Polityka prywatności

1. Administrator i kontakt

Administratorem danych konta, płatności, kontaktu i bezpieczeństwa serwisu jest Codently Maciej Ziółko, os XX-lecia 4/16 32-340 Wolbrom, Poland, NIP 6372210398, REGON 386280138. Kontakt: kontakt@naszdzien.app, tel. 539 906 673.

W sprawach ochrony danych możesz kontaktować się pod wskazanym adresem e-mail lub listownie. Dane kontaktowe inspektora ochrony danych podamy tutaj, jeżeli jego wyznaczenie stanie się wymagane.

2. Kiedy jesteśmy administratorem, a kiedy podmiotem przetwarzającym

Jesteśmy administratorem danych potrzebnych do założenia i obsługi konta, zawarcia i rozliczenia umowy, wsparcia, zapewnienia bezpieczeństwa, dochodzenia roszczeń oraz wypełniania obowiązków prawnych.

Klient, czyli organizator wydarzenia, jest co do zasady administratorem danych gości i innych osób zawartych w RSVP, zdjęciach, filmach, podpisach, dedykacjach, propozycjach piosenek i pozostałych treściach strony. Klient ustala cel publikacji i zakres danych, a Nasz Dzień przetwarza je w jego imieniu jako podmiot przetwarzający. Warunki powierzenia zgodne z art. 28 RODO stanowią część Regulaminu.

Organizator odpowiada za zgodność zebrania i publikacji danych z prawem, w tym za podstawę prawną, minimalizację danych, obowiązki informacyjne z art. 13 lub 14 RODO oraz obsługę praw osób. W sprawie treści konkretnego wydarzenia najlepiej skontaktować się najpierw z jego organizatorem; pomożemy mu zrealizować żądanie.

3. Osoby i kategorie danych

• Klienci i użytkownicy panelu: imię lub nazwa konta, adres e-mail, identyfikator użytkownika, język, informacja o weryfikacji e-maila, zaakceptowane wersje dokumentów, skrót hasła, ustawienia strony i historia podstawowych operacji.
• Rozliczenia: identyfikatory klienta, subskrypcji, produktu i płatności, plan, status płatności, daty okresu rozliczeniowego oraz dane potrzebne do dokumentów księgowych. Pełne dane karty przetwarza Stripe; nie zapisujemy ich w naszej bazie.
• Goście i RSVP: imię i nazwisko, kod zaproszenia, potwierdzenie obecności, opcjonalne dane kontaktowe, osoba towarzysząca, preferencje posiłku lub transportu, odpowiedzi na pytania organizatora i historia odpowiedzi.
• Treści wydarzenia: nazwa i adres wydarzenia, harmonogram, menu, drinki, wskazówki dojazdu, zdjęcia, filmy, podpisy, wizerunek i głos utrwalonych osób, dedykacje i propozycje piosenek.
• Dane techniczne i bezpieczeństwa: adres IP lub jego skrót, identyfikatory sesji i urządzenia, nagłówki żądania, domena, znaczniki czasu, logi błędów, limity żądań, typ i rozmiar pliku oraz informacje potrzebne do wykrywania nadużyć.
• Dane analityczne zbierane po wyrażeniu zgody w domenie naszdzien.app i subdomenach stron wydarzeń: odwiedzona podstrona, strona odsyłająca, identyfikator i czas sesji, informacje o przeglądarce i urządzeniu oraz przybliżona lokalizacja ustalana przez Google Analytics.
• Kontakt i reklamacje: treść korespondencji, dane kontaktowe, zgłoszenia naruszeń, reklamacje, żądania dotyczące danych i dokumenty przekazane w celu ich rozpatrzenia.

4. Skąd mamy dane - informacja z art. 14 RODO

Dane otrzymujemy bezpośrednio od Ciebie podczas rejestracji, płatności, kontaktu, przesyłania treści lub korzystania z serwisu. Dane techniczne powstają automatycznie podczas połączenia z usługą.

Dane gościa możemy otrzymać od organizatora, który tworzy listę zaproszonych, od innego gościa przesyłającego materiał albo z treści zdjęcia lub filmu. Dane płatnicze i status subskrypcji otrzymujemy od Stripe, a informacje o dostarczeniu wiadomości od dostawcy poczty.

Jeżeli organizator pozyskał dane nie od osoby, której dotyczą, powinien przekazać jej własną informację z art. 14 RODO w wymaganym terminie, najpóźniej przy pierwszym kontakcie lub ujawnieniu danych, nie później niż w ciągu miesiąca, chyba że zachodzi ustawowy wyjątek.

