Polityka Prywatności

§ 1. Słownik pojęć

• Administrator – Cluster S.A. z siedzibą w Krakowie (30-039), ul. Józefitów 8, KRS 0000930849, NIP 6772470720, REGON 520387924.
• RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r.
• Dane osobowe – wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
• Podmiot przetwarzający (procesor) – podmiot przetwarzający dane w imieniu Administratora na podstawie umowy powierzenia (DPA).
• Aplikacja CRM – platforma zarządzania przestrzeniami dostępna pod adresem app.clusteroffices.com.
• Strona www – strona informacyjna dostępna pod adresem clusteroffices.com (platforma Webflow).
• Brain – wewnętrzny system operacyjny Cluster S.A. dostępny pod adresem brain.clusteroffices.com (serwer Hetzner, Niemcy).
• EOG – Europejski Obszar Gospodarczy.
• DPF – EU-US Data Privacy Framework (Decyzja Komisji 2023/1795 z 10.07.2023 r.).
• SCC – Standardowe Klauzule Umowne (Decyzja Komisji 2021/914).
• UODO – Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

§ 2. Administrator danych i kontakt

Administratorem Twoich danych osobowych jest Cluster S.A. z siedzibą w Krakowie (30-039), ul. Józefitów 8, wpisana do rejestru przedsiębiorców KRS pod numerem 0000930849.

Administrator nie wyznaczył Inspektora Ochrony Danych (IOD). Obowiązek wyznaczenia IOD nie dotyczy Administratora w aktualnym zakresie działalności (art. 37 RODO).

§ 3. Zakres stosowania

Niniejsza Polityka Prywatności opisuje zasady przetwarzania danych osobowych przez Cluster S.A. w ramach całej działalności operacyjnej firmy, w tym:

• Świadczenia usług najmu i coworkingowych dla klientów (Aplikacja CRM)
• Obsługi potencjalnych klientów i prowadzenia sprzedaży (Pipedrive, e-mail)
• Prowadzenia strony informacyjnej i działań marketingowych (clusteroffices.com)
• Zarządzania operacjami wewnętrznymi (Brain, Google Workspace)
• Monitoringu fizycznego przestrzeni (CCTV)
• Zatrudniania i obsługi pracowników oraz współpracowników

§ 4. Cele i podstawy prawne przetwarzania

a) Wykonanie umowy — art. 6 ust. 1 lit. b RODO

• Rejestracja i zarządzanie kontem klienta w Aplikacji CRM
• Obsługa rezerwacji przestrzeni (biura serwisowane, coworking, sale spotkań)
• Realizacja subskrypcji coworkingowych i karnetów wstępów
• Obsługa dostaw i rejestracja gości
• Generowanie faktur, obsługa płatności i rozliczeń
• Obsługa zapytań ofertowych (działania pre-kontraktowe)

b) Obowiązki prawne — art. 6 ust. 1 lit. c RODO

• Wystawianie i przechowywanie faktur VAT (ustawa o rachunkowości, art. 74 — 5 lat)
• Realizacja obowiązków podatkowych (US, ZUS)
• Prowadzenie dokumentacji pracowniczej (Kodeks pracy)
• Obsługa żądań organów publicznych

c) Uzasadniony interes Administratora — art. 6 ust. 1 lit. f RODO

• Bezpieczeństwo systemów informatycznych i fizyczne (monitoring CCTV)
• Wykrywanie nadużyć i zapobieganie fraudom
• Analiza statystyczna i optymalizacja usług
• Obsługa korespondencji i komunikacja biznesowa z klientami
• Prowadzenie ewidencji sprzedaży i pipeline’u sprzedażowego (Pipedrive)
• Marketing bezpośredni skierowany do istniejących klientów

d) Zgoda — art. 6 ust. 1 lit. a RODO

• Wysyłanie powiadomień e-mail i SMS o charakterze marketingowym
• Zapisanie preferencji cookies analitycznych i śledzących (strona www)

§ 5. Jakie dane zbieramy i w jakim kontekście

5.1 Klienci i najemcy (Aplikacja CRM)

• Dane identyfikacyjne: imię, nazwisko, e-mail, telefon
• Dane firmowe: nazwa firmy, NIP, REGON, KRS, adres siedziby
• Dane dostępowe: login, hasło (zaszyfrowane przez Supabase Auth)
• Dane transakcyjne: historia rezerwacji, faktury, płatności, subskrypcje, karnety
• Dane techniczne: adres IP, identyfikator urządzenia, logi sesji
• Dane usługowe: hasła do drukarek i sieci WiFi (dla najemców biurowych)
• Zdjęcia profilowe (opcjonalnie, Supabase Storage)

5.2 Potencjalni klienci i leady

• Imię, nazwisko, e-mail, telefon
• Nazwa i dane firmy (jeśli podane)
• Historia zapytań i kontaktów handlowych
• Status i etap procesu sprzedażowego

