Szanowni Państwo,
Zgodnie z art. 13 ust. 1 i 2 Rozporządzenia Parlamentu Europejskiego i Rady (UE) z dnia 27 kwietnia2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w
sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej: „RODO”), informujemy, że:

1. ADMINISTRATOR DANYCH OSOBOWYCH
   Administratorem Pani/Pana danych osobowych jest Spółka Chochołowskie Termy Spółka z ograniczoną odpowiedzialnością z siedzibą w Chochołowie (34-513) Chochołów 400, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla Krakowa – Śródmieścia w Krakowie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000261672, REGON: 120300433, NIP: 7361640322 (dalej: „Spółka” lub „Administrator”).
2. KONTAKT
   Osobą do kontaktu w sprawach związanych z przetwarzaniem Pani/Pana danych osobowych oraz z wykonywaniem praw wynikających z RODO jest wyznaczony przez Spółkę Inspektor Ochrony Danych (IOD), z którym kontakt możliwy jest pod adresem e-mail: iod@chocholowskietermy.pl bądź w formie listownej na adres: Chochołowskie Termy Sp. z o.o. Chochołów 400, 34-513 Chochołów, z dopiskiem „Inspektor Ochrony Danych” lub
   „Ochrona danych osobowych”.
3. ZAKRES, CELE ORAZ PODSTAWA PRAWNA PRZETWARZANIA DANYCH OSOBOWYCH
   Dane osobowe Klientów korzystających z usług oferowanych przez Spółkę obejmujące informacje o fakcie zaszczepienia przeciwko COVID-19/potwierdzające posiadanie przez danę osobę statusu osoby zaszczepionej przeciwko COVID-19 (zawarte w zaświadczeniu bądź certyfikacie potwierdzającym zaszczepienie (czy to w formie papierowej, czy elektronicznej), a więc mogące obejmować wizerunek, imię i nazwisko, datę urodzenia, numer PESEL, unikalny kod QR – w zależności od przedstawionego dokumentu), Administrator będzie weryfikował wyłącznie w celu ustalenia liczby i limitu osób, które mogą korzystać z obiektu. W chwili obecnej bowiem powszechnie obowiązujące przepisy, w tym w szczególności przepisy rozporządzenia Rady Ministrów z dnia 06 maja 2021 roku w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii, wydane na podstawie przepisów ustawy z dnia 05 grudnia 2008 roku o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi, nakładają m.in. limity osób jednocześnie mogących korzystać z określonych obiektów, w tym aquaparków i basenów. Do tych ograniczeń aktualnie nie wlicza się osób zaszczepionych przeciwko COVID-19. Ze względu na powyższe Spółka upoważniona jest do uzyskiwania i weryfikowania informacji o posiadaniu przez klientów korzystających z usług oferowanych przez Spółkę statusu osoby zaszczepionej przeciwko COVID-19. Podstawą prawną do podejmowania ww. działań i do przetwarzania ww. danych osobowych jest art. 6 ust. 1 lit. c) RODO – podstawą przetwarzania jest niezbędność do wypełnienia obowiązku prawnego ciążącego na administratorze (realizacja obowiązku zachowywania limitu osób mogących korzystać z obiektu, który to limit nakładają powszechnie obowiązujące przepisy, w szczególności przepisy rozporządzenia Rady Ministrów z dnia 06 maja 2021 roku w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii, a także wynikająca z tych przepisów zasada niewliczania do ograniczeń osób zaszczepionych przeciwko COVID-19, a w związku z tym uprawnienie do weryfikowania posiadania statusu osoby zaszczepionej przeciwko COVID-19). Podstawę stanowi również art. art. 6 ust. 1 lit. f) RODO – podstawą przetwarzania jest realizacja prawnie uzasadnionych interesów Administratora (wypełnienie obowiązku zachowywania limitu osób mogących korzystać z obiektu, szczegóły j.w.), a także art. art. 9 ust. 2 lit. i) RODO — niezbędność przetwarzania ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego.

