Polityka prywatności METAL LAB

Wersja 1.5 | 2026-10-30

1. Administrator danych

Administratorem danych osobowych jest PROFLO Rafał Wiśniewski, jednoosobowa działalność gospodarcza, NIP 7773001726, ul. Łąkowa 11, 62-025 Siekierki Wielkie, właściciel marki METAL LAB (dalej „Administrator”).

Kontakt w sprawach prywatności i przetwarzania danych:

• e-mail: biuro@metallab.pl;
• adres korespondencyjny: ul. Strzyżowska 41, 61-323 Poznań.

Administrator nie wyznaczył Inspektora Ochrony Danych. W przypadku prowadzonej działalności obowiązek powołania IOD nie powstaje (art. 37–39 RODO).

2. Zakres dokumentu

Niniejszy dokument opisuje, w jaki sposób Administrator przetwarza dane osobowe osób korzystających z serwisu internetowego marki METAL LAB (dalej „Serwis”), w szczególności osób wysyłających formularze dostępne w Serwisie.

Serwis zawiera trzy formularze:

1. formularz kontaktowy;
2. formularz konsultacji projektu — wspólny również dla ścieżki architekta lub projektanta;
3. formularz współpracy B2B.

3. Kiedy przetwarzamy dane

Dane są przetwarzane, gdy osoba:

• wysyła formularz kontaktowy;
• wysyła zapytanie o konsultację projektu, również jako architekt lub projektant;
• wysyła zapytanie o współpracę B2B;
• wysyła zapytanie o wycenę przez konfigurator pod adresem konfigurator.metallab.pl;
• kontaktuje się bezpośrednio przez pocztę elektroniczną;
• zawiera lub realizuje umowę z Administratorem;
• korzysta z Serwisu, co może wiązać się z tworzeniem logów technicznych i bezpieczeństwa oraz z pomiarem ruchu bez plików cookie, a po wyrażeniu zgody — z pomiarem skuteczności reklam przez piksel Meta (pkt 12).

4. Zakres danych w formularzach

4.1 Formularz kontaktowy

• imię;
• adres e-mail;
• opcjonalny numer telefonu;
• treść wiadomości;
• opcjonalne załączniki.

4.2 Formularz konsultacji projektu

Formularz, wspólny dla klienta indywidualnego oraz architekta lub projektanta, może obejmować:

• imię;
• adres e-mail;
• opcjonalny numer telefonu;
• informacje o projekcie;
• opcjonalne załączniki, w tym rzuty, szkice, fotografie lub dokumenty.

4.3 Formularz współpracy B2B

Formularz może obejmować:

• imię;
• adres e-mail;
• opcjonalny numer telefonu;
• nazwę firmy;
• treść wiadomości;
• opcjonalne załączniki.

W Serwisie przewidziano załączniki w formatach JPG, PNG, WEBP i PDF. Dopuszczalne limity liczby i rozmiaru plików są opisane przy kontrolce plików.

Prosimy, aby nie przesyłać w formularzach ani załącznikach danych zbędnych do obsługi sprawy, w szczególności danych szczególnych kategorii, dokumentów tożsamości ani danych osób trzecich bez odpowiedniej podstawy. Załączniki mogą zawierać metadane plików.

4.4 Formularz zapytania w konfiguratorze

Formularz zapytania w konfiguratorze konfigurator.metallab.pl obejmuje:

• imię i nazwisko;
• adres e-mail;
• numer telefonu;
• opcjonalny kod pocztowy;
• kraj - tylko przy zapytaniach spoza Polski; jeżeli nie zostanie podany, zapisujemy kod kraju ustalony przez dostawcę hostingu na podstawie adresu IP;
• uwagi do zapytania;
• zapisaną konfigurację produktu (wymiary, wzór, kolor, opcje) oraz obraz widoku 3D konfiguracji;
• informację o zaznaczeniu pola pod formularzem wraz z wersją jego treści i czasem zaznaczenia.

