Polityka prywatności Flashpackers

Administratorem danych jest Flashpackers (PVT) LTD, spółka z ograniczoną odpowiedzialnością utworzona i zarejestrowana zgodnie z prawem Demokratyczno-Socjalistycznej Republiki Sri Lanki, z siedzibą pod adresem Lewis Place 222, 11500 Negombo, Sri Lanka, numer rejestracyjny PV00310133, TIN 169060312, dalej „Flashpackers” lub „my”.

W sprawach danych osobowych i wykonywania swoich praw możesz napisać na privacy@flashpackers.pl. W sprawach obsługi zapytań i działania serwisu skontaktujesz się z nami pod adresem hello@flashpackers.pl. Możesz również przesłać korespondencję na adres siedziby.

Siedziba spółki na Sri Lance nie wyłącza stosowania RODO do przetwarzania związanego z oferowaniem usług osobom znajdującym się w Unii Europejskiej. Polska wersja językowa i domena flashpackers.pl nie oznaczają, że operatorem serwisu jest spółka zarejestrowana w Polsce.

Polityka dotyczy odwiedzających stronę, osób korzystających z narzędzia planowania podróży, kierujących zapytania, umawiających konsultacje, otrzymujących oferty, zapisanych do newslettera, dokonujących rezerwacji, uczestniczących w podróży oraz wskazanych jako kontakt awaryjny.

Dane otrzymujemy przede wszystkim od Ciebie: przez stronę, formularze, e-mail, WhatsApp, podczas konsultacji i w dokumentach rezerwacyjnych. Informacje o uczestniku może przekazać lider rezerwacji, a dane kontaktu awaryjnego — uczestnik lub lider. W takim przypadku źródłem danych jest ta osoba.

Przekazując dane innych osób, poinformuj je o tym i udostępnij im tę politykę. Odpowiedzialność za wykonanie naszych obowiązków informacyjnych pozostaje po stronie Flashpackers. Jeśli dane otrzymujemy pośrednio, przekazujemy wymaganą informację co do zasady najpóźniej w ciągu miesiąca, a gdy wcześniej kontaktujemy się z daną osobą lub ujawniamy dane innemu odbiorcy — odpowiednio przy pierwszym kontakcie lub najpóźniej przy pierwszym ujawnieniu. Wyjątek stosujemy tylko wtedy, gdy pozwalają na to przepisy, na przykład gdy osoba ma już wymagane informacje.

Na etapie zapytania i planowania podróży przetwarzamy imię i nazwisko, e-mail, numer telefonu, preferowany sposób kontaktu, terminy, skład grupy, zainteresowania, preferencje dotyczące trasy, noclegów i budżetu oraz treść korespondencji. Zakres zależy od formularza i tego, co jest potrzebne do Twojego zapytania.

Przy rezerwacji mogą być potrzebne dodatkowo data urodzenia, obywatelstwo, dane do rozliczenia, dane lotów, numer i termin ważności paszportu oraz informacje dotyczące płatności, przyjętej oferty i akceptacji dokumentów. Nie pobieramy kopii ani skanów paszportów.

W przypadku kontaktu awaryjnego przetwarzamy imię i nazwisko, telefon, relację z uczestnikiem i język kontaktu. Informacje o zdrowiu i szczególnych potrzebach podlegają dodatkowym zasadom opisanym w punkcie 7. Dane małoletnich uczestników otrzymujemy od rodzica, opiekuna lub innej osoby mającej odpowiednie upoważnienie, tylko w zakresie potrzebnym do przygotowania i realizacji podróży. Nie kierujemy do dzieci newslettera ani nie wykorzystujemy ich danych do marketingu.

Newsletter wymaga adresu e-mail; imię jest opcjonalne. Przechowujemy również informacje potrzebne do potwierdzenia zapisu, zgody i rezygnacji.

Korzystanie ze strony i osadzonych usług wiąże się z przekazywaniem danych technicznych niezbędnych do komunikacji z serwerami, w tym adresu IP. Nie oznacza to automatycznie prowadzenia przez nas indywidualnej analityki zachowania. Zasady technologii strony opisuje punkt 11.

