Klauzula informacyjna RODO

1. Administrator danych

Administratorem Twoich danych osobowych jest MACH ZERO Sp. z o.o. z siedzibą w Poznań, ul. Myśliborska 3, 60-432 Poznań, Polska, NIP 7812113778, REGON 545172118 (dalej: Administrator).

2. Kontakt

We wszystkich sprawach dotyczących przetwarzania danych osobowych możesz się z nami skontaktować:

• mailowo: biuro@machzero.pl
• telefonicznie: +48 601 720 806
• pisemnie: ul. Myśliborska 3, 60-432 Poznań, Polska

3. Cele i podstawy przetwarzania

Twoje dane osobowe przetwarzamy w celach i na podstawach prawnych opisanych szczegółowo w Polityce Prywatności, w szczególności:

• zawarcia i realizacji umowy o świadczenie usługi lotniczej, w tym zamówienia vouchera — art. 6 ust. 1 lit. b RODO
• wysłania vouchera osobie obdarowanej — jej imię i e-mail podaje kupujący — art. 6 ust. 1 lit. f RODO (uzasadniony interes kupującego i nasz w doręczeniu vouchera)
• odpowiedzi na zapytania (telefon, e-mail, formularz kontaktowy) i prowadzenia listy rezerwowej na szkolenia i najem samolotu — art. 6 ust. 1 lit. b RODO (działania na Twoje żądanie przed zawarciem umowy)
• wypełnienia obowiązków prawnych Administratora (m.in. księgowych, podatkowych) — art. 6 ust. 1 lit. c RODO
• marketingu własnych usług, w tym newslettera — art. 6 ust. 1 lit. a RODO (zgoda)
• ustalenia, dochodzenia i obrony przed roszczeniami — art. 6 ust. 1 lit. f RODO (uzasadniony interes)
• zapisu śladu GPS lotu — żeby wiedzieć, gdzie znajduje się samolot; opis w punkcie 6a
• prowadzenia dziennika zmian w zapisach (kto, kiedy i co zmienił) — opis w punkcie 6b

4. Odbiorcy danych

Odbiorcami Twoich danych mogą być podmioty, które współpracują z Administratorem w zakresie realizacji usług — w szczególności dostawcy płatności (Stripe), usług poczty elektronicznej (Resend), hostingu (LH.pl), poczty służbowej i kopii zapasowych (Google), biuro rachunkowe oraz organy państwowe na podstawie przepisów prawa.

Zapytania o najem samolotu bez załogi (oferta na stronie /dry-lease) — złożone telefonicznie, mailowo albo przez formularz — na Twoje żądanie przekazujemy WING HIRE Sp. z o.o. (Poznań, KRS 0001248697), z którą zawierasz umowę najmu. Od chwili przekazania WING HIRE jest odrębnym administratorem tych danych. Zapytania o najem samolotu pilotom w programie na stronie /szkolenia obsługuje MACH ZERO Sp. z o.o. — nie przekazujemy ich WING HIRE.

Mapy. Gdy oglądasz mapę w serwisie lub w aplikacji mobilnej, Twoja przeglądarka albo aplikacja pobiera jej fragmenty (kafelki) bezpośrednio od zewnętrznych dostawców. Każdy z nich widzi przy tym Twój adres IP i obszar mapy, który jest pobierany:

• OpenStreetMap Foundation — podkład mapy: mapa dojazdu na stronie głównej, trasy na stronach lokalizacji, mapa operacyjna, EFB i zapisane trasy lotów w panelu pilota i w aplikacji;
• RainViewer — nakładka radaru opadów na mapie operacyjnej i w EFB (panel pilota i aplikacja mobilna);
• unpkg.com — sieć dostarczania plików (CDN), z której aplikacja mobilna pobiera bibliotekę wyświetlającą mapę.

Pozycje samolotów floty (ADS-B) pobiera od OpenSky Network nasz serwer, a nie Twoje urządzenie — OpenSky nie otrzymuje Twojego adresu IP ani innych Twoich danych.

5. Przekazywanie do państw trzecich

Niektórzy odbiorcy danych (Resend) mają siedzibę w USA. Przekazanie odbywa się na podstawie Standardowych Klauzul Umownych zatwierdzonych przez Komisję Europejską (Standard Contractual Clauses).

