Polityka prywatności

1. Administrator danych

Administratorem danych osobowych jest: Flamingo Kamil Puk-Kowalski, ul. Rapperswilska 10, 03-956 Warszawa, NIP: 7822319777, prowadzący serwis TwojaKategoria.pl.

W sprawach związanych z ochroną danych osobowych możesz skontaktować się pod adresem: kontakt@twojakategoria.pl.

2. Jakie dane przetwarzamy i jak długo

Do zawarcia umowy zbieramy wyłącznie adres e-mail. Dane wprowadzone w kreatorze dokumentów (w tym wszelkie dane medyczne) przechowywane są wyłącznie w pamięci przeglądarki (sessionStorage) — nie są przesyłane na nasze serwery. Generowanie dokumentu PDF odbywa się w całości po stronie przeglądarki.

3. Podstawa prawna przetwarzania

• Art. 6 ust. 1 lit. a RODO — zgoda osoby, której dane dotyczą (pliki cookie marketingowe i analityczne — Meta Pixel, Google Analytics 4; rezygnacja z wiadomości post-purchase może nastąpić w dowolnej chwili przez link w stopce każdego emaila).
• Art. 6 ust. 1 lit. b RODO — wykonanie umowy (dostarczenie Pakietu Przygotowawczego, wysyłka Vouchera, sekwencja emaili po zakupie).
• Art. 6 ust. 1 lit. f RODO — uzasadniony interes administratora (bezpieczeństwo serwisu, zapobieganie nadużyciom).

4. Podmioty przetwarzające (procesorzy)

W celu świadczenia usług korzystamy z następujących procesorów danych, z którymi zawarliśmy umowę powierzenia przetwarzania danych (DPA):

• Upstash Inc. (USA) — przechowywanie tokenów sesji i adresów email. Dane przetwarzane w regionie EU (Frankfurt). Transfer do USA zabezpieczony Standardowymi Klauzulami Umownymi (SCC) zgodnie z Art. 46 ust. 2 lit. c RODO. DPA Upstash.
• Resend Inc. (USA) — wysyłka transakcyjnych wiadomości email. Transfer zabezpieczony Standardowymi Klauzulami Umownymi (SCC). DPA Resend.
• PayNow / mBank S.A. (Polska, UE) — przetwarzanie płatności kartą i BLIK. Dane przetwarzane wyłącznie w infrastrukturze PayNow, zgodnie z normą PCI DSS. Transfer w obrębie EOG.
• Vercel Inc. (USA) — hosting aplikacji. Aplikacja wdrożona w regionie EU (Frankfurt), co oznacza, że dane użytkowników przetwarzane są na terenie EOG. Infrastruktura zarządzana przez Vercel Inc. z siedzibą w USA objęta jest Standardowymi Klauzulami Umownymi (SCC). DPA Vercel.
• Meta Platforms Ireland Ltd. (Irlandia, UE) — analityka i reklama internetowa. Po wyrażeniu zgody na pliki cookie marketingowe, w przeglądarce uruchamiany jest Meta Pixel (Facebook Pixel), który zapisuje pliki cookie _fbp i _fbc. Dodatkowo, po stronie serwera przesyłamy do Meta Conversions API zahaszowany (SHA-256) adres email w celu pomiaru skuteczności kampanii reklamowych (zdarzenia: Lead, InitiateCheckout, Purchase). Meta przetwarza dane jako niezależny administrator w zakresie tworzenia grup odbiorców i optymalizacji reklam. Transfer do USA odbywa się na podstawie decyzji Komisji Europejskiej w sprawie adekwatności ochrony w ramach EU-US Data Privacy Framework (decyzja z 10 lipca 2023 r.). Polityka prywatności Meta.
• Google Ireland Limited (Irlandia, UE) — analityka internetowa (Google Analytics 4). Po wyrażeniu zgody na pliki cookie marketingowe, w przeglądarce uruchamiany jest gtag.js, który zapisuje pliki cookie _ga i _ga_<ID> i wysyła do Google zdarzenia odwiedzin oraz konwersji (wyświetlenie oferty, rozpoczęcie płatności, zakup). Google przetwarza dane jako niezależny administrator w zakresie generowania statystyk zagregowanych i raportów. Transfer do USA odbywa się na podstawie decyzji Komisji Europejskiej w sprawie adekwatności ochrony w ramach EU-US Data Privacy Framework (decyzja z 10 lipca 2023 r.) — Google LLC posiada aktywną certyfikację w ramach DPF. Polityka prywatności Google.

5. Pliki cookie i technologie śledzenia

Serwis TwojaKategoria.pl korzysta z plików cookie. Przed zapisaniem plików cookie marketingowych w przeglądarce wyświetlamy baner z prośbą o zgodę. Pliki cookie marketingowe i analityczne (Meta Pixel, Google Analytics 4) są uruchamiane wyłącznie po wyrażeniu zgody przez użytkownika.

Rodzaje plików cookie

Meta Conversions API (CAPI)

Oprócz plików cookie, po stronie serwera przesyłamy do Meta Conversions API informacje o zdarzeniach konwersji (Lead, InitiateCheckout, Purchase). Adres email jest przed wysłaniem nieodwracalnie zahaszowany algorytmem SHA-256 — Meta nie otrzymuje adresu email w postaci jawnej. Wartości _fbp i _fbc są dołączane do tych zdarzeń wyłącznie wtedy, gdy użytkownik wyraził zgodę na pliki cookie marketingowe (w przeciwnym razie pliki te nie istnieją w przeglądarce).