W zakresie stosowania RODO dobieramy podstawę do celu i relacji z daną osobą. Nie wymagamy jednej ogólnej zgody na całą obsługę podróży.

Zapytania, konsultacje i indywidualna oferta: dane osoby proszącej o ofertę wykorzystujemy do podjęcia działań przed zawarciem umowy na jej żądanie — art. 6 ust. 1 lit. b RODO. Inne zapytania obsługujemy na podstawie uzasadnionego interesu polegającego na prowadzeniu korespondencji i odpowiadaniu na pytania — art. 6 ust. 1 lit. f RODO.

Narzędzie planowania i udostępnienie wyniku: dane potrzebne do wykonania zamówionej przez użytkownika usługi lub przygotowania oferty przetwarzamy na podstawie art. 6 ust. 1 lit. b RODO.

Rezerwacja i wykonanie umowy: dane strony umowy przetwarzamy na podstawie art. 6 ust. 1 lit. b RODO. Dane pozostałych uczestników i kontaktów awaryjnych wykorzystujemy w uzasadnionym interesie organizacji i realizacji podróży, zapewnienia kontaktu oraz bezpieczeństwa — art. 6 ust. 1 lit. f RODO, po uwzględnieniu praw tych osób.

Newsletter i marketing e-mail: dane wykorzystujemy na podstawie dobrowolnej zgody — art. 6 ust. 1 lit. a RODO — oraz zgody na komunikację marketingową wymaganej właściwymi przepisami. Zgoda nie jest warunkiem przygotowania oferty ani rezerwacji.

Bezpieczeństwo, obsługa reklamacji oraz ustalenie, dochodzenie lub obrona roszczeń: podstawą jest nasz uzasadniony interes — art. 6 ust. 1 lit. f RODO. Obejmuje on również zachowanie niezbędnego dowodu zgody oraz respektowanie rezygnacji z marketingu.

Rozliczenia: dane wykorzystujemy do wykonania umowy oraz obowiązków rozliczeniowych. Art. 6 ust. 1 lit. c RODO stosujemy, gdy obowiązek wynika z mającego zastosowanie prawa UE lub państwa członkowskiego. W odniesieniu do obowiązków prawa Sri Lanki, w zakresie stosowania RODO, oceniamy podstawę uzasadnionego interesu prawidłowego rozliczania działalności i dokumentowania transakcji — art. 6 ust. 1 lit. f RODO.

Sytuacje nagłe: ochrona żywotnych interesów może stanowić podstawę z art. 6 ust. 1 lit. d RODO, a w odniesieniu do danych zdrowotnych także art. 9 ust. 2 lit. c RODO, wyłącznie przy spełnieniu warunków tych przepisów.

Podane preferencje i terminy służą dopasowaniu propozycji podróży. Wynik narzędzia jest punktem wyjścia do rozmowy z konsultantem; nie stanowi automatycznej rezerwacji ani decyzji zobowiązującej Cię do zakupu.

Jeżeli otrzymujesz link do wyniku, pozostaje on ważny przez 30 dni od wygenerowania. Na stronie wyniku z danych identyfikacyjnych prezentujemy tylko imię. Widoczne mogą być również informacje o proponowanej podróży wynikające z Twoich preferencji, dlatego traktuj link jako poufny. Osoba posiadająca link może zobaczyć wynik.

Po upływie 30 dni dostęp wygasa automatycznie. Nie udostępniamy przycisku samodzielnego unieważnienia linku; w razie jego ujawnienia lub żądania usunięcia danych skontaktuj się z nami. Wygaśnięcie dostępu nie oznacza automatycznego usunięcia danych dotyczących prowadzonego zapytania lub rezerwacji.

Jeżeli funkcja zapisu jest udostępniona, newsletter działa na następujących zasadach. Zapis wymaga potwierdzenia adresu e-mail przez link w wiadomości. Nie dopisujemy do newslettera automatycznie osób, które wysłały zapytanie, umówiły konsultację lub dokonały rezerwacji.

W każdej chwili możesz wycofać zgodę, korzystając z linku rezygnacji w newsletterze lub kontaktując się z nami. Wycofanie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania. Rezygnacja zatrzymuje wiadomości marketingowe, ale nie korespondencję niezbędną do obsługi odrębnego zapytania lub umowy.

Dowód zapisu obejmuje adres e-mail, datę i źródło zapisu, treść lub wersję zgody oraz informację o potwierdzeniu i rezygnacji. Nie stosujemy indywidualnego śledzenia otwarć ani kliknięć w newsletterze. Informacje o skuteczności doręczenia wykorzystujemy do obsługi wysyłki. Minimalną informację o wypisaniu zachowujemy odrębnie od aktywnej listy, aby zapobiec ponownemu dopisaniu bez nowej zgody.

Informacje o alergiach, ograniczeniach ruchowych, zdrowiu lub diecie przekazuj tylko w zakresie potrzebnym do bezpiecznego przygotowania i realizacji podróży. Nie przesyłaj pełnej dokumentacji medycznej ani informacji nieistotnych dla zamawianych usług. Preferencje żywieniowe mogą ujawniać zdrowie lub inne szczególnie chronione informacje.

Co do zasady takie dane przetwarzamy na podstawie odrębnej, wyraźnej zgody osoby, której dotyczą — art. 6 ust. 1 lit. a oraz art. 9 ust. 2 lit. a RODO. Treść zgody określa, czy dotyczy przygotowania propozycji, realizacji podróży i udostępnienia niezbędnych informacji odpowiednim usługodawcom.

Lider przekazujący takie informacje o innych osobach powinien mieć ich upoważnienie oraz przekazać ich wyraźną zgodę w sposób umożliwiający jej wykazanie. W przypadku dziecka działa osoba uprawniona do jego reprezentowania. Samo zaakceptowanie regulaminu nie zastępuje zgody na dane zdrowotne.

Zgodę możesz wycofać przez privacy@flashpackers.pl. Może to uniemożliwić uwzględnienie określonych potrzeb lub wykonanie konkretnego świadczenia wymagającego tych danych; nie oznacza automatycznie niemożności realizacji całej podróży.

Dostęp do danych mają upoważnione osoby obsługujące zapytania i podróże. Niezbędne informacje przekazujemy obiektom noclegowym, kierowcom, przewodnikom, lokalnym koordynatorom i operatorom zamówionych świadczeń. Zakres zależy od zadania; nie każdy partner otrzymuje całą dokumentację.

Korzystamy również z dostawców poczty, hostingu, systemów treści, przechowywania dokumentów, komunikacji, konsultacji, fakturowania i automatyzacji. Infrastruktura strony obejmuje Vercel, Sanity i OVH. Zapytania obsługujemy za pośrednictwem poczty elektronicznej i CRM prowadzonego w arkuszach Excel oraz wykorzystywanych kanałów komunikacji. W zakresie udostępnionych funkcji korzystamy z TidyCal do umawiania konsultacji, MailerLite do newslettera oraz Vimeo do filmów. Automatyzację opisuje punkt 9. Dostępność funkcji nie oznacza przekazania danych każdemu z tych dostawców.

Otwarcie osadzonego materiału lub przejście do zewnętrznej usługi może wiązać się również z przetwarzaniem danych przez jej dostawcę dla jego własnych celów. Informację o dostawcy i jego zasadach prywatności udostępniamy przy danej funkcji. Nie sprzedajemy danych klientów ani nie udostępniamy ich innym firmom na potrzeby ich własnego marketingu.

Dane mogą otrzymywać także banki, dostawcy płatności, księgowość, doradcy prawni i właściwe organy publiczne, gdy istnieje podstawa do ich udostępnienia. Podmioty działające na nasze zlecenie przetwarzają dane w ramach powierzonych zadań; inne, na przykład bank lub niezależny usługodawca, mogą działać jako odrębni administratorzy.