Na podany numer telefonu wysyłamy jedną wiadomość SMS z informacją o przesłaniu oferty i linkiem do jej podglądu online. Jeżeli oferta nie zostanie otwarta, możemy przypomnieć o niej jeden raz wiadomością e-mail i jeden raz wiadomością SMS. Wiadomości SMS są częścią odpowiedzi na zapytanie i nie zawierają treści marketingowych. Nadawca wiadomości SMS wyświetla się jako METALLAB. Rejestrujemy otwarcia strony oferty online (pierwsze otwarcie i kolejne wizyty, nie częściej niż raz na 30 minut), pobrania pliku PDF oraz to, czy wejście nastąpiło z linku w wiadomości SMS, aby wiedzieć, czy oferta dotarła. Nie zapisujemy przy tym adresu IP ani danych przeglądarki.

Jeżeli osoba trafiła do konfiguratora przez link architekta lub innego partnera Administratora, zapytanie przypisujemy temu partnerowi. Partner otrzymuje kopię wiadomości e-mail z ofertą i widzi zapytanie w swoim panelu, co służy rozliczeniu współpracy. Jeżeli formularz wypełnia wspólnie z osobą pracownik Administratora, odnotowujemy to przy zapytaniu.

Formularz jest chroniony przed automatycznie wysyłanymi zapytaniami przez usługę Cloudflare Turnstile: przy otwarciu formularza przeglądarka przesyła do Cloudflare adres IP i dane techniczne przeglądarki. Dodatkowo serwer przez około dwa dni przechowuje liczniki zapytań powiązane z adresem IP i skrótem adresu e-mail.

5. Cele i podstawy prawne przetwarzania

Dane osobowe są przetwarzane w następujących celach i na następujących podstawach:

1. odpowiedź na zapytanie i podjęcie działań przed zawarciem umowy na żądanie osoby, w tym przygotowanie i przesłanie oferty (e-mailem, wiadomością SMS i na stronie oferty online) oraz kontakt w sprawie zapytania - art. 6 ust. 1 lit. b RODO, gdy osoba działa we własnym imieniu;
2. ustalenie, czy przesłana oferta dotarła (rejestracja otwarć oferty online i pobrań pliku PDF), przypisanie zapytania partnerowi, z którego linku osoba trafiła do konfiguratora, oraz ochrona formularza konfiguratora przed nadużyciami - art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na sprawnej obsłudze zapytań, rozliczeniu współpracy z partnerami i bezpieczeństwie usługi);
3. obsługa zapytań B2B i relacji z przedstawicielami firm — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na prowadzeniu komunikacji biznesowej);
4. zawarcie i realizacja umowy — art. 6 ust. 1 lit. b RODO;
5. realizacja obowiązków podatkowych, księgowych i innych obowiązków prawnych — art. 6 ust. 1 lit. c RODO;
6. ustalenie, dochodzenie oraz obrona roszczeń — art. 6 ust. 1 lit. f RODO;
7. zapewnienie bezpieczeństwa Serwisu i przeciwdziałanie nadużyciom — art. 6 ust. 1 lit. f RODO;
8. pomiar ruchu w Serwisie bez plików cookie i bez trwałych identyfikatorów — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na mierzeniu zainteresowania Serwisem); szczegóły w pkt 12;
9. pomiar skuteczności reklam Administratora w serwisach Meta za pomocą piksela Meta — art. 6 ust. 1 lit. a RODO (zgoda), wyrażana w banerze w Serwisie i w konfiguratorze konfigurator.metallab.pl; zgodę można wycofać w każdej chwili przez „Ustawienia cookies” w stopce, bez wpływu na zgodność z prawem wcześniejszego przetwarzania; szczegóły w pkt 12.

Przetwarzanie oparte na prawnie uzasadnionym interesie jest poprzedzane oceną bilansu interesów Administratora i osoby, której dane dotyczą.

Administrator nie podejmuje wobec osób, których dane dotyczą, decyzji w sposób zautomatyzowany, w tym nie stosuje profilowania, o którym mowa w art. 22 ust. 1 i 4 RODO.

