecenie, w tym dane przedstawicieli i osób kontaktowych zamawiającego, dostawa sprzętu i obsługa gwarancyjna | Art. 6 ust. 1 lit. b (gdy zamawiający jest osobą fizyczną); lit. f (gdy dane dotyczą przedstawicieli i osób kontaktowych zamawiającego: nasz prawnie uzasadniony interes polegający na należytym wykonaniu umowy z zamawiającym) | usługi na zlecenie |
| Płatności, rachunkowość, podatki oraz obowiązki wynikające z prawa turystycznego i konsumenckiego, w tym obsługa odstąpienia od umowy | Art. 6 ust. 1 lit. c | wydarzenia, kursy online, usługi na zlecenie |
| Ubezpieczenie i zabezpieczenie finansowe uczestników imprez turystycznych | Art. 6 ust. 1 lit. b i c | wydarzenia |
| Bezpieczeństwo uczestników podczas wydarzenia, w tym kontakt z osobą wskazaną na wypadek nagłych zdarzeń | Art. 6 ust. 1 lit. b i f; gdy zagrożone jest życie lub zdrowie: lit. d oraz art. 9 ust. 2 lit. c | wydarzenia |
| Dane szczególnych kategorii, na przykład dotyczące zdrowia i diety uczestników, odpowiedzi na pytania do refleksji w kursach (pkt 5) | Twoja wyraźna wprost zgoda: art. 9 ust. 2 lit. a oraz art. 6 ust. 1 lit. a | wydarzenia, kursy online |
| Wykazanie udzielonych zgód i oświadczeń (rejestr zgód) oraz ustalenie, dochodzenie i obrona roszczeń | Art. 6 ust. 1 lit. f (w tym rozliczalność, art. 7 ust. 1 RODO) | wszystkie |
| Informacje marketingowe i newslettery, w tym pomiar otwarcia wiadomości e-mail | Art. 6 ust. 1 lit. a (zgoda), zgodnie z art. 398 polskiego Prawa komunikacji elektronicznej; gdy zgoda nie jest wymagana: lit. f | wszystkie |
| Analityka i statystyki ruchu na stronach internetowych | Art. 6 ust. 1 lit. a (zgoda), zgodnie z art. 399 polskiego Prawa komunikacji elektronicznej | strony internetowe |
| Pomiar skuteczności reklam (Meta Pixel) | Art. 6 ust. 1 lit. a (odrębna zgoda), zgodnie z art. 399 polskiego Prawa komunikacji elektronicznej | wybrane strony internetowe |
| Bezpieczeństwo stron internetowych i systemów oraz zapobieganie nadużyciom | Art. 6 ust. 1 lit. f | wszystkie |
| Utrwalanie i wykorzystywanie wizerunku podczas wydarzeń | Art. 6 ust. 1 lit. a | wydarzenia |
Podanie danych potrzebnych do zawarcia umowy i wypełnienia obowiązków prawnych jest dobrowolne, ale bez nich nie możemy zawrzeć umowy ani świadczyć usługi. Wszystko pozostałe, w tym zgoda na przetwarzanie danych szczególnych kategorii, marketing, analitykę i reklamę, zależy od Twojej decyzji i nie wpływa na dostęp do usługi.
W niektórych usługach możemy przetwarzać dane o zdrowiu (na przykład informacje o diecie i szczególnych potrzebach uczestników albo odpowiedzi na pytania do refleksji w kursach, które mogą ujawniać uzależnienie lub wychodzenie z niego), a udział w programie duchowym może pośrednio ujawniać przekonania religijne. Takie dane przetwarzamy wyłącznie za Twoją wyrażoną wprost, odrębną zgodą, tylko w zakresie, w jakim jest to potrzebne w danej usłudze, i tylko jeśli sam zdecydujesz się nam je podać, albo w sytuacji wyraźnie przewidzianej prawem, na przykład dla ratowania życia. Zgoda jest dobrowolna i możesz ją w każdej chwili wycofać, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem. Dostęp do tych danych mają tylko osoby, które go potrzebują i są do tego upoważnione; nie wykorzystujemy ich do analityki, reklamy ani do trenowania lub zasilania narzędzi sztucznej inteligencji, a na stronach, na których zbieramy takie treści, nie działają żadne skrypty analityczne ani reklamowe. Szczegóły dla poszczególnych usług, w tym skutki wycofania zgody, znajdują się w ich OWU lub Regulaminie.