4. ODBIORCY DANYCH
   Odbiorcami zebranych danych osobowych będą upoważnieni pracownicy Administratora, podmioty współpracujące z Administratorem i przetwarzające dane osobowe z polecenia Administratora na podstawie upoważnienia do przetwarzania danych osobowych lub podmioty, z którymi Administrator zawarł umowę powierzenia przetwarzania danych osobowych lub inną właściwą regulującą przekazanie danych osobowych, bądź
   współadministrowanie tymi danymi. Ponadto Administrator zastrzega sobie prawo ujawnienia wybranych informacji dotyczących osoby, której dane dotyczą, właściwym organom bądź osobom trzecim, które zgłoszą żądanie udzielenia takich informacji, opierając się na odpowiedniej podstawie prawnej oraz zgodnie z przepisami obowiązującego prawa, w tym w szczególności organom podatkowym, czy
   organom wymiaru sprawiedliwości/ścigania, takim jak policja, prokuratura, sądy i organy arbitrażowe, na ich wyraźne i zgodne z prawem żądanie.
5. PRZEKAZYWANIE DANYCH OSOBOWYCH POZA EOG
   Zebrane dane osobowe nie będą przekazywane poza Unię Europejską lub Europejski Obszar Gospodarczy (EOG), czyli do państw trzecich, a także do organizacji międzynarodowych.
6. OKRES PRZECHOWYWANIA DANYCH OSOBOWYCH
   Dane osobowe wymienione w pkt. 3 powyżej Administrator będzie przetwarzał jedynie w chwili weryfikowania (i wyłącznie w celu tego zweryfikowanie), czy dana osoba chcąca skorzystać z usług oferowanych przez Spółkę posiada status osoby zaszczepionej przeciwko COVID-19. Przedstawione w tym celu przez Klienta dane i dokumenty nie będą w żaden sposób zapisywane, kopiowane, przechowywane, archiwizowane itp.
7. UPRAWNIENIA ZWIĄZANE Z PRZETWARZANIEM DANYCH OSOBOWYCH – PRAWA OSÓB,
   KTÓRYCH DANE DOTYCZĄ
   Administrator zapewnia, że wszystkim osobom, których dane osobowe są przetwarzane, przysługują odpowiednie prawa wynikające z RODO. W przypadku osób wymienionych na wstępie niniejszej informacji, ze względu na zakres i podstawę prawną przetwarzanych danych osobowych, prawa te są następujące:
   1) prawo dostępu do danych osobowych, w tym w szczególności prawo do informacji o przetwarzaniu danych osobowych oraz prawo do uzyskania kopii danych;
   2) prawo do sprostowania danych (poprawiania/aktualizacji);
   3) prawo do usunięcia danych (tzw. „prawo do bycia zapomnianym”), z zastrzeżeniem, że prawo to nie ma zastosowania m.in. w zakresie w jakim przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń, czy gdy przetwarzanie jest niezbędne do wywiązania się z prawnego obowiązku;
   4) prawo do ograniczenia przetwarzania;
   5) prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych (dotyczy przetwarzania danych osobowych, które odbywa się na podstawie uzasadnionego interesu Administratora, tj. na podstawie art. 6 ust. 1 lit. f) RODO, z wyłączeniem marketingu bezpośredniego), jeżeli dana osoba uważa, że jej szczególna sytuacja uzasadnia zaprzestanie przetwarzania przez Administratora danych; żądania w tym zakresie Administrator może nie uwzględnić jeżeli istnieją ważne prawnie uzasadnione podstawy do przetwarzania danych osobowych przez Administratora, które są nadrzędne wobec interesów, praw i wolności osoby, której dane dotyczą lub jeżeli istnieją podstawy do ustalenia, dochodzenia lub obrony roszczeń;
   6) prawo do wniesienia skargi do organu nadzorczego, którym jest Prezes Urzędu Ochrony Danych Osobowych (na adres: Urząd Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa).
8. OBOWIĄZEK PODANIA DANYCH
   Podanie informacji o fakcie zaszczepienia przeciwko COVID-19 i przedstawienie dokumentów potwierdzających posiadanie przez danę osobę statusu osoby zaszczepionej przeciwko COVID-19 jest w pełni dobrowolne. Odmowa podania danych i przedstawienia dokumentów pozostaje bez wpływu na możliwość skorzystania z usług oferowanych przez Spółkę.
9. ZAUTOMATYZOWANE PODEJMOWANIE DECYZJI I PROFILOWANIE
   W ramach przetwarzania zebranych danych osobowych nie będą wykorzystywane systemy i metody służące do zautomatyzowanego podejmowania decyzji, w tym profilowania. Jednak samo przetwarzanie danych osobowych może odbywać się w sposób częściowo zautomatyzowany, ponieważ w pewnym stopniu będą one przetwarzane na zasobach komputerowych.