Spółka NOCOWANIE.PL Sp. z o.o. (siedziba: ul. Nałęczowska 14, 20-701 Lublin; dalej jako "Administrator Danych") prowadzi internetową platformę rezerwacji noclegów ("Platforma"). W ramach prowadzenia Platformy Administrator Danych przetwarza dane osób fizycznych ("Goście"), które m.in. korzystają z Platformy w celu rezerwowania miejsc noclegowych (na z góry określone okresy) oferowanych przez dostawców miejsc noclegowych ("Partnerzy").

Niektóre z tych danych są danymi osobowymi. W efekcie przeniesienia w dniu 18 kwietnia 2023 roku niektórych baz danych (określonych poniżej) ("Przeniesienie Bazy Danych"), dane dotyczące rezerwacji, które są aktywne (lub będą aktywne) w momencie lub po rozpoczęciu Przeniesienia Bazy Danych ("Aktywne Rezerwacje") zostaną przekazane do Szallas.hu Zrt. (siedziba: 3525 Miskolc, Régiposta utca 9, Węgry; numer rejestracyjny spółki: 05-10-000622; DPO: Balázs Surinya pod adresem privacy@szallas.hu; zwana dalej "Podmiotem Otrzymującym"). Podmiot Otrzymujący należy do tej samej grupy spółek co Administrator Danych. Przeniesienie Bazy Danych jest częścią wewnątrzgrupowej transformacji biznesowej ("Integracja Systemu") obowiązującej od 18 kwietnia 2023 r., w ramach której system rezerwacyjny Administratora Danych zostanie zintegrowany z systemem rezerwacyjnym Podmiotu Otrzymującego. Administrator Danych zachowa funkcję rezerwacji zapewnianą przez Platformę, ale dostawcą usług po Integracji Systemu będzie Podmiot Otrzymujący.

W związku z Przeniesieniem Bazy Danych, Administrator Danych przekaże dane osobowe w oparciu o podstawę prawną z art. 6 ust. 1 lit. f) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, oraz uchylającego dyrektywę 95/46/WE ("Spółka NOCOWANIE.PL Sp. z o.o. (siedziba: ul. Nałęczowska 14, 20-701 Lublin; dalej jako "Administrator Danych") prowadzi internetową platformę rezerwacji noclegów ("Platforma"). W ramach prowadzenia Platformy Administrator Danych przetwarza dane osób fizycznych ("Goście"), które m.in. korzystają z Platformy w celu rezerwowania miejsc noclegowych (na z góry określone okresy) oferowanych przez dostawców miejsc noclegowych ("Partnerzy").Niektóre z tych danych są danymi osobowymi. W efekcie przeniesienia w dniu 18 kwietnia 2023 roku niektórych baz danych (określonych poniżej) ("Przeniesienie Bazy Danych"), dane dotyczące rezerwacji, które są aktywne (lub będą aktywne) w momencie lub po rozpoczęciu Przeniesienia Bazy Danych ("Aktywne Rezerwacje") zostaną przekazane do Szallas.hu Zrt. (siedziba: 3525 Miskolc, Régiposta utca 9, Węgry; numer rejestracyjny spółki: 05-10-000622; DPO: Balázs Surinya pod adresem privacy@szallas.hu; zwana dalej "Podmiotem Otrzymującym"). Podmiot Otrzymujący należy do tej samej grupy spółek co Administrator Danych. Przeniesienie Bazy Danych jest częścią wewnątrzgrupowej transformacji biznesowej ("Integracja Systemu") obowiązującej od 18 kwietnia 2023 r., w ramach której system rezerwacyjny Administratora Danych zostanie zintegrowany z systemem rezerwacyjnym Podmiotu Otrzymującego. Administrator Danych zachowa funkcję rezerwacji zapewnianą przez Platformę, ale dostawcą usług po Integracji Systemu będzie Podmiot Otrzymujący.W związku z Przeniesieniem Bazy Danych, Administrator Danych przekaże dane osobowe w oparciu o podstawę prawną z art. 6 ust. 1 lit. f) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, oraz uchylającego dyrektywę 95/46/WE ("RODO"), który określa, że przetwarzanie danych jest zgodne z prawem, jeżeli przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora danych, z wyjątkiem sytuacji, w których nadrzędny charakter wobec takich interesów mają interesy lub podstawowe prawa i wolności osób, których dane dotyczą.Zgodnie z motywem 47 RODO, prawnie uzasadniony interes administratora może stanowić podstawę prawną przetwarzania, o ile interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, nie są nadrzędne wobec uzasadnionego interesu administratora, z uwzględnieniem rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich relacjach z administratorem. Taki uzasadniony interes mógłby istnieć na przykład w przypadku istnienia odpowiedniego i właściwego związku między podmiotem danych a administratorem w sytuacjach takich jak ta, w której podmiot danych jest klientem usług administratora (tj. korzysta z usług administratora). W każdym razie istnienie uzasadnionego interesu wymaga starannej oceny, w tym ustalenia, czy osoba, której dane dotyczą, może racjonalnie oczekiwać w czasie i w kontekście gromadzenia danych osobowych, że przetwarzanie w tym celu może mieć miejsce.Administrator Danych przeprowadził następujący test równowagi, aby ocenić, czy może powołać się na uzasadniony interes i rozpocząć Przeniesienie Bazy Danych. Test równowagi został przeprowadzony w oparciu o zasady określone w Opinii 06/2014 Grupy Roboczej Art. 29 w sprawie pojęcia uzasadnionego interesu administratora danych na mocy art. 7 dyrektywy 95/46/WE, a także zasady wynikające z RODO oraz stanowisk lokalnych organów nadzorczych.Test równowagi jest dostępny na stronie internetowej Administratora danych w celu zapewnienia, że osoby, których dane dotyczą, są należycie poinformowane o wynikach testu i podstawie prawnej Przeniesienia Bazy danych."), który określa, że przetwarzanie danych jest zgodne z prawem, jeżeli przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora danych, z wyjątkiem sytuacji, w których nadrzędny charakter wobec takich interesów mają interesy lub podstawowe prawa i wolności osób, których dane dotyczą.