6. Odbiorcy danych

Dane osobowe mogą być powierzane do przetwarzania podmiotom przetwarzającym, które świadczą usługi na rzecz Administratora na podstawie zawartych z nimi umów powierzenia przetwarzania danych (art. 28 RODO):

• cyber_Folks S.A. — hosting Serwisu oraz obsługa skrzynki pocztowej biuro@metallab.pl;
• Alaio Cloud Limited (Bitrix24) — chmurowy system CRM wykorzystywany przez Administratora w obsłudze zapytań i zleceń;
• LINK Mobility Poland sp. z o.o. (Gliwice, usługa SMSAPI) - wysyłka wiadomości SMS o ofercie; otrzymuje numer telefonu i treść wiadomości;
• Plus Five Five, Inc. (usługa Resend, USA) - wysyłka wiadomości e-mail z ofertą;
• Vercel Inc. (USA) - hosting konfiguratora konfigurator.metallab.pl (serwery we Frankfurcie nad Menem) oraz przechowywanie plików oferty: PDF, rysunku technicznego i obrazu konfiguracji (magazyn plików w USA);
• Databricks, Inc. (usługa Neon, USA) - baza danych konfiguratora (centrum danych we Frankfurcie nad Menem);
• Cloudflare, Inc. (USA) - ochrona formularza zapytania w konfiguratorze przed automatycznie wysyłanymi zapytaniami (Cloudflare Turnstile);
• DeepL SE (Niemcy) - tłumaczenie korespondencji z klientami zagranicznymi w panelu zamówień;
• Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irlandia) — dostawca piksela Meta; po wyrażeniu zgody otrzymuje dane o wizycie opisane w pkt 12 i przetwarza je także jako niezależny administrator w zakresie określonym w polityce prywatności Meta (https://www.facebook.com/privacy/policy).

Ponadto dane mogą zostać ujawnione:

• dostawcom usług prawnych, księgowych lub technicznych — jeżeli jest to konieczne i prawnie dopuszczalne;
• organom uprawnionym — jeżeli obowiązek udostępnienia wynika z prawa;
• architektowi lub innemu partnerowi Administratora, z którego linku osoba trafiła do konfiguratora - w zakresie opisanym w pkt 4.4.

Zgłoszenie z formularza trafia najpierw do skrzynki biuro@metallab.pl. Dalsze przekazanie danych do systemu CRM Administrator wykonuje w toku prowadzonej przez siebie obsługi zapytań i zleceń.

Dostęp do zgłoszeń mają osoby obsługujące zapytania i zlecenia, w zakresie niezbędnym do wykonywania zadań.

7. Transfery danych poza Europejski Obszar Gospodarczy

Dane są zasadniczo przetwarzane w obrębie Europejskiego Obszaru Gospodarczego (EOG). Dostawca systemu CRM (Bitrix24) przetwarza i przechowuje dane klientów korzystających z europejskich wariantów usługi na serwerach zlokalizowanych w Unii Europejskiej.

Gdyby w indywidualnym przypadku miało dojść do przekazania danych poza EOG, odbywa się to wyłącznie na podstawie:

• decyzji Komisji Europejskiej o stwierdzeniu odpowiedniego stopnia ochrony (art. 45 RODO), w tym w ramach programu EU-U.S. Data Privacy Framework, albo
• odpowiednich zabezpieczeń, w tym standardowych klauzul umownych (art. 46 RODO).

Dane przekazywane za zgodą użytkownika do Meta (pkt 12) mogą być przetwarzane również w Stanach Zjednoczonych przez Meta Platforms, Inc., na podstawie decyzji Komisji Europejskiej o adekwatności w ramach EU-U.S. Data Privacy Framework oraz standardowych klauzul umownych.

Dostawcy konfiguratora Plus Five Five, Inc. (Resend), Vercel Inc., Databricks, Inc. (Neon) i Cloudflare, Inc. mają siedziby w Stanach Zjednoczonych. Baza danych i serwery aplikacji konfiguratora znajdują się we Frankfurcie nad Menem, ale pliki ofert są przechowywane w USA, a dostawcy mogą przetwarzać dane także w USA. Przekazanie danych odbywa się na podstawie decyzji Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony w ramach programu EU-U.S. Data Privacy Framework (art. 45 RODO), w którym uczestniczą wszyscy czterej dostawcy, oraz standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).

Kopię stosowanych zabezpieczeń można uzyskać, kontaktując się z Administratorem zgodnie z punktem 1.