Nasze platformy kursów online są przeznaczone wyłącznie dla osób dorosłych, w wieku co najmniej 18 lat. Małoletni mogą brać udział w wydarzeniach i imprezach turystycznych. W takim przypadku umowę zawiera i dane podaje rodzic lub opiekun prawny (przetwarzamy również dane tej osoby), a przedstawiciel ustawowy udziela w imieniu małoletniego zgód potrzebnych do jego udziału (w szczególności dotyczących zdrowia i wizerunku). Dane małoletnich przetwarzamy ze szczególną starannością i tylko w zakresie niezbędnym.
Część programu niektórych wydarzeń (o charakterze duchowym i doświadczalnym) realizuje na rzecz Studio DR Stowarzyszenie DeoLink, ul. Malinka 65D/2, 43-460 Wisła, KRS 0000160777 („DeoLink”), które jest właścicielem Studio DR, wraz z wolontariuszami. W tej roli DeoLink działa jako podmiot przetwarzający w imieniu Studio DR, na jego udokumentowane polecenie i na podstawie umowy powierzenia przetwarzania danych (art. 28 RODO). Przetwarza dane uczestników wyłącznie podczas wydarzenia oraz, jeśli wymaga tego charakter pracy, przed nim, nie tworzy własnych baz danych uczestników i nie przechowuje żadnych danych po zakończeniu wydarzenia. Osoby działające w jego imieniu, w tym wolontariusze, są zobowiązane do zachowania poufności. DeoLink działa jako niezależny administrator tylko wtedy, gdy osobno i dobrowolnie wyrazisz zgodę, aby wykorzystywał Twoje dane kontaktowe lub wizerunek do własnych celów. Szczegóły zawierają OWU wydarzenia. DeoLink nie uczestniczy w przetwarzaniu danych użytkowników naszych platform kursów online.
Przekazujemy dane wyłącznie tym podmiotom, które ich potrzebują do celów określonych w tej Polityce. Dostawcy przetwarzający dane w naszym imieniu robią to na podstawie umowy powierzenia i na nasze udokumentowane polecenie.
| ODBIORCA | ROLA | DANE |
|---|---|---|
| OVH (hosting) | Podmiot przetwarzający | Dane w hostowanych systemach |
| Stripe, Inc. / ING Bank Śląski S.A. (płatności) | Podmiot przetwarzający; w zakresie własnych obowiązków prawnych i związanych z przeciwdziałaniem nadużyciom — niezależny administrator | Dane płatności i transakcji |
| Salesforce, Inc. | Podmiot przetwarzający | Adres e-mail, imię i nazwisko, status subskrypcji, dane o otwarciach wiadomości e-mail |
| Google Ireland Limited / Google LLC (Google Analytics) | Podmiot przetwarzający | Dane analityczne ze stron internetowych, za zgodą |
| Meta Platforms Ireland Limited / Meta Platforms, Inc. (Meta Pixel) | W zakresie zbierania i przekazywania danych przez Pixel: współadministrator z nami (art. 26 RODO); poza tym niezależny administrator | Dane o odwiedzinach i zdarzeniach, za odrębną zgodą |
| Stowarzyszenie DeoLink | Podmiot przetwarzający przy wydarzeniach; niezależny administrator wyłącznie za Twoją odrębną zgodą | Dane programowe; dane kontaktowe i wizerunek wyłącznie za zgodą |
| Ubezpieczyciel, gwarant, Marszałek Województwa Śląskiego, Turystyczny Fundusz Gwarancyjny | Niezależni administratorzy | Dane potrzebne do ochrony i świadczeń (wydarzenia) |
| Przewoźnicy, hotele, ośrodki wypoczynkowe i inni dostawcy usług turystycznych | Niezależni administratorzy lub podmioty przetwarzające | Dane potrzebne do świadczenia usługi (wydarzenia) |
| Podwykonawcy i współpracownicy (na przykład lektorzy, tłumacze, graficy, fotografowie, operatorzy), dostawcy i producenci sprzętu studyjnego | Podmioty przetwarzające lub niezależni administratorzy | Dane potrzebne do realizacji zlecenia lub zamówienia (usługi na zlecenie) |
| Biura rachunkowe, kancelarie prawne, doradcy | Podmioty przetwarzające lub niezależni administratorzy | Dane potrzebne do wykonania ich zadań |
| Organy i służby publiczne | Niezależni administratorzy | Gdy wymaga tego prawo |
Nie sprzedajemy Twoich danych osobowych. Dane analityczne z Matomo przetwarza Studio DR we własnej instalacji w EOG.