5.3 Odwiedzający stronę www (clusteroffices.com)

• Dane analityczne: adres IP (zanonimizowany), pliki cookies (Google Analytics 4)
• Nagrania sesji i mapy cieplne (Hotjar) — po udzieleniu zgody
• Dane reklamowe: Meta Pixel — śledzenie konwersji i remarketing; po udzieleniu zgody
• Analityka SEO: Ahrefs Analytics (analytics.ahrefs.com) — cookie-free; podstawa: art. 6(1)(f)
• Dane z formularzy: imię, e-mail, treść wiadomości

5.4 Odwiedzający przestrzenie Cluster (fizycznie)

• Rejestracja gości: imię, nazwisko, firma, czas wizyty, gospodarz wizyty
• Monitoring CCTV: wizerunek (zapis wizyjny) — szczegóły w § 11

5.5 Pracownicy i współpracownicy

Przetwarzanie danych pracowników odbywa się na odrębnych podstawach prawnych (Kodeks pracy, ZUS, US). Pracownicy otrzymują odrębną klauzulę informacyjną RODO przy podpisaniu umowy.

§ 6. Jak długo przechowujemy dane

§ 7. Systemy informatyczne

§ 8. Komu przekazujemy dane (procesory)

8.1 Platforma CRM

8.2 Strona www

8.3 Systemy operacyjne i sprzedażowe

Administrator nie sprzedaje danych osobowych podmiotom trzecim w celach komercyjnych.

§ 9. Przekazywanie danych poza EOG

Część procesorów ma siedzibę w Stanach Zjednoczonych. Transfer danych do USA odbywa się na podstawie Decyzji Wykonawczej KE 2023/1795 z 10.07.2023 r. (EU-US Data Privacy Framework, art. 45 RODO) lub Standardowych Klauzul Umownych (Decyzja 2021/914, art. 46 RODO).

Wszyscy procesorzy z certyfikatem DPF zweryfikowani w rejestrze dataprivacyframework.gov. W przypadku utraty certyfikatu Administrator niezwłocznie zastosuje SCC.

§ 10. Pliki cookies i technologie śledzące

Aplikacja CRM (app.clusteroffices.com)

• Cookies niezbędne: sesja użytkownika, preferencje językowe — podstawa: art. 6(1)(b), nie wymagają zgody
• Microsoft Clarity: analiza zachowania — wyłączone dla pracowników wewnętrznych; identyfikacja pseudonimowa; podstawa: art. 6(1)(f)
• Sentry: monitorowanie błędów technicznych; podstawa: art. 6(1)(f)

Strona www (clusteroffices.com)

• Cookies niezbędne: działanie strony Webflow — nie wymagają zgody
• Google Analytics 4: analiza ruchu — wymagana zgoda; IP masking włączony; retencja 14 mies.
• Hotjar: nagrania sesji i mapy cieplne — wymagana zgoda; retencja 365 dni
• Meta Pixel: śledzenie konwersji i remarketing — wymagana zgoda
• Ahrefs Analytics: analityka SEO (cookie-free) — bez zgody; podstawa: art. 6(1)(f)

Zarządzanie zgodami: banner cookies na stronie www przy pierwszej wizycie. W aplikacji — Ustawienia › Prywatność.

§ 11. Monitoring wizyjny (CCTV)

§ 12. Twoje prawa

§ 13. Bezpieczeństwo danych

• Szyfrowanie danych w tranzycie (TLS 1.2/1.3) i w spoczynku (AES-256 — Supabase)
• Uwierzytelnianie wieloskładnikowe dostępne dla kont użytkowników
• Row Level Security (RLS) — każdy użytkownik widzi wyłącznie własne dane
• Pseudonimizacja danych analitycznych (Microsoft Clarity, GA4)
• Codzienne kopie zapasowe bazy danych na Cloudflare R2 (retencja 365 dni)
• Monitoring błędów i alertów bezpieczeństwa w czasie rzeczywistym (Sentry)
• Dostęp do danych produkcyjnych ograniczony do upoważnionych pracowników
• System Brain: Google OAuth z ograniczeniem do @clusteroffices.com + system ról

W przypadku naruszenia ochrony danych Administrator zgłosi incydent do UODO w terminie 72 godzin od stwierdzenia naruszenia (art. 33 RODO) i powiadomi poszkodowane osoby w razie wysokiego ryzyka (art. 34 RODO).

§ 14. Zmiany polityki prywatności

Administrator zastrzega sobie prawo do zmiany niniejszej Polityki. O istotnych zmianach poinformuje użytkowników Aplikacji (powiadomieniem lub e-mailem) oraz odwiedzających stronę www (banerem informacyjnym).

Data ostatniej aktualizacji: maj 2026 (wersja 2.0). Poprzednia wersja dostępna na wniosek: hi@clusteroffices.com.