Google Analytics 4

Po wyrażeniu zgody na pliki cookie marketingowe uruchamiamy Google Analytics 4 (gtag.js), które zbiera zanonimizowane statystyki odwiedzin (odsłony stron, przybliżone źródło ruchu — np. wyszukiwarka, social media, reklama) oraz zdarzenia konwersji (wyświetlenie oferty, rozpoczęcie płatności, zakup) w celu analizy skuteczności serwisu i kampanii marketingowych. Dane medyczne i formularza nigdy nie są wysyłane do Google Analytics.

Jak wycofać zgodę na pliki cookie

Aby wycofać zgodę na marketingowe pliki cookie, wyczyść dane witryny w ustawieniach przeglądarki (opcja "Wyczyść dane przeglądania" → "Pliki cookie i dane witryn"). Przy następnej wizycie baner ze zgodą pojawi się ponownie. Możesz również usunąć klucz cookie_consent_marketing z localStorage w narzędziach deweloperskich przeglądarki.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Niektórzy z naszych procesorów (Upstash, Resend, Vercel) mają siedziby w Stanach Zjednoczonych. Transfer danych osobowych do tych podmiotów odbywa się na podstawie Standardowych Klauzul Umownych (SCC) przyjętych przez Komisję Europejską w decyzji z dnia 4 czerwca 2021 r. (decyzja 2021/914/UE), co stanowi odpowiednie zabezpieczenie w rozumieniu Art. 46 ust. 2 lit. c RODO.

W przypadku Meta Platforms, Inc. (spółka dominująca Meta Platforms Ireland Ltd.) oraz Google LLC (spółka dominująca Google Ireland Limited) transfer danych do USA odbywa się na podstawie decyzji Komisji Europejskiej w sprawie adekwatności ochrony w ramach EU-US Data Privacy Framework (decyzja z 10 lipca 2023 r., Art. 45 ust. 1 RODO). Obie spółki posiadają aktywną certyfikację w ramach DPF.

Dane użytkowników są przetwarzane w regionie EU (Frankfurt) każdego z tych dostawców — transfer do USA następuje wyłącznie w zakresie obsługi administracyjnej infrastruktury przez podmiot nadrzędny z siedzibą w USA. Kopię zastosowanych SCC możesz uzyskać, kontaktując się pod adresem kontakt@twojakategoria.pl.

7. Twoje prawa (RODO)

• Prawo do cofnięcia zgody (Art. 7 ust. 3) — jeśli przetwarzanie opiera się na Twojej zgodzie, możesz ją wycofać w dowolnym momencie, wysyłając wiadomość na kontakt@twojakategoria.pl z tytułem "COFNIĘCIE ZGODY". Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania, które miało miejsce przed jej cofnięciem.
• Prawo dostępu (Art. 15) — możesz zażądać informacji o przetwarzanych danych.
• Prawo do sprostowania (Art. 16) — możesz poprosić o korektę nieprawidłowych danych.
• Prawo do usunięcia (Art. 17) — możesz zażądać usunięcia danych. Wyślij wiadomość na kontakt@twojakategoria.pl z tytułem "USUNIĘCIE DANYCH". Dane zostaną usunięte w ciągu 72 godzin (lub automatycznie po wygaśnięciu TTL: 24h / 2 dni).
• Prawo do ograniczenia przetwarzania (Art. 18) — możesz zażądać ograniczenia przetwarzania w określonych przypadkach.
• Prawo do przenoszenia danych (Art. 20) — możesz otrzymać swoje dane w formacie możliwym do odczytu maszynowego.
• Prawo do sprzeciwu (Art. 21) — możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie.
• Skarga do UODO — masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl, tel. 606-950-000).

8. Automatyczne usuwanie danych (TTL)

Wszystkie dane przechowywane w Redis są opatrzone automatycznym terminem wygaśnięcia (TTL):

• • Sesja płatności (token + email): 24 godziny
• • Sekwencja emaili post-purchase (email + stan sekwencji): do 400 dni od zakupu (lub do rezygnacji z wiadomości)

Po wygaśnięciu TTL dane są automatycznie usuwane bez żadnej interwencji manualnej.

9. Dane medyczne — gwarancja prywatności

10. Profilowanie i automatyczne podejmowanie decyzji

TwojaKategoria.pl nie stosuje profilowania ani zautomatyzowanego podejmowania decyzji wywołujących skutki prawne lub w podobny sposób istotnie wpływających na osoby, których dane dotyczą (Art. 22 RODO). Narzędzia reklamowe i analityczne podmiotów trzecich (Meta Pixel, Google Analytics 4) mogą wykorzystywać dane zebrane za Twoją zgodą do tworzenia grup odbiorców, statystyk zagregowanych i optymalizacji reklam — odbywa się to w ramach własnej polityki prywatności tych podmiotów, a nie na podstawie decyzji TwojaKategoria.pl.

11. Kontakt

W przypadku pytań dotyczących niniejszej polityki prywatności lub przetwarzania Twoich danych osobowych, skontaktuj się z nami: kontakt@twojakategoria.pl