OpenStreetMap Foundation ma siedzibę w Wielkiej Brytanii — państwie, wobec którego Komisja Europejska wydała decyzję stwierdzającą odpowiedni stopień ochrony danych (art. 45 RODO).

6. Okres przechowywania

Twoje dane przechowujemy nie dłużej niż wymagają tego ww. cele oraz obowiązujące przepisy prawa, w szczególności:

• 5 lat — dane rezerwacji i księgowe, liczone od końca roku podatkowego (ordynacja podatkowa art. 86 § 1)
• Bezterminowo — zapisy wykonanych lotów; stanowią nalot pilota i podstawę zapisów zdatności statku
• Razem z zapisem lotu i jego dokumentacją (PDT), bez ustalonego terminu końcowego — ślad GPS lotu; ślad lotu, który nie wystartował (anulowany albo odwołany przed startem) albo którego zapis usunięto, kasujemy od razu; ślad lotu, który wystartował, zostaje razem z zapisem lotu i usuwamy go tylko na żądanie
• Do ustąpienia przyczyny — powiadomienia o alertach przed lotem; powiadomienie o brakującym albo nieważnym dokumencie — do czasu, aż dokument będzie ważny, albo do odwołania lub usunięcia lotów, których dotyczy, albo do usunięcia lub wygaszenia konta (punkt 6a)
• 36 miesięcy — zapisy ciągłej zdatności statku, a zapisy obsługowe do czasu zastąpienia nowszymi (ML.A.305 lit. h)
• 12 miesięcy po trwałym wycofaniu statku — dokumenty jego zdatności (ML.A.305 lit. h)
• 3 lata od ukończenia szkolenia — zapisy szkoleniowe kursantów (DTO.GEN.220)
• 3 lata — dokumenty kwalifikacyjne pilotów oraz potwierdzenia zapoznania z dokumentacją operacyjną
• 5 lat — zgłoszenia zdarzeń lotniczych (rozporządzenie (UE) nr 376/2014)
• 12 miesięcy — dane rezerwacji, które nie zakończyły się lotem, i zamówienia vouchera, które nie zostało opłacone
• Do upływu ważności vouchera — imię i e-mail osoby obdarowanej
• Do zakończenia sprawy — zapytania (telefon, e-mail, formularz kontaktowy); na liście rezerwowej na szkolenia i najem — do 12 miesięcy albo do Twojej rezygnacji
• 36 miesięcy od zapisania — dziennik zmian w zapisach; wpisy, które są jedyną kopią zmienionego lub skasowanego zapisu o usterce albo cofniętego poświadczenia obsługi (CRS), tak długo jak zapisy ciągłej zdatności
• Do odwołania zgody — dane na potrzeby marketingu (newsletter)

Gdy ten sam zapis podlega kilku obowiązkom naraz, przechowujemy go przez okres najdłuższy z nich.

6a. Dane pilotów i kursantów

Wobec pilotów, instruktorów i kursantów przetwarzamy dodatkowo dane o kwalifikacjach: licencje, uprawnienia, dopuszczenia na typ oraz orzeczenia lekarskie wraz z klasą i terminem ważności. Orzeczenie lekarskie jest daną dotyczącą zdrowia (art. 9 RODO) — przetwarzamy ją na podstawie art. 9 ust. 2 lit. b i g RODO w związku z obowiązkami organizacji szkoleniowej wynikającymi z rozporządzenia (UE) nr 1178/2011. Dostęp do tych danych mają wyłącznie sam zainteresowany i osoby pełniące funkcje kierownicze w organizacji. Instruktor prowadzący Twoje szkolenie widzi w karcie ucznia, czy orzeczenie jest ważne i do kiedy, a instruktor Twojego lotu w alercie przed lotem — tylko informację, że orzeczenia brak, jest nieważne albo straci ważność przed lotem, bez treści orzeczenia. Dzieje się tak wtedy, gdy masz u nas rozpoczęte szkolenie. Nasza szkoła wymaga ważnego orzeczenia ucznia także w locie z instruktorem — bez niego lot nie wystartuje, dlatego instruktor musi wiedzieć, że lot się nie odbędzie. Na tej podstawie instruktorzy dopuszczają Cię też do lotu samodzielnego. Uczeń nie widzi dokumentów instruktora, a mechanik — dokumentów pilotów ani alertów o nich.