8. Okres przechowywania danych

Dane są przechowywane wyłącznie przez czas niezbędny do realizacji celów wskazanych w polityce. W szczególności:

1. zapytania bez zlecenia oraz zapytania wycofane lub odrzucone — 24 miesiące od ostatniego kontaktu lub zamknięcia sprawy;
2. dane związane z projektem lub umową — przez czas realizacji, a następnie przez okres umożliwiający wypełnienie obowiązków prawnych oraz ustalenie, dochodzenie i obronę roszczeń;
3. dokumenty księgowe i podatkowe — przez okres wymagany przepisami, w tym co najmniej 5 lat od końca roku podatkowego;
4. logi techniczne i bezpieczeństwa — przez okres wynikający z konfiguracji usług hostingowych stosowanych przez Administratora, nie dłużej jednak niż przez 12 miesięcy od dnia zarejestrowania zdarzenia, chyba że dłuższy okres wynika z przepisów prawa lub jest niezbędny do ustalenia, dochodzenia lub obrony roszczeń;
5. kopie wiadomości i rekordy w CRM — zgodnie z regułami sprawy źródłowej;
6. załączniki — zgodnie z regułami zgłoszenia lub projektu;
7. dane z zapytań wysłanych przez konfigurator, w tym zapisana konfiguracja produktu oraz informacja o otwarciu oferty online lub pobraniu pliku PDF - tak jak dane zapytań z formularzy: zgodnie z ppkt 1, a gdy zapytanie prowadzi do projektu lub umowy - zgodnie z ppkt 2;
8. pliki cookie związane z pikselem Meta — ml_consent 12 miesięcy, ml_fbclid, _fbp i _fbc 90 dni od zapisania (pkt 12); dane przekazane do Meta są przechowywane przez Meta zgodnie z jej zasadami.

Po upływie odpowiedniego okresu dane są usuwane albo anonimizowane, chyba że dalsze przechowywanie wymaga tego prawo (np. toczące się postępowania).

9. Podanie danych a podstawa dobrowolności

Podanie danych oznaczonych jako wymagane jest niezbędne do wysłania formularza i obsługi zapytania. W formularzach Serwisu numer telefonu i załączniki są dobrowolne. W formularzu zapytania w konfiguratorze wymagane są imię i nazwisko, adres e-mail i numer telefonu - bez nich nie możemy przygotować i przesłać oferty. Niepodanie danych wymaganych uniemożliwia wysłanie formularza; kontakt jest możliwy bezpośrednio przez biuro@metallab.pl.

10. Prawa osób, których dane dotyczą

Osobie przysługują prawa do:

1. dostępu do danych — w tym uzyskania potwierdzenia, czy i jakie dane są przetwarzane;
2. sprostowania danych — poprawki nieprawidłowości;
3. usunięcia danych — gdy wygasła podstawa przetwarzania;
4. ograniczenia przetwarzania — w przypadkach przewidzianych prawem;
5. przenoszenia danych — gdy podstawą jest zgoda lub umowa, a przetwarzanie jest zautomatyzowane;
6. sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie;
7. skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Żądania można przesłać na biuro@metallab.pl lub na adres korespondencyjny Administratora z punktu 1.

Administrator odpowiada w terminie jednego miesiąca od otrzymania żądania. W sprawach złożonych termin może zostać przedłużony o kolejne dwa miesiące — osoba zostanie poinformowana z podaniem przyczyny. W uzasadnionych okolicznościach Administrator może zwrócić się o potwierdzenie tożsamości.

11. Bezpieczeństwo danych i załączników

Administrator stosuje środki techniczne i organizacyjne odpowiednie do charakteru danych i ryzyka. Mechanizm formularzy i przyjmowania załączników przed wdrożeniem przechodzi: analizę ryzyka, testy walidacji plików, testy odporności na nadużycia oraz testy poprawnego przechowywania i usuwania.

Formularz nie potwierdza wysłania zgłoszenia, dopóki bezpieczne doręczenie nie zostanie potwierdzone przez usługę poczty.