5. Cele i podstawy prawne, gdy jesteśmy administratorem

• Założenie konta, uwierzytelnienie, udostępnienie strony, obsługa subskrypcji i wsparcie - wykonanie umowy lub działania przed jej zawarciem, art. 6 ust. 1 lit. b RODO.
• Rozliczenia, podatki, rachunkowość, obsługa ustawowych praw konsumenta oraz odpowiedzi wymagane prawem - obowiązek prawny, art. 6 ust. 1 lit. c RODO.
• Bezpieczeństwo, przeciwdziałanie oszustwom i nadużyciom, utrzymanie logów, obrona przed roszczeniami i ich dochodzenie oraz statystyka techniczna bez marketingowego profilowania - nasz prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO.
• Pomiar korzystania z witryny naszdzien.app i subdomen stron wydarzeń za pomocą Google Analytics w celu analizy ruchu i ulepszania serwisu - zgoda, art. 6 ust. 1 lit. a RODO oraz właściwe przepisy prawa komunikacji elektronicznej. Zgodę można w każdej chwili wycofać w Ustawieniach cookies bez wpływu na zgodność wcześniejszego przetwarzania.
• Ustalenie, dochodzenie lub obrona roszczeń obejmujących wyjątkowo dane szczególnych kategorii - art. 9 ust. 2 lit. f RODO, gdy jest to niezbędne.

6. Dane przetwarzane na polecenie organizatora

Treści wydarzenia i dane gości przetwarzamy w celu hostowania strony, obsługi RSVP, galerii, moderacji, eksportu, wysyłki wiadomości, ochrony dostępu i innych włączonych przez klienta funkcji. Podstawę prawną ustala organizator jako administrator; nasze działania opierają się na jego udokumentowanych poleceniach i umowie powierzenia.

Preferencje żywieniowe mogą ujawnić dane o zdrowiu, religii lub przekonaniach. Organizator powinien zbierać je tylko wtedy, gdy są potrzebne i ma podstawę z art. 9 RODO, zwykle wyraźną zgodę osoby. Nie należy wpisywać diagnoz ani szerszej dokumentacji medycznej.

7. Czy podanie danych jest obowiązkowe

Dane oznaczone w formularzu jako wymagane są potrzebne do założenia konta, zawarcia umowy, płatności albo wykonania wybranej funkcji. Bez nich nie utworzymy konta, nie rozliczymy planu lub nie przyjmiemy odpowiedzi. Pozostałe pola, w tym podpis zdjęcia, dedykacja, preferencje i większość danych gościa, są dobrowolne.

Nie ma ustawowego obowiązku utworzenia konta ani przekazania danych gościa. Organizator powinien ograniczyć listę zaproszonych i pytania RSVP do informacji rzeczywiście potrzebnych do organizacji wydarzenia.

8. Odbiorcy danych i podwykonawcy

Dostęp mogą otrzymać upoważnione osoby obsługujące serwis, doradcy prawni i księgowi, organy publiczne uprawnione na podstawie prawa oraz dostawcy niezbędni do wykonania usługi.

Korzystamy w szczególności z Vercel do uruchamiania aplikacji, Neon lub innego dostawcy PostgreSQL i uwierzytelniania do bazy i kont, Cloudflare R2 do przechowywania plików, Resend do wiadomości e-mail oraz Stripe do płatności i subskrypcji. Po wyrażeniu zgody Google Ireland Limited dostarcza Google Analytics dla witryny naszdzien.app i subdomen stron wydarzeń. Dostawcy infrastruktury i poczty działają jako podmioty przetwarzające lub dalsze podmioty przetwarzające. Stripe i Google mogą również działać jako odrębni administratorzy w zakresach określonych w ich dokumentacji prywatności.

Aktualną informację o istotnej zmianie podwykonawcy udostępnimy w usłudze lub wyślemy na e-mail klienta zgodnie z warunkami powierzenia w Regulaminie.

9. Przekazywanie danych poza EOG

Część dostawców ma siedzibę lub infrastrukturę poza Europejskim Obszarem Gospodarczym. Transfer odbywa się tylko przy zastosowaniu podstawy z rozdziału V RODO, w szczególności decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, standardowych klauzul umownych oraz - gdy potrzeba - środków uzupełniających.

Informację o stosowanym mechanizmie i możliwość uzyskania kopii odpowiednich zabezpieczeń, z pominięciem informacji poufnych, można uzyskać pod adresem kontakt@naszdzien.app.