Część naszych dostawców ma siedzibę w Stanach Zjednoczonych (Stripe, Salesforce, Google, Meta), podobnie jak producentów sprzętu studyjnego, którego jesteśmy dystrybutorem (w zakresie obsługi zamówień i gwarancji). Twoje dane mogą więc być przekazywane poza Europejski Obszar Gospodarczy. Odbywa się to na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (Ramy ochrony danych UE–USA, w odniesieniu do certyfikowanych dostawców), a w pozostałych przypadkach na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską. W przypadku wydarzeń poza EOG przekazujemy dane potrzebne do świadczenia usług (na przykład do rezerwacji hotelu lub transportu) dostawcom tych usług w kraju docelowym, co jest niezbędne do wykonania umowy z Tobą (art. 49 ust. 1 lit. b RODO); w takich krajach poziom ochrony danych może być niższy niż w UE. Kopię zabezpieczeń możesz uzyskać, pisząc do IOD. Aktualną listę dostawców i mechanizmów publikujemy na stronie „Informacja Administratora danych o transferze danych do krajów trzecich”: https://studiodr.pl/informacja-administratora-danych-o-transferze-danych-do-krajow-trzecich/.
| DANE | OKRES |
|---|---|
| Korespondencja i zapytania | Do zakończenia sprawy, a następnie nie dłużej niż 36 miesięcy |
| Dane z umowy o udział w wydarzeniu, zakup kursu lub usługę na zlecenie oraz z jej wykonania | Do wykonania umowy, a następnie przez okres przedawnienia roszczeń według prawa polskiego (Kodeks cywilny i ustawa o imprezach turystycznych i powiązanych usługach turystycznych) |
| Materiały i dane powierzone przez zamawiającego | Zgodnie z umową z zamawiającym i umową powierzenia; po zakończeniu usługi usuwamy je lub zwracamy zamawiającemu na jego polecenie |
| Dokumentacja podatkowa i księgowa | 5 lat od końca roku, w którym upłynął termin zapłaty podatku |
| Konto na platformie kursów online | Do usunięcia konta przez Ciebie. Konta nieaktywne usuwamy po 2 latach nieaktywności |
| Dane szczególnych kategorii | Tylko tak długo, jak potrzebuje ich usługa, i nie dłużej niż do wycofania zgody lub usunięcia konta (szczegóły, w tym natychmiastowe usunięcie po wycofaniu zgody, zawierają OWU lub Regulamin danej usługi). Dane uczestników wydarzeń: do zakończenia wydarzenia i wyjaśnienia związanych z nim incydentów, chyba że przepis prawa lub obrona roszczeń wymaga dłuższego przechowywania |
| Dane powierzone DeoLink | Tylko podczas wydarzenia oraz, jeśli wymaga tego charakter pracy, przed nim. DeoLink nie przechowuje żadnych danych po zakończeniu wydarzenia |
| Rejestr zgód, oświadczenia o odstąpieniu od umowy i potwierdzenia ich otrzymania | 6 lat, do końca roku kalendarzowego, w którym ten okres upływa (aby wykazać wypełnienie naszych obowiązków) |
| Newsletter i dane o otwarciach wiadomości e-mail | Do wycofania zgody |
| Dane z plików cookies, analityczne i reklamowe | Zgodnie z Polityką plików cookies |
| Kopie zapasowe | Wykonujemy je codziennie. Dane usunięte z naszych systemów znikają z kopii zapasowych w ramach ich normalnej rotacji w ciągu 365 dni |
Po upływie tych okresów usuwamy dane lub poddajemy je anonimizacji.
