Polityka Prywatności

§ 1. Słownik pojęć

• Administrator – Cluster S.A. z siedzibą w Krakowie (30-039), ul. Józefitów 8, KRS 0000930849, NIP 6772470720, REGON 520387924.
• RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r.
• Dane osobowe – wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
• Podmiot przetwarzający (procesor) – podmiot przetwarzający dane w imieniu Administratora na podstawie umowy powierzenia (DPA).
• Aplikacja CRM – platforma zarządzania przestrzeniami dostępna pod adresem app.clusteroffices.com.
• Strona www – strona informacyjna dostępna pod adresem clusteroffices.com (platforma Webflow).
• Brain – wewnętrzny system operacyjny Cluster S.A. dostępny pod adresem brain.clusteroffices.com (serwer Hetzner, Niemcy).
• EOG – Europejski Obszar Gospodarczy.
• DPF – EU-US Data Privacy Framework (Decyzja Komisji 2023/1795 z 10.07.2023 r.).
• SCC – Standardowe Klauzule Umowne (Decyzja Komisji 2021/914).
• UODO – Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

§ 2. Administrator danych i kontakt

Administratorem Twoich danych osobowych jest Cluster S.A. z siedzibą w Krakowie (30-039), ul. Józefitów 8, wpisana do rejestru przedsiębiorców KRS pod numerem 0000930849.

Administrator nie wyznaczył Inspektora Ochrony Danych (IOD). Obowiązek wyznaczenia IOD nie dotyczy Administratora w aktualnym zakresie działalności (art. 37 RODO).

§ 3. Zakres stosowania

Niniejsza Polityka Prywatności opisuje zasady przetwarzania danych osobowych przez Cluster S.A. w ramach całej działalności operacyjnej firmy, w tym:

• świadczenia usług najmu i coworkingowych dla klientów (Aplikacja CRM)
• obsługi potencjalnych klientów i prowadzenia sprzedaży (Pipedrive, e-mail)
• prowadzenia strony informacyjnej i działań marketingowych (clusteroffices.com)
• zarządzania operacjami wewnętrznymi (Brain, Google Workspace)
• monitoringu fizycznego przestrzeni (CCTV)
• zatrudniania i obsługi pracowników oraz współpracowników

§ 4. Cele i podstawy prawne przetwarzania

a) Wykonanie umowy — art. 6 ust. 1 lit. b RODO

• Rejestracja i zarządzanie kontem klienta w Aplikacji CRM
• Obsługa rezerwacji przestrzeni (biura serwisowane, coworking, sale spotkań)
• Realizacja subskrypcji coworkingowych i karnetów wstępów
• Obsługa dostaw i rejestracja gości
• Generowanie faktur, obsługa płatności i rozliczeń
• Obsługa zapytań ofertowych (działania pre-kontraktowe)

b) Obowiązki prawne — art. 6 ust. 1 lit. c RODO

• Wystawianie i przechowywanie faktur VAT (ustawa o rachunkowości, art. 74 — 5 lat)
• Realizacja obowiązków podatkowych (US, ZUS)
• Prowadzenie dokumentacji pracowniczej (Kodeks pracy)
• Obsługa żądań organów publicznych (sądy, prokuratura, organy skarbowe)

c) Uzasadniony interes Administratora — art. 6 ust. 1 lit. f RODO

• Bezpieczeństwo systemów informatycznych i fizyczne (monitoring CCTV)
• Wykrywanie nadużyć i zapobieganie fraudom
• Analiza statystyczna i optymalizacja usług
• Obsługa korespondencji i komunikacja biznesowa z klientami i prospektami
• Prowadzenie ewidencji sprzedaży i pipeline'u sprzedażowego (Pipedrive)
• Marketing bezpośredni skierowany do istniejących klientów (art. 47 motyw RODO)

d) Zgoda — art. 6 ust. 1 lit. a RODO

• Wysyłanie powiadomień e-mail i SMS o charakterze marketingowym do nowych odbiorców
• Zapisanie preferencji cookies analitycznych i śledzących (strona www)

§ 5. Jakie dane zbieramy i w jakim kontekście

5.1 Klienci i najemcy (Aplikacja CRM)

• Dane identyfikacyjne: imię, nazwisko, e-mail, telefon
• Dane firmowe: nazwa firmy, NIP, REGON, KRS, adres siedziby
• Dane dostępowe: login, hasło (zaszyfrowane przez Supabase Auth)
• Dane transakcyjne: historia rezerwacji, faktury, płatności, subskrypcje, karnety
• Dane techniczne: adres IP, identyfikator urządzenia, logi sesji, zdarzenia bezpieczeństwa
• Dane usługowe: hasła do drukarek i sieci WiFi (dla najemców biurowych)
• Zdjęcia profilowe (opcjonalnie, Supabase Storage)

5.2 Potencjalni klienci i leady (Pipedrive, e-mail)

• Imię, nazwisko, e-mail, telefon
• Nazwa i dane firmy (jeśli podane)
• Historia zapytań i kontaktów handlowych
• Status i etap procesu sprzedażowego

5.3 Odwiedzający stronę www (clusteroffices.com)

• Dane analityczne: adres IP (zanonimizowany), pliki cookies (Google Analytics 4)
• Nagrania sesji i mapy cieplne (Hotjar) — po udzieleniu zgody
• Dane reklamowe: Meta Pixel — śledzenie konwersji i remarketing; po udzieleniu zgody
• Analityka SEO: Ahrefs Analytics (analytics.ahrefs.com) — cookie-free; podstawa: art. 6(1)(f)
• Dane z formularzy: imię, e-mail, treść wiadomości

5.4 Odwiedzający przestrzenie Cluster (fizycznie)

• Rejestracja gości: imię, nazwisko, firma, czas wizyty, gospodarz wizyty
• Monitoring CCTV: wizerunek (zapis wizyjny) — szczegóły w § 11

5.5 Pracownicy i współpracownicy

Przetwarzanie danych pracowników odbywa się na odrębnych podstawach prawnych (Kodeks pracy, ZUS, US). Pracownicy otrzymują odrębną klauzulę informacyjną RODO przy podpisaniu umowy. Narzędzia z dostępem do danych pracowników: Google Workspace, Brain, Pipedrive, Aplikacja CRM (rola staff).