12. Cookies i podobne technologie

Informacje o plikach cookie i podobnych technologiach znajdują się w odrębnej „Polityce plików cookie”. Serwis mierzy ruch za pomocą oprogramowania Umami uruchomionego na własnym serwerze Administratora (stats.metallab.pl) — bez plików cookie, bez trwałych identyfikatorów i bez profilowania; adres IP nie jest zapisywany, a dane statystyczne nie są przekazywane podmiotom trzecim (szczegóły: „Polityka plików cookie”, pkt 2a). Po wyrażeniu zgody w banerze Serwis uruchamia piksel Meta (Meta Platforms Ireland Ltd.), który przekazuje do Meta informację o odwiedzonej podstronie, dane techniczne przeglądarki i urządzenia, identyfikatory z plików cookie _fbp i _fbc oraz, przy wejściu z reklamy, parametr fbclid. Piksel służy wyłącznie do pomiaru skuteczności reklam Administratora i doboru ich odbiorców; bez zgody nie ładuje się i nie wysyła żadnych danych. Decyzja jest wspólna dla www.metallab.pl i konfigurator.metallab.pl (plik ml_consent dla domeny .metallab.pl, 12 miesięcy) i można ją zmienić w każdej chwili przez „Ustawienia cookies” w stopce. Pełny opis plików cookie ml_consent, ml_fbclid, _fbp i _fbc, ich czasu przechowywania oraz transferu danych do Meta znajduje się w „Polityce plików cookie”, pkt 2b.

13. Zmiany polityki

Polityka może ulec zmianie w razie zmiany zakresu Serwisu, usług, dostawców lub przepisów. Aktualna wersja i data obowiązywania będą publikowane w Serwisie.

14. Historia wersji

15. Summary in English

With your consent, www.metallab.pl and konfigurator.metallab.pl use the Meta pixel (Meta Platforms Ireland Ltd.) to measure how our Meta ads perform and to select ad audiences. The pixel loads only after you click “Accept” in the cookie banner; without consent nothing is sent to Meta. Legal basis: consent (Art. 6(1)(a) GDPR), which you can withdraw at any time via “Cookie settings” in the footer. Data sent to Meta: the page visited, technical browser and device data, the _fbp and _fbc identifiers and, after an ad click, the fbclid parameter. Meta also acts as an independent controller and may transfer data to Meta Platforms, Inc. (USA) under the EU-U.S. Data Privacy Framework and standard contractual clauses. Cookies: ml_consent (12 months), ml_fbclid, _fbp, _fbc (90 days). Details and your rights (access, erasure, objection, complaint to the Polish supervisory authority) are described above in Polish; contact: biuro@metallab.pl.

Quote requests from the configurator: when you send a quote request at konfigurator.metallab.pl, we process your name, e-mail address and phone number (all required), optional postcode, country (only for requests from outside Poland; if not given, the country code derived from your IP address by our hosting provider), your notes, the saved product configuration with an image of the 3D view, and the version and time of the confirmation ticked under the form, in order to prepare and send you a quote at your request before a contract is concluded (Art. 6(1)(b) GDPR). We send the quote by e-mail (as a PDF or a link to an online quote page) and then one text message from the sender METALLAB with a link to the online quote; if the quote is not opened, we may remind you once by e-mail and once by text message. These messages contain no marketing. To know that the quote has reached you, we record openings of the online quote page, PDF downloads and whether you came from the text message link, without your IP address or browser data (Art. 6(1)(f) GDPR). If you came through the link of an architect or another partner, that partner receives a copy of the quote e-mail and sees the request in their portal. The form is protected against automated requests by Cloudflare Turnstile. Service providers: LINK Mobility Poland sp. z o.o. (SMSAPI, Poland, text messages), Plus Five Five, Inc. (Resend, USA, e-mail), Vercel Inc. (USA, hosting in Frankfurt and quote file storage in the USA), Databricks, Inc. (Neon, USA, database in Frankfurt), Cloudflare, Inc. (USA, spam protection) and DeepL SE (Germany, translation of correspondence with customers abroad). Transfers to the USA are based on the EU-U.S. Data Privacy Framework adequacy decision of 10 July 2023, in which all four US providers participate, and on the European Commission's standard contractual clauses (Art. 46(2)(c) GDPR). Enquiry data is kept under the same rules as other enquiries: 24 months after the last contact if no order follows (point 8).