10. Jak długo przechowujemy dane

• Konto, konfigurację strony i dane niezbędne do świadczenia usługi - przez czas umowy, a po jej zakończeniu przez okres technicznego zamknięcia i rozliczenia konta, co do zasady do 30 dni, chyba że dalsze przechowanie wynika z prawa lub roszczeń.
• Zdjęcia, filmy, RSVP i pozostałe dane powierzone - do usunięcia przez organizatora lub zakończenia usługi; po zamknięciu konta planujemy usunięcie aktywnych kopii w ciągu 30 dni. Kopie bezpieczeństwa są nadpisywane w zwykłym cyklu rotacji i nie są używane do innych celów.
• Dokumenty podatkowe i księgowe - przez okres wynikający z przepisów, zwykle 5 lat od końca roku, w którym upłynął termin płatności podatku.
• Reklamacje, korespondencję i dowody wykonania umowy - do zakończenia sprawy, a następnie do upływu właściwego terminu przedawnienia roszczeń, co do zasady nie dłużej niż 6 lat.
• Logi bezpieczeństwa i dane o nadużyciach - przez okres niezbędny do ochrony usługi i wyjaśnienia incydentu, zwykle nie dłużej niż 12 miesięcy, chyba że incydent lub obowiązek prawny uzasadnia dłuższy czas.
• Dane Google Analytics - zgodnie z ustawionym w Google Analytics okresem przechowywania; pliki analityczne w urządzeniu mogą działać do 2 lat, chyba że wcześniej wycofasz zgodę lub je usuniesz.
• Dane o zgodach - do ich wycofania, a dowód udzielenia zgody do upływu terminu roszczeń lub kontroli.

11. Twoje prawa

W zależności od podstawy przetwarzania możesz żądać dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia danych oraz wycofać zgodę. Możesz też wnieść sprzeciw wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO, wskazując swoją szczególną sytuację, a wobec marketingu bezpośredniego - w każdym czasie i bez uzasadnienia. Napisz na kontakt@naszdzien.app.

Odpowiemy bez zbędnej zwłoki, co do zasady w ciągu miesiąca. Możemy poprosić o informacje potrzebne do potwierdzenia tożsamości. Gdy działamy jako podmiot przetwarzający, przekażemy żądanie organizatorowi i pomożemy mu w odpowiedzi.

12. Skarga do organu nadzorczego

Masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, lub do właściwego organu w państwie zwykłego pobytu, miejsca pracy albo domniemanego naruszenia. Zachęcamy, aby wcześniej napisać do nas - często możemy szybko wyjaśnić sprawę.

13. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub podobnie istotnie na Ciebie wpływają. Automatyczne kontrole typu pliku, limitu, poprawności kodu, rate limit i reguły bezpieczeństwa służą technicznej ochronie usługi i nie są takim profilowaniem.

14. Bezpieczeństwo i naruszenia

Stosujemy środki odpowiednie do ryzyka, w tym szyfrowanie transmisji, haszowanie haseł, kontrolę dostępu, rozdzielenie danych wydarzeń, prywatne przechowywanie plików, czasowe linki, limity żądań, logowanie zdarzeń, kopie bezpieczeństwa i aktualizacje zależności. Żaden system nie usuwa ryzyka całkowicie, dlatego klient powinien chronić hasła i ograniczać dostęp do panelu.

Jeżeli wykryjemy naruszenie powierzonych danych, poinformujemy organizatora bez zbędnej zwłoki i przekażemy dostępne informacje potrzebne do oceny obowiązku zgłoszenia naruszenia organowi lub osobom.

15. Dzieci, wizerunek i dane innych osób

Konto klienta jest przeznaczone dla osoby pełnoletniej. Goście mogą korzystać ze strony zgodnie z decyzją organizatora, ale nie powinni samodzielnie przesyłać danych, jeżeli nie mogą ważnie wyrazić wymaganej zgody. Organizator i przesyłający materiał odpowiadają za podstawę publikacji wizerunku, w szczególności wizerunku dzieci, oraz za poinformowanie osób widocznych w materiałach.

16. Zmiany polityki

Możemy zmienić politykę po zmianie funkcji, dostawców lub prawa. Istotne zmiany zakomunikujemy w serwisie albo e-mailem, zanim zaczną obowiązywać, jeżeli będzie to wymagane. Data na górze wskazuje aktualną wersję.

Program partnerski i polecenia

Dla partnerów przetwarzamy nazwę działalności, kategorię usług, opcjonalną stronę, e-mail kontaktowy, kod polecający, zaakceptowaną wersję regulaminu oraz dane rozliczeniowe przekazane przed wypłatą. Przy wejściu z linka zapisujemy identyfikator wizyty, rynek, język i czas, a po rejestracji łączymy polecenie z kontem klienta. W panelu partner widzi wyłącznie zamaskowany e-mail klienta.

Dane służą wykonaniu umowy programu partnerskiego, naliczaniu i wypłacie prowizji, rachunkowości oraz ochronie przed nadużyciami. Dane prowizji i wypłat przechowujemy przez okres wymagany dla rozliczeń i roszczeń; nieprzypisane dane wizyt ograniczamy do okresu potrzebnego do działania programu.