§ 6. Jak długo przechowujemy dane

§ 7. Systemy informatyczne — przegląd

§ 8. Komu przekazujemy dane (procesory)

Administrator korzysta z usług podmiotów przetwarzających (procesorów) na podstawie umów powierzenia (DPA). Poniżej pełna lista:

8.1 Platforma CRM (app.clusteroffices.com)

8.2 Strona www (clusteroffices.com)

8.3 Systemy operacyjne i sprzedażowe

* Pipedrive: Na dzień sporządzenia dokumentu Administrator korzysta z mechanizmu SCC. Administrator zweryfikuje status certyfikacji DPF Pipedrive i zaktualizuje niniejszy punkt stosownie do wyniku weryfikacji.

Administrator nie sprzedaje danych osobowych podmiotom trzecim w celach komercyjnych.

§ 9. Przekazywanie danych poza EOG

Część procesorów Administratora ma siedzibę w Stanach Zjednoczonych. Transfer danych do USA odbywa się na podstawie Decyzji Wykonawczej Komisji Europejskiej 2023/1795 z 10.07.2023 r. (EU-US Data Privacy Framework, art. 45 RODO) lub Standardowych Klauzul Umownych (Decyzja 2021/914, art. 46 RODO).

Wszyscy procesorzy z siedzibą w USA posiadający certyfikat DPF zostali zweryfikowani w rejestrze Departamentu Handlu USA (dataprivacyframework.gov). W przypadku utraty certyfikatu Administrator niezwłocznie zastosuje SCC jako mechanizm zastępczy.

§ 10. Pliki cookies i technologie śledzące

Aplikacja CRM (app.clusteroffices.com)

• Cookies niezbędne: sesja użytkownika (Supabase Auth), preferencje językowe — podstawa: art. 6(1)(b), nie wymagają zgody
• Microsoft Clarity: analiza zachowania zalogowanych użytkowników — wyłączone dla pracowników wewnętrznych (staff); identyfikacja pseudonimowa (user ID + session ID, bez adresu e-mail); podstawa: art. 6(1)(f)
• Sentry: monitorowanie błędów technicznych — dane techniczne (stack trace, URL, user ID); podstawa: art. 6(1)(f)

Strona www (clusteroffices.com)

• Cookies niezbędne: działanie strony Webflow — nie wymagają zgody
• Google Analytics 4: analiza ruchu, źródła wizyt — wymagana zgoda; IP masking włączony; retencja 14 miesięcy
• Hotjar: nagrania sesji i mapy cieplne — wymagana zgoda; retencja 365 dni
• Meta Pixel: śledzenie konwersji i remarketing — wymagana zgoda
• Ahrefs Analytics: analityka SEO (analytics.ahrefs.com) — bez zgody (narzędzie cookie-free); podstawa: art. 6(1)(f) — uzasadniony interes (analiza SEO)

Zarządzanie zgodami: Na stronie www — banner cookies przy pierwszej wizycie. W aplikacji — Ustawienia › Prywatność.

§ 11. Monitoring wizyjny (CCTV)

§ 12. Twoje prawa

§ 13. Bezpieczeństwo danych

• Szyfrowanie danych w tranzycie (TLS 1.2/1.3) i w spoczynku (AES-256 — Supabase)
• Uwierzytelnianie wieloskładnikowe dostępne dla kont użytkowników aplikacji
• Row Level Security (RLS) — każdy użytkownik widzi wyłącznie własne dane
• Pseudonimizacja danych analitycznych (Microsoft Clarity, GA4)
• Automatyczna rotacja logów bezpieczeństwa (30 dni)
• Codzienne kopie zapasowe bazy danych na Cloudflare R2 (retencja 365 dni)
• Monitoring błędów i alertów bezpieczeństwa w czasie rzeczywistym (Sentry)
• Dostęp do danych produkcyjnych ograniczony wyłącznie do upoważnionych pracowników
• System Brain: Google OAuth z ograniczeniem do domeny @clusteroffices.com + system ról (ADMIN/FINANCE/SALES/MARKETING)

W przypadku naruszenia ochrony danych osobowych Administrator zgłosi incydent do UODO w terminie 72 godzin od stwierdzenia naruszenia (art. 33 RODO) oraz powiadomi poszkodowane osoby, jeśli naruszenie może powodować wysokie ryzyko dla ich praw i wolności (art. 34 RODO).

§ 14. Zmiany polityki prywatności

Administrator zastrzega sobie prawo do zmiany niniejszej Polityki. O istotnych zmianach poinformuje użytkowników Aplikacji (powiadomieniem w aplikacji lub e-mailem) oraz odwiedzających stronę www (banerem informacyjnym).

Data ostatniej aktualizacji: maj 2026 (wersja 2.0). Poprzednia wersja dostępna na wniosek: hi@clusteroffices.com.