Na naszych stronach używamy wyłącznie plików cookies niezbędnych do ich działania, chyba że wyrazisz zgodę na więcej. Analityczne i reklamowe pliki cookies włączamy dopiero po wyrażeniu zgody w banerze cookies, w którym opcje „Akceptuj”, „Odrzuć” i „Ustawienia” są równie łatwe do wyboru, a zamknięcie banera bez dokonania wyboru oznacza brak zgody. Swój wybór możesz zmienić w dowolnym momencie przez „Zarządzaj ustawieniami plików cookie” u dołu strony. Wiadomości e-mail, które wysyłamy w związku z Twoimi działaniami (na przykład potwierdzenie zamówienia), nie zawierają pikseli śledzących; newslettery zawierają element mierzący, czy wiadomość została otwarta, który działa wyłącznie po wyrażeniu przez Ciebie zgody przy zapisie. Pełna lista plików cookies (nazwa, dostawca, cel, czas przechowywania) oraz informacja, które narzędzia działają na której stronie, znajdują się w Polityce plików cookies.
W związku z przetwarzaniem Twoich danych masz prawo do:
Aby skorzystać z tych praw, napisz do IOD (pkt 1). Odpowiadamy bez zbędnej zwłoki, w terminie jednego miesiąca. Możemy poprosić o potwierdzenie Twojej tożsamości. Jeśli Twoje dane powierzył nam zamawiający, a my działamy jako podmiot przetwarzający, skieruj wniosek do zamawiającego; wniosek, który trafi do nas, przekażemy mu bez zbędnej zwłoki.
Jeśli uważasz, że przetwarzamy dane niezgodnie z prawem, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stanisława Moniuszki 1A, 00-014 Warszawa), naszego wiodącego organu nadzorczego, lub do organu nadzorczego kraju EOG, w którym mieszkasz, pracujesz albo w którym doszło do naruszenia. Osoby w Zjednoczonym Królestwie mogą skontaktować się z Information Commissioner’s Office. Zachęcamy do wcześniejszego kontaktu z naszym IOD, ponieważ często możemy załatwić sprawę szybciej.
Stosujemy środki techniczne i organizacyjne dostosowane do ryzyka, w tym szyfrowane połączenia, kontrolę dostępu, odrębne traktowanie danych szczególnych kategorii, codzienne kopie zapasowe i umowy z podmiotami przetwarzającymi. Jeśli naruszenie ochrony danych osobowych może stwarzać dla Ciebie ryzyko, poinformujemy o tym Ciebie i organ nadzorczy zgodnie z wymogami prawa. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały.
Możemy aktualizować tę Politykę, w szczególności gdy zmienią się przepisy prawa, usługi, z których korzystamy, lub sposób przetwarzania danych. Aktualna wersja jest zawsze dostępna na naszych stronach internetowych wraz z datą ostatniej aktualizacji, a wersje polska i angielska mają taką samą treść. O istotnych zmianach wpływających na Twoje dane poinformujemy w czytelny sposób, a gdy zmiana wymaga Twojej zgody, poprosimy o nią ponownie.
Dziękujemy za korzystanie z naszych usług!
Zespół Studio DR