Nie publikujemy w repozytorium kodu danych klientów ani dokumentów rezerwacyjnych. Podanie danych do jednego celu nie oznacza udostępnienia ich wszystkim wymienionym dostawcom.

Narzędzia automatyzacji i AI wspierają porządkowanie zapytań, przepływ informacji między pocztą i CRM oraz przygotowanie roboczych dokumentów i materiałów. W tym celu mogą być przetwarzane dane kontaktowe i informacje o planowanej podróży, w zakresie potrzebnym do danej czynności.

Automatyzacja wspiera cel, dla którego otrzymaliśmy dane; nie stanowi odrębnego upoważnienia do dowolnego ich wykorzystania. Ograniczamy zakres danych przekazywanych do AI; jeżeli do zadania nie jest potrzebna tożsamość klienta, usuwamy dane identyfikacyjne. Nie wykorzystujemy danych klientów do trenowania ogólnodostępnych modeli AI. Do automatyzacji obsługi dopuszczamy wyłącznie konfiguracje i warunki dostawcy zapewniające takie ograniczenie. Dokumentacja zdrowotna i paszportowa nie trafia do ogólnych narzędzi AI w ramach rutynowej automatyzacji.

Propozycje podróży i materiały wymagające oceny oferty lub zobowiązania wobec klienta podlegają kontroli zespołu. Dopasowanie propozycji na podstawie Twoich preferencji może stanowić profilowanie: odpowiedzi służą wskazaniu odpowiednich wariantów, które możesz omówić lub zmienić z konsultantem. Nie powoduje to automatycznej odmowy obsługi ani zawarcia umowy. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, wywołujących skutki prawne lub w podobny sposób istotnie na Ciebie wpływających.

Flashpackers ma siedzibę na Sri Lance. Obsługa zapytań i organizacja podróży wiążą się z przetwarzaniem danych w tym kraju. Sri Lanka nie jest objęta decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony danych. Ochrona i dostępne środki dochodzenia praw mogą różnić się od tych obowiązujących w EOG.

Przekazanie nam danych bezpośrednio przez Ciebie nie jest samo w sobie przekazaniem między administratorem lub podmiotem przetwarzającym a innym odbiorcą w rozumieniu rozdziału V RODO. Nie zwalnia nas to z obowiązków ochrony tych danych. Odrębnej oceny wymaga udostępnienie ich innym podmiotom, w tym dostawcom chmurowym i lokalnym usługodawcom, również gdy oba podmioty znajdują się na Sri Lance.

Dalsze przekazywanie wymagające zastosowania rozdziału V RODO może odbywać się wyłącznie na właściwej podstawie: decyzji o odpowiednim stopniu ochrony obejmującej danego odbiorcę albo odpowiednich zabezpieczeń, takich jak właściwe standardowe klauzule umowne wraz z oceną warunków przekazania i, gdy jest to potrzebne, dodatkowymi środkami ochrony. Nie zakładamy, że sama nazwa międzynarodowego dostawcy lub członkostwo innej spółki z jego grupy w programie ochrony danych wystarcza dla każdego przepływu.

Wyjątki dotyczące przekazania niezbędnego do wykonania konkretnej umowy podróży mogą być stosowane tylko w granicach art. 49 RODO. Nie stanowią ogólnej podstawy stałej obsługi CRM, hostingu, newslettera ani AI. Zgoda na newsletter lub akceptacja regulaminu nie jest zgodą na dowolne przekazanie danych poza EOG.

Możesz uzyskać informacje o odbiorcach, państwach przetwarzania oraz podstawach i zabezpieczeniach dotyczących Twoich danych, w tym kopię stosowanych zabezpieczeń, pisząc na privacy@flashpackers.pl. Chroniąc prawa innych osób i tajemnice handlowe, możemy ograniczyć ujawniane fragmenty dokumentów, ale przekazujemy informacje pozwalające zrozumieć stosowaną ochronę.

Do wyświetlenia strony oraz odtwarzania filmów i umawiania konsultacji potrzebna jest komunikacja z serwerami właściwych usług. Osadzenia Vimeo i TidyCal mogą otrzymywać dane techniczne urządzenia i połączenia. Podobne zasady dotyczą osadzonych treści z mediów społecznościowych.

Cookies i podobne technologie mogą służyć działaniu funkcji, bezpieczeństwu lub dodatkowym celom dostawcy. Brak osobnego narzędzia analityki strony nie oznacza automatycznie braku takich technologii.

Technologie, które nie są niezbędne i wymagają zgody, uruchamiamy dopiero po jej uzyskaniu. Zgodę można wycofać równie łatwo, jak ją wyrażono, przez udostępnione ustawienia prywatności danej funkcji. Odmowa nie blokuje dostępu do podstawowej treści serwisu, choć może uniemożliwić korzystanie z danego osadzenia. Dostępne ustawienia przeglądarki pozwalają ograniczyć przechowywanie danych na urządzeniu; nie zastępują one obowiązków Flashpackers dotyczących zgód.

Nie prowadzimy własnej analityki ruchu ani reklamowego śledzenia użytkowników serwisu. Ewentualne wprowadzenie takich narzędzi wymaga wcześniejszego poinformowania użytkowników oraz uzyskania zgody, gdy jest wymagana. Samo zapoznanie się z tą polityką nie stanowi zgody na śledzenie. O celu, dostawcy i czasie działania technologii wymagającej zgody informujemy przed jej uruchomieniem.

Filmy mogą odtwarzać się automatycznie bez dźwięku, jeżeli pozwalają na to ustawienia prywatności i przeglądarki. Możesz zatrzymać odtwarzanie. W sprawie konsultacji lub informacji przedstawionych w niedostępnym osadzeniu możesz skontaktować się z nami e-mailem.

Zapytania, które nie kończą się rezerwacją, i związane z nimi dane w poczcie oraz CRM: zasadniczo do 12 miesięcy od ostatniego merytorycznego kontaktu. Automatyczna wiadomość nie rozpoczyna tego okresu na nowo.

Samodzielny wynik planowania bez dalszego zapytania lub rezerwacji: do 90 dni od utworzenia, po czym jest usuwany lub nieodwracalnie anonimizowany. Link dostępowy wygasa wcześniej, po 30 dniach. Po powiązaniu wyniku z zapytaniem lub rezerwacją stosujemy okres właściwy dla tej obsługi.

Dane operacyjne podróży, w tym dane zdrowotne, paszportowe i kontaktu awaryjnego: zasadniczo do 3 miesięcy po zakończeniu podróży lub zamknięciu odwołanej rezerwacji. Wyodrębniamy informacje nadal niezbędne do konkretnej reklamacji, incydentu, sporu lub obowiązku prawnego.

Umowy, dowody akceptacji, faktury i rozliczenia: przez okres wymagany właściwymi przepisami oraz niezbędny do ustalenia, dochodzenia lub obrony roszczeń. Okres zależy od rodzaju dokumentu i terminów przedawnienia; nie obejmujemy nim automatycznie wszystkich danych operacyjnych podróży.

Niepotwierdzony zapis do newslettera: do 30 dni. Aktywna subskrypcja: do rezygnacji lub zakończenia usługi. Po 24 miesiącach od ostatniego potwierdzenia zainteresowania prosimy o ponowne potwierdzenie; jego brak przez 30 dni kończy wysyłkę.

Minimalny dowód zgody i rezygnacji: do 3 lat po zakończeniu subskrypcji, wyłącznie w celach dowodowych. Minimalną informację zapobiegającą nieuprawnionemu ponownemu dopisaniu przechowujemy przez czas jej niezbędności i przeglądamy co najmniej raz w roku.

Zwykłe logi techniczne: do 30 dni. Dane dotyczące konkretnego incydentu mogą być wyodrębnione na okres potrzebny do jego wyjaśnienia i ochrony roszczeń. Kopie zapasowe podlegają rotacji do 90 dni, mają ograniczony dostęp i nie służą bieżącemu marketingowi; po przywróceniu danych ponawiamy wcześniejsze usunięcia.

Jeżeli cel ustaje wcześniej, usuwamy dane wcześniej, chyba że istnieje inna właściwa podstawa dalszego przetwarzania. Konkretne dane objęte obowiązkiem prawnym lub sporem zachowujemy tylko w potrzebnym zakresie i czasie.

W zakresie przewidzianym RODO możesz żądać dostępu do danych i ich kopii, sprostowania, usunięcia lub ograniczenia przetwarzania. Gdy spełnione są warunki przenoszenia danych, możesz otrzymać je w ustrukturyzowanym, powszechnie używanym formacie lub żądać ich przekazania innemu administratorowi.

Możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie z przyczyn związanych z Twoją szczególną sytuacją. Wobec przetwarzania na potrzeby marketingu bezpośredniego możesz sprzeciwić się w każdej chwili. Zgodę możesz wycofać równie łatwo, jak została udzielona.

Wnioski kieruj na privacy@flashpackers.pl. Realizacja praw jest co do zasady bezpłatna. Możemy pobrać uzasadnioną opłatę lub odmówić realizacji żądania tylko w przypadkach przewidzianych w RODO, w szczególności przy żądaniach ewidentnie nieuzasadnionych lub nadmiernych. Nie wymagamy zakładania konta. Jeśli mamy uzasadnione wątpliwości co do tożsamości, poprosimy tylko o informacje niezbędne do jej potwierdzenia. Odpowiadamy co do zasady w ciągu miesiąca; ewentualne ustawowe przedłużenie wyjaśnimy wraz z przyczyną.

Możesz złożyć skargę do właściwego organu nadzorczego, w szczególności w państwie zwykłego pobytu, pracy lub domniemanego naruszenia. W Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych, uodo.gov.pl. Wcześniejszy kontakt z nami nie jest warunkiem złożenia skargi.

Podanie danych jest dobrowolne. Brak danych niezbędnych do obsługi zapytania, konsultacji lub rezerwacji może uniemożliwić wykonanie danej czynności. Brak zgody marketingowej nie ogranicza tych usług. O skutkach nieprzekazania danych zdrowotnych informujemy w odniesieniu do konkretnej potrzeby lub świadczenia.

Dostęp do danych ograniczamy do osób i podmiotów, które potrzebują ich do swoich zadań. Nie wysyłaj nam danych nadmiarowych, haseł ani pełnych danych kart płatniczych. Jeżeli podejrzewasz ujawnienie danych lub linku do wyniku, skontaktuj się z nami.

Politykę aktualizujemy, gdy zmieniają się nasze procesy, narzędzia, usługi, dane kontaktowe lub obowiązki prawne. Aktualna wersja jest dostępna w serwisie wraz z datą obowiązywania. O zmianach informujemy w sposób wymagany przepisami, w szczególności przed rozpoczęciem nowego wykorzystania danych, jeżeli wymaga ono uprzedniej informacji lub zgody.

Zmiana polityki nie stanowi sama w sobie nowej zgody ani nie rozszerza wcześniejszej zgody. Poprzednie wersje zachowujemy w celu wykazania informacji przekazywanych w danym okresie.

Tłumaczenia treści pierwotnie opracowanych w języku angielskim na język polski lub inne języki udostępniamy wyłącznie w celu ułatwienia korzystania z serwisu i zapoznania się z informacjami o naszych usługach. Udostępnienie tłumaczenia nie zmienia tożsamości ani kraju rejestracji Flashpackers. W razie rozbieżności wersja angielska może służyć wyjaśnieniu znaczenia treści, jeżeli została udostępniona jako jej wersja źródłowa. Nie wyłącza to wiążącego charakteru informacji przekazanych użytkownikowi, obowiązków informacyjnych ani ochrony przyznanej konsumentowi przez bezwzględnie obowiązujące przepisy. Niejasnych postanowień umownych nie interpretujemy na niekorzyść konsumenta wyłącznie z powodu różnicy językowej.

Pytania i żądania dotyczące danych możesz kierować do nas po polsku lub angielsku.