Niniejszy dokument opisuje zasady przetwarzania danych osobowych Użytkowników aplikacji webowej Kaucyjka (dalej: „Aplikacja”), dostępnej pod adresem kaucyjka.pl, zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: „RODO”) oraz innymi powszechnie obowiązującymi przepisami prawa polskiego.
1. Administrator danych osobowych
Administratorem danych osobowych Użytkowników Aplikacji w rozumieniu art. 4 pkt 7 RODO jest InfluxCode, z siedzibą pod adresem ul. Poniatowskiego 122, Rabka-Zdrój, NIP: 7352882244, REGON: 382669187 (dalej: „Administrator”).
Kontakt z Administratorem w sprawach związanych z przetwarzaniem danych osobowych możliwy jest pod adresem e-mail: [email protected].
Administrator nie wyznaczył Inspektora Ochrony Danych. Skala i charakter przetwarzania nie powodują obowiązku jego powołania w rozumieniu art. 37 ust. 1 RODO.
2. Jakie dane zbieramy
2.1. Dane podawane bezpośrednio przez Użytkownika
- adres e-mail - niezbędny do utworzenia konta, logowania za pomocą jednorazowego kodu wysyłanego na e-mail oraz komunikacji serwisowej;
- imię (lub pseudonim) - wskazywany przy rejestracji, wykorzystywany wyłącznie do personalizacji widoków w Aplikacji;
- kod pocztowy - opcjonalny, podawany w panelu profilu, umożliwiający w przyszłości lokalne dopasowanie informacji o sklepach.
2.2. Dane generowane przez korzystanie z Aplikacji
- historia liczonych opakowań (typ opakowania, liczba sztuk, wartość kaucji w groszach, znacznik czasu) - stanowi treść konta i jest wyłączną domeną Użytkownika;
- identyfikator sesji oraz znacznik czasu wygaśnięcia sesji (cookie sesyjne mechanizmu Auth.js).
2.3. Dane techniczne
- adres IP oraz identyfikator przeglądarki (User-Agent) - zapisywane w logach serwera i logach dostawcy usługi pocztowej w celach bezpieczeństwa i diagnostyki;
- dane analityczne przetwarzane przez Google Analytics 4 - wyłącznie po wyrażeniu przez Użytkownika dobrowolnej zgody w banerze cookies (szczegóły w rozdziale 7 niniejszej Polityki).
2.4. Dane lokalizacyjne
Funkcja wyszukiwania najbliższych sklepów wykorzystuje API geolokalizacji przeglądarki (navigator.geolocation). Współrzędne geograficzne są przetwarzane wyłącznie lokalnie w przeglądarce Użytkownikai przekazywane bezpośrednio do publicznego API OpenStreetMap (Overpass API) w celu pobrania listy sklepów. Administrator nie zapisuje ani nie przetwarza tych danych na swoich serwerach.
3. Cele i podstawy prawne przetwarzania
| Cel | Podstawa prawna | Zakres |
|---|---|---|
| Świadczenie usługi (założenie i obsługa konta, logowanie, przechowywanie historii) | art. 6 ust. 1 lit. b RODO (wykonanie umowy) | e-mail, imię, kod pocztowy, historia opakowań, dane sesji |
| Bezpieczeństwo Aplikacji, wykrywanie nadużyć | art. 6 ust. 1 lit. f RODO (uzasadniony interes) | adres IP, User-Agent, logi serwera |
| Realizacja obowiązków prawnych (rozpatrywanie reklamacji, żądań RODO) | art. 6 ust. 1 lit. c RODO | e-mail, treść korespondencji |
| Statystyka i pomiar ruchu (Google Analytics 4) | art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 173 ust. 1 ustawy Prawo telekomunikacyjne | identyfikatory cookies, ścieżka nawigacji, parametry urządzenia |
| Pomiar zagregowanej liczby wizyt bez identyfikacji Użytkownika (tzw. cookieless pings) | art. 6 ust. 1 lit. f RODO (uzasadniony interes - analiza ruchu bez identyfikacji) | zanonimizowany sygnał wizyty bez zapisu cookie |
4. Okres przechowywania danych
- dane konta i historia opakowań - przez okres istnienia konta. Do czasu usunięcia konta przez Użytkownika lub przez Administratora zgodnie z Regulaminem;
- sesje logowania - maksymalnie 90 dni od ostatniej aktywności (mechanizm „przesuwającego się okna” Auth.js);
- kody logowania (OTP) - maksymalnie 10 minut od wygenerowania; po wykorzystaniu lub wygaśnięciu są usuwane;
- logi serwera - maksymalnie 30 dni;
- cookies analityczne (Google Analytics) - zgodnie z polityką dostawcy, nie dłużej niż 14 miesięcy;
- dane przetwarzane na podstawie obowiązku prawnego - przez okres wymagany przepisami (np. 3 lata dla roszczeń konsumenckich).
Po upływie powyższych okresów dane są nieodwracalnie usuwane lub anonimizowane.