Ślad GPS lotu. Gdy pilot prowadzi lot „na żywo” w panelu pilota albo w aplikacji mobilnej, jego telefon lub przeglądarka zapisuje w trakcie lotu pozycję (szerokość i długość geograficzną, wysokość i czas) i przesyła ją do nas. Zapis rusza dopiero po zgodzie na dostęp do lokalizacji w ustawieniach telefonu lub przeglądarki — bez tej zgody lot zapiszesz normalnie, tylko bez śladu. W przeglądarce ślad nagrywa się tylko wtedy, gdy ekran lotu jest otwarty. Aplikacja mobilna, jeśli dostanie zgodę na lokalizację także w tle, nagrywa ślad również przy zablokowanym ekranie lub zminimalizowanej aplikacji — od rozpoczęcia lotu do jego zapisania albo anulowania. Wyjątek: jeśli lot zostanie zamknięty na stronie albo na tablecie, a nie w aplikacji, telefon nagrywa dalej — do najbliższego otwarcia aplikacji, która wtedy wyłącza nagrywanie. Pozycje zebrane po zamknięciu lotu nasz serwer odrzuca i ich nie zapisuje, a aplikacja usuwa je z telefonu. W czasie nagrywania telefon z Androidem pokazuje stałe powiadomienie „MACH ZERO — nagrywanie trasy”, a iPhone — wskaźnik używania lokalizacji. Zgodę na lokalizację w tle możesz odmówić albo cofnąć w ustawieniach telefonu — aplikacja nagrywa wtedy tylko, gdy jest otwarta.

• Cel: żeby wiedzieć, gdzie znajduje się samolot — w trakcie lotu i po nim (którędy leciał). Ten sam ślad służy też do omówienia lotu (debriefing), wyjaśniania zdarzeń, a w szkoleniu — do udokumentowania przebiegu lotu szkoleniowego.
• Podstawa: art. 6 ust. 1 lit. f RODO, czyli nasz prawnie uzasadniony interes: wiedza, gdzie jest nasz samolot, bezpieczeństwo i analiza operacji oraz dowód przebiegu lotu. Wobec tego przetwarzania możesz wnieść sprzeciw (art. 21 RODO). W lotach szkoleniowych udokumentowanie przebiegu lotu służy także realizacji umowy szkoleniowej — art. 6 ust. 1 lit. b RODO.
• Okres przechowywania: razem z zapisem lotu i jego dokumentacją (PDT), której dotyczy — bez ustalonego terminu końcowego (punkt 6); nie kasujemy go automatycznie po czasie. Ślad lotu, który nie wystartował (anulowany albo odwołany przed startem) albo którego zapis usunięto, kasujemy od razu; ślad lotu, który wystartował, zostaje razem z zapisem lotu i usuwamy go tylko na żądanie. Za start uznajemy zapisany w locie na żywo czas startu albo lądowania, a także sam ślad, który pokazuje lot (kilkakrotnie prędkość większą niż 40 węzłów — tak szybko samolot nie kołuje). Ślad zostaje także wtedy, gdy lot przerwano po starcie, wiszący lot na żywo zamknął administrator albo lot zapisano ręcznie po locie. Każde automatyczne skasowanie śladu odnotowujemy w dzienniku zmian — tylko liczbę punktów, bez pozycji.
• Lot na żywo bez planu. Pilot może rozpocząć lot na żywo bez wcześniej zaplanowanego lotu. Jeśli administrator zamknie taki lot, zanim samolot wystartował, ślad kasujemy od razu. Jeśli samolot wystartował, ślad zostaje i dołączamy go do zapisu tego lotu, gdy pilot zapisze lot ręcznie po locie (ten sam pilot, samolot i czas). Gdy nie da się jednoznacznie wskazać lotu, ślad zostaje do decyzji administratora, a jego liczbę widać w przeglądzie okresów przechowywania danych. Administrator może taki ślad obejrzeć (bez pozycji: liczba punktów, czas, pilot, samolot) i — także na Twoje żądanie — usunąć; usunięcie zostawia wpis w dzienniku zmian bez pozycji.
• Usunięcie na żądanie: na Twoje żądanie — na przykład po sprzeciwie — administrator usuwa ślad z lotu; w dzienniku zmian zostaje wtedy tylko informacja, kto i kiedy go usunął i ile miał punktów, bez żadnej pozycji.
• Kto widzi: osoba zapisana w locie jako prowadzący oraz administrator. W locie z instruktorem jest to instruktor — druga osoba w locie (uczeń albo pilot na locie odświeżającym) śladu nie widzi. W locie samodzielnym, także szkolnym, ślad widzi sam pilot. Lot egzaminacyjny nie ma w systemie prowadzącego (egzaminator jest spoza naszej organizacji) — jego ślad widzi tylko administrator.