Zgodnie z motywem 47 RODO, prawnie uzasadniony interes administratora może stanowić podstawę prawną przetwarzania, o ile interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, nie są nadrzędne wobec uzasadnionego interesu administratora, z uwzględnieniem rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich relacjach z administratorem. Taki uzasadniony interes mógłby istnieć na przykład w przypadku istnienia odpowiedniego i właściwego związku między podmiotem danych a administratorem w sytuacjach takich jak ta, w której podmiot danych jest klientem usług administratora (tj. korzysta z usług administratora). W każdym razie istnienie uzasadnionego interesu wymaga starannej oceny, w tym ustalenia, czy osoba, której dane dotyczą, może racjonalnie oczekiwać w czasie i w kontekście gromadzenia danych osobowych, że przetwarzanie w tym celu może mieć miejsce.Administrator Danych przeprowadził następujący test równowagi, aby ocenić, czy może powołać się na uzasadniony interes i rozpocząć Przeniesienie Bazy Danych. Test równowagi został przeprowadzony w oparciu o zasady określone w Opinii 06/2014 Grupy Roboczej Art. 29 w sprawie pojęcia uzasadnionego interesu administratora danych na mocy art. 7 dyrektywy 95/46/WE, a także zasady wynikające z RODO oraz stanowisk lokalnych organów nadzorczych.Test równowagi jest dostępny na stronie internetowej Administratora danych w celu zapewnienia, że osoby, których dane dotyczą, są należycie poinformowane o wynikach testu i podstawie prawnej Przeniesienia Bazy danych.

Liczba osób, których dane dotyczą oraz danych osobowych podlegających przeniesieniu jest ściśle ograniczona zgodnie z poniższym.

Osoby, których dane dotyczą: W ramach Integracji Systemu, Goście posiadający rezerwacje na Platformie będą mieli możliwość zdecydowania, czy wyrażają zgodę na integrację z systemem Podmiotu Otrzymującego. Tylko dane osobowe tych Gości, którzy posiadają Aktywne Rezerwacje u Partnerów i wyrażą zgodę na integrację z systemem Podmiotu Otrzymującego, będą mogły zostać przekazane do Podmiotu Otrzymującego. Przed przekazaniem danych, Administrator Danych zapewni Gościom 14-dniowy "okres opt-out", Goście w wiadomości e-mail otrzymają wyjaśnienia dotyczące kluczowych elementów Integracji Systemu i informacje związane z Podmiotem Otrzymującym oraz informacje o możliwości wniesienia sprzeciwu wobec przetwarzania. Tylko dane osobowe tych Gości, którzy nie wniosą sprzeciwu wobec Przeniesienia Bazy Danych, będą przetwarzane przez Podmiot Otrzymujący.

Zakres danych osobowych: Po upływie „okresu opt-out” Administrator Danych przekaże Podmiotowi Otrzymującemu wyłącznie dane związane z Aktywnymi Rezerwacjami, w tym szczegóły rezerwacji i dane kontaktowe Gości. Przekazanie danych nie spowoduje zmiany czynności przetwarzania danych. Niniejszy test równowagi dotyczy jedynie przekazania danych pomiędzy Administratorem Danych a Podmiotem Otrzymującym, a w przypadku dalszego przetwarzania danych zostanie przeprowadzone nowe badanie i w razie potrzeby nowy test.

Administrator Danych może przetwarzać dane osobowe tylko wtedy, gdy ma zastosowanie co najmniej jedna z sześciu podstaw określonych w art. 6 RODO:

(a) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie jej danych osobowych w jednym lub większej liczbie określonych celów - POTENCJALNIE MOŻLIWE: gdy zgoda jest uzyskiwana zgodnie z art. 7 RODO;

(b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy - NIE MA ZASTOSOWANIA: jeżeli osoba, której dane dotyczą, zgłosi sprzeciw wobec Przekazania Danych, Administrator Danych nadal będzie przetwarzał jej dane osobowe zgodnie z postanowieniami wcześniej zawartej umowy, a jeżeli osoba, której dane dotyczą, nie zgłosi sprzeciwu, dojdzie do zawarcia nowej umowy między nią a Podmiotem Otrzymującym, przy czym przetwarzanie (tj. Przekazanie Danych) nie jest niezbędne do wykonania tej umowy, ale jest jej warunkiem wstępnym;

(c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego, któremu podlega Administrator Danych - NIE DOTYCZY: Nie ma takiego obowiązku prawnego.

(d) przetwarzanie jest niezbędne w celu ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej - NIE DOTYCZY: Nie ma takiego żywotnego interesu.

(e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej przysługującej Administratorowi danych - NIE DOTYCZY: Nie występuje interes publiczny i nie przysługuje Administratorowi danych żadna władza publiczna.

(f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Administratora Danych lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem - POTENCJALNIE MOŻLIWE STOSOWANE: Leży to w zasadniczym interesie zarówno Administratora Danych, jak i Podmiotu Otrzymującego, określonym w punkcie 4.2.

Ponadto, choć zgoda jest możliwą podstawą prawną, Wytyczne Grupy Roboczej art. 29 w sprawie w sprawie zgody na mocy rozporządzenia 2016/679 i Opinia 15/2001 wskazują również, że zgoda jest możliwą podstawą prawną przetwarzania danych osobowych, a nie podstawową, w związku z czym nie jest wykluczone, że administrator może polegać na bardziej odpowiedniej podstawie prawnej dla administratora lub podmiotu danych, w zależności od treści przetwarzania. Zgoda, w przeciwieństwie do oparcia się na uzasadnionym interesie, wiązałaby się z nieproporcjonalnie wysokimi kosztami dla Administratora Danych i byłaby rozwiązaniem bardziej niekorzystnym dla osób, których dane dotyczą, dlatego też Administrator Danych będzie opierał się na uzasadnionym interesie przy przekazywaniu

Aby interes Administratora Danych mógł być uznany za uzasadniony, musi spełniać łącznie następujące warunki:

- Być zgodny z prawem: Interes Administratora Danych jest zgodny z prawem unijnym i polskim;

- Być dostatecznie konkretny: Interes Administratora Danych jest istotny i jednoznaczny (patrz Sekcja 1. i 2.); jest zatem jasno wyartykułowany, aby umożliwić przeprowadzenie testu równowagi wobec interesów i praw podstawowych osób, których dane dotyczą;

- Nie może mieć charakteru spekulacyjnego: Interes Administratora Danych odnosi się do wyraźnie wyznaczonego w czasie i opartego na nim przypadku obejmującego ograniczone przetwarzanie danych, a zatem jest interesem rzeczywistym i aktualnym;

Interes Administratora Danych spełnia wszystkie trzy warunki; kwalifikuje się zatem jako uzasadniony interes.

Integracja systemu, z zachowaniem dotychczasowych funkcjonalności, leży w zasadniczym interesie gospodarczym zarówno Administratora Danych, jak i Podmiotu Otrzymującego, aby działać w sposób jak najbardziej technologicznie i ekonomicznie wykonalny. Obie strony doszły do wniosku, że integracja systemu stanowi taki sposób, ponieważ potrzeby Gości i Partnerów mogą być lepiej zaspokojone przez bardziej wydajny system rezerwacji na poziomie Grupy. Ponadto, aby zapewnić ciągłość działania w przypadku Aktywnych Rezerwacji, Przekazanie Bazy Danych jest niezbędnym elementem Integracji Systemu: chociaż Goście z Aktywnymi Rezerwacjami, którzy sprzeciwiają się transferowi swoich danych, mogą nadal dokonywać swoich rezerwacji, nie mogą jednak cieszyć się i korzystać z pełnych funkcjonalności systemu m.in. szeregu usług pomocniczych i uzupełniających, które po Przekazaniu Bazy Danych mają być świadczone przez Podmiot Otrzymujący.

Przekazanie Bazy Danych jest bezwzględnie konieczne dla Integracji Systemu, ponieważ Platforma jest przeznaczona do prezentacji ofert noclegowych, a główną wartością Platformy i modelu biznesowego Podmiotu Otrzymującego jest zadowolenie ich Gości: jest tak zwłaszcza dlatego, że podstawowe modele biznesowe zarówno Administratora Danych, jak i Podmiotu Otrzymującego obejmują świadczenie usług dodatkowych i wspierających uzupełniających rezerwacje dokonywane przez Gości u Partnerów. Dodatkowo, zadowolenie Gości jest niezbędne dla funkcjonowania obu podmiotów (jest to szczególnie istotne z uwagi na konkurencyjność rynku usług turystycznych online), stąd można wywnioskować, że przedmiotowe przetwarzanie danych jest niezbędne dla funkcjonowania obu podmiotów.

Administrator Danych uwzględnił w odniesieniu do osób, których dane dotyczą, jako uzasadniony interes, następujące elementy:

- Przetwarzanie danych ma wpływ na następujące prawa osób, których dane dotyczą: prawo do prywatności, wolność podawania danych osobowych;

- Osoby, których dane dotyczą, nie wyrażają wyraźnej zgody na przetwarzanie danych;

- Charakter danych osobowych: dane nie należą do żadnej ze szczególnych kategorii danych osobowych, ale są technicznie odpowiednie do identyfikacji osób, których dane dotyczą, i śledzenia ich określonych działań.

Kwestie po stronie Administratora danych:

- Liczba osób, których dane dotyczą, oraz zakres przekazywanych danych są ograniczone (patrz punkt 2);

- Osoby, których dane dotyczą, zostaną należycie poinformowane o przekazaniu danych i otrzymają możliwość wyrażenia sprzeciwu wobec przetwarzania (w zakresie 14-dniowego okresu "opt-out"). W przypadku wniesienia sprzeciwu, Administrator Danych nie będzie przekazywał ich danych osobowych.

- Zakres przetwarzanych danych osobowych nie ulega zmianie, dane te są przetwarzane zgodnie z prawem przez Administratora Danych przed Przeniesieniem Bazy Danych, na podstawie zgody osób, których dane dotyczą oraz w oparciu o inne podstawy prawne;

- Przetwarzanie po Przeniesieniu Bazy Danych nie odbiega od pierwotnego celu przetwarzania (świadczenie usług wsparcia dla Gości, którzy dokonali Aktywnej Rezerwacji) oraz nie zmienia się zakres przetwarzania danych osobowych (np. procesy przetwarzania, retencja danych);

- Administrator Danych jest członkiem tej samej grupy kapitałowej spółek co Podmiot Otrzymujący, zatem dane osobowe są przekazywane w ramach grupy kapitałowej spółek i nie są przekazywane podmiotom trzecim spoza grupy;

- Podmiot Otrzymujący jest znanym usługodawcą w regionie Europy Środkowo-Wschodniej, posiada wystarczające narzędzia i polityki do zabezpieczenia danych osobowych;

- Bez przetwarzania danych osoby, których dane dotyczą, nie mogłyby cieszyć się i korzystać z szeregu usług wspierających i uzupełniających, które po Przekazaniu Danych mają być świadczone przez Podmiot Otrzymujący tj. przetwarzanie jest niezbędne do realizacji celu,

- Celem Integracji Systemu jest poprawa jakości usług dla użytkowników strony internetowej;

- Administrator Danych i Podmiot Otrzymujący zapewniają Gościom prawa wynikające z sekcji 15-21 RODO.

Biorąc pod uwagę powyższe rozważania oraz uwzględniając charakter i cechy Przekazania Bazy Danych, można stwierdzić, że przedmiotowe przetwarzanie jest ściśle niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Administratora Danych oraz że w świetle zapewnionych zabezpieczeń i środków ochrony danych te prawnie uzasadnione interesy są proporcjonalne do ograniczenia praw osób, których dane dotyczą, biorąc pod uwagę, że osoby, których dane dotyczą, nie wyrażają wyraźnej zgody na przekazanie, ale jest ono w pełni zgodne z celem dotychczasowego przetwarzania ich danych osobowych.