5. Odbiorcy danych
Dane osobowe mogą być powierzane podmiotom przetwarzającym wyłącznie na udokumentowane polecenie Administratora, w zakresie niezbędnym do świadczenia usług: hostingu aplikacji i bazy danych, infrastruktury poczty elektronicznej (wysyłka wiadomości serwisowych, w tym kodów logowania), a także - po wyrażeniu zgody na cookies analityczne - narzędzi statystyki odwiedzin. Z podmiotami tymi zawarte są umowy powierzenia przetwarzania danych osobowych zgodnie z art. 28 RODO.
Jeżeli przetwarzanie odbywa się poza Europejskim Obszarem Gospodarczym, Administrator stosuje mechanizmy przekazania przewidziane w rozdziale V RODO, w tym standardowe klauzule umowne przyjęte przez Komisję Europejską, o ile mają zastosowanie.
Dodatkowo Aplikacja korzysta z publicznych API podmiotów trzecich (OpenStreetMap, Overpass), do których dane są wysyłane bezpośrednio z przeglądarki Użytkownika i nie przechodzą przez serwery Administratora.
6. Prawa osoby, której dane dotyczą
Zgodnie z RODO Użytkownikowi przysługują następujące uprawnienia:
- prawo dostępu do danych (art. 15 RODO) - uzyskanie kopii przetwarzanych danych;
- prawo do sprostowania (art. 16 RODO) - żądanie poprawy nieprawidłowych danych. Imię i kod pocztowy można edytować samodzielnie w zakładce „Profil”;
- prawo do usunięcia („prawo do bycia zapomnianym”) (art. 17 RODO) - w zakładce „Profil” dostępna jest funkcja Usuń konto, która unieważnia dostęp do Aplikacji na wskazany adres e-mail (nie można ponownie zalogować się ani zarejestrować na ten sam adres) oraz kończy aktywne sesje. Technicznie oznacza to oznaczenie konta statusem „usunięte” i zaprzestanie wykorzystywania danych do świadczenia usługi; rekord może pozostać w bazie przez czas niezbędny do rozliczeń, dochodzenia roszczeń lub spełnienia obowiązków prawnych (w tym archiwizacji korespondencji), po czym dane podlegają usunięciu lub dalszemu ograniczeniu zgodnie z zasadami przechowywania. Pełne usunięcie danych z bazy możesz dodatkowo żądać e-mailem na adres podany w rozdziale 1 - rozpatrzymy żądanie z uwzględnieniem przepisów (np. wyjątków z art. 17 ust. 3 RODO).
- prawo do ograniczenia przetwarzania (art. 18 RODO);
- prawo do przenoszenia danych (art. 20 RODO) - otrzymanie danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (np. JSON);
- prawo do sprzeciwu wobec przetwarzania na podstawie uzasadnionego interesu (art. 21 RODO);
- prawo do cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem (art. 7 ust. 3 RODO) - w szczególności zgody na cookies analityczne (poprzez ponowne wyświetlenie baneru z poziomu zakładki „Cookies”);
- prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl).
Realizacja powyższych żądań następuje bez zbędnej zwłoki, nie później niż w terminie miesiąca od ich otrzymania (art. 12 ust. 3 RODO). Żądania należy kierować na adres e-mail wskazany w rozdziale 1.
8. Bezpieczeństwo danych
Administrator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:
- szyfrowanie transmisji protokołem TLS (HTTPS);
- szyfrowanie haseł SMTP w spoczynku po stronie konfiguracji serwera;
- brak haseł użytkowników (logowanie wyłącznie kodem jednorazowym);
- kontrola dostępu do bazy danych ograniczona do procesów aplikacji;
- regularne automatyczne kopie zapasowe bazy danych;
- zasada minimalizacji danych - zbieramy wyłącznie dane niezbędne.
9. Profilowanie i automatyczne decyzje
Administrator nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu danych, w tym profilowaniu, o których mowa w art. 22 ust. 1 RODO.
10. Dobrowolność podania danych
Podanie adresu e-mail oraz imienia jest dobrowolne, jednak niezbędne do założenia konta i korzystania z Aplikacji. Brak podania uniemożliwia świadczenie usługi. Pozostałe dane (kod pocztowy, zgoda na cookies analityczne) są w pełni dobrowolne i nie wpływają na dostępność Aplikacji.
11. Zmiany Polityki prywatności
Administrator zastrzega sobie prawo do zmiany niniejszej Polityki w przypadku zmian przepisów prawa, sposobu przetwarzania danych lub rozszerzenia funkcjonalności Aplikacji. O zmianach Użytkownicy zostaną poinformowani co najmniej 14 dni przed ich wejściem w życie poprzez komunikat w Aplikacji lub wiadomość e-mail. Aktualna wersja jest zawsze dostępna pod adresem kaucyjka.pl/polityka-prywatnosci.
12. Kontakt
We wszelkich sprawach związanych z przetwarzaniem danych osobowych prosimy o kontakt: [email protected].
Powiązane dokumenty: Regulamin świadczenia usług.