Ślad trasy nagrany telefonem pilota jest przypisany do lotu — także wtedy, gdy leciałeś w nim jako uczeń albo jako uczestnik lotu zapoznawczego. Nie widzisz go w serwisie, ale masz do niego prawo dostępu (art. 15 RODO) i prawo sprzeciwu (art. 21 RODO). Wniosek złożysz, kontaktując się z nami w sposób opisany w punkcie 2.

Pozycja pokazywana na mapie EFB (znacznik własnego samolotu) zostaje na urządzeniu i nie jest do nas wysyłana ani zapisywana.

Alerty przed lotem. Dla lotów zaplanowanych na najbliższe 14 dni system ostrzega, gdy coś może lot zatrzymać (np. nieważne orzeczenie, niepotwierdzony komunikat operacyjny, uziemiony samolot). Pełną treść alertu o osobie widzi ona sama i administrator. Wyjątek: w locie z instruktorem, gdy uczeń ma u nas rozpoczęte szkolenie, instruktor tego lotu widzi w panelu pilota tylko informację, że orzeczenia ucznia brak, jest nieważne albo straci ważność przed lotem (bez treści orzeczenia), oraz tytuł komunikatu operacyjnego, którego uczeń jeszcze nie potwierdził — bo bez tego lot nie wystartuje. Powiadomienie na telefon nie mówi, o jaki dokument ani o jaki stan chodzi ani kogo: instruktor dostaje tylko informację, że lot DUAL o danej dacie i godzinie nie wystartuje i szczegóły są w aplikacji — bez imienia i nazwiska ucznia. Druga osoba w locie dostaje jedynie informację o sprawie w obsadzie — bez nazwiska i bez szczegółów. Mechanik nie widzi alertów o osobach. Alert na ekranie znika, gdy ustąpi przyczyna (np. zostanie zaakceptowane nowe orzeczenie) albo lot przestanie być aktualny. Powiadomienie o brakującym albo nieważnym dokumencie (orzeczenie, licencja, bieżącość) zostaje do czasu, aż dokument będzie ważny — także gdy lot się już odbył, rozpoczął albo wypadł poza najbliższe 14 dni; wcześniej znika tylko wtedy, gdy każdy lot, którego dotyczyło, zostanie odwołany albo usunięty, albo gdy konto tej osoby zostanie usunięte lub wygaszone. Pozostałe powiadomienia znikają razem z alertem. Żadnego powiadomienia nie kasujemy po upływie czasu.

Zgłoszenia zdarzeń lotniczych. Tożsamość osoby zgłaszającej zdarzenie widzi wyłącznie osoba wyznaczona do obsługi zgłoszeń (art. 6 ust. 1 rozporządzenia (UE) nr 376/2014); pozostali pracownicy otrzymują zgłoszenie pozbawione danych identyfikujących (art. 16 ust. 2). Zgłoszenie nie może być użyte przeciwko zgłaszającemu w postępowaniu dyscyplinarnym ani jako podstawa działań pracodawcy (art. 16 ust. 6, 7 i 9), z wyjątkiem umyślnego naruszenia oraz rażącego i oczywistego lekceważenia ryzyka (art. 16 ust. 10). Zestawienia przekazywane Urzędowi Lotnictwa Cywilnego nie zawierają danych osobowych (art. 16 ust. 3).

6b. Dziennik zmian w zapisach

Każda istotna zmiana w systemie trafia do dziennika zmian: kto ją wykonał (identyfikator konta i adres e-mail w chwili zmiany), kiedy, czego dotyczyła i jakie szczegóły miała. W szczególności zapisujemy tam treść uwag i usterek w raporcie z lotu sprzed i po zmianie, a przy skasowaniu wpisu w dzienniku technicznym (tech-logu) — jego kopię, razem z imionami osób, które usterkę zgłosiły, odroczyły albo zamknęły. Zapisujemy też zmiany ról i uprawnień kont, operacje finansowe, logowanie z nowego urządzenia (adres IP i identyfikator przeglądarki), usunięcie śladu GPS lotu (bez pozycji) oraz start lotu z instruktorem przez administratora mimo braku ważnego orzeczenia albo niepotwierdzonego komunikatu operacyjnego ucznia — tylko rodzaj braku, bez treści orzeczenia (36 miesięcy, jak cały dziennik).

• Cel: rozliczalność zmian (kto, kiedy i co zmienił), bezpieczeństwo kont oraz możliwość odtworzenia zapisów lotniczych i zapisów zdatności statku po ich zmianie lub skasowaniu.
• Podstawa: art. 6 ust. 1 lit. f RODO(rozliczalność i bezpieczeństwo); wpisy będące jedyną kopią zapisu o usterce albo cofniętym poświadczeniu obsługi (CRS) — art. 6 ust. 1 lit. c RODO w związku z obowiązkiem przechowywania zapisów zdatności (ML.A.305 lit. h).
• Okres: 36 miesięcy od zapisania; wpisy będące jedyną kopią zmienionego lub skasowanego zapisu o usterce albo cofniętego poświadczenia obsługi (CRS) — tak długo jak zapisy ciągłej zdatności (co najmniej 36 miesięcy, zapisy obsługowe do czasu zastąpienia nowszymi).
• Kto widzi: wyłącznie administrator.
• Po usunięciu albo wygaszeniu konta adres e-mail tego konta zastępujemy w dzienniku pseudonimem — wpisy nadal pokazują, że zmianę wykonało to samo konto, ale bez danych kontaktowych.

7. Twoje prawa

Posiadasz prawo do:

• dostępu do swoich danych — art. 15 RODO
• sprostowania danych — art. 16 RODO
• usunięcia danych — art. 17 RODO (z ograniczeniem opisanym niżej)
• ograniczenia przetwarzania — art. 18 RODO
• przenoszenia danych — art. 20 RODO
• sprzeciwu wobec przetwarzania — art. 21 RODO
• cofnięcia zgody w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania dokonanego wcześniej)
• wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl).

7a. Granice prawa do usunięcia danych

Prawo do bycia zapomnianym nie jest bezwzględne. Art. 17 ust. 3 lit. b i e RODO wyłącza je tam, gdzie przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego albo do ustalenia, dochodzenia lub obrony roszczeń. Lotnictwo cywilne jest dziedziną regulowaną: przepisy nakazują nam prowadzić i przechowywać zapisy lotów, zapisy zdatności statku, zapisy szkoleniowe oraz dokumentację księgową przez okresy wskazane w punkcie 6.

W praktyce oznacza to, że na żądanie usunięcia konta:

• konto, przy którym nie ma żadnych zapisów objętych obowiązkiem przechowywania, usuwamy w całości;
• konto, za którym ciągną się takie zapisy, wygaszamy: usuwamy hasło, dane kontaktowe, dwuetapową weryfikację i możliwość zalogowania, a zachowujemy zapisy oraz imię i nazwisko — bez nich zapis lotu przestaje być zapisem w rozumieniu przepisów lotniczych. W obu przypadkach adres e-mail w dzienniku zmian zastępujemy pseudonimem (punkt 6b). W dzienniku zmian zostaje na 36 miesięcy informacja o usunięciu albo wygaszeniu konta (imię i nazwisko, przy wygaszeniu także numer pilota) jako dowód wykonania żądania. Tożsamość usuwamy po upływie wszystkich okresów przechowywania.

O tym, który z tych scenariuszy Cię dotyczy, informujemy w odpowiedzi na żądanie. Pozostałe prawa — dostępu, sprostowania, ograniczenia i skargi do organu nadzorczego — przysługują bez zmian.

8. Dobrowolność podania danych

Podanie danych jest dobrowolne, lecz niezbędne do zawarcia umowy o wykonanie Lotu. Bez podania danych identyfikacyjnych (imię, nazwisko, e-mail, telefon) oraz danych technicznych pasażera (waga) nie będziemy w stanie zrealizować usługi z przyczyn bezpieczeństwa.

9. Decyzje zautomatyzowane

Administrator nie podejmuje wobec Ciebie decyzji w sposób zautomatyzowany, w tym profilowania, które wywołuje skutki prawne lub w podobny istotny sposób wpływa na